04 Vragen fractie Mijn Partij met antwoorden

GEMEENTERAAD 26 AUGUSTUS 2025 Agendapunt 4: Datalek 29 juli 2025 Vragen fractie Mijn Partij 1. Welke interne controles waren er vooraf om te voorkomen dat persoonsgegevens van burgers openbaar zouden worden (vooral in dit dossier), en waarom hebben die niet gewerkt? Reactie Deze vraag maakt onderdeel uit van ons onderzoek. De uitkomsten van het onderzoek delen we met de raad. We verwachten eind september de conclusies met u te delen. 2. ⁠Welke risicoanalyse is uitgevoerd om de mogelijke schade voor de betrokken inwoners in kaart te brengen? Reactie Bij het beoordelen van een datalek wordt altijd een risicoanalyse gemaakt. Daarin worden de volgende factoren meegewogen. Deze factoren staan beschreven op de website van de Autoriteit Persoonsgegevens (hierna: AP): - de aard van de inbreuk; - de aard en gevoeligheid van de persoonsgegevens en de hoeveelheid; - het gemak waarmee personen kunnen worden geïdentificeerd; - de ernst van de gevolgen voor de slachtoffers; - kenmerken van de onbevoegde ontvanger; - bijzondere kenmerken van de persoon; - bijzondere kenmerken van de organisatie; - aantal slachtoffers. We hebben het datalek gemeld bij de AP. De AP kan een onderzoek instellen of vragen stellen. In principe gebeurt dat binnen twee weken na de melding. In dit geval is geen onderzoek ingesteld ook zijn er geen verdere vragen gesteld.

Via deze link kunt u meer over dat proces vinden: Zo meldt u een datalek | Autoriteit Persoonsgegevens 3. ⁠Welke stappen zijn genomen om verdere verspreiding van de gegevens te beperken? En wanneer zijn deze stappen genomen? Reactie Direct na ontvangst van de melding van het datalek is de bijlage met daarin de NAWgegevens offline gehaald. Het document is vervangen door de geanonimiseerde versie. Ook hebben we via onze website gevraagd om de gegevens niet verder te verspreiden en heeft de burgemeester in interviews opgeroepen om de gegevens niet verder te verspreiden. 4. ⁠Hoe worden de betrokken inwoners ondersteund, bijvoorbeeld als zij schade ondervinden door dit datalek (discriminatie, intimidatie, reputatieschade)? Reactie Betrokken inwoners kunnen hun vragen, zorgen en signalen melden bij de gemeente. Een beperkt aantal betrokkenen heeft gebruik gemaakt van deze mogelijkheid. Er zijn nog geen signalen dat de gegevens (combinatie van naam en woonadres) tot schadelijke gevolgen leiden of hebben geleid. 5. ⁠Hoe wordt ervoor gezorgd dat deze inwoners weer vertrouwen krijgen in de gemeente?

Reactie Door openheid en betrouwbaarheid. Onze eerste prioriteit was om de fout te herstellen om direct daarna actief openheid van zaken te geven naar inwoners, raad en media. Vertrouwen is uiteindelijk iets wat inwoners ervaren. Daarom richten wij ons op de voorwaarden waarvan onderzoek laat zien dat deze vertrouwen vergroten: betrouwbaarheid/competentie, integriteit, openheid en rechtvaardigheid. 6. ⁠Komt er een onafhankelijk onderzoek of audit naar de informatiebeveiliging binnen de gemeente? Reactie De burgemeester heeft namens het college opdracht gegeven voor een onderzoek. Doel van dit onderzoek is om uit te zoeken hoe dit datalek is ontstaan en hoe voorkomen kan worden dat dit nog een keer gebeurt. Het onderzoek wordt intern uitgevoerd onder verantwoordelijkheid van het college. Het college heeft aangegeven hiervan te willen leren. 7. ⁠Op welke termijn worden verbetermaatregelen doorgevoerd en hoe wordt de raad daarover geïnformeerd? Reactie Wij verwachten het onderzoek in september af te ronden. Wij kunnen de conclusies en verbeterpunten van het onderzoek eind september met u delen. 8. ⁠Is overwogen om aanvullende ondersteuning aan te bieden aan betrokkenen (bijv. een hulplijn, juridische ondersteuning, een bijeenkomst of advies over mogelijke risico’s)? Waarom is dit tot op heden niet gedaan? Inwoners hebben nu jet gevoel aan hun lot over gelaten te zijn.

