Regionale samenwerking helpt huisartsen bij bescherming patiëntgegevens
Kleine huisartsenpraktijken hebben moeite om hun informatiebeveiliging op orde te houden, bleek eerder dit jaar uit een rapport van de Inspectie Gezondheidszorg en Jeugd (IGJ). Naast de dagelijkse patiëntenzorg moeten huisartsenpraktijken voldoen aan beveiligingseisen en voorbereid zijn op cyberincidenten. De IGJ onderzoekt dit najaar de informatiebeveiliging bij vijftig huisartsenpraktijken.
Regionale samenwerking kan praktijken daarbij ondersteunen. In een artikel van NRC vertelt de Noord-Limburgse huisartsenorganisatie Cohesie hoe zij met een gezamenlijk informatiesysteem voor 56 aangesloten praktijken werkt, waardoor beveiligingsmaatregelen centraal kunnen worden uitgevoerd. Tijdens de cyberaanval op softwareleverancier ChipSoft in april 2026 verbrak Cohesie uit voorzorg de verbinding met de leverancier. Volgens de organisatie bleven de patiëntgegevens van ongeveer 250.000 mensen daardoor buiten bereik van de aanvallers.
Gezamenlijke systemen brengen ook risico’s mee: een incident kan meerdere praktijken tegelijk raken. Bovendien blijven huisartsen zelf verantwoordelijk voor de informatiebeveiliging binnen hun praktijk. Regionale ondersteuning moet daarom samengaan met een goede voorbereiding op mogelijke incidenten.
AP wil verdere aanpassingen aan wetsvoorstel kredietregistratie
De Autoriteit Persoonsgegevens (AP) heeft op 5 oktober een eerder opgesteld advies over het wetsvoorstel voor kredietregistratie gepubliceerd. In de wetgevingstoets uit juni 2026 erkent de toezichthouder dat het voorstel op verschillende punten is verbeterd, maar dat aanvullende waarborgen voor de bescherming van persoonsgegevens nodig blijven. Het wetsvoorstel moet onder meer de rol van het Bureau Krediet Registratie (BKR) wettelijk vastleggen.
Het kabinet heeft eerdere kritiek van de AP deels verwerkt. Het aangepaste wetsvoorstel voorziet onder meer in een kortere bewaartermijn voor kredietgegevens, duidelijkere regels over welke kredieten geregistreerd moeten worden en een eenvoudigere procedure om verwijdering van gegevens aan te vragen. Volgens de AP blijft echter onduidelijk welke persoonsgegevens het BKR mag gebruiken om het risico op betalingsachterstanden te beoordelen. Een dergelijke risicoscore kan gevolgen hebben voor de mogelijkheid om een lening af te sluiten.
Daarnaast vindt de AP dat duidelijker moet worden vastgelegd voor welke andere doeleinden kredietgegevens mogen worden gebruikt. Ook moet het gebruik van gearchiveerde gegevens worden beperkt tot specifieke doeleinden, zoals het ontwikkelen van statistische modellen. De toezichthouder vraagt om deze punten te verbeteren voordat het wetsvoorstel verder wordt behandeld.
Raad van State verduidelijkt zoekplicht bij AVG-inzageverzoeken
De Afdeling bestuursrechtspraak van de Raad van State heeft op 7 oktober uitspraak gedaan over een inzageverzoek op grond van artikel 15 van de Algemene verordening gegevensbescherming (AVG). Een betrokkene had de Raad voor de Kinderbescherming gevraagd om zijn dossier en alle overige persoonsgegevens die de organisatie over hem verwerkte. De minister voor Rechtsbescherming verstrekte het dossier, waarbij persoonsgegevens van derden waren afgeschermd, maar vond geen andere persoonsgegevens.
De betrokkene vond dat daarmee niet volledig aan zijn inzageverzoek was voldaan en ging na bezwaar naar de rechtbank. Die oordeelde dat de minister onvoldoende had onderzocht of buiten het dossier nog persoonsgegevens over hem aanwezig waren. De minister moest volgens de rechtbank onder meer ook zoeken naar een eerder verwijderd e-mailbericht. De minister ging tegen deze uitspraak in hoger beroep bij de Raad van State.
