Duizenden ambtenaren kunnen eenvoudig bij privégegevens van voormalige UWV-klanten

Het IT-systeem bij UWV dat klantgegevens bewaart, voldoet aan 'geen van de beginselen uit de AVG’, meldt adviesorganisatie KPMG, dat op verzoek van het UWV onderzoek deed naar dat systeem, genaamd Sonar. Veel medewerkers van het UWV en duizenden gemeentelijke ambtenaren van de sociale dienst kunnen de gegevens simpelweg opvragen.

Het gaat daarbij om informatie over uitkeringen die mensen ontvangen, de begeleiding die UWV-klanten hebben gehad of krijgen en om persoonlijke gegevens als naam, adres, burgerservicenummer, nationaliteit en geboortedatum. Al deze informatie staat in één systeem, waarop de duizenden medewerkers en ambtenaren kunnen inloggen. 

Karin Menses, directeur informatievoorziening bij UWV, legt uit dat Sonar in 2005 is gebouwd. Het uitwisselen van gegevens was toen juist gewenst, klinkt het. ,,Dat staat nu op gespannen voet met de privacy-eisen.’’ Het UWV gaat voor maart de gegevens van een miljoen voormalig cliënten verwijderen, aldus Menses. Wie de afgelopen vijf jaar bij het UWV aanklopte, blijft er voorlopig in staan. 

Dat er iets aan de toegankelijkheid moet gebeuren, beaamt Menses. Zo zouden volgens KPMG alleen specifieke medewerkers toegang moeten hebben. Eenvoudig is dat allerminst. ,,Sonar is ook een heel uitgebreid systeem, dat kan je niet in één keer veranderen’’, zegt de directeur. ,,We hebben al veel aangepast, maar dat is inderdaad nog niet voldoende.’’

De Autoriteit Persoonsgegevens (AP) gaat contact opnemen met uitkeringsinstantie UWV naar aanleiding van berichtgeving door Trouw.  De AP zegt dat de bescherming van persoonsgegevens bij het UWV al langer de aandacht heeft en dat er momenteel verschillende onderzoeken lopen. “Ook in het verleden heeft de AP al vaker moeten optreden’’, klinkt het.

Zo concludeerde de AP in 2017 dat de beveiliging van het online werkgeversportaal onvoldoende was. In 2018 werd een last onder dwangsom opgelegd van 150.000 euro per maand, met een maximum van 900.000 euro. Het UWV heeft vervolgens de beveiliging daarvan op orde gebracht. ,,Het UWV zou de beveiliging van persoonsgegevens beter op het netvlies moeten hebben’’, meent de autoriteit.

Het UWV laat in een reactie weten dat de AP in een eerder stadium, in augustus 2020, werd geïnformeerd over het onderzoek van KPMG naar Sonar. ,,Wij vinden het belangrijk om transparant te zijn en delen dan ook graag met de AP onze plannen voor de aanpassingen in Sonar, net als de vervanging van het systeem op de langere termijn. Het UWV gaat dan ook graag met de AP verder in gesprek.”

Bekijk onze trending nieuwsvideo’s: