2025 m 08 d 08 VVD Andere datalekken met antw college

” im Gemeente

Anna van Raesfeltstraat 37, Postbus 1, 2636 ZC Schipluiden

” ÉÉÉ Midden-Delfland

T (01 5) 380 41 11, F (015) 380 99 92 E gemeente@middendelfland.nl, I www.middendelfland.nl

■ ■ ■

Aan de gemeenteraad

Ons kenmerk Bijlage(n)

2 6 AUG 2025

938488

■

Onderwerp

Datum

Beantwoording vragen artikel 42 RvO - mogelijke andere datalekken

26 augustus 2025

Geachte raadsleden,

■ ■

■ ■

Op 12 augustus heeft de fractie VVD op grond van artikel 42 RvO schriftelijke vragen ingediend. De vragen gaan over vermeende (andere) datalekken. De fractie heeft signalen van inwoners ontvangen die stellen dat het meest recente datalek geen incident op zich is. In deze brief leest u onze beantwoording.

■

Context van de vragen van de VVD De betreffende inwoners stelien dat er nog een tweetai privacy schendingen is, te weten: •

•

4 juni 2025 (kenmerk 817147): In de zogeheten Sterappel-zaak zijn de NAW-gegevens van alie bezwaarmakers gedeeld met alle andere bezwaarmakers (mogelijk ook WoonWest als vergunninghouder). 19 december 2023 (kenmerk 0000524056): Via een Woo-besluit zijn de privégegevens van oud-burgemeester Bram van Hemmen - inclusief naam, adres, telefoonnummer en IBAN verstrekt aan een derde.

■ ■

Vraag 1. Zijn deze privacy-lekken ook daadwerkelijk goed onderzocht? REACTIE: Beide situaties zijn onderzocht. De eerstgenoemde situatie is geen (data)lek. In de tweede situatie is wel sprake van een datalek.

■

Vraag 2. Wat is de uitkomst geweest van deze onderzoeken? REACTIE: De eerste situatie betreft geen datalek. Deze situatie gaat over een bezwaarzaak, waarin 'op de zaak betrekking hebbende stukken' (waaronder de ingediende bezwaarschriften) met procespartijen zijn

■ ■

gedeeld door middel van beveiligde verzending. Hieronder leest u een nadere toelichting. Artikel 7:4, tweede lid, van de Algemene wet bestuursrecht (Awb) verplicht om belanghebbenden in­ zage te geven in deze stukken. Omdat de wet dit verplicht, is de verwerking van persoonsgegevens die hierdoor plaatsvindt noodzakelijk als bedoeld in artikel 6, eerste lid, aanhef en onder c, van de Al­ gemene Verordening Gegevensbescherming (AVG) en bijgevolg rechtmatig. Daarnaast was er een gerechtvaardigd doel: het delen van ingezonden bezwaarschriften met betrok­ kenen is noodzakelijk voor een eerlijk bezwaarproces. Voorts kan het geven van (volledige) inzage in de stukken achterwege blijven als 'geheimhouding om gewichtige redenen is geboden' (artikel 7:4, vijfde lid, van de Awb). Dat vraagt om een belangenaf­ weging, waarbij er aan de zijde van procesdeelnemers (waaronder de vergunninghouder) in het alge­ meen zwaarwegende belangen bestaan bij kennisneming van de meest essentiële gegevens van de

■ ■

■

■ ■ ■

indiener van een bezwaarschrift om zich effectief te kunnen verdedigen (het verdedigingsbeginsel). Als voorbeeld van die belangen Is het kunnen onderzoeken of een bezwaarmaker belanghebbende Is. NAW-gegevens zijn daarvoor essentieel. Zie ook de uitspraak van de rechtbank Rotterdam van 27 augustus2018, ECLI:NL:RBROT:2018:7943, waarin werd geoordeeld dat NAW-gegevens in beginsel moeten worden gedeeld zodat partijen zich effectief kunnen verweren. De tweede situatie betreft wel een datalek. Hierbij zijn bij het besluit op een verzoek op grond van de Wet open overheid (Woo) van 19 december 2023 persoonsgegevens van de heer Van Hemmen ver­ zonden aan de verzoeker. Verzoeker en diens partner hebben dit recent per mail gemeld. Daarmee werd het lek bekend en hebben we dit onderzocht.

Vraag 3. En wat zijn de acties geweest die naar aanleiding hiervan door het college zijn genomen? REACTIE: Voor wat betreft het datalek is contact opgenomen met de betrokkenen. Dus naast de heer Van Hem­ men, is er ook contact geweest met de (toenmalige) behandelaar van het Woo-verzoek. De melder van het datalek had zelf aangegeven na ontvangst van de gegevens in december 2023 deze niet te hebben gedeeld met anderen en dit ook niet te zullen doen. Aan de melder van het datalek is aanvul­ lend verzocht om de gegevens te verwijderen dan wel te anonimiseren.

Vraag 4. Zijn deze incidenten ook gemeld bij de Autoriteit Persoonsgegevens? REACTIE: Nee, het datalek is niet gemeld bij de AP. Niet aile datalekken moeten worden gemeld bij de AP. De Privacy officer maakt een risico-inschatting van het datalek. Hierbij spelen een aantal factoren een rol. Meer informatie over deze factoren kunt u lezen via de volgende link: Datalek: wel of niet melden I Autoriteit Persoonsgegevens. Na afweging van alle relevante factoren, is besloten om het datalek niet te melden bij de AP.

Vraag 5. Is de borging van de AVG binnen de gemeentelijke organisatie wel (echt) goed op orde? Is hiervoor een plan van aanpak? REACTIE: Ja, het fundament van onze AVG-borging is op orde. We beschikken over de vereiste governance, processen en maatregelen. Wij handelen conform de AVG bij incidenten en verbeteren continu. Het recente datalek is betreurenswaardig; we hebben het volgens de wettelijke eisen opgepakt en gebrui­ ken de lessen om verder te versterken. Tegelijk bewegen we in een domein waar twee publieke waarden en wettelijke plichten soms schuren: openbaarheid van informatie (de Woo, maar ook de Awb gaat uit van openbaarheid van dan wel in­ zage in documenten (tenzij...)) en bescherming van persoonsgegevens (AVG). Dat vraagt per geval om een zorgvuldige afweging, transparantie over keuzes én blijvende aandacht voor menselijk hande­ len. Op basis van zowel interne als externe constateringen en signalen of ontwikkelingen beoordelen we wat er nodig is om aan de normen van de AVG te (blijven) voldoen. Dit verschilt per domein. Op basis hiervan is ook voor dit jaar voor een aantal teams een plan van aanpak opgesteld. Daarnaast heeft de FG aanbevelingen in het jaarverslag gedaan, die volgen we op.

Met vriendelijke groet, het college van burgemeest^

M.A.' gemj

itesècretaris

wethouders.

F.I.\Noordermeer burgerrieestei------

van Slageren---------

2