Privacy in de zorg stopt niet tijdens zwangerschapsverlof

In een ziekenhuis draait alles om vertrouwen. Patiënten vertrouwen erop dat artsen de juiste zorg leveren, maar ook dat hun medische gegevens veilig zijn. Dat klinkt vanzelfsprekend, maar achter de schermen vraagt dat om voortdurende aandacht, zeker binnen een organisatie van de omvang van Zuyderland.

Met een verzorgingsgebied van zo'n 600.000 inwoners en jaarlijks bijna één miljoen polikliniekbezoeken verwerkt Zuyderland dagelijks enorme hoeveelheden gevoelige informatie. Privacy en gegevensbescherming zijn daardoor geen ondersteunende thema's, maar een essentieel onderdeel van goede zorg.

Capaciteitsuitdaging

Toen binnen het privacyteam tijdelijk capaciteit wegviel, ontstond de behoefte aan extra ondersteuning. Wat begon als een praktische oplossing groeide uit tot een samenwerking die de organisatie hielp om op meerdere privacythema's te stappen te maken.

"Primair hadden we gewoon vervanging nodig", vertelt Michel Gulpen, Chief Information Security Officer bij Zuyderland. "Een collega was tijdelijk niet aanwezig en die werkzaamheden moesten worden opgevangen. Dat was de directe aanleiding." Via een bestaande relatie kwam Zuyderland in contact met ICTRecht. Tijdens de eerste gesprekken bleek al snel dat er meer mogelijk was dan alleen tijdelijke ondersteuning. "Je merkt vrij snel of iemand begrijpt waar je als organisatie tegenaan loopt. We hadden meteen goede gesprekken over de uitdagingen die er lagen en over kansen om zaken verder te professionaliseren."

ICTRecht ondersteunde het privacyteam uiteindelijk met twee specialisten, verdeeld over 16 uur per week. Daarbij werd zowel op locatie als op afstand gewerkt. Voor Zuyderland maakte die combinatie weinig verschil. "Ik stuur vooral op resultaat. Of iemand naast mij zit of vanuit huis werkt, maakt mij minder uit. Zolang afspraken worden nagekomen en het werk goed gebeurt. Dat heeft ICTRecht zeker waargemaakt."

Versnellen waar dat nodig is

De eerste focus lag op het actualiseren van het verwerkingsregister. Een belangrijk fundament voor iedere organisatie die persoonsgegevens verwerkt. Door de inzet van extra capaciteit ontstond er echter ruimte om ook andere onderwerpen op te pakken. "We hadden de afgelopen jaren onze privacyorganisatie verder uitgebreid. Daardoor kwamen er ook onderwerpen naar voren die aandacht verdienden, maar waarvoor simpelweg niet altijd voldoende tijd beschikbaar was."

Denk aan het actualiseren van beleidsdocumentatie, het beantwoorden van privacyvraagstukken vanuit de organisatie en het voorbereiden van toekomstige ontwikkelingen. "Je merkt dat je door extra kennis en capaciteit ineens meer voortgang kunt boeken. Zaken die verderop in de planning stonden, kun je dan eerder oppakken."

Aan het einde van de opdracht werd bovendien een eerste aanzet gemaakt voor een ISO 27701 control framework. Een belangrijke stap richting verdere professionalisering van privacyprocessen binnen de organisatie.

Privacy raakt iedere afdeling

Volgens Michel zit de grootste uitdaging niet in één specifiek project. "Privacy komt overal terug. Soms gaat het om patiëntgegevens die gedeeld moeten worden. Soms over een nieuw product dat wordt aangeschaft. Soms over processen waarvan je wilt weten of de privacybelangen voldoende zijn geborgd." Dat maakt het werk afwisselend, maar ook complex. "Eigenlijk zit alles tussen die twee uitersten in. Je bent continu bezig met het beoordelen of gegevens op de juiste manier worden verwerkt en of risico's voldoende zijn afgedekt." Voor een relatief jonge privacyorganisatie is het dan prettig om te kunnen sparren met ervaren specialisten.

Privacy als onderdeel van goede zorg

Waar privacy soms wordt gezien als een juridische verplichting, kijkt Zuyderland daar anders naar.

"Ik zie het als onderdeel van onze zorgverplichting. Mensen moeten erop kunnen vertrouwen dat hun gegevens bij ons veilig zijn." Dat vertrouwen is volgens hem niet vrijblijvend. "We werken met medische gegevens. Dat zijn misschien wel de meest gevoelige persoonsgegevens die er bestaan. Je wilt simpelweg niet dat die informatie op straat komt te liggen."

Incidenten bij organisaties en leveranciers laten zien hoe groot de impact van datalekken kan zijn. "Garanties bestaan niet. Dat zou niet eerlijk zijn om te zeggen. Maar je kunt wel alles doen wat redelijkerwijs mogelijk is om risico's te beperken." Juist daarom blijft privacy een continu proces.

"We zijn op een gezonde manier in controle, maar we zijn nooit klaar. Binnen een organisatie als de onze gebeurt voortdurend iets nieuws. Er komen nieuwe systemen, nieuwe processen, nieuwe wetgeving. Je moet blijven ontwikkelen."

Continuïteit met daarbij ook verbetering

Inmiddels is de collega weer teruggekeerd en heeft de overdracht plaatsgevonden. Toch kijkt Zuyderland terug op meer dan alleen een tijdelijke oplossing.

"De privacyorganisatie is blijven draaien zoals we wilden. Tegelijkertijd hebben we verbeteringen kunnen realiseren die anders waarschijnlijk langer zouden zijn blijven liggen. Dat maakt deze samenwerking voor mij geslaagd. We zijn ontzorgd op het moment dat dat nodig was. Tegelijkertijd hebben we stappen gezet die ons helpen om ook in de toekomst grip te houden op privacy en gegevensbescherming. Dat is precies wat je wilt bereiken."

Onze ervaring

Tom Beumers, werkzaam op locatie Maastricht van ICTRecht, vertelt: "Wat deze opdracht voor mij bijzonder maakte, was de regionale verbondenheid. Zuyderland is een organisatie die veel mensen in Limburg kennen. Juist daardoor voelt je werk extra tastbaar. Je weet dat de processen en verbeteringen waar je aan werkt direct bijdragen aan een organisatie die een belangrijke rol speelt in de zorg voor de regio.

Daarnaast vond ik het mooi om te zien hoe serieus privacy binnen Zuyderland wordt genomen. We kwamen binnen vanwege een tijdelijke vervanging, maar zagen tegelijkertijd een organisatie die actief werkt aan verdere professionalisering. Dan ben je niet alleen werkzaamheden aan het uitvoeren, maar bouw je samen aan een stevigere privacyorganisatie."