Inbreng verslag schriftelijk overleg : Inbreng verslag van een schriftelijk overleg over ‘GGD wist al maanden van privacyproblemen’

In de vaste commissie voor Volksgezondheid, Welzijn en Sport bestond bij enkele fracties
behoefte een aantal vragen en opmerkingen voor te leggen aan de Minister van Volksgezondheid,
Welzijn en Sport betreffende het bericht «GGD wist al maanden van privacyproblemen»1.

De voorzitter van de commissie, Lodders

De adjunct-griffier van de commissie, Heller 

Inhoudsopgave

blz.

 
 
 

I.

Vragen en opmerkingen vanuit de fracties

2

 

Vragen en opmerkingen van de VVD-fractie

2

 

Vragen en opmerkingen van de PVV-fractie

3

 

Vragen en opmerkingen van de CDA-fractie

4

 

Vragen en opmerkingen van de D66-fractie

4

 

Vragen en opmerkingen van de GroenLinks-fractie

6

 

Vragen en opmerkingen van de SP-fractie

8

 

Vragen en opmerkingen van de PvdA-fractie

8

 

Vragen en opmerkingen van de 50PLUS-fractie

10

 
 
 

II.

Reactie van de Minister

10

I. Vragen en opmerkingen vanuit de fracties

Vragen en opmerkingen van de VVD-fractie

De leden van de VVD-fractie hebben met verontrusting kennisgenomen van de berichtgeving
dat de GGD al maanden wist van de privacyproblemen. Genoemde leden zijn zeer ontstemd
over de nadere berichtgeving over deze kwestie en hebben hierbij de volgende vragen.

Op 27 januari jl. stelden deskundigen in de Volkskrant dat uitspraken van de Minister
over het GGD-datalek aantoonbaar onjuist waren.2 De leden van de VVD-fractie vernemen graag een reactie van de Minister op dit artikel.

Kan de Minister het screeningsprotocol voor bron- en contactonderzoekers met de Kamer
delen? Kan de Minister hierbij ook informatie delen over de training die nieuwe medewerkers
krijgen omtrent het veilig en zorgvuldig omgaan met gevoelige gegevens? Zijn het screeningsprotocol
en de training voor iedere nieuwe medewerker hetzelfde, ongeacht of een medewerker
via een externe partij binnenkomt of direct via de GGD?

Genoemde leden lezen dat de exportfunctie in CoronIT kan worden gebruikt om overzichten
met dossiers te exporteren als pdf- of Exceldocument. Deze documenten kunnen doorgestuurd
worden. Kan de Minister aangeven waar geëxporteerde overzichten met dossiers voor
gebruikt worden? Kan de Minister aangeven of de exportfunctie van zowel CoronIT en
HPZone verwijderd is? Welke invloed heeft het verwijderen van de exportfunctie voor
de werkzaamheden van de GGD en uitvoering van het bron- en contactonderzoek?

Klopt het dat informatie over onderliggende medische aandoeningen en zwangerschappen
worden geregistreerd in HPzone? Met welk doel worden deze specifieke gegevens geregistreerd?
Kan de Minister exact aangeven welke gegevens van personen worden opgeslagen in HPzone?
Kunnen dossiers uit HPzone ook geëxporteerd worden? Welke medewerkers hebben toegang
tot CoronIT en welke medewerkers tot HPzone?

Klopt het dat gevoelige gegevens in CoronIT en HPzone ook «gewijzigd» konden of kunnen
worden? Zo ja, door wie en onder welke voorwaarden? Kan de Minister voorts aangeven
of de mogelijkheid bestaat of bestond dat testresultaten «gewijzigd» kunnen of konden
worden? Zijn er aanwijzingen dat dit ook gebeurd is? Van welke GGD-regio’s konden
bron- en contactonderzoekers, overige medewerkers van de GGD en medewerkers via externe
partijen gegevens inzien?

Gezien de maatregelen rondom het coronavirus hebben veel bron- en contactonderzoekers
hun werkzaamheden thuis verricht. Kan de Minister beschrijven hoe het inlogproces
in HPzone vanuit de thuisomgeving eruitziet? Kan de Minister daarbij tevens aangeven
hoe het inlogproces in HPzone in de werkomgeving eruitziet? Kan de Minister dit ook
aangeven voor CoronIT?

In andere landen, zoals Duitsland, wordt ook op grote schaal bron- en contactonderzoek
uitgevoerd. Kan de Minister aangeven met welke systemen hier gewerkt wordt en welke
medewerkers toegang hebben tot welke systemen en welke gegevens? Kan de Minister voorts
aangeven hoe de screening van nieuwe medewerkers en de training van deze medewerkers
over hoe veilig en verantwoord om te gaan met gevoelige informatie eruitziet?

