Inbreng verslag schriftelijk overleg : Inbreng verslag van een schriftelijk overleg over Datalek Donorregister (Kamerstuk 32761-160)

In de vaste commissie voor Volksgezondheid, Welzijn en Sport bestond bij enkele fracties
behoefte een aantal vragen en opmerkingen voor te leggen aan de Minister van Volksgezondheid,
Welzijn en Sport over de brief van 10 maart 2020 over het datalek Donorregister (Kamerstuk
32 761, nr. 160).

De voorzitter van de commissie, Lodders

De adjunct-griffier van de commissie, Krijger

Inhoudsopgave

blz.

I

Vragen en opmerkingen vanuit de fracties

2

II

Reactie van de Minister

6

I. Vragen en opmerkingen vanuit de fracties

Vragen en opmerkingen van de VVD-fractie

De leden van de VVD-fractie hebben met interesse kennisgenomen van de brief «Datalek
Donorregister» met als bijlage de brief van het CIBG «Onvindbare externe gegevensdrager
Donorregister» en hebben hierover enkele vragen.

Ten eerste hebben de leden van de VVD-fractie vragen over het moment dat het datalek
moet hebben plaatsgevonden. In de brief van de Minister staat dat de vermissing van
de harde schijven is ontdekt tijdens het vernietigen van het papieren archief, een
proces dat plaatsvond vanaf begin 2020. Op 6 maart 2020 jl. is het datalek door het
CIBG gemeld bij de Autoriteit Persoonsgegevens (AP). Genoemde leden zouden graag willen
weten wanneer de Minister precies op de hoogte is gebracht van de vermissing van de
harde schijven en indien dit eerder was dan 6 maart, waarom dit niet eerder is gemeld
aan de Kamer. Daarnaast vragen deze leden of een kans bestaat dat de data al langere
tijd werden vermist dan dat de vermissing is opgemerkt door het CIBG. Indien dit het
geval is, hoe lang zijn de harde schijven dan mogelijk al weg? Concluderend zien de
leden van de VVD-fractie graag van de Minister een preciezer tijdpad van de gebeurtenissen
tegemoet.

Voorts hebben de leden van de VVD-fractie vragen over de beveiliging van de harde
schijven. In de bijlage wordt vermeld dat onduidelijkheid bestaat over de vraag of
de harde schijven zijn beveiligd. Genoemde leden vragen waarom hierover geen uitsluitsel
kan worden gegeven. Ook staat vermeld dat de schijven hoogstwaarschijnlijk niet waren
beveiligd. Wat is de reden dat privacygevoelige informatie die in het Donorregister
staat niet is versleuteld? Daarnaast stelt het CIBG dat de aanwezige beveiligingsprotocollen
onvoldoende zijn nageleefd. Deze leden zouden graag willen weten waarom deze protocollen
niet zijn nageleefd, hoe de Minister het functioneren van het CIBG in dit licht evalueert
en of hij voornemens is maatregelen te nemen die dit soort datalekken in de toekomst
voorkomen. Er is terecht steeds meer aandacht voor de digitale beveiliging van onze
data, maar wordt er daarbij ook nog voldoende aandacht besteed aan de beveiliging
van de fysieke dragers van data? Daarnaast vragen deze leden op welke manier de Minister
voornemens is de bestaande protocollen aan te scherpen en te herzien.

De leden van de VVD-fractie vragen wat de stelling dat «er geen aanwijzingen zijn
dat de schijven op enige wijzen zijn ontvreemd» betekent? Kan de Minister uitsluiten
dat er geen gegevens in handen zijn van derden? Ook willen genoemde leden graag weten
op welke manier de verdere zoektocht naar de schijven zal geschieden en hoe groot
de Minister de kans acht dat de data alsnog zullen worden teruggevonden.

Daarnaast staat in de bijlage dat de vermiste data bestaan uit «voor- en achternaam,
geslacht, geboortedatum, adresgegevens, donorkeuze, handtekening en burgerservicenummer
of A-nummer van de periode februari 1998 tot juni 2010». Kan de Minister onderbouwen
waarom dit tot de conclusie leidt dat de kans op identiteitsfraude klein is? Worden
de mensen wier gegevens nu mogelijk op straat liggen geïnformeerd? Zo ja, wat wordt
hen verteld?

