Datalekken in pensioensector: Interview Elisabeth Thole

De zorg en big data lijken geboren voor elkaar. Vanouds drijft de medische wereld op data – van klinisch onderzoek dat jarenlang loopt tot levenslang bijgehouden patiëntendossiers. Die data zijn waardevol en het digitaal ontginnen ervan biedt enorme kansen voor zorgverleners. Tegelijk is dat geen sinecure. Dit is waar beslissers volgens Dimitri van Hoewijk en Elisabeth Thole op moeten letten. 

Nu de eerste vaccins ook in Nederland in aantocht zijn, gaat landelijk de aandacht logischerwijs uit naar de mogelijkheid en wenselijkheid van een wettelijke vaccinatieplicht. Het ligt niet in de lijn der verwachting dat die discussie op korte termijn wordt afgerond of leidt tot een concrete wettelijke verplichting. Zorgaanbieders die dagelijks te maken hebben met Covid-19 besmettingen en kwetsbare groepen cliënten zullen wel op korte termijn beleid moeten maken over vaccinaties. Wat zijn hun mogelijkheden om vaccinatie af te dwingen?

Op 30 oktober 2020 heeft ICO, de Britse privacy toezichthouder, aangekondigd aan Marriott International Inc. een boete op te zullen leggen van 18,4 miljoen pond voor een datalek dat wereldwijd 339 miljoen gegevens van hotelgasten trof. Het datalek ontstond in 2014 als gevolg van een cyberaanval op Starwood Hotels and Resorts Worldwide Inc., dat Marriott in 2016 overnam. Het datalek bleef tot eind 2018 onopgemerkt.

Op 13 oktober jl. is een wijziging van de Beleidsregel boeteoplegging arbeidsomstandighedenwetgeving in werking getreden. Deze wijziging houdt in dat nu expliciet is opgenomen dat ook maatregelen die zijn genomen na de overtreding kunnen leiden tot een matiging van de boete. De Beleidsregel krijgt in artikel 1 een nieuw lid 12 dat inhoudt: “Indien de werkgever aantoont dat hij na de overtreding adequate maatregelen heeft genomen, kan dit leiden tot een boetematiging van 12,5%. Maatregelen zijn adequaat als zij:a. zijn gericht op het voorkomen van dezelfde of soortgelijke overtredingen; enb. zo snel mogelijk na de overtreding zijn genomen.”

Steeds meer bedrijven en overheidsinstanties maken gebruik van camera’s met gezichtsherkenning. Deze organisaties blijken echter veelal niet goed op de hoogte te zijn van de regelgeving omtrent gezichtsherkenning, aldus de Autoriteit Persoonsgegevens. Gezichtsherkenning is in beginsel verboden, tenzij er sprake is van een uitzonderingssituatie. Om ongeoorloofd gebruik te voorkomen, gaat de Autoriteit Persoonsgegevens gerichte voorlichting geven aan de grootste afnemers van gezichtsherkenningscamera’s: bedrijven in de detailhandel, beveiliging, sport & entertainment en vervoer, evenals gemeenten. 

Steeds luider is de roep om een ‘algoritmewaakhond’, zoals ook Amnesty International bepleit in een opiniestuk in NRC (14/10). Hoewel dit een begrijpelijke reactie is, lijkt het verwijt meer gericht te zijn tot de Autoriteit Persoonsgegevens, die schijnbaar vertrouwen verliest door gebrek aan daadkracht. Nog een toezichthouder erbij is echter niet de oplossing, maar creëert juist nieuwe problemen.

De wereldwijde coronacrisis heeft een grote impact op onze economie; veel bedrijven worden getroffen door de negatieve gevolgen daarvan (zoals verplichte sluitingen, cashflowproblemen). De retailbranche, die zich toch al in roerige tijden bevond, wordt bijzonder hard getroffen. 

Fabrikanten van wearables krijgen toegang tot steeds meer data. Zeker indien zij worden ingezet in het kader van de bestrijding van corona, is het zaak dat de privacy goed wordt gewaarborgd. Het Financieele Dagblad deed hier onderzoek naar. Lees de bijdrage van Jan Fred van Wijnen en Klaas Broekhuizen. Namens Van Doorne is privacy partner, Elisabeth Thole, gevraagd op het onderzoek te reageren.