Toelichting op persbericht

Geen sprake van schending medisch beroepsgeheim: datadiefstal door oud-medewerker aanleiding voor artikel FTM

Beste lezer,

Afgelopen week bracht Follow The Money ons op de hoogte van twee conceptartikelen. Inmiddels is FTM tot publicatie van een eerste artikel overgegaan en volgt een tweede artikel binnenkort.

Onze reactie op het eerste artikel
Follow the Money schrijft in haar eerste artikel over een datalek dat in 2020 bij Medworq is opgetreden. Wat echter niet duidelijk naar voren komt is dat het datalek is veroorzaakt door een oud-medewerker die data heeft ontvreemd. Ten onrechte wordt de indruk gewekt dat gegevens onvoldoende beveiligd waren wat leidde tot dit datalek. Het gaat hier echter om ontvreemding.

Binnen de kaders van haar ISO-kwaliteitssysteem (de NEN 7510 normen) is Medworq continu op zoek naar risicovermindering. De betreffende oud-medewerker was in mei 2019 aangenomen als potentieel opvolger van onze Chief Information Security Officer (CISO). Vanuit zijn functie en de opdracht om onderzoek te verrichten naar mogelijke informatie- en/of beveiligingsrisico`s had deze oud-medewerker toegang tot de data. Vanuit zijn positie heeft de oud-medewerker in 2019 onrechtmatig data gekopieerd.

De data die is gekopieerd betreft vermoedelijk verouderde gegevens uit de periode 2012 – 2018. De betreffende data waren versleuteld opgeslagen, zoals dat past binnen ons kwaliteitsbeleid. Zij waren slechts voor een select aantal geautoriseerde personen van de IT-afdeling toegankelijk.

Omdat wij onze informatiebeveiliging voortdurend verbeteren zijn de betreffende data in 2019 na besluitvorming in het ISO-overleg verwijderd. Achteraf is echter gebleken dat de medewerker in die betreffende periode ernstig misbruik heeft gemaakt van zijn functie door de patiëntdata voor verwijdering te kopiëren voor eigen doeleinden. Betreffende medewerker heeft al eind 2019 met een VSO (vaststellingsovereenkomst) het bedrijf verlaten.

Medio 2020 zijn wij door een overheidsinstantie tot onze schrik op de hoogte gesteld van een datalek. Vanzelfsprekend hebben wij direct alle maatregelen getroffen die passen bij ons kwaliteits- en veiligheidsbeleid. Zo is het datalek gemeld aan de Autoriteit Persoonsgegevens. Daarnaast zijn de klanten (één huisartsenpraktijk) tot wie de informatie herleidbaar zou zijn en de betrokken patiënten, direct geïnformeerd. Ook is in 2020 aangifte gedaan bij de politie tegen de oud-medewerker die bij ons de data heeft ontvreemd. Vervolgens is de oud-medewerker door de politie gehoord en heeft hij zijn daad bekend. Het strafproces bij het Openbaar Ministerie loopt nog. Vanzelfsprekend zijn wij in contact met alle autoriteiten om de afhandeling van deze vervelende kwestie zo spoedig en zorgvuldig mogelijk af te handelen, in het belang van alle betrokkenen. Zo zijn wij in contact met de Landelijke Huisartsen Vereniging (LHV), diverse zorggroepen, de huisartsen en natuurlijk politie en het Openbaar Ministerie.

Het artikel
We hebben FTM verzocht om af te zien van publicatie omdat het verhaal een onvolledige en verkeerde voorstelling van zaken geeft. Het verhaal bevat verder aannames, verdachtmakingen en insinuaties die onjuist zijn. Medworq heeft in het kader van haar kwaliteitssysteem in 2019 al haar data opgeschoond. Wij beschikken niet meer over de betreffende data. FTM heeft ons geen inzage gegeven in de gestolen informatie van de oud-medewerker waarop zij hun bevindingen baseren.

Voorts zijn de motieven van de ’bron’ van de informatie uiterst discutabel en moeten er vragen worden gesteld bij de integriteit van de data waarop FTM zich naar eigen zeggen heeft gebaseerd.

