221121 beantwoording Technische vragen PvdAGroenLinks - Onderzoeksrapport RKC informatiebeveiliging en privacy - antwoord

Gemeente De Ronde Venen Vragen vanuit de Raad aan het college: A. Schriftelijke vragen als bedoeld in artikel 39 Reglement van Orde (beantwoording binnen 30 dagen) B. Technische vragen vergadering (beantwoording zo snel mogelijk) C. Technische vragen overig

Categorie:

A/B/C (Doorhalen wat niet van toepassing is)

Naam indiener: Pieter Kroon, Ernst Schreurs en Wim Verbree Fractie: PvdA/GroenLinks Datum van indienen: 21-nov-2022 Onderwerp: Commissievergaderingen 08-12-2022 - Onderzoeksrapport RKC Informatiebeveiliging en privacy

In te vullen door organisatie Behandelend ambtenaar: Gert-jan Bremer – Privacy Adviseur Datum beantwoording: 25-11-2022 Volgnummer: 001 Inleiding n.v.t. Vragen 1. Onderzoeksrapport RKC Informatiebeveiliging en privacy a. Op pagina 21 wordt gesteld dat er in 2020 17 incidenten als datalek zijn gerapporteerd, waarvan 6 gemeld bij de Autoriteit Persoonsgegevens en in 2021 27 incidenten, waarvan 5 gemeld aan de Autoriteit Persoonsgegevens. Betekent dat dat van de 17 incidenten in 2020 er maar 6 daadwerkelijke datalekken waren evenals die 5 van de 27 in 2021? Zo niet, wanneer moet er overgegaan worden tot melding AP en wanneer niet, waar ligt die grens? Antwoord Alle incidenten zijn datalekken maar niet alle incidenten zijn datalekken die gemeld moeten worden bij de Autoriteit Persoonsgegevens (AP). Toelichting Niet alle datalekken hoeven niet altijd gemeld te worden aan de AP. Dit moet alleen als er een hoog

risico is voor de rechten en vrijheden van de betrokkene(n). Dit geldt ook voor melding aan de betrokkene(n) zelf (art.33 en 34 AVG). De AP kan te allen tijde het datalekregister bij ons opvragen ter controle. Na een datalek melding worden de volgende stappen gevolgd: - Initiële melding in het Informatieveiligheid Response Team (IVRT - directielid, Ciso en Privacy Adviseur) - Formulier datalekmelding laten invullen - Analyse van het lek en additionele informatie vergaren - Risicoanalyse uitvoeren - Advies aan IVRT om wel of niet te melden aan AP en betrokkene(n) - Gegevens opslaan in het daarvoor bestemde systeem (altijd) - Informeren Functionaris gegevensbescherming over het datalek en advies Op de website van de AP staat alle informatie over het wel of niet melden en het bepalen van de risico’s. Hieronder zijn een paar links toegevoegd, de informatie is teveel om hierin te kopiëren. Meldplicht datalekken | Autoriteit Persoonsgegevens

Microsoft Word - wp250rev01_nl (autoriteitpersoonsgegevens.nl) IV. Beoordeling van het risico en hoog risico (verkort!) Hoewel de AVG de verplichting invoert om een inbreuk te melden, is dit niet in alle omstandigheden verplicht: • Een inbreuk moet aan de bevoegde toezichthoudende autoriteit worden gemeld, tenzij het  onwaarschijnlijk is dat ze een risico voor de rechten en vrijheden van natuurlijke personen  inhoudt. • Een inbreuk wordt alleen aan de persoon meegedeeld als het waarschijnlijk is dat ze een hoog  risico voor de rechten en vrijheden inhoudt. • De aard van de inbreuk Het type inbreuk dat heeft plaatsgevonden, kan van invloed zijn op het risico voor personen. Zo kan een inbreuk op de vertrouwelijkheid waarbij aan onbevoegden medische informatie is verstrekt andere gevolgen voor een persoon hebben dan een inbreuk waarbij medische gegevens van een persoon zijn verloren gegaan en niet langer beschikbaar zijn. • De aard, gevoeligheid en omvang van de persoonsgegevens • Gemak waarmee personen kunnen worden geïdentificeerd • Ernst van gevolgen voor personen.

• Bijzondere kenmerken van de persoon • Bijzondere kenmerken van de verwerkingsverantwoordelijke • Het aantal getroffen persoon • Algemene punten Daarom dient de verwerkingsverantwoordelijke bij de beoordeling van het risico dat waarschijnlijk uit een inbreuk zal voortvloeien, rekening te houden met een combinatie van de ernst van de mogelijke gevolgen voor de rechten en vrijheden van natuurlijke personen en de waarschijnlijkheid dat deze zich voordoen. Het is duidelijk dat wanneer de gevolgen van een inbreuk ernstiger zijn, het risico groter is en dat wanneer de waarschijnlijkheid dat deze zich voordoen groter is, het risico ook groter is. In geval van twijfel dient de verwerkingsverantwoordelijke het zekere voor het onzekere te nemen en de inbreuk te melden.