Het UWV heeft in de eerste tien maanden van vorig jaar 757 datalekken bij de Autoriteit Persoonsgegevens (AP) gemeld, waarvan drie datalekken met een grote impact. Deze datalekken waren het gevolg van een verstuurd Excel-bestand, een open database en verouderde adresgegevens. Dat laat de uitkeringsinstantie weten in de nieuwste editie van de Stand van de uitvoering sociale zekerheid. Veruit de meeste datalekken waar het UWV vorig jaar januari tot en met oktober mee te maken kreeg waren enkelvoudige datalekken. Het gaat dan bijvoorbeeld om brieven die naar een verkeerd adres worden bezorgd.

Drie datalekken hadden een grote impact en raakten veel meer mensen, aldus de uitkeringsinstantie. Gedurende een onbekende periode stond op het Intranet van het UWV per ongeluk een database met persoonsgegevens van 16.000 cliënten open, die voor alle medewerkers van de uitkeringsinstantie toegankelijk was. De database bevat onder andere bsn-nummer, adresgegevens, gegevens over ziekte, herstel en recht op WW. Het UWV kan niet met zekerheid zeggen of er sprake is geweest van onbevoegde inzage. Na ontdekking van de open database is de toegang beperkt tot de medewerkers die daartoe gerechtigd zijn. Het datalek is gemeld bij de AP.

Het tweede impactvolle datalek deed zich voor doordat UWV-systemen gebruikmaakten van verouderde adresgegevens. Tijdens een aantal dagen vorig juli zijn er uitnodigingsbrieven voor fysieke afspraken verstuurd. In deze brieven stonden gegevens zoals naam, geslacht, geboortedatum, leeftijd en mogelijk gezondheidsgegevens, die naar verkeerde adressen werden gestuurd. Het ging in totaal om 41 verkeerd geadresseerde brieven. Door een systeemwijziging wordt er weer gebruik gemaakt van actuele adresgegevens. Ook dit incident is gemeld bij de toezichthouder.

Het derde datalek met grote impact deed zich voor bij het versturen van een overzicht van UWV-medewerkers met een indicatie voor een banenafspraak. Door een menselijke fout werd het overzicht als Excel-bestand verstuurd, waardoor de onderliggende gegevens zichtbaar werden wanneer men doorklikte op de geaggregeerde informatie. Het gaat daarbij om gegevens zoals naam, geboortedata, adres, e-mail, intern personeelsnummer, afdelingsnummer, functiegroep, functienaam, naam van de manager, ingangsdatum contract, en voorziene einddatum, soort dienstverband, selectie op indicatie banenafspraak en adres werkplek. De spreadsheet bevatte de informatie van 513 medewerkers. De directe ontvangers zijn UWV-directeuren en hun secretariaat, die zijn verzocht de ontvangen mail te verwijderen. Het incident is gemeld bij de Autoriteit Persoonsgegevens.