De AVG geldt voor iedere organisatie, maar zorgaanbieders hebben te maken met bijzondere persoonsgegevens: gegevens over gezondheid. Daarvoor gelden strengere eisen. Daarnaast is er de norm NEN 7510 voor informatiebeveiliging in de zorg. Dat klinkt als werk voor een grote organisatie met een privacy officer, maar ook een kleine zorgaanbieder kan de basis met een paar praktische stappen op orde brengen.
Toegang
- Iedere medewerker heeft een eigen account; geen gedeelde inlog voor de hele locatie
- Tweestapsverificatie staat aan, in het ECD en in de werkplek
- Medewerkers zien alleen de cliënten en mappen die bij hun werk horen: werk met rollen en rechten
- Accounts van vertrokken medewerkers worden dezelfde dag geblokkeerd
Opslag en versleuteling
- Gegevens staan bij een leverancier in de Europese Unie, met een verwerkersovereenkomst
- Opslag en verbindingen zijn versleuteld (zie bijvoorbeeld de data-encryptie van Dossier360)
- Er staan geen cliëntgegevens op usb-sticks, privélaptops of in een privé-cloud
- Er zijn back-ups, en u heeft getest of terugzetten werkt
Logging
U moet kunnen nagaan wie welke gegevens heeft ingezien of gewijzigd. Een ECD houdt een logboek bij van het dossier; in de werkplek houdt u met het activiteitenoverzicht en het auditlog bij wat er met bestanden gebeurt.
Delen
- Zorggegevens deelt u via het ECD of een beveiligde verbinding, niet via gewone mail
- Bestanden deelt u via een link met wachtwoord en vervaldatum
- Overdracht in de chat gebeurt zonder namen of zorggegevens; dat hoort in het dossier
- Verwanten krijgen alleen toegang tot wat de cliënt goedvindt; zie Verwanten betrekken bij de zorg
Organisatie
- Er is een register van verwerkingen: welke gegevens, waarom, hoe lang
- Er is een procedure voor datalekken, en iedereen weet bij wie hij een incident meldt
- Privacy en informatiebeveiliging komen jaarlijks terug in scholing en teamoverleg
- Beleid en procedures staan op een vaste plek in de werkplek, met versiebeheer
Een certificaat van uw leverancier maakt uw organisatie niet automatisch AVG-proof. De software is de basis; de afspraken maakt u zelf.
