Datalekkenprotocol
Versie 1.0.0 - maart 2026
Dit document beschrijft de interne procedure van Remedice voor het detecteren, beoordelen, melden en afhandelen van datalekken (inbreuken in verband met persoonsgegevens), conform de AVG en de verwerkersovereenkomst.
1. Definitie
Een datalek is een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot doorgezonden, opgeslagen of anderszins verwerkte persoonsgegevens (Art. 4 lid 12 AVG).
Voorbeelden:
- Ongeautoriseerde toegang tot patientgegevens
- Verlies van een device met niet-versleutelde gegevens
- Foutieve e-mailverzending met persoonsgegevens
- Kwetsbaarheid die tot datadiefstal heeft geleid
- Onbedoelde publicatie van persoonsgegevens
2. Detectie
Datalekken kunnen worden ontdekt via:
- Audit logging: Remedice logt 40+ beveiligingsgebeurtenissen naar AWS CloudWatch (zie logbeleid NEN 7513), waaronder mislukte inlogpogingen, autorisatieweigeringen en dataexports.
- Monitoring en alerting: Drempelwaarden op afwijkend gedrag (bijv. meerdere mislukte logins, ongebruikelijke dataexports).
- Medewerkers: Iedere medewerker van Remedice is verplicht vermoede datalekken direct te melden.
- Gebruikers: Klanten (apotheken) kunnen vermoede lekken melden via security@remedice.nl.
- Externe meldingen: Meldingen van subverwerkers (AWS, Google Cloud, Stripe, Sentry) of ethische hackers.
3. Beoordeling
Bij ontdekking van een (vermoedelijk) datalek wordt het volgende beoordeeld:
3.1 Classificatie
| Criterium | Vragen |
|---|---|
| Aard van de inbreuk | Vertrouwelijkheid, integriteit en/of beschikbaarheid aangetast? |
| Categorie gegevens | Betreft het bijzondere persoonsgegevens (gezondheidsdata)? |
| Omvang | Hoeveel betrokkenen zijn (potentieel) getroffen? |
| Gevolgen | Wat zijn de waarschijnlijke gevolgen voor betrokkenen? |
| Herstelbaarheid | Zijn de gevolgen omkeerbaar? |
3.2 Risicoscore
| Score | Ernst | Beschrijving |
|---|---|---|
| 1 - Laag | Geen of verwaarloosbaar | Geen bijzondere gegevens, beperkte omvang, geen gevolgen |
| 2 - Middel | Beperkt | Beperkt aantal betrokkenen, geen bijzondere gegevens, herstelbaar |
| 3 - Hoog | Ernstig | Bijzondere gegevens betrokken, significant aantal betrokkenen, potentiele schade |
| 4 - Kritiek | Zeer ernstig | Grootschalig lek van gezondheidsgegevens, onherstelbare schade |
4. Interne melding en escalatie
| Tijdslijn | Actie |
|---|---|
| Direct (< 1 uur) | Melder rapporteert aan de verantwoordelijke voor informatiebeveiliging binnen Remedice |
| Binnen 4 uur | Eerste beoordeling en classificatie afgerond |
| Binnen 8 uur | Directie geinformeerd bij risicoscore >= 3 |
| Binnen 24 uur | Volledige analyse en melding aan getroffen verwerkingsverantwoordelijke(n) |
5. Melding aan verwerkingsverantwoordelijke (apotheek)
Conform de verwerkersovereenkomst meldt Remedice een datalek binnen 24 uur na ontdekking aan de getroffen apotheek(en). De melding bevat:
- Aard van de inbreuk (vertrouwelijkheid, integriteit, beschikbaarheid)
- Categorieen en geschat aantal betrokkenen
- Categorieen en geschat aantal persoonsgegevensrecords
- Naam en contactgegevens van de verantwoordelijke bij Remedice
- Waarschijnlijke gevolgen
- Genomen en voorgestelde maatregelen
6. Melding aan Autoriteit Persoonsgegevens
De verwerkingsverantwoordelijke (apotheek) is verantwoordelijk voor de melding aan de Autoriteit Persoonsgegevens (AP) binnen 72 uur na kennisneming, tenzij het onwaarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van betrokkenen.
Remedice verleent alle noodzakelijke bijstand en informatie voor deze melding.
Melding is niet verplicht wanneer:
- Het lek geen risico inhoudt voor betrokkenen (bijv. versleutelde gegevens die niet te ontsleutelen zijn door de ontvanger)
Melding aan betrokkenen is aanvullend verplicht wanneer:
- Het lek waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen (bijv. onversleutelde gezondheidsgegevens gelekt)
7. Registratie
Remedice houdt een intern register bij van alle (vermoede) datalekken, ongeacht of melding aan de AP vereist was. Het register bevat per incident:
- Datum en tijdstip ontdekking
- Beschrijving van het incident
- Categorieen betrokkenen en gegevens
- Geschatte omvang
- Beoordeling (risicoscore)
- Genomen maatregelen
- Melding aan verwerkingsverantwoordelijke (datum, inhoud)
- Melding aan AP en/of betrokkenen (indien van toepassing)
- Evaluatie en verbeterpunten
Dit register wordt bewaard gedurende minimaal 3 jaar.
8. Herstel en evaluatie
Na afhandeling van elk incident:
- Directe maatregelen: Inperking van het lek, aanpassing van toegangsrechten, patch/update
- Oorzaakanalyse: Vaststellen van de grondoorzaak (root cause)
- Structurele maatregelen: Aanpassing van processen, techniek of beleid om herhaling te voorkomen
- Evaluatie: Binnen 14 dagen na afsluiting wordt het incident geevalueerd en worden leerpunten vastgelegd
- Update risicoanalyse: Indien nodig worden de NEN 7510 risicoanalyse en DPIA bijgewerkt
9. Verantwoordelijkheden
| Rol | Verantwoordelijkheid |
|---|---|
| Iedere medewerker Remedice | Directe melding van vermoede incidenten |
| Verantwoordelijke informatiebeveiliging | Beoordeling, classificatie, coordinatie |
| Directie Remedice | Escalatiebeslissingen, melding aan verwerkingsverantwoordelijken |
| Verwerkingsverantwoordelijke (apotheek) | Melding aan AP en betrokkenen |
10. Contact
Meld (vermoede) datalekken aan: security@remedice.nl