Berenschot 3-12-2025 Rapportage gemeente Midden-Delfland
Tekst van het document
Onderzoek datalek gemeente Midden-Delfland
1/59
RAPPORT
Onderzoek datalek gemeente Midden-Delfland - Intern vertrouwelijk - 3 december 2025
GRONDLEGGER VAN VOORUITGANG
Onderzoek datalek gemeente Midden-Delfland
2/59
Inhoudsopgave Hoofdstuk 1 ...................................................................................................................... 3 Inleiding........................................................................................................................... 3 1.1
Aanleiding ....................................................................................................... 3
1.2
Doelstelling..................................................................................................... 3
1.3
Uitvoering ....................................................................................................... 4
1.4
Leeswijzer ...................................................................................................... 5
Hoofdstuk 2 ...................................................................................................................... 7 Bevindingen ..................................................................................................................... 7 2.1
Beleidskader en interne richtlijnen ................................................................. 7
2.2
Bezwaarschriften AZC ..................................................................................... 9
2.3
Twee mogelijke datalekken: Sterappel-zaak en Woo-verzoek ...................... 23
Hoofdstuk 3 .................................................................................................................... 36 Conclusie en aanbevelingen ........................................................................................... 36 3.1
Onderzoeksvraag 1 en 2 ............................................................................... 36
3.2
Onderzoeksvraag 3 ....................................................................................... 38
3.3
Onderzoeksvraag 4 en 5 ............................................................................... 38
3.4
Onderzoeksvraag 6 ....................................................................................... 39
Bijlage 1. Toetsingskader ............................................................................................... 41 1.1
Algemene beginselen voor behoorlijk bestuur .............................................. 41
1.2
Wetgeving en (interne) richtlijnen ............................................................... 42
1.3
Samenwerking binnen de gemeente en de omgeving ................................... 50
Bijlage 2. Feitenrelaas .................................................................................................... 52
Onderzoek datalek gemeente Midden-Delfland
3/59
HOOFDSTUK 1
Inleiding In dit hoofdstuk schetsen wij de aanleiding van het onderzoek, de wijze waarop het is uitgevoerd en een leeswijzer.
1.1
Aanleiding
Op maandag 28 juli 2025 zijn via de website van de gemeente Midden-Delfland persoonsgegevens van 132 inwoners openbaar gemaakt. Het betreft naam-, adres- en woonplaatsgegevens (NAWgegevens) van personen die een bezwaarschrift hebben ingediend tegen het voornemen van het college om een omgevingsvergunning te verlenen aan het Centraal Orgaan opvang asielzoekers (COA)
voor
de
realisatie
van
een
tijdelijke
opvanglocatie
(AZC)
in
Den
Hoorn.
Deze
persoonsgegevens waren opgenomen in een bijlage bij de raadsinformatiebrief van 28 juli 2025 betreffende het AZC met het advies van de bezwaarschriftencommissie, waarin een overzicht van bezwaarmakers was opgenomen. Tijdens de raadsvergadering van dinsdag 26 augustus 2025 heeft de raad unaniem een motie aangenomen, waarin zij tot het besluit zijn gekomen een extern onderzoek uit te laten voeren naar het desbetreffende datalek. Daarmee vervult de gemeenteraad de rol van formeel opdrachtgever van het onderzoek aan Berenschot. Namens de opdrachtgever vormden de zes fractievoorzitters de begeleidingscommissie. Op donderdag 4 september 2025 heeft een overleg plaatsgevonden tussen Berenschot en de begeleidingscommissie waarin, naast het recente datalek, nog twee aanvullende casussen genoemd zijn die verband houden met het AZC, te weten: 1. Een mogelijk datalek op woensdag 4 juni 2025, waarbij in de zogeheten Sterappel-zaak persoonsgegevens van bezwaarmakers zouden zijn gedeeld met andere bezwaarmakers. 2. Een mogelijk datalek op dinsdag 19 december 2023, waarbij in het kader van een besluit op een verzoek op grond van de Wet open overheid persoonsgegevens van de voormalig burgemeester, waaronder diens woonadres, telefoonnummer en IBAN, aan derden zouden zijn verstrekt.
De drie casussen zijn gelijktijdig onderzocht en in de rapportage (het voorliggende document) op eenzelfde manier gepresenteerd.
1.2
Doelstelling
Het doel van het onderzoek is tweeledig: enerzijds om duidelijkheid te verkrijgen over het ontstaan van de vermeende datalekken en de stappen die door de ambtelijke organisatie en het college zijn ondernomen na ontdekking ervan. Anderzijds om aanbevelingen te formuleren voor het verkleinen van het risico op soortgelijke incidenten in de toekomst. De onderzoeksvragen luiden als volgt: •
Wat zijn de oorzaken en omstandigheden waardoor de (mogelijke) datalekken hebben kunnen ontstaan?
Onderzoek datalek gemeente Midden-Delfland
•
4/59
Hoe zijn de processen verlopen die hebben geleid tot de (mogelijke) datalekken? Hoe is de interne samenwerking verlopen?
•
Welke interne processen en procedures zijn binnen de gemeente, dan wel wettelijk vastgelegd met betrekking tot persoonsgegevensbescherming, en zijn deze in de betreffende casussen doorlopen? Zo niet, waarom niet en met welke gevolgen?
•
Hoe zijn de processen verlopen na het ontdekken van de (mogelijke) datalekken? Hoe is de interne samenwerking verlopen? Hoe is geacteerd richting betrokkenen (intern, inwoners, raad)?
•
Welke interne processen en procedures zijn binnen de gemeente, dan wel wettelijk vastgelegd na het ontdekken van een datalek en zijn deze in de betreffende casussen doorlopen? Zo niet, waarom niet en met welke gevolgen?
•
Welke lessen kan de gemeente trekken uit de onderzochte casussen, en welke verbeteringen zijn denkbaar teneinde dergelijke risico’s adequater te beheersen?
1.3
Uitvoering
Het onderzoek is uitgevoerd in drie fasen. We lichten per fase toe welke activiteiten wij ondernomen hebben. Fase 1. Voorbereiding Startgesprek Op
donderdag
4
september
2025
heeft
een
startgesprek
plaatsgevonden
met
de
begeleidingscommissie. Tijdens dit overleg zijn de drie casussen, de onderzoeksvragen en het doel van het onderzoek besproken. Informatieprotocol In de voorbereidende fase is een informatieprotocol opgesteld, waarin staat beschreven hoe wordt omgegaan met de informatie die in het kader van het onderzoek aan ons is verstrekt. Deze is in concept voorgelegd aan de begeleidingscommissie. Het definitieve protocol is voorafgaand aan de gesprekken gedeeld met alle gesprekspartners. Toetsingskader Voorts is een toetsingskader opgesteld en voorgelegd aan de begeleidingscommissie. Dit kader bevat relevante passages uit de Algemene wet Bestuursrecht, de Gemeentewet, de Algemene Verordening Gegevensbescherming en Uitvoeringswet Algemene Verordening Gegevensbescherming, de Baseline Informatiebeveiliging Overheid, de handreiking ’10 bestuurlijke principes voor informatiebeveiliging’ en de Wet open overheid. Daarnaast zijn de volgende interne documenten geraadpleegd en (delen daarvan) vermeld: het ‘Strategisch informatiebeveiligingssysteem gemeente Midden-Delfland 2023 – 2026’, het ‘Privacybeleid gemeente Midden-Delfland 2019’ en het ‘Proces afhandeling datalekken (2022)’. Het toetsingskader ondersteunt bij het duiden van de onderzoeksbevindingen en is opgenomen in bijlage 1.
Interviewlijst Op basis van de eerste informatie die wij ontvingen van de opdrachtgever, is een lijst van betrokken personen/actoren opgesteld en voorgelegd aan de begeleidingscommissie ten behoeve van de interviews. Vervolgens hebben wij een interviewleidraad aan de hand van de onderzoeksvragen opgesteld. Fase 2. Gegevensverzameling Documentstudie
Onderzoek datalek gemeente Midden-Delfland
5/59
Op basis van de ontvangen documentatie, is een documentstudie uitgevoerd om te komen tot een overzichtelijk feitenrelaas van de drie casussen. Het feitenrelaas is naderhand aangevuld met bevindingen die voortkomen uit de gevoerde gesprekken en met documentatie die ons –op ons verzoek- door gesprekspartners is toegestuurd. Het feitenrelaas is opgenomen in bijlage 2. Interviews Ten behoeve van het onderzoek zijn acht personen uit zowel de ambtelijke als bestuurlijke organisatie van de gemeente Midden-Delfland geïnterviewd. Tijdens deze gesprekken is onder meer aan de gesprekspartners gevraagd bij welke casus(sen) zij betrokken waren en of zij hun ervaringen en perspectieven daarover kunnen delen. Zo nodig zijn zaken uit de interviews naderhand geverifieerd bij de eerder geïnterviewde personen. Alle gesprekken zijn gevoerd door twee onderzoekers. Van elk gesprek is een zakelijk gespreksverslag op hoofdlijnen gemaakt en voorgelegd aan de gesprekspartners ter akkoord. Zij konden feitelijke onjuistheden corrigeren of een naschrift toevoegen. Van alle gesprekspartners is een reactie ontvangen. De gespreksverslagen zijn niet gedeeld met de opdrachtgever en maken geen onderdeel uit van de rapportage. Fase 3. Analyse en rapportage Delen eerste bevindingen gemeenteraad Op donderdag 6 november jl.
zijn de eerste beelden uit de documentstudie en gesprekken gedeeld met de begeleidingscommissie. Deze presentatie was gestructureerd aan de hand van de onderzoeksvragen. Tijdens de sessie had de begeleidingscommissie de mogelijkheid tot het stellen van vragen. Conceptrapportage Op basis van de documentstudie en gesprekken is een analyse gemaakt. De uitkomsten zijn vastgelegd in een conceptrapportage, waarin de resultaten van het onderzoek en de beantwoording van de onderzoeksvragen zijn opgenomen. De feitelijke, beschrijvende onderdelen van de rapportage zijn ter finale controle aan onze ambtelijke contactpersoon (de gemeentesecretaris) voorgelegd om te controleren op feitelijke onjuistheden. Waar nodig is de rapportage op basis daarvan aangepast. De ambtelijke contactpersoon heeft geen inhoudelijke inmenging in de rapportage (gehad). Opleveren rapportage De conceptrapportage is verstrekt aan de begeleidingscommissie. Aan de begeleidingscommissie is gevraagd of met de rapportage is voldaan aan de gegeven onderzoeksopdracht. Nadat de begeleidingscommissie dit bevestigend heeft geantwoord, hebben wij de rapportage definitief gemaakt. Verdere verspreiding van de rapportage is de verantwoordelijkheid van de opdrachtgever.
1.4
Leeswijzer
Het rapport is als volgt opgebouwd: •
In hoofdstuk 2 worden de feitelijke bevindingen van het onderzoek gepresenteerd. De eerste paragraaf bevat een beschrijving en analyse van het beleidskader en de interne richtlijnen van de gemeente Midden-Delfland met betrekking tot informatiebeveiliging, privacy en de afhandeling van datalekken. Deze analyse is uitgevoerd in lijn met de onderzoeksvragen en afgezet tegen het wettelijk kader. Vervolgens worden de drie casussen besproken, waarbij per
Onderzoek datalek gemeente Midden-Delfland
6/59
casus eerst de feitelijke bevindingen worden weergegeven en daarna een analyse volgt op basis van de onderzoeksvragen en het toetsingskader. •
In hoofdstuk 3 geven wij antwoord op de zes geformuleerde onderzoeksvragen en geven wij aanbevelingen voor het verkleinen van het risico op soortgelijke incidenten in de toekomst.
Onderzoek datalek gemeente Midden-Delfland
7/59
HOOFDSTUK 2
Bevindingen In dit hoofdstuk beschrijven wij de belangrijkste uitkomsten uit het onderzoek naar aanleiding van de drie vermeende datalekken. Allereerst beschrijven, en analyseren, wij in algemene zin welke interne processen en procedures binnen de gemeente van toepassing zijn, voortvloeiende uit relevante wetgeving met betrekking tot de bescherming
van
persoonsgegevens
en
de
afhandeling
van
datalekken. Vervolgens worden in de daaropvolgende paragrafen de drie vermeende datalekken afzonderlijk behandeld, waarna per casus een
analyse
volgt
in
lijn
met
de
onderzoeksvragen
en
het
toetsingskader.
2.1
Beleidskader en interne richtlijnen
De Algemene Verordening Gegevensbescherming (AVG) is de Europese privacywet die sinds 25 mei 2018 van kracht is in alle lidstaten van de Europese Unie. De AVG heeft als doel: •
Bescherming van persoonsgegevens van natuurlijke personen.
•
Meer controle voor burgers over hun eigen gegevens.
•
Uniforme regels voor organisaties binnen de EU over hoe zij persoonsgegevens mogen verwerken.
De wet geldt voor zowel publieke als private organisaties en stelt strikte eisen aan: •
Rechtmatigheid van verwerking (alleen met een geldige grondslag, zoals toestemming of wettelijke verplichting).
•
Transparantie (duidelijk informeren over wat met gegevens gebeurt).
•
Beveiliging (passende technische en organisatorische maatregelen).
•
Rechten van betrokkenen, zoals inzage, correctie, verwijdering en dataportabiliteit.
•
Meldplicht datalekken (binnen 72 uur aan de toezichthouder en soms ook aan betrokkenen).
De AVG vormt derhalve de basis voor regelgeving rondom verzameling en het gebruik van persoonsgegevens. De Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG) is de Nederlandse wet die sinds 25 mei 2018 de Europese privacywet AVG aanvult en concretiseert voor Nederland. De AVG en UAVG gelden volledig voor gemeentelijke organisaties en leggen hun specifieke verplichtingen op, omdat gemeenten veel persoonsgegevens verwerken bij het uitvoeren van hun wettelijke taken (zoals de Basisregistratie Personen (BRP)). Het college van burgemeester en wethouders is verwerkingsverantwoordelijke voor alle gemeentelijke verwerkingen van persoonsgegevens en moet “in control” zijn over naleving van de AVG.
Onderzoek datalek gemeente Midden-Delfland
8/59
De gemeente Midden-Delfland heeft diverse beleidsdocumenten opgesteld om te voldoen aan de eisen die voortvloeien uit de AVG en aan de normen voor informatieveiligheid. Dit betreffen: •
Strategisch Informatiebeveiligingsbeleid 2023–2026 Dit document vormt het kader voor informatieveiligheid en is gebaseerd op internationale normen (NEN-ISO/IEC 27001 en 27002), de Baseline Informatiebeveiliging Overheid (BIO) en de tien principes voor informatiebeveiliging van de Vereniging van Nederlandse Gemeenten (VNG). Het beleid
beschrijft
strategische
doelen
zoals
risicomanagement,
bescherming
van
persoonsgegevens, incidentrespons en continue verbetering via de PDCA-cyclus. Het document houdt rekening met actuele ontwikkelingen zoals BIO 2.0, NIS2 en ENSIA-verantwoording. Rollen en verantwoordelijkheden zijn duidelijk belegd bij het college, directieteam, Chief Information Security Officer (CISO), Chief Information Officer (CIO), Functionaris voor Gegevensbescherming (FG) en lijnmanagement. Hiermee voldoet het beleid grotendeels aan de eisen van artikel 24 en 32 van de AVG (verantwoordingsplicht en beveiliging). •
Privacybeleid gemeente Midden-Delfland (2019) Dit beleid richt zich op de verwerking van persoonsgegevens en legt de uitgangspunten van de AVG vast. Het beleid benoemt expliciet de toepasselijke wetgeving (AVG en UAVG) en legt duidelijke
uitgangspunten
vast,
zoals
rechtmatigheid,
doelbinding,
minimale
gegevensverwerking en beveiliging. Ook de organisatorische structuur is uitgewerkt: rollen zoals de FG, Privacy Officer (PO) en Privacy Ambassadeurs (PA’s) zijn helder omschreven, inclusief hun taken en bevoegdheden. Dit draagt bij aan een duidelijke governance rondom privacy. Daarnaast bevat het beleid bepalingen over het register van verwerkingen, privacy by design en privacy by default, en de verplichting tot het uitvoeren van DPIA’s bij hoog-risico verwerkingen. Ook de rechten van betrokkenen worden uitgebreid behandeld, inclusief termijnen en procedures voor inzage, correctie, verwijdering en dataportabiliteit. Dit sluit nauw aan bij de artikelen 12 tot en met 23 van de AVG. Voorts bestaat aandacht voor bewustwording en training, wat essentieel is voor een privacybewuste organisatie. Aandachtspunt is dat het document dateert uit 2019. Inmiddels is het ‘Privacybeleid gemeente Midden-Delfland 2025’ vastgesteld. Dit beleid was echter nog niet van kracht ten tijde van de drie onderzochte casussen, waardoor wij ons in het onderzoek richten en baseren op de versie uit 2019. •
Proces afhandeling datalekken (2022) Het document ‘Proces afhandeling datalekken’ (2022) geeft een gedetailleerde beschrijving van de stappen die moeten worden genomen bij een datalek: van constatering en melding tot beoordeling, escalatie en registratie. Het proces maakt onderscheid tussen meldplicht aan de Autoriteit Persoonsgegevens (AP) en aan betrokkenen, op basis van het risico voor hun rechten en vrijheden. Ook bestaat aandacht voor interne communicatie en bewustwording, en worden escalatiestappen naar bestuurlijke niveaus benoemd. Dit sluit goed aan bij de artikelen 33 en 34 van de AVG. De wettelijke termijn van 72 uur voor melding aan de AP wordt daarbij echter niet expliciet genoemd.
In het toetsingskader (zie bijlage 1) staan de relevante artikelen, bepalingen en rollen uitgebreider beschreven en weergegeven. Uit de gesprekken blijkt dat de in het privacybeleid beschreven rollen, zoals de FG, de PO en de PA, daadwerkelijk zijn ingevuld binnen de organisatie. De FG en de PO hebben periodiek overleg met elkaar en daarnaast zijn er periodieke overleggen tussen de FG, de PO en de verschillende PA’s. Deze structuur sluit aan bij artikel 37 tot en met 39 AVG, waarin toezicht en advisering door de FG zijn geregeld.
Onderzoek datalek gemeente Midden-Delfland
9/59
Daarnaast is binnen de gemeente een register van verwerkingen ingericht, conform artikel 30 AVG. Dit register bevat een overzicht van alle verwerkingen van persoonsgegevens. Het beheer van dit register ligt bij de PO, terwijl de FG toezicht houdt op de volledigheid en rechtmatigheid van de opgenomen processen. Uit het onderzoek blijkt dat de verwerking van persoonsgegevens ten aanzien van ‘Vergaderstukken Raad’ (waar de raadsinformatiebrief onder valt) en de ‘Werkzaamheden Bezwaarschriftencommissie’ staan geregistreerd in het register van verwerkingen. In het register van verwerkingen ontbreekt echter het proces inzake de Wet Open Overheid (Woo). Alleen de verouderde processen inzake de verzoeken met betrekking tot de, voormalige, Wet Openbaarheid Bestuur (Wob) en de Wet hergebruik van overheidsinformatie (Who) staan beschreven. Tevens is een register van datalekken ingericht, waarin zowel meldingsplichtige als nietmeldingsplichtige incidenten worden vastgelegd, inclusief de gemaakte afwegingen. Dit sluit aan bij de verplichtingen uit artikel 33 en 34 AVG en draagt bij aan de aantoonbaarheid van naleving. Tot slot is binnen de organisatie structureel aandacht voor bewustwording op het gebied van gegevensbescherming en informatieveiligheid. Regelmatig worden berichten en informatie over privacy en beveiliging geplaatst op het intranet en via interne e-mailcommunicatie.
Voorts worden diverse bewustwordingsactiviteiten georganiseerd, waarbij de organisatie samenwerkt met een externe partij om deze activiteiten vorm te geven. Hiermee wordt invulling gegeven aan de verplichting uit artikel 24 AVG om passende organisatorische maatregelen te treffen. De afgelopen jaren zijn onder meer de volgende activiteiten uitgevoerd: •
Nanolearnings:
acht
informatieveiligheid,
korte waaronder
e-learningmodules
met
het
incidenten,
melden
van
informatie
over
privacy
en
zorgvuldig
omgaan
met
persoonsgegevens en de inzet van AI. •
Social Hack Training: een interactieve training waarin medewerkers leren hoe sociale engineering werkt en hoe zij zich hiertegen kunnen beschermen.
•
Keynote AI: een sessie waarin medewerkers inzicht krijgen in de nieuwste ontwikkelingen op het gebied van kunstmatige intelligentie en de bijbehorende risico’s.
•
Virtuele awareness game ‘Heel Holland Hackt’: een spel waarin medewerkers op een laagdrempelige manier kennismaken met hacktechnieken en de gevolgen van datalekken.
2.2
Bezwaarschriften AZC
Op 18 december 2024 dient het COA een aanvraag in bij de gemeente Midden-Delfland voor een omgevingsvergunning voor de realisatie van een tijdelijke asielopvanglocatie in Den Hoorn. Op 12 februari 2025 verleent het college van burgemeester en wethouders deze vergunning. De deadline voor het indienen van bezwaar tegen het collegebesluit is 26 maart 2025. Op 22 mei 2025 volgt een raadsinformatiebrief (RIB) waarin de voortgang van de realisatie van het AZC in Den Hoorn omschreven is. Een RIB is een formele schriftelijke brief van het college aan de gemeenteraad met als doel de raad te informeren over een bepaald onderwerp. Het betreft geen besluitstuk, vraagt ook geen besluit van de raad en is puur informerend. De RIB kondigt aan dat 133 bezwaren zijn ingediend en dat de ingediende bezwaren geen opschortende werking hebben voor de werkzaamheden van het COA: ‘Geachte raadsleden, U leest in deze raadsinformatiebrief over de voortgang van de realisatie van het AZC in Den Hoorn. 1. Aanvraag omgevingsvergunning Op 12 februari 2025 is de omgevingsvergunning verleend op de aanvraag omgevingsvergunning van het COA van 18 december 2024 voor het realiseren van de tijdelijke opvanglocatie in Den Hoorn.
Onderzoek datalek gemeente Midden-Delfland
10/59
Belanghebbenden konden tot en met 26 maart 2025, bezwaar indienen tegen dit besluit. Er zijn 133 bezwaren ingediend. De hoorzitting van de bezwaarschriftencommissie is op 27 mei 2025. De bezwaarmakers zijn hiervoor uitgenodigd. (…) 4. Start werkzaamheden COA Op dit moment treft de aannemer van het COA voorbereidingen voor de feitelijke bouw van het AZC. Omdat de omgevingsvergunning is verleend, kunnen de werkzaamheden worden gestart. De ingediende bezwaren hebben geen opschortende werking. Het COA hoeft daarom de afhandeling van de eventuele ingediende bezwaren niet af te wachten. Zodra zij deze voorbereidingen hebben afgerond, starten zij waarschijnlijk met de bouw. De bouw van het AZC neemt drie maanden in beslag. Daarna heeft het COA twee weken nodig om het AZC in te richten en één week voor het inhuizen van de bewoners van het AZC. (…) Met vriendelijke groet, College van burgemeester en wethouders, [Gemeentesecretaris] [Burgemeester]’
Op 23 juni 2025 brengt de bezwaarschriftencommissie een advies uit inzake de bezwaren tegen de verleende omgevingsvergunning. Op 15 juli 2025 volgt een collegevoorstel van de Wet algemene bepalingen
omgevingsrecht
(Wabo)
coördinator1,
waarin
het
advies
van
de
bezwaarschriftencommissie uiteengezet is en advies is gegeven over de uit te werken beslispunten in de beslissing op bezwaar (BOB) van het college. Op dit advies is tijdens de collegevergadering van 22 juli 2025 een besluit genomen. Ten behoeve van de korte doorlooptijd richting het reces, is besloten dat op donderdag 24 juli 2025 de BOB aan de bezwaarmakers zou worden verstuurd. In de collegevergadering van 22 juli 2025 is tevens besloten dat maandag 28 juli 2025 de raad direct geïnformeerd dient te worden over de BOB. Daarvoor moesten de beide processen (RIB en BOB) simultaan doorlopen worden. Uit het onderzoek blijkt dat de gemeenteraad periodiek (doorgaans eens per maand of eens per twee maanden) via een RIB wordt geïnformeerd over de voortgang van de opvanglocatie. De afdelingsdirecteur Samenleving & Dienstverlening is hiervoor ambtelijk opdrachtgever, waarbij het team Communicatie en het team Juridische Zaken ook betrokken zijn. De eerstvolgende reguliere RIB stond pas voor september 2025 gepland. Uit de gevoerde gesprekken komt naar voren dat het college van oordeel was dat dit te lang zou duren om de raad adequaat te informeren, mede gezien de actualiteit en de politieke gevoeligheid van het onderwerp. Het college maakte de inschatting dat de raad tijdig en volledig op de hoogte moest worden gebracht van de BOB.
