Ook gevaar voor registratie vaccinatie door lek bij GGD'

HILVERSUM - Het lek in de IT-systemen bij de GGD, zorgt voor veiligheidsrisico’s bij de registratie van vaccins. Dat heeft het NPO Radio1-programma Dit is de Dag uitgezocht. Eerder bleek dat lek ook al voor problemen te zorgen. Twee GGD-medewerkers probeerden dankzij het datalek persoonsgegevens uit het systeem te verhandelen op internet.

De GGD maakt voor het inplannen van coronatests gebruik van het programma CoronIT. Dat programma wordt gebruikt voor het inplannen en registreren van vaccinaties. Het radioprogramma heeft achterhaald dat voor het registreren van vaccins ook medische gegevens worden opgeslagen. Het gaat, naast de registratie van het BSN en adresgegevens, om informatie over zwangerschappen en allergieën.

Hoewel de modules voor testplanning en vaccinregistratie gescheiden zijn en daarmee niet toegankelijk voor alle GGD-medewerkers, hebben er volgens de GGD op dit moment ongeveer 2000 medewerkers toegang tot informatie over de vaccinregistratie. Verschillende GGD-medewerkers bevestigen dat zoekopdrachten in CoronIT niet gecontroleerd worden. Daarmee dreigt hetzelfde probleem te ontstaan als bij het inplannen van testen.

RTL Nieuws ontdekte eerder dat persoonsgegevens uit de GGD-systemen te koop werden aangeboden op chatapp Telegram. Het ging onder meer om namen, adressen en geboortedata. Zaterdag werden twee medewerkers opgespoord en opgepakt. Het duo zou persoonsgegevens te koop hebben aangeboden uit de systemen die de GGD gebruikt voor de coronatesten. Het gaat om een 23-jarige man uit Alblasserdam en een 21-jarige man uit Heiloo die werkten voor een callcenter van de GGD.

De Autoriteit Persoonsgegevens (AP) heeft de GGD om opheldering gevraagd. Voorzitter Aleid Wolfsen zegt hierover: "Iemands medische gegevens, adres, telefoon- en burgerservicenummer zijn zeer privé en dat moeten ze ook blijven. Zulke informatie is heel geschikt voor bijvoorbeeld identiteitsfraude en phishing. De beveiliging moet daarom aan de hoogste eisen voldoen. Als je dat onvoldoende doet, dan ben je nalatig en kun je aansprakelijk gesteld worden. Je riskeert dan niet alleen een boete van de AP, maar mogelijk ook claims van slachtoffers."

De Autoriteit heeft de GGD laten weten dat zij burgers snel en goed moeten informeren over de diefstal onder meer via de website en het openstellen van een informatielijn. De afgelopen jaren heeft de AP de overheid, maar ook de zorgsector, regelmatig gewaarschuwd over de beveiliging van gegevens van burgers.