Gemeente Oldambt overtreedt Algemene Verordening Gegevensbescherming. Persoonsgegevens vergunningaanvrager gepubliceerd

De Oost-Groninger gemeente Oldambt heeft geblunderd bij de publicatie van de aanvraag van een vergunning. Daarbij werden privacygevoelige gegevens als e-mailadres, mobiel nummer en zelfs het burgerservicenummer (BSN) op de site van de gemeente gepubliceerd, meldt RTV Noord. De gemeente heeft de Algemene Verordening Gegevensbescherming (AVG) overtreden.
De gegevens zijn intussen van de site verwijderd.

De aanvrager van de vergunning is volgens RTV Noord ‘oprecht heel erg boos’ op de gemeente Oldambt. “Dit biedt zoveel mogelijkheden tot fraude, het gaat mij echt een stap te ver”, laat hij weten.
Met name de publicatie van de BSN-gegevens kan grote gevolgen hebben. Het Burger Service Nummer van de vergunningaanvrager kan nu door kwaadwillenden misbruikt worden voor identiteitsfraude bij officiele instanties.

Menselijke fout

Wethouder Laura Broekhuizen van de gemeente Oldambt heeft met de aanvrager gebeld en namens de gemeente haar excuses aangeboden.

Volgens de gemeente Oldambt is zijn de persoonsgegevens online gekomen door een menselijke fout. “Ons aanvraagsysteem werkt met twee versies van een document. Het ene bevat alle gegevens, het andere alleen de gegevens die wij publiceren. Een medewerker heeft per ongeluk het verkeerde document geplaatst.”

De gemeente Oldambt onderzoekt hoe voorkomen kan worden dat medewerkers nogmaals dezelfde fout maken. “Wij willen ook met buurgemeenten in gesprek om te vragen wat zij wel en niet doen. Aan de ene kant wil je transparant zijn, aan de andere kant wil je de gegevens beschermen”, aldus de gemeente.

Oldambt gaat ook uitzoeken of de fout als een datalek moet worden gezien. Zo ja, dan moet de gemeente dat doorgeven aan de Autoriteit Persoonsgegevens.

Bij een datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie zonder dat dit de bedoeling is van deze organisatie.

Volgens de AVG zijn organisaties verplicht om binnen 72 uur nadat een ernstig datalek is ontdekt hiervan melding te doen bij de AP. Ernstig duidt niet op de omvang van het datalek, maar op de impact die het lek kan hebben voor de betroffenen. In Oldambt betreft het slechts één slachtoffer, maar gelet op de risico’s van identiteitsfraude met het gelekte BSN-nummer is het lek wel ernstig.