Kun je veilig mailen met cliënten?

Kun je veilig mailen met cliënten? Voor praktische zaken zoals een afspraak verzetten of een factuur sturen wel, mits je mailomgeving goed is ingesteld. Voor alles wat over iemands gezondheid gaat, zoals verslagen, verwijzingen of de inhoud van een behandeling, is gewone mail niet genoeg. Daarvoor gebruik je beveiligd mailen of het cliëntportaal van je dossiersysteem.

Wat betekent dit voor jou?

Mail voelt als een gesloten envelop, maar is eerder een briefkaart die langs een paar postkantoren gaat. Een verkeerd getypt adres is genoeg om gegevens bij een onbekende te laten belanden. Spreek daarom met jezelf af wat wel en wat niet per gewone mail gaat, en regel voor de rest een beveiligde weg.

Wat er mis kan gaan

Verkeerd adres

Dit is de meest voorkomende fout. Een cliënt met dezelfde voornaam, een automatisch aangevuld adres of een typfout, en je mail met gevoelige informatie komt bij de verkeerde persoon terecht. Dat is direct een datalek. De Autoriteit Persoonsgegevens noemt onbeveiligd mailen van gevoelige gegevens al jaren als een van de bekende oorzaken van datalekken in de zorg.

Onderweg meelezen

Gewone mail wordt tussen mailservers meestal versleuteld verstuurd, maar dat is niet altijd gegarandeerd. En in de mailbox van de ontvanger staat hij gewoon leesbaar, ook als die mailbox slecht beveiligd is.

Nagemaakte mail uit jouw naam

Andersom kan ook. Als je domein niet goed is ingesteld, kan iemand een mail sturen die van jouw praktijk lijkt te komen. Bijvoorbeeld een bericht dat een afspraak is verzet met een link om "opnieuw te plannen". Cliënten vertrouwen jouw naam, en dat maakt het gevaarlijk.

Wat valt onder gewone mail en wat niet?

Een praktische verdeling:

• Gewone mail is prima voor: een afspraak bevestigen of verzetten, algemene praktijkinformatie, een factuur zonder inhoudelijke toelichting.
• Beveiligd mailen of cliëntportaal voor: verslagen, verwijsbrieven, testuitslagen, vragenlijsten, alles waarin staat waarvoor iemand bij je komt.

Twijfel je? Dan hoort het in de tweede groep.

Zo regel je het

Beveiligd mailen

Er zijn diensten waarmee je per bericht kiest voor een beveiligde verzending. De ontvanger krijgt dan een melding en opent het bericht na een extra controle, bijvoorbeeld met een sms-code. Veel praktijken gebruiken zo'n dienst naast hun gewone mail. Vraag bij je beroepsvereniging welke diensten daar gebruikelijk zijn.

Het cliëntportaal van je dossiersysteem

Heeft je dossiersysteem een portaal of een beveiligde berichtenfunctie, gebruik die dan. De gegevens blijven dan in dezelfde beveiligde omgeving als je dossier. De AP schrijft dat zorgaanbieders passende maatregelen moeten nemen om gezondheidsgegevens te beveiligen, en verwijst daarbij naar de norm NEN 7510.

Je eigen mailomgeving op orde

Ook voor de gewone mail is er werk:

• tweestapsverificatie op je mailbox
• een mailomgeving van een betrouwbare partij, zoals Microsoft 365 of Google Workspace, met een verwerkersovereenkomst
• SPF, DKIM en DMARC op je domein, zodat niemand mail uit jouw naam kan sturen

Dat laatste check je in een paar seconden met de gratis mailcheck. In kan iemand mailen uit jouw naam? lees je wat die drie instellingen doen.

Afspraken met cliënten

Vertel cliënten bij de intake hoe je communiceert: wat er per gewone mail gaat, wat via het portaal en wat je liever telefonisch bespreekt. Dat voorkomt dat iemand uit zichzelf een uitgebreid verhaal of een verwijsbrief naar je gewone mailadres stuurt.

Veelgestelde vragen

Mag een cliënt zelf iets gevoeligs naar me mailen?

Dat kan iemand altijd doen, maar je kunt het voorkomen door duidelijk te maken welke weg je liever hebt. Stuur gevoelige reacties dan via de beveiligde weg terug.

Is versleutelde mail verplicht?

De wet schrijft geen specifiek middel voor, maar wel dat de beveiliging passend moet zijn bij de gevoeligheid van de gegevens. Voor gezondheidsgegevens is gewone mail daarvoor meestal niet genoeg.

Kan ik WhatsApp gebruiken voor afspraken?

Voor praktische afspraken gebruiken veel praktijken het, maar het is geen plek voor inhoudelijke informatie. Bespreek het met je beroepsvereniging.

Help jij met de mailinstellingen?

Ja. Ik zet SPF, DKIM en DMARC stap voor stap goed en help je mailomgeving veilig in te richten. Voor de keuze van een beveiligde maildienst en de juridische kant verwijs ik je naar je beroepsvereniging of een privacyjurist.