4
Vragenuur: Vragen Van den Berg
Vragen van het lid Van den Berg aan de minister van
Volksgezondheid, Welzijn en Sport over een lek in de RIVMcoronasite.
De voorzitter:
De laatste vraag is van mevrouw Van den Berg namens het
CDA aan de minister van Volksgezondheid, Welzijn en Sport
over een lek in de RIVM-coronasite. Ik heet de minister van
Volksgezondheid, Welzijn en Sport van harte welkom. Gaat
uw gang, mevrouw Van den Berg.

Mevrouw Van den Berg (CDA):
Dank u wel, voorzitter. We lazen zaterdag bij de NOS dat
er sprake is van een beveiligingslek in de website Infectieradar van het RIVM en dat dat al het geval is sinds de
introductie van de site op 17 maart, en nog wel voor 60.000
mensen die daar in alle vertrouwen hun gegevens hebben
achtergelaten. Het RIVM had dat gedaan om de verspreiding
van het coronavirus in de gaten te houden. Het is intussen
ook duidelijk dat je geen professionele hacker hoeft te zijn
om deze gegevens boven water te halen. Dan denk je dus
niet alleen aan e-mailadressen en potentieel postcodes,
maar ook aan medische gegevens die mensen daar hebben
achtergelaten. De website is offline gehaald, maar het
kwaad is al geschied. Wij vinden dit een kwalijke zaak.
Mensen hebben daar in goed vertrouwen hun informatie
achtergelaten en vertrouwen erop dat de overheid daar
veilig mee omgaat. Dat is altijd van groot belang, maar
zeker in een tijd van corona, waarin we juist van iedereen
vragen om zich maar aan de regels te houden.
We zien ook nog dat het RIVM de Infectieradar had ontwikkeld, maar dat er ook andere initiatieven in het veld zijn.
Waarom is er niet samengewerkt? Was dat niet effectiever
geweest? Ik heb dan ook de volgende vragen aan de
minister.
Hoe kan het dat deze website de lucht in is gegaan zonder
dat er echte veiligheidschecks zijn uitgevoerd? De softwareleverancier zegt: dat ga ik nu dus wel doen. Hoe is het
toezicht daarop? Kan de minister aangeven welk misbruik
nu is gemaakt van deze gegevens?
De voorzitter:
Dank u wel. Dan geef ik nu het woord aan de minister van
Volksgezondheid, Welzijn en Sport. Gaat uw gang.

Minister De Jonge:
Voorzitter, dank u wel. Afgelopen zaterdag is een beveiligingslek geconstateerd in de site Infectieradar.nl. De site
was nog maar kort in de lucht, maar is inderdaad heel
belangrijk omdat die het RIVM helpt bij de monitoring van
de ontwikkeling van respiratoire klachten in Nederland.
Nederlanders kunnen zich daarvoor opgeven en kunnen
vervolgens wekelijks hun klachten doorgeven. Zo houd je
op een goede manier zicht. We zagen nou juist dat Infectie-

