Profiel: zorgverlener
Dit is een contextprofiel voor zorgwerk. Als arts, psycholoog of sociaal werker heb je extra verplichtingen rond patiëntgegevens, beroepsgeheim en incidentmelding.
Profiel: zorgverlener
Dit profiel is voor artsen, verpleegkundigen, psychologen, therapeuten, sociaal werkers, en anderen die met patiëntgegevens werken. De zorgsector is een primair doelwit voor cybercriminelen — en jouw verplichtingen gaan verder dan alleen technische maatregelen.
Gebruik dit als aanvullend profiel. Kies eerst je basisprofiel en pas daarna deze zorgcontext toe op apparaten, communicatie en dossiers.
De hoofdvraag hier is dus niet “welke app is het meest privé?”, maar: welke keuze is verdedigbaar als er patiëntdata, beroepsgeheim en meldplicht op het spel staan?
Wettelijk kader
Medisch beroepsgeheim (WGBO) Je geheimhoudingsplicht is wettelijk verankerd. Patiëntgegevens mogen niet worden gedeeld zonder toestemming — ook niet met familie, ook niet met collega’s die niet bij de behandeling betrokken zijn.
NEN 7510 De Nederlandse norm voor informatiebeveiliging in de zorg. Niet direct wettelijk verplicht, maar in de praktijk afgedwongen via de AVG en IGJ-toezicht — ziekenhuizen moeten aantoonbaar voldoen. De norm schrijft onder meer voor: toegangsbeveiliging, logging, encryptie en incidentrespons. In december 2024 is NEN 7510:2024 gepubliceerd; gecertificeerde organisaties hebben tot februari 2027 voor de overgang.
AVG (GDPR) Gezondheidsdata is een bijzondere categorie — de zwaarste AVG-bescherming. Datalekken moeten binnen 72 uur worden gemeld bij de Autoriteit Persoonsgegevens, en onder omstandigheden ook aan de betrokkene.
IGJ-toezicht De Inspectie Gezondheidszorg en Jeugd kan handhavend optreden bij incidenten. Datalekken bij zorgaanbieders worden serieus genomen.
Dreigingsanalyse
Ransomware is de hoofddreiging Nederlandse zorginstellingen zijn eerder getroffen door ransomware en ernstige datalekken. Het meest bekende geval: Universiteit Maastricht in december 2019 — de universiteit betaalde ~€200.000 in bitcoin om systemen te herstellen. OLVG Amsterdam kreeg in 2021 een boete van €440.000 van de Autoriteit Persoonsgegevens wegens jarenlange onvoldoende beveiliging van medische dossiers. Criminelen weten dat zorginstellingen slecht kunnen wachten: behandelingen lopen door, systemen moeten snel beschikbaar zijn. Ze vragen meer losgeld en krijgen het vaker betaald dan in andere sectoren.
Hoge waarde van patiëntdata Medische dossiers zijn op de zwarte markt meer waard dan creditcardgegevens. Ze bevatten namen, BSN, verzekeringsdata, medicatiegeschiedenis — genoeg voor identiteitsfraude voor jaren. Een gestolen creditcardnummer verliest waarde zodra het geblokkeerd is. Een medisch dossier verliest die waarde nooit.
Menselijke schakel Phishing gericht op zorgmedewerkers is een primair aanvalspad. Een nep-e-mail van “het EPD-systeem” of “IT-beheer” kan geloofwaardig zijn in een drukke klinische omgeving. Aanvallers maken ook gebruik van zorgnummers en bekende software-namen (Chipsoft, Epic, AFAS).
Wat je wint, en wat het kost
Als je dit profiel serieus toepast, win je meestal:
- minder kans dat patiëntdata via privégewoontes of losse tools uitlekt
- duidelijkere scheiding tussen wat handig lijkt en wat verantwoord is
- snellere incidentrespons als er iets misgaat
- beter verdedigbare keuzes richting toezichthouder, werkgever of patiënt
Maar het kost ook iets:
- minder vrijheid om “even snel” WhatsApp, privémail of je eigen cloud te gebruiken
- meer frictie in communicatie met patiënten en collega’s
- extra discipline rond logging, toegang en apparaatbeheer
Dat is hier meestal een redelijke ruil. In zorgcontext is gemak dat de verkeerde kant opvalt geen neutrale keuze.
Checklist
Werkapparaten
- Gebruik alleen goedgekeurde apparaten voor patiëntdata — nooit een persoonlijke telefoon zonder versleuteling
- Auto-lock na korte inactiviteit — een scherm met patiëntdata dat onbeheerd staat is een datalek
- Inloggen met je eigen account, nooit een gedeeld account — accountability vereist traceerbaarheid
- VPN van de organisatie gebruiken bij externe toegang tot EPD-systemen
Communicatie
- WhatsApp is niet geschikt voor patiëntgerelateerde communicatie — dit is een veelgemaakte fout in de zorg
- Gebruik systemen die de organisatie heeft goedgekeurd voor patiëntcommunicatie
- Voor externe partijen: begin met veilige e-mail kiezen zonder overkill en bepaal dan of een beveiligd portaal of versleutelde e-mail verdedigbaar is
- Bespreek geen patiëntgegevens in openbare ruimtes — wachtkamers, liften, de kantine
Wachtwoorden en toegang
- Uniek wachtwoord per systeem — een gecompromitteerd EPD-account mag niet doorwerken naar e-mail; begin met welke wachtwoordmanager moet je kiezen?
- 2FA overal waar het systeem het ondersteunt — 2FA gids →
- Toegang intrekken direct bij uitdiensttreding — dit gaat regelmatig mis
Datalekken
- Weet wat het meldproces is binnen jouw organisatie — als ZZP’er ben je zelf verwerkingsverantwoordelijke en meld je direct bij de AP (zie ZZP-sectie hieronder)
- Een verdwaalde e-mail met patiëntdata naar het verkeerde adres is al een meldplichtig datalek
- Meld ook bijna-incidenten — dat helpt de organisatie patronen te herkennen
Fysieke beveiliging
Digitale beveiliging is nutteloos als een scherm met patiëntdata vrij zichtbaar is.
- Schermzichtbaarheid: positioneer werkapparaten zo dat patiënten in de wachtkamer niet kunnen meekijken. Gebruik een privacyscherm op laptops en tablets die je meeneemt.
- Clean desk: laat geen patiëntdossiers, formulieren of uitslagen onbeheerd achter op je bureau. Dit geldt ook voor uitgeprinte correspondentie.
- Bezoekers in behandelruimtes: log uit of vergrendel je scherm als een patiënt of bezoeker de ruimte betreedt terwijl je op een ander dossier werkt.
- Laptops en tablets meenemen: versleuteld apparaat is onbruikbaar bij diefstal — maar meld het verlies direct aan IT zodat accounts kunnen worden geblokkeerd.
Communicatie met patiënten
Patiënten sturen soms gevoelige informatie via e-mail of WhatsApp — diagnoses, medicatielijsten, resultaten. Hoe ga je daarmee om?
- Stel duidelijk vast welk kanaal jouw organisatie gebruikt voor patiëntcommunicatie
- Stuur nooit medische informatie terug via een onbeveiligd kanaal als een patiënt dat doet
- Wijs patiënten actief op het bestaan van beveiligde alternatieven (patiëntenportaal, MedMij-apps)
MedMij-gecertificeerde apps (zoals Onze Lieve Vrouwe app, mijnGezondheid.net) zijn specifiek bedoeld voor patiëntcommunicatie conform Nederlandse regelgeving.
Gebruik dit deel niet als uitnodiging om zelf losse chatapps voor patiëntzorg te kiezen. Voor de meeste zorgverleners geldt: organisatiebeleid en patiëntenportalen gaan vóór persoonlijke voorkeur.
