OM eist zes maanden cel tegen coronatestlijnmedewerker die dossiers inzag

Het Openbaar Ministerie eist een celstraf van zes maanden, waarvan drie voorwaardelijk, tegen een 23-jarige man die in het CoronIT-systeem gegevens van bekende personen opzocht en deelde met anderen.

De man had toegang tot de gegevens van miljoenen Nederlanders toen hij vorig jaar voor de coronatestlijn van de GGD werkte. Hij zocht eerst testuitslagen van vrienden op en later ook van bekende Nederlanders, waaronder misdaadverslaggevers John van den Heuvel en Peter R. de Vries. Ook zocht hij Badr Hari, Lil Kleine en Jesse Klaver op. Hij maakte screenshots van hun gegevens, maar naar eigen zeggen wilde hij daar niks mee doen.

RTL-journalist Daniel Verlaan is aanwezig bij de rechtbank en doet verslag op Twitter. De zaak kwam aan het licht nadat RTL Nieuws begin dit jaar bekendmaakte dat er gegevens uit het CoronIT-systeem verhandeld werden. De politie heeft daarvoor zeven mensen aangehouden.

De verdachte die nu voor de rechter komt, werd hardhandig opgepakt door een arrestatieteam en heeft in totaal 26 dagen vastgezeten. Volgens de rechter was dat omdat hij de gegevens van John van den Heuvel en Peter R. de Vries had opgezocht. Hij stuurde die door naar een vriend, die ze vervolgens te koop aanbood.

De verdachte zegt dat hij veronderstelde dat hij vrij mocht rondneuzen in het systeem. Het was volgens hem normaal dat GGD-werknemers dat deden. Hij gaf ook zijn CoronIT-inloggegevens aan een vriend, die logde dan in en zo leek het alsof hij aan het werk was.

Volgens de Officier van Justitie staat in de AVG-cursus voor GGD-werknemers duidelijk wat niet mag. Ook wordt de verdachte zwaar aangerekend dat de testbereidheid is afgenomen en het vertrouwen in de overheid is geschaad nadat het nieuws over het datalek bekend werd. Het OM eist zes maanden cel, waarvan drie voorwaardelijk. De uitspraak volgt over twee weken.

De rechter behandelt dinsdagmiddag ook de zaak tegen een 21-jarige man die de gegevens verkocht zou hebben. Op het moment van schrijven is die in behandeling. Volgens de politie bood hij gegevens van zeven personen aan voor 350 euro via Instagram en verkocht hij een andere keer gegevens van één persoon via Telegram voor 50 euro.

Update, 15.49 uur: Het OM eist twaalf maanden cel, waarvan vier voorwaardelijk, tegen de man die gegevens verkocht. Volgens het OM is uit onderzoek gebleken dat de 21-jarige man gegevens van 101 personen onrechtmatig heeft ingezien, deels heeft overgenomen en te koop heeft aangeboden. Ook bood hij op aanvraag aan om gegevens te achterhalen tegen betaling.

Reacties (211)

[MrMonkE]

Okay.. dus eigenlijk vragen ze 6 maanden omdat hij de login gegevens deelde en dat er poging werd gedaan de gegevens te verkopen.

Niet omdat hij de gegevens inzag.

[WhatsappHack]

“Niet omdat hij de gegevens inzag.”

Dat klinkt ergens wel logisch, in principe is immers toegang gegeven tot die info aan hem. Met z’n contract, cursus en NDA. De data zelf inzien was onethisch, maar wellicht niet direct strafbaar. Het vervolgens stelen van de data, willen verkopen met winst en derde partijen toegang geven is waar het duidelijk mis is gegaan.

[Het.Draakje]

Ook al staan ze in de database, hij heeft nog steeds niet het recht op toegang. Een medicus mag alleen de gegevens zien van zijn patiënten. En alleen nog zolang de patiënt onder behandeling is en het gegeven wellicht van invloed is op de behandeling en zolang de behandeling duurt.

Simpel gesteld: als ik mijn been breek, dan mag de chirurg wel de rontgenfoto's bekijken, maar hij heeft niet recht op toegang tot de gegevens over mijn pyromania.

Een medisch assistent mag wel een patiëntendossier bijwerken in opdracht van een arts maar heeft geen recht op inzage.

Voor zowel de arts als de medisch assistent geldt dat er geen recht op grasduinen in medische dossiers bestaat. Daarvoor zijn mensen bestraft, zowel intern bij instituten als strafrechtelijk.

[mrjixies]

Ik kan je wel vertellen dat het in de praktijk heeeeeel anders aan toe gaat. Mijn zus werkt in het ziekenhuis als doktersassistente, en je wilt niet weten wat er allemaal wordt “ingezien”

[tijnvw]

Laten we niet teveel gewicht toekennen aan anekdotes. In ziekenhuizen die met HiX of Epic werken (het overgrote deel van de ziekenhuizen), wordt toegang tot dossiers verdeeld in twee groepen:

- patienten met wie je een behandelrelatie hebt (toegang tot het gehele dossier)
- patienten met wie je (nog) geen geregistreerde behandelrelatie hebt.

Voor de laatste groep krijg je een pop-up met de vraag of je er echt in wilt, dit heet "break the glass". Bij "ja" krijgt je toegang. Nou zul je misschien denken dat dit niets oplost. Nou is het wel zo, dat er tevens bij gemeld wordt, dat je dossierinzage wordt gelogd, en je hiermee dus makkelijk te traceren bent als iemand die het dossier van Persoon X heeft ingezien (wordt standaard geaudit voor BN'ers -mijn ervaring in het AMC- bijvoorbeeld). Je baas krijgt dus wel een telefoontje als je ineens het dossier van Peter R probeerde in te zien.

Ook zul je misschien denken: waarom is optie 2 om gegevens van patienten met wie je geen behandelrelatie hebt, uberhaupt mogelijk? Welnu: als er een patient voor de longgeneeskunde op de afdeling ligt, maar die krijgt ineens een hartritmestoornis, is het toch wel bijzonder handig als je met een "break the glass" even kunt opzoeken of deze persoon bekend is met een hartkwaal, welke medicatie hij gebruikt en of hij allergieën heeft. Zo wordt zorg beter zonder dat privacy er (teveel) op inlevert.

Uiteraard zal met elk systeem misbruik mogelijk blijven, maar belangrijkst is dat je mensen bewust maakt (break the glass-popup), het transparant en controleerbaar maakt (loggen van toegang) en er consequenties zijn (in je contract en trouwens ook in de wet staat keurig wat wel en niet mag).

[Reactie gewijzigd door tijnvw op 23 juli 2024 18:32]

[Verwijderd]

wat een mooi systeem het lijkt me dat een systeem zoals CoronIT ook zoiets zou moeten hebben..

[Empror1]

wat een mooi systeem het lijkt me dat een systeem zoals CoronIT ook zoiets zou moeten hebben..

Wat dit specifieke systeem kan weet ik niet, maar uit het nieuwsbericht blijkt wel duidelijk dat van de verdachte te herleiden was welke dossiers hij ingezien heeft. Volgens mij is dat dus voldoende, als een medewerker bereid is een misdrijf te plegen om iets voor elkaar te krijgen kan je je daar bijna niet tegen wapenen als organisatie.

[massareal]

Ik zat in de commissie, die over de aanbesteding boog bij ons ziekenhuis, maar CoronIt nooit van gehoord.
Wij hadden 4 partijen die aan de winning meededen, 1 had al helemaal niks ingeleverd, 1 andere kon niet voldoen aan de minimale criteria. Van de 2 partijen die overbleven, werd het uiteindelijk EPIC, Chipsoft viel af.
Dat vrij inkijken zit er niet in, je bent behandeldrelatie of niet.
Enkel het proberen kan je al (zeker bij BN-ers) een berisping opleveren.
Als ik mij het goed herinner is dit m.b.t. persoonsgegevens vast gelegd in de BIG
In college krijg je het nu standaard (was volgens mij gisteren bij ons op de universiteit(digitaal))

[Empror1]

Ook zul je misschien denken: waarom is optie 2 om gegevens van patienten met wie je geen behandelrelatie hebt, uberhaupt mogelijk? Welnu: als er een patient voor de longgeneeskunde op de afdeling ligt, maar die krijgt ineens een hartritmestoornis, is het toch wel bijzonder handig als je met een "break the glass" even kunt opzoeken of deze persoon bekend is met een hartkwaal, welke medicatie hij gebruikt en of hij allergieën heeft. Zo wordt zorg beter zonder dat privacy er (teveel) op inlevert.

Helemaal eens met je post. Daarnaast komt deze tweede situatie vaak voor bij patiënten die normaal in een ander ziekenhuis komen. Het meest sprekende voorbeeld is misschien wel in Amsterdam, waar veel toeristen uit het hele land komen om bijvoorbeeld met drugs te experimenteren. Allemaal patiënten die de betreffende medewerker normaal niet behandeld maar waarbij ze nu toch bij het medisch dossier moeten kunnen.

[Het.Draakje]

Uiteraard kun je als medewerker in veel gevallen nog net doen of je van niets weet, en lekker grasduinen in de dossiers. Maar het gaat toch een keer mis. En dan is het te laat voor al die 'onschuldige nieuwsgierigen'.

https://www.security.nl/p...medewerker+wegens+datalek
https://www.autoriteitper...iles/haga_rapport_def.pdf

Persoonlijk heb ik daar geen moeite mee. Veel mensen (ook in andere beroepen) hebben te maken met gegevens die niet gedeeld mogen worden. Als je dat toch daarmee stunt, ben je gewoon een rund.

[ferdinand]

“Niet omdat hij de gegevens inzag.”

Dat klinkt ergens wel logisch, in principe is immers toegang gegeven tot die info aan hem. Met z’n contract, cursus en NDA. De data zelf inzien was onethisch, maar wellicht niet direct strafbaar. Het vervolgens stelen van de data, willen verkopen met winst en derde partijen toegang geven is waar het duidelijk mis is gegaan.

Alleen als hij het nodig heeft om zijn werk te doen. Dit was duidelijk niet het geval en hij heeft expres de privacy geschonden van mensen. Om extra te bewijzen dat hij wist wat hij aan het doen was heeft hij een screenshot gemaakt en gedeeld met een vriend. Hij wist dus hoe speciaal deze informatie anders had hij het nooit gedeeld.
Vraag ik mij toch af welke screening hij heeft gehad. Een 23-jarige toegang geven tot gevoelige informatie... Dan zou ik graag willen zien dat hij al eerder een vertrouwelijke functie heeft beoefend. Maar ik gok dat dit gewoon uitzendwerk was.

[bbob]

Hij deelde naast dat hij zelf de gegevens inzag [quoteHij zocht eerst testuitslagen van vrienden op en later ook van bekende Nederlanders,[/quote] ook zij login.

Dan neem ik sus aan dat de ggd geen 2factor beveiliging gebruikt en alleen maar naam en login, dat is op zich al kwaliteit als het om medische gegevens gaat.

Neem natuurlijk niet weg dat hij heel goed wist dat hij niet zo maar in deze gegevens mocht en kon kijken. Het delen van login data, tja lijkt mee op geldezels die hun bankkaart en pincode afgeven.

[Dragonheart-03]

Die 2fa zit er pas in sinds kort. Lees, circa 3 maand.

[GamingZeUs]

Ik mag wel stellen dat individuele corona-test data handel een fijnzinnige business, voor een selecte groep is.

Hoezo 50 euro?

[Oon]

Doen we dan ook meteen zes maanden cel voor de directie van de GGD die zo nalatig waren dat ze alles en iedereen aangenomen hebben en volledige toegang tot de gegevens van meerdere veiligheidsregio's hebben gegeven?

Fijn dat deze man iets heeft gedaan dat in strijd was met de overeenkomst tussen hem en de GGD, maar ik vind het raar dat hij hiervoor strafrechtelijk vervolgd wordt terwijl het echte probleem een stuk hoger ligt en zijn fout niet meer dan contractbreuk was.

[Strebor]

Je voorstel is wel erg zwart wit, maar je hebt een punt.

GGD zou in ider geval 2FA/MFA moeten gebruiken, om misbruik van logingegevens te beschermen.
GGD zou gebruik actief moeten loggen/monitoren en medewerkers er duidelijk om moeten wijzen hoe ze met privacy van anderen om moeten gaan, en wat er gebeurt als ze dat niet doen.
GGD had iets beter kunnen screenen wie ze inhuurden. Alhoewel, met de enorme achterliggende druk...

