Tien Nederlandse gemeenten versturen BSN’s via onbeveiligde verbindingen

Burger Service Nummers (BSN’s) van inwoners van tien Nederlandse gemeenten zijn maandenlang via een onbeveiligde verbindingen verstuurd, waardoor de data eenvoudig kon worden onderschept voor onbevoegden. De gemeenten hebben hiermee de Nederlandse privacy wetgeving overtreden.

Dit blijkt uit onderzoek van RTL Nieuws. In totaal blijken 27 Nederlandse gemeenten geen beveiligde HTTPS-verbinding te gebruiken om gegevens te verwerken bij het aanmaken van een afspraak. Dit terwijl hierbij onder andere de volledige naam en het woonadres van burgers wordt verzonden. Bij tien gemeenten werd ook het BSN van burgers verstuurd via de onbeveiligde verbinding. Dit is volgens de Autoriteit Persoonsgegevens een ‘bijzonder persoonsgegeven’, wat betekent dat BSN’s alleen via een beveiligde verbinding mogen worden verwerkt.

Meerdere waarschuwingen

Onder andere de gemeenten Bloemendaal, Wassenaar en Culemborg bleken BSN’s via een onbeveiligde verbinding te verwerken. Dit terwijl bronnen binnen de IT-dienstverlening van de gemeenten aan RTL Nieuws melden dat de gemeenten hier herhaaldelijk voor zijn gewaarschuwd. Na melding van de situatie zijn Bloemendaal, Wassenaar en Culemborg overgestapt op het gebruik van een HTTPS-verbinding.

RTL Nieuws heeft een lijst met kwetsbare gemeenten verstuurd naar de Informatie Beveiligingsdienst Gemeenten (IBD). Een woordvoerder van de IBD meldt dat de dienst hiermee direct aan de slag gaat. Bij de overige zeven gemeenten die BSN’s via onbeveiligde verbindingen versturen is de situatie nog niet verbeterd. RTL Nieuws brengt daarom met het oog op de veiligheid de namen van deze gemeenten niet naar buiten.

Kamervragen

Astrid Oosenbrug, Tweede Kamerlid van de PvdA, heeft al laten weten Kamervragen te gaan stellen over de bevindingen. "Gemeenten moeten hun zaken op orde hebben, maar opnieuw blijkt dat niet zo te zijn. Hoe kan het toch dat er bij het bouwen van een huis wel aan de veiligheid van inwoners wordt gedacht, maar niet als het gaat om het bouwen van een website?”, aldus Oosenbrug tegenover RTL Nieuws. "Minister Plasterk is verantwoordelijk voor de gemeenten en we zouden als overheid actief moeten helpen bij het op orde maken van de beveiliging. Dat kan door regels op te stellen waaraan elke gemeente zich moet houden, bijvoorbeeld door het verplicht maken van het gebruik van 'https' bij het verwerken van persoonsgegevens."