Stichting ICAM spreekt  het ministerie van Volksgezondheid, Welzijn en Sport (VWS) aan. Gedurende de corona pandemie hebben de GGD'en hun uiterste best gedaan om alles in goede banen te leiden. Het ging echter mis bij het beveiligen van de IT-systemen waarin persoonsgegevens van 6,5 miljoen Nederlandse burgers zijn opgeslagen. Het ministerie van VWS had de leiding over de bestrijding van de corona pandemie en heeft opdracht gegeven tot de ingebruikname van de slecht beveiligde IT-systemen. Wij vinden dat het ministerie verantwoordelijkheid moet nemen en zich niet zou moeten verschuilen achter de GGD'en.

In het kort:

• 26.000 medewerkers hadden toegang tot veel meer gegevens dan zij nodig hadden voor hun werk.
• Deze medewerkers konden zonder fraudecontroles  grote bestanden met persoonsgegevens downloaden.
• Deze persoonsgegevens waren niet versleuteld.
• Medewerkers werden niet goed geïnstrueerd hoe er met privacy diende te worden omgegaan.
• De activiteiten van de medewerkers werden niet (voldoende) gelogd en gemonitord. Daardoor werd de datadiefstal niet tijdig gesignaleerd en weet niemand hoeveel data er precies zijn gestolen.
• Zeer gevoelige gegevens van 6,5 miljoen burgers zijn hierdoor mogelijk in criminele handen gekomen.

De wijze waarop het ministerie van VWS met persoonsgegevens binnen de IT-systemen van de GGD is omgegaan en nog steeds omgaat, is in strijd met de Algemene Verordening Gegevensbescherming (AVG), specifieke zorgwetgeving en verschillende NEN-normen.

Om precies te zijn is in strijd gehandeld met: 

• Het beginsel van dataminimalisatie van artikel 5 van de AVG.
• De beginselen van privacy by design en privacy by default van artikel 25 AVG.
• De beveiligingsplicht zoals neergelegd in artikel 32 AVG.
• De NEN 7510 norm voor informatiebeveiliging in de zorg.
• De Wet op de geneeskundige behandelingsovereenkomst en de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg.

Jazeker, maar helaas is de Autoriteit Persoonsgegevens (AP) structureel onderbezet. In veel gevallen ontbreekt het de toezichthouder aan voldoende capaciteit om inbreuken op te sporen en recht te zetten. Pas in november 2021  heeft de Autoriteit Persoonsgegevens een rapport naar buiten gebracht over het GGD-datalek en geconcludeerd dat de beveiliging nog steeds (!) ondermaats is. Tot een boete of dwangsom is het echter niet gekomen. 

Met onze collectieve actie willen wij drie dingen bereiken:

• Duidelijkheid over de omvang van de datadiefstal en op welke manier het ministerie van VWS en de GGD dat vaststellen.
• Het vertrouwen in de digitale overheid herstellen. Daarvoor moeten privacy en databeveiliging structureel verankerd worden in beleid. Wij denken met deze rechtszaak de noodzakelijke prikkels te kunnen bieden, zodat toekomstige datalekken voorkomen worden.
• Een schadevergoeding voor de gedupeerden van wie door toedoen van het ministerie persoonsgegevens in criminele handen zijn gekomen, of een groot  risico hierop lopen. 

Dit is onduidelijk: er bestond geen ‘logboek’ van de handelingen die medewerkers uitvoeren binnen de IT-systemen van de GGD. Daarom weten het ministerie en de GGD niet van wie precies de gegevens zijn gestolen en hoe groot deze groep is. Medewerkers werden niet of nauwelijks gecontroleerd en plannen om dit wel te doen zijn nooit geïmplementeerd. 

Tot nu toe hebben het ministerie en de GGD van 1.250 mensen kunnen vaststellen dat hun gegevens daadwerkelijk zijn ontvreemd. Zij hebben van de GGD een excuusbrief gekregen. Voor alle andere 6,5 miljoen mensen tasten we momenteel in het duister of hun gegevens wel of niet zijn gestolen. Stichting ICAM wil duidelijkheid hierover en wil dat de beveiliging op orde wordt gebracht. Daarom spannen we deze zaak aan namens alle burgers die zich in de IT-systemen van de GGD bevonden.

