| Ingediend | 16 augustus 2018 |
|---|---|
| Beantwoord | 24 september 2018 (na 39 dagen) |
| Indiener | Bart van Kent |
| Beantwoord door | Wouter Koolmees (minister sociale zaken en werkgelegenheid) (D66) |
| Onderwerpen | recht staatsrecht |
| Bron vraag | https://zoek.officielebekendmakingen.nl/kv-tk-2018Z14661.html |
| Bron antwoord | https://zoek.officielebekendmakingen.nl/ah-tk-20182019-51.html |
Ja.
Het UWV heeft bij mij aangegeven dat het een menselijke fout betrof. Het gaat om het uitnodigen van een geselecteerde groep mensen voor een bijeenkomst via een uitnodiging in de werkmap van de cliënt. De werkmap is een persoonlijke pagina op werk.nl waarmee de cliënt onder meer kan communiceren met het UWV, sollicitaties kan zoeken en een CV kan maken. Bij het klaarzetten van de uitnodiging in de werkmap is het verkeerde bestand gebruikt. Niet de uitnodiging, maar het selectiebestand met de gegevens van personen die uitgenodigd moesten worden is bij 97 mensen in de werkmap geplaatst. Daarbij is het «vier ogen principe», de procedure om de handeling te laten controleren, niet toegepast. Tevens is na de selectie van de doelgroep nagelaten om het bestand op te schonen, zodat gegevens als het Burgerservicenummer (BSN), die niet nodig zijn om een uitnodiging te verzenden, ten onrechte in het selectiebestand zijn blijven staan.
Bepaalde onderdelen van het werkproces van het UWV blijven mensenwerk. Voor de communicatie via de werkmap is het soms noodzakelijk dat bepaalde bestanden, zoals uitnodigingen, in de werkmap beschikbaar worden gesteld. Dit is een menselijk handeling die ondersteund wordt door software die het mogelijk maakt om een bericht of bestand naar een groep mensen tegelijkertijd te versturen, een zogenaamd bulkbericht. Het bestand dat foutief beschikbaar is gesteld, betreft het bestand dat deze bulkzending mogelijk maakt.
Zoals ook vermeld in de Stand van Uitvoering (Kamerstuk 26 448, nr. 605) heeft het UWV op vrijwel alle onderdelen van de AVG maatregelen getroffen, zoals het inrichten van een register van verwerkingen en het opstellen van privacy verklaringen. Tevens is er veel aandacht besteed aan het vergroten van het bewustzijn onder medewerkers. Ook is er veel geïnvesteerd in het IT-landschap, bijvoorbeeld het anonimiseren van data en het autorisatiebeheer.
Het aanpassen van bestaande systemen en verwerkingen is complex. De principes van privacy by design en privacy by default zijn verankerd in de bedrijfsprocessen. Bij nieuwe systemen en processen worden deze principes dan ook toegepast. Aanpassing van bestaande systemen is soms slechts ten dele mogelijk en kent een lange doorlooptijd. Daardoor worden er de komende tijd nog veel handelingen door medewerkers van UWV verricht. Dit blijft foutgevoelig. Aandacht voor privacywetgeving is daarom een continu proces waaraan het UWV blijvend werkt.
Cliënten dienen er op te kunnen vertrouwen dat het UWV zorgvuldig met hun gegevens om gaat. Het UWV heeft de getroffenen wiens persoonsgegevens gedeeld zijn, middels een brief oprechte excuses aangeboden. In de brief is opgenomen dat het datalek nooit had mogen plaatsvinden en dat extra maatregelen zijn genomen om soortgelijke fouten in de toekomst te voorkomen. Tevens is aangegeven dat het ten onrechte gedeelde bestand is teruggetrokken, waardoor het niet langer in te zien is. Met de cliënten die het bestand reeds geopend hadden, is telefonisch contact opgenomen om ook lokaal opgeslagen kopieën te laten verwijderen. De verontwaardiging en zorgen van de getroffen personen zijn begrijpelijk. Cliënten kunnen contact opnemen met het UWV voor vragen of een persoonlijk gesprek. Goede nazorg is belangrijk.
