2110189 College van B en W - vervanging ICT-systeem GGD i.v.m. datalek

Samenleving Advies

tt

Gemeente Delft

bezoekadres. Stationsplein 1 2611 BV Delft IBAN NL21 BNGH 0285 0017 87 t.n.v. gemeente Delft Behandeld door Ozgül Yurtsever

Retouradres : Postbus 78, 2600 ME Delft oyurtsever@delft.nl Internet www.delft.nl

De leden van de gemeenteraad

Telefoon 14015

VERZONDEN 1 1 MR7 2021 Datum

Ondenwerp

09-03-2021

Vervanging ICT-systeem GGD i.v.m. datalek

Ons kenmerk

4502298 Uw brief van Uw kenmerk Bijlage

Geachte leden van de raad,

2

Bij brief van 11 februari 2021 jongstleden bent u geïnformeerd over de datalekken bij de GGD'en. GGD Haaglanden houdt ons op de hoogte van de (landelijke) ontwikkelingen m.b.t. tot het ICT -systeem van de GGD ('en). In de bijgaande brief wordt u geïnformeerd over het vervangen van het ICTsysteem HP-Zone. Ook is de eerder ontvangen brief m.b.t. datalekken als bijlage toegevoegd. In de brief leest u dat uit aanvullende externe analyses blijkt dater onaanvaardbare risico's ontstaan indien het gebruik van HP-Zone wordt voortgezet. Daarom is besloten HP-zone te vervangen. De kosten voor ontwikkeling en uitvoering van een nieuw systeem voor de infectieziektebestrijding kamen in principe ten laste van de begroting van de afzonderlijke GGD'en. In de begroting van de GR GGD & VT Haaglanden is budget opgenomen voor het huidige ICT systeem (HP-Zone). GGD Haaglanden geeft op dit moment aan nog niet te weten in hoeverre het ontwikkelen en uitvoeren van een nieuw systeem gaat leiden tot meerkosten in de gemeentelijk bijdrage. Vanwege deze onzekerheid wordt voor zowel de gewijzigde begroting 2021 als de begroting 2022 een PMpost opgenomen. Indien wij nieuwe informatie ontvangen over de meerkosten kamen we bij u hierop terug. Wij vertrouwen erop u hiermee voldoende te hebben geïnformeerd. Hoogachtend, het college van burgemeester en wethouders van Delft,

, burgemeester

K. Schrederhof I.b. , secretaris

dr. M. Berger, l.s.

Aan de Leden van het Algemeen Bestuur

BEZOEKADRESSEN

POSTADRES

Westeinde 128 2512 HE Den Haag

Postbus 16130 2500 BC Den Haag

Reinier de Graafweg 5 2625 AD Delft

T (088) 355 01 00 info@ggdhaaglanden.nl

Croesinckplein 24-26 2722 EA Zoetermeer

www.ggdhaaglanden.nl IBAN NL17BNGH0285109626

Afdeling:

Directie GGD Haaglanden

Ons kenmerk:

10073975

Datum:

04-02-2021

Betreft: Informatie datadiefstal Geachte bestuurder, In de media is momenteel veel aandacht voor het incident rondom de data uit de landelijke GGD-systemen. Wij kunnen ons voorstellen dat dit bij u vragen oproept en dat u behoefte heeft aan informatie om met uw Raad te delen. Daarvoor ontvangt u onderstaande toelichting. De afgelopen week is er veel gesproken, geschreven en gespeculeerd over de gestolen data uit de GGD-systemen. Van essentieel belang is eerst en vooral dat het onderzoek van de politie daarnaar nog loopt. Wel heeft GGD GHOR Nederland het nodig gevonden om over het incident te communiceren. Via deze link vindt u een repliek vanuit GGD GHOR Nederland die op 29 januari jl. werd gepubliceerd. Daarnaast vindt u hier een overzicht met veel gestelde vragen en antwoorden over het incident. Daarnaast is er uit de aard der zaak veel en intensief contact met de Autoriteit Persoonsgegevens (AP), in het kader van het toezicht dat de AP dient te houden op de veiligheid van de gegevens in de GGD-systemen en de naleving van de Algemene Verordening Gegevensbescherming (AVG). Het mag geen verbazing wekken dat dit toezicht naar aanleiding van het incident de afgelopen week is geïntensiveerd. Het intensiveren van het toezicht houdt in dat inspecteurs van de AP nauwlettend de ontwikkelingen volgen en controles zullen uitvoeren.

