Negen jaar na een eerste waarschuwing van de Autoriteit Persoonsgegevens vonden NOS en Nieuwsuur opnieuw honderden gemeentelijke documenten online met persoonsgegevens van inwoners. In 255 documenten stonden burgerservicenummers, in één document van de gemeente Pijnacker-Nootdorp zelfs 43 tegelijk, van burgers die hadden gereageerd op een nieuwbouwproject. Dat zoiets in 2026 nog gebeurt, is niet zomaar een incident: het is het resultaat van een mechanisme dat al jaren niet werkt.
Volgens gemeentekoepel VNG worden de uitkomsten van het onderzoek zeer serieus genomen en moeten persoonsgegevens goed beschermd zijn. Die reactie verandert niets aan het onderliggende probleem: gemeenten moeten van de ene wet publiceren en van de andere wet afschermen, en die twee opdrachten botsen in de praktijk voortdurend.
Van waarschuwing in 2017 tot nieuwe vondst in 2026
De Autoriteit Persoonsgegevens drong al in 2017 bij gemeenten aan op zorgvuldige omgang met het publiceren van burgergegevens. Sinds mei 2022 geldt de Wet open overheid (Woo), die gemeenten verplicht documenten actief openbaar te maken. Persoonsgegevens moeten daarbij worden weggelakt, maar dat gebeurt volgens de bevindingen van NOS lang niet altijd, of niet goed genoeg.
Het tijdsverloop is veelzeggend: tussen de eerste waarschuwing en de nieuwste vondst liggen bijna negen jaar. In die periode is de publicatieplicht via de Woo alleen maar uitgebreid, terwijl het onderliggende weglakprobleem is blijven bestaan.
Het verschil tussen wegkrassen en echt onherkenbaar maken
Het probleem zit voor een groot deel in de techniek van het weglakken zelf. Onder de Avg gelden geen regels meer voor gegevens die volledig en onomkeerbaar zijn geanonimiseerd; die zijn dan geen persoonsgegevens meer. Gegevens die alleen zijn gepseudonimiseerd, bijvoorbeeld vervangen door een code die nog naar een persoon herleidbaar is, blijven wél onder de Avg vallen.
Dat onderscheid is niet alleen theoretisch. Zolang gegevens niet volledig onherleidbaar zijn gemaakt, blijven alle Avg-verplichtingen gelden, inclusief het recht van burgers op inzage in wat er met hun gegevens gebeurt. Een document waarin een bsn per ongeluk niet is weggelakt, of waarin een naam wel is verwijderd maar het adres niet, is dus geen randgeval maar een volledig persoonsgegeven dat nooit openbaar had mogen worden.
Steeds meer gemeenten krijgen met dit soort vragen te maken, mede door de digitalisering van archieven en door Avg- en Woo-verzoeken van burgers zelf. Elk document dat wordt gepubliceerd, moet in principe langs deze technische en juridische toets, en dat op een schaal die met de uitbreiding van de publicatieplicht alleen maar groeit.
Geld dat er volgens VNG niet is
Sinds de invoering van de Woo in mei 2022 is het aantal Woo-verzoeken en de complexiteit daarvan flink toegenomen, zo stelt VNG. Dat vergt volgens de koepel meer capaciteit en middelen bij gemeenten en andere medeoverheden.
VNG, het Interprovinciaal Overleg (IPO) en de Unie van Waterschappen hebben gezamenlijk bij de Tweede Kamer gepleit voor een uitvoerbare Woo. Volgens eerdere analyses waarop deze koepels zich baseren, is voor de noodzakelijke inhaalslag een investering van honderden miljoenen euro’s nodig. Decentrale overheden hebben dat bedrag tot dusver niet gekregen, zo stelt VNG.
De koepels pleiten daarnaast voor publicatie ‘bij de bron’, op basis van landelijke standaarden, zodat systemen beter op elkaar aansluiten en documenten makkelijker vindbaar en controleerbaar worden. Dat is een andere aanpak dan losse, handmatige weglakacties per gemeente, die foutgevoelig blijken te zijn.
Hier ontstaat een spanning die niet wordt opgelost door striktere controle alleen. Gemeenten krijgen de opdracht om zowel meer te publiceren als zorgvuldiger te anonimiseren, terwijl de koepelorganisaties zeggen dat de financiering voor die zorgvuldigheid ontbreekt.
Wat de cijfers nog niet laten zien
De 255 documenten met bsn’s en het uitschietende voorbeeld van 43 nummers in één bestand tonen de omvang van individuele vondsten, maar geen landelijk totaalbeeld. Onbekend is hoeveel van de Nederlandse gemeenten in totaal met dit specifieke probleem te maken hebben; de bevindingen zijn voorbeelden, geen volledige inventarisatie.
Ook ontbreken cijfers over hoeveel datalekmeldingen gemeenten jaarlijks doen bij de Autoriteit Persoonsgegevens, waardoor een trendlijn over meerdere jaren niet te maken is op basis van dit dossier. Evenmin is duidelijk hoeveel individuele gemeenten al uitgeven aan anonimiseringstools of training, tegenover het bedrag dat VNG voor een landelijke inhaalslag nodig acht.
Zolang die cijfers ontbreken, blijft onduidelijk of het probleem vooral wordt veroorzaakt door gebrek aan geld, gebrek aan technische kennis bij individuele ambtenaren, of een combinatie van beide. De aankondiging van VNG, IPO en UvW om bij de Tweede Kamer te pleiten voor een uitvoerbare Woo is voorlopig de meest concrete stap richting een structurele oplossing, maar een besluit over extra financiering is nog niet genomen.