Tweede Kamer

Vragenuur: Vragen Van den Berg

radar.nl steeds meer gebruikt ging worden, dus dit was wel
buitengewoon ongelukkig, zou je moeten zeggen.
Wat is er nou precies gebeurd? In de site is een applicatie
ingebouwd van het bedrijf Formdesk. Dat is een vragenformulierapplicatie. Als je daar bij het invullen van die vragenlijst op een bepaalde manier in de URL-balk een aantal
gegevens veranderde, kon je bij de laatst ingevulde gegevens van de afgelopen 24 uur van andere mensen die die
gegevens hadden ingevuld, dus precies wat je niet wilt.
Wat is daadwerkelijk het datalek geweest? Dat is dat de
aanmeldformulieren van de afgelopen 24 uur van 49 andere
personen zijn ingezien. Dus gelukkig niet van de 55.000,
maar van 49 van die 55.000 en van alleen de afgelopen dag.
We weten inmiddels uit de logfiles van dat bedrijf dat er
niet ook nog andere mensen inzage hebben gehad. Dat zijn
dus die onderzoeker geweest en de betreffende journalist
die ons daarop heeft gewezen. Overigens zeer veel dank,
niet alleen voor de scherpte maar ook voor de manier
waarop men daarmee is omgegaan, want het RIVM is in
de gelegenheid gesteld om het lek eerst te dichten voordat
het wereldkundig werd gemaakt. Dat is dus buitengewoon
chic gedaan.
Maar een probleem is het natuurlijk wel. Hoe heeft het dan
kunnen gebeuren? Hoe kan het dat er geen veiligheidschecks gedaan zijn? Dat is natuurlijk ook mijn eerste vraag
geweest. We hebben dat uitgezocht en voor zover we dat
nu kunnen terugvinden, zien we dat er bij het ontwikkelen
van die site juist wel veiligheidschecks, pentests zijn gedaan,
waarbij ook dit als een van de veiligheidsrisico's in beeld
is gekomen. Vervolgens is daar ook een oplossing voor
aangedragen die het bedrijf, Formdesk, moest doorvoeren.
Dat bedrijf werkt natuurlijk niet alleen voor de RIVM-site,
maar voor veel meer sites. Die vraagapplicatie wordt op tal
van sites gebruikt. Dus er is aan Formdesk gevraagd om
daarvoor een oplossing te verzinnen. Deels is dat overgenomen en deels niet. Vervolgens is verzuimd om daarop
een dubbelcheck uit te voeren. Ligt dit aan de beleidslijnen
of aan het toezicht? Nee, er is gewoon vergeten een dubbelcheck uit te voeren waar die wel had moeten plaatsvinden.
Kortom: buitengewoon ongelukkig, maar er is wel gelijk
geacteerd. De mensen die het betrof, zijn op zondagavond
7 juni via een persoonlijke e-mail geïnformeerd. Andere
deelnemers zijn op maandagochtend 8 juni geïnformeerd.
Daarna heeft het RIVM ook een bericht op de site geplaatst
over hoe daarmee om te gaan. Vervolgens is er melding
gemaakt bij de AP, de Autoriteit Persoonsgegevens. Het
antwoord op uw vraag wie eigenlijk de toezichthouder op
datalekken is: ja, dat is de Autoriteit Persoonsgegevens.
Daar is het datalek ook gemeld. Vervolgens is het ook
gemeld bij het NCSC, het Cyber Security Centrum. Dat staat
ook in contact met deze leverancier, Formdesk. Dat is hoe
het zit.
Mevrouw Van den Berg (CDA):
De minister zegt dat er geen dubbelcheck is uitgevoerd. In
dat verband vraag ik me ook het volgende af. Je vraagt aan
zo'n bedrijf om wat te herstellen. Het bedrijf doet daarvan
driekwart of de helft. Waarom heeft het bedrijf niet gewoon
uit zichzelf gezegd: sorry, ik heb niet alles kunnen repareren?
Dus hoe zit de contractrelatie met dat bedrijf in elkaar? De
minister zegt dat de Autoriteit Persoonsgegevens daar
toezicht op houdt, maar dat gebeurt als er uiteindelijk wat
verkeerd gaat. Dus waar het mij om gaat: hoe wordt dat