Daarom is ervoor gekozen een extra RIB uit te brengen, waarin de raad integraal werd geïnformeerd over de BOB. In dezelfde collegevergadering is verder besproken hoe deze extra RIB vorm moest krijgen. Het college is tot het besluit gekomen dat in de brief de BOB, inzake de verleende omgevingsvergunning aan het COA ten behoeve van het AZC in Den Hoorn wordt toegelicht, vergezeld van een aantal bijlagen, waaronder het advies van de bezwaarschiftencommissie. Binnen het college is expliciet stilgestaan bij het feit dat de raad een omvangrijk aantal bijlagen zou ontvangen, maar ook dat enkele fracties hier hoogstwaarschijnlijk behoefte aan zouden hebben. De inschatting was dat, indien de bijlagen niet zouden worden meegezonden, de raad hier alsnog om zou verzoeken. Om die reden heeft het college zorgvuldig afgewogen dat alle bijlagen die aan het collegeadvies waren gehecht ook aan de raad zouden worden verstrekt, zodat geen indruk zou ontstaan dat informatie werd achtergehouden. Daarnaast begrijpen wij uit de gesprekken dat de gemeentesecretaris op verzoek van het college de RIB al grotendeels had uitgewerkt op basis van de bespreking in het college van 15 juli 2025. Normaliter wordt een RIB opgesteld door de inhoudelijk verantwoordelijke vakafdeling. In dit geval zou dat het team Vergunning, Toezicht en Handhaving (VTH) zijn, gezien hun
1
De Wabo coördinator betreft de vergunningverlener van de gemeente Midden-Delfland.
Onderzoek datalek gemeente Midden-Delfland
11/59
verantwoordelijkheid voor de uitvoering van de BOB-procedure. Uit het onderzoek blijkt echter dat het team VTH niet eerder een RIB heeft opgesteld, mede omdat het ongebruikelijk is dat de gemeenteraad via een RIB wordt geïnformeerd over de afhandeling van bezwaarschriften: dit is geen vast onderdeel van het reguliere proces en vormt geen structurele informatieplicht richting de raad. Daarnaast was het team VTH nog volop bezig met de afronding van de BOB-procedure. Hierdoor was hoe dan ook onvoldoende capaciteit beschikbaar om parallel een RIB op te stellen. Deze combinatie van omstandigheden heeft ertoe geleid dat de gemeentesecretaris het initiatief heeft genomen de RIB zelf op te stellen en tot een bestuurlijk verantwoord geheel te brengen, zodat het college de raad tijdig kon informeren. Ten behoeve van de inhoudelijke afstemming heeft overleg plaatsgevonden tussen de gemeentesecretaris en de verantwoordelijke behandelend ambtenaar van het team VTH.
2.2.1
Gebruik zaaksysteem
Uit het onderzoek blijkt dat de gemeente gebruik maakt van een zogeheten zaaksysteem. Een zaaksysteem (ook wel zaakgericht werken-systeem) is een digitaal systeem dat de gemeente gebruikt om alle soorten aanvragen, meldingen, bezwaren, vergunningen en interne processen te registreren, te volgen en te archiveren als ‘zaken’. Uit de gesprekken volgt dat het systeem functionaliteiten biedt voor het toewijzen van autorisaties, waardoor specifieke onderdelen van het zaaksysteem kunnen worden afgeschermd. Voorts volgt uit de gesprekken dat team VTH daarnaast separaat gebruik maakt van hun eigen zaaksysteem, te weten: RX Mission. RX Mission wordt uitsluitend gebruikt voor de bezwaarschriftenprocedure en bevat de stukken die hiervoor relevant en noodzakelijk zijn ten aanzien van hun eigen proces.
2.2.1.1
Proces team VTH inzake BOB
In juli 2025 levert team VTH de documenten aan vanuit RX Mission die voor het college nodig zijn om het uiteindelijk besluit te nemen naar aanleiding van onder meer het advies van de bezwaarschriftencommissie. Via de afdeling Documentaire Informatievoorziening (DIV) zijn de documenten toegevoegd aan het algemene zaaksysteem, waarbij de documenten uitsluitend toegankelijk waren voor het college, zodat het college toegang had tot de relevante documentatie. Deze documentatie bevat onder meer het integrale advies van de bezwaarschriftencommissie inclusief de NAW-gegevens van alle bezwaarmakers. Het is gebruikelijk dat het college toegang heeft tot het volledige dossier teneinde tot een gedegen en zorgvuldig besluit te kunnen komen op basis van alle beschikbare informatie, waaronder het toetsen van de ontvankelijkheid. Nadat het college op 22 juli 2025 tot een besluit is gekomen, zijn de verscheidene BOB’s op 24 juli 2025 verzonden aangetekend, gestempeld en verstuurd via DIV naar alle bezwaarmakers. Uit de gesprekken blijkt dat door het college is besloten, gezien de gevoeligheid van het dossier, de BOB’s te anonimiseren en de bezwaarmakers dus niet de NAW-gegevens van de andere bezwaarmakers te tonen. Hiertoe heeft het team VTH het advies van de bezwaarschriftencommissie geanonimiseerd, waardoor alle NAW-gegevens waren zwartgelakt. Deze versie is toegevoegd aan RX Mission.
Een extern bureau is daarnaast ingeschakeld voor de verdere verwerking van de publicatie. Het door de gemeente aangeleverde, geanonimiseerde besluit is door het externe bureau een week later op 4 augustus 2025 gepubliceerd op de website www.gemeenteblad.nl. Dit is het platform waarop officiële bekendmakingen van gemeenten worden geplaatst. Tot slot is het geanonimiseerd besluit eveneens op 29 juli 2025 op de website van de gemeente geplaatst. Het publiceren van een BOB op de gemeentelijke website behoort evenzo niet tot de standaardprocedure. Door het college is echter besloten de BOB te publiceren op de gemeentelijke website om zodoende proactief aanvullende vragen ten aanzien van dit proces te ondervangen die anders, naar verwachting, bij het Klant Contact Centrum (KCC) zouden binnenkomen.
