De gemeente Schiermonnikoog heeft fouten gemaakt in de verwerking van persoonsgegevens van inwoners en eigenaren van een recreatiewoning, zo laat het college van b&w laten weten na een evaluatie van het datalek bij afvalbedrijf Omrin (pdf). De afvalverwerker werd vorig jaar getroffen door een ransomware-aanval waarbij ook een bestand werd gestolen met bsn-nummers. De data werd vervolgens op internet gepubliceerd.

De burgemeester van Schiermonnikoog liet eerder al weten dat de gemeente met Omrin een bestand had gedeeld dat te veel informatie bevatte. Het bestand was bedoeld om mensen te informeren over nieuwe tags voor de ondergrondse containers op het eiland. Omrin had daarvoor namen en adressen nodig. Het bestand bevatte echter ook de burgerservicenummers van iedere individuele bewoner.

"Dit had nooit mogen gebeuren”, stelde de burgemeester eind vorig jaar. "Het is gewoon supervervelend. Maar dat de gegevens zijn gedeeld is niet zo erg, het is pas erg als iemand er misbruik van maakt." Omrin liet in een reactie weten dat er destijds contact is geweest met de gemeente en het bestand is aangepast. "Maar we balen dat het nog op de gehackte schijf stond", aldus een verklaring van het afvalbedrijf.

Schiermonnikoog liet een evaluatie naar het datalek uitvoeren. "Er zijn op drie plekken handelingen verricht die niet hadden gemoeten. Data aanleveren met overbodige persoonsgegevens, doorsturen van de data zonder check, en het opslaan van data door een andere partij", aldus het college van b&w in een brief aan de gemeenteraad.

Daarnaast zijn er verschillende maatregelen door de gemeente aangekondigd. Het gaat onder andere om het implementeren van het privacybeleid, ontwikkelen van een informatiebeheerplan, het verwijderen van onnodige gegevens, opstellen van DPIA's, opstellen van verwerkersovereenkomsten, werken met een datalekprocedure, AVG-checks, datacontroles en interne bewustwordingscampagnes en trainingen.

Tegenover Dagblad van het Noorden bevestigt de gemeente dat er geen integraal vastgesteld privacybeleid was. "Maar we zijn wel allerlei maatregelen aan het treffen. Het is ook niet zo dat we niks aan privacygevoelige informatiebescherming doen. Dat doen we al sinds jaar en dag", aldus een gemeentesecretaris. Die voegt toe dat ze graag had gehad dat er eerder beleid voor privacy was opgesteld.