Rechtbank Amsterdam, 17-07-2024, ECLI:NL:RBAMS:2024:4264, C/13/731682 / HA ZA 23-329

Veelgestelde vragen en antwoorden over datadiefstal

Laatste update: 28 januari 2021

Hier vindt u veelgestelde vragen en de antwoorden over de datadiefstal die recent heeft plaatsgevonden. We vullen deze vragen steeds aan met de laatste informatie die wij hebben. (...).

We kunnen ons voorstellen dat de datadiefstal vragen oproept en mogelijk uw vertrouwen schaadt. Dit vinden wij heel erg. We willen u zo goed mogelijk informeren en daarom vullen wij deze veelgestelde vragen steeds aan met nieuwe informatie.

Er loopt op dit moment een politieonderzoek, waardoor we nog niet precies weten hoe groot de datadiefstal is. Ook mogen we bepaalde details nog niet delen, omdat dit mogelijk het onderzoek in gevaar brengt.

(...)

Top 3 meest gestelde vragen

Wat is er precies gebeurd?

Er zijn persoonsgegevens gestolen. Deze gegevens gaan over het testen op corona en mogelijk het bron- en contactonderzoek en bevatten onder andere naam, adres, BSN, testuitslag en testlocatie. Of de gegevens ook zijn verkocht en om wiens gegevens het gaat, maakt deel uit van het politieonderzoek. Meer informatie is te vinden op de site van de politie.

Zijn mijn gegevens gestolen?

Dat kunnen wij nu nog niet zeggen. Dit maakt onderdeel uit van het politieonderzoek. Op het moment dat vast komt te staan dat uw gegevens gestolen zijn, dan is het onze plicht u daarover te informeren en dat zullen wij dan ook doen.

Wat zijn de mogelijke gevolgen? Welk risico loop ik als criminelen mijn persoonsgegevens hebben? En waarop moet ik letten?

De website van de politie beschrijft de mogelijke gevolgen goed:

• U loopt het risico slachtoffer te worden van oplichting. Criminelen bellen of mailen u bijvoorbeeld – zogenaamd uit naam van een voor uw geloofwaardige instantie zoals uw bank – en winnen uw vertrouwen omdat ze al veel over u weten (zoals uw geboortedatum of woonadres). Voordat u het weet, heeft u een betaling voor iets gedaan – maar feitelijk op een phishinglink geklikt. (...).

• Een ander risico is identiteitsfraude. De fraudeur gebruikt uw persoonsgegevens bijvoorbeeld om producten en diensten te krijgen op uw naam. Of om een bankrekening te openen of een creditcard aan te vragen. (...).

(...)

Vragen over de datadiefstal

Hoe is deze situatie bekend geraakt bij GGD GHOR Nederland?

Via een tip van een journalist van RTL afgelopen vrijdag.

Wat hebben jullie gedaan na deze tip?

We hebben meteen contact opgenomen met de politie, aangifte gedaan en een melding gedaan bij de Autoriteit Persoonsgegevens. Vervolgens hebben wij controles uitgevoerd in onze systemen én volledige toegang gegeven aan de politie tot onze systemen om de opsporing zo goed mogelijk plaats te kunnen laten vinden.

Vragen (beveiliging) persoonlijke gegevens

Staan de gegevens van alle Nederlanders in jullie systemen?

Nee, in onze systemen staan alleen de gegevens van mensen die de afgelopen tijd met de GGD te maken hebben gehad voor een testafspraak, bron- en contactonderzoek of een vaccinatie.

Welke informatie leggen jullie van mensen vast?

Wij leggen persoonsgegevens vast zoals naam, adres, woonplaats, telefoonnummer/e-mailadres, BSN, geslacht en geboortedatum. Daarnaast, afhankelijk van het contact, ook test- en/of vaccineerafspraken en testresultaten. Is er sprake van een bron en contactonderzoek, dan wordt daarin ook de informatie uit de bron- en contactonderzoek gesprekken vastgelegd (in HPZone). Dit is onder andere: noodzakelijke medische gegevens (bijvoorbeeld klachten/symptomen en huisarts), waar iemand is geweest en met wie hij/zij in contact is geweest. Ook wordt informatie vastgelegd van bron(nen) en nauwe contacten. Deze informatie is beperkt.

