De gemeente Schiermonnikoog heeft fouten erkend in de verwerking van persoonsgegevens van inwoners en recreatiewoningbezitters na een datalek veroorzaakt door een ransomware-aanval bij afvalverwerker Omrin. Bij de aanval, die vorig jaar plaatsvond, werden onder meer bestanden met burgerservicenummers (BSN) gestolen en openbaar gemaakt.

Volgens het college van burgemeester en wethouders is een bestand met te veel persoonsgegevens gedeeld met Omrin. Dit bestand was bedoeld om bewoners te informeren over nieuwe tags voor ondergrondse containers, waarvoor namen en adressen nodig waren. Het bestand bevatte echter ook BSN-nummers van alle individuele bewoners, wat niet had mogen gebeuren. De burgemeester noemde het incident eind vorig jaar "supervervelend" en benadrukte dat het delen van gegevens op zich niet het grootste probleem is, maar dat misbruik van die gegevens wel ernstig zou zijn.

Omrin gaf aan dat het bestand na overleg met de gemeente is aangepast, maar dat het oorspronkelijke bestand nog op de gehackte schijf stond. De gemeente voerde een evaluatie uit waaruit bleek dat er op drie punten fouten zijn gemaakt: het aanleveren van onnodige persoonsgegevens, het doorsturen van data zonder controle en het opslaan van data door een derde partij. Deze bevindingen zijn terug te lezen in de evaluatie van het datalek.

Als reactie op het incident kondigde de gemeente verschillende maatregelen aan, waaronder het implementeren van een privacybeleid, het ontwikkelen van een informatiebeheerplan, het verwijderen van onnodige gegevens, het opstellen van Data Protection Impact Assessments (DPIA's), het afsluiten van verwerkersovereenkomsten, het invoeren van een datalekprocedure, AVG-controles, datacontroles en het organiseren van interne bewustwordingscampagnes en trainingen.

In een gesprek met het Dagblad van het Noorden bevestigde de gemeente dat er voorheen geen integraal vastgesteld privacybeleid was. Een gemeentesecretaris gaf aan dat er wel al jaren aandacht is voor de bescherming van privacygevoelige informatie, maar dat men liever eerder een formeel beleid had opgesteld.