RIS307808 Beantwoording SV Duidelijkheid na privacyschendingen GGD

Datum

BEANTWOORDING SCHRIFTELIJKE

6 april 2021

VRAGEN

Onderwerp

Ons kenmerk

Antwoord van het college op de vragen van het raadslid de heer Scheper, luidend: ‘Duidelijkheid na privacyschendingen GGD’

OCW/10087220 RIS307808

Het raadslid de heer Scheper heeft op 9 februari 2021 een brief met daarin zeven vragen aan de voorzitter van de gemeenteraad gericht. Overeenkomstig artikel 30 van het reglement van orde voor vergaderingen en andere werkzaamheden van de raad, beantwoordt het college deze vragen als volgt. Er wordt grootschalig gehandeld in miljoenen adresgegevens, telefoon- en burgerservicenummers, afkomstig uit de twee belangrijkste coronasystemen van de GGD.” Dit berichtte het RTL Nieuws maandag 25 januari jl. na onderzoek van journalist Daniël Verlaan. Begin november 2020 waren er ook al ICT- en privacyproblemen bij de GGD. De huidige situatie bij de GGD-GHOR is zeer onwenselijk en moet direct aangepakt worden. Het schaadt het vertrouwen van mensen in deze overheidsdienst en leidt mogelijkerwijs ook tot minder bereidheid tot testen. 1.

Weet het college of er sprake is van privacyschending of van criminele handel in persoonsgegevens die in beheer zijn gesteld bij de GGD Haaglanden, een gemeenschappelijke regeling waar de gemeente Den Haag onderdeel van uitmaakt? Zo nee, is het college bereid dit na te gaan?

De politie heeft op 17 maart aan GGD GHOR Nederland informatie overgedragen over de datadiefstal uit CoronIT. In de regio Haaglanden blijkt het om 36 gedupeerden te gaan. Deze mensen hebben op 19 maart een uniforme landelijke informatiebrief ontvangen. Hiermee wordt voldaan aan de informatieplicht conform de AVG. De brief vermeldt een landelijk telefoonnummer waar gedupeerden met vragen naar kunnen bellen. 2.

In een vervolgartikel op de website van RTL Nieuws blijkt dat de GGD’s al maandenlang op de hoogte waren van privacyschending met data aangeleverd door personen die zich hebben gemeld voor een coronatest of die hebben meegedaan aan het bron- en contactonderzoek. De GGD heeft de kritiek op de vrije toegang van de in alle haast aangenomen medewerkers stelselmatig weggewuifd. Wat is de formele reactie van GGD Haaglanden op privacyschending met gegevens van personen die zich tot de coronaorganisaties van de GGD’s hebben gewend voor een test of voor bron- en contactonderzoek?

GGD Haaglanden betreurt de privacyschending ten zeerste. Op de website van GGD GHOR Nederland staat een uitgebreide Q&A: https://ggdghor.nl/thema/vragen-antwoorden-datadiefstal/. Ook is er een landelijk telefoonnummer beschikbaar waar ongeruste inwoners navraag kunnen doen: 085-1308226.

Gemeente Den Haag Ons kenmerk

OCW/10087220

Dit nummer is elke dag bereikbaar van 9.00 uur tot 21.00 uur. GGD Haaglanden volgt de landelijke maatregelen en implementeert deze, bijvoorbeeld over de werkwijze hoe om te gaan met verzoeken tot het verwijderen van persoonsgegevens (voor GGD Haaglanden via corona.klachten@ggdhaaglanden.nl). 3.

Is bij het college bekend of er Hagenaren direct slachtoffer geworden zijn van deze diefstal, bijvoorbeeld door phishing (uit naam van GGD) of identiteitsfraude?

Zie het antwoord op vraag 1. Hagenaren wiens gegevens zijn gestolen en verhandeld, moeten worden gewaarschuwd vanuit de AVG, want dit is een datalek met meldplicht. 4.

Kan het college aangeven hoe de GGD-Haaglanden helpt, naast het afgeven van een waarschuwing, eventuele getroffen Hagenaren om de schade van de diefstal van hun gegevens te beperken?

GGD Haaglanden heeft op haar website informatie toegevoegd met links naar landelijke organisaties die hierbij kunnen helpen. Informatie over hoe misbruik te signaleren en te voorkomen is onder andere te vinden op: https://ggdghor.nl/thema/vragen-antwoorden-datadiefstal/. 5.

Wat gaat de GGD-Haaglanden doen om deze privacyschendingen en criminele activiteiten per direct en blijvend te voorkomen? Hoe gaat het college dit monitoren en waarborgen inbouwen.

Zie de ‘14e stand van zaken maatregelen in aanpak coronavirus’ (RIS307832) en de brief ‘Datalek in systemen GGD’ die op 1 maart door GGD Haaglanden aan de gemeenteraden in de regio is gestuurd. 6.

Hoe wordt de beveiliging en privacy van het vaccineren wél gegarandeerd? Worden de huidige ICT-systemen - die duidelijk te zwak beveiligd zijn met te weinig ingebouwde controles - ook gebruikt bij het registreren van gegeven vaccinaties?

Landelijk worden alle systemen onder de loep genomen en is er een melding gedaan bij de Autoriteit Persoonsgegevens die een onderzoek bij GGD GHOR Nederland is gestart. Zie ook de ‘14e stand van zaken maatregelen in aanpak coronavirus’ (RIS307832). De registratie van vaccinaties vindt plaats in een ander systeem dan de systemen die in verband worden gebracht met privacyschending. Alleen de afspraken voor vaccinaties worden ingepland in het systeem waarin datadiefstal heeft gespeeld (CoronIT).

2/3

Gemeente Den Haag Ons kenmerk

OCW/10087220

7.

GGD Haaglanden is een gemeenschappelijke regeling. In hoeverre zijn de gemeentes binnen Haaglanden, waaronder de gemeente Den Haag zelf verantwoordelijk voor de gevolgen, die door deze privacyschendingen ontstaan?

De coronabestrijding wordt door de regionale GGD’en uitgevoerd onder coördinatie van GGD GHOR Nederland en in opdracht van het ministerie van VWS. In hoeverre de problemen met informatieveiligheid ook betrekking hebben op GGD Haaglanden wordt op dit moment onderzocht. Daarbij wordt aandacht besteed aan wie welke verantwoordelijkheid heeft. GGD Haaglanden heeft intussen al wel verzoeken van burgers ontvangen over verwijdering van persoonsgegevens en deze in behandeling genomen. Het college van burgemeester en wethouders, de secretaris, de burgemeester, Ilma Merx

Jan van Zanen

3/3