Door een niet goed werkend script zijn de persoonsgegevens van 18.000 inburgeraars gelekt, zo heeft minister Van Engelshoven van Onderwijs laten weten. Inburgeraars kunnen een verzoek doen om te vragen wat hun buitenlandse diploma in Nederland waard is. De huidige leverancier van dit digitale aanvraagsysteem is een Nederlands bedrijf met een vestiging in Servië, waar de testers en ontwikkelaars werken.

Met deze leverancier heeft overheidsinstantie Nuffic een verwerkersovereenkomst afgesloten met de verplichting dat persoonsgegevens worden geanonimiseerd, omdat buiten de Europese Unie geen persoonsgegevens mogen worden verwerkt. De huidige leverancier gebruikte een script voor het anonimiseren van persoonsgegevens voordat die in de testomgeving komen. Nu blijkt dit script niet goed te hebben gewerkt.

Bij het bedrijf hadden zo'n zestig testers en ontwikkelaars toegang tot de betreffende gegevens. "Al deze medewerkers hebben een verklaring ondertekend gegevens van hun werk niet openbaar zullen maken. Zoals hierboven aangegeven zijn er op dit moment geen aanwijzingen dat er iets is gebeurd met de persoonsgegevens, maar we kunnen het niet uitsluiten", aldus Van Engelshoven.

De nieuwe leverancier van het diplomawaarderingssysteem ontdekte vorige maand bij de overdracht van de testdatabase dat er persoonsgegevens in stonden. Het betreft alle persoonsgegevens van diplomawaardering voor inburgeraars sinds de start van de applicatie op 1 februari 2017. Het gaat om zo'n 18.000 personen. De persoonsgegevens hebben sinds 11 augustus 2020 in de testomgeving gestaan.

Nuffic heeft het datalek bij de Autoriteit Persoonsgegevens gemeld en het meldpunt datalekken van DUO. De huidige leverancier heeft de persoonsgegevens uit de testomgeving verwijderd. De nieuwe leverancier heeft de ontvangen testbestanden ook verwijderd, waaronder uit de back-ups. Alle gedupeerde personen zijn gisteren ingelicht, zo stelt de minister.

Er wordt nu onderzocht waarom het misging bij het anonimiseren en dat zo veel als mogelijk kan worden uitgesloten dat er misbruik van de gegevens is gemaakt. "Met de nieuwe leverancier van het diplomawaarderingssysteem zijn door Nuffic afspraken gemaakt die ervoor moeten zorgen dat dit niet meer kan voorkomen", besluit Van Engelshoven.