Uitvoeringsinstituut Werknemersverzekeringen (UWV) verzamelde jarenlang illegaal gegevens van uitkeringsgerechtigden, waaronder IP-adressen. Ook plaatste de uitkeringsinstantie zonder toestemming cookies om gebruikers stiekem te volgen. Zo wilde Het Uwv achterhalen of mensen die een WW-uitkering ontvingen in het buitenland verbleven of niet. De Autoriteit Persoonsgegevens noemt de werkwijze ‘zorgelijk’.

Dat blijkt uit documenten die de NOS en Nieuwsuur hebben opgevraagd met de Wet open overheid (Woo).

Zo volgde het UWV stiekem werkzoekenden

Nederlanders in loondienst die werkloos raken, hebben recht op een WW-uitkering. Ze moeten echter wel aan de sollicitatieplicht voldoen. Dat betekent dat ze moeten kunnen aantonen dat ze solliciteren op vacatures. Tegelijkertijd mogen werkzoekenden niet naar het buitenland zolang ze een uitkering ontvangen: dit mag alleen onder strenge voorwaarden.

Om te controleren of sollicitanten aan deze verplichting voldeden, monitorde het UWV hen. De uitkeringsinstantie verzamelde IP-adressen, wat een indicatie geeft over de locatiegegevens van werkzoekenden. Ook plaatste het UWV stiekem cookies om werkzoekenden te identificeren, volgen en koppelen aan hun IP-adressen. Dat gebeurde zowel bij mensen die wel en niet waren ingelogd op websites als uwv.nl en werk.nl.

Twijfel over juridische basis

Deze informatie belandde bij het fraude-algoritme ‘Risicoscan Verblijf Buitenland’. Aan de hand van een onbekend aantal kenmerken berekende het model de kans dat een sollicitant fraudeerde. Door het model zijn er in totaal 3.600 onderzoeken ingesteld. In 460 gevallen leidde dat tot ‘aanpassingen van uitkeringen’, zoals een boete.

Van 2019 tot mei 2022 gebruikte het UWV dit risicomodel op kleine schaal, daarna werd het landelijk ingevoerd. De functionaris gegevensbescherming (FG) Van Het Uwv trok bij de landelijke invoering aan de bel, maar zijn advies werd in de wind geslagen. De landsadvocaat, het advocatenkantoor van de overheid, concludeerde dat er geen juridische basis was om iedereen te volgen. Daarom werd het fraudesysteem begin dit jaar stilletjes stopgezet.

FNV geschrokken, UWV erkent dat er fouten zijn gemaakt

Kitty de Jong, vicevoorzitter van vakbond FNV, zegt geschokt te zijn. “Mensen zijn per definitie verdacht, dit is disproportioneel. Het is schieten met een kanon op een mug.” Ze is boos dat de overheid er alles aan doet om kwetsbare mensen aan te pakken. “Terwijl de grote fraude wordt gepleegd door belastingontduikers in Blaricum en Wassenaar. Laat ze daar maar eens een sleepnet overheen gooien.”

Een woordvoerder Van Het UWV erkent in een reactie dat ze niet zorgvuldig is geweest. “UWV is een publieke dienstverlener en wij stellen hoge eisen aan onze rol. In het geval van onze handhavende taak betekent dit dat zorgvuldig handelen erg belangrijk is. Dat dat ons in dit geval niet gelukt is vinden wij uitermate vervelend. Tijdens dit proces hebben alle seinen steeds op groen gestaan. Met de kennis van nu blijkt echter dat we toch een fout hebben gemaakt.”

AP wil opheldering van het UWV over risicomodel

De Autoriteit Persoonsgegevens is niet te spreken over de werkwijze van het UWV en noemt het ‘zorgelijk’. “Mensen moeten erop kunnen vertrouwen dat hun privacy in veilige handen is, zeker ook bij grote organisaties die overheidsbeleid uitvoeren en waarvan veel mensen afhankelijk zijn”, zo laat de toezichthouder weten in een schriftelijke reactie aan de NOS en Nieuwsuur.

Er was geen juridische basis om alle werkzoekenden stiekem te volgen. Daarmee schond het risicomodel de privacy van werkzoekenden. De Autoriteit Persoonsgegevens wil daarom opheldering van de uitkeringsinstantie over de werking van het algoritme van het fraudesignaleringsmodel. Voor het stiekem volgen van gebruikers zonder toestemming en het stiekem plaatsen van cookies, kan het UWV een boete opgelegd krijgen die kan oplopen tot zo’n 20 miljoen euro.