Ambtenaren zien te makkelijk UWV-persoonsgegevens

Ambtenaren kunnen te makkelijk bij de gegevens van 4,1 miljoen mensen die nu klant zijn van het UWV of dat in het verleden waren. Het ict-systeem dat het werkbedrijf hiervoor gebruikt voldoet niet aan de privacywetgeving, concludeert accountantsbureau KPMG dat op verzoek van het UWV onderzoek deed. Er moet volgens KPMG onmiddellijk actie worden genomen.

Allemaal inzage

‘SONAR voldoet momenteel aan geen van de beginselen uit de AVG’, schrijft KPMG. ‘De applicatie SONAR kent ca. 15.000 gebruikers die nagenoeg allemaal inzage hebben in alle persoonsgegevens van alle klanten die in SONAR zijn opgenomen.’ UWV-medewerkers en gemeenteambtenaren van de sociale dienst kunnen in het systeem de persoonsgegevens zien van zo’n 1 miljoen uitkeringsgerechtigden en ruim 3,1 miljoen voormalige klanten.

Geen toegang

‘Niet iedere gebruiker heeft toegang nodig tot alle persoonsgegevens in SONAR om zijn werkzaamheden te kunnen uitvoeren’, vindt KPMG. Tegenover dagblad Trouw, dat het rapport onder de aandacht bracht, erkent directeur Informatievoorziening Karin Menses van het UWV Werkbedrijf dat gemeenteambtenaren geen toegang tot alle klanten van het UWV zouden moeten hebben. Maar voor UWV-medewerkers is dat volgens haar wel belangrijk.

Handhavend optreden

Persoonsgegevens worden door het UWV niet of beperkt geschoond, schrijft KPMG verder, ‘ook niet na het verstrijken van de wettelijke bewaartermijn.’ Omdat het ict-systeem niet voldoet aan de AVG-beginselen, bestaat er een risico op datalekken en op handhavend optreden door de Autoriteit Persoonsgegevens.

Privacy-volwassenheid

‘De privacy-volwassenheid is lager dan verwacht mag worden van een applicatie die naar de aard, context, hoeveelheid en gevoeligheid van de verwerkingen een inherent hoog privacyrisico kent.’ De belangrijkste maatregel die het UWV op zo kort mogelijk termijn volgens KPMG moet nemen, is het beperken van de gebruikersrechten. Er zijn meerdere acties te nemen, maar die pakken slechts gedeeltelijk de belangrijkste risico’s aan. ‘Er is een structurele verbeteringsslag op SONAR of een vervangend systeem nodig om alle risico’s te mitigeren.’