Beveiligingsexperts eisen CBP-onderzoek gehackte kliniek

Source: Nu.nl

Acht beveiligingsexperts zijn een juridische procedure begonnen om een onderzoek af te dwingen naar slechte beveiliging van medische gegevens bij Diagnostiek voor U.

De kliniek klaagde 50Plus-voorman Henk Krol aan toen hij als journalist een lek aantoonde. De experts dienden allemaal een zogenoemd handhavingsverzoek in bij het College bescherming persoonsgegevens (CBP). In een brief stellen ze dat niet wordt voldaan aan de wetgeving die eist dat 'passende technische en organisatorische maatregelen' moeten worden genomen om persoonsgegevens te beveiligen tegen 'verlies of onrechtmatige verwerking'. Zij stellen dat voor medische gegevens het gebruik van een gebruikersnaam en wachtwoord onvoldoende is.

Gevangenen

Bovendien bleek onlangs dat medewerkers van het ministerie van Justitie toegang hebben tot urinetesten van gedetineerden. De experts betwijfelen of voldoende is gewaarborgd dat medewerkers van het ministerie niet ook bij andere patiëntgegevens kunnen.

Onbevoegden

Verder vermoeden ze dat de Wet op de geneeskundige behandelovereenkomst is overtreden. Volgens die wet heeft Diagnostiek voor U de plicht om te voorkomen dat onbevoegden in medische dossiers kunnen komen. “De zaak roept zo veel zorgen op dat ik u verzoek handhavend op te treden”, schrijven de beveiligingsexperts. Door ook om een besluit te vragen, staat de weg naar de rechter open als het CBP geen onderzoek start.

Onderzoek

Het CBP bevestigt tegenover NU.nl meerdere handhavingsverzoeken te hebben ontvangen. Of er inmiddels al een onderzoek is ingesteld kan de organisatie niet zeggen, omdat er nog een strafzaak tegen Krol loopt. Wel is duidelijk dat er inmiddels vragen aan Diagnostiek voor U zijn gesteld. Dat vertelde advocaat Henk van Dijk de rechters toen Krol vrijdag terechtstond wegens het hacken van Diagnostiek voor U. De instelling moest een audit laten doen op het systeem en die aan het CBP overleggen. De kosten van dat onderzoek wil Diagnostiek voor U verhalen op Krol. Niet duidelijk is of de privacywaakhond aanvullend onderzoek doet. Ook kan een zegsvrouw niet zeggen of de verzoeken leiden tot nadere aandacht voor Diagnostiek voor U.

Vertrouwelijk

Beveiligingsexpert André Koot, initiatiefnemer van de actie, zegt meerdere redenen te hebben om een handhavingsverzoek in te dienen. "De belangrijkste is dat ik niet kan begrijpen dat een organisatie ermee weg kan komen om zonder passende beveiligingsmaatregelen hoogst vertrouwelijke gegevens te bewaren. Ik vind dat schandalig." "Zolang organisaties als Diagnostiek voor U er met een 'foei' vanaf komen kun je iedere vorm van het EPD vergeten", aldus Koot, een expert in de toegang tot informatiesystemen.

Gemakzucht

Ook beveiligingsexpert en hoofdredacteur van Informatie Beveiliging Lex Borgers is ontstemd. "Ik vind het schokkend om te zien dat medische dossiers zo ontsloten worden. Er zit een gemakzucht aan de medische kant, die nou eens afgelopen moet zijn", zegt hij tegenover NU.nl. Hij benadrukt dat beveiliging op meer plaatsen slecht is geregeld in de zorg. "Deze zaak wordt wel op een presenteerblaadje aangereikt. Het zou mooi zijn als het CBP dit aangrijpt om zorginstellingen op hun verantwoordelijkheden te wijzen", zegt privacydeskundige Christiaan van ’t Hof tegenover NU.nl. Hij schrijft momenteel een boek over het onthullen van lekken op een verantwoordelijke manier.

Vervolging

De beveiligingsexperts zijn ook kritisch over de manier waarop Diagnostiek voor U met Krol is omgegaan. Krol wordt strafrechtelijk vervolgd voor het hacken van het systeem van het laboratorium. Vrijdag eiste de Officier van Justitie een boete van 1500 euro tegen het 50Plus-kamerlid, waarvan ‘om herhaling te voorkomen’ de helft voorwaardelijk.

Terug