Het UWV zal in het tweede kwartaal 2019 een technische maatregel invoeren die het verzenden van bepaalde bestanden, zoals xcel bestanden, onmogelijk maakt. Deze maatregel beperkt het risico op een vergelijkbaar incident aangezien dit soort bestanden dan niet in de werkmap geplaatst kunnen worden. De huidige maatregelen zijn vooral gericht op bewustwording, maar ondanks de inzet die hierop gepleegd is, is het effect van deze maatregelen vooralsnog onvoldoende gebleken. Zodoende heb ik het UWV gevraagd meer technische maatregelen te onderzoeken en te nemen die het menselijk handelen kunnen ondersteunen en het risico op datalekken kunnen verkleinen, zoals extra verificatiestappen, technische blokkades en automatische waarschuwingen. Ik ga met het UWV in overleg over deze mogelijkheden.
Een beperkende factor daarin is het feit dat veranderingen in de ICT-systemen van het UWV complex en tijdrovend zijn. Dit mag geen excuus zijn om geen verbeteringen na te streven, maar betekent wel dat de uitvoering nog enige tijd gevoelig blijft voor menselijke fouten. Daarom verwacht ik ook van het UWV dat zij de bewustwording van haar medewerkers blijft vergroten en dit incident
aangrijpt om het belang van een zorgvuldige omgang met persoonsgegevens en het volgen van procedures, zoals het vier ogen principe, binnen de organisatie te benadrukken en strikter na te leven. Tot slot hanteert UWV een sanctiebeleid waarin passende maatregelen zijn opgenomen voor situaties waarin medewerkers zich bewust niet aan de procedures houden. Dit sanctiebeleid is in 2016 aangescherpt.
Ja
Zie antwoord vraag 6.
Onder verwijzing naar mijn antwoord bij vraag 3, zijn menselijke fouten helaas niet uit te sluiten.
Technische maatregelen kunnen menselijk handelen ondersteunen, maar zijn niet in elke situatie toepasbaar, hebben soms ongewenste bijwerkingen en zijn niet altijd toe te passen in de bestaande systemen van UVW. Zo was het onleesbaar maken van het bestand met persoonsgegevens hier niet toepasbaar, aangezien een deel van dat bestand nodig was om de uitnodiging in de werkmap van de doelgroep te plaatsen. Ook het opslaan van bestanden op een andere plaats reduceert het risico slechts beperkt. Wel had het bestand geschoond moeten worden van gegevens die niet nodig waren voor het uitnodigen van de doelgroep, zoals BSN. Dit had het datalek weliswaar niet voorkomen, maar er waren dan minder gegevens gedeeld. Ik heb daarom met het UWV afgesproken dat hier scherper op wordt toegezien.
Tenslotte is het verbod op bulkberichten opgeheven. Het individueel afhandelen van berichten kost veel tijd, daar elk bericht voor elke individuele cliënt beschikbaar moet worden gesteld. Bovendien neemt de kans op fouten door routinematigheid, zeker bij zeer grote aantallen, alleen maar toe. Bulkberichten zijn veilig, mits de procedures gevolgd worden.
Het onderzoek is afgerond. De uitkomsten leiden tot een aantal verbetermaatregelen die zich in hoofzaak richten op het verbeteren van de awareness, zoals het opstellen van een richtlijn veilig communiceren, het aanstellen van ambassadeurs veilige communicatie en meer aandacht voor veilige omgang met gegevens in het integriteitsbeleid. Deze maatregelen zijn direct in gang gezet.
Ook heeft het onderzoek één technische maatregel opgeleverd die in het tweede kwartaal 2019 ingevoerd zal worden. Deze maatregel betreft het blokkeren van bepaalde bestanden, zodat deze niet langer aan de werkmap kunnen worden toegevoegd. Tevens wordt de werkwijze in de regiokantoren tegen het licht gehouden.
Zie het antwoord bij vraag 5.