Onderzoek datalek gemeente Midden-Delfland
2.2.1.2
12/59
Proces RIB
In lijn met het, zoals uit de gesprekken gebleken, reguliere RIB-proces is het de standaardwerkwijze dat de vakafdeling die inhoudelijk betrokken is bij het onderwerp waarover de raad wordt geïnformeerd, verantwoordelijk is voor het opstellen van de RIB, waarbij de vakafdeling zorgdraagt voor de correcte afhandeling via het zaaksysteem. Daarbij wordt in de meeste gevallen het team communicatie betrokken om de inhoud en vormgeving van de RIB te ondersteunen. In het onderhavige geval is het, zoals eerder aangegeven, echter de gemeentesecretaris die de RIB heeft opgesteld. De gemeentesecretaris heeft de RIB zelf opgesteld en geüpload in het zaaksysteem, waarna het college de brief via het zaaksysteem heeft vastgesteld middels de daarvoor gehanteerde workflow. Nadat het college de brief had vastgesteld, heeft de gemeentesecretaris gezorgd voor de verdere afhandeling. In de regel gebeurt dat, zoals gezegd, door de inhoudelijk betrokken ambtenaar en is het team communicatie in het proces betrokken. In dit geval heeft de gemeentesecretaris zelf de brief aan de raad geprint en ondertekend. Daarna heeft de burgemeester de brief ondertekend. Vervolgens scant DIV de RIB in, voegt deze toe aan het centrale zaaksysteem en sturen de ondertekende brief via het zaaksysteem naar de griffier.
In het verlengde van bovenstaand proces, stuurt de gemeentesecretaris om 12:36 uur een e-mail naar de plaatsvervangend griffier (de griffier was niet aanwezig in die periode). In de e-mail kondigt de gemeentesecretaris aan dat het college heeft besloten de bezwaarmakers en de raad te informeren. Hij geeft aan dat de (ondertekende) documenten inzake de RIB en BOB, via het zaaksysteem, onderweg zijn naar de plaatsvervangend griffier. De e-mail bevat naast de RIB de vijf bijlagen die in het college zijn behandeld: •
Bijlage 1: de BOB ten aanzien van de vergunninghouder.
•
Bijlage 2: de BOB ten aanzien van de ontvankelijke groep bezwaarmakers.
•
Bijlage 3: de BOB ten aanzien van de niet ontvankelijke groep bezwaarmakers.
•
Bijlage 4: het vergunningenbesluit aan het COA.
•
Bijlage 5: het advies van de bezwaarschriftencommissie.
Bijlage 5 betreft het integrale advies van de bezwaarschriftencommissie inclusief de NAW-gegevens van 132 bezwaarmakers (een van de bezwaarmakers zou gedurende het proces zijn overleden). In de gesprekken is naar voren gekomen dat deze e-mail is gestuurd door de gemeentesecretaris, omdat hij de week daarna zelf met verlof ging. De gemeentesecretaris was zich er in deze specifieke situatie niet bewust van dat de bijlage met het advies van de bezwaarcommissie (bijlage 5) NAWgegevens bevatte: ‘Beste [plaatsvervangend griffier] (cc [griffier]), Deze week worden de beslissingen op bezwaar verstuurd naar de indieners van bezwaren op de omgevingsvergunning die het COA kreeg. Het college wil graag eerst de bezwaarmakers informeren en daarna de raad. Kun jij dus niet eerder dan deze vrijdag (maar volgende week is ook goed) de relevante stukken naar de raad zenden? In deze mail tref je de 5 bijlagen aan. De brief zelf, die zit zonder ondertekening bij deze mail, komt ondertekend naar je toe. Dat zal via DIV gaan. Wil je aub die brief afwachten alvorens je het geheel aan de raad aanbiedt? Met vriendelijke groet, [Gemeentesecretaris]’
Op maandag 28 juli 2025 krijgt de plaatsvervangend griffier een melding dat de RIB ondertekend klaarstond in het zaaksysteem. Uit de gesprekken is gebleken dat de plaatsvervangend griffier er niet in slaagde de vijf bijbehorende bijlagen in het zaaksysteem te vinden. Dit had mogelijk te maken
Onderzoek datalek gemeente Midden-Delfland
13/59
met het feit dat het registratienummer in het zaaksysteem van de RIB niet correspondeerde met de stukken ten aanzien van de BOB. De plaatsvervangend griffier voegt vervolgens zelf de vijf bijlagen toe aan het zaaksysteem die hij heeft ontvangen via de e-mail van de gemeentesecretaris (dus inclusief ‘bijlage 5’ met daarin de NAW-gegevens van 132 bezwaarmakers). De stukken zijn vervolgens doorgezet naar iBabs om 10:38 uur. Om 11:18 uur is de RIB met de vijf bijlagen gepubliceerd in iBabs op Lijst A van de gemeenteraad voor de vergadering van 23 september 2025. Op dinsdag 29 juli 2025 constateerde de plaatsvervangend griffier dat de RIB met de vijf bijlagen nog niet was gepubliceerd in de publieksportal, waardoor de stukken wel openbaar waren, maar beperkt vindbaar. Dit vergde vanuit de plaatsvervangend griffier een dubbele handeling in iBabs welke op dinsdagochtend om 08:50 uur is hersteld. De RIB met de vijf bijlagen is daarmee toegevoegd aan de gemeentelijke website onder de categorie ‘Raadsinfobrieven’. Uit de gesprekken blijkt dat deze categorie voornamelijk door inwoners en ander geïnteresseerden wordt geraadpleegd en om die reden een bepaalde nieuwswaarde draagt.
2.2.2
Melding datalek
Op 30 juli 2025 om 12:52 uur stuurt een ambtenaar van team Communicatie een e-mail naar de abonnees van de nieuwsbrief rondom het AZC dossier. In de e-mail wordt een update gegeven over het genomen collegebesluit op het advies van de bezwaarschriftencommissie van 23 juni 2025. Daarnaast wordt middels een hyperlink verwezen naar iBabs, waarop de stukken die ochtend zijn gepubliceerd door de plaatsvervangend griffier: ‘Beste lezer, Hierbij ontvangt u van ons weer een update over het toekomstige AZC in Den Hoorn. Besluit over bezwaren bouw AZC De adviescommissie bezwaarschriften heeft advies uitgebracht over 133 bezwaren op de verleende omgevingsvergunning voor het realiseren van een tijdelijke opvanglocatie (AZC) door het COA. Op basis van dit advies heeft het college van Midden-Delfland beslissingen op de bezwaren genomen. Het nieuwe besluit houdt in dat het verlenen van de vergunning in stand blijft maar dat de motivering waar nodig wordt verbeterd en er diverse zaken zolen onderzoeksrapporten worden toegevoegd. Dit besluit is vrijdag 22 juni aan de gemeenteraad voorgelegd. U kunt de raadsbrief met bijlagen vinden op onze website: Beslissing op bezwaarschriften omgevingsvergunning AZC middendelfland – iBabs Publieksportaal De bezwaarmakers hebben wij via een brief geïnformeerd over het advies en het besluit. (…) Tot zover onze update over het AZC in Den Hoorn.
Met hartelijke groet, Projectteam AZC Den Hoorn’
Om 14:30 uur ontvangt het team Communicatie een reactie op de e-mail die gestuurd is aan de abonnees van de nieuwsbrief. De ontvanger van de e-mail constateert middels de iBabs hyperlink naar het advies van de bezwaarschriftencommissie dat de NAW-gegevens van alle bezwaarmakers openbaar zijn gemaakt: Beste heer/mevrouw, Via de link die u hieronder deelt is het advies beschikbaar van de bezwaarschriftencommissie. In dit advies zijn alle NAW-gegevens zichtbaar van alle bezwaarmakers. Dit is onacceptabel, ik verzoek u dan ook dringend om dit datalek per ommegaande te corrigeren en alle persoons gegevens onzichtbaar te maken. Dit is hoogst onzorgvuldig en bijzonder ongelukkig in dit dossier. Het gaat om volledig NAWgegevens in de context van het maken van bezwaar tegen een AZC. Hoe heeft u dit datalek over het hoofd kunnen zien? Het gaat nota ben om meer dan 130 namen en adressen van de bezwaarmakers. Daarbij constateer ik dat dit document al verspreid wordt in meerdere whatsapp-groepen, waardoor de omvang en impact van dit datalek aanzienlijk is. Wederom een hele flinke deuk in het vertrouwen in Gemeente Midden-Delfland.