9 juni 2020
TK 80

80-4-1

intern op het ministerie geregeld? Want het RIVM valt uiteindelijk ook onder de verantwoordelijkheid van VWS.
Ook zou ik het volgende willen weten. Er wordt naar de
loggegevens gekeken. Het zijn alleen deze 49 mensen. Ik
heb begrepen dat die site iedere dag wordt leeggemaakt.
Maar hoe kan de minister met zekerheid stellen dat er in
de dagen daarvoor niet ook is ingelogd en gegevens zijn
bekeken? Heeft hij daar nog gegevens van? Of zegt hij: nee,
we kunnen qua historie gewoon niet meer terugvinden of
mensen in de dagen daarvoor gegevens hebben opgehaald
waar ze geen recht op hadden?
Voorzitter. Dan mijn laatste vraag. Hier praten we over
60.000 deelnemers. Het LUMC heeft de COVID Radar-app
met 200.000 deelnemers, het Onze Lieve Vrouwe Gasthuis
heeft ook een app. Het LUMC doet aan tracking en het Onze
Lieve Vrouwe geeft medische informatie. Waarom wordt
er iedere keer geprobeerd het wiel opnieuw uit te vinden?
Waarom zegt men niet: we kijken hoe we sterker kunnen
worden?
Minister De Jonge:
Op de vraag hoe het precies zit met de contractuele relatie,
heb ik het antwoord niet. Ik denk dat u mij dat zult vergeven.
Er zijn een aantal honderden, misschien wel duizenden sites
die onder het domein van VWS vallen. Als je daar alle sites
van alle zorginstellingen bij optelt, gaat het over nog een
keer 60.000 zorginstellingen. U zult mij dus vergeven dat ik
niet van alles de contractuele relatie kan bijhouden. Wat ik
wel weet, is hoe dit fout is gegaan. Want dat was volgens
mij uw vraag: hoe heeft dit kunnen gebeuren? Er is van
tevoren dus wel degelijk een pentest, een check op de veiligheid uitgevoerd. Vervolgens is er gezegd: dit zou eigenlijk
moeten worden hersteld voordat je het daadwerkelijk
introduceert. Die oplossing is deels uitgevoerd en vervolgens is verzuimd om daar een dubbelcheck op uit te voeren.
Zo gaan de dingen soms. Dat soort menselijke fouten worden gemaakt daar waar mensen werken. Ik denk dat het
niet anders is. Het is wel buitengewoon ongelukkig, sowieso
voor de mensen die deelnemen. Die zijn dus netjes geïnformeerd. Maar dit is natuurlijk überhaupt voor het vertrouwen
in de overheidssites buitengewoon ongelukkig. Dus ja, dit
soort menselijke fouten hebben in die zin wel vaak een
verstrekkend gevolg. Daarom is het ook goed om daarop
adequaat te reageren. Ik meen dat we dat hebben gedaan.
Ik meen dat het RIVM dat gedaan heeft. Het heeft niet alleen
de 49 mensen geïnformeerd wier gegevens over de afgelopen 24 uur waren ingezien, maar het heeft ook de andere
55.000 mensen erover geïnformeerd dat dit aan de hand
was. Het heeft vervolgens het bedrijf de opdracht gegeven
om een oplossing uit te werken. Die oplossing wordt uiteraard zes keer gedubbelcheckt voordat die daadwerkelijk
wordt omarmd en wordt geïntroduceerd. Vervolgens is ook
het NCSC erop gewezen, zodat dat ook weer in contact kan
treden met het bedrijf, omdat het bedrijf natuurlijk meerdere
websites bedient.

schaffen dan via deze twee aanmeldnummers. Vraag me
niet hoe dat precies technisch zit, maar men kan dat op die
manier nagaan.
Dan vraagt u: waarom wordt de hele tijd het wiel opnieuw
uitgevonden? Ik heb echt het idee dat het hier om meerdere
wielen gaat, want waarom zou je inderdaad het wiel
opnieuw uitvinden? Het RIVM gaat niet iets uitvinden wat
al op een andere plek bestaat. Dus dit is echt anders dan
de andere dingen die u noemt.
De voorzitter:
Tot slot, mevrouw Van den Berg.
Mevrouw Van den Berg (CDA):
Ik heb nog twee vragen aan de minister. Ik heb begrepen
dat het RIVM een trackingsysteem heeft en dat ook het
LUMC over tracking gaat. Ze hebben dus beide hetzelfde
doel. We praten dus niet over tracing, we praten hier over
een trackingsysteem. Dus ik zou toch de minister willen
vragen om daar nog eens met het RIVM en LUMC en met
het OLVG naar te kijken. Mijn tweede vraag luidt: welke
structurele wijzigingen komen er op het ministerie om toch
te voorkomen dat wij nog een keer zo'n situatie kunnen
krijgen?
Minister De Jonge:
Het antwoord op de laatste vraag is "geen", want het ligt
niet aan het beleid. Je kunt ook binnen heel goed beleid af
en toe iemand hebben die een foutje maakt. En dat is wat
hier gebeurd is. Dat is één.
Ten tweede, het is echt een ander ding. Het is misschien
een beetje een uitvoerige beschouwing, maar de Infectieradar gaat over een hele groep aan mensen wier klachten je
wekelijks in beeld brengt. De OLVG-app is alleen voor de
mensen met coronagerelateerde klachten. Daaraan kun je
dus echt iets verschillends aflezen. Het is echt een verschillend type app, en ook met een verschillend doel. Want die
OLVG-app is er vervolgens ook om medisch perspectief te
bieden. En bij het RIVM is het een website, is het helemaal
geen app. Dus ook in dat opzicht is het iets heel anders.
Maar die RIVM-website infectieradar.nl is met name bedoeld
als vorm van vroegsignalering. Het gaat om de vraag: in
welke mate is er sprake is van respiratoire klachten onder
de bevolking? Dat is dus een heel andere achtergrond. Dus
het is echt iets anders.
De voorzitter:
Dank u wel, mevrouw Van den Berg. Dan heb ik de heer
Van Gerven, de heer Veldman, mevrouw Van Esch,
mevrouw Buitenweg en mevrouw Sazias. Allereerst de heer
Van Gerven.

