Dossier

Casus

Ik heb snel advies van een collega nodig over een patiënt met een kniebreuk. Mag ik hem via WhatsApp een foto van de knie sturen, met daarbij enkele gegevens uit het medisch dossier van deze patiënt?

Advies 

Gebruik WhatsApp alleen als de gegevens echt niet tot een patiënt herleidbaar zijn. In andere gevallen is het verstandiger om andere communicatiemiddelen te gebruiken. Denk daarbij bijvoorbeeld aan messenger-apps die speciaal voor zorgprofessionals zijn ontwikkeld, zoals Siilo en Zorg Messenger.

Toelichting

Foto’s en andere gegevens van patiënten vallen onder het medisch beroepsgeheim. Daarom moeten artsen bij het versturen hiervan de vertrouwelijkheid kunnen waarborgen. Dit is een onderdeel van de wettelijke verplichting en verantwoordelijkheid om patiëntgegevens effectief te beveiligen tegen kennisneming door onbevoegden¹.

Veiligheid en anonimiteit
Wilt u voor het versturen van foto’s en gegevens van patiënten een berichtendienst gebruiken, zoals WhatsApp? Dan is dat niet verboden. Maar de vraag is of het wel veilig en vertrouwelijk is. Bij WhatsApp valt dat niet te garanderen. Het advies is dan ook om allereerst te onderzoeken hoe veilig de berichtendienst is.

Wilt u toch WhatsApp gebruiken om een collega-arts te consulteren, dan mag dat alleen voor gegevens die niet herleidbaar zijn tot een identificeerbare patiënt. Dat geldt ook voor foto’s. Het kan echter lastig zijn om een foto volledig te anonimiseren. Door de context kan een foto toch herleidbaar zijn. Daarnaast kunnen foto’s voorzien zijn van metadata waaruit blijkt op welke locatie en op welk tijdstip de foto is gemaakt. Dit kan gaan tot aan het IP-adres van bijvoorbeeld de zorginstelling. Dergelijke foto’s zijn daarom niet zo anoniem als men zou denken.

Bovendien worden foto’s die via WhatsApp binnenkomen, vaak automatisch op de smartphone en/of in de ‘cloud’ opgeslagen. Daardoor bestaat een risico op vermenging met privé-fotoverzamelingen.

Alleen als de informatie voor de ontvanger niet herleidbaar is tot een identificeerbare patiënt, is de privacy niet in het geding en kunt u WhatsApp gebruiken. Maar zorgvuldig handelen blijft hierbij noodzakelijk.

Alternatieven
Twijfelt u over de vertrouwelijkheid van de gegevensuitwisseling en over de herleidbaarheid van de gegevens? Kies dan de veilige weg en gebruik andere communicatiemiddelen. Zo zijn er messenger-apps die speciaal voor zorgprofessionals zijn ontwikkeld, zoals Siilo en Zorg Messenger. Ook kunt u kiezen voor beveiligde e-mail, zoals Zivver of ZorgMail.

Taak van de zorginstelling
Veilig elektronisch communiceren is niet alleen een zaak van artsen. Zorginstellingen en zorgpraktijken zijn verplicht om hun medewerkers te wijzen op het belang van een veilige (elektronische) uitwisseling van patiëntgegevens. Zij dragen bovendien de verantwoordelijkheid voor een goede informatiebeveiliging binnen de eigen organisatie in het algemeen.

Meer informatie

• KNMG-handreiking Artsen en social media

• KNMG-richtlijn Omgaan met medische gegevens

¹ Artikel 32 AVG.

Casus

Een medewerker van een gemeentelijk sociaal team vraagt mij als arts om medische gegevens over een patiënt per e-mail naar hem te versturen. Ik krijg wel vaker, ook van andere instanties, verzoeken om gegevens over mijn patiënten te mailen. Mag dat wel volgens de privacywet AVG?

Advies

U mag alleen medische gegevens per e-mail versturen als dat op een beveiligde wijze gebeurt. Dit kan bijvoorbeeld door het document met de medische gegevens te versleutelen en het wachtwoord via een ander medium, zoals sms, te versturen. Ook kunt u gebruikmaken van beveiligde e-mailtoepassingen zoals Zorgmail, of van een online portaal waarbij toegang via meerdere stappen plaatsvindt (multifactor-authenticatie). Daarnaast moet u, voordat u de medische gegevens per e-mail naar een ander verzendt, controleren of deze persoon de gegevens mag ontvangen.

Toelichting

Er bestaat geen wettelijke bepaling voor het uitwisselen van medische gegevens per e-mail, ook niet in de Algemene verordening gegevensbescherming (AVG). Uit de algemeen geformuleerde regels over de omgang met medische gegevens volgt dat een hulpverlener medische gegevens die tot patiënten herleidbaar zijn, alleen per e-mail mag versturen als deze voldoende beveiligd zijn.

