'Blijf contact houden in de regio en let op e-mail en apps'

Interview met Koen van Vugt, huisarts met regionale ICT-portefeuille

Jij hebt alles in orde voor de AVG?

Koen van Vugt: ‘We hebben een convenant opgesteld met de Stichting Regionaal Elektronisch Netwerk West-Brabant (REN) en een advocatenkantoor ingeschakeld met expertise op dit gebied. Maar het kost nog veel moeite om al die kleine zorgondernemers, huisartsen, fysiotherapeuten psychologen, mee te krijgen. Vooral de kosten geven discussie: voor een huisartsenpraktijk zo’n 500 euro. Maar als je het vergelijkt met het bedrag voor je praktijkaccreditatie, valt het wel mee.

Ik kan het echt iedereen aanraden. Het voordeel van ons model is dat je een overeenkomst hebt met alle ketenpartners: zij kunnen er nu van uitgaan dat als je gegevens naar ons stuurt, het in orde is. Je investeert in de samenwerking. Het convenant neemt je veel werk uit handen door de gezamenlijk afspraken met leveranciers. Ons convenant voorziet ook in toetsing, met steekproefsgewijze audits onder de deelnemers. Momenteel proberen wij het overigens nog gemakkelijker te maken door het convenant via de zorggroepen af te sluiten.’

Dus met een convenant ben je klaar?

‘Het was wel een hele onderneming. Denk je eindelijk te begrijpen wat een datalek is en wat niet, blijk je het verkeerd begrepen te hebben volgens de advocaat. Als een HAP iemand ziet en de gegevens naar de verkeerde huisarts stuurt, is dat niet altijd een datalek. Als de huisarts er goed mee omgaat tenminste.

Ik vind dat informatiebeveiliging een integraal onderdeel van de NHG-praktijkaccreditering moet worden [nu optionele module binnen praktijkaccreditatie/red.]. Indien je praktijk niet privacyproof is, moet dat een afwijking zijn in de accreditatie. Zit het al in de praktijkaccreditatie dan heb je geen steekproeven meer nodig: de praktijkaccreditatie is al jaarlijks. Dan zouden we met één toetsing klaar zijn.

‘Maak het tot een vast onderdeel van je praktijkaccreditatie’

Maar een convenant of praktijkaccreditatie is niet genoeg. De uitdaging is naar buiten treden, de contacten met andere partijen goed blijven regelen, en zelf blijven opletten, ook op e-mail en Whatsapp. Als ik patiëntgegevens naar mijn aios app, doe ik dat via Siilo, een veilige versie van Whatsapp. En denk bij de AVG niet alleen aan patiëntgegevens, ook aan bijvoorbeeld salarisadministratiegegevens van je medewerkers.’

Wat vind je van de PraktijkWijzer?

‘De PraktijkWijzer Informatiebeveiliging van het NHG lijkt me een heel praktisch instrument om je praktijk beveiligingstechnisch op orde te brengen. De stappenplannen, daar heb je wat aan om te kijken wat er verkeerd gaat in de praktijk en hoe je dit kunt verbeteren. Maar om het conform de AVG goed te regelen, moet je niet alleen zorgen voor ‘goede afspraken met de leveranciers’, maar ook voor een verwerkersovereenkomst. En je moet een officieel overzicht van alle verwerkingen bijhouden. Ik miste ook informatie over datalekken melden, maar daar bleek al een aparte Handreiking Datalekken voor te bestaan. En ik miste de functionaris voor de gegevensbescherming (FG). Hebben we die nodig in de huisartspraktijk? In solopraktijken niet, maar voor grotere praktijken is dat minder duidelijk. En wat je hierover ook besluit, je moet kunnen aantonen dat je erover hebt nagedacht. Het zou mooi zijn als de Praktijkwijzer ook hieraan aandacht besteedt.’ [Staat in nieuwe bijlage bij PraktijkWijzer/red.]

PraktijkWijzer Informatiebeveiliging & Handreiking Datalekken: nhg.org/themas/publicaties/informatiebeveiliging