Kan de Minister een overzicht met tijdlijn geven van de stappen die hij en de GGD
hebben doorlopen om de veiligheid van de systemen van de GGD te borgen?

Vragen en opmerkingen van de PVV-fractie

De leden van de PVV-fractie hebben met verbazing uit de media vernomen dat de GGD
al maanden wist van de privacyproblemen rondom de coronasystemen. Genoemde leden vinden
het onbegrijpelijk dat de GGD niet direct actie heeft ondernomen, nadat verschillende
medewerkers over de privacykwestie aan de bel hadden getrokken. Deze leden hebben
daarom nog de volgende dringende vragen.

De leden van de PVV-fractie willen van de Minister weten wanneer de coronasystemen
in zijn ingevoerd en of het klopt dat alle gegevens vanaf het begin door iedereen
waren in te zien, op te vragen en/of door te sturen? Wanneer kwamen de eerste signalen
over de onveilige situatie naar boven? Klopt het dat dit medio april 2020 was? Wat
is er wanneer met deze signalen gedaan? Hoeveel meldingen over de problemen zijn in
totaal binnengekomen? Hoeveel leidinggevenden waren op de hoogte van de meldingen?
Werd de voorzitter van de koepelvereniging GGD GHOR hierover geïnformeerd? Zo ja,
wanneer? Zo nee, waarom niet? Werd de Minister hier zelf over geïnformeerd? Zo ja,
wanneer? Zo nee, waarom niet? Werden ambtenaren op het Ministerie van Volksgezondheid,
Welzijn en Sport (VWS) hierover geïnformeerd? Zo ja, wanneer? Zo nee, waarom niet?

De leden van de PVV-fractie begrijpen niet hoe het kan dat de onveilige datasituatie
zo lang bleef bestaan. Wie besloot, wanneer en op basis waarvan dat het akkoord was
om de onveilige privacysituatie te laten voortduren? Is op enig moment overwogen over
te gaan op een systeem waarbij géén burgerservicenummer (BSN) meer werd gevraagd?
Zo ja, wanneer? Zo nee, waarom niet? Wat voor screening en instructies hebben de medewerkers
gekregen die met de coronasystemen werken? Klopt het dat IT-ers van de GGD GHOR niet
vrijuit mogen spreken over de ICT-problemen? Zo ja, waarom niet?

De leden van de PVV-fractie vragen de Minister ook hoe het nu zit met andere systemen
bij de GGD? Is het systeem waarin vaccinaties worden bijgehouden wel veilig? Klopt
het dat bij vaccinaties nog veel meer gegevens worden verzameld, zoals paspoortnummer
en medische gegevens over bijvoorbeeld zwangerschap en/of allergieën? Wie heeft hiertoe,
wanneer en op basis waarvan besloten? Is de voorzitter van de koepelvereniging GGD
GHOR hiervan op de hoogte gebracht? Zo ja, wanneer? Zo nee, waarom niet? Is de Minister
hier zelf van op de hoogte gebracht? Zo ja, wanneer? Zo nee, waarom niet? Zijn ambtenaren
op het Ministerie van VWS hiervan op de hoogte gebracht? Zo ja, wanneer? Zo nee, waarom
niet?

De leden van de PVV-fractie vragen de Minister waarom de GGD denkt een paspoortnummer
nodig te hebben voor de vaccinatie. Waar wordt geregistreerd welk vaccin een gevaccineerde
burger heeft gekregen? In het elektronisch patiëntendossier (EPD)? In het elektronisch
medisch dossier (EMD)? Wat is het geval wanneer gevaccineerde burgers geregistreerd
staan dat ze geen toestemming geven voor delen van hun EPD? Hoe is die toestemming
van gevaccineerden geregeld? Wat is de hoognodige informatie die de Minister nodig
heeft voor een veilige privacy van gevaccineerden en waarom?

De leden van de PVV-fractie verwachten tot slot dat de coronasystemen inmiddels vervangen
zijn door een systeem waarin de gegevens van burgers wel veilig zijn, zonder slag
om de arm te houden. Genoemde leden ontvangen hier graag een toezegging op.

Vragen en opmerkingen van de CDA-fractie

De leden van de CDA-fractie maken van de gelegenheid gebruik om aanvullend aan de
eerder gestelde schriftelijke vragen nog enkele vragen toe te voegen.

