Medische gegevens patiënten buitgemaakt bij hack van Goudse huisartsen

Wat een nachtmerrie, je medische dossier ligt daar met alles erop en eraan. Ik hoorde van een klant dat ze na zo’n lek meteen haar wachtwoorden en DigiD wilde veranderen, maar ja, je kunt moeilijk je hele medische geschiedenis even vervangen hè… doodeng dit.

Het wrange is dat patiënten nu zelf moeten opletten voor fraude, terwijl ze geen enkele keuze hadden over hoe hun dossier beveiligd werd. Op de werkvloer zie ik hoe lastig het voor kwetsbare mensen al is om phishing te herkennen; stuur dus niet alleen een waarschuwing via MijnGezondheid.net, maar bel mensen die digitaal minder meekomen ook gewoon op. En graag snel duidelijkheid over wat er precies is buitgemaakt, niet pas als iemand al schade heeft.

Een gehackt dossier betekent niet automatisch dat iedereen zijn volledige medische geschiedenis online ziet; vaak gaat het om een deel van de bestanden, maar dat is pas duidelijk na forensisch onderzoek. Wel belangrijk: verander niet zomaar medische of identiteitsgegevens, maar wees extra alert op berichten die heel geloofwaardig klinken, bijvoorbeeld over een verwijzing, uitslag of herhaalrecept.

Wie draait hier eigenlijk op voor de kosten als patiënten straks slachtoffer worden van identiteitsfraude, de huisarts of de verzekeraar?! Een excuus en een algemene waarschuwing betalen geen uren bellen met banken, aangifte doen en gedoe met instanties, dus maak gewoon duidelijk wie de schade vergoedt!!!

Nou ja, naast wachtwoorden en phishing is er ook iets praktischs: vraag voorlopig om extra controle bij afspraken, recepten en adreswijzigingen, want met medische details kan iemand zich heel geloofwaardig voordoen als patiënt. En laat de huisarts niet alleen zeggen dat het onderzoek loopt, geef ook een einddatum waarop iedereen hoort wat er precies is gebeurd, hoor.

Wat me ook dwarszit: medische gegevens kun je niet vervangen zoals een wachtwoord. Zelfs als er geen directe fraude volgt, blijft zo’n dossier ergens rondzwerven en kan het jaren later opnieuw opduiken. De energie van vertrouwen in de zorg krijgt hiermee een flinke knauw, en dat herstel je niet met alleen een standaardmailtje.

Een datalek bij een huisarts is geen excuus om straks álle patiënten als verdachten te behandelen met extra controles en codes!!! De zorg wordt al steeds meer een digitaal loket waar leveranciers en beveiligingsbedrijven aan verdienen, terwijl niemand uitlegt wie er precies toegang had en hoelang die gegevens bewaard zijn. EN DAN NOG IETS: laat onafhankelijk controleren of er echt alleen patiëntgegevens zijn buitgemaakt, niet alleen een verklaring van de partij die dit systeem heeft gebouwd... kijk zelf maar wie daar financieel beter van wordt!!!

Een medische databank is geen gewone klantenlijst die je na een lek even opnieuw kunt beveiligen. De schade zit ook in het blijvende verlies van regie over je meest intieme informatie; dat vraagt naast techniek om echte nazorg, transparantie en een aanspreekpunt dat niet alles bij de patiënt neerlegt. Hopelijk wordt er ook gekeken naar de bredere keten van leveranciers en systemen, want digitale veiligheid is geen eenmalige IT-check maar een voortdurende balans.

Dit is ook een les in digitale hygiëne: waarom staan volledige medische dossiers überhaupt jarenlang gekoppeld aan één praktijknetwerk, in plaats van zo beperkt mogelijk en met automatische verwijdering van oude gegevens? We bewaren alles omdat het technisch kan en noemen dat dan goede zorg, maar bewust en natuurlijk omgaan met gevoelige informatie betekent soms juist minder opslaan. Onze kinderen groeien straks op in een wereld waarin niets meer vergeten wordt... fijn vooruitzicht hoor.

Wat vaak vergeten wordt: zorgverleners moeten nu misschien nóg minder informatie gaan delen uit angst voor een lek, terwijl goede zorg juist vraagt om een compleet beeld. Laat dit dus niet eindigen in wantrouwen tussen patiënt en huisarts; investeer in beveiliging én leg eerlijk uit wat er gebeurt, met ruimte voor vragen. Dat is pas verbinding.

De echte zwakke plek zit vaak niet in de huisarts maar in verouderde software, koppelingen en leveranciers waar niemand dagelijks zicht op heeft. Na zo’n incident moet dus niet alleen worden uitgezocht wat er is gestolen, maar ook wie de beveiliging structureel controleert en betaalt; compliance achteraf is geen security.

Wat ik vooral mis: leg ook uit hoe lang je die gegevens bewaart en wie er allemaal bij kan. Een lek is vreselijk, maar patiënten hebben óók recht op duidelijke keuzes en controle over hun dossier; maak dit niet weer een excuus voor nog meer systemen waar niemand zicht op heeft.

Het probleem is niet alleen dat gegevens zijn gestolen, maar dat zorgpraktijken vaak digitale infrastructuur beheren zonder dezelfde 24/7-beveiligingsorganisatie als een bank. De oplossing is regionale ICT-beveiliging met centrale monitoring, gescheiden systemen en een offline herstelkopie; een kleine praktijk kan onmogelijk zelf LockBit buiten de deur houden én patiënten blijven behandelen.

Tja, straks krijgen we weer een formulier om toestemming te geven dat ze je gegevens beter gaan beveiligen... terwijl het kwaad al geschied is. In de transportwereld moet elke rit geregistreerd worden, maar voor zulke systemen lijkt toezicht ineens optioneel.

Een praktijk kan de beste beveiliging kopen en toch geraakt worden, maar patiëntgegevens horen niet allemaal op één makkelijk doelwit te staan. Hier op het land ligt de administratie ook niet meer in een klapper, maar zorg dat er bij een inbraak zo min mogelijk tegelijk buitgemaakt kan worden. En meld nou gewoon eerlijk welke bestanden geraakt zijn, geen mist van “mogelijk betrokken”.

Dit laat vooral zien hoe kwetsbaar al die centrale digitale dossiers zijn. Vroeger wist de huisarts wat nodig was voor de zorg, nu wordt ieder detail opgeslagen en gekoppeld omdat het systeem dat handig vindt; onze kinderen groeien zo op met een digitaal spoor dat niemand meer kan wissen. Misschien weer eens bewust terug naar: alleen bewaren wat echt nodig is, en niet alles omdat het technisch kan.

Een medisch dossier is geen gewone dataset maar een blijvend afdrukje in het bewustzijnsveld: je kunt de server opschonen, maar niet terughalen wie het al heeft gekopieerd. Kwantumfysica toont aan dat informatie zich niet laat vernietigen, dus “onderzoek loopt” klinkt hier wel erg makkelijk; patiënten hebben recht op een concrete melding zodra elk bestand in kaart is gebracht.

In de praktijk is vooral de communicatie straks bepalend. Niet iedereen leest een lange brief of weet waar die met vragen terechtkan, dus regel één vast telefoonnummer en houd mensen ook maanden later nog op de hoogte; zo’n lek is niet na de eerste mail afgehandeld.