UWV overtreedt privacyregels

Het CBP heeft het UWV en de gemeente ’s-Hertogenbosch op de vingers getikt. Zij hebben onvoldoende maatregelen getroffen om te zorgen voor een adequate beveiliging van de persoonsgegevens die met Suwinet worden uitgewisseld. Suwinet is een besloten systeem waarmee verschillende overheidsinstanties maatschappelijk gevoelige persoonsgegevens uitwisselen in het kader van werk en inkomen. Het gaat bijvoorbeeld om gegevens over arbeidsverleden, opleiding, alimentatie, uitkering of boetes.

Redactie AG ConnectMeer van deze auteur

Kritiek op beveiligingsplan, incidentenafhandeling en -analyse en logging

Veel van de vereiste plannen of procedures zijn niet up to date, niet compleet of niet afgemaakt. Het beveiligingsplan is volgens CBP niet afdoende. Maar ook worden beveiligingsincidenten niet centraal geanalyseerd en afgewikkeld. Tot slot wordt bij het UWV niet goed gelogd wie welke gegevens raadpleegt. Het is juist van belang en wettelijk verplicht om alle raadplegingen bij te houden, omdat daarmee onbevoegde toegang kan worden opgespoord en daartegen stappen kunnen worden ondernomen.

Door alle overtredingen is er volgens Jacob Kohnstamm, voorzitter van het CBP, een onacceptabel risico dat gegevens in verkeerde handen komen. “Adequate beveiliging van persoonsgegevens bij de overheid is des te belangrijker gezien de naderende verschuiving van taken van het Rijk naar gemeenten.”

Zelfs Ieren hadden toegang

Gemeentes moet ervoor zorgen dat alleen bevoegde medewerkers bij de gegevens in Suwinet kunnen. Bij de gemeente `s-Hertogenbosch bleken ook voor een andere functie toegangsrechten te kunnen worden gecreëerd. Hiermee heeft de Brabantse gemeente onvoldoende maatregelen getroffen om onbevoegde toegang tot Suwinet tegen te gaan. Zelfs het Ierse ministerie van Sociale Zaken had toegang tot Suwinet. Het Ierse ministerie mocht weliswaar gegevens inzien van Ieren die in Nederland hebben gewerkt of hier een uitkering hebben ontvangen om te beoordelen of zij recht hebben op een uitkering in Ierland, maar het Ierse ministerie bleek ten onrechte toegang te hebben tot persoonsgegevens van alle personen in Suwinet.

Eventueel handhavende maatregelen

Het UWV en 's-Hertogenbosch hebben naar aanleiding van het onderzoek laten weten maatregelen te gaan treffen om de persoonsgegevens beter te beschermen. Het UWV heeft naar aanleiding van het onderzoek de gegevensverstrekking aan Ierland via Suwinet bijvoorbeeld stopgezet. Het CBP zal de komende tijd controleren of het UWV en 's-Hertogenbosch de overtredingen hebben beëindigd en kan zo nodig handhavende maatregelen inzetten.