[Reactie gewijzigd door Strebor op 23 juli 2024 18:32]

[gaskabouter]

Op zich heb je een punt maar geen enkele zorginstelling heeft dat omdat het niet werkbaar is.

De kern is de geheimhoudingsplicht, die is leidend. Wat ik beroepshalve of anderszins te weten kom valt daaronder is het nu in een dossier staat of niet.

Dit zijn gewoon mensen die beroepsmatig a la minute bij gegevens moeten kunnen, beveiliging is dan niet wat ze tegen zou moeten houden maar de geheimhoudingsplicht. En controle daarop.

[Gwaihir]

Dat werkte tot nu toe redelijk, omdat 'echte' zorgmedewerkers een reputatie en carrière te verbranden hebben, doorgaans ook aan tuchtrecht onderworpen zijn, en zich daarvan bewust zijn. Voor een van de straat geplukte telefonist met nul verbinding met het vakgebied, gaat dat niet op.

Dan werkten ze ook nog 'ns in een grootschalige setup met nauwelijks sociaal toezicht. En was het hun taak om véél gegevens in te zien, zodat een aantal extra veel moeilijker op valt. (Een verpleegster met doorgaans 10 patiënten kan bijvoorbeeld moeilijk onopvallend 30 dossiers per dienst gaan inzien..)

De leiding had wel degelijk rekening moeten houden met deze totaal verschillende situatie.

[gaskabouter]

Klopt niet hoor wat je zegt. Iedere zorginstelling neemt tijdelijk personeel aan. Nu toevallig iets meer. Die zijn niet BIG geregistreerd dus niet tuchtrechtelijk te vervolgen maar de hebben wel een afgeleide geheimhoudingsplicht en zijn strafrechtelijk te vervolgen als ze die schenden.

[Strebor]

Met het laatste zeg je het zelfde als monitoring, wat ik voorstelde: Controle daarop.

Er was nu blijkbaar veel te weinig controle. Ik ben benieuwd hoe deze meneer tegen de lamp is gelopen.

[7ven]

Ik ben benieuwd hoe deze meneer tegen de lamp is gelopen.

Via de media dus, dat staat vrij duidelijk in het artikel. Als je dan al gegevens deelt, doe het dan niet op Instagram met je eigen account. Als je het gaat verkopen ben je ook wel een oen als je dat gewoon onbeschermd doet. Maar gelukkig is deze oen opgepakt.

Op zich mooi natuurlijk, wel jammer dat ze de oen die jaarlijks de miljoenennota lekt niet gepakt kunnen krijgen. Wellicht is die iets verstandiger.

[gaskabouter]

Door de interne controle

[ELD]

Dit is echt te makkelijk, er zijn zeker wel mogelijkheden om een goed en waterdicht systeem te maken die ook snel te raadplegen is.

[gaskabouter]

Leg eens uit? Ik kan bij alle data van iedere patiënt die ooit in ons ziekenhuis is geweest. Dat hoort bij mijn vak.

Hoe ga jij voorkomen dat ik dat niet bij kan als ik die data niet nodig heb? De toetsing kun je vaak alleen achteraf doen.

[massareal]

Zijn genoeg manieren, of die werkzaam zijn is een ander geval. Het hangt ook van je functie/werkzaamheden af.
Je kan enkel toegang krijgen bijvb. Degene die je in behandeling heb of krojgt doorverwezen. Of het 4 ogen principe.

[Verwijderd]

spoedje komt binnen op de IC, registratie van behandeling is nog niet in de administratie. oh laat maar liggen, eerst even computertje erbij pakken. 2 second later. DEAD

[gaskabouter]

Je hebt duidelijk geen ervaring met acute zorg, of ziekenhuis zorg schat ik in. Het is belangrijker over data beschikken dan privacy te beschermen als je net onder een bus gekomen bent.

Beschikbaarheid van data is van levensbelang. Het is aan ICT te regelen dat buitenstaanders buiten blijven en binnenstaanders gecontroleerd worden op bevoegd gebruik. Dat doe je achteraf niet vooraf door barrières in te bouwen.

Is alleen maar gevaarlijk

[Reactie gewijzigd door gaskabouter op 23 juli 2024 18:32]

[Toff]

Politieagenten hebben ook geheimhoudingsplicht en ze worden zwaar gescreend. Toch gaat er weleens iets flink mis: https://www.bitsoffreedom.nl/2005/10/12/agenten-gluren-in-dossier-van-persie/ al is het hier bij zo'n 200 pogingen gebleven. Blijkbaar kunnen bij de politie gevoelige dossiers worden afgeschermd voor gewone agenten, zonder de werkbaarheid in de weg te zitten. Als de politie dit in 2005 al kon, inclusief de controle erop, dan zou de GGD dit anno 2020 toch ook moeten kunnen.

[Reactie gewijzigd door Toff op 23 juli 2024 18:32]

[Martijn033]

Maar deze agenten hebben wel een permanente aantekening in hun persoonlijk dossier, én een reprimande gekregen. Het is vaker gebeurd bij de politie overigens. Daar wordt echt wel actie op ondernomen,
En het wordt een strafzaak zodra politiebeambten zulke informatie ook naar buiten doorspelen of zelfs tegen betaling zaken gaan opzoeken (zoals eveneens is gebeurd.)

[gaskabouter]

Dat kunnen ze natuurlijk ook. Maar hier gaat het wel over een volledige bevolking met "alleen maar" toegang tot adres gegevens en vaccinatie gegevens. Meer informatie is er niet beschikbaar want die was dus afgeschermd. En nogmaals het zijn gegevens die je nodig hebt om je werk te doen. Deze persoon liep tegen de lamp omdat hij gegevens opvroeg waar hij geen recht op had. Dus het controle systeem heeft gewerkt

[Toff]

Deze persoon liep tegen de lamp omdat hij gegevens opvroeg waar hij geen recht op had. Dus het controle systeem heeft gewerkt

Dit is onjuist. In het artikel staat:

De zaak kwam aan het licht nadat RTL Nieuws begin dit jaar bekendmaakte dat er gegevens uit het CoronIT-systeem verhandeld werden.

Als je de link van het artikel volgt, kan je lezen:

De GGD wist niet van de handel in persoonsgegevens uit zijn systemen. De instantie zegt nu de monitoring van de systemen 'verder op te schalen'.

Er was dus geen werkend controlesysteem bij de GGD.

[gaskabouter]

Verkeerde casus voor me dan. Excuus

[bzp]

De persoon werkte bij de testlijn. Zo’n haast zal hij niet gehad hebben om in te loggen aan het begin van de dag. Ik ken meerdere systemen met MFA waarbij je ‘s ochtends inlogt en dan uren door kunt werken zonder iedere keer opnieuw in te loggen. Dat een systeem gemakkelijk in gebruik dient te zijn snap ik, maar ik krijg hier de sterke indruk dat MFA wel een optie was en gezien de aard van de data ook een must was. Daarin lijkt me dus wel degelijk te kort geschoten te zijn.

[bytemaster460]

Wat had MFA verandert aan het feit dat hij screenshots van gegevens kon maken en kon doorsturen?

[Accretion]

Tja, het maken van screenshots valt ook niet echt te blokkeren...

In 't ergste geval maak je een foto van je scherm.

Het probleem zit er in dat deze persoon iedereen z'n data kan opvragen zonder aanleiding.

[SuperDre]

Maken van screenshots is makkelijk te blokkeren, als je gewoon een verbod op de werkplek hebt voor mobieltjes etc. Gebeurd wel vaker op plekken waar met vertrouwelijke informatie gewerkt wordt.

[Tomatoman]

Dat is een beetje lastig te controleren als alle GGD-callcentermedewerkers op last van de overheid thuiswerken, nietwaar?

[SuperDre]

LOL, ja, daar heb je weer gelijk in.

[bytemaster460]

Klopt, daarom vroeg ik me af wat MFA hiermee te maken had.

[D-Raven]

Niks, maar dat is dan ook een ander aspect wat betreft beveiliging.

MFA zou zeker bijgedragen hebben aan het beschermen van login gegevens. Het voorkomt niet dat iemand zijn credentials aan een vriend geeft, maar omdat die vriend dan inlogged vanaf een 'onbekend' systeem zou hij vrijwel _altijd_ een MFA challenge gehad hebben. Welke originele account holder dan iedere keer moet approven.
Dus het voorkomt niet, maar het helpt wel.

Er zijn ook auth systemen welke dit soort afwijkend gedrag m.b.t inloggen flaggen en actief op rapporteren. systeem beheerders kunnen hier dan op acteren, door onderzoek te doen.
Dit soort signalering is heel belangrijk bij toegangs beveiliging. Maarja, dan moet het wel toegepast worden.

[WhatsappHack]

Dat zijn ze ook gaan toepassen dmv een SIEM, maar in de begindagen was die helaas nog niet aanwezig.

[dmjdebruin]

Dat is totale onzin.
Ik werk ook met systemen waar ik a la minute bij de gegevens moet kunnen.
En dat is prima te regelen op verschillende manieren.

Token, Mobiel MFA etc.
Ook is prima te monitoren of iemand met zijn inloggegevens vanuit huis en werk inlogt of op nog meer plekken. Zo kom je datalekken vroegtijdig op het spoor.

Alle techniek is er allang en het werkt super eenvoudig.
Kinderen kunnen het zelfs.

[gaskabouter]

Je verwart de toegang tot het systeem met het opvragen van data die erin staan.

Als ik inlog via welke beveiliging dan ook kan ik daarna bij allerlei data. De beveiliging heeft daar geen invloed op. Je kunt pas achteraf controleren of er een zorgvraag was die raadplegen van die data noodzakelijk maakte.

[CivLord]

Zijn die systemen zodanig afgeschermd dat je geen gegevens op kan vragen die je op dat moment niet nodig hebt voor je werkzaamheden?

[kodak]

De wet stelt niet dat een geheimhoudingsplicht genoeg is dat een ander ook iets niet doet wil niet zomaar betekenen dat het dus is toegestaan of zelfs maar redelijk is. Wetgeving over persoonsgegevens is daarbij niet zomaar strenger geworden. Wat je als kern wil stellen lijkt dus niet zomaar voldoende.

[bytemaster460]

Probleem is juist dat de correcte naleving van de wet risico's voor de patiënten met zich meebrengt. Op papier ziet het er allemaal heel mooi uit maar in de praktijk loop je tegen allerlei drempels aan die nadelig kunnen zijn voor de patiënt. Geheimhoudingsplicht is daarom toch nog steeds het beste middel.

[kodak]

Waaruit blijken die drempels hier dan? Want beweren dat er risico is zonder dat aan te tonen maakt die bewering niet zomaar redelijk, en al helemaal niet het mogelijk overtreden van de wet.

[bytemaster460]

In Academische ziekenhuizen is het met studenten en AIOSen onmogelijk de wet helemaal na te komen tenzij iedere afdeling van zorggeld FTE’s gaat vrijmaken om realtime rechten aan te passen aan de realiteit. De student is geen behandelaar en mag de gegevens van een patiënt dus officieel niet zien. Een patiënt moet dan eerst toestemming geven. Al die toestemmingen moeten verwerkt worden in de systemen. Zo zijn er nog talrijke scenario’s die niet in twee regels te omschrijven zijn. Je komt als snel in een discussie van “Je kunt toch dit, je kunt toch dat…”. In de praktijk zijn veel van die oplossingen gewoon niet werkbaar zonder heel veel zorggeld in extra IT en FTEs te steken terwijl dat geld beter aan de zorg zelf besteed kan worden.
In de praktijk zie je dus vaak de noodknop. Je kunt de gegevens toch raadplegen door een noodknop te gebruiken en aan te geven waarom je die gegevens geraadpleegd hebt. Dat is niet volgens de wet maar wel enigszins werkbaar.

[kodak]

Ik lees je nog steeds geen concreet voorbeeld geven dat men genoeg heeft gedaan vanuit de wet om andermans rechten te respecteren. Wat ik wel lees is dat je stelt dat andere belangen, die wettelijk niet vast liggen, belangrijker lijken te worden gevonden dan de wet. Het punt is dat als je niet aan de wet wil voldoen door verantwoordelijkheid af te schuiven je niet zomaar aan de wet voldoet. En dat is het punt in de discussie: waaruit blijkt dan redelijkheid om de wet te negeren als kennelijk slechts een kant maar veroordeling krijgt terwijl de wet stelt dat je die verantwoordelijkheid juist niet zomaar kan afschuiven en je daarbij de plicht hebt om zelf voldoende maatregelen te nemen om anderen te beschermen.

