Bericht over ChipSoft

Afgelopen periode is er berichtgeving geweest over de cyberaanval bij Chipsoft van 7 april 2026. Daarbij hebben cybercriminelen ransomware (gijzelsoftware) ingezet, waarmee systemen van ChipSoft zijn versleuteld. ChipSoft geeft aan direct maatregelen te hebben genomen om de gevolgen van dit incident zoveel mogelijk te beperken. Heliomare maakt gebruik van de dienstverlening van ChipSoft voor ons elektronisch patiëntendossier en wij hebben alle door ChipSoft aangegeven maatregelen opgevolgd.

Op donderdag 16 april heeft ChipSoft ons geïnformeerd dat de cybercriminelen mogelijk toegang hebben gehad tot patiënt-/cliëntgegevens van Heliomare. Op dit moment zijn wij de gevolgen van deze informatie voor Heliomare aan het onderzoeken. Zodra het kan zullen wij patiënten, cliënten en ouders van kinderen en jongeren informeren.

We betreuren deze situatie ten zeerste en houden de betrokkenen op de hoogte van eventuele verdere ontwikkelingen.

Heliomare ontvangt veel vragen over de bewaartermijn van het medisch dossier en persoonlijke gegevens. En dat is begrijpelijk. Onderaan deze pagina vindt u daarover meer informatie. U kunt ook kijken op de pagina 'Uw medische gegevens'. Daar vindt u ook een formulier wanneer u uw medisch dossier wilt laten vernietigen.

Veelgestelde vragen 

1) Wat betekent dit voor mij als patiënt-/cliënt bij Heliomare?

Uit voorzorg vragen we op te letten voor het volgende:

• Zoals u wellicht al weet, kunnen derden persoonsgegevens proberen te misbruiken. Bijvoorbeeld door zich via de telefoon of via e-mail voor te doen als iemand van uw bank. Blijf daarom altijd alert op dit soort telefoontjes, sms’jes, appjes of e-mails.
• Let goed op bij het openen van links in e-mails, sms’jes en appjes. U kunt een verdachte e-mail, sms of app vaak herkennen aan typfouten en onbekende afzenders. Controleer het telefoonnummer. Of wat er na het ‘@’-teken van een e-mailadres staat.
• Krijgt u een onverwacht telefoontje van een nummer dat u niet kent? Het kan zijn dat er echt een medewerker van uw bank of een ander bedrijf belt. U kunt dit controleren door de beller te vragen naar zijn/haar voor- en achternaam en hem/haar te vragen naar het algemene telefoonnummer is van het bedrijf. Zeg dat u graag eerst wil controleren of de persoon een echte medewerker is en hang op. Controleer vervolgens op de website van het bedrijf of het nummer inderdaad klopt. Klopt het nummer? Bel dan zelf en vraag naar de medewerker die u heeft gebeld.
• Geef nooit iemand uw wachtwoord of pincode.
• Criminelen proberen soms de kopie van een geldig identiteitsdocument te gebruiken om namens iemand anders spullen te kopen, een lening aan te vragen of een contract te ondertekenen. Wilt u meer informatie over identiteitsfraude? Of denkt u het slachtoffer te zijn van identiteitsfraude? Dan kunt u ook terecht bij het Centraal Meldpunt Identiteitsfraude (CMI) van de Rijksoverheid.
• Wees alert op het ontvangen van valse facturen. Cybercriminelen kunnen misbruik maken van de situatie door valse facturen te sturen die van ons lijken te komen. Controleer daarom altijd zorgvuldig de herkomst en juistheid van ontvangen facturen voordat u overgaat tot betaling. Neem bij twijfel altijd contact met ons op.
  
  

2) Welke acties heeft Heliomare ondernomen?

De aanval heeft plaatsgevonden bij ChipSoft, waardoor Heliomare afhankelijk is van Chipsoft voor informatie over dit incident. Wij volgen alle aanbevelingen voor maatregelen op die wij van ChipSoft ontvangen.

Omdat wij groot belang hechten aan onze patiënten en zorg hebben we een crisisteam samengesteld en externe expertise ingeschakeld om ons te ondersteunen. Daarnaast hebben wij een melding van dit incident gemaakt bij de Autoriteit Persoonsgegevens en de Inspectie Gezondheidszorg en Jeugd.

3) Kan ik in MijnHeliomare om afspraken etc. te bekijken?

Ter uitvoering van de instructies van ChipSoft is het patiëntenportaal MijnHeliomare momenteel uitgeschakeld. Dit blijft zo totdat zeker is dat het portaal weer veilig kan worden gebruikt. 

De patiëntenzorg gaat ondertussen gewoon door. Zorgverleners kunnen blijven werken met het elektronisch patiëntendossier HiX. Als patiënt kunt u tijdelijk alleen geen gebruikmaken van MijnHeliomare om afspraken of andere informatie in te zien. Bent u op zoek naar algemene informatie over MijnHeliomare klik dan hier: MijnHeliomare zorgportaal.

4) Heeft dit incident invloed op mijn zorgverlening?

Nee, gelukkig is het deel van ons patiëntenportaal dat nodig is voor de dagelijkse zorg beschikbaar. Hierdoor kan deze zorg gewoon doorgaan.

5) Heeft u vragen of zorgen?

