Medische gegevens via invulformulier veilig?

[wildpicture]

Omdat ik me wil aanmelden bij een nieuwe huisarts, ging ik naar hun website. Aanmelden kan volgens de site alleen via het invullen van een online vragenlijst. In die vragenlijst moeten naam, adres, BSN ingevuld worden en verder een hele uitgebreide waslijst aan medische gegevens van ziektes, medicijnen, behandelingen tot en zeer persoonlijke vragen als hebt u een ooit een aidstest gehad en wat was de uitslag etc.

Nou vind ik het absoluut niet erg om zo'n vragenlijst in te vullen voor de nieuwe huisarts. Ik snap dat ze die info nodig hebben en ik wil ook toestemming geven dat het medisch dossier van de oude huisarts overgedragen wordt. Dat is allemaal prima. Geen enkel probleem.

Wat mij alleen verwondert is dat al deze info zo via een openbare website (weliswaar https) verzonden wordt. Geen inlog met DigiD of wat dan ook. Gewoon openbaar invulformulier en "klik op verzenden".

Is dit wel veilig?

Dit even los van het feit dat iedereen die je adres en BSN zou weten, een fake dossier aan de arts kan verzenden.

[jurroen]

Hmmm, lastig. Ik heb voor een soortgelijk scenario gestan bij het aanmelden bij mijn huisarts. Contact gezocht, aangegeven dat ik dit eigenlijk niet online wilde invullen en in overleg mocht ik het toen via een papieren formulier doen. Dat zou je natuurlijk ook kunnen proberen.

Een argument voor zo'n online formulier is dat het technisch zo in te regelen is dat het niet 'naakt' (plain-text) over het internet gaat. Bijvoorbeeld door een medewerker die de nieuwe entries ophaalt, of door het gelijk in de mailbox te dumpen (op dezelfde server of in hetzelfde netwerk).

Misschien interessant om het domein eens door Qualys' SSL test te trekken. HTTPS is helaas niet per definitie veilig. Persoonlijk zou ik erop letten dat de score een A of een A+ is en dat de gebruikte ciphers 'FS' hebben. Dat staat voor Forward Secrecy.

[wildpicture]

Deze test kende ik niet. Ben ook niet echt goed bekend met beveiliging. Dit zijn de resultaten:



Het heeft een A score (en FS ciphers) maar ik kan niet beoordelen of dat veilig genoeg is.

Als nieuwe klant/patiënt wil ik ook niet meteen moeilijk gaan doen. Maar ik wil ook niet mijn hele medisch dossier aangevuld met personalia, BSN, religie etc etc zomaar verzenden. Als ik zie hoe wij op mijn werk beperkt worden en dingen niet meer mogen vanwege beveiliging en AVG, verbaast dit me gewoon enorm.

[Jester-NL]

Is de site waar je op moet invullen van de huisarts (en het certificaat dus ook)? Indien ja, dan gaat je data (in principe) direct en versleuteld naar de huisarts toe. En dat is (zeg ik op basis van bovenstaande screenshot) niet onveiliger dan met je bank communiceren.
Is het formulier van een derde partij (en het certificaat dus ook) dan gaan je antwoorden (nog steeds beveiligd en versleuteld) door naar die derde partij.

Op basis van wat ik nu uit je topic kan afleiden, zou ik geen vraagtekens (meer) zetten bij of de gegevens tussen jouw PC en de ontvanger veilig zijn. Dat zijn ze.
Rest alleen de vraag of het formulier van je huisarts is, en niet een Google-form

[edit] @jurroen En dan is het nog maar de vraag wat je huisarts met de geprinte formulier doet. Puntje bij paaltje wil hij de gegevens in zijn PC hebben, en dat zal iemand moeten doen... Jij, de arts, of een of andere typiste waar je helemaal niets over weet...

[Voor 16% gewijzigd door Jester-NL op 11-06-2020 15:40]

[Paul]

Inloggen maakt het sturen van gegevens van jou naar hen niet veiliger. Het maakt de huisarts wat zekerder dat jij degene bent die het formulier heeft ingevuld, maar het doet niks voor de manier waarop de data van jou naar hen toe gaat. Sterker nog, een inlogveld is ook gewoon een HTML form

Ze gebruiken HTTPS, ondersteunen geen TLS 1.0 of 1.1 meer, geen onveilige ciphers zo te zien (ik weet uit mijn hoofd even niet of de grade al omlaag gaat van het gebruik van CBC ciphers), dus qua TLS-settings zien ze er erg modern uit. Liefst zouden ze ook een HSTS-header meesturen maar alleen al dat ze 1.0 en 1.1 uit hebben staan geeft wel aan dat er iemand zit die zich er mee bezig houdt.

Let wel, dit is alleen de verbinding tussen jou en de huisarts. Het zegt niks over de software die ze gebruiken of hoe ze het opslaan; SSL Labs test alleen de verbinding.

