Het UWV stuurde berichten in de zogenoemde ‘Mijn Werkmap’-omgeving, een persoonlijke omgeving op de website van het instituut waar werkzoekenden contact hebben met het UWV. Tussen augustus 2016 en eind 2018 was het proces van het verzenden van groepsberichten via deze omgeving slecht beveiligd. Hierdoor kwamen verschillende persoonsgegevens terecht bij andere werkzoekenden. Het ging dan om bijvoorbeeld adresgegevens en gegevens over de nationaliteit, maar ook om informatie over fysieke beperkingen of over mensen die te ziek waren om te werken.

Uit onderzoek naar de negen datalekken blijkt onder meer dat het UWV de risico’s van het verwerken van persoonsgegevens van werkzoekenden van tevoren onvoldoende in kaart had gebracht. Ook had het instituut volgens de AP eerder technische maatregelen moeten doorvoeren. Daarnaast controleerde en evalueerde het UWV de eigen beveiligingsmaatregelen onvoldoende.

Bestuurslid van de AP Katja Mur zegt dat als de gegevens bij het UWV niet veilig zijn, „het vertrouwen van de burger in de overheid” wordt geraakt. Ze noemt de mogelijkheid dat dit soort gegevens in verkeerde handen terechtkomen „pijnlijk”. „Het is daarom zorgelijk dat het UWV na de eerste datalekken niet meteen met een passende actie kwam.”

Het UWV onderschrijft het oordeel van de AP dat het anders had moeten handelen. Het instituut zegt eind 2018 een technische maatregel te hebben doorgevoerd, waardoor soortgelijke datalekken niet meer kunnen gebeuren. „Achteraf gezien had het voor de hand gelegen om eerder in te zetten op deze technische oplossing”, aldus het UWV.