Dat heeft de GGD inderdaad gedaan. Ze heeft dat echter aan een kleine groep gedupeerden aangeboden. Stichting ICAM vindt dat de GGD en het ministerie van VWS aan iedereen schadevergoeding moeten aanbieden, met name onze deelnemers maar eigenlijk aan de hele groep van 6,5 miljoen mensen van wie de gegevens betrokken zijn bij het datalek. Zie onze Updatemail van mei 2022, waar we hier nader op in gaan.

De gesprekken met VWS en de GGD-en in het voorjaar van 2022 hebben niets uitgehaald. Men weigert openheid van zaken te geven over wat er precies gebeurd is en wat de impact van het lek is geweest. We willen bijvoorbeeld weten van wie er gegevens gestolen zijn en van wie niet. Men wil ook de onderzoeksrapporten waarin dat staat niet met ons delen: alles is ‘geheim’ en ‘vertrouwelijk’. VWS en de GGD-en vinden dat er ook geen reden is om schadevergoeding te betalen (behalve de ca. 1.250 mensen die als ‘gebaar’ € 500 hebben ontvangen). Om die reden brengt Stichting ICAM in maart 2023 de dagvaarding uit en is de gerechtelijke massaschadeprocedure officieel gestart. Ook hebben we een paar Woo-procedures gestart, om ook langs die weg informatie te verzamelen. Meer informatie vind je ook op de tijdlijn van het datalek.

De rechtszaak wordt gefinancierd door Liesker Procesfinanciering, gevestigd in Breda. Hierdoor kunnen wij beloven dat deelnemers zelf geen eigen bijdrage hoeven te betalen. De procesfinancier schiet de kosten van de rechtszaak voor en zorgt dat deze gevoerd kan worden op basis van een "no cure no pay"-afspraak: hij krijgt alleen een vergoeding voor zijn kosten als de zaak slaagt.

Deze vergoeding bedraagt 20% van de schadevergoeding die Stichting ICAM voor gedupeerden weet te innen, en is gemaximeerd op vijf keer de door de procesfinancier geïnvesteerde som. Deze vergoeding is bedoeld om de procesfinancier te compenseren voor het grote risico dat hij loopt. In de sectie Documenten is een Verantwoordingsdocument te vinden, waarin we de afspraken tussen Stichting ICAM en de procesfinancier nader toelichten.

Stichting ICAM zal een schadevergoeding vorderen voor iedereen die sinds februari 2020:

• een corona testafspraak heeft gemaakt bij een GGD.
• een corona vaccinatieafspraak heeft gemaakt bij een GGD.
• contact heeft gehad met een GGD omdat zij in bron- en contactonderzoek als ‘nauw contact’ werden aangemerkt.

Ben je meerderjarig en voldoe je aan één of meer van bovenstaande voorwaarden? Dan kun je jezelf hier opgeven als deelnemer.

Meedoen met de collectieve actie kan door het formulier op de website in te vullen. Zo kunnen we in de rechtszaal aantonen dat veel mensen deze actie onderschrijven. 

Deelnemen aan deze actie kost jou niets.  Dit is een bewuste keuze geweest, in lijn met de missie van onze stichting dat kosten voor gedupeerden geen rol horen te spelen bij het halen van hun recht.  

ICAM heeft geen winstoogmerk. De procedure wordt gevoerd op basis van “no cure, no pay”. Alle kosten worden betaald door ICAM en je hoeft dus zelf niets te betalen. Alleen als er een schadevergoeding wordt toegekend, vraagt ICAM om een no cure, no pay-vergoeding om de gemaakte kosten en de risico’s te dekken. De no cure, no pay-vergoeding bedraagt 20% van de voor jou geïncasseerde schadevergoeding.  ICAM zal proberen om de no cure, no pay-vergoeding door de gedaagde partijen te laten betalen, zodat je ook die vergoeding niet hoeft te betalen.

Wij vorderen €500 per persoon voor iedereen van wie gegevens in de IT-systemen van de GGD zitten. Voor iedereen van wie daadwerkelijk vast komt te staan dat zijn of haar gegevens  zijn gestolen, vorderen wij een hoger bedrag, namelijk €1.500. 

