Politiek datalek, extra gevoelig

Het was uitgebreid in het nieuws. Door een lek in een app van een politieke partij zouden persoonsgegevens van 92.901 leden van deze politieke partij “op straat liggen”. Wat was er precies aan de hand met deze datalek? En waarom is juist een politiek datalek zo gevoelig? Hoog tijd voor een korte opfriscursus datalekken.

Wat was er aan de hand?
Recent lanceerde een politieke partij een eigen app, de ForumApp. Leden van deze politieke partij konden in die app inloggen en diensten en bedrijven van andere leden vinden. Uit onderzoek van RTL bleek dat een fout in de app zat. Door deze fout waren alle namen, adressen, telefoonnummers en rekeningnummers van 92.901 (oud-)leden onbedoeld toegankelijk voor het publiek. En dus ook voor mensen waarvoor dit niet bedoeld was. Zelfs de gegevens van fractievoorzitter Baudet en andere Kamerleden van de politieke partij waren gelekt.

Opfriscursus datalekken
Wat is ook alweer een datalek? Hiervan is sprake wanneer ‘persoonsgegevens verloren zijn gegaan’ of ‘wanneer redelijkerwijs niet kan worden uitgesloten dat persoonsgegevens onrechtmatig zijn verwerkt’. Door een fout in de ForumApp, zijn heel veel persoonsgegevens onbedoeld toegankelijk geweest voor mensen waarvoor dat niet bedoeld was. In zo’n geval is sprake van een datalek. De Autoriteit Persoonsgegevens, de handhaver op het gebied van privacy, zou in een dergelijk geval kunnen besluiten om een boete op te leggen voor het slecht beveiligen van persoonsgegevens.

Politiek datalek, éxtra gevoelig
Persoonsgegevens waaruit iemands politieke opvattingen blijken, worden aangemerkt als ‘bijzondere persoonsgegevens’. Misbruik van die informatie kan namelijk leiden tot discriminatie op basis van iemands politieke opvatting. Het verwerken van bijzondere persoonsgegevens (zoals ras of etnische afkomst, religie en politieke opvattingen) is daarom in beginsel verboden. In sommige uitzonderingsgevallen is verwerking van bijzondere persoonsgegevens toch toegestaan. Eén van de uitzonderingen is de situatie waarin de betrokkene uitdrukkelijke toestemming heeft gegeven voor de verwerking van bijzondere persoonsgegevens. In het geval van de app was sprake van een fout van een koppeling. De betreffende gegevens zijn zonder toestemming toegankelijk geweest voor mensen waarvoor dat niet bedoeld was. Het is extra pijnlijk dat het in dit geval ging om een app van een politieke partij zelf, waardoor de politieke opvattingen van (oud-)leden zijn gelekt.

Wat te doen bij een datalek?
Is het waarschijnlijk dat een datalek een risico vormt? Dan dient het datalek gemeld te worden bij de Autoriteit Persoonsgegevens. Dit dient te gebeuren binnen 72 uur na ontdekking van het datalek. In 2021 werden ongeveer 25.000 datalekmeldingen gedaan. Is het waarschijnlijk dat het datalek een hoog risico oplevert voor betrokkenen? Dan moeten de betrokkenen zo snel mogelijk geïnformeerd worden over het datalek (tenzij passende maatregelen zijn genomen of indien het informeren een onevenredige inspanning zou vergen).

Heb je meer vragen over datalekken? Neem dan gerust contact op met Menno Loos of één van onze andere specialisten.

Bronnen:
https://www.rtlnieuws.nl/nieuws/nederland/artikel/5350214/forumapp-lek-privegegevens-leden-op-straat
https://nos.nl/artikel/2454726-rtl-onderzoekt-forum-app-en-die-blijkt-lek-privegegevens-leden-op-straat