nr 09 augustus 2014 Informatiebeveiliging gaat ons allemaal aan! Samen moeten we ons bewust zijn van de beveiliging en bescherming van patiëntgegevens, onderzoeksgegevens en andere gevoelige informatie. In deze nieuwsbrief belichten we verschillende alledaagse onderwerpen vanuit het perspectief van informatiebeveiliging en privacybescherming. We informeren je over de regels, voorzien je van praktische handvatten en geven je tips.
Verwerk je persoonsgegevens? Meld het! In het AMC en VUmc vinden continu verwerkingen van persoonsgegevens plaats. Wat verstaan we onder deze verwerkingen? Wist je dat je ze verplicht moet melden? En wat gebeurt er vervolgens met je melding? Michel Paardekooper, Functionaris Gegevensbescherming (FG) Onderzoek in het VUmc, geeft uitleg over het hoe en waarom. “Bij verwerkingen van persoonsgegevens kun je denken aan adres, geboortedatum en geslacht. Maar ook aan godsdienst en inkomen. Kortom, alle persoonsgegevens die directe of indirecte informatie geven over een persoon”, vertelt Michel. “In ons onderzoek, onderwijs en onze zorg vinden voortdurend verwerkingen van persoonsgegevens plaats. Veel medewerkers staan er niet bij stil deze te melden. Sommigen weten zelfs niet dat dit verplicht is. Dat moet veranderen.”
Wettelijk verplicht én noodzakelijk Alle verwerkingen van persoonsgegevens moeten worden gemeld. Dit is vastgelegd in de Wet bescherming persoonsgegevens (Wbp). Michel: “Naast dat het wettelijk verplicht is om deze verwerkingen te melden, is het noodzakelijk voor het ziekenhuis op de hoogte te zijn van alle verwerkingen van persoonsgegevens. Immers, als je geen overzicht hebt, kun je geen risico’s inschatten. Bovendien kan het ziekenhuis alleen adequate ondersteuning bieden aan medewerkers als het inzicht heeft in de verwerkingen.”
Nu: melden bij FG Michel vervolgt: “Momenteel meld je verwerkingen van persoonsgegevens in beide ziekenhuizen via een formulier bij de FG. In het AMC is dat Beer Franken en in het VUmc ben ik dat samen met Thijs Kliphuis.” Zowel het AMC als het VUmc signaleren dat verwerkingen van persoonsgegevens op dit moment te weinig worden gemeld. De ziekenhuizen hebben daarom de handen ineengeslagen en het Centraal Meldpunt Gegevensverwerking opgericht.
Michel Paardekooper (VUmc)
Toekomst: melden bij Centraal Meldpunt Gegevensverwerking De Clinical Research Unit (CRU) van het AMC ontwikkelt het Centraal Meldpunt Gegevensverwerking voor beide ziekenhuizen. Michel: “Het is de bedoeling dat medewerkers alle verwerkingen in het kader van onderzoek, onderwijs en zorg in de toekomst bij dit meldpunt bekendmaken. Zeker in het kader van de aankomende wet- en regelgeving en de boetes die daarmee samenhangen, is het belangrijk dat het ziekenhuis goed op de hoogte is van de verwerkingen, handelt volgens de Wbp en zich voorbereidt op de Europese Algemene Verordening Gegevensbescherming.” Het project bevindt zich momenteel in de testfase. Zodra het meldpunt live gaat, worden medewerkers geïnformeerd.
‘Trust me, I’m a doctor’ – over logging Patiëntgegevens mogen alleen beschikbaar zijn voor degenen die een actuele behandelrelatie hebben met de patiënt. Het AMC en VUmc regelen hun systemen daarom zo in dat zo min mogelijk medewerkers toegang krijgen tot patiëntendossiers die niet voor hun ogen bestemd zijn. Omdat de toegang tot patiëntgegevens in de huidige systemen is ingesteld op niveau van specialisme, is onrechtmatige toegang tot die gegevens toch mogelijk. Jan Drapers (lid Medische Directie in het AMC) en Barend Klickermann (ICT-manager Infrastructuur Beheer in het VUmc) lichten toe hoe de ziekenhuizen daarmee omgaan. V.l.n.r.: Jan Drapers (AMC) en Barend Klickermann (VUmc)
Barend: “Ons huidige systeem, het ziekenhuisinformatie systeem (ZIS), is technisch verouderd en de toegang tot patiëntgegevens wordt nu ingesteld op niveau van functionaliteit en afdeling.” Jan vult aan: “Tot nu toe is altijd prioriteit gegeven aan de beschikbaarheid van gegevens in plaats van aan de afscherming van gegevens. Omdat de systemen nauwelijks onderscheid kunnen maken in de soort gegevens, heeft iemand met toegang meestal toegang tot alle gegevens.”
