20210211-03 TV VVD AHorsten ANTW- Kadernota GGD

Technische Vragen Fractie: Naam: Datum: Voorstel tot Portefeuillehouder: Behandelend ambtenaar: Plaatsten op Notubox:

Dongense VVD Angela Horsten 03 februari 2021 indienen zienswijze kadernota 2021 GGD Hart voor Brabant Wethouder Lepolder Marlou van Meeuwen - Horsten ja

Vraag/vragen & antwoord/antwoorden:

De vragen 1 t/m 3 zijn beantwoord door de GGD Hart voor Brabant. 1. In hoeverre is sprake van toepassing van de AVG -richtlijnen binnen de huidige reguliere bedrijfsvoering? Zijn er Aantoonbare certificaten en/of gehanteerde systemen? Binnen de reguliere bedrijfsvoering van GGD Hart voor Brabant worden de AVG-richtlijnen gehanteerd. De GGD beschikt over werkprotocollen die in lijn zijn met de AVG. Specifiek voor inzage- en verwijderingsverzoeken heeft hij voor burgers een aanvraagformulier op zijn website gepubliceerd. Vast en tijdelijk personeel dat toegang heeft tot databestanden met persoonsgegevens, wordt bij aanstelling gevraagd om een Verklaring Omtrent Gedrag en getekende geheimhoudingsverklaring. Ook heeft de GGD in november 2020 de datalekprocedure van GGD Hart voor Brabant opnieuw geoptimaliseerd en onder de aandacht gebracht bij de medewerkers van de GGD. Dit heeft onderdeel uitgemaakt van communicatie richting de medewerkers met bewustwording als doel. In de landelijke en regionale werkinstructies t.b.v. testen, bron- en contactonderzoek (BCO) en vaccinatie is rekening gehouden met de rechten en plichten uit de AVG. Hierbij worden medewerkers regelmatig gewezen op het belang van privacy en de wijze waarop zij zorgvuldig met persoonsgegevens om moeten gaan. Dit zal ook in de toekomst regelmatig onder de aandacht worden gebracht bij de medewerkers.

Nadat de datadiefstel werd geconstateerd heeft GGD Hart voor Brabant nogmaals een check uitgevoerd. Hij heeft vastgesteld dat alle door hem ingezette externe medewerkers een VOG en ondertekende geheimhoudingsverklaring hebben. Bij vaste, interne medewerkers is dit ook het geval voor zover ze bij de GGD zijn komen werken, sinds het beleid omtrent VOG en geheimhoudingsverklaring is geïmplementeerd. Oudgedienden die al vele jaren bij de GGD werken hebben geen VOG, omdat dit destijds nog niet bestond. Daar staat tegenover dat voor alle ambtenaren (en medewerkers van GGD Hart voor Brabant zijn ambtenaren) sowieso een wettelijke geheimhoudingsplicht geldt. Bij de invoering van de Wet normalisering rechtspositie ambtenaren, hebben alle vaste medewerkers van de GGD digitaal moeten bevestigen dat zij zich houden aan de Vraag nummer:

Pagina 1 van 4

integriteitsregels, waaronder geheimhouding. Daarnaast is het goed om te vermelden dat er afgelopen week een Audit NEN 7510-1 : 2017 (audit voor informatiebeveiliging) heeft plaatsgehad in Het Servicecentrum (een shared servicecentrum waar GGD Hart voor Brabant met een aantal andere organisaties in deelneemt) door een externe partij. Naar aanleiding van die audit ontving GGD Hart voor Brabant het certificaat “Medische informatica – Informatiebeveiliging in de zorg”.

