Door een datalek bij het ministerie van Justitie en Veiligheid zijn de persoonsgegevens van 65.000 ambtenaren onterecht terechtgekomen bij twee andere overheidsorganisaties. Dat heeft minister Grapperhaus van Justitie en Veiligheid in een brief aan de Tweede Kamer laten weten.

Het datalek werd veroorzaakt door een voormalige externe medewerker bij het ministerie die tegen de regels in een analysetool kopieerde van de omgeving van Justitie en Veiligheid naar een eigen werkomgeving en vervolgens naar twee andere overheidsomgevingen. Deze medewerker voerde bij het ministerie kwaliteitscontroles uit op toegangsdiensten, zoals de Rijkspas.

Bij het kopiëren van de tool zijn ook de daaraan gekoppelde data gekopieerd. Het gaat om persoonsgegevens van zo'n 65.000 ambtenaren, waarvan een klein deel niet bij Justitie en Veiligheid werkzaam is. Het datalek bevat persoonsgegevens zoals naam, organisatie, soort dienstverband, ID/paspoortnummer, Rijkspasnummer, e-mailadres, geboorteplaats en –datum, geslacht en nationaliteit. Het datalek bevat geen privéadressen, telefoonnummers of wachtwoorden.

"Op dit moment heb ik geen indicatie dat deze data door onbevoegden zijn ingezien of gebruikt. Het onderzoek dat hierover uitsluitsel moet geven, is nog niet afgerond. De betreffende data zijn na ontdekking verwijderd dan wel onbruikbaar gemaakt bij de twee overheidsorganisaties en bij de betreffende medewerker. Ik betreur het incident zeer en neem dit hoog op", laat Grapperhaus weten.

Het datalek bij het ministerie werd ontdekt door koepelorganisatie GGD GHOR, doordat zij de gekopieerde data tijdens een routinecontrole op het netwerk, waar het naartoe was gekopieerd, aantroffen. Dit werd vervolgens aan het ministerie gemeld. Daarna werd de data ook aangetroffen bij het Openbaar Ministerie en bij de eigen werkomgeving van betrokkene. Na ontdekking van het datalek is dit gemeld bij de Autoriteit Persoonsgegevens en zijn er drie onderzoeken gestart.

Grapperhaus stelt dat het op het ministerie nadrukkelijk verboden is om vertrouwelijke of privacygevoelige informatie op onveilige apparatuur te verwerken, zoals op privémiddelen. "Deze informatie moet altijd met grote zorgvuldigheid worden behandeld en die zorgvuldigheid is hier met voeten getreden." De Accountantsdienst Rijk (ADR) doet nu een audit naar het incident om verbetermaatregelen voor te stellen.

Tevens is er een extern bedrijf ingeschakeld om een forensisch onderzoek uit te voeren. Daarmee moet worden bepaald of meer personen buiten Justitie en Veiligheid toegang hebben gehad tot het gegevensbestand. Verder doet de Dienst Justitiële Inrichtingen (DJI) onderzoek naar de feitelijke handelingen rond dit incident op de werkvloer. Afsluitend laat de minister weten dat alle personen die in het datalek voorkomen zijn geïnformeerd.