Hoe we met cliëntgegevens omgaan

Het Besluit elektronische gegevensverwerking door zorgaanbieders verwijst sinds 2018 naar drie normen: NEN 7510 voor informatiebeveiliging, NEN 7512 voor uitwisseling met andere zorgsystemen en NEN 7513 voor het vastleggen van wie er in een dossier heeft gekeken. Die verplichting ligt bij de zorgaanbieder. Bij jou dus, niet bij ons.

Dat klinkt als slecht nieuws en is het deels ook. Twee dingen verzachten het. Certificering is niet verplicht: de wet vraagt dat je aantoonbaar volgens de norm werkt, niet dat je een certificaat aan de muur hebt. Daar komt bij dat het zwaarste onderdeel — vastleggen wie wanneer in een dossier keek, op een manier die achteraf niet te veranderen is — alleen door je software geleverd kan worden. Dat is precies waar wij aan zet zijn.

Per onderdeel van de norm en wat er in de praktijk gebeurt. De nummers verwijzen naar de beheersmaatregelen uit NEN 7510-2.

Niemand komt binnen op een wachtwoord alleen (9.4.2)

Tweestapsverificatie is verplicht voor toegang tot cliëntgegevens. Zonder tweede stap kom je niet verder dan de instellingen van je eigen account. Het realistischste lek in de zorg is geen hacker maar een wachtwoord uit een oud datalek dat iemand hergebruikte.

Je ziet uitsluitend je eigen cliënten (9.4.1)

Die scheiding zit in de database, niet in het scherm. Een fout in de applicatie is dus niet genoeg om bij het dossier van een andere praktijk te komen. Bij elke wijziging aan het platform draait er een losse toets die dit opnieuw controleert.

Elke inzage laat een spoor na (12.4, NEN 7513)

Openen van een dossier, bekijken van een uitslag, downloaden van een document en ook een poging bij een dossier dat niet van jou is. Alles met naam, datum en tijd.

Het logboek is achteraf niet te wijzigen (12.4.2)

De database weigert elke poging een logregel aan te passen of te wissen — ook van ons. Een logboek dat je kunt aanpassen bewijst tenslotte niets.

Een dossier blijft niet openstaan (11.2.8)

Gebeurt er een half uur niets, dan sluit het platform je sessie. Twee minuten van tevoren verschijnt een waarschuwing, zodat je nooit midden in een notitie wordt afgemeld.

Versleuteld, in de EU (10.1, 13.1)

Opslag versleuteld in Frankfurt, verbindingen over afgedwongen HTTPS. Uitslagen gaan naar je cliënt via een persoonlijke link die afloopt en nooit als bijlage in een e-mail.

Dit is het punt waarop platforms het meest van elkaar verschillen en waar je in een gebruikersovereenkomst naar moet zoeken. Veel leveranciers leggen vast dat hun systeembeheerders volledige toegang hebben tot alle gegevens, voor updates en ondersteuning.

Bij ons kan dat niet. De beheerder van het platform ziet praktijken, abonnementen en aantallen — geen dossiers, geen namen van cliënten, geen uitslagen. Die grens staat in de database zelf, dus ook met volledige beheerrechten komt er geen dossier in beeld.

Daarom lossen we een probleem met je account op door je een herstelmail te sturen en nooit door zelf een wachtwoord te zetten. Wie een wachtwoord kan zetten, kan inloggen als jou en dus bij je cliënten.

NEN 7513 gaat uit van een cliënt die kan opvragen wie er in zijn dossier is geweest. Bij ons hoeft hij daarvoor niets te vragen: in zijn eigen omgeving staat het er gewoon, samengevat per persoon per dag.

Die samenvatting is een bewuste keuze. Een consult waarin je heen en weer klikt tussen overzicht, metingen en documenten is één keer kijken, geen zes. Zestien losse regels op één dag maken het overzicht onleesbaar en leveren je een telefoontje op over iets wat gewoon een afspraak was.

Zelf zie je hetzelfde terug op het tabblad Dossier, per cliënt, met wie het was en wanneer.

Vier partijen raken gegevens die met je praktijk te maken hebben, elk onder een verwerkersovereenkomst:

• Supabase — database, inloggen en bestandsopslag. Versleuteld in Frankfurt.
• Vercel — de applicatie zelf.
• Resend — de e-mail die het platform verstuurt: uitnodigingen en links naar profielen. De uitslag zelf zit nooit in de mail.
• Mollie en AFAS — je abonnement en de facturatie. Beide komen niet bij cliëntgegevens.

Verandert die lijst, dan krijg je daar vooraf bericht over en kun je bezwaar maken. De actuele lijst staat altijd in de verwerkersovereenkomst.

Bij een inbreuk die jouw cliëntgegevens raakt, hoor je het binnen 48 uur na ontdekking — met wat er bekend is over aard, omvang en wat we eraan hebben gedaan. Dat is korter dan de 72 uur die jij hebt om te melden bij de Autoriteit Persoonsgegevens, zodat er tijd overblijft om te beslissen.

Zit het lek bij een van onze leveranciers, dan melden we dat ook. Wij zijn dan je aanspreekpunt; je hoeft zelf niemand te bellen.

Andersom geldt: twijfel je of iets bij jou een datalek is, meld het ons. Liever tien meldingen die niets bleken dan één termijn die verloopt. Een melding die achteraf onnodig was, rekenen we je nooit aan.

Geen platform maakt een praktijk compleet veilig. Dit blijft van jou en een auditor vraagt er net zo hard naar:

• Je eigen werkplek. Schijfversleuteling aan, scherm op slot als je wegloopt en geen dossier open in een ruimte waar iemand kan meekijken.
• Je inloggegevens. Eén account per persoon, nooit delen, ook niet met een collega of assistent. Werkt er iemand anders in je praktijk, dan krijgt die een eigen account. Anders staat er straks iets in een dossier op jouw naam wat jij niet hebt gedaan.
• De grondslag voor de gegevens. Jij bepaalt welke cliënten je uitnodigt en of daar toestemming voor is. Wij verwerken uitsluitend in jouw opdracht.
• Je cliënt informeren dat je dit platform gebruikt en waarvoor.
• Je dossierplicht. De WGBO schrijft twintig jaar voor. Het platform verwijdert uit zichzelf nooit een dossier.

Vivamentis Praktijk is niet NEN 7510-gecertificeerd. Een certificaat komt van een geaccrediteerde instelling na een audit ter plaatse en dat traject loopt nog.

Wat er wél ligt: een vastgesteld informatiebeveiligingsbeleid, een risicoanalyse met een risicoregister, een Verklaring van Toepasselijkheid, een incidentprocedure met een register, een verwerkingsregister en een jaarlijkse ronde waarin dat allemaal opnieuw wordt nagelopen. Dat is wat de wet van een zorgaanbieder vraagt: aantoonbaar volgens de norm werken.

Op een paar punten zijn we nog niet waar we willen zijn. Er is nog geen externe penetratietest geweest en de strengste variant van onze beveiligingspolicy voor de browser draait nog in meekijkstand in plaats van afgedwongen. Beide staan met een datum in ons eigen verbeterregister.

Dit staat hier omdat je er anders achter komt op het verkeerde moment. Vraag je het ons, dan krijg je hetzelfde antwoord — en mail je daniel@vivamentis.nl, dan sturen we het beleid en de Verklaring van Toepasselijkheid gewoon toe.