Nieuws
Datalek coronacallcenter: Steenwijker kon alle dossiers wekenlang inzien
Alle gegevens inzien van mensen die zich bij de GGD op corona hebben laten testen. Dat moet voor een buitenstaander onmogelijk zijn, toch? Niets is minder waar. Jordy* uit Steenwijk zou voor het GGD-callcenter gaan werken, maar moest na twee opleidingsdagen stoppen. Toch kan hij een maand later nog steeds in de systemen en zo dus de gegevens van geteste mensen inzien.
door Leroy Vugteveen en Oscar Siep
Als je een afspraak voor een coronatest wil, kan je die online maken of door naar 0800 - 1202 te bellen. Dat nummer kwam vorige week al in het nieuws, omdat de lijnen plat werden gebeld. Die telefoontjes komen echter niet direct bij de GGD terecht, maar je spreekt iemand van een callcenter.
Grote merken
Dat callcenter is Teleperformance. Het bedrijf werkt voor grote opdrachtgevers als Wehkamp en Bol.com. De GGD is daar sinds de coronacrisis ook bij gekomen. De callcentermedewerkers proberen een afspraak in te plannen voor de bellers. Ook moeten zij mensen die negatief op het coronavirus getest zijn telefonisch op de hoogte brengen.
Vanwege de grote opdracht heeft het callcenter via verschillende uitzendbureaus naar nieuw personeel laten zoeken. Een van die potentiële medewerkers is Jordy.
Rommelig
Na zijn aanmelding verliep het volgens hem al rommelig. Zo kreeg hij kort voor de trainingen te horen wanneer die plaats zouden vinden. "Ik kreeg zelfs een keer om negen uur 's ochtends een mail dat ik om één uur die middag een cursus had."
Na de eerste training hebben de aanstaande callcentermedewerkers alle benodigde software inmiddels op hun computer geïnstalleerd. Dat vanwege het principe dat iedereen zo veel mogelijk thuiswerkt.
We kregen vrijwel direct een account om in te loggen in de systemen
Gegevens van Covid-testers liggen op straat
Toegang tot systemen
"We kregen vrijwel direct een account om in te loggen in de systemen. Zo is er een systeem dat voor intern overleg is, maar ook een programma waarin je geteste mensen kunt opzoeken. Je zoekt op achternaam en ziet vervolgens wanneer diegene een afspraak heeft of wanneer die is getest en wat de uitslag is."
Werknemers moeten weliswaar een Verklaring Omtrent Gedrag (VOG) inleveren. Maar nog voordat die VOG is aangeleverd, kan het trainingsgroepje van Jordy al alles inzien.
Verbindingsfout
Dat Jordy die gegevens kan inzien is natuurlijk logisch. Want hij moet tijdens de opleiding wegwijs worden in de systemen. Maar als hij tijdens de cursus een verbindingsfout met zijn computer krijgt, is er blijkbaar geen behoefte meer aan de diensten van de Steenwijker.
"Ik kreeg een belletje van het uitzendbureau dat ik de opleiding niet mocht vervolgen, omdat ik de eerste training niet had afgerond. Dat ik de tweede training al had gevolgd maakte ze niets uit."
Radiostilte
Het is voor hem een raadsel wat er vervolgens gaat gebeuren. Zowel het callcenter als het uitzendbureau laat niets van zich horen. Er volgt een volledige radiostilte, stelt hij. "Ik had een gloednieuwe headset van ze gekregen, daar hebben ze nooit meer naar gevraagd."
Maar wat nog kwalijker is: Jordy kan een maand nadat hij uit de training moest stappen nog moeiteloos inloggen. "Je zou denken dat het account inmiddels geblokkeerd is. Ik heb vorige week eens geprobeerd in te loggen. En je raadt het al: dat lukte."
Ik kan wel even in de agenda kijken
De Steenwijker kan een maand na zijn dienstverband nog steeds de dossiers inzien
Proef op de som
Om de proef op de som te nemen, logt hij op verzoek van RTV Oost precies een maand na de eerste training opnieuw in. In het systeem vult hij de naam in van een reeds geteste collega. Uiteraard met toestemming.
Jordy slaagt erin de test- en contactgegevens naar boven te krijgen. Als bewijs stuurt hij foto's. Daarop is te zien wanneer de collega is getest en wat de uitslag is, maar ook zijn contactgegevens en zelfs zijn BSN-nummer. Op de foto is ook te zien dat dossiers van andere geteste mensen met dezelfde achternaam moeiteloos in te zien zijn.
Maar kunnen we nog verdergaan? "Ik kan wel even in de agenda kijken", zegt hij. Het gaat over de agenda van de teststraten. "Ik zie dat alles vol zit, maar in theorie zou ik een afspraak voor je kunnen maken. Volgens mij heb ik alle rechten nog." We besluiten het niet te doen. We weten genoeg.
De Steenwijker kan een maand na zijn dienstverband nog steeds in de systemen
Niet gemeld
Jordy heeft niet bij Teleperformance of de GGD aangegeven nog in de systemen te kunnen. Hij geeft aan niet te weten bij wie hij dat moest melden, aangezien de communicatie met het uitzendbureau en het callcenter moeizaam verliep. Zo zouden er berichten over andere zaken onbeantwoord zijn gebleven.
Reactie Teleperformance
HR Director Liesbeth Polman: "Als iemand niet meer voor ons werkt, wordt het account binnen vier uur opgeheven. Dat is een regel. Ook is er een wekelijkse check waarbij inactieve accounts worden verwijderd. Het opheffen is een menselijk proces dat niet te automatiseren is en waar dus ook een fout gemaakt kan worden. Het coronacallcenter dat wij voor de GGD uitvoeren, bestaat uit 2.500 uitzendkrachten die in korte tijd ingewerkt moesten worden. Dat is een heel groot project. Het feit dat iedereen vanuit huis werkt, maakt het project alleen nog maar complexer. De situatie met deze medewerker zullen we moeten uitzoeken. Wij gaan uit van een incident en verwachten dat het van geringe omvang is. Het gaat hooguit om enkele gevallen."
Ook geeft Polman aan dat het bedrijf een VOG van de werknemers wil. Omdat het per gemeente verschilt binnen welke termijn deze afgegeven kan worden, kan het zijn dat er werknemers zijn die de verklaring nog niet hebben aangeleverd.
Ook de GGD GHOR is om een reactie gevraagd. Zij geven aan het niet inhoudelijk over deze zaak te kunnen hebben als zij geen naam hebben. Wel benadrukt de gezondheidsdienst dat alle callcentermedewerkers een contract ondertekenen waarin staat dat zij alleen gegevens mogen inzien als zij die persoon aan de telefoon hebben. Als zij die op een ander moment toch inzien, zijn zij in overtreding.
*Jordy is een gefingeerde naam vanwege privacy-redenen. Zijn echte naam is bekend bij de redactie.
