Gegevens miljoenen cliënten UWV makkelijk in te zien door ambtenaren

Persoonsgegevens van 4,1 miljoen mensen die nu of in het verleden hebben aangeklopt bij uitkeringsinstantie UWV, zijn simpel op te vragen door duizenden ambtenaren in het hele land. Dat meldt Trouw.

Het UWV liet door KPMG onderzoek doen naar het IT-systeem Sonar. Via Sonar kan een ambtenaar van de sociale dienst in Doetinchem bijvoorbeeld opzoeken wie er in Den Haag een uitkering krijgt. Dat is in strijd met de privacywet AVG. "Sonar is open huis voor iedereen", vat IT-deskundige René Jan Veldwijk in Trouw de conclusies samen.

Volgens hem weten betrokkenen dat al jaren, maar wordt er niets aan gedaan. "Niemand vindt het erg. Er is bij UWV nog nooit iemand ontslagen omdat de privacy van mensen niet is beschermd. Er worden bij een datalek, die er heel vaak zijn geweest, hooguit wat Kamervragen gesteld. Dat risico wil de top wel nemen." Vorig jaar kwam er nog zo'n datalek aan het licht. Toen werd duidelijk dat zo'n 117.000 cv's van werkzoekenden illegaal waren gedownload.

De Autoriteit Persoonsgegevens (AP) zegt in een reactie dat de manier waarop het UWV met persoonsgegevens omgaat "al langer de aandacht heeft". Volgens de autoriteit lopen er meerdere onderzoeken. "De organisatie en beveiliging van deze gegevens zou het UWV beter op het netvlies moeten hebben", schrijft de AP.

Onzichtbaar maken

KPMG vindt dat werknemers die de informatie niet nodig hebben voor het uitoefenen van functie geen toegang moeten hebben tot de informatie en dat de persoonsgegevens van inactieve klanten, ruim 3,1 miljoen mensen, onzichtbaar moeten worden gemaakt. Ook moeten mensen die langer dan vijf jaar geleden cliënt waren uit het systeem worden verwijderd.

Dat laatste gaat het UWV doen. Eind maart moeten zeker 1 miljoen mensen uit het systeem zijn verwijderd, zegt Karin Menses, directeur Informatievoorziening van het Werkbedrijf bij UWV, tegen de krant. Mensen die korter geleden nog bij het UWV aanklopten kunnen volgens Menses niet uit het systeem worden gehaald omdat die vaak op een later moment weer een vorm van dienstverlening aanvragen. Dan zijn hun gegevens weer nodig.

Volgens Menses is het datasysteem in een periode gebouwd dat gegevensuitwisseling juist gewenst was maar staat dat nu op gespannen voet met de privacy-eisen. "We hebben wel al veel aangepast maar dat is inderdaad nog niet voldoende. Sonar is ook een heel uitgebreid systeem, dat kan je niet in één keer veranderen."

In 2025 verwacht het UWV een nieuw IT-systeem af te hebben.