Vragen van het lid Van Kent (SP) aan de Minister van Sociale Zaken en Werkgelegenheid over het bericht dat het Uitvoeringsinstituut Werknemersverzekeringen (UWV) opnieuw privégegevens lekt (ingezonden 16 augustus 2018).
Antwoord van Minister Koolmees (Sociale Zaken en Werkgelegenheid) (ontvangen 24 september 2018).
Vraag 1
Bent u bekend met het bericht dat Uitvoeringsinstituut Werknemersverzekeringen (UWV) privégegevens van 2.400 cliënten uit Noord-Holland op straat heeft laten belanden?1
Vraag 2
Is de verklaring van de woordvoerder van UWV dat het hier gaat om een menselijke fout, voor u voldoende? Kunt u uw antwoord nader toelichten?
Antwoord 2
Het UWV heeft bij mij aangegeven dat het een menselijke fout betrof. Het gaat om het uitnodigen van een geselecteerde groep mensen voor een bijeenkomst via een uitnodiging in de werkmap van de cliënt. De werkmap is een persoonlijke pagina op werk.nl waarmee de cliënt onder meer kan communiceren met het UWV, sollicitaties kan zoeken en een CV kan maken. Bij het klaarzetten van de uitnodiging in de werkmap is het verkeerde bestand gebruikt. Niet de uitnodiging, maar het selectiebestand met de gegevens van personen die uitgenodigd moesten worden is bij 97 mensen in de werkmap geplaatst. Daarbij is het «vier ogen principe», de procedure om de handeling te laten controleren, niet toegepast. Tevens is na de selectie van de doelgroep nagelaten om het bestand op te schonen, zodat gegevens als het Burgerservicenummer (BSN), die niet nodig zijn om een uitnodiging te verzenden, ten onrechte in het selectiebestand zijn blijven staan.
Vraag 3
Hoe kan het dat de systemen van UWV zo zijn ingericht, dat door een menselijke fout de privégegevens van 2.400 cliënten zomaar als bijlage verzonden kunnen worden?
Antwoord 3
Bepaalde onderdelen van het werkproces van het UWV blijven mensenwerk. Voor de communicatie via de werkmap is het soms noodzakelijk dat bepaalde bestanden, zoals uitnodigingen, in de werkmap beschikbaar worden gesteld. Dit is een menselijk handeling die ondersteund wordt door software die het mogelijk maakt om een bericht of bestand naar een groep mensen tegelijkertijd te versturen, een zogenaamd bulkbericht. Het bestand dat foutief beschikbaar is gesteld, betreft het bestand dat deze bulkzending mogelijk maakt.
Vraag 4
Heeft UWV in het kader van de Algemene Verordening Gegevensbescherming (AVG) en overige privacywetgeving, de zaken voldoende op orde? Kunt u uw antwoord toelichten?
Antwoord 4
Zoals ook vermeld in de Stand van Uitvoering (Kamerstuk 26 448, nr. 605) heeft het UWV op vrijwel alle onderdelen van de AVG maatregelen getroffen, zoals het inrichten van een register van verwerkingen en het opstellen van privacy verklaringen. Tevens is er veel aandacht besteed aan het vergroten van het bewustzijn onder medewerkers. Ook is er veel geïnvesteerd in het IT-landschap, bijvoorbeeld het anonimiseren van data en het autorisatiebeheer.
Het aanpassen van bestaande systemen en verwerkingen is complex. De principes van privacy by design en privacy by default zijn verankerd in de bedrijfsprocessen. Bij nieuwe systemen en processen worden deze principes dan ook toegepast. Aanpassing van bestaande systemen is soms slechts ten dele mogelijk en kent een lange doorlooptijd. Daardoor worden er de komende tijd nog veel handelingen door medewerkers van UWV verricht. Dit blijft foutgevoelig. Aandacht voor privacywetgeving is daarom een continu proces waaraan het UWV blijvend werkt.
Vraag 5
Kunt u zich de verontwaardiging en zorgen voorstellen van de personen wier privégegevens op straat zijn komen te liggen? Wat kunt u voor hen betekenen?
Antwoord 5
Cliënten dienen er op te kunnen vertrouwen dat het UWV zorgvuldig met hun gegevens om gaat. Het UWV heeft de getroffenen wiens persoonsgegevens gedeeld zijn, middels een brief oprechte excuses aangeboden. In de brief is opgenomen dat het datalek nooit had mogen plaatsvinden en dat extra maatregelen zijn genomen om soortgelijke fouten in de toekomst te voorkomen. Tevens is aangegeven dat het ten onrechte gedeelde bestand is teruggetrokken, waardoor het niet langer in te zien is. Met de cliënten die het bestand reeds geopend hadden, is telefonisch contact opgenomen om ook lokaal opgeslagen kopieën te laten verwijderen. De verontwaardiging en zorgen van de getroffen personen zijn begrijpelijk. Cliënten kunnen contact opnemen met het UWV voor vragen of een persoonlijk gesprek. Goede nazorg is belangrijk.
