Onderzoek van NOS en Nieuwsuur naar gepubliceerde overheidsdocumenten bracht honderden stukken aan het licht met persoonsgegevens: e-mailadressen, telefoonnummers, adressen en identiteitsbewijsnummers. In 255 van die documenten stond een burgerservicenummer. Bij de gemeente Pijnacker-Nootdorp bijvoorbeeld stonden in een stuk over een nieuwbouwproject de BSN's van 43 inwoners die een zienswijze hadden ingediend, met naam en adres erbij.
De vraag die dat oproept is kort te stellen: is dit een technische fout, of een AVG-kwestie? Het antwoord is geen keuze tussen die twee, maar een stapeling van niveaus.
Op het niveau van het proces is het een gemiste stap. Voordat zulke stukken online gaan, horen persoonsgegevens die er niet in thuishoren te worden weggelakt. In deze gevallen bleef er een staan.
Diezelfde gebeurtenis is juridisch iets anders: het onbedoeld openbaar maken van persoonsgegevens is een datalek. Niet als zware kwalificatie die er achteraf bij komt, maar als vaststaand feit zodra het gebeurt.
De oorzaak zit nog een laag dieper: waarom stond dat gegeven eigenlijk in het document dat richting publicatie ging? Dat is een vraag over doel en noodzaak, niet over de lakstap zelf maar over wat er al in de versie zat die naar die stap toe ging.
Technisch dus een gemiste stap, juridisch een datalek, in de kern een vraag over wat een document eigenlijk moet bevatten.
Het woord datalek roept vaak het beeld op van een hack of een inbraak in een systeem. De juridische definitie is ruimer: elke gebeurtenis waarbij persoonsgegevens verloren gaan of onbedoeld toegankelijk worden, inclusief een verkeerd verzonden brief of een gepubliceerd document met te veel informatie erin. Cijfers van de Autoriteit Persoonsgegevens laten zien dat dat eerder de norm is dan de uitzondering. In 2024 kwamen er bijna 38.000 meldingen binnen. Verkeerd verzonden post en e-mail vormden daarvan samen bijna een derde en zijn daarmee de grootste categorie. Een gemiste lakstap hoort bij datzelfde type: een menselijke handeling in een gewoon werkproces. Bij een BSN is er wel een concreet vervolg: het nummer is te herleiden en te misbruiken, dus geldt een meldplicht bij de toezichthouder en meestal ook een bericht aan de mensen om wie het gaat.
Hoe de gegevens precies bleven staan, is uit het onderzoek niet in elk geval te herleiden. Verreweg de meeste gevonden documenten met een BSN komen uit 2016 en 2017, van voor de tijd dat gemeenten software gingen gebruiken die persoonsgegevens automatisch weglakt. Sinds de strengere regels in 2018 gebeurde het nog 99 keer. Waar wel met die software wordt gewerkt, volgt daarna een controle door een medewerker. Het systeem waarop de stukken worden gepubliceerd controleert zelf niet op achtergebleven gevoelige gegevens; de leverancier daarvan wijst erop dat hij alleen de applicatie levert en niet verantwoordelijk is voor de inhoud. Er is dus geen automatische stap die een BSN tegenhoudt voordat een stuk online komt. Of het nu aan een gemiste controle ligt of aan een document dat nooit is gelakt, de gemene deler is dat de enige inhoudelijke zeef een mens is die grote hoeveelheden documenten nakijkt.
De Wet open overheid verplicht juist tot het openbaar maken van veel bestuursstukken, en dat is op zichzelf rechtmatig en vaak zelfs een plicht. Diezelfde wet sluit een BSN echter categorisch uit van openbaarmaking: daar is geen afweging voor nodig, het nummer mag simpelweg niet mee naar buiten. Voor gegevens als naam en adres geldt wel een afweging of ze openbaar kunnen. Transparantie en gegevensbescherming staan hier dus niet tegenover elkaar. De verplichting tot openbaarmaking is geen reden om een BSN mee te publiceren.
Onderzoek en meldingen bij de toezichthouder laten zien dat dit patroon zich al meerdere jaren voordoet, bij verschillende gemeenten. Het gaat om een terugkerend kenmerk van het proces, niet om een op zichzelf staand incident.
Het is verleidelijk om dit als een gemeentelijk probleem te lezen. Maar iedere organisatie die op schaal met documentstromen en verzoeken van buiten werkt, herkent de kwetsbaarheid: veel stukken, een controle die op mensen leunt. Dat geldt net zo goed voor onszelf als voor een gemeente. De vraag is dan ook niet zozeer wie het deze keer trof, maar wat er gebeurt zodra zoiets aan het licht komt.
Dat soort verzoeken lijkt de laatste jaren toe te nemen, als waargenomen ontwikkeling, niet als cijfer waar we een bron voor hebben. En niet elk verzoek is neutraal. Sommige worden ingezet om een organisatie ergens op te pakken, met die organisatie nadrukkelijk als tegenstander. Er ontstaat dan een afrekencultuur: het gaat niet meer om de fout zelf, maar om wie daarop kan worden aangesproken en hoe hard.
Onder die druk trekken organisaties zich terug. Er komen juristen bij, er wordt geprocedeerd, en de openheid die er eerst nog was verdwijnt. Dat is geen kwestie van gelijk of ongelijk: je kunt volledig gelijk hebben over wat er misging, zonder dat dat de volgende fout voorkomt. Het is geen pleidooi tegen verantwoording vragen, dat is legitiem en vaak terecht. Het probleem zit in een dynamiek die alleen maar afrekent: die maakt organisaties defensief en gesloten, en dat werkt tegen het doel dat iedereen zegt na te streven, namelijk dat de gegevens van mensen beter beschermd worden.
Wat wel helpt is iets anders. Open zijn over wat er misging, en laten zien welke concrete maatregelen de kans op herhaling kleiner maken. Dat is praktisch denken in plaats van procederen: investeren in een betere controle of in software die daadwerkelijk checkt, of het proces zo herinrichten dat een gegeven er nooit in komt. Dat lukt beter in gesprek dan tegenover elkaar. Verantwoording die om verbetering vraagt, werkt heel anders dan verantwoording die alleen straft.
De vraag die iets oplevert is dus niet wie er schuldig is, maar hoe je de volgende fout minder waarschijnlijk maakt. Aan de ene kant zit dat in het ontwerp: het dossier waarmee een aanvraag wordt behandeld scheiden van de versie die naar buiten gaat, per gegeven vastleggen of het mee mag. Lakken wordt dan een laatste stap, niet het punt waar het proces op leunt. Aan de andere kant zit het in hoe je omgaat met wat er misging: open erkennen wat er is gebeurd, laten zien wat er verandert, en dat gesprek voeren met wie het aangaat, niet in een rechtszaal. Gelijk hebben lost het niet op. Praktisch en open aanpakken wel. Dat geldt niet alleen voor gemeenten, maar voor iedere organisatie die met de gegevens van mensen werkt.
Bronnen:
- NOS – Gemeenten lekken nog steeds persoonsgegevens van inwoners, zelfs BSN's
- Binnenlands Bestuur – Gemeenten lekken nog altijd privacygegevens inwoners
- Autoriteit Persoonsgegevens – Een datalek melden
- Autoriteit Persoonsgegevens – Rapportage datalekken 2024
Geschreven door Johan Antonissen van Privacy in Bedrijf.