Minister voor Volksgezondheid, Welzijn en Sport Hugo de Jonge laat diverse maatregelen uitvoeren om een nieuw privacyschandaal bij de GGD te voorkomen. Om te beginnen laat hij de toegang en zoekmogelijkheden voor de IT-systemen ‘deze week’ nog beperken. Verder is er een strafrechtelijk onderzoek gestart, heeft de GGD de eerste slachtoffers van de datadiefstal op de hoogte gebracht en wordt er over zes weken een externe audit uitgevoerd.
Dat schrijft minister De Jonge in een voortgangsbrief aan de Tweede Kamer.
IT-systemen GGD misbruikt om privégegevens te verkopen
Afgelopen maand maakte RTL Nieuws kenbaar dat er op grote schaal gehandeld wordt in privégegevens, afkomstig uit meerdere IT-systemen van de GGD. Via kanalen als Telegram, Snapchat en Wickr worden deze te koop aangebonden, zowel van individuele personen als complete datasets. De prijzen van deze data variëren van enkele tientjes tot een paar duizend euro.
Minister De Jonge en GGD GHOR-voorzitter André Rouvoet gingen diep door het stof en boden hun excuses aan voor het voorval. De eerste maatregelen om de systemen beter te beveiligen tegen ongeautoriseerde toegang, zijn inmiddels genomen. Zo zijn de export- en printfunctie grotendeels uitgeschakeld, zodat privégegevens niet langer geaccumuleerd kunnen worden. Verder vinden er meer controles plaats op eventueel misbruik.
Minister zet in op strakkere sturing
“Mensen moeten te allen tijde kunnen vertrouwen dat medische gegevens veilig worden gedeeld en bewaard, juist vanwege het privacygevoelige karakter van deze gegevens”, schrijft minister De Jonge in de meest recente voortgangsbrief aan de Tweede Kamer. Hij zegt opnieuw het te betreuren dat medewerkers persoonsgegevens uit de systemen van de GGD te koop hebben aangeboden. “Dit heeft tot maatschappelijke onrust geleid, is zeer ernstig voor de mogelijke slachtoffers en raakt ook alle duizenden medewerkers van de GGD’en die te goeder trouw hun werk doen.”
GGD GHOR-voorzitter Rouvoet erkende vorige week dat de systemen zo ontworpen zijn dat een kleine groep medewerkers er op een veilige en verantwoorde wijze mee kunnen werken. Toen de coronacrisis uitbrak is er besloten om het systeem voor duizenden medewerkers beschikbaar te stellen. Dat was een bewuste keuze om de pandemie efficiënt en voortvarend aan te pakken.
“Hoewel ik begrip heb voor de omstandigheden waarin vooral aandacht was voor de noodzaak dat de systemen zouden werken, is mijn conclusie dat verbeteringen inzake privacy en dataveiligheid en ook andere aspecten sneller moeten worden gerealiseerd en dat strakker op het proces moet worden gestuurd”, schrijft De Jonge.
Zo wil minister De Jonge orde op zaken stellen
Om dat te realiseren treft de minister op korte termijn diverse maatregelen. Allereerst wordt het gebruik van HPzone -het IT-systeem dat gebruikt wordt voor bron- en contactonderzoek- beperkt worden tot een select groepje specialisten, waaronder IZB-artsen (infectieziektebestrijding) en verpleegkundigen. Van HPzone Lite, een uitgeklede variant van HPzone, wordt zo snel mogelijk afgestapt om gebruik te maken van een nieuw systeem dat veiliger en de privacy van Nederlanders beter gewaarborgd wordt.
De export- en printfunctionaliteit in HPzone (Lite) is reeds uitgeschakeld. Ook in CoronIT, het systeem waarin testafspraken en -uitslagen zijn vastgelegd, is de printfunctie uitgeschakeld of beschikbaar voor een handjevol specialisten. Verder schrijft de minister dat de toegang en zoekmogelijkheden in de systemen nog worden beperkt. Een concrete datum hiervoor noemt De Jonge niet, hij belooft enkel dat het ‘deze week’ nog gebeurt.
Sinds 24 januari zijn er interne en externe teams bezig met het monitoren van de systemen op misbruik. Dit heeft er tot nu toe voor gezorgd dat er tot nu toe dertig mensen zijn ontslagen. Medewerkers blijven handmatig monitoren totdat dit proces geautomatiseerd is. Dat is naar verwachting volgende maand. Tot slot worden de systemen momenteel doorgelicht door externe IT-deskundigen, wordt de VOG-administratie (Verklaring Omtrent Gedrag) op orde gebracht en loopt er een intern forensisch onderzoek naar het misbruik van persoonsgegevens.
Strafrechtelijk onderzoek van start gegaan
Het is een hele waslijst aan maatregelen die minister De Jonge heeft getroffen. Om te controleren of deze stappen zijn opgevolgd en of er eventuele resterende risico’s zijn, vindt er over zes weken een externe audit plaats. Dit alles heeft volgens de minister geen invloed op de bestrijding van het coronavirus.
De Jonge meldt dat GGD GHOR sinds 29 januari bezig is om gedupeerden te informeren over de achtergronden van de datadiefstal en de maatregelen die zijn of worden genomen. Ook heeft de dienst een telefoonnummer geopend waar bezorgde burgers terecht kunnen met hun vragen. Als de GGD de namen van de slachtoffers kent, zal de instantie contact met hen opnemen.
Verder meldt minister De Jonge dat er een strafrechtelijk onderzoek is gestart. “Het openbaar ministerie heeft naar aanleiding van een melding van mogelijke datadiefstal bij de GGD’en onmiddellijk actie ondernomen door een opsporingsonderzoek te starten en heeft kort na de start van dit onderzoek verschillende verdachten aangehouden en voorgeleid. Daarbij zijn onder meer telefoons in beslag genomen en wordt berichtenverkeer in kaart gebracht.” Tot op heden zijn er drie verdachten aangehouden door de politie.
Minister: ‘Ik was niet duidelijk genoeg in de Tweede Kamer’
Tot slot erkent minister De Jonge dat hij vorige week tijdens het mondelinge vragenuurtje in de Tweede Kamer mogelijk een verkeerd beeld heeft geschetst. In zijn brief schrijft hij hierover het volgende:
“Tijdens het mondelinge vragenuur van afgelopen dinsdag 26 januari heb ik gezegd dat de GGD sinds de start van de pandemie “continu het gebruik van de systemen” controleert. Dit heeft ten onrechte bij sommigen de indruk gewekt dat er nu reeds sprake is van een geautomatiseerde controle, terwijl de GGD tot nu toe structureel steekproefsgewijs controleert. Ik heb daarna gezegd dat “die controles ook worden geautomatiseerd, zodat ze volcontinu kunnen worden uitgevoerd”, en had daarbij voor de helderheid beter kunnen aangeven dat dit pas in maart gerealiseerd zal zijn. Ik betreur dat hierover misverstanden zijn ontstaan en zet dit in deze brief recht.
In mijn antwoord tijdens het mondelinge vragenuur van vorige week heb ik u gemeld dat “het systeem van de GGD voldoet aan de laatste NEN-norm”. Dit klopt strikt genomen ook, maar had ik achteraf gezien duidelijker moeten formuleren. Het software-platform van Topicus waar CoronIT onderdeel van uitmaakt is volledig gecertificeerd. Echter, de organisatie van GGD GHOR Nederland voldoet nog niet aan deze norm. Zij bereidt zich wel voor op certificatie volgens NEN-7510.”