Tot slot hebben de leden van de VVD-fractie vragen over dit incident in relatie tot
de inwerkingtreding van de nieuwe Donorwet in juli 2020. De Minister erkent dat met
dit incident het vertrouwen van burgers in het donorregistratiesysteem mogelijk is
geschaad. Ziet de Minister de noodzaak om dit vertrouwen te herstellen? Zo ja, op
welke manier is hij voornemens om dit te doen?

Vragen en opmerkingen van de CDA-fractie

De leden van de CDA-fractie maken graag van de gelegenheid gebruik enkele aanvullende
vragen te stellen naar aanleiding van het datalek bij het Donorregister.

De leden van de CDA-fractie lezen in de bijlage, de brief van het CIBG, dat de twee
verdwenen externe harde schijven hoogstwaarschijnlijk niet waren beveiligd. Genoemde
leden vragen aan de Minister waarom deze niet beveiligd waren. Kan de Minister tevens
aangeven wie binnen het CIBG toegang had tot deze gegevens? Zijn hiervan log- of registratiegegevens
beschikbaar over wie toegang tot de kluis hadden? Indien dat niet het geval is, vragen
deze leden waarom deze gegevens niet bijgehouden zijn.

De leden van de CDA-fractie vragen aan de Minister of hij bij het CIBG kan nagaan
wanneer de twee externe harde schijven voor het laatst geraadpleegd zijn en wanneer
deze voor het laatst gezien zijn.

Genoemde leden maken zich zorgen over de mogelijke verspreiding van de gegevens die
op deze twee externe harde schijven staan. Kan de Minister aangeven wat de risico’s
en gevolgen zijn als deze gegevens in verkeerde handen vallen?

De leden van de CDA-fractie lezen dat het kabinet voornemens is een register ontstaansgeschiedenis
(ROG) in te richten, van belang in verband met draagmoederschap, donorschap en adoptie.1 Hier worden zeer gevoelige gegevens in opgenomen waar alleen kinderen toegang toe
moeten hebben. Gelet op de behoefte aan beveiliging en toegankelijkheid vragen de
leden van de CDA-fractie hoe er aan de voorkant voor wordt gezorgd dat dit register
geen kwetsbaarheden heeft?

Vragen en opmerkingen van de D66-fractie

De leden van de D66-fractie hebben met teleurstelling kennisgenomen van de brief van
de Minister en de brief van het CIBG aan de Minister.2 Gezien de korte tijd tot de nieuwe Donorwet in werking treedt, kan dit het vertrouwen
dat men heeft in het Donorregister ernstig schaden. Deze leden horen dan ook allereerst
graag van de Minister welke stappen hij en het CIBG gaan zetten om het geschade vertrouwen
in het Donorregister en de zorgvuldige omgang met persoonlijke gegevens van mensen
te herstellen, aanvullend aan de stappen die reeds in de brief staan. Over de vraag
hoe dit datalek precies heeft kunnen ontstaan, hebben deze leden ook nog enkele vragen.

Allereerst hebben de leden van de D66-fractie enkele vragen over de precieze data
betreffende dit datalek. Op welke datum (of data) is een back-up gemaakt van de twee
externe harde schijven? Vervolgens zijn deze externe harde schijven in een kluis gelegd,
zo maken deze leden op uit de brief. Op welke datum zijn deze documenten precies in
de kluis gelegd? Vervolgens lezen genoemde leden dat er twee verhuizingen van het
Donorregister hebben plaatsvonden. Graag vernemen deze leden de precieze data van
deze verhuizingen. Ook vernemen zij graag of de desbetreffende kluis tijdens beide
verhuizingen direct is mee verhuisd. Kan de Minister daarnaast bevestigen dat voorafgaand
aan en na afloop van beide verhuizingen, de inhoud van de kluis is gecontroleerd en
men derhalve na beide verhuizingen wist dat de externe harde schijven nog in de kluis
lagen? Kan de Minister toelichten op welke datum precies werd begonnen met de vernietiging
van het papieren archief van het Donorregister als gevolg van het Vervangingsbesluit
Donor archief 1998–2010 CIBG?3 Op welke datum werd ontdekt dat twee externe harde schijven niet meer in de kluis
lagen? Is er toen eerst een zoekactie begonnen en zo ja, tot welke datum heeft die
geduurd? Op welke datum heeft de privacy officer van het CIBG de vermissing van de
back-up aangemerkt als een datalek? Klopt het dat de AP op 6 maart op de hoogte is
gesteld van het datalek? Klopt het dat de Minister op 9 maart op de hoogte is gesteld
van het datalek, of is de Minister hierover al eerder (informeel) geïnformeerd?

Ten tweede hebben de leden van de D66-fractie enkele vragen over de beveiliging van
de externe harde schijven. Deze leden lezen dat de externe harde schijven «hoogstwaarschijnlijk niet zijn beveiligd». Deze leden hebben zich verbaasd over deze passage uit de brief. Kan de Minister
toelichten wat precies bedoeld wordt met deze passage? Waarom is het niet bekend of
deze externe harde schijven beveiligd zijn? Op welke wijze zouden dergelijke externe
harde schijven met persoonsgegevens volgens de AP en de Algemene verordening gegevensbescherming
(AVG) beveiligd moeten zijn? Indien de harde schijven wel beveiligd waren, hetgeen
dus hoogstwaarschijnlijk niet het geval was, voldeed de beveiliging aan de eisen van
de AP en de AVG?

De leden van de D66-fractie vernemen graag meer informatie over de kluis waar deze
twee externe harde schijven in opgeslagen lagen. Genoemde leden vragen of er ook andere
documenten of harde schijven opgeslagen lagen in deze kluis. Zo ja, zijn deze nog
wel allemaal in het bezit van het CIBG? Kan de Minister daarnaast toelichten of de
kluis zelf ook enige vorm van beveiliging had en hoeveel personen toegang hadden tot
deze kluis? Moest voor toegang tot de kluis een bepaald document getekend worden of
kon een ieder (die de eventuele toegangscode voor deze kluis had) deze gewoon openen?

Ten aanzien van de gelekte persoonsgegevens vernemen de leden van de D66-fractie graag
of precies bekend is welke persoonsgegevens gelekt zijn. Van hoeveel unieke personen
zijn nu persoonsgegevens gelekt? Worden deze mensen hierover (actief of passief) geïnformeerd?
Ondanks dat in de brief staat dat het risico op identiteitsfraude in alle redelijkheid
als laag aan te merken valt, kan identiteitsfraude niet (geheel) worden uitgesloten.
Graag vernemen deze leden op welke wijze wordt gemonitord of identiteitsfraude met
de gelekte persoonsgegevens plaats vindt. Indien identiteitsfraude plaatsvindt, waar
kunnen gedupeerden terecht en hoe weten zij dat? Tot slot over dit onderwerp, kan
de Minister toelichten wat wordt bedoeld met de zin in de brief dat hij «geen signaal
heeft ontvangen van onbevoegde kennisname van de gegevens op de externe harde schijven».
Op welke wijze zou de Minister hiervan signalen hebben ontvangen? Hoe kan de Minister
uitsluiten dat dit wel of niet gebeurd is?

Over de beveiligingsprotocollen en (werk)instructies hebben de leden van de D66-fractie
ook nog enkele vragen. Zo lezen zij in de brief dat «de aanwezige beveiligingsprotocollen
en (werk)instructies onvoldoende zijn nageleefd». Later in de brief staat dat «de
bestaande beveiligingsprotocollen en werkinstructies (inclusief inventarislijsten)
worden geëvalueerd en waar nodig herzien en aangescherpt.» De eerste passage roept
de vraag op of het datalek ook had plaatsgevonden, indien de aanwezige beveiligingsprotocollen
en (werk)instructies wel nageleefd waren. Genoemde leden ontvangen hierover graag
een reactie. Daar in de tweede passage wordt besproken over herziening en aanscherping,
wordt de verwachting gewekt dat deze protocollen en instructies aan herziening en
aanscherping toe zijn. Wederom ontvangen deze leden hierover graag een reactie. Deze
leden vernemen daarnaast graag hoeveel beveiligingsprotocollen en werkinstructies,
die relevant zijn voor het datalek, er precies zijn? Hoe wordt toegezien op de naleving
van deze instructies en protocollen? Zijn deze protocollen en instructies herzien
met de inwerkingtreding van de AVG? Kan de Minister per relevant protocol en relevante
instructie aangeven wanneer deze voor het laatst geëvalueerd zijn en welk proces is
ingericht om de instructies en protocollen bijgewerkt te houden? Tenslotte vragen
deze leden wanneer de evaluatie van deze protocollen gereed is en of de Minister de
Kamer kan informeren tot welke herzieningen en aanscherpingen dit zal leiden.

Over de vervolgstappen hebben de leden van de D66-fractie ook enkele vragen. Zo lezen
genoemde leden in de brief van de Minister dat de directeur van het CIBG de Audit
Dienst Rijk (ADR) heeft verzocht een onafhankelijk onderzoek te verrichten binnen
het hele CIBG naar zijn handelen in relatie tot de veiligheid van externe gegevensdragers.
Deze leden vernemen graag de precieze onderzoeksvraag die aan de ADR is meegegeven
voor zijn onderzoek. Daarnaast vernemen deze leden graag waarom de zinsnede «in relatie
tot de veiligheid van externe gegevensdragers» expliciet in de brief staat. Deelt
de Minister de mening, gezien de bredere expertise van de ADR, dat het eerder gewenst
zou zijn de gehele informatiebeveiliging en privacybescherming te onderzoeken en hierbij
dus geen beperkingen aangaande externe gegevensdragers opgenomen dienen te worden?
Zo ja, is hij bereid de ADR dit te verzoeken? Zo nee, waarom is de Minister van mening
dat enkel aanbevelingen en/of adviezen aangaande de veiligheid van de externe gegevensdragers
van belang zouden kunnen zijn?

Tevens lezen de leden van de D66-fractie dat «de zoektocht naar de externe schijven
wordt voortgezet». Kan de Minister nader toelichten wat hiermee bedoeld wordt? Wie
voert deze zoektocht uit en op basis van welke informatie wordt gezocht? Is aangifte
gedaan bij de politie en is de politie ook betrokken bij de zoektocht? Deze leden
lezen in de brief dat «Er geen aanwijzingen zijn dat de schijven of gegevens op enige
wijze zijn ontvreemd.» Waarom wordt hier plots ook gesproken over «gegevens»? Deze
leden vinden dit verwarrend. Kan de Minister toelichten wat er nou precies mist op
dit moment en indien het enkel om gegevens zou gaan en de harde schijven derhalve
nog in het bezit van het CIBG zouden zijn, hoe weet hij dat? Indien de schijven naar
alle waarschijnlijkheid niet zijn ontvreemd, dan vragen deze leden hoe het datalek
dan precies heeft plaats kunnenvinden. Deze leden missen bij de maatregelen die aangekondigd
worden in de brief een maatregel over een onderzoek naar de vraag hoe dit precies
heeft kunnen gebeuren. Graag ontvangen deze leden de bevestiging dat ook hiernaar
gekeken wordt en dat de Kamer hierover wordt geïnformeerd.

Vragen en opmerkingen van de SP-fractie

De leden van de SP-fractie hebben kennisgenomen van de brief van Minister met als
bijlage de brief van het CIBG. Deze leden hebben naar aanleiding van de brieven de
onderstaande vragen.

De leden van de SP-fractie vinden de conclusie van het CIBG dat het beheer van de
nu vermiste externe harde schijven nalatig is geweest ernstig. Het gaat immers om
de persoonlijke gegevens van 6.9 miljoen mensen op donorkeuzeformulieren die nu mogelijk
op straat liggen. Deze leden vinden het echter goed dat er openbaarheid is gegeven
aan deze bevinding en zij vinden het belangrijk dat de ADR hier onderzoek naar gaat
doen. De leden van de SP-fractie vragen wel hoe het kan dat zoveel data op losse schijven
kunnen rondzwerven en hoe een dergelijke situatie in de toekomst voorkomen kan worden.
Genoemde leden vragen of het onderzoek door de ADR reeds is gestart, wanneer de resultaten
te verwachten zijn en wat de precieze onderzoeksvragen zijn. Deze leden nemen hierbij
aan dat de betekenis voor de personen wier gegevens het betreft expliciet onderdeel
is van dit onderzoek. Deze leden gaan er tevens vanuit dat alles op alles gezet wordt
om de vermiste harde schijven terug te vinden. Daarnaast vragen deze leden de bevestiging
dat uitgesloten is dat de vermissing van de harde schijven zorgt voor verkeerde informatie
in het nieuwe Donorregister dat binnenkort in werking treedt.

II. Reactie van de Minister