Een mail voor 18 mensen, zichtbaar voor alle 18
De Metropolitan Police Service (MPS) stuurde een mail om 18 mensen met een band met het Britse parlement te waarschuwen voor een wijziging in de borgtochtdatum van een verdachte, en verraadde daarmee aan iedereen wie de andere 17 waren.
De ontvangers waren in 2024 en 2025 doelwit van iemand die via WhatsApp-berichten compromitterend materiaal over hen probeerde te verzamelen, een zaak die de Information Commissioner's Office (ICO), de Britse gegevensbeschermingsautoriteit, de "Honeytrap-zaak" noemt. Een MPS-agent zette elk e-mailadres in het veld "Aan" in plaats van een verborgen veld, waardoor iedereen naam en adres van alle anderen kon zien. De inhoud van de mail benoemde de reden niet expliciet, maar de context alleen al liet toe zeer gevoelige informatie over elke betrokkene af te leiden.
Het tweede datalek was erger: het nieuwe adres van een stalkingslachtoffer
Een tweede fout van de MPS, onderzocht in dezelfde zaak, bracht een stalkingslachtoffer opnieuw in gevaar bij de persoon voor wie ze was gevlucht.
Een agent die documenten betekende in een zaak rond een Stalking Protection Order, liet na vertrouwelijke informatie van derden te anonimiseren voordat hij ze aan de verdachte overhandigde. De stukken onthulden het nieuwe adres en telefoonnummer van het slachtoffer, plus namen en contactgegevens van drie getuigen. Het slachtoffer had beide juist gewijzigd vanwege het risico dat de verdachte vormde. Hij nam later via het nieuwe nummer contact met haar op en zei dat hij haar nieuwe gegevens van de MPS zelf had gekregen.
Geen op zichzelf staande fouten: wat de ICO eronder vond
Het onderzoek van de ICO wees uit dat beide datalekken dezelfde onderliggende oorzaak deelden: zwakke trainingsnaleving, gebrekkige controle en governance, geen twee ongelukkige eenmalige fouten.
De agent die de groepsmail verstuurde had al meer dan vier jaar geen verplichte gegevensbeschermingstraining gevolgd, en ook de leidinggevende die de fout had moeten opmerken was bijna even lang ongeschoold. De MPS erkende zelf dat de voltooiingscijfers van de verplichte Managing Information-training korpsbreed te laag waren. In de stalkingszaak stelde de ICO ook vast dat de betrokken agenten niet de vereiste specialistische training voor Stalking Protection Order-documenten hadden gekregen, en dat het proces voor het opstellen en controleren van die documenten ontoereikend was.
De oplossing die elk bedrijf vandaag kan overnemen
De ICO gaf de MPS drie en twaalf maanden om de training, controle en governance te herstellen, en de nuttigste les voor elke andere organisatie zit in wat ze niet deed: ze accepteerde geen beleidsdocument als bewijs dat het probleem was opgelost.
De MPS had al een gedragswaarschuwingstool ingevoerd die medewerkers waarschuwt wanneer een mail op het punt staat naar meerdere externe ontvangers te gaan, precies het soort waarborg dat de meeste zakelijke mailplatforms hun beheerders al bieden en dat simpelweg niet wordt ingeschakeld. Elk bedrijf dat groepsmails stuurt naar klanten, patiënten of zaakcontacten, in hr, zorg, recht of professionele dienstverlening, loopt exact hetzelfde risico dat de MPS zojuist demonstreerde: iemand die vergeet een verborgen veld te gebruiken, en een leidinggevende die het nooit controleerde. Eén detail is de moeite waard voor lezers uit de private sector, niet voor overheidsinstanties: de ICO gaf hier een berisping en een bevel, geen boete, in lijn met haar verklaarde beleid om overheidsinstanties zelden met boetes te straffen, omdat een boete alleen geld tussen onderdelen van de staat verschuift. Een particulier bedrijf met dezelfde fout zou niet dezelfde behandeling krijgen. In Nederland handhaaft de Autoriteit Persoonsgegevens hetzelfde vertrouwelijkheidsbeginsel van artikel 5, lid 1, onder f, van de AVG, ongeacht of de verwerkingsverantwoordelijke een overheidsinstantie of een bedrijf is.
Lees hierna: De EU herschrijft de AVG | Faalt Uw Bedrijf, Dan Worden Uw E-Mails Verkocht
