Persoonsgegevens van 18.000 inburgeraars met buitenlands diploma zijn gelekt

De persoonsgegevens van achttienduizend inburgeraars die in Nederland via de overheid een diplomawaardering lieten uitvoeren, zijn gelekt. De overheid stuurde deze gegevens naar een Servisch kantoor, die door een fout in een script niet zijn geanonimiseerd.

Het ministerie van Sociale Zaken en Werkgelegenheid stuurde de aanvragen van de inburgeraars naar de Servische vestiging van een onbenoemd Nederlands bedrijf. Omdat Servië geen lid is van de Europese Unie, hadden deze gegevens wettelijk gezien geanonimiseerd moeten worden. Overheidsorgaan Nuffic had een verwerkersovereenkomst met het Nederlandse bedrijf afgesloten, waarbij het bedrijf de gegevens met een script zou anonimiseren. Dit script blijkt volgens een Kamerbrief 'niet goed' te hebben gewerkt.

Welke gegevens er precies zijn gelekt, is niet duidelijk. Het ministerie zegt dat er nu wordt onderzocht waarom het script niet werkte. Circa zestig testers en ontwikkelaars hadden toegang tot de gegevens. Deze medewerkers hebben een geheimhoudingsverklaring ondertekend. Er zijn nog geen aanwijzingen dat de gegevens worden misbruikt, al kan het ministerie niet uitsluiten dat dit in de toekomst zal veranderen.

De scriptfout werd ontdekt door een nieuwe leverancier die het diplomawaarderingssysteem gaat overnemen. Het gaat om achttienduizend mensen die sinds 1 februari 2017 een diplomawaardering hebben aangevraagd. Nuffic heeft de Autoriteit Persoonsgegevens en DUO ingelicht over het datalek. Zowel de huidige als de nieuwe leverancier hebben de gegevens inmiddels verwijderd.

Inburgeraars kunnen met een diplomawaardering nagaan wat hun buitenlandse diploma waard is in Nederland. Het ministerie informeert betrokkenen per mail in het Nederlands en Engels. Daarnaast worden er vertalingen aangeboden in het Arabisch, Frans en Farsi en wordt er een telefonische helpdesk ingericht.

Reacties (61)

[MedionAkoya]

Ben je benieuwd of je jouw informatie hierbij betrokken was? Alle betrokkenen krijgen persoonlijk bericht. Wil je meer informatie? Dan kun je bellen naar [phone] of een e-mail sturen naar [e-mail].

https://www.nuffic.nl/nieuws/statement-datalek-idw

[Reactie gewijzigd door MedionAkoya op 24 juli 2024 02:17]

[R4gnax]

Ben je benieuwd of

Dus Nuffic gebruikt serieus de verwoording "benieuwd" en niet "bezorgd"?
Wow. Dat getuigt dan weer van een sterk staaltje gebrek aan inlevingsvermogen vanuit de (semi-)overheid.

[Reactie gewijzigd door R4gnax op 24 juli 2024 02:17]

[MedionAkoya]

Hier gaat men verder op in.

Voor onze computersystemen werken wij samen met een computerbedrijf. Medewerkers van dit computerbedrijf konden informatie over onze klanten zien. Dit mag niet.

https://idw.nl/nl/privacy.html

De url zelf, is wel heel erg algemeen geschreven, ".../nl/privacy".

[Reactie gewijzigd door MedionAkoya op 24 juli 2024 02:17]

[Webgnome]

Nee dat heet marketing. Hierdoor lijkt het minder erg dan dat het in potentie is en hoopt men de schade te beperken.

[Craften]

De PR schade natuurlijk, niet de daadwerkelijke schade. (niet dat jij dat bedoelde, ik wilde het alleen even nadrukkelijk zeggen)

[wankel]

Bedankt voor de link!

Tot ... ergens in 2007?.. stond er een bronvermelding in de header van het artikel, maar op een gegeven moment zijn vrijwel alle outlinks in artikelen vervangen door interne links. Ik ben er nog altijd overstuur van.

[Bux666]

De tekst op de gelinkte site is ondertussen aangepast naar:

Wil je weten of jouw informatie hierbij betrokken was? Alle betrokkenen krijgen persoonlijk bericht. Wil je meer informatie? Dan kun je bellen naar [phone] of een e-mail sturen naar [e-mail].

