Het datalek bij commercieel testcentrum – lessons learned

16/01/'21 - Vorige week ontdekte Nieuwsuur een datalek bij een commercieel testcentrum waarover veel ophef is ontstaan. Het testcentrum neemt tegen betaling coronatesten af voor onder meer bedrijven en burgers. Daarbij verwerkt het bedrijf veel gevoelige persoonsgegevens, waaronder het BSN, paspoortnummers, bankafschriften en gezondheidsgegevens, zoals testuitslagen en overige medische gegevens. Uit onderzoek blijkt dat de klantdatabases van het testcentrum onvoldoende beveiligd waren en dat gegevens in een grote WhatsApp-groep onderling werden gedeeld. De getroffen groep betrokkenen is groot: het gaat om tienduizenden personen. In deze blog zoomen we met name in op de lessen die getrokken kunnen worden naar aanleiding van deze casus.

Lessons Learned
Uit het datalek zijn een aantal lessen te trekken. Het is evident dat door de gebrekkige beveiliging het testcentrum zichzelf kwetsbaar heeft gemaakt voor datalekken en cyberaanvallen. Daarnaast deelde het bedrijf de persoonsgegevens met te veel medewerkers en ging het niet in lijn met de Algemene Verordening Gegevensbescherming (AVG) om met gevoelige gegevens. Bovendien vraagt men zich af of een berichtendienst als WhatsApp een ‘passend’ communicatiemiddel is voor het delen van zulke gevoelige persoonsgegevens. Tot slot leek een heldere datalekprocedure te ontbreken. Hieronder gaan we in op verschillende aandachtspunten.

Adequate beveiliging
Organisaties dienen volgens de AVG persoonsgegevens op een ‘passende’ wijze te beveiligen. Of maatregelen passend zijn hangt onder andere af van de gevoeligheid van de verwerkte persoonsgegevens en van de context waarbinnen de persoonsgegevens worden verwerkt. Passende beveiligingsmaatregelen voor het beveiligen van een database kunnen onder meer bestaan uit twee-factor-authenticatie en het beperken van toegang tot persoonsgegevens. Andere voorbeelden van beveiligingsmaatregelen zijn het toepassen van pseudonimisering of anonimisering van persoonsgegevens, of encryptie (versleutelde toegang). 

Kortom, hoe gevoeliger de gegevens, des te hoger het noodzakelijke beveiligingsniveau. In verhouding tot het verwerken van zeer privacygevoelige persoonsgegevens, zoals het BSN en testuitslagen, is een strenge beveiliging noodzakelijk. 

Autorisatie en dataminimalisatie
Het coronatestcentrum in kwestie had geen intern autorisatiebeleid. De directeur van het testcentrum vertelde dat alle leden in de WhatsApp-groep medewerkers zijn en derhalve bevoegd zijn tot het inzien en delen van de gegevens. Maar niet alle 300 leden hebben daadwerkelijk inzage nodig in alle persoonsgegevens van alle door hen geteste personen. Een alternatief kan zijn dat medewerkers via beveiligde berichtgeving elkaar 1-op-1 benaderen, of slechts toegang verkrijgen tot een dossier als zij aan dat specifieke dossier werken. Daarbij kan men zich afvragen of het noodzakelijk is dat alle gegevens met elkaar worden gedeeld of dat het ook met minder kan (dataminimalisatie).

Datalekprocedure
Wanneer er een inbreuk plaatsvindt op de vertrouwelijkheid van persoonsgegevens kan er sprake zijn van een datalek. Een datalek dient u binnen 72 uur na kennisneming te melden aan de Autoriteit Persoonsgegevens (AP), tenzij er geen privacy risico is voor de getroffen betrokkenen. Daarnaast bestaat er een mogelijke meldplicht richting de getroffen personen, namelijk wanneer sprake is van een potentieel ‘hoog’ privacy risico. In dit geval is er absoluut een hoog risico, vanwege de gevoeligheid van de gegevens. Bovendien dient u als organisatie een datalek op te nemen in een intern register en is het verstandig om voorgevallen datalekken periodiek te evalueren.