Vragen van de leden Emiel van Dijk en Van Meetelen (beiden PVV) aan de Minister van Volksgezondheid, Welzijn en Sport en de Staatssecretaris van Economische Zaken en Klimaat over het bericht «113.nl: structurele privacy schending in digitale zorgverlening» dat 12 mei 2026 verscheen op het onafhankelijke security & privacy journalistiek platform «Hackedemia» (ingezonden 22 juni 2026).

Antwoord van Minister Hermans (Volksgezondheid, Welzijn en Sport) (ontvangen 26 augustus 2026).

Vraag 1

Bent u bekend met het bericht «113.nl: structurele privacy schending in digitale zorgverlening» dat 12 mei 2026 verscheen op het onafhankelijke security & privacy journalistiek platform «Hackedemia», dat breed in de media, zoals BNR en Hart van Nederland, werd overgenomen?¹

Antwoord 1

Ja.

Vraag 2 en 3

Bent u bekend met het gegeven dat 113.nl werkte met een session-recording- en heatmaptool, fingerprinting- en trackingtools?

Bent u bekend met het gegeven dat enkele van deze tools niet vermeld stonden in het cookiebeleid, DPIA’s (Data Protection Impact Assessment) ontbraken en de opgehaalde data werd uitgestuurd naar derden?

Antwoord 2 en 3

Het kabinet heeft hiervan kennisgenomen door het bericht van Hackedemia.nl.

Vraag 4

Wat is uw reactie op de bevindingen dat een kwetsbare groep, verkerend in acute psychische nood, op dergelijke wijze werd blootgesteld aan privacyschendingen?

Antwoord 4

Het kabinet vindt het belangrijk dat persoonsgegevens op een veilige en rechtmatige manier worden verwerkt. Mensen die contact zoeken met 113 zitten in een bijzonder kwetsbare positie en moeten erop kunnen vertrouwen dat hun gegevens veilig zijn. Om dergelijke medische gegevens te beschermen is de NEN 7510 norm (informatiebeveiliging in de zorg) verplicht gesteld voor alle zorgaanbieders. Stichting 113 Zelfmoordpreventie werkt in overeenstemming met deze norm.

Het onderzoek uit het artikel van Hackemedia heeft uitgewezen dat Stichting 113 niet op de voorgeschreven manier gegevens verwerkte. Uit de update van hetzelfde artikel blijkt dat Stichting 113 Zelfmoordpreventie op een manier heeft gereageerd die door de onderzoekers als adequaat wordt aangeduid, en de onderzoekers bedanken Stichting 113 Zelfmoordpreventie voor de voortvarendheid in oppakken van de bevindingen van de onderzoekers.

Daarnaast heeft Stichting 113 laten weten dat de bevindingen van Hackedemia uitsluitend toezagen op de wijze waarop technische gegevens, waaronder cookiegegevens, werden verwerkt bij het bezoek aan de website van Stichting 113. Deze gegevens kunnen inderdaad worden aangemerkt als persoonsgegevens. De bevindingen hadden echter geen betrekking op de inhoudelijke behandeling van hulpvragen of op de vertrouwelijkheid van contacten tussen hulpzoekers en Stichting 113. Er zijn geen aanwijzingen dat chatgesprekken, telefonische contacten of andere vormen van hulpverlening zijn gecompromitteerd of voor onbevoegden toegankelijk zijn geweest. Dergelijke inhoudelijke hulpverleningsgegevens worden niet gedeeld met derden.

Voor zover Hackedemia de verwerking van persoonsgegevens door Stichting 113 heeft onderzocht, beperkte dat onderzoek zich tot gegevensverwerkingen die plaatsvinden in het kader van het gebruik van de website en niet tot de kern van de hulpverlening door Stichting 113. De bevindingen van Hackedemia zijn volgens Stichting 113 desondanks uiterst serieus genomen.

Vraag 5

Is bekend bij welke zorgorganisaties dit probleem nog meer voorkomt? Zo nee, wat gaat u er concreet aan doen om hier een landsdekkend overzicht van te verkrijgen?

Antwoord 5

Het gebruik van dergelijke techniek is onderworpen aan regels die hoofdzakelijk in de telecommunicatiewet zijn opgenomen. Het toezicht op de naleving van deze regels is belegd bij onafhankelijke toezichthouders. Een overzicht waar en in welke mate dit probleem verder voorkomt is niet bekend bij het kabinet. Het kabinet onderschrijft echter het belang ervan om deze problematiek onder de aandacht te brengen bij de relevante toezichthouders en zal dan ook de bevindingen van de onderzoeker bij hen onder de aandacht brengen.

Vraag 6

Hoe denkt u het vertrouwen in die organisatie en soortgelijke organisaties te herstellen en te voorkomen dat mensen in nood niet meer durven bellen?

Antwoord 6

Met haar reactie op het trackingonderzoek van Hackedemia heeft Stichting 113 Zelfmoordpreventie op dat punt onmiskenbaar een stap gezet om het vertrouwen te bevorderen.

Vraag 7

Bent u het eens met de stelling dat 113 snel en adequaat heeft gehandeld en ziet u mogelijkheden om de uit deze casus voortgekomen controlelijst (checklist) als standaard te handhaven? Graag een onderbouwing van uw beantwoording.

Antwoord 7

Met de stelling is het kabinet het eens. Wat betreft de controlelijst stelt het kabinet vast dat deze is toegesneden op een concreet onderzoek. Het kabinet onderschrijft uiteraard het belang dat wettelijke kaders worden nageleefd. Op welke manier dat wordt geborgd, is in de eerste plaats aan verwerkingsverantwoordelijken zelf. De beoordeling daarvan is aan de onafhankelijke toezichthouders.

Vraag 8

Welke stappen gaat u ondernemen om dergelijke privacyschendingen in de zorgsector in de toekomst effectief te voorkomen?

Antwoord 8

Het is aan de zorgorganisaties zelf om te voldoen aan de geldende wet -en regelgeving. Toezicht op de naleving en de handhaving van deze geldende normen liggen bij de Autoriteit Persoonsgegevens en Autoriteit Consument en Markt.

Om privacy schendingen in de zorgsector te voorkomen is de NEN 7510 norm verplicht gesteld in de wet. Daarmee zijn er – bovenop de regels die de Algemene Verordening Gegevensbescherming (AVG) en de Telecommunicatiewet stellen – al regels om privacy schendingen in de zorgsector te voorkomen.

---

1 Hackedemia, 12 mei 2026, «113.nl: structurele privacyschending in digitale zorgverlening» (113.nl: structurele privacyschending in digitale zorgverlening – Hackedemia).