[bytemaster460]

Concreet voorbeeld is dus de behandelrelatie in combinatie met een academische setting. De studenten of AIOSsen hebben geen behandelrelatie maar moeten wel behandelen. Het is veel complexer dan deze ene zin. Alle ziekenhuizen worstelen hiermee dus we gaan hier niet concluderen dat het allemaal prima mogelijk is.

[kodak]

Dan lijk je dus te stellen dat als een ander de wet aan het overtreden is het je dat zelf ook kan doen. Dat een ander iets doet is op zich geen reden om het dus zelf ook maar te doen. Daarbij is het overtreden van de wet op zich al niet zomaar redelijk, en zeker niet met argumenten die wettelijk niet verplicht zijn om iets wat verplicht is maar niet te doen. Dat er dagelijks diefstallen bestaan (strafbaar) om anderen te benadelen (bijv recht van eigendom ontnemen) wil ook niet zeggen dat diefstal dus maar redelijker is, ook niet als er argumenten zijn als ik heb geen zin om moeite te doen of mijn geld uit te geven aan iets wat me moeite kost.
Met concreet voorbeeld verwijs ik daarbij naar het onderwerp: dat is niet wat anderen doen maar waaruit blijkt dat het van toepassing is op het nieuws. Dat een organisatie iets met zorg doet wil niet zeggen dat men dus dezelfde omstandigheden heeft. Ik verwacht een voorbeeld waaruit blijkt dat het bij deze situatie van toepassing is, niet dat het ergens andere van toepassing kan zijn.

[bytemaster460]

Dan lijk je dus te stellen dat als een ander de wet aan het overtreden is het je dat zelf ook kan doen. Dat een ander iets doet is op zich geen reden om het dus zelf ook maar te doen.

Waar lijk ik dat te stellen? Dat doe ik helemaal nergens. Ik zeg alleen dat de wet soms zodanig strak is dat er risico's uit voortvloeien.

[kodak]

De discussie is dat de organisatie (of directie daarvan) ook de plicht heeft om zich aan de wet te houden. Daarbij stellen dat aan de wet houden risico zou opleveren in een discussie hoe aan de wet zal moeten worden voldaan lijkt er niet om te gaan om aan de wet houden in stand te houden. Zeker niet als die risico's kennelijk betrekking lijken te hebben op wat vooral voor de organisatie nadelig lijkt te zijn op zaken die wettelijk niet vast liggen. Daarbij herhaal je het argument dat anderen het ook doen, wat er op neer lijkt te komen dat het risico vermijden niet op zich het doel heeft om alleen over dat risico te gaan maar over een breder doel: liever vertrouwen dan aan de wet houden.

[bytemaster460]

Ik zeg helemaal nergens dat anderen het ook doen. Ik zeg dat alle ziekenhuizen met hetzelfde dilemma zitten dat de wet niet uitvoerbaar is zonder risicoś voor de patiënten te aanvaarden.

[bbob]

2FA niet werkbaar of er niet mee willen werken ?

Termen als geheimhouding klinkt leuk op papier maar zeggen natuurlijk verder niet.

[Ayiko]

Als je je login bewust aan iemand anders wilt geven, dan kan je ook wel even dat MFA smsje doorsturen of je code doorbellen of langsgaan. MFA is een goed idee, daar niet van, maar is niet bedoeld om dit bewust login doorgeven tegen te gaan.

Hoe actief wil je dat loggen doen? Medewerker A zoekt (hopelijk voor zijn werk) gegevens van persoon X op. Medewerker B zoekt dan op of A en X elkaar kennen (familie, vrienden, buren) of dat X een bekend persoon is. Medewerker C zoekt op of B en A elkaar niet kennen en samenspannen om zulke opzoekingen niet te melden, en zoekt ook op of B niet gewoon zelf iemand anders opzoekt die hij kent. Medewerker D ... je snapt het wel.
Alle toegangen moeten gelogd worden en de gegevenscoordinator kan daar wel wat statistiekjes en steekproeven op loslaten, maar dat is het dan ook.

Beter screenen is altijd nuttig ja, maar zoveel kan je niet opzoeken he, 't is de geheime dienst niet en je wilt dat volk nog voor de huidige pandemie aannemen, niet voor die van 2025.

[dmjdebruin]

Als ik jouw logica volg, waarom zou je dan nog een persoonlijke logincode hebben?
Geef iedereen het master password goed voor de statistiekjes.

MFA met tokens werpen weldegelijk een drempel op waardoor misbruik tegen wordt gegaan.
Stop je het 100% in alle gevallen? Nee.
Maar even een gebruikersnaam / ww delen is veel makkelijker en langer te misbruiken dan MFA beveiliging.
Dan moet een persoon nog een extra keer nadenken of dit nou wel zo handig is. En je kan veel makkelijker ermee stoppen als je je er niet meer goed bij voelt omdat die vriend niet even 1x iets bekijken, maar de hele in dat systeem wil.

Koppel het met IP adressen wat tegenwoordig eenvoudig kan en je bent klaar om het meeste tegen te gaan. Werk en huis IP toevoegen, dat zijn je werkplekken en bij uitzondering een 3de variabel wat zo aan te passen is. Ik werk er dagelijks mee en soms is het even een half uur irritant als je vanaf een nieuwe plek inlogt. Maar zo opgelost.

[tailfox]

owja want dan hat hij zijn gegevens niet aan een vriend door gegeven?

[Strebor]

Nee.. als GGD een goede 2FA op hun login had, dan kan dat niet.

Bijvoorbeeld met Yubikey. Die key kan toch echt maar op een plek tegelijk zijn.

[Reactie gewijzigd door Strebor op 23 juli 2024 18:32]

[thomasv]

Een YubiKey kan je ook aan een ander meegeven op je "vrije dag". Deze MFA/2FA methoden zijn vooral bedoeld om vreemden buiten te houden die op de een of andere manier toch je login gegevens hebben bemachtigd, niet om misbruik tegen te houden van een persoon die zijn gegevens (en token of key) deelt met een ander. MFA is hier niet de oplossing voor, monitoring, logboeken, en integriteit/training wel.

[Reactie gewijzigd door thomasv op 23 juli 2024 18:32]

[GewoonWatSpulle]

Ik deel ook wel eens accounts met 2FA, je wilt nu zeggen dat ik iets doe wat technisch niet kan? Gewoon even een code opdreunen of een screenshot doorsturen van je 2FA code.

[sympa]

Ooit had ik collega's die hun access token wel eens vergaten. Dus legden ze dat thuis onder een webcam.
Later kreeg je tokens met een toetsenbordje er op, daarmee ging dat niet meer.

[bzp]

Tuurlijk wel, gewoon met je telefoon een foto van het scherm maken bijvoorbeeld

[Grrrrrene]

Ja, dat is inderdaad het probleem hier: iemand die kwaad wil, kan dat gewoon, want die omzeilt beveiligingen die niet opgewassen zijn tegen dat soort praktijken. Dit soort risico's moet je gewoon accepteren, het enige wat je zou kunnen doen om de schade te beperken, is actief bijhouden wie wat opzoekt (steekproefsgewijs) of het dusdanig segmenteren dat je alleen dossiers van mensen in de nabije omgeving kunt vinden.

Maar ja, er wonen altijd BN'ers in je nabije omgeving natuurlijk wiens dossier je via vrienden kunt verkopen.

[tailfox]

die yubikey dan vastmaken aan het kantoor?

[Modz]

GGD zou gebruik actief moeten loggen/monitoren en medewerkers er duidelijk om moeten wijzen hoe ze met privacy van anderen om moeten gaan, en wat er gebeurt als ze dat niet doen.

Dit gebeurt, de GGD heeft een apart team dat misbruik opspoort, dossier opbouwt en vervolgens aan management of politie overdraagt.

[IJzerlijm]

Als je 100% alles wil loggen betekent dat ook dat als er niet gelogd kan worden om wat voor reden dan ook de lijnen dicht moeten. Dus een dag geen afspraken en geen prikken zetten tot er gelogd kan worden.

Er zullen wel systeembeheerders zijn die dit als de hemel op aarde zien maar toen deze zaak zich afspeelde was er maar een prioriteit: prikken.

[memen]

Hoe zou 2FA/MFA hier geholpen hebben? Wat ik het meeste tegenkom tegenwoordig is d.m.v. authenticator apps die een tijdelijke code geven (TOTP - Time-based One-Time-Password). Volgens mij is dat net zo makkelijk aan iemand te geven als het wachtwoord zelf.

Het punt van loggen/monitoren is denk ik inderdaad een belangrijke en de enige relevante hier aangezien de data 'per persoon' verkocht werd en niet per hele dataset of per logingegevens.

De GGD kan zich inderdaad indekken met de coronakaart en tegelijkertijd hebben ze het wel gewoon in het contract opgenomen. Hierdoor kan de man wel aangeklaagd worden, maar de GGD lastiger.

[Cyberpuppy]

Nog erger. Waarom moet ik in de hele database kunnen kijken? In deze situatie zou het eerder zo moeten zijn dat je pas een dossier ziet nadat de beller een aantal vragen heeft beantwoord. Naast het feit dat er een apart gescreend team hoort te zijn voor bijzondere personen.

Dus de ontwerpers en bouwers van dit soort applicaties mogen wat mij betreft ook wel ter verantwoording worden geroepen.

[ElmarNieser]

Heb je een bron waar de 'nalatigheid' van de directie van de GGD uit blijkt? Zou ik graag willen zien.

[Oon]

Wat dacht je van het feit dat er meerdere mensen zijn die ongecontroleerd deze informatie konden inzien terwijl ze die niet nodig hadden, na alleen een korte AVG-cursus (die over het algemeen niet meer dan een paar filmpjes zijn)?

Vind ik nogal nalatig als een heel land hun gegevens aan de GGD moet afstaan..

[Grrrrrene]

Stel eens een werkbare situatie voor waarin je mensen toegang kunt geven tot vertrouwelijke gegevens en waarmee je rotte appels zoals deze buiten spel zet? Het bestaat gewoon niet. Je neemt naar mijn mening nu veel te makkelijk aan dat deze persoon geen toegang had mogen hebben tot die gegevens, terwijl de crux van de zaak hem erin zit dat hij de vertrouwelijke gegevens, waar hij toegang toe had, openbaar heeft gemaakt.

Ik weet niet wat voor functie deze man precies had, maar het doorsturen van medische gegevens aan een vriend die ze verhandelt, is niet OK natuurlijk.

[PepijnK]

Wat is er zo moeilijk aan bijvoorbeeld een code die alleen de patient zelf heeft en die de patient dus moet doorgeven als die naar dat coronatestlijn gebeuren belt? Zonder dat nummer geen toegang tot een dossier.

Dit zijn het soort vertrouwelijke gegevens waar de standaard instelling hoort te zijn dat mensen geen toegang hebben en dat die toegang pas verleend wordt na verificatie met de persoon van wie de gegevens zijn.

Ik vind dit niet vergelijkbaar met bijvoorbeeld een huisarts die alle dossiers van de patienten in de gehele praktijk kan inzien of zelfs maar de artsassistente die dat kan.
Deze persoon had toegang tot gegevens op een manier die gewoon niet door de beugel kan. Hoezo kon hij van elke willekeurige persoon de gegevens inzien? Dat hij ze openbaar heeft gemaakt is alleen nog maar een extra schep er bovenop. Neemt niet weg dat er in mijn optiek geen reden is waarom een medewerker van de coronatestlijn uberhaupt zomaar van willekeurige personen gegevens kan opvragen.

[CivLord]

Hij zit aan een telefoonlijn, waar elke willekeurige Nederlander naar toe kan bellen. Dan moet hij dus toegang hebben tot de gegevens van alle Nederlanders.
Een persoonlijke code klinkt leuk, hoe doe je dat? Een brief sturen aan alle Nederlanders met de mededeling dat ze die code door moeten geven wanneer ze zich willen laten testen? Driekwart is die brief na een week al kwijt. Hebben die dan pech wanneer ze zich willen laten testen?
De meeste mensen die naar de Belastingdienst, UWV of vergelijkbare instanties bellen hebben hun BSN niet bij de hand. Moet je die dan botweg weigeren te helpen, of bouw je iets in het systeem in waarmee je met naam, geboortedatum en een paar andere persoonlijke vragen alsnog toegang tot hun gegevens krijgt?

