68.000 Nederlandse vrouwen melden zich voor massaclaim na hack bij medisch lab

Zo'n 68.000 vrouwen van wie de persoonsgegevens zijn gestolen bij de hack van Clinical Diagnostics, hebben zich aangesloten bij een gezamenlijke schadeclaim. Dinsdagavond stond de teller op 3700 aanmeldingen.

Advocaat Michaël Dol zegt tegenover de NOS dat advocatenkantoor Diepen Van der Kroef al zo'n 50.000 aanmeldingen via de website datalekbevolkingsonderzoek.nl heeft ontvangen. Die website staat sinds vrijdagmiddag online. Bij DKHV, dat aanmeldingen verzamelt via de website claimbevolkingsonderzoek.nl, staat de teller op 18.000 aanmeldingen. De twee kantoren gaan maandag in gesprek over een mogelijke samenwerking.

De advocatenkantoren willen de schadeclaim grotendeels baseren op nalatigheid bij het beveiligen van de gestolen data, schrijft onder meer NU.nl. Gedupeerden die zich aanmelden, hoeven daarvoor niets te betalen. In plaats daarvan ontvangen de advocatenkantoren een deel van de schadevergoeding als zij de rechtszaak winnen.

Twee weken geleden werd bekend dat de gegevens van zeker 485.000 Nederlandse vrouwen waren gestolen door een hack bij Clinical Diagnostics, die begin juli plaatsvond. In eerste instantie werd gemeld dat alleen vrouwen waren getroffen die in het verleden een bevolkingsonderzoek naar baarmoederhalskanker hadden ondergaan. Al snel werd echter duidelijk dat ook uiteenlopende andere medische onderzoeksgegevens via het bedrijf gestolen waren. Volgens RTL Nieuws zijn mogelijk ook gegevens uit huid-, urine-, penis-, vagina- en anusonderzoeken bij het datalek betrokken.

Reacties (96)

[JoeB2C]

Goede actie, even los van hoe de constructie precies werkt. Bedrijven en organisaties moeten databeveiliging eens serieus gaan nemen en anders maar flink pijn voelen.

[AlphaRomeo]

Ik blijf het typisch vinden hoe cybercrime zo anders beleefd wordt dan fysieke aanvallen.

Ter vergelijking:
* 'Juweliers moeten zich eens wat beter gaan wapenen tegen ramkraken, het is toch te gek voor woorden dat je zo met een auto naar binnen kunt rijden'
* 'Mensen moeten hun fiets vastzetten aan frame, voorwiel én achterwiel. Anders kun je met een beetje sleutelen zo onderdelen meenemen.'

En mijn favoriet:
* 'Vrouwen moeten zich eens wat beter verweren tegen aanranding'

Voor álle niet-cyber gerelateerde criminaliteit noemen we dat victim blaming, maar voor cyber crime ligt de schuld voor sommigen primair bij het slachtoffer. Ik snap dat er meer secundaire slachtoffers zijn, maar dat kan ook gelden voor een juwelier of telefoonzaak.

[OCU-Macs]

Exact dat. Het is nog niet eens vastgesteld of deze partij onvoldoende beveiligd was. Evenals die juwelier kun je ook als dataverwerker je veiligheid op orde hebben, maar alsnog gecompromitteerd raken (door bijvoorbeeld een corrupte medewerker).

Als je kunt aantonen dat je alles binnen je mogelijkheden hebt gedaan je data te beveiligen ga je gewoon vrijuit.

[Kaasrol]

Alleen al het feit dat ze in de eerstep plaats die persoonsgegevens hadden lijkt mij sterk nalatig. Dat heeft een lab niet nodig, alleen een ID om terug te koppelen aan de opdrachtgever.

De sterkste manier om data te beveiligen is om het niet op te slaan.

[J_van_Ekris]

Alleen al het feit dat ze in de eerstep plaats die persoonsgegevens hadden lijkt mij sterk nalatig. Dat heeft een lab niet nodig, alleen een ID om terug te koppelen aan de opdrachtgever.

De wet die het BSN in de Zorg verplicht het gebruik van het BSN. In het verleden heeft het CBP (zoals de AP vroeger heette) op verzoek van het ministerie gekeken naar het gebruik van het BSN voor het bevolkingsonderzoek (formeel juridisch is er bij het bevolkingsonderzoek geen sprake van een medische behandeling), en die concludeerde dat het BSN gewoon verplicht was. Dus nee, zeker niet nalatig. Men heeft gewoon gedaan wat hun wettelijke plicht was, zoals ook al expliciet vastgesteld door de verantwoordelijke toezichthouder.

[Kaasrol]

Weer wat geleerd, bizar dat gebruik van BSN verplicht is. Dat praat echter nog niet het bewaren van andere identificerende gegevens goed.

[S-1-5-7]

Dat is inderdaad nog niet duidelijk. Het is wel duidelijk dat ze het datalek niet binnen 72 uur na ontdekking hebben gemeld. Dus ze staan sowieso al 1-0 achter.

De rest wordt vanzelf wel duidelijk, zeker nu het OM en de politie zelf een strafrechtelijk onderzoek zijn gestart

[dev-random]

Kromme vergelijking!

Niemand brengt zijn juwelen naar een juwelier die zijn zaken niet op orde heeft en zich niet kan weren tegen ramkraken.

Niemand leent zijn fiets uit aan iemand die hem niet op slot zet.

In het geval van Clinical Diagnostics hebben de deelnemers echter geen keuze gehad in de partij. Ze zijn hooguit benaderd door een arts met de belofte dat er zorgvuldig en anoniem zou worden omgegaan met hun gevoelige gegevens.

Victim blaming in dit geval zou klinken als:
"Dan had je maar niet je gegevens af moeten staan voor onderzoek, ook al deed je dat in de hoop andere vrouwen een berg ellende te besparen."

Gegevens over mijn vrouw zitten ook in dit lek. En als security-expert ben ik ervan overtuigd dat verantwoording hier absoluut noodzakelijk is.

[Triblade_8472]

Ho, wacht. Als ik jouw vertrouw met mijn spullen of gegevens, mag ik daar een passende beveiliging bij verwachten. Dààr gaat het om, niet om victim blaming, Maar om verantwoordelijkheid naar je klanten!

Mocht Tweakers besluiten alle wachtwoorden plain-text op te slaan, mogen we daar dan niet over klagen omdat het "blaming" is?

[Zoidberg_AvG]

Als ik jouw auto mag lenen en ik zet deze met de sleutel in het contact en de deuren open in een achterbuurt dan neem ik aan dat je mij ook niet enkel als slachtoffer ziet.

Bedrijven die persoonsgegevens bewaren zijn verplicht hier op een juiste manier mee om te gaan. Daarom is het ook niet automatisch zo dat bedrijven aansprakelijk zijn bij een hack, enkel als ze hun beveiliging niet op order hebben.

Volgens het artikel zal gefocust worden op 3 dingen:

Zo'n claim zou onder meer gebaseerd zijn op nalatigheid van Clinical Diagnostics. "Die hinkt op drie gedachtes: Waarom is het lek zo laat gemeld? Waarom hadden ze zoveel persoonlijke informatie van vrouwen verzameld? En was de beveiliging op orde?"

