AVG boetes voor publieke en semi publieke sector

[Brilsmurfffje]

Recentelijk hebben een aantal ziekenhuizen een AVG boete gekregen wegens het schenden van de privacy regels.

Het ziekenhuis gaat niet in beroep tegen de hele boete, maar wel tegen de hoogte ervan. "Die vinden we te hoog", bevestigt een woordvoerder. Het besluit werd dinsdag genomen door de Raad van Bestuur van het ziekenhuis. Het ziekenhuis kreeg dinsdag een boete van 460.000 euro omdat het de beveiliging van medische dossiers niet goed op orde had. Medewerkers bekeken vorig jaar het medisch dossier van realityster Samantha de Jong, waarop de Autoriteit Persoonsgegevens een onderzoek instelde.

nieuws: HagaZiekenhuis gaat in beroep tegen hoogte van AVG-boete

Het ziekenhuis had de toegang in ieder geval 'tussen 2018 en 2020' niet op orde. In 2018 begon de handhaving van de AVG. De boete van 440.000 euro is dan ook voor een overtreding van die Europese privacywet. "Patiënten moeten ervan uit kunnen gaan dat medewerkers alleen medische dossiers inzien als dat nodig is voor hun behandeling", zegt vicevoorzitter Monique Verdier van de AP. "Het OLVG nam te weinig beveiligingsmaatregelen om dit te waarborgen. Dat is ernstig."

nieuws: OLVG-ziekenhuis Amsterdam krijgt AVG-boete van 440.000 euro voor slec...

Nu geven deze berichten mij een een rare nasmaak, het zijn instellingen die gefinancierd worden uit deels gemeenschapsgeld. Een boete van een slordige miljoen euro kunnen ze neem ik aan wel beter gebruiken dan voor het betalen van verkapte belasting. Je zou zelfs kunnen beargumenteren dat het voor deze instellingen door de boete juist moeilijker wordt om aan de AVG te voldoen omdat er minder budget beschikbaar is.

Nu hebben wij in Nederland ziekenhuizen helaas for profit ipv non-profit gemaakt, maar hoe je het went of keer, in het Nederlandse systeem kan een ziekenhuis kan nooit zoveel marge maken als bijv. een Ahold of Microsoft en consorten aangezien de prijzen die zij per behandeling mogen vragen vast staan.

Zou je voor dit soort instellingen zoals ziekenhuis, universiteiten, woonstichtingen etc. niet beter de verantwoordelijke kunnen straffen ipv de instelling een grote boete opleggen, waarmee je de klanten indirect te kort doet? Door bijvoorbeeld de verantwoordelijke voor de IT de laan uit te sturen. Voor de grote bedrijven met miljoenen winst per jaar zijn de boetes, mits hoog genoeg, een prima middel om een bedrijf de juiste richting in te sturen, maar een ziekenhuis en consorten hebben hopelijk zelf ook nog altijd de motivatie om de beste zorg/dienst te bieden die er mogelijk is.

[Anoniem: 224360]

De instelling is de verantwoordelijke. De afdelingsmanager is de verantwoordelijke, niet 'de IT' of de CISO etc. De eerste lijn is verantwoordelijk. En die steeds afserveren is op bepaalde niveaus simpelweg onwenselijk. Of wil je medewerkers die in een phishing mail trappen gaan ontslaan? Of de manager van die medewerker? Zeg mij maar wat redelijk is.
Dat is erg simplistisch gedacht en getuigt van erg weinig ervaring met dergelijke (vaak kolossale) instellingen.

De discussie of overheden elkaar moeten beboeten is altijd interessant, maar de AP is onafhankelijk binnen de overheid (of zou dit moeten zijn, getuige de budgettering is dat ook een discussiepunt). Zonder toezichthouder die vrijelijk kan handhaven ga je bij veel instellingen nog meer gepruts zien, want hoewel je naar een intrinsiek gemotiveerd bestuur wilt, is dat in veel gevallen nog reactief na handhaving of een flinke crisis.

Minder budget beschikbaar is ook geen argument, dat noemt men leergeld. Als het niet proportioneel is dan vechten de juristen het maar uit met de AP.

Niet eens met je stelling dus.

[AGee]

Brilsmurfffje schreef op donderdag 11 februari 2021 @ 10:20:
Zou je voor dit soort instellingen zoals ziekenhuis, universiteiten, woonstichtingen etc. niet beter de verantwoordelijke kunnen straffen ipv de instelling een grote boete opleggen, waarmee je de klanten indirect te kort doet? Door bijvoorbeeld de verantwoordelijke voor de IT de laan uit te sturen. Voor de grote bedrijven met miljoenen winst per jaar zijn de boetes, mits hoog genoeg, een prima middel om een bedrijf de juiste richting in te sturen, maar een ziekenhuis en consorten hebben hopelijk zelf ook nog altijd de motivatie om de beste zorg/dienst te bieden die er mogelijk is.

