Het COVID-19 vaccinatie informatie- en monitoringsysteem (CIMS) speelt een belangrijke rol bij de registratie van het vaccinatieprogramma van het coronavaccin. Het landelijke systeem verwerkt een groot aantal persoonsgegevens van burgers die zich laten inenten. Om die reden en vanwege eerder gesignaleerde beveiligingsrisico’s bij het Europese Medicijnagentschap, wordt het centrale registratiesysteem ‘volgens de strengste normen van de rijksoverheid’ ingericht.
Dat schrijft minister van Volksgezondheid, Welzijn en Sport Hugo de Jonge in een brief aan de Tweede Kamer.
Minister: ‘CIMS onmisbaar bij bestrijding coronavirus’
Nederland staat op het punt om de eerste mensen tegen het coronavirus in te enten. Aanvankelijk stond dit gepland voor vrijdag 8 januari, maar onder druk van de zorgsector heeft minister De Jonge vervroegd naar woensdag 6 januari. Zorgmedewerkers van verpleeghuizen, kleinschalige woonvormen, gehandicaptenzorg en wijkverpleging zijn als eerste aan de beurt. Bewoners van verpleeghuizen en mensen met een verstandelijke beperking die in een instelling wonen mogen zich daarna laten vaccineren. Daarna volgen zorgmedewerkers in de acute zorg in ziekenhuizen, zestig-plussers met een medische indicatie, mensen van 18 tot 60 jaar zonder medische indicatie en overige zorgmedewerkers.
Centrale registratie bij het COVID-19 vaccinatieprogramma speelt volgens minister De Jonge een belangrijke rol bij de bestrijding van de coronapandemie. Voor dat doeleinde heeft hij het COVID-19 vaccinatie informatie- en monitoringsysteem (CIMS) laten ontwikkelen. Met dit centrale registratiesysteem wil de minister op landelijk en regionaal niveau zicht houden op de veiligheid en effectiviteit van de afzonderlijke vaccins bij de diverse doelgroepen. De duur van de bescherming en eventuele bijwerkingen van de vaccins worden in dit systeem geregistreerd. “Een centraal vaccinatieregister maakt het ook mogelijk om mensen sneller op individuele basis te informeren mocht zich een veiligheids- of effectiviteitsprobleem met een bepaald vaccin of een bepaalde batch voordoen”, schrijft de minister in zijn brief aan de Tweede Kamer.
CIMS verwerkt grote berg aan persoonsgegevens
Bij het centrale registratiesysteem past het Rijksinstituut voor Volksgezondheid en Milieu (RIVM) dataminimalisatie toe. Dan betekent dat alleen strikt noodzakelijke gegevens verwerkt worden door CIMS. Het gaat om de volgende gegevens: voor- en achternaam, adresgegevens, geboortedatum, burgerservicenummer (BSN), reden voor vaccinatie (leeftijd, medische aandoening, beroepsgroep), datum en plaats waar vaccinatie is toegediend, en de naam en het batchnummer van het vaccin.
Deze gegevens worden niet alleen gebruikt om bij te houden wie welk vaccin krijgt, maar ook om de vaccinatiegraad en de effectiviteit van de verschillende vaccins te berekenen. Mensen die daarvoor toestemming geven kunnen hun gegevens geanonimiseerd beschikbaar stellen voor wetenschappelijk onderzoek.
Minister: ‘CIMS kan veilig worden gebruikt bij aanvang vaccinatieprogramma’
Om eventuele zorgen weg te nemen, belooft minister De Jonge dat de informatiebeveiliging van CIMS ‘volgens de strenge normen van de rijksoverheid’ is ingericht. Door de cyberaanval op het Europese Medicijnagentschap EMA begin december wil de minister niets aan het toeval overlaten en heeft daarom extra onderzoek laten uitvoeren. Bij de aanval werden weliswaar geen persoonsgegevens gestolen of IT-systemen platgelegd, maar hackers slaagden er wel in om informatie buit te maken over de werking van de vaccins die ter beoordeling bij EMA liggen, de toelatingsprocedures van een vaccin en betrokkenen bij het vaccinonderzoek.
In het onderzoek zijn aanvullende maatregelen geformuleerd om ervoor te zorgen dat de gegevens die CIMS verwerkt veilig zijn en goed beschermd worden. Welke extra maatregelen die de minister treft houdt hij in het midden. Hij belooft de Tweede Kamer dat “het systeem veilig in gebruik kan worden genomen bij de start van de vaccinatiecampagne” en dat niets de start op 8 januari in de weg staat. “Indien CIMS, vanwege de genoemde aanvullende maatregelen, dataverwerking op persoonsniveau nog niet toelaat, kunnen gegevens worden opgevraagd bij de uitvoerder van de vaccinatie, dus de GGD, de huisarts of de instelling. Wel kan dit leiden tot vertraging in de analyses en rapportages en levert dit extra administratieve lasten op voor de uitvoerende partijen. ”
Bedenkingen bij vaccinatie
Iedere instantie die een coronavaccin toedient (ziekenhuis, verpleeghuis, huisarts, thuiszorginstelling, vaccinatiecentrum), is zelf verantwoordelijk voor de juiste en complete registratie van vaccins. Daarvoor dienen ze over hun eigen decentrale registratiesysteem te beschikken. Deze kan op zijn beurt gekoppeld worden aan het centrale registratiesysteem CIMS. Instanties die niet over een eigen decentraal registratiesysteem beschikken, kunnen gebruikmaken van een invoerapplicatie die op dit moment wordt ontwikkeld. “Bij het ontwikkelen van deze applicatie doe ik geen concessies aan aspecten als informatiebeveiliging en privacy”, zo verzekert minister De Jonge. Hij belooft dat de invoerapplicatie bij de start van het vaccinatieprogramma gereed is.
Het doel is om voor eind september alle Nederlanders te hebben gevaccineerd. Toch loopt niet iedereen er warm voor om zich direct te laten inenten. Uit onderzoek van de TU Delft, Erasmus Universiteit Rotterdam, het RIVM, Universiteit Maastricht en Roskilde University blijkt dat één op de drie medewerkers in de zorg zijn bedenkingen heeft bij de coronavaccins. Zij niet als proefkonijn ingezet worden en eventuele bijwerkingen afwachten. Drie op de tien Nederlanders denkt er hetzelfde over.
