2109155 Dagelijks Bestuur GR GGD en VTH - datalek in systemen GGD

BEZOEKADRESSEN GGD Haaglanden Westeinde 128 2512 HE Den Haag

POST ADRES Postbus 16130 2500 BC Den Haag T (088) 355 01 00 info@ggdhaaglanden.nl

Veilig Thuis Haaglanden Westeinde 128 2512 HE Den Haag

T (070) 346 97 17 / 0800-2000 info@veiligthuishaaglanden.r

Afdeling:

Aan Gemeenteraad cc. Collega van B&W

Bestu ur

Uw brief van: Uw kenmerk: Ons kenmerk: GR 2021-007 Aantal bijlagen: Datum: 01-03-2021 Inlichtingen bij: Iris du Pon

Onderwerp: Datalek in systemen GGD

Doorkiesnummer: 06-50181304

Geachte Jeden van de raad, In januari zijn GGD GHOR Nederland en de GGD organisaties geconfronteerd met kwetsbaarheden in de ICT-systemen CoronIT en HP-Zone(Lite). Er hebben datalekken en datadiefstal plaatsgevonden. Middels deze brief informeert het bestuur van de Gemeenschappelijke Regeling GGD en Veilig Thuis Haaglanden u over de gevolgen hiervan voor GGD Haaglanden. Datalek en datadiefstal In de ICT-systemen CoronIT en HPZone(Lite) zijn kwetsbaarheden geconstateerd met betrekking tot informatiebeveiliging en de bescherming van persoonsgegevens. CoronIT is een landelijk systeem dat wordt gebruikt voor het maken van afspraken en doorgeven van uitslagen van testen. In HPZone(Lite) wordt informatie opgeslagen ten behoeve van bron- en contactonderzoek. Eind januari zijn er twee medewerkers van het landelijk coronatest afsprakennummer aangehouden op verdenking van datadiefstel. Momenteel is het politieonderzoek in volle gang en zijn er meerdere personen aangehouden. Binnen onze regio zijn in februari een persoon uit Den Haag en een persoon uit Pijnacker-Nootdorp aangehouden. De exacte omvang van de datadiefstal is nu nog niet bekend. In februari werd tevens duidelijk dat medewerkers uit de landelijke schil van het Rode Kruis toegang hadden tot de gegevens in HPZone(Lite), terwijl deze toegang voor het uitvoeren van de werkzaamheden op dat moment niet noodzakelijk was.

Zodra dit geconstateerd werd zijn er maatregelen genomen en is de toegang tot HPZone(Lite) beperkt. GGD Haaglanden heeft conform de Algemene Verordening Gegevensbescherming (AVG) hiervan melding gemaakt bij de Autoriteit Persoonsgegevens (AP). GGD Haaglanden heeft naar aanleiding van de geconstateerde kwetsbaarheden aanzienlijke kortetermijn maatregelen genomen om gebleken risico's in de verwerking van persoonsgegevens te beperken. Een voorbeeld hiervan is de beperking van de toegang tot HPZone(Lite). Daarboven wordt er hard gewerkt om de bescherming van persoonsgegevens verder te maximaliseren. Een belangrijk onderdeel hierin is de vervanging van HPZone(Lite). Vervanqinq HPZone(Lite) Bij de GGD'en vormt HPZone het ICT-'hart' voor infectieziektebestrijding. Het systeem is bij vrijwel alle GGD'en al langere tijd in gebruik. Met de nodige aanpassingen is HPZone(Lite) ingezet voor de bestrijding van de Corona-epidemie. Hoewel het systeem niet geschikt was voor het gebruik in zo'n grote omvang, is ten tijde van de noodzakelijke opschaling (met name vanwege het gebrek aan een passend alternatief) binnen het verband van GGD GHOR Nederland besloten om landelijk gebruik te maken van HPZone(Lite). De afgelopen maanden is gewerkt aan een vervangende ICT-systeem "GGD Contact".

De datadiefstal maakte nog meer zichtbaar dat HPZone(Lite) niet kan worden aangepast tot een betrouwbaar en veilig systeem en zo spoedig mogelijk moet worden vervangen.

De kosten voor de ontwikkeling en het gebruik van het nieuwe systeem GGD Contact worden vrijwel geheel gedragen door het ministerie van VWS. De kosten voor ontwikkeling en uitvoering van een nieuw systeem voor de infectieziektebestrijding komen in principe ten laste van de begroting van de afzonderlijke GGD'en. In de begroting van de GR GGD en VT Haaglanden is budget opgenomen voor het huidige ICT-systeem (HPZone(Lite)). Het is op dit moment nog niet aan te geven in hoeverre het ontwikkelen en uitvoeren vaneen nieuw systeem gaat leiden tot meerkosten in de gemeentelijk bijdrage. Vanwege deze onzekerheid zal voor zowel de gewijzigde begroting 2021 als de begroting 2022 een PM-post worden opgenomen. Onderzoek Autoriteit Persoonsqeqevens De AP heeft een onderzoek ingesteld naar de naleving van de AVG door (onder meer) GGD Haaglanden. Op grond van artikel 31 Algemene Verordening Gegevensbescherming en artikel 5:20 Algemene wet bestuursrecht is GGD Haaglanden verplicht om mee te werken aan het onderzoek. Over de uitkomsten van dit onderzoek wordt u nader geïnformeerd.

Wij vertrouwen er op u hiermee afdoende te hebben geïnformeerd.

Hoogachtend, namens het Dagelijks Bestuur van de GR GGD en VT Haaglanden,

B.D. Lugthart Voorzitter