Privégegevens van miljoenen mensen die klant bij het UWV zijn of waren zijn door duizenden ambtenaren eenvoudig in te zien. Het Sonar-systeem waar het UWV deze gegevens in bijhoudt voldoet op dit moment niet aan de AVG, zo stelt KPMG dat onderzoek hiernaar deed (pdf).

Daardoor zijn naam, adres, bsn, nationaliteit, geboortedatum maar ook allerlei zaken over de reden voor een uitkering voor duizenden ambtenaren toegankelijk. Sonar is een klantregistratiesysteem waar ruim 16.000 personen gebruik van maken voor de matching van klanten en potentiële werkgevers. Het gaat om adviseurs van het UWV en een deel van de adviseurs van de gemeenten en SW-bedrijven.

Sonar is gekoppeld aan verschillende andere systemen die ondersteunen bij de arbeidsbemiddeling, zoals werk.nl, waar werkzoekenden en werkgevers elkaar kunnen vinden. "Op basis van ons onderzoek stellen wij vast dat Sonar op dit moment niet voldoet aan de privacy-beginselen toegang, rechtmatigheid, dataminimalisatie, doelbinding en opslagbeperking en daarmee niet voldoet aan de eisen vanuit de AVG", aldus KPMG.

Security.NL berichtte in oktober al dat het systeem vanwege de privacyproblemen na 2025 wordt vervangen. Trouw komt vandaag met het nieuws dat gegevens van ruim 3,1 miljoen voormalige UWV-klanten en één miljoen uitkeringsgerechtigden door gebruikers van Sonar zijn op te vragen.

"Het gebrek aan inzicht en bewuste keuzes met betrekking tot de koppeling van bedrijfsmatige functie naar de persoonsgegevens die benaderd kunnen worden hebben ertoe geleid dat vrijwel alle gebruikers in de praktijk toegang tot vrijwel alle persoonsgegevens van klanten van het UWV WERKbedrijf, zonder dat daar in veel gevallen een aantoonbare noodzaak voor is", aldus de onderzoekers van KPMG, die adviseren om hier een einde aan te maken.

Naar aanleiding van de audit zijn verschillende maatregelen opgesteld die op de korte, middellange en lange termijn genomen zullen worden. De maatregelen voor de korte termijn worden hierbij versneld opgestart. Het gaat dan om het versneld invoeren van een systeem voor het automatisch loggen en monitoren, het resetten van wachtwoorden en het wijzen van medewerkers op het belang van privacy.

De reset van de wachtwoorden is afgelopen november afgerond. De andere kortetermijnmaatregelen, invoering van het systeem van logging en monitoring, het opschonen van het systeem door persoonsgegevens te verwijderen waarvoor de bewaartermijnen verstreken zijn, en maatregelen ter bevordering van het internaliseren van het privacybelang bij medewerkers, worden in maart 2021 afgerond, liet minister Koolmees van Sociale Zaken vorige maand aan de Tweede Kamer weten.

Het aanscherpen en beter documenteren van autorisaties in Sonar, zodat gebruikers alleen toegang tot gegevens hebben die voor hun werkzaamheden noodzakelijk zijn, is een middellangetermijnmaatregel. Het documenteren van de huidige autorisaties moet in het eerste kwartaal van dit jaar zijn afgerond. Tenslotte wordt er een nieuw autorisatiemodel geïmplementeerd en de autorisaties technisch doorgevoerd. De implementatie hiervan moet eind 2022 gereed zijn.

Volgens Koolmees blijven er ook na het treffen van genoemde maatregelen 'restrisico's' over. "Dit is onvermijdelijk, gezien de technische beperkingen in Sonar. De restrisico's zijn pas verholpen, wanneer het systeem is uitgefaseerd en vervangen", aldus de minister, die eerder al aangaf dat dit na 2025 zal zijn.