Kortom, menselijke fouten zijn menselijk. Waar mensen
werken, worden fouten gemaakt. Nou, hier is een fout
gemaakt. Maar vervolgens gaat het ook om de manier
waarop je het herstelt. Ik vind dat het RIVM dat gewoon
netjes doet. Hoe zit het precies met die loggegevens? Ik heb
me ervan laten vergewissen dat er niet meer is ingezien
dan dit, dat er ook niet meer toegang is geprobeerd te ver-

De heer Van Gerven (SP):
Ik vind dat de minister zich hier wel erg laconiek opstelt,
want het is nogal wat. Dan doe je als burger mee met zo'n
Infectieradar en dan blijkt die al meer dan twee maanden
toch behoorlijk lek te zijn. Vindt de minister niet dat dat
gewoon niet had mogen gebeuren? Punt uit! Want het
ondermijnt het draagvlak van mensen om de coronacrisis

Tweede Kamer

9 juni 2020
TK 80

Vragenuur: Vragen Van den Berg

80-4-2

te bestrijden. Ze werken daaraan mee, en dan moet het
gewoon werken. Vindt de minister dat ook? Twee. Is het
ook niet van belang voor het draagvlak in den brede? We
hebben het corona-appgebeuren, dat ook niet de schoonheidsprijs verdient. We hebben ook de startproblemen met
de teststraten van de GGD's. Is het niet belangrijk voor het
draagvlak dat wat de overheid levert, gewoon werkt en dat
dit soort fouten zich niet kunnen herhalen?
Minister De Jonge:
Volgens mij ben ik al duidelijk geweest, namelijk dat dit
buitengewoon ongelukkig is, juist om de redenen die de
heer Van Gerven noemt. Dus ja, natuurlijk. Voor het vertrouwen in de overheid en in websites is het buitengewoon
belangrijk dat er zorgvuldig en "zunigjes" met je gegevens
wordt omgegaan. Natuurlijk, daar moet je op kunnen rekenen. Als ik gewoon kijk naar wat hier gebeurd is en hoe dit
heeft kunnen gebeuren, moet ik op de vraag of dit echt een
beleidsvraagstuk is geweest antwoorden: nee, op basis van
al die richtlijnen is er juist een veiligheidscheck aan de
voorkant geweest. Vervolgens is geconstateerd: hé, hier zit
een mogelijk beveiligingslek; dat moet je oplossen en dit
zou de oplossing kunnen zijn. Vervolgens heeft het bedrijf
die oplossing maar deels overgenomen en vervolgens is
dat niet gedubbelcheckt. Dat is een menselijke fout die
wordt gemaakt waar mensen werken. Ik vind het buitengewoon ongelukkig, maar ik ga hier niet beloven dat er nooit
meer een menselijke fout wordt gemaakt. Juist omdat dat
gebeurt, hebben we ook een hele procedure hoe daar vervolgens mee moet worden omgegaan: je moet dat melden
bij de Autoriteit Persoonsgegevens, zodat die het toezicht
kan houden en kan kijken wat er daadwerkelijk aan de
beleidskant fout is gegaan en wat er eventueel anders zou
moeten. De autoriteit kan zelfs beboeten als dat nodig is.
Dat is wat de toezichthouder, de Autoriteit Persoonsgegevens, kan doen. Vervolgens noemt u allerlei andere uitvoeringsvraagstukken. Die vind ik ook allemaal buitengewoon
belangrijk, maar die staan hier wel volkomen los van.
De heer Veldman (VVD):
Het beeld van de afgelopen weken is niet fraai: een Donorregister, waarbij de gegevens van 6,9 miljoen mensen
gestolen zijn, het haastig proberen te ontwikkelen van een
corona-app, waarin privacygaten geschoten werden, en
dan nu de Infectieradar, waarbij medische gegevens van
mensen in handen gekomen kunnen zijn van anderen dan
de mensen zelf. Nu hoef ik de minister vast niet te vragen
of hij het spreekwoord "vertrouwen komt te voet en gaat
te paard" kent, maar ik wil hem wel vragen hoe hij het vertrouwen gaat herstellen, want dat is van belang. Neem bijvoorbeeld de donorregistratie. Als je daar nu niks invult,
vanuit het idee dat het allemaal niet veilig blijft, dan word
je geacht je organen ter beschikking te stellen. Dat is nogal
een consequentie als dat is vanwege een gebrek aan vertrouwen.
Minister De Jonge:
Juist daarom is het ook heel goed om precies te zijn. Dat
hele donorregistratieverhaal gaat juist over het oude systeem en heeft niets met het nieuwe systeem te maken, want
dat is helemaal op basis van privacy by design en security
by design ontworpen. De app — ik ben het overigens niet
eens met uw kwalificatie — is niet in alle haast ontwikkeld,