Dat zou impliceren dat het hoofd IT z'n werk niet goed gedaan heeft, maar als die door beleidskeuzes niet de juiste middelen heeft gekregen om z'n werk goed uit te voeren dan straf je de verkeerde.

In dit geval denk ik: You can't have your cake and eat it too. Als een bedrijf door winst gedreven wordt, dan zullen dergelijke beleidskeuzes daar ook door beinvloed worden en is het imho niet ongepast om die winst te drukken door boetes op te leggen. Dat die ziekenhuizen niet door winst gedreven zouden moeten worden ben ik het helemaal mee eens, maar zo lang het systeem zo is moeten we imho geen uitzonderingen gaan maken maar kunnen we beter goed nadenken over een aanpassing van het systeem.

[Brilsmurfffje]

Anoniem: 224360 schreef op donderdag 11 februari 2021 @ 10:27:
De instelling is de verantwoordelijke. De afdelingsmanager is de verantwoordelijke, niet 'de IT' of de CISO etc. De eerste lijn is verantwoordelijk. En die steeds afserveren is op bepaalde niveaus simpelweg onwenselijk. Of wil je medewerkers die in een phishing mail trappen gaan ontslaan? Of de manager van die medewerker? Zeg mij maar wat redelijk is.
Dat is erg simplistisch gedacht en getuigt van erg weinig ervaring met dergelijke (vaak kolossale) instellingen.

Ergens in de organisatie zitten dan dus mensen met of te weinig kennis van zaken of zijn gewoonweg incompetent om correct leiding te geven waardoor dit soort fouten erin sluipen. In een phishing mail trappen is een heel ander caliber dan kan je scharen onder het feit dat je als doorsnee medewerker mag verwachten dat de IT afdeling zorgt voor een veilig IT ecosysteem om jouw werkzaamheden in te verrichten.

De boetes die aan deze ziekenhuizen zijn opgelegd betreffende grove fouten in de implementatie van IT systemen, dit kan je wijten aan een hiaat in de kennis van de mensen die het landschap overdacht hebben.

De discussie of overheden elkaar moeten beboeten is altijd interessant, maar de AP is onafhankelijk binnen de overheid (of zou dit moeten zijn, getuige de budgettering is dat ook een discussiepunt). Zonder toezichthouder die vrijelijk kan handhaven ga je bij veel instellingen nog meer gepruts zien, want hoewel je naar een intrinsiek gemotiveerd bestuur wilt, is dat in veel gevallen nog reactief na handhaving of een flinke crisis.

Minder budget beschikbaar is ook geen argument, dat noemt men leergeld. Als het niet proportioneel is dan vechten de juristen het maar uit met de AP.

Ipv een boete en leergeld, want hier wordt enkel de overheid beter van, de gedupeerde zien geen enkele euro. Zou je ook de overheid als ouder kunnen laten optreden en de instelling de rol van het kind laten aanemen waardoor er vanuit de overheid gestuurd wordt op een verplichte structurele verandering zodat dit niet meer gebeurt. Dit is dan de straf ipv een boete. Hier ondervinden enkel de instellingen "last" van en levert geen nadelen op voor de klanten.

[Transportman]

Het is misschien geld rondpompen, maar het dwingt organisaties wel om er werk van te maken, want dat is voor die organisatie dan goedkoper dan de boete krijgen.

[Anoniem: 224360]

Brilsmurfffje schreef op donderdag 11 februari 2021 @ 10:39:
[...]


Ergens in de organisatie zitten dan dus mensen met of te weinig kennis van zaken of zijn gewoonweg incompetent om correct leiding te geven waardoor dit soort fouten erin sluipen. In een phishing mail trappen is een heel ander caliber dan kan je scharen onder het feit dat je als doorsnee medewerker mag verwachten dat de IT afdeling zorgt voor een veilig IT ecosysteem om jouw werkzaamheden in te verrichten.

De boetes die aan deze ziekenhuizen zijn opgelegd betreffende grove fouten in de implementatie van IT systemen, dit kan je wijten aan een hiaat in de kennis van de mensen die het landschap overdacht hebben.


[...]


Ipv een boete en leergeld, want hier wordt enkel de overheid beter van, de gedupeerde zien geen enkele euro. Zou je ook de overheid als ouder kunnen laten optreden en de instelling de rol van het kind laten aanemen waardoor er vanuit de overheid gestuurd wordt op een verplichte structurele verandering zodat dit niet meer gebeurt. Dit is dan de straf ipv een boete. Hier ondervinden enkel de instellingen "last" van en levert geen nadelen op voor de klanten.