Onderzoek datalek gemeente Midden-Delfland
14/59
Graag hoor ik zo snel mogelijk hoe u dit oplost en hoe u deze fout in de toekomst voorkomt, want dit is niet de eerste keer. Daarbij ontvang ik ook graag een bevestiging dat u dit datalek conform AVG meldt (bij AP) en afhandelt. Met vriendelijke groet, [afzender]’
Uit het onderzoek is duidelijk geworden dat bijlage 5 (het advies van de bezwaarschriftencommissie) NAW-gegevens bevatte. De overige bijlagen bevatten geen persoonsgegevens.
2.2.3
Processen na het datalek
In gesprekken is naar voren gekomen dat direct na de e-mail van 14:30 uur, de ambtenaar van het team Communicatie de e-mail doorstuurt naar de PO en de afdelingsdirecteur Bedrijfsvoering (tevens loco-gemeentesecretaris; de gemeentesecretaris was inmiddels met verlof) van de gemeente. De PO neemt contact op met de plaatsvervangend griffier met het verzoek de desbetreffende bijlage met openbare NAW-gegevens te verwijderen uit iBabs. De afdelingsdirecteur Bedrijfsvoering en de ambtenaar van het team Communicatie hebben in deze periode ook de burgemeester op de hoogte gebracht. Uit gesprekken komt naar voren dat de burgemeester hen onder meer heeft geïnstrueerd direct het datalek te dichten, te ondersteunen in de crisiscommunicatie, intern onderzoek op te zetten en de raad te informeren. Die middag staat de burgemeester de regionale media Omroep West te woord en verschijnt een eerste nieuwsbericht op de lokale omroep WOS2. Om 15:05 uur verwijdert de plaatsvervangend griffier de bijlage uit iBabs en voegt om 15:24 uur een geanonimiseerde versie, opgevraagd bij team VTH, aan de raadsagenda en RIB toe. Einde van de middag zijn de PO, afdelingsdirecteur Bedrijfsvoering, FG en een ambtenaar van het team Communicatie tot de conclusie gekomen dat het datalek gemeld zal worden bij de AP.
De keuze om te melden is voortgekomen uit de weging van een aantal criteria, namelijk het aantal betrokkenen bij het datalek, de duur van de openbaarheid van de NAW-gegevens, en de gevoeligheid van de gegevens rondom het desbetreffende dossier. Om 19:42 uur informeert het college de gemeenteraad en burgercommissieleden per e-mail over het datalek: ‘BERICHT NAMENS HET COLLEGE VOOR LEDEN GEMEENTERAAD EN BURGERCOMMISSIELEDEN Persoonsgegevens tijdelijk zichtbaar via website gemeente Op maandag 28 juli zijn via de website van de gemeente Midden-Delfland per ongeluk persoonsgegevens van 133 inwoners openbaar gemaakt. Het ging om naam, adres en woonplaats van personen die een bezwaarschrift hebben ingediend. Deze gegevens waren opgenomen in een bijlage bij een bericht aan de gemeenteraad. Wat hebben we gedaan? Zodra de fout werd ontdekt, is de bijlage op dinsdag 29 juli direct verwijderd. De informatie is vervolgens vervangen door een geanonimiseerde versie. Informatie aan betrokkenen Wij realiseren ons dat dit een inbreuk is op de privacy van de betrokken inwoners. Zij krijgen deze week een brief met uitleg over wat er is gebeurd en welke stappen zijn genomen. Melding bij de Autoriteit Persoonsgegevens
Omroep WOS is de lokale omroep voor de gemeenten Westland, Midden-Delfland, Maassluis en deelgemeente Hoek van Holland. 2
Onderzoek datalek gemeente Midden-Delfland
15/59
De gemeente meldt het voorval bij de Autoriteit Persoonsgegevens. Zij zoekt uit of er sprake is van een datalek. Het (onbedoeld) openbaar maken van persoonsgegevens is in strijd met het gemeentelijk beleid en het gevolg van een menselijke fout. De gemeente betreurt deze situatie.’
Op Intranet is die middag (op 30 juli 2025) een bericht geplaatst over het datalek, waarin expliciet ambtenaren bedankt worden voor hun inzet: ‘Beste collega, Per ongeluk zijn er tijdelijk persoonsgegevens openbaar gemaakt via onze website. Wij informeren je hierover omdat het belangrijk is dat je weet wat er is gebeurd en hoe snel en zorgvuldig we dit gezamenlijk hebben opgepakt. Wat is er gebeurd? Op 28 juli is de raad geïnformeerd over het AZC-dossier. Bij die (digitale) informatiebrief zat ook een beslissing op bezwaar, met een advies van de bezwaarschriftencommissie. In een bijlage daarvan stonden de naam, adres en woonplaats van 133 bezwaarmakers. Die informatie kwam via iBabs op onze website terecht – en dat had niet mogen gebeuren. Wat hebben we gedaan? Zodra de fout werd ontdekt (29 juli), is de bijlage direct verwijderd en daarna vervangen door een geanonimiseerde versie. We hebben het gemeld bij de Autoriteit Persoonsgegevens. Zij bekijken of het formeel een datalek is. In elk geval is het een inbreuk op de privacy, en dat nemen we serieus. De betrokken inwoners ontvangen deze week een brief. Ook de raad is geïnformeerd en er staat een bericht op onze website. Daarnaast hebben we zelf de media benaderd om de regie te houden. We balen hiervan – en we pakken het goed op Dit is pijnlijk, zeker in een gevoelig dossier als dit.
Iedereen die hierbij betrokken is, voelt dat. Tegelijk is er snel en met volle inzet gehandeld. Meerdere collega’s hebben hun werk laten vallen om dit op te lossen. Daarom in ieder geval dank aan: (…) Mocht je een vraag krijgen van omwonenden, collega’s, etc, dan kun je bovenstaande lijn aanhouden. Als je meer nodig hebt en behoefte aan afstemming neem dan even contact op met team communicatie via communicatie@middendelfland.nl. De kleine hoekjes... Een (per) ongelukje zit in een klein hoekje en heeft soms best forse gevolgen. We maken nou eenmaal fouten. Goed dus dat je stil blijft staan met hoe je informatie aanbiedt en dat deze juist in Zaaksysteem staat. En top dat we dit gezamenlijk zo oplossen. Namens DT een hartelijke groet’
Die avond verschijnt om 19:52 uur ook informatie op de gemeentelijke website over het geconstateerde datalek, waarin uitleg wordt gegeven over de situatie en wordt verzocht het document te verwijderen als deze in tussentijds gedownload is: ‘Op
maandag 28 juli zijn via de website van de gemeente Midden-Delfland per ongeluk
persoonsgegevens van 133 inwoners openbaar gemaakt. Het ging om naam, adres en woonplaats van personen die een bezwaarschrift hebben ingediend. Deze gegevens waren opgenomen in een bijlage bij een bericht aan de gemeenteraad.
Onderzoek datalek gemeente Midden-Delfland
16/59
Informatie aan betrokkenen Wij realiseren ons dat dit een inbreuk is op de privacy van de betrokken inwoners. Zij hebben inmiddels een brief ontvangen met uitleg over wat er is gebeurd en welke stappen zijn genomen. Wat hebben we gedaan? Zodra de fout werd ontdekt, is de bijlage op dinsdag 29 juli direct verwijderd. De informatie is vervolgens vervangen door een geanonimiseerde versie. Mogelijk is het document in de tussentijd gedownload. Wij vragen iedereen die dit document heeft opgeslagen, om het te verwijderen. Deel de informatie niet. Het verspreiden van persoonsgegevens kan schadelijk zijn voor de betrokken inwoners. Melding bij de Autoriteit Persoonsgegevens De gemeente heeft het voorval gemeld bij de Autoriteit Persoonsgegevens. Zij zoekt uit of er sprake is van een datalek. Het (onbedoeld) openbaar maken van persoonsgegevens is in strijd met het gemeentelijk beleid en het gevolg van een menselijke fout. De gemeente betreurt deze situatie.’
