Geenstijl

Dit is deel 21 van het feitenfeuilleton UWV: Kroniek van een faalfabriek. Hierin beschrijft database doctor @René Veldwijk van binnenuit zijn ervaringen met het UWV. Lees HIER de introductie, inclusief een lijst met afleveringen en personages.

2008 - 2009

De schandalige sessie met Directeur Diantha en haar integriteitsman knakt mijn vertrouwen in de integriteit van het UWV als organisatie. Ja, er lopen veel incompetente en soms corrupte individuen rond. Ja, ze worden vanwege die incompetentie leeggeroofd door grote leveranciers als Capgemini en IBM. Ja, in stilte hoopt het halve UWV dat baanbedreigende automatiseringsprojecten mislukken. Ik begrijp de overlevingsdrang. De UWV-organisatie is het product van een mislukte fusie en heeft in Den Haag weinig vrienden. Het UWV is daardoor een onveilige werkplek. Maar dat een organisatie die bovenop hypergevoelige informatie zit bewust niet wil zien wat zijn medewerkers uitspoken, is verbijsterend. En het is geen besluit van een individuele manager als Diantha C. Het is staand beleid.

Ondertussen zit het UWV met de nieuwe polisadministratie niet meer op de informatie van anderhalf miljoen overwegend minder interessante Nederlanders, maar op de inkomensdetails van bijna heel Nederland: ook de rijken, de BN'ers, de chantabelen en de ondernemingen. Het is doodeng dat tienduizenden ambtenaren bij de gegevens van heel Nederland kunnen – op een paar honderd VIPs van de Belastingdienst na.

En die tienduizenden ambtenaren werken niet alleen bij het UWV maar ook bij het CWI (werklozenbegeleiding) en de gemeenten (sociale diensten). Gelukkig gaat het bij de inkijk bijna altijd om (aanstaand) uitkeringsgerechtigden. Dat maakt het bewaken van wat ambtenaren doen gemakkelijker. En omdat we ook weten wie waar woont en wat voor soort uitkering iemand ontvangt, is het een peulenschil om ambtenaren die nieuwsgierig of crimineel zijn eruit te vissen. De uitkeringsambtenaar die gegevens van Katja Schuurman of zelfs zijn werkende buurman inkijkt, heeft iets uit te leggen. Hetzelfde geldt voor wie de gegevens inkijkt van uitkeringstrekkers in een andere hoek van Nederland of degene die zijn buren, zijn ex-klasgenoten of alle Eritreeërs zit te bekijken. De polisadministratie weet alles en logt alles. Dat was althans de bedoeling.

Weer zitten we mis. Wij zien van wie de inkomensgegevens worden opgevraagd, maar niet door wie. Zelfs de organisatie van waaruit de opvraging gebeurt wordt achtergehouden. De boosdoener is de middle man tussen de afnemers en ons, het al eerder geïntroduceerde Bureau Keteninformatisering Werk en Inkomen (BKWI). Het BKWI ontvangt een Burgerservicenummer, zet dit voor de persoonsgegevens door naar de GBA en voor de dienstverbanden en inkomens naar de UWV-polisadministratie. De antwoorden worden gebundeld en getoond aan de ambtenaar achter het scherm. Suwinet-Inkijk heet deze service. Het BKWI weet precies welke ambtenaar in welke organisatie wanneer een opvraging doet, maar houdt dit onder de pet.

Ik vraag door en hoor dat het BKWI alle aanvragen in een eigen logbestand opslaat en goed bewaakt of er ambtenaren buiten hun boekje gaan. Ik moet er hard om lachen. Dat kán deze tussenpersoon helemaal niet. Ze mogen namelijk zelf geen persoonsgegevens vastleggen. Van de opgevraagde personen registreren ze alleen het Burgerservicenummer. Als de inkomensgegevens van Katja Schuurman worden ingekeken door een ambtenaar van de sociale dienst, dan weet het BKWI niet dat Katja niet in de bijstand zit. Ze weten niet eens dat het om Katja Schuurman gaat die helemaal geen uitkering heeft. Idem wanneer een ambtenaar de gegevens van zijn ex raadpleegt. Idem wanneer een Erdogan-ambtenaar Gülen-Turken zit te downloaden. Idem wanneer een Mocromaffia-ambtenaar wil weten waar Mr. Wiersum woont.

