Zorginstellingen hebben dit jaar de meeste datalekken bij de Autoriteit Persoonsgegevens gemeld, net zoals vorig jaar het geval was. De privacytoezichthouder ontving in de eerste zes maanden van dit jaar bijna 12.000 datalekmeldingen. Als deze trend zich doorzet verwacht de Autoriteit Persoonsgegevens een stijging van het aantal gemelde datalekken van 14 procent ten opzichte van 2018.

Vorig jaar werden er 21.000 datalekken bij de toezichthouder gemeld. Mogelijk worden dat er dit jaar zo'n 24.000. De laatste maanden lijkt het aantal meldingen enigszins te stabiliseren, aldus de autoriteit. Ruim 3700 van de datalekmeldingen (31 procent) die werden gedaan zijn afkomstig van de zorgsector, gevolgd door de financiele sector (20 procent) en het openbaar bestuur (19 procent). De voorgaande jaren waren deze drie sectoren ook voor de meeste meldingen verantwoordelijk.

Het aantal meldingen van zorginstellingen steeg met 2 procent ten opzichte van 2018. Binnen de zorgsector zijn de meeste meldingen afkomstig van ziekenhuizen (23 procent) en apotheken (22 procent.). De gemelde datalekken doen zich vooral voor na het verzenden van persoonsgegevens aan de verkeerde ontvanger. Kleinere zorginstellingen zoals gezondheids- en welzijnsorganisaties (24 procent), maatschappelijke dienstverlening (15 procent) en tandartsen (6 procent) melden vaker datalekken door "hacking", malware of phishing dan grotere zorginstellingen.

Type datalekken

Bij de meeste datalekken zijn persoonsgegevens naar de verkeerde ontvanger gestuurd (63 procent). Ook vorig jaar was dit het meest gemelde datalek. Daarnaast komt het voor dat personen hun eigen gegevens opvragen bij organisaties, maar door een administratieve fout vervolgens ook persoonsgegevens van anderen ontvangen. Datalekken door gestolen of verloren apparatuur doen zich vooral in de zorgsector voor (27 procent). Het lekken van gegevens door malware en phishing wordt voornamelijk door de sector zakelijke dienstverlening gemeld.

Tien procent van de datalekken wordt veroorzaakt door poststukken met gevoelige gegevens die bij de verkeerde persoon terechtkomen en geopend retour worden gestuurd. De onjuiste ontvanger heeft dan de inhoud van de brief kunnen lezen. Dit soort datalekken komt het meeste voor in de sector zorg (42 procent), zakelijke dienstverlening (19 procent) en openbaar bestuur (14 procent).

De cijfers van de Autoriteit Persoonsgegevens laten verder zien dat de meeste datalekken (58 procent) één persoon betreffen, gevolgd door datalekken waar twee tot tien personen het slachtoffer van werden. Datalekken met 5000 tot 100.000 (1 procent) en meer dan 100.000 mensen (<1 procent) komen veel minder vaak voor. Dergelijke datalekken worden vaak (47 procent) door "hacking", malware of phishing veroorzaakt.

Niet gemeld

De toezichthouder laat weten dat nog altijd niet alle meldplichtige datalekken worden gemeld. In de eerste helft van dit jaar zijn zeventien onderzoeken ingesteld naar organisaties die (mogelijk) een meldplichtig datalek niet hebben gemeld. De Autoriteit Persoonsgegevens is ook vier onderzoeken gestart naar organisaties die een datalek te laat hadden gemeld. Deze onderzoeken kunnen tot sancties leiden.