De leden van de CDA-fractie begrijpen dat de GGD snel wil stoppen met het programma
HPZone voor bron- en contactonderzoek. Deze leden vragen de Minister op welke termijn
er wordt overgestapt naar een ander portaal. Wanneer is de GGD begonnen met het opzetten
van het nieuwe portaal? Of wordt volgens de Minister hier gekozen voor een al bestaand
beschikbaar alternatief, zoals Go.Data van de Wereldgezondheidsorganisatie? Op welke
wijze wordt geborgd dat het nieuwe portaal wél veilig zal zijn en geschikt is voor
het grootschalige bron- en contactonderzoek? Welke verdere maatregelen worden genomen
met betrekking tot het systeem dat testinformatie vastlegt?

Wat betekenen de datalekken voor de aanpak omtrent vaccinregistratie, mede gezien
het feit dat apothekers hebben aangeboden hun bestaande systeem daarvoor te gebruiken?

De leden van de CDA-fractie begrijpen uit de media dat inmiddels tientallen medewerkers
van de GGD ontslagen zijn vanwege ongeoorloofd gebruik van de systemen. Genoemde leden
vragen de Minister of deze medewerkers alleen ontslagen zijn, of dat ook verdere acties
richting hen is ondernomen. Welke acties zijn naar aanleiding van deze ontslagen ondernomen
om dergelijk ongeoorloofd gebruik in het vervolg te voorkomen? Wat is er met de signalen
gedaan van eigen medewerkers die maanden geleden al waarschuwden dat hun systemen
kwetsbaar waren voor datadiefstal? Hoe komt het dat met die signalen niets is gedaan?

Het bron- en contactonderzoek wordt door de GGD in opdracht van het Ministerie van
VWS uitgevoerd. De leden van de CDA-fractie vragen de Minister of het klopt dat het
Ministerie van VWS daarmee formeel ook opdrachtgever is voor de ICT-systemen die hiervoor
gebruikt worden? Zo ja, welke opdracht heeft het Ministerie van VWS de GGD gegeven
omtrent de ontwikkeling van het systeem? Is gecontroleerd of aan de voorwaarden van
de opdracht is voldaan? Zo ja, hoe? Zo nee, waarom niet?

De leden van de CDA-fractie vragen de Minister welke mogelijkheden er zijn een nieuw
BSN te krijgen voor mensen die te horen krijgen dat hun gegevens gelekt zijn. Worden
mensen hier actief op gewezen?

Vragen en opmerkingen van de D66-fractie

De leden van de D66-fractie hebben een groot aantal vragen gesteld in het schriftelijk
overleg op 28 januari jl. over illegale handel in data afkomstig uit GGD-systemen.
Deze vragen en opmerkingen gingen onder andere over de opbouw van de datasets, de
bronnen voor de datasets, de toegang tot de datasets, de beveiliging van de systemen,
de risico’s voor burgers en overige zaken. Genoemde leden kijken uit naar de beantwoording
van de Minister voorafgaand aan het debat met de Minister van VWS en de Minister voor
Rechtsbescherming over de illegale handel in data afkomstig uit GGD-systemen. Dit
debat is aangevraagd door de leden van de D66-fractie, met steun van de SP, PvdA,
Denk, PVV, 50PLUS, PvdD, SGP, GroenLinks en het lid Van Kooten Arissen. Genoemde leden
zijn echter geschokt na nieuwe onthullingen over de omvang van het datalek bij de
GGD en hebben daarom nog aanvullende vragen aan de Minister.

Genoemde leden horen graag van de Minister wanneer de eerste signalen over kwetsbaarheden
binnen de GGD-systemen en ongeoorloofd gebruik van de systemen terecht zijn gekomen
bij de voorzitter van de GGD GHOR en bij de Minister zelf. Wat is gebeurd met de signalen
die meerdere GGD-medewerkers zeggen te hebben gegeven over de kwetsbaarheden van de
GGD-systemen? Wanneer is op basis van deze signalen voor het eerst actie ondernomen?
Kan de Minister een uitputtende lijst geven wie op de hoogte was van deze signalen
(op het Ministerie van VWS)? Hoe vaak is de Minister over deze signalen geïnformeerd?
Hoe lang waren de signalen op ambtelijk niveau bekend, voordat de Minister hierover
is geïnformeerd? Op welke dag is de Minister over de signalen geïnformeerd en op welk
moment heeft de Minister in dit kader stappen ondernomen? Kan de Minister de Kamer
alle onderliggende stukken waarin deze signalen aan de orde komen toesturen? Genoemde
leden vragen de Minister hoe het mogelijk is dat de GGD zegt niet bekend te zijn met
waarschuwingen van eigen medewerkers Welke acties heeft de voorzitter van de GGD GHOR
volgende de Minister ondernomen na de eerste signalen over kwetsbaarheden binnen de
GGD-systemen en ongeoorloofd gebruik van de systemen?

