Definitieve bevindingen Rijnland ziekenhuis

Transcriptie

1 POSTADRES Postbus 93374, 2509 AJ Den Haag BEZOEKADRES Juliana van Stolberglaan 4-10 TEL FAX INTERNET Definitieve bevindingen Rijnland ziekenhuis z DATUM 30/12/2009, aangevuld 2/11/2010

2 Voorgeschiedenis Het College bescherming persoonsgegevens (CBP) en de Inspectie voor de Gezondheidszorg (IGZ) hebben in 2007 bij Rijnland Ziekenhuis een onderzoek ingesteld naar de veilige toepassing van ICT en in het bijzonder de mate waarin de normen voor de informatiebeveiliging worden nageleefd. Bij brief van 16 juli 2008 is Rijnland Ziekenhuis het rapport met de definitieve bevindingen en de conclusie naar aanleiding van het onderzoek toegezonden. IGZ en CBP concluderen dat er geen sprake is van een passend beveiligingsniveau zoals bedoeld in artikel 13 Wbp en dat evenmin is voldaan aan de voorwaarden om verantwoorde zorg te leveren zoals bedoeld in artikel 2 van de Kwaliteitswet zorginstellingen. In de brief van 16 juli 2008 is Rijnland Ziekenhuis meegedeeld dat IGZ en CBP om die reden verwachten dat er een Plan van Aanpak is opgesteld, waarin onder andere uiteengezet dient te worden wat het ziekenhuis onderneemt om de in het rapport opgesomde tekortkomingen op te lossen. Het zo nodig (opnieuw) uitvoeren van een risico-analyse dient deel uit te maken van het plan. Bij brief van 13 oktober 2008 heeft Rijnland Ziekenhuis IGZ zijn Plan van Aanpak toegezonden, welk plan in kopie naar het CBP is gestuurd. Beide toezichthouders hebben het plan beoordeeld en geconcludeerd dat de door het ziekenhuis voorgenomen maatregelen onvoldoende zijn. Bij brief van 2 april 2009 heeft het CBP het ziekenhuis in kennis gesteld van zijn voornemen om handhavend op te treden. Tijdens de hoorzitting op 29 april 2009 is het ziekenhuis door het CBP in de gelegenheid gesteld om mondeling een zienswijze te geven ten aanzien van dit voorgenomen besluit. Last onder dwangsom Op 2 juni 2009 heeft het College bescherming persoonsgegevens (CBP) Rijnland Ziekenhuis de volgende last onder dwangsom opgelegd: "Het CBP sommeert het ziekenhuis om voor 1 september 2009 de volgende maatregelen te treffen: - het uitvoeren van een risico-analyse informatiebeveiliging; - het opstellen van een rapportage van de risico-analyse informatiebeveiliging.

3 Als toelichting op deze maatregelen wordt verwezen naar de NEN 7510, die als een gezaghebbende en sectorale uitwerking van artikel 13 Wbp wordt beschouwd." Op 31 augustus 2009 heeft Rijnland Ziekenhuis het CBP op de hoogte gebracht van de uitvoering van deze maatregelen. Het CBP heeft aan de hand van deze informatie onderzocht of Rijnland Ziekenhuis per 1 september 2009 aan de last heeft voldaan. Op 5 november 2009 heeft het CBP aan Rijnland Ziekenhuis de voorlopige bevindingen van het onderzoek toegezonden. X Advocaten heeft hierop namens Rijnland Ziekenhuis bij brief van 25 november 2009 gereageerd. Bespreking van de reactie van Rijnland Ziekenhuis 1. "Het Rijnland Ziekenhuis stelt zich primair op het standpunt dat daarmee [bedoeld wordt: met de maatregelen waarover men 31 augustus 2009 aan het CBP rapporteerde] is voldaan aan het bepaalde in artikel 13 Wbp, waarbij van de zijde van het ziekenhuis wordt opgemerkt dat de wet aan het ziekenhuis de vrijheid geeft om de methode te kiezen die hem passend voorkomt." (brief X Advocaten 25 november 2009) De onderhavige bevindingen hebben betrekking op de naleving van de last. Overtreding van artikel 13 Wbp was al eerder vastgesteld (zie onder Voorgeschiedenis). Thans dient uitsluitend te worden beoordeeld of aan de last is voldaan. Niettemin kan het volgende worden opgemerkt over de relatie tussen de opgelegde last en artikel 13 Wbp. Artikel 13 Wbp normeert de beveiliging van persoonsgegevens en luidt als volgt: De verantwoordelijke legt passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico's die de verwerking en de aard van te beschermen gegevens met zich meebrengen. De maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen. In het begrip 'passende ' ligt besloten dat de beveiliging in overeenstemming is met de stand van de techniek. Het begrip 'passend ' duidt mede op een proportionaliteit tussen de beveiligingsmaatregelen en de aard van de te beschermen gegevens. Naarmate bijvoorbeeld de