In de nacht van 29 op 30 juli 2025 om 01:37 uur meldt de PO het datalek formeel bij de AP via het daartoe behorend formulier. In de melding aan de AP heeft de PO aangegeven dat de gelekte gegevens, geen bijzondere persoonsgegevens3 betreffen. De reden hiervoor is dat de individuele, integrale bezwaarschriften niet zijn gedeeld en dat de strekking van de bezwaren bovendien niet herleidbaar is tot specifieke bezwaarmakers. Mede op basis hiervan hebben de PO en de FG in gezamenlijkheid geconcludeerd dat in dit geval geen sprake was van bijzondere persoonsgegevens. Een reactie van de AP op de melding is vervolgens uitgebleven. Indien de AP niet op de melding reageert, betekent dit dat de melding correct is gedaan, de AP geen aanvullende vragen heeft en dat de AP geen aanleiding ziet een vervolgonderzoek in te stellen naar het betreffende datalek. Op 30 juli 2025 om 07:03 uur stuurt de afdelingsdirecteur Bedrijfsvoering/loco-gemeentesecretaris een eerste reactie naar de melder van het datalek: ‘Beste [naam], Je hebt helemaal gelijk. Dit is een fout geweest, wij balen daar enorm van. Na jouw melding is direct de betreffende bijlage verwijderd en heeft de plv griffier deze bijlage daarna vervangen door de geanonimiseerde versie. Het incident zelf is in behandeling bij onze privacy officer. Hij heeft gisteren voor de zekerheid ook een melding gedaan bij de autoriteit persoonsgegevens.
Alle betrokkenen ontvangen van ons een brief met daarin wat er is gebeurd en uiteraard onze excuses. Gisteravond hebben we het college en de raad geïnformeerd en ook informatie op onze website geplaatst. Dank voor je oplettendheid en dat je ons attendeerde hierop. Een collega van communicatie heeft na jouw mail meteen gehandeld en de juiste collega’s geïnformeerd zodat we de bijlage snel konden verwijderen. Hartelijke groet, [afdelingsdirecteur Bedrijfsvoering/loco-gemeentesecretaris]’
Op 30 juli 2025 stellen ambtenaren van het team Communicatie samen met het team VTH een brief op richting betrokkenen. Om 19:42 uur volgt een e-mail van de melder op de reactie van de afdelingsdirecteur Bedrijfsvoering/loco-gemeentesecretaris. In deze e-mail benoemt de melder dat
Bijzondere persoonsgegevens zijn gegevens die in de AVG als extra privacygevoelig aangeduid worden. Dit zijn onder andere gegevens over ras, etnische afkomst, politieke opvattingen en gezondheidsgegevens. Door de gevoeligheid van het AZC dossier binnen de gemeente, was bij het desbetreffende datalek mogelijk sprake van gegevens die een politieke opvatting duiden. 3
Onderzoek datalek gemeente Midden-Delfland
17/59
het gegevenslek is geëscaleerd en meldt in deze context twee andere mogelijke datalekken (zie inhoudelijk paragraaf 2.3): ‘Beste [naam], Dank voor je eerdere reactie. De verwijdering van de bijlage is inmiddels uitgevoerd, maar helaas niet tijdig genoeg om het lek te beperken. Het kwaad was op dat moment al geschied: de volledige lijst met NAW-gegevens van bezwaarmakers circuleert inmiddels in meerdere WhatsApp-groepen, en het datalek is vandaag ook onderwerp van berichtgeving in de landelijke media. Daarbij was het gisterenmiddag, na constatering van het lek, niet mogelijk om telefonisch iemand van de gemeente te bereiken. Dit gebrek aan bereikbaarheid op zo’n kritiek moment heeft bijgedragen aan een gevoel van machteloosheid en frustratie. Daarbij mist ook nog steeds de oproep van de gemeente om verdere verspreiding tegen te gaan en te benadrukken dat dit onrechtmatig is. Nieuwe signalen van misbruik persoonsgegevens Vanmorgen nam de politie contact op met een bewoner van onze wijk die als een van de eersten op de gelekte lijst staat. Er was namens hem een melding gedaan over overlast in de wijk – een melding die hij zélf níet heeft gedaan. Dit roept ernstige zorgen op over daadwerkelijk misbruik van de gelekte gegevens, en vergroot de impact van dit datalek aanzienlijk.
Wij vragen ons af wanneer wij als betrokkenen de eerder aangekondigde brief van de gemeente mogen ontvangen. Bestuurlijke verantwoordelijkheid De burgemeester van Midden-Delfland voert de portefeuille juridische zaken. Aangezien dit ernstige datalek binnen een juridisch proces plaatsvindt – en bovendien geen op zichzelf staand incident is – achten wij het noodzakelijk dat zij persoonlijk betrokken wis bij zowel de afhandeling als de structurele evaluatie van dit dossier. Om die reden hebben wij haar, evenals de wethouders en gemeentesecretaris, in de cc van dit bericht opgenomen. Wij verwachten ook van hen actieve betrokkenheid en concrete reactie. Herhaalde datalekken onder verantwoordelijk van de gemeente Dit datalek staat niet op zichzelf. Er is sprake van een patroon van ernstige fouten in de omgang met persoonsgegevens.
(…) Structurele nalatigheid in gegevensbescherming Op basis van bovenstaande constateringen kan niet anders worden geconcludeerd dan dat er sprake is van stelselmatige en structurele grove nalatigheid in de bescherming van persoonsgegevens binnen de gemeente Midden-Delfland. Wij eisen dat de gemeente niet alleen het huidige lek, maar ook de eerdere genoemde datalekken afhandelt conform de AVG. (…) Verplichte informatievoorziening aan de gemeenteraad Wij verwachten dat het college van B&W de gemeenteraad actief en volledig informeert over de ernst en frequentie van deze datalekken. Gezien de impact op het vertrouwen van inwoners en de herhaling van fouten, is dit een bestuurlijke verplichting. De gemeenteraad moet kunnen controleren of de gemeente haar wettelijke zorgplicht jegens burgeres en medewerkers daadwerkelijk serieus neemt, en welke structurele verbetermaatregelen worden getroffen. Wij ontvangen graag binnen 5 werkdagen een afschrift van hoe u de gemeenteraad heeft geïnformeerd. Indien u dit nalaat, dan informeren wij de gemeenteraad zelf.
Onderzoek datalek gemeente Midden-Delfland
18/59
Persoonlijke impact Tot slot willen wij ook aangeven wat dit op persoonlijk vlak met ons doet. Het voelt ronduit onveilig dat mensen nu weten waar wij wonen én dat wij bezwaar hebben gemaakt tegen de komst van een AZC. In de huidige maatschappelijke contact is dat geen neutrale informatie. Wij voelen ons hierdoor angstig en ongemakkelijk in onze eigen buurt. Daarbij voelt het alsof wij klap na klap moeten incasseren van de kant van de gemeente, terwijl wij ons uitermate inspannen om de discussie beschaafd en inhoudelijk te voeren. Dat maakt deze situatie niet allen juridisch, maar ook moreel bijzonder schrijnend. Met vriendelijke groet, [afzender]’
Op donderdagavond 31 juli 2025 zijn bij alle betrokkenen van het datalek brieven aan huis bezorgd door afdelingsdirecteuren van de gemeente.
2.2.4
Vervolgprocessen
Op 1 augustus 2025 stuurt de afdelingsdirecteur Bedrijfsvoering/loco-gemeentesecretaris om 15:59 uur een reactie naar de melder: ‘Beste [naam], Dank voor je uitgebreide reactie. We begrijpen dat dit grote impact heeft op de betrokkenen. Wij balen enorm van deze situatie. Wij zullen er alles aan doen om vragen te beantwoorden en eventuele gevoelens van onveiligheid en dergelijke proberen weg te nemen. Daarvoor hebben wij al verschillende maatregelen getroffen, zoals het bezorgen van de brieven en benaderen van de direct betrokkenen. Uiteraard mag je van ons verwachten dat we bereikbaar zijn. Via het centrale nummer is de gemeente bereikbaar en naar wat ik begrijp en kan zien, zijn alle terugbelverzoeken snel nagekomen. Bestuurlijke verantwoordelijkheid Onze burgemeester is inderdaad eindverantwoordelijke. En zij baalt net als ik enorm van de ontstane situatie. Dat heeft ze inmiddels ook via diverse wegen geuit en laten weten. Ik deel hierbij ook de berichtgeving over de gesprekken met de burgemeester; Burgemeester door het stof om datalek bezwaarmakers azc: ‘Grond zakte onder mijn voeten weg’ | Midden-Delfland | AD.nl https://www.omroepwest.nl/radio/aflevering/west-wordt-wakker/2170518092 Mocht daar behoefte aan zijn dan is zij natuurlijk bereid om hierover in gesprek te gaan.
