Het Instituut Mijnbouwschade Groningen (IMG) heeft de beveiliging van persoonsgegevens nog niet volledig op orde, zo oordeelt de Auditdienst Rijk (ADR) in een onderzoeksrapport. Het schadeloket kreeg eind 2022 met twee datalekken te maken waardoor gegevens van aardbevingsslachtoffers op straat kwamen te liggen. Eind 2022 nam de Tweede Kamer een motie aan om de databescherming van het IMG door te lichten.

Sinds de datalekken heeft het schadeloket verschillende stappen gezet om de beveiliging te verbeteren, maar die zijn vooral op papier genomen en niet in de praktijk, zo stelt ADR: "Wij hebben vastgesteld dat deze stappen hoofdzakelijk hebben plaatsgevonden in opzet; het beschrijven van beleidsstukken hoe het IMG omgaat met de bescherming van persoonsgegevens. Gezien het recente karakter van menig beleidsstuk (gemaakt of gewijzigd in 2023), hebben wij de operationele uitvoering als zodanig nog niet altijd aangetroffen."

Volgens de Auditdienst moet het IMG vooral letten op controle- en monitoringsactiviteiten. "Wij hebben bij meerdere onderwerpen vastgesteld dat het in de praktijk ontbreekt aan structurele controle- en monitoringactiviteiten waardoor het IMG geen actueel en volledig inzicht heeft in de verschillende privacyrisico’s die het IMG loopt en mogelijk te laat detecteert." Tevens blijkt beschreven processen en procedures op het gebied van beveiliging nog niet altijd in de praktijk zijn doorgevoerd.

"Met name de expliciete koppeling met privacy komt niet altijd duidelijk naar voren. Dit geldt onder andere voor onderwerpen als identiteit en toegangsbeheer, veilige gegevensoverdracht en encryptie. Concrete passende technische en organisatorische maatregelen gekoppeld aan privacy die genomen dienen te worden om de beveiliging van persoonsgegevens te waarborgen zijn niet altijd even duidelijk beschreven en/of aangetroffen in de praktijk", legt de Auditdienst Rijk verder uit.

De ADR concludeert dat 'lange termijn borging' van de bescherming van persoonsgegevens binnen het IMG om aandacht vraagt. Niet alleen vanwege het recente karakter van menig beleidsstukken, vastgestelde verschillen tussen deze beleidsstukken en operationele werkelijkheid, met name op het gebied van controle en monitoring, maar ook vanwege de personele bezetting aangaande privacygerelateerde taken. Het schadeloket werkt met veel inhuurkrachten. Wanneer deze medewerkers de organisatie verlaten geldt dit ook voor expertise en kennis.

Volgens de Auditdienst zet deze ontwikkeling de lange termijn operationele borging van de bescherming van persoonsgegevens onder druk. "Juist op dit gebied zijn verbeteringen binnen het IMG noodzakelijk." Het IMG heeft aangegeven de aanbevelingen van de ADR op te zullen volgen. Verschillende concrete vervolgacties zijn inmiddels of worden dit jaar gestart. "De uitvoering en voortgang van deze maatregelen wordt gemonitord in de reguliere gesprekken tussen het departement en het IMG", aldus staatssecretaris van Binnenlandse Zaken Van Marum.