VNG: GGD-koepel moet betrokken bestuurders informeren

Nu de beveiliging van persoonsgegevens bij de GGD’en niet afdoende blijkt, is het aan koepelorganisatie GGD GHOR om de betrokken gemeentelijke bestuurders te informeren. Dat laat de Vereniging van Nederlandse Gemeenten (VNG) weten. ‘Het is vervolgens aan de afzonderlijke gemeenten om op basis van die informatie te handelen.’

‘Voorop staat dat ook gemeenten zijn geschrokken van de berichten over handel in persoonsgegevens uit de coronasystemen van de GGD’, schrijft de VNG. Uit berichtgeving van RTL Nieuws blijkt dat er wordt gehandeld in gegevens afkomstig uit systemen die de GGD gebruikt in de bestrijding van de coronacrisis. ‘De impact hiervan is aanzienlijk’, erkent de VNG. ‘Vertrouwen in deze organisatie is essentieel bij de organisatie en uitvoering van de publieke gezondheid.’

Verantwoording afleggen

De vraag rijst wat gemeenten met de kwestie aan moeten. ‘Publieke gezondheid is een gemeentelijke taak. De uitvoering ervan hebben gemeenten belegd bij de GGD’en, vaak via een gemeenschappelijke regeling. Een gemeente heeft via de betrokken wethouder zitting in het bestuur van de GGD van die gemeente.’ De GGD gaat over de uitvoering van de publieke gezondheidstaak en GGD’en leggen daarover uiteindelijk verantwoording af aan hun bestuurders. Ook over de wijze waarop met de persoonsgegevens van cliënten wordt omgegaan.

Systemen

Vanwege de coronacrisis is het afnemen van testen, het bron- en contactonderzoek en de vaccinatie door de rijksoverheid neergelegd bij de GGD’en. Voor de verwerking van die systemen gebruiken GGD’en twee systemen: HPZone en CoronIT. HPZone wordt al jarenlang gebruikt. CoronIT, waar GGD’en mee zijn gaan werken toen zij de opdracht kregen van het ministerie om mensen te gaan testen op het virus, is relatief nieuw.

‘De ontwikkeling van dat systeem en beveiliging van de gegevens is een taak van de koepel van GGD’en’, vertelt de VNG. ‘Nu deze beveiliging niet afdoende blijkt is aan de koepel van GGD’en om de betrokken gemeentelijk bestuurders over de ontstane situatie te informeren en daarbij handelingsperspectief te bieden.’

Hoeveelheid

Er zouden volgens de berichtgeving van RTL Nieuws accounts zijn die gegevens van een specifiek persoon aanbieden, maar ook accounts die persoonsgegevens van tienduizenden Nederlanders aanbieden. Vandaag schrijft GGD GHOR echter op de eigen website: ‘Voor zover wij nu kunnen overzien zijn er persoonsgegevens van individuen uit CoronIT gehaald. Geen datasets met gegevens van duizenden (of meer) mensen.’

Bescherming tegen kwaadwillenden

Verder schrijft GGD GHOR dat het niet om systeemfouten gaat, maar om boosaardige opzet van mensen. ‘Als kwaadwillende mensen moedwillig gegevens uit een systeem halen, dan is dat bijna niet te voorkomen. Elk systeem is zo sterk als de zwakste schakel en meestal zijn de mensen de zwakste schakel.’

Ook minister De Jonge (Volksgezondheid, CDA) zei dat het niet meevalt om tegen kwaadwillenden te beveiligen, maar volgens drie experts die AG Connect sprak is er meer mogelijk dan de GGD nu had ingericht. Bijvoorbeeld een risicoanalyse vooraf, het classificeren van data, vanaf het begin privacy of beveiliging meenemen in het ontwerp (privacy-by-design of security-by-design) of bepalen wie toegang moet hebben tot welke data.