Listen to this article
Door Joost Schellevis — Data- en techredacteur
Stuur een e-mail naar joost.schellevis@nos.nl
Door Fleur Damen — Verslaggever Nieuwsuur
Stuur een e-mail naar fleur.damen@nieuwsuur.nl
Ondanks bekende problemen blijven gemeenten per ongeluk persoonsgegevens van burgers online publiceren, zoals blijkt uit onderzoek van de NOS en Nieuwsuur. Dit gebeurt terwijl de Autoriteit Persoonsgegevens (AP) sinds 2017 waarschuwt voor zorgvuldig publiceren. Toch vonden de NOS en Nieuwsuur honderden documenten met emailadressen, privételefoonnummers, en andere persoonlijke gegevens. Zelfs BSN's van burgers werden aangetroffen.
Deze lekken komen voor bij publicaties, bijvoorbeeld als burgers een vergunning aanvragen of reageren op lokale plannen. Wetgeving rondom de Wet Open Overheid vereist openbaarheid van deze documenten, waardoor gegevens vaak onvoldoende geanonimiseerd zijn.
Incidenten met BSN's
In 255 documenten werden BSN's gevonden. Bijvoorbeeld in een document van Pijnacker-Nootdorp met 43 BSN's van burgers die reageerden op een bouwproject. Hun andere gegevens zoals naam en adres waren ook zichtbaar.
Vorig jaar maakte Midden-Delfland een fout met een publicatie die de gegevens van 133 tegenstanders van een asielzoekerscentrum bevatte. Dit werd snel gecorrigeerd met een anonieme versie en inwoners werden ingelicht.
Onzorgvuldige omgang met BSN's kan leiden tot identiteitsfraude, aldus de Autoriteit Persoonsgegevens. Er is geen geldige reden om BSN's openbaar te maken, en een datalek is een onvermijdelijk gevolg.
Gemeentelijke reactie en maatregelen
NOS informeerde gemeenten over de gevonden gegevens en sindsdien zijn veel documenten verwijderd. Het anonimiseren van documenten is echter een zware taak, waarvoor geen extra middelen zijn.
Volgens de AP is het probleem groter dan de meldingen die het ontving (120 vorig jaar). Sinds de invoering van strengere privacyregels in 2018 werden nog steeds 99 keer BSN's gepubliceerd.
Gebruik van technologie
Veel gemeenten automatiseren nu het anonimiseren van gegevens. Toch kan human error niet volledig worden uitgesloten. Er zijn geen automatische checks voor gevoelige data in gemeentelijke informatiesystemen.
Voor het onderzoek gebruikten de NOS en Nieuwsuur AI-modellen om verkeerde hits uit de dataset te halen. Gevonden persoonsgegevens zullen worden vernietigd.
