230111 Raadsinformatiebrief inzake Kassa uitzending 13-1-2024

RAADSINFORMATIEBRIEF

Datum : 11 januari 2024 Onderwerp : Data hack bij Easypark, uitzending Kassa 13 januari 2024 Van : Christiaan Peetoom - Wethouder

Geachte leden van de raad,

In het kader van de actieve informatieplicht berichten wij u als volgt.

Alkmaar is lid van het Servicehuis Parkeer- en Verblijfsrechten (SHPV). SHPV regelt o.a. contractbeheer met de providers van belparkeren en het verwerken van de bijbehorende parkeerinkomsten voor de aangesloten gemeenten. Eerder deze week heeft het TV programma Kassa SHPV benaderd naar aanleiding van een data hack bij Easy Park (een van de providers voor belparkeren). De verantwoordelijkheid voor een datalek ligt geheel bij het bedrijf Easypark. De directie van SHPV heeft reeds overleg gehad met zowel Easy Park als RDW en bijgaande reactie opgesteld.(bijlage) Easy Park heeft inmiddels maatregelen genomen en haar klanten op de hoogte gesteld: niemand is gedupeerd en het betreft een incident (dus geen historie van terugkerende lekken/hacks bij hen of andere providers) Kassa is vooral geïnteresseerd in de vraag of SHPV als coöperatie van gemeenten voldoende controleert op de privacy en databeveiliging. In de overeenkomst die SHPV met providers afsluit is onder meer vastgelegd dat providers zich dienen te houden aan de wet -en regelgeving op het gebied van databeveiliging en privacy.

Data hack bij Easypark, uitzending Kassa 13 januari 2024 1

BIJLAGE: Verklaring SHPV

Jeroen Kortschot, KASSA

Naar aanleiding van uw vragen voor het tv programma KASSA gerelateerd aan het data hack bij Easy Park kunnen wij het volgende melden: SHPV is een coöperatie van gemeenten voor het ondersteunen van betaald parkeren via bijvoorbeeld betaalapps. Hiervoor beheren en ontwikkelen wij samen met RDW het Nationale Parkeerregister (met digitale gegevens van locaties en voorwaarden voor betaald parkeren in alle 114 aangesloten gemeenten en data over alle parkeeracties) en sluiten wij namens gemeenten contracten met private aanbieders/providers van mobiel betalen. Gebruikers van mobiel betalen maken gebruik van één van de 17 aangesloten providers en SHPV sluit die providers aan op het NPR. Aan die aansluiting worden hoge eisen gesteld o.m. aan de integriteit van het bedrijf, financiële en technische betrouwbaarheid en klantgerichtheid. Ook is in de overeenkomst die SHPV met de providers sluit opgenomen dat de provider zich dient te houden aan de wet -en regelgeving omtrent de beveiliging en verwerking van persoonsgegevens. Voor het starten en stoppen van een parkeeracties via het NPR vraagt SHPV overigens alleen om het kenteken en de start- en stoptijd. Verdere persoonsgegevens worden niet gevraagd of verwerkt. Gebruikers die niet van een mobile app gebruik kunnen of willen maken kunnen altijd terecht bij een parkeerautomaat op straat.

RDW registreert, buiten de kentekens, dus geen persoonsgegevens en hanteert zeer stringente protocollen voor de beveiliging van haar data. Hoe providers binnen de kaders van de wet -en regelgeving en het contract met SHPV data beveiligen en persoonsgegevens beschermen en of en in welke mate persoonsgegevens worden geregistreerd is de verantwoordelijkheid van dat bedrijf. Ondanks dat SHPV, gemeenten of de RDW juridisch niet verantwoordelijk is voor de verwerking en beveiliging van persoonsgegevens door private aanbieders/providers nemen we de verwerking van persoonsgegevens in de gehele keten van digitaal parkeren zeer serieus. Wanneer daar aanleiding voor is zal SHPV zowel met providers als met de aangesloten gemeenten in gesprek gaan over de noodzaak van aanvullende maatregelen. Wij vinden het overigens niet nodig om dit voor een camera op tv. verder toe te lichten.

Ik hoop u hiermee voldoende te hebben geïnformeerd, Met vriendelijke groet,

Martin Andriessen Directeur SHPV

Data hack bij Easypark, uitzending Kassa 13 januari 2024 2