De Autoriteit Persoonsgegevens (AP) draagt de 25 GGD’en en brancheorganisatie GGD GHOR Nederland op om op korte termijn meer maatregelen te nemen om persoonsgegevens beter te beschermen. Uit onlangs afgerond onderzoek van de toezichthouder blijkt dat er nog steeds 'wezenlijke risico’s' bestaan voor de bescherming van persoonsgegevens bij het testen, vaccineren en het bron- en contactonderzoek.
In januari berichtte RTL Nieuws dat er grootschalige handel in persoonsgegevens plaatsvond van mensen die betrokken waren bij het bron- en contactonderzoek of die zich hebben laten testen op het coronavirus. De GGD's besloten daarop HPZone, het systeem voor bron- en contactonderzoek van coronapatiënten, te vervangen.
AP-vicevoorzitter Monique Verdier erkent dat er 'verschillend verbeteringen' zijn doorgevoerd. Zo is de zoekfunctie beperkt en kunnen minder mensen gegevens van mensen uit het systeem exporteren. Desalniettemin acht de GGD het systeem nog steeds niet veilig genoeg.
Risico's door groot aantal partijen
De AP ziet vooral een risico in het grote aantal partijen dat betrokken is bij de verwerkingen van persoonsgegevens in verband met het testen, vaccineren en bron- en contactonderzoek. Het gaat hier onder meer om de de koepelorganisatie GGD GHOR, de 25 regionale GGD's, zes partnerorganisaties, diverse uitzendbureaus en IT-leveranciers. Duidelijke afspraken tussen deze partijen over bepaalde beveiligingsaspecten rondom de systemen die men gebruikt voor bron- en contactonderzoek ontbreken, zo schrijft de toezichthouder.
Ook waarschuwt de AP dat de eerdergenoemde vervanging van HPZone niet per definitie zal leiden tot een betere beveiliging van persoonsgegevens. De toezichthouder merkt op dat men bij de ontwikkeling en implementatie van een nieuw systeem nadrukkelijk rekening moet houden met de AVG.
