DaVita's schikking van $15 miljoen na datalek: slechts $6 per patiënt

DaVita, een van de grootste dialyseaanbieders in de Verenigde Staten, heeft ingestemd met het betalen van maximaal $15 miljoen om een collectieve rechtszaak te schikken die voortkwam uit een ransomware-aanval die het bedrijf in april 2025 trof. Het datalek trof naar schatting 2,4 miljoen dialysepatiënten, waardoor het een van de grotere cybersecurity-incidenten in de zorgsector van het afgelopen jaar is. Hoewel de schikking een einde maakt aan de rechtszaak, roept het ook een prangende vraag op die patiënten en privacyvoorvechters steeds vaker stellen: is een dergelijke uitkering eigenlijk wel evenredig aan de omvang van de schade die aan miljoenen mensen is toegebracht?

Wat gebeurde er bij het DaVita-ransomware-datalek

In april 2025 maakte DaVita bekend dat het was getroffen door een ransomware-aanval. Bij ransomware-incidenten versleutelen of exfiltreren aanvallers doorgaans gevoelige gegevens en eisen ze vervolgens betaling, vaak met de dreiging gestolen bestanden te lekken als de getroffen organisatie weigert. In het geval van DaVita strekte de nasleep zich uit tot 2,4 miljoen patiënten van wie persoonlijke en gezondheidsgerelateerde informatie naar verluidt was blootgesteld als onderdeel van het incident.

Na het datalek dienden getroffen patiënten een collectieve rechtszaak in tegen DaVita, waarin zij stelden dat het bedrijf hun gevoelige gegevens niet adequaat had beschermd. In plaats van de zaak voor de rechter te brengen, stemde DaVita in met een schikking ter waarde van maximaal $15 miljoen, waarmee de claims werden opgelost zonder erkenning van wangedrag. Dit is het patroon dat de meeste rechtszaken over grootschalige datalekken volgen: een onderhandelde schikking die een deel van de getroffen personen compenseert terwijl het bedrijf een langdurige rechtszaak vermijdt.

Waarom $15 miljoen niet in verhouding staat tot de schade aan 2,4 miljoen patiënten

Reken de cijfers uit en de uitkomsten worden snel ongemakkelijk. Gelijkmatig verdeeld over alle 2,4 miljoen patiënten komt een schikkingsfonds van $15 miljoen neer op ongeveer $6 per persoon, voordat advocatenkosten, administratieve kosten en claimsverwerking er zelfs maar vanaf zijn. In de praktijk zullen de meeste leden van de groep niets in de buurt van dat bedrag zien, omdat deze fondsen doorgaans alleen worden uitgekeerd aan degenen die een claim indienen, en uitkeringen vaak verder worden verlaagd als het aantal claimers hoog is ten opzichte van het schikkingsfonds.

Die kloof tussen schikkingsdollars en patiëntenschade is het echte verhaal hier. Een datalek met dialysepatiënten is niet vergelijkbaar met een datalek met bijvoorbeeld loyaliteitsprogrammagegevens van een winkel. Dialysepatiënten beheren een chronische, levensonderhoudende medische aandoening, en de informatie die bij een ransomware-aanval in de zorg wordt blootgesteld, kan diagnosedetails, behandelgeschiedenissen, verzekeringsinformatie en andere gegevens omvatten die blijvende waarde hebben voor identiteitsdieven en oplichters. Zodra die informatie is gestolen, kan deze niet worden gereset zoals een wachtwoord. Een schikkingscheque, hoe welkom ook, maakt de blootstelling van iemands lopende medische relatie met een dialysekliniek niet ongedaan.

Een groeiend patroon van ransomware gericht op kwetsbare patiëntengroepen

Het datalek bij DaVita is geen op zichzelf staande gebeurtenis. Zorgorganisaties zijn een favoriet doelwit geworden voor ransomwaregroepen, juist omdat zij grote hoeveelheden gevoelige gegevens bevatten en in veel gevallen onder druk staan om de bedrijfsvoering snel te herstellen gezien de medische belangen. Recente incidenten die patiëntenpopulaties van vergelijkbare of grotere omvang troffen, zijn onder meer het Kettering Health-datalek, dat bijna 1,7 miljoen mensen trof, en het DentaQuest-datalek, dat ongeveer 15 miljoen tandheelkundige- en visuele zorgpatiënten trof.

Dit zijn geen losstaande krantenkoppen. Ze weerspiegelen een systeemkwetsbaarheid in de hele zorgsector, waar verouderde systemen, externe leveranciers en de enorme hoeveelheid opgeslagen patiëntgegevens een aantrekkelijk en vaak onvoldoende verdedigd doelwit vormen. Zoals gedetailleerd beschreven in de berichtgeving over de Black Hat- en HIMSS-cyberbeveiligingstop voor de zorg, hebben onderzoekers vastgesteld dat ransomware-aanvallen op ziekenhuizen en zorgverleners verder gaan dan diefstal van gegevens. Wanneer systemen uitvallen, kan de patiëntenzorg zelf worden verstoord, waardoor een cybersecurity-incident een potentieel veiligheidsprobleem wordt. De zaak van DaVita, met dialysepatiënten die afhankelijk zijn van continue, geplande zorg, valt precies binnen die zorg.

Wat dit voor u betekent

Als u een DaVita-patiënt bent, zal de schikking zelf waarschijnlijk niet veel veranderen aan uw dagelijkse risicoblootstelling. De echte vraag is wat er met uw gegevens gebeurt nu ze zijn blootgesteld, en welke beschermende stappen in de toekomst zinvol zijn. Schikkingsfondsen zijn bedoeld om enige compensatie te bieden voor gedocumenteerde verliezen, maar ze zijn geen vervanging voor het actief controleren van uw accounts en persoonlijke informatie.

De bredere les reikt verder dan DaVita. Iedereen die zorg ontvangt van een grote zorgverlener, verzekeraar of uitkeringsbeheerder moet ervan uitgaan dat hun gegevens uiteindelijk betrokken kunnen raken bij een datalekmelding, gezien hoe vaak deze incidenten nu in de hele sector voorkomen, zoals blijkt uit gevallen als het NYC Health + Hospitals-datalek dat meer dan een miljoen patiënten trof.

Praktische stappen voor DaVita-patiënten

Patiënten die getroffen zijn door het DaVita-datalek moeten een aantal concrete stappen ondernemen. Controleer ten eerste op officiële datalekmeldingsbrieven en instructies voor het indienen van schikkingsclaims rechtstreeks van DaVita of de door de rechtbank aangestelde schikkingsbeheerder, en wees op uw hoede voor ongevraagde e-mails of telefoontjes die beweren verband te houden met de schikking, aangezien dergelijke schikkingen een veelvoorkomend lokaas voor phishing zijn. Controleer ten tweede verzekeringsoverzichten en medische facturen nauwkeurig op onbekende kosten of diensten, die kunnen wijzen op medische identiteitsdiefstal. Overweeg ten derde om een fraudealert of kredietbevriezing bij de grote kredietbureaus te plaatsen, vooral als het datalek burgerservicenummers of verzekeringsidentificatoren heeft blootgesteld. Controleer ten slotte de kredietbewakingsdiensten die als onderdeel van de schikking worden aangeboden en schrijf u in indien u in aanmerking komt, ook al pakken deze diensten slechts een deel van het risico aan.

De schikking na het DaVita-datalek sluit één hoofdstuk van dit incident af, maar voor de 2,4 miljoen getroffen patiënten is het praktische werk van het beschermen van persoonlijke en medische informatie nog gaande. Alert blijven op ongebruikelijke accountactiviteit, communicatie verifiëren voordat u op links klikt, en gebruikmaken van eventuele aangeboden bewakingsdiensten zijn de meest effectieve stappen die patiënten op dit moment kunnen nemen.