[PepijnK]

Een afspraak inplannen kon in mijn ervaring puur digitaal, dus daar hoeft voor de meeste mensen geen telefonist tussen te zitten. Voor dat handje vol waar dat niet voor geldt, om een afspraak in te plannen hoeft de telefonist in principe geen gegevens in te kunnen zien. Met basis NAW gegevens kan er een afspraak worden ingepland.

Iemand die zich heeft laten testen kan het nummer van de test meekrijgen en aan de hand van dat nummer de uitslag opvragen. De koppeling tussen BSN en TestID kan ook op de plaats van testen worden gemaakt en daar is dan ook geen verdere inzage in gegevens noodzakelijk.

Alles wat de telefonist dan hoeft te zien is de test uitslag in de vorm van Positief, Negatief, Mislukt.

Dat mensen het kaartje met hun TestID geen 72 uur zorgvuldig kunnen bewaren is niet het probleem van de overheid.

En voor wat betreft Belastingdienst, UWV, Sociale Dienst etc. Ja mensen die niet hun BSN kunnen produceren zouden in principe geweigerd moeten worden. Als ik het ziekenhuis bel omdat ik vragen heb aan mijn specialist, moet ik ook of mijn patientnummer of mijn BSN opgeven en anders wordt ik niet geholpen. Het antwoord is dan een beleefd doch keihard "sorry, maar vanwege de privacywetgeving mogen wij geen informatie geven." en daar moet je het dan maar mee doen.
Bij het UWV is het van hetzelfde laken een pak. Zonder je BSN doen ze niets voor je en als je dan vervelend doet hangen ze gewoon op.

[Mathijs]

Dat is niet zo moeilijk hoor, gewoon een afdeling in het leven roepen die hierop controleert.
Bekende Nederlanders zijn een makkelijke flag voor zo'n afdeling.
Verder zal er wel meer te linken zijn waarmee werknemers die zaken inzien die niet voor hun bestemd zijn naar boven zullen komen.
Daarbij zal een dergelijke afdeling al afschrikken om naar zaken te kijken waar je niets mee te maken hebt.
In dat geval vinden ze dit soort figuren dan gewoon zelf binnen hun organisatie, in plaats dat het via de pers aan het rollen komt. Dat helpt ook mee aan het vertrouwen, nu is het vertrouwen geschaad omdat zonder die journalisten dit gewoon door had gegaan.

[SuperDre]

Maar een flag 'bekende nederlander' is helemaal niet AVG proof, het heeft niets te zoeken in een systeem welke alleen noodzakelijke gegevens mag bevatten. En wanneer ben je uberhaupt een bekende nederlander?

[TheDutchChief]

Uhm, moet je dan een database met BNers vergelijken met wie er in dossiers gekeken heeft? En hoe verhoudt zo’n database zich dan weer tot de AVG? En checken we dat weer op BSN?

[Mathijs]

Je schrijft een policy waarbij je grondslag 4 en 5 gebruikt.
BSN doet er niet toe.

[Grrrrrene]

Maar dat is controleren nadat het al fout is gegaan. Zo'n afdeling zal steekproefsgewijs gaan controleren en mogelijk zo'n persoon wel vinden, maar altijd pas nadat de persoonsgegevens al vergaard zijn en verhandeld via die vriend. De schade is dan al toegebracht. Het enige wat je mag hopen, is dat dit soort nieuws andere mensen met een totaal gebrek aan moreel besef zal tegenhouden iets vergelijkbaars te doen. Maar dat blijft hopen, net als bij die controlerende afdeling: het blijft mogelijk om dit te doen.

[Mathijs]

Het blijft mogelijk dit te doen, met een risico dat degene die het doet gesnapt wordt en zich mag verantwoorden hierover.
Nu is het mogelijk zonder enig risico. Wat is beter?
10.000 medewerkers kunnen bij de gegevens, zonder enige controle.
Hoeveel denk je dat er misbruik maken?

[CivLord]

Ik denk dat degenen die nu voor de rechter staan achteraf vinden dat het niet risicoloos was.

[Grrrrrene]

Het blijft mogelijk dit te doen, met een risico dat degene die het doet gesnapt wordt en zich mag verantwoorden hierover.
Nu is het mogelijk zonder enig risico. Wat is beter?
10.000 medewerkers kunnen bij de gegevens, zonder enige controle.
Hoeveel denk je dat er misbruik maken?

Voor de duidelijkheid: ik ben voor het controleren hierop (in de reacties hier lees ik ook dat dit bij de GGD dit doet), maar het feit dat zo iemand vroeg of laat tegen de lamp loopt, maakt niet dat persoonsgegevens dus veilig zijn. Ik wil dus alleen aangeven dat gevallen als deze altijd zullen blijven waar mensen werken met gevoelige gegevens.

Er zijn genoeg mensen die dom en kortzichtig zijn en dit soort gegevens probleemloos uit de database willen halen, ongeacht wat de consequenties zijn (want daar denken ze niet aan). Dus de pakkans maakt voor die mensen ook geen bal uit. Het zijn dezelfde mensen die als geldezel ingehuurd worden door criminelen. Ieder weldenkend mens snapt dat dat niet goed kan aflopen, maar toch gaan ze voor het snelle geld.

[Reactie gewijzigd door Grrrrrene op 23 juli 2024 18:32]

[Verwijderd]

Wie zegt dat? Er zal zeker een VOG overlegd moeten worden. Als deze in orde is dan is het mijn inziens, zeker in combinatie met de AVG cursus, meer dan voldoende om die persoon aan te nemen. Heb je trouwens een bron waarin staat dat er niet gelogd wordt welke dossiers nagekeken worden?

[Cyberpuppy]

Loggen is mosterd na de maaltijd. Je moet in basis al niet eens toegang hebben tot alle dossiers, want waarom is dit nodig?

[Verwijderd]

Misschien moeten deze mensen juist bij de dossiers komen…

[pvcholten]

Omdat iedereen kan bellen. Dus men moet iedereen kunnen opzoeken

[Cyberpuppy]

Nee hoor. Je hoeft in principe bij maar 1 dossier. Namelijk dat van de beller.

Bij veel instanties worden nu ook al controle vragen gesteld, zoals geboortedatum, rek. nr. en andere zaken. Dat kun je hier ook doen. Beller belt en medewerker ziet enkel een paar vragen in het scherm. Vult naam van de beller en antwoorden in. Indien correct toegang tot dossier en anders niet.

[sympa]

Een VOG zegt niet veel natuurlijk. Dat is een manier om veelplegers buiten de deur te houden, maar meer niet.

[Verwijderd]

Het is net als elke andere sollicitatie, met als extra stap een VOG. Ik zie het probleem niet helemaal.

[Cheap Apps]

Ik kan redelijk ongecontroleerd (niet-medische) persoonsgegevens in zien op mijn werk, terwijl ik die misschien niet nodig heb. Is mijn werkgever dan nalatig?
Alles dicht timmeren omdat er rotte appels bestaan weegt doorgaans niet op tegen de gigantisch hoge kosten om dit te realiseren, waar je het nooit waterdicht gaat kunnen krijgen. Zeer waarschijnlijk worden acties in het systeem wel gewoon gelogd bij de GGD, en als iemand contractbreuk pleegt door persoonsgegevens te lekken is dit gewoon een strafrechtelijke overtreding met alle gevolgen van dien.

[Cyberpuppy]

Dus omdat developers en werkgevers lui zijn is dit maar in orde. Het kan naar mijn idee veel gemakkelijker en beter. En het zou al helpen als we hier eens over na gaan denken. Implementatie duurt wel een aantal jaren, simpelweg omdat de systemen complex zijn en vaak is het securiy ontwerp zodanig slecht dat je feitelijk van de grond af aan moet beginnen. Maar dan nog. Als de wet het voorschrijft heb je er maar aan te voldoen. Of andersom geredeneert. Als we privacy toch niet zo belangrijk vinden, schrap dan die regels.

Voorbeeld:
In de verpleging werk ik op afdeling X. Dus hoef ik ook alleen maar bij de dossiers van afdeling X. Kun je volledig automatiseren omdat je bijv. volgens je werkrooster bent ingedeeld op afdeling X.

[amx]

Dit is denk ik 1 van de redenen waarom expliciet gefilterd is op HBO of hoger. Van een HBO-er of een HBO-er in opleiding mag je verwachten dat iemand begrijpend kan lezen (getest tijdens het eindexamen middelbare school). Dan moet het voldoende zijn met het geven van een uitleg en het zal echt niet de enige keer zijn geweest dat dit aangegeven is.

Is dat verwijtbaar? Inderdaad wel een goede vraag. En lastiger te beantwoorden vind ik persoonlijk. Je hebt namelijk te maken met een op zeer korte termijn opgezette organisatie waar achteraf gezien te veel toegang mogelijk is geweest.

[SuperDre]

Nou, mijn ervaring is dat hbo of hoger helemaal niets zegt over begrijpend lezen..

[Grrrrrene]

Gemiddeld genomen zal het niveau van begrijpend lezen hoger moeten liggen, maar er zullen ongetwijfeld uitzonderingen zijn (n=1 observaties). Je mag van mensen met zo'n opleiding ook verwachten dat ze beter de gevolgen kunnen overzien, maar ook daarin bestaan uitzonderingen.

[fsfikke]

Dus als een dief iets uit een winkel steelt moet eigenlijk de winkeleigenaar bestraft worden voor het mogelijk maken van de diefstal? Dat lijkt me omgekeerde wereld.

[Oon]

Nee, diefstal is een misdrijf. Je eigen inloggegevens bij je werkgever met iemand delen of een overeenkomst niet nakomen is dat niet, maar valt gewoon onder civiel recht.

[fsfikke]

Weet je dat zeker?

Het Openbaar Ministerie eist een celstraf van zes maanden, waarvan drie voorwaardelijk, tegen een 23-jarige man die in het CoronIT-systeem gegevens van bekende personen opzocht en die deelde met anderen.

Dat dikgedrukte klinkt niet echt civielrechtelijk...

Zie ook:

quote: https://www.politie.nl/ni...oor-ggd-datadiefstal.html

Het stelen en verkopen of doorverkopen van persoonsgegevens is een ernstig misdrijf.

[Reactie gewijzigd door fsfikke op 23 juli 2024 18:32]

[Oon]

Dat is dus ook mijn vraag hier. Hoezo is het deze persoon die hier vervolgd wordt voor het delen van inloggegevens en delen van informatie die door de GGD aan hem verschaft is, en niet (ook) de GGD voor het toegang geven tot deze gegevens?

Hij heeft geen gegevens 'gestolen en verkocht', want toegang tot de gegevens had hij al. Je zou kunnen stellen dat hij ze heeft 'doorverkocht' omdat hij ze van de GGD heeft gekregen.

Maar hoe dan ook blijft het vreemd dat de GGD nog geen tik op de vingers krijgt voor het hebben van procedures die zo lek als een mandje zijn en voor het toegang geven aan een hele grote groep mensen tot de gegevens van miljoenen mensen na een cursus van een uurtje.. Neemt niet weg dat wat deze beste man gedaan heeft niet mag, maar dit is een van de enkele gevallen die ze ontdekt hebben, wie weet hoeveel ze niet ontdekt hebben.

[Arnoud Engelfriet]

Het is strafbaar om inloggegevens te verhandelen en om vertrouwelijke informatie van je werkgever te delen. Daar is geen twijfel over. En men wil ook een signaal afgeven aan collega's (ook bij andere ggd's en andere instanties): doe dit niet. Dat is op zich een legitiem gebruik van het strafrecht. En het mag nooit een argument zijn dat anderen hetzelfde of iets ernstigers deden.

Je weet niet hoe de GGD onder vuur ligt. Wellicht is de Inspectie Gezondheidszorg nog met een onderzoek bezig, wellicht loopt er een boetetraject vanuit de Autoriteit Persoonsgegevens. In ieder geval duurt het altijd langer om een organisatie iets groots aan te wrijven dan om een klein individu voor het strafhekje te krijgen met een overtuigende stapel bewijs.

[TweakerNummer]

Signaal aan de collega's? Ze hangen die jongen aan de paal als "boetedoening"; straks inzetbaar bij de hoogste rechter voor schade vermindering.

[amx]

Die jongen woont nog bij zijn ouders, doet een HBO opleiding, en heeft criminele feiten op zijn naam staan.

Door de eerste 2 feiten is hij aangenomen kunnen worden bij de Coronatestlijn (HBO was dacht ik een harde eis, en nog thuis wonen kan echt wel in je voordeel werken want een goed nest wil je niet snel verlaten, toch?)

Door het laatste feit staat hij nu voor de rechter. Daar is hij zelf de grootste oorzaak van. Het is wel heel makkelijk om dan te zeggen, die arme jongen is een slachtoffer van de maatschappij, en wordt nu aan de schandpaal gehangen om de fouten van de mensen boven hem te verdoezelen.

De realiteit is echter hij is zelf de fout in gegaan en is op zijn best een zwak onderdeel in een keten van personen en instanties die fouten hebben gemaakt. De rechter moet daar uitspraak over doen. Niks boetedoening.

[Dragonheart-03]

[Reactie gewijzigd door Dragonheart-03 op 23 juli 2024 18:32]

[TweakerNummer]

Het eerste staat het laatste niet in de weg, en omgekeerd ook niet.

[amx]

Nee maar wat mij betreft mocht hij ooit vrijkomen zetten zijn ouders hem per direct op straat. Hoe makkelijk en onzichtbaar het ook lijkt, phishing en creditcard fraude voorbereiden is ver voorbij een telefoonnummer opzoeken voor je vrienden. Wat hij trouwens ook niet deed. Hij zette telefoonnummers en adressen via telegram te koop tegen betaling, ook van bekendheden en mensen in politiebescherming.

[The Zep Man]

In ieder geval duurt het altijd langer om een organisatie iets groots aan te wrijven dan om een klein individu voor het strafhekje te krijgen met een overtuigende stapel bewijs.

En vanuit een maatschappelijk perspectief is dat natuurlijk ergens krom. Een organisatie voor het hekje betaalt veelal enkel een boete, terwijl een individu strafrechtelijk vervolgd wordt en potentieel diens leven overhoop wordt gegooid voor een vergrijp met een mindere of een vergelijkbare ernst.

Ik zeg niet dat het individueel minder gestraft zou moeten worden. Ik zeg dat bij bewezen nalatigheid verantwoordelijke personen in een organisatie ook vervolgd zouden moeten worden, vanaf het laatste beslissingsniveau tot en met het hoogste niveau. Dit om te voorkomen dat het voordeliger is in de kosten-batenanalyse om de wet te overtreden, zeker als het bijvoorbeeld over de gegevens (=waarde) van een ander gaat.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 18:32]

[Arnoud Engelfriet]

Nou ja, de boete is vaak voor een complexer soort overtreding, dus daar wil je ook extra secuur de procedure voor hanteren. Ik snap wat je zegt hoor, maar het verwijt aan de GGD is "je neemt grootschalig mensen aan zonder enige controle en je hebt ICT niveau verwijtbaar nalatig prutswerk" en zulke statements hebben meer bewijs nodig dan screenshots van iemands telefoon en een forumhistorie "ik heb adressen te koop wie biedt".

[MartijnHavinga]

Pardon? Het delen van inlog gegevens met hen die daar geen recht op hebben is volgens mij hetzelfde als het uitlenen van een sleutel van een voordeur / kluis. Het lijkt mij zeer onwaarschijnlijk dat het strafrecht daar niets over heeft.
Verder is het maken van screenshots van gevoelige informatie en die vervolgens delen met andere mensen een schending van de wet op privacy en dat is zeker strafbaar.

[gaskabouter]

Het schenden van het medisch beroepsgeheim is gewoon een misdrijf.

[J_van_Ekris]

Onder civiel recht kun je niet gevangen gezet worden, en handelt het OM de zaak niet af. Omdat het OM een celstraf eist is het vrij duidelijk dat het OM het als een misdrijf ziet....

[NielsFL]

Dat is een beetje rare vergelijking omdat de winkeleigenaar alleen verantwoordelijk is voor zijn eigen spullen. Als hij willekeurige nieuwe medewerkers een sleutel tot zijn winkel wil geven moet hij dat vooral zelf weten.

De GGD is echter verantwoordelijk voor de gegevens van derden. Daar mag je wel degelijk van verwachten dat ze toegang beperken tot het noodzakelijke.

[aikebah]

Dus als een diefkassamedewerker iets uit een winkel steelt moet eigenlijk de winkeleigenaar bestraft worden voor het mogelijk maken van de diefstal? Dat lijkt me omgekeerde wereld.

FTFY

[.oisyn]

Hij zei "ook", niet "in plaats van".

Als een bank iedere medewerker de loper geeft van alle kluisjes, dan is de medewerker die zijn loper uitleent aan de bankrover die alles leeghaalt uiteraard strafbaar, maar wil je beweren dat de bank dan geen blaam treft?

[Cyberpuppy]

Die vergelijking gaat in dit geval niet helemaal op. De AVG stelt dat je een redelijke beveiliging moet instellen passend bij de zwaarte en hoeveelheid van de gegevens. Het feit dat iemand, eens ingelogd, bij de gehele database kan geeft aan dat op dit punt mogelijk de AVG niet goed is nageleefd. En precies hiervoor zou je de GGD ter verantwoording kunnen roepen. In ieder geval via de Autoriteit Persoonsgegevens.

[NoobishPro]

Je zal toch mensen aan moeten nemen om dingen te regelen. Dat is nou eenmaal een vertrouwensband welke je aangaat tussen werkgever en werknemer. Soms gaat dit fout en dan zitten daar gevolgen aan voor de schuldige partij, in dit geval de werknemer.

Niet meer dan logisch lijkt mij. Mijn bedrijf werkt ook met privé informatie maar de meeste van mijn medewerkers zullen daar toch bij moeten kunnen om hun werk goed te kunnen doen. Er staat contractueel vastgelegd dat deze informatie niet uit de software gehaald mag worden en dat soort zaken, maar tegelijkertijd willen mijn klanten jaarlijkse datadumps, dus moet het mogelijk zijn.

Dit is precies waar contracten voor zijn en wij als bedrijf bieden dan ook geen bescherming voor medewerkers welke verkeerd met deze data omgaan. Er zijn duidelijke regels over wat wel en niet mag en hier zijn zelfs verzekeringen voor.

[kodak]

Dat je wil vertrouwen is toegestaan en ook in bepaalde vorm nodig. Maar de stelling is kennelijk dat niet alleen deze verdachte iets strafbaars heeft gedaan. Vertrouwen hebben is niet zomaar genoeg om iets te doen wat toegestaan is.

[.oisyn]

Vooral ook als je 'm het volgende aanrekent:

Ook wordt de verdachte zwaar aangerekend dat de testbereidheid is afgenomen en het vertrouwen in de overheid is geschaad nadat het nieuws over het datalek bekend werd

Dat is effectief stellen dat het vooral vervelend is dat het ontdekt is, niet dat het überhaupt kon.

[J_van_Ekris]

Nee, door het lekken van gegevens is het vertrouwen afgenomen. Als je voor je werk met vertrouwelijke gegevens om moet gaan levert dat bij jou als werknemer een verantwoordelijkheid op om heel terughoudend met die informatie om te gaan. Verkopen daarvan past niet in dat plaatje. Het gedrag is gewoon het probleem, ook als de GGD dit naar bijvoorbeeld een interne controle aan de AP had moeten melden.

[.oisyn]

Mijn hele punt is dat ik niet wil vertrouwen op de verantwoordelijkheid van een individuele werknemer, maar dat ik het ronduit abject vind dat elke werknemer zomaar bij alle gegevens kan zonder dat daar een audit aan te pas komt (waarbij het bestaan van dergelijke audits er ook voor zorgt dat werknemers terughoudend zijn om lukraak gegevens op te zoeken). Dat is de GGD aan te rekenen, niet de individuele werknemer. En dat dat feit nu aan het licht komt is dan wel door die ene werknemer, maar nog steeds de verantwoordelijkheid van de GGD.

[Reactie gewijzigd door .oisyn op 23 juli 2024 18:32]

[J_van_Ekris]

Mijn hele punt is dat ik niet wil vertrouwen op de verantwoordelijkheid van een individuele werknemer, maar dat ik het ronduit abject vind dat elke werknemer zomaar bij alle gegevens kan zonder dat daar een audit aan te pas komt

Dat beeld deel ik met je, maar enige realiteitszin is wel op zijn plaats denk ik. Als je als telefonist in zo'n callcenter-constructie zit, ga je lukraak mensen moeten opzoeken. Dus of je logging/SIEM patronen gaat zien, en de audit dus wat gaat opleveren is erg lastig.

[.oisyn]

Mensen aan de telefoon moeten hun BSN en geboortedatum geven. Dat zou toegang kunnen geven tot de gegevens. Voor uitzonderlijke gevallen zou je de supervisor meer rechten kunnen geven, zodat men er toch bij kan als het moet.

Maar goed, dat is natuurlijk makkelijk verzonnen achteraf, vanuit mijn luie stoel, dat snap ik ook wel. Maar desalniettemin maakt men zich er imho altijd te licht van af op het moment dat dit soort systemen worden opgetuigd. Betere beveiliging is op een of andere manier vaak een ondergeschoven kindje dat men er achteraf aan vast plakt, ipv daar bij het ontwerp al over na te denken.

En even voor de goede orde, ik plijt deze werknemer absoluut niet vrij, die moet gewoon straf krijgen. Maar hij heeft mijn vertrouwen in het systeem niet geschaad, dat heeft de GGD zelf

[Reactie gewijzigd door .oisyn op 23 juli 2024 18:32]

[Jeroenneman]

Hij gaf ook zijn CoronIT-inloggegevens aan een vriend, die logde dan in en zo leek het alsof hij aan het werk was.

Benieuwd hoe je dit wil gaan afdichten. De verdachte heeft moedwillig en met het volle verstand zichzelf aan de galg gehangen. Ik hoop dat het z'n 400 euro waard was

[PcDealer]

Mooi citaat uit het burgerlijk wetboek Boek 7:

Afdeling 7. Enkele bijzondere verplichtingen van de werknemer

Artikel 659
1 De werknemer is verplicht de arbeid zelf te verrichten; hij kan zich daarin niet dan met toestemming van de werkgever door een derde doen vervangen.

https://wetten.overheid.n...el10_Afdeling7_Artikel659

[Reactie gewijzigd door PcDealer op 23 juli 2024 18:32]

[supertanno]

Alle GGD-medewerkers moeten in principe een VOG overleggen en staan onder geheimhoudingsverklaring. Een berechting zal voor de oud-medewerker dus ook ervoor zorgen dat hij niet langer een VOG voor het behandelen van privégegevens zal kunnen krijgen. Dat lijkt mij ook wel een belangrijke zet.

[SgtElPotato]

Zijn fout niet meer dan een contractbreuk? Er is vooraf waarschijnlijk zeer duidelijk aangegeven wat wel en niet mag en dat je met de gegevens van miljoenen Nederlanders in aanraking komt.

Als je vervolgens deze gegevens gaat lekken, je inloggegevens doorstuurt naar een 'vriend' en weet ik veel wat niet meer, dan mag dat echt wel wat harder bestraft worden dan zogenoemde onstlag op staande voet..

[The_Woesh]

Dus omdat er geen drempels op de snelweg zijn mag je ineens 160 rijden? en de directie van Rijkswaterstaat in de gevangenis vanwege alle auto ongevallen veroorzaakt door hardrijders?

nee, je hebt je aan de wet te houden. Daarnaast heeft de GGD je ook nog eens een AVG cursus gegeven. Je weet dondersgoed dat je iets doet dat niet mag en toch doe je het, dan krijg je straf.

En ja, dat je niet altijd moet vertrouwen om te voorkomen is helder. Maar we moeten er niet in doorslaan.
De GGD heeft de immense taak op zich gekregen om het Corona testen en vaccineren in zeer korte tijd op te zetten. Zoals ieder project, het kan snel, het kan goed en het kan goedkoop maar het kan nooit alle drie. De Pandemie gaf maar één keuze en dat is snel en dat heeft de GGD gedaan. Achteraf roepen de GGD directie moet de gevangenis vind echt te plan volledig misslaan en totaal geen inleving in de situatie.

[Rhys08]

De persoon die dit doet, die heeft de fout begaan en dient gestraft te worden. Dat de organisatie meer werk had moeten maken van beveiliging staat buiten kijf, maar om nu alle schuld bij de GGD te leggen is vreemd.