Wel kun je aan de hand daarvan redelijk zeker zijn dat het daadwerkelijk de site van je huisarts is; zeker als ze een EV certificaat gebruiken. Ook zonder EV weet je zeker dat je daadwerkelijk op de site zit die je hebt ingetikt. Of dat ook de site is die je moet hebben, daar moet je natuurlijk zelf ook op letten

Je kunt eventueel nog in de code kijken of het formulier ook daadwerkelijk naar die webserver gaat (en niet zoals @Jester-NL opmerkt naar bijvoorbeeld Google), maar ik zie vooralsnog geen rode vlaggen. Jezelf ergens inschrijven gaat wel vaker zonder dat je eerst in moet loggen; als je in kunt loggen heb je jezelf al ingeschreven Wel kunnen ze het inschrijven en de rest van je dossier uit elkaar trekken, maar dit is wel zo gebruiksvriendelijk; nu hoef je maar één keer iets in te vullen.

ETA: Overigens, over inloggen met DigID: Daar zitten voor de eigenaar van de site echt de nodige haken en ogen aan. Abonnementen, betalen per inlog(poging), heel veel regels waar je aan moet voldoen, audits... Toegegeven, die regels zijn niet onredelijk en aan veel ervan zou je uit jezelf toch willen voldoen, maar met DigID maken ze het wel allemaal heel officieel en soms een beetje ingewikkeld. Ik snap echt wel dat niet iedereen zomaar DigID in wil zetten om mee in te laten loggen

[Voor 12% gewijzigd door Paul op 11-06-2020 15:51]

[wildpicture]

Bedankt voor de info. Als ik het goed begrijp gaat de info niet direct naar een server bij hun. Maar naar een provider waar de data vijf dagen blijft staan. In die tijd kunnen zij het dan downloaden naar hun eigen systeem. Na vijf dagen wordt het bij de provider verwijderd. Ik kan in de code geen server terugvinden (ligt waarschijnlijk aan mijn beperkte kennis) maar ik geloof echt niet dat het een Google form is of naar een andere site gaat.

Het niet inloggen blijft bij mij vreemd overkomen. Normaal moet je bij gevoelige informatie meestal inloggen (vaak tweetraps of op mijn werk zelfs drietraps authenticatie) en daardoor weet de ontvanger wie er inlogt en weet de verzender naar wie hij het verzendt.

[Paul]

wildpicture schreef op donderdag 11 juni 2020 @ 16:08:
Bedankt voor de info. Als ik het goed begrijp gaat de info niet direct naar een server bij hun. Maar naar een provider waar de data vijf dagen blijft staan. In die tijd kunnen zij het dan downloaden naar hun eigen systeem.

Waarschijnlijk is dat de webserver zelf, die zal bij de hoster staan. Geen hele rare constructie.

daardoor weet de ontvanger wie er inlogt

Eens, maar je bent je aan het aanmelden; ze kennen je nog niet Als ze je niet kennen dan is inloggen lastig.

en weet de verzender naar wie hij het verzendt.

Dat weet je met HTTPS ook

[wildpicture]

[...]
Eens, maar je bent je aan het aanmelden; ze kennen je nog niet Als ze je niet kennen dan is inloggen lastig.

Klopt. Maar ze zouden iets als DigiD kunnen gebruiken voor identificatie. Ik kan bij mijn ziektekostenverzekeraar ook niets zonder DigiD.

Of, nog beter, de procedure anders opzetten. Je meldt je aan met alleen NAW. Vervolgens krijg je een brief met (tijdelijke) inlogcode en het verzoek om: in te loggen, wachtwoord aan te passen en dan kun je vervolgens je medische dossier invullen.

[mcDavid]

wildpicture schreef op vrijdag 12 juni 2020 @ 13:47:
[...]


Klopt. Maar ze zouden iets als DigiD kunnen gebruiken voor identificatie. Ik kan bij mijn ziektekostenverzekeraar ook niets zonder DigiD.

Of, nog beter, de procedure anders opzetten. Je meldt je aan met alleen NAW. Vervolgens krijg je een brief met (tijdelijke) inlogcode en het verzoek om: in te loggen, wachtwoord aan te passen en dan kun je vervolgens je medische dossier invullen.

Dat kan allemaal, maar zoals anderen ook al aangeven: Daar word jij zelf niets wijzer van, en wordt de verwerking van jouw gegenvens ook niet beter of veiliger van.

[kodak]

Is de site waar je op moet invullen van de huisarts (en het certificaat dus ook)? Indien ja, dan gaat je data (in principe) direct en versleuteld naar de huisarts toe.

Het gaat dan versleuteld naar de site van de huisarts. Dat zegt niet of het daar veilig is opgeslagen en of het vervolgens veilig in te zien is door de huisarts.

Dat een willekeurige bezoeker persoonsgegevens kan opsturen klinkt niet verstandig. Want hoe zorgt de huisarts er dan voor dat die zeker weet dat die gegevens van de persoon zijn die ze heeft opgegeven?

In plaats van hier te gaan raden wat er wel of niet veilig zou zijn is de beste optie om gewoon aan de huisarts te vragen waarom het veilig genoeg zou zijn. En als je twijfelt kun je de gegevens ook persoonlijk afgeven.