Mensen krijgen fouten na technische fout: ´Wat betekent dit voor jou?´

Het Centraal Justitieel Incassobureau zit midden in een privacycrisis. Sinds vrijdag is het digitale loket van het CJIB volledig gesloten, nadat een interne technische fout leidde tot een datalek met mogelijk verstrekkende gevolgen voor burgers. Bovendien zijn mogelijk ook fysieke brieven de deur uitgegaan met informatie die toebehoort aan iemand anders, wat de omvang van het incident verder vergroot.

Wat het CJIB precies doet

Het Centraal Justitieel Incassobureau is een overheidsorganisatie die vanuit Den Haag opereert. De instantie is verantwoordelijk voor het innen van boetes en het beheer van financiële sancties in straf- en verkeerszaken. Burgers kunnen via het digitale loket hun eigen dossier raadplegen. Daarin staan gevoelige gegevens, zoals verkeersovertredingen en lopende strafzaken. Die combinatie van juridische en persoonsgebonden informatie maakt een fout in de systemen extra ernstig.

Het CJIB verwerkt dagelijks grote hoeveelheden gegevens van burgers door heel Nederland. Daardoor raakt een technische storing al snel aan de privacy van een brede groep mensen. Een fout in de koppeling van dossiers is in zo’n systeem geen kleinigheid. Het gaat immers niet om een vergeten wachtwoord, maar om gevoelige juridische informatie die in verkeerde handen kan belanden.

Hoe de fout ontstond en wat ervan te zien was

Volgens het CJIB sloop er een interne technische fout in de systemen van de organisatie. Die fout zorgde ervoor dat verkeersovertredingen en strafzaken tijdelijk aan de verkeerde personen werden gekoppeld. Burgers die op dat moment waren ingelogd, liepen daardoor het risico informatie te zien die niet voor hen bedoeld was. Het CJIB bevestigt dat dit in een aantal gevallen ook daadwerkelijk is gebeurd.

De organisatie spreekt van een beperkt aantal gevallen waarin mensen andermans gegevens hebben ingezien. Hoeveel personen precies zijn getroffen, maakt het CJIB niet bekend. Ook is onduidelijk welke specifieke persoonsgegevens zichtbaar waren en in hoeverre die informatie is gedeeld of opgeslagen door degenen die er onbedoeld toegang toe kregen.

Brieven mogelijk naar verkeerde adressen verstuurd

Naast het digitale loket speelt er een bijkomend probleem. Volgens het CJIB zijn mogelijk ook fysieke brieven verstuurd met verkeerde informatie. Dat zou betekenen dat de fout niet alleen het online systeem treft, maar ook de papieren communicatie van de organisatie. Het incassobureau spreekt bewust van een mogelijkheid en bevestigt niet dat dit zeker is gebeurd. Toch voegt dit een extra laag toe aan het incident, omdat brieven doorgaans ook door andere huisgenoten worden geopend.

Bovendien zijn brieven van het CJIB niet zomaar correspondentie. Ze bevatten vaak informatie over openstaande boetes, betalingstermijnen of strafzaken. Als zulke brieven bij de verkeerde persoon belanden, kan dat leiden tot onnodige verwarring, schaamte of zelfs onterechte acties van de ontvanger.

Melding bij de Autoriteit Persoonsgegevens

Het CJIB heeft bij de Autoriteit Persoonsgegevens een voorlopige melding gedaan van een datalek. Die stap is wettelijk verplicht wanneer een organisatie vermoedt dat persoonsgegevens zijn blootgesteld aan onbevoegden. De melding is op dit moment nog voorlopig, wat betekent dat het onderzoek naar de omvang en de gevolgen van de fout nog loopt. De Autoriteit Persoonsgegevens kan op basis van de definitieve melding besluiten of nader onderzoek nodig is of sancties worden opgelegd.

Het incassobureau heeft als reactie op de fout het digitale loket per direct gesloten. Dat is de plek waar burgers normaal gesproken hun verkeersboetes kunnen inzien en beheren. De sluiting duurt voort totdat alle gegevens opnieuw correct zijn gekoppeld. Vrijdag waren al veel zaken opnieuw aan de juiste personen gekoppeld, aldus het CJIB. Wanneer het digitale loket precies weer opengaat, is echter niet bekend.

Wat dit betekent voor burgers

Voor burgers die op dit moment een zaak lopen hebben bij het CJIB, levert de storing directe ongemakken op. Zij kunnen hun dossier niet inzien, hebben geen toegang tot informatie over hun openstaande boetes en kunnen mogelijke betalingen of bezwaren niet online regelen. Daarnaast bestaat de onzekerheid of hun eigen gegevens door een ander zijn ingezien. Die combinatie van informatieverlies en privacyzorg plaatst burgers in een ongemakkelijke positie, zonder dat zij daar zelf iets aan kunnen doen.

Bovendien raakt de storing het vertrouwen in de digitale overheid. Het CJIB beheert gevoelige juridische informatie van miljoenen Nederlanders. Als die gegevens door een interne technische fout bij de verkeerde mensen terechtkomen, roept dat vragen op over de beveiliging en kwaliteitscontrole van overheidssystemen die omgaan met privacygevoelige data.

Bredere context van datalekken bij overheidsinstanties

Het incident bij het CJIB staat niet op zichzelf. Overheidsinstanties hebben de afgelopen jaren meerdere keren te maken gehad met datalekken of technische fouten waarbij persoonsgegevens onbedoeld zichtbaar werden. De Autoriteit Persoonsgegevens ontvangt jaarlijks tienduizenden meldingen van datalekken, waaronder een aanzienlijk deel van overheidsinstellingen. Dat maakt duidelijk dat de kwetsbaarheid van digitale systemen een structureel aandachtspunt is, niet een incident dat slechts bij uitzondering voorkomt.

Tegelijkertijd is de aard van de gegevens bij het CJIB bijzonder. Informatie over strafzaken en verkeersovertredingen valt onder gevoelige persoonsgegevens die extra bescherming verdienen. Juist daarom is de wettelijke verplichting tot melding bij de Autoriteit Persoonsgegevens van groot belang. De toezichthouder kan beoordelen of het CJIB adequaat heeft gehandeld en of aanvullende maatregelen nodig zijn om herhaling te voorkomen.

Wat er nu van het CJIB wordt verwacht

Het CJIB heeft vooralsnog alleen een voorlopige melding gedaan en het digitale loket gesloten. De volgende stap is het afronden van de technische herstelwerkzaamheden en het indienen van een definitieve datalekmelding bij de Autoriteit Persoonsgegevens. Burgers die mogelijk zijn getroffen door de fout, zullen doorgaans via de betrokken instantie worden geïnformeerd. Wanneer het digitale loket van het CJIB opnieuw toegankelijk is, en hoe de organisatie soortgelijke fouten in de toekomst wil voorkomen, is op dit moment nog niet duidelijk gemaakt.