[Hertog_Martin]

Redelijk storm in een glas water toch?
Zo bijzonder lijkt het mij niet dat een IT partner bij data kan? Als die ook nog eens geheimhoudingsverklaring hebben getekend dan is er niet echt sprake van een lek toch? Bovendien zijn de gegevens vrij basic en niet heel gevoelig.

[GertMenkel]

Dit is een overtreding van de AVG omdat Servië geen EU-land is en de privacybescherming daar wettelijk niet even sterk geregeld is als in Nederland. Dat maakt het automatisch een datalek, ook al liggen de gegevens niet direct op straat.

Dat de IT-partner er niet bij zou moeten kunnen is nogal wiedes, anders was het geen datalek geweest. Ze mochten toegang tot geanonimiseerde data, dat staat in de verwerkingsovereenkomst, de niet-geanonimiseerde data mochten te niet hebben.

Ik kan niet zo snel terugvinden welke informatie er precies gelekt is. Als het puur om een scan van een diploma gaat valt de impact nog mee (naam en studie zijn persoonsgegevens maar niet zeer gevoelig) maar ik kan me voorstellen dat bij de aanvraag ook nog wel een adres, telefoonnummer en eventueel zelfs rekeningnummer zijn ingevuld. Het opgeleverde document dat uit het systeem komt rollen bevat sowieso naam en geboortedatum, daar wordt het al meteen iets persoonlijker door. Als die aanvraag dan weer mee werd gestuurd, heb je wel degelijk een probleem, dan ben je al behoorlijk ver qua gegevens die nodig zijn om SIM-swapping uit te voeren tegen iemand met een leuke Bitcoinverzameling en meer geld dan kennis over goede 2FA.

Hoewel het niet duidelijk is welke gegevens er daadwerkelijk naar Servië verstuurd zijn, wordt volgende de website van het IDW de volgende persoonsinformatie verwerkt:

• Voornamen en achternaam
• Geslacht
• Geboortedatum
• E-mailadres
• Telefoonnummer
• Bankrekeningnummer (indien van toepassing)
• Inloggegevens
• Informatie met betrekking tot de waardering van diploma’s
• Informatie met betrekking tot afgeronde opleiding(en)
• Kopie van diploma en cijferlijst of lijst van vakgebieden en mogelijke vertalingen
• Kopie van kennisgeving van verplichte naturalisatie (indien van toepassing)
• BSN (burgerservicenummer) (indien van toepassing)
• Kopie van identiteitsbewijs

Dat is nogal een lijst. BSN en kopie ID zijn hier het opvallendst, maar met een naam + rekeningnummer is ook goed te cashen.

Waarom we in godsnaam dit soort documenten naar Servië moeten sturen is mij een raadsel, het zal zo wel heel goedkoop zijn denk ik.

[6Pac]

Dus een Nederlands bedrijf, die diplomawaarderingsaanvragen voor inburgeraars verwerkt, heeft de data onbeveiligd naar hun kantoor in Servië gestuurd?
Is toch niets aan de hand - gewoon intern verkeer, toch?

[david-v]

Ik vind dit verhaal ook een beetje overtrokken. We spreken niet van een datalek zoals bij de GGD waar kwaadwillenden persoonlijke gegevens buit hebben gemaakt. Het gaat hier om data die niet volgens de regels is gedeeld met een partner in een land buiten de EU, waarvan de werknemers ook nog eens een geheimhoudingsverklaring hebben ondertekent.

Ja het is niet volgens de regels en dus moet het gemeld worden. Beter dit dan dat het helemaal niet gemeld wordt zoals vroeger het geval was. Dit is een stuk transparanter voor iedereen, maar de paniek van sommigen hier op het forum is redelijk overtrokken (mijn persoonlijke mening )

[Cio]

Als je het misbruik van data zoals bij de GGD wil voorkomen, moet je eerst zorgen dat de data niet lekt.

Het is strafbaar om onder invloed te rijden, niet alleen om onder invloed een ongeluk te veroorzaken.

[david-v]

Mee eens, maar sommigen doen het nu voorkomen alsof de data te grabbel ligt op het dark web en dat is niet zo. Dat de data buiten de EU verwerkt is en niet volgens de regels geanonimiseerd is betekent niet direct dat de data misbruikt kan/gaat worden.

