Helft van datalekken bij gemeenten niet gemeld bij toezichthouder

Data (bron: FreeImages.com/Malkowitch)

De helft van alle datalekken bij de gemeente is in 2016 niet gemeld bij de Autoriteit Persoonsgegevens. Dit terwijl de meldplicht datalekken die wel verplicht.

Dit blijkt uit onderzoek van van het KRO-NCRV programma Reporter Radio. “Wij overwegen nu wel, aan de hand van deze gegevens, om nog een keer een brief naar die gemeenten te sturen, om nog eens heel scherp uit te leggen hoe de norm nu is, hoe die wordt en dat ze altijd moeten melden, omdat ze serieus risico lopen op boetes als ze dat niet doen”, laat Aleid Wolfsen, voorzitter van de Autoriteit Persoonsgegevens, weten in een reactie aan Reporter Radio.

16 op de 1.000 inwoners getroffen

Bij twee derde van de datalekken lekt het BSN van burgers uit. In 90% liggen namen en adresgegevens op straat. Minimaal 16 op de 1.000 inwoners is in 2016 getroffen door een datalek. Opvallend is dat bij 82% van de datalekken betrokken burgers niet zijn geïnformeerd. Dit is verplicht indien een datalek betrokkenen ernstig kan benadelen. Wolfsen noemt het niet melden van datalekken bij betrokkenen een serieus risico: “Als er een Burger Service Nummer (BSN) toegankelijk is, dan is er al vrij snel gevaar voor mensen, want daar kan je identiteitsfraude mee plegen.”

De aard van de gemelde datalekken is divers. Zo meldde de gemeente Apeldoorn dat computers met persoonsgegevens in een openbare ruimte onterecht toegankelijk is geweest. Voorbeelden van andere gemelde datalekken zijn verkeerd verzonden e-mails met privacygevoelige bestanden, het delen van gegevens in samenwerkingsverbanden van gemeenten of situaties waarbij burgers worden gevraagd persoonsgegevens toe sturen via onbeveiligde formulieren op de website van de gemeente. Ook incidenten met ransomware of phishing zijn gemeld.

Baseline Informatie Beveiliging Nederlandse Gemeenten

Cyber security specialist Mary-Jo de Leeuw van Revnext heeft onderzoek gedaan naar het informatieveiligheidsbeleid. “De Baseline Informatie Beveiliging Nederlandse Gemeenten (BIG) wordt door gemeenten heel verschillend ingevuld. Soms een beleid van 60 pagina’s en soms gewoon helemaal niet”, aldus De Leeuw. De maatregelen zijn opgesteld door Taskforce BID. “Er zou een evaluatie komen, maar die is er niet geweest. Gemeenten hebben in 2013 een resolutie ondertekend om invulling te geven aan ‘Verplichtende zelfregulering’. De taken van de Taskforce zijn overgedragen aan Digicommissaris Bas Eenhoorn. Wat zijn taken zijn, is onduidelijk”.

Wolfsen: “Een gemeente heeft heel veel gevoelige gegevens, ook over jeugd, en als die toegankelijk zijn voor derden dan is dat zeer ernstig. Zeker in de jeugd psychiatrie hebben gemeenten tegenwoordig belangrijke taken en dus ook belangrijke gegevens over die kinderen. Als dat in handen komt van mensen waar het niet voor bestemd is, dan kan een kind de rest van zijn leven daar last van hebben.”

One Response to Helft van datalekken bij gemeenten niet gemeld bij toezichthouder

  1. Aart Tijhof schreef:

    Als dit het resultaat is van het onderzoek -gemeenten hebben tijd en geld gestoken in de WOB-verzoeken die de basis vormen van dit onderzoek – dan is het wel heel erg mager. Het was belangrijker om een mooie kop te maken dan dat het gestaafd wordt door de feiten. Het ware zeer interessant geweest om een bredere kijk te krijgen op de ingediende en niet ingediende datalekken. De AP heeft alleen zicht op de ingediende en heeft daar al over gerapporteerd. Maar vooral de niet ingediende – dus daar waar geen ernstige inbreuk op de privacy is geweest (de reden om in te dienen bij de AP) leert ons waar op te letten en hierover ruim te communiceren binnen de organisaties.
    Leuk voor de zgn onderzoeker, maar erg beperkt qua onderzoek. Gemiste kans.

Geef een reactie

Het e-mailadres wordt niet gepubliceerd. Vereiste velden zijn gemarkeerd met *