De gemeente Utrecht is in de fout gegaan met het anonimiseren van Wob-verzoeken. De gemeente publiceerde op haar website afgelopen maanden de namen van zeker achttien indieners van een Wob-verzoek, terwijl die anoniem hadden moeten blijven. “We zien inderdaad persoonsgegevens die daar niet mogen staan”, zegt de gemeente in een reactie.
Via een verzoek op basis van de Wet openbaarheid van bestuur (Wob) kan iedereen documenten opvragen bij de gemeente. Dit soort verzoeken wordt door de gemeente op haar website geplaatst, waarbij persoonsgegevens van onder meer de indiener van het Wob-verzoek geanonimiseerd worden. DUIC ontdekte begin deze week dat het daar misging bij de gemeente Utrecht.
De namen waren in de documenten zelf wel zwartgelakt, maar in de link die naar de documenten op de website leidde, stond de achternaam van de indiener. De fout met de URL werd afgelopen maanden zeker achttien keer gemaakt.
Volgens de Algemene Verordening Gegevensbescherming (AVG) en de Wet openbaarheid van bestuur (Wob) moeten de persoonsgegevens van de indiener van een Wob-verzoek onleesbaar worden gemaakt, schrijft de gemeente Utrecht op haar website. Hoewel de namen in de documenten zelf wel waren weggelakt, was bij de gemeente Utrecht in een aantal gevallen dus makkelijk te achterhalen wie welk Wob-verzoek had ingediend.
Tekst loopt door onder afbeelding
Zo was onder meer de achternaam te achterhalen van een Utrechter die vroeg om kopieën van documenten die door de gemeente Utrecht werden aangeleverd aan politie en justitie. Weer iemand anders had een verkeersboete gehad en vroeg bij de gemeente om een lijst met de in de afgelopen zes jaar in Rivierenwijk uitgeschreven boetes voor hetzelfde vergrijp – parkeren binnen vijf meter van een kruispunt. Ook zijn achternaam stond in de link op de gemeentewebsite.
Een ander Wob-verzoek waarbij het misging, had betrekking op de koopovereenkomst van een huis in een Utrechtse straat. In de URL stond een achternaam, waardoor in combinatie met de straatnaam de vermoedelijke indiener via het telefoonboek makkelijk te achterhalen was.
Reactie
De gemeente Utrecht heeft donderdag gereageerd op de gepubliceerde persoonsgegevens. “We hebben jullie signaal doorgegeven en een datalek gemeld. Die melding wordt bekeken”, reageert een woordvoerder. “Los daarvan gaan we bij de zaken waar persoonsgegevens te zien zijn die niet te zien zouden moeten zijn nu zo snel mogelijk die gegevens verwijderen.”
Op grond van de AVG is de gemeente naar eigen zeggen zelf verantwoordelijk voor het doen van een eerste beoordeling. Het incident is daarop gemeld bij de DISO (Decentrale Informatie- en Security Officer) van de gemeente. Die oordeelt dat het gaat om een beveiligingsincident en niet om een datalek. Het incident is volgens de woordvoerder om die reden niet gemeld bij de Autoriteit Persoonsgegevens.
12 Reacties
ReagerenHet is heel handig om je werkdirectory’s een duidelijk naam te geven, dat scheelt een hoop gezoek. Dat geldt nog sterker in een (grote) organisatie, waar meerdere mensen er mee moeten werken. Maar zodra je dit toegankelijk maakt voor derden kan je dus onbedoeld informatie verstrekken die niet voor hen bedoeld is.
Een fout? Ja, maar overal waar gewerkt wordt, worden fouten gemaakt. Ik vind dit geen reden om te gaan roepen dat ze er een grote puinhoop van maken. Ik hoop en verwacht ze van deze fout zullen leren.
