Onderzoek: UWV ging verder met illegale dataverzameling dan gedacht

UWV ging veel verder in het illegaal verzamelen van data dan oorspronkelijk werd gedacht. Bezoekers werden voor langere tijd gevolgd door de uitkeringsinstantie. Zo kon het UWV via het gebruik van cookies bezoeken van mensen op hetzelfde apparaat aan elkaar koppelen. Zelfs als een bezoeker niet inlogde. Dat blijkt uit onderzoek van de NOS.

UWV gaf voorheen aan dat het 'sessiecookies' gebruikte. Wat inhoudt dat slechts één bezoek werd gevolgd. Dat klopte niet, want een van de cookies ging tot zeker een halfjaar langer mee, bevestigt UWV. Daardoor konden bezoeken aan elkaar gekoppeld worden, ook al zat daar een half jaar tussen. Hierdoor kon UWV bezoekers volgen terwijl zij niet eens waren ingelogd op UWV.nl. Inloggen op DigiD was al genoeg om alle bezoeken op een apparaat aan die persoon te koppelen.

NOS vroeg UWV of de instantie de data ook langer opslaat dan eerder werd gemeld. Daar wil UWV niet op ingaan. Het antwoord luidt: "Er zijn cookies met een korte levensduur en andere hebben juist een lange levensduur. Dat hangt helemaal af van het doel van de cookie."

Cookie gekoppeld aan BSN

Hoe UWV bezoekers volgt werkt zo. UWV plaatst op de eigen site meerdere volgcookies. Als je inlogt op de website van UWV middels DidiD, word je gevolgd. Maar wat blijkt nu? Een van de volgcookies die door UWV zijn geplaatst is gekoppeld aan je burgerservicenummer (BSN). Enige tijd ;ater ga je weer naar de site van UWV. Je logt niet in om bijvoorbeeld uitkeringszaken te regelen, maar alleen om even wat algemene informatie te vergaren. Ook in dat geval word je dus gevold, omdat je bezoek is gekoppeld aan je BSN.

De Autoriteit Persoonsgegevens bestempelt de situatie als zorgelijk. De privacywaakhond tikte UWV al eerder op de vingers. AP en UWV hebben inmiddels een gesprek ingepland.