Bij Odido is onlangs een van de grootste datalekken in Nederland ontdekt. Ongeveer 6,2 miljoen klantrecords zijn buitgemaakt door cybercriminelen. In eerste berichten werd gezegd dat er geen zeer gevoelige gegevens zoals BSN-nummers zijn gelekt, maar nieuw onderzoek laat zien dat er wel degelijk tientallen BSN’s van zelfstandigen zijn opgenomen in de gestolen data. Ook gaat het om namen, adressen, e-mailadressen, telefoonnummers, IBAN’s en interne notities uit klantenservice-logs. In die notities kan informatie staan over bijvoorbeeld betalingsachterstanden of (ongewenst) klantgedrag.

Omdat deze situatie zich nog ontwikkelt en hackers delen blijven publiceren, zijn veel details nog niet definitief. Maar het is duidelijk dat het risico voor betrokkenen groot is – niet alleen door wat al bekend is, maar ook door wat er nog kan volgen.

Wat betekent dit voor zorgaanbieders?

In de zorg werken we met persoonsgegevens die vaak extra gevoelig zijn. Niemand wil dat medische informatie of persoonlijke omstandigheden op straat komen te liggen.

Wanneer persoonsgegevens worden gelekt, kan dat voor cliënten leiden tot identiteitsfraude, gerichte oplichting of reputatieschade. In de zorg is de impact vaak groter omdat het om vertrouwelijke informatie gaat.

Voor de organisatie zelf kan een datalek leiden tot verlies van vertrouwen, een meldplicht bij de Autoriteit Persoonsgegevens, mogelijk onderzoek en handhaving en reputatieschade. Daarnaast kost het afhandelen van een incident veel tijd en energie.

Hoe kun je risico’s zoveel mogelijk beperken?

Volledige zekerheid bestaat niet. Wel kun je risico’s verkleinen.

Verzamel niet meer gegevens dan noodzakelijk en bewaar ze niet langer dan nodig. Controleer of met alle leveranciers een verwerkersovereenkomst is gesloten en of je weet waar gegevens worden opgeslagen.

Zorg voor sterke wachtwoorden en tweefactorauthenticatie. Werk met individuele accounts in plaats van gedeelde inloggegevens.

Beperk toegang waar mogelijk. Maak irrelevante informatie niet standaard inzichtelijk. Hoe minder mensen toegang hebben tot gevoelige gegevens, hoe kleiner het risico.

En minstens zo belangrijk: besteed aandacht aan bewustwording binnen het team. Veel incidenten ontstaan door phishing of onbedoelde fouten. Regelmatig stilstaan bij veilig werken met cliëntinformatie maakt verschil.

Wat als het toch misgaat?

Een datalek kan overal voorkomen, ook bij nauwkeurig werkende organisaties. En als het dan gebeurt is snel en zorgvuldig handelen belangrijk.

Breng in kaart wat er is gebeurd en welke gegevens betrokken zijn. Beoordeel of er een meldplicht bestaat richting de Autoriteit Persoonsgegevens. Informeer betrokken cliënten wanneer het lek waarschijnlijk nadelige gevolgen voor hen heeft.

Transparantie is hierbij belangrijk. Open communicatie helpt om vertrouwen zoveel mogelijk te behouden, ook als er iets mis is gegaan.