4 gegevens een gevoeliger karakter hebben, of de context waarin deze worden gebruikt een grotere bedreiging voor de persoonlijke levenssfeer betekenen, worden zwaardere eisen gesteld aan de beveiliging van de gegevens. Er is in het algemeen geen verplichting om steeds de zwaarste beveiliging te nemen. Er moet sprake zijn van een adequate beveiliging. Ter beoordeling van de maatregelen die moeten worden getroffen moet dus rekening worden gehouden met een aantal aspecten, waaronder de risico s die de verwerking en de aard van de te beschermen gegevens met zich brengen. In casu is sprake van persoonsgegevens betreffende de gezondheid, waarop het medisch beroepsgeheim van toepassing is. De beveiliging van dergelijke persoonsgegevens moet voldoen aan de hoogste normen. Een risicoanalyse vormt de basis voor het informatiebeveiligingsbeleid van een organisatie. Zonder risicoanalyse is het niet mogelijk om een adequaat informatiebeveiligingsbeleid te formuleren: pas na een risicoanalyse kunnen de prioritaire maatregelen voor informatiebeveiliging worden bepaald. De definitie van een risicoanalyse in NEN "beoordeling van de bedreigingen voor, effecten op en kwetsbaarheid van informatiesystemen en gegevens en de waarschijnlijkheid van het optreden van deze bedreigingen" is gangbaar binnen het vakgebied informatiebeveiliging en geeft een organisatie - binnen de grenzen van de definitie - de vrijheid zelf een risicoanalyse methode te kiezen. Zodra echter elementen uit de definitie ontbreken is de risicoanalyse ontoereikend en wordt gezien het bovenstaande niet voldaan aan de norm van artikel 13 Wbp. 2. "Het ziekenhuis acht het [...] niet juist wanneer u bij de beoordeling van de vraag of aan de last is voldaan verwijst naar een definitie van het begrip "risico-analyse" als vermeld in NEN 7510, par " (brief X Advocaten 25 november 2009) Deze definitie van een risicoanalyse in NEN 7510 bevat alle elementen waaraan een gekozen methode voor het uitvoeren van een volwaardige risicoanalyse in zijn algemeenheid moet voldoen. De risicoanalyse dient inzicht te geven in de bedreigingen die kunnen leiden tot inbreuken op de beschikbaarheid, integriteit of vertrouwelijkheid van de verwerkte persoonsgegevens, de kans dat deze bedreigingen zich in de praktijk voor zullen doen en de mogelijke gevolgen voor de verantwoordelijke en de betrokkenen. 1 Zie verder onder 1. ======================================================== 1 Zie ook NEN-ISO/IEC 27001:2005, p ; ISO/IEC 27002:2005, p. 6-7 en 13; NEN :2006, p. 2.