Dat de data gestolen is is op zichzelf geen reden voor een aanklacht als de hack tijdig gemeld is, er niet onnodig informatie is verzameld en de beveiliging op orde is.

[wiseger]

Nou als ik mijn horloge voor reparatie naar de juwelier breng, dan mag ik verwachten dat deze er zorgvuldig mee omgaat. Dus na sluitingstijd netjes opbergt in de kluis.

Net zoals als ik mijn auto naar de garage breng, dan mag ik er toch vanuit gaan dat deze de auto veilig parkeert op een bewaakt en afgesloten terrein en niet aan de openbare weg op een industrie terrein parkeert?

Als er bij de juwelier ingebroken word ten mijn horloge bleek gewoon 's nachts achterin op de werktafel te liggen of de garage belt me, uw auto is vannacht gestolen van de openbare parkeerplaats op het industrie terrein, dan ben ik woedend en zal ik de bedrijven zeker aansprakelijk stellen

[watercoolertje]

Die partij voelt de pijn echt wel hoor, die hebben echt gigantische imago schade en hebben geld betaald om de afpersers af te kopen...

Dit werkt echt niet om het beter te krijgen, eerder minder goed want er is straks minder geld over.

En geld voor de slachtoffers levert heeft ook echt werkelijk geen nut, anders dan het nut van geld ansich. De gegevens zijn nog steeds uitgelekt dat draai je echt niet terug.

[Thekilldevilhil]

Een bedrijf mag ook best wel eens over de kop gaan na een fout, heb je weer bedrijven die in het gat kunnen springen. Wat ze doen is in de basis echt ongelooflijk simpel werk, de regeltjes er om heen zijn lastig (GLP/GCP normen bijvoorbeeld) maar dit is op technisch vlak niet echt een onvervangbaar bedrijf. Als ik de site bekijk doen feitelijk een beetje PCR, IHC en wat simpele eiwit assays. Ik zie werkelijk niets bijzonders. Die testen leer ik elk jaar aan 100+ studenten aan en die kunnen het betrouwbaar (met de hand, zonder dure pipetteerrobots) doen.

In Nederland lopen veel te veel zachte heelmeesters rond, en het oude gezegde blijft wat mij betreft van toepassing. Soms is het goed, niet alleen voor bedrijven, om eens goed onderuit te gaan. Leer je van.

[Reactie gewijzigd door Thekilldevilhil op 27 augustus 2025 16:37]

[J_van_Ekris]

In Nederland lopen veel te veel zachte heelmeesters rond, en het oude gezegde blijft wat mij betreft van toepassing. Soms is het goed, niet alleen voor bedrijven, om eens goed onderuit te gaan. Leer je van.

Cytologie (wat het bekijken van uitstrijkjes is), is anders een formele medische diagnosestelling (geen telling!) die door een medisch specialist gedaan wordt. Uit mijn hoofd mag de diagnose boven PAP3 zelfs alleen door een patholoog gesteld worden.

[Thekilldevilhil]

Ik snap niet goed waar je dit uit mijn comment haalt. Ik benoem werkelijk alleen het technische aspect van de techniek voorafgaande aan de diagnose stelling. En benoem daarbij ook dat het overnemen van de activiteiten niet heel ingewikkeld is.
Bij het omvallen van de organisatie blijven de pathologie als specialist bestaan, die verdwijnen niet met het bedrijf. Die kunnen prima ergens anders de diagnostiek gaan doen. Een IHC of H&E doen is niet moeilijk, dus dat is geen belemmering en niet een reden om het hele bedrijf niet te laten ploffen.

En dat is exact het punt, dit bedrijf (terecht naar meaning mening) kapot procederen levert geen structureel kennis probleem op. Soms is het prima om een falend bedrijf te laten falen. We hebben het hier niet over een ASML achtig bedrijf waarbij de kennis naar alle waarschijnlijkheid uit Nederland verloren zal gaan als het vetrekt/omvalt.

[Reactie gewijzigd door Thekilldevilhil op 27 augustus 2025 17:32]

[Pendora]

En wat is het probleem bij de die imago schade? Kan ik als (als ik vrouw was) kiezen waar mijn test naar toe wordt gestuurd?

Zo'n bedrijf heeft nauwelijks schade te pakken. Het is ook nog een klein bvtje in een groot concern. Morgen staat er een andere naam op de gevel en het is weer klaar.

[JoeB2C]

Geld voor de slachtoffers is zeker niet onterecht. Die kunnen hier allerlei tijd of geld door kwijt zijn, bijvoorbeeld door fraude met hun gegevens.

[HansMij]

Je vergeet dat andere bedrijven dit soort artikelen ook lezen en zich misschien bewust worden van het feit dat meer data verzamelen een hoger financieel risico vertegenwoordigd. Dat vind ik geen slechte ontwikkeling.

[dev-random]

Als de praktijk ons iets leert is het wel dat er bij dergelijke bedrijven post-hack wél aandacht en geld is voor cyber security. Zolang ze het hoofd boven water houden.

Dat geld moet natuurlijk ergens vandaan komen en nadat ze hun personeel minder zijn gaan betalen, de bonussen voor management terug zijn gebracht tot een minimum (minder waarschijnlijk) en secondaire voorwaarden uitgekleed, blijft er maar één optie over. En dat zijn hogere prijzen voor producten en diensten. Het doorberekenen van security maatregelen aan klanten is ook niet gek. Het is alleen onnodig duur geworden, o.a. vanwege het losgeld, maar vooral omdat alle IT nu naar een hoger beveiligingsniveau moet. Daarvoor hebben ze (veel) dure expertise nodig en worden grote omvangrijke reparatie programmas gestart.

Doe dat x1000 bij andere Nederlandse bedrijven en uiteindelijk betalen we hier als samenleving voor. Als klant of via belastinggelden.

[nlmarvin]

Ik ben een leek op dit gebied hoor, maar denk ook dat zoals door meerdere hierboven wordt gezegd hacks nooit 100% te voorkomen zijn. Mocht een bedrijf aan kunnen tonen toch wel een goede beveiliging te hebben dan ben ik benieuwd wat er door de rechter wordt uitgesproken.

Ik denk dat "Bedrijven en organisaties moeten databeveiliging eens serieus gaan nemen en anders maar flink pijn voelen." misschien wat kort door de bocht is. Bij aantoonbare wanprestaties ben ik het wel volledig met je eens.

[wiseger]

Het begint allemaal met beleid. Niet meer en langer gegevens bewaren dan strikt noodzakelijk zou het uitgangspunt moeten zijn.

De vraag is dan: 'Waarom staan de gegevens van 485.000 vouwen in een online systeem bij het Testlab inclusief hun BSN nummer?'

Als daar geen noodzaak voor is, dan hadden gegevens allang (deels) gewist kunnen worden, dan wel naar een offline archief gearchiveerd kunnen worden.

Dat soort vragen vind ik vrij relevant om te bepalen of een organisatie wat te verwijten valt. Het gaat niet alleen om beveiliging maar ook om de vraag hoe ga je als organisatie om met privacy gevoelige gegevens?

[kodak]

De vraag is of de wetgever en samenleving het serieuzer moet nemen zodat de tienduizenden slachtoffers niet hoeven te claimen om nog enige gerechtigd proberen te krijgen.

Het doel van beschermen is immers niet dat slachtoffers achteraf misschien nog enige gerechtigheid kunnen krijgen maar dat dit soort lekken voorkomen. De praktijk is dat slachtoffers na een lek misschien nog enige genoegdoening krijgen. Zelfs als slachtoffers massaal gemaakt worden hoeft een bedrijf niet zomaar te compenseren. En via de rechter gaat het al snel om afwijzen van claims omdat de bewijslast bij de slachtoffers ligt ook al zijn meerdere rechten overduidelijk geschonden.

[Mathijs Kok]

Goede actie, even los van hoe de constructie precies werkt. Bedrijven en organisaties moeten databeveiliging eens serieus gaan nemen en anders maar flink pijn voelen.

Dan ga jij er van uit dat die beveliging niet op orde was, terwijl we daar nog helemaal niets van weten. De laatste twee weken is bekend geworden dat een aantal kwetsbaarheden gebruikt werden voordat ze bekend en gepatched waren. Dit kan er dus best een van zijn en dan kan je daar gewoon niets aan doen. Soms ben je gewoon niets anders dan slachtoffer als je gehacked bent. En in Nederland ondersteunen we slachtoffers en straffen ze niet.

Tweakers wil altijd Barbertje laten hangen zonder de feiten te weten. Dat is kwalijk. Zeker als we aannemen dat veel tweakers in de IT werken of er in elke geval affiniteit mee hebben

[JoeB2C]

Dat zal de rechter dan maar moeten uitzwijzen. Geen reden om ze niet verantwoordelijk te houden.

[Beta]

Jammer dat ze het claim Bevolkingsonderzoek noemen. De fout ligt toch in de basis bij Clinical Diagnostics en niet bij het bevolkingsonderzoek? Klinkt als stemmingmakerij.

[jdh009]

Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade.

Bron: https://www.privacy-regul...sprakelijkheid-EU-AVG.htm

Hoezo? De fout ligt in eerste instantie bij de partij waarmee de slachtoffers in zee zijn gegaan. Voor de betrokkenen is de rest irrelevant al kunnen ze op grond van artikel 82 AVG zowel de verwerkingsverantwoordelijke als de verwerker aanspreken. Als het bevolkingsonderzoek de schade wil doorschuiven, staat het hen vrij om regres te halen bij Clinical Diagnostics. Lid 2 maakt dat expliciet:

Elke verwerkingsverantwoordelijke die bij verwerking is betrokken, is aansprakelijk voor de schade die wordt veroorzaakt door verwerking die inbreuk maakt op deze verordening. Een verwerker is slechts aansprakelijk voor de schade die door verwerking is veroorzaakt wanneer bij de verwerking niet is voldaan aan de specifiek tot verwerkers gerichte verplichtingen van deze verordening of buiten dan wel in strijd met de rechtmatige instructies van de verwerkingsverantwoordelijke is gehandeld.

Mocht er bij het bevolkingsonderzoek niets (meer) te halen zijn, dan kunnen gedupeerden verder de keten in en het lab aanspreken. Lid 4 regelt namelijk:

Wanneer meerdere verwerkingsverantwoordelijken of verwerkers bij dezelfde verwerking betrokken zijn, en overeenkomstig de leden 2 en 3 verantwoordelijk zijn voor schade die door verwerking is veroorzaakt, wordt elke verwerkingsverantwoordelijke of verwerker voor de gehele schade aansprakelijk gehouden teneinde te garanderen dat de betrokkene daadwerkelijk wordt vergoed.

Edit:
Al zie ik als leek tussen de regels door wel mogelijkheden om beide direct verantwoordelijk te stellen. Of dat dan als twee zaken of als één zaak loopt, kan ik er niet snel uithalen (en ook niet of ze dus samen voor bedrag x moeten opdraaien of bij beide los iets te halen valt en dus hoger is). Volgens lid 4 lijkt het erop dat één vordering tegen beide tegelijk mogelijk is, waarbij ze hoofdelijk aansprakelijk zijn.

[Reactie gewijzigd door jdh009 op 27 augustus 2025 16:36]

[friend]

De fout ligt in eerste instantie bij de partij waarmee de slachtoffers in zee zijn gegaan.

Lijkt mij dat de fout in eerste instantie ligt bij de eigenaar/beheerder van de persoonsgegevens die voor het onderzoek nodig zijn. En dat is de overheid. Die moet er voor zorgen dat de gegevens veilig zijn. En dat kan op 2 manieren: afdwingen dat de gegevens met zorg verwerkt worden OF een manier gebruiken dat deze gegevens al helemaal niet door derden gebruikt hoeven te worden.

Daar is de grote fout gemaakt. Een lab hoeft helemaal de persoonsgegevens niet op te slaan en kunnen volledig anoniem de testen uitvoeren en terugmelden aan de overheid. En als het niet nodig is dat deze gegevens ter beschikking van derden hoeven te komen, dan is het volgens de AVG ook niet toegestaan. Anoniem kan dmv. een unieke sleutel die door de overheid gegenereerd wordt bij het afdrukken van de papieren die met de test set verstuurd wordt. Bij het versturen van de sets zijn alleen de benodigde naam/adresgegevens nodig die onder beheer van de overheid worden gedrukt en alleen in de retourset naar het lab wordt de sleutel meegestuurd. Op die manier is geen digitale versie van die gegevens bij derden beschikbaar.

Dat is de denkfout die in vrijwel alle media gemaakt wordt, het gaat er niet om hoe er een hack heeft plaatsgevonden, het gaat om de vraag waarom die gegevens bij een lab opgeslagen zijn, terwijl dit helemaal niet nodig was (en dus niet toegestaan).

[tw_gotcha]

Een beetje makkelijk, "de overheid" bestaat natuurlijk niet, dat is en verzamelnaam voor allerlei instanties. Dus wie dan in de overheid?

Waarom zou een lab gegevens niet opslaan, op zijn minst tijdelijk? als er een toring is ben je alles kwijt, dus helemaal niet opslaan lijkt me geen scenario.

Natuurlijk kan die data wel door derden gezien worden en dat is ook nodig, bijv door univeristeiten voor onderzoek, en dat levert hopelijk dan weer meer inzicht op. Er wordt heel vaak gezegd dat medische analyses veel te veel op mannen gebasseerd zijn, dus er is zelfs een noodzaak. Als dat duidleijk vermeld is, er is goedkeuring van de persoon verkreggen, en de gegevens zijn geannonimiseerd kan dat wel. En dan moet een deel van de gegevens opgeslagen worden, op zijn minst tijdelijk.

[friend]

Ik heb het over de eigenaar/beheerder van die persoonsgegevens en dat is een onderdeel van de overheid die al de nodige zorg moet betrachten met die gegevens die ze dus al beheren. En zeker niet een lab.

Wat moet een lab met die persoonsgegevens? Niets, dus moeten ze die ook helemaal niet krijgen, ook niet tijdelijk! En wat betreft de storing is onzin, alleen de sleutel wordt opgeslagen inclusief de uitslagen, de persoonsgegevens (met sleutel) zijn veilig opgeslagen buiten het bereik van het lab.

Onderzoek kan nog steeds, de overheid heeft die gegevens, inclusief de uitslagen, en kan geanonimiseerd (volgens de AVG richtlijnen) deze gegevens beschikbaar stellen aan onderzoeksinstellingen, zodat ook hier geen gevoelige gegevens op straat komen liggen.

Zo moeilijk is het niet, maar met deze instelling om maar overal persoonsgegevens te gaan lopen uitdelen, blijven deze gegevens naar buiten lekken.

[Reactie gewijzigd door friend op 27 augustus 2025 17:33]

[jdh009]

Over ‘denkfouten’ gesproken: jij begint hier een blame game door mij een denkfout toe te schrijven die ik nooit gemaakt heb. Ondertussen stapel je er zelf meerdere op. Ik noem Bevolkingsonderzoek Nederland als partij waar de slachtoffers mee in zee zijn gegaan, jij schuift het hele probleem gemakzuchtig in de schoenen van ‘de overheid’. Daarmee doe je precies wat tw_gotcha al opmerkte... makkelijk proberen te scoren door het hele probleem eenzijdig bij één containerbegrip te leggen.

Feit blijft dat zowel de verantwoordelijke (Bevolkingsonderzoek Nederland) als verwerker (Clinical Diagnostics) zelfstandig verplichtingen hebben, dat volledige anonimiteit in dit proces onmogelijk is (hoogstens pseudonimisering, maar dat valt óók onder de AVG) en dat verwerking door een lab wél toegestaan is mits noodzakelijk, contractueel geregeld en goed beveiligd.

Lijkt mij dat de fout in eerste instantie ligt bij de eigenaar/beheerder van de persoonsgegevens die voor het onderzoek nodig zijn. En dat is de overheid.

Dat is veel te kort door de bocht, daarbij kent de AVG geen “eigenaar van persoonsgegevens”. “De overheid” als containerbegrip roept makkelijk wat op, maar het is juridisch totaal nietszeggend. De formele verwerkingsverantwoordelijke is en blijft zoals ik al aangaf het Bevolkingsonderzoek Nederland, en daarnaast rusten er zelfstandige verplichtingen op de verwerker. Artikel 82 dat ik eerder deelde maakt duidelijk dat ook Clinical Diagnostics daardoor aansprakelijk kan zijn voor schade bij schending van hun verplichtingen, en dat er richting de betrokkene zelfs hoofdelijke aansprakelijkheid kan gelden.

Die moet er voor zorgen dat de gegevens veilig zijn.

Juist, maar dit geldt óók voor de verwerker. Artikel 28 en 32 AVG verplichten verwerkers zelf tot passende technische en organisatorische maatregelen. Als patiënt heb je in eerste instantie te maken met de partij waarmee jij in zee gaat, en dat is in dit geval het bevolkingsonderzoek (in andere gevallen, zoals onderzoeken via de huisarts, is de huisarts de verantwoordelijke). Dat betekent niet dat het laboratorium vrijuit gaat zodra jouw gegevens daar belanden, maar wel dat beide partijen ieder hun eigen aansprakelijkheid dragen en uiteindelijk bij beide een claim neergelegd kan worden.

Een lab hoeft helemaal de persoonsgegevens niet op te slaan en kunnen volledig anoniem de testen uitvoeren en terugmelden aan de overheid.

Dit klopt niet. Volledige anonimiteit is in dit proces onmogelijk, omdat testresultaten altijd aan een individu moeten worden teruggekoppeld. Hoogstens kan pseudonimisering worden toegepast, maar dat zijn nog steeds persoonsgegevens onder de AVG (art. 4 lid 5, overweging 26).

Daarnaast schrijft de Wbsn-z verplicht voor dat het BSN wordt gebruikt bij zorgprocessen, juist om correcte identificatie en koppeling van uitslagen te garanderen. Aanvullend gelden de waarborgen uit de Wabvpz, die vastlegt dat gegevensverwerking in de zorg alleen rechtmatig is als identificatie en uitwisseling volgens deze wettelijke kaders plaatsvinden. Daarmee wordt voorkomen dat persoonsverwisseling optreedt, met potentieel ernstige medische gevolgen.

En als het niet nodig is dat deze gegevens ter beschikking van derden hoeven te komen, dan is het volgens de AVG ook niet toegestaan.

Onvolledig. De AVG staat verwerking door derden toe, mits noodzakelijk en gebaseerd op een rechtsgrond (art. 6 AVG) én vastgelegd in een verwerkersovereenkomst met duidelijke instructies van de verantwoordelijke. Dataminimalisatie, zie art. 5 lid 1c AVG, betekent dat alleen noodzakelijke gegevens mogen worden verwerkt, niet dat verwerking door derden verboden is.

Op die manier is geen digitale versie van die gegevens bij derden beschikbaar.

Ook dat is een misvatting. Met een sleutel verwerk je nog steeds persoonsgegevens, want die sleutel blijft herleidbaar tot een individu. Zolang de koppeling kan worden gemaakt, is er sprake van pseudonimiteit en dus valt dit volledig onder de AVG.

Dat is de denkfout die in vrijwel alle media gemaakt wordt, het gaat er niet om hoe er een hack heeft plaatsgevonden, het gaat om de vraag waarom die gegevens bij een lab opgeslagen zijn, terwijl dit helemaal niet nodig was (en dus niet toegestaan).

Onjuist.... Het opslaan en verwerken van persoonsgegevens door een lab is toegestaan mits noodzakelijk, met een passende rechtsgrond en vastgelegd in een verwerkersovereenkomst, waarbij art. 32 AVG passende beveiliging vereist. De kern van dit incident is niet dát een lab gegevens verwerkt, maar dat de beveiligingsmaatregelen tekortschoten.

[Reactie gewijzigd door jdh009 op 27 augustus 2025 18:33]

[Beta]

Duidelijk, dank voor je toelichting.

[Linux gebruiker]

[...]

Bron: https://www.privacy-regul...sprakelijkheid-EU-AVG.htm

Hoezo? De fout ligt in eerste instantie bij de partij waarmee de slachtoffers in zee zijn gegaan. Voor de betrokkenen is de rest irrelevant al kunnen ze op grond van artikel 82 AVG zowel de verwerkingsverantwoordelijke als de verwerker aanspreken. Als het bevolkingsonderzoek de schade wil doorschuiven, staat het hen vrij om regres te halen bij Clinical Diagnostics. Lid 2 maakt dat expliciet:


[...]


Mocht er bij het bevolkingsonderzoek niets (meer) te halen zijn, dan kunnen gedupeerden verder de keten in en het lab aanspreken. Lid 4 regelt namelijk:

[...]

Edit:
Al zie ik als leek tussen de regels door wel mogelijkheden om beide direct verantwoordelijk te stellen. Of dat dan als twee zaken of als één zaak loopt, kan ik er niet snel uithalen (en ook niet of ze dus samen voor bedrag x moeten opdraaien of bij beide los iets te halen valt en dus hoger is). Volgens lid 4 lijkt het erop dat één vordering tegen beide tegelijk mogelijk is, waarbij ze hoofdelijk aansprakelijk zijn.

Slachtoffers gaan met niemand in zee, de huisarts of een andere arts stuurt materiaal in naar het laboratorium waar zij zaken mee doen.

De patiënt heeft hierin geen invloed.

[SWINX]

Als potentieel slachtoffer heb je deelgenomen aan het bevolkingsonderzoek en zegt Clinical Diagnostics jou waarschijnlijk niks. Wel logisch dat ze dan ook onder die naam werken toch?

[phoenix2149]

De beklagers hebben niets te maken gehad met Clinical Diagnostics. De gegevens en materiaal zijn gestuurd naar de organisatie van het Bevolkingsonderzoek. Zij zijn vervolgens verantwoordelijk voor jouw gegevens en moeten er dan ook voor zorgen dat de bedrijven waarmee ze samenwerken gecertificeerd/capabel zijn om zorgvuldig met jouw gegevens om te gaan.

Daarbij had de organisatie van Bevolkingsonderzoek er ook voor kunnen zorgen dat de data AVG (of GDPR) compliant overgedragen wordt zodat Clinical Diagnostics in feite gaan cruciale persoonlijke informatie in hun database heeft staan zoals BSN of wat ook. Bijvoorbeeld deer randomized codering die weer door Bevolkingsonderzoek vertaalld wordt naar jouw gegevens wanneer de resultaten er zijn.

Als het Bevolkingsonderzoek vervolgens de claim weer wil claimen bij Clinical Diagnostics staat hun vrij om te doen.

[pancras2]

Als een kliniek een sample opstuurt naar Clinical Diagnostics om dit te onderzoeken op bepaalde markers is het niet nodig om NAW en BSN mee te sturen. Beide zijn in gebreke.

Ik ben geen vrouw maar ook slachtoffer. Ik heb een brief van een kliniek gekregen dat mijn gegevens ook bij dit datalek zijn betrokken

[J_van_Ekris]

Als een kliniek een sample opstuurt naar Clinical Diagnostics om dit te onderzoeken op bepaalde markers is het niet nodig om NAW en BSN mee te sturen. Beide zijn in gebreke.

De wet op het BSN stelt anders: bij een diagnosestelling door een medisch specialist (wat een pathologisch lab is), is het BSN wettelijk verplicht als gevolg van de wet op het BSN in de Zorg. Erger nog, als je het BSN niet gebruikt ben je als medicus verwijtbaar nalatig als er patientverwisseling plaatsvindt.

[pancras2]

Helder. BSN is dan toch voldoende? NAW is niet nodig?

[J_van_Ekris]

Helder. BSN is dan toch voldoende? NAW is niet nodig?

Toch wel. Personalia worden meegestuurd om als extra verificatie op het BSN, en als de persoon in kwestie door de huisarts wordt doorverwezen moet de behandelend specialist van het ziekenhuis alsnog naar het lab kunnen bellen voor aanvullende informatie. En dan is wederzijdse identificatie van de patient op basis van de NAW gegevens telefonisch vaak weer vele malen effectiever.

[pdidi]

Ik zie die eis om Personalia mee te sturen als extra verificatie op het BSN niet terug komen in de de Wet gebruik burgerservicenummer in de zorg. Daar staat alleen:

Artikel 9: De zorgaanbieder vermeldt bij het verstrekken van persoonsgegevens met betrekking tot de verlening van, indicatiestelling voor of verzekering van zorg aan een zorgaanbieder, een indicatieorgaan of een zorgverzekeraar steeds het burgerservicenummer van de cliënt.

[Reactie gewijzigd door pdidi op 27 augustus 2025 18:34]

[SampleUser]

ja maar daar valt toch wel wat op te verzinnen? hash van BSN + aanvraagdatum + “salt” die alleen op de omgeving van aanvragende arts staat ofzo? dat een toeleverancier à la Clinical Diagnostics een BSN+NAW niet krijgt betekent niet dat de BSN helemaal uit het spel hoeft te zijn

ik krijg echt kriebels hoeveel onderaannemers zo veel gegevens hebben terwijl het echt niet twee kanten op hoeft

[J_van_Ekris]

ja maar daar valt toch wel wat op te verzinnen? hash van BSN + aanvraagdatum + “salt” die alleen op de omgeving van aanvragende arts staat ofzo? dat een toeleverancier à la Clinical Diagnostics een BSN+NAW niet krijgt betekent niet dat de BSN helemaal uit het spel hoeft te zijn

Er zijn zorgsystemen, zelfs in dat lab, die met zo'n versleuteling van het BSN werken. Maar de wet is simpel: communicatie tussen zorgverleners moet op basis van BSN gebeuren.

En de introductie van een versleuteld BSN is niet eenvoudig. Om centrale nodes te ontlasten werkt het (je index, welke zorgaanbieder heeft wat van welke patient), Maar op een eindpunt als een lab werkt dat niet. Men moet immers ook continuiteit van zorg voor de komende 20 jaar naar de patient garanderen (Wet op de Geneeskundige Behandelovereenkomst), en dan zie je dat je het plain-text BSN toch gewoon nodig hebt. Al is het maar omdat die versleuteling na 20 jaar achterhaald blijkt. En een sleutel mondeling verifieren die uit 128 karakters bestaat is niet te doen (zorgverleners bellen elkaar ook nog over uitslagen...).

ik krijg echt kriebels hoeveel onderaannemers zo veel gegevens hebben terwijl het echt niet twee kanten op hoeft

Dit is gewoon een medisch specialist die zijn werk doet. Een ziekenhuis is in praktijk een bedrijfsverzamelpand voor medisch specialisten, allen met hun eigen juridische maatschappen. Onderaanneming zie jij als patient niet, maar is gewoon defacto de werkwijze in de zorg. Dit lab zit alleen om praktsiche redenen in Rijswijk (want het bediend de ziekenhuizen en huisartsen in Leiden, Den Haag en Rotterdam...).

[E!Ma0RB7]

Het idee achter de combinatie BSN en NAW is dat het door een mens te controleren valt. Als er in een hashfout BSN en NAW gemixt zijn dan kan een mens dit niet meer zien.

Let wel: de impact van persoonsverwisseling in de zorg is potentieel levensbedreigend; een datalek niet.

Met de juiste beveiligingsmaatregelen is de huidige gegevensuitwisseling aan de hand van BSN en NAW een uiterst verstandige manier van werken en gezien het nut prima in balans met iemands recht op privacy.

[Westpjotr]

Vraag: Zijn dergelijke hacks te voorkomen of werken alle maatregelen alleen drempelverhogend?

[rjd22]

Nee, hacks zijn niet altijd te voorkomen. Maar of er informatie buit gemaakt wordt zeker wel. We moeten leren niet alle informatie te bewaren en regelmatig opruimacties te houden als gegevens niet meer nodig zijn.

Ook is het voorkomen dat onnodige informatie opgeslagen wordt een hele goede manier om dit soort ernstige datalekken tegen te gaan.

[evers97]

In dit geval kun je niet zomaar iets verwijderen als iets niet meer gebruikt wordt. Medische gegevens moeten minimaal 20 jaar bewaard worden vanaf de laatste wijziging.

[phoenix2149]

Persoonlijk denk ik dat er bij het verwerken van persoonlijke data alles versleuteld moet zijn met MFA. Zodat als er al binnen gedrongen kan worden tot het systeem en de data simpelweg gekopieerd wordt er niets mee gedaan kan worden zonder ontgrendeling.

Criminelen gaan achter de meest makkelijke manier om informatie te krijgen en geld te verdienen. Als ze vervolgens uren al dan niet dagen hebben gewerkt om toegang te krijgen om vervolgens data te hebben waar ze niets aan hebben, dan stopt daar je verdienmodel.

Beetje als inbrekers. Als jouw huis beter beveiligd is dan je buurman gaan ze naar je buurman.

[wildhagen]

Niets is 100 procent te voorkomen, dat is echt een utopie in de praktijk.

Je kan het risico echter wél flink inperken tot een absoluut minimum door een goed beveiligingsbeleid te hanteren, en deze ook periodiek te laten auditen.

En dat gaat verder dan puur technische dingen als firewall, patches van bugs etc. Ook zaken als social engineering zijn hierin belangrijk (denk aan phishing en andere technieken).

[yevgeny]

Deze hack was eenvoudig te voorkomen door historische data offline te bewaren.

[Seal64]

Daarmee voorkom je niet de hack, maar verminder je de impact.

[wildhagen]

Zelfs dan is het niet 100 procent veilig. Er kan immers nog altijd een medewerker fysiek bij die offline tapes (of welk opslagmedium dan ook gebruik wordt).

Als dat iemand met kwade bedoelingen is, kan hij die tape/opslagmedia aan een ongeautoriseerde persoon/organisatie toespelen.

Kleine kans? Ja, uiteraard. Maar niet onmogelijk. Het is gewoon onmogelijk om 100 procent alles uit te sluiten. Je kan alleen de kans extreem klein maken.

[J_van_Ekris]

Deze hack was eenvoudig te voorkomen door historische data offline te bewaren.

Dit past niet in de wetgeving die het BSN in de zorg regelt. Je moet het electronische dossier van een patient zonder onnodige vertraging kunnen opleveren als een andere zorgverlener er in opdracht van de patient om vraagt. Dus even een backup tape uit de kluis halen past daar niet in. Als je kijkt naar de AORTA infrastructuur, die door het ministerie is opgebouwd om EPD's te ontsluiten, en de bijbehorende eisen voor een Goed Beheerd Zorgsysteen, dan is dat ook een bikkelharde eis.

[Zebby]

Is dat mogelijk? Jazeker. Is dat eenvoudig? Relatief, maar het kost wel (veel) geld, en dat is vaak het probleem.

[watercoolertje]

Is dat mogelijk? Jazeker.

Echt niet, geen idee hoe je de illusie kan hebben dat het wel mogelijk is. Leg eens uit hoe dan?

[Killemov]

In dit geval zou het zeker mogelijk geweest zijn als het normale systeem voor labonderzoeken zou zijn gevolgd. De overheid heeft dan de echte persoonsgegevens en een referentienummer en het lab heeft alleen het referentienummer, de te onderzoeken slijmafnames en de uitslagen. Dat vergt een extra stap, maar zorgt ervoor dat er buiten de overheid geen directe koppeling kan worden gelegd tussen persoonsgegevens en de uitslagen.

[J_van_Ekris]

In dit geval zou het zeker mogelijk geweest zijn als het normale systeem voor labonderzoeken zou zijn gevolgd. De overheid heeft dan de echte persoonsgegevens en een referentienummer en het lab heeft alleen het referentienummer, de te onderzoeken slijmafnames en de uitslagen. Dat vergt een extra stap, maar zorgt ervoor dat er buiten de overheid geen directe koppeling kan worden gelegd tussen persoonsgegevens en de uitslagen.

De wet die het BSN in de Zorg regelt stelt anders enorm helder dat elke medisch specialist (dus ook een patholoog) verplicht het BSN moet gebruiken in de elctronische communicatie naar andere zorgverleners. Is geen woord spaans aan.

De CBP (de rechtsvoorganger van de AP) heeft in 2013 op verzoek van het ministerie dan ook al expliciet inhoudelijk gekeken naar het gebruik van het BSN bij de bevolkingsonderzoeken, en heeft expliciet aangegeven dat dit in orde was.

[Keyb]

We zouden misschien kunnen beginnen met het niet zo eenvoudig herleidbaar maken van de gegevens? Anonimiseren in de meeste datasets?

Daarnaast zijn er allerlei (ouderwetse?) regels die stellen dat medische data minimaal 10 jaar opgeslagen moet worden. Misschien is dat ook niet zo handig in veel gevallen.

Ik merk nog steeds overal om mij heen dat bedrijven (en overheden) een ontzettend informatie honger hebben die in veel gevallen onzinnig is. Het uitgangspunt zou imo moeten zijn niet opslaan tenzij. Om maar eens mee te beginnen. Maar dat is roepen in de woestijn aangezien het onderdeel is van het verdienmodel.

[J_van_Ekris]

Daarnaast zijn er allerlei (ouderwetse?) regels die stellen dat medische data minimaal 10 jaar opgeslagen moet worden. Misschien is dat ook niet zo handig in veel gevallen.

De WGBO verplicht minimaal 20 jaar, en daarna zolang het medisch relevant is. Omdat kanker vaak decennia lang medisch relevant is, is die 20 jaar eigenlijk te kort en zijn de specialisten van mening dat dit voor oncologie en pathologie minimaal 30 jaar moet worden. Besef dat het niet alleen data is wat opgeslagen wordt, ook al het onderzochte weefsel (!) ligt zolang opgeslagen. En ja, het gebeurt dat echt dat dit soort decennia oud weefsel weer opgediept wordt en bijvoorbeeld met nieuwe techniek onderzocht wordt om een huidig ziektebeeld te verklaren (DNA sampling van de tumor). In voorkomende gevallen is het soms echt de vraag of een celafwijking het gevolg is van een uitzaaiing, of dat het een nieuwe primaire tumor betreft. Dat eerste geval kan wel eens heel erg foute boel zijn voor de patient.

[Zebby]

Er zijn talloze kant en klare oplossingen op de markt die je data versleuteld middels HSM's wegzetten. Dan is het aan jou om je toegangscontrole goed te regelen. Er zijn zelfs al quantum-ready encryptie protocollen als je los wilt gaan. Waar een wil is is een weg. Alleen die weg kost meer geld, en wordt dus niet toegepast.