Aandacht binnen GGD’en Als GGD’en werken we aan de virusbestrijding, met de benodigde functionaliteiten op een zo veilig mogelijke manier. GGD’en doen alles wat in het vermogen ligt om ervoor te zorgen dat gegevens van mensen die zich laten testen, vaccineren en betrokken zijn bij bron- en contactonderzoek in veilige handen zijn. Zo zorgt de GGD voor controle aan de poort (VOG en geheimhoudingsverklaring), vinden er trainingen en gesprekken over privacy en geheimhouding plaats, wordt er gewerkt op locatie met in achtneming van de geldende maatregelen en vinden er steekproefsgewijs checks plaats op noodzakelijke toegang dossiers. De functionaris gegevensbescherming is hier nauw bij betrokken. Binnen de organisatie hebben we continue aandacht voor kwaliteitsbevordering én -bewaking van de medewerkers en worden de medewerkers regelmatig bijgepraat over de laatste stand van zaken rondom het incident.

Verkenning verwijdering (persoons)gegevens Mensen kunnen op grond van de Algemene Verordening Gegevensbescherming (AVG) bij de GGD alwaar zij getest of gevaccineerd zijn een verzoek doen tot het verwijderen van hun persoonsgegevens. Vanuit GGD GHOR Nederland wordt op dit moment gewerkt aan de precieze invulling van het recht op gegevensverwijdering en de procedure die daarvoor ingericht wordt. Zo wordt bijvoorbeeld uitgezocht welke gegevens in welke gevallen en met inachtneming van welke termijnen verwijderd mogen c.q. moeten worden. Naast de AVG hebben we bijvoorbeeld ook te voldoen aan de Wet Publieke Gezondheid (Wpg), die onder andere eisen stelt aan de bewaartermijn van medische gegevens. Vanuit GGD GHOR Nederland en de GGD’en wordt alle medewerking verleend aan instanties die op grond van hun wettelijke taken toezicht houden, vragen stellen en controles uitvoeren. Wij zien het maatschappelijke belang daarvan en ons gezamenlijke doel is het herstel van vertrouwen. Bij nieuwe informatie zal ik u opnieuw informeren. Hoogachtend,

Mevrouw A. de Boer Directeur Publieke Gezondheid Haaglanden

BEZOEKADRESSEN

POSTADRES

Westeinde 128 2512 HE Den Haag

Postbus 16130 2500 BC Den Haag

Reinier de Graafweg 5 2625 AD Delft

T (088) 355 01 00 info@ggdhaaglanden.nl

Croesinckplein 24-26 2722 EA Zoetermeer

www.ggdhaaglanden.nl IBAN NL17BNGH0285109626

Afdeling:

Algemeen Bestuur van GGD Haaglanden

Directie GGD Haaglanden

Ons kenmerk: GGD/10078591 Aantal bijlagen: Datum:

17 februari 2021

Inlichtingen bij: S. Ruiterman Onderwerp:

Vervangen van ICT-systeem HP-Zone

Doorkiesnummer:

06 106 27 445

Geacht Bestuur, Graag wil ik u in vervolg op de eerdere berichtgeving rond de datadiefstal informeren. De datadiefstal, waarmee wij als GGD’en eind januari zijn geconfronteerd, heeft ook gevolgen voor de wijze van Coronabestrijding de komende periode. Door deze diefstal zijn we op harde wijze geconfronteerd met kwetsbaarheden in onze ICT-systemen en de vergaande gevolgen hiervan. De impact van risico’s die veelal eerder waren gesignaleerd, vragen om een daadkrachtige, snelle en eenduidige aanpak. Er zijn inmiddels aanzienlijke korte-termijn maatregelen genomen om gebleken risico’s in de verwerking van persoonsgegevens te beperken. Daarboven wordt er hard gewerkt om de bescherming van persoonsgegevens verder te maximaliseren. Een belangrijk onderdeel hierin is de vervanging van HP-Zone. Vervanging HP-Zone Bij de GGD’en vormt HP-Zone het ICT-‘hart’ voor infectieziektebestrijding. Het systeem is bij vrijwel alle GGD’en al langere tijd in gebruik. Met de nodige aanpassingen is HP-Zone ingezet voor de bestrijding van de Corona-epidemie. Het systeem was voor het gebruik in zo’n grote omvang niet geschikt, maar een alternatief was helaas niet snel inzetbaar toen we als GGD’en onze activiteiten moesten opschalen. Om die reden werd de afgelopen maanden al gewerkt aan een vervangende applicatie GGD Contact.