2. “De coronacrisis heeft een impuls gegeven aan onze ambitie om data gedreven te werken, zoals verwoord in onze beleidsvisie.” Vanuit welke data gaat de GGD werken? Komen er koppelingen interregionaal / landelijk en is er additionele input? Door de Coronacrisis is het bewustzijn over het belang en de meerwaarde van data en datagedreven werken voor dagelijkse sturing en beleidsvorming vergroot. Binnen de GGD heeft dit er toe geleid dat verschillende disciplines nog hechter zijn gaan samenwerken (zoals onderzoekers, dashboardbouwers en team infectieziektebestrijding). De crisis heeft een snelle ontwikkeling gebracht in de visualisatie van data, zoals via een dashboard veiligheidsregio Brabant-Noord. Daarnaast heeft de GGD koppelingen gelegd met de informatie van de andere twee Brabantse GGD’en ten behoeve van een Brabantbreed dashboard over de teststraten. Het ligt in de lijn der verwachting dat deze nieuwe manier van samenwerken ook gebruikt kan worden binnen reguliere GGD vraagstukken, waardoor ook hier meer datagedreven gewerkt kan worden. De GGD koppelt zijn data met landelijke datasets zoals die van CBS. Ook is hij met zijn gezondheidsmonitors en het gezondheidspanel aangesloten bij de landelijke lijn, waardoor de GGD zijn data kan vergelijken met landelijke cijfers (benchmarking). Veel andere koppelingen zijn er op dit moment niet.

Het blijkt in de praktijk ook lastig om dit te kunnen realiseren, zowel omwille van technische redenen als vanuit privacy oogpunt.

3. Is er een risicotoets op actuele processen – gegeven de uiterste onzorgvuldigheid waarmee we te maken hebben gekregen tijdens de coronapandemie ten aanzien van het lekken van persoonlijke gegevens. Dit zorgt voor een enorme deuk in het vertrouwen. Hoe gaat de GGD hiermee om in de toekomst om dit te voorkomen? Er zijn drie actuele landelijke processen te onderscheiden: testen, bron- en contactonderzoek (BCO) en vaccineren. Voor dat deel van het landelijk ontwikkelde systeem CoronIT dat gebruikt wordt ter ondersteuning van het testproces, is door GGD GHOR Nederland (koepelorganisatie van 25 regionale GGD’en) een Data Protection Impact Assessment (DPIA) in ontwikkeling. Deze wordt op zeer korte termijn definitief landelijk vastgesteld. Hierna zal GGD Hart voor Brabant deze zo snel mogelijk verwerken in een nadere regionale DPIA. Voor dat deel van het landelijk ontwikkelde systeem CoronIT dat gebruikt wordt ter ondersteuning van het vaccinatieproces, is tevens een DPIA in ontwikkeling. Voor de ondersteuning van de grote landelijke opschaling van het BCO-proces, is in de HPZone lite ontwikkeld voor alle Nederlandse GGD’en. Voor dit systeem is zowel landelijk Vraag nummer:

Pagina 2 van 4

als regionaal nog geen DPIA opgesteld. Voor HPZone lite wordt inmiddels een landelijk alternatief systeem ontwikkeld, onder de noemer GGD Contact. Inmiddels is hiervoor een landelijke referentie DPIA opgesteld, die vervolgens door de regionale GGD’en gebruikt kan worden voor hun eigen DPIA. Op dit moment zijn er geen aanwijzingen dat een eventueel verlies van vertrouwen als gevolg van de datadiefstal, leidt tot een afname van de test- en vaccinatiebereidheid. Mensen werken ook nog steeds goed mee aan het uitvoeren van bron- en contactonderzoeken. Er is bij GGD Hart voor Brabant een zestigtal verzoeken ingediend voor inzage en/of verwijdering van gegevens. GGD Hart voor Brabant hecht grote waarde aan zijn betrouwbaarheid, ongeacht of de datadiefstal impact heeft op de test- en vaccinatiebereidheid van zijn inwoners. Hij treft daarom diverse beschermingsmaatregelen, die waar nodig worden verbeterd: 