Tweede Kamer

Vragenuur: Vragen Van den Berg

maar wordt juist nu heel erg grondig ontwikkeld en was
toen nog helemaal niet ontwikkeld. Waar we toen naar aan
het kijken waren, waar toen zo veel ophef over was, is: is
er op dit moment iets in de markt beschikbaar wat we in
één keer zouden kunnen gebruiken? Daarop is het antwoord
gewoon: nee, dat was er niet. Het was juist heel goed dat
we dat in alle transparantie hebben onderzocht en daar juist
van hebben geconcludeerd: nee, er is op dit moment niet
iets wat je onmiddellijk zou kunnen gebruiken. Daarom
wordt het op dit moment ontwikkeld door the best en the
brightest. Het wordt all-over getest om te zorgen dat dat
ding gewoon hartstikke veilig is. Dat zal veilig zijn en de
privacy zal daarbij gewaarborgd zijn, en anders gaan we
het niet gebruiken. Zo simpel is het en zo heb ik het met
uw Kamer ook afgesproken. Dus ja, zeker is vertrouwen
hartstikke belangrijk. Juist omwille van dat vertrouwen is
het goed om niet de hele boel op een hoopje te rommelen,
maar om ook wel precies te zijn in waarover het hier gaat.
Hier gaat het over een veiligheidslek dat in een site heeft
gezeten. Dat is onmiddellijk opgelost en onmiddellijk hersteld. In de reactie in de richting van mensen die het betrof
is onmiddellijk aangegeven wat hier aan de hand was.
Mevrouw Van Esch (PvdD):
Het is inderdaad zeer pijnlijk wat hier gebeurd is. Ik neem
het u heel erg kwalijk dat er medische gegevens van mensen op deze manier openbaar zijn geworden. Wat natuurlijk
ook heel pijnlijk is, is dat er op dit moment 8 miljoen
medische dossiers openbaar zijn gemaakt wat betreft het
opt-insysteem. Die zijn voor elke behandelaar inzichtelijk
zonder dat daar een goede reden voor wordt gegeven en
zonder dat mensen daar toestemming voor hebben gegeven. Wij blijven ons afvragen waarom dat nu nog steeds
het geval is. Wanneer stoppen we hiermee? Wat is de reden
om daar op dit moment nog mee door te gaan?
Minister De Jonge:
Dat is weer een heel ander verhaal. Dat gaat over informed
consent: geef ik toestemming dat de huisartsenpost ook
gebruik mag maken van jouw huisartsgegevens? Om
wachtlijsten en allerlei wachttijden te voorkomen, die buitengewoon ongelukkig zijn in een tijd dat de zorg mogelijkerwijs toch al overbelast is, is inderdaad uitgegaan van
een automatisch informed consent aan de kant van het
gebruik van huisartsgegevens bij de hap. Dat is zeer ten
voordele van patiënten. In een normale situatie wil je
natuurlijk dat mensen daar van tevoren toestemming voor
geven. Als we dat hier hadden gedaan, was alles vastgelopen. We moeten ook een beetje praktisch blijven. Dat is wat
het is, en ook niks meer dan dat. Dat heb ik overigens goed
toegelicht aan u, aan uw Kamer, en ook aan de Autoriteit
Persoonsgegevens.
Mevrouw Van Esch (PvdD):
Oké, er is met de Autoriteit Persoonsgegevens hierover
gesproken. Dat was het volgens mij. Op dit moment zeggen
we dus: we overtreden de wet die we hier hebben; het mag
niet, maar we gaan wat betreft een eerste periode van
coronamaatregelen toch dat opt-insysteem hanteren. Ik
herhaal nog een keer onze specifieke vraag: wanneer stoppen we hiermee? We zitten namelijk niet in een situatie
waarin we maar constant op deze manier, zonder toestem-

9 juni 2020
TK 80

80-4-3

ming, medische gegevens van 8 miljoen mensen beschikbaar moeten stellen.

