A 25083 Bestuurlijke wederhoor datalek AZC 2025

■ mi Gemeente ■ IVlidden-Delfland

Anna van Raesfeltstraat 37, Postbus 1, 2636 ZG Schipluiden

T (015) 380 41 11, F (015) 380 99 92 E gemeente@middendelfland.nl, I www.middendelfland.nl

De gemeenteraad

Ons kenmerk Uw mail van Bijlage

982873 3 december 2025

Onderwerp Bestuurlijk wederhoor datalek AZC 2025

^ 6 DEC 2025 Datum 16 december 2025

Geachte raadsleden. Eind juli was sprake van een datalek; wij betreuren het dat deze fout gemaakt is. U liet onderzoek doen naar het datalek. Via de griffier heeft u de mogelijkheid geboden tot bestuurlijk wederhoor in het kader van dat onderzoek door Berenschot. Met onderstaande reactie maken wij van deze mogelijkheid gebruik.

Algemene conclusie Het externe onderzoek biedt inzicht in het verloop van de processen. In de rapportage is benoemd waar fouten in het proces zijn gemaakt en wat de oorzaken daarvan zijn. Dit geeft ons inzicht in de kwaliteit en beheersing van de processen ten aanzien van informatisering en databeveiliging. Het onderzoek en de rapportage vormen daarmee een goede basis voor de conclusies en aanbevelingen. Voor ons college bieden de conclusies en aanbevelingen richting voor het verder verbeteren van de interne bedrijfsvoering. We zien dat de lijn van het onderzoek en de conclusies overeenkomen met het interne onderzoek. De conclusies en aanbevelingen bevatten voor ons handvatten om uitvoering te geven aan de tweede doelstelling van het onderzoek, namelijk het verkleinen van het risico op soortgelijke incidenten in de toekomst. In de volgende alinea geven wij hier een inhoudelijke reactie op.

Reactie op conclusies en aanbevelingen In deze paragraaf geven wij per paragraaf een reactie op de constateringen uit de rapportage. Onderzoeksvragen 1 en 2 (paragraaf 3.1) Wij herkennen ons in de beschrijving van het interne proces en de factoren die uiteindelijk hebben geleid tot het ontstaan van de twee datalekken. Terecht wordt geconstateerd dat spanning kan ontstaan tussen het dataminimalisatiebeginsel van de AVG en openbaarheid Algemene wet bestuursrecht bij bezwaarschriften. Een vergelijkbare spanning die in paragraaf 2.3.4.2 gesignaleerd wordt tussen de transparantie van de Woo en de terughoudendheid die de uitvoering van de AVG oplegt.

MIX

FSC mnit.ftcofg

Papier van varantwoorda harkomat

FSC* C003606

In de conclusie is vermeld dat een procesbeschrijving voor de raadsinformatiebrief (RIB) ontbreekt. De RIB is onderdeel van de reguliere adviesprocessen en informatievoorziening aan de gemeenteraad. Daarmee is het een vast onderdeel van het Zaaksysteem dat is ingericht op basis van vastgestelde procesbeschrijvingen. Bij een RIB dient, net als bij adviezen en raadsvoorstellen, intern de nodige afstemming plaats te vinden met andere betrokken vakafadelingen. Specifiek voor de RIB's over het AZC is een vaste afspraak dat daarbij juridische zaken en communicatie betrokken worden. In principe is hiervoor dus een duidelijk proces, waarvan de diverse stappen worden ondersteund in het zaaksysteem. Bij het opwerken van de RIB waar het datalek mee is ontstaan was sprake van een grote tijdsdruk. In deze specifieke casus heeft de gemeentesecretaris de uitvoerende rol op zich genomen om een werkwijze te hanteren die beter aansluit bij de gewenste snelheid van de informatievoorziening aan uw gemeenteraad. Het reguliere proces is in onze optiek duidelijke en goed verwerkt in onze systemen. Onderzoeksvraag 3 (paragraaf 3.2) Wij onderschrijven de conclusies die in deze paragraaf ten aanzien van onderzoeksvraag 3 worden getrokken. De beschrijving maakt helder dat bij het delen van data een spanningsveld tussen verschillende vormen van wetgeving en daarop gebaseerde doelstellingen aanwezig zijn.

