Het Nederlandse vaccinatieprogramma is al maanden lek. Iedereen die dat wil, kan voordringen en een coronaprik krijgen. De uitnodiging waarmee zorgmedewerkers hun prik kunnen krijgen was tot voor kort via Google te vinden, en de GGD controleert niet of jij daadwerkelijk recht hebt op een vaccin.
Dat blijkt uit onderzoek van RTL Nieuws. Afgelopen maart namen we de proef op de som en maakten we een afspraak voor een vaccinatie waar we nog geen recht op hadden. Net voordat de prik werd gezet, maakten we ons onderzoek kenbaar aan de GGD en zeiden we dat de prik naar de volgende in de rij mocht.
Het is onduidelijk hoeveel mensen op deze manier zijn voorgekropen. Uit cijfers van de GGD blijkt dat wekelijks duizenden mensen proberen voor te dringen, en er zijn steeds meer signalen dat mensen op allerlei manieren eerder een prik proberen te krijgen.
Er wordt zelfs gehandeld in de uitnodigingsbrieven voor een vaccinatie, die via verschillende online kanalen voor zo'n 50 euro te koop worden aangeboden.
In onderstaande video zie je hoe RTL Nieuws kon voordringen voor een prikafspraak:
Zo kon RTL Nieuws voordringen voor een prikafspraak
Afspraak maken met brief
Het voordringen is in dit geval mogelijk omdat zorgmedewerkers al sinds januari recht hebben op een vaccin. Deze groep, die bestaat uit zo'n 700.000 mensen, heeft een brief ontvangen waarop staat dat ze zijn uitgenodigd voor een vaccinatie. De ruim 750 zorginstellingen sturen deze brieven naar hun honderdduizenden werknemers. Met zo'n brief kun je een afspraak voor een prik maken.
Deze brief was tot voor kort online te vinden omdat verschillende zorgorganisaties het voorbeelddocument op hun website plaatsten. In het Word-document pas je alleen de naam aan en je komt door de controle. De GGD controleert alleen of de naam op je identiteitsbewijs overeenkomt met de naam op de brief. Er worden geen steekproeven of andere controles gehouden, bijvoorbeeld of je daadwerkelijk recht hebt op een vaccinatie.
De GGD heeft 'geen andere mogelijkheden' om te controleren of iemand daadwerkelijk bij een zorginstelling werkzaam is, stelt een woordvoerder, en sluit dan ook niet uit dat mensen op deze manier al een vaccin hebben gekregen zonder dat ze daar recht op hadden.
RTL Nieuws heeft verschillende zorginstellingen aangesproken en de brieven offline laten halen.
Geen enkele controle
RTL Nieuws nam het document mee en kwam donderdag 11 maart door de controle van de GGD. Bij de eerste balie wordt gevraagd voor welke prik je komt, bij de tweede balie wordt de brief en een ingevulde gezondheidsverklaring gecontroleerd en bij de derde balie wordt gecheckt of je afspraak in het systeem staat. Daarna mag je de mouw opstropen voor de vaccinatie.
Deze manier van voordringen was al mogelijk in een tijd dat kwetsbare mensen, zoals mensen met kanker of een spierziekte als ALS, soms al een jaar in thuisisolatie zitten, te wachten op hun prik.
'Buitengewoon kwalijke zaak'
Als iemand een uitnodiging op eigen naam zet en daarmee voordringt is dat een 'buitengewoon kwalijke zaak', stelt de GGD: "Mensen die er doelbewust voor kiezen om het vaccinatieprogramma te ondermijnen door voor te dringen en daarbij de wet overtreden, begrijpen niet voor welke grote taak we staan.
"Wij blijven uitgaan van het goede van de mens en richten ons met al onze energie op het bestrijden van deze pandemie."
Alleen telefonisch afspraak maken
In tegenstelling tot toegangsbewijzen voor concerten, musea of sportscholen hebben de uitnodigingsbrieven van de GGD geen unieke code die moet worden gescand. Het is een generieke brief die iedereen zelf kan aanpassen. Dat is ook een reden waarom deze documenten al maanden worden verkocht: omdat een unieke code ontbreekt kan iedereen hem keer op keer opnieuw gebruiken.