[EmbeddedPower]

Het probleem lijkt mij dat het naar een land buiten de EU verzonden wordt, om daar verder verwerkt te worden. Dan ben je vrij snel het zicht kwijt over wat er met de data gebeurd.

Maar de basis-vraag: waarom kunnen we de data niet gewoon lokaal binnen de organisatie houden. Wellicht is de verwerking dan iets duurder, maar dat hebben we er wel voor over, toch?

[Kiswum]

Omdat Servië geen lid is van de Europese Unie, hadden deze gegevens wettelijk gezien geanonimiseerd moeten worden.

Dus het had wel direct doorgestuurd mogen worden naar Spanje, Tsjechië en buurland Kroatië? Ik vind eigenlijk dat zoiets ook niet moet kunnen.

[david-v]

Je mag wel de mening hebben dat je die data niet zomaar naar andere eu landen mag sturen, maar het mag wel en wordt continu gedaan door allerlei organisaties. Datacenters in Duitsland, Frankrijk, Spanje, Italië enz die gegevens verwerken van Nederlandse burgers is een vrij normale activiteit. Ga maar bijvoorbeeld na hoeveel Nederlandse bedrijven hun applicaties hosten bij AWS , nou, dat is echt niet in Nederland gehost want hier heb je geen AWS regio, alleen een point of presence in Amsterdam.

[Maurits van Baerle]

Ja, want in Spanje, Tsjechie of Kroatie gelden EU normen voor de bescherming van persoonlijke data én zijn er wegen om overtredingen te bestraffen. Met landen buiten de EU is het maar de vraag of het enigszins vergelijkbaar is.

[R4gnax]

Ja, want in Spanje, Tsjechie of Kroatie gelden EU normen voor de bescherming van persoonlijke data én zijn er wegen om overtredingen te bestraffen. Met landen buiten de EU is het maar de vraag of het enigszins vergelijkbaar is.

Uit de details die op de site van Nuffic staan is op te maken dat het hier gaat om een set productie-gegevens die per abuis niet-geanonimiseerd open gestaan heeft op een test-omgeving. Het bulk-gebruik van echte gegevens voor test-doeleinden is sowieso niet te vereenzelvigen met de data-minimalisatie principes van de AVG/GDPR en ook binnen de EU zou dit op z'n minst een gotspe geweest zijn.

[Reactie gewijzigd door R4gnax op 24 juli 2024 02:17]

[Cio]

Niet direct, maar dan was de GDPR van toepassing geweest en was het mogelijk wel toegestaan. Nu per definitie niet, want de gemaakte afspraken zijn in Servië niet van toepassing.

[SuperSiggy]

Om ook een positieve kijk te hebben, het lijkt er op dat de meldingsbereidheid enorm is toegenomen. Dat is een goed begin, bewustzijn bij medewerkers begint duidelijk toe te nemen. Overigens helpt het continue nawijzen en veroordelen van instanties die dit openlijk melden helpt natuurlijk niet mee 🙄. Fouten maken is menselijk, fouten toegeven blijft voor velen een lastiger iets...

[supersnathan94]

Ja, maar aan de andere kant, Door een leverancier die de boel over zou nemen. Die ziet ze al aankomen. Straks is hij de lul omdat het niet klopte.

[HakanX]

Nalatigheid wil ik niet echt een fout noemen. Het is gewoon een bewuste keuze om het goedkoop te doen.
De bereidheid om te melden heb ik ook door ja, ene kant positief, andere kan erg veel valt er over mij niet meer te lekken 😅 in ieder geval moet geen enkel partij telefonisch nog NAW gegevens als ID controle accepteren, ik kan ze niet wijzigen.

[Reactie gewijzigd door HakanX op 24 juli 2024 02:17]

[emphy]

Is het tegenwoordig niet een wettelijke plicht om zo een lek te melden?

[laptopleon]

Als we echt iets willen doen aan datalekken en vooral de daaruit voortvloeiende problemen zoals identiteitsdiefstal en andere vormen van fraude, zal er toch iets meer moeten gebeuren dan alleen melden.

