Een claimstichting start een massaclaim rond een datalek bij het Bevolkingsonderzoek Baarmoederhalskanker in Nederland. Het lek raakt gevoelige persoonsgegevens en mogelijk medische uitslagen. De actie richt zich op Bevolkingsonderzoek Nederland en betrokken verwerkers. De zaak raakt de AVG en de Europese AI-verordening en legt druk op overheid en zorg-IT.
Collectieve claim gaat door
De claimstichting wil schadevergoeding en betere beveiliging afdwingen via de Wet afwikkeling massaschade in collectieve actie (WAMCA). Het doel is erkenning van de geleden privacy-schade en structurele verbeteringen. Het gaat om een zaak met publiek belang, omdat het programma door of namens de overheid wordt uitgevoerd.
Bevolkingsonderzoek Nederland (BON) verzorgt de uitvoering van het bevolkingsonderzoek, in opdracht van het RIVM-Centrum voor Bevolkingsonderzoek. Voor IT, logistiek en laboratoria werkt BON met meerdere leveranciers. De claim kijkt daarom ook naar de rolverdeling tussen verwerkingsverantwoordelijke (BON/RIVM) en verwerkers (leveranciers).
Op het moment van schrijven is niet bekend hoeveel mensen precies zijn getroffen. De stichting stelt dat deelnemers aan het onderzoek risico lopen op misbruik van hun gegevens. Zij vraagt de rechter om een verklaring van recht en financiële compensatie per gedupeerde.
“Medische gegevens zijn ‘bijzondere persoonsgegevens’ onder de AVG en vereisen extra bescherming. Overtredingen kunnen leiden tot boetes tot 20 miljoen euro of 4% van de wereldwijde jaaromzet.”
Medische data blootgesteld
Het lek betreft gegevens die horen bij het bevolkingsonderzoek naar baarmoederhalskanker. Dat kan namen, contactgegevens en afspraken omvatten, en in sommige gevallen ook testinformatie. Details over de oorzaak en exacte inhoud zijn nog niet volledig openbaar.
Medische gegevens hebben een hogere gevoeligheid dan gewone persoonsgegevens. Ongewenste openbaarmaking kan leiden tot stigma, druk op iemands werk of verzekerbaarheid, en gerichte oplichting. De risico’s nemen toe als ook identificerende gegevens zoals adres of geboortedatum zijn meegelekt.
Voor deelnemers betekent dit dat zij alert moeten zijn op phishing en nepberichten die verwijzen naar het onderzoek. Criminelen gebruiken vaak actuele incidenten om vertrouwen te wekken. Extra controle op afzender en het vermijden van links in e-mails helpt misbruik te beperken.
Juridische basis onder AVG
De AVG verplicht organisaties tot passende technische en organisatorische maatregelen, zoals versleuteling en strikte toegangscontrole. Bij een datalek moet binnen 72 uur melding worden gedaan aan de Autoriteit Persoonsgegevens (AP). Als het lek waarschijnlijk een hoog risico oplevert, moeten ook de betrokken personen worden geïnformeerd.
Medische data vallen onder artikel 9 AVG: verwerking is in principe verboden, behalve met een specifieke wettelijke grond of uitdrukkelijke toestemming. Dat verhoogt de lat voor beveiliging en verantwoording. Ook een Data Protection Impact Assessment (DPIA) is in de zorgpraktijk vaak verplicht.
Daarnaast geeft artikel 82 AVG betrokkenen recht op schadevergoeding bij materiële én immateriële schade. De massaclaim gebruikt die basis om per persoon een standaardbedrag te eisen. De rechter weegt daarbij ernst, duur, omvang en zorgplicht mee.
Toezicht en mogelijke sancties
De AP kan onderzoek doen naar de oorzaak, maatregelen en meldplichten. Bij tekortschietende beveiliging of te late melding kan de toezichthouder handhaven. Dat varieert van een waarschuwing tot een bestuurlijke boete.
In dit dossier spelen meerdere partijen een rol, zoals BON, RIVM en externe leveranciers. De AP kijkt daarom naar afspraken in verwerkersovereenkomsten en naar auditing en logging. Ook wordt bekeken of dataminimalisatie is toegepast: alleen verzamelen wat strikt nodig is.
Het ministerie van Volksgezondheid, Welzijn en Sport (VWS) en het RIVM hebben daarnaast een publieke opdracht om continuïteit en vertrouwen te waarborgen. Transparante communicatie met deelnemers is daarbij essentieel. Heldere Q&A’s en directe melding aan betrokkenen helpen schade te beperken.
Gevolgen voor deelnemers
Deelnemers kunnen gebruikmaken van hun rechten onder de AVG: inzage, rectificatie en in sommige gevallen verwijdering. Een inzageverzoek toont welke data zijn opgeslagen en met wie die zijn gedeeld. Dat geeft ook zicht op de persoonlijke impact van het incident.
Praktisch is het verstandig alert te zijn op e-mails, sms’en en telefoontjes die zeggen van het bevolkingsonderzoek te zijn. Bezoek bij twijfel zelf de officiële website van Bevolkingsonderzoek Nederland en gebruik daar vermelde contactkanalen. Deel geen burgerservicenummer of medische informatie via onbevestigde links.
Wie financiële of emotionele schade ervaart, kan zich aansluiten bij een collectieve actie of zelfstandig een claim indienen. Bewaar relevante correspondentie en noteer data van verdachte berichten. Dat vergemakkelijkt bewijsvoering in een latere procedure.
Lessen voor zorg-IT en overheid
Zorgorganisaties doen er goed aan NEN 7510 en ISO 27001 strikt te volgen. Versleuteling in rust en tijdens transport, sterke authenticatie en het principe van ‘least privilege’ zijn basisvoorwaarden. Continue monitoring en snelle incidentrespons beperken de schade bij een lek.
Leveranciersmanagement is cruciaal: toets onderaannemers op beveiliging, logging en exit-scenario’s. Leg dataminimalisatie, bewaartermijnen en pseudonimisering vast in verwerkersovereenkomsten. Voer periodiek penetratietests uit en herhaal DPIA’s bij iedere systeemwijziging.
Waar algoritmen of AI-systemen helpen bij triage of laboratoriumanalyse, geldt extra zorgplicht. De Europese AI-verordening classificeert medische toepassingen als hoog risico en verplicht risicobeheer, datagovernance en robuuste logging. Dat sluit aan op de AVG en helpt publieke diensten zoals bevolkingsonderzoeken veiliger en uitlegbaar te houden.