De datadiefstal maakte nog meer zichtbaar dat HP-Zone niet kan worden aangepast tot een betrouwbaar en veilig systeem en zo spoedig mogelijk moet worden vervangen. De genomen maatregelen om persoonsgegevens veilig te kunnen verwerken in HP-Zone hebben grote impact op het werkproces en vragen omslachtige maatregelen. Aanvullende externe analyses hebben nog dringender duidelijk gemaakt dat er onaanvaardbare risico’s ontstaan, indien wordt verder gewerkt met HP-Zone. Deze risico’s hebben betrekking op de operationele en inhoudelijke betrouwbaarheid van het systeem. Bovendien zijn binnen de architectuur van het systeem bestaande veiligheidsrisico’s niet structureel te ondervangen. Om het beëindigen van het gebruik van HP-Zone voor de Corona-bestrijding op korte termijn mogelijk te maken, zal een combinatie van applicaties worden ingezet: Dit betreft GGD-Contact (BCO medewerkers-portaal en telefoon-app) voor uitvoering van Bron- en Contactonderzoek (BCO), een voorziening voor data-analyse, alsmede een voorziening voor het inhalen van gegevens door het RIVM. Daarmee wordt voorzien in de eisen ten aanzien van privacy, veiligheid en functionaliteit voor bestrijding van Covid-19. Voor de vervanging van HP-Zone ten behoeve van de totale infectieziektebestrijding is meer tijd beschikbaar en daarvoor kan dan ook meer tijd worden genomen.

Ook die stap blijkt noodzakelijk en bereiden we voor. De Minister van VWS treedt op als opdrachtgever voor het vervangingstraject, op zijn verzoek coördineert GGD GHOR landelijk de vervanging.

Besluit tot vervanging De Directeuren Publieke Gezondheid hebben gezamenlijk derhalve besloten om de volgende stappen te ondernemen:

-

-

Zo snel als mogelijk wordt GGD-Contact in combinatie met bovengenoemde voorzieningen bij alle 25 GGD’en geïmplementeerd en wordt daarmee HP-Zone niet meer gebruikt voor de Coronabestrijding. In gezamenlijkheid bereiden GGD GHOR Nederland, de 25 GGD’en het RIVM voor de totale infectieziektebestrijding een spoedige vervanging van HP-Zone voor. Het is nog niet duidelijk hoe lang dit traject zal duren.

Beperking risico’s Overstappen naar een nieuw ICT-systeem onder hoge tijdsdruk en tijdens een lopende operatie kent uiteraard risico’s. Hierover zijn ook zorgen geuit door onder meer de artsen infectiebestrijding en het RIVM. Beide partijen zijn nauw betrokken bij aanvullende stappen om deze risico’s te beperken. Daarboven worden binnen de afzonderlijke GGD’en inmiddels programmateams gevormd om de implementatie van GGD-Contact in combinatie met bovengenoemde voorzieningen in goede banen te leiden. Hierbij wordt in het bijzonder aandacht besteed aan:

-

Aandacht voor de privacy van de cliënten De ketensamenwerking in de bestrijding van Corona en andere infectieziekten (vooral de uitwisseling van gegevens). Het borgen van beschikbaarheid van historische data uit het HP-Zone systeem De operationele betrouwbaarheid van de Corona-bestrijding De informatievoorziening aan gemeenten en andere ketenpartners.

Financiële risico’s De kosten voor de ontwikkeling en het gebruik van het nieuwe systeem GGD-Contact worden vrijwel geheel gedragen door het ministerie van VWS. De kosten voor ontwikkeling en uitvoering van een nieuw systeem voor de infectieziektebestrijding komen in principe ten laste van de begroting van de afzonderlijke GGD’en. In de begroting van de GR GGD & VT Haaglanden is budget opgenomen voor het huidige ICT systeem (HP-Zone). Het is op dit moment nog niet aan te geven in hoeverre het ontwikkelen en uitvoeren van een nieuw systeem gaat leiden tot meerkosten in de gemeentelijk bijdrage. Vanwege deze onzekerheid zal voor zowel de gewijzigde begroting 2021 als de begroting 2022 een PM-post worden opgenomen. Ik vertrouw erop dat we met deze aanpak een benodigde stap zetten om het vertrouwen in de ICT-systemen van de GGD-en te kunnen herstellen. Bij vragen kunt u contact opnemen met de heer R. Corzaan, telefoonnummer +31 6 418 20 092. Hoogachtend,

dr.ir. A.S. de Boer Directeur Publieke Gezondheid Haaglanden