32 761 Verwerking en bescherming persoonsgegevens

Nr. 178 BRIEF VAN DE MINISTER VOOR MEDISCHE ZORG

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 4 maart 2021

Hierbij bied ik uw Kamer het onderzoeksrapport «Inventarisatie maatregelen t.a.v. beheer externe gegevensdragers Donorregister» van de Audit Dienst Rijk (ADR) aan¹. Op 10 maart 2020 is uw Kamer geïnformeerd over het datalek dat zich heeft voorgedaan bij het CIBG ten aanzien van het Donorregister. Twee fysieke gegevensdragers (externe harde schijven) met daarop een kopie van donorformulieren met registraties en wijzigingen in het Donorregister in de periode 1998–2010 lagen niet meer in de kluis waar ze werden bewaard. Na de melding van het datalek bij het Ministerie van VWS en de Autoriteit Persoonsgegevens heeft het CIBG de ADR gevraagd onafhankelijk onderzoek uit te voeren. Met deze brief geef ik uitvoering aan mijn toezegging en de motie van het lid Van den Berg c.s.², u te informeren over de uitkomst van dit onderzoek en zend ik u hierbij ook het volledige onderzoeksrapport toe inclusief de managementreactie van het CIBG.

Het onderzoek van de ADR vond plaats in een periode waarin het CIBG bezig was met de herbouw van het donorregistersysteem voor de invoering van de nieuwe donorwet. Door deze situatie bestonden er tijdelijk naast elkaar twee registers, één in uitvoering en één in opzet. De ADR heeft daarom onderzoek gedaan naar beide registers tot 1 juli 2020. Op 1 juli 2020 is het oude Donorregister geheel vervangen door het nieuwe Donorregister.

Uitkomst van het onderzoek inzake het datalek

De meeste bevindingen uit het onderzoek van de ADR hebben betrekking op het informatiebeveiligingsplan van het oude Donorregister. Deze was niet meer geactualiseerd sinds 2011 en de maatregelen, procedures en werkwijzen voor de omgang met externe gegevensdragers waren onvoldoende uitgewerkt. Specifiek heeft de ADR geconstateerd dat procedures en werkinstructies voor het bewaren en vernietigen van externe gegevensdragers niet of onvoldoende aanwezig waren. Hierdoor heeft het kunnen gebeuren dat de twee harde schijven zijn verdwenen, zonder dat kan worden nagegaan wat er precies is gebeurd met deze gegevensdragers. De ADR constateerde voor het nieuwe Donorregister dat het ten tijde van het onderzoek nog ontbrak aan een voldoende invulling en borging van het bijbehorend informatiebeveiligingsplan.

Het management van het CIBG geeft aan dit ernstige constateringen te vinden en stelt dat dit niet had mogen gebeuren. De interne sturing op de naleving van de regels omtrent informatiebeveiliging is onvoldoende geweest.

Ik sluit mij hierbij aan. Ook ik vind de bevindingen zeer ernstig. Iedereen moet erop kunnen vertrouwen dat met persoonsgegevens in het Donorregister zorgvuldig en op een goed beveiligde manier wordt omgegaan. Hierin is helaas tekortgeschoten. Om het vertrouwen terug te winnen, zijn directe verbeteracties nodig. In deze brief zal ik daarom ook toelichten wat het CIBG al heeft gedaan en nog zal doen om de informatiebeveiliging rondom het Donorregister te verbeteren.

Huidige situatie en vervolgacties

Het CIBG is direct aan de slag gegaan met de constateringen van de ADR en heeft al tijdens het lopende onderzoek de informatiebeveiliging rondom het nieuwe Donorregister verbeterd. Als resultaat hiervan zijn op dit moment de meeste maatregelen die het CIBG diende te nemen al geïmplementeerd. Zo is het informatiebeveiligingsplan geactualiseerd, is er een risicoanalyse uitgevoerd, zijn overeenkomsten met leveranciers aangepast en zijn er actiehouders benoemd om uitvoering te geven aan alle maatregelen die voortkomen uit wet- en regelgeving (BIO en de AVG). Nu richt het CIBG haar aandacht op de resterende maatregelen en het integreren van de maatregelen in de besturingscyclus van het CIBG om de kwaliteit continu te verbeteren. Op deze manier worden de aanbevelingen van het ADR-onderzoek structureel ingebed in de werkwijze van het CIBG. Ik ben tevreden over de voortvarendheid waarmee het CIBG met de uitkomsten van het onderzoek aan de slag is gegaan. Daaruit blijkt dat het CIBG zich de ernst van de bevindingen bewust is. Het CIBG zal zich over de verdere voortgang aan mij verantwoorden.

Ik vind het ook goed dat het CIBG het datalek heeft aangegrepen om het onderwerp informatiebeveiliging te bekijken vanuit een breder organisatieperspectief. Zij gaan met een meerjarenprogramma informatiebeveiliging meer prioriteit, capaciteit en aandacht geven om dit voor de gehele organisatie naar een hoger ambitieniveau te tillen. Ik blijf met het CIBG in gesprek over (de voortgang van) het onderwerp informatiebeveiliging en het meerjarenprogramma.

De ADR zal tevens, in navolging van de moties van de leden Dijkstra³ en Van den Berg c.s.⁴, aanvullend onderzoek doen naar het nieuwe Donorregister. Voor dit onderzoek zal de ADR de gehele informatiebeveiliging van het nieuwe Donorregister beoordelen. Zoals ik al eerder heb aangegeven, hoop ik de Kamer voor de zomer te kunnen informeren over de uitkomst van dit aanvullende onderzoek. Op termijn wordt ook de nieuwe donorwet geëvalueerd; het voornemen is om het onderwerp informatiebeveiliging van het Donorregister ook mee te nemen in deze evaluatie.

Ik dank de ADR hartelijk voor het gedegen onderzoek dat is verricht en de handelingsperspectieven die zij het CIBG hebben geboden. Deze hebben het CIBG de benodigde handvaten gegeven om de informatiebeveiliging rondom het Donorregister te verbeteren. Daarmee kan een eerste stap gezet worden om het geschonden vertrouwen te herstellen.

De Minister voor Medische Zorg, T. van Ark

---

1 Raadpleegbaar via www.tweedekamer.nl

2 Motie van de leden Van den Berg en Pia Dijkstra over een beleidsreactie op het onderzoek naar het datalek bij het oude Donorregister; Kamerstuk 35 676, nr. 4

3 Motie om de ADR te verzoeken de gehele informatiebeveiliging van het Donorregister bij het CIBG te onderzoeken; Kamerstuk 32 761, nr. 167

4 Motie van de leden Van den Berg en Pia Dijkstra over een beleidsreactie op het onderzoek naar het datalek bij het oude Donorregister; Kamerstuk 35 676, nr. 4