Antwoord schriftelijke vragen : Antwoord op vragen van de leden Emiel van Dijk en Van Meetelen over het bericht '113.nl: structurele privacy schending in digitale zorgverlening' dat 12 mei 2026 verscheen op het onafhankelijke security & privacy journalistiek platform 'Hackedemia'

Antwoord van Minister Hermans (Volksgezondheid, Welzijn en Sport) (ontvangen 26 augustus
2026).

Vraag 1

Bent u bekend met het bericht «113.nl: structurele privacy schending in digitale zorgverlening»
dat 12 mei 2026 verscheen op het onafhankelijke security & privacy journalistiek platform
«Hackedemia», dat breed in de media, zoals BNR en Hart van Nederland, werd overgenomen?1

Antwoord 1

Ja.

Vraag 2 en 3

Bent u bekend met het gegeven dat 113.nl werkte met een session-recording- en heatmaptool,
fingerprinting- en trackingtools?

Bent u bekend met het gegeven dat enkele van deze tools niet vermeld stonden in het
cookiebeleid, DPIA’s (Data Protection Impact Assessment) ontbraken en de opgehaalde
data werd uitgestuurd naar derden?

Antwoord 2 en 3

Het kabinet heeft hiervan kennisgenomen door het bericht van Hackedemia.nl.

Vraag 4

Wat is uw reactie op de bevindingen dat een kwetsbare groep, verkerend in acute psychische
nood, op dergelijke wijze werd blootgesteld aan privacyschendingen?

Antwoord 4

Het kabinet vindt het belangrijk dat persoonsgegevens op een veilige en rechtmatige
manier worden verwerkt. Mensen die contact zoeken met 113 zitten in een bijzonder
kwetsbare positie en moeten erop kunnen vertrouwen dat hun gegevens veilig zijn. Om
dergelijke medische gegevens te beschermen is de NEN 7510 norm (informatiebeveiliging
in de zorg) verplicht gesteld voor alle zorgaanbieders. Stichting 113 Zelfmoordpreventie
werkt in overeenstemming met deze norm.

Het onderzoek uit het artikel van Hackemedia heeft uitgewezen dat Stichting 113 niet
op de voorgeschreven manier gegevens verwerkte. Uit de update van hetzelfde artikel
blijkt dat Stichting 113 Zelfmoordpreventie op een manier heeft gereageerd die door
de onderzoekers als adequaat wordt aangeduid, en de onderzoekers bedanken Stichting
113 Zelfmoordpreventie voor de voortvarendheid in oppakken van de bevindingen van
de onderzoekers.

Daarnaast heeft Stichting 113 laten weten dat de bevindingen van Hackedemia uitsluitend
toezagen op de wijze waarop technische gegevens, waaronder cookiegegevens, werden
verwerkt bij het bezoek aan de website van Stichting 113. Deze gegevens kunnen inderdaad
worden aangemerkt als persoonsgegevens. De bevindingen hadden echter geen betrekking
op de inhoudelijke behandeling van hulpvragen of op de vertrouwelijkheid van contacten
tussen hulpzoekers en Stichting 113. Er zijn geen aanwijzingen dat chatgesprekken,
telefonische contacten of andere vormen van hulpverlening zijn gecompromitteerd of
voor onbevoegden toegankelijk zijn geweest. Dergelijke inhoudelijke hulpverleningsgegevens
worden niet gedeeld met derden.

Voor zover Hackedemia de verwerking van persoonsgegevens door Stichting 113 heeft
onderzocht, beperkte dat onderzoek zich tot gegevensverwerkingen die plaatsvinden
in het kader van het gebruik van de website en niet tot de kern van de hulpverlening
door Stichting 113. De bevindingen van Hackedemia zijn volgens Stichting 113 desondanks
uiterst serieus genomen.

Vraag 5

Is bekend bij welke zorgorganisaties dit probleem nog meer voorkomt? Zo nee, wat gaat
u er concreet aan doen om hier een landsdekkend overzicht van te verkrijgen?

Antwoord 5

Het gebruik van dergelijke techniek is onderworpen aan regels die hoofdzakelijk in
de telecommunicatiewet zijn opgenomen. Het toezicht op de naleving van deze regels
is belegd bij onafhankelijke toezichthouders. Een overzicht waar en in welke mate
dit probleem verder voorkomt is niet bekend bij het kabinet. Het kabinet onderschrijft
echter het belang ervan om deze problematiek onder de aandacht te brengen bij de relevante
toezichthouders en zal dan ook de bevindingen van de onderzoeker bij hen onder de
aandacht brengen.

Vraag 6

Hoe denkt u het vertrouwen in die organisatie en soortgelijke organisaties te herstellen
en te voorkomen dat mensen in nood niet meer durven bellen?

Antwoord 6

Met haar reactie op het trackingonderzoek van Hackedemia heeft Stichting 113 Zelfmoordpreventie
op dat punt onmiskenbaar een stap gezet om het vertrouwen te bevorderen.

Vraag 7

Bent u het eens met de stelling dat 113 snel en adequaat heeft gehandeld en ziet u
mogelijkheden om de uit deze casus voortgekomen controlelijst (checklist) als standaard
te handhaven? Graag een onderbouwing van uw beantwoording.

Antwoord 7

Met de stelling is het kabinet het eens. Wat betreft de controlelijst stelt het kabinet
vast dat deze is toegesneden op een concreet onderzoek. Het kabinet onderschrijft
uiteraard het belang dat wettelijke kaders worden nageleefd. Op welke manier dat wordt
geborgd, is in de eerste plaats aan verwerkingsverantwoordelijken zelf. De beoordeling
daarvan is aan de onafhankelijke toezichthouders.

Vraag 8

Welke stappen gaat u ondernemen om dergelijke privacyschendingen in de zorgsector
in de toekomst effectief te voorkomen?

Antwoord 8

Het is aan de zorgorganisaties zelf om te voldoen aan de geldende wet -en regelgeving.
Toezicht op de naleving en de handhaving van deze geldende normen liggen bij de Autoriteit
Persoonsgegevens en Autoriteit Consument en Markt.

Om privacy schendingen in de zorgsector te voorkomen is de NEN 7510 norm verplicht
gesteld in de wet. Daarmee zijn er – bovenop de regels die de Algemene Verordening
Gegevensbescherming (AVG) en de Telecommunicatiewet stellen – al regels om privacy
schendingen in de zorgsector te voorkomen.