Beveiliging persoonsgegevens in gemeenten nog steeds niet op orde

Uit het onderzoek blijkt dat slechts twee van de dertien onderzochte gemeenten voldoen aan de eisen voor de beveiliging. ‘Een aantal gemeenten voldoet nu aan de onderzochte normen. Maar we zien ook gemeenten waar het nog steeds niet goed gaat’, zegt Wilbert Tomesen, vicevoorzitter van de Autoriteit Persoonsgegevens. ‘Hoe positief de ontwikkeling op sommige plaatsen ook is, het is onacceptabel dat elders het risico blijft bestaan dat gegevens in verkeerde handen komen.

Sjoerd HartholtMeer van deze auteur

Als dit niet verandert, is het onvermijdelijk dat wij gaan handhaven.’

Gevoelige persoonsgegevens
Met Suwinet kunnen verschillende overheidsorganisaties maatschappelijk gevoelige persoonsgegevens uitwisselen in het kader van werk en inkomen. Via Suwinet kan veel informatie over iemand worden verkregen. Dit kan bijvoorbeeld gaan om gegevens over arbeidsverleden, opleiding, alimentatie, uitkering of boetes. In het verleden is verschillende keren misbruik van Suwinet gemaakt. Zo bleken gemeenteambtenaren via Suwinet zonder noodzaak de gegevens van bekende Nederlanders te raadplegen en is de verblijfplaats van een (ex)partner in een blijf-van-mijn-lijf huis achterhaald.

Beveiligingsplan
De Autoriteit Persoonsgegevens heeft onderzocht of de gemeenten voldoen aan de belangrijkste beveiligingsnormen. Twee van de dertien onderzochte gemeenten, Delft en Eindhoven, voldoen inmiddels aan de onderzochte wettelijke vereisten voor de beveiliging van Suwinet. Andere gemeenten voldeden bij sluiting van het onderzoek niet aan alle onderzochte eisen. Zo ontbrak het bij een aantal onderzochte gemeenten aan een formele autorisatieprocedure waarin is beschreven hoe toegangsrechten worden toegekend, gewijzigd en beëindigd. Verder was er bij sommige gemeenten geen beveiligingsplan specifiek voor Suwinet. Andere gemeenten hebben wel een beveiligingsplan, maar droegen dit onvoldoende uit in de organisatie of evalueerden het plan niet.

Maatregelen
De onderzochte gemeenten zijn Delft, Eindhoven, Enschede, Nunspeet, Zutphen, Baarle-Nassau, Brielle, Brummen, Heerenveen, Midden-Drenthe, Moerdijk, Werkendam en Woudenberg. Een aantal gemeenten heeft na het onderzoek maatregelen getroffen of aangekondigd maatregelen te nemen om de resterende overtredingen te beëindigen. De Autoriteit Persoonsgegevens zal de komende tijd beoordelen of de gemeenten de overtredingen hebben beëindigd en kan zonodig handhavende maatregelen inzetten.

Bron: Binnenlands Bestuur