MKB Juristen stelt juridische documenten op maat op
Het beste is om belangrijke contracten, algemene voorwaarden en andere juridische documenten niet zelf te knutselen of te kopiëren. Wij helpen ondernemers budgetvriendelijk met juridisch maatwerk, vooraf duidelijke kosten en praktische uitleg.
- Contracten, voorwaarden en juridische documenten op maat
- Budgetvriendelijk en vooraf duidelijk over de kosten
- Gratis adviesgesprek of vrijblijvend een offerte aanvragen
Datalekken komen in de zorg- en welzijnssector vaker voor dan in vrijwel elke andere branche, en dat brengt concrete juridische verplichtingen met zich mee. Ben je als zorgaanbieder, praktijk of zorggerelateerd bedrijf actief, dan moet je ieder datalek beoordelen, intern registreren en in veel gevallen binnen 72 uur melden bij de Autoriteit Persoonsgegevens (AP). Wie dat niet op orde heeft, riskeert niet alleen reputatieschade, maar ook een onderzoek en mogelijke sancties. Op deze pagina leggen we uit waarom de zorgsector zo kwetsbaar is, wat een datalek precies is, welke verplichtingen je hebt en welke stappen je nu kunt zetten.
Waarom de zorgsector koploper is in datalekken
De Autoriteit Persoonsgegevens publiceert jaarlijks cijfers over gemelde datalekken. Al jaren is de gezondheids- en welzijnssector daarin koploper: in 2024 kwamen volgens de AP enkele duizenden meldingen uit deze sector, meer dan uit welke andere branche ook. De financiële sector volgt op afstand.
Dat heeft een logische verklaring. In de zorg wordt veel gewerkt met bijzondere persoonsgegevens: medische gegevens, het burgerservicenummer (BSN), NAW-gegevens en behandelinformatie. Die gegevens genieten extra bescherming onder de Algemene verordening gegevensbescherming (AVG), juist omdat misbruik grote gevolgen kan hebben voor de betrokkene. Bovendien gaan in de zorg veel mensen, systemen en papieren dossiers door elkaar heen, waardoor de kans op fouten groter is.
Wat is een datalek precies?
Een datalek is een inbreuk op de beveiliging die leidt tot toegang tot, vernietiging, verlies, wijziging of het vrijkomen van persoonsgegevens, zonder dat dit de bedoeling was. Het gaat dus niet alleen om hacks. Ook deze situaties zijn datalekken:
- Een brief of e-mail met patiëntgegevens die naar de verkeerde ontvanger gaat;
- Een kwijtgeraakte of gestolen laptop, telefoon of usb-stick met persoonsgegevens;
- Een verloren papieren dossier;
- Een collega die zonder noodzaak in een dossier kijkt;
- Een besmetting met ransomware of malware waarbij gegevens worden versleuteld of gekopieerd.
Uit de cijfers van de AP blijkt dat veruit de meeste datalekken worden veroorzaakt door menselijke fouten, zoals verkeerd verstuurde post of e-mail. Daarnaast neemt het aantal datalekken door cyberaanvallen en datadiefstal toe. Een opvallende, recentere ontwikkeling is dat persoonsgegevens lekken doordat medewerkers gegevens invoeren in AI-chatbots, vaak uit tijdsdruk of gemak.
AVG en de meldplicht datalekken: wat moet je doen?
De meldplicht datalekken bestaat in Nederland al sinds 1 januari 2016 en is met de komst van de AVG op 25 mei 2018 verder aangescherpt. De kern: lekt er per ongeluk een laptop uit of gaat er een e-mail met patiëntgegevens de deur uit naar de verkeerde persoon, dan moet je dat beoordelen en vastleggen.
De hoofdregels op een rij:
- Registreren. Elk datalek moet je intern documenteren, ook als je het uiteindelijk niet bij de AP meldt. De AP kan dit register opvragen.
- Melden bij de AP. Levert het datalek een risico op voor de rechten en vrijheden van de betrokkenen, dan meld je het in beginsel binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens.
- Betrokkenen informeren. Is er sprake van een hoog risico voor de betrokkenen, dan moet je hen ook zelf informeren, bijvoorbeeld patiënten of cliënten.
Of een melding nodig is, hangt af van de aard van de gegevens en het risico. Bij medische gegevens is dat risico al snel aanwezig. Bij twijfel is het verstandig om je beoordeling juridisch te laten toetsen, zodat je achteraf kunt onderbouwen waarom je wel of niet hebt gemeld.
Wat zijn de gevolgen van een datalek?
Een melding van een datalek leidt niet automatisch tot een sanctie. De AP geeft regelmatig eerst een waarschuwing of stuurt aan op verbetering. Toch is een datalek geen vrijblijvende formaliteit.