Hij had ook zelf kunnen bedenken dat dit niet de bedoeling is. Zo lastig is dat niet.

[amx]

Er zijn screenshots gevonden waaruit blijkt dat deze man ook plannen had om met de gevonden gegevens phishing websites/campagnes te starten. Niet echt een fris type. En daarbij: een draaiende auto op iemands oprit mag je ook niet stelen.

Dat gezegd hebbende: callcenter Teleperformance is door de GGD gekozen om een aantal redenen, maar niet op wie ze aannemen, en ook niet op naleving van AVG door hun werknemers.. Ze zullen het zo verkocht hebben, maar zowel GGD, als Teleperformance, als de, laat ik zeggen verdachten, zijn hier verwijtbaar.

Wie echter een overtreding heeft gemaakt, is juridisch aansprakelijk. En of je kan zeggen dat de GGD juridisch verwijtbaar is omdat ze niet zorgvuldig genoeg zijn geweest met het indammen van systeemtoegang is denk ik lastig hard te maken (citation needed).

Maar downplay niet de criminele escapades van deze figuren die nu voor de rechtbank staan. Die verdienen echt wel een straf voor wat ze gedaan hebben.

[downtime]

Je had liever gezien dat de coronatesten twee jaar waren uitgesteld totdat de systemen helemaal perfect zijn en alle procedures gevolgd zijn en iedereen zich juridisch volledig ingedekt heeft?
Het werk moest gebeuren en kon niet wachten. Vervelend dat het niet goed genoeg was maar er was nu eenmaal haast bij.

[Empror1]

Fijn dat deze man iets heeft gedaan dat in strijd was met de overeenkomst tussen hem en de GGD, maar ik vind het raar dat hij hiervoor strafrechtelijk vervolgd wordt terwijl het echte probleem een stuk hoger ligt en zijn fout niet meer dan contractbreuk was.

Nou, niet meer dan een contractbreuk is wel erg licht gesteld. Zelfs zonder enig contract is het voor iedereen duidelijk dat het verkopen van medische gegevens van personen waar je niks mee te maken hebt niet door de beugel kan.

[IStealYourGun]

6 maanden, waarom niet meteen de doodstraf. En de volgende keer een arrestatie met een Apache helikopter graag.

Oké die persoon is er overgegaan en moet een straf krijgen, maar ik zie niet echt de meerwaarde van een gevangenisstraf. Een boete lijkt mij logischer en als er (reputatie) schade is dan moet hij de slachtoffers vergoeden. Hoewel ik niet meteen zie hoe dit schadelijk kan zijn. Oké je hebt corona... En dan?

[ELD]

Ik zie liever een straf die nog hoger is. Het vertrouwen in de veiligheid van de data van burgers is in het geding geweest en de bereidheid van mensen om zich te laten testen is gedaald. Dit is niet zomaar iets. Een celstraf van een jaar waarvan 6 maanden voorwaardelijk past beter bij de ernst van de zaak.

[liberque]

Die straf is ook veel hoger. Persoon is met HBO bezig en wordt straks nergens meer aangenomen omdat hij geen verklaring van goed gedrag kan overleggen. Dat vind ik al heel ernstig. Inmiddels al 26 dagen in de cel, met heel veel bombarie opgepakt, ouders met een trauma.. en nog een keer 6 maanden cek met daarboven 6 maanden voorwaardelijk. En waarom? Omdat hij iemand zijn corona- en/of vaccinatie data deelde?

Dit terwijl iedere dag wel weer gelezen wordt dat de data van miljoenen mensen is ontvreemd bij een random bedrijf vanwege een of ander lek. Systemen (ook die van ziekenhuizen) volledig gegijzeld worden voor een paar bitcoin en er een persoon met miljoenen vandoor is gegaan door de verkoop van slechte mondkapjes aan de Nederlandse staat?

Nee dit is echt weer een geval van 'voorbeeldje stellen' om de maatschappelijke onrust te luwen en om het falen van goede controle te verdoezelen. Walgelijk. Ja hij verdient straf. Helemaal mee eens, maar laat het dan wel in proportie zijn. Flinke geldboete en een taakstraf lijkt me logischer. Dan kan hij zijn HBO het eerste jaar gebruiken om die boete te betalen en mensen gaan verzorgen die revalideren van corona opdat hii dan de ernst inziet.

[Greymane]

Het gaat niet zo zeer om het delen, het gaat om het verkopen en de schending van integriteit. Deze persoon is doelbewust aan de grabbel gegaan met prive gegevens met als oogmerk om er winst op te maken. Door deze keuze te maken heeft hij willens en wetens de privacy en persoonlijke levenssfeer wet overtreden, en hoort dus niet thuis in een baan waar deze bij prive gegevens kan.

Onbetrouwbaar en geen integriteit. Wat mij betreft kan dat niet hard genoeg worden afgestraft. Goede les voor de volgende die denkt met deze gegevens aan de grabbel denkt te kunnen gaan. Jammer van z'n HBO studie en toekomst, maar die heeft hij zelf weg gegooid. Daar kan ik geen medelijden voor opbrengen.

[Dennisdn]

Dat andere criminelen slimmer zijn, het groter doen en zich niet laten pakken wil niet zeggen dat degene die wél gepakt worden maar minder straf moeten krijgen. Handel in persoonsgegevens kunnen gewoon hele nare gevolgen uit voortkomen voor elk van de slachtoffers. Gevolgen die we nu misschien nog niet eens weten. Al is het alleen maar een klein beetje informatie om over een tijdje als extra zetje te gebruiken bij phishing of andere babbeltrucks.

[Reactie gewijzigd door Dennisdn op 23 juli 2024 18:32]

[Cyberpuppy]

Dus je zit op een HBO opleiding en hebt 0 ethisch besef. Lijkt me prima als hij even mag genieten van een studieonderbreking, kan hij in die tijd nog eens aan zelfreflectie doen.

[ex87]

Die VOG zal wel mee vallen. Ja, hij zal 2 jaar niet met data kunnen werken (omdat hij 21 is wordt er 2 jaar terug gekeken (bron: https://www.justis.nl/pro...r/terugkijktermijnen.aspx)) maar daarna wordt deze gewoon weer uit gegeven. Of naja, in zijn geval dus 3 jaar als de straf wordt geaccepteerd/uitgegeven (het is straftijd + terug kijk tijd).

[Reactie gewijzigd door ex87 op 23 juli 2024 18:32]

[amx]

Ik zou het ook graag zien dat zijn ouders hem het huis uit gooien en hij zelf eens geconfronteerd wordt met de keus welke kant hij op wil met zijn leven. Blijkbaar is het hem niet gegund om met een goede afkomst en redelijke scholing op het rechte pad te blijven.

En wat betreft geen werk meer vinden: ik hoop voor hem dat iemand in zijn leven de kwaliteiten waar hij mee verder kan komen in zijn leven wél is opgevallen. Er zijn genoeg banen waar je geen VOG voor nodig hebt, laat hem dan maar weer onderaan de ladder beginnen.

Het ging hier echt niet om iemand die wat gegevens aan vrienden door heeft gegeven als grapje. Zie ook de plannen om een phishing website op te zetten en creditcard fraude te plegen. De coronadata is totaal niet boeiend. Hij heeft een zakelijke, criminele afweging gemaakt en de plannen uitgevoerd. Telefoonnummers van mensen die onder politiebescherming verkopen is wel een verzwarende omstandigheid geweest in ieder geval.

In je betoog lees ik het geloof in het goede van de mens gezien je empathische reactie op de inbewaringstelling. Ik denk ook dat dat een kernwaarde hoort te zijn. Maar de harde realiteit is: op het pad waar deze crimineel zich begeven heeft maken mensen hele andere keuzes. En mensen die empathie tonen worden door dat soort figuren niet ontzien. Dus nee, geen maatschappelijk voorbeeld, geen taakstraf, en geen medelijden.

[IStealYourGun]

Ik weet niet hoe de situatie is in Nederland, maar in België is het geweten dat sommige (politie) ambtenaren onterecht gegevens opzoeken, al dan niet tegen een kleine vergoeding.

Als er dan eens eentje tegen de lamp loopt dan krijgt die hooguit een tuchtstraft, ondanks dat we het hebben over professionele vaste medewerkers. Hier spreken we vermoedelijk over snel opgeroepen interim werknemers die hooguit een briefing hebben gehad.

Dus ja, dan vind ik 6 maanden niet in verhouding met de realiteit, zeker gezien de persoon al in voorhechtenis heeft gezeten.

[JDx]

Ik snap best dat het lonkt om even snel iets op te zoeken wat je niet aan gaat, nee het mag niet, maar er zijn vast meer mensen die de verleiding niet kunnen weerstaan, deze eis is denk ik een voorbeeldfunctie.

[Feni]

Je gaat voorbij aan het mogelijk maken van verkoop van persoonsgegevens en de maatschappelijke schade die deze persoon heeft veroorzaakt.

[WhatsappHack]

“Oké je hebt corona... En dan?”

Dan kan je heel ernstig ziek worden. Maar het probleem in dezen lijkt te zijn dat mensen die zich niet laten testen over het algemeen ook minder urgentie voelen om maatregelen te nemen, het staat immers niet vast wat je hebt en je wordt niet door een telefonist(e) op het hart gedrukt vooral in quarantine te gaan en te blijven, noch kan er contactonderzoek plaatsvinden. Daardoor kunnen ze ofwel langer doorlopen met klachten, of anderen, waaronder kwetsbaren, nodeloos infecteren met in het ergste geval de dood tot gevolg en levert het onnodig druk op op de zorg. Contacten krijgen daarnaast ook niet het verzoek zichzelf uit voorzorg te laten testen; waardoor er mogelijk nog meer nodeloos besmet raken, soms omdat die contacten besmet zijn zonder het te weten. Dan had een testje wel gescheeld en het was zo simpel; maar uit begrijpelijke angst voor privacy problemen door criminelen die data stelen durfde minder mensen te testen; mede omdat anti-figuren mensen meteen aanspoorden niet meer te gaan.

Ik vind 6 maanden en daarnaast geen boete wel heel erg mild voor wat hij gedaan heeft (contractbreuk, privacyschending, verhandelen van gestolen data met winstoogmerk, ongeautoriseerde personen toegang geven tot een systeem met medische data, reputatieschade veroorzaken waardoor testbereidheid omlaag gaat en mogelijk zelfs levens verloren zijn gegaan, etc.), komt hij bijzonder goed mee weg en mag hij in z’n handjes wrijven met zo’n hele lichte tik op de vingers.

[Reactie gewijzigd door WhatsappHack op 23 juli 2024 18:32]

[amx]

De strafeis en ook de methode van arrestatie hebben ook veel te maken met het opzoeken en verkopen van informatie over mensen die in politiebescherming waren,zoals John van de Heuvel en wijlen Peter R. de Vries. Het feit dat de laatste inmiddels is geliquideerd geeft wel aan dat dit soort domme criminelen gewoon hard aangepakt moeten worden.

Deze jongens hebben privegegevens van anderen doorverkocht. AVG is er om bedrijven een flinke boete te geven als zij zo met gegevens van personen omgaan. Personen horen hier dit ook niet straffeloos te moeten kunnen. Dit is daar geen uitzondering op, net als de ziekenhuismedewerkers die patienteninformatie over Barbie van Oh Oh Cherso hebben gedeeld.

Zelf komen ze dan met teksten als : ik kom nu altijd op tijd bij mijn huidige werkgever. Als je me een straf geeft, belemmert dit mijn leven. Hoe dom je dan ook bent, van mij mag hij op de blaren zitten.

[HansMij]

Er werd bij die arrestatie groot uitgepakt omdat hij de gegevens van o.a. Peter R. de Vries en John van den Heuvel opzocht. Dat waren personen die door de staat beveiligd werden. Die beveiliging is niet voor niets en blijkbaar reden om met een arrestatieteam te werken.

[Tintel]

We kunnen het ook omdraaien. Waarom moesten deze gegevens centraal worden opgeslagen?

Omdat stoute mensen dan te vaak een gratis inenting gingen ophalen? Het is gratis voor iedereen.. en het percentage dat dan extra vaccinatie zal nemen lijkt mij te verwaarlozen.

Of om naderhand te bewijzen dat je invaccineerd bent? Dat kan ook zonder centraal systeem. Maar nee, dan kan men frauderen - want bij die fraude is een enorm economisch voordeel te halen...oh nee, wacht.

