Ombudsman: slachtoffers van Clinical Diagnostics-lek zijn niet goed geïnformeerd

De Nederlandse Nationale Ombudsman vindt dat de slachtoffers van het lek bij het medisch laboratorium Clinical Diagnostics beter geïnformeerd moeten worden. Gedupeerden zouden nu nog over veel zaken in het duister tasten, waaronder welke gegevens precies zijn gestolen.

Slachtoffers zijn laat en niet volledig ingelicht door Bevolkingsonderzoek Nederland over het datalek, schrijft de Nationale Ombudsman Reinier van Zutphen in een brief. De gegevens van de patiënten van deze organisatie zijn in juli gelekt door een datalek bij Clinical Diagnostics, waar Bevolkingsonderzoek mee samenwerkt.

Slachtoffers ontvingen naar aanleiding van het datalek wel een brief van Bevolkingsonderzoek, maar daaruit werd onder meer niet duidelijk welke gegevens precies zijn gelekt, wie deze in handen heeft en hoe ze misbruikt kunnen worden, aldus de Ombudsman. Daardoor zouden slachtoffers nu nog met veel vragen zitten.

De Ombudsman richt de brief aan de demissionaire minister van Volksgezondheid Tieman. Aangezien zijn ministerie opdracht geeft voor de bevolkingsonderzoeken van Bevolkingsonderzoek Nederland, is hij volgens Van Zutphen verantwoordelijk voor het informeren van slachtoffers. "Ik vraag u uw rol te pakken en de informatieverstrekking snel te verbeteren, met nadruk op de behoeften van gedupeerden en op de maatregelen die u zélf gaat nemen om hun persoonsgegevens alsnog te beschermen en risico op fraude te voorkomen."

De Ombudsman wil dat minister Tieman ervoor zorgt dat de volgende brief naar slachtoffers meer informatie bevat. Er moet onder meer in worden vermeld welke persoonsgegevens precies zijn gelekt en wat slachtoffers concreet kunnen doen om eventuele risico's tegen te gaan, een klacht in te dienen of een melding van fraude te doen. Ook moet in de brief staan wat het ministerie zelf gaat doen om slachtoffers te beschermen en fraude met hun gegevens tegen te gaan.

Deze tweede brief wordt naar een grotere groep gestuurd, aangezien onlangs bleek dat het lek veel groter is dan eerder werd gemeld. Meer dan 700.000 deelnemers van bevolkingsonderzoeken zijn getroffen door het lek. Het zou vooral gaan om deelnemers van baarmoederhalskankeronderzoeken, maar er zijn mogelijk ook gegevens uit huid-, urine-, penis-, vagina- en anusonderzoeken betrokken.

Reacties (34)

[Zebby]

Ik hoop dat er onderzoek wordt gedaan naar de oorzaak van het lek, en als dit het gevolg is van (ernstige) nalatigheid dat het bestuur daar verantwoordelijk voor gehouden wordt.

[MennoE]

En wat denk je dat dat bijdraagt?

[Bor]

Potentieel een afschrikkende werking voor andere bedrijven.

[MennoE]

Wat dit bedrijf allemaal moet doen i.v.m. de nasleep van het lek is denk ik al afschrikwekkend genoeg.

[drdelta]

Waaruit blijkt dat? Dit artikel toont juist aan dat ze niet eens slachtoffers fatsoenlijk informeren.

[Zebby]

Dat de beveiliging van data als dit een essentieel item moet zijn op de agenda van ieder soortgelijk bedrijf. En als je als bestuurder daar niet aan mee wilt want 'duur' of 'gebeurt ons toch niet', dan vind ik dat je voor de gevolgen verantwoordelijk bent. En laat dat inderdaad een signaal zijn naar andere soortgelijke bedrijven. Het is afschrikwekkend hoe laks er met onze data wordt omgegaan, en die tijd zijn met toch echt voorbij. Wat hebben we aan AVG als er geen echte gevolgen aan hangen?

[schrikbeeld]

Wat hebben we aan AVG als er geen echte gevolgen aan hangen?

In feite hebben we niets aan AVG. De boetes, als die er al komen, komen te laat, zijn te laag en niet in verhouding tot de ellende die de slachtoffers meemaken. Bovendien hebben slachtoffers niets aan de opgelegde boete, er zou beter een systeem van schadevergoeding voor iedere getroffene moeten worden opgetuigd.