Nadat RTL Nieuws de GGD op de hoogte stelde van dit lek zijn er wel maatregelen doorgevoerd die voordringen lastiger maken. Zo kunnen mensen met een uitnodigingsbrief van een zorginstelling voortaan alleen telefonisch een afspraak maken. Dit verhoogt de drempel om daadwerkelijk een afspraak te maken.
Verantwoording
RTL Nieuws heeft de dag na de vaccinatie-afspraak, vrijdag 12 maart, de GGD op de hoogte gebracht van het onderzoek. De GGD kreeg ruim de tijd om aanpassingen door te voeren. Volgens een woordvoerder waren aanpassingen op dat moment niet nodig.
Journalist Daniël Verlaan heeft de brief die zorgmedewerkers konden gebruiken op zijn naam gezet. Er was geen check of hij ook werkzaam was bij een zorginstelling. Daniël Verlaan heeft ter plekke de vaccinatie afgeslagen.
RTL Nieuws heeft ruim twee maanden gewacht met publicatie totdat zorgmedewerkers en kwetsbare groepen, zoals zeventigplussers en mensen met een medische indicatie, een afspraak voor een vaccinatie hebben kunnen maken.
'Strakkere controle gaat ten koste van snelheid'
De GGD stelt dat de snelheid waarmee het vaccinatieprogramma moest worden opgezet ervoor heeft gezorgd dat er geen beveiligingsmaatregelen zijn genomen: "Het inregelen van een strakkere controle in dit proces was ten koste van het vaccinatietempo gegaan."
Dat wordt beaamd door Actiz, de branchevereniging van zo'n 400 zorgorganisaties: "De gekozen vorm van uitnodigen kwam tegemoet aan de wens en noodzaak om zorgverleners snel en laagdrempelig uit te kunnen nodigen voor vaccinatie."
In maart stelde de GGD dat misbruik van de uitnodigingsbrieven 'binnen afzienbare tijd' niet meer mogelijk zou zijn omdat de meeste zorgmedewerkers dan zouden zijn gevaccineerd. Dat blijkt niet te kloppen: van de 700.000 uitnodigingen voor zorgmedewerkers zijn er ruim 400.000 gevaccineerd, waardoor de brief nog steeds - inmiddels bijna vijf maanden - geldig en daarmee te misbruiken is.
Stevig woordje
De afgelopen maanden hebben verschillende mensen bij RTL Nieuws aan de bel getrokken over deze manier van voordringen. Eén van hen is Vincent (echte naam bekend bij de redactie), die de uitnodigingsbrief via Google vond en toen op het idee kwam. Hij wilde op deze manier zijn prik halen, maar heeft er na een stevig woordje van zijn vriendin op het laatste moment van afgezien.
"Als het zo makkelijk gaat dan weet ik zeker dat veel meer mensen dit doen", vertelt hij tegen RTL Nieuws. "Het is echt bizar dat je binnen een paar minuten een vaccinatie kunt regelen, er is geen geen degelijk systeem. Ik vertelde dit tegen een vriend en die heeft zijn prik gelijk gehaald."
Geaccepteerd risico
Het afsprakensysteem is volgens experts technisch goed dicht te timmeren, waardoor het lastig wordt om zonder geldige afspraak binnen te komen, stelt hoogleraar computerbeveiliging Bart Jacobs van de Radboud Universiteit: "Het is natuurlijk niet goed dat zo'n uitnodiging via Google te vinden is. Maar de vraag is of het dichttimmeren niet onnodig veel extra drempels oplevert. Het is een lastige mix, aan de ene kant wil je de uitnodigingen beveiligen en aan de andere kant wil je zo snel en zo veel mogelijk mensen vaccineren."
De vaccins waren in maart veel schaarser dan nu, en zorgmedewerkers hadden als eerste groep voorrang tot een vaccinatie. "Je had de uitnodigingen daarom misschien wel beter moeten beveiligen, zoals een QR-code, digitale handtekening, controle via het BIG-register waar zorgverleners in staan of het tonen van een zorgpas. Maar ik snap dat de GGD de mensen die daadwerkelijk zullen voordringen als een geaccepteerd risico ziet."
