Inspectie: huisartsenspoedposten hebben databeveiliging niet op orde
De databeveiliging bij tientallen huisartenspoedposten in Nederland voldoet niet aan de wettelijke norm, zo blijkt uit onderzoek van de Inspectie Gezondheidszorg en Jeugd (IGJ).
De Nederlandse norm voor informatiebeveiliging stelt eisen aan het softwaresysteem van zorgaanbieders, zoals wie toegang krijgt tot gevoelige patiëntgegevens en hoe risico’s, zoals diefstal of verlies van patiëntgegevens, beperkt kunnen worden.
De inspectie deed in 2024 en 2025 onderzoek naar de in totaal 49 organisaties die in Nederland huisartsenspoedzorg bieden; 43 daarvan voldoen niet aan de norm.
De 49 organisaties hebben alle huisartsenspoedposten in Nederland in handen; dat zijn er ruim honderd. Bij een spoedpost kunnen patiënten buiten de praktijkuren van hun eigen huisarts terecht. In 2024 bezochten zo’n 2,6 miljoen Nederlanders ten minste een keer een huisartsenspoedpost.
Wettelijk verplicht
Een huisartsenspoedpost krijgt via het ziekenhuis, de apotheek of de huisarts digitaal informatie van een patiënt, zoals medicatiegebruik en medische voorgeschiedenis.
Zorgaanbieders zijn wettelijk verplicht om hun databeveiliging onafhankelijk te laten toetsen. Zes organisaties konden met een certificaat direct aantonen dat zij dat hebben gedaan.
“Het belang van goede informatiebeveiliging in de zorg is groot”, schrijftde inspectie. “Iedereen in Nederland moet kunnen vertrouwen dat zijn/haar gegevens veilig zijn.” De inspectie ziet wel meer bewustzijn bij de top van de organisaties over het belang van beveiliging, en dat het thema wel degelijk speelt.
De organisaties die ondermaats scoorden moeten hun databeveiliging opschroeven door maatregelen te nemen. De inspectie volgt de voortgang.
Bevolkingsonderzoek
In augustus werd het laboratorium Clinical Diagnostics in Rijswijk doelwit van hackersgroep Nova. Daarbij werden de gegevens van 850.000 mensen gestolen, waarvan het grootste deel afkomstig van Bevolkingsonderzoek Nederland. De rest van de dataset kwam van huisartsen en behandelcentra.
De Autoriteit Persoonsgegevens (AP) is een onderzoek gestart naar Clinical Diagnostics in verband met het datalek. Er wordt onderzocht of het laboratorium de Algemene Verordening Gegevensbescherming (AVG) heeft geschonden, met name omdat het meer dan een maand wachtte voordat het betrokken organisaties en gedupeerden informeerde.
