Het systeem SONAR kent tekortkomingen op het gebied van informatiebeveiliging en privacy (IB&P).
UWV vindt de privacy van zijn klanten volgens de minister zeer belangrijk. SONAR is een essentieel systeem voor de dienstverlening aan werkzoekenden. Het is daarbij van belang dat gegevens breed beschikbaar zijn, zodat de arbeidsbemiddeling niet beperkt blijft tot de eigen regio. Dit was in 2005 ook een belangrijk uitgangspunt voor het ontwerp van SONAR.
Risico’s privacy
Waar de nadruk eerder juist lag op transparantie in het systeem, kwam er ook bij UWV steeds meer aandacht voor de risico’s voor privacy die hierbij kunnen ontstaan. UWV heeft daarom ook al eerder maatregelen genomen om de informatiebeveiliging en privacy van klanten beter te borgen. Denk aan de inperking van de autorisaties van gemeentelijke gebruikers van SONAR en de beperking van de mogelijkheden om gegevens uit het systeem te exporteren.
Ook heeft UWV zelf het initiatief genomen voor een extern onderzoek om de IB&P-risico’s van SONAR volledig in kaart te brengen. UWV neemt de bevindingen uit dit onderzoek zeer serieus en pakt de
aanbevelingen met prioriteit op.
Bevoegde medewerkers
Koolmees is van mening dat gegevens van burgers uitsluitend ingezien mogen worden door medewerkers die daartoe bevoegd zijn voor het uitvoeren van hun wettelijke taken. De gegevens in SONAR zijn toegankelijk voor geautoriseerde medewerkers en dat deze gegevens relevant zijn voor de belangrijk taak van UWV in de arbeidsbemiddeling.
De toegang tot gegevens is te breed ingericht, waardoor geautoriseerde gebruikers toegang hebben tot gegevens die mogelijk niet direct noodzakelijk zijn voor de uitvoering van hun specifieke taken. Dat moet worden opgelost.
UWV heeft een aanpak ontwikkeld om de IB&P-risico’s stap voor stap te verminderen. SONAR wordt zoveel mogelijk verbeterd en in fases volledig vervangen.
≥ 5 jaar inactief
Op korte termijn (eerste kwartaal 2021) verwijdert UWV de gegevens van voormalige klanten die al vijf jaar of langer ‘inactief’ zijn. Deze termijn hangt samen met de wettelijke bewaartermijn van vijf jaar en de Archiefwet waaraan UWV zich moet houden.
< 5 jaar inactief
Voor klanten die minder dan vijf jaar inactief zijn, is het – nog los van verplichtingen die volgen uit de Archiefwet – onwenselijk om de gegevens te verwijderen, omdat een deel van deze klanten regelmatig in- en uitstroomt als gevolg van korte dienstverbanden of tijdelijk werk. Deze klanten zouden dan telkens opnieuw al hun gegevens moeten doorgeven. UWV onderzoekt of het technisch mogelijk is om de gegevens van inactieve klanten (tijdelijk) onzichtbaar te maken.
Wie heeft wat gezien?
Door de technisch beperkte logging en monitoring op het systeem SONAR, kan niet achterhaald worden welke medewerkers op welk moment welke gegevens hebben ingezien. Daardoor kan het niet worden uitgesloten dat er ongeoorloofd gebruik is gemaakt van klantgegevens. Dit betekent dat medewerkers die geautoriseerd zijn voor het gebruik van SONAR mogelijk meer persoonsgegevens hebben verwerkt of hebben ingezien dan strikt noodzakelijk is voor de uitvoering van hun taken.
Veilige omgang met persoonsgegevens
Binnen UWV is veel aandacht voor veilige omgang met persoonsgegevens. De medewerkers van UWV volgen regelmatig integriteitstrainingen en hebben zich gecommitteerd aan een integriteitscode. UWV realiseert op korte termijn (eerste kwartaal 2021) verbeteringen in de systematiek van logging en monitoring, waarmee het wel mogelijk wordt om ongeoorloofd gebruik vast te stellen.
Verouderd systeem
De minister constateert dat de maatregelen die UWV eerder al had genomen onvoldoende zijn gebleken. UWV neemt de bevindingen uit het onderzoek zeer serieus en pakt de aanbevelingen met prioriteit op, aldus de bewindsman.
SONAR is verouderd en voldoet niet meer aan de eisen van deze tijd. Dat geldt zowel voor functionele eisen ter ondersteuning van de arbeidsbemiddeling, als voor eisen die gesteld worden in het kader
van informatiebeveiliging en privacy. Dat moet worden opgelost. Dat vindt zowel de minister als UWV.
Voldoen aan AVG
Wanneer voldoet SONAR wel aan de AVG?
Niet alle IB&P-kwetsbaarheden en tekortkomingen in relatie tot de AVG kunnen worden verholpen door verbetering van SONAR. Daarom wordt SONAR zoveel mogelijk verbeterd en in fases volledig vervangen. Met deze gefaseerde aanpak worden de IB&P-risico’s stap voor stap verminderd, waardoor er in de aanloop naar de volledige vervanging van SONAR al in toenemende mate wordt voldaan aan de
AVG.
Beantwoording Kamervragen over privacy van UWV klanten in SONAR
UWV verbetert privacy van systeem Sonar
Stand van uitvoering sociale zekerheid
