Collectieve rechtszaak om ‘grootste datalek in Nederland’

Stichting ICAM kondigt aan de rechtszaak tegen het ministerie van VWS te zijn gestart. Volgens de stichting is VWS verantwoordelijk voor het datalek dat in 2021 bij de GGD ontdekt werd, waardoor de vertrouwelijke gegevens van 6,5 miljoen mensen op straat zijn beland.

In januari 2021 maakte RTL als eerste melding van het datalek bij de GGD, nadat een journalist een dataset wist te bemachtigen van criminelen in een besloten chatgroep. In de datasystemen van de GGD-en worden zeer vertrouwelijke gegevens opgeslagen van 6,5 miljoen Nederlanders, waaronder BSN-nummers, adressen en telefoonnummers, medische informatie, testresultaten en uitkomsten van het bron- en contactonderzoek.

Meer dan vijfentwintigduizend tijdelijke, veelal thuiswerkende werknemers van de GGD hebben op dat moment vrij toegang tot alle gegevens. Met een exportknop kan deze informatie gedownload en uitgewisseld worden, maar toezicht is nauwelijks aanwezig. Informatie van vrienden, familie en BN’ers wordt door medewerkers ingezien en vrijuit gedeeld via onder meer WhatsApp. Sommige medewerkers bieden de gegevens in besloten chatgroepen te koop aan criminelen. Zeker acht medewerkers worden uiteindelijk opgepakt en veroordeeld.

Gesprekken met het ministerie en meerdere Woo-verzoeken om informatie boven tafel te krijgen, liepen afgelopen jaar op niets uit. Stichting ICAM heeft daarop het ministerie gedagvaard voor de rechtbank Amsterdam, mede namens de ruim 133.000 burgers die zich bij haar als actieve deelnemer hebben aangemeld. Niet eerder heeft een overheidsorganisatie zich in een privacyzaak van deze omvang voor de rechter moeten verantwoorden.

De stichting wil met de rechtszaak tevens meer openheid krijgen over de omvang van het datalek en de gevolgen die burgers daarvan hebben moeten ondervinden. Uit de meegeleverde bewijsstukken blijkt dat betrokken overheidsinstanties onderling hebben afgestemd bepaalde documenten niet openbaar te willen maken en in andere documenten belangrijke passages zwart te lakken. Stichting ICAM eist daarnaast een schadevergoeding van 500 euro voor iedere persoon van wie gegevens in de GGD-systemen zaten en mogelijk gestolen zijn, tot 1.500 euro voor een ieder waarvan vast komt te staan dat hun gegevens inderdaad zijn gestolen.