241009 Schriftelijke vragen Lijst Schouten datalek (1039035) BEANTWOORDING

inlichtingen bij team

S.A.L.M. van Opdorp Samenleving

doorkiesnummer

(035) 548 16 11

registratiedatum

19 september 2024

Aan Lijst Schouten t.a.v. de heer M.R.N. Schouten

uw kenmerk ons kenmerk

datum onderwerp

1039035/ 1044776

8 oktober 2024 Beantwoording Schriftelijke vragen Lijst Schouten betreffende Datalek

Beste heer Schouten,

Op 19 september jl. heeft u het college schriftelijke vragen gestuurd over een datalek bij het leerlingenvervoer. Bij deze ontvangt u de beantwoording van uw schriftelijke vragen. 1.

Hoe groot is dit datalek voor de gemeente Baarn en om hoeveel kinderen gaat het? Tijdens de aanbestedingsprocedure voor leerlingenvervoer is per ongeluk een document met persoonsgegevens (6 tekens van postcodes) van leerlingen en hun vervoersbehoeften openbaar gemaakt. Voor Baarn betreft het 126 kinderen.

2.

Hoe gaat de gemeente Baarn voorkomen dat een dergelijk lek nogmaals kan plaatsvinden? Een onderzoek naar de oorzaak is gestart en we implementeren verbeterde veiligheidsmaatregelen voor toekomstige aanbestedingen. Bijvoorbeeld door voortaan te werken met een extra beveiligde website.

3.

Kunt u de email die gestuurd is naar de ouders van deze kinderen ter informatie delen met de raad? De email is als bijlage toegevoegd.

4.

Niet voor het eerst moeten wij dergelijke informatie via de pers vernemen, hoe gaat u er voor zorgen dat de raad zoals het hoort via een raadsinformatie terstond op de hoogte wordt gebracht? Het collegebericht was reeds opgesteld en al op dinsdag 10 september verstuurd aan de griffie. Dit was dus voorafgaand aan het publiceren van het persbericht. De nieuwsbrief is echter niet verzonden, waarna de nieuwsbrief door de griffie die maandag daarna alsnog verstuurd is.

Stationsweg 18 Postbus 1003 3740 BA Baarn t (035) 548 16 11 e gemeente@baarn.nl I Voor ons privacybeleid zie www.baarn.nl Bij beantwoording graag datum en kenmerk brief vermelden.

5.

Deze aanbesteding is geleid door de gemeente Amersfoort namens de Regio Amersfoort. De gemeente Amersfoort heeft haar gemeenteraad via een raadsbrief op de hoogte gebracht, waarom is Baarn hier niet aangehaakt? Anders gesteld, waarom heeft de Regio Amersfoort niet naar alle raden die dit aangaan een raadsinformatiebrief gestuurd? De betreffende gelekte informatie verschilt per gemeente. In bijvoorbeeld de gemeente Amersfoort was het datalek omvangrijker dan in Baarn en was er juist wel gevoelige (persoons)informatie in te zien. Omdat de aard en omvang van gelekte persoonsgegevens en dus ook de impact verschilden per gemeente, is er besloten per gemeente afzonderlijk een passend lokaal bericht op te stellen. De raad wordt niet van alle datalekken op de hoogte gesteld. Bij elk datalek wordt, volgens het protocol datalekken, de afweging gemaakt of, hoe en aan wie we communiceren. Dit is afhankelijk van de aard en de omvang van het datalek. Deze was op dit moment niet significant. Als de raad dat wil, dan kan jaarlijks, bijvoorbeeld in de jaarrekening , een overzicht worden verstrekt van het aantal datalekken in dat jaar. Met vriendelijke groet, burgemeester en wethouders van Baarn,

drs. C.E. Creveld gemeentesecretaris

M.A. Röell burgemeester

Bijlage: - brief aan ouders LLV

Kopie: - Leden van de raad van de gemeente Baarn en steunfractieleden - Griffier

Zaak: 1044776

2

Geachte ouders/verzorgers, Met deze brief informeren wij u over het onbedoeld openbaar maken van gegevens van uw kind(eren). Wij bieden onze excuses aan voor deze situatie. En voor het ongemak en de zorgen die dit mogelijk bij u veroorzaakt. Wat is er gebeurd? Sinds 10 januari 2024 waren per ongeluk persoonsgegevens van uw kind(eren) openbaar in te zien op TenderNed. TenderNed is een website waarop documenten staan voor aanbestedingen (inkoopopdrachten van de overheid). Op deze website stonden documenten die horen bij de aanbesteding van het leerlingenvervoer van de regio Amersfoort waar de gemeente Baarn onderdeel van is. Per gemeente verschilt het welke gegevens er tijdelijk openbaar zijn geweest. Voor de kinderen in Baarn die gebruik maken van leerlingenvervoer waren de volgende persoonlijke gegevens in te zien: -

geanonimiseerd klantnummer postcode en woonplaats school onderwijssoort (voortgezet onderwijs, basis onderwijs, speciaal basisonderwijs) vervoersoort (of er een taxibus of rolstoelbus nodig is) of een begeleider mee moet

Wij denken dat het risico erg klein is dat de gegevens van uw kind(eren) worden misbruikt. Dit komt omdat bijzondere persoonsgegevens zoals het burgerservicenummer (BSN) niet openbaar waren. Toch vinden we dat we u hiervan op de hoogte moeten stellen. Welke maatregelen hebben wij genomen? Toen regio Amersfoort deze situatie ontdekte, hebben zij direct actie ondernomen. De gegevens zijn op 20 augustus 2024 van TenderNed verwijderd. Samen met TenderNed hebben ze ervoor gezorgd dat de gegevens niet langer openbaar zijn. Ook hebben zij de situatie gemeld bij de Autoriteit Persoonsgegevens. De gegevens waren ruim 8 maanden in te zien. Dat mag niet meer gebeuren. Daarom nemen wij maatregelen om dit in de toekomst onmogelijk te maken. We onderzoeken nu hoe we dat technisch gezien het beste kunnen doen. Bijvoorbeeld door voortaan te werken met een extra beveiligde website. Wat betekent dit voor u? Ondanks dat de gegevens nu zijn verwijderd en dat er geen bijzondere persoonsgegevens openbaar zijn geweest, kunt u zich zorgen maken over mogelijke gevolgen. Wij raden u aan om altijd goed te letten op berichten of telefoontjes van personen die u niet kent. Als u vragen heeft of ondersteuning nodig heeft, kunt u contact opnemen met het Klantcontactcentrum van de gemeente Amersfoort via 14 033. De gemeente Amersfoort is contactpersoon, omdat zij de aanbestedingsprocedure hebben geleid.