De voorzitter:
Nee, mevrouw Buitenweg!

Minister De Jonge:
Zal ik de Kamer daar gewoon heel precies over informeren?
We zijn daarover namelijk in gesprek met de AP.

Minister De Jonge:
Die app doet helemaal niets met locatiedata. Het is misschien goed om dat te onderstrepen.

De voorzitter:
En dan krijgt de Kamer een brief daarover?
Minister De Jonge:
Ja, zeker.
De voorzitter:
Oké. Mevrouw Buitenweg namens GroenLinks, en dan
mevrouw Sazias en dan mevrouw Kuiken. Gaat uw gang.
Mevrouw Buitenweg (GroenLinks):
Ik vrees dat ik de minister dan toch ook enigszins moet
irriteren door een aantal andere zaken erbij te halen. De
minister wil zelf op heel veel verschillende manieren
gegevens verzamelen. We horen nu over de reserveringssystemen in de horeca, de app is in ontwikkeling, en er
wordt via al deze websites natuurlijk ook informatie verzameld. Dan is het heel belangrijk dat we echt zorgvuldig
omgaan met die gegevens. De minister zegt dat ook. Maar
tegelijkertijd zei hij hier: ja, zo gaat dat soms. Ik heb het
letterlijk opgeschreven: "Ja, zo gaat dat soms; dat zijn persoonlijke foutjes." Dat vond ik wel erg laconiek en ook wel
te ver gaan. Het gaat er natuurlijk om hoe de minister regelt
dat die persoonlijke foutjes voorkomen worden. Anders
vraagt hij van ons allemaal dat al die locatiedata verzameld
worden en dat we zeggen: ja, dan gaat het soms zo dat er
weer eens een lek is. Hoe zorgt hij voor een soort externe
check hierop? Het lijkt alsof het zo'n haastklus is, omdat hij
ons zo graag via innovatie uit de coronacrisis wil halen, dat
er onvoldoende tijd is om hier echt goed mee om te gaan.

Twee: die horecagegevens zijn allemaal vrijwillig. Het gaat
over een checkgesprek dat je sowieso hebt, want de enige
vraag die gesteld zou kunnen gaan worden — maar daarover ben ik in gesprek — is: stel nou dat er op de avond dat
jij hier zat iemand blijkt te hebben gezeten die besmet blijkt
te zijn nadat hij is getest; zou je daar dan over geïnformeerd
willen worden? Nou, me dunkt dat een aantal mensen daar
ja tegen zegt. En als u nee zegt, dan moet u nee zeggen.
Dat is ook prima. Het is helemaal vrijwillig. Dat is een vrij
nuchter, normaal gebruik. Dat was een vraag uit de Kamer.
Ik meen dat het Klaas Dijkhoff was die mij vroeg of ik dat
eens zou kunnen bekijken. Toen zei ik: dat is goed; dat gaan
we eens bekijken. Om die nuchterheid gaat het. Ik denk dus
dat het goed is om zorgvuldig te blijven als het gaat om de
vraag waar het eigenlijk over gaat, in plaats van allerlei
dingen aan elkaar te koppelen die eigenlijk niet zo gek veel
met elkaar te maken hebben.
In dit geval is het een website die is ontwikkeld op basis
van de normale vereisten die daarvoor bestaan. Bij die
website is gebruikgemaakt van een vraagapplicatie van
Formdesk in die website. Voordat die werd gebruikt — dat
is overigens een veelgebruikte applicatie; die wordt echt
niet alleen gebruikt voor deze RIVM-site — is het heel goed
gecheckt. Aan de voorkant is het heel goed gecheckt. Toen
is gebleken dat dit mogelijkerwijs een beveiligingslek zou
kunnen zijn. Dat is dus gebleken op basis van een check die
is gedaan. Toen is er gezegd: dan moet je dat wel oplossen.
Het is deels opgelost, en deels ook niet. Vervolgens heeft
men verzuimd dat te dubbelchecken. Daarvan zeg ik inderdaad in alle nuchterheid: ik ga niet beloven dat dat soort
fouten nooit meer wordt gemaakt, maar fout is het wel en
ongelukkig is het ook, natuurlijk.
De voorzitter:
Ik denk dat dit onderwerp zeker terugkomt, mevrouw Buitenweg. Ik zie dat u heel veel vragen heeft, maar ...

