De GGD heeft zijn zaken op het gebied van privacy nog altijd niet op orde. Medewerkers die zijn ontslagen hebben, meer dan een maand na hun ontslag, soms nog toegang tot persoonsgegevens van alle Nederlanders. Bij de training van nieuwe medewerkers worden verder vertrouwelijke gegevens getoond.
Dat schrijft De Gelderlander. Het dagblad sprak met meerdere huidige werknemers en oud-medewerkers van de GGD.
De GGD ligt al geruime tijd onder vuur vanwege een grootschalig datalek. Het lek kwam begin 2021 boven tafel nadat RTL Nieuws had ontdekt dat duizenden medewerkers toegang hadden tot persoons- en medische gegevens van miljoenen Nederlanders die zich hadden laten testen op corona. Sommigen kopieerden deze gegevens en verkochten de data via kanalen als Telegram, Snapchat en Wickr.
Toenmalig minister van Volksgezondheid, Welzijn en Sport Hugo de Jonge ging diep door het stof. Hij bood zijn excuses aan voor de gang van zaken in de Tweede Kamer en beloofde beterschap. Hij nam allerlei aanvullende veiligheidsmaatregelen om herhaling in de toekomst te voorkomen. De GGD schakelde de print- en exportfunctionaliteit grotendeels uit, beperkte de zoekmogelijkheden in de computersystemen, liet meer interne controles en externe audits uitvoeren om misbruik te voorkomen en liet de VOG-administratie (Verklaring Omtrent Gedrag) op orde brengen.
Nadat het datalek aan het licht kwam, stelde de Autoriteit Persoonsgegevens een onderzoek in naar de kwestie. De toezichthouder zag dat de GGD allerlei verbeteringen had doorgevoerd, maar vond dit nog onvoldoende. Volgens de privacywaakhond bestond er nog altijd te veel onduidelijkheid over het autorisatiebeheer en de controle van logbestanden. Tevens ontbraken er duidelijke afspraken over beveiligingsmaatregelen tussen koepelorganisatie GGD GHOR, de 25 GGD-afdelingen en samenwerkingspartners. De Autoriteit Persoonsgegevens noemde deze tekortkomingen “wezenlijke risico’s”.
De Gelderlander sprak met meerdere (oud-)medewerkers van de GGD om te kijken of de GGD zijn zaakjes op het gebied van privacy inmiddels op orde heeft. Dat blijkt niet het geval. Als voorbeeld noemt het dagblad een trainingsronde in de regio Arnhem/Ede. GGD Gelderland-Midden toonde klassikaal de persoonlijke gegevens van een vrouw die gevaccineerd zou worden. Het ging om onder meer het woonadres, contactgegevens, BSN-nummer en medicijngebruik.
Een woordvoerder van GGD GHOR erkent dat deze situatie zich heeft voorgedaan. “Dit is eenmalig gebeurd. Dit hoort niet en is ook niet onze gebruikelijke gang van zaken. Elke opleiding wordt gegeven vanuit een testomgeving met fictieve personen en gegevens”, aldus de woordvoerder tegenover De Gelderlander. De fout is volgens hem het gevolg van de snelle opschaling van de GGD-afdelingen om boosterprikken te zetten.
Dit is niet het enige voorval waarbij de privacy niet is gewaarborgd. Een oud-medewerker zegt dat hij anderhalve maand nadat hij uit dienst was gegaan nog steeds kon inloggen op de IT-systemen van de GGD. Daarmee kon hij persoons- en andere vertrouwelijke gegevens van miljoenen Nederlanders inzien. “Zoals het BSN-nummer en het mailadres, en dat is als je kwaad in de zin hebt toch een gevaarlijke combinatie”, zo vertelt hij tegenover de krant.
De GGD benadrukt dat dit niet de bedoeling is. Als iemand stopt of wordt ontslagen, moet de regionale GGD-afdeling het account stopzetten. Soms duurt het echter even voordat dit geregeld is, vertelt een woordvoerder.
Volgens de GGD is het onmogelijk te regelen dat tijdelijke medewerkers of uitzendkrachten minder persoonsgegevens te zien krijgen dan vaste medewerkers. “De GGD’s zijn in zeer hoog tempo opgeschaald om de inwoners van Nederland die dat wilden tijdig vaccinaties toe te dienen tegen het coronavirus. De snelheid van de opschalingsoperatie maakte het niet mogelijk onderscheid te maken tussen vaste en tijdelijke medewerkers”, aldus de GGD.
De woordvoerder benadrukt dat er maatregelen zijn getroffen waardoor werknemers met een tijdelijk contract alleen toegang hebben tot de gegevens die noodzakelijk zijn voor hun werk. Zo zijn de medische voorgeschiedenis en het medicijngebruik alleen zichtbaar voor vaste medewerkers.
Op andere vlakken heeft de GGD zijn zaakjes wel op orde. Alle medewerkers moeten een geheimhoudingsverklaring ondertekenen en een VOG overhandigen. Verder wordt iedere medewerker automatisch door het systeem gecontroleerd of hij niet meer gegevens opvraagt dan noodzakelijk.
De Autoriteit Persoonsgegevens wil tegenover De Gelderlander niets zeggen over de beweringen van de krant. De toezichthouder kijkt in maart wat er van haar aanbevelingen terecht is gekomen. Tot die tijd doet de privacywaakhond geen mededelingen.
Tweede Kamerlid Attje Kuiken (PvdA) zegt het “zeer schadelijk” te vinden dat de GGD nog steeds geen orde op zaken heeft gesteld. “Terwijl het over zeer persoonlijke gegevens gaat waar kwaadwillenden veel schade mee kunnen aanrichten. Ondanks de beloftes aan de Tweede Kamer van het kabinet is het dus nog steeds niet op orde.”
