2021-021 Informatiebrief aan AB - Datadiefstal - GGD

Aan: het algemeen bestuur van GGD Hart voor Brabant

Behandeld door:

Ruud Houdijk

Onderwerp:

Update datadiefstal

Datum:

5 februari 2021

E-mail:

r.houdijk@ggdhvb.nl

Geachte leden van ons algemeen bestuur, Op 29 januari jl. heb ik u op hoofdlijnen per brief geïnformeerd over de datadiefstal uit GGD-systemen. In de media is hier momenteel veel aandacht voor. Wij kunnen ons voorstellen dat dit bij u vragen oproept en dat u behoefte heeft aan informatie om uw raad te kunnen informeren. Wij willen u dan ook graag nader informeren over de situatie en wat wij als GGD Hart voor Brabant hebben gedaan. Landelijke reactie van GGD GHOR Nederland De afgelopen week is er veel gesproken, geschreven en gespeculeerd over de gestolen data uit de GGDsystemen. Van essentieel belang is eerst en vooral dat het onderzoek van de politie daarnaar nog loopt. Wel heeft GGD GHOR Nederland het nodig gevonden om over het incident te communiceren. Via deze link vindt u een repliek vanuit GGD GHOR Nederland. Daarnaast vindt u hier een overzicht met veel gestelde vragen en antwoorden over het incident. Daarnaast is er uit de aard der zaak veel en intensief contact met de Autoriteit Persoonsgegevens (AP), in het kader van het toezicht dat de AP dient te houden op de veiligheid van de gegevens in de GGDsystemen en de naleving van de Algemene Verordening Gegevensbescherming (AVG). Het mag geen verbazing wekken dat dit toezicht naar aanleiding van het incident de afgelopen week is geïntensiveerd.

Het intensiveren van het toezicht houdt in dat inspecteurs van de AP nauwlettend de ontwikkelingen volgen en controles zullen uitvoeren. Geen datadiefstal door medewerkers van GGD Hart voor Brabant Geen van de gearresteerde vijf personen was werkzaam bij onze GGD. Wij hebben tot op heden ook geen aanwijzingen ontvangen van politie en justitie dat (vaste of ingehuurde) medewerkers van onze GGD worden verdacht. Ook hebben we zelf intern nadere checks uitgevoerd van onze ‘loggingbestanden’ op eventuele onregelmatigheden. We hebben geen onregelmatigheden aangetroffen. We

GGD Hart voor Brabant Postbus 3024 5003 DA Tilburg 0900 463 64 43

www.ggdhvb.nl info@ggdhvb.nl

hebben dus ook op basis van eigen onderzoek op dit moment geen aanwijzingen dat door onze medewerkers data zouden zijn gestolen. Het is evenwel nog niet duidelijk of door de gearresteerde medewerkers van het landelijk callcenter of medewerkers van andere GGD’en gegevens zijn gestolen en/of ten onrechte ingezien van inwoners uit ons werkgebied. Dit moet duidelijk worden uit het landelijke onderzoek van politie en justitie. Welke maatregelen zijn vooraf genomen om gegevensmisbruik te voorkomen? Als GGD’en werken we aan de virusbestrijding, met de benodigde functionaliteiten op een zo veilig mogelijke manier. De GGD’en hebben vooraf de volgende maatregelen genomen: •

Controle aan de poort. Mensen moeten een Verklaring Omtrent Gedrag (VOG) aanleveren en een geheimhoudingsverklaring ondertekenen. GGD Hart voor Brabant heeft zich er bij de aanname van personeel van verzekerd, dat altijd en voor iedereen een VOG en geheimhoudingsverklaring voor handen is.

•

Autorisatieniveaus. De beide systemen die het betreft (CoronIT en HPZone) kennen verschillende rollen met bijbehorende autorisatieniveaus. Niet iedereen kan bij alle gegevens en kan alle functionaliteiten (zoals het downloaden van data-exports) gebruiken. Binnen GGD Hart voor Brabant hebben wij een autorisatiematrix gebaseerd op rol of functie van iedere medewerker. Medewerkers krijgen alleen die autorisatie, die nodig is voor zijn of haar functie. De autorisatiematrix wordt bijgehouden bij in-, door- en uitstroom van medewerkers. Er vindt hierop een maandelijkse check plaats.

•

Controles op correct gebruik. De GGD’en controleren sinds de start het gebruik van de systemen door de medewerkers, hebben die controles steeds verder verbeterd en doen dat nog steeds. Vanwege het belang van de virusbestrijding en de gevraagde snelheid zijn de GGD’en – op diverse manieren – met steekproefsgewijze controles van start gegaan. De Autoriteit Persoonsgegevens had vóór het bekend worden van de datadiefstal geen aanvullende vragen gesteld over deze werkwijze. GGD Hart voor Brabant kan via de logging-functionaliteit van Microsoft 30 dagen terugkijken. De GGD gebruikt dit voor steekproeven en om terug te zoeken bij signalen en incidenten.