De voorzitter:
De minister.
Mevrouw Buitenweg (GroenLinks):
Hoe zorgt hij voor een externe check op zulke zaken?
Minister De Jonge:
Eerst iets over het gebruik van het woord "zorgvuldig". Dat
gebruikte u namelijk. "Zorgvuldig" is ook: gewoon even
heel precies zeggen waar het over gaat. Er is hier in deze
zaal niemand die uit is op locatiedata, helemaal niemand.
Die corona-app, waar we het vaker over hebben gehad,
doet helemaal niks met locatiedata. Misschien is het goed
om dat ook ...

Mevrouw Buitenweg (GroenLinks):
Ja, omdat er met mijn vraag om een externe check niets is
gedaan.
De voorzitter:
Nee, nee, nee! Ik weet het. Ik weet het. Maar misschien is
het ook goed om alle vragen te beantwoorden.

Mevrouw Buitenweg (GroenLinks):
Niet van individuen, maar wel ...

Minister De Jonge:
Ja. De externe check wordt nu natuurlijk gedaan. Er is
namelijk een oplossing bedacht, en die oplossing wordt
eerst aan een externe check onderworpen. Er wordt weer
een pentest gedaan. Dat had ik al verteld, geloof ik, maar
dat wordt inderdaad ook gedaan. Dat klopt.

Tweede Kamer

9 juni 2020
TK 80

Vragenuur: Vragen Van den Berg

80-4-4

Mevrouw Sazias (50PLUS):
We hebben het hier over vertrouwen. Het vertrouwen in de
overheid en de ICT is al niet zo groot onder de Nederlandse
bevolking. Dat vertrouwen heeft nu weer een extra knauw
gekregen. De minister zegt dat je niet allerlei verschillende
projecten bij elkaar moet gooien, maar voor de Nederlander
maakt dat niet uit, want het is gewoon: overheid en ICT,
dat gaat niet goed. Heeft het ministerie de beschikking over
van die jonge ICT-wizards die heel goed kunnen hacken?
Voordat je zo'n site in de lucht gooit, moet je die eerst langs
hackspecialisten — vaak zijn dat jongeren — sturen.
Minister De Jonge:
Ik geloof niet dat we hackers in dienst hebben. We hebben
inmiddels allerlei soorten en maten mensen in dienst, maar
hackers hebben we geloof ik niet in dienst. Maar het RIVM,
want daar is de site van, heeft gewoon een eigen CIO, een
chief information officer, die binnen het RIVM de eindverantwoordelijkheid draagt voor het informatiebeleid. Op zich
is dat dus wel geregeld. Als je een nieuwe website lanceert,
worden daar vervolgens natuurlijk allerlei checks op gedaan,
juist ook door externen. Er worden juist ook pentesten,
penetratietesten, gedaan om te kijken of je op een andere,
kwalijke manier gebruik kunt maken van het ICT-product
dat we hier aan het ontwikkelen zijn. Dat zijn doorgaans
inderdaad externe testen. Bij de oplossing die Formdesk
nu heeft voorgesteld voor het daadwerkelijk dichten van
het lek, heeft de CIO van het RIVM gezegd: dat gaan we
eerst eventjes voorleggen aan externen. Dat wordt dus
getest door het type hackers dat u in gedachten heeft, denk
ik, dus door mensen die vaker pentesten uitvoeren.
De voorzitter:
Mevrouw Kuiken namens de PvdA. Nee, mevrouw Sazias,
mevrouw Van Brenk is geweest. Nee. We moeten gewoon
een langer vragenuur gaan invoeren en dan meer vragen
toelaten. Mevrouw Kuiken.
Mevrouw Kuiken (PvdA):
Ik blijf hier toch een wat ongemakkelijk gevoel houden. We
hebben hier te maken met een minister die dol is op gadgets. De ene na de andere app wordt geïntroduceerd en
valt vervolgens ook weer een beetje weg. Wat de gemene
deler daarin is, is dat private bedrijven iets moeten bouwen,
vaak met vrijwilligheid van mensen, en dat het om hele
gevoelige informatie gaat, namelijk je medische gegevens.
Ik snap dus werkelijk niet waarom de hoogste beveiligingschecks niet vooraf, tijdens de bouw en op het moment dat
het product is afgeleverd, afgedwongen worden, juist omdat
het om dit soort gevoelige informatie gaat. Dat zagen we
bij de corona-app. Dat zien we nu weer bij de Infectieradar.
En zo zijn er nog meer dingen in ontwikkeling. Als de
hoogste standaarden niet worden nageleefd — en dat blijkt
nu het geval te zijn, maar dat is pas achteraf — waar kunnen
we dan nog op vertrouwen als burger en als consument,
waarvan u de informatie en de hulp zó nodig hebt?