Tot op heden is voor privacyschendingen in Nederland zo’n €250 tot €500 aan immateriële schade per persoon toegekend, in enkele gevallen zelfs meer. Voor het bepalen van de hoogte van het schadebedrag wordt meestal aangehaakt bij een uitspraak van de Raad van State van 1 april 2020. Stichting ICAM vindt dat er goede aanknopingspunten zijn om voor de gedupeerden van het GGD-datalek €500 tot  €1.500 te vorderen. Het gaat immers om een lek van zeer grote omvang, om gevoelige privégegevens (die vaak enkel de overheid tot haar beschikking heeft) en om langdurig verwijtbaar handelen door de overheid dat zelfs nu nog niet voldoende is opgelost.

Hoe werkt het: je begint met het invullen van het nummer van je geboortedag. Daardoor klapt een kalendertje open. Daarin moet je klikken op het getal van je geboortedag. Daarna klik je links bovenin op de naam van de maand die je ziet (de maand waarin je dit formulier aan het invullen bent). Als je dat doet klapt er een scrollpagina open, waar je naar de goede maand en naar het goede geboortejaar kunt scrollen. Dan klik je op ‘gereed’ en ben je klaar. Je moet dus niet die twee pijltjes rechts bovenin de kalender gebruiken

Ja, dat kan op de voorwaarden zoals vermeld in de deelnemersovereenkomst. Klik hier om je af te melden.

Stichting ICAM is een onafhankelijke organisatie zonder winstoogmerk. Met onze collectieve acties bundelen wij de krachten van groepen personen die (massa)schade lijden door toedoen van grote organisaties. Individuele partijen beschikken vaak zelf niet over voldoende kennis en financiële middelen om een rechtszaak te starten tegen organisaties met veel meer juridische en financiële slagkracht. Wij vinden dat dit geen belemmering zou moeten vormen om je recht te halen.

Met de collectieve actie rondom het GGD Datalek zet Stichting ICAM zich ervoor in de Nederlandse overheid te dwingen zorgvuldiger om te gaan met de persoonsgegevens en privacy van burgers. Dit doen we samen met een team van privacyexperts, advocaten, (oud-)politici en een betrokken achterban.

Kijk voor een overzicht van de leden van onze Raad van Bestuur en Raad van Toezicht op de Over Ons pagina. Onze statuten kun je vinden bij de sectie Documenten.

Kijk eerst of je vraag op deze pagina wordt beantwoord. Staat jouw vraag er niet tussen? Dan kun je je vraag sturen naar datalek-ggd@stichtingicam.nl

Een collectieve actie (ook wel “class action” of “massaschade-procedure” genoemd) is een procedure waarin je met een grote groep actie onderneemt en/of schadevergoeding vordert. De actie wordt uitgevoerd door een belangenorganisatie, zoals Stichting ICAM. De rechter bepaalt of de vordering terecht is en welke schade moet worden vergoed. 

Collectieve acties zijn groot en complex en duren  lang: al snel ergens tussen 18 maanden en drie jaar. Daarna kan er ook nog een hoger beroep volgen. 

Ja, de bestuursleden en de leden van de raad van toezicht ontvangen voor het complexe en verantwoordelijke werk dat ze voor Stichting ICAM verrichten een redelijke vergoeding. De vergoeding is vastgesteld conform de actuele wetgeving en de Claimcode inzake dit type massaschadeprocedures. De hoogte van de vergoeding is te vinden in het verantwoordingsdocument op de site van de stichting. De vergoeding wordt betaald door de procesfinancier, die alle kosten van de procedure draagt.

Stichting ICAM is een gedegen organisatie met solide financiering. Ze is niet failliet, er is tegen haar geen faillissementsaanvraag aanhangig en er is aan haar geen (voorlopige) surseance van betaling verleend. Ook heeft ze geen openbare akkoordprocedure buiten faillissement lopen. Waar kan ik dat controleren? Door de volgende internetpagina van de website van de rechtspraak te raadplegen: https://www.rechtspraak.nl/Registers/Paginas/Insolventieregister.aspx

Raadpleeg voor de homepage van Stichting ICAM zelf www.stichtingicam.nl.