Allemaal potentieel patiënt Dat we zorgvuldig moeten omgaan met patiëntgegevens en niet zomaar in elk patiëntendossier mogen kijken, staat buiten kijf. Toch zien ze in zowel het AMC als het VUmc regelmatig dat medewerkers patiëntgegevens raadplegen zonder daarvoor geautoriseerd te zijn. “Omdat het op dit moment niet mogelijk is dit met techniek tegen te gaan, werken we in het AMC met een gedragscode die wordt onderschreven bij in dienst treden. Iedere medewerker geeft aan de regels te kennen en belooft deze na te komen. Daarmee kunnen we het vertrouwen van patiënten waar maken dat hun gegevens door ons veilig worden beheerd”, aldus Jan. “We zijn immers allemaal potentieel patiënt, dus we zouden ons moeten kunnen voorstellen wat we ervan vinden als anderen zomaar onze gegevens zouden kunnen bekijken.”
Onderzoek logbestanden Barend: “Het benaderen van patiëntgegevens wordt gelogd. Deze gegevens verzamelen we in logbestanden die we steekproefsgewijs onderzoeken. Daarnaast controleren we de bestanden als we een melding vanuit het huis krijgen. Bijvoorbeeld als een patiënt vermoedt dat zijn gegevens zijn bekeken door medewerkers die daarvoor niet geautoriseerd
zijn.” Jan geeft aan dat het AMC dezelfde procedure volgt en vult aan: “Dergelijke meldingen kunnen ook van medewerkers komen die patiënt zijn in ons ziekenhuis. Ze geven aan het gevoel te hebben dat collega’s in hun dossier hebben gekeken.”
Geen behandelrelatie? Grote consequenties “Als uit ons onderzoek blijkt dat er inderdaad geen behandelrelatie is met de patiënt van wie de gegevens zijn geraadpleegd, dan is er sprake van een ernstige overtreding van de gedragscode. De consequenties daarvan kunnen groot zijn. Tenminste een berisping of ontslag”, vervolgt Jan. “Juist omdat de techniek nog niet toereikend is, moeten we het hebben van onderlinge afspraken. Men moet zich daaraan houden. Alleen dan kunnen we samen patiëntgegevens veiligstellen en het vertrouwen van patiënten waarmaken.”
EVA biedt betere privacybescherming Jan en Barend zijn het erover eens: het toekomstige programma EVA (Elektronisch Patiëntendossier AMC-VUmc) biedt betere mogelijkheden om patiëntgegevens goed te beschermen. Nadat beide ziekenhuizen het nieuwe systeem in gebruik hebben genomen, zullen de toezichthouders (College bescherming persoonsgegevens en Inspectie voor de Gezondheidszorg) niet accepteren dat de wettelijke regels niet worden gerespecteerd. Bij de inrichting van EVA moet naast de beschikbaarheid van patiëntgegevens veel meer aandacht worden besteed aan de afscherming van deze gegevens op geleide van de behandelrelatie. Barend: “Veel minder medewerkers krijgen dan toegang tot een patiëntendossier.” Jan vult aan: “Achteraf controleren en ons beroepen op de gedragscode is dan naar verwachting een stuk minder noodzakelijk.”
Meld ook je collega’s aan voor de nieuwsbrief Informatiebeveiliging Weten jij en je collega’s precies wat informatiebeveiliging en privacybescherming inhoudt? Via de interne, digitale nieuwsbrief Informatiebeveiliging ontvangen jullie elk kwartaal recente informatie, praktische handvatten en tips die je meteen kunt gebruiken tijdens je dagelijkse werkzaamheden. Enthousiasmeer je collega’s en meld je afdeling aan!
Gegevensuitwisseling, hoe ga je daarmee om? Ziekenhuizen zijn verantwoordelijk voor een juiste en veilige verwerking van gegevens. Bedenk daarom altijd voordat je gegevens uitwisselt of het wel nodig is dat de ontvangende partij over die gegevens beschikt. “Als je besluit gegevens uit te wisselen, maak dan duidelijke afspraken met de ontvangende partij. Je moet er immers van op aan kunnen dat ook zij de gegevens juist en veilig verwerken”, aldus Beer Franken, Functionaris Gegevensbescherming (FG) in het AMC.
Bij gegevensuitwisseling gaat het niet alleen om identificerende gegevens. Beer: “Met alleen leeftijd, beroep en woonplaats kun je een persoon niet identificeren. Maar deze gegevens samen kunnen een unieke combinatie vormen waardoor ze toevalligerwijs wel tot één persoon leiden. Iemand is 57 jaar, schilder van beroep en woont in Hippolytushoef… Je raadt het al.” Daarnaast wijst Beer erop alert te zijn bij het invoeren van gegevens in een portal. Bijvoorbeeld het aantal vuurwerkongelukken tijdens de jaarwisseling. “Dit soort portals worden meestal niet beheerd door het ziekenhuis. Nadat de gegevens zijn ingevoerd, hebben we er dus geen grip meer op. Ben je daarvan bewust en zorg dat je vooraf afspraken maakt.”