Of was het voor de statistieken? Maar dan heb je alleen aantalen nodig. Geen persoonsgegevens.

Let wel: toen dit werd aangekondigd werd gewaarschuwd voor eventueel misbruik en dat het daarom onverstandig (en onnodig) was om het centraal op te slaan. En wonder-wonder, toch misbruik...

En dan straffen we die stoute misbruikers eens flink. Alsof dit misbruik is waar we echt bang voor moeten zijn. <Alu-hoedje op>dat komt namellijk pas later.

[J_van_Ekris]

We kunnen het ook omdraaien. Waarom moesten deze gegevens centraal worden opgeslagen?

Omdat de wet (WGBO) verplicht dat er van elke medische handeling een bewijs is en dat te traceren is welke medicus (geregistreerd met BIG nummer) bij welke patient (wettelijk verplicht te registreren via BSN) welke handelingen heeft verricht. En die uitslag moet weer terug naar die burger om te zorgen dat je de juiste burger verteld dat hij weer mag gaan werken of dat hij 10 dagen in isolatie moet. Met een niet-waterdichte registratie wordt zoiets helemaal een klerebende.

En oh ja: als die medicus dus fouten maakt hij daarop aangesproken kan worden via het medische tuchtrecht. Dus die registratie moet ook voor die burger zijn rechten kloppen. Ook omdat er rechten aan een uitslag hangen: als je aantoonbaar Corona gehad hebt kan een burger al weer naar het buitenland. Moet die burger dat wel kunnen aantonen.

[Tintel]

Ha - dus om de burger te beschermen tegen fouten.

Het ene deel betreft het stokje in den neus - niet echt een medische handeling met veel risico zeg ik dan.
De andere medische handeling een prik in de arm. Terwijl zelftesten ook nog bestaan en eigenlijk jezelf vaccineren ook best wel zou kunnen (genoeg mensen die zichzelf dagelijks prikken).

De testresultaten kwamen toch niet in een mailbox van de overheid? Gewoon op een mail-adres wat jij vertelt. Daar zit geen enkele koppeling in met je BSN. Dus waterdicht? Nope.

En dat rechten hangen aan een uitslag (of vaccinatie) - daar wringt dus de schoen. Jij noemt nu buitenland maar stiekem is het ook binnenland (festivals). Terwijl nu juist het hele idee dat algehele / algemene gratis vaccinatie, zal leiden tot voldoende gevaccineerde mensen zodat al die zaken niet meer nodig zijn (zoals bewijs van negatieve test of vaccinatie) omdat dit niet gewenst is vanuit privacy overwegingen en zelfbeschikkingsrecht.

Stellen er wetten bestaan die door de overheid zijn uitgevaardigd - dezelfde overheid die notior slecht omgaat met centrale databases. Dezelfde overheid die beloftes slecht nakomt ("we zullen niet tornen aan zelfbeschikkingsrecht" - wat indirect steeds meer gebeurt want zonder een test of vaccinatie kom je niet overal meer binnen). Die overheid is bezig om voor ons te zorgen dat we de stoute medicus kunnen aanspreken op problemen.

Overigens ben ik absoluut overtuigd van het nut van centrale databases (technisch gezien). En ook is het juridisch gezien heel praktisch.
Maar het directe nut voor de mensen zelf is veel beperkter en naar aanleiding van dit artikel kunnen we zien dat de risico's niet verwaarloosbaar zijn. Daar bovenop komt een overheid die keer op keer aantoont, niet betrouwbaar te zijn t.o.v. het individu - wel de bevolking als geheel (en dan enkel op de lange termijn).. Ik stel namelijk niet dat de overheid evil is - maar de belangen van het individu zijn altijd ondergeschikt aan de groep (volgens de overheid).

[J_van_Ekris]

Het ene deel betreft het stokje in den neus - niet echt een medische handeling met veel risico zeg ik dan.
De andere medische handeling een prik in de arm.

Een medische handeling is een medische handeling, de wet maakt geen uitzondering. Elke labuitslag moet op dezelfde manier verwerkt worden, of het nu een wattenstaafje is of een urine-sample. En roepen dat iemand geen Corona heeft, en hem dus verkeerd gaan behandelen, heeft wel degelijk medische consequenties.

[dev10]

Je probeert nu een heel punt te maken over de data met betrekking tot inenten en wat voor gevolgen dit zou hebben voor de samenleving, maar dit gaat om gegevens over testuitslagen wat wel andere koek is.

Maar dan heb je alleen aantalen nodig. Geen persoonsgegevens.

Voor het inplannen van een test is het wel handig om de volgende persoonsgegevens te hebben:

- BSN omdat je bij het testen een ID-bewijs moet laten zien
- Telefoonnummer en e-mailadres om de uitslag, zowel positief als negatief, te laten zien
- Postcode om de dichtstbijzijnde testlocatie te zoeken

Ook mag je niet vaker dan x aantal keer in de week een test plannen. Dan is decentralisatie niet zo heel handig.

[Reactie gewijzigd door dev10 op 23 juli 2024 18:32]

[Tintel]

testuitslagen wat wel andere koek is.

Ik meen dat alles in 1 grote database zit. Maar voor de testuitslag is idd een extra nodig; je mail adres of telefoonnummer. Dat is alles. En daarna kan het record weer worden verwijderd (met de test-uitslag).

BSN omdat je bij het testen een ID-bewijs moet laten zien

Waarom dan? Bij vaccinatie: Om te bewijzen dat jij het bent waarin de prik wordt gezet???
Bij testen:
Dit is dus enkel om te voorkomen dat iemand met de testuitslag van een ander zou kunnen reizen. Maar draai het eens om: als jij nog wel wilt reizen terwijl je weet dat je een positieve testuitslag hebt dan heb je dus wel erg urgente redenen om te reizen (vluchten?) of je gelooft niet dat het uitmaakt of je bent dom.
Die laatste 2 zijn inderdaad een probleem. Maar dan is dus het uitgangspunt: de wereld zit vol ongelovige en/of domme mensen. Tja...

Telefoonnummer en e-mailadres om de uitslag, zowel positief als negatief, te laten zien

Dat is dus het enige (en alleen voor het test-resultaat) en kan na versturen weer worden verwijderd.

- Postcode om de dichtstbijzijnde testlocatie te zoeken

Alleen bij het inplannen dus - hoeft dus ook niet te worden opgeslagen.

Ook mag je niet vaker dan x aantal keer in de week een test plannen.

Okay en wat is het voordeel dan om vaker te testen? Wellicht bij een positieve uitslag en hopen op een nieuwe test met andere uitslag. Kleine kans. Dus ook hier weer: wat is de motivatie/noodzaak?

[Reactie gewijzigd door Tintel op 23 juli 2024 18:32]

[Empror1]

We kunnen het ook omdraaien. Waarom moesten deze gegevens centraal worden opgeslagen?

Omdat stoute mensen dan te vaak een gratis inenting gingen ophalen? Het is gratis voor iedereen.. en het percentage dat dan extra vaccinatie zal nemen lijkt mij te verwaarlozen.

Of om naderhand te bewijzen dat je invaccineerd bent? Dat kan ook zonder centraal systeem. Maar nee, dan kan men frauderen - want bij die fraude is een enorm economisch voordeel te halen...oh nee, wacht.

Het gaat hier om testgegevens niet om vaccinatiegegevens.

[Tintel]

Is dat niet 1 database?

Voor testen is het nog minder noodzakelijk om dit centraal te doen.

[F5544]

Als je China als staat hebt.

[Guru Evi]

Wel, tegenwoordig in zowel de EU als de VS zijn er publieke personas die nu aangeven dat als je geen experimenteel spuitje wilt dat ze graag willen dat de regering je verbiedt naar de dokter of hospitaal te gaan.

[Guru Evi]

Ik denk niet dat dit de originele motivatie is, maar dat is waar het uiteindelijk altijd op uitdraait. Eenmaal je de vrijheiden overgeeft aan een regering, ben je het permanent verloren.

De meeste Duitsers waren ook beloofd dat het tabuleren van mensen's religieuze/ethnische achtergrond en of ze een geweer in huis hadden gewoon 'regeringswerk' was. Totdat de Nazi's overnamen.

Hetzelfde zie je vandaag in Afghanistan, duizenden mensen die samengewerkt hebben aan een vrije staat, al die databases zijn nu in de handen van de Taliban die nu van huis naar huis gaan om mensen die meegewerkt hebben met de vorige regering te vermoorden.

Het is nooit goed een database bij te houden waar 'iedereen' (verplicht) in staat.

[Reactie gewijzigd door Guru Evi op 23 juli 2024 18:32]

[Tintel]

En het vreemde is - je mag het niet zeggen. De ellende van misbruik door juist de (nieuwe / andere / huidige) regering is vrij groot. Vervolgens de 'data-lekken'... En waarom?

Waarom dat ook complot-denken zou zijn is mij niet duidelijk. Gezien complot-denkers het meestal zonder bewijs moeten stellen.

[Empror1]

En het vreemde is - je mag het niet zeggen. De ellende van misbruik door juist de (nieuwe / andere / huidige) regering is vrij groot. Vervolgens de 'data-lekken'... En waarom?

Waarom dat ook complot-denken zou zijn is mij niet duidelijk. Gezien complot-denkers het meestal zonder bewijs moeten stellen.

Volgens mij mag je hier behoorlijk veel zeggen. Dat mensen je een -1 geven omdat het niets meer te maken heeft met de medewerker die gegevens lekte doet daar niets aan af.

[Tintel]

Mijn punt was dat een centrale database bij de overheid een scenario is wat altijd lijkt te leiden tot misbruik/lekken. Wat dus wel ter zake is.
Echter nu is het de Corona-database en leidt dat tot discussie...

[Geim]

En nu? Gaan we het systeem ook aanpassen zodat een medewerker niet de gegevens van miljoenen Nederlanders kan inzien? Gaan we een alarm inbouwen als een medewerker gegevens opvraagt waar hij eigenlijk niets van hoeft te weten? Gaan medewerkers meldingen krijgen bij het opvragen van gegevens dat ze er eigenlijk niets te zoeken hebben?

Het feit alleen al dat er meerdere medewerkers bij de GGD zijn die "alle" testgegevens kunnen inzien doet mijn vertrouwen in de Nederlandse staat niet veel goeds.

[WhatsappHack]

Ja ze hebben volgens het onderzoeksrapport oa betere logging ingebouwd en een SIEM geïnstalleerd om verdachte activiteiten op te sporen. Dit was in het prille begin nog niet aanwezig, waarschijnlijk omdat men in allerijl de boel moest regelen en er haast bij geboden was.

“Gaan medewerkers meldingen krijgen bij het opvragen van gegevens dat ze er eigenlijk niets te zoeken hebben?”

Het probleem is dat ze er wél iets te zoeken kunnen hebben. Daarom hebben ze naar mijn weten ook een geheimhoudingsverklaring.

[Geim]

Het probleem is dat ze er wél iets te zoeken kunnen hebben. Daarom hebben ze naar mijn weten ook een geheimhoudingsverklaring.

Mijn vrouw werkt in het ziekenhuis en heeft toegang tot "haar" patiënten (vaak afdeling gebonden). Wil ze gegevens van andere patiënten zien krijgt ze een melding dat dit niet "haar" patiënten zijn.

[WhatsappHack]

Dit is echter een speciaal systeem waar je sowieso uitsluitend toegang hebt tot één patiëntengroep: zij die getest zijn of zich willen laten testen. Het is niet een kwestie van de secretaresse bij de afdeling internen die een kijkje wil nemen bij de dossiers van plastische chirurgie zegmaar. Dat is qua ACL dus alweer een stuk lastiger af te dekken daar het hun patiënten wel degelijk kunnen zijn. Het kan natuurlijk wel hoor, met wat extra stappen en checks, maar ik vind het niet heel vreemd dat dit er op dag 1 niet meteen inzat met de haast die ze hadden.

Overigens is dat in ziekenhuizen over t algemeen ook vrij recent pas gekomen Zie affaire Barbie en dergelijken.

[Reactie gewijzigd door WhatsappHack op 23 juli 2024 18:32]

[Geim]

Een eenvoudige check op BSN + geboortedatum was al voldoende geweest om willekeurige data in te zien.

[WhatsappHack]

Zo spraken wij lekker makkelijk achteraf vanaf de zijlijn met onze trouwe viervoeters: shoulda, coulda en woulda.