Hebben evenveel mensen toegang tot mijn gegevens bij vaccineren?

De medische gegevens die bij vaccinaties worden vastgelegd zijn afgeschermd en niet zichtbaar voor medewerkers die zich met testen bezighouden. Omdat iedereen maar één dossier heeft en iedereen zich ook kan laten testen zijn persoonsgegevens wel in te zien.

Welke maatregelen hebben jullie om misbruik te voorkomen?

Dat zijn er verschillende:

Hoe controleren jullie zelf hoe medewerkers omgaan met de persoonsinformatie?

Wij controleren op verschillende manieren hoe onze medewerkers omgaan met de informatie in onze systemen. En dat heeft eerder geleid tot de ontdekking van onregelmatigheden en tot het nemen van maatregelen. Daarnaast beschermen we ons tegen aanvallen op onze systemen van buiten. Wij verwerken grote volumes gegevens, en deze actie is in onze controles niet naar voren gekomen.

Welke nieuwe maatregelen nemen jullie?

Er zijn verschillende maatregelen genomen om uw gegevens beter te beschermen en de kans op diefstal te verkleinen. Wat deze maatregelen zijn, kunnen wij u nog niet vertellen in het belang van het politie onderzoek.

Vragen over systemen

Om welke systemen gaat het?

Het gaat om CoronIT. Dit is het administratiesysteem voor het test- en vaccinatieproces en de communicatie hierover. Dus als je een afspraak maakt voor een coronatest via het callcenter, de coronatest website of een arts, komen je persoonsgegevens in CoronIT. Ook als je een afspraak maakt voor een vaccinatie.

Daarnaast lijkt er ook sprake te zijn van HPZone. HPZone is een elektronisch dossier wat de GGD’en gebruiken om het bron- en contactonderzoek uit te voeren. Als iemand een positieve testuitslag heeft en deze gemeld wordt bij de GGD, dan wordt een dossier van deze persoon in HPZone aangemaakt.

Wat doen medewerkers in de systemen?

Medewerkers van het callcenter (inbound – die gebeld worden) kunnen via CoronIT testafspraken en vaccinatieafspraken maken. Verder kunnen de (outbound – die mensen bellen) callagents de testuitslagen zien, aangezien zij mensen, zonder DigiD, bellen met hun testuitslag.

Bron- en contactonderzoekers leggen alle gegevens rondom een besmetting vast in HP-zone.

Naar aanleiding van het op 22 januari 2021 door GGD GHOR Nederland (hierna: GGD GHOR), mede namens de regionale GGD’en aan de Autoriteit Persoonsgegevens (hierna: AP) gemelde datalek, de zorgwekkende berichtgeving in de media over de diefstal van en handel in persoonsgegevens afkomstig uit de systemen van GGD GHOR en de GGD’en alsmede de vele bezorgde signalen die de AP hierover vervolgens ontving, heeft de AP aangekondigd het toezicht op de GGD te intensiveren en in dat kader onderzoek te doen. De AP heeft onderzocht of door GGD GHOR en twee onderzochte GGD’en passende technische en organisatorische maatregelen zijn getroffen om de persoonsgegevens die worden verwerkt in het kader van testen, vaccineren en bron- en contractonderzoek in verband met de coronapandemie passend te beveiligen. Met deze eindbrief informeert de AP u over de bevindingen van het onderzoek.

De AP is zich ervan bewust dat met het uitbreken van de pandemie de GGD’en en GGD GHOR voor een enorme opgave werden gesteld. Zij kregen de opdracht in zeer korte tijd zorg te dragen voor het op grote schaal testen van personen, het uitvoeren van bron- en contactonderzoek en het vaccineren van personen. De werkzaamheden om dit te realiseren werden onder grote tijdsdruk verricht.

Tegelijkertijd geldt dat van een uitzonderlijk grote groep burgers in dit verband bijzondere persoonsgegevens betreffende hun gezondheid werden en worden verwerkt en dat een grote groep, veelal speciaal voor dit doel aangetrokken, tijdelijke medewerkers hiertoe toegang hebben. Het treffen van technische en organisatorische maatregelen die zijn afgestemd op de hiermee gepaard gaande risico’s voor de persoonsgegevens is dan ook van zeer groot belang. De bereidheid van burgers om zich te laten testen en vaccineren of medewerking te verlenen aan bron- en contactonderzoek hangt immers ook samen met het vertrouwen in de wijze waarop in dat kader persoonsgegevens van burgers worden verwerkt en beveiligd. Mede hierom besloot de AP onderzoek te doen.

