„De AP verwacht nadrukkelijk dat de provincie Zuid-Holland er alles aan doet om de privacybescherming op orde te brengen. Bewoners moeten erop kunnen rekenen dat hun persoonlijke gegevens in veilige handen zijn. Nu is dat helaas nog onvoldoende het geval”, zegt een woordvoerder van de autoriteit. De privacywaakhond stuurde de provincie in november al een brief met veel kritiekpunten. Zo is de omvang van het datalek volgens de AP nog steeds niet volledig in beeld, verloopt de afhandeling „moeizaam” en „ontbreken harde afspraken”.

De AP kan sancties opleggen als een organisatie de privacywetgeving overtreedt. „Het blijft zaak dat de provincie beter en concreter werkt aan haar privacy-volwassenheidsniveau. Gebeurt dat niet, dan valt niet uit te sluiten dat de AP kijkt naar andere middelen om ervoor te zorgen dat de provincie de wet naleeft”, aldus de woordvoerder.

In het najaar van 2023 werd een datalek ontdekt in een intern systeem met ongeveer 50 miljoen documenten. De provincie kwam erachter dat medewerkers bij gegevens konden komen waar ze geen toegang toe hadden moeten krijgen, zoals persoonsinformatie, salarisspecificaties en strafrechtelijke gegevens. Volgens de AP is de situatie nog altijd niet volledig op orde. „Hoe langer het datalek voortduurt, hoe groter het risico dat persoonsgegevens in verkeerde handen komen.” Na een „constructief” gesprek eind november met de provincie ziet de AP wel „enkele concrete verbeteringen”, zoals het officieel vastleggen van privacybeleid.

Zuid-Holland sprak eerst de verwachting uit eind 2025 te kunnen voldoen aan de eisen van de AP. Later werd dat bijgesteld naar eind 2026. Volgens de provincie komt de „continuïteit van de bedrijfsvoering en de dienstverlening onacceptabel in het geding” als het aanpassen van de toegang tot bepaalde documenten niet zorgvuldig gebeurt. De AP mist „concrete onderbouwing” waarom dit niet sneller kan. De Provinciale Staten bespreken de situatie in april.