Sociale Verzekeringsbank beboet wegens gebrekkig privacybeleid

De Sociale Verzekeringsbank (SVB) heeft een boete van 150.000 euro gekregen vanwege een langdurige gebrekkige identiteitscontrole door de telefonische helpdesk. De privacy van bellers werd daardoor jarenlang niet genoeg beschermd, heeft toezichthouder Autoriteit Persoonsgegevens (AP) bepaald. Ook oordeelde de AP dat privacyrisico's niet goed in kaart werden gebracht.

In 2019 kreeg de toezichthouder een klacht van een vrouw van wie informatie over haar uitkering was opgevraagd door een familielid. Dat familielid had daar geen recht op, maar kreeg de informatie toch. Aanvankelijk deed de AP niets met de klacht, maar na een bezwaarschrift van de vrouw werd toch een onderzoek begonnen.

Controlevragen makkelijk te achterhalen

Naar aanleiding van dat onderzoek concludeert de Autoriteit dat medewerkers van de helpdesk van de SVB de identiteit van bellers niet goed hebben gecontroleerd. Controlevragen gingen vaak over iemands voornaam, adres of postcode. Dat zijn gegevens die eenvoudig zijn te achterhalen door buitenstaanders.

Ook werd te weinig nagegaan of de medewerkers van de telefonische helpdesk zich wel aan het controlebeleid hielden. Zij werden te weinig op het belang van een veilig beheer van persoonsgegevens gewezen. De overtredingen duurden van mei 2018 tot mei 2022.

De SVB is blij met het rapport. "Het klopt wel. Het is een les die we hebben opgepakt en waar we van hebben geleerd", zegt een woordvoerder.

Aanvankelijk bedroeg de boete 310.000 euro. Omdat de SVB snel maatregelen heeft genomen, is dat verlaagd naar 150.000 euro. "De controlevragen hebben we aangescherpt. Ook hebben we gewerkt aan bewustwording binnen de organisatie zodat medewerkers weten waarop ze moeten letten en het belang van privacy inzien", zegt de woordvoerder.

Er is een nieuwe, eenduidige werkinstructie gemaakt waardoor medewerkers weten hoe ze moeten controleren of een beller is wie die beweert te zijn. De werkinstructie zal iedere twee jaar geëvalueerd worden.