AVG zorgverzekeraar

[kestemodon]

Ik kreeg deze week een brief van mijn zorgverzekeraar om mijn bijdrage van dit jaar te storten, tot hier geen probleem en perfect in regel met de AVG.

Echter zit er niet mijn detailrekening en overschrijvingsformulier van mevrouw X uit gemeente Y bij. Eerst dacht ik, een foutje kan gebeuren en dus ik zoek de correcte betalingsgegevens op online. Echter voelde dit toch niet helemaal goed. Ik ken mevrouw X haar naam, adres, rijksregisternummer, leeftijd en welke verplichte en niet-verplichte verzekeringen ze afneemt. Hier kan onrechtstreeks ook haar inkomen of gebrek hieraan afgeleid worden. Aangezien ik haar gegevens heb ontvangen, heeft er waarschijnlijk ook iemand mijn gegevens ontvangen. Mogelijk zijn er een hele hoop brieven verkeerd de post op gegaan, dit laatste is een assumptie.

Dit is volgens mij toch een relatief grote schending van mijn/haar privacy. Bijgevolg heb ik dus een mailtje gestuurd naar de bewuste zorgverzekeraar. De mail bevat 4 vragen: Hoe wordt de GDPR toegepast? Welke maatregelen er tegenwoordig al genomen worden? Hoe gaan datalekken zoals deze in de toekomst voorkomen worden? Gezien het om een datalek gaat, wordt er binnen de 72 uur een melding gemaakt bij de bevoegde overheidsinstanties en is het mogelijk mij op de hoogte te houden?

Hun antwoord (na 4 dagen):
We zullen u iets laten weten binnen de 30 dagen.

Mijn bedenkingen:
De termijn van 30 dagen is voorzien voor het verwijderen/aanpassen/opvragen van informatie. Echter gaat het hier in mijn ogen om een datalek of zie ik dit verkeerd? Elk (ernstig) datalek binnen de 3 dagen beantwoord/gemeld te worden, maar hoe bepaal je of iets ernstig is?


Ik ben benieuwd wat jullie er van denken.

[Batavia]

Ten eerste is het datalek niet van jouw gegevens. Het datalek is met de gegevens van mevrouw X. Dat jij als
'toevallige bijstander' extra vragen gaat stellen helpt niet met het oplossen van het datalek. Tenzij je reden hebt om aan te nemen dat mevrouw X jouw gegevens heeft gekregen hoeven ze jouw helemaal niet op de hoogte te houden. Alleen de AP en mevrouw X zijn wat dat betreft partij.

Ten tweede de AVG bied bedrijven zelf nog de mogelijkheid om in te schatten of dit een serieus datalek is of toevallig 'een foutje'. Als ze dit niet hebben ingeschat als een serieus datalek dan zijn de termijnen en meldplicht ook weer een stuk minder zwaar. Wel moeten ze intern hier duidelijke procedures voor hebben. Maar ook die hoeven ze niet aan jouw te melden.

En verder is de vraag heb je het juiste loket gemaild? Als je de algemene vragen bak gebruikt heb (en ze hebben ook een aparte manier om datalekken te melden) dan is het hun ook niet verwijtbaar dat jouw mail onder een 30 dagen stapel komt. (en was het wel duidelijk dat je een datalek melde? uit jouw eerste paar vragen zou ik denken dat je algemene vragen stelt over de AVG en niet een specifiek datalek melt)

[ Voor 29% gewijzigd door Batavia op 13-02-2019 18:57 ]

[F_J_K]

Een en ander hangt er van af of je de enige bent waar het fout ging, of dat het gold voor veel meer mensen. De combi van hoeveelheid mensen en hoeveelheid gegevens maakt de ernst. me dunkt.

Als alleen jij, dan was het wellicht een datalek maar niet per se een om te moeten melden (of alleen aan de betreffende mevrouw maar daar heb jij niets mee te maken). Als vele mensen dat is (door de verzekeraar) melden bij de autoriteiten zeker nodig. Je vier vragen zijn voldoende breed/groot om niet verbaasd te hoeven zijn dat het beantwoorden enige tijd kan duren.

Zo te lezen gaat het om België, je zou dit lek hoe dan ook kunnen melden bij de tegenhanger van de Autoriteit Persoonsgegevens.

[kestemodon]

peltco schreef op woensdag 13 februari 2019 @ 18:51:
Ten eerste is het datalek niet van jouw gegevens. Het datalek is met de gegevens van mevrouw X. Dat jij als
'toevallige bijstander' extra vragen gaat stellen helpt niet met het oplossen van het datalek. Tenzij je reden hebt om aan te nemen dat mevrouw X jouw gegevens heeft gekregen hoeven ze jouw helemaal niet op de hoogte te houden. Alleen de AP en mevrouw X zijn wat dat betreft partij.

Hier ben ik het niet helemaal mee eens, want waar is mijn brief dan naartoe? Ik heb mijn eigen brief niet ontvangen, dus die ligt logischerwijs nog bij hen op kantoor of is bij iemand anders beland. Dus ik verwacht wel uitleg over dit feit.

[b]peltco in "AVG zorgverzekeraar"En verder is de vraag heb je het juiste loket gemaild? Als je de algemene vragen bak gebruikt heb (en ze hebben ook een aparte manier om datalekken te melden) dan is het hun ook niet verwijtbaar dat jouw mail onder een 30 dagen stapel komt. (en was het wel duidelijk dat je een datalek melde? uit jouw eerste paar vragen zou ik denken dat je algemene vragen stelt over de AVG en niet een specifiek datalek melt)

Ik had het inderdaad naar een data officer kunnen sturen, dan had het wat sneller kunnen verlopen.

[Yucon]

Vriendelijk mailtje sturen met de vraag wat de reactietermijn is als je het via twitter vraagt.

[wodkabuikje]

kestemodon schreef op woensdag 13 februari 2019 @ 18:41:De mail bevat 4 vragen: Hoe wordt de GDPR toegepast? Welke maatregelen er tegenwoordig al genomen worden? Hoe gaan datalekken zoals deze in de toekomst voorkomen worden? Gezien het om een datalek gaat, wordt er binnen de 72 uur een melding gemaakt bij de bevoegde overheidsinstanties en is het mogelijk mij op de hoogte te houden?

Ai ai ai, je zal maar als bedrijf waar iemand een foutje heeft gemaakt gelijk zo'n mail krijgen met dit soort vragen.

Dat is wat ik ervan denk.

[Tens]

Yucon schreef op woensdag 13 februari 2019 @ 19:12:
Vriendelijk mailtje sturen met de vraag wat de reactietermijn is als je het via twitter vraagt.

ik denk, de wettelijk geregelde max termijn.

[Batavia]

kestemodon schreef op woensdag 13 februari 2019 @ 18:59:
[...]


Hier ben ik het niet helemaal mee eens, want waar is mijn brief dan naartoe? Ik heb mijn eigen brief niet ontvangen, dus die ligt logischerwijs nog bij hen op kantoor of is bij iemand anders beland. Dus ik verwacht wel uitleg over dit feit.

Ik ben het helemaal met je eens maar de vraag is of je die argumentatie ook duidelijk in jouw mail hebt gezet. Anders hebben zij namelijk goede reden om (veel) langer te doen over hun antwoord.

[F_J_K]

De DPO direct de vraag stellen te bevestigen dat jouw gegevens niet naar een ander zijn gegaan (onder verwijzing van de eerdere mail) kan nog steeds. En los daarvan een vraag naar het reguliere kanaal om alsnog je eigen detailrekening en overschrijvingsformulier te krijgen.