Conclusie

De AP constateert dat een aantal aangekondigde verbetermaatregelen zijn getroffen waardoor het risico op datalekken is verminderd. Wel ziet de AP nog wezenlijke risico’s voor de beveiliging van persoonsgegevens die aanvullende verbetermaatregelen vereisen. Het gaat hier in het bijzonder om risico’s die verband houden met het grote aantal partijen dat betrokken is bij de verwerkingen van persoonsgegevens in verband met het testen, vaccineren en bron- en contactonderzoek. In ieder geval zijn dit de 25 regionale GGD’en, de landelijke koepelorganisatie GGD GHOR, zes landelijke partnerorganisaties (callcenters en alarmcentrales), diverse uitzendbureaus en IT-leveranciers. Duidelijke afspraken tussen de betrokken organisaties over bepaalde beveiligingsaspecten rondom de systemen die voor bron- en contactonderzoek worden gebruikt ontbreken. Dit geldt bijvoorbeeld ten aanzien van het autorisatiebeheer en de controle van logbestanden. Hierdoor is onvoldoende duidelijk wie waarvoor verantwoordelijk is en wie welke maatregelen in dit verband dient te treffen. Dat vergroot de kans op nieuwe tekortkomingen in de beveiliging van persoonsgegevens.

Verder werken het ministerie van Volksgezondheid, Welzijn en Sport, GGD GHOR en de GGD’en aan het vervangen van de systemen voor bron- en contactonderzoek (HP Zone en HP Zone Lite). In dit kader merkt de AP op dat vervanging van een systeem niet zonder meer leidt tot een betere beveiliging van de persoonsgegevens die daarin worden verwerkt. Hierbij wil de AP benadrukken dat bij de ontwikkeling en implementatie van een nieuw systeem nadrukkelijk rekening moet worden gehouden met de uit de Algemene verordening gegevensbescherming (hierna: AVG) voortvloeiende verplichtingen, zoals het vroegtijdig uitvoeren van een risicoanalyse in de vorm van een gegevensbeschermingseffectbeoordeling (artikel 35 AVG), de toepassing van gegevensbescherming door ontwerp en door standaardinstellingen (artikel 25 AVG) en het treffen van passende technische en organisatorische maatregelen ter beveiliging van persoonsgegevens (artikel 32 AVG), zoals bijvoorbeeld logging, controle op de logging en autorisatiebeheer.

Onderzoek

De AP heeft in het bijzonder onderzocht of voldoende verbetermaatregelen zijn getroffen met het oog op toegangsbeveiliging, verleende autorisaties en autorisatiebeheer, logging van de gebruikte systemen, controle op deze logging en om het ongeoorloofd exporteren/printen van persoonsgegevens uit de systemen te voorkomen. Ook heeft de AP gecontroleerd of de aangekondigde maatregelen met betrekking tot beperking van de zoekfuncties van gebruikers in de systemen ook daadwerkelijk zijn getroffen. Daarnaast is onderzocht of de betrokkenen die geraakt zijn door het datalek in overeenstemming met de AVG zijn geïnformeerd over de inbreuk in verband met hun persoonsgegevens. Tenslotte heeft de AP – naar aanleiding van nieuwe zorgelijke berichtgeving in de media in februari 2021 – onderzocht of de website www.coronatest.nl aan de beveiligingseisen voldoet die gelden voor aansluiting op DigiD.

Het onderzoek was gericht op de systemen die worden gebruikt voor het verwerken van persoonsgegevens in het kader van de coronapandemie, namelijk voor het testen en vaccineren (CoronIT) en bron- en contractonderzoek (HPZone en HPZone Lite).

In het kader van het onderzoek heeft de AP controles uitgevoerd bij GGD GHOR en steeksproefgewijs bij twee regionale GGD’en en een van de landelijke partners die capaciteit leveren voor het uitvoeren van bron- en contactonderzoek. Onderstaande bevindingen zijn gebaseerd op de informatie die de AP tijdens het onderzoek heeft verzameld.

(...)

