Zuid-Holland na jarenlang hersteltraject niet langer onder verscherpt toezicht
Foto: Ter illustratie
REGIO – De provincie Zuid-Holland staat niet langer onder verscherpt toezicht van de Autoriteit Persoonsgegevens (AP). De privacytoezichthouder stelde begin 2024 extra toezicht in vanwege de gebrekkige aanpak van een groot datalek. Na een langdurig verbetertraject heeft de AP inmiddels voldoende vertrouwen in de maatregelen die de provincie heeft genomen.
De toezichthouder is wel kritisch over het tempo waarin Zuid-Holland de problemen heeft aangepakt. Volgens de AP moest de provincie ‘van ver komen’. Vooral in de beginfase kostte het veel tijd om de noodzakelijke veranderingen door te voeren.
Vijftig miljoen documenten onvoldoende afgeschermd
Aanleiding voor het toezicht was een datalek dat de provincie in september 2023 ontdekte. Medewerkers bleken toegang te hebben tot informatie waarvoor zij geen bevoegdheid hadden. Het ging onder meer om persoonsgegevens, salarisspecificaties en strafrechtelijke gegevens.
De informatie stond in een intern systeem waarin ongeveer vijftig miljoen documenten waren opgeslagen. De provincie heeft aangegeven dat er geen aanwijzingen zijn dat de gegevens met derden zijn gedeeld.
Om het probleem op te lossen, moesten de toegangsrechten van vrijwel alle documenten opnieuw worden ingesteld. Daardoor kunnen medewerkers alleen nog informatie bekijken die zij voor hun werkzaamheden nodig hebben. Het volledig herstellen van de toegangsbeveiliging nam ongeveer twee jaar in beslag.
Privacybeleid moest grondig worden verbeterd
De Autoriteit Persoonsgegevens vond dat Zuid-Holland te langzaam reageerde op de problemen. De toezichthouder waarschuwde dat mogelijke sancties konden volgen als de provincie onvoldoende vooruitgang zou boeken.
Uiteindelijk bleef het bij die dreiging. Naast het herstellen van de toegangsbeveiliging moest Zuid-Holland ook het eigen privacybeleid verbeteren. Zo moesten alle ambtenaren een cursus volgen om hun kennis over privacy en de omgang met persoonsgegevens te vergroten.
De AP ziet inmiddels voldoende vooruitgang om het verscherpte toezicht te beëindigen. De provincie moet er wel voor zorgen dat de aangekondigde verbeteringen daadwerkelijk volledig worden doorgevoerd.
Eerdere problemen met gegevensbeveiliging
Zuid-Holland kampte in 2019 eveneens met een datalek. Naar aanleiding daarvan besloot het provinciebestuur 23 miljoen euro uit te trekken voor een omvangrijke vernieuwing van de informatievoorziening. Deze zogenoemde informatietransitie wordt stapsgewijs uitgevoerd.
Een belangrijk onderdeel daarvan is de vervanging van het verouderde informatiesysteem. De problemen die in 2023 aan het licht kwamen, onderstrepen hoe belangrijk een goede beveiliging en controle van digitale informatie binnen de provinciale organisatie zijn.
Met het beëindigen van het verscherpte toezicht komt een intensief traject van de provincie en de privacywaakhond ten einde. De AP heeft daarmee vertrouwen uitgesproken in de ingezette verbeteringen, nadat Zuid-Holland volgens de toezichthouder aanvankelijk een flinke achterstand moest inhalen.
Bron: Studio Alphen.