In hoger beroep bleek dat ook e-mailboxen van medewerkers waren doorzocht en daarbij geen aanvullende persoonsgegevens waren gevonden. Volgens de Raad van State had de minister daarmee voldoende onderzocht welke persoonsgegevens over de betrokkene werden verwerkt.
Ook oordeelde de Raad van State dat een afzonderlijk e-mailbericht geen persoonsgegevens van de betrokkene bevatte en daarom niet onder het inzagerecht viel. Daarnaast achtte de Raad van State aannemelijk dat bepaalde werkaantekeningen al waren verwijderd en daarom niet meer konden worden verstrekt.
Het hoger beroep van de minister werd gegrond verklaard.
AP richt nieuwe directie op voor toezicht op AI en algoritmes
De Autoriteit Persoonsgegevens (AP) heeft op 8 oktober de nieuwe directie Toezicht en Coördinatie AI/Algoritmes (TCA) opgericht. Deze volgt de Directie Coördinatie Algoritmes op en combineert het bestaande coördinerende toezicht op algoritmes en kunstmatige intelligentie (AI) met de voorbereiding op nieuwe toezichttaken onder de Europese AI-verordening.
De nieuwe directie bestaat uit twee afdelingen. De afdeling AI/Algoritmes Risicoanalyse en Coördinatie onderzoekt ontwikkelingen en risico’s van AI en algoritmes, waaronder discriminatie, misleiding en onvoldoende transparantie. De afdeling Markttoezicht AI bereidt zich voor op het toezicht op AI-systemen die onder de Europese AI-verordening vallen. De AP wordt naar verwachting onder meer verantwoordelijk voor het markttoezicht op verboden AI-toepassingen, bepaalde hoogrisico-AI-systemen en transparantieverplichtingen.
Daarnaast werkt de AP samen met de Rijksinspectie Digitale Infrastructuur (RDI) aan een gezamenlijk AI Coördinatiecentrum. Dit moet de samenwerking tussen verschillende toezichthouders verbeteren en duidelijker maken welke instantie verantwoordelijk is voor het toezicht op specifieke AI-toepassingen. Ook bereidt de AP een testomgeving voor waarin ontwikkelaars begeleiding kunnen krijgen bij het voldoen aan de AI-verordening.
AIVD en MIVD verwachten meer Chinese cyberaanvallen via edge devices
De Algemene Inlichtingen- en Veiligheidsdienst (AIVD) en de Militaire Inlichtingen- en Veiligheidsdienst (MIVD) verwachten dat het aantal Chinese cyberaanvallen via kwetsbare netwerkapparatuur de komende jaren aanzienlijk zal toenemen. De diensten hebben op 7 oktober een gezamenlijk cyberadvies gepubliceerd waarin zij de dreiging toelichten en maatregelen beschrijven waarmee organisaties zich kunnen beschermen.
De aanvallen richten zich vooral op zogenoemde edge devices, zoals firewalls, routers en VPN-servers. Deze apparaten bevinden zich aan de rand van een netwerk en zijn vaak rechtstreeks bereikbaar via het internet. Volgens de veiligheidsdiensten beschikken Chinese cyberactoren over uitgebreide kennis van dergelijke systemen. Zij onderzoeken onder meer de werking van westerse apparatuur en software om onbekende kwetsbaarheden te ontdekken. Via kwetsbare apparaten zijn de afgelopen jaren ook Nederlandse organisaties getroffen.
In het cyberadvies adviseren de diensten organisaties om hun netwerkapparatuur en de bijbehorende kwetsbaarheden in kaart te brengen. Daarnaast wijzen zij op het belang van tijdige beveiligingsupdates, meerdere beveiligingslagen en maatregelen om aanvallen te detecteren. Ook moeten organisaties voorbereid zijn op mogelijke beveiligingsincidenten, zodat de gevolgen van een succesvolle aanval zoveel mogelijk kunnen worden beperkt.
