GDPR/AVG: E-mail encryptie

[EXX]

Sinds kort is de GDPR/AVG in werking getreden, en 1 van de zaken die onder de aandacht zijn gebracht door de media, is het open karakter van e-mail in combinatie met vertrouwelijke data.

Zo gebruiken medici (bv. huisarten) veelal google of hotmail addressen voor hun e-mail. De e-mail accounts zelf zijn wel redelijk goed beschermd, en de transmissie client/server is veelal https, maar de data zelf staat leesbaar op de servers en Google/Microsoft/... kan die dus uitlezen. Zeker voor medische gegevens niet wenselijk.

Nu kan je als arts overschakelen op een encrypted e-mail service bv. Protonmail. Maar schiet dit niet door? De client die een mailtje naar de dokter wil sturen, gebruikt op zijn beurt ook weer veelal gmail of hotmail. Dan staan de data toch weer open op de servers van Google/Microsoft. En eindgebruikers deel maken van de encryptieketen, gaat dat wel werken?

Wat zijn hier goede oplossingen?

[samo]

Een oplossing is om geen email te gebruiken maar om gevoelige medische gegevens via een traject waarop voldoende beveiligingsmaatregelen te versturen. Ofwel een huisarts-portal waar ik de vraag stel en het antwoord kan lezen.

E-mail is dan wel weer geschikt voor de berichtnotificaties.

Tenminste, zo heeft mijn huisarts dat ingericht en dat voldoet volgens mij wel.

[Qwerty-273]

Dat is inderdaad de makkelijkste manier. Een (eigen) portal, met een berichten notificatie.

Andere optie is het inregelen van een nationaal systeem waar elke burger een mogelijkheid krijgt voor encryptie technieken (bijvoorbeeld via X.509 certs of OpenPGP keys - die bijvoorbeeld via je DigiID opgevraagd kunnen worden).
En vervolgens in samenspraak met de grote partijen, zoals Google en MS/Hotmail, een optie inbouwen voor dit op een makkelijke en eenvoudige manier.

[EXX]

Een portal is een optie waar ik nog niet zo aan gedacht had. Dan moet je natuurlijk wel de portal database ook encrypten. Kan dat dan zomaar bij elk hostingbedrijf of moet je dan zelf gaan hosten?

Voor ZZPers met een kleine praktijk is dat natuurlijk wel een flinke horde: communiceren via standaard e-mail is wel veel makkelijker. Met een portal moet er toch een behoorlijke website in elkaar worden gezet. Gaat meer geld kosten.

Qwerty-273 schreef op maandag 28 mei 2018 @ 15:31:
Andere optie is het inregelen van een nationaal systeem waar elke burger een mogelijkheid krijgt voor encryptie technieken (bijvoorbeeld via X.509 certs of OpenPGP keys - die bijvoorbeeld via je DigiID opgevraagd kunnen worden).
En vervolgens in samenspraak met de grote partijen, zoals Google en MS/Hotmail, een optie inbouwen voor dit op een makkelijke en eenvoudige manier.

Dat gaat niet zo snel gebeuren. Bovendien ondergraaft dit het verdienmodel van Google/MS omdat ze de data willen kunnen lezen voor advertentiedoeleinden.

[ Voor 42% gewijzigd door EXX op 28-05-2018 15:36 ]

[Lawwie]

Persoonsgegevens mag ik communiceren hoe ik wil, en als er een datalek plaats vind dan moet ik dat melden. Er staat nergens dat ik geen e-mail mag gebruiken?

Is het verstandig? Nee? kan het? Ja.

Ik krijg via de mail ook een factuur van webshops waar mijn persoonsgegevens in staan, moet dan elke webshop ook een eigen portal maken?

E-mail is een keuze welke ze zelf maken, krijgen ze een boete dan zal dat hoger zijn dan het implementeren van een portal. Zou ik willen blijven bij een huisarts die mijn gegevens klakkeloos over de mail stuurt? Denk het niet.

[ Voor 33% gewijzigd door Lawwie op 28-05-2018 15:44 ]

[EXX]

Natuurlijk is het niet verboden om e-mail te gebruiken. Maar NAW gegevens op een factuur is toch even net wat anders als het verzoek om een medische zaken bij een huisarts.

Ik heb het idee dat men hier gewoon niet goed over heeft nagedacht, en men zich nu ineens realiseert wat er schort aan een veelgebruikt communicatiemiddel als e-mail.

Heb je een datalek, dan moet je dat melden. Als Google je e-mail data uitleest voor advertentiedoeleinden, is dat een datalek?

Als je een disclaimer op de website zet ('data verstuurd via e-mail is open en bla bla bla'), is dat voldoende om geen boetes te krijgen?

E-mail is een keuze welke ze zelf maken, krijgen ze een boete dan zal dat hoger zijn dan het implementeren van een portal. Zou ik willen blijven bij een huisarts die mijn gegevens klakkeloos over de mail stuurt? Denk het niet.

Het gaat mij vooral over het verkeer vanaf de clienten naar de service provider (bv. de arts). De omgekeerde weg kan je goed onder controle houden door bv. gevoelige gegevens encrypted te versturen.

[ Voor 26% gewijzigd door EXX op 28-05-2018 15:53 ]

[downtime]

Dezelfde manier als mijn werkgever met de loonstrookjes doet. Vroeger werden die gewoon maandelijks naar mijn privemail gestuurd. Maar om helemaal zeker te zijn dat de wet wordt gevolgd hebben ze op een gegeven moment een portal ingericht waar je die loonstrookjes kunt downloaden.

Als bedrijf moet je ervan uitgaan dat jouw contacten (werknemers/klanten/clientele/patienten/etc) geen IT'ers zijn en misschien niet goed het risico van email kunnen inschatten. Daarom moet je die informatie aanbieden op een manier die veiliger is, ook al zien jouw contacten zelf het probleem niet.

Lawwie schreef op maandag 28 mei 2018 @ 15:40:
Ik krijg via de mail ook een factuur van webshops waar mijn persoonsgegevens in staan, moet dan elke webshop ook een eigen portal maken?

Eh, elke webshop is een portal, dus wat is het probleem?

[Lawwie]

EXX schreef op maandag 28 mei 2018 @ 15:51:
Heb je een datalek, dan moet je dat melden. Als Google je e-mail data uitleest voor advertentiedoeleinden, is dat een datalek?

Als je een disclaimer op de website zet ('data verstuurd via e-mail is open en bla bla bla'), is dat voldoende om geen boetes te krijgen?

Geen idee of het een datalek is als google de e-mail uitleest, maar ook google moet voldoen aan GDPR.

Disclaimer is niks waard als er een datalek plaats vind.

downtime schreef op maandag 28 mei 2018 @ 15:53:
Eh, elke webshop is een portal, dus wat is het probleem?

Klopt, ik kan mijn facturen downloaden via elke webshop. Maar het probleem hier in deze context zou zijn dat je ze ook automatisch via mail krijgt, zonder daarom gevraagd te hebben.

[Orion84]

Lawwie schreef op maandag 28 mei 2018 @ 15:40:
Persoonsgegens mag ik communiceren hoe ik wil, en als er een datalek plaats vind dan moet ik dat melden. Er staat nergens dat ik geen e-mail mag gebruiken?

Is het verstandig? Nee? kan het? Ja.

Er wordt wel vereist dat persoonsgegevens adequaat beschermd moeten worden. En ondanks dat daar wellicht geen zwart-wit regels voor zijn wat wel en niet adequaat is kan je bij email toch sterke vraagtekens stellen of dat geschikt is voor het uitwisselen van medische gegevens.

Ik krijg via de mail ook een factuur van webshops waar mijn persoonsgegevens in staan, moet dan elke webshop ook een eigen portal maken?

Dan ga je wel even heel makkelijk voorbij aan het onderscheid tussen gewone persoonsgegevens (zoals naw) en bijzondere persoonsgegevens (zoals medische gegevens).

EXX schreef op maandag 28 mei 2018 @ 15:35:
Een portal is een optie waar ik nog niet zo aan gedacht had. Dan moet je natuurlijk wel de portal database ook encrypten. Kan dat dan zomaar bij elk hostingbedrijf of moet je dan zelf gaan hosten?

Voor ZZPers met een kleine praktijk is dat natuurlijk wel een flinke horde: communiceren via standaard e-mail is wel veel makkelijker. Met een portal moet er toch een behoorlijke website in elkaar worden gezet. Gaat meer geld kosten.

Er zijn ongetwijfeld tegenwoordig talloze aanbieders van dergelijke oplossingen en het lijkt me ook typisch iets wat je wellicht met een aantal aanbieders samen inkoopt. En een fatsoenlijke IT oplossing hiervoor biedt natuurlijk veel meer voordelen dan alleen betere beveiliging. Een goede portal is zowel voor de patiënt als de arts veel gebruiksvriendelijker en overzichtelijker en beter geïntegreerd met het patiëntendossier.