Een paar voorbeelden van onjuistheden in het artikel:

Er is geen sprake geweest van schending medisch beroepsgeheim door huisartsen.
Patiënten van wie de oud-medewerker medio 2020 gegevens op het dark web heeft geplaatst zijn allen in 2020 geïnformeerd.
De data zijn – voorafgaand aan de diefstal – expliciet niet toegankelijk geweest voor ongeautoriseerden. De oud-medewerker had vanuit zijn functie als Information Security Officer toegang tot deze data.
Data zijn nooit gedeeld met (pharmeceutische) bedrijven of instellingen.

Kortom: wij herkennen ons als bedrijf, en gezien onze bedrijfsvoering, totaal niet in de weergave van in dit artikel en distantiëren ons hiervan.

Onze grootste zorg
Onze eerste zorg is nog altijd het datalek, oftewel de eventuele verdere verspreiding van de data door de oud-medewerker, te stoppen.

Voor publicatie van het eerste artikel hebben wij getracht om in overleg te komen met FTM over risicobeperking op privacyschending door de diefstal van de oud-medewerker. FTM heeft hieraan niet mee willen werken.

Met de LHV zijn en blijven wij in gesprek over de gevolgen voor de huisarts en betrokkenen. Volgens de LHV is op dit moment niet te beoordelen of er een meldplicht bestaat richting betrokkenen. Hierdoor adviseert de LHV patienten (nog) niet te informeren. Mocht gaande ons contact met het LHV het advies wijzigen, dan brengen wij, in overleg met het LHV, de betreffende huisartsen verder op de hoogte.

Overigens blijven wij uiteraard in contact met de Autoriteit Persoonsgegevens en het Openbaar Ministerie.

We hebben verschillende (juridische) acties uitgezet om te bewerkstelligen dat oud-medewerker gekopieerde data alsnog vernietigt en niet verder verspreidt.

Tot slot
Wij hebben geen aanleiding gevonden dat wij onzorgvuldig of onjuist hebben gehandeld. Wij gaan met de grootst mogelijke zorg om met data. Dat de oud-medewerker, vanuit zijn voormalige functie van Information Security Officer, data heeft gekopieerd en geopenbaard raakt ons zeer.

Onze reactie op het tweede (te verschijnen) artikel

Follow the Money heeft ons ook inzage gegeven in het tweede artikel dat zij willen publiceren op basis van de gestolen bedrijfsinformatie van de oud-medewerker (zie uitleg hierover in voorgaande commentaar).

Dit artikel schetst een wereld die zo ver afstaat van onze werkelijkheid en raakt kant noch wal. We gaan daarom niet meer met FTM over het artikel in overleg.

Het artikel staat wederom bol van aannames, verdachtmakingen en insinuaties.

Een paar voorbeelden hiervan:

Geldschieters: Medworq heeft in haar periode van bestaan nooit geldschieters gehad.
GSK-Medworq: Medworq heeft in haar bestaan (10 jaar) opdrachten in de omvang van EUR 12.000 van GSK ontvangen.
Farminform-Medworq: Onze relatie met Farminform had zuiver een maatschappelijke doelstelling. Hiervoor is in 2019 een Joint Venture opgericht. Deze Joint Venture kende in haar statuten geen winstuitkering en een financieel non profit-uitgangspunt.
Het maatschappelijk doel van de Joint Venture was het opzetten van een privacy en security by design dataplatform voor de zorg, waarin zorgondersteuning en onderzoek gefaciliteerd konden worden.
Nogmaals: Data zijn nooit gedeeld en zouden ook nooit worden gedeeld met (pharmeceutische) bedrijven of instellingen.

Kortom: wij distantiëren ons volledig van dit artikel.

Berichtgeving door media buiten FTM, baseren zich volledig op het FTM artikel. We nodigen media uit om het gesprek met ons aan te gaan en onze kant van het verhaal te horen en toetsen.

Mocht u vragen hebben, dan vernemen wij dit uiteraard graag.

Directie van Medworq

1100 ft