Informatie datalek bij aanbesteding leerlingenvervoer

Schriftelijke mededeling Nummer 1217505 - Datalek bij regionale aanbestedingsprocedure leerlingenvervoer Aan de commissie: Samenleving Portefeuillehouder: Peter van Asselt Beleidskader: Leerlingenvervoer Opmerkingen griffie: Team: Samenleving Ambtenaar: Monique Sloots Telefoonnummer: 033 - 299 1411 E-mailadres: m.sloots@bunschoten.nl Datum: 10 september 2024 Aanvullende stukken 1. Titel: Brief ouders – informeren datalek leerlingenvervoer Bijlagen digitaal beschikbaar: ja Ter inzage: nee Mededeling Geachte raadsleden, Wij hebben kennisgenomen van het datalek tijdens de regionale aanbestedingsprocedure voor het leerlingenvervoer. Met deze schriftelijk mededeling informeren wij u hierover. Gelijktijdig informeren wij de betrokken ouders/verzorgers door bijgaande brief met hen te delen. Inleiding Tijdens de aanbestedingsprocedure voor het leerlingenvervoer is een datalek ontstaan. Publicatie op TenderNed is onderdeel van de aanbestedingsprocedure met de regiogemeenten waarvan Amersfoort de trekker is en de betreffende documenten op TenderNed plaatste. Per abuis is tijdens de inlichtingenfase een document met persoonsgegevens van leerlingen en hun vervoersbehoeften openbaar gemaakt. Direct na de ontdekking van het datalek zijn maatregelen genomen om de toegang tot de informatie te blokkeren en is het incident gemeld bij de Autoriteit Persoonsgegevens.

Er is alles aan gedaan om verdere schade te voorkomen. Voor ouders, leerlingen en scholen kan dit verontrustend zijn. Vandaar dat is geadviseerd om de betrokken ouders te informeren en om excuses te maken voor de ontstane situatie. Er is inmiddels een grondig onderzoek gestart om de oorzaak van dit datalek vast te stellen en om te zorgen dat dit in de toekomst niet meer kan gebeuren. Details van het incident Inschrijvende partijen dienen over historische ritdata te beschikken om een goede calculatie te doen zodat zij hun te verwachten kosten/ prijs te kunnen bepalen. Het gaat hierbij om vertrouwelijke gegevens die mogelijk zijn te herleiden tot individuele personen of de omgeving van die personen. Daarom is in de aanbestedingsstukken opgenomen dat dergelijke informatie alleen beveiligd beschikbaar wordt gesteld na ondertekening van een geheimhoudingsverklaring. Tijdens de aanbestedingsprocedure is er echter een document (Excel-bestand) op de openbare website TenderNed terecht gekomen met per gemeente gegevens van leerlingen. De publicatie verschilt per gemeente; vanuit Amersfoort zijn er complete adressen gelekt en in Bunschoten ‘enkel’ geanonimiseerde adresgegevens met in 21 van de 141 gevallen een bijzonder persoonsgegeven zoals een indicatie.

Dit geldt bijvoorbeeld voor informatie over rolstoelvervoer of verwijzingen naar specifieke schoollocaties, zoals scholen voor kinderen met een visuele beperking. De data hebben van 10 januari 2024 tot 20 augustus 2024 online gestaan. Navraag bij TenderNed wijst uit dat het niet mogelijk is om te achterhalen hoe vaak en door wie het bestand is gedownload,

wat betekent dat het bereik van het datalek niet bekend is. De informatie op TenderNed is voor iedereen vrij toegankelijk. In totaal gaat het voor de gemeente Bunschoten om de bijzondere persoonsgegevens van 21 leerlingen. Dit is afgestemd met de CISO (Chief Information Security Officer) en de FG (functionaris gegevensbescherming). Bij de overige leerlingen uit Bunschoten betreft het geanonimiseerde gegevens. Tot dinsdag 20 augustus 2024 had zich niemand gemeld naar aanleiding van dit incident. Het lek is naar boven gekomen door een melding van een inwoner uit de gemeente Amersfoort die dit bij het sociaal domein van Amersfoort heeft gemeld. Vervolg     

De ouders van de betreffende leerlingen worden geïnformeerd door bijgaande brief per e-mail te sturen. We trekken als regio hierin gezamenlijk op door gelijktijdig en met een bericht van eenduidige strekking aan de betrokken ouders en raadsleden te communiceren; Afronden van het interne onderzoek naar de oorzaak van het datalek; Implementeren van verbeterde veiligheidsmaatregelen bij toekomstige aanbestedingsprocedures; Informeren van de gemeenteraad over de uitkomsten van het onderzoek en de genomen maatregelen; Voortdurende monitoring van de situatie en regelmatige updates aan de betrokkenen indien nodig.

Argumenten Het leerlingenvervoer is een wettelijke taak van de gemeente en is regionaal aanbesteed. Het is belangrijk dat de raadsleden worden geïnformeerd over deze onbedoelde openbaarmaking van persoonsgegevens tijdens de aanbestedingsprocedure van het leerlingenvervoer. Daarnaast is het van belang en verplicht om de betrokken ouders schriftelijk te informeren over deze datalek bij de aanbesteding van het leerlingenvervoer. Daarom zal bijgaande brief per e-mail met de 21 betrokken ouders worden gedeeld. Deze brief is regionaal afgestemd met daarbij ruimte voor aanpassing naar de lokale situatie zoals aangeven welke gegevens per gemeente openbaar zijn gemaakt. Dit alles telkens in nauwe afstemming met de CISO en FG voor Bunschoten. Uitvoering en communicatie Wanneer ouders vragen hebben, dan weten zij de weg naar de gemeente (KCC/beleidsmedewerker onderwijs) te vinden waardoor dit niet expliciet/uitnodigend in de brief aan de ouders wordt vermeld. Wanneer ouders zeer specifieke informatie over deze situatie willen, dan is er in Amersfoort een contactpersoon beschikbaar die meer informatie kan geven. De beleidsmedewerker onderwijs kan dit dan doorgeleiden. De afdeling Communicatie is geïnformeerd voor het geval er persvragen worden gesteld.