EXX schreef op maandag 28 mei 2018 @ 15:51:
Natuurlijk is het niet verboden om e-mail te gebruiken. Maar NAW gegevens op een factuur is toch even net wat anders als het verzoek om een medische zaken bij een huisarts.

Ik heb het idee dat men hier gewoon niet goed over heeft nagedacht, en men zich nu ineens realiseert wat er schort aan een veelgebruikt communicatiemiddel als e-mail.

Heb je een datalek, dan moet je dat melden. Als Google je e-mail data uitleest voor advertentiedoeleinden, is dat een datalek?

Als je een disclaimer op de website zet ('data verstuurd via e-mail is open en bla bla bla'), is dat voldoende om geen boetes te krijgen?

Als jij diensten van een derde partij gebruikt om je klantgegevens op te slaan / te verwerken, dan zal je een verwerkingsovereenkomst met die partij moeten opstellen. Ik ben benieuwd of je dat voor elkaar krijgt als je met Google een overeenkomst wilt afsluiten om medische gegevens te verwerken via gmail die aan alle eisen voldoet die de AVG stelt aan het verwerken van dergelijke gegevens. De gegevens alleen gebruiken waarvoor ze verzameld zijn (zorg verlenen) wordt bijvoorbeeld al een interessant punt, als Google de inhoud van emails ook analyseert voor advertentie doeleinden.

E-mail is natuurlijk een prachtige laagdrempelige techniek om snel digitaal te communiceren met patiënten, maar eigenlijk is het een tamelijk houtje touwtje oplossing die ik persoonlijk eigenlijk vrij ongepast vind voor dergelijke communicatie.

[EXX]

Lawwie schreef op maandag 28 mei 2018 @ 15:56:
[...]


Geen idee of het een datalek is als google de e-mail uitleest, maar ook google moet voldoen aan GDPR.

Dat is wel een punt. In hoeverre zijn de privacygevoeilge data beschermd door de GDPR op de servers van bv. Google tegen Google zelf en de bedrijven waar Google meer samenwerkt.

Disclaimer is niks waard als er een datalek plaats vind.

Datalek IMHO in deze context zou zijn dat de database van je webportal gehackt zou zijn, of in het geval van e-mail, de e-mail account bij Google (of MS).

[Lawwie]

Orion84 schreef op maandag 28 mei 2018 @ 16:00:
[...]
Er wordt wel vereist dat persoonsgegevens adequaat beschermd moeten worden. En ondanks dat daar wellicht geen zwart-wit regels voor zijn wat wel en niet adequaat is kan je bij email toch sterke vraagtekens stellen of dat geschikt is voor het uitwisselen van medische gegevens.

Dat is het hele probleem dus, er staat niet zwart op wit hoe ik iets moet beveiligen. Als ik 2fa gebruik? Is dat voldoende?

Ik moedig e-mail gebruik door huisartsen zeker niet aan, maar de wet is op zoveel manieren te interpreteren.

Een portal is ook leuk en aardig, maar hoe zit het met de beveiliging van de patient in kwestie? Als die het wachtwoord: “Welkom2018” voor zijn e-mailadres gebruikt? Wie is er dan verantwoordelijk?

[ Voor 15% gewijzigd door Lawwie op 28-05-2018 16:15 ]

[Orion84]

Een wet loopt al snel achter de feiten aan als er tot 3 cijfers achter de komma werd uitgewerkt hoe je gegevens moet beveiligen. Dat is niet het niveau waarop wetteksten geschreven worden. Volgens mij publiceert bijvoorbeeld het AP nog wel eens richtlijnen met meer detail er in, maar uiteindelijk komt het natuurlijk toch vaak op een risico analyse aan waar je niet op voorhand in generieke zin kan stellen wat wel en niet adequaat is.

En als je daar als zorgaanbiedende zzp'er zelf niet uitkomt, dan rest er dus maar één oplossing: hulp zoeken bij professionele IT aanbieders. Net zoals dat iemand met medische klachten niet zelf moet gaan lopen prutsen of naar een kwakzalver moet gaan

[EasyJet]

Wat ik weet is dat veel zorgverleners gebruik maken van ZorgMail dat is een veilige berichten/maildienst die vaak ook vanuit hun applicatie werkt.

