Gemeenten lekken zelf gegevens van inwoners
Nederlandse gemeenten blijven persoonsgegevens van inwoners onbedoeld openbaar maken. Uit onderzoek↗ van de NOS en Nieuwsuur blijkt dat honderden online documenten informatie bevatten die gemeenten hadden moeten afschermen. In 255 documenten vonden de onderzoekers burgerservicenummers (BSN’s). Ook namen, adressen, e-mailadressen, telefoonnummers en nummers van identiteitsbewijzen waren zichtbaar. Het probleem speelt al jaren, ondanks eerdere waarschuwingen van de privacytoezichthouder.
Openbare documenten bevatten privégegevens
Gemeenten publiceren documenten bijvoorbeeld wanneer inwoners een vergunning aanvragen of reageren op bouwplannen in hun buurt. De Wet open overheid verplicht overheden om veel documenten openbaar te maken, maar privégegevens moeten ze eerst verwijderen of onleesbaar maken. Dat gaat in de praktijk nog regelmatig mis. In één document van de gemeente Pijnacker-Nootdorp vonden de onderzoekers bijvoorbeeld 43 BSN’s, samen met andere gegevens van inwoners die reageerden op een nieuwbouwproject.
BSN’s vergroten het risico op misbruik
Een BSN is een gevoelig persoonsgegeven dat overheden gebruiken om iemand te identificeren. Criminelen kunnen zulke informatie combineren met andere gegevens om zich overtuigender voor te doen als iemand anders. Daardoor kan het risico op identiteitsfraude toenemen. Ook een naam of adres kan al een privacyschending opleveren als een gemeente die zonder geldige reden openbaar maakt. De Autoriteit Persoonsgegevens (AP) benadrukt daarom dat een datalek niet alleen draait om wachtwoorden of financiële gegevens.
Het probleem bestaat al jaren
De AP waarschuwde gemeenten in 2017 al om zorgvuldig om te gaan met persoonsgegevens in openbare documenten. Toch ontving de toezichthouder vorig jaar ruim 120 meldingen van gemeenten die per ongeluk gegevens openbaar maakten. Dat waren er meer dan de 75 meldingen in 2014. Bovendien vonden de onderzoekers dat veel documenten met BSN’s al jaren online stonden. Sinds 2018, toen strengere privacyregels van kracht werden, troffen ze nog 99 documenten met BSN’s aan.
Gemeenten halen documenten offline
Na vragen van de NOS haalden verschillende gemeenten documenten weg of schermden ze die af. Onder meer Voorschoten en Huizen meldden dat ze persoonsgegevens hadden aangetroffen en de Autoriteit Persoonsgegevens informeerden. Ook gemeenten als Almelo, Den Bosch en Zuidplas verwijderden documenten. Gemeenten wijzen onder meer op menselijke fouten en de grote hoeveelheid stukken die ze moeten controleren. Sommige gebruiken software om persoonsgegevens automatisch onleesbaar te maken, maar medewerkers moeten de resultaten ook controleren.
Automatische software
Gemeenten moeten openbaarheid combineren met bescherming van inwoners. Daarom volstaat automatische software niet als niemand controleert of gevoelige informatie toch zichtbaar blijft. De AP waarschuwt dat openbaar geworden persoonsgegevens kunnen leiden tot identiteitsfraude en ander misbruik. Wie ontdekt dat een gemeente eigen gegevens online heeft gezet, kan de gemeente daar rechtstreeks op wijzen en om verwijdering vragen. Bewaar daarbij de link of een schermafbeelding, zodat duidelijk is om welk document het gaat. Bij een vermoeden van een datalek kan de inwoner ook contact opnemen met de AP.
