RA 22 004 Bijlage 2. Persbericht GGD GHOR NL

GGD MAAKT VOLOP WERK VAN BESCHERMING PERSOONSGEGEVENS Utrecht, 9 november 2021 – GGD GHOR Nederland heeft kennis genomen van de rapportage van de Autoriteit Persoonsgegevens (AP) naar de datadiefstal van begin dit jaar uit de systemen die gebruikt worden voor de test- en vaccinatieafspraken en het bron- en contactonderzoek. Net als de AP is ook GGD GHOR Nederland van mening dat persoonsgegevens zo goed mogelijk moeten worden beschermd. De meeste aanbevelingen van de AP, het onderzoek vond vanaf februari plaats, zijn direct na de datadiefstal opgepakt. Op basis van het onderzoek maakt de AP geen gebruik van haar handhavingsbevoegdheid. Zo zijn export- en printfuncties direct beperkt en zijn de loggingprocedures geïntensiveerd en aangescherpt, waarbij inmiddels ook geautomatiseerde controle plaatsvindt op de logging. Bij GGD Contact, het door het ministerie van VWS, GGD GHOR Nederland en alle GGD’en aangewezen vervangend systeem voor HPZone Lite, zijn informatiebeveiliging en privacy integrale onderdelen van de ontwikkeling en implementatie. GGD GHOR Nederland zal de AP middels de door haar gevraagde voortgangsrapportage informeren over de verbeteringen die doorgevoerd zijn. Het onderzoek van de AP vond vanaf februari plaats bij GGD GHOR Nederland en is later uitgebreid naar twee GGD’en en één van de betrokken callcenters.

Onlangs deelde de AP haar conclusies met GGD GHOR Nederland en de twee onderzochte GGD’en. De AP signaleert op basis van uitgebreid en intensief onderzoek een aantal verbeterpunten. Zo komt zij onder meer met de aanbeveling om de toegangsbeveiliging en de autorisatieprocessen verder aan te scherpen en de afspraken tussen partijen inzake de informatiebeveiliging te verbeteren. Daarnaast doet de AP aanbevelingen ten aanzien van de beveiliging en de vervanging voor de systemen HPZone en HPZone Lite en vraagt zij om een voortgangsrapportage op haar bevindingen. André Rouvoet, voorzitter van GGD GHOR Nederland: “Wij zijn de AP erkentelijk voor haar constructieve opstelling gedurende het onderzoek, alsook dat ze oog heeft gehad voor de context die een gezondheidscrisis van deze omvang meebrengt en de daarmee gepaard gaande inspanningen van de GGD'en, GGD GHOR Nederland en de gecontracteerde callcenters. Iedere dag werken we met vele collega’s om Nederlanders te testen, te vaccineren en bron- en contactonderzoek uit te voeren. Het waarborgen van de dataveiligheid is daar onlosmakelijk mee verbonden. Nederlanders moeten erop kunnen vertrouwen dat hun data bij de GGD-organisatie in veilige handen zijn. We betreuren het dat er datadiefstal uit onze systemen heeft plaatsgevonden en begrijpen dat de AP meekijkt naar onze beveiligingsmaatregelen.

Het is ook goed dat er vanuit de rechter een krachtig signaal is uitgegaan naar diegenen die zich schuldig aan de datadiefstal hebben gemaakt. Wij tolereren niet dat medewerkers misbruik maken van het systeem waartoe ze voor hun werkzaamheden bij de GGD toegang hebben. Indien een overtreding ontdekt wordt, wordt hier direct op geacteerd hetgeen kan leiden tot aangifte en ontslag op staande voet,” aldus André Rouvoet.

Noot voor de redactie: ---------------------------------------------------------------------------------------------------------------------------------------------Jacqueline Toonen Woordvoerder GGD GHOR Nederland Mobiel: 06- 15 18 97 51 of 06-83 77 59 07 (Perslijn)

KORTE Q&A IVM WOORDVOERING ONDERZOEK AUTORITEIT PERSOONSGEGEVENS Wat vindt GGD GHOR Nederland van de publicatie van de AP? GGD GHOR verwijst voor haar standpunt ten aanzien van de publicatie van de AP graag naar het persbericht zoals dat is opgenomen op de website. Gaat GGD GHOR Nederland nog in bezwaar of beroep tegen de bevindingen en resultaten van de AP? Daar is op dit moment geen sprake van. GGD GHOR Nederland geeft er de prioriteit aan om verdere maatregelen aan te scherpen waar nodig ter beveiliging van haar systemen. Hoe stelt GGD GHOR vast dat de AP geen handhavingsbevoegdheden gebruikt, waaronder het opleggen van een boete? Dit heeft de AP mondeling en schriftelijk bevestigd aan GGD GHOR Nederland bij de bespreking van de bevindingen en resultaten van haar onderzoek. Kan GGD GHOR aangeven hoe groot de omvang van de datadiefstal nu is geweest? Tot op heden hebben wij er weet van dat er 7 verdachten zijn aangehouden door de politie bij wie gegevens van circa 1250 Nederlanders aangetroffen zijn. Alle gedupeerden zijn door ons schriftelijk hierover geïnformeerd. Twee daders zijn inmiddels veroordeeld door de rechter. Klopt het dat burgers die uit het politieonderzoek naar voren zijn gekomen over de datadiefstal zijn geïnformeerd? Dat klopt. Alle betrokkenen zijn door GGD GHOR Nederland mede namens de GGD’en geïnformeerd.