Ook heeft zij de oproep gedaan om de gegevens te verwijderen en niet verder te verspreiden, want dat is inderdaad verboden. Dit bericht staat ook op onze website. (…) Verplichte informatievoorziening aan de gemeenteraad Natuurlijk hebben wij de gemeenteraad direct geïnformeerd en wij sturen ook updates naar de gemeenteraad, als
daar
aanleiding
voor
is. Voor
de
volledigheid, ook het
college
en de
gemeentesecretaris zijn op de hoogte. Ik kan het onveilige gevoel dat je beschrijft niet wegnemen, maar we zetten alles op alles om daaraan te werken en de situatie te verbeteren. Dat is ook de inzet van onze burgemeester. Hartelijke groet, [afdelingsdirecteur Bedrijfsvoering/loco-gemeentesecretaris]’
Onderzoek datalek gemeente Midden-Delfland
19/59
Om 16:38 uur stuurt het college een e-mail aan de gemeenteraad en burgercommissieleden met een update over het datalek. Uit gesprekken komt naar voren dat dit de laatste correspondentie op initiatief van het college betrof richting de raad over het datalek, aangezien volgens het college geen verdere, aanvullende informatie te melden was. Daarin wordt omschreven dat het datalek gemeld is bij de AP. Daarnaast wordt verwezen naar een aantal interviews die de burgemeester heeft gegeven: ‘BERICHT VAN COLLEGE AAN LEDEN RAAD EN BURGERCOMMISSIELEDEN Dinsdag informeerden wij u over de fout die we maakten door per abuis tijdelijk persoonsgegevens openbaar te maken. Hierbij sturen we u een update. Het ging om informatie die in een van de bijlagen stond bij de raadsinformatiebrief over het AZC. De bijlage waar het om gaat, is het advies van de bezwaarschriftencommissie en in de bijlage dáárvan stond het overzicht van bezwaarmakers. Hierop stonden de namen en adressen van bezwaarmakers (en enkele rechtspersonen). Zodra de fout werd ontdekt, is de bijlage op dinsdag 29 juli direct verwijderd. De informatie is vervolgens vervangen door een geanonimiseerde versie. We hebben het datalek dinsdag gemeld bij de Autoriteit Persoonsgegevens. De personen van wie de gegevens in de bijlage stonden hebben donderdagavond een brief ontvangen. Deze is aan huis bezorgd.
Sinds dinsdag hebben we een aantal belletjes en mails ontvangen. Ook heeft het incident de nodige landelijke media-aandacht gehad. Vandaag heeft de burgemeester drie interviews gegeven. De links naar de interviews voegen we hierbij: Vanmorgen om 07:10 op Omroep West radio (min 9.14) https://www.omroepwest.nl/radio/aflevering/west-wordt-wakker/2170518092 Omroep West artikel: Moed zakt burgemeester in schoenen na datalek over asielzoekerscentrum: 'Vertrouwen naar nulpunt' - Omroep West AD-artikel: Burgemeester door het stof om datalek bezwaarmakers azc: ‘Grond zakte onder mijn voeten weg’ | Midden-Delfland | AD.nl Verder wordt om 17.30u vandaag het interview (voor camera) uitgezonden met Omroep West tv. Wij balen enorm dat dit is gebeurd. En wij realiseren ons dat dit het toch al broze vertrouwen in dit dossier schade toebrengt. Na het reces evalueren wij dit proces om herhaling te voorkomen.’
Op
13
augustus
2025
om
10:45
uur
stuurt
de
afdelingsdirecteur
Bedrijfsvoering/loco-
gemeentesecretaris een reactie op de melder van het datalek. In de e-mail wordt, na intern onderzoek, bevestigd dat bij het Woo-verzoek van de oud-burgemeester een datalek heeft plaatsgevonden. In paragraaf 2.3 wordt deze casus en de casus ten aanzien van de Sterappel, waaronder de relevante correspondentie hieromtrent, inhoudelijk behandeld. Op 25 augustus 2025 om 09:02 uur publiceert het Algemeen Dagblad (AD) een artikel over de gemeente Midden-Delfland waarin wordt gesteld dat de gemeente eerder NAW-gegevens van inwoners heeft gedeeld in andere zaken. Op 26 augustus 2025 beantwoordt het college ingediende vragen van de fractie Mijn Partij. Daarnaast beantwoordt het college de ingediende vragen van de fractie VVD op grond van artikel 42 RvO van 4 augustus 2025 in een ondertekende RIB, met daarin een feitenrelaas als bijlage van de gebeurtenissen in juli 2025. Daarnaast is om 19:30 uur een extra gemeenteraadsvergadering ingelast in het kader van het datalek. Tijdens de vergadering wordt gesteld door een VVD fractielid dat na 1 augustus 2025 geen informatie vanuit het college is gedeeld met de raad. De fractie Mijn Partij beaamt dat. Door de portefeuillehouder wordt benoemd dat een intern onderzoek is opgestart. Hier worden aanvullende vragen over gesteld. Op 23 september 2025 volgt een brief van het college aan de gemeenteraad
Onderzoek datalek gemeente Midden-Delfland
20/59
met daarin de conclusies en aanbevelingen die zijn voortgekomen uit het intern onderzoek naar het datalek. Tot slot heeft op 27 oktober 2025 een bijeenkomst plaatsgevonden voor betrokkenen bij het datalek waar de burgemeester en de gemeentesecretaris aanwezig waren en onder meer de resultaten van het interne onderzoek hebben toegelicht en vragen hebben beantwoord van inwoners.
2.2.5
Reflectie op (de oorzaken van) het datalek
In de interviews is aan de geïnterviewden gevraagd te reflecteren op het ontstane datalek en de achterliggende oorzaken. Daaruit komt naar voren dat volgens betrokkenen met name de gevoeligheid van het AZC-dossier binnen de gemeente, het naderende zomerreces, de grote informatiebehoefte van de raad en de wens van het college om de raad tijdig en volledig te informeren, de omstandigheden vormden die uiteindelijk hebben bijgedragen aan het datalek van 28 juli 2025. Tevens werd door meerdere geïnterviewden aangegeven dat het college druk ervaarde vanuit de raad om vóór het zomerreces volledig te worden geïnformeerd. Als voorbeeld is genoemd dat de raad bij een eerdere RIB over het COA “tot op detailniveau” informatie, inclusief de bezwaren, had opgevraagd. Het college wilde in deze casus daarom proactief voorzien in volledige informatievoorziening teneinde herhaalde verzoeken om openbaarheid voor te zijn.
2.2.6
Analyse
Aan de hand van de vooraf geformuleerde onderzoeksvragen volgt in deze paragaaf een analyse van onderhavige casus. Hierbij wordt aandacht besteed aan de aard van het incident, de interne afhandeling door de gemeente, de toepassing van relevante wettelijke kaders (zoals de AVG) en interne protocollen, de beoordeling van de meldplicht en privacyaspecten, evenals de communicatie richting betrokkenen en de reactie op vragen vanuit de media en de gemeenteraad. De onderzoeksvragen worden geïntegreerd behandeld binnen de analyse, waarbij telkens de relatie met de relevante (juridische) kaders en de interne protocollen en de feitelijke handelwijze van de gemeente wordt gelegd. In de conclusie (hoofdstuk 3) volgt ten slotte een samenvattende, gestructureerde en expliciete beantwoording van de onderzoeksvragen van deze en de overige twee (hierna in paragraaf 2.3 behandelde) casussen tezamen.
2.2.6.1
Doorlopen proces
In deze casus is sprake van een RIB die is uitgebracht naar aanleