UWV: even geen bulkberichten na datalek

Naar aanleiding van een datalek bij de vestiging Werkbedrijf Groningen verstuurt het UWV tot nader order geen bulkberichten meer. Een medewerker van het Werkbedrijf in Groningen had via Werk.nl aan cliënten een vacatureflits verzonden met een verkeerde bijlage. Daardoor ontvingen 473 geadresseerden een bericht in hun werkmap met gegevens van 11.062 klanten van UWV. De uitvoeringsorganisatie heeft dit datalek gemeld bij de Autoriteit Persoonsgegevens.

De medewerker van UWV voegde op 22 september 2016 een verkeerde bijlage toe aan de uit te sturen bulkmail. De gegevens bestonden onder meer uit het Burgerservicenummer, het e-mailadres, de woongemeente, de achternaam en de opleiding. Van de 473 geadresseerden hebben 26 geadresseerden het bericht in de werkmap geopend. Bij de overige geadresseerden heeft UWV het bericht voordat dit geopend is uit de werkmap verwijderd.

Dit schrijft Lodewijk Asscher, de minister van Sociale Zaken en Werkgelegenheid, in zijn antwoord op de vragen die over het datalek zijn gesteld door de vaste commissie voor SZW. Volgens de bewindsman heeft UWV, na het ontdekken van het datalek, het bestand uit de werkmap teruggetrokken. Ook zijn alle klanten waarvan hun gegevens onterecht bij de 26 geadresseerden terecht gekomen zijn, geïnformeerd middels een bericht in de werkmap.

Verboden

Voorts zijn de 26 geadresseerden die het bericht geopend hebben, gebeld om toe te lichten dat zij onterecht een bestand met persoonsgegevens van UWV-klanten hebben ontvangen. Er is hen verzocht dit bestand niet te gebruiken of verder te verspreiden. Alle 26 geadresseerden hebben volgens Asscher dit aan UWV toegezegd en hebben bevestigd dat het betreffende bestand is verwijderd.

Daarnaast zegt UWV het bestand met persoonsgegevens dusdanig te hebben beveiligd en aangepast dat dit voor een buitenstaander niet meer te lezen is. Daarnaast wordt het bestand op een andere locatie opgeslagen, waardoor het niet meer onbedoeld meegestuurd kan worden. Deze werkwijze zal ook toegepast worden bij processen met andere bestanden met persoonsgegevens.

UWV verricht op dit moment onderzoek naar de structurele maatregelen die het kan nemen. Totdat deze maatregelen zijn genomen, geldt voor alle UWV-vestigingen een verbod op het versturen van bulkberichten. Alleen onder strikte voorwaarden mag hiervan worden afgeweken. In dat geval wordt bij verzending van dit soort berichten altijd het vier ogen principe toegepast, laat de minister weten.