NEN 7510 voor tandartspraktijken
Een tandartspraktijk moet voldoen aan de inhoud van NEN 7510 , maar hoeft zich niet te laten certificeren. Volgens de KNMT-richtlijn Patiëntendossier geldt NEN 7510 als de norm voor informatiebeveiliging in de mondzorg, en moet je eraan voldoen zodra je het burgerservicenummer (BSN) verwerkt. In de praktijk betekent dat: een goed beveiligd tandheelkundig informatiesysteem, eigen afspraken over toegang en back-ups, en veilig delen van röntgenbeelden en verwijzingen.
Deze pagina werkt de algemene aanpak uit NEN 7510 voor kleine praktijken uit voor de mondzorg. Je leest wat je leverancier regelt, wat je zelf moet doen en wanneer je een functionaris gegevensbescherming nodig hebt.
Moet een tandartspraktijk NEN 7510 certificeren?
Nee. Certificering is niet wettelijk verplicht. Wat wel verplicht is: passende beveiliging volgens de AVG en de Wabvpz , en die wet verwijst naar NEN 7510. De IGJ verwacht dat je kunt aantonen dat je volgens de norm werkt.
Een certificaat is één manier om dat te bewijzen. Voor de meeste praktijken volstaat aantoonbaar werken volgens de norm, eventueel met een onafhankelijke beoordeling. Lees het verschil op onafhankelijke beoordeling of certificering.
De KNMT heeft een checklist informatiebeveiliging mondzorg waarmee je zelf inventariseert hoe je praktijk ervoor staat. Leden vinden die via Mijn KNMT. Het is een goed startpunt voor je NEN 7510-risicoanalyse.
Wanneer heeft een tandartspraktijk een FG en DPIA nodig?
Dat hangt af van de omvang. De Autoriteit Persoonsgegevens beschouwt de verwerking door een zorgaanbieder als grootschalig als de praktijk meer dan 10.000 patiënten ingeschreven heeft, of gemiddeld meer dan 10.000 per jaar behandelt, én die gegevens in één informatiesysteem staan (AP-uitleg ).
| Praktijk | Ingeschreven patiënten in één systeem | FG verplicht? | DPIA verplicht? |
|---|---|---|---|
| Solopraktijk | 2.500 | Nee, wel aanbevolen | Nee |
| Groepspraktijk met 4 tandartsen | 9.000 | Nee, wel aanbevolen | Nee |
| Groepspraktijk met mondhygiënisten en orthodontist | 14.000 | Ja | Ja, voor de patiëntadministratie |
| Keten met centrale database | 60.000 | Ja | Ja |
Een FG mag je delen met andere praktijken of extern inhuren. De AP raadt ook kleinere zorgaanbieders aan er een te hebben. Hoe een DPIA eruitziet, lees je op DPIA uitvoeren.
Je tandheelkundig informatiesysteem: wat regelt de leverancier?
Het tandheelkundig informatiesysteem (TIS), zoals Exquise, Simplex of Novadent, bevat het hart van je patiëntgegevens. Draait het in de cloud, dan regelt de leverancier een groot deel van de techniek. Draait het op een server in de praktijk, dan ligt meer bij jou of je IT-partner.
| Onderwerp | Meestal geregeld door leverancier | Altijd jouw verantwoordelijkheid |
|---|---|---|
| Hosting en serverbeveiliging | Ja, bij een clouddienst | Bij een server in de praktijk |
| Logging van dossierinzage (NEN 7513) | De functie in de software | Logging aanzetten en logs controleren |
| Back-ups | Bij een clouddienst | Controleren dat terugzetten werkt |
| Accounts en rechten | Mogelijkheden in de software | Wie welke rechten krijgt, en tijdig intrekken |
| Verwerkersovereenkomst | Aanbieden | Tekenen, beoordelen en bewaren |
Vraag je leverancier om het NEN 7510-certificaat en controleer de scope. Leg daarna vast wat jij zelf moet doen. Het KNMT-advies is dat de praktijk altijd moet kunnen beschikken over een goede back-up, bijvoorbeeld in de cloud of op een gegevensdrager die eigendom is van de praktijk.
Röntgenbeelden en scans: het vergeten deel van het dossier
Röntgenfoto’s, CBCT-scans en intraorale scans staan vaak in aparte beeldsoftware of op een losse werkplek bij het röntgenapparaat. Die systemen vallen net zo goed onder NEN 7510. Ze zijn onderdeel van het patiëntendossier.
