Waarom Amersfoort een groter probleem heeft dan alleen een datalek

Gegevens van honderdduizend inwoners van gemeente Amersfoort zijn gestolen bij een externe softwareleverancier. Uit een brief van het College blijkt dat de data al jaren geleden verwijderd hadden moeten worden.

Bij dezelfde hack werden ook gegevens van de Twentse gemeenten Tubbergen en Dinkelland gestolen. Het gaat om namen, adressen, woonplaatsen, geboortedata, geslachtsaanduidingen, e-mailadressen en telefoonnummers. Daarnaast is van ongeveer 7000 mensen ook het burgerservicenummer (BSN) buitgemaakt.

'Gemeente verzweeg lek wekenlang'

Amersfoort verzweeg het datalek wekenlang. Volgens wethouder Johnas van Lammeren wilde de gemeente ‘geen onnodige onrust veroorzaken’. Dit meldde hij in een commissievergadering. Eerst wilde Amersfoort meer informatie verzamelen over de precieze omvang van de hack.

Gegevens hadden allang verwijderd moeten zijn

Uit de brief van het Amersfoortse college blijkt dat een groot deel van de gestolen gegevens volgens de wet al lang verwijderd had moeten zijn. Organisaties mogen persoonsgegevens niet langer bewaren dan noodzakelijk is voor het doel waarvoor ze zijn verzameld of verwerkt. Bij het datalek werden echter gegevens gestolen die teruggaan tot 2009.

'Verklaring voor te lange opslag'

Het college verklaart in een brief: ‘Er zijn twee redenen waarom wij data langer dan vijf jaar in bezit hadden: de oude dataset is afkomstig uit een verouderde applicatie die niet meer in gebruik is. In 2016 kreeg dit oude afsprakensysteem een update. Deze update is gebouwd op de fundamenten van het oude systeem, maar er was sprake van een volledig vernieuwde datastructuur. Dat was niet zichtbaar en ook niet bekend op het moment dat de data werd gedeeld. Wij konden via de nieuwe applicatie niet weten dat deze oude dataset aanwezig was.’

Toch blijken ook in de nieuwe dataset gegevens ouder dan vijf jaar te staan. Het college vervolgt: ‘Het op orde brengen van onze informatiehuishouding, zodat we in alle applicaties binnen de hele gemeente gegevens vernietigen volgens de wettelijke termijnen, heeft onze prioriteit. Echter, omdat we deze applicatie naar de cloud gingen brengen, hebben we gezien de beperkte capaciteit en middelen ervoor gekozen om op dat moment de wettelijke termijn niet volledig op orde te brengen.’

Privacy-experts uiten kritiek

Privacy-experts reageren kritisch op het lang bewaren van de gegevens. Privacy-strateeg Jeroen Terstegge van Privacy Management Partners stelt dat een datalek ‘erbij hoort’. Hij verbaast zich echter over hoelang de gegevens bewaard zijn gebleven en noemt deze fout ernstiger dan het datalek zelf. ‘Niets is zo dom als persoonsgegevens lekken die je allang niet meer had mogen hebben. Voor degene die het nog niet doorhad: te lang bewaarde gegevens kunnen tot een veel hogere boete leiden dan het te laat melden van het datalek. De aandacht voor de late melding door de gemeente Amersfoort toont weer eens aan dat de meeste mensen veel te veel bezig zijn met de 'vloer dweilen' terwijl het huis langzaam aan het verzakken is.’