Neen zo werkt leidinggeven niet. Je bent niet incompetent als mensen onder je fouten maken. Wat mag een medewerker verwachten van een IT-systeem? En wat mag een IT-afdeling verwachten van een gebruiker van het systeem? Dat loopt zelden synchroon. De gemiddelde medewerker is niet bezig met beveiliging of privacy, maar met z'n werk uitvoeren. Dat los je niet op door mensen te gaan ontslaan. Daarnaast kun je prima mensen die echt steken laten vallen ontslaan en gewoon als toezichthouder boetes uitdelen. Dat heeft vrij weinig met elkaar te maken en het een is dus ook geen alternatief voor het ander.

Hoe wordt de overheid hier beter van? Bij gepruts zijn er enkel verliezers. Sowieso helpt het niet om met woorden als 'de overheid' en 'gedupeerden' te schermen in een dergelijke discussie. Hier moet je zaken concreet bespreken wil je tot pijnpunten komen. De boete heeft juist als doel om te zorgen voor verplichte structurele verandering. De verplichting is er al in de vorm van bestaande wetgeving, die is niet goed nageleefd en daarom krijg je handhaving, nu in de vorm van een boete. Volgt de verandering niet, dan zal er meer handhaving plaatsvinden.

[YakuzA]

Brilsmurfffje schreef op donderdag 11 februari 2021 @ 10:20:
Recentelijk hebben een aantal ziekenhuizen een AVG boete gekregen wegens het schenden van de privacy regels.


[...]

nieuws: HagaZiekenhuis gaat in beroep tegen hoogte van AVG-boete


[...]

nieuws: OLVG-ziekenhuis Amsterdam krijgt AVG-boete van 440.000 euro voor slec...

Nu geven deze berichten mij een een rare nasmaak, het zijn instellingen die gefinancierd worden uit deels gemeenschapsgeld. Een boete van een slordige miljoen euro kunnen ze neem ik aan wel beter gebruiken dan voor het betalen van verkapte belasting. Je zou zelfs kunnen beargumenteren dat het voor deze instellingen door de boete juist moeilijker wordt om aan de AVG te voldoen omdat er minder budget beschikbaar is.

Nu hebben wij in Nederland ziekenhuizen helaas for profit ipv non-profit gemaakt, maar hoe je het went of keer, in het Nederlandse systeem kan een ziekenhuis kan nooit zoveel marge maken als bijv. een Ahold of Microsoft en consorten aangezien de prijzen die zij per behandeling mogen vragen vast staan.

Zou je voor dit soort instellingen zoals ziekenhuis, universiteiten, woonstichtingen etc. niet beter de verantwoordelijke kunnen straffen ipv de instelling een grote boete opleggen, waarmee je de klanten indirect te kort doet? Door bijvoorbeeld de verantwoordelijke voor de IT de laan uit te sturen. Voor de grote bedrijven met miljoenen winst per jaar zijn de boetes, mits hoog genoeg, een prima middel om een bedrijf de juiste richting in te sturen, maar een ziekenhuis en consorten hebben hopelijk zelf ook nog altijd de motivatie om de beste zorg/dienst te bieden die er mogelijk is.

Ik hoop dat dit een trigger is voor het management om toch maar die 460.000 euro in IT beveiliging te steken, ipv het risico te lopen dat je de boete krijgt.

[qadn]

Overigens, deze bedragen zijn ook niet echt hoog t.o.v. een beveiligingstraject.
Daar kan je net an 2 externen of 4 internen voor krijgen voor een jaar.

[SymbolicFrank]

Brilsmurfffje schreef op donderdag 11 februari 2021 @ 10:20:
Nu hebben wij in Nederland ziekenhuizen helaas for profit ipv non-profit gemaakt, maar hoe je het went of keer, in het Nederlandse systeem kan een ziekenhuis kan nooit zoveel marge maken als bijv. een Ahold of Microsoft en consorten aangezien de prijzen die zij per behandeling mogen vragen vast staan.

Zou je voor dit soort instellingen zoals ziekenhuis, universiteiten, woonstichtingen etc. niet beter de verantwoordelijke kunnen straffen ipv de instelling een grote boete opleggen, waarmee je de klanten indirect te kort doet? Door bijvoorbeeld de verantwoordelijke voor de IT de laan uit te sturen. Voor de grote bedrijven met miljoenen winst per jaar zijn de boetes, mits hoog genoeg, een prima middel om een bedrijf de juiste richting in te sturen, maar een ziekenhuis en consorten hebben hopelijk zelf ook nog altijd de motivatie om de beste zorg/dienst te bieden die er mogelijk is.

