Het is aan de Autoriteit Persoonsgegevens (AP) om te bepalen of Clinical Diagnostics het datalek, waarbij de persoonlijke en medische gegevens van 850.000 mensen werden gestolen, op tijd heeft gemeld. Dat zegt demissionair staatssecretaris Tielen in een reactie op Kamervragen, die tevens stelt dat gegevens op het dark web bijna onmogelijk te verwijderen zijn. Clinical Diagnostics stelde eerder dat het de AP op tijd heeft geïnformeerd.

Een ransomwaregroep genaamd Nova wist begin juli toegang te krijgen tot het netwerk van Clinical Diagnostics, zo liet het medisch laboratorium uit Rijswijk zelf weten. De criminelen publiceerden op 6 juli de naam van Eurofins, waar Clinical Diagnostics onderdeel van is, op hun eigen website. De ransomwaregroep claimde driehonderd gigabyte aan data bij het lab te hebben buitgemaakt. Een dataset van honderd megabyte werd als bewijs via de website van de ransomwaregroep aangeboden.

Op 11 augustus liet Bevolkingsonderzoek Nederland weten dat de gegevens van 485.000 deelnemers aan het bevolkingsonderzoek baarmoederhalskanker bij Clinical Diagnostics waren gestolen. Later bleek dat 715.000 deelnemers slachtoffer van het datalek waren geworden. Naar aanleiding van het datalek stelde de BBB Kamervragen. "Wat vindt u van het feit dat het datalek al op 6 juli 2025 bekend was bij het laboratorium, maar pas op 6 augustus 2025 is gemeld aan Bevolkingsonderzoek Nederland?", wilde Kamerlid Joseph van de staatssecretaris weten.

"In situaties als deze rust op verwerkingsverantwoordelijken de verplichting datalekken aan de Autoriteit Persoonsgegevens (AP) en betrokkenen te melden binnen de termijnen die de Algemene verordening gegevensbescherming (AVG) noemt. Of en waarom dat hier niet gebeurd zou zijn, is ter beoordeling van de AP die inmiddels een onderzoek is gestart", antwoordt Tielen. Clinical Diagnostics laat op de eigen website het volgende weten: "We hebben de cyberaanval binnen de wettelijke termijn gemeld bij de Autoriteit Persoonsgegevens. Zij helpen ons ook met het omgaan met deze cyberaanval."

Joseph vroeg ook wat de overheid nog kan doen als gegevens eenmaal op het dark web zijn verschenen, en hoe de schade voor slachtoffers wordt beperkt. "Zodra persoonsgegevens eenmaal op het dark web zijn beland, is het in de praktijk bijzonder lastig, zo niet onmogelijk, om deze volledig te laten verwijderen", laat de staatssecretaris daarop weten. Ze voegt toe dat een belangrijke stap in het beperken van de schade het op tijd informeren van slachtoffers is, zodra vaststaat dat hun gegevens op het dark web zijn aangetroffen.

Het BBB-Kamerlid wilde ook van de staatssecretaris weten of ze bekend is met systemen waarbij data bij de bron wordt onthouden en pas bij verwijzing kunnen worden ingezien, met volledige logging van inzage. "Ik ben bekend met de systemen waar u op doelt, het zogenoemde communicatiepatroon ‘gericht beschikbaar stellen’, waarbij volledige logging van inzage plaats moet vinden. Ook in de situatie van laboratoriumonderzoek zou gebruik gemaakt kunnen worden van dit communicatiepatroon", reageert Tielen. "Dit communicatiepatroon kan echter niet het hacken van data uit het laboratorium zelf voorkomen." Hoe criminelen toegang tot het netwerk van Clinical Diagnostics konden krijgen is nog niet bekendgemaakt.