De leden van de D66-fractie horen graag van de Minister hoe het mogelijk is dat de
verplichte risicoanalyse van gegevensverwerkingsystemen pas een half jaar na introductie
van de systemen af was. Wat was de reactie van de Autoriteit Persoonsgegevens (AP)
op de risicoanalyse? Welke acties zijn op basis van deze reactie ondernomen? Kan de
Minister per actie aangeven wanneer deze precies zijn ondernomen? Kan de Minister
bevestigen dat ook securitybedrijf FOX-IT CoronIT heeft doorgelicht? Welke resultaten
kwamen uit deze doorlichting en wat is wanneer met de resultaten gedaan? Heeft de
Minister waarschuwingen ontvangen van de Begeleidingscommissie Digitale Ondersteuning
Bestrijding Covid-19 over de kwetsbaarheid van de systemen? Wat is er met de waarschuwing
gedaan? Was de Minister op de hoogte van de zorgen van de Autoriteit Persoonsgegevens
(AP), FOX-IT en de begeleidingscommissie? Zo ja, wanneer en hoe? Kan de Minister hiervan
onderliggende stukken delen?

De leden van de D66-fractie zijn verontrust dat volgens de Fraudehelpdesk vorig jaar
al sprake was van oplichting met behulp van gegevens van burgers die gestolen werden
bij de GGD. Is er contact geweest tussen de Fraudehelpdesk en de GGD en/of het Ministerie
van VWS? Zo ja, wanneer? Welke acties zijn ondernomen na het contact met de Fraudehelpdesk?
Zijn ook via andere kanalen signalen binnengekomen over mogelijke fraude met gegevens
afkomstig uit GGD-systemen? Zo ja, wanneer en hoeveel? Wat is de geschatte omvang
van de datahandel en het aantal aanbieders van illegaal verkregen data? Wat gaat de
Minister doen voor de slachtoffers van de datahandel?

Hoeveel medewerkers zijn volgens de Minister exact ontslagen bij de GGD vanwege ongeoorloofd
gebruik van de systemen? Wanneer vonden de eerste ontslagen plaats? Wanneer waren
deze ontslagen bekend bij de Minister? Als er medewerkers van de GGD ontslagen zijn
vanwege ongeoorloofd gebruik van de systemen, hoe is het volgens de Minister dan mogelijk
dat de GGD zegt niet bekend te zijn met signalen van kwetsbaarheden vanuit medewerkers?

De leden van de D66-fractie horen graag van de Minister of de voorzitter van de GGD
GHOR en de Minister zijn ingelicht over tekortkomingen van het waarborgen van de privacy
in GGD-systemen om te voldoen aan de eisen uit de Europese Algemene verordening gegevensbescherming
(AVG)? Zo ja, wanneer zijn zij hierover ingelicht? Kan de Minister aangeven welke
actie vervolgens zijn ondernomen door de voorzitter van de GGD GHOR en de Minister
zelf?

Genoemde leden horen graag via welke stappen de Minister van plan is te zorgen dat
de GGD-systemen voldoen aan de privacywaarborgen en de richtlijnen van de AVG. Op
welke termijn is dit volgens de Minister gewaarborgd? Welke maatregelen worden in
de tussentijd genomen om gegevens van burgers zo goed mogelijk te beschermen bij de
GGD, zodat zij zich zonder zorgen kunnen laten testen? Hoe staat het met de informatiebeveiliging
van de systemen die wordt gebruikt bij het vaccineren? Worden in deze systemen meer
persoonsgegevens vastgelegd in vergelijking met het proces omtrent testen? Om welke
gegevens gaat het?

De leden van de D66-fractie hebben vernomen dat door externe private organisaties,
zoals Teleperformance, veelvuldig WhatsApp werd gebruikt voor het delen van (bijzondere)
persoonsgegevens van burgers. Hoe is het volgens de Minister mogelijk dat Teleperformance
stelt dat het hier «persoonlijke keuzes van medewerkers om met collega’s een app-groep
aan te maken» betreft? Is hiervan ook sprake van bij andere externe private organisaties?
Was dit bekend bij het Ministerie van VWS? Zo ja, wanneer? Is er volgens de Minister
actie ondernomen tegen het gebruik van ongeschikte systemen voor het delen van gevoelige
privégegevens?

