Mocht je al besloten hebben dat je binnenkort de stap wilt nemen van de traditionele dataopslag naar de cloud, dan is dit document een handig naslagwerk. Waarschijnlijk heeft jouw organisatie enorm veel gegevens van patiënten opgeslagen staan; een flink karwei om dat allemaal over te zetten, dus dat zal wel veel tijd kosten toch? In de werkelijkheid kan dit enorm meevallen. Met dit stappenplan zorg jij ervoor dat het overzetten van de patiëntgegevens snel en efficiënt kan plaatsvinden.
Allereerst het privacyvraagstuk: moet er toestemming zijn van de patiënt? Vinden zij het wel goed dat je hun gegevens in de cloud opslaat? Nee, dat is niet nodig. Volgens het Burgerlijk Wetboek (artikel 7:457) is de cloudprovider een rechtstreeks betrokkene bij de uitvoering van de behandelingsovereenkomst en mag daarom zonder toestemming voorzien worden van de benodigde patiëntgegevens.
Stap 1: Risicoanalyse
De eerste stap is het maken van een risicoanalyse. Binnen jouw bedrijf of instelling is het belangrijk om te weten welke risico’s je loopt wanneer patiëntgegevens op straat komen te liggen. Het is van groot belang dat je deze risicoanalyse niet slechts één keer maakt, maar dit vaker doet, bijvoorbeeld eens per jaar.
Stap 2: Cloudprovider zoeken
Als je de risicoanalyse hebt gemaakt kun je gaan kijken welke cloudprovider het beste aansluit bij je plan. Een goed begin om de best geschikte partij te vinden tussen alle cloudproviders is het filteren op certificeringen. Sommige cloudproviders hebben de zogeheten ISO27001 certificering, dat aantoont dat de cloudprovider serieus met de informatiebeveiliging omgaat. Iets specifieker is het als cloudproviders ook nog een NEN7510 certificering hebben, wat inhoudt dat ze aantonen dat ze de beschikbaarheid, integriteit en vertrouwelijkheid van patiëntgegevens waarborgen. The Sourcing Company is één van die gespecialiseerde cloudproviders die beschikt over zowel IS27001 als NEN7510 certificeringen.
Waar je tevens op moet letten bij het kiezen van de cloudprovider is de plek waar zij hun data fysiek opslaan. Bij The Sourcing Company is dat letterlijk in Nederland, bij andere cloudproviders is dat binnen of zelfs buiten de EU. Wanneer een cloudprovider buiten de EU haar data opslaat moet je extra goed opletten, want dan gelden er afwijkende regels, die opgelegd zijn vanuit de Nederlandse wetgeving. Let er ook op dat de plaatselijke wetgeving van kracht is! Voor Amerikaanse cloudproviders geldt specifieke wet- en regelgeving vanuit de Verenigde Staten. Lees alles hierover in de infopaper die we samen met het datacenter Interxion Netherlands voor de zorgsector hebben samengesteld: Bewaar patiëntgegevens veilig in de Nederlandse Cloud.
Stap 3: Controleer toegankelijkheid van de cloud
Als je eenmaal gekozen hebt voor de juiste cloudprovider is het van belang om in kaart te brengen of je altijd en overal toegang hebt tot de patiëntgegevens. Niets is vervelender, en in de zorgsector wellicht nog crucialer dan, ‘eventjes geen verbinding’. Dit moet te allen tijden voorkomen worden en vaak kan dit ook. Let hier dus extra goed op en vraag zonodig om extra bevestiging op dit vlak.
Stap 4: De verwerkersovereenkomst
Deze extra bevestiging kun je terug laten komen in de laatste stap die je zet. De verwerkersovereenkomst. In deze overeenkomst is de rol tussen jou als verantwoordelijke, de cloudprovider als bewerker én de eventuele derde als sub-bewerker vastgesteld. Dit is niet alleen handig, maar ook nog eens bij wet verplicht.
Mocht je naar aanleiding van dit stappenplan nog vragen hebben over het overzetten van patiëntgegevens, dan hebben wij cloudspecialisten die je veel meer over dit onderwerp kunnen (en willen!) vertellen. Neem dus gerust contact op!