5 3. "Het ziekenhuis stelt zich voor om op korte termijn tesamen met de ingeschakelde deskundige met u te overleggen over de wijzigingen in de analyse/rapportage die naar uw oordeel noodzakelijk zijn om aan het gestelde in artikel 13 Wbp te voldoen". (brief X Advocaten 25 november 2009) Rijnland ziekenhuis is op 2 december 2009 telefonisch ingelicht dat het CBP niet aan dit verzoek zal voldoen, omdat het aan de verantwoordelijke zelf is om te bezien welke wijzigingen in de analyse/rapportage noodzakelijk zijn om aan de last te voldoen. Het behoort niet tot de taak van de toezichthouder hierbij behulpzaam te zijn. Bovendien is door het CBP in de voorlopige bevindingen van 5 november 2009 reeds zeer concreet aangegeven op welke punten de door het Rijnland ziekenhuis uitgevoerde risico-analyse tekortschiet. Bevindingen Rijnland Ziekenhuis heeft een document "Risicoanalyse en rapportage informatievoorziening" (verder te noemen: het document; mede-auteur: J.A. van der Wel van Comfort-IA BV) opgesteld. Rijnland Ziekenhuis heeft bij de uitvoering van de risico-analyse gekozen voor de bij de rijksoverheid vaak toegepaste methode van de afhankelijkheids- en kwetsbaarheidsanalyse (A&K analyse). Het CBP erkent de A&K analyse als één van de methoden die kan leiden tot een volwaardige risico-analyse. Op p. 14 van het document wordt de methode schematisch weergegeven in 14 "stappen" (afhankelijkheidsanalyse stap 1-7, kwetsbaarheidsanalyse stap 8-14). Deze stappen zijn alle vereist om tot valide uitkomsten te komen. Rijnland Ziekenhuis wijkt bij de uitvoering van de risico-analyse op de volgende punten af van de methodiek van de A&K analyse: de resultaten van stap 8 (bestaande maatregelen) zijn niet volledig gedocumenteerd; de stappen 9 (componenten informatiesysteem), stap 10 (gevolgenanalyse) en stap 11 (bedreigingen) zijn vervangen door een schatting van de risico's aan de hand van een NEN 7510 scan van Y. Deze scan wordt door het ziekenhuis ten onrechte als een (element van de) risico-analyse gezien: een NEN 7510 scan meet de mate waarin de organisatorische processen voldoen aan NEN 7510 maar geeft geen - of hooguit beperkt - inzicht in de concrete ICT-risico s die het ziekenhuis loopt.

6 De definitie van een risico-analyse luidt als volgt: "beoordeling van de bedreigingen voor, effecten op en kwetsbaarheid van informatiesystemen en gegevens en de waarschijnlijkheid van het optreden van deze bedreigingen" (NEN 7510 par ). Doordat Rijnland Ziekenhuis is afgeweken van de methodiek van de A&K analyse bevat de uitgevoerde risicoanalyse niet alle elementen uit deze definitie: door het (gedeeltelijk) ontbreken van de resultaten van stap 8 is onvoldoende zicht op de maatregelen die reeds zijn geïmplementeerd, waardoor niet kan worden afgebakend welke maatregelen uiteindelijk nog moeten worden genomen; door het overslaan van de stappen 9 en 10 is geen zicht op de kwetsbaarheid van de informatiesystemen; door het overslaan van stap 11 ontbreekt een inventarisatie van (reële) bedreigingen. Van de A&K analyse is dus alleen de afhankelijkheidsanalyse volledig uitgevoerd. De uitgevoerde risicoanalyse voldoet daarmee niet aan de definitie in NEN Doordat de risicoanalyse niet voldoet aan de definitie in NEN 7510 geeft deze geen inzicht in de bedreigingen die kunnen leiden tot inbreuken op de beschikbaarheid, integriteit of vertrouwelijkheid van de verwerkte persoonsgegevens, de kans dat deze bedreigingen zich in de praktijk voor zullen doen en de mogelijke gevolgen voor het Rijnland Ziekenhuis en de betrokkenen. Het Rijnland Ziekenhuis voldoet hiermee tevens niet aan artikel 13 Wbp. De uitgevoerde risicoanalyse vormt daarmee een ontoereikende basis voor de informatiebeveiliging bij het Rijnland Ziekenhuis. Conclusie Rijnland Ziekenhuis heeft geen volledige risico-analyse informatiebeveiliging uitgevoerd. Hierdoor is niet voldaan aan de last. Aldus vastgesteld op 30 december 2009 en aangevuld op 2 november 2010, Het College bescherming persoonsgegevens, Voor het College, mw. mr. dr. J. Beuving collegelid