De documenten werden openbaar gemaakt nadat inwoners bijvoorbeeld een vergunning hadden aangevraagd of feedback hadden gegeven op voorstellen met betrekking tot hun omgeving, zoals de vestiging van een asielzoekerscentrum.

Op grond van de Wet op de openbaarheid van bestuur (Woo) zijn gemeenten verplicht talrijke documenten openbaar te maken, maar moeten zij eerst alle persoonsgegevens anonimiseren. Uit het onderzoek blijkt dat juist hier vaak problemen ontstaan.

De onderzoekers ontdekten burgerservicenummers (BSN’s) in 255 verschillende documenten. Een document van de gemeente Pijnacker-Nootdorp bevatte 43 BSN’s, evenals namen, adressen, e-mailadressen en soms telefoonnummers van inwoners die hadden deelgenomen aan een nieuwbouwproject.

De Autoriteit Persoonsgegevens stelt dat hier in het algemeen geen reden voor is en dat dergelijke gevallen worden beschouwd als een datalek. Onzorgvuldige omgang met het BSN kan leiden tot identiteitsdiefstal en andere vormen van misbruik van persoonsgegevens.

De wet merkt het aan als een datalek

Talrijke gemeenten hebben inmiddels documenten van hun websites verwijderd nadat was gebleken dat daarin onbedoeld persoonsgegevens van inwoners en andere betrokkenen waren opgenomen. De NOS en Nieuwsuur hebben talrijke van dit soort documenten ontdekt, waarbij het in sommige gevallen slechts om e-mailadressen en telefoonnummers ging, terwijl in bepaalde gevallen ook burgerservicenummers, paspoortnummers en geboortedata waren opgenomen.

In Voorschoten stonden in een aanvullend document bij een statutenwijziging de namen, adressen, geboortedata en paspoortnummers van de bestuursleden van de stichting vermeld.

De gemeente stelt dat er geen aanwijzingen zijn dat deze gegevens zijn misbruikt.

Huizen heeft een document uit 2018 verwijderd waarin onder meer de naam, het adres, de woonplaatsgegevens en het burgerservicenummer van de inwoner stonden vermeld. Almelo heeft uit voorzorg alle documenten van vóór 2016 uit de online toegang verwijderd, nadat was ontdekt dat een document uit 2013 persoonlijke gegevens van een inwoner bevatte.

Aangezien hiermee persoonlijke gegevens van anderen openbaar zijn gemaakt, wordt dit volgens de wet aangemerkt als een datalek. De betrokken gemeenten hebben de Autoriteit Persoonsgegevens hiervan op de hoogte gesteld.