Rapport Commissie Brouwer: 'Gewoon doen' - Ngfg

Belangrijk is echter ook dat betrokkene zelf zoveel mogelijk de juistheid van zijn gegevens
kan controleren. Daarom is transparantie zoals beschreven onder grondslag 1 van wezenlijk
belang. Maar integere systemen en gegevens hebben geen betekenis zonder integer gebruik.
Incidenten met verloren memorysticks en zoekgeraakte cd-roms spreken daarbij voor zich.
Beveiliging en de menselijke factor
Beveiliging van gegevens wordt nog te vaak als een zaak van vooral ‘de techniek’ gezien. Zo laten de
recente onderzoeksrapporten van het College bescherming persoonsgegevens en de Inspectie voor
de Gezondheidszorg over de beveiliging van gegevens in ziekenhuizen zien dat er op het gebied van
instructie, opleiding en bewustwording van medewerkers nog veel te verbeteren valt.
De aandacht die een journalist van TV-West in november 2008 trok toen hij op vrij eenvoudige
medische gegevens van diverse ziekenhuizen gefaxt kon krijgen werpt eveneens een blik op de
menselijke factor. Hetzelfde geldt voor het verlies van vele bankgegevens (creditcard betalingen) van
de Landesbank Berlin in december 2008 toen een pakket met microfiches niet bij de bank, maar bij
een dagblad werd afgeleverd. Ook het gebruik van de ‘ouderwetse’ microfiches daarbij wekte
bevreemding bij Duitse privacytoezichthouders: waarom was geen databestand met encryptie
gebruikt vroegen zij zich af.
Welk doel dient de ‘zorg voor integriteit van gegevens, systemen en het handelen van
gebruikers’:
Integriteit van systemen, gegevens en de gebruikers van de systemen zorgt ervoor dat zoveel
mogelijk wordt gewaarborgd dat gegevens correct zijn en goed beveiligd worden. Zo kan
worden voorkomen dat gegevens verder worden verstrekt dan nodig is maar ook dat
ontwikkelingen als omschreven in paragraaf 2.4. (identiteitsfraude, “immutable me”) zoveel
mogelijk worden voorkomen.
Nieuwsgierig?
Tegen het onjuist gebruik van gegevens en tegen het raadplegen van gegevens uit nieuwsgierigheid
kan logging (vastleggen) van het raadplegen en daadwerkelijke controle van die log-gegevens als
middel ingezet worden. De brief die het Rotterdamse politiekorps aan enkele honderden agenten
zond met de vraag waarom zij nu allemaal (tevergeefs) geprobeerd hadden het dossier van een
gearresteerde voetballer te bekijken is een treffend voorbeeld. Hetzelfde geldt voor het loggen en
controleren welke patiëntgegevens door plaatsvervangende artsen bij avond- en weekenddienst
opgevraagd zijn.
Wie is verantwoordelijk voor de ‘zorg voor integriteit van gegevens, systemen en het
handelen van gebruikers’:
De organisaties die met persoonsgegevens ten behoeve van de veiligheid werken zijn