Miljoenen privégegevens uit GGD-coronasystemen gestolen en verhandeld

Miljoenen persoonsgegevens afkomstig uit de coronasystemen van de GGD worden te koop aangeboden. Dat ontdekte datajournalist Daniël Verlaan van RTL Nieuws. Dit weekend werden twee personen gearresteerd die handelden in adresgegevens en telefoon- en burgerservicenummers. Beiden waren werkzaam bij de GGD.

De gestolen en verhandelde data zijn afkomstig uit twee systemen: CoronIT, waarin de privégegevens zijn opgeslagen van iedereen die een coronatest laat afnemen, en HPzone Light. Dat laatste systeem wordt door de GGD gebruikt voor het bron- en contactonderzoek. Verlaan ontdekte dat de privégegevens al maandenlang via chatdiensten als Telegram, Snapchat en Wickr worden aangeboden. Dat gaat in sommige gevallen om datasets met daarin gegevens van tienduizenden Nederlanders tegelijk. Maar ook is het mogelijk om tegen betaling de data van een specifiek persoon op te vragen. Testafspraken en -uitslagen zijn ook opvraagbaar.

Volgens RTL Nieuws wordt de date in sommige gevallen gestolen door callcentermedewerkers die zijn omgekocht en die per doorgespeelde set gegevens een bedrag ontvangen: “Dit loopt soms op tot honderden euro’s per dag, zo stelt één van de tussenpersonen – een flink bedrag voor een callcentermedewerker die gemiddeld zo’n 11 euro per uur verdient.”

De GGD was niet op de hoogte van de handel in privégegevens uit hun eigen systemen, zij zijn afgelopen week door RTL Nieuws geïnformeerd. Na de melding heeft de GGD naar eigen zeggen ‘onmiddellijk verdere maatregelen getroffen’. Het cybercrimeteam van politie Midden-Nederland is direct een onderzoek gestart. Zaterdagavond werden in Amsterdam twee mannen gearresteerd op verdenking van de illegale datahandel. De Autoriteit Persoonsgegevens (AP) spreekt ondertussen van een ‘kwalijke’ zaak en een ‘mogelijk ernstig datalek’. De AP heeft de GGD om opheldering geëist.