Vragen en opmerkingen van de GroenLinks-fractie

De leden van de GroenLinks-fractie hebben met verbazing kennisgenomen van het bericht
dat de GGD al maandenlang op de hoogte was van de ernstige problemen rond de bescherming
van persoonsgegevens in de digitale coronasystemen, en dat die problemen desondanks
konden voortduren. Deze leden hebben daar nog veel vragen over.

Allereerst willen de leden van de GroenLinks-fractie graag weten hoe de Minister reageert
op de berichtgeving van RTL Nieuws dat de GGD al maanden op de hoogte was van de problemen
en dat interne kritiek van medewerkers en leidinggevenden steeds werd weggewuifd?
Hoe is het dan mogelijk dat de GGD stelt niet bekend te zijn met deze signalen? Was
het Ministerie van VWS volgens de Minister bekend met deze signalen dat interne kritiek
werd weggewuifd? Zo ja, wanneer en wat is daarmee gedaan?

Genoemde leden vragen de Minister tevens of de berichtgeving in de Volkskrant klopt
dat de algemene zorgen bij het Ministerie van VWS over de veiligheid van persoonsgegevens
in de coronasystemen al sinds het voorjaar van 2020 bestaan?3 Zo ja, welke signalen waren de aanleiding voor die zorgen, op welke wijze kwamen
die signalen binnen bij het ministerie, en wat is er destijds met die signalen en
zorgen gedaan? In dit kader vragen deze leden de Minister ook nogmaals toe te lichten
op welke wijze de opdracht voor het ontwerp van de coronasystemen werd gegeven? Wanneer
gaf het Ministerie van VWS welke opdracht aan de GGD op dit vlak, en in hoeverre was
bij die opdracht specifiek aandacht voor privacy by design, bescherming van persoonsgegevens, doelbinding, dataminimalisatie en autorisatiebeheer
gericht op het beperken van toegang tot persoonsgegevens tot het strikt noodzakelijke?
En in hoeverre heeft het Ministerie van VWS destijds bij de GGD aangedrongen op een
gedegen Data Protection Impact Assessment? Klopt het dat deze pas veel later is uitgevoerd?
Zo ja, wanneer? En waarom heeft het Ministerie van VWS daar volgens de Minister niet
scherper op toegezien?

Klopt de berichtgeving in de Volkskrant dat het ministerie in augustus hulp heeft
aangeboden aan de GGD om de privacyproblemen op te lossen, maar dat deze hulp categorisch
werd geweigerd door de GGD? Zo ja, en als het Ministerie van VWS al in het voorjaar
op de hoogte was van de problemen, waarom is het Ministerie van VWS zich er dan pas
in augustus actief mee gaan bemoeien? En wat was de reactie van het Ministerie van
VWS op de afhoudende respons van de GGD? Waarom heeft het Ministerie van VWS niet
geëist dat de systemen zouden worden doorgelicht en aangepast?

Kan de Minister verder heel specifiek aangeven wanneer en op welke wijze het Ministerie
van VWS precies op de hoogte was van het bestaan van een exportfunctie in het systeem,
toegankelijk voor duizenden medewerkers, waarmee gericht gegevens in het systeem kunnen
worden opgezocht en gedownload naar vrij deelbare Excel of pdf-bestanden? Wat heeft
het Ministerie van VWS op dat moment ondernomen?

De leden van de GroenLinks-fractie vragen de Minister ook in te gaan op de beschrijving,
van RTL Nieuws, van de controles van medewerkers.4 Klopt het dat deze controle op enig moment bestond uit het periodiek (eens in de
zoveel maanden) delen van het scherm en openen van de digitale prullenbak om te kijken
of zich daar gestolen gegevens bevonden? Zo ja, wat vindt de Minister van een dergelijke
manier van controleren? En hoe verhoudt deze wijze van controleren zich tot de uitspraken
van de Minister tijdens de beantwoording van mondelinge vragen, waar hij zei dat de
GGD al sinds het begin van de coronapandemie continu controleert op het gebruik van
de systemen?

Genoemde leden zijn ook benieuwd naar hoe de GGD en het Ministerie van VWS hebben
gereageerd op de berichtgeving in september door Nieuwsuur over privacyproblemen bij
de digitale systemen van de GGD. Hoe kan het volgens de Minister dat die berichten
niet alle alarmbellen hebben doen afgaan, bij zowel de GGD als het Ministerie van
VWS? Klopt het dat de GGD naar aanleiding van die berichten ook een officiële waarschuwing
kreeg van de AP? Was het Ministerie van VWS daar ook van op de hoogte? Hoe kan het
dat de problemen zelfs na die berichtgeving van Nieuwsuur en de waarschuwing van de
AP nog steeds door konden gaan?

