De Nederlandse Sociale Verzekeringsbank krijgt een AVG-boete van 150.000 euro omdat de instantie tijdens telefoongesprekken de identiteit van bellers niet goed controleerde. Zo vroeg de SVB om een postcode ter controle, maar de Autoriteit Persoonsgegevens vond dat onvoldoende.
De Sociale Verzekeringsbank of de SVB heeft niet alleen een boete gekregen, maar ook de werkwijze moeten aanpassen. De bank krijgt een bestuurlijke boete van 150.000 euro van de Autoriteit Persoonsgegevens. Die begon in november 2019 een onderzoek naar aanleiding van een klacht, al wees de AP die in eerste instantie om onbekende reden af. Nadat de klager daar bezwaar tegen aantekende, onderzocht de AP de werkwijze van de bank verder. De klacht kwam van een Nederlandse vrouw waarvan een familielid persoonlijke informatie had gekregen via een medewerker van de SVB. De SVB meldde dat zelf als een datalek.
De Sociale Verzekeringsbank regelt in Nederland de uitbetaling van verschillende uitkeringen zoals de AOW. Burgers kunnen de bank direct bellen met vragen. Dat doen wekelijks 20.000 personen, schrijft de AP in het boetebesluit. Werknemers bij de bank kunnen makkelijk bij veel persoonlijke informatie van klanten, schrijft de toezichthouder. Het gaat bijvoorbeeld om naw-gegevens, maar ook rekeninggegevens, burgerservicenummers en informatie zoals inkomen, de burgerlijke staat en werkgeschiedenis. Bij het bellen moet de SVB de identiteit van de beller verifiëren, maar dat gebeurde volgens de AP niet goed.
De voorschriften voor werknemers waren onduidelijk of slecht. Zo concludeert de AP dat 'veel van de voorgeschreven controlevragen in deze werkinstructies betrekking hadden op relatief eenvoudig te achterhalen informatie'. In de werkinstructies werd daarnaast expliciet opgenomen dat werknemers bewust niet moesten vragen naar zulke specifieke informatie. Ook waren er meerdere instructies die elkaar tegenspraken over welke controlevragen werknemers moesten stellen. Het was daarnaast niet helder wat werknemers moesten doen als de vragen niet beantwoord werden.
Groot risico
De Autoriteit Persoonsgegevens concludeert verder dat de SVB niet controleerde of de regels werden opgevolgd. Bij een steekproef vond de AP nergens terug of de authenticatiemethode werd toegepast. Om die reden volgen werknemers volgens de AP 'de voorgeschreven instructies in de praktijk niet (in alle gevallen) op'.
De Sociale Verzekeringsbank overtreedt daarmee artikel 32 van de AVG, volgens de toezichthouder. Dat schrijft voor hoe instanties maatregelen moeten nemen om persoonsgegevens te beschermen.
'Er is risico op schade, stalking of afpersing'
Volgens de AP is het feit dat zoveel werknemers toegang hebben tot zo veel persoonsgegevens 'een hoog risico'. "Zonder passende beveiligingsmaatregelen kan dit ertoe leiden dat telefonisch onrechtmatig persoonsgegevens worden verstrekt of gewijzigd", vult de toezichthouder aan. "Dit kan grote gevolgen hebben voor de betrokkene, niet alleen financiële. Daarnaast bestaat er een reëel risico dat bekenden van AOW-klanten om persoonlijke redenen bij de SVB informatie proberen te achterhalen of te wijzigen, wat zou kunnen leiden tot bijvoorbeeld stalking of afpersing. Tot slot is er het risico op (reputatie)schade bij het delen van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten."
Problemen opgelost
De overtredingen vonden plaats sinds in ieder geval 25 mei 2018, toen de AVG in werking trad en de AP kon onderzoeken. Tijdens het onderzoek droeg de SVB enkele verbeteringen aan, zoals een betere werkinstructie. Daarmee duurden de overtredingen volgens de AP tot juni 2022. Sinds dat moment is de authenticatie volgens de waakhond wel goed genoeg.
Ondanks die verbeteringen geeft de AP alsnog een boete voor de overtreding. De AP heeft met het vaststellen van de hoogte rekening gehouden met het feit dat er slechts tien datalekken zijn voorgekomen tussen 2018 en 2022 en dat er slechts een daarvan te maken had met een slechte telefonische controle. Bovendien prijst de AP dat de SVB 'zeer proactief aan de slag is gegaan met de bevindingen uit het onderzoeksrapport'. Zo zou er snel gereageerd zijn en voerde de SVB de oplossingen snel door. Het boetebedrag is daarom relatief laag, zeker in vergelijking met andere AVG-boetes. De boete gaat naar de Nederlandse schatkist. Tweakers schreef in 2021 al wat er gebeurt als een overheidsinstelling een AVG-boete moet betalen.
:strip_icc():strip_exif()/i/2005788956.jpeg?f=fpa_thumb)
:strip_exif()/i/2006378028.jpeg?f=fpa)
:strip_exif()/i/2004806902.jpeg?f=fpa)
/i/2004735554.png?f=fpa)
/i/2004620466.png?f=fpa)
:strip_exif()/i/2005669902.jpeg?f=fpa)
:strip_exif()/i/2004743102.jpeg?f=fpa)
:strip_exif()/i/2005128772.jpeg?f=fpa)
:strip_exif()/i/2004712088.jpeg?f=fpa)
:strip_exif()/i/2004776604.jpeg?f=fpa)
:strip_icc():strip_exif()/u/269054/crop6064049cee9ab_cropped.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/253803/crop5bdafd26303ab_cropped.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/88719/crop624ccd84437db_cropped.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/1821582/crop631c67eaea646_cropped.jpg?f=community){kind=small}
/u/345172/crop58f93c8ebe8aa_cropped.png?f=community){kind=small}
:strip_icc():strip_exif()/u/15771/prr.jpg?f=community){kind=small}
/u/1740680/crop6435a88d7cedf.png?f=community){kind=small}