Nabestaande krijgt toegang tot medisch dossier
De Rechtbank Limburg heeft op 21 oktober 2026 geoordeeld dat een huisartsenpost het medische dossier en geluidsopnamen van telefoongesprekken moet verstrekken aan de partner van een overleden patiënt. De vrouw wilde onderzoeken of de huisartsenpost zorgvuldig had gehandeld in de dagen voorafgaand aan het overlijden van haar partner.
Het medisch beroepsgeheim blijft ook na overlijden van kracht. Artikel 7:458a van het Burgerlijk Wetboek (BW) biedt nabestaanden onder bepaalde voorwaarden toch recht op inzage. De vrouw had een mededeling ontvangen over een incident in de zorg, waardoor zij volgens de rechtbank op grond van dit artikel aanspraak kon maken op de betreffende medische gegevens. Voor de gespreksgedeelten waarin medewerkers van de huisartsenpost aan het woord zijn, mag de organisatie volstaan met een woordelijke transcriptie.
De rechtbank wees het verzoek om een brief van de Inspectie Gezondheidszorg en Jeugd (IGJ) af. Deze brief had betrekking op een interne onderzoeksrapportage en viel volgens de rechtbank niet onder het inzagerecht. Ook hoefde de huisartsenpost geen nieuw overzicht van geregistreerde telefoongesprekken te verstrekken, omdat de vrouw al had vernomen welke gesprekken waren geregistreerd.
AP waarschuwt incassobureaus voor risico’s van AI
De Autoriteit Persoonsgegevens (AP) waarschuwt voor risico’s bij het gebruik van algoritmes en kunstmatige intelligentie (AI) door incassobureaus. Uit een onderzoek onder 29 incassobureaus blijkt dat deze systemen worden ingezet om de kans op succesvolle schuldinning te berekenen en informatie over schuldenaren te verzamelen. Volgens de AP kunnen deze toepassingen leiden tot onjuiste beslissingen, discriminatie en ongelijke behandeling.
Voor het voorspellen van inningskansen gebruiken incassobureaus onder meer kredietscores, betaalgeschiedenis en locatiegegevens. Ook worden algoritmes ingezet om dossiers aan te vullen met informatie uit registers en van internet, waaronder sociale media. Incassobureaus zijn volgens de AP niet altijd voldoende bekend met de privacyregels die hierbij gelden. Volgens de toezichthouder bestaat daarom een reële kans dat in de praktijk verboden vormen van volledig geautomatiseerde besluitvorming voorkomen.
De AP benadrukt dat besluiten met ingrijpende gevolgen voor schuldenaren niet uitsluitend op geautomatiseerde verwerking mogen berusten, tenzij een wettelijke uitzondering van toepassing is. De AP roept incassobureaus op kritisch te controleren welke persoonsgegevens zij met algoritmes en AI verwerken, of daarvoor een geldige grondslag bestaat en of zij voldoen aan de regels voor geautomatiseerde besluitvorming. Op 2 december 2026 organiseert de AP een rondetafelgesprek met de incassosector over de onderzoeksresultaten en aanbevelingen.
NCSC waarschuwt voor cyberaanvallen op koelinstallaties
Het Nationaal Cyber Security Centrum (NCSC) waarschuwt voor cyberaanvallen op koelinstallaties in verschillende Europese landen, waaronder Nederland. De aanvallen richten zich op internetverbonden installaties van verschillende leveranciers. Het NCSC onderzoekt de incidenten en adviseert organisaties om de beveiliging van hun koelsystemen te controleren.
Aanvallers kunnen via kwetsbaarheden en zwakke of standaardwachtwoorden op afstand toegang krijgen tot koelsystemen. Vervolgens kunnen zij instellingen wijzigen, zoals de temperatuur of ontdooicycli. Hierdoor kunnen installaties uitvallen of producten bederven, met mogelijke gevolgen voor de voedselveiligheid en bedrijfscontinuïteit. Ook kunnen de aanvallen financiële schade veroorzaken.
Het NCSC raadt organisaties aan bij hun leverancier na te gaan of installaties kwetsbaar zijn en zo nodig beveiligingsupdates uit te voeren. Koelsystemen zouden niet rechtstreeks via internet toegankelijk moeten zijn. Als externe toegang noodzakelijk is, moet deze worden beperkt tot vertrouwde IP-adressen en beveiligd met sterke wachtwoorden. Ook adviseert het NCSC de systeeminstellingen regelmatig te controleren. Voor organisaties die onder de Cyberbeveiligingswet vallen, geldt bij significante cyberincidenten een meldplicht bij het aangewezen Computer Security Incident Response Team (CSIRT) en de relevante toezichthouder.
Nieuwe handreiking combineert DPIA en algoritmetoets
Het ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) heeft een vernieuwde handreiking gepubliceerd voor het gezamenlijk gebruik van het Model DPIA Rijksdienst en het Impact Assessment Mensenrechten en Algoritmen (IAMA). De handreiking moet helpen om beide beoordelingen beter op elkaar af te stemmen en dubbel werk te voorkomen.
Een DPIA brengt de risico’s van de verwerking van persoonsgegevens voor de rechten en vrijheden van betrokkenen in kaart. Het IAMA kijkt breder naar de mogelijke gevolgen van algoritmen voor grond- en mensenrechten. Wanneer voor een toepassing beide beoordelingen nodig zijn, overlappen sommige onderdelen.
De handreiking laat zien welke vragen uit het Model DPIA Rijksdienst en het IAMA met elkaar overeenkomen. Daardoor kunnen beide beoordelingen gelijktijdig worden uitgevoerd of kan informatie uit een eerder uitgevoerde DPIA worden hergebruikt bij een IAMA. De vernieuwde handreiking sluit aan bij de in februari 2026 geactualiseerde versie van het IAMA.
Handhavingsbeleid privacyregels openbaar gemaakt
De Autoriteit Persoonsgegevens (AP) heeft haar handhavingsbeleid openbaar gemaakt. Daarin legt de toezichthouder uit hoe zij optreedt wanneer organisaties de regels overtreden en welke omstandigheden meewegen bij de keuze voor bijvoorbeeld een berisping, verwerkingsverbod of boete. Een overtreding moet in beginsel worden beëindigd, maar leidt niet automatisch tot een boete.
Opvallend is de mogelijkheid om een boeteprocedure in bepaalde gevallen versneld af te ronden. Een organisatie die de overtreding erkent, afziet van bezwaar en beroep en instemt met publicatie van het boetebesluit, kan een boeteverlaging van maximaal 35 procent krijgen. Ook kunnen organisaties tijdens een handhavingsprocedure met de AP overleggen over maatregelen om een overtreding te beëindigen. Zo’n herstelvoorstel geldt niet als erkenning van de overtreding en sluit een eventuele boete niet uit.
Het beleid geeft daarnaast de functionaris voor gegevensbescherming (FG) een duidelijke positie. Een bij de AP aangemelde FG ontvangt belangrijke stukken uit de procedure en kan een hoorzitting bijwonen. Bij de keuze van een handhavingsmaatregel kan bovendien meewegen of de FG eerder voor privacyrisico’s heeft gewaarschuwd en wat de organisatie met dat advies heeft gedaan.