In dit kader verzoeken de leden van de GroenLinks-fractie de Minister om alle communicatie
tussen het Ministerie van VWS en de GGD over de privacyproblemen van de digitale coronasystemen,
sinds het begin van de coronapandemie, met de Kamer te delen. Is de Minister bereid
om dit te doen?

De leden van de GroenLinks-fractie horen ook graag van de Minister of de berichtgeving
in de Volkskrant klopt dat testmedewerkers het dossier van gevaccineerde personen
kunnen bekijken zonder dat daar noodzaak toe is. Zo ja, hoe verhoudt dat zich tot
de beantwoording van de Minister op mondelinge vragen op 26 januari jl., waarin hij
aangaf dat dit niet kan?

Gezien het feit dat de GGD en het Ministerie van VWS al op de hoogte waren van privacyproblemen
rond CoronIT, vragen de leden van de GroenLinks-fractie verder waarom de Minister
ervoor heeft gekozen om juist dit systeem breder in te zetten en ook te gebruiken
voor vaccinaties? In hoeverre hebben de zorgen over de privacy bij CoronIT een rol
gespeeld bij deze beslissing? Waarom is er, op basis van die kennis van bestaande
problemen, niet voor gekozen een ander systeem te gebruiken of een nieuw systeem voor
te ontwikkelen? zijn er toen aanvullende eisen gesteld, gegeven de keuze voor CoronIT
en de bestaande zorgen daarover? Zo nee, waarom niet?

De leden van de GroenLinks-fractie zijn benieuwd hoe de Minister nu, met de wetenschap
van het grootschalige datalek, terugkijkt op alle beslissingen die zijn genomen rond
de digitale systemen ter ondersteuning van het testen, bron- en contactonderzoek en
vaccineren. In hoeverre heeft haast een rol gespeeld bij de onzorgvuldigheid met betrekking
tot de privacy? Welke andere factoren dan haast ziet de Minister en welke lessen trekt
hij hieruit? En welke verantwoordelijkheid vindt de Minister dat het Ministerie van
VWS als opdrachtgever draagt voor schade die slachtoffers van het datalek ondervinden,
gezien de verschillende besluiten die zijn genomen?

Tenslotte horen de leden van de GroenLinks fractie graag of het klopt dat de GGD heeft
aangegeven zo snel mogelijk af te willen van het systeem HPZone voor bron- en contactonderzoek
en met man en macht werkt aan een ander, veiliger portaal. Zo ja, kan de Minister
aangeven welke partijen de GGD daarbij heeft betrokken en op welke termijn men de
overstap kan maken? Geldt dit ook voor het CoronIT systeem? Zo nee, waarom niet?

Vragen en opmerkingen van de SP-fractie

De leden van de SP-fractie vinden het zorgwekkend dat niet geluisterd is naar medewerkers
van de GGD die meermaals melding hebben gemaakt van de privacyproblemen. Genoemde
leden vragen hoe het mogelijk is dat niets met deze signalen is gedaan? Kan de Minister
aangeven op welke gronden de GGD hulp weigerde van het Ministerie van VWS bij bijvoorbeeld
het verbeteren van het systeem?

Voorts vragen deze leden de Minister wat de rol van de AP in deze kwestie is. In hoeverre
en sinds wanneer was de AP op de hoogte van de kwetsbaarheden van het systeem van
de GGD? Hoe is het mogelijk dat er geen risicoanalyse is uitgevoerd? Ook vragen deze
leden de Minister hoe het mogelijk is dat berichtgeving in de media verscheen dat
de AP de GGD onder verscherpt toezicht heeft gesteld, terwijl later is gebleken dat
de AP niet over een dergelijk instrument beschikt en de GGD ook niet op de hoogte
was van deze stap. Kan de Minister aangeven welke handhaving de AP wel toepast?

De leden van de SP-fractie vragen de Minister hoeveel meldingen van (vermoedelijke)
fraude naar aanleiding van het datalek bij de GGD inmiddels zijn binnengekomen bij
het Fraudehelpdesk en wat de aard is van deze meldingen.

