Gemeenten hebben moeite om misbruik van persoonsgegevens door eigen medewerkers te signaleren. Het gaat bijvoorbeeld om ambtenaren die onder druk of tegen betaling gevoelige informatie delen met criminelen, of uit persoonlijke motieven gegevens in gemeentelijke systemen raadplegen. Zulke datalekken komen vaak pas aan het licht na meldingen van inwoners of onderzoeken door de Rijksrecherche.
Uit een verkennend onderzoek van de Autoriteit Persoonsgegevens (AP) blijkt bovendien dat gemeenten ontdekte misbruiken regelmatig niet melden, terwijl dat wel verplicht is. Jaarlijks ontvangt de AP slechts 10 tot 20 meldingen van gemeenten waarbij een ambtenaar onrechtmatig persoonsgegevens heeft ingezien.
Het gaat dan bijvoorbeeld om een ambtenaar die:
- onder druk of tegen betaling gegevens deelt met een criminele organisatie;
- vanwege een familieconflict informatie opzoekt over familie in gemeentesystemen;
- uit nieuwsgierigheid de gegevens van een BN’er bekijkt.
Veiligheidsrisico’s
Volgens AP-vicevoorzitter Monique Verdier kunnen deze privacyschendingen ernstige gevolgen hebben. Gemeenten beheren grote hoeveelheden gevoelige informatie en inwoners moeten erop kunnen vertrouwen dat die veilig blijft. Wanneer gegevens in criminele handen vallen, kunnen zelfs grote veiligheidsrisico’s ontstaan. Zo bracht het Openbaar Ministerie vorig jaar tientallen explosies en meerdere pogingen tot moord en doodslag in verband met een corrupte ambtenaar van de gemeente Amsterdam.
> LEES OOK: Privacywaakhond gaat databeveiliging in de zorg controleren
Melden blijft essentieel
Het aantal gevallen van misbruik kan een stuk hoger zijn dan het aantal gemelde datalekken. Veel incidenten blijven buiten beeld doordat misbruik niet wordt herkend als datalek. Ook bestaan er misvattingen over wat een datalek is en wanneer het melden verplicht is. Het melden van datalekken is cruciaal, zodat de AP kan ingrijpen wanneer beveiligingsmaatregelen tekortschieten of slachtoffers niet worden geïnformeerd.
Adviezen voor gemeenten
Gemeenten kunnen maatregelen nemen die datalekken kunnen helpen voorkomen, opsporen en aanpakken. De AP geeft gemeenten op basis van de praktijksituaties die het tegenkwam een aantal adviezen, zoals:
- Bepaal welke informatie werknemers wel en niet zien, registreer handelingen van medewerkers in systemen en controleer deze. Dit beschermt medewerkers ook tegen criminele invloeden;
- Leg regels voor integriteit en privacy vast en zorg voor training;
- Leg ieder datalek vast in een register en analyseer incidenten;
- Win advies in van de Rijksrecherche bij vermoedens van misbruik en doe bij misbruik aangifte;
- Deel kennis en ervaringen met andere gemeenten.
Over het onderzoek
Voor het onderzoek sprak de AP met 29 functionarissen gegevensbescherming van gemeenten, bezocht zij drie gemeenten en overlegde zij met de Rijksrecherche en de Vereniging van Nederlandse Gemeenten. Daarnaast vergeleek de AP meldingen van integriteitsschendingen met haar eigen overzicht van datalekken.
Bron: Autoriteit Persoonsgegevens
Volg Security Management op LinkedIn