 Voordat u de medische gegevens per e-mail naar een ander verzendt, moet eerst vaststaan dat de ontvanger deze gegevens mag ontvangen. Vanwege het beroepsgeheim mag u als arts immers niet zomaar  medische gegevens aan derden verstrekken. Lees hier meer over in de KNMG-richtlijn Omgaan met medische gegevens.

Als u heeft vastgesteld dat u de medische gegevens aan de betreffende persoon mag verstrekken, is de volgende stap om te bekijken of dat via e-mail kan. Bij verzending via e-mail bestaat het risico dat de gegevens bij onbevoegden terechtkomen. Gebruikt u bijvoorbeeld Gmail, dan heeft Google toegang  tot de vertrouwelijke patiëntinformatie in uw e-mailberichten. Ook kan medisch-inhoudelijke informatie worden afgeleid uit het feit dat er vanuit of naar een bepaald e-mailadres is gecommuniceerd (denk aan psychiater@psychiater.nl).

U moet daarom vooraf een risico-inschatting maken. Daarbij verdient het de voorkeur om de gegevens versleuteld te versturen. Om veilig te kunnen e-mailen zijn systemen beschikbaar zoals Zivver en ZorgMail.

Tips bij het gebruik van e-mail

Het is niet zo dat patiëntgegevens nooit per e-mail mogen worden verstrekt. Wel adviseren wij om daarbij de volgende tips in het oog te houden (in navolging van de AVG Helpdesk Zorg en Welzijn):

1. Vergroot bij uzelf en uw collega’s/medewerkers het bewustzijn van de risico’s van e-mail en de regels voor een veilig gebruik daarvan. Belangrijke regels zijn:

• Beperk zo veel mogelijk het gebruik van gevoelige persoonsgegevens in de tekst van de mail zelf.

• Stuur geen bijlagen mee waar gevoelige persoonsgegevens in  staan.

• Dubbelcheck altijd de geadresseerde voordat u op ‘verzenden’ klikt.

• Vraag de ontvanger om een bevestiging van ontvangst. Dan ontdekt u het sneller als het onverhoopt toch is misgegaan.

• Maak duidelijke afspraken over wat te doen bij malware of phishing.

• Als er een collega weggaat uit uw praktijk, hef diens e-mailadres dan op.

• Als een collega tijdelijk uw praktijk komt versterken, regel dan goed welke autorisaties hij krijgt.

2. Gebruik alleen gewone e-mail als er  in uw mail (of de bijlage) geen vertrouwelijke persoonsgegevens staan, zoals patiëntgegevens. Gebruik anders beveiligde e-mail.

3.  Wilt u informatie uitwisselen binnen uw eigen instelling?

• Zet in uw mail dan een link naar het bestand in plaats van het bestand zelf mee te sturen.

4.  Wilt u informatie uitwisselen met andere partijen (zoals andere zorginstellingen, leveranciers, gemeenten)? Volg dan deze tips:

• Stuur geen onbeveiligde bijlagen mee, maar versleutel het bestand dat u meestuurt. Dat kan eenvoudig via 7-Zip. Verstuur daarna het wachtwoord van het bestand via een ander medium, zoals sms of WhatsApp.

• Informeer bij andere instellingen of zij al gebruikmaken van beveiligde mailverbindingen en sluit waar mogelijk aan. Gebruik bijvoorbeeld Zorgmail, Voltage of Zivver.

• Gebruik een online portaal dat met multifactor-authenticatie is ingericht. Dit houdt in dat u alleen toegang krijgt met uw naam en wachtwoord  plus een derde kenmerk, bijvoorbeeld een token of een sms-code (zoals bij online bankieren).

5. Wilt u informatie uitwisselen met cliënten of patiënten? Dan moet u zich houden aan de norm van de Autoriteit Persoonsgegevens voor het e-mailverkeer tussen arts en patiënt. Op grond daarvan mag u alleen met uw patiënt mailen als u ervoor heeft gezorgd dat:

• de persoonsgegevens in bijlagen bij uw e-mailberichten versleuteld zijn;

• het e-mailverkeer tussen mailservers versleuteld is met één of meer moderne internetstandaard(en). Voorbeelden daarvan zijn DANE, DKIM, PGP, S/MIME, SPF en STARTTLS. Ook kunt u kiezen voor beveiligde mailprogramma’s zoals Voltage of Zivver.

6. Wil de patiënt u mailen met gevoelige gegevens in een bijlage?

• Attendeer de patiënt dan op de mogelijkheid om een dergelijk document te versleutelen (via 7-Zip). En vraag hem om het wachtwoord  van het document via een ander medium, zoals sms of WhatsApp, aan u te versturen.

Meer informatie

• KNMG-richtlijn Omgaan met medische gegevens

• AVG-Helpdesk voor Zorg, Welzijn en Sport: Email: om bijzondere/gevoelige persoonsgegevens te delen

• Autoriteit Persoonsgegevens: Hoe kan ik veilig persoonsgegevens via e-mail versturen?