Ter afsluiting

De AP heeft onderzoek gedaan bij GGD GHOR en twee (regionale) GGD’en naar de beveiliging van persoonsgegevens die in het kader van de coronapandemie worden verwerkt in CoronIT, HPZone en HPZone Lite. Deze systemen worden door alle 25 GGD’en gebruikt en de beveiliging van de daarin verwerkte persoonsgegevens is dus mede afhankelijk van maatregelen die alle 25 GGD’en afzonderlijk dan wel gezamenlijk treffen om de persoonsgegevens passend te beveiligen. De bevindingen van de AP zijn dan ook relevant voor alle 25 GGD’en. De AP verwacht daarom dat alle GGD’en de in deze brief genoemde noodzakelijke verbetermaatregelen – voor zover zij dat nog niet hebben gedaan – zullen treffen om een passend niveau van beveiliging van persoonsgegevens te waarborgen. Mede met het oog hierop zal deze brief ook aan de overige 23 GGD’en worden gezonden.

Informatiebeveiliging is een continu proces waarin risico’s en maatregelen periodiek moeten worden (her)beoordeeld zodat de technische en organisatorische beveiligingsmaatregelen steeds zijn afgestemd op de actuele risico’s voor betrokkenen. Om deze reden benadrukt de AP met klem het belang om audits gericht op informatiebeveiliging te blijven uitvoeren en risico’s en maatregelen periodiek te (her)beoordelen zodat, waar nodig, (aanvullende) technische en organisatorische maatregelen ter beveiliging van de (bijzondere) persoonsgegevens die worden verwerkt tijdig kunnen worden genomen.

De AP heeft inmiddels de bevindingen van het onderzoek in een gesprek aan GGD GHOR toegelicht en zal erop toezien dat noodzakelijke verbeteringen tijdig worden doorgevoerd. De AP verzoekt GGD GHOR dan ook om uiterlijk op 1 maart 2022 in een voortgangsrapportage op elk van de in deze brief aangegeven punten aan te geven welke verbetermaatregelen daadwerkelijk zijn of worden getroffen om de geïdentificeerde risico’s ten aanzien van de beveiliging van persoonsgegevens die worden verwerkt in het kader van de coronapandemie te verminderen. Dit betreft zowel de huidige systemen zolang deze nog worden gebruikt voor de bestrijding van de coronapandemie als de vervangende systemen wanneer deze in productie worden genomen. Mocht de in de voortgangsrapportage genoemde implementatie van verbetermaatregelen onverhoopt vertraging oplopen, dan verwacht de AP daarover door GGD GHOR onverwijld te worden geïnformeerd.

Haar statuten luiden, voor zover hier van belang:

Doel

Artikel 3.

ii) Artikel 6:240 BW;

iii) Richtlijn (EU) 2020/1828 van het Europees Parlement en de Raad van 25 november 2020 betreffende representatieve vorderingen ter bescherming van de collectieve belangen van consumenten en tot intrekking van Richtlijn 2009/22/EG;

iv) Artikel 7:907 BW;

Organen en governance structuur

Artikel 4.

(...)

Bestuur; samenstelling, benoeming, schorsing, ontslag

Artikel 6.

Bestuur; taken en bevoegdheden

Artikel 7.

Het Bestuur is belast met het besturen van de Stichting. Bij de vervulling van hun taak richten de Bestuurders zich naar het belang van de Stichting en de met haar verbonden organisatie.

(...)

(...)

Bestuur; besluitvorming

Artikel 9.

(...)

Aan de goedkeuring van de Raad van Toezicht zijn onderworpen besluiten van het Bestuur omtrent:

(...)

De Raad van Toezicht kan in zijn daartoe strekkend besluit duidelijk te omschrijven andere besluiten van het Bestuur aan zijn goedkeuring onderwerpen. De Raad van Toezicht deelt een dergelijk besluit onverwijld schriftelijk aan het Bestuur mede.

(...).

Website

Artikel 12.

Het Bestuur houdt een algemeen toegankelijke Website in stand waarop de voor de belanghebbenden van de Stichting van belang zijnde informatie wordt geplaatst, waaronder in elk geval wordt verstaan:

Raad van Toezicht; samenstelling, benoeming, defungeren

Artikel 13.

