Nieuwsbrief mei – Zieke ex werknemers, datalekken, AVG toolbox en meer

In 2017 meldden organisaties 10.009 datalekken bij toezichthouder de Autoriteit Persoonsgegevens (AP). Dat is een stijging van ruim 70% ten opzichte van 2016. Organisaties zijn dus wel degelijk bezig met het vraagstuk privacy. Tegelijkertijd is het natuurlijk ook een signaal dat in 10.000 gevallen de beveiliging van persoonsgegevens (tool) nog niet volledig op orde bleek te zijn. De sectoren die het vaakst melding moesten doen, waren Zorg en Welzijn, Openbaar Bestuur en Financiële Dienstverlening. Niet helemaal verbazingwekkend, omdat er in die sectoren heel veel met al dan niet bijzondere persoonsgegevens wordt gewerkt. Overigens heeft de AP in geen van deze gevallen een boete uitgedeeld.

Menselijke fouten niet altijd te voorkomen

De AP specificeerde wat er allemaal misging met persoonsgegevens in het vierde kwartaal van 2017. Hieruit blijkt dat een datalek niet altijd te voorkomen is, omdat het leeuwendeel van de lekken op het conto van persoonlijke fouten geschreven kan worden. Iedere organisatie zal waarborgen inbouwen om te werken met de grootste zorgvuldigheid, maar menselijke fouten zijn niet altijd te voorkomen. Waar ging het mis?

• 50%: verstuurd of afgegeven aan verkeerde ontvanger;
• 14%: apparaat, gegevensdrager of papieren documenten kwijtgeraakt of gestolen;
• 9%: brief of pakket kwijtgeraakt of geopend retour ontvangen;
• 5%: hacking, malware of phishing;
• 5%: per ongeluk gepubliceerd;
• 4%: aan verkeerde klant getoond in klantportaal;
• <1%: nog aanwezig op afgedankt apparaat;
• <1%: bij oud papier gezet;
• 13%: overig.

Met nieuwe wet hebben ook tandartsen die patiëntgegevens lekken een probleem

Namen, bsn-nummers, en zelfs globale medische informatie. Vijf tandartspraktijken maakten die gegevens per ongeluk toegankelijk voor iedereen die wist waar hij ongeveer moest zoeken. Van wachtwoorden of andere beveiligingsmaatregelen waren de gegevens niet voorzien. Ook het aanpassen van de data was mogelijk.

“Ik kwam deze gegevens tegen toen ik bezig was met het voorbereiden van een gastles”, zegt tweedejaars student technische informatica Tim Koers, de ontdekker van het datalek. “Na drie tot vier minuten zoeken kwam ik dit tegen.” Koers stuitte erop via Zorgsom, een systeem waarmee patiënten een indicatie kunnen krijgen van hoeveel ze terugkrijgen van hun zorgverzekering.

Met de nieuwe privacywet, die op 25 mei ingaat, kan dit soort datalekken worden bestraft, zegt Aleid Wolfsen, voorzitter van de Autoriteit Persoonsgegevens. “Nu kunnen we alleen boetes opleggen als sprake is van opzet of schuld. Maar straks geldt: als het fout is, is het fout.” Juist in een sector die zoveel met gevoelige informatie werkt, is dat volgens hem belangrijk.

Koploper

De zorg is koploper bij het lekken van data. Van de tienduizend datalekken die vorig jaar zijn gemeld, kwam bijna een derde uit de zorg. Vooral ziekenhuizen en apotheken lekten veel data, in de meeste gevallen door informatie per ongeluk naar de verkeerde persoon te sturen.

“We zien te vaak dat er slordig met zorgdata wordt omgegaan en dat de beveiliging niet goed op orde is”, zegt Wolfsen. Daar staat tegenover dat de zorg volgens hem datalekken relatief snel en goed meldt.

Sinds 2016 moeten datalekken verplicht worden gemeld bij de Autoriteit Persoonsgegevens. Maar sancties waren er tot dusver niet. In ruim twee jaar is geen enkele boete opgelegd, onder meer omdat de lat daarvoor nu erg hoog ligt.

Dat gaat veranderen, zegt Wolfsen. “Tegen dit soort datalekken kunnen we straks sneller en makkelijker optreden”.

Schrikken

Tandarts Aad Hermann schrikt als hij hoort dat er persoonlijke gegevens van zijn cliënten onbeveiligd op het web gestaan hebben. “Mensen staan te goeder trouw bij ons ingeschreven. Het is natuurlijk niet de bedoeling dat hun gegevens op straat komen te liggen. Ook al zijn de gegevens waar ik mee werk minder gevoelig dan gegevens uit bijvoorbeeld de jeugdpsychiatrie, het gaat toch om persoonlijke informatie.”