Ex-medewerkers nemen vertrouwelijke informatie mee

Niet alleen hackers, ook de eigen medewerkers stelen vertrouwelijke gegevens van organisaties. Nederland kent geen meldingsplicht bij verlies van gegevens.

Ruim de helft (59%) van ex-werknemers van bedrijven neemt bij vertrek data als klantgegevens mee, ook al had de werkgever dat verboden; 68 procent gebruikt de data voor een nieuwe werkgever. Deze cijfers komen uit ‘Data loss risks during downsizing’, een onderzoek onder 945 ex-werknemers van bedrijven. Het onderzoek werd in februari 2009 uitgevoerd door het Ponemon-instituut, in opdracht van Symantec, fabrikant van onder meer de Norton-virusbeschermers. Midden juni werden de gegevens openbaar gemaakt.

De cijfers lijken ook van toepassing op de zorg, want 13 procent van de deelnemers werkt in deze sector. De gegevens lekken weg via afgedankte computers en gegevensdragers als laptops, cd-roms, USB-sticks, maar ook via bijlagen van e-mails. De helft van de bedrijven verliest gegevens via USB-sticks, vier van de vijf via laptops.

Papier is ook niet veilig, want eerder onderzoek van hetzelfde instituut, uit oktober 2008, liet zien dat 71 procent van de IT-werknemers op de hoogte was van een of meer lekken van vertrouwelijke informatie op papier in het afgelopen jaar. De prullenbak is de gevaarlijkste plek voor een vertrouwelijk papieren document; te weinig wordt vernietigd in een papierversnipperaar. Ook bij dit onderzoek werkte 11 procent van de respondenten in de zorgsector.

In mei van dit jaar berichtte de Britse krant The Independent dat de Britse gezondheidszorg in de eerste vier maanden van 2009 bij 140 incidenten de dossiers van tienduizenden mensen verloor, meer dan alle overheidsinstanties en lokale overheden bij elkaar. Een huisarts had een patiëntendatabank gedownload op een onbeveiligde laptop, die uit zijn huis werd gestolen. Een andere arts verloor een memorystick met medische gegevens van 6360 gevangenen; het wachtwoord stond op een Post-it-blaadje dat aan de stick zat geplakt.

Ook in Nederland zijn data gelekt, zoals eind 2007 persoonlijke gegevens van 55.000 klanten van zorgverzekeraar CZ. In 2006 gaf het College bescherming persoonsgegevens (CBP) het Flevoziekenhuis in Almere een waarschuwing vanwege een onveilig online afsprakensysteem. Het informatiebeveiligingssysteem in een aantal ziekenhuizen voldoet niet aan de norm, meldde het CBP in november 2008.

In de Verenigde Staten geldt een meldingsplicht bij verlies van identiteitsgegevens bij de autoriteiten. Volgens advocaat ICT en privacy Anna den Hartog mist Nederland de wettelijke plicht om betrokkenen te informeren bij verlies van gegevens. Pas in 2011 zal de Europese Commissie zich buigen over een meldingsplicht. Uit een dit voorjaar door Medisch Contact gehouden onderzoek blijkt dat veel artsen geen inzage in hun gegevens willen geven via het elektronisch patiëntendossier, omdat zij onvoldoende vertrouwen hebben in de veiligheid van het systeem (zie MC 20/2009: 'Te vroeg voor landelijk EPD’). HC

MC-dossier: Elektronisch patiëntendossier