Mijn huisarts gebruikt dat ook.

[Trommelrem]

E-mail kan prima veilig zijn met DLP en RMS. Ik mag toch hopen dat huisartsen al over zijn?

[Stoelpoot]

Wat mij betreft is email veilig genoeg, mits de zorgaanbieder garandeert dat de email veilig wordt opgeslagen aan zijn kant. Over Google Apps for Business weet ik dat ze expliciet niet meelezen, omdat dat zorgen geeft voor bedrijven en klanten qua geheimhouding.

Of klanten het over email laten lopen, dat hoort bij hun eigen verantwoording. Net als het zelf opgeven van een postadres.

Een eigen portal voor elke zorgaanbieder? Alsjeblieft niet. Dat hebben we met DigiD ook al gezien. Lekker 3 berichten doorklikken voordat je iets leesbaars hebt. "Er staat een bericht in je DigiD box" *klik* "Er staat een bericht klaar om te downloaden" *klik* "Klik hier om je bericht te downloaden" *klik* Eindelijk.

@de discussie over webshops en portals:

Een webshop is geen winkel, maar een ICT-onderneming die een product maakt om goederen te verkopen. Voor een webshop zijn dat soort zaken een stuk makkelijker aan te pakken, omdat de infrastructuur al deel is van hun core business. Voor een zorgaanbieder oid betekend het aanmaken van zo'n portal dus een groot deel aan ICT-activiteiten opzetten waar ze zich normaal niet mee bezig hoeven te houden.

[Orion84]

Trommelrem schreef op dinsdag 29 mei 2018 @ 09:45:
E-mail kan prima veilig zijn met DLP en RMS. Ik mag toch hopen dat huisartsen al over zijn?

Hoe zie je je DLP en RMS precies voor je voor de situatie die de topicstarter schetst waarbij zorgverleners gebruik maken van een doorsnee gmail/hotmail mailbox?

Daarbij vraag ik me ook wel af in hoeverre RMS bruikbaar is voor een situatie waar je met random patiënten mailt. Berust het permissie beheer van RMS niet op domein users en dergelijke?

[samo]

Stoelpoot schreef op dinsdag 29 mei 2018 @ 09:49:
Wat mij betreft is email veilig genoeg, mits de zorgaanbieder garandeert dat de email veilig wordt opgeslagen aan zijn kant. Over Google Apps for Business weet ik dat ze expliciet niet meelezen, omdat dat zorgen geeft voor bedrijven en klanten qua geheimhouding.

Nadeel met email is dat de transportlaag niet gegarandeerd veilig is. Dus je kan niet garanderen dat jouw gegevens niet door een ander zijn ingezien of opgeslagen.

Of klanten het over email laten lopen, dat hoort bij hun eigen verantwoording. Net als het zelf opgeven van een postadres.

Mits je een keuze biedt en inzicht in de gevolgen van de keuzes.

Een eigen portal voor elke zorgaanbieder? Alsjeblieft niet. Dat hebben we met DigiD ook al gezien. Lekker 3 berichten doorklikken voordat je iets leesbaars hebt. "Er staat een bericht in je DigiD box" *klik* "Er staat een bericht klaar om te downloaden" *klik* "Klik hier om je bericht te downloaden" *klik* Eindelijk.

Het is omslachtig maar wel veilig. Je zorgt dat data enkel veilig wordt aangeboden en je kan zelfs controleren of iemand een bericht heeft geopend.

[Trommelrem]

Orion84 schreef op dinsdag 29 mei 2018 @ 09:50:
[...]

Hoe zie je je DLP en RMS precies voor je voor de situatie die de topicstarter schetst waarbij zorgverleners gebruik maken van een doorsnee gmail/hotmail mailbox?

Daarbij vraag ik me ook wel af in hoeverre RMS bruikbaar is voor een situatie waar je met random patiënten mailt. Berust het permissie beheer van RMS niet op domein users en dergelijke?

Gewoon verzenden met RMS en het komt gewoon aan, ook bij users die nog POP3 gebruiken. Maar je legt inderdaad de verantwoordelijkheid neer bij de eindgebruiker. Met DLP kan worden voorkomen dat huisartsen ineens random persoonlijke data gaan versturen (waar ze wel bekend om staan).

[ Voor 8% gewijzigd door Trommelrem op 29-05-2018 10:04 ]

[Stoelpoot]

samo schreef op dinsdag 29 mei 2018 @ 09:54:
[...]