[XiliX]

Wat ik vooral mis is het initiatief om te onderzoeken of de gelekte gegevens minder waardevol gemaakt kunnen worden. Ik zie vooral veel vingers wijzen naar Clinical Diagnostics en naar wat daar verkeerd aan is gegaan (uiteraard goed om te onderzoeken) maar eigenlijk geen voorstellen rrichting de Kamer om gegevens als het BSN minder waardevol te maken, door bijvoorbeeld meer verificatie te gaan vereisen bij het aanvragen van een lening etc. Of, heb ik daar wat gemist?

[CPV]

Het hele BSN onderhanden nemen is wel een grote klus.

Maar misschien zou een lijst van gelekte BSN's helpen, waarbij instanties verplicht worden om zwaardere, aanvullende controles te doen.

[XiliX]

Dat zal zeker een grote klus zijn. Maar het systeem zoals het nu is blijkt niet veilig en deze hack zal zeker niet de laatste zijn.

[J_van_Ekris]

maar eigenlijk geen voorstellen rrichting de Kamer om gegevens als het BSN minder waardevol te maken, door bijvoorbeeld meer verificatie te gaan vereisen bij het aanvragen van een lening etc. Of, heb ik daar wat gemist?

Mee eens. Waarom kan een creditcard maatschappij dit wel als ik een potlood bestel via Amazon, maar de Nederlandse overheid niet als ik een grote lening afsluit?

[Bor]

Wat voor soort grote lening sluit je af bij de overheid? Dat gaat doorgaans via banken / kredietverstrekkers etc. Dat zijn dan ook de partijen die controles moeten doen. Je kan niet alles bij de overheid neerleggen.

[J_van_Ekris]

Wat voor soort grote lening sluit je af bij de overheid? Dat gaat doorgaans via banken / kredietverstrekkers etc. Dat zijn dan ook de partijen die controles moeten doen. Je kan niet alles bij de overheid neerleggen.

De overheid is wel diegene die authenticatie van al haar burgers regelt. En het BSN is van de overheid zodat ze handelingen aan één unieke burger kan koppelen, en zij is diegene die ook bij die instanties allerlei zaken uniek aan een burger gekoppeld wil zien (de UAVG stelt immers dat de enige grondslag voor verwerking van het BSN nog steeds is dat de wet het je verplicht), en zij is diegene die gebaat is dat die administratie ook klopt. Dan moet de burger ook enige controle krijgen als een instantie die koppeling probeert te realiseren om de kwaliteit van die koppeling te garanderen. Die instantie moet zich al vergewissen dat BSN bij de burger hoort (bij mijn weten geldt overal waar het BSN gebruikt wordt ook een WID plicht). Maar dat haalt de gevoeligheid van het koppelnummer BSN niet weg.

DigID heeft al een app die authenticatie kan doen, wat men moet gaan toevoegen is een stukje authorisatie voor het gewaarmerkt registreren van het BSN voordat men bepaalde handelingen aan een BSN gaat koppelen. Zie het als de digitale handtekening die hoort bij het BSN. Dan zetten we al een hele stap.

[pyro-tukker]

Ik heb iemand in mijn omgeving die deze brief heeft ontvangen. Deze persoon is wat minder ‘modern’. Dus dingen als data dat is al een heel vaag concept.

Als ik de brief lees, dan staat er in 400k mensen die getroffen zijn. Niet helemaal juist en mijn gevoel zegt dat het nieuwe cijfer al bekend was voordat deze werd verstuurd. Verder is het echt een volstrekt niet zeggende brief voor de normale mens. Er staat in hele simpelen woorden: sorry we hebben wat gegevens van uw verloren, dat is pijnlijk, maar kan gebeuren. Wees alert, maar maak het vooral niet te groot.

Ik had graag gezien dat ze veel concreter zeggen wat je kunt doen als je verdachte dingen ziet of als je denkt dat je gegevens misbruikt worden. Nu staat er iets in als ‘wees alert op berichten die u niet vertrouwd’.

En dit is iets anders, maar ik vraag mij af of de overheid de lijst ook krijgt/ inziet en alle bsn nummers (en andere gegevens) tagged als ‘compromised’. Dus als iemand bij een gemeenteloket aankomt en zegt dat er rare dingen op de bsn gebeuren, dat je niet van het kastje naar het muurtje wordt gestuurd. Maar dat je wordt doorgestuurd naar een team die concreet gaat helpen met het misbruik van je bsn. Waarschijnlijk leef ik in een utopia, maar het zou wel echt een signaal zijn van caring voor je burgers van de overheid als je dit wel doet.

