Gemeenten in Nederland zijn de afgelopen dagen druk bezig geweest met opruimen. Niet op straat, maar online: openbare documenten waarin per ongeluk persoonsgegevens van inwoners zichtbaar waren, verdwijnen in hoog tempo van websites en digitale loketten.
Wie wel eens een vergunningaanvraag heeft ingezien of een buurtplan heeft gevolgd, weet hoe normaal het is dat stukken online staan. Transparant bestuur, lekker duidelijk. Alleen: soms staat er méér in zo’n pdf dan de bedoeling is.
Wat er nu boven water komt
In nieuw onderzoek van NOS en Nieuwsuur wordt duidelijk dat het probleem nog steeds speelt: gemeenten publiceren documenten waarin e-mailadressen, telefoonnummers en woonadressen te vinden zijn. En dat blijft niet altijd bij ‘gewone’ contactgegevens.
In meerdere gevallen doken er zelfs identiteitsgegevens op, zoals nummers van identiteitsbewijzen en burgerservicenummers (bsn). En precies die informatie is extra pijnlijk, omdat je het niet even kunt wijzigen zoals een wachtwoord of e-mailadres.
Hoe zulke bestanden online belanden
Veel van deze documenten komen voort uit processen waarbij inwoners zelf betrokken zijn. Denk aan het aanvragen van een vergunning, het maken van bezwaar of het insturen van een zienswijze op plannen in de buurt. De bijlagen en correspondentie belanden vervolgens in openbare dossiers.
Dat openbaar maken hangt samen met de Wet open overheid (Woo), die overheden verplicht om informatie toegankelijk te maken. Maar openheid is niet hetzelfde als alles ongefilterd publiceren: bsn’s, paspoortnummers en vergelijkbare gegevens horen simpelweg niet online.
Wanneer slordigheid een datalek wordt
Zodra een bsn of paspoortnummer publiek zichtbaar is geweest, gaat het verder dan ‘een foutje’. Dan is er sprake van een datalek. Gemeenten moeten zo’n incident onderzoeken, maatregelen nemen en in veel gevallen een melding doen bij de Autoriteit Persoonsgegevens (AP).
In de praktijk betekent dat meestal een vaste stappenlijst: het document offline halen of afschermen, uitzoeken hoe lang het zichtbaar was en betrokkenen informeren. Daarnaast kan de AP vragen stellen over de oorzaak en over wat de gemeente doet om herhaling te voorkomen.
Voorschoten: paspoortnummers en geboortedata zichtbaar
Een concreet voorbeeld komt uit Voorschoten in Zuid-Holland. Daar bleek een document gegevens te bevatten van drie bestuurders van een stichting. Het ging om namen, adressen, geboortedata en zelfs paspoortnummers: informatie die je echt niet openbaar wilt zien.
De gemeente haalde het bestand offline en noemde het in een persbericht “bijzonder vervelend” voor de betrokkenen. Volgens Voorschoten zijn er geen aanwijzingen dat de gegevens misbruikt zijn, maar de gemeente zegt het incident wel “zeer serieus” te nemen.
LEES OOK:Grote schrik op camping: zwaargewonde gevonden na melding schietpartij
Betrokkenen ingelicht en melding bij toezichthouder
Voorschoten laat weten dat de bestuurders persoonlijk zijn geïnformeerd. Ook volgt er een melding bij de Autoriteit Persoonsgegevens. Zo’n melding betekent niet automatisch een boete, maar zorgt er wel voor dat het incident wordt vastgelegd en beoordeeld.
De AP kan vervolgens om uitleg vragen: hoe kon dit gebeuren, hoelang stond het online, en welke stappen zijn inmiddels gezet? Dat klinkt bureaucratisch, maar het is wel bedoeld om te zorgen dat dezelfde fout niet elke paar maanden terugkomt.
Huizen: document afgeschermd na signalering
Ook in Huizen (Noord-Holland) ging het mis. Daar werd na het NOS-onderzoek de Informatiebeveiligingsdienst ingeschakeld, die wees op persoonsgegevens in een online document. Het betrof onder meer naam- en adresgegevens én het bsn van een inwoner.
