Cases: Privacy Nationale Covid-19 bestrijding

Organisatieprofiel

GGD GHOR Nederland en de LCCB (Landelijke Coördinatie COVID-19 Bestrijding) coördineerden tijdens de coronacrisis de publieke gezondheid van 17 miljoen inwoners, in samenwerking met 25 regionale GGD’en. Naast de regie op testen, vaccineren en bron- en contactonderzoek vormde GGD GHOR de verbinding tussen beleid, praktijk en landelijke partners als VWS, RIVM en CBS. Daarmee beheerde de organisatie het grootste medische dossier van Nederland.
terug

Opdracht & Rol

Begin 2021 vond een datadiefstal plaats bij de GGD’en, waarbij persoonsgegevens van burgers werden buitgemaakt. De bescherming van de coronagegevens van miljoenen Nederlanders moest structureel op orde komen, onder maximale politieke en maatschappelijke aandacht. De opdracht:

  • De privacy- en securityfunctie van GGD GHOR Nederland en de LCCB opbouwen en leiden: AVG-compliant maken én houden, met een robuuste digitale omgeving voor de toekomst. Gestart als Security Advisor en Programmamanager Digitalisering, vervolgens gevraagd als Directeur Privacy.
  • Samenwerken met VWS, RIVM en CBS aan rechtmatige en zorgvuldige gegevensuitwisseling, en fungeren als escalatiepunt voor de portefeuillehouders van de 25 GGD’en.

Aanpak

Om de digitale veiligheid en privacy structureel te verbeteren ben ik als volgt te werk gegaan:

  • Een multidisciplinaire directie opgebouwd met privacy-, security- en IT-experts (circa 15 FTE, budget circa € 35 miljoen) en de risico’s van de bestaande systemen in kaart gebracht, in overleg met VWS, RIVM, CBS en de 25 GGD’en.
  • Een governance- en gedragscode voor privacy ingevoerd en ruim 80 DPIA’s en verwerkersovereenkomsten opgesteld voor de gegevensstromen met onder meer VWS, RIVM, CBS en ZonMw.
  • Regie gevoerd op de versterking van de ICT-omgeving, met de NEN 7510-certificering als hard ijkpunt en een vaste norm voor snelheid: verzoeken en incidenten kregen binnen één dag een reactie.

Resultaten

  • Het grootste medische dossier van Nederland AVG-compliant gemaakt én gehouden, midden in een lopende crisis.
  • NEN 7510-certificering behaald binnen twee jaar: informatiebeveiliging aantoonbaar en structureel op orde.
  • Ruim 80 DPIA’s en verwerkersovereenkomsten: elke gegevensstroom met ketenpartners rechtmatig en toetsbaar gemaakt.
  • De privacyfunctie opgebouwd tot een gezaghebbende directie in een politiek beladen dossier, met responstijden binnen één dag.
  • De samenwerking met VWS, RIVM, CBS en de GGD’en verankerd in heldere governance en een gedragscode.
  • Een professioneel en stabiel team met 0% verzuim gedurende de gehele periode; de verankering van de functie in de opvolgorganisatie is voorbereid.