Controle aan de poort. Mensen moeten een Verklaring Omtrent Gedrag (VOG) aanleveren en een geheimhoudingsverklaring ondertekenen. GGD Hart voor Brabant heeft zich bij de aanname van personeel ervan verzekerd dat altijd en voor iedereen een VOG en geheimhoudingsverklaring voor handen is. Autorisatieniveaus. De IT systemen waarmee GGD Hart voor Brabant werkt, kennen verschillende rollen met bijbehorende autorisatieniveaus. Niet iedereen kan bij alle gegevens en kan alle functionaliteiten (zoals het downloaden van dataexports) gebruiken. Binnen GGD Hart voor Brabant is een autorisatiematrix ontwikkeld, gebaseerd op de rol of functie van iedere medewerker. Medewerkers krijgen alleen die autorisatie die nodig is voor zijn of haar functie. De autorisatiematrix wordt bijgehouden bij in-, door- en uitstroom van medewerkers. Er vindt hierop een maandelijkse check plaats. Naar aanleiding van de datadiefstal is ter check nog een keer doorgelicht wie binnen GGD Hart voor Brabant geautoriseerd is tot grote downloads (datadump). Dit is een zeer beperkte groep van medewerkers die dit op grond van hun functie daadwerkelijk nodig hebben, bijvoorbeeld om dashboards te maken. Controles op correct gebruik. De GGD’en controleren het gebruik van systemen door medewerkers, hebben de controles steeds verder verbeterd en doen dat nog steeds.

Vanwege het belang van de virusbestrijding en de gevraagde snelheid zijn de GGD’en – op diverse manieren – met steekproefsgewijze controles van start gegaan. In maart van dit jaar verwacht GGD GHOR Nederland bovendien systemen te implementeren die automatisch en continu zullen controleren op opvallend gebruik van de systemen (zoals grote downloads of onlogische inzage in dossiers). De Autoriteit Persoonsgegevens had vóór het bekend worden van de datadiefstal geen aanvullende vragen gesteld over de gehanteerde werkwijze. Specifiek voor GGD Hart voor Brabant geldt dat hij via de logging-functionaliteit van Microsoft 30 dagen kan terugkijken. De GGD gebruikt deze functionaliteit voor steekproefsgewijze controle van systeemgebruik door medewerkers en om terug te zoeken bij signalen en incidenten. GGD Hart voor Brabant gaat de periode van logging verlengen van 30 dagen naar 1 jaar, zodat hij verder terug kan kijken.

Tot slot is het goed om te benadrukken dat geen van de gearresteerde vijf personen werkzaam was bij GGD Hart voor Brabant. Er zijn tot op heden ook geen aanwijzingen Vraag nummer:

Pagina 3 van 4

ontvangen van politie en justitie dat (vaste of ingehuurde) medewerkers van onze GGD worden verdacht. Ook heeft de GGD zelf intern nadere checks uitgevoerd van zijn ‘logging-bestanden’ op eventuele onregelmatigheden. Die zijn niet aangetroffen. GGD Hart voor Brabant heeft ook op basis van eigen onderzoek op dit moment geen aanwijzingen dat zijn medewerkers betrokken zouden zijn bij datadiefstal. Het is evenwel nog niet duidelijk of door de gearresteerde medewerkers van het landelijke callcenter of medewerkers van andere GGD’en gegevens zijn gestolen en/of ten onrechte zijn ingezien van inwoners uit de gemeente Dongen. Dit moet duidelijk worden uit het landelijke onderzoek van politie en justitie. 4. De GGD geeft aan in de nota aan dat zij directe en indirecte kosten kunnen terugvorderen bij het ministerie. Is dat ook van toepassing voor vragen (en bijbehorende kosten) n.a.v. de coronacrisis die vragen om begeleiding van de bewoners van Dongen en nu worden doorbelast naar de gemeente? Dat is namelijk een indirect gevolg. De gemeente wordt op verschillende manieren gecompenseerd in het kader van de coronacrisis. Voorbeelden zijn de compensatie voor coördinatie noodopvang onderwijs, toezicht en handhaving, meerkosten jeugd en Wmo (t.b.v. aanbieders). Daarnaast zijn er diverse steunpakketten bestemd voor bijvoorbeeld lokale cultuur en vrijwilligersorganisaties jeugd.

In zijn algemeenheid worden de door de gemeente gemaakte meerkosten naar aanleiding van de coronacrisis geregistreerd, maar het is nog niet duidelijk hoeveel we daarvan vergoed krijgen. Daarbij is het niet/moeilijk meetbaar welke ondersteuningsvragen extra ontstaan zijn door de coronacrisis.

Vraag nummer:

Pagina 4 van 4