Het BKWI weet natuurlijk dat het zijn controletaak niet kan uitvoeren, maar ze doen wat ze kunnen. Ze zouden   zelfs hebben gevraagd of ze bij de logging enkele persoonsgegevens mogen vastleggen. Het ministerie verbiedt dat – en met reden. Voor je het weet hebben we wéér een kopiesysteem met privacygevoelige gegevens erbij. De gegevens over wie wat wil weten horen thuis in de logbestanden van de polisadministratie en het BKWI behoort van daaruit rapportages van verdachte opvragingen voor de individuele gemeenten en de kantoren van het UWV te maken. Het UWV houdt dat tegen en maakt daarmee het BKWI tot een bestuurlijke katvanger.

De verklaring voor deze nieuwe wantoestand komt weer van de werkvloer. Bij de divisie Gegevensdiensten werken juristen die gegevensleveringen toetsen aan de wetgeving. Een van hen legt het mij ijskoud uit: "Als er misbruik van data wordt gemaakt verwijzen we naar het BKWI. Wij weten van niets. Wij slaan alleen de data op."

Het is mijn zoveelste hallucinante ervaring: het UWV schept welbewust een datalek om bij datalekken buiten schot te blijven. Wat een wereld is dit. Ik begrijp nu ook waarom Diantha niet wil dat raadplegingen op de polisadministratie worden gelogd. Maar waarom trekken de klanten van het UWV niet aan de bel? Is de hele overheid als het UWV als het om onze persoonsgegevens gaat?

Ik laat het er verder bij zitten. Wat kan ik doen? Ik volg het dossier Suwinet-Inkijk sindsdien op afstand. Als op Koninginnedag 2009 een Suzuki Swift met kenteken FZ-VL-03 in Apeldoorn op het publiek inrijdt, hoor ik later dat veel ambtenaren een 'Van Persietje' (tegenwoordig een 'Barbietje') hebben gedaan door zich aan ene Karst Tates te vergapen. Die was gemakkelijk te vinden want het capabele BKWI blijkt ook toegang op basis van kenteken aan te bieden.  Sinds enkele jaren biedt het BKWI gemeenten ook de mogelijkheid aan om de gegevens over te tanken naar hun eigen systemen.  Met dit 'Suwinet-Inlezen' is er een extra katvanger tussen het UWV en de burger gekomen en is het UWV extra gevrijwaard van privacy-gedoe.

Naschrift: Tot de dag van vandaag frustreert het UWV de opsporing van privacyschendingen en houdt zodoende permanent een datalek in stand. Tienduizenden ambtenaren kunnen vrijwel straffeloos data inkijken over uw en mijn persoonsgegevens, dienstverbanden en inkomens.

Vanuit het ministerie van SZW worden bij tijd en wijle audits uitgevoerd. Bij gebrek aan informatie blijft het dan steeds bij het op basis van de BKWI logbestanden kijken of er BN'ers worden geraadpleegd. Dat blijkt steevast het geval, waarna alles bij het oude blijft.

Dat Suwinet-Inkijk zo lek als een mandje is, is een publiek geheim, maar de olifant in de kamer, het UWV, blijft steeds buiten schot. Wat daarbij helpt is dat de belangrijkste afnemer, de gemeenten, geen partij zijn voor het UWV. Als de gemeenten doodleuk de zwarte roetveegpiet krijgen toegeschoven, kaatsen ze de bal niet terug. Vermoedelijk zien ze niet eens wat er mis is. Zelfs het VPRO-onderzoeksprogramma Argos kijkt in 2017 volledig over de UWV-olifant heen. Het goede nieuws is dat het BKWI zijn logbestanden naar verluidt goed bewaart. Op de dag dat de politiek of de Autoriteit Persoonsgegevens *wakker wordt en een serieus onderzoek afdwingt, ziet het er slecht uit voor de rotte appels in ons ambtenarencorps. *