Uw receptionist is uw grootste AVG-beveiligingsrisico — en het is niet haar schuld
De Autoriteit Persoonsgegevens (AP) waarschuwt: het toenemende aantal datalekken wordt veroorzaakt door medewerkers die phishing-e-mails openen. Niet de IT-systemen. Niet de hackers alleen. Mensen — zonder training, zonder ervaring, zonder kennis van waar ze op moeten letten. Het is niet hun fout. Het is uw verantwoordelijkheid als praktijkhouder.
Waarom de receptionist het primaire doelwit is
Cybercriminelen weten dat de receptionist de persoon in de praktijk is die de meeste e-mails van onbekende afzenders verwerkt, toegang heeft tot boekings- en patiëntregistratiesystemen en doorgaans de minste IT-ervaring heeft van alle medewerkers. Dat komt niet omdat ze onverantwoordelijk is — het komt omdat haar nooit is uitgelegd waar ze op moet letten.
De 5 tekenen van een phishing-e-mail
Phishing-e-mails zijn ontworpen om haast en autoriteit uit te buiten. Ze zien eruit alsof ze afkomstig zijn van DigiD, Microsoft of uw patiëntensysteem. Train uw personeel op deze 5 tekenen:
- Het e-mailadres van de afzender klopt niet — "support@digid-verify.com" in plaats van digid.nl
- Urgentie — "binnen 24 uur", "uw account wordt gesloten", "onmiddellijke actie vereist"
- De link leidt ergens anders naartoe — beweeg over de link en controleer de URL voor u klikt
- Er wordt om inloggegevens gevraagd — geen legitieme dienst vraagt om uw wachtwoord via e-mail
- Iets voelt niet goed — leer personeel dat gevoel te vertrouwen en een collega te vragen
Artikel 32 van de AVG vereist dat u passende technische en organisatorische maatregelen neemt om persoonsgegevens te beschermen — inclusief het trainen van medewerkers. "Organisatorische maatregelen" omvat uitdrukkelijk bewustwordingstraining voor personeel. Dit moet worden gedocumenteerd.
Het is de verantwoordelijkheid van de praktijk — niet van het personeel
De AVG is duidelijk: de verwerkingsverantwoordelijke — u als praktijkhouder — heeft de plicht te zorgen dat medewerkers getraind zijn en dat de training gedocumenteerd is. Een e-mail sturen met "vergeet de AVG niet" is niet voldoende. U moet kunnen bewijzen wie getraind is, waarop en wanneer.
Kunt u bewijzen dat uw personeel getraind is?
SikkerKlinik traint uw praktijkpersoneel in AVG en phishing — en documenteert dit automatisch. Gratis voor praktijken met maximaal 5 medewerkers.
Gratis starten — geen kaart vereist →