[lameeuw]

Als postbode heb ik deze eerste batch brieven bezorgd, en er zijn best veel mensen die mij hierover aanspraken. Ik ken de inhoud van de brief omdat een vriendin van me deze ook heeft ontvangen, maar het wordt er niet veel duidelijker op. Woorden als "wees alert" maakt voor veel mensen niet veel duidelijker wat er nou aan de hand is, wat er bekend is geworden en waar men precies alert op zou moeten zijn. Mijn vriendin is een behoorlijke digibeet, die ziet soms dingen waar ze van in paniek raakt en waar ik bij denk, ok, klik weg en klaar. Dit soort dingen moet gewoon in 1 keer goed gecommuniceerd worden, nu komt er dus nog een 2e brief als ik het goed lees, en dat zorgt bij sommige of veel mensen alleen nog maar voor meer onduidelijkheid. Lang leve onze overheid en de organisaties waar ze zaken mee doen....

[Bor]

No sh*t Sherlock. Een open deur van hier tot Tokio. Ik krijg zo langzamerhand het idee dat de Nationale Ombudsman vooral een tandeloze tijger is. Mosterd naar de maaltijd en het leidt vaak tot niets. Dat de slachtoffers van het Clinical Diagnostics-lek niet goed en niet tijdig zijn geïnformeerd kan iedereen zien en in de kranten lezen.

Daarbij komt nog eens; het advies van de ombudsman kan je gewoon naast je neer leggen. Het heeft geen enkele verplichte status.

De Nationale ombudsman is geen rechter, de overheid is niet verplicht om gevolgen te verbinden aan zijn uitspraken.

[Reactie gewijzigd door Bor op 3 september 2025 19:32]

[B_FORCE]

Mjah, als je inderdaad ook andere zaken leest, komt de de Nationale ombudsman meestal over als de moraalridder met het vingertje achteraf, die "Ook een mening wilt hebben!".
Foei, niet meer doen hoor!

Maar goed, dat legt ook weer gelijk het probleem bloot.
Als er geen daadwerkelijke (harde) consequenties voor bepaalde dingen zijn, wat heeft het dan nog voor nut om er iets over te gaan zeggen?

Ik vind het bijvoorbeeld al vrij schokkend dat het lekken van data geen rechtelijke status kent.
Het enige waar je verhaal op kunt halen is evt AVG etc, en ook dat is maar extreem beperkt.
Nu snap ik best dat er behoorlijk van nuances zijn, maar zonder fundering kun je ook nergens op bouwen.

[bytemaster460]

De ombudsman is geen handhaver of toezichthouder. De ombudsman reageert op klachten van burgers over de overheid. Dat is per definitie achteraf.

[B_FORCE]

Reageren doe je per definitie achteraf?

Dat was ook nou niet helemaal het punt hier.

[bytemaster460]

Een ombudsman reageert pas als een burger een klacht indient over de overheid. Dat is dus altijd per definitie achteraf.

[Bor]

Een ombudsman reageert pas als een burger een klacht indient over de overheid. Dat is dus altijd per definitie achteraf.

Dat hoeft volgens mij niet.

De Nationale ombudsman verricht op verzoek of uit eigen beweging onderzoek naar gedragingen van bestuursorganen van het Rijk en van andere bij of krachtens de wet aangewezen bestuursorganen.

en

De ombudsman kan ook uit eigen beweging onderzoek doen naar het handelen van de overheid.

Bron: https://www.nationaleombudsman.nl

[Reactie gewijzigd door Bor op 3 september 2025 20:33]

[bytemaster460]

Ja maar dat is nog steeds achteraf. Hierboven wordt gedaan alsof de ombudsman een soort ACM of AFM is en actief overheidsdiensten monitort. Dat is niet zo. Ook het eigen onderzoek van de ombudsman volgt pas na signalen dat er ergens iets mis gaat.

[Bor]

Niemand stelt hier dat de ombudsman een soort toezichthouder is die continue en actief monitort. De ombudsman kan echter wel gevraagd (bv nav een klacht) of ongevraagd (vanuit eigen initiatief) in actie komen. Dat de ombudsman altijd pas reageert na een klacht is onjuist (bron: ombudsman). Dat men pas in actie komt wanneer er signalen zijn dat er iets mis gaat is vrij logisch.