De gemeente zegt dat het document inmiddels is afgeschermd en dat er eveneens melding is gedaan bij de Autoriteit Persoonsgegevens. Het laat zien hoe één signaal genoeg kan zijn om te ontdekken dat er nog meer dossiers kwetsbaar zijn.
Meer gemeenten halen bestanden offline
Volgens persbureau ANP hebben meerdere gemeenten na de berichtgeving documenten verwijderd of achter een afscherming gezet. Onder meer Almelo, Den Bosch en Zuidplas zouden bestanden offline hebben gehaald nadat bleek dat er persoonsgegevens in stonden.
Dat patroon is belangrijk: als verschillende gemeenten tegelijk moeten ingrijpen, wijst dat erop dat het probleem niet bij één afdeling of één systeem zit. Het lijkt eerder te gaan om publicatieprocessen die overal nét te weinig veiligheidsnetten hebben.
Dit probleem is al jaren bekend
Het opvallende is dat deze waarschuwingen niet nieuw zijn. De Autoriteit Persoonsgegevens drong in 2017 al bij gemeenten aan om extra voorzichtig te zijn met persoonsgegevens die in openbare documenten terechtkomen.
In een brief aan de Vereniging van Nederlandse Gemeenten (VNG) schreef de privacytoezichthouder destijds dat er veel signalen binnenkwamen over het online zetten van persoonsgegevens. Dat het nu opnieuw speelt, laat zien dat ‘weten’ nog niet hetzelfde is als ‘structureel oplossen’.
Waarom dit zo hardnekkig blijft
Een deel van de verklaring zit in de hoeveelheid documenten. Gemeenten publiceren stapels stukken: vergunningen, bijlagen, scans, e-mailwisselingen, tekeningen en reacties van bewoners. Persoonsgegevens kunnen overal verstopt zitten, zelfs in handtekeningen of in bijlagen die iemand meestuurt.
Daarnaast zijn veel documenten scans of samengestelde pdf’s. Automatisch anonimiseren werkt dan niet altijd goed, en handmatig controleren kost tijd. En als er onder tijdsdruk wordt gewerkt, is de kans groter dat een extra check wordt overgeslagen.
Wat dit kan betekenen voor inwoners
Voor inwoners kan dit heel vervelend uitpakken. Met adres- en contactgegevens kan iemand worden lastiggevallen. En met een bsn of paspoortnummer wordt het risico op identiteitsfraude of misbruik simpelweg groter, omdat zulke nummers een sleutel kunnen zijn tot allerlei vormen van verificatie.
Zelfs als er geen zichtbaar misbruik is, blijft het gevoel knagen: wie heeft het gezien, hoe lang stond het online, en is het ergens opgeslagen? Dat verlies van controle is vaak precies wat dit soort incidenten zo ingrijpend maakt.
LEES OOK:Heftig: politiehelikopter op zoek naar verdachten in Attractiepark Slagharen
Wat gemeenten nu moeten doen
Snel offline halen en melden is noodzakelijk, maar het is vooral schade beperken. De grotere vraag is hoe je voorkomt dat dezelfde fout volgende maand weer opduikt. Dat vraagt om betere tooling voor anonimisering, strengere publicatiechecks en duidelijke werkafspraken.
Ook helpt het als gemeenten helder communiceren: wat is er gebeurd, welke gegevens waren zichtbaar en wat kunnen betrokkenen doen? Dat neemt niet alle onrust weg, maar het kan wel laten zien dat het probleem serieus wordt aangepakt.
Praat mee
Dit soort berichten roept bij veel mensen dezelfde vraag op: hoe kan iets dat al jaren bekend is, toch telkens opnieuw gebeuren? En wat moet er als eerste anders: techniek, controle, of gewoon meer tijd en aandacht bij het publiceren?
Heb jij ooit persoonsgegevens zien staan in openbare gemeentelijke documenten, of maak je je zorgen over wat er online rondzwerft? Laat het ons weten via onze sociale media en deel vooral wat jij vindt dat gemeenten nu het snelst moeten verbeteren.
Bron: nieuwsforum.nl