De belangrijkste risico’s:
- Onderzoek door de AP. Een melding kan het startpunt zijn van een breder onderzoek, waarbij ook andere tekortkomingen aan het licht komen, zoals een ontbrekend verwerkingsregister of een verwerkersovereenkomst die niet op orde is.
- Boetes en sancties. De AVG geeft de AP ruime bevoegdheden om handhavend op te treden, oplopend tot forse boetes. Zo kreeg taxidienst Uber in een eerdere zaak een boete van 600.000 euro omdat een datalek te laat was gemeld. De maximale AVG-boetes liggen aanzienlijk hoger.
- Reputatie- en vertrouwensschade. Juist in de zorg, waar vertrouwen centraal staat, kan een datalek het vertrouwen van patiënten en cliënten ernstig schaden.
Wat kun je als zorgbedrijf doen om datalekken te voorkomen?
Als zorgaanbieder draag je een bijzondere verantwoordelijkheid om zorgvuldig met persoonsgegevens om te gaan. Preventie heeft daarbij twee kanten: techniek en juridiek.
Technische en organisatorische maatregelen
- Versleutel gegevens op laptops, telefoons en usb-sticks (encryptie);
- Beperk de toegang tot dossiers tot wie ze echt nodig heeft;
- Train medewerkers in veilig omgaan met persoonsgegevens, phishing en AI-tools;
- Houd software en beveiliging up-to-date tegen malware en ransomware;
- Maak duidelijke afspraken over het gebruik van AI-chatbots in de praktijk.
Een incident response plan
Zorg daarnaast voor een incident response plan: een draaiboek waarin staat welke stappen je bij een datalek doorloopt en wie welke actie onderneemt. Zo kun je snel handelen, voorkom je dat je de meldtermijn van 72 uur mist en laat je later aan de AP zien dat je gestructureerd hebt gereageerd.
De juridische basis op orde
Veel onderzoeken van de AP raken niet alleen het datalek zelf, maar ook de onderliggende documentatie. Zorg daarom dat de volgende stukken aanwezig en actueel zijn:
- Een verwerkingsregister waarin staat welke persoonsgegevens je voor welk doel verwerkt;
- Een verwerkersovereenkomst met partijen die namens jou gegevens verwerken, zoals een softwareleverancier of administratiekantoor;
- Een helder privacy statement waarin je patiënten en cliënten informeert over de verwerking van hun gegevens.
Veelgestelde vragen over datalekken in de zorg
Binnen hoeveel tijd moet ik een datalek melden?
Als een datalek een risico oplevert voor de betrokkenen, meld je dit in beginsel binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens. Lukt het niet om binnen die termijn alle informatie te verzamelen, dan kun je later aanvullen, maar de eerste melding doe je tijdig.
Moet ik elk datalek melden bij de Autoriteit Persoonsgegevens?
Nee. Je hoeft alleen te melden als het datalek een risico voor de rechten en vrijheden van betrokkenen oplevert. Wel moet je elk datalek intern registreren, ook de datalekken die je niet meldt. Bij medische gegevens is het risico vaak aanwezig, dus laat je beoordeling bij twijfel toetsen.
Moet ik mijn patiënten of cliënten informeren bij een datalek?
Als het datalek waarschijnlijk een hoog risico voor de betrokkenen oplevert, moet je hen ook zelf informeren. In de zorg, waar het vaak om gevoelige medische gegevens gaat, is dat regelmatig het geval.
Kan ik een boete krijgen voor een datalek?
Een datalek leidt niet automatisch tot een boete. Wel kan de AP optreden, zeker als blijkt dat je verplichtingen niet op orde had of te laat meldde. De boetes onder de AVG kunnen fors oplopen.
Wat is het verschil tussen een datalek registreren en melden?
Registreren betekent dat je elk datalek intern vastlegt in een overzicht dat de AP kan opvragen. Melden betekent dat je het datalek doorgeeft aan de AP, en dat hoeft alleen bij een risico voor de betrokkenen. Registreren doe je dus altijd, melden niet.
Hulp nodig bij privacy en datalekken?
Wil je niet alleen technisch, maar ook juridisch goed zijn voorbereid op datalekken? Wij helpen je graag. Of je nu je privacy en gegevensbescherming wilt laten doorlichten, je documentatie op orde wilt brengen of vragen hebt over een concreet datalek: onze juristen denken met je mee in begrijpelijke taal.
Loop je tegen een acuut probleem aan of wil je advies op maat? Bekijk dan onze mogelijkheden voor rechtshulp of plan direct een intake in. Zo zorg je dat je organisatie juridisch goed beschermd is, voordat het misgaat.