Het probleem is het vrijblijvende karakter van de ombudsman. Omdat er geen enkele verplichting is om iets met het advies te doen wordt het in mijn ogen vaak genegeerd of de adviezen vinden amper weg naar implementatie.

[bytemaster460]

Het blijft een beetje gek dat je verontwaardigd bent over de werking van de ombudsman terwijl die helemaal niet bedoeld is voor bindende adviezen. Hij geeft een oordeel en advies over het functioneren van de overheid. Het is vervolgens aan een toezichthouder of rechter om bindende maatregelen op te leggen. De ombudsman is bewust zo opgezet om laagdrempelig te blijven. Een autoriteit die bindende adviezen kan geven zou een veel zwaardere juridische entiteit zijn.

[Bor]

ij geeft een oordeel en advies over het functioneren van de overheid. Het is vervolgens aan een toezichthouder of rechter om bindende maatregelen op te leggen.

Klopt. In de praktijk is dat dan vaak "doen we lekker niets mee" lijkt het. Het werkt niet. Het heeft weinig tot geen impact behalve hooguit tijdelijke verontwaardiging of een quote in sommige media. In de praktijk is het soms, zoals ook in dit geval, weinig meer dan een Spuit 11. Mosterd na de maaltijd; het intrappen van open deuren met weinig tot geen (extra) impact. Het is een beetje gek dat je denkt dat niet bindend advies anders werkt.

[bytemaster460]

In menig zaal werd het advies de ombudsman overgenomen door de rechter of de politiek of leidde een constatering door de ombudsman tot het aanpassen van regels. Het instituut ombudsman werkt gewoon zoals het bedoeld is en heeft effect.

[Aldy]

Je hebt gelijk met dat het de verontwaardiging van het moment is, voorbeelden te over, maar voor het bedrijf heeft het wel ernstige gevolgen. De kans is groot dat de overheid geen zaken meer met dit lab gaat doen, tenminste zo is van de week op de tv aangekondigd. Zulke bedrijven werken vaak voor één klant of de overheid is de belangrijkste klant en op zo'n moment is een faillissement zeer wel mogelijk.

[magician2000]

Maar dat is pas nadat er "iets" is vastgesteld. Ga er gerust vanuit dat ze geen mankracht hebben om, zeker naar dit soort zaken, op voorhand onderzoek te doen.


Neemt niet weg dat het wel een officiële vaststelling is op het moment dat ze dit aangeven. Niet onbelangrijk.

[Bor]

De ombudsman brengt advies uit. Het is een net zo "officiële vaststelling" als elk ander advies orgaan zonder daadwerkelijk mandaat of mogelijkheid tot uitbrengen van bindend advies. Het staat je vrij om het oordeel van de ombudsman naast je neer te leggen en in mijn ogen gebeurt dat ook met regelmaat.

[adje123]

No sh*t Sherlock. Een open deur van hier tot Tokio. Ik krijg zo langzamerhand het idee dat de Nationale Ombudsman vooral een tandeloze tijger is. Mosterd naar de maaltijd en het leidt vaak tot niets

En vervolgens zeg je

De Nationale ombudsman is geen rechter, de overheid is niet verplicht om gevolgen te verbinden aan zijn uitspraken.

Wat had je dan verwacht?

[Andreplusplus]

Tja, waarom moet dat lab al die gegevens hebben. Alleen een uniek ID (guid) en testresultaat is voldoende.

Bevolkingsonderzoek NL stuurt sample met die code en krijgt code plus uutslag terug. BVONL kan dan de adresgegevens koppelen (ook geen BSN voor nodig, overigens) en resultaat aan patiënt meedelen...

[J_van_Ekris]

Tja, waarom moet dat lab al die gegevens hebben. Alleen een uniek ID (guid) en testresultaat is voldoende.

Bevolkingsonderzoek NL stuurt sample met die code en krijgt code plus uutslag terug. BVONL kan dan de adresgegevens koppelen (ook geen BSN voor nodig, overigens) en resultaat aan patiënt meedelen...

Zo werkte men vroeger, maar de wet verplicht gewoon het BSN. Dit om naar doorverwijzing ook communicatie mogelijk te maken en de kans op patientverwisseling te minimaliseren.

Het College Bescherming Persoonsgegevens heeft in 2013 ook (op verzoek van het ministerie) expliciet zich hierover gebogen en aangegeven dat inderdaad de wettelijke plicht er is om get BSN te gebruiken.

[bussie66]

dat wisten we nog niet