De gemeente Rotterdam stelt dat zij structureel investeert in de bescherming van persoonsgegevens en digitale veiligheid. Die reactie volgde op vragen die werden gesteld naar aanleiding van verschillende grote datalekken van de afgelopen tijd, waaronder bij Odido, Booking.com, Rituals en de gemeente Epe. Vooral dat laatste incident maakte veel indruk, omdat daar persoonsgegevens van vrijwel alle inwoners in handen van cybercriminelen terechtkwamen.
Dit soort berichten lijken steeds minder als uitzonderingen voelen. Waar een groot datalek vroeger dagenlang het nieuws beheerste, lijken we er inmiddels bijna aan gewend te raken dat er regelmatig weer ergens persoonsgegevens op straat belanden. Dat is misschien wel de grootste verandering die zich ongemerkt voltrekt. Digitale veiligheid is niet langer een technisch onderwerp dat zich afspeelt op de achtergrond, maar raakt inmiddels aan bijna alle onderdelen van ons dagelijks leven.
Vrijwel iedere Rotterdammer heeft persoonsgegevens bij de gemeente opgeslagen. Van een paspoortaanvraag tot een verhuizing en van een vergunning tot ondersteuning vanuit het sociaal domein; op allerlei momenten vertrouwen inwoners hun gegevens toe aan de overheid. Dat gebeurt vaak zonder erbij stil te staan, omdat we ervan uitgaan dat die informatie veilig wordt beheerd.
Tegelijkertijd worden de risico’s steeds groter. Cybercriminelen richten zich allang niet meer uitsluitend op grote bedrijven, maar kijken nadrukkelijk naar organisaties die grote hoeveelheden persoonsgegevens beheren. Gemeenten zijn daardoor een aantrekkelijk doelwit geworden.
In de beantwoording van de vragen laat Rotterdam zien dat er veel gebeurt om die risico’s te beperken. De gemeente noemt onder meer strengere toegangscontroles, continue monitoring, periodieke audits, penetratietesten en samenwerking met ethische hackers en landelijke organisaties die zich bezighouden met cyberveiligheid. Ook wordt gewerkt aan een verdere versterking van de digitale weerbaarheid van de organisatie.
Toch viel mij vooral de eerlijkheid op waarmee tegelijkertijd wordt erkend dat volledige veiligheid nooit kan worden gegarandeerd. Dat is misschien een ongemakkelijke boodschap, maar waarschijnlijk ook de meest realistische. De vraag is namelijk niet meer óf organisaties met cyberaanvallen te maken krijgen, maar hoe goed zij daarop voorbereid zijn en hoe snel zij kunnen handelen wanneer er iets misgaat. Die uitdaging wordt alleen maar groter nu cybercriminelen steeds vaker gebruikmaken van kunstmatige intelligentie om aanvallen slimmer, sneller en overtuigender te maken. Tegelijkertijd proberen overheden dezelfde technologie juist in te zetten om dreigingen eerder te herkennen en schade te beperken. Daarmee ontstaat een voortdurende digitale strijd die voor de meeste inwoners grotendeels onzichtbaar blijft.
Het onderwerp draait daarom uiteindelijk niet alleen om techniek, maar ook om vertrouwen. Inwoners leveren hun persoonsgegevens aan omdat dat noodzakelijk is om gebruik te kunnen maken van gemeentelijke dienstverlening. Daar mag ook iets tegenover staan: de zekerheid dat die gegevens met de grootst mogelijke zorgvuldigheid worden beschermd.
Positief is dat Rotterdam niet alleen investeert in de eigen systemen, maar ook probeert inwoners digitaal weerbaarder te maken. Via cursussen, voorlichting en samenwerkingen met maatschappelijke organisaties wordt aandacht besteed aan phishing, identiteitsfraude en veilig internetgebruik. Voorbeelden hiervan zijn het programma Digitale Inclusie, Hackshield en Rotterdam Protected. Dat is belangrijk, omdat digitale veiligheid niet uitsluitend een verantwoordelijkheid van de overheid is, maar iets waar inwoners zelf ook steeds vaker mee te maken krijgen.
Tegelijkertijd blijft er een ongemakkelijke werkelijkheid bestaan. Hoe voorzichtig iemand zelf ook is, de grootste risico’s ontstaan vaak op plekken waar inwoners nauwelijks invloed op hebben. Wanneer een organisatie wordt gehackt, kunnen persoonsgegevens alsnog in verkeerde handen terechtkomen.
Misschien moeten we digitale veiligheid daarom anders gaan benaderen. Niet als een technisch dossier voor specialisten, maar als een basisvoorwaarde voor een goed functionerende samenleving. Net zoals we verwachten dat bruggen veilig zijn, verkeerslichten werken en straatverlichting het doet, mogen inwoners er ook op vertrouwen dat zorgvuldig met hun persoonsgegevens wordt omgegaan.
Want hoe verder onze samenleving digitaliseert, hoe waardevoller die gegevens worden. En juist daarom wordt het beschermen van persoonsgegevens steeds meer een kwestie van publiek vertrouwen. Dat vertrouwen opbouwen kost jaren, maar het kan door één ernstig incident in korte tijd grote schade oplopen.