Waar gaat het over?
Tot nu toe hebben 156 bedrijven en organisaties aan de Autoriteit Persoonsgegevens doorgegeven dat gegevens van hun klanten mogelijk op straat zijn komen te liggen door een groot datalek bij softwareleverancier Nebu (dochterbedrijf van Enghouse Systems in Canada). Zowel CZ als Arboned hebben conform de regels de betrokken klanten over het datalek geïnformeerd. Er is echter nog steeds niet bekend WELKE data zijn gelekt.
Persoonsgegevens die gelekt worden zijn altijd zorgelijk, maar binnen de (arbo)zorg nóg wat ernstiger. Voor een goed begrip daarvan even de definities van een datalek en wat valt nu precies onder het containerbegrip ‘persoonsgegevens’?
Wat is een datalek?
Bij een datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie zonder dat dit de bedoeling is van de organisatie. CZ en Arboned wilden dit zelf natuurlijk niet.
Wat zijn persoonsgegevens?
Persoonsgegevens zijn alle informatie over een persoon en vallen uiteen in twee categorieën.
- Directe persoonsgegevens. Voorbeelden zijn naam, adres, telefoonnummer, emailadres, postcode/huisnummer.
- Indirecte persoonsgegevens: gegevens die in combinatie met andere gegevens iets zeggen over een persoon, ze zijn tot een persoon herleidbaar. Voorbeelden zijn het IP-adres computer, kentekennummer, GPS-gegevens
- Bijzondere persoonsgegevens zijn gevoelige persoonsgegevens. Voorbeelden zijn gegevens over iemands ras, politieke opvattingen, lidmaatschap vakvereniging, godsdienst, seksueel gedrag, genetische informatie, bepaalde biometrische gegevens of GEZONDHEID.
Wat kan er gebeuren met (bijzondere) persoonsgegevens?
Al lange tijd is bekend dat het stelen en lekken van medische gegevens een lucratieve handel is (lucratiever dan diefstal van creditcardgegevens). Medische gegevens bevatten veel meer informatie die bijvoorbeeld te gebruiken zijn voor identiteitsfraude of fraude bij zorgverzekeraars. Medische gegevens kunnen niet geblokkeerd worden zoals creditcards en er is ook een levendige handel van aandoeningen en medische ingrepen op het darkweb. Voor dossiers gaat dit om bedragen tussen de honderden en duizenden dollars, maar ook lossen data kosten al snel enkele tot tientallen dollars. Jouw gegevens zijn dan dus handel op een markt die je niet kent.
Wat zou ik willen weten als betrokkene?
Als betrokkene zou ik een nadere specificatie willen hebben van wélke data zijn gelekt. Zijn het enkel directe persoonsgegevens dan is dat vervelend maar overkomelijk. Gaat het om indirecte persoonsgegevens/bijzondere persoonsgegevens dan is dat zeer zorgelijk.
De centrale vraag is bovendien…
Is het wenselijk dat arbodiensten en zorgverzekeraars zoveel bijzondere/indirecte persoonsgegevens vragen en opslaan? Welke grens stellen we aan deze datahonger van aan-de-zorg?
DISCLAIMER
Alle informatie en/of artikelen mogen alleen gedeeld worden met bronvermelding. Verwijzing naar dit kennisplatform en auteur Marjet Veldhuis.