Tja. Het probleem is niet wie je gaat straffen, maar dat die instellingen geprivatiseerd zijn. Want dan moeten de klanten per definitie altijd voor de foute beslissingen opdraaien en kan de overheid zich niet meer bemoeien met de interne beslissingen.

Als je de personen wilt straffen, moet je ze eerst weer nationaliseren. Daarna gebeurt dat automatisch. Of niet, als we naar de toeslagaffaire kijken.

[ehtweak]

Maar boetes aan/van de (semi)overheid zijn toch uiteindelijk vestzak/broekzak. Het is dan uiteindelijk gewoon belastinggeld wat rondgepompt wordt... 🤔

Kunnen ze het niet beter omdraaien?
I.p.v. een enorm bedrag aan boete te betalen, dat ze verplicht zijn om minimaal die investering te doen in een betrouwbaarder en veiliger databeheer? Want dat moeten ze toch al doen, toch? En dat was nou de hele bedoeling van het onderzoek c.q. berisping; om te voorkomen dat het weer gebeurt.

Of is er daar dan geen geld meer voor?

[qadn]

ehtweak schreef op vrijdag 12 februari 2021 @ 09:25:
Maar boetes aan/van de (semi)overheid zijn toch uiteindelijk vestzak/broekzak. Het is dan uiteindelijk gewoon belastinggeld wat rondgepompt wordt... 🤔

Nou nee, de organisatie die beboet wordt merkt dat wel. Dus dat is op zich prima.
Het is niet alsof ze dan opeens meer geld krijgen van centraal.

[ehtweak]

qadn schreef op vrijdag 12 februari 2021 @ 10:08:
[...]

Nou nee, de organisatie die beboet wordt merkt dat wel. Dus dat is op zich prima.
Het is niet alsof ze dan opeens meer geld krijgen van centraal.

Uiteraard merken ze dat.

Maar geld kun je maar één keer uitgeven. M.a.w. als er tonnen aan boete betaald worden, en de inkomende kasstroom wordt niet verhoogd, komen ze ergens anders tonnen tekort.
En dan is het probleem nog steeds niet opgelost.

Hooguit dat een jaar later er medewerkers, die het echte werk moeten doen, ontslagen worden, omdat er bezuinigd moet worden.
Je zult zelden tot nooit zien dat er managers (een paar topmanagers zijn al gauw goed voor ettelijke tonnen), moeten afvloeien en niet vervangen worden.

[Hackus]

Zeker nu met het hele Corona, geeft het mij ook een nare smaak. Het personeel wat zomaar dossiers opzoekt is niet gewenst natuurlijk, maar deze boetes ook niet.

[qadn]

Maar wat moet je dan? Het is het enige middel wat je hebt.
Het goed voor de privacy zorgen is namelijk al verplicht (anders waren er geen boetes).

[Brilsmurfffje]

qadn schreef op vrijdag 12 februari 2021 @ 10:47:
Maar wat moet je dan? Het is het enige middel wat je hebt.
Het goed voor de privacy zorgen is namelijk al verplicht (anders waren er geen boetes).

Of moet je als overheid 1 centraal systeem faciliteren naar de gebruikers zorginstellingen toe? Een beetje zoals Microsoft productiviteit software levert voor bedrijven.

[SymbolicFrank]

Brilsmurfffje schreef op vrijdag 12 februari 2021 @ 13:31:
Of moet je als overheid 1 centraal systeem faciliteren naar de gebruikers zorginstellingen toe? Een beetje zoals Microsoft productiviteit software levert voor bedrijven.

Die vraag moet je bij de verzekeraars leggen, die gaan daar over.

[qadn]

Brilsmurfffje schreef op vrijdag 12 februari 2021 @ 13:31:
[...]


Of moet je als overheid 1 centraal systeem faciliteren naar de gebruikers zorginstellingen toe? Een beetje zoals Microsoft productiviteit software levert voor bedrijven.

Dat is wel een super-complex geval wat via publieke aanbesteding moet.
Daar hebben we niet de beste ervaringen mee.

Kijk, als er één (veilig) IT-keurslijf gemaakt wordt waar iedereen aan mee moet doen is het wel OK, maar dit is iets waar we over gaan polderen. Voor elk ziekenhuis is het ook heel belangrijk dat ze hun primaire process er niet voor moeten aanpassen / afstemmen.

[SymbolicFrank]

Zeker in de gezondheidszorg heb je heel veel apparatuur waar een computer aan hangt of met een embedded pc, die je niet kunt upgraden. De fabrikanten maken vaak hoogstens eenmalig een paar bugfixes. Schrik niet als je daar bijvoorbeeld een opstartscherm van Windows 98 Embedded tegenkomt, naast een machine van een paar ton.