Beer Franken (AMC)
Voorwaarden voor gegevensuitwisseling
Meld gegevensuitwisseling bij de FG
Uiteraard zijn er situaties waarbij gegevensuitwisseling legitiem is. Dan moet in ieder geval aan de volgende belangrijkste voorwaarden zijn voldaan: – Er moet een grondslag zijn, zoals een wettelijke plicht of toestemming van de patiënt. – Het doel van de gegevensuitwisseling moet duidelijk zijn en alleen de gegevens die bijdragen aan het doel mogen worden uitgewisseld. – Maak afspraken met de ontvangende partij. Bijvoorbeeld over veilig verwerken voor uitsluitend het vastgestelde doel. – Binnenkort moeten we in Nederland datalekken gaan melden. Spreek daarom met de ontvangende partij af dat zij je op de hoogte brengen in geval van een lek van ‘jouw’ gegevens.
De zaken op het gebied van gegevensuitwisseling in het AMC en VUmc moeten beter worden geregeld. De aandacht voor privacy neemt namelijk toe, de Nederlandse en Europese wet- en regelgeving op dit gebied wordt aangescherpt en de boetes voor overtredingen zijn nu aanzienlijk hoger dan voorheen. Beer: “Medewerkers moeten zorgvuldig omgaan met gegevens en uitwisseling melden bij de FG. In het VUmc zijn dat Thijs Kliphuis en Michel Paardekooper. In het AMC ben ik dat. Wij moeten namelijk weten welke gegevens uitgewisseld worden, zodat we inzicht en overzicht hebben. Samen bewaken we zo de privacy van onze patiënten én de reputatie van het AMC en VUmc.”
Even opfrissen: zo wissel je veilig gegevens uit Om verlies en diefstal van patiëntinformatie zo veel mogelijk te voorkomen, proberen het AMC en VUmc het gebruik van gegevensdragers (bijvoorbeeld laptops, externe harde schijven of usb-sticks) en e-mail met patiëntgegevens te ontmoedigen. Beide ziekenhuizen bieden verschillende oplossingen om toch veilig gegevens uit te kunnen wisselen: 1 Externe Toegang (AMC), VIEW (VUmc): om op afstand in te loggen op de ICT-systemen van het ziekenhuis. 2 UMC Teamwerk (AMC en VUmc): om online documenten te delen en samen te werken aan documenten. Let op: nog niet geschikt voor vertrouwelijke (patiënt)gegevens. 3 FileSender (AMC): om bestanden tot wel 100Gb te versturen. Let op: nog niet volledig geschikt om vertrouwelijke (patiënt)gegevens mee uit te wisselen.
Verwerk je persoonsgegevens? Meld het!
Do’s
Don’ts
Meld àlle verwerkingen van persoonsgegevens bij de Functionaris Gegevensverwerking (nu) of het Centraal Meldpunt Gegevensverwerking (toekomst).
Meld niet alleen verwerkingen in het kader van onderzoek.
Raadpleeg alleen patiëntgegevens van de patiënten ‘Trust me, I’m a doctor’ – over logging waarmee je een behandelrelatie hebt.
Gegevensuitwisseling, hoe ga je daarmee om?
Even opfrissen: zo wissel je veilig gegevens uit
Kijk niet zomaar in een patiëntendossier.
Geef prioriteit aan de afscherming van patiënt gegevens.
Geef geen prioriteit aan de beschikbaarheid van patiëntgegevens.
Maak bij gegevensuitwisseling duidelijke afspraken met de ontvangende partij.
Voer geen gegevens in portals in die niet door het ziekenhuis worden beheerd.
Meld gegevensuitwisseling bij de Functionaris Gegevensbescherming.
Wissel nooit meer gegevens uit dan de gegevens die bijdragen aan het doel.
Maak gebruik van de oplossingen die het AMC en VUmc bieden om gegevens uit te wisselen.
Gebruik geen oplossingen in de cloud om gegevens uit te wisselen.
Colofon De IBA-nieuwsbrief is een uitgave over informatiebeveiliging en privacy bescherming van het AMC en VUmc. Redactie Beer Franken (AMC), Thijs Kliphuis (VUmc), Marja Vrolijk (VUmc) en Kim Bogers (Tekstschrijvers.nl) Tekstschrijver Kim Bogers (Tekstschrijvers.nl) Fotografie en film Marie Louise Nijsing Photography Vormgeving Katja Hilberg Ontwerpers E-mail cisppo@amc.nl