Zelfstandig werkende zorgverleners (ZZP-zorg)
Als je buiten een organisatie werkt, gelden dezelfde regels — maar jij bent zelf verantwoordelijk voor de implementatie:
- Versleuteld apparaat (BitLocker op Windows, FileVault op Mac, of GrapheneOS op telefoon). Op een standaard Android-telefoon is versleuteling automatisch actief zodra je een schermbeveiliging (pincode, patroon of wachtwoord) hebt ingesteld. Je kunt dit controleren via Instellingen → Beveiliging → Versleuteling en inloggegevens (exacte naam varieert per fabrikant).
- Separate versleutelde opslag voor patiëntdossiers — niet op je persoonlijke bureaublad, niet in een niet-EU cloud
- Gebruik een AVG-compliant cloud-opslag voor patiëntdossiers — Proton Drive (Zwitserland) of Tresorit (EU-servers) zijn geschikte opties
- Als verwerkingsverantwoordelijke ben jij zelf meldplichtig bij een datalek — meld aan de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl
- Sluit een verwerkersovereenkomst af met elke softwareleverancier die patiëntdata verwerkt (EPD-aanbieder, boekhouding, etc.) — dit is een schriftelijke overeenkomst die vastlegt hoe de leverancier met de data omgaat, verplicht onder AVG artikel 28. Vraag dit actief op bij nieuwe leveranciers; zorg dat het er ligt voor je start. Zie verwerkersovereenkomst uitleg voor een praktische aanpak.
Na een incident: wat doe je?
Als je vermoedt dat patiëntdata is gelekt of je apparaat is gecompromitteerd:
- Meld direct aan de functionaris gegevensbescherming (FG) van je organisatie — of bij ZZP aan de Autoriteit Persoonsgegevens als het om een daadwerkelijk lek gaat
- Isoleer het apparaat: koppel het los van het netwerk, maar zet het niet uit (forensische waarde)
- Wijzig wachtwoorden voor alle systemen waartoe dat apparaat toegang had, vanuit een schoon apparaat
- Documenteer alles: tijdstip van ontdekking, wat je hebt gezien, welke acties je hebt genomen
- Neem contact op met Z-CERT als je in een zorgorganisatie werkt — dit is de sectorale CSIRT voor de zorg, bereikbaar via z-cert.nl
De 72-uur AVG-meldtermijn begint op het moment van ontdekking, niet op het moment van het incident. Een incident is meldplichtig als er een risico bestaat voor de rechten en vrijheden van betrokkenen. Twijfel? Meld altijd.
Tools
| Doel | Tool | Opmerking |
|---|---|---|
| Wachtwoordmanager | Welke wachtwoordmanager moet je kiezen? | Kies route eerst; daarna Bitwarden of KeePassXC |
| Versleutelde opslag | Proton Drive / Tresorit | AVG-compliant, EU-servers |
| 2FA | Twee-factor authenticatie gids | Offline, open source |
| Veilige e-mail | Veilige e-mail kiezen zonder overkill | Voor externe communicatie of portaalkeuze |
| Privacyscherm | 3M of Kensington | Voor laptops in klinische omgevingen |
| Veilige telefoon | GrapheneOS op Pixel | Voor ZZP’ers die patiëntdata op telefoon verwerken |
| Veilige telefoon (alternatief) | Android privacy zonder custom ROM | Als GrapheneOS geen optie is — encryptie + werkprofiel |
Gebruik deze tabel niet alsof elk item automatisch nodig is. Voor de meeste zorgverleners zijn wachtwoordbeheer, 2FA, versleutelde opslag en organisatiegoedgekeurde communicatie belangrijker dan meteen een nieuwe telefoon.
Volgende stap
Fallback: als je nu maar één ding doet, stop met patiëntinformatie in privékanalen.
Begin hiermee
- AVG meldplicht datalekken — wanneer moet je melden, beslisboom
- Verwerkersovereenkomst uitleg — wat het is en hoe je het regelt als ZZP’er
Als jouw context breder is
- Profiel: kleine ondernemer — AVG-verplichtingen voor zelfstandigen
- Profiel: privacy bewust — als je ook privé bewuster wilt de-Googlen zonder zorgcontext te verliezen