Bijlage 1: Raadsinformatiebrief ivm auditrapport.pdf

Raadsinformatiebrief

Aan:

Portefeuillehouder(s): Behandeld door

De leden van de gemeenteraad van Amsterdam 15 februari 2022 Financiën Victor Everhardt Directie Belastingen (bestuurszaken.belastingen@amsterdam.nl)

Onderwerp

Auditrapport nav. diefstal schijf met persoonsgegevens bij Belastingen

Datum Portefeuille(s)

Geachte leden van de gemeenteraad, Zoals toegelicht in de raadsbrieven van 16 april en 8 juli 2021, is op 7 april 2021 geconstateerd dat in het pand van Belastingen Amsterdam aan de Herikerbergweg een harde schijf met persoonsgegevens is gestolen uit een computer die wordt gebruikt voor het scannen van inkomende poststukken. Graag geef ik u een update van de stappen die de afgelopen maanden zijn gezet om de beveiliging van persoonsgegevens bij Belastingen en de andere betrokken gemeentelijke organisatieonderdelen verder te verbeteren. Zo is op initiatief van Belastingen door de interne auditdienst een onderzoek verricht naar de fysieke en informatiebeveiliging bij Belastingen na de verhuizing naar het pand aan het Anton de Komplein in Amsterdam Zuidoost. Het auditrapport is ter informatie bijgevoegd. Aandacht voor betrokkenen Na de constatering van de diefstal zijn direct maatregelen genomen om herhaling hiervan te voorkomen. Daarnaast werd in deze eerste fase vooral aandacht geschonken aan de informatievoorziening aan betrokken Amsterdammers van wie mogelijk gegevens in verkeerde handen zijn gekomen. Zij hebben in april 2021 een brief gekregen over het incident en zijn gevraagd alert te zijn op tekenen van mogelijke fraude en misbruik. Naar aanleiding hiervan hebben in totaal ca. 2.000 van de 30.000 betrokkenen contact gezocht met Belastingen Amsterdam.

Met het oog op het voorkomen van identiteitsfraude, is mede op het advies van het Centraal Meldpunt Identiteitsfraude en de Fraudehelpdesk Identiteitsfraude gekozen om betrokkenen van wie een kopie van een identiteitsbewijs op de schijf was opgeslagen een nieuw ID-bewijs aan te bieden op kosten van de gemeente. Omdat Belastingen in haar werkprocessen niet vraagt om kopieën van ID-bewijzen, komt het in de praktijk zelden voor dat Amsterdammers toch uit eigen beweging een kopie insturen. In totaal is aan tien Amsterdammers een nieuw ID-bewijs verstrekt. De basis voor de aanpak en afhandeling van het incident zijn conform de richtlijnen en de adviezen van de Autoriteit Persoonsgegevens verricht. Tot op heden zijn er overigens geen tekenen van misbruik gesignaleerd. Het politieonderzoek naar de diefstal is inmiddels afgerond zonder concrete resultaten.

Gemeente Amsterdam, raadsinformatiebrief

Datum 15 februari 2022 Pagina 2 van 3

Onderzoek naar de beveiliging van persoonsgegevens bij Belastingen en haar ketenpartners. Belastingen Amsterdam is in juni verhuisd naar het gemeentelijke pand aan het Anton de Komplein in Zuidoost. Bij deze verhuizing zijn de fysieke en digitale beveiligingsmaatregelen aangescherpt. Het college hecht grote waarde aan bescherming van de gegevens van Amsterdammers. De diefstal is aanleiding geweest voor Belastingen om de interne auditdienst te vragen om een onderzoek uit te voeren naar de genomen maatregelen. Omdat Belastingen in haar werkprocessen nauw samenwerkt met verschillende andere organisatieonderdelen, waaronder de directies Facilitair Bureau, ICT en de IV-eenheid van cluster Dienstverlening en Informatie, is de gehele keten binnen de scope van het onderzoek gebracht. Het doel van het onderzoek was niet alleen om zicht te krijgen op de huidige fysieke en informatiebeveiliging binnen Belastingen, maar nadrukkelijk ook om samen met de ketenpartners die betrokken zijn bij het scanproces lering te trekken uit het incident. Conclusies op hoofdlijnen In het bijgevoegde auditrapport wordt geconstateerd dat:  De fysieke en informatiebeveiliging sterk is verbeterd ten opzichte van de oude situatie aan de Herikerbergweg.

De belangrijkste verbeteringen zijn het dagelijks verwijderen van de gescande stukken van de scan-pc en de forse beperking in de toegang tot de postkamer, waarmee het lastiger is gemaakt om toegang tot de gegevens te krijgen. Daarbij is met name de omvang van een potentieel datalek (impact) aanzienlijk beperkt;  De digitale en fysieke gegevens verwerkt in het scanproces, zijn tegelijkertijd nog onvoldoende beschermd. Het risico van een datalek is nog niet geheel uitgesloten. Gezien de extra gevoelige informatie van persoonsgegevens, mag verhoogde bescherming worden verwacht. In dat kader worden onder meer de volgende aandachtspunten genoemd:  het verder beperken van de toegang van medewerkers tot de harde schijf;  schoning van de harde schijf zo inrichten dat herstel van verwijderde data niet meer mogelijk is;  het verbeteren van de beveiliging van de papierbakken;  het opstellen van procesbeschrijvingen met duidelijkheid over taken, bevoegdheden en verantwoordelijkheden voor stedelijke processen.  Een goede combinatie van toereikende maatregelen bij de verschillende ketenpartners moet worden gerealiseerd. Aanbevolen wordt dat de betrokken partijen hierover met elkaar in gesprek gaan.

Aanbevelingen worden opgevolgd en uitgewerkt door de betrokken directies De vier betrokken directies zijn positief over de integrale aanpak van de audit waarin het belang van samenwerken en communicatie is aangetoond. Zij kunnen zich vinden in de bevindingen en aanbevelingen in het auditrapport en zijn direct aan de slag gegaan met de uitwerking en het oppakken van deze aanbevelingen. Tevens hebben de ketenpartners een werkgroep gevormd die nog voor de zomer opnieuw bij elkaar komt om de voortgang en het werken vanuit gedeelde verantwoordelijkheden in de keten te bespreken.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 15 februari 2022 Pagina 3 van 3

Het door Belastingen gevraagde en openbaar gemaakte onderzoek ligt in het verlengde van de aandacht van Belastingen voor transparantie van de uitvoeringspraktijk zoals onlangs ook tot uitdrukking is gekomen in de Staat van de Uitvoering. Ik ondersteun deze initiatieven om het gesprek over en aandacht voor de uitvoering door Belastingen te stimuleren. Ik hoop u hiermee voldoende te hebben geïnformeerd.

Met vriendelijke groet, Namens het college van burgemeester en wethouders van de gemeente Amsterdam,

Victor Everhardt Wethouder Financiën

Een routebeschrijving vindt u op amsterdam.nl