Het blijft verbazen dat het delen van persoonsgegevens grootschalig wordt gepusht, onder meer om de datahonger van AI-bedrijven te stillen, terwijl de diefstal van persoonsgegevens steeds meer toeneemt. In de financiële sector zullen via open finance en open banking zeer gevoelige persoonsgegevens worden verspreid.

Daar komt nog bij dat er van alles wordt gereguleerd. Voorbeelden zijn de financiële sector en de private detectie van crimineel geld onder de verhullende titel ‘witwasbestrijding’ [1]. Maar handelaren in persoonsgegevens hoeven zich nergens aan te houden (ja, in theorie de AVG, maar er is geen toezichtscapaciteit). Waarom worden die datahandelaren het hand boven het hoofd gehouden [2]? Ik hoor graag of lezers hier meer over weten.

Ook de mensen en organisaties die inzage krijgen in vertrouwelijke registers, zoals het ubo-register, hoeven niet integer te zijn. Bizar.

Cybercrime Clinical Diagnostics
Het nieuwste datalek in de Nederlandse zorg via Clinical Diagnostics in Rijswijk levert de nodige berichten op [3], maar het lijkt er op dat er niet van geleerd wordt. Zoals er ook geen serieuze reactie komt op de datalekken bij de politie, de cyber inbraak bij het OM, enzovoorts.
Jeroen Terstegge maakt in een artikel korte metten met het datalek bij het laboratorium:

Dat je als BVO of ziekenhuis voor de communicatie iemands naam en adres nodigt hebt om de uitslag te kunnen communiceren, wil niet zeggen dat het laboratorium die gegevens óók nodig heeft. Op zich heeft het lab voor het doen van laboratoriumonderzoek niet meer nodig dan het te onderzoeken monster gekoppeld aan een unieke sleutel (pseudo-ID). Echter, als het voor het lab nodig is (lees: objectief onmisbaar, HvJ EU, Meta Platforms) om een bepaald demografisch gegeven te weten (bijv. geslacht, leeftijd) om het onderzoek goed te kunnen uitvoeren of daarover goed terug te rapporteren, dan mag dat ook verstrekt worden. Maar ik zou niet weten waarom een lab iemands naam en adres nodig heeft (tenzij het lab ook namens BVO – dus als verwerker – de uitslag aan de betrokkene zou versturen).

Voor mensen wordt het er niet veiliger op.

Noten:

[1] De witwasbestrijding verplicht een groot aantal ondernemingen, onder meer uit het mkb, om grootschalig persoonsgegevens en andere vertrouwelijke gegevens te verwerken. Toezicht ontbreekt. Onder het AML Package zal die verwerking nog meer toenemen en zal er steeds meer gedeeld gaan worden.

[2] Het is hoog tijd voor een vergunningenregime, met toezicht die door de datahandelaren betaald wordt (artikel).

[3] Onder meer RTL, NOS. De AP gaat onderzoek doen (security.nl). Meer berichten bij security.nl.