Bij het commerciële testbedrijf U-Diagnostics worden gevoelige persoonsgegevens en medische gegevens gedeeld in een WhatsApp-groep met driehonderd leden en opgeslagen in een slecht beveiligde database. Onder meer bedrijven, zorginstellingen en Defensie gebruiken U-Diagnostics.
U-Diagnostics heeft in Nederland meerdere posten onder de merknaam Health Check Centre opgericht, waar naar eigen zeggen duizenden mensen dagelijks worden getest op corona. Nieuwsuur kreeg toegang tot een WhatsApp-groep van het bedrijf waarin driehonderd werknemers hulpvragen naar elkaar kunnen sturen. Bij deze vragen worden persoonlijke en medische gegevens gedeeld van patiënten, met onder meer afbeeldingen van paspoorten, ID-kaarten, rekeningafschriften en testuitslagen.
Onder meer een hoogleraar gezondheidsrecht bevestigt tegen Nieuwsuur dat deze gegevens niet zomaar in groepen mogen worden gedeeld, maar alleen met mensen die direct betrokken zijn bij iemands behandeling. U-Diagnostics zegt tegen Nieuwsuur het uitwisselen van 'uitgebreide' persoonsgegevens nu te verbieden. Het bedrijf gaat daarnaast personeel dat gegevens heeft gedeeld aanspreken 'en eventuele zware maatregelen nemen'.
In de WhatsApp-groep vroegen werknemers meermaals om wachtwoorden om in het U-Diagnostics-systeem te komen. Om in het systeem in te loggen, is een e-mailadres en wachtwoord nodig. Van tweestapsverificatie of sms-code is volgens Nieuwsuur geen sprake. In deze database zijn de persoonsgegevens van tienduizenden mensen te vinden, stelt het medium. Het gaat hier om geboortedata, paspoortnummers, BSN, e-mailadressen, reisbestemmingen en testuitslagen. U-Diagnostics gaat deze database vannacht 'beter beveiligen, opdat slechts daartoe uitdrukkelijk gemachtigden toegang hebben'. Tegelijkertijd claimt het bedrijf hun platform volgens de AVG te hebben ingericht.
De coronatests van U-Diagnostics zijn onder meer door klanten van TUI en Corendon, werknemers van Ahold, huisartsenpraktijken en zorginstellingen gebruikt. Het ministerie van Defensie gebruikte de coronatests ook voor militairen die uitgezonden werden. In de database van U-Diagnostics staat vermeld wanneer Defensie opdrachtgever is en ook waar de militair naar vertrok, evenals persoonlijke gegevens. Volgens een militair historicus zijn deze gegevens interessant voor buitenlandse inlichtingendiensten.
Het ministerie van Defensie heeft het testen bij U-Diagnostics vooralsnog opgeschort en heeft informatiebeveiligingsexperts naar het bedrijf gestuurd. Ook heeft het ministerie een melding gedaan bij de Autoriteit Persoonsgegevens. Meerdere bedrijven die de diensten van U-Diagnostics gebruikten, zeggen in gesprek te willen gaan met het bedrijf. Nieuwsuur kreeg via een interne bron inzage in het WhatsApp-berichtenverkeer van U-Diagnostics.