[Orangelights23]

Zeker niet mogelijk. Ik ken geen enkel bedrijf wat een 100% veilig omgeving heeft, al is het om de simpele reden dat er mensen werken en die de zwakste schakel zijn.

Ik begeleid organisaties in Europa in hun cybersecurity en geloof mij gerust als ik zeg dat zelfs grote financiële instellingen hun zaken niet 100% op orde hebben. Idem omtrent overheidsinstanties, maar met name in Nederland is dat bekend (oa de Belastingdienst met software uit het jaar 1994)

[Robbierut4]

De enige manier om het te voorkomen is de data niet te hebben. Alles kan gehackt worden. Het ene is wat makkelijker of moeilijker, niks is onmogelijk.

[Master FX]

Toch mooi om te lezen hoe dit soort initiatieven zo in het leven geroepen worden. Dat die advocatenkantoren zich zo verbonden voelen met het lot van deze vrouwen. Zo bewonderenswaardig.

[jaspermeul]

Precies. Rechtszaken als deze eindigen vaak in een schikking, want veel te duur om te laten doorgaan.

Mocht er voor 10 miljoen geschikt worden dan is dat toch snel 140 euro per persoon. En dat voor aftrek van de kosten en bij niet meer dan het huidige aantal aanmeldigen.

Dit soort zaken levert niemand iets op behalve de 'belangloze' advocaten.

[The Zep Man]

Dit soort zaken levert niemand iets op behalve de 'belangloze' advocaten.

Niet helemaal waar. Het kost geld bij degene waar data gelekt is. Als data lekken geen geld kost dan is er helemaal geen afschrikwekkend effect of reden om zaken te verbeteren.

[OCU-Macs]

Exact, dat lab gaat dan hogere kosten krijgen, en om dit verlies te compenseren gaan ze bij de overheid hogere tarieven vragen.

De overheid vult dit begrotingstekort weer aan door belastingen te verhogen en zo betalen jij en ik (en de getroffene) uiteindelijk voor de vergoeding tengevolge van de gewonnen zaak, alsook het 'success fee' wat de voor dit doel opgerichte stichting (want die is de "financier" van de rechtszaak) gaat opstrijken als percentage van deze claim.

Vanmorgen hoorde ik op BNR een interview met de betreffende advocaat en deze wist te melden "dat men nog niet wist" hoe hoog dit percentage zou zijn.

Met andere woorden: Je kunt je aanmelden voor deze rechtszaak welke op no cure no pay is. Dus voor de getroffene geen enkel risico. Tijdens je aanmelding ga je alleen nog niet weten hoeveel je af gaat staan aan de financier (de Stichting opgezet om deze zaak te financieren).

Maar dat boeit je niet, want het is toch 'no cure - no pay'.

De "belangeloze" advocaten in deze zijn de grote winnaar van de claim, want ze kunnen het success fee achteraf vaststellen. Ongetwijfeld zal de Stichting ENORME kosten maken om deze zaak te voeren. Als bewijs zullen er torenhoge rekeningen van het advocatenkantoor binnenkomen die vele uren hebben moeten maken de zaak te bestuderen. Daarnaast nog een fikse rentevergoeding voor het losgemaakte kapitaal bij de financier alsook de nodige handling fee's en dergelijke. Boekhoudkundig komt dit helemaal snor.

De Porsche dealer wrijft zijn handen al... (bij wijze van spreken, want het kan ook de Maserati dealer zijn )

[The Zep Man]

Exact, dat lab gaat dan hogere kosten krijgen, en om dit verlies te compenseren gaan ze bij de overheid hogere tarieven vragen.

Waardoor ze hun concurrentiepositie verzwakken in aanbestedingstrajecten.

[Triblade_8472]

Het kan ook opleveren dat bestuurders flink harder gaan nadenken over hun digitale beveiliging omdat ze anders juridisch aansprakelijk gesteld kunnen worden.

Niet alle voordelen zijn monetair.

[Mathijs Kok]

Precies. Rechtszaken als deze eindigen vaak in een schikking, want veel te duur om te laten doorgaan.

Mmmm, helaas niet. De Nederlandse wet wil dat je schade kan aantonen en dat is extreem moeilijk voor de getroffen vrouwen. Dat je data uitlekt is op zich geen reden voor schadevergoeding, je moet echt aantonen dat je door die hack schade hebt. In andere landen ligt dat iets anders.

[Mr.Monk]

ze zullen er zelf absoluut niet beter van gaan worden hoor. Eeeeecht niet

Ergens schandelijk dat dit soort bedrijven over de ruggen die vrouwen er beter van gaan worden. Want het lost niets op. Je data ligt nog steeds op straat

[Master FX]

Dat was ook wel een beetje de insteek van mijn reactie. Ik snap dat deze als ongewenst / irrelevant wordt gemodereerd. Maar dit gevoel komt gewoon als eerste bij mij op. Zo'n nobel advocatenkantoor dat in de bres springt voor de vrouwen die dit onrecht is aangedaan. Dit staat natuurlijk los van het feit dat het echt hel erg is wat ze is overkomen. Maar het lost helemaal niks op.

[BezurK]

Ja ik begrijp alle slachtoffers ook wel. Want als je geld krijgt kun je daarmee je gegevens weer veiligstellen.

[Zoidberg_AvG]

Je kunt wel super cynisch gaan doen over dat geld de geleden schade niet kan repareren, maar het ontmoedigd bedrijven wel om lichtzinnig met cybersecurity om te gaan en zet iets positiefs tegenover het negatieve wat de slachtoffers overkomt.

[jaspermeul]

Maar dat zou een taak van de overheid moeten zijn via het AP. Laat die maar zwaardere boetes opleggen.

Massaclaims zijn niks meer dan een verdienmodel voor de advocaten, vaak via verzekeringen afgedekt dus uiteindelijk gewoon door diezelfde consument betaald.

[m4gn3t]

Uiteraard, zo gaan die dingen

[StephanVierkant]

Jammer dat we de Amerikaanse claimcultuur hier ook lijken te krijgen. Ik zie niet helemaal in hoe dat in dit geval ook maar iemand helpt, behalve dan die advocaten.

De vrouwen in kwestie hebben (in juridische zin) geen schade en voor zover zij schade hebben, heeft een klein geldbedrag echt geen enkele zin. We kennen in Nederland (gelukkig) niet snel smartengeld toe, omdat geld een privacyschending immers niet ongedaan maakt. Waar ze bijv. wel mee geholpen zijn is dat zij hun BSN-nunmer kunnen wijzigen bij een datalek met zoveel impact. Laten we zorgen dat we juristen daarvoor een oplossing laten bedenken.

Ik snap de gedachte dat een financieel risico toevoegen (bijvoorbeeld een schadeclaim zoals deze) bij een datalek kan helpen om de bestuurders aan te sporen meer prioriteit te geven aan beveiliging. Maar dat de (volstrekt voorspelbare) gigantische reputatieschade in dit geval niet genoeg heeft geholpen, is het ultieme bewijs dat een financiële prikkel niet het wondermiddel is dat dit soort datalekken voorkomt. Dit simplificeren tot 'laat ze maar betalen en dan komt het wel goed' brengt een oplossing alleen maar verder weg.

