Nederlands OM krijgt 118 aangiften na medisch datalek dat 850.000 mensen raakte

Het Nederlandse Openbaar Ministerie heeft 118 aangiften ontvangen naar aanleiding van het datalek bij Clinical Diagnostics. De hack werd in augustus 2025 ontdekt. Daarbij zijn onder meer medische data en bsn's van mensen uitgelekt.

Het OM en de politie startten op eigen initiatief al een strafrechtelijk onderzoek. Dat loopt nog steeds, meldt het OM. De organisatie kan daarover op dit moment nog geen inhoudelijke uitspraken doen. Het OM beslist wat er met de 118 aangiften gebeurt als het onderzoek leidt tot een aanhouding en strafzaak. De aangevers zullen daarover worden geïnformeerd.

Bevolkingsonderzoek Nederland meldde in augustus dat bij een datalek de gegevens van ruim 485.000 deelnemers aan het bevolkingsonderzoek baarmoederhalskanker zijn uitgelekt. Uiteindelijk bleek het lek groter dan aanvankelijk gedacht. Volgens het OM zijn van 850.000 mensen persoonsgegevens gestolen. Ook de Autoriteit Persoonsgegevens doet onderzoek naar het datalek.

Bron: Boonchai Wedmakawand/Moment/Getty Images

Reacties (26)

[Clu3M0r3]

(118/850.000)*100 = .13882352941176470000 Dus 0,14 promille van de getroffenen heeft de moeite genomen om aangifte te doen.
Op basis van deze getallen denk ik dat Clinical Diagnostics er wel mee weg gaat komen (helaas)

Ik ben zelf geen slachtoffer in deze, desondanks adviseer ik eenieder die in deze zaak wel gedupeerd is om aangifte te doen.

[dr86]

Mijn moeder zit ook in dat lek, maar die heeft een leeftijd dat alles wat digitaal is al niet gemakkelijk gaat, laat staan aangifte doen van iets waarvan ze zelf amper een idee heeft wat het inhoudt.

Nu kan ik dat natuurlijk oppakken, maar gok zomaar dat er duizenden soortgelijke gevallen zijn van vrouwen op leeftijd voor wie dat allemaal al te ingewikkeld genoeg is.

[VOODOO_WILLIE]

(118/850.000)*100

Dat zijn procenten en geen promilles. Maar dat zal wel een tikfoutje zijn omdat de uitkomst wel klopt.

Het geeft te denken waarom het zo'n laag percentage/promillage is. Onwetendheid? Desinteresse? Laksheid? Gebrek aan vertrouwen? Gebrek aan ingelicht worden?

[Clu3M0r3]

Touche, een "0" gemist.

[Reactie gewijzigd door Clu3M0r3 op 17 februari 2026 21:32]

[Majhool]

Aangifte is niet de juiste weg bij een civielrechtelijk probleem. Civielrecht, bestuursrecht en strafrecht kennen allemaal hun wegen.

Als je een brief hebt gehad van CD / BVN, dan heb je bewijs / erkenning dat je gegevens zijn gelekt en dat je onderdeel uitmaakt van de zaak. Meer is op dit moment niet nodig.

Aangifte voegt niet zoveel toe. Ik vraag me af waar precies aangifte van is gedaan. Overtreding van de AVG? Lijkt me niet...

De juiste route is een klacht indienen bij de AP. Maar die zijn ook al op de hoogte...

[Clu3M0r3]

Ach, ik zou (omdat ik geen jurist ben) eerst juridisch advies inwinnen bij een jurist.

[pven]

Mijn vrouw heeft 'de brief' ook gehad. Maar eigenlijk zitten we ons nog steeds af te vragen welke actie we nu moeten ondernemen. Wat is het nut van aangifte doen?

[EricJFKleijssen]

ALTIJD aangifte doen: + ingebrekestelling 'lekkende' partij.

Persoonsgegevens van je vrouw zijn 'gelekt' - de mogelijke toekomstige schade door misbruik van die gegevens kan dan eventueel verhaald worden op de 'data lekkende' partij als deze aanwijsbaar onzorgvuldig met deze data is omgegeaan.

De kosten van een nieuw BSN nummer, etc. etc. kun je dan verhalen. Zonder aangifte nu zal dat lastiger worden in de toekomst.

[Edgarz]

Dat gaat een leuk verhaal worden: Bewijzen dat de persoonsgegevens uit dit specifieke lek komen, deze gevens niet op een andere manier ergens terecht zijn gekomen en dat je zelf uiteindelijk de beslissing genomen hebt om iets wel of niet te doen bij een poging tot fruade of id..

[Rickardur]

Tsja,.met alle lekken van tegenwoordig weetje het straks helemaal niet meer, al je gegevens liggen op straat maar niemand is schuldig, lekker fijn

[Majhool]

De hackers zijn schuldig. (Niet vergeten!)

CD is verplicht om voldoende technische en organisatorische beveiligingsmaatregelen te nemen om zeer gevoelige persoonsgegevens te kunnen (mogen) verwerken.

De AP gaat nu toetsen of dat is gebeurt. Als er bewust of onbewust fouten zijn gemaakt kan de AP een flinke bestuurlijke boete opleggen. Dat bedrag gaat dan naar de algemene middelen van Nederland (de schatkist). Meestal gaat een partij in beroep en volgt er een rechtzaak.

Als er moedwillig een onveilige situatie is gecreëerd door CD, of er is sprake van grove nalatigheid, dan kan justitie worden ingeschakeld om een strafrechtelijk onderzoek in te stellen. Bestuurders kunnen dan worden vervolgd. Een rechter doet dan uitspraak en kan ook schadevergoedingen toekennen.