Nadeel met email is dat de transportlaag niet gegarandeerd veilig is. Dus je kan niet garanderen dat jouw gegevens niet door een ander zijn ingezien of opgeslagen.

Niet als de SMTP-server TLS ondersteund. Na de SMTP-server is het de verantwoording van de gebruiker om een mailservice te hebben gekozen die inkomend verkeer encrypted kan ontvangen en versturen.

[...]

Mits je een keuze biedt en inzicht in de gevolgen van de keuzes.

Wat mij betreft is informeren over veilige / onveilige email eerder de taak van de overheid dan van zorgaanbieders.

[...]

Het is omslachtig maar wel veilig. Je zorgt dat data enkel veilig wordt aangeboden en je kan zelfs controleren of iemand een bericht heeft geopend.

Zoals hierboven aangegeven kan een zorginstelling garanderen dat data veilig wordt aangeboden. Of de ontvanger dan kiest dit veilig te ontvangen is een tweede.

Overigens vind ik het controleren of een bericht is geopend dan juist ongewenst in het kader van privacy.

[jurroen]

EasyJet schreef op dinsdag 29 mei 2018 @ 09:38:
Wat ik weet is dat veel zorgverleners gebruik maken van ZorgMail dat is een veilige berichten/maildienst die vaak ook vanuit hun applicatie werkt.

Mijn huisarts gebruikt dat ook.

ZorgMail is inderdaad vrij populair voor dit soort cases. Dat doen ze dan wel goed. Over het LSP ben ik wat minder te spreken - die hebben wat meer de theoretische beveiliging en privacy, dan afdwingen met technische middelen, zoals bijvoorbeeld White Box dat doet.

Persoonlijk zie ik liever dat ze e-mail helemaal droppen voor correspondentie. Het is maar al te gevoelig voor fouten. Een afspraakbevestiging bijvoorbeeld, kan zo simpel als:

Beste Jan,

Hiermee bevestigen wij de afspraak op vrijdag 13 juni met tandarts Mw Rozenthaler.,

Groet,
Tandartsenpraktijk De Lachende Boer

Maar ook:

Jan Smit
Vislaan 1
1234AB Volendam

Kenmerk 123456789 [BSN van J Smit]

Geachte heer de Smit,

[....]

Van dat laatste zou ik niet gecharmeerd zijn, als men besluit mijn NAW en BSN even over de ether te gooien. Is laatst een ker gebeurd - net voor 25 mei -, direct gemeld en dag later gebeld met excuus, dat ze zaken hebben veranderd, etc.

Hele nette, bewonderenswaardige reactie - maar veranderd natuurlijk niet dát het gebeurd is.

[Frogmen]

En wat wordt de meerwaarde van al die portals. Persoonlijk wordt ik er niet blij van en ik zet rustig vraagtekens bij de veiligheidsmeerwaarde. Ik zie het vooral als kloten klaren, dat het bij de klant fout gaat en dat daar informatie slingert is niet mijn verantwoordelijkheid.
Het toppunt is mijn.overheid.nl Je krijgt een mail met melding, dan moet je inloggen om vervolgens een PDF te downloaden. Waarom kan ik die niet gewoon inzien hoeft hij ook niet te blijven zwerven op een mogelijk publieke computer. Dit even los van het bewaren van al die logins. Wie kan die onthouden? Dit even ten opzichte van mail, wat is daar mis mee! En als je hotmail niet vertrouwd waarom wel die portal? Is het niet meer het verhaal welke sysadmin vertrouw je?

[Wouterkaas]

Er zijn best veel partijen in de markt die diensten/producten aanbieden rondom veilig e-mail en dat is eigenlijk ook een aanzienlijk deel van het probleem: iedereen gebruikt wat anders en de producten zijn doorgaans niet onderling compatible.

Daarnaast is mailen met patiënten/cliënten vaak al helemaal problematisch, omdat je die geen product kunt laten aanschaffen. Daarom zijn die vaak aangewezen op portals, die soms best laagdrempelig zijn, maar nog altijd een drempel hebben. Om nog maar te zwijgen als het initiatief tot mailen bij de patiënt ligt...

Ik denk dat zorgverleners én de grote gratis mailproviders (en internetproviders die een mailaccount leveren) er goed aan zouden doen om de veiligheidsstandaarden rondom e-mail te implementeren. Misschien geen hapklare oplossing, maar het verkleint over de hele linie wel het risico op datalekken.