Welke maatregelen worden genomen sinds het bekend worden van de datadiefstal? Landelijk is aangifte gedaan en wordt grootschalig onderzoek gedaan door politie en justitie. Binnen de organisatie hebben we continue aandacht voor kwaliteitsbevordering én -bewaking en worden de medewerkers regelmatig bijgepraat over de laatste stand van zaken rondom het incident. De eerder genomen maatregelen zijn gecontroleerd en geïntensiveerd: •

Controle aan de poort. GGD Hart voor Brabant heeft nogmaals een check uitgevoerd. We hebben vastgesteld dat alle door ons ingezette externe medewerkers een VOG en ondertekende geheimhoudingsverklaring hebben. Bij vaste, interne medewerkers is dit ook het geval voor zover ze bij ons zijn komen werken sinds het beleid omtrent VOG en geheimhoudingsverklaring is geïmplementeerd. Oudgedienden die al vele jaren bij ons werken hebben geen VOG, omdat dit

2

destijds nog niet bestond. Alle ambtenaren hebben echter sowieso een wettelijke geheimhoudingsplicht. Bij de invoering van de Wet normalisering rechtspositie ambtenaren hebben al onze vaste medewerkers digitaal moeten bevestigen dat zij zich houden aan de integriteitsregels, waaronder geheimhouding. We zoeken uit of het nodig is om oudgedienden alsnog te vragen om een VOG en/of geheimhoudingsverklaring. •

Autorisatieniveaus. Naar aanleiding van de datadiefstal is ter check nog een keer doorgelicht wie binnen GGD Hart voor Brabant geautoriseerd is tot grote downloads (datadump). Dit is een zeer beperkte groep van medewerkers die dit op grond van hun functie daadwerkelijk nodig hebben, bijvoorbeeld om dashboards te maken.

•

Controles op correct gebruik. GGD Hart voor Brabant heeft een nadere check uitgevoerd van onze ‘logging-bestanden’ en geen onregelmatigheden aangetroffen. We zien geen afwijkingen in de ITomgeving van onze GGD. Ons beeld is dat er binnen of door GGD Hart voor Brabant geen gegevens in verkeerde handen zijn gevallen. GGD Hart voor Brabant wil de periode van logging verlengen van 30 dagen naar 1 jaar, zodat we verder kunnen terugkijken. Verder verwacht GGD GHOR Nederland in maart systemen te implementeren die automatisch en continu zullen controleren op opvallend gebruik van de systemen (zoals grote downloads of onlogische inzage in dossiers).

Verder worden als aanvullende maatregelen genomen: •

Communicatie. GGD Hart voor Brabant vindt het van belang om de eigen inwoners gericht te informeren over de situatie, wat wij eraan doen en hoe mensen een verwijderingsverzoek kunnen indienen. We wijzen ons inwoners in eerste instantie op de landelijke lijst met veel gestelde vragen van GGD GHOR Nederland. Zit het antwoord op hun vraag er niet bij, dan adviseren wij hen om contact op te nemen met het landelijke nummer voor deze datadiefstal. Dit telefoonnummer (085130 82 26) is dagelijks bereikbaar van 09.00 uur tot 21.00 uur. Daarnaast attenderen we inwoners uit onze regio op de mogelijkheid om hun eigen gegevens in te zien, te wijzigingen of te laten verwijderen.

•

Verzoeken voor gegevensverwijdering. Mensen kunnen op grond van de Algemene Verordening Gegevensbescherming (AVG) bij de GGD alwaar zij getest of gevaccineerd zijn een verzoek doen tot het verwijderen van hun persoonsgegevens. De GGD heeft hiervoor al jaren een staand beleid en werkprotocol, conform de AVG. Vanuit GGD GHOR Nederland wordt op dit moment gewerkt aan de precieze invulling van het recht op gegevensverwijdering binnen CoronIT en HPZone. Zo wordt bijvoorbeeld uitgezocht welke gegevens in welke gevallen en met inachtneming van welke termijnen verwijderd mogen c.q. moeten worden. Naast de AVG hebben we bijvoorbeeld ook te voldoen aan de Wet Publieke Gezondheid, die o.a. eisen stelt aan de bewaartermijn van medische gegevens. Op de website van GGD Hart voor Brabant (www.ggdhvb.nl) vindt men via het onderdeel Corona bij veel gestelde vragen de link naar privacy en corona. Daar is een formulier te downloaden, waarmee een aanvraag kan worden gedaan. Aanvragen worden binnen 4 weken behandeld. GGD Hart voor Brabant heeft sinds vorige week 60 inzage- en verwijderingsverzoeken ontvangen.

3

•

Uitzetten van functionaliteiten in de systemen. Om het risico per direct te verminderen zijn landelijk in CoronIT en HPZone diverse functionaliteiten uitgezet. Het is niet meer mogelijk om downloads van gegevensbestanden te doen, prints van gegevensbestanden te maken (omdat dit als PDF kon) en om zoekopdrachten te doen (query’s) op BSN en postcode. Het risico op verder misbruik is hiermee zoveel mogelijk gereduceerd.

Tot slot Vanuit GGD GHOR Nederland en de GGD’en wordt alle medewerking verleend aan instanties die op grond van hun wettelijke taken toezicht houden, vragen stellen en controles uitvoeren. Wij zien het maatschappelijke belang daarvan en ons gezamenlijke doel is het herstel van vertrouwen. Als er nieuwe relevante ontwikkelingen zijn op dit dossier, dan stel ik u daar zo snel mogelijk van op de hoogte. Voor nu vertrouw ik erop u met dit schrijven voldoende geïnformeerd te hebben. Tijdens uw vergadering van 24 maart praten we u verder bij. Tot die tijd zal ik eventuele belangrijke en/of spoedeisende zaken steeds via een brief met u delen. Met vriendelijke groet,

Thérèse Claassen Wnd. Directeur Publieke Gezondheid

4