De noodzaak deze keuzes te maken doet zich regelmatig voor. Een terechte constatering is dat de keuzes die leiden tot het wel of niet delen van privacygevoelige informatie toegelicht moeten worden. Met de uitvoering van het informatiebeveiligingsbeleid, wettelijke verplichtingen en nationale aanbevelingen zijn meerdere technische maatregelen getroffen om de dataveiligheid te verbeteren en gegevens te anonimiseren. Het aanpassen van de procesbeschrijving hierop moet nog plaatsvinden. De aanbeveling hierover nemen wij over. Onderzoeksvragen 4 en 5 (paragraaf 3.3) Wij kunnen ons verenigen met de conclusie dat de interne processen en procedures aanwezig zijn en na het bekend worden van het datalek zijn gevolgd. Deze constatering bevestigt de goede basis van de interne bedrijfsvoering op het terrein van de dataveiligheid en voldoen aan de AVG. De rapportage erkent dat onze keuze begrijpelijk en volgbaar is om in de casus van de Sterappel de wettelijke uitgangspunten van de Awb te laten prevaleren boven de AVG. Dit is dan ook geen datalek. Het is daarmee ook logisch dat de procedures wat te doen bij een datalek niet zijn gevolgd. In eerste instantie is verzuimd een goede toelichting op de destijds gemaakte keuze te geven. In de brief van 25 augustus is dat alsnog gedaan.

Onderzoeksvraag 6 (paragraaf 3.4) De conclusie dat onze gemeente over het algemeen een solide basis heeft voor privacy- en informatiebeveiligingsbeheer ondersteunen wij. Deze basis stelt ons in staat om de interne bedrijfsvoering verder te professionaliseren en beter te borgen. De aanbevelingen uit dit onderzoek ondersteunen ons daarbij. Hierna gaan wij per bullet in op de aanbevelingen: • Wij volgen de aanbeveling op om voor de Woo een nieuwe procesbeschrijving op te stellen. Voor de RIB geldt al dat deze procesmatig onderdeel is van het Zaaksysteem. Wel zullen we in het Zaaksysteem een extra toelichting bij de verschillende processtappen opnemen. Het privacy- en informatiebeleid is een dynamisch beleidsterrein met grote ontwikkelingen vanuit Europese en nationale wetgeving. Wij blijven dit beleid actualiseren en incidentele maatregelen in de bedrijfsvoering doorvoeren om het risico op datalekken te minimaliseren. Voorbeelden hiervan zijn het onlangs vaststelde besluit voor de uitvoering van de Wmebv en het toevoegen van het proces melding datalek in het Zaaksysteem. Het uitgangspunt dat zorgvuldigheid boven snelheid dient te prevaleren nemen wij ons ter harte. Dit sluit aan bij de visie op de gemeentelijke organisatie dat kwaliteit belangrijker is dan kwantiteit.

•

•

•

De aanbeveling over een voorkeurskanaalstrategie is rn algemene zin verwerkt in ons beleid en wordt bijvoorbeeld ook toegepast bij de implementatie van de Wmebv. De aanbeveling om onderzoek te doen naar de gebruiksvriendelijkheid en praktische toepasbaarheid is op basis van de uitvoeringsplannen van het informatiebeleid in gang gezet. Deze aanbeveling is dan ook al opgevolgd en krijgt een inhoudelijk vervolg op basis van de uitkomsten van de evaluatie. Wij zullen in die evaluatie niet onderzoeken in hoeverre het systeem aansluit bij situaties waarin spoed en tijdsdruk een rol spelen. Het Zaaksysteem is ondersteunend bij processen. Juist in situaties van tijdsdruk is dit van toegevoegde waarde. Door het goed inrichten van het proces in het Zaaksysteem wordt de gebruiker geautomatiseerd meegenomen in alle stappen die doorlopen moeten worden. Daarbij is, voorzover noodzakelijk, een toelichting opgenomen bij de onderdelen die in de processtap verwerkt moeten worden. Een Zaaksysteem is dan ook bij tijdsdruk van toegevoegde waarde om te voorkomen dat de noodzakelijke elementen worden overgeslagen. Het beperken van het aantal bijlagen bij een RIB is een aanbeveling die tussen uw gemeenteraad en onze college in procesafspraken vastgelegd dienen te worden. Hieraan voorafgaand kun u als raad mogelijk bespreken wat u op dit punt van het college verlangt.

Wij werken graag mee deze aanbeveling in de praktijk nader uit te werken. In onze visie sluit dat goed aan bij de komende processen 'Griffie Fit' en 'Ontwikkelagenda' vanuit het Spiegeltraject. Hoe om te gaan met het delen van persoonsgegevens bij bezwaarzaken zullen wij nader beschouwen. Hiervoor is afstemming met de bezwaarschriftencommissie wenselijk, daar volgens de verordening de voorzitter van die commissie hiervoor verantwoordelijk is. Ons uitgangspunt hierbij is het delen van gegevens, tenzij. Dit onderschrijft het belang van het tweede deel van deze aanbeveling om de motivatie gegevens wel of niet te delen, duidelijk te communiceren aan de direct belanghebbenden.

In bovenstaande lijn zullen wij de aanbevelingen overnemen.

Met vriendelijke groet, het college van burgemeester en wethouders.

\t

-

F.K Woordermeer-van burgemeester

ren