Heldere afspraken voor veilige zorgmail moeten voorjaar 2019 gereed zijn

De NEN, de organisatie die in Nederland het normalisatieproces ondersteunt, gaat een zogeheten veldnorm ontwikkelen voor veilige e-mail in de zorg. Met zo'n norm hebben zorgaanbieders voortaan een aantal concrete afspraken, die aangeven waaraan veilige e-mail systemen voor gebruik in de zorg moeten voldoen. Het traject is een uitwerking van de behoefte aan veilige e-mail die door het Informatieberaad (waarin alle zorgpartijen samenwerken) is geagendeerd.

Het traject start op 10 oktober 2018 met een eerste bijeenkomst en eindigt met de publicatie van de norm in het voorjaar van 2019. NEN ontwikkelde al eerder veldnormen voor ICT-toepassingen in de zorg, zoals de NEN7510. E-mail verkeer is daarin echter niet voldoende concreet beschreven om die norm als handvat te kunnen gebruiken.

Gmail of Hotmail?

De meeste huisartsen of specialisten vermoeden wel dat het niet in orde is om met patiënten te mailen via de gratis e-maildiensten van Google of Microsoft. Dat is overigens niet zo omdat die diensten niet veilig zijn. Ze zijn waarschijnlijk beter en professioneler beveiligd dan een groot aantal specifiek voor de zorg ontwikkelde e-mail diensten. Het probleem is dat je indirect Google of Microsoft toegang geeft tot medische gegevens. Een ander probleem is dat je de identiteit van de ontvanger niet gemakkelijk kunt vaststellen. Google en Microsoft bieden overigens ook betaalde e-mail diensten waarbij ze geen inzage in de gegevens hebben.

Veilige community

Nederlandse diensten als ZorgMail, Zivver en KPN Zorg Messenger beloven de gebruikers ervan dat ze niet meekijken in de e-mails. Bovendien ontlenen ze een deel van hun waarde aan het feit dat ze een besloten omgeving vormen. Op deze diensten aangesloten zorgaanbieders krijgen de garantie dat een collega die via deze omgeving bereikbaar is voldoet aan bepaalde minimale criteria, bijvoorbeeld dat de identiteit ervan op een of andere manier is vastgesteld. Dat systeem werkt op zich goed, maar het wordt lastiger wanneer een arts wil communiceren met een collega buiten dit systeem of met een patiënt (die slechts een eigen e-mail account heeft).

Ook medische data steeds vaker in cloud (foto Google)

KPN, ZorgMail en ook ZIVVER lossen dit probleem deels op door gebruikers buiten hun systeem gasttoegang te geven via een beveiligde cloudverbinding. Zo kunnen ze via een beveiligde webmail omgeving communiceren met hun arts of verpleegkundige. De patiënt krijgt bijvoorbeeld in zijn of haar ‘gewone’ e-mail een link toegestuurd naar het beveiligde bericht en kan die vervolgens openen. Soms wordt in een apart mail nog een extra wachtwoord of een code toegestuurd. Bij ZIVVER kunnen patiënten en cliënten ook zelf een gratis account aanmaken voor hogere gebruiksvriendelijkheid.

Behoefte aan norm

Koepelorganisaties van zorgaanbieders hebben in de afgelopen jaren getracht orde te scheppen in de veelheid van richtlijnen, wetten, regels en handreikingen over veilige communicatie in de zorg. Ze liepen echter tegen het probleem op er geen specifieke norm is waarin alle technische en juridische eisen voor veilig e-mail helder worden beschreven. Dit probleem werd in het Informatieberaad begin dit jaar met een hoge prioriteit op de agenda met actiepunten geplaatst.  De beoogde veldnorm beschrijft "in techniek neutrale termen de eisen waaraan e-mail, met daarin patiëntgegevens, zou moeten voldoen om veilig te zijn."

NEN-normen zijn inmiddels dwingende richtlijn waaraan zorgaanbieders moeten voldoen.

Het gaat daarbij volgens de NEN om bijvoorbeeld de mate van beschikbaarheid, integriteit en vertrouwelijkheid van e-mail, maar ook om gebruiksvriendelijkheid. Dit laatste is een belangrijk uitgangspunt om er voor te zorgen dat oplossingen voor veilige mail ook daadwerkelijk gebruikt gaan worden.

Belangstelling om mee te praten?

De Algemene Verordening Gegevensbescherming maakt eisen ten aanzien van privacybescherming volgens de NEN nog belangrijker. Conventionele e-mail, zonder ‘passende technische en organisatorische maatregelen’, voldoet in ieder geval niet niet aan de eisen, stelt de NEN.

Voor meer inhoudelijke informatie over het traject of als u zich wil aanmelden voor de startbijeenkomst op 10 oktober, kunt u contact opnemen met Kars Jansen, of Shirin Golyardi, consultants Zorg & Welzijn, telefoon 015 2 690 318 of e-mail zw@nen.nl.