Indien uit het politieonderzoek naar voren komt dat ook andere betrokkenen zijn geraakt door de datadiefstal, dan zal GGD GHOR ook deze betrokkenen zo snel mogelijk informeren. De AP concludeert in haar onderzoeksresultaten dat wij de betrokkenen correct hebben geïnformeerd over de datadiefstal. In de publicatie van de AP staat dat GGD GHOR de controle op de (geautomatiseerde) logging, althans de SIEM-oplossing nog steeds niet heeft geïmplementeerd. Hoe kan dat? Het klopt dat de implementatie van de SIEM oplossing vertraging heeft opgelopen door de complexiteit van ons systeemlandschap. Inmiddels is de SIEM operationeel. De informatie uit de publicatie van de AP is achterhaald. Wat gaat GGD GHOR precies doen nu de AP haar onderzoeksresultaten heeft gepubliceerd? GGD GHOR richt zich op het continu verbeteren van onze dienstverlening, de processen daar binnen en de systemen, onder andere op het vlak van de informatiebeveiliging. We zullen conform het verzoek van de AP aan de AP rapporteren over de voortgang op haar bevindingen. Kunnen jullie aangeven welke specifieke maatregelen er zijn genomen op het gebied van beveiliging? Maatregelen die we onder andere genomen hebben in de systemen, zijn het beperken van de print/export en zoekfunctionaliteit zodat medewerkers deze rechten alleen hebben indien dat noodzakelijk is voor de uitoefening van hun werkzaamheden.

Ook zijn we het gebruik van de systemen intensiever gaan monitoren en loggen. Daarnaast is het beleid rondom de geheimhoudingsverklaring en het overleggen van een VOG aangescherpt en de scholing van medewerkers geïntensiveerd. Kan er iets gezegd worden over de implementatie van GGD Contact als opvolger van HPZone (lite)? GGD Contact is het door het ministerie van het ministerie van VWS, GGD GHOR Nederland en alle

GGD’en aangewezen vervangend systeem voor HPZone Lite, en wordt momenteel bij alle GGD’en gefaseerd geïmplementeerd. De landelijke callcenters zullen de komende weken volgen. Bij de implementatie van GGD Contact zijn informatiebeveiliging en privacy integrale onderdelen van de ontwikkeling en implementatie. Kunt u garanderen dat de gegevens van mensen nu veilig bij u zijn? Geen enkele organisatie kan 100% garantie geven, echter dataveiligheid en privacy zijn integrale onderdelen van onze werkprocedures. Het is een doorlopend proces waarbij we continu de veiligheid van onze systemen analyseren en verbeteren. We spannen ons maximaal in om de data van alle Nederlanders goed te beschermen en beveiligen tegen onrechtmatige inzage en misbruik. Het is verder goed te benadrukken dat de AP aanscherpingen heeft aangedragen die we grotendeels al hebben opgepakt. Waarom heeft de AP slechts 2 van de 25 GGD’en onderzocht en waarom juist deze? De AP stelt dat zij haar onderzoek op basis van een steekproef heeft uitgevoerd, maar de AP heeft daarbij niet toegelicht hoe zij tot die keuze is gekomen en evenmin staat vast dat hier sprake is van een representatieve steekproef. GGD GHOR Nederland gaat echter niet over de wijze waarop de AP haar onderzoek uitvoert. Waarom wordt HPZone Lite uitgefaseerd? HPZone is een systeem dat wordt gebruikt voor infectiebestrijding van alle typen infectieziekten.

Bij de uitbraak van het coronavirus is dit systeem ook hiervoor gebruikt. Met het uitbreiden van het aantal medewerkers, is in aanvulling op HPZone, ook HPZone Lite ontwikkeld. Dit om ervoor te zorgen dat medewerkers alleen toegang hadden tot de COVID-19 gegevens. Nog voor de datadiefstal is bedacht dat er een nieuw ICT-systeem ontwikkeld moest worden ter vervanging van HPZone Lite omdat dit systeem nooit ontwikkeld is om gebruikt te worden in een infectieziekte-uitbraak van deze omvang. (Achtergrond HPZoneLite) Waarom hebben jullie HP Zone Lite geïmplementeerd (in augustus 2020)? (Q&A website) HPZone Lite is bedoeld om grote aantallen medewerkers makkelijk te laten werken aan bron- en contactonderzoek. In de eerste golf liepen GGD-regio’s over en konden andere GGD-regio’s hen niet helpen. Dat hebben we opgelost in HPZone Lite, door het systeem zo in te richten dat GGD’en elkaar wel konden helpen. Hierdoor konden veel meer bron- en contactonderzoeker hun werk doen en kon het bron en contactonderzoek sneller worden opgestart zodat we voorkwamen dat positief geteste mensen en hun directe contacten weer anderen besmetten.