[Reactie gewijzigd door StephanVierkant op 27 augustus 2025 16:10]

[Vizzie]

Enerzijds volg ik je redenering, maar anderzijds vind ik dat een bedrijf als er niets gedaan wordt wel heel makkelijk wegkomt met "oh sorry" en de reputatieschade.

E.e.a. hangt er wat mij betreft van af of ze hun beveiliging en het minimaliseren van de data die ze in huis hebben serieus namen en goed op orde hadden en er desondanks toch derden toegang kregen tot de data (dan valt ze denk ik weinig te verwijten) of dat ze hier onzorgvuldig mee zijn geweest omdat ze er (bijvoorbeeld) niet te veel geld aan kwijt wilden zijn.

In dat laatste geval zou ik het wel gepast vinden als er acties volgen, hoewel ik dat liever zou zien in de vorm van persoonlijke (wellicht strafrechtelijke) aansprakelijkheid van de bestuurders die hiertoe hebben besloten dan in de vorm van een massaclaim waar alleen de betrokken advocaten rijk van worden.

[StephanVierkant]

Je doet alsof die reputatieschade iets immaterieels is. De realiteit is echter dat het voortbestaan van klantrelaties nu op het spel staan.

[Mathijs Kok]

Je doet alsof die reputatieschade iets immaterieels is. De realiteit is echter dat het voortbestaan van klantrelaties nu op het spel staan.

Inderdaad, als ze niets te verwijten valt (er zijn recent enkele kwetsbaarheden aan het licht gekomen die gebruikt werden voor er patches waren), zijn ze gewoon medeslachtoffer.Tweaker willen meteen een strop aan de boom maar we weten nog niets van de redenen

[Triblade_8472]

Wat ik hoop is dat de (juridische en publieke) straf aankomt bij andere bestuurders en zij beter gaan opletten bij hun digitale beveiliging. Dat ze niet gaan denken in kosten, maar in preventie.

Daarnaast, kunnen een berg mensen vele jaren na nu opeens problemen krijgen. Wie zegt dat het bedrijf dan nog bestaat om je recht te halen? Dat is nou het het probleem met een uniek en onwijzigbaar bsn.

[themadone]

Daar is een tijd geleden al een mooie wet over aangenomen waarin bestuurders in dit soort gevallen hoofdelijk aansprakelijk gesteld kunnen worden.

Was goed merkbaar in de aanvragen voor nieuwe projecten, want toen was er ineens budget en interesse in IT beveiliging. Stuk over de wet heeft in het FD gestaan, dus alle ceo's meteen in paniek lol.

Ontopic moeten we in Nederland gaan zorgen dat een BSN wijzigbaar wordt, de mogelijke moedwillige fraude is in dit soort gevallen vanuit de slachtoffers totaal niet aan de orde dus waarom niet iedereen gewoon een nieuw BSN en een database ergens met oud > nieuw voor het doublechecken op toekomstige fraude.

Aluhoedje op

De rede dat dit niet zomaar kan is omdat de uitwisseling tussen overheden/semi overheden en private instanties voor geen meter geregeld is en de wijziging er in veel gevallen toe zal leiden dat je wordt gezien als een compleet nieuw persoon. Het grappige is dat dit voor de slachtoffers veel minder relevant is als voor de instanties die de schulden/belasting/social credits etc bijhouden.

[Cobb]

Gelijk maar tegelijkertijd is het ook wel ons manco geworden. Dit is namelijk ook precies de reden waarom Chemours ons zo'n leuk landje vind.

[MSteverink]

Vooropgesteld: ik weet dat Clinical Diagnostics steken heeft laten vallen. Allereesrt dat ze deze diefstal niet hebben kunnen voorkomen, en wat ze hebben gedaan en nagelaten na de diefstal is bedroevend.

Maar dan nog zijn ze toch het slachtoffer in deze zaak, niet de dader?

[Killemov]

De opzet van het onderzoek heeft gefaald i.v.m. kostenbesparing. Dus kun je stellen dat door kostenbesparing alle persoonsgegevens bij het laboratorium terecht zijn gekomen. Daar zit dus het probleem. Dat die gegevens vervolgens gestolen zijn is een symptoom.

[Mit-46]

Zij zijn zeker ook slachtoffer, maar daarmee verdwijnt niet opeens hun verantwoordelijkheid.

Roemenië claimt nu ook een schadevergoeding voor de gestolen kunstwerken uit het Drents museum om maar een voorbeeld te noemen. Dat museum in Drenthe is ook slachtoffer, maar had de verantwoordelijkheid om de kunstwerken goed te beveiligen zolang deze bij hen lagen.
(Of Roemenië het nu bij de juiste claimt laat ik even in het midden.)

Ik vind de schade die hier geleden is veel groter dan die kunstwerken die gesloten zijn. Het betreft bijna een half miljoen mensen en ondanks dat het niet in "waarde" is uit te drukken zoals gestolen goud is de impact vele male groter.

Wanneer je besluit gegevens te bewaren dan heb je verantwoordelijkheden net zoals je deze zou hebben wanneer je besloten had om iets anders van andere te bewaren. Wellicht onderschatten bedrijven dit principe.

[Reactie gewijzigd door Mit-46 op 27 augustus 2025 16:45]

[OCU-Macs]

De daders zijn de hackers. Laat dat duidelijk zijn,

Op dit moment is het nog helemaal niet duidelijk of Clinical Diagnostics onvoldoende heeft gehandeld om haar data te beschermen. Vanuit de AVG is er omgekeerde bewijslast, dus CD moet aantonen hoe ze e.e.a. op orde hadden.

De advocaten sorteren inmiddels voor op het geval dat CD het niet op orde had, en een zaak dus aangespannen kan worden, maar dit zou dus ook nog anders kunnen uitpakken indien WEL blijkt dat CD haar zaken op orde had, maar ondanks dat alsnog gecompromitteerd raakte.

[TWyk]

Voor het verkrijgen van een schadevergoeding moet je schade aantonen en daar een prijs aan hangen

Dat is in deze situatie lastig.

[moonlander]

Wordt het hier nu ook al zo'n claimcultuur? Wees blij dat we die onderzoeken kunnen doen.. nu komt het geld iig niet ten goede voor de beveiliging, maar ook niet in nieuwe onderzoeken of technieken. Ja, ben het eens dat je gegevens op straat liggen, maar die 100 euro die je krijgt kost daar niks mee op.

[Vinnie.1234]

Vind dit een moeilijke claim hoor. Ik snap de claim volledig en sta over het algemeen 100% achter dit soort claims. Echter wil je ook niet dat dit te kosten gaat van de onderzoeken. Met andere woorden, als er een schade vergoeding betaald moet worden, moeten we oppassen dat dit niet ten koste gaat van het onderzoek zelf!