Uw leverancier bepaalt wanneer uw 72 uur ingaat

Honderd dagen tussen de inbraak en het besluit

Op 30 juli 2026 vielen de eerste brieven op de mat. Daarin stond dat naam, adres, geboortedatum, sofinummer, rijbewijs, officiële identiteitsdocumenten, bankgegevens, kaartnummers en medische dossiers mogelijk waren buitgemaakt. Bij sommige van die mensen omvatten de gestolen kaartgegevens ook de beveiligingscode op de achterkant. De afzender was CareCloud, een leverancier van zorgsoftware wiens systemen dossiers bewaren namens medische praktijken.

De inbraak was in maart. Aanvallers zaten tussen 10 en 16 maart 2026 in een van de zes omgevingen met elektronische patiëntendossiers van CareCloud, gehost bij Amazon Web Services. De omgeving raakte op 16 maart verstoord en werd diezelfde avond hersteld. Het bedrijf maakte het incident eind die maand openbaar, met de kanttekening dat het onderzoek naar wat er werkelijk was benaderd nog liep.

Dat onderzoek kwam op 24 juni tot zijn conclusie, toen CareCloud vaststelde dat persoonlijke, financiële en medische gegevens waren gecompromitteerd. Van 16 maart tot 24 juni zijn dat precies honderd dagen. Tot de eerste brieven zijn het er honderdzesendertig.

De termijn begint niet waar u aanneemt

De Amerikaanse meldplicht in de zorg draait om een termijn van zestig dagen: betrokkenen informeren zonder onredelijke vertraging en uiterlijk zestig kalenderdagen na de ontdekking van een inbreuk. Letterlijk gelezen klinkt ontdekking als de dag waarop u merkt dat er bij u is ingebroken, hier 16 maart. Volgens die lezing zijn de brieven ruim twee maanden te laat.

De lezing waarmee dit tijdpad klopt, is een andere. Die vat ontdekking op als de dag waarop het onderzoek concludeert dat beschermde gegevens daadwerkelijk betrokken waren, dus 24 juni. Tel daar zestig dagen bij op en brieven van 30 juli vallen ruim binnen het venster. Op die lezing steunt de praktijk breed, en daarom valt dit tijdpad te verdedigen in elke staat waar CareCloud melding deed, waaronder Californië, Massachusetts, New Hampshire, Texas en Maine.

Welke lezing ook juist is, let op wat de tweede doet. Zij maakt het beginmoment van de termijn tot een uitkomst van het onderzoek, en geen enkele regel stelt een deadline aan het afronden van een onderzoek. Een plicht die begint wanneer u besluit dat zij begint, is een plicht waarvan u de timing beheerst.

Europa schreef de regel andersom

Artikel 33 van de AVG verplicht de verwerkingsverantwoordelijke een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en zo mogelijk binnen 72 uur na kennisname te melden aan de toezichthoudende autoriteit. Kennisname is niet het afronden van een forensisch rapport. Het is het punt waarop er een redelijke mate van zekerheid bestaat dat een beveiligingsincident persoonsgegevens heeft getroffen, en dat punt komt vrijwel altijd ruim voordat u weet van wie de gegevens waren en hoeveel.

De wetgever voorzag precies het gat waarin CareCloud honderd dagen doorbracht. Artikel 33 lid 4 bepaalt dat informatie die niet in een keer beschikbaar is, in stappen mag worden verstrekt zonder verdere onredelijke vertraging. De ontwerpaanname is dat u meldt terwijl u nog in het duister tast en aanvult naarmate u meer leert. Het Amerikaanse model laat u wachten tot u het weet; het Europese model draagt u op te melden voordat u het weet en te blijven melden.

Het gevolg voor een ondernemer is allerminst abstract. Hetzelfde incident, op dezelfde infrastructuur, levert aan de ene kant van de oceaan een melding binnen 72 uur op en aan de andere kant een vaststelling na honderd dagen. Als de reflexen van uw leverancier op het tweede tijdschema zijn gevormd, zitten juist die reflexen nu tussen u en uw eigen deadline.

Het beeld groeide terwijl de termijn werd uitgesteld

Het uitstellen van het beginmoment zou minder zwaar wegen als het vroege verhaal overeind was gebleven. Dat bleef het niet. De eigen beschrijving van CareCloud in maart begrootte de onbevoegde toegang op ongeveer acht uur op 16 maart, beperkt tot een enkele omgeving en zonder andere bedrijfssystemen. Latere meldingen aan de staten beschrijven aanvallers die van 10 tot 16 maart in die omgeving zaten, dus zes dagen in plaats van acht uur.

Ook de getroffen groep groeide. Meldingen noemen minstens 345.000 mensen, later is over meer dan 350.000 bericht, en nieuwe indieningen zullen het getal opnieuw verschuiven. Het bedrijf heeft verklaard dat een aanvaller beweerde gegevens uit zijn databanken te hebben weggesluisd, dat externe specialisten de omgeving hebben beveiligd en bevestigden dat er geen blijvende onbevoegde toegang resteerde, en dat er geen aanwijzingen zijn dat de gestolen gegevens zijn misbruikt. Bestuursvoorzitter Stephen Snyder wilde niet reageren toen journalisten hem benaderden.

Elk van die herzieningen ging dezelfde kant op, en elk kwam na het eerste openbare verhaal. Een onderzoek dat zijn eigen schatting nog steeds opschroeft, is geen reden om betrokkenen te laten wachten. Het is juist de reden om hen vroeg te informeren en in het openbaar naar boven bij te stellen.

Het ontbrekende getal hoort in uw contract

Verwerkt een leverancier persoonsgegevens namens u, dan bent u de verwerkingsverantwoordelijke en zijn die 72 uur van u. Artikel 33 lid 2 verplicht de verwerker de verantwoordelijke zonder onredelijke vertraging te informeren, en hangt daar geen cijfer aan. Artikel 28 eist dat uw contract de verwerker bindt om u bij uw verplichtingen uit artikel 33 bij te staan. Tussen die twee bepalingen zit een gat in de vorm van een getal, en vult u dat niet, dan erft u het tijdschema dat de toezichthouder van uw leverancier toelaat.

Vul het met twee bepalingen in plaats van een. De eerste stelt een vaste termijn in uren, gerekend vanaf het moment dat de leverancier een beveiligingsincident vaststelt in een omgeving met uw gegevens, en niet vanaf het moment dat hij bepaalt welke gegevens betrokken waren, want juist dat tweede moment kent geen deadline. De tweede geeft u recht op de feiten zodra ze bekend worden, inclusief de geraakte omgevingen, het toegangsvenster en de categorieën die risico lopen, in plaats van op een enkel afgerond rapport aan het eind.

Beproef het daarna zoals u een back-up beproeft. Vraag uw drie grootste verwerkers schriftelijk wanneer zij voor het laatst een beveiligingsincident hadden in een omgeving met uw gegevens, op welke datum zij het vaststelden en op welke datum zij een klant informeerden. Een leverancier die die twee data op verzoek niet uit elkaar kan houden, houdt ze onder druk evenmin uit elkaar. In Nederland komt de melding bij de Autoriteit Persoonsgegevens terecht, en die toezichthouder vraagt aan u, niet aan uw leverancier, waarom zij te laat was.

Lees hierna: Een cookieklacht uit 2021 is terug  |  Vier Amerikaanse clouds vallen nu onder Brits toezicht