Namen, bsn-nummers, en zelfs globale medische informatie. Vijf tandartspraktijken maakten die gegevens per ongeluk toegankelijk voor iedereen die wist waar hij ongeveer moest zoeken. Van wachtwoorden of andere beveiligingsmaatregelen waren de gegevens niet voorzien. Ook het aanpassen van de data was mogelijk.

“Ik kwam deze gegevens tegen toen ik bezig was met het voorbereiden van een gastles”, zegt tweedejaars student technische informatica Tim Koers, de ontdekker van het datalek. “Na drie tot vier minuten zoeken kwam ik dit tegen.” Koers stuitte erop via Zorgsom, een systeem waarmee patiënten een indicatie kunnen krijgen van hoeveel ze terugkrijgen van hun zorgverzekering.

In de video hieronder legt Koers uit hoe hij per toeval de gegevens van duizenden patiënten ontdekte:

Met de nieuwe privacywet, die op 25 mei ingaat, kan dit soort datalekken worden bestraft, zegt Aleid Wolfsen, voorzitter van de Autoriteit Persoonsgegevens. “Nu kunnen we alleen boetes opleggen als sprake is van opzet of schuld. Maar straks geldt: als het fout is, is het fout.” Juist in een sector die zoveel met gevoelige informatie werkt, is dat volgens hem belangrijk.

Koploper

De zorg is koploper bij het lekken van data. Van de tienduizend datalekken die vorig jaar zijn gemeld, kwam bijna een derde uit de zorg. Vooral ziekenhuizen en apotheken lekten veel data, in de meeste gevallen door informatie per ongeluk naar de verkeerde persoon te sturen.

“We zien te vaak dat er slordig met zorgdata wordt omgegaan en dat de beveiliging niet goed op orde is”, zegt Wolfsen. Daar staat tegenover dat de zorg volgens hem datalekken relatief snel en goed meldt.

Sinds 2016 moeten datalekken verplicht worden gemeld bij de Autoriteit Persoonsgegevens. Maar sancties waren er tot dusver niet. In ruim twee jaar is geen enkele boete opgelegd, onder meer omdat de lat daarvoor nu erg hoog ligt.

Dat gaat veranderen, zegt Wolfsen. “Tegen dit soort datalekken kunnen we straks sneller en makkelijker optreden”.

Schrikken

Tandarts Aad Hermann schrikt als hij hoort dat er persoonlijke gegevens van zijn cliënten onbeveiligd op het web gestaan hebben. “Mensen staan te goeder trouw bij ons ingeschreven. Het is natuurlijk niet de bedoeling dat hun gegevens op straat komen te liggen. Ook al zijn de gegevens waar ik mee werk minder gevoelig dan gegevens uit bijvoorbeeld de jeugdpsychiatrie, het gaat toch om persoonlijke informatie.”

Bron: www.nos.nl