Feit blijft dat als jij jouw gegevens gebruikt bij een overheid, of bedrijf, er altijd een risico is op lekken. Dat was in de analoge wereld ook al zo. Dus kijk uit waar je gegevens neerzet (zitten jullie ook zo fijn op facebook, apple, google, Microsoft, snap en tweakers?).

Het grote probleem is dat je geen keuze hebt als het gaat om delen van gegevens met overheden, of uitvoeringsorganisaties. Daarom zal een datalek bij dat soort instanties ook zwaarder worden aangerekend door de AP.

[Edgarz]

Lekken in databases zijn natuurlijk niet de enige bron van gegevens die op straat liggen. Mensen zelf zijn ook gewillige bronnen van data die rondzwerft. Causaliteit is voor schade wel een bepalende factor en dat wordt met zowel corporate lekken als menselijke lekken erg moeilijk. Dan moeten er duidelijke indicaties zijn die wijzen richting een specifieke hack.

[Majhool]

Er bestaat niet zoiets als een nieuw BSN nummer.

Bij een datalek is het altijd lastig om schade aan te tonen. Een nieuw paspoort (zoals bij Odido) is concreet, maar dat gaat om een paar tientjes. In zeldzame gevallen wordt emotionele schade erkend. En dan wordt er ook maar 500 euro toegewezen.

Aangifte lijkt me in dit geval meer 'voor de zekerheid'. De juiste route is volgens mij een klacht indienen bij de AP. Dan het onderzoek afwachten. En dan een schadeclaim indienen bij CD. Als die claim niet wordt opgepakt, zou je naar de rechter kunnen stappen.

Het strafrechtelijke deel wordt door de AP en justitie gedaan (indien van toepassing).

[Reactie gewijzigd door Majhool op 18 februari 2026 09:09]

[The Third Man]

Ik vraag me ook af hoe je precies aangifte kan doen. Bijvoorbeeld https://www.consumentenbo...varen-en-wat-moet-je-doen en https://www.autoriteitper...n-datalek-dit-kunt-u-doen beschrijven aangifte bij vaststelling van fraude. Niet als de gegevens enkel gelekt zijn.

[pven]

@Imre Himmelbauer misschien een idee om hier nog verder op in te gaan? Waar doe je nou precies aangifte van?

[Da Rock]

Clinical Diagnostics is dus een onderdeel van Eurofins, en SCAL is daar een dochteronderneming van voor onder andere bloedafname..

Weer een lek waarbij veel persoonsdata is buitgemaakt. Misschien kunnen ze dit kruisen met Odido

[escalate]

Is er ergens have I been powned achtige check die ik kan doen of mijn gegevens zijn gelekt door dit bedrijf?

[Barreljan]

Er zijn minstens 2 brieven gestuurd als je bij dit lek betrokken zou zijn. Ik heb ze voor de vrouw ook beide, helaas.

[Lisadr]

Ik wist niet dat aangifte doen voor een datalek een optie was.

[mark777]

zoveelste datalek. Snap dat je dat nooit 100% kan voorkomen maar blijkt wel dat bedrijven en instellingen niet echt werk maken van cybersecurity

[Azenomei]

Moeten we ook aangifte doen tegen Odido?

[DvE]

Ja, maar je wordt natuurlijk wel verantwoordelijk gehouden als je in een scam trapt met gegevens die misbruikt zijn.
Deze net als die van Odido mag natuurlijk niet zonder gevolgen blijven.
Claims en geld is een tweede maar nu lijkt het alsof men altijd wegkomt met 'we hebben het gemeld bij AP dus verder prima'
Misschien moet van uit AP zware boetes kunnen worden opgelegd e.d. maar dat geld verdwijnt dan waarschijnlijk weer op de grote hoop.

[Skywalker27]

Er zitten nog meer serieuzere gegevens tussen deze data zoals verkrachtingszaken, SOAtesten enz. Deze mensen kunnen door criminelen worden afgeperst. Het zijn een stelletje kneuzen want zelfs het RIVM stelt dat ze deze data 20 jaar mogen bewaren wat niet het geval is. Ze zitten op een gevaarlijke berg data. Dit soort privatequity bedrijven zou je gewoon moeten wieberen.

Het zou eigenlijk zo moeten zijn ze doen een test voor een huisarts of ziekenhuis ze sturen de resultaten op en na drie maanden weghalen die data.

[CPM]

Ik ben het met je eens, echter komen de gegevens gewoon bij een huisarts terecht. En je raad het zelf al, daar is het EPD landschap nog vele malen meer versnipperd met alle risico's van dien. En er zitten wat belabberde EPD's tussen hoor, en niet alleen bij huisartsen. En dan hebben we het nog niet over alle koppelingen die tussen de diverse systemen zijn aangebracht op een "veilige" manier. De "hack" bij Odido laat wel zien waar het grote risico zit: de mens. Er ligt straks zoveel data van mensen op straat dat je door de bomen het bos niet meer kan zien, laat staan dat je weet uit welke "bron" de gestolen gegevens komen. Fijn dat we jaren geleden allemaal tegen een centraal EPD hebben gestemd.

Hier gewoon een huisarts waar je medische stukken naar toe kunt mailen. Onbeveiligd. [e-mail] Komt vervolgens gewoon in een mailbox, bijlage opslaan als, op een schijf, uploaden naar EPD. En dan maar hopen dat de assistent een beetje IT kennis heeft om het overal weer te verwijderen.

[Reactie gewijzigd door CPM op 17 februari 2026 22:35]

[Kevinns]

Met een aangifte krijg je geen geld. Dat zet het OM aan tot strafvervolging. Als een bedrijf niet zorgvuldig met gevoelige persoonsgegevens omgaat dan moeten ze daar verantwoordelijk voor gehouden worden.

Als je geld wil vangen zal je een civiele zaak moeten starten.