Tweede Kamer der Staten-Generaal

2

Vergaderjaar 2019–2020

29 668

Beleidsplan Crisisbeheersing

26 643

Informatie- en communicatietechnologie (ICT)

Nr. 54

BRIEF VAN DE MINISTER VAN JUSTITIE EN VEILIGHEID
Aan de Voorzitter van de Tweede Kamer der Staten-Generaal
Den Haag, 30 april 2020
Het Ministerie van Justitie en Veiligheid heeft vandaag melding gemaakt
bij de Autoriteit Persoonsgegevens (AP) van een datalek. Het gaat om een
datalek in de app van NL-Alert. Deze app staat op zichzelf en maakt geen
onderdeel uit van de NL-Alert cell broadcast, het alarmmiddel van de
overheid in het geval van een noodsituatie. De NL-alert app is bedoeld
voor aanvullende informatiediensten en biedt gebruikers de mogelijkheid
om – naast het ontvangen van NL-alerts op de gebruikelijke wijze – een
pushbericht via de app op hun toestel te ontvangen.
Aanleiding
De NL-Alert app is door een leverancier ontwikkeld in opdracht van het
Ministerie van Justitie en Veiligheid. De NL-Alert app stuurt een pushbericht – ofwel een notificatie – in het geval van een ernstig incident in de
nabije omgeving van de gebruiker van de app, zodat aanvullende
informatie kan worden opgezocht naar aanleiding van de notificaties die
via cell broadcast worden verstuurd. Sinds begin maart hebben circa
58.000 gebruikers deze aanvullende app gedownload.
Eind maart ontdekten medewerkers van mijn ministerie dat de NL-Alert
app gebruik maakt van een externe dienst die mogelijk niet voldoet aan de
vereisten van de Algemene Verordening Gegevensbescherming (AVG).
Naar aanleiding hiervan is binnen mijn ministerie nader onderzoek
gedaan naar de werking van de NL-Alert app en is er extern juridisch
advies ingewonnen bij een gespecialiseerd advocatenkantoor. Daarbij is
ook de vraag aan de orde gekomen of er sprake zou kunnen zijn van een
datalek. Uit het extern juridisch advies dat mijn ministerie op 28 april jl.
heeft ontvangen blijkt dat dit inderdaad het geval is.
Voor zover ik dat nu heb kunnen achterhalen, zijn via de NL-Alert app
locatiegegevens van gebruikers en mogelijk andere persoonsgegevens
zoals informatie over het besturingssysteem en andere geïnstalleerde
apps, bij de externe dienst terecht gekomen zonder dat de gebruikers

kst-29668-54
ISSN 0921 - 7371
’s-Gravenhage 2020

Tweede Kamer, vergaderjaar 2019–2020, 29 668, nr. 54

1

daarvoor toestemming hebben gegeven. Na het verschijnen van het
extern juridisch advies heb ik de aanbieder van de externe dienst verzocht
het verzamelen van data via de app per direct te staken en de al verzamelde data te vernietigen.
Dichten van het datalek
Het dichten van het datalek is mogelijk door middel van een software
update of het verwijderen van de app. Omdat ik van mening ben dat het
gebruik van de NL-Alert app boven elke twijfel verheven moet zijn,
adviseer ik alle gebruikers de app voorlopig te verwijderen van hun
toestel. Dit advies zal ook via de websites van NL-Alert (www.nl-alert.nl)
en de rijksoverheid (www.rijksoverheid.nl) worden gedeeld. Daarnaast zal
er binnen enkele dagen een update van de app worden verspreid waarin
de betreffende externe dienst is verwijderd. Hiermee zorgen we ervoor dat
het datalek zo snel mogelijk wordt gedicht.
Informeren gebruikers
Inmiddels heeft mijn ministerie melding van dit datalek gemaakt bij de
Autoriteit Persoonsgegevens. Indien de komende dagen meer duidelijk
wordt over de aard en omvang van het datalek, zal ik deze melding zo
nodig aanvullen. Gebruikers van de app zullen via de website van NL-Alert
worden geïnformeerd over de voortgang van het onderzoek naar aard en
omvang van het datalek. Dit onderzoek is nog gaande.
Daarnaast heb ik de Chief Information Officer van het Rijk (CIO-Rijk)
geïnformeerd over de gang van zaken en hem verzocht de informatie met
betrekking tot dit datalek te delen met andere delen van de (rijks)overheid.
Tot slot
De NL-Alert app is een waardevolle aanvulling op de crisiscommunicatiemiddelen die de overheid heeft. Tegelijkertijd moeten burgers erop
kunnen vertrouwen dat er op zorgvuldige wijze met hun persoonsgegevens wordt omgegaan. Ik betreur deze gang van zaken en heb de
Auditdienst Rijk (ADR) gevraagd onderzoek te doen naar de gang van
zaken. De ADR heeft hiermee ingestemd.
Ik zal uw Kamer over zowel de aard, omvang en gevolgen van het datalek,
als de uitkomsten van het ADR-onderzoek informeren.
De Minister van Justitie en Veiligheid,
F.B.J. Grapperhaus

Tweede Kamer, vergaderjaar 2019–2020, 29 668, nr. 54

2