Tientallen GGD'en en brancheorganisatie GGD GHOR Nederland moeten snel meer maatregelen nemen om persoonsgegevens beter te beschermen. Dat is de uitkomst van een onderzoek van de Autoriteit Persoonsgegevens waaruit blijkt dat er nog steeds wezenlijke risico’s bestaan voor de bescherming van persoonsgegevens bij het testen, vaccineren en het bron- en contactonderzoek tijdens de coronapandemie.

De privacytoezichthouder besloot vanwege verschillende datalekken bij de GGD een onderzoek in te stellen. Uit het onderzoek blijkt dat een aantal aangekondigde verbetermaatregelen inmiddels zijn genomen om het risico op datalekken te verminderen. Toch zijn er nog risico's voor de bescherming van persoonsgegevens die aanvullende maatregelen vereisen. Het gaat met name om risico’s die verband houden met het grote aantal partijen dat betrokken is bij de verwerkingen van persoonsgegevens in verband met het testen, vaccineren en bron- en contactonderzoek.

De AP onderzocht of er voldoende verbetermaatregelen zijn getroffen met het oog op toegangsbeveiliging, verleende autorisaties en autorisatiebeheer, logging van de gebruikte systemen, controle op deze logging en om het ongeoorloofd exporteren/printen van persoonsgegevens uit de systemen te voorkomen. Ook werd gekeken of aangekondigde maatregelen met betrekking tot beperking van de zoekfuncties van gebruikers in de systemen ook daadwerkelijk zijn getroffen.

Uit het onderzoek komt naar voren dat de drie onderzochte GGD-systemen vanaf eigen apparatuur rechtstreeks kunnen worden benaderd via een url, zonder dat medewerkers eerst moeten zijn ingelogd op een beveiligde werkomgeving. Wel wordt bij de drie systemen tweefactorauthenticatie toegepast. Verder blijkt dat een grote groep medewerkers, waaronder medewerkers van de landelijke partners, op eigen apparatuur werkt. Daar zijn geen afspraken over gemaakt.

De AP stelt dat het gebruik van eigen apparatuur in combinatie met de mogelijkheid om op de onderzochte systemen in te loggen buiten een beveiligde werkomgeving, kan leiden tot beveiligingsrisico’s. Ook bestaat het risico dat software op de apparatuur wordt geïnstalleerd die risico’s voor de bescherming van persoonsgegevens met zich meebrengt. "Het feit dat via een internetbrowser en dus ook buiten een beveiligde werkomgeving kan worden ingelogd op de onderzochte systemen, kan dan ook, zoals gezegd, tot beveiligingsrisico’s leiden", laat de privacytoezichthouder weten.

Verder concludeert de AP dat het proces rond het tijdig aanpassen of intrekken van autorisaties nog niet altijd goed verloopt. Zo zijn duidelijke afspraken tussen de betrokken partijen hierover niet aangetroffen, wat ook geldt voor de controle van logbestanden. "Hierdoor is onvoldoende duidelijk wie waarvoor verantwoordelijk is en wie welke maatregelen in dit verband dient te treffen. Dat vergroot de kans op nieuwe tekortkomingen in de beveiliging van persoonsgegevens", aldus de toezichthouder.

"GGD GHOR en de GGD’en hebben verschillende verbeteringen doorgevoerd. Zo is de zoekfunctie beperkt en de groep personen die gegevens uit de systemen kan exporteren aanzienlijk beperkt", zegt AP-vicevoorzitter Monique Verdier. "Maar na onderzoek is ons duidelijk geworden dat dit nog onvoldoende is en er nog verdere verbeteringen nodig zijn. Dat moet snel gebeuren."