Ik neem aan dat de gemeente Utrecht deze werkwijze zo snel mogelijk zal aanpassen; en dat zij deze ervaring ook zal delen met andere gemeenten, zodat die zo nodig kunnen voorkomen dat dit bij hen ook gebeurd.
Ach, overheid (alle lagen) en automatisering, ook zo een probleem wat al jaren speelt.
Fouten maken is menselijk, maar fouten kunnen voorkomen is ook menselijk!
Gezien het feit dat de overheid zeer behendig is in het weglakken van informatie (soms blijven alleen lidwoorden over), valt dit wat mij betreft onder de categorie “opzet”
Heel curieus. Achternamen komen niet op magische wijze in een URL terecht. Zo achterlijk is zelfs een overheid niet met IT. En dan ook uitgerekend met WOB verzoeken.
Nee. Ik vertrouw dit niet.
Aangezien we helaas niet meer mogen vertrouwen op de eerlijke woorden van onze overheid en het zeer opvallend is dat namen per ongeluk geplaatst worden in strijd met de AVG (net of zaken niet gecontroleerd worden alvorens plaatsing?) en de overheid politieke spelletjes (mee)speelt; zie ook weer het zoveelste debat rondom de toeslagenaffaire; is dit uiteraard niet per ongeluk.
Hoe handig is dat de namen van dit soort verzoeken bekend zijn? Dan ook nog eens een langere periode. Hoe leuk is deze wraak van de overheid. “Wij moete iets plaatsen dat we eigenlijk helemaal niet willen; dus maken we een “fout””.
Zucht ……… hopeloze overheid ….
Honderd procent zeker een datalek. Een beveiligingsincident waarbij persoonlijke informatie voor onbevoegden (iedereen) zichtbaar was. Zeker ook een risico voor de betrokkenen. De AP kan het boeterapport voor het niet melden vast opmaken.
De gemeente zoekt een nieuwe DISO, zo is te zien bij de vacatures. Tip: zoek een capabele.
Als te achterhalen is wie de personen zijn, dan is hun privacy geschonden en betreft het een datalek.
Ik mag hopen dat de betroffenen zijn ingelicht. Gezien dat deze mensen gebruik maken van de WOB, doet mij vermoeden dat hun vertrouwen in de gemeente al niet zo groot was. Dan helpt dit niet.
Fouten maken is menselijk, fouten toegeven ook. Fouten downplayen doe je maar in een kabinet.
@Scherpschutter: Daar is weinig magisch aan. Het is bij veel organisaties (helaas) vrij gebruikelijk dat de naam van de geadresseerde in de bestandsnaam gezet wordt, bijvoorbeeld om het document makkelijk vindbaar te maken. Vervolgens wordt dat bestand online gepubliceerd zonder de naam aan te passen en voilà.
In artikel 4, lid 12, van de AVG wordt een “inbreuk in verband met persoonsgegevens” (lees: datalek) als volgt gedefinieerd: “een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens”.
In dit geval lijkt er sprake van een “Inbreuk op de vertrouwelijkheid”: ongeoorloofde of onbedoelde verstrekking van of toegang tot persoonsgegevens.
Het toegang geven tot deze persoonsgegevens die anoniem hadden moeten blijven aan een groep die daar geen toegang toe behoren te krijgen is dan een datalek (naast een beveiligingsincident)
Dan blijft wel de vraag of (cnf 33, lid 1 AVG), “….tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen.”
Wordt wel vervelend als een overheid een (te) ruime armslag voor zichzelf houdt in de beoordeling daarvan.
Is dat voor jou een vraag Pol? Het publiek bekendmaken van Wob’ers kan (bewust of onbewust) als shaming worden gezien, en heeft absoluut een negatief effect op de bereidheid om van dit wettelijke middel gebruik te maken. Het risico is reputatieschade: alles is en blijft vindbaar op internet. Je zou bijvoorbeeld maar solliciteren bij een overheidsorgaan en als ‘lastig’ of ‘pro-transparantie’ bekend staan.