GGD IJsselland heeft per ongeluk persoonlijke gegevens van 148 Nederlanders naar iemand opgestuurd die niet bij de organisatie werkt. De gezondheidsinstelling benadrukt dat het om een menselijke fout gaat. De instantie heeft het incident gemeld bij de Autoriteit Persoonsgegevens. Aanvullende maatregelen moeten er voor zorgen dat dit in de toekomst niet nog een keer gebeurt.
Anoushka Knoef, strategisch manager bij GGD IJsselland, bevestigt het voorval tegenover De Stentor.
Ontvanger verwijdert lijst met persoonsgegevens
Waar gehakt wordt vallen spaanders. Dat blijkt wel uit het meest recente datalek bij de GGD. Een medewerker van GGD IJsselland wilde een lijst met persoonsgegevens opsturen naar een collega. In plaats daarvan belandde de lijst bij iemand buiten de organisatie. Zodoende zijn er persoonsgegevens van 148 Nederlanders bij de verkeerde persoon terecht gekomen.
Op de lijst stonden mensen die GGD IJsselland wilde uitnodigen voor een vaccinatie tegen het apenpokkenvirus. Naast voor- en achternaam bevatte de lijst ook geboortedata, 06-nummers en e-mailadressen.
Normaal gesproken wordt het e-mailadres van de ontvanger goed gecontroleerd, maar volgens Knoef is er in dit geval iets mis gegaan. De strategisch manager vertelt tegenover De Stentor dat er direct contact is opgenomen met de persoon die de lijst met privégevoelige gegevens had ontvangen en gevraagd of hij deze wilde verwijderen. “De ontvanger heeft toegezegd dit te doen. We kunnen natuurlijk niet helemaal zeker weten dat deze persoon dat ook echt heeft gedaan”, zo zegt Knoef. Ze benadrukt dat het om een menselijke fout gaat.
GGD IJsselland neemt extra voorzorgsmaatregelen
GGD IJsselland heeft bijna alle betrokken geïnformeerd over het incident en welke maatregelen de instantie heeft getroffen. De zorginstelling laat weten het voorval enorm te betreuren, omdat het om privacygevoelige gegevens gaat. Knoef zegt dat er melding is gedaan bij de Autoriteit Persoonsgegevens. Verder kijkt de instantie hoe dit heeft kunnen gebeuren.
Om herhaling te voorkomen, heeft GGD IJsselland aanvullende maatregelen genomen. Privacygevoelige bestanden worden voortaan versleuteld met een wachtwoord en e-mailadressen worden niet langer automatisch aangevuld. GGD-medewerkers die gevoelige informatie naar mensen buiten de organisatie willen versturen, moeten dit (beveiligd) via Zorgmail doen.
Tot slot kijkt GGD IJsselland of er technische verbeterpunten kunnen worden toegepast om dit soort fouten in de toekomst te voorkomen.
Meerdere datalekken bij GGD
Het is niet de eerste keer dat de GGD met een datalek wordt geconfronteerd. Begin 2021 ontdekte RTL Nieuws dat duizenden medewerkers toegang hadden tot privacygevoelige gegevens van Nederlanders die zich op corona hadden laten testen. Enkele frauduleuze werknemers en uitzendkrachten kopieerden op aanvraag persoonsgegevens en verkochten deze data aan de hoogste bieder.
Politieonderzoek wees uit dat 1.250 Nederlanders de dupe waren van de datadiefstal. Ton Coenen, algemeen directeur van GGD GHOR, beloofde met een “financieel gebaar” voor de slachtoffers te komen. Zij kregen een bedrag van 500 euro ter compensatie aangeboden. De helft van de gedupeerden accepteerden direct het bod, de rest gaf aan erover na te denken of er niet meer akkoord te gaan.
In juli 2021 ging het mis bij GGD Noord- en Oost-Gelderland nadat een feestganger discotheek City Lido in Groenlo had bezocht en het coronavirus met zich meedroeg. De regionale GGD-afdeling startte daarop bron- en contactonderzoek.
Een medewerker verstuurde een e-mail naar honderden bezoekers, maar vergat om de mailadressen af te schermen. In plaats van de mailadressen in het bcc-veld te plaatsen (blind carbon copy), waren ze opgenomen in het cc-veld (carbon copy). Zodoende waren de e-mailadressen voor iedereen zichtbaar. In totaal gaat het om 460 bezoekers waarvan het e-mailadres per ongeluk op straat belandde.