Het UWV zal in het tweede kwartaal 2019 een technische maatregel invoeren die het verzenden van bepaalde bestanden, zoals xcel bestanden, onmogelijk maakt. Deze maatregel beperkt het risico op een vergelijkbaar incident aangezien dit soort bestanden dan niet in de werkmap geplaatst kunnen worden. De huidige maatregelen zijn vooral gericht op bewustwording, maar ondanks de inzet die hierop gepleegd is, is het effect van deze maatregelen vooralsnog onvoldoende gebleken. Zodoende heb ik het UWV gevraagd meer technische maatregelen te onderzoeken en te nemen die het menselijk handelen kunnen ondersteunen en het risico op datalekken kunnen verkleinen, zoals extra verificatiestappen, technische blokkades en automatische waarschuwingen. Ik ga met het UWV in overleg over deze mogelijkheden.
Een beperkende factor daarin is het feit dat veranderingen in de ICT-systemen van het UWV complex en tijdrovend zijn. Dit mag geen excuus zijn om geen verbeteringen na te streven, maar betekent wel dat de uitvoering nog enige tijd gevoelig blijft voor menselijke fouten. Daarom verwacht ik ook van het UWV dat zij de bewustwording van haar medewerkers blijft vergroten en dit incident
aangrijpt om het belang van een zorgvuldige omgang met persoonsgegevens en het volgen van procedures, zoals het vier ogen principe, binnen de organisatie te benadrukken en strikter na te leven. Tot slot hanteert UWV een sanctiebeleid waarin passende maatregelen zijn opgenomen voor situaties waarin medewerkers zich bewust niet aan de procedures houden. Dit sanctiebeleid is in 2016 aangescherpt.
Vraag 6 en 7
Kunt u zich herinneren dat op 22 september 2016 een medewerker van UWV Groningen ook een verkeerde bijlage verzond met daarin de privégegevens van ruim 11.000 cliënten?2
Kunt u zich voorts nog de brief van uw ambtsvoorganger herinneren waarin is staat: «UWV heeft derhalve acties ondernomen om dit in de toekomst te voorkomen»?3
Vraag 8
Hoe kan het dat ondanks de toegezegde acties waaronder het onleesbaar maken van bestanden, het op een andere plaats opslaan van bestanden en het verbod op het versturen van bulkberichten, het toch weer fout is gegaan?
Antwoord 8
Onder verwijzing naar mijn antwoord bij vraag 3, zijn menselijke fouten helaas niet uit te sluiten.
Technische maatregelen kunnen menselijk handelen ondersteunen, maar zijn niet in elke situatie toepasbaar, hebben soms ongewenste bijwerkingen en zijn niet altijd toe te passen in de bestaande systemen van UVW. Zo was het onleesbaar maken van het bestand met persoonsgegevens hier niet toepasbaar, aangezien een deel van dat bestand nodig was om de uitnodiging in de werkmap van de doelgroep te plaatsen. Ook het opslaan van bestanden op een andere plaats reduceert het risico slechts beperkt. Wel had het bestand geschoond moeten worden van gegevens die niet nodig waren voor het uitnodigen van de doelgroep, zoals BSN. Dit had het datalek weliswaar niet voorkomen, maar er waren dan minder gegevens gedeeld. Ik heb daarom met het UWV afgesproken dat hier scherper op wordt toegezien.
Tenslotte is het verbod op bulkberichten opgeheven. Het individueel afhandelen van berichten kost veel tijd, daar elk bericht voor elke individuele cliënt beschikbaar moet worden gesteld. Bovendien neemt de kans op fouten door routinematigheid, zeker bij zeer grote aantallen, alleen maar toe. Bulkberichten zijn veilig, mits de procedures gevolgd worden.
Vraag 9
Is het onderzoek naar de toegezegde structurele maatregelen inmiddels afgerond? Zo ja, wat was hiervan de uitkomst? Zo nee, wanneer verwacht u de uitkomst wel?
Antwoord 9
Het onderzoek is afgerond. De uitkomsten leiden tot een aantal verbetermaatregelen die zich in hoofzaak richten op het verbeteren van de awareness, zoals het opstellen van een richtlijn veilig communiceren, het aanstellen van ambassadeurs veilige communicatie en meer aandacht voor veilige omgang met gegevens in het integriteitsbeleid. Deze maatregelen zijn direct in gang gezet.
Ook heeft het onderzoek één technische maatregel opgeleverd die in het tweede kwartaal 2019 ingevoerd zal worden. Deze maatregel betreft het blokkeren van bepaalde bestanden, zodat deze niet langer aan de werkmap kunnen worden toegevoegd. Tevens wordt de werkwijze in de regiokantoren tegen het licht gehouden.
Vraag 10
Wat gaat u doen om er per direct voor te zorgen dat UWV niet voor de derde keer in korte tijd de fout in gaat met het lekken van privégegevens van duizenden cliënten?
