Wat zijn de boetes voor een datalek in de zorg?

Bij een datalek in de zorg kan de Autoriteit Persoonsgegevens (AP) een boete opleggen van maximaal 20 miljoen euro of vier procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. De exacte hoogte hangt af van de ernst van het lek, de aard van de verwerkte gegevens en de mate waarin de organisatie haar beveiligingsverplichtingen is nagekomen. In dit artikel beantwoorden we de meest gestelde vragen over boetes, meldplichten en preventie bij datalekken in de zorgsector.

Hoe hoog kan een boete bij een datalek in de zorg zijn?

De Autoriteit Persoonsgegevens kan op basis van de AVG boetes opleggen tot maximaal 20 miljoen euro of vier procent van de wereldwijde jaaromzet van een organisatie. Voor zorginstellingen geldt daarbij dat gezondheidsgegevens worden beschouwd als bijzondere persoonsgegevens, wat de potentiële boetehoogte verder beïnvloedt. Hoe groter de overtreding en hoe meer mensen er worden geraakt, hoe hoger de boete uitvalt.

De AP hanteert een gelaagd boetestelsel. Lichtere overtredingen, zoals het niet tijdig melden van een datalek, vallen in een lagere categorie met boetes tot 10 miljoen euro. Zwaardere overtredingen, zoals het structureel ontbreken van passende technische en organisatorische beveiligingsmaatregelen, kunnen leiden tot de maximale boete. Naast de financiële sanctie kan de AP ook een last onder dwangsom opleggen, wat betekent dat een organisatie per dag een bedrag betaalt zolang de overtreding voortduurt.

Naast AVG-boetes kunnen zorginstellingen ook te maken krijgen met handhaving door de Inspectie Gezondheidszorg en Jeugd (IGJ). De IGJ verwacht dat zorgaanbieders beschikken over een functionerend informatiebeveiligingsmanagementsysteem (ISMS) en een getest continuïteitsplan. Ontbreekt dit, dan kan de IGJ aanvullende maatregelen opleggen, los van de AVG-boetes.

Wanneer legt de Autoriteit Persoonsgegevens een boete op?

De AP legt een boete op wanneer een organisatie de AVG heeft overtreden en onvoldoende passende maatregelen heeft genomen om persoonsgegevens te beschermen. In de zorg gaat het daarbij vaak om het onbeveiligd opslaan van patiëntgegevens, ongeautoriseerde toegang tot elektronische patiëntdossiers of het niet naleven van de meldplicht bij een datalek.

De AP houdt bij haar beslissing rekening met meerdere factoren:

• De aard en ernst van de overtreding
• Het aantal betrokken personen en de gevoeligheid van de gelekte gegevens
• Of de organisatie aantoonbaar heeft geprobeerd de schade te beperken
• De mate van medewerking tijdens het onderzoek
• Of er sprake is van opzet of nalatigheid
• Eerdere overtredingen door dezelfde organisatie

Een zorginstelling die aantoont dat zij actief werkt aan informatiebeveiliging, bijvoorbeeld door te voldoen aan NEN 7510 certificering, staat sterker bij een onderzoek van de AP. Het aantoonbaar implementeren van een ISMS en het naleven van beveiligingsnormen werkt in het voordeel van de organisatie, ook als er toch een incident plaatsvindt.

Welke datalekken moeten zorginstellingen verplicht melden?

Zorginstellingen zijn verplicht een datalek te melden bij de AP wanneer het lek waarschijnlijk een risico oplevert voor de rechten en vrijheden van de betrokkenen. Gaat het om een hoog risico, dan moeten ook de betrokkenen zelf worden geïnformeerd. De melding bij de AP moet binnen 72 uur na ontdekking van het lek plaatsvinden.

Voorbeelden van meldingsplichtige datalekken in de zorg zijn:

• Onbevoegde toegang tot een elektronisch patiëntdossier
• Verlies of diefstal van een laptop of USB-stick met patiëntgegevens
• Een ransomware-aanval waarbij patiëntgegevens zijn versleuteld of buitgemaakt
• Het per ongeluk versturen van medische informatie naar de verkeerde ontvanger
• Een hack van een zorginformatiesysteem

Niet elk beveiligingsincident is meldingsplichtig. Als een datalek geen risico vormt voor betrokkenen, hoeft het niet bij de AP te worden gemeld, maar moet het wel intern worden gedocumenteerd. Zorginstellingen zijn verplicht een register bij te houden van alle datalekken, ook de niet-meldingsplichtige. NEN 7513 speelt hier een aanvullende rol: deze norm regelt de logging van acties op elektronische patiëntdossiers, zodat altijd herleidbaar is wie toegang heeft gehad tot welke gegevens en op welk moment.

Wat zijn bekende voorbeelden van AVG-boetes in de zorg?

De AP heeft in de afgelopen jaren meerdere zorginstellingen beboet voor overtredingen van de AVG. Deze zaken laten zien welke situaties het hoogste risico vormen en hoe de toezichthouder omgaat met tekortkomingen in informatiebeveiliging.

