Het is onbegrijpelijk dat de overheid ervoor heeft gekozen om weer samen te werken met Clinical Diagnostics, het medische lab waar de gevoelige gegevens van ruim 900.000 mensen werden gestolen. Dat stelt advocaat privacyrecht Ina Brouwer in een opiniestuk voor NRC. Bij Clinical Diagnostics werden vorig jaar de persoonlijke gegevens van een groot aantal mensen door criminelen buitgemaakt. Het ging om vrouwen die hadden deelgenomen aan het bevolkingsonderzoek baarmoederhalskanker en patiënten van privéklinieken en huisartsen.

Clinical Diagnostics betaalde de criminelen uiteindelijk losgeld om publicatie van de gestolen gegevens te voorkomen. Uit onderzoek bleek dat beveiliging van het medisch laboratorium op het moment dat het werd gehackt niet voldeed aan de wettelijk verplichte norm NEN 7510 voor informatiebeveiliging in de zorg. Het incident was mogelijk via een gehackt account dat via een remote desktopconnectie toegang kreeg tot de legacy-omgeving van het lab.

Twee weken geleden liet minister Hermans van Volksgezondheid in een brief aan de Tweede Kamer weten dat Bevolkingsonderzoek Nederland (BVO NL) de samenwerking met Clinical Diagnostics hervat. "Op het gebied van informatiebeveiliging is Clinical Diagnostics inmiddels NEN7510 gecertificeerd. Daarnaast is een audit uitgevoerd door PricewaterhouseCoopers (PwC) naar de informatiebeveiliging met een positieve uitkomst. BVO NL houdt goed vinger aan de pols door periodieke monitoring uit te voeren", aldus de bewindsvrouw. Die stelde ook dat het kabinet de beslissing van Bevolkingsonderzoek Nederland steunt, omdat de dataveiligheid en kwaliteit nu op orde zijn.

Advocaat privacyrecht Ina Brouwer noemt de beslissing onbegrijpelijk. Ze stelt dat de Kamerbrief van Hermans tal van vragen oproept. "Hoe kon het datalek überhaupt ontstaan en waarom is Clinical Diagnostics een jaar later kennelijk wel voldoende beveiligd om dit type lekken te voorkomen? En wie draait er op voor de schade bij gedupeerden en bij de overheid zelf? Op al deze vragen geeft de brief geen antwoord. Sterker nog, de minister lijkt het datalek achter zich te willen laten en het probleem voor het private Clinical Diagnostics te willen oplossen omdat we „nu eenmaal afhankelijk zijn” van dit internationale concern", aldus de advocaat.

Volgens Brouwer is er voor de vrouwen van wie de medische gegevens en andere gevoelige data werden gestolen helemaal niets opgelost. Deze vrouwen weten nog steeds niet welke risico's ze lopen en waar ze op moeten letten, gaat de advocaat verder. Brouwer stelt dat het de minister zou sieren als ze gedupeerden alsnog een brief stuurt met antwoorden op de vele vragen die er zijn. "Datalekken van deze soort en omvang zijn geen kleinigheid. De slachtoffers hebben er recht op te weten hoe een laboratorium in opdracht van de overheid zo slordig met medische gegevens kon omgaan."