Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 13 oktober 2016

In de procedurevergadering van de vaste commissie voor Sociale Zaken en Werkgelegenheid van 6 september 2016 is besloten drie feitelijke vragen te stellen over het ICT-project van UWV: één uniforme betaalomgeving, waarover ik u eerder informeerde (Kamerstuk 26 448, nr. 573). Voorts verzocht deze commissie mij op 29 september 2016 om een reactie te geven op de berichtgeving omtrent een datalek bij UWV in de regio Groningen. Met deze brief voldoe ik aan beide verzoeken.

Eén uniforme betaalomgeving

U stelde de volgende vragen:

• – Kunt u toelichten waarom niet nu al gestart wordt met het rationalisatietraject, zoals het BIT adviseert?

• – Hoe verhoudt het ICT-meerjarenplan dat na de zomer verwacht wordt zich tot het rationalisatieproject?

• – Op welke wijze worden de bestuurlijke afspraken over het uitgewerkte aanpak van het rationalisatieproject vastgelegd? Worden deze opgenomen in het UWV Informatieplan (UIP)?

UWV vereenvoudigt de uitkeringssystemen door alle betaalfunctionaliteit onder te brengen in één bestaande omgeving binnen UWV. Hiermee wordt een belangrijke eerste stap gezet in het rationalisatietraject, waardoor op termijn de uitkeringssystemen vervangen kunnen worden.

UWV heeft in het UWV Informatieplan uitgewerkt welke activiteiten en projecten het tot en met 2020 uitvoert. Het project één uniforme betaalomgeving is een onderdeel van het plan dat ik inmiddels aan u heb verstrekt (Kamerstuk 26 448, nr. 575). Het plan wordt jaarlijks herijkt.

Datalek Groningen

Wekelijks verstuurt UWV vestiging Werkbedrijf Groningen een vacatureflits aan klanten van UWV via de werkmap op werk.nl. Op 22 september 2016 voegde een medewerker van UWV een verkeerde bijlage toe, waardoor 473 geadresseerden een bericht in de werkmap ontvingen met gegevens van 11.062 klanten van UWV. De gegevens bestonden onder meer uit burgerservicenummer, e-mail adres, woongemeenten, achternaam en opleiding. Van de 473 geadresseerden hebben 26 geadresseerden het bericht in de werkmap geopend. Bij de overige geadresseerden heeft UWV het bericht voordat dit geopend is uit de werkmap verwijderd.

Naast het terugtrekken van het bestand uit de werkmap, heeft UWV alle klanten waarvan hun gegevens onterecht bij de 26 geadresseerden terecht gekomen zijn, geïnformeerd middels een bericht in de werkmap. Dit was de snelste manier om deze klanten te bereiken. Ook zijn de 26 geadresseerden die het bericht geopend hebben, gebeld om toe te lichten dat zij onterecht een bestand met persoonsgegevens van UWV klanten hebben ontvangen. Er is hen verzocht dit bestand niet te gebruiken of verder te verspreiden. Alle 26 geadresseerden hebben dit aan UWV toegezegd en hebben bevestigd dat het betreffende bestand is verwijderd. Voorts heeft UWV dit datalek gemeld bij de Autoriteit Persoonsgegevens.

Uiteraard betreuren UWV en ik deze gang van zaken. Persoonsgegevens van klanten van UWV mogen niet in verkeerde handen belanden. UWV heeft derhalve acties ondernomen om dit in de toekomst te voorkomen, en mij daarover het volgende gerapporteerd.

Allereerst heeft UWV het bestand met persoonsgegevens op zodanige wijze beveiligd en aangepast dat dit voor een buitenstaander niet meer te lezen is. Daarnaast wordt het bestand op een andere locatie opgeslagen, waardoor het niet meer onbedoeld meegestuurd kan worden. Deze werkwijze zal ook toegepast worden bij processen met andere bestanden met persoonsgegevens.

UWV verricht op dit moment onderzoek naar de structurele maatregelen die het kan nemen. Totdat deze maatregelen zijn genomen, geldt voor alle UWV vestigingen een verbod op het versturen van bulkberichten. Alleen onder strikte voorwaarden mag hiervan worden afgeweken. In dat geval wordt bij verzending van dit soort berichten altijd het vier ogen principe toegepast.

De Minister van Sociale Zaken en Werkgelegenheid, L.F. Asscher