gegaan, is de dubbelcheck. Ik weet niet wat toezicht op
toezicht stapelen daar verder oplost. Dit is gewoon een fout
die is gemaakt. Ik vrees dat er fouten gemaakt zullen blijven
worden. Het enige wat je kunt doen, is vooraf alles zo goed
als mogelijk regelen. Zeker bij de technische oplossingen
die extra gevoelig zijn, moeten de checks van tevoren
natuurlijk gewoon buitengewoon scherp worden gedaan.
De oplossing die hier straks zal worden bedacht — die is al
voorgesteld door het bedrijf — gaat natuurlijk wel gewoon
zes keer gedubbelcheckt worden voordat die weer live gaat
op de site, dus voordat de infectieradar daadwerkelijk weer
gaat functioneren. Kortom, ik ben het gewoon met u eens.
Ik denk alleen niet dat er nog iets bovenop te zetten is dat
gaat voorkomen dat er ooit nog menselijke fouten gemaakt
zullen worden, want zo werkt het nou eenmaal niet.
Mevrouw Van den Berg (CDA):
We kijken in deze wereld naar digitale oplossingen. Het zou
vreemd zijn als dat niet zo zou zijn; daarvoor in beginsel
alle steun. Maar dan is het extra belangrijk dat de digitale
oplossingen van de overheid enorm betrouwbaar zijn. In
die zin was ik net teleurgesteld over het antwoord van de
minister. Hij zegt: ik ga niks veranderen, want het ligt niet
aan het beleid. De minister zegt ook dat er altijd fouten
kunnen worden gemaakt. Nou, in de financiële wereld heeft
men al sinds jaar en dag het vierogenprincipe om dat soort
dingen bijvoorbeeld te voorkomen. Er is net aangegeven
dat het ministerie geen ethische hackers in dienst heeft.
Dus ik had de minister willen vragen of hij met een brief
naar de Kamer kan komen om duidelijk aan te geven
waarom hij vindt dat daarin niets hoeft te veranderen.
Minister De Jonge:
De vraag is of je hier wat extra's had kunnen doen om een
fout te voorkomen. Het antwoord op die vraag is volgens
mij gewoon nee, want we hebben die check al ingebouwd.
Vervolgens gaan we die ook nog eens dubbelchecken. En
je gaat met geen enkele beleidswijziging voorkomen dat er
een fout wordt gemaakt in de uiteindelijke controle of de
geboden oplossing daadwerkelijk heeft plaatsgevonden.
Het is gewoon een menselijke fout in op zichzelf genomen
goed, strak beleid, waar veel checks en dubbelchecks in
zitten. Waar een honderdogenprincipe geldt, kunnen nog
steeds menselijke fouten worden gemaakt. Dat ga ik met
geen enkele beleidswijziging voorkomen. Echt niet.
De voorzitter:
Dank u wel. Daarmee zijn we aan het einde gekomen van
dit vragenuur. Ik schors de vergadering enkele ogenblikken.
Dan gaan we daarna stemmen.
De vergadering wordt enkele ogenblikken geschorst.

Minister De Jonge:
Waar het hier gewoon om gaat, is dat die check er wel is
geweest. Die check heeft juist uitgewezen waar het probleem zat. Vervolgens is ook tegen het bedrijf gezegd: zorg
dat je dit opgelost krijgt. Wat er vervolgens niet goed is

Tweede Kamer

Vragenuur: Vragen Van den Berg

9 juni 2020
TK 80

80-4-5