Persoonsgegevens van inwoners en medewerkers van gemeente Eindhoven geüpload naar openbare AI-websites

Het incident is op 23 oktober 2025 gemeld bij de Autoriteit Persoonsgegevens (AP). Tijdens een steekproef over 30 dagen (23 september tot 23 oktober 2025) werden verschillende soorten bestanden met persoonsgegevens aangetroffen. De exacte omvang van de geüploade gegevens vóór deze periode is niet vast te stellen, omdat de data slechts 30 dagen worden bewaard. Hierdoor kan de gemeente betrokkenen niet individueel informeren. Wel is na te gaan of er bestanden met een specifieke persoonsnaam zijn geüpload in de onderzochte periode.

'Betreurenswaardig'

Juridisch adviesbureau Hooghiemstra & Partners, dat de aard, omvang en impact onderzocht, bevestigt de bevindingen. Het college van burgemeester en wethouders en de directieraad geven aan geschrokken te zijn dat persoonsgegevens naar AI-websites zijn gestuurd. "Dat is heel vervelend voor inwoners en medewerkers. Het is betreurenswaardig dat niet precies bekend is om welke gegevens het gaat", meldt de gemeente op haar website.

Direct na de constatering blokkeerde de gemeente openbare AI-websites zoals ChatGPT. Sinds 23 oktober kunnen medewerkers alleen Copilot gebruiken binnen de beveiligde gemeente-omgeving. OpenAI is verzocht de geüploade bestanden te verwijderen, en de monitoring van extern dataverkeer is aangescherpt. Experts achten het risico dat individuele gegevens via AI-websites traceerbaar worden beperkt meldt de gemeente, maar sluiten reconstructie via geavanceerde technieken niet uit.