Neem gerust contact met ons op via e-mail ChipSoft@heliomare.nl of telefonisch via het klantcontactcentrum op 020 -  511 21 45. Het klantcontactcentrum is bereikbaar van maandag t/m vrijdag tussen 07:00 en 22:00 uur.

6) Welke gegevens bewaart Heliomare van mij?

Als zorginstelling is Heliomare wettelijk verplicht om bepaalde gegevens te bewaren. Hieronder vindt u een overzicht van welke gegevens. De bewaartermijn van uw medische revalidatiedossier is volgens de Wet op de Geneeskundige Behandelingsovereenkomst 20 jaar. 

Medisch dossier

Wij zijn op basis van de wet (WGBO) verplicht om een medisch dossier twintig jaar te bewaren na de laatste wijziging in het dossier.

Het medisch dossier bevat, in elk geval, de volgende persoonsgegevens:

• Voor- en achternaam
• Geboortedatum
• Geslacht
• Contactgegevens
• Bankrekeningnummer
• BSN
• Patiëntnummer
• Medische gegevens (waaronder oorzaak van letsel, overdracht van ziekenhuis, zorgplan, medicatievoorschriften, diagnoses, uitslagen onderzoeken)
• Gegevens over arbeidsongeschiktheid (ingeval van arbeidsintegratie)
• Gegevens over behandeling en begeleiding van leerlingen (ingeval van speciaal onderwijs)
• Contactgegevens noodpersoon

Wanneer u een verzoek bij ons indient voor het vernietigen van uw medisch dossier zijn bovenstaande gegevens niet langer bij ons beschikbaar.

Fiscale gegevens

Gegevens die betrekking hebben op onze financiële administratie zijn wij verplicht te bewaren voor zeven jaar. Denk hierbij aan:

• Factuurgegevens
• Declaratiegegevens (bijvoorbeeld ter facturatie richting zorgverzekeraar)
• Betaalgegevens
• BSN (voor zover gebruikt in declaratieketen)
• Verrichtingen-/DBC-codes voor zover nodig voor facturatie

Als onderneming zijn wij op basis van de wet administratieplichtig. Dit betekent dat ook na het vernietigen van uw dossier, gegevens die relevant zijn voor onze financiële administratie, wij in ieder geval zeven jaar bewaren. Na het verstrijken van deze termijn, vernietigen we ook deze gegevens.

7) Ik wil mijn medisch dossier laten vernietigen. Hoe doe ik dat?

U heeft als cliënt/patiënt het recht om uw medisch dossier te laten vernietigen. Voor de vernietiging dient u een verzoek in bij ons. Dit verzoek kunt u schriftelijk of digitaal bij ons indienen door het vernietigingsverzoekformulier in te vullen.

Vermeld bij uw verzoek de volgende gegevens:

• Voor- en achternaam
• Geboortedatum
• Burgerservicenummer (BSN)
• Patiëntnummer
• Welke gegevens u wil laten vernietigen – het gehele dossier dan wel specifieke gegevens
• Handtekening (van wettelijk vertegenwoordiger indien van toepassing)

Het formulier kunt u per mail versturen aan informatieveilig@heliomare.nl.

Het formulier kunt u per post versturen aan: 

Heliomare
t.a.v. functionaris gegevensbescherming
Postbus 78
1940 AB  Beverwijk

Na ontvangst nemen wij uw verzoek in behandeling. Wij streven ernaar uw verzoek binnen één maand te behandelen. Bij complexe verzoeken kan deze termijn met twee maanden worden verlengd. Blijkt uw verzoek complex te zijn, informeren wij u hier binnen de eerste maand over.

8) Kan Heliomare mijn verzoek om mijn dossier te vernietigen weigeren? 

Het recht op vernietiging van het medisch dossier geldt niet zonder meer. Dit betekent dat wij niet in alle gevallen aan uw verzoek kunnen of mogen voldoen. Bijvoorbeeld wanneer wij op grond van wet- en regelgeving verplicht zijn om bepaalde gegevens te verstrekken of te bewaren. Dit kan betekenen dat wij uw verzoek (nog) niet kunnen uitvoeren.

Het kan daarom zijn dat een van volgende wettelijke weigeringsgronden van toepassing is:

• Wettelijke verplichting: Een wettelijke verplichting verzet zich tegen vernietiging, bijvoorbeeld in het geval van een facturatie aan de zorgverzekeraar.
• Aanmerkelijk belang van anderen: bijvoorbeeld in het geval van erfelijke aandoeningen of het bewaren is noodzakelijk voor wetenschappelijk onderzoek.
• U bent in behandeling bij ons: uw behandeling bij ons nog niet is afgerond en voor de continuïteit van uw zorg is het medisch dossier noodzakelijk.
• Identificatie is onvoldoende: we kunnen uw identiteit niet verifiëren aan de hand van de door u toegezonden gegevens.
• Een lopende rechtsvordering: er is sprake van een juridische procedure waarbij de gegevens beschikbaar moeten blijven.

Mocht er sprake zijn van een of meer van deze gevallen, kunnen wij uw verzoek afwijzen. Wij informeren u ook bij een eventuele afwijzing van uw verzoek.

De veelgestelde vragen worden aangevuld met de nieuwste informatie. Vragen 6, 7 en 8 zijn toegevoegd op dinsdag 21 april 17.00 uur.