De Sociale verzekeringsbank (SVB) heeft van de Autoriteit Persoonsgegevens een boete van 150.000 euro gekregen omdat het tekort schoot in de identiteitscontrole van cliënten en daarmee de AVG overtrad. In een gemiddelde week staat de SVB twintigduizend mensen te woord die vragen hebben over socialezekerheidswetten, waaronder de AOW. Bovendien hebben de zo'n vijftienhonderd servicemedewerkers van de SVB allemaal toegang tot cliëntgegevens.

In 2019 kwamen gegevens van een SVB-cliënt in handen van iemand die die gegevens niet had mogen krijgen. De cliënt ontdekte dat iemand via de telefonische helpdesk van de SVB uitkeringsinformatie had weten op te vragen. Daarop diende de cliënt een klacht in bij de Autoriteit Persoonsgegevens (AP). Uit onderzoek van de privacytoezichthouder bleek dat de SVB te weinig deed om de privacyrisico’s van de telefonische dienstverlening in kaart te brengen.

"In de praktijk schoot het systeem voor het controleren van de identiteit van bellers tekort. Controlevragen gingen vaak over zaken die vrij eenvoudig zijn te achterhalen door buitenstaanders (zoals iemands voornaam, adres en postcode)", aldus de AP. Verder bleek dat de SVB onvoldoende controleerde of servicemedewerkers zich eigenlijk wel aan het controlebeleid hielden. De SVB maakte medewerkers ook onvoldoende bewust van het belang van een veilig beheer van persoonsgegevens. De overtredingen vonden plaats van mei 2018 tot mei 2022.

Na het onderzoek van de Autoriteit Persoonsgegevens voerde de SVB aanpassingen door. Zo is er een nieuwe werkinstructie die voorschrijft hoe servicemedewerkers precies de identiteit van bellers moeten controleren. De SVB gaat het nieuwe beleid elke twee jaar evalueren. "Instanties met telefonische hulplijnen kunnen hier van leren", aldus AP-bestuurder Katja Mur. "Privacybeleid gaat niet alleen over digitale dienstverlening, maar ook over telefonische dienstverlening."