Antwoord schriftelijke vragen : Antwoord op vragen van het lid Rajkowski en Minhas over het bericht ‘Ernstig lek bij Kadaster: miljoenen woonadressen door iedereen op te zoeken’

Antwoord van Minister De Jonge (Binnenlandse Zaken en Koninkrijksrelaties) (ontvangen
23 oktober 2023). Zie ook Aanhangsel Handelingen, vergaderjaar 2023–2024, nr. 43.

Vraag 1

Bent u bekend met het bericht «Ernstig lek bij Kadaster: miljoenen woonadressen door
iedereen op te zoeken»?1

Antwoord 1

Ja.

Vraag 2

Bent u het eens met de stelling dat gezien de toenemende dreiging en intimidatie het
Kadaster extra zorgvuldig met gevoelige persoonsgegevens om dient te gaan? Zo ja,
wat is hier verkeerd gegaan? Zo nee, waarom niet?

Antwoord 2

Het opzoeken en verspreiden van persoonsgegevens met de bedoeling te willen intimideren
of te bedreigen vind ik een kwalijke en onacceptabele zaak. Het is goed dat dit per
1 januari strafbaar wordt gesteld. Daarbovenop ben ik het eens met de stelling dat
gezien de toenemende dreiging en intimidatie, extra zorgvuldig met persoonsgegevens
om dient te worden gegaan. In dit geval was het mogelijk toegang te krijgen tot zoeken
op naam bij het Kadaster door misbruik te maken van de aanmeldprocedure voor nieuwe
gebruikers. Dit door op basis van een KVK-nummer en een rekeningnummer van een willekeurig
bedrijf een account aan te vragen.

Vraag 3

Sinds wanneer is dit lek bij het Kadaster bekend en zijn er toen direct maatregelen
getroffen? Zo ja, welke? Zo nee, waarom niet?

Antwoord 3

Direct na melding door de journalist en voorafgaande aan de berichtgeving over dit
lek in de pers zijn door het Kadaster maatregelen getroffen. Zo krijgt iedere persoon
die een account aanvraagt de inloggegevens inmiddels gescheiden toegestuurd (deels
via e-mail, deels via post) en op het adres dat behoort bij het KvK-nummer dat wordt
opgegeven. Daarnaast is het Kadaster begonnen alle bestaande accounts door te lichten.

Voorts gaat het Kadaster inloggen via eHerkenning per begin volgend jaar verplicht
stellen voor gebruikers van specifieke diensten, waaronder Kadaster Online (KOL) en
Keten Integratie Kadaster (KIK). Het Kadaster faciliteert reeds eHerkenning, maar
voor verplicht gebruik is het ook nodig dat ketenpartners daarop zijn ingericht. De
registers kunnen dan niet meer anoniem worden geraadpleegd. Naast de bestaande logging
van wie welke gegevens opvraagt, zal het Kadaster deze monitoring op KOL uitbreiden.
Er zijn daardoor meer gegevens beschikbaar als het Openbaar Ministerie een verzoek
om informatie doet. Tezamen met het feit dat doxing vanaf 1 januari a.s. strafbaar
is, worden hiermee belangrijke stappen gezet om misbruik van persoonsgegevens verder
te minimaliseren. Voor de duidelijkheid merk ik op dat er geen signalen zijn dat er
ook daadwerkelijk misbruik is gemaakt van de situatie. Ook wil ik benadrukken dat
persoonsgegevens van personen voor wie op grond van artikel 37a Kadasterbesluit de
verstrekking van persoonsgegevens is uitgesloten, niet kunnen worden geraadpleegd
via KOL en dus ook niet zichtbaar waren of zijn bij oneigenlijk gebruik van accounts.
Deze personen liepen, met andere woorden, geen risico als gevolg van het in de pers
genoemde lek. Datzelfde geldt voor de woonadressen van personen die deze in de BRP
hebben laten afschermen.

Vraag 4

Is het lek inmiddels volledig gedicht? Zo nee, waarom niet?

Antwoord 4

Het lek in de aanmeldprocedure is inmiddels volledig gedicht. Zoals aangegeven in
het antwoord op vraag 3, zijn door het Kadaster direct na melding door de journalist
maatregelen getroffen om het lek te dichten. Als gevolg van de maatregelen is het
niet meer mogelijk om op basis van een KVK-nummer en een rekeningnummer van een willekeurig
bedrijf een account aan te vragen. Het Kadaster werkt momenteel aan het controleren
van de bestaande zakelijke accounts. Hiervan is tot op heden driekwart gecontroleerd.
Accounts die niet voldoen aan de gestelde eisen en die niet reageren op contactverzoeken
worden direct afgesloten van de Kadaster dienstverlening. De controle (die handmatig
plaatsvindt) zal naar verwachting in november worden afgerond.

Vraag 5

In het artikel wordt gerefereerd aan een noodzakelijke wetwijziging. Om welke wetswijziging
gaat het en kan de Kamer een voorstel hiertoe zo snel mogelijk ontvangen? Zo nee,
waarom niet?

