Inwoners van Eindhoven die het slachtoffer zijn geworden van een ernstig datalek bij de gemeente, worden hier niet of onvoldoende over geïnformeerd. Verder is de interne registratie van datalekken niet op orde. Soms duurt het weken of zelfs maanden voordat datalekken pas worden vastgelegd of gemeld bij de Autoriteit Persoonsgegevens.
Dat is de conclusie die de functionaris gegevensbescherming (FG) van de Brabantse gemeente trekt, zo schrijft het Eindhovens Dagblad dat het rapport heeft ingezien.
‘Onduidelijk wat de gevolgen kunnen zijn’
De interne toezichthouder voerde een steekproef uit om te kijken of de gemeente Eindhoven zich aan de regels houdt als er sprake is van mogelijke privacyschendingen. Uit het onderzoek blijkt dat de gemeente haar zaakjes niet op orde heeft. Afgelopen jaar registreerde de gemeente 241 mogelijke datalekken. Voor de steekproef keek de functionaris gegevensbescherming naar zeventig geregistreerde datalekken.
In negentien gevallen was het lek zo ernstig dat de Autoriteit Persoonsgegevens ingelicht moest worden. Slachtoffers liepen hierbij het risico op identiteitsfraude, reputatieschade of financiële schade.
Uitgangspunt is dat een bedrijf of organisatie slachtoffers zo snel mogelijk inlicht over een mogelijk datalek. Hoe eerder dat gebeurt, des te eerder ze maatregelen kunnen treffen om de impact te minimaliseren, zo luidt de gedachte. Volgens de functionaris gegevensbescherming werden acht slachtoffers vorig jaar niet gealarmeerd over een datalek met hun gegevens, elf keer gebeurde dat onvolledig, onduidelijk of tegenstrijdig. “Daardoor is het niet duidelijk wat de eventuele gevolgen kunnen zijn”, aldus de interne toezichthouder.
Verplicht datalekkenregister niet op orde
Een andere conclusie die de functionaris gegevensbescherming trekt, is dat de verplichte registratie van mogelijke datalekken ernstig te wensen overlaat. Informatie in het register over de gelekte persoonsgegevens en de mogelijke gevolgen daarvan, komt niet overeen met meldingen aan de Autoriteit Persoonsgegevens.
Een kwart van de onderzochte registraties werd bovendien te laat opgenomen in het datalekkenregister. Sterker nog, soms duurt het zelfs weken of maanden voordat mogelijke datalekken worden geregistreerd. Volgens Europese privacywetgeving zijn instanties verplicht om binnen 72 uur te melden als er mogelijk sprake is van een datalek.
Tot slot constateerde de functionaris gegevensbescherming dat de gemeente geregistreerde datalekken te vroeg verwijderd. Hiervoor geldt een bewaartermijn van vijf jaar. “Dat roept de vraag op of het register actueel en volledig is”, aldus de interne toezichthouder. Hoewel het onderzoek over datalekken gaat die afgelopen jaar plaatsvonden, is de FG ervan overtuigd dat de huidige steekproef nog steeds actueel is.
Eindhoven staat al meer dan een half jaar onder verscherpt toezicht
De gemeente Eindhoven werd in maart onder verscherpt toezicht geplaatst door de Autoriteit Persoonsgegevens. Aanleiding daarvoor was dat de toezichthouder signalen had ontvangen dat de gemeente verzaakte om datalekken tijdig te melden. Ook werden verplichte risicoanalyses en gegevensbeschermingseffectbeoordelingen niet uitgevoerd.
De gemeente kreeg de kans om orde op zaken te stellen door een verbeterplan op te stellen. De Autoriteit Persoonsgegevens was hierover niet te spreken. “Al met al lijkt de gemeente de ernst en urgentie van de zorgen onvoldoende te erkennen. Dit vraagt om extra aandacht van de AP”, zo zei Monique Verdier, vicevoorzitter van de Autoriteit Persoonsgegevens, over de kwestie. Het verscherpte toezicht op de gemeente werd om die reden voor onbepaalde tijd verlengd. De Brabantse gemeente loopt het risico dat de toezichthouder een dwangsom of boete oplegt als de Europese privacyregels niet worden nageleefd.
