Organisaties kunnen nooit honderd procent de garantie geven dat persoonsgegevens veilig zijn, maar ze moeten er wel alles aan doen om privacygevoelige informatie te beschermen. Een nieuwe generatie van criminelen doet er alles aan om deze data in handen te krijgen en vervolgens te verkopen. Bedrijven die getroffen zijn door een datalek, moeten hier open en eerlijk over zijn naar slachtoffers zodat zij zelf actie kunnen ondernemen.
Dat zegt misdaadverslaggever John van den Heuvel in een interview met de Autoriteit Persoonsgegevens.
Van den Heuvel voelde zich niet veilig door datalek bij de GGD
De journalist zegt dat hij al jaren bedreigd wordt door criminelen. Het stokje erbij neergooien is echter geen optie voor hem. Hij zegt zich veilig te voelen door de persoonsbeveiliging die hem omringt. De afgelopen jaren was er echter één moment dat Van den Heuvel zich niet veilig voelde: dat was toen zijn woonadres op het internet te koop werd aangeboden.
Zijn adres was uitgelekt door een grootschalig datalek bij de GGD. Uit onderzoek van RTL Nieuws bleek dat duizenden medewerkers toegang hadden tot persoons- en medische gegevens van miljoenen Nederlanders. Doordat de systemen verouderd waren en het autorisatiebeleid niet goed was ingericht, kopieerden enkele werknemers de privégegevens van miljoenen Nederlanders en boden deze te koop aan via Telegram, Snapchat en Wickr.
Volgens de officiële cijfers zijn de gegevens van 1.250 Nederlanders daadwerkelijk verkocht. Stichting Initiatieven Collectieve Acties Massaschade (ICAM) vermoedt echter dat miljoenen Nederlanders de dupe zijn van het datalek bij de GGD. In maart 2023 startte de stichting een massaschadeclaim tegen het ministerie van Volksgezondheid, Welzijn en Sport. Ze eist een schadevergoeding van zo’n 3 miljard euro van het departement.
‘Opeens was er een serieus veiligheidsrisico’
Het datalek is misdaadverslaggever nooit in de koude kleren gaan zitten. “Het gaf me een enorm vervelend, onbehaaglijk gevoel. Er was opeens een serieus veiligheidsrisico bij gekomen. Doe je zo je best om jezelf en je gezin te beschermen, gebeurt er zoiets”, zegt hij in een interview met de privacytoezichthouder.
Hij vervolgt zijn verhaal. “Ik had nooit verwacht dat mijn gegevens niet veilig zouden zijn bij de GGD. Natuurlijk, geen enkele organisatie kan honderd procent garantie geven. Maar ik verwacht wél dat organisaties er alles aan doen om privacygevoelige informatie zo goed mogelijk te beveiligen. Zeker als het om de overheid gaat. Ik vond het ontluisterend.”
Bewustzijn creëren en slachtoffers goed informeren
Van den Heuvel constateert dat datalekken een steeds groter risico vormen. “Ik zie dat de misdaadwereld zich steeds meer toelegt op cyberdiefstal en de handel in persoonsgegevens. Daar wordt een nieuwe, jonge generatie van criminelen voor ingezet”, zo waarschuwt hij.
De misdaadjournalist ziet regelmatig dat cybercriminelen mensen om de tuin proberen te leiden, onder meer met phishingmails. Hoe meer informatie oplichters hebben over hun slachtoffers, des te geloofwaardiger zo’n nepbericht overkomt. Van den Heuvel vindt het dan ook belangrijk dat mensen alert zijn voor deze oplichtingspraktijken.
Verder is het belangrijk dat bedrijven en organisaties die door een datalek zijn getroffen, hun klanten hierover informeren. “Dat zijn ze ook verplicht, maar in de praktijk heb je er niet altijd wat aan”, aldus Van den Heuvel. “Ik heb weleens een mail gehad met ‘Uw gegevens zijn betrokken bij een datalek’. Punt. Daar kan ik niet veel mee. Zulke berichten moeten duidelijker. Om welke gegevens gaat het? Alleen dan kunnen mensen er rekening mee houden en zelf actie ondernemen.”
