De provincie Zuid-Holland heeft een datalek in een intern systeem dat het vorig jaar september aan de Autoriteit Persoonsgegevens meldde nog niet opgelost. "Direct na melding van het datalek is er actie ondernomen, waaronder het identificeren en isoleren van documenten en het afsluiten van bepaalde mappen. Daarmee is het datalek helaas nog niet opgelost", zo laat de provincie in een update over het incident weten.

De provincie gebruikt voor de archivering en opslag van documenten en het intern samenwerken aan documenten een document management systeem. Het systeem bevat allerlei gegevens, zoals memo’s en besluiten, maar ook persoonlijke gegevens van burgers, zakelijke contacten en medewerkers. De persoonsgegevens in het systeem waren voor vrijwel alle medewerkers toegankelijk, ook als ze dit niet nodig hadden voor hun werkzaamheden. "Dat betekent dat er sprake is van een datalek", aldus de provincie.

De persoonsgegevens in het systeem betreffen onder andere adresgegevens, contactgegevens, kopieën van identiteitsdocumenten, BSN-nummers en gegevens over opleiding- en werkervaring. "Omdat het systeem al jaren oud is, betekent dit ook dat gegevens in het verleden toegankelijk zijn geweest voor medewerkers die nu niet meer voor de provincie werken", aldus de update.

"Het is niet aannemelijk dat andere personen dan (voormalig) medewerkers van de provincie de persoonsgegevens hebben ingezien. We hebben geen signalen ontvangen dat documenten extern toegankelijk zijn (geweest). Onze medewerkers hebben een eed of belofte afgelegd of een integriteitsverklaring getekend voor het uitvoeren van werkzaamheden voor de provincie en zijn dus bekend met het onderwerp integriteit en hoe met (privacy)gevoelige informatie om te gaan", zo laat de provincie weten.

Vanwege het datalek besloot de Autoriteit Persoonsgegevens de provincie onder verscherpt toezicht te plaatsen. Dit houdt in dat de provincie concrete afspraken met de AP moet maken over de beveiliging van persoonsgegevens en daarover moet rapporteren. Om te kijken wat er voor de lange termijn nodig is om de veiligheid van de systemen en bescherming van persoonsgegevens te kunnen waarborgen is de provincie met een traject gestart. Tevens stelt de provincie dat het vanwege het grote aantal documenten in het systeem vooralsnog niet mogelijk is om individuele personen te informeren.