Melden op zich helpt weinig. Het is pas de eerste stap in een proces. Daarna komt bewustwording en analyse en kun je hopelijk betere maatregelen bedenken en nemen, mede doordat de betrokkenen met hun neus op de feiten gedrukt zijn.

Ik mis bij dit soort berichten wat de consequenties zijn voor het lekkende bedrijf, behalve een besmeurde naam.

Het zijn vaak overheden en dan heb je weinig andere keus want je hebt nou eenmaal de gemeente nodig dus concurrentie en tc werkt dan niet.

Stel dat criminelen een alle benodigde data in handen krijgen om op jouw naam een lening af te sluiten, dan ben je heel veel tijd kwijt om dat weer recht te breien. Betrokken instanties ook. Een adviseur die je nodig hebt. Wie betaalt de rente/schade?

[Groningerkoek]

Er is dus ook 4 jaar lang geen audit uitgevoerd op de verwerking van deze persoonlijke gegevens door derden.

[kodak]

Dat hoeft niet. Het kan ook zijn dat gegevens over een periode van 4 jaar onlangs een keer niet goed verwerkt zijn terwijl het eerder wel goed ging.

[Groningerkoek]

Uit de kamerbrief:

"Het betreft alle persoonsgegevens van diplomawaardering voor inburgeraars sinds de start van de applicatie op 1 februari 2017. Dit zijn circa 18.000 personen. De persoonsgegevens hebben sinds 11 augustus 2020 in de testomgeving gestaan."

Conclusie: Vanaf dag 1 gingen die gegevens zonder encryptie de EU uit en hier is vanuit onze overheid nooit op gecontroleerd. Als er geen nieuwe leverancier was gekomen die dit had gemeld had dit nog vele jaren door kunnen gaan.

[Reactie gewijzigd door Groningerkoek op 24 juli 2024 02:17]

[kodak]

Het noemen om welke gegevens het gaat is niet hetzelfde als noemen sinds wanneer iets een probleem is. Ja, het kan sinds dat moment fout zijn geweest maar dat hoeft dus niet. Het kan net zo goed zijn dat er bij het selecteren en gebruiken voor de testomgeving het mis is gegaan, dat is dan sinds 11 augustus 2020 omdat er niet bij staat waar de gegevens daarvoor vandaan kwamen. Testen doe je niet perse met gegevens die je als verwerkt hebt, maar bijvoorbeeld met originele gegevens van de klant omdat ze het anonimiseren wil testen. Al mag er hoe dan ook wel afgevraagd worden of voor het testen echte gegevens gebruikt worden, ongeacht waar die vandaan komen.

[Reactie gewijzigd door kodak op 24 juli 2024 02:17]

[Groningerkoek]

Dit:

"Het ministerie van Sociale Zaken en Werkgelegenheid stuurde de aanvragen van de inburgeraars naar de Servische vestiging van een onbenoemd Nederlands bedrijf."

Gaf mij het idee dat de aanvragen in Servië werden behandeld, maar dat is inderdaad niet het geval.

[Cio]

De papieren werkelijkheid was 'geanonimiseerd via script', dus het zou me niet verbazen als audittechnisch alles op orde leek.

Steekproef was handig geweest natuurlijk.

[Polydeukes]

Even los van het drama van het lekken van de persoonsgegevens,
maar de drang naar goedkope arbeidskrachten begint nu redelijk extreme vormen aan te nemen. Hebben we binnen Nederland of zelfs binnen de EU echt niemand die dit werk tegen acceptabele tarieven kan en wil uitvoeren?

Edit: ik doel op het het gebruik maken van arbeidskrachten uit Servië voor het valideren van de diploma's.

[Reactie gewijzigd door Polydeukes op 24 juli 2024 02:17]

[Blokker_1999]

Er kunnen meerdere redenen zijn waarom iemand van buiten de EU zijn of haar diploma wenst te laten waarderen. Denk bijvoorbeeld aan vluchtelingen (nee, dat zijn echt niet allemaal mensen zonder opleiding) of gewoon mensen die eens een tijdje in een ander deel van de wereld wat levenservaring willen gaan opdoen.

Jij hebt dat recht ook. Er zijn vele landen waar jij naartoe kunt trekken om er een baan op te nemen. Het ene land al watr eenvoudiger dan het andere.

