Beginnersfouten bij verlies patiëntgegevens door Patiëntenfederatie Nederland

Gisteren, op 21-december 2017 maakte de Patiëntenfederatie Nederland(PN) bekend dat bij een recente verhuizing van het kantoor in Utrecht een mobiele harde schijf met daarop bedrijfs- en patiëntengegevens vermist geraakt is. De patiëntgegevens betreffen data van vijf en twintig duizend leden van het patiëntenpanel van PN. Het gaat daarbij om persoonsgegevens van mensen die deel hebben genomen aan een panelgroep zoals emailadres, leeftijd, man of vrouw en opleiding. En informatie over de persoonlijke situatie zoals wat voor aandoening men heeft. Ook de persoonsgegevens van mensen die in juni of juli 2017 bij de Patientenfederatie een niet-reanimeren penning hebben aangevraagd stonden op deze externe schijf. Het gaat dus om zeer privacygevoelige gegevens. Uit de tekst die PN verspreidt heeft via haar website blijkt dat men een aantal beginnersfouten heeft gemaakt die de vermissing toch wel in een bijzonder daglicht stellen. Naast het feit dat deze data überhaupt op een mobiele harde schijf verdaagd zijn lijkt er ook sprake van te zijn dat deze niet beveiligd was door middel van versleuteling of wachtwoord. Bovendien lijkt het waarschijnlijk te gaan om een  bestand(mogelijk Excel) dat blijkbaar ook niet beveiligd was door een wachtwoord.

PR-saus

Bij het lezen van verklaringen van instituties die datadragers kwijt zijn is het altijd zaak om door de PR-laag heen te prikken die over de vermissing wordt uitgestort. Veelal is het interessanter wat er niet staat dan datgene wat er wel staat. Soms wordt slechts een deel van de sluier opgelicht om het niet al te gênant te maken. Hoewel het bericht nu pas naar buiten komt blijkt de datadrager al in begin november 2017 zoek te zijn geraakt. De harde schijf is gebruikt om tijdens de overgang van de ene ICT-leverancier naar een andere de gegevens over te kunnen zetten.

Meer kwijt

Uit vragen en antwoorden die PN verschaft over het verlies van de datadrager blijkt dan men die bij de verhuizing  is kwijtgeraakt. Men spreekt ook over oude kantoorspullen die achtergebleven zijn en soms verdwenen zijn. Daar wordt niet in detail op ingegaan. Het is echter de vraag of het gaat om kantoormeubilair met daarin ook enige relevante inhoud.

Beginnersfouten

PN beschikt over data van patiënten die zeer vertrouwelijk zijn: gegevens over persoonlijke situatie en/of ziektebeeld. Daarbij is het opslaan van dergelijke bestanden op een kleine mobiele gegevensdrager iets wat te allen tijde vermeden moet worden. Data overzetten van het ene systeem naar het andere kan veelal veiliger met een kabel. Datalekken in ziekenhuizen of andere zorginstellingen hebben in de laatste paar jaar laten zien hoe makkelijk men zo grote hoeveelheden data kwijt kan raken. Men was dus gewaarschuwd. Het bericht van PN vermeldt nergens dat er sprake was van enige versleuteling, noch van de mobiele datadrager, noch van het betreffende bestand. Wel vermeldt ze dat de mobiele harde schijf onvoldoende beveiligd was en dat vanaf nu externe mobiele gegevensdragers beveiligd zijn  Het is zeer aannemelijk dat versleuteling er dus gewoon niet was. Het betekent dat er of geen dataprotocollen voor waren of dat bestaande protocollen niet opgevolgd zijn. Over het aanwezig zijn van dit soort protocollen rept PN niet, dus is het niet mogelijk om te beoordelen of iemand de interne regelgeving overtrad dan wel dat er geen regelgeving voor was, hetgeen nog kwalijker is.

Het verhaal dat de ICT op orde was door een onderzoek uit 2016 aan te halen zegt dan ook totaal niets. Een positief onderzoeksresultaat sloot deze misser overduidelijk niet uit.

USB-sticks

Men vermeldt ook dat medewerkers van PN voor bijeenkomsten in het land USB-sticks gebruiken om daarop de presentaties digitaal te vervoeren. Die sticks zullen vanaf nu ook beveiligd zijn. Het lijkt me een beetje een loze opmerking want het is niet te hopen dat medewerkers van PN gewoon zijn patiëntgegevens mee te nemen naar die bijeenkomsten.

Onterechte geruststelling

PN schrijft dat recherche-onderzoekers de kans klein achten dat de gegevens op de schijf worden misbruikt. Dat is een inschatting, maar zeker geen garantie gezien het tijdsverloop tussen de vermissing en deze uitspraak. De toekomst zal dat moeten leren. Ook stelt PN dat patiënten nog veilig hun gegevens kunnen toevertrouwen aan de organisatie na dit gebeuren, omdat het een incident betreft en men anderszins de ICT goed op orde heeft.

Het is niet aan de instantie zelf, die de data kwijtraakte, om daarover te oordelen. Het is uiteindelijk de patiënt zelve die daarover dient te beslissen.

W.J. Jongejan