De illegale dataverzamelingspraktijken van Het Uwv gingen verder dan ons aanvankelijk werd voorgespiegeld. De uitkeringsinstantie plaatste cookies die wel een half jaar lang werkzoekenden volgden op hun apparaat, ook als ze niet waren ingelogd. De Tweede Kamer en privacyexperts reageren geschrokken op de nieuwe onthullingen.

Dat schrijft de NOS die het oorspronkelijke onderzoek de zaak verder onderzocht.

UWV plaatste stiekem cookies om uitkeringsgerechtigden te bespioneren

Uitvoeringsinstituut Werknemersverzekeringen (UWV) kwam eerder deze maand onder vuur te leggen voor het feit dat het jarenlang illegaal gegevens van uitkeringsgerechtigden verzamelde. De instantie verzamelde onder meer IP-adressen. Deze gegevens vertellen waar iemand zich bevindt, en dus ook of iemand in Nederland of het buitenland is. Werkzoekenden die een uitkering ontvangen mogen tijdens hun banenjacht in principe niet naar het buitenland, tenzij ze hier toestemming voor hebben Van Het Uwv.

Daarnaast plaatste de uitkeringsinstantie stiekem cookies op de apparaten van uitkeringsgerechtigden om hen online te volgen. Deze gegevens werden vervolgens gekoppeld aan hun IP-adressen. Zo wist het UWV precies wanneer iemand waar was en wat hij op internet uitspookte. Dit gebeurde zowel bij werkzoekenden die waren ingelogd als uitkeringsgerechtigden die niet waren ingelogd op uwv.nl en werk.nl.

In een reactie erkende het UWV dat er fouten waren gemaakt. “UWV is een publieke dienstverlener en wij stellen hoge eisen aan onze rol. In het geval van onze handhavende taak betekent dit dat zorgvuldig handelen erg belangrijk is. Dat dat ons in dit geval niet gelukt is vinden wij uitermate vervelend. Tijdens dit proces hebben alle seinen steeds op groen gestaan. Met de kennis van nu blijkt echter dat we toch een fout hebben gemaakt.”

UWV koppelde zes maanden oude gegevens van werkzoekenden

Het UWV ging in haar monitoringstaken nog verder dan verwacht, zo blijkt uit onderzoek van de NOS. De uitkeringsinstantie suggereerde dat het enkel ‘sessiecookies’ plaatste om werkzoekenden in de gaten te houden. Dat zijn cookies die het gedrag van iemand bijhouden gedurende een sessie. Zodra iemand uitlogt, wordt er niet langer informatie verzameld.

Nu blijkt dat één van de gebruikte cookies een half jaar lang meeging. Daardoor was het mogelijk om mensen gedurende een langere periode te volgen, ook als ze niet waren ingelogd op een van de websites Van Het UWV. Eenmaal ingelogd konden gegevens die zes maanden oud waren aan elkaar worden gekoppeld.

Of het UWV de data die ze hiermee verzamelde langer bewaarde, wil de instantie niet zeggen. “Er zijn cookies met een korte levensduur en andere hebben juist een lange levensduur. Dat hangt helemaal af van het doel van de cookie”, zo laat het UWV weten.

‘Werkwijze UWV doet denken aan het Wilde Westen’

Tweede Kamerlid Hind Dekker-Abdulaziz (D66) zegt te schrikken van dit beeld. “Dit lijkt volledig buitenproportioneel en druist compleet in tegen privacywetgeving”, zo vertelt ze tegenover de NOS. Dekker stelde dinsdag samen met Stephan van Baarle (DENK) en Sjoerd Warmerdam (D66) schriftelijke vragen over de gebeurtenissen. De Kamerleden vragen zich onder meer af waarom ze niet zijn geïnformeerd het stopzetten van het systeem.

Nadia Benaissa, beleidsadviseur bij belangenorganisatie Bits of Freedom, zegt dat de werkwijze van het UWV haar doet denken aan het Wilde Westen. “Dat ze deze cookies ongegeneerd zo langdurig inzetten, geeft wat ons betreft aan dat het UWV zich weinig aantrok van privacywetgeving.”

Advocaat Anton Ekker vertelt aan de NOS dat het UWV zich schuldig heeft gemaakt aan ‘geheime surveillance’. “Hoe langer je iemand in de gaten houdt, hoe ernstiger de inbreuk, dus dit is nog erger dan gedacht.”

Het UWV zette het volgsysteem begin dit jaar stilletjes uit na kritiek van de landsadvocaat.

AP en UWV gaan met elkaar in gesprek over risicomodel

De Autoriteit Persoonsgegevens noemde de werkwijze van het UWV eerder al ‘zorgelijk’. Naar eigen zeggen was er geen juridische basis om alle werkzoekenden stiekem te volgen. Daarmee schond het risicomodel de privacy van werkzoekenden. De Autoriteit Persoonsgegevens wil daarom opheldering van de uitkeringsinstantie over de werking van het algoritme van het fraudesignaleringsmodel.

Een woordvoerder bevestigt tegenover de NOS dat er inmiddels een datum is geprikt voor dit gesprek.