Uitvoeringsinstituut Werknemersverzekeringen (UWV) wist al jaren dat het de privacy van uitkeringsgerechtigden schond door cookies te plaatsen zonder toestemming. De functionaris gegevensbescherming waarschuwde in 2020 dat dit niet door de beugel kon, maar deze waarschuwing werd in de wind geslagen door de uitkeringsinstantie. Vakbond FNV overweegt juridische stappen om Het Uwv te dwingen te stoppen met alle fraude-algoritmes.

Dat schrijft de NOS op basis van eigen onderzoek.

UWV volgde jarenlang stiekem uitkeringsgerechtigden

In juli schreven de NOS en Nieuwsuur dat het UWV jarenlang onrechtmatig gegevens van uitkeringsgerechtigden verzamelde. De uitkeringsinstantie verzamelde onder meer IP-adressen om zo te achterhalen of iemand stiekem in het buitenland verbleef. Wie een uitkering Van Het Uwv ontvangt, mag in deze periode niet naar het buitenland.

Tevens plaatste het UWV stiekem cookies op apparaten van werkzoekenden om hun online activiteiten in de gaten te houden. Deze gegevens werden gekoppeld aan hun IP-adressen. Zo wist de instantie precies wanneer iemand waar was en wat hij op internet uitspookte. Dit gebeurde zowel bij uitkeringsgerechtigden die waren ingelogd op uwv.nl en werk.nl, als werkzoekenden die niet waren ingelogd op deze websites.

Onlangs bleek dat het toezicht Van Het UWV nog verder ging dan aanvankelijk gedacht. Onderzoek van de NOS wees uit dat sommige cookies werkzoekenden wel een half jaar volgden. Daardoor was het mogelijk om mensen gedurende een langere periode te volgen, ook als ze niet waren ingelogd op een van de websites van het UWV. Eenmaal ingelogd konden gegevens die zes maanden oud waren aan elkaar worden gekoppeld.

UWV wist in 2020 al van de problemen

Begin dit jaar stopte het UWV met het monitoren van werkzoekenden door cookies te plaatsen. Nu blijkt dat de functionaris gegevensbescherming, zeg maar de interne privacytoezichthouder, in 2020 waarschuwde voor deze werkwijze. Zo informeerde de uitkeringsinstantie bezoekers weliswaar dat er cookies werden geplaatst, maar het was niet mogelijk om deze te weigeren. Dat is volgens de Europese privacyregels wel verplicht.

De landsadvocaat van de overheid wees het UWV erop dat het gebruiken van IP-adressen om de locatie van werkzoekenden in kaart te brengen, niet is toegestaan. Noch met toestemming, noch zonder toestemming. Het duurde echter tot mei 2022 voordat er “voor het eerst concrete afspraken worden gemaakt om dit op te lossen”, zo staat er in een intern stuk aldus de NOS.

De functionaris gegevensbescherming adviseerde in 2020 om het “grootschalig, heimelijk en onrechtmatig” verzamelen van locatiegegevens “per direct” te staken. Pas nadat de landsadvocaat zich met de kwestie bemoeide, besloot het UWV om naar de interne toezichthouder te luisteren.

FNV wil dat het UWV onmiddellijk stopt met datavergaring voor opsporingsdoeleinden

De uitkeringsinstantie ontkent tegenover de NOS dat het de waarschuwingen van de functionaris gegevensbescherming negeerde. “Met de kennis van nu hadden wij hier meer aandacht en prioriteit voor moeten hebben”, zo laat het UWV weten. De reden waarom het zo lang duurde om in actie te komen, komt omdat het technisch “zeer complex” was en dat de instantie zorgvuldig te werk wilde gaan.

Een woordvoerder van het ministerie van Sociale Zaken en Werkgelegenheid zegt in een reactie dat het departement niet op de hoogte was van de problemen bij het UWV. Hij zegt dat het ministerie de samenwerking met de uitkeringsinstantie gaat evalueren.

“Het UWV heeft genoeg signalen gekregen om tot inkeer te komen, maar heeft dat gewoon niet gedaan”, zegt Kitty Jong, vicevoorzitter van vakbond FNV, tegen de NOS. Ze wil dat de uitkeringsinstantie onmiddellijk stopt met het verzamelen van gegevens van uitkeringsgerechtigden voor opsporingsdoeleinden. De vakbond overweegt om een kort geding te starten om het UWV daartoe te dwingen. De knoop om juridische stappen te ondernemen is nog niet definitief doorgehakt.

AP wil opheldering van het UWV

De Autoriteit Persoonsgegevens noemde de werkwijze van het UWV eerder al ‘zorgelijk’. Naar eigen zeggen was er geen juridische basis om alle werkzoekenden stiekem te volgen. Daarmee schond het risicomodel de privacy van werkzoekenden. De toezichthouder wil daarom opheldering van de uitkeringsinstantie over de werking van het algoritme van het fraudesignaleringsmodel. Er is inmiddels een datum geprikt voor dit gesprek.