Antwoord 5

Bij brief van 5 september jl. heb ik de Kamer laten weten zoeken op naam te gaan beperken
tot professionele gebruikers en daarnaast mogelijk te maken dat personen die te maken
hebben met bedreigingen en intimiderende situaties op verzoek hun adres kunnen laten
afschermen. Dit rekening houdend met de primaire functie van het Kadaster en onder
een aantal voorwaarden. Hiertoe moet het Kadasterbesluit worden aangepast. Voor de
strekking van de wijziging verwijs ik graag naar mijn brief van 5 september jl.2 Aan de uitwerking van de maatregelen en de wijziging van het Kadasterbesluit wordt
momenteel hard gewerkt. Met het Kadaster streef ik er naar de maatregelen per medio
oktober 2023 te implementeren. De wijziging van het Kadasterbesluit zal met terugwerkende
kracht per die datum in werking treden. Ik doe dat, omdat de berichtgeving van RTL
Nieuws en de toenemende mate van doxing mij en het Kadaster heeft gesterkt in de overtuiging
dat zo snel mogelijk maatregelen moeten worden getroffen. Over de exacte uitwerking
van de maatregelen en de wijzigingen van het Kadasterbesluit zal ik de Kamer zo spoedig
mogelijk informeren.

Vraag 6

Welke andere veiligheidsmaatregelen bent u voornemens in te voeren? Wanneer gaat dit
gebeuren?

Antwoord 6

Ik verwijs hiervoor naar de antwoorden op de vragen 3 en 5 en de hiervoor genoemde
brief van 5 september jl. aan uw Kamer.

Vraag 7

Bent u bekend met het feit dat woonadressen o.a. door dit lek door criminelen aan
kwaadwillenden via Telegram-groepen verkocht worden? Zo nee, hoe beoordeelt u dit?
Zo ja, welke stappen bent u bereid te zetten voor gedupeerden?

Antwoord 7

Ik was, net zoals het Kadaster, er niet mee bekend dat in criminele chatgroepen op
Telegram illegaal wordt gehandeld in woonadressen van Nederlanders. Zoals reeds bij
vraag 2 aangegeven veroordeel ik dat ten zeerste. Na publicatie heeft het Kadaster
onderzoek gedaan naar de personen genoemd in de RTL-publicatie, waarvan de woonadressen
zijn gedeeld in Telegramgroepen. Uit dat onderzoek blijkt dat er van deze personen
sinds september 2022 geen signalen zijn van directe verstrekkingen uit het Kadaster
voor «doxing» of andere oneigenlijke doelen.

Vraag 8

Kunt u uiteen zetten op welke manier de gegevens van mensen beschermd worden in het
Kadaster en daarbij specifiek in gaan op de gegevens van personen zonder veiligheidsindicatie,
de gegevens van personen met veiligheidsindicatie en de gegevens van personen die
onder het stelsel «bewaken en beveiligen» vallen? Zo nee, waarom niet?

Antwoord 8

Op 1 juli 2019 is artikel 37a van het Kadasterbesluit in werking getreden. Dit artikel
regelt de mogelijkheid dat personen die vallen binnen het stelsel Bewaken en Beveiligen
een verzoek aan het Kadaster kunnen doen zodat gedurende vijf jaren hun gegevens niet
worden verstrekt. Voor de extra maatregelen voor personen die niet vallen onder het
stelsel Bewaken en Beveiligen verwijs ik u naar de in de Kamerbrief van 5 september
jl. genoemde maatregelen.

Vraag 9

Bent u het ermee eens dat er een onderzoek dient te worden gestart zodat het inzichtelijk
is welke data is gelekt en bent u bereid slachtoffers te informeren? Zo nee, waarom
niet?

Antwoord 9

Ja, in de brief van 5 september 2023 aan de Kamer heb ik ook aangegeven dat het Kadaster
begonnen is alle bestaande accounts door te lichten op mogelijke signalen van oneigenlijke
toegang of gebruik van gegevens. Bij deze controles is een beperkt aantal personen
ontdekt die mogelijk slachtoffer konden zijn van het lek. Deze personen zijn daarom
concreet verder onderzocht door het Kadaster, tot nu toe zijn er daarbij geen signalen
geconstateerd van oneigenlijk gebruik van accounts met lekken van data als gevolg.
Desondanks zijn deze personen door het Kadaster wel per brief op de hoogte worden
gebracht. Wanneer er in de toekomst blijkt dat er toch slachtoffers zijn naar aanleiding
van dit lek, zullen zij uiteraard zo snel mogelijk worden geïnformeerd.

Vraag 10

Bent u het ermee eens dat logging en autorisatie zodanig ingericht moeten worden dat
het voor het Kadaster en waar gewenst voor de betreffende persoon, inzichtelijk is
wie wanneer welke gegevens heeft opgevraagd? Zo nee, waarom niet? Zo ja, hoe gaat
u ervoor zorgen dat dit geregeld wordt?

Antwoord 10

Ja. Zie het antwoord op vraag 3.

Vraag 11

Bent u het ermee eens dat alleen specifieke beroepsgroepen gebruik zouden mogen maken
van de zoekfunctie waarbij op naam gezocht mag worden in het Kadaster en dat een beroepscode
hieraan bij zou kunnen dragen? Zo nee, waarom niet en wat gaat u doen om te voorkomen
dat ook anderen (ongewenst) toegang krijgen tot adresgegevens? Zo ja, wanneer gaat
u hiermee aan de slag?

Antwoord 11

Ik verwijs hiervoor naar het antwoord op vraag 5.