Softwarebedrijf schond jarenlang medisch beroepsgeheim zeker 72.000 Nederlanders

Follow the Money stelt na eigen onderzoek dat het Nederlandse zorg-ict-bedrijf Medworq jarenlang het beroepsgeheim van zeker 35 huisartsen schond door dossiers van minstens 72.000 Nederlanders onversleuteld en niet gepseudonimiseerd in huis te hebben, met toegang voor velen, inclusief farmabedrijven.

Medworq zou de data bemachtigd hebben via verschillende wegen. Hoofdzakelijk ging dat via het zogenaamde Insider-dashboard voor huisartsen, ontwikkeld door Medworq. Dat kunnen huisartsen gebruiken om hun patiëntendata te vergelijken met die van soortgelijke gevallen bij andere praktijken. Dit ten doelen van het beter diagnosticeren van de patiënten, wat zorg efficiënter en goedkoper maakt. Onduidelijk is hoeveel praktijken dit systeem gebruiken. Patiëntendossiers zijn onder de wet zeer streng beschermd.

Kopieën van patiëntendata waren naar aanleiding van het gebruik van dit systeem aanwezig bij het softwarebedrijf. Deze was volgens onderzoek van Follow the Money, interne documenten en verklaringen van oud-werknemers niet gepseudonimiseerd. De directie van Medworq spreekt dat tegen. Ook beweren ze dat in de vroege zomer van 2020 alle gegevens vernietigd zijn. Het bedrijf is nu nagenoeg failliet.

Een belangrijke bron van Follow the Money is een klokkenluider. Die benaderde het medium met een harde schijf van het bedrijf in zijn bezit. Daarop stond een kopie van de data die Medworq op een werklaptop had staan, alsmede interne documenten van het bedrijf. De klokkenluider wilde wat doen aan de ‘grote schaal waarop de privacy van patiënten werd geschonden’ bij Medworq. Een developer schreef in een interne memo dat de servers van Medworq ‘vol stonden met echte medische dossiers, waarvan niemand meer wist waar die vandaan kwamen’.

Niet alleen binnen Medworq was de data schijnbaar vrij toegankelijk voor veel, zo niet alle, werknemers. Financierders en opdrachtgevers van de Insider-software konden er ook bij. Farmagigant GlaxoSmithKline was daarvan de grootste, maar onder andere de farmabedrijven Amgen, NovoNordisk en Boehringer Ingelheim stonden ook in dat rijtje. Allemaal hadden ze Insider-gebruikersaccounts. GSK was ‘met stip’ de grootste financierder en heeft op enig moment een kopie van Medworqs complete database meegenomen.

Voordat de klokkenluider bij FTM aanklopte, ging deze persoon, tevergeefs, eerst naar het ministerie van Volksgezondheid, de Militaire Inlichtingen- en Veiligheidsdienst en de politie. Waarom de Autoriteit Persoonsgegevens niet in dat rijtje staat, is niet duidelijk.

Het klokkenluiden vormt op zichzelf ook een datalek. Daarover is Medworq op de hoogte gesteld dankzij een telefoontje van de MIVD. Medworq deed meteen aangifte van diefstal. De werknemer in kwestie vertrok in 2019 en in 2020 werd Medworq op de hoogte gesteld van het datalek dat de klokkenluider vormde. Wat precies de motivatie van de MIVD in deze zaak was, is niet duidelijk. Medworq claimt verder de getroffen huisartsenpraktijken op de hoogte gesteld te hebben, maar navraag van FTM wijst uit dat geen van de 35 bij hun bekende getroffen huisartsen dan wel praktijken gecontact zijn door Medworq.

Medworq distantieert zich van het artikel van FTM en stelt dat ‘geen goed beeld wordt geschetst van hoe Medworq met persoonlijke gegevens van patiënten omging’. Het onderzoeksverslag van FTM is zeer omvangrijk en het medium heeft om het verhaal beter inzichtelijk te maken, ook een video ervan gemaakt. FTM werkt ook aan deel twee van dit verhaal, waarin ze vertellen ‘hoe Medworq miljoenen kreeg om in opdracht van farmabedrijven een medische dataverzameling aan te leggen – en wat er vervolgens gebeurde’.

In deze video vat Follow the Money dit omvangrijke verhaal zelf kort samen