‘Hellendoorn wil privacyprobleem niet zien’

Is de data van de gemeentelijke website in te zien is voor de Amerikaanse overheid? Nee, zo stelt Hellendoorns burgemeester Anneke Raven in een antwoord op vragen van lokale partij HOP. Privacy-deskundige Brenno de Winter denkt echter dat Hellendoorn privacy in de huidige situatie niet kan waarborgen.

Zorgen over Equinix

De Hellendoorns Onafhankelijke Partij (HOP) uitte eerder deze week aan het college zijn zorgen over de digitale veiligheid van de gemeentelijke gegevens. De hosting van de gemeentelijke website wordt gedaan door Virtu, een bedrijf dat een aantal jaren geleden is overgenomen door het Amerikaanse Equinix. De data van Equinix zijn vanwege de Patriot Act in te zien door de Amerikaanse overheid. Daardoor kan alle data van de gemeentewebsite in Amerikaanse handen vallen.

'Alleen openbare informatie'

Maar de burgemeester ziet geen reden om het contract met Equinix op te zeggen. De door HOP geschetste situatie is ‘niet van toepassing’, zo stelt Raven in een brief aan HOP. ‘De gemeente Hellendoorn heeft meerdere websites. De domeinnaam hellendoorn.nl is bij Equinix geregistreerd. De website www.hellendoorn.nl is gehost bij leverancier Muze uit Enschede, met eigen hardware. Equinix is eigenaar van het pand, van het datacenter. Hellendoorn.nl bevat alleen openbare informatie.’

Gemnet en DigiD 

Privacy-gevoelige data-opslag of verwerking bij een Amerikaans bedrijf is niet van toepassing, zo schrijft Raven. ‘Onderdeel van www.hellendoorn.nl is het digitaal loket, hier staan wel persoonsgegevens, voor inwoners toegankelijk via DigiD. Dit digitaal loket wordt gehost door SCC Enschede, onderdeel van de gemeente Enschede. Voor dit loket wordt jaarlijks een Digid-Audit afgenomen. De gemeente voldoet aan alle gestelde normen.’ Ook over het e-mailverkeer van de gemeente maakt Raven zich geen zorgen. ‘Dat loopt via GemNet.’

Afspraak maken gaat buiten DigiD om
Maar niet alle onderdelen van Hellendoorn.nl worden afgehandeld in het digitaal loket via Digid. Het maken van een afspraak met de gemeente gaat bijvoorbeeld buiten DigiD om en er wordt daarbij om allerlei privégegevens gevraagd. Er kan een afspraak gemaakt worden vanwege een gewonnen loterij, maar ook voor subsidies, een geneeskundige verklaring en leningen. Privégegevens waaronder namen, adressen, telefoonnummers en e-mail moeten daarbij worden doorgegeven, net als een toelichting. Privacy-deskundige en onderzoeksjournalist Brenno de Winter laat aan Binnenlands Bestuur weten dat de situatie, ondanks de uitleg van de burgemeester, wel degelijk zorgwekkend is. Zo loopt de mail van Hellendoorn via Gemnet, die volgens De Winter een server gebruikt van het Amerikaanse bedrijf Symantec.

Amerikaanse spelers 

‘De gemeente Hellendoorn maakt gebruik van meerdere Amerikaanse spelers. Zo wordt voor de site ook informatie gevraagd van burgers voor een afspraak en loopt alle mail via een Amerikaanse speler: Symantec. Hierdoor kunnen alle gevoelige berichten worden onderschept. Het waarborgen van de privacy is dan ook niet mogelijk, omdat je simpelweg niet weet of het verkeer wordt getapt of misbruikt.’ Hellendoorn heeft volgens de Winter een privacy probleem. ‘En het zorgwekkende aan het verhaal is dat de reactie van de burgemeester duidelijk maakt dat zij het probleem niet zien of niet willen zien.’