Ter informatie - Informatiebrief Datalek Raad 223935.pdf

Raadsbrief

Behandelaar:

Privacy officer

Emailadres: Datum: Portefeuillehouder:

20 april 2022 ir. J.N. Rozendaal

Zaaknummer: Bijlagen:

223935

Onderwerp Kennisgeving inbreuk in verband met persoonsgegevens Inleiding Naar aanleiding van een verwijderingsverzoek is vast komen te staan dat er door publicatie van persoonsgegevens een inbreuk in verband met persoonsgegevens heeft plaatsgevonden. Daarom ontvangt u deze informatie. Inhoudelijke kernboodschap Voor ieder gebruik van persoonsgegevens moet bepaald worden wat het doel is en op welke wijze er gebruik van gemaakt mag worden. Andersom geldt ook dat voor ieder doel bepaalt moet worden welke persoonsgegevens daarvoor nodig zijn. Ingekomen brieven Voorafgaand aan het publiceren van ingekomen brieven dienen die brieven geanonimiseerd te worden. Dat houdt in dat de brief niet meer herleidbaar mag zijn naar een natuurlijk persoon. Tezamen met de publicatie van de ingekomen brieven valt het anonimiseren onder de verantwoordelijkheid van de gemeenteraad. De gemeenteraad is op grond van de Algemene Verordening Gegevensbescherming (hierna: “AVG”) verwerkingsverantwoordelijk. Verplichtingen Iedere verwerkingsverantwoordelijke heeft op grond van de AVG verplichtingen opgelegd gekregen. Een van die verplichtingen betreft het correct en tijdig te acteren op inbreuken in verband met persoonsgegevens, in de volksmond: datalekken.

Deze zijn onder te verdelen in een inbreuk op: de vertrouwelijkheid van de persoonsgegevens; en/of de integriteit van de persoonsgegevens; en/of de beschikbaarheid van de persoonsgegevens. Het onrechtmatig publiceren van persoonsgegevens is een inbreuk op de vertrouwelijkheid van de persoonsgegevens. Daardoor is sprake van een datalek. Zodra vaststaat dat er sprake is van een datalek, is het van belang om vast te stellen of er een risico is ontstaan voor de betrokkene. Door de hiervoor aangehaalde publicatie heeft de betrokkene de controle over die persoonsgegevens verloren. Dat is een risico zoals opgenomen in de AVG. Meldingsplicht Nu is vastgesteld dat er sprake is van een datalek en dat er een risico is voor de betrokkene, heeft de gemeenteraad 72 (klok)uur na die vaststelling de tijd om een melding van het datalek de doen bij de

Autoriteit Persoonsgegevens (AP). Mocht er om wat voor reden dan ook meer tijd nodig zijn voor het doen van een melding, dan moet die vertraging gemotiveerd worden. Om te bepalen of er ook een melding aan de betrokkene moet worden gestuurd, zal eerst het risico niveau vastgesteld moeten worden. Zodra de inbreuk een hoog risico betreft, moet de betrokkene geïnformeerd worden. In dit geval wordt het risico niet als hoog ingeschat, is een melding aan de AP niet nodig en hoeft er met betrekking tot het datalek geen nader bericht aan de betrokkene gestuurd te worden. Communicatie/Burgerparticipatie n.v.t. Vervolg Indien gewenst, kan de functionaris gegevensbescherming u adviseren hoe een dergelijke situatie in de toekomst voorkomen kan worden. Het presidium, De burgemeester,

de griffier,

ir. J.N. Rozendaal

mr. D.H.A.A. Kassing