De Jonge over GGD-systemen: er had meer aandacht voor privacy moeten zijn

RTL Nieuws meldde vorige week dat er massaal data gelekt werd uit de coronasystemen HPZone voor bron- en contactonderzoek en CoronIT voor ondersteuning bij het testen. De Tweede Kamer reageerde daar vandaag kritisch op tijdens een debat met verantwoordelijke ministers De Jonge en minister Sander Dekker voor Rechtsbescherming. Diverse partijen nemen het De Jonge kwalijk dat er al eerder signalen waren, maar er geen actie werd ondernomen en dat het überhaupt zo ver heeft kunnen komen.

De Jonge gaf tijdens het debat zijn fouten toe. Hij laat weten dat de GGD GHOR Nederland op 2 juli 2020 in ieder geval één signaal formeel had binnengekregen over kwetsbaarheden. Ook benoemde hij eerdere berichten van onder meer Nieuwsuur en het AD over werknemers die ongeoorloofd toegang hadden tot allerlei gegevens. Zo bleek toen al dat medewerkers naar informatie van BN'ers konden kijken. 

De problemen konden ontstaan doordat er onvoldoende aandacht voor privacy en dataveiligheid was, omdat de focus primair op snelheid lag, gaf De Jonge gisteren al in een brief aan de Kamer aan. Tijdens het debat herhaalde hij dat en zei hij dat hij er scherper bovenop had moeten zitten. "Ik ben het ermee eens dat we hier vanaf de start meer aandacht voor hadden moeten hebben. Er waren dit najaar al signalen die ik te veel aan de GGD heb overgelaten, waar ik me meer mee had moeten bemoeien." Ook vindt hij dat de print- en exportfuncties in de GGD-systemen - waarmee data gelekt werd - eerder verwijderd hadden moeten worden. 

Verbeterplan

De minister vertelt in het debat dat er pas echt actie werd ondernomen toen er in het najaar diverse storingen ontstonden in de systemen van de GGD en het RIVM. "Tussen de communicatie zat nogal wat instabiliteit. Daarom hebben we opdracht gegeven voor onderzoek naar de ketenbrede IT-systemen. Want als dit misging, dan zaten er vast meer problemen in."

Dat bleek inderdaad zo te zijn: op 24 december informeerde De Jonge de Tweede Kamer in een brief over meerdere kwetsbaarheden in de GGD-systemen. Die kwetsbaarheden hadden onder meer betrekking op informatiebeveiliging, IT-continuïteit, datakwaliteit en toekomstbestendigheid. In reactie op dat rapport werd opdracht gegeven een verbeterplan op te stellen. Volgens De Jonge ligt dat plan deze week voor bij de Landelijke Coördinatiestructuur Testcapaciteit (LCT). 

De minister zegt dat hij strakker op dat rapport en de te nemen maatregelen gaat zitten. Hij geeft bijvoorbeeld opdracht voor een externe audit voor de genomen maatregelen, om te controleren of deze wel uitgevoerd zijn en of ze voldoende zijn. De Jonge hoopt de Kamer over ongeveer zes weken over de uitslag te kunnen informeren. 

GGD niet volledig NEN-gecertificeerd

De minister zette tijdens het debat ook een aantal van zijn eerdere uitspraken over het datalek recht. Zo zei hij vorige week tijdens het vragenuurtje dat de GGD constant systemen controleert, maar nu benadrukt hij dat hij dat niet zo had moeten zeggen. "Dat wekt de indruk dat er geautomatiseerd gecontroleerd werd. Dat is niet zo. De GGD heeft structureel steekproefsgewijs gecontroleerd." 

Ook blijkt dat de GGD niet in zijn geheel NEN-gecertificeerd is. De Jonge zei vorige week dat het GGD-systeem aan de laatste NEN-norm voldoet. Dat klopt, maar dat geldt alleen voor de software. De organisatie van de GGD is nog niet volledig NEN-gecertificeerd, maar daar bereidt ze zich wel op voor. Wanneer die NEN-certificering volgt, kon De Jonge niet zeggen. 

Autoriteit Persoonsgegevens

Vanuit de Tweede Kamer kwam ook kritiek op de rol van de Autoriteit Persoonsgegevens (AP). Volgens diverse partijen heeft de toezichthouder nu niet voldoende capaciteit en middelen om goed toezicht te houden en om datalekken op te sporen. Minister Dekker voor Rechtsbescherming zei daarop dat het budget van de AP de afgelopen jaren verdrievoudigd is en dat de AP zijn werk in Nederland goed kan uitvoeren. 

Katja Mur, bestuurslid van de AP, zei gisteren tijdens een bijeenkomst over het onderzoek naar taken en financiële middelen van de toezichthouder echter dat het budget voor 2022 veel lager is. Voor 2021 kreeg de AP volgens Mur 24,6 miljoen euro van minister Dekker, maar volgend jaar is dat budget nog maar iets meer dan 18 miljoen euro. Dat bedrag werd afgelopen herfst ook in de Miljoenennota vastgelegd. 

SP-Kamerlid Maarten Hijink diende vandaag een motie in om de AP genoeg geld te geven zodat de organisatie vanaf 2022 kan groeien om 470 mensen in dienst te hebben, in plaats van de 184 mensen die er nu werkzaam zijn. Een grote aantal partijen in de Kamer ondersteunt die motie.