De leden van de SP-fractie hebben begrepen dat inmiddels besloten is te stoppen met
HPZone, het systeem dat in gebruik was en niet geschikt is voor de hoeveelheid bron-
en contactonderzoeken per dag. Genoemde leden vragen de Minister welk systeem het
meest geschikt is voor het uitvoeren van het bron- en contactonderzoek en hoe gewaarborgd
wordt dat in de toekomst dergelijke problemen worden voorkomen. Wat is de reden om
wel te stoppen met HPZone, maar niet met CoronIT, terwijl dit systeem ook kwetsbaarheden
bevat en onderdeel is van het datalek? Hoe wordt dit systeem verbeterd teneinde datalekken
te voorkomen?

Vragen en opmerkingen van de PvdA-fractie

De leden van de PvdA-fractie hebben met grote zorgen kennisgenomen van de privacyproblemen
rondom de coronasystemen van de GGD. Dat criminelen toegang hebben kunnen krijgen
tot adres, BSN en medische gegevens van miljoenen Nederlanders is zeer kwalijk. Dat
de GGD signalen hierover al maanden onder het tapijt heeft geschoven, vinden genoemde
leden ronduit schandalig.

Draagvlak voor de aanpak van het bron- en contactonderzoek en vertrouwen in het handelen
van de overheid zijn cruciaal in de bestrijding van het coronavirus. Hoe kan, áls
straks de maatregelen eindelijk versoepeld kunnen worden, een volgende golf voorkomen
worden als mensen zich niet meer durven te laten testen en niet meer mee willen werken
aan bron- en contactonderzoek?

Welke keuzes liggen volgens de Minister ten grondslag aan de gekozen datasystemen?
Welke keuzes liggen ten grondslag aan het aantal gegevens dat werd bewaard? En welke
privacyvoorwaarden waren aan de gekozen systemen verbonden? Sinds wanneer was de AP
op de hoogte van de problemen? Welke stappen heeft de AP vanaf 16 september 2020 gezet?
In hoeverre was de Minister daarvan op de hoogte?

De leden van de PvdA-fractie vragen de Minister vanaf wanneer hij weet van mogelijke
lekken in de datasystemen en vanaf welk moment deze problemen bij de GGD zelf bekend
waren. Wat is vanaf welk moment ondernomen om mogelijke lekken in de digitale systemen
spoedig in zicht te krijgen om deze zodoende snel te kunnen verhelpen?

Hoeveel meldingen omtrent privacyproblemen hebben het Ministerie van VWS in totaal
bereikt? Vanaf wanneer zijn deze meldingen binnen de GGD intern gedaan? Vanaf wanneer
waren deze meldingen bij het Ministerie van VWS bekend? Vanaf wanneer heeft het Ministerie
van VWS hulp aangeboden om deze problemen te verhelpen? In welke vorm heeft het Ministerie
van VWS deze hulp aangeboden? Wat is door de desbetreffende instanties met deze hulp
gedaan?

Indien het Ministerie van VWS al vroegtijdig op de hoogte was van de zorgen die er
waren omtrent het waarborgen van de privacy bij de coronasystemen, waarom is dan besloten
dezelfde systemen eveneens in te zetten bij het vaccinatieprogramma? Heeft de Minister
overwogen om eerst de privacyproblemen te achterhalen en te verhelpen, alvorens een
definitieve keuze te maken voor het in te zetten registratiesysteem bij het vaccineren?

Ook vragen de leden van de PvdA-fractie de Minister hoe het kan dat binnen de GGD
interne meldingen over privacyproblemen weggewuifd werden? Heeft de zelfstandige positie
van de GGD een rol heeft gespeeld in het tempo waarin de zorgen omtrent de privacy
het Ministerie van VWS hebben bereikt?

De leden van de PvdA-fractie vragen de Minister hoeveel mensen exact toegang hebben
gekregen tot de paspoort- en identiteitsgegevens die zijn opgeslagen in CoronIT? Waarom
wordt een BSN opgeslagen? Waarom is dit nodig voor het systeem van testen en/of vaccineren?
Hoe vaak is de exportfunctie in CoronIT in totaal gebruikt? Is controleerbaar welke
medewerkers gebruik hebben gemaakt van deze exportfunctie? Hoe kan het dat de exportfunctie
in het systeem tot deze week beschikbaar bleef? Waarom is daar niet al in september
naar gekeken? Zijn of worden mensen waarvan mensen hun gegevens zijn gelekt persoonlijk
op de hoogte gebracht? Zo nee, wanneer gaat dat gebeuren?