Tijdens een bijeenkomst van het bewonerscollectief kwamen zeker 70 mensen en is gepraat over het datalek. Er leven heel veel zorgen. Het bewonerscollectief heeft hier eigenlijk een taak van het college uitgevoerd… Reactie Wij begrijpen dat dit incident in de context van dit dossier tot vragen leidt. Vanaf het begin hebben we inwoners de mogelijkheid geboden rechtstreeks vragen te stellen en zorgen te delen. Wij blijven bij deze aanpak: transparant zijn en inwoners de gelegenheid geven met vragen of zorgen direct bij ons terecht te kunnen. Wij zien geen noodzaak voor aanvullende vormen van ondersteuning, maar blijven aanspreekbaar voor wie dat wél nodig heeft. 9. ⁠Kunt u exact toelichten wie het onderzoek naar dit datalek uitvoert (intern of extern) en wat de onderzoeksopdracht inhoudt? Reactie Zie onze reactie op vraag 6. 10. ⁠Waarom is er tot op heden zo weinig transparantie richting de raad en inwoners over de voortgang en inhoud van dit onderzoek? Reactie In ons bericht aan de raad van vrijdag 1 augustus hebben we u laten weten dat we na het reces dit proces evalueren om herhaling te voorkomen. Dat onderzoek is nu gestart. In september verwachten we dit onderzoek gereed te hebben. Eind september kunnen we de resultaten met u delen.

11. ⁠Welke waarborgen zijn er dat het onderzoek onafhankelijk en volledig plaatsvindt, en niet alleen gericht is op het beperken van bestuurlijke schade? Reactie Het onderzoek richt zich op het feitelijke datalek, hoe dit is ontstaan en wat we kunnen doen om herhaling te voorkomen. 12. ⁠Op welke manier worden de direct getroffen inwoners betrokken bij de uitkomsten van het onderzoek? Reactie Inwoners hebben we via de website en een persoonlijke brief geïnformeerd over wat er is gebeurd, wat we hebben gedaan na de melding van het datalek en wat de gevolgen kunnen zijn. Het onderzoek richt zich op de vraag hoe het datalek is ontstaan. Daarbij betrekken we de medewerkers die een rol hebben gehad in het gehele proces. De conclusies van het onderzoek, delen we met de raad. Daarmee worden ze openbaar en zijn deze ook toegankelijk voor inwoners. 13. ⁠Erkent het college dat dit niet om een eenmalige fout gaat, maar om een structureel probleem in de informatiehuishouding van de gemeente? Reactie Nee. We zien wel dat er diverse conclusies worden getrokken en dat er veel aandacht is voor het datalek, maar deze zijn niet altijd op feiten gebaseerd. 14. ⁠Hoe verklaart het college dat er binnen korte tijd meerdere datalekken zijn geweest in hetzelfde dossier? Reactie Er is geen sprake van meerdere gemelde datalekken in hetzelfde dossier.

Zie hiervoor ook de antwoorden op de artikel 42 vragen over ditzelfde onderwerp. 15. ⁠Erkent het college dat er een kennistekort bestaat binnen de organisatie op het gebied van privacy en informatiebeveiliging? Reactie Nee, er is geen sprake van een kennistekort. In een organisatie die in de openbaarheid werkt en tegelijk gegevens moet beschermen, kan een datalek helaas voorkomen. Als er nauwelijks meldingen zouden zijn, zou dat voor ons eerder een signaal zijn dat mensen een datalek niet herkennen of niet melden. 16. ⁠Welke schade kunnen inwoners hebben ondervonden door de opeenvolgende datalekken, en wat doet de gemeente om dat te herstellen? Reactie Er is geen sprake van opeenvolgende datalekken. Bij een datalek kan sprake zijn van fysieke schade, materiële schade of immateriële schade. Op dit moment zijn er bij de gemeente geen signalen dat de betrokken inwoners van het datalek schade hebben geleden. Wel zijn er maatregelen genomen om de risico op mogelijke schade te beperken. Denk bijvoorbeeld aan het direct offline halen van de NAW-gegevens na ontdekking en de oproep om gegevens niet te delen. 17. ⁠Hoe kon de gemeente zo snel stellen dat het per ongeluk is gebeurd en het ging om een menselijke fout? Dit is niet feitelijk onderbouwd en lijkt niet zorgvuldig onderzocht.

Er is in ieder geval sprake van grove nalatigheid, hoe kan zo snel gesproken worden van een menselijke fout of “per ongeluk”? Openheid hierover draagt bij aan herstel van

vertrouwen. Deze vraag leeft erg in de samenleving en is tot op heden niet beantwoord of onderbouwd door het college. Reactie Het datalek is ontstaan doordat een document is geplaatst zonder dat werd onderkend dat er persoonsgegevens in zaten. Dat is een menselijke handeling, en er is geen enkel signaal dat dit bewust is gebeurd of uit slordigheid. Tegelijkertijd zien we dat het niet alleen om het plaatsen van het document alleen gaat, maar om een samenloop van factoren in het proces. Daarom doen we zorgvuldig onderzoek. De betrokken collega’s trekken zich dit zeer aan. Het is belangrijk dat fouten bespreekbaar zijn en dat we hierop het proces aanpassen, zodat we verbeteren en het vertrouwen herstellen. 18. ⁠Hoe heeft het college het datalek geëvalueerd? Wat zijn de lessen voor het college? Reactie Zie reactie op vraag 10.