Controleer drie dingen. Heeft elke gebruiker een eigen account op de beeldsoftware? Wordt de werkplek bij het röntgenapparaat bijgewerkt met beveiligingsupdates? En zitten de beelden in de back-up?
Röntgenbeelden worden vaak gedeeld met een kaakchirurg, orthodontist of tandtechnisch laboratorium. Gewone mail of WeTransfer is daarvoor niet veilig genoeg. Gebruik een dienst die werkt volgens NTA 7516 voor veilig mailen of een beveiligde koppeling. Met het laboratorium sluit je een verwerkersovereenkomst als het in jouw opdracht scans verwerkt.
Voorbeeld: NEN 7510-actielijst voor een tandartspraktijk
Fictief voorbeeld. Tandartspraktijk Molenzicht heeft drie tandartsen, twee mondhygiënisten, vijf assistenten en 7.500 ingeschreven patiënten. Na de KNMT-checklist maakt de praktijkmanager deze actielijst. Neem de opzet over voor je eigen praktijk.
| Risico | Maatregel | Eigenaar | Klaar |
|---|---|---|---|
| Assistenten delen één account op de röntgenwerkplek | Persoonlijke accounts, automatische vergrendeling na 5 minuten | Praktijkmanager | Maart |
| Behandelkamerscherm zichtbaar voor volgende patiënt | Scherm vergrendelen bij wisselen, schermpositie aanpassen | Alle behandelaars | Direct |
| Verwijzingen naar kaakchirurg via gewone mail | Veilige maildienst volgens NTA 7516 | Praktijkmanager | April |
| Oud-medewerkers hebben nog toegang tot het TIS | Uitdienstprocedure met checklist, kwartaalcontrole accounts | Praktijkmanager | Direct |
| Back-up nooit teruggezet | Jaarlijkse hersteltest met IT-partner | IT-partner | Juni |
| Geen datalekprocedure | Eén A4 met stappen, contact AP en Z-CERT | Praktijkhouder | Maart |
Een assistent die een röntgenfoto naar het verkeerde mailadres stuurt, veroorzaakt een datalek met gezondheidsgegevens. Lees op datalek melden wat je dan binnen 72 uur doet.
Bewaartermijn van het tandheelkundig dossier
Ook voor tandartsen geldt de WGBO: je bewaart het dossier 20 jaar vanaf de laatste wijziging. De KNMT noemt het verdedigbaar om tandheelkundige gegevens langer te bewaren, omdat ze van belang kunnen zijn voor forensische odontologie (identificatie van personen). Leg die keuze vast in je beleid.
Het TIS moet je in staat stellen gegevens definitief te verwijderen, bijvoorbeeld na een vernietigingsverzoek van een patiënt. Alle details over termijnen lees je op bewaartermijn medisch dossier.
Aanpak per type tandartspraktijk
Solopraktijk
Je bent zelf verantwoordelijk voor informatiebeveiliging. Begin met de KNMT-checklist en een korte risicoanalyse. Zorg voor een gecertificeerde TIS-leverancier, persoonlijke accounts en een getest herstel van je back-up.
Een paar pagina’s beleid volstaat: wie mag wat, hoe ga je om met mail en wat doe je bij een incident.
Veelgestelde vragen over NEN 7510 in de mondzorg
Geldt NEN 7510 ook voor mondhygiënisten en orthodontisten?
Ja. Iedereen die patiëntgegevens verwerkt en het BSN gebruikt, moet passende beveiliging treffen volgens NEN 7510. Werken ze in jouw praktijk, dan vallen ze onder jouw maatregelen.
Is een tandtechnisch laboratorium een verwerker?
Dat hangt van de afspraken af. Verwerkt het laboratorium scans en patiëntgegevens alleen om jouw opdracht uit te voeren, leg dan de afspraken vast in een verwerkersovereenkomst. Twijfel je over de rol, lees dan verwerker of verwerkingsverantwoordelijke.
Meer lezen
- NEN 7510 voor kleine praktijken - De algemene aanpak voor kleine zorgpraktijken
- NEN 7513 logging - Wie keek in welk dossier?
- NTA 7516: veilig mailen - Röntgenbeelden en verwijzingen veilig versturen
- KNMT-richtlijn Patiëntendossier - Richtlijn van de beroepsorganisatie