Een terugkerend thema in opgelegde boetes is onvoldoende toegangsbeveiliging. Wanneer medewerkers toegang hadden tot patiëntdossiers die niet relevant waren voor hun functie, heeft de AP dit herhaaldelijk gesanctioneerd. Ook het ontbreken van tweefactorauthenticatie bij toegang tot gevoelige systemen is een veelvoorkomende aanleiding voor handhavend optreden.

Een ander terugkerend patroon is het te laat melden van een datalek. Organisaties die een incident intern proberen op te lossen zonder tijdig melding te doen bij de AP, lopen het risico op een extra boete bovenop de sanctie voor het lek zelf. De 72-uursgrens wordt door de AP strikt gehanteerd.

Hoewel specifieke bedragen per zaak kunnen variëren en afhankelijk zijn van de omstandigheden, laten de gepubliceerde handhavingsbesluiten van de AP zien dat boetes in de zorgsector al snel oplopen tot honderdduizenden euro’s. Voor kleinere zorginstellingen kan dit een existentiële bedreiging vormen. Dit onderstreept het belang van een robuust informatiebeveiligingsbeleid als structurele investering, niet als bijzaak.

Hoe voorkomt een zorgorganisatie een datalek en bijbehorende boete?

Een zorgorganisatie voorkomt een datalek en de bijbehorende boete door een aantoonbaar informatiebeveiligingsmanagementsysteem (ISMS) in te richten, medewerkers structureel te trainen en technische beveiligingsmaatregelen op orde te hebben. De basis ligt in het voldoen aan NEN 7510, de Nederlandse norm voor informatiebeveiliging in de zorg.

Concrete stappen die zorginstellingen kunnen nemen:

• Voer een risicoanalyse uit om kwetsbaarheden in systemen en processen te identificeren
• Implementeer een ISMS op basis van NEN 7510 en documenteer alle beveiligingsmaatregelen
• Stel een Verklaring van Toepasselijkheid op en houd deze actueel
• Beperk toegang tot patiëntgegevens op basis van het need-to-know-principe
• Voer regelmatig interne audits uit en bespreek bevindingen op directieniveau
• Train medewerkers op bewustwording rondom informatiebeveiliging en incidentprocedures
• Stel een heldere procedure op voor het melden en registreren van datalekken
• Test het continuïteitsplan regelmatig, zoals de IGJ verwacht

NEN 7510 dekt een deel van de AVG-eisen af, maar niet volledig. Zorginstellingen doen er verstandig aan ook de aanvullende eisen vanuit de AVG en de Wet op de Geneeskundige Behandelovereenkomst (WGBO) mee te nemen in hun beveiligingsbeleid. Met de verwachte inwerkingtreding van de Cyberbeveiligingswet in het tweede kwartaal van 2026 worden de eisen voor een deel van de zorgsector verder aangescherpt.

Hoe Diks Process Support helpt bij informatiebeveiliging in de zorg

Wij ondersteunen zorginstellingen van A tot Z bij het inrichten en borgen van informatiebeveiliging, zodat je voldoet aan de eisen van NEN 7510 en de AVG en het risico op een datalek en bijbehorende boete zo klein mogelijk maakt. Onze aanpak is praktisch, stapsgewijs en volledig afgestemd op jouw organisatie.

Wat wij voor jou doen:

• GAP-analyse: we brengen in kaart waar jouw organisatie nu staat ten opzichte van NEN 7510 en welke stappen nodig zijn
• ISMS-implementatie: we helpen bij het opzetten of actualiseren van je informatiebeveiligingsmanagementsysteem, inclusief Verklaring van Toepasselijkheid
• Interne audits: we begeleiden interne audits en management reviews zodat bevindingen worden opgepakt en geborgd
• Certificeringstraject: we begeleiden je van intake tot NEN 7510 certificaat, inclusief de overgangsaudit naar NEN 7510:2024
• Bewustwording en training: we informeren medewerkers over hun rol in informatiebeveiliging en actualiseren incidentprocedures
• Interim ondersteuning: als je tijdelijk een interim security officer nodig hebt, springen wij bij

Wil je weten wat wij concreet voor jouw zorgorganisatie kunnen betekenen? Neem contact met ons op en we denken graag vrijblijvend met je mee.

Gerelateerde artikelen

• Hoe beheers je heftruckrisico’s met ISO 45001?
• Wat is het verschil tussen NEN 7510 en ISO 27001?
• Wat is een ISMS in de zorg?
• Hoe verklein je de kans op dure herstelwerkzaamheden?
• Wat doe je als klanten twijfelen aan de betrouwbaarheid van je bedrijf?
• Wat zijn de kosten van ISO 9001 onderhoud?
• Wat zijn de juridische aspecten van ISO 9001?
• Wat zijn de kosten van één ernstig bedrijfsongeval?
• Hoe pas je SCL aan bij bedrijfsgroei?
• Wat is een geïntegreerd managementsysteem met ISO 27001?