[cariolive23]

Volgens mij reageer je op iets anders dan wat @Polydeukes bedoelt. Volgens mij doelt hij op het feit dat het verwerken van de diploma validatie wordt uitbesteed aan een bedrijf/filiaal in Servië. En dat was ook het eerste dat mij opviel, want waarom zou je werk dat door en voor de (NL) overheid wordt gedaan, uitbesteden aan een organisatie van buiten de EU? Zelfs als het daar gratis wordt gedaan, zou je dit nog niet moeten willen!

Daarnaast zijn er nog genoeg werklozen in de EU die graag een baan willen hebben en dit werk met plezier zouden doen. Zou weer een paar uitkeringen schelen.

[Polydeukes]

Inderdaad, dat bedoel ik. Ik was niet duidelijk

[Polydeukes]

Ik was niet duidelijk. Het gaat mij om het gebruik maken van arbeidskrachten uit Servië, niet wat jij bedoelt.

[The Zep Man]

Jawel, maar dan moet je het wettelijk afdwingen. Als een overheid gedwongen wordt om een partij binnen de EU te gebruiken, dan staat er vanzelf een partij binnen de EU op om het werk (tegen een gepast prijs) te doen (in samenwerking met het betreffende land, indien nodig).

[Reactie gewijzigd door The Zep Man op 24 juli 2024 02:17]

[emphy]

Ik vind het eigenlijk al opmerkelijk dat het valideren van diploma's is uitbesteed.

[Webgnome]

Je hebt het probleem dat men wel wil werken maar niet voor de tarieven waar de goedkopere arbeidskrachten voor willen werken. Die kunnen en willen dat omdat onze tarieven in vergelijking met het standaard inkomen in land van herkomst echt hoog is. Dat is in dit land niet. Het enige dat helpt is om een nieuwe waardering voor werk op te zetten maar goed daar wordt niemand blij van..

[kodak]

Waarop baseer je dat dit lek zou komen door goedkope arbeidskracht? Dat werk buiten Nederland plaats heeft, of zelfs buiten de EU heeft lang niet altijd met kosten te maken. Er spelen ook andere eisen of wensen mee zoals dat iets binnen een bepaalde tijd uitgevoerd moet worden of dat er al iets bestond.

[Polydeukes]

Waar zeg ik dat? Ik vind het enkel en alleen opmerkelijk dat we dit soort werk uitbesteden, buiten Nederland, zelfs buiten de EU. Ik zeg niets over een verband tussen deze Serviërs en het lek.

[Zhou]

Typisch Nederland. Het moet zo goedkoop mogelijk. Heel jammer dat we Nuffic niet aan kunnen klagen als eindverantwoordelijk.

[The Zep Man]

Heel jammer dat we Nuffic niet aan kunnen klagen als eindverantwoordelijk.

Nuffic is dan ook niet de eindverantwoordelijke. Dat is het ministerie van Sociale Zaken en Werkgelegenheid. Geen van de inburgeraars heeft ooit maar contact gehad met Nuffic of daar een opdracht uitgezet. Zij hadden contact met het ministerie.

Het is hetzelfde als dat je een computer koopt in de winkel. De winkel blijft verantwoordelijk voor de wettelijk verplichte garantie.

Er is een simpele oplossing: wettelijke garantie. Laat per datalek de betreffende organisatie geld storten in een fonds dat slachtoffers van identiteitsfraude ontzorgt. Pas als het duurder wordt om data te lekken ten opzichte van het te beveiligen, zal men het beter gaan beveiligen.

[Reactie gewijzigd door The Zep Man op 24 juli 2024 02:17]

[kodak]

In het artikel staat niets over kosten. Dan kan je daar wel over gaan speculeren maar hoe is dat relevant of zelfs geen bashen over een bedrijf door maar wat te beweren?

[Colin013]

De overheidsdiensten zijn echt zo lek als een mandje volgens mij.

[Frituurman]

Dit is in principe een probleem die bij de leverancier ligt natuurlijk, betreft geen overheidssysteem, al gaat OCW via Nuffic hierdoor hard onderuit. Overigens vind ik het best wel elementair dat bij een gespecialiseerd bedrijf het anonimiseren fout gaat. Los daarvan, het 'lek' is dat 60 testers (met geheimhoudingsplicht) productiedata in hebben gezien (zonder dat zij het op dat moment wisten).

