1.17 SV21-018 antw W18, Overzicht datalekken gemeente.pdf

RAADSVRAAG Nr: SV21-018 Datum: 10 februari 2021 Vraag Art. 38 Indiener: Wisja Pannekoek / Fractie Waard18 Onderwerp: Overzicht datalekken gemeente

Toelichting: Waard18 werd afgelopen week door een inwoner gewezen op onderstaande email (de persoonlijke gegevens zijn om privacy redenen verwijderd). Dit gaat over een email datalek, in dit geval de zichtbaarheid van emailadressen bij een massa email vanuit de gemeente.

Ik heb daarom de volgende vragen: 1. Heeft de gemeente duidelijk instructies voor medewerkers om deze vorm van een datalek te voorkomen? 2. Was de medewerker op de hoogte van deze instructie? 3. Heeft de betreffende medewerker dit datalek gemeld binnen de organisatie? 4. Is er in de organisatie een protocol voor het actief proberen te verminderen van datalekken? 5. Waard18 zou graag een overzicht willen ontvangen van het aantal datalekken in 2020. (bij voorkeur van 1-1-2020 tot de datum van antwoorden) 6. Bij het verstrekken van dat overzicht ontvangt Waard18 graag ook een overzicht van het aantal meldingen van datalekken dat bij de Autoriteit Persoonsgegevens is gedaan in 2020. 7. Zijn er door de Autoriteit Persoonsgegevens boetes opgelegd of zijn er verbeterpunten aangereikt? 8. Indien het antwoord bij vraag 7 ja is wat betreft verbeterpunten, zijn deze dan inmiddels overgenomen/geïmplementeerd?

Antwoord college:

1. Ja, er is een datalekken instructie. 2. Ja, want na ontdekken van het datalek is onmiddellijk, conform de instructie, de leidinggevende en de FG ingelicht. 3. Ja, zie antwoord 2. 4. Ja, er wordt continu aandacht besteed aan het voorkomen van datalekken. Medewerkers zijn zich goed bewust van wat een datalek is en hoe ze moeten handelen als zich een datalek voordoet. 5. zie overzicht. 6. Zie overzicht. 7. Nee. 8. N.v.t. datum aard

omvang gemeld bij AP? een inwoner meldt dat 10 nee er een mail verstuurd is zonder gebruik van BCC

toelichting

6-jan

geringe omvang

14-jan er is per abuis een ontvangstbevestiging naar de verkeerde inwoner gestuurd

betr. geinformeerd? ja

toelichting alle betrokkenen hebben een mail ontvangen met uitleg datalek en excuses de betrokkenen zijn op de hoogte gesteld

1

nee

geringe omvang

ja

3-mrt

besluit naar verkeerde 1 afzender gestuurd

nee

geringe omvang

ja

betrokkene is schriftelijk op de hoogte gebracht

3-mrt

conceptbesluit via email naar verkeerde afzender gestuurd

1

nee

geringe omvang

ja

betrokkene is schriftelijk op de hoogte gebracht

4-mei

uittreksel bevolkingsregister gestuurd naar derde

1

nee

geringe omvang

ja

betrokkene is schriftelijk op de hoogte gebracht

13mei 20mei

iPhone gestolen

1

nee

nvt

nvt

ondersteuningsverslag 1 Wmo gestuurd naar verkeerde inwoner (zelfde achternaam)

nee

geringe omvang geringe omvang

ja

betrokkene is schriftelijk op de hoogte gebracht

2-jun

per e-mail is een 1 verkeerde bijlage met persoonsgegevens van een andere client verstuurd beschikking 1 Participatiewet is naar foutief emailadres gestuurd

nee

geringe omvang

ja

betrokkene is schriftelijk op de hoogte gebracht

nee

geringe omvang

ja

betrokkene is schriftelijk op de hoogte gebracht

5-jun

18sep

gesprekverslag Wmo naar foutief mailadres gestuurd

1

nee

geringe omvang

ja

Betrokkene is schriftelijk op de hoogte gebracht

16-okt KCC medewerker heeft ongevraagd persoonsgegevens verstrekt aan derde

1

nee

geringe omvang

ja

24nov

document naar verkeerd emailadres gestuurd

1

geringe omvang

ja

De afdelingsmanager heeft een excuusbrief gestuurd en aangegeven dat de medwerker de mail niet ongevraagd door had mogen sturen Betrokkenen zijn geinformeerd en afdeling heeft excuses gemaakt (met bloemen)

10dec

poststukken naar verkeerde ontvanger gestuurd

1

nee

geringe omvang

ja

28dec

na een update van ong Motion (personeels-en 500 salarissysteem) is korte tijd salarisgegevens van alle medewerkers zichtbaar geweest voor iedereen

ja

vanwege de verzocht om omvang en de publicatie op integriteit van intranet de gegevens is dit datalek gemeld

bericht op intranet

9-feb

mail naar inwoners gestuurd zonder gebruik van bcc

nee

geringe impact ja

betrokkenen zijn per e-mail geinformeerd

200

Betrokkenen zijn geinformeerd en afdeling heeft excuses gemaakt (met bloemen)

Nb 1. uit het overzicht blijkt dat er communicatie plaatsvindt via email. Voor uw informatie: er wordt gebruik gemaakt van beveiligde mail voor dergelijke communicatie. Er wordt bovendien gewerkt aan een digitaal klantportaal, zodat communicatie via e-mail zal afnemen. Nb 2. Meldplicht verwerkingsverantwoordelijke aan privacytoezichthouder (art. 33 AVG): Indien de organisatie de verwerkingsverantwoordelijke is van gegevensverwerking gelden de volgende verplichtingen bij het melden van een inbreuk: • Hoofdregel: alle inbreuken dienen te worden gemeld bij de privacytoezichthouder; • Tenzij: de inbreuk niet waarschijnlijk zal leiden tot een risico voor de rechten en vrijheden van natuurlijke personen. De organisatie dient dit risico af te wegen aan de hand van: • de aard, gevoeligheid en hoeveelheid van de gegevens, • de moeilijkheidsgraad van identificatie van betrokkenen, • de omvang van de inbreuk,

•

en de impact op de betrokkenen, waaronder: specifieke eigenschappen van de betrokkenen (zoals kinderen of ouderen), de hoeveelheid betrokkenen, en specifieke eigenschappen van de organisatie (bijvoorbeeld een ziekenhuis). De FG maakt op bovenstaande criteria een afweging of een datalek bij de Autoriteit Persoonsgegevens gemeld moet worden en verzorgd de melding bij de Autoriteit. De betrokkenen worden altijd op de hoogte gebracht van een datalek. Ondertekening college: Burgemeester en wethouders van Krimpenerwaard, de secretaris, de burgemeester,

J. Hennip

mr. R.S. Cazemier