Zorgverzekeraar Menzis krijgt privacyboete van 50.000 euro
De Autoriteit Persoonsgegevens heeft zorgverzekeraar Menzis een boete van 50.000 euro opgelegd omdat sommige medewerkers onnodig toegang tot gezondheidsgegevens van klanten hadden. Dat laat de zorgverzekeraar via de eigen website en het financieel jaarverslag weten (pdf).
De privacytoezichthouder stelde eind 2017 vast dat Menzis onvoldoende toezag op wie er binnen de organisatie toegang had tot persoonsgegevens betreffende de gezondheid. "Gebleken is dat enkele medewerkers onnodig toegang hadden tot deze gegevens", aldus de zorgverzekeraar. Volgens Menzis is er niet verkeerd omgegaan met de toegangsmogelijkheid en constateerde ook de Autoriteit Persoonsgegevens dat.
Menzis besloot de toegang van de medewerkers in kwestie onmogelijk te maken. De toegang is nu geregeld via machtigingsregels en ict-oplossingen. De Autoriteit Persoonsgegevens vond echter dat de zorgverzekeraar de verbeteringen niet snel genoeg heeft doorgevoerd en legde daarom een boete van 50.000 euro op.
"Onze verzekerden hebben recht op een goede omgang met hun privacy. Daarom werken wij nauwgezet samen met toezichthouders zoals de AP, de Nederlandse Zorgautoriteit en De Nederlandse Bank. Deze boete is voor ons een belangrijk signaal dat we nog alerter moeten zijn rondom privacy", laat Menzis weten.
De DNB is dat wel voor financiële instellingen zoals banken en heeft daar aan controles op ICT invulling nooit wat gedaan.
Sowieso hebben ze daar overal lak aan, vooral het verspillen van andermans geld zijn ze zeer goed in.
Iemand had een melding gemaakt bij het CBP dat hij vond dat er te veel mensen overal toegang tot hadden.
Het CBP is er toen bij wezen keken en die heeft de ICT inrichting beoordeeld en vond ook dat er te veel mensen toegang hadden. Het is op die manier geen privacy-zaak maar een beoordeling van de ICT inrichting.
De zaak lijkt nu bij de rechter te liggen en loopt nog. Dat het bekend geworden is komt door een passage in het jaarverslag van Menzis. ALs het om de beoordeling van de ICT inrichting gaat wordt het een raar verhaal. Neem nu: Jouw auto kan 160 dus nemen we hem bij voorbaat in wegens een te hoge snelheid in de bebouwde kom. Nee we hebben niet gezien dat het fout ging maar het zou kunnen. Zoiets is in het geheel niet acceptabel.
Ik zou willen dat de AP hun tanden eens vaker zou laten zien bij echte privacy vraagstukken zoals bij MS die grote hoeveelheden privacy gevoelige gegevens via telemetry binnen haalt zonder dat de gebruikers dit weten of kunnen controleren of überhaupt daarin een keuze hebben. Ik zou daar toch graag een boete van een paar miljard voor willen zien. De AP heeft eerder vastgesteld dat MS de wet overtreedt maar doet daar dus niets mee. Tijd om het tuig bij MS eens de ballen te scheren.
Vertel dat maar aan de DNB mensen die hier audits uitvoeren op allerlei mogelijke ICT processen, variërend van netwerkbeveiliging tot aan compliance monitoring. Echt onzin wat je hier zegt.
"Ik heb het zelf nooit meegemaakt" is iets heel anders dan "DNB heeft daaraan nooit wat gedaan". De wereld is groter dan de ervaring van één mens. Je was te stellig met je "nooit".
Let wel: er is her geen privacy overtreding geconstateerd. Er is enkel naar invulling ICT gekeken. Niet de taak van het AP.
Ik heb ook interne auditors over de vloer gehad. De laatste zeer serieus met de onderhanden specifieke zaak. Vervolg naar externe auditing is er niet gekomen. Navraag bij de risk-management afdeling was dat zoiets nooit plaatsvond.
Ik kan me maar één geval voorstellen waar het wel plaats vond. De DSB die daarmee van de markt gehaald werd. https://www.rtlnieuws.nl/economie/artikel/3544136/dsb-stond-al-maanden-onder-toezicht-dnb. Dat was een uitzonderlijke situatie. Bedenk dat daar pas de controles verscherpte werden na wat eerdere escalaties en het eigenlijk al te laat was. Bij de ondergang van SNS was er bij de vastgoedtak gewoon fraude.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
