Deloitte neemt maatregelen na het datalek in het onderzoek naar de mondkapjesdeal van Sywert van Lienden waarbij een onderzoeker een notitieboek met persoonlijke aantekeningen verloor. Dat heeft demissionair staatssecretaris Blokhuis van Volksgezondheid in een brief aan de Tweede Kamer laten weten.

Volgens het onderzoeksbureau handelde de medewerker in strijd met de regels. Het notitieboek raakte vorige maand vermist, hoogstwaarschijnlijk tijdens woon-werkverkeer van de medewerker, waarbij hij in strijd met het protocol voor vertrouwelijke informatie bij Deloitte, werkzaamheden voor het onderzoek uitvoerde. Het notitieboek werd vervolgens door iemand gevonden en meegenomen. Begin deze maand ontving Deloitte een melding van iemand bestaande uit een brief en zes foto's van notities uit het notitieboek.

In eerste instantie vond Deloitte het niet nodig om de vermissing van het notitieboek als datalek bij de Autoriteit Persoonsgegevens te melden. Na de melding kwam het bedrijf daarop terug. "Omdat de melder expliciet foto’s met persoonsnamen heeft toegevoegd, zagen wij een verhoogd risico ten aanzien van rechten en vrijheden van de betrokken personen in de zin van artikel 33 AVG", zo laat het onderzoeksbureau in een brief aan het ministerie van Volksgezondheid weten.

Het ministerie betreurt de manier waarop Deloitte de situatie van het vermiste notitieboek heeft ingeschat. "Hierdoor werd VWS plots geconfronteerd met een situatie die het ministerie voor een groot dilemma stelde: is het - gezien deze situatie - nog verantwoord dat uw onderzoeksbureau doorgaat met het onderzoek inkoop PBM?", zo laat de plaatsvervangend secretaris-generaal van het departement weten.

Na een gesprek dat vorige week plaatsvond is besloten dat Deloitte mag doorgaan. Daarnaast is afgesproken dat het onderzoeksbureau maatregelen neemt om herhaling te voorkomen. Zo zal er strenger toezicht worden ingesteld op het naleven van de regels. Er is benadrukt dat de onderzoekers buiten de werkplek geen gebruik meer maken van andere middelen dan de elektronische beveiligde middelen, waar ze voor hun werkzaamheden mee moeten werken.

Verder wordt er een privacyspecialist aan aan het onderzoeksteam toegevoegd die mede zal toezien op het bewaken van de privacyrechten van de betrokkenen bij het onderzoek. Tevens gaat Deloitte de interne procedure voor het melden van datalekken bij de Autoriteit Persoonsgegevens evalueren, wordt de kwaliteit, toegankelijkheid en nauwkeurigheid van communicatie aan betrokkenen verbeterd en brengt het onderzoeksbureau geen kosten bij het ministerie in rekening voor de uren die het reeds heeft gemaakt en mogelijk nog zal maken als gevolg van dit datalek.