Bevolkingsonderzoek Nederland (BVO NL) hervat de samenwerking met Clinical Diagnostics, het laboratorium waar in 2025 persoonsgegevens van deelnemers aan het bevolkingsonderzoek baarmoederhalskanker werden gestolen. Na verschillende audits acht BVO NL de informatiebeveiliging voldoende op orde om de gegevensverwerking te hervatten. Daarmee is de zaak niet afgedaan: Women’s Rights Collective heeft VWS en partijen rond Clinical Diagnostics aansprakelijk gesteld voor de gevolgen van het datalek.
Bij de hack bij Clinical Diagnostics in de zomer van 2025 kregen aanvallers toegang tot persoonsgegevens van deelnemers aan het bevolkingsonderzoek baarmoederhalskanker. Het ging onder meer om namen, adressen, geboortedata, BSN’s, testuitslagen en de naam van de huisarts. Bevolkingsonderzoek Nederland schortte daarop de samenwerking met het laboratorium op. Volgens Women’s Rights Collective (WRC) zijn persoonsgegevens en medische gegevens van circa 941.000 vrouwen bij het datalek betrokken.
Dat had niet alleen gevolgen voor de gegevensverwerking. De twee andere laboratoria konden het weggevallen werk niet volledig opvangen. BVO NL besloot daarom eind 2025 het aantal primaire uitnodigingen voor het bevolkingsonderzoek met 50 procent terug te brengen. De samenwerking kon volgens BVO NL alleen worden hervat wanneer onafhankelijk was vastgesteld dat Clinical Diagnostics weer veilig met de gegevens van deelnemers kon omgaan.
De samenwerking wordt nu hervat nadat verschillende audits zijn uitgevoerd. Eerder waren al verbeteringen doorgevoerd, maar voldeed Clinical Diagnostics nog niet aan alle beveiligingseisen. Ook waren tekortkomingen vastgesteld in het kwaliteitsmanagement. Volgens de nieuwe Kamerbrief zijn die tekortkomingen inmiddels opgelost. Minister Hermans informeerde de Tweede Kamer daar op 18 september over.
Clinical Diagnostics is inmiddels gecertificeerd volgens NEN 7510, de norm voor informatiebeveiliging in de zorg. Daarnaast heeft PwC in opdracht van BVO NL opnieuw onderzoek gedaan naar de informatiebeveiliging. Op basis van onder meer dat vervolgonderzoek heeft BVO NL besloten de samenwerking te hervatten. De situatie blijft periodiek gemonitord.
De onderliggende PwC-rapporten worden niet openbaar gemaakt. Volgens BVO NL bevatten die gevoelige bedrijfsgegevens en gedetailleerde informatie over risico’s en mogelijke gebreken in de informatiebeveiliging. Openbaarmaking zou ertoe kunnen leiden dat onbevoegden daarvan misbruik maken.
Met de terugkeer van Clinical Diagnostics kan het aantal primaire uitnodigingen vanaf begin oktober weer van 50 naar 100 procent. Daarmee loopt de vertraging niet verder op. Deelnemers ontvangen hun uitnodiging momenteel gemiddeld ongeveer twintig weken later dan beoogd. BVO NL bevestigt dat Clinical Diagnostics vanaf oktober weer onderzoeken gaat uitvoeren.
De bestaande achterstand is daarmee nog niet verdwenen. BVO NL verwacht deze in 2027 en 2028 in te lopen. Daarvoor moet onder meer de digitale ondersteuning bij de beoordeling van uitstrijkjes verder worden ontwikkeld. Ook de beschikbare capaciteit bij huisartsen speelt daarbij een rol.
De zaak laat daarmee zien hoe een beveiligingsincident bij één partij in een gegevensketen gevolgen kan hebben die veel verder gaan dan het datalek zelf. In dit geval leidde het stilleggen van de gegevensverwerking uiteindelijk tot capaciteitsproblemen in een landelijk bevolkingsonderzoek.
Dat Clinical Diagnostics weer gegevens voor het bevolkingsonderzoek mag verwerken, betekent niet dat de juridische nasleep van het datalek is afgerond. Op 18 september maakte Women’s Rights Collective bekend het ministerie van VWS en vennootschappen binnen de Eurofins-groep waarvan Clinical Diagnostics deel uitmaakt formeel aansprakelijk te hebben gesteld voor de gevolgen van het datalek.
WRC stelt dat een jaar na het incident nog onvoldoende duidelijkheid bestaat over de oorzaak en de schade. De stichting wijst onder meer op mogelijke gevolgen van het verlies van controle over medische en andere gevoelige persoonsgegevens, zoals fraude, phishing en ander misbruik. Ook vreest WRC dat het incident het vertrouwen in het bevolkingsonderzoek kan aantasten. Het gaat hierbij om standpunten van WRC; over de aansprakelijkheid en eventuele schadevergoeding is nog geen rechterlijk oordeel gegeven.
De aansprakelijkstelling is volgens WRC een eerste formele stap. De stichting geeft aan eerst overleg te willen, maar zegt bij het uitblijven van een bevredigende reactie een collectieve procedure op grond van de Wet afwikkeling massaschade in collectieve actie (WAMCA) te zullen starten. Op de eigen website meldt WRC daarnaast dat het een massaclaim voorbereidt en een voorlopersprocedure met inzageverzoeken van een kleine groep getroffen vrouwen is gestart.
Daarmee lopen twee vragen naast elkaar. Voor BVO NL is na de uitgevoerde verbeteringen en onafhankelijke toetsing voldoende grond ontstaan om de gegevensverwerking bij Clinical Diagnostics te hervatten. Tegelijk is nog niet beslist wie juridisch verantwoordelijk is voor de gevolgen van het datalek uit 2025 en of getroffen deelnemers recht hebben op schadevergoeding.
Ook toezichthouders hebben zich over de beveiliging bij Clinical Diagnostics gebogen. Eerder werd bekend dat onder meer de Inspectie Gezondheidszorg en Jeugd en de Autoriteit Persoonsgegevens onderzoek deden naar het incident.
De impact van de hack heeft bovendien tot breder toezicht geleid. De Autoriteit Persoonsgegevens maakte dit voorjaar bekend zorgorganisaties steekproefsgewijs te controleren op de bescherming en beveiliging van gevoelige persoonsgegevens. Het datalek bij Clinical Diagnostics vormde daarvoor een directe aanleiding.
De hervatting van de samenwerking sluit daarmee één belangrijk hoofdstuk af: Clinical Diagnostics kan opnieuw worden ingezet voor het bevolkingsonderzoek. De gevolgen van het datalek voor de getroffen deelnemers en de vraag naar aansprakelijkheid zijn daarmee echter nog niet afgewikkeld.
Deze cursus draait om risicomanagement, governance en de menselijke kant van veiligheid. We starten bij het begin: zonder risicodenken wordt informatieveiligheid slechts een vinklijstje. Daarom leren we je risico's te vertalen naar begrijpelijke besluiten voor management en bestuur. Dit helpt je om afwegingen vast te leggen en te onderbouwen in beleid, rapportages en gesprekken met auditors.
Versterk jouw positie als FG in het publieke domein. Leer risicogestuurd toezicht houden, omgaan met bestuurlijke druk en rapporteren met gezag. Na deze 2-daagse cursus heb je een concreet actieplan voor jouw organisatie.