[Reactie gewijzigd door Frituurman op 24 juli 2024 02:17]

[Xieoxer]

Persoonlijk een beetje kort door de bocht. Als je na gaat hoe groot en complex onze westerse overheid is. Onze overheid bestaat uit verschillende lagen en partijeen. Sommige van deze partijen zijn "stichtingen" met een speciale status zoals GGD en CBR. Al deze partijeen moeten met elkaar praten en data met elkaar wisselen. Elk partij of laag heeft zijn eigen systeem weer. Er bestaat niet 1 systeem dat werkt voor alle partijen. De overheid heeft gesproken dat onze BSN nummer onze algemene ID is voor communicatie tussen deze systemen. Dit nummer is uniek en gekoppeld aan 1 persoon.

Zelfs als iemand uit het buitenland hier komt wonen en zicht aanmeld bij de gemeente, dan wordt er een unieke nummer aangemaakt (BSN). Zonder dit nummer kan deze persoon ook niet een zorgverzekering afsluiten, wat wettelijk verplicht is in Nederland. Gemeentes informeren automatisch zorgverzekeraars als je inschrijft / verhuist naar nieuwe gemeente.

Als je dit verhaal zo leest, is het een spinnenweb van verschillende systemen. Elk systeem wordt weer door een eigen orgaan onderhouden, die weer tevens eigen leveranciers heeft voor hun systemen. Tevens veranderd onze stelsel regelmatig en worden er nieuwe wetten aangenomen of opgegeven. Hierdoor moeten systemen continu worden bijgewerkt en wordt het bestaande systeem alleen maar complexer.

Een goed voorbeeld hiervan is dat de belastingdienst de BTW nummer voor ZPP'ers opnieuw moet aanmaken, dat niet het zelfde is als hun BSN nummer. Maar intern luisteren heel veel systemen van de belastingdienst nog naar BSN nummers voor ZZP'ers. De belastingdienst denkt nog jaren nog te hebben om over te stappen naar het nieuwe BTW nummer dat niet gekoppeld is aan een BSN.

[Reactie gewijzigd door Xieoxer op 24 juli 2024 02:17]

[Anoniem: 674295]

Dus te meer reden dat overheden de zaakjes op orde moeten hebben kwa ICT, de complexiteit hiervan is geen excuus.

[wankel]

Dus te meer reden dat overheden de zaakjes op orde moeten hebben kwa ICT, de complexiteit hiervan is geen excuus.

Misschien geen excuus, wel een reden. Er werken veel te weinig mensen in de ICT om alles op te pakken, en we betalen te weinig belasting om de mensen die in de ICT werken, dan op z'n minst bij overheden en stichtingen te laten werken.

[Webgnome]

Daar is ie weer.

De overheid heeft het altijd gedaan...

[Raphaelo]

https://www.security.nl/p...peerden+aardbevingsschade

En het gaat maar door.

Ben je al gedupeerd door de aardbevingen, de schade en de beroerde afhandeling, worden ook nog eens je persoonsgegevens gelekt.

[Reactie gewijzigd door Raphaelo op 24 juli 2024 02:17]

[Anoniem: 1269758]

Waarom kunnen we niks in ons eigen land houden, alleen persoongegevens ophalen uit andere landen als ze hier komen en verder in dit land houden lijkt me niet zo moeilijk.

[david-v]

Dat is niet realistisch en technisch gezien ook een nachtmerrie. Dat zou betekenen dat je als multinational in alle landen datacenters moet hebben om de data van je klanten te kunnen beheren, om maar een voorbeeld te noemen. Dan zou je bijvoorbeeld niet bij Amazon.de kunnen bestellen met je Amazon account want je woont niet in Duitsland.

Laten we niet meteen in paniek raken en denken dat we alles maar binnen de grenzen moeten houden. Dat is in de eu echt niet nodig, daar zijn redelijk veel legale barrières voor opgezet om dat goed geregeld te krijgen. Je data hier is net zo goed beschermd als in Frankrijk, België of Griekenland. Data in de UK is trouwens wel even een ander verhaal, dat moet ik nog een keer eens nalezen hoe dat precies zit.

[MaabuS]

Dit jaar maar weer eens de belastingaangifte op papier doen denk ik zo.

[P. vd Loo]

Succes ermee