De Raad van Toezicht is zodanig samengesteld dat de leden ten opzichte van elkaar en het Bestuur en ten aanzien van de door de Stichting behartigde belangen, onafhankelijk en kritisch kunnen opereren. Ten minste één lid van de Raad van Toezicht beschikt over de specifieke ervaring en juridische expertise die noodzakelijk is voor een adequate behartiging van en adequaat toezicht op de in Artikel 3 omschreven belangen. Ten minste één lid van de Raad van Toezicht beschikt over de specifieke ervaring en financiële expertise die noodzakelijk is voor een adequate behartiging van en adequaat toezicht op de in Artikel 3 omschreven belangen.

(...).

Raad van Toezicht; taak en bevoegdheden

Artikel 14.

De Raad van Toezicht heeft tot taak toezicht te houden op het beleid en de strategie van het Bestuur en op de algemene gang van zaken in de Stichting. De Raad van Toezicht staat het Bestuur met raad terzijde. Bij de vervulling van hun taken richten de leden van de Raad van Toezicht zich naar het belang van de Stichting en de met haar verbonden organisatie.

(...).

(...)

Deelnemers

Artikel 19.

De Stichting kan onder meer om organisatorische, proces-technische en/of financiële redenen Deelnemers kennen per specifieke Claim.

(...)

Naleving en handhaving Claimcode

Artikel 20.

Externe financiering

Artikel 21.

De Stichting kan ten behoeve van de financiering van statutaire werkzaamheden een overeenkomst aangaan met een Financier. Het Bestuur vergewist zich ervan dat individuele Bestuurders en leden van de Raad van Toezicht, alsmede de door de Stichting ingeschakelde advocaat of andere dienstverleners zelfstandig en onafhankelijk zijn van de Financier en de aan deze rechtstreeks of middellijk verbonden (recht)personen, alsmede dat de Financering en de aan deze rechtstreeks of middellijk verbonden (rechts)personen onafhankelijk zijn van de wederpartij in de collectieve actie. De overeenkomst voorziet in een regeling die de in de vorige volzin bedoelde zelfstandigheid en onafhankelijkheid waarborgt. Het Bestuur ziet erop toe dat de financieringsvoorwaarden (waaronder begrepen de omvang en systematiek van de overeen te komen vergoeding) redelijkerwijs niet strijdig zijn met het collectieve belang van de (rechts)personen ten behoeve van wie de Stichting krachtens Artikel 3 optreedt.

Tot eerste leden van het Bestuur zijn benoemd [naam 1] voornoemd, [naam 2] en [naam 3] .

Tot eerste leden van de Raad van Toezicht zijn benoemd [naam 4] , [naam 5] en [naam 6] . Laatstgenoemde is op 21 juni 2022 onverwacht overleden. In zijn plaats is op 30 oktober 2023 benoemd [naam 7] .

Bij brief van 22 november 2022 heeft ICAM Stichting Landelijke Coördinatie COVID-19 Bestrijding (gedaagde sub 5) (onder meer) uitgenodigd tot het voeren van overleg als bedoeld in artikel 3:305a lid 3 onder c BW.

Het op deze brieven gevolgde overleg heeft er niet toe geleid dat ICAM het gevorderde heeft bereikt.

Vorig jaar stuurden wij u een brief over de diefstal van uw persoonsgegevens uit één van de computersystemen van de GGD. Met deze brief willen we u laten weten dat de politie onderzoek heeft gedaan en wat de uitkomst daarvan is.

Wij vinden het heel vervelend dat deze datadiefstal heeft plaatsgevonden. Daarom willen we graag een financieel gebaar maken voor uw ongemak. Hierover leest u ook meer in deze brief.

Datadiefstal

Wij lieten u vorig jaar al weten dat persoonsgegevens zijn gestolen uit CoronIT. Dit is het computersysteem dat de GGD gebruikt bij het bestrijden van de COVID-19 pandemie. Wij hebben vorig jaar meteen bij de politie aangifte gedaan. Die startte een uitgebreid onderzoek en heeft een aantal verdachten aangehouden. De politie heeft vastgesteld dat er foto’s (schermafdrukken) waren gemaakt van gegevens in CoronIT. Dit is verboden en daarom heeft de rechter hiervoor al een aantal verdachten veroordeeld. De andere verdachten moeten nog voor de rechter komen.