[J_van_Ekris]

In veel ziekenhuizen wordt anders gewerkt: als je met spoed een patient moet gaan behandelen dan moet je gewoon bij de gegevens kunnen (bijvoorbeeld om te controleren of er alergieen zijn tegen latex of antibiotica, etc.). Nu gebeurt het niet vaak, maar als ziekenhuis moet je er wel op ingericht zijn dat mensen gewoon op een willekeurige afdeling terecht komen (want geen plaats op "eigen" afdeling) of dat ze in elkaar storten op plekken waar men gewoon moet gaan handelen.

In theorie kan men met "Breaking glass" mechanismes werken: in de applicatie aangeven dat je bij andermans patient MOET komen omdat er een acute situatie is. Maar weinig ZISsen kunnen dit, en voor de hele grote ziekenhuizen is het bijna onmogelijk om vol te houden.

[Empror1]

In theorie kan men met "Breaking glass" mechanismes werken: in de applicatie aangeven dat je bij andermans patient MOET komen omdat er een acute situatie is. Maar weinig ZISsen kunnen dit, en voor de hele grote ziekenhuizen is het bijna onmogelijk om vol te houden.

Bij veel van de grootste ziekenhuizen van Nederland is dit systeem wel degelijk geïmplementeerd.

[Empror1]

Mijn vrouw werkt in het ziekenhuis en heeft toegang tot "haar" patiënten (vaak afdeling gebonden). Wil ze gegevens van andere patiënten zien krijgt ze een melding dat dit niet "haar" patiënten zijn.

Dat klopt, maar die melding kan ze ook wegklikken. Bijvoorbeeld wanneer er patiënten onverwachts en met spoed naar haar afdeling komen of wanneer patiënten normaal niet in dat ziekenhuis thuis horen maar bijvoorbeeld op vakantie zijn.

[Geim]

Klopt, maar dan kan ze nooit zeggen "dat ze het niet wist" zoals verdachte persoon in het artikel aangeeft.

[TheekAzzaBreek]

Hoe zie je dat voor je?

Het gaat om de telefoonlijn waar je testafspraken kan maken. De medewerker moet van een willekeurige beller kunnen zien of het BSN klopt en of er recente uitslagen zijn, ik zie niet hoe je dat preventief kan afdichten.

Goed instrueren, achteraf monitoren en hard handhaven lijkt me in deze situatie de enige oplossing.

[Geim]

Hoe zie je dat voor je?

Het gaat om de telefoonlijn waar je testafspraken kan maken. De medewerker moet van een willekeurige beller kunnen zien of het BSN klopt en of er recente uitslagen zijn, ik zie niet hoe je dat preventief kan afdichten.

Deze medewerker kon willekeurige gegevens inzien, welke persoons gegevens had hij daar voor nodig? Als je voor het inzien van gegevens b.v. BSN + geboortedatum door moet geven wordt het al een stuk lastiger om willekeurige gegevens in te zien. En daar wordt de beller toch naar gevraagd bij het maken van een afspraak.

Goed instrueren, achteraf monitoren en hard handhaven lijkt me in deze situatie de enige oplossing.

En ook dat gebeurde dus blijkbaar niet.

[SgtElPotato]

Omdat dat vrijwel onmogelijk is binnen een korte tijd. Daarnaast staan de medewerkers onder een geheimhoudingsverklaring en moeten ze (volgens mij) ook een VOG overleggen.

[OxWax]

Inderdaad, dat los je toch op rechten in GPO?

[Alxndr]

[sarcarmse] Gaan we in alle auto's een snelheidsbegrenzer zetten? Ga we op alle wegen iedere kilometer een flitspaal zetten? Gaan we continue je snelheid aan je verzekeringsmaatschappij en het CBR doorgeven?

Het feit dat er automobilisten zijn die "vol gas" kunnen rijden, doet mijn vertrouwen in de RDW en CBR niet veel goeds. [/sarcasme]

Aan de ene kant zit natuurlijk wel een kern van waarheid in, als je minimum loon betaald, krijg je minimum kwaliteit mensen en moet je de kat niet op het spek binden.

Maar aan de andere kant: kom op zeg, eigen (professionele) verantwoordelijkheid - als jij ondanks je instructies/cursus/"opleiding" niet snapt wat er wel en niet mag (of het nu kan of niet) krijg je met de consequenties te maken - en ja, dan kan in serieuze gevallen betekenen dat je achter de tralies moet.

Maar toch doen dit soort dingen me altijd weer aan m'n eerste baantje achter een kassa denken: die kassalade gaat honderden keren open en ik kan bij al het geld, maar als ik de lade een keer te snel dicht doe en een euro te weinig wisselgeld heb gepakt, moet ik de manager roepen om met de sleutel de lade open te doen.

[Geim]

"....snelheidsbegrenzers en zo.."

Overtredingen vergelijken met misdrijven?

Maar aan de andere kant: kom op zeg, eigen (professionele) verantwoordelijkheid - als jij ondanks je instructies/cursus/"opleiding" niet snapt wat er wel en niet mag (of het nu kan of niet) krijg je met de consequenties te maken - en ja, dan kan in serieuze gevallen betekenen dat je achter de tralies moet.

Oh, ik pleit hem ook helemaal niet vrij, maar waarom de kat op het spek binden als je het kunt voorkomen?

[Alxndr]

Te hard rijden kan volgens mij ook een (verkeers)misdrijf zijn, het hangt puur af van de ernst? 100 in de bebouwde kom of op een woonerf kom je niet mee weg met een simpele boete.

En als jij echt per ongeluk een typefout maakt of misklikt is het zien van andermans gegevens ook niet direct een misdrijf.

Wat betreft het voorkomen: afgezien dat het betuttelend is kleven er ook praktische en financiele bezwaren aan.

Zie mijn voorbeeld met de kassamanager. Afgezien dat de klant moet wachten; hoe lijkt het naar de klant toe dat mijn werkgever me niet voor een euro vertrouwt. Daarnaast, als je het uurloon van mij en de manager bij elkaar optelt, kost het het bedrijf gewoon geld als het langer dan een minuut duurt.

[bartje]

dus deze meneer beweert dat hij denk dat hij vrij mocht rondneuzen en zijn inloggegevens aan een vriend mocht geven?
Beetje ongeloofwaardig.

Aan de andere kant kun je ook het IT systeem aanrekenen. Mensen moeten gewoon geen toegang hebben als ze er niet aan mogen komen. Het zit vaak in de aard van de mens om er toch even te gaan kijken.
Het doorspelen van de informatie is dan wel weer kwalijk.

[genosis]

Dat kan je wel makkelijk zeggen maar als iemand belt en zijn naam geeft moet je het gewoon kunnen opzoeken.. Daarbij ga je er dus van uit dat iemand integer met zijn rechten om gaat en dat ging hier dus mis.

Daarnaast was blijkbaar de audit-log wel voldoende, als ze zo na konden gaan wat hij allemaal bekeken heeft.

[Reactie gewijzigd door genosis op 23 juli 2024 18:32]

[Ectra]

voor 99% van de mensen in deze functie belde zij mensen. Ze worden zelf niet gebeld.
Dus eigenlijk zou je alleen toegang hoeven te hebben tot de persoon die op dat moment jouw casus is.

[honey]

voor 99% van de mensen in deze functie belde zij mensen. Ze worden zelf niet gebeld.
Dus eigenlijk zou je alleen toegang hoeven te hebben tot de persoon die op dat moment jouw casus is.

Klopt, maar zo waren de systemen niet ingericht. Midden in een grote crisis kun je geen vertraging permitteren en werk je met de middelen die er zijn.

[J_van_Ekris]

En ik denk dat dat iets is wat een rechter ook mee gaat laten wegen: tijdens een crisis misbruik maken van de situatie. Een beetje zoals een medewerker die de kassa leegrooft tijdens een brand omdat hij denkt er mee weg te komen.

[honey]

Exact. Ik vind het daarom ook een milde straf.

[SunnieNL]

Hij maakte screenshots van hun gegevens, maar naar eigen zeggen wilde hij daar niks mee doen.

Yeah right, als je er niks mee wilt gaan doen, waarom zou je die screenshots dan maken? Om ze door te sturen naar een vriend? Maar ja, doorsturen van foto’s naar bekenden is niet ‘niks mee doen’.

Ben wel benieuwd of ze in de toekomst dit ook geen doen met bv medisch personeel dat zomaar iemand zijn dossier inkijkt terwijl dit niet nodig is of met ambtenaren die neuzen in aanvragen waar zij niets mee te maken hebben.

[Jeroenneman]

Daar zijn allang procedures voor. Als medewerker in een ziekenhuis moet je voor onbekende dossiers een reden opgeven voor inzage, daarop wordt regelmatig een steekproef uitgevoerd. Er is ook software beschikbaar om patronen bij te houden, bijvoorbeeld als Pietje van dermatologie wel héél vaak een dossier van plastische chirurgie nodig heeft. Dan krijg de gegevensbeschermer/privacy officer netjes een seintje dat er misschien eens een gesprek nodig is.

[weakbanana]

Dat de testbereidheid is afgenomen door dit voorval is absoluut waar - dat geldt in ieder geval alvast voor mij, en met mij waarschijnlijk vele anderen. Dit was een enorme vertrouwensbreuk tussen ons en de GGD. Je gaat ervanuit dat je gegevens vertrouwelijk behandeld worden, en je kan het niet controleren; als dan aan het licht komt dat dit niet het geval is, wordt het heel moeiljk om te bewijzen dat dat in de toekomst wel zo zal zijn.

[Groningerkoek]

Als ik dan dit oud artikel lees over hoe het eraan toeging, was het niet de vraag of het fout zou gaan, maar was de vraag wanneer ze de 1e zouden betrappen.
https://www.rtlnieuws.nl/...teleperformance-loon-werk

Uitzendkrachten die via een ingehuurd callcenter vanuit het eigen huis werken en dan niet correct betaald worden, met als enige waarborg tegen misbruik een handtekening onder een papiertje.

[Ayiko]

Die handtekening is toch ook de enige "waarborg tegen misbruik" als ze correct betaald rechtstreeks voor de GGD werken op kantoor? Zelfs als je ze daar in hun ondergoed laat werken, kunnen ze nog opzoekingen doen en 's avonds doorvertellen wat ze zagen.

[Groningerkoek]

We zijn het er vast wel over eens dat goed werkgeverschap gaan volledige waarborg tegen misbruik van middelen is, maar dat goed werkgeverschap wel zorgt voor minder neiging tot misbruik van middelen in het algemeen.

Daarnaast telt ook mee hoe gemakkelijk het iemand wordt gemaakt, als je mensen vanuit huis laat werken en daarbij tevens toegang geeft tot de gegevens van half Nederland zonder een fatsoenlijk logging van wie wat opvraagt. Dat heeft hetzelfde effect als de deur van je huis 's-nachts open laten staan.

[gaskabouter]

Het medisch beroepsgeheim is heilig en schending een misdrijf. Dat er nu met stoom en kokend water een horde medewerkers ingezet moet worden vraagt veel van ICT en inrichting maar de kern is niet dat je niet bij data moet kunnen, want dat is nodig voor je werk, maar dat je weet dat je dat alleen mag als het nodig is.

Goede logging en eenvoudige algoritmes die detecteren of je een reden hebt of niet moeten voldoende zijn.

En ja iedereen opent weleens per ongeluk een verkeerd dossier. Maar als je dat moedwillig doet moet je gewoon strafrechtelijk vervolgd worden, dit is zeker niet de eerste zaak. Als je het doet om geldelijk gewin in georganiseerd verband vraag je om de hoogste strafeis.

[honey]

... Goede logging en eenvoudige algoritmes die detecteren of je een reden hebt of niet moeten voldoende zijn.
...

Ja, maar dan moet dat wel al geïmplementeerd zijn. Deze systemen waren daar niet op gebouwd. Iets aanpassen was lastig. Verder is HPZone ook van een Engels bedrijf dat ook weinig welwillend was. Ze wilden pas meewerken aan een audit toen er met gerechtelijke stappen werd gedreigd.
Daarnaast, moet je ook personeel hebben die deze logging gaat controleren, en moet weten wat oneigenlijk gebruik is en wanneer te handelen.

Het is niet zo eenvoudig, zeker niet in een crisis, zeker niet als je kijkt hoe enorm werd opgeschaald.