Bij de aanbesteding van mobiele telefonie (een openbare procedure om offertes van bedrijven te vragen) heeft een medewerker van de hogeschool vorige week per ongeluk een bestand geüpload waarin persoonsgegevens en bel- en sms-gegevens van 287 medewerkers met een hogeschooltelefoon terug te vinden waren. Naast het telefoonnummer en de naam van de gebruiker was het inkomende en uitgaande telefoonverkeer van januari tot en met juli 2018 te zien.

Vier dagen online

De HR-medewerker zette het bestand maandag 24 september op aanbestedingsplatform TenderNed. Donderdag 27 september ontdekte de HR het datalek, haalde de belgegevens offline en vroeg aan alle partijen die zich voor de aanbesteding hebben gemeld het document te vernietigen en dat schriftelijk te bevestigen.

Medewerkers van wie gegevens gelekt zijn, hebben vandaag een mail gekregen waarin gevraagd wordt extra alert te zijn op hun mobiele telefoon. Uit de brief: ‘We kunnen het risico van oneigenlijk gebruik door derden niet uitsluiten en vragen je daarop alert te zijn. Mocht je in de komende periode iets afwijkends ervaren in het gebruik van je zakelijke mobiele telefoon, neem dan contact op met het informatiepunt privacy van de hogeschool.’

HR in gesprek met Vodafone over aanleveren gegevens

De HR spreekt in een communiqué van ‘een menselijke fout’, die ‘ten zeerste betreurd’ wordt. Volgens Kees-Jan van Klaveren, functionaris gegevensbescherming van de hogeschool, is het belangrijk dat de hogeschool in gesprek gaat met de huidige provider, Vodafone, over de vraag of gegevens over het telefoonverkeer wel gekoppeld moeten worden aan namen van medewerkers.

Dat Vodafone die telefoniegegevens met de hogeschool deelt, is volgens Van Klaveren op zichzelf géén datalek, omdat de medewerker van de hogeschool die deze gegevens ontving bevoegd is om met die gegevens te werken. Met de gegevens wilde de HR telecomaanbieders inzicht geven in de omvang van de aanbesteding. ‘Er was een legitieme reden om het telefoonverkeer voor analyse op te vragen, maar daar hadden niet de namen van alle medewerkers bij hoeven staan.’

Of het datalek gevolgen heeft voor de HR, in de vorm van een boete of waarschuwing, kan een woordvoerder van de Autoriteit Persoonsgegevens niet zeggen. Dat hangt onder andere af van de ernst van het lek.

Tosca Sel & Olmo Linthorst