Financieel gebaar

Nu het politieonderzoek naar de datadiefstal klaar is, weten we dat helaas ook foto’s gemaakt zijn van uw gegevens. We vinden dit heel vervelend en zeggen daarom nog een keer sorry. Voor eventueel ongemak willen wij u 500 euro aanbieden. U kunt zelf kiezen of u van dit aanbod gebruik wilt maken of niet.

Wat vragen wij u te doen?

U kunt één keuze aankruisen op de antwoordbrief (die is aan deze brief vastgeniet). Hieronder staat welke keuzes u hebt:

Vóór 1 juli 2022 in de brievenbus doen

Heeft u uw keuze aangekruist? Dan kunt u de ingevulde antwoordbrief los maken van deze brief en in de antwoordenvelop doen. Een postzegel is niet nodig. Plak deze envelop goed dicht en doe deze vóór 1 juli 2022 op de post.

Als u kiest voor keuze 1, krijgt u het bedrag binnen zes weken nadat wij uw antwoordbrief hebben ontvangen.

De bij deze brief gevoegde bijlage Vragen en antwoorden luidt, voor zover hier van belang:

Waarom bieden jullie een financieel gebaar aan?

Uw gegevens zijn door de politie gevonden bij de verdachten. We vinden dit heel vervelend. Daarom willen wij een financieel gebaar maken voor uw mogelijke ongemak.

(...)

Waarom is de hoogte van het bedrag 500 euro?

Wij vinden dit onder de omstandigheden waaronder de datadiefstal zich voorgedaan een gepast bedrag.

(...)

Wat als ik niet reageer voor 1 juli 2022?

Als u niet voor 1 juli 2022 reageert, dan gaan wij ervan uit dat u geen gebruik wilt maken van het aanbod.

Jullie gaan een gebaar maken naar circa 1250 mensen. Waarom niet naar andere mensen?

Bij het politieonderzoek naar de datadiefstal zijn gegevens van circa 1250 personen gevonden. De politie heeft geen aanwijzingen gevonden dat grootschalige databestanden in omloop en verhandeld zouden zijn. Wij bieden alleen die mensen 500 euro aan waarvan de politie schermafdrukken van hun gegevens gevonden heeft bij de verdachten.

(...)

Hoe staat het op dit moment met de beveiliging van jullie systemen? Kan zoiets in de toekomst nog een keer gebeuren?

Geen enkele organisatie kan 100% garantie geven. Echter, dataveiligheid en privacy zijn integrale onderdelen van onze werkprocedures. Het is een doorlopend proces waarbij we continu de veiligheid van onze systemen analyseren en verbeteren. We spannen ons in om de data van alle Nederlanders goed te beschermen en beveiligen tegen onrechtmatige inzage en misbruik. Intern zijn extra veiligheidsmaatregelen getroffen en uit voorzorg zijn diverse systeemaanpassingen gedaan.

Wat gebeurt er als nieuwe screenshots bij (andere) verdachten worden aangetroffen?

Als er nieuwe feiten bekend worden, dan zullen wij weer aangifte doen bij de politie.

De bij de brief van 25 april 2022 gevoegde bijlage Antwoordbrief luidt, voor zover hier van belang:

Keuze financieel gebaar

(...)

Graag één van de vakjes aankruisen om uw keuze aan ons door te geven.

(...).

□ Ja, ik maak gebruik van het aanbod van GGD GHOR Nederland en ontvang graag €500 op de volgende rekening die op mijn naam staat:

(...).

Als wij het bedrag van €500 op uw bankrekening hebben betaald, geeft u ons finale kwijting. Lees onderaan deze pagina wat dat voor u betekent.

□ Nee, ik wil geen gebruik maken van het aanbod van GGD GHOR Nederland.

(...).

Wat is finale kwijting?

Dit betekent dat u ermee akkoord gaat dat wij tegenover u geen verplichtingen hebben die te maken hebben met de datadiefstal uit de coronasystemen van de GGD. Dit geldt dan voor verplichtingen van GGD GHOR Nederland, de GGD’en of andere overheidsinstanties (zoals de gemeente of de landelijke overheid).

Ongeveer 80% van deze 1.247 personen heeft het aanbod aanvaard.

GGD GHOR heeft de overige 126 personen onlangs hetzelfde aanbod gedaan.