Klopt het dat de GGD zo snel mogelijk wil stoppen met het gebruik van een van de softwaresystemen
waaruit grote hoeveelheden persoonsgegevens zijn gestolen. Zo ja, waarom gebeurt dat
nu pas? Per wanneer gaat dit gebeuren? Is de Minister gedurende de verdere bestrijding
van de coronacrisis voornemens anders regie te voeren met betrekking tot de GGD? Op
welke wijze is de Minister voornemens om het vertrouwen in de systemen van de GGD
te herstellen?

Waarom stelt de Minister dat er volcontinue en volautomatisch wordt gecontroleerd
op het gebruik van de GGD-systemen? Is dit werkelijk gebeurd? Zo ja, hoe kan het datalek
dan zijn ontstaan? Of zijn enkel steekproeven uitgevoerd? Wat hield de risicoanalyse
die in december is uitgevoerd precies in? Welke maatregelen zijn vanaf december aanvullend
genomen? In hoeverre voldeed het systeem in september aan de AVG? In hoeverre voldoet
het nu? Wat is sindsdien precies gewijzigd? In hoeverre voldeed het systeem in september
aan de Nederlandse Norm (NEN) 7510, de norm voor informatiebeveiliging in de zorg.
In hoeverre voldoet het nu? Wat is sindsdien precies gewijzigd?

Vragen en opmerkingen van de 50PLUS-fractie

De leden van de 50PLUS-fractie hebben kennisgenomen van de berichtgeving rondom het
datalek in het GGD-systeem en hebben in dit kader de volgende vragen.

1. De Minister heeft aangegeven dat er toezicht is en er gecontroleerd wordt of medewerkers
geen persoonsgegevens kopiëren. Kan de Minister aangeven hoe die controle eruitziet?

2. Klopt het dat de gegevens van mensen die zich hebben laten testen vanaf het begin
van de corona-uitbraak zijn opgeslagen? Zo ja, waarom worden de gegevens na de uitslag
van de test niet vernietigd? Welke gegevens worden precies geregistreerd?

3. Klopt het dat veel medewerkers van de GGD bij indiensttreding geen VOG hebben hoeven
overhandigen? Kan de Minister aangeven hoe dit komt? Waarom heeft de Minister tijdens
het vragenuur van 26 januari jl. aangegeven dat alle medewerkers van de GGD een VOG
hebben moeten aanvragen? Heeft de Minister zicht op hoeveel medewerkers bij de GGD
op dit moment zonder VOG werken en in het verleden persoonsgegevens hebben verwerkt?

4. Kan de Minister aangeven welke maatregelen hij neemt om te zorgen dat voor alle medewerkers
van de GGD die met persoonsgegevens werken, zo snel mogelijk een VOG wordt aangevraagd?

5. Klopt het dat er mensen met een strafblad werkzaam zijn bij de GGD?

6. Wat gebeurt er met de gegevens die commerciële teststraten moeten aanleveren aan de
GGD? Worden deze gegeven ook bewaard? Zijn deze gegevens ook inzichtelijk voor iedereen?
Is er toezicht op hoe die commerciële aanbieders omgaan met persoonsgegevens? Zijn
er signalen dat bij die aanbieders persoonsgegevens worden verhandeld? Is er zicht
op of medewerkers van commerciële aanbieders wél allemaal een VOG hebben?

7. Kan de Minister aangeven wanneer hij voor het eerst heeft gehoord dat er een probleem
was met het systeem? Welke maatregelen heeft hij toen genomen? Kan de Minister aangeven
wanneer de GGD het probleem voor het eerst heeft gemeld en aan wie dit was?

8. Kan de Minister aangeven wat er intern bij de GGD is gebeurd met alle signalen die
medewerkers hebben gegeven over het datalek in het softwaresysteem?

9. Kan de Minister aangeven door welke partij het softwaresysteem is getoetst op veiligheid?
Is er een BIT-toets gedaan op het systeem?

10. Wie is verantwoordelijk voor de veiligheid van het systeem?

11. Hoe wordt de veiligheid getoetst, bewaakt en wie heeft toegang?

12. Kan de Minister aangeven waarom er een exportfunctie in het systeem zit?

13. De Minister gaf in het vragenuur van 26 januari jl. aan dat het systeem aan de NEN7510
norm voldoet? Klopt dit?

14. Speelt het Nationaal Cyber Security Centrum in dit kader nog een rol?

15. Is de AP op enigerlei wijze betrokken bij de inrichting van het systeem? Is aan hen
advies hieromtrent gevraagd?

16. Wat wordt er inmiddels gedaan om de schade te beperken en kan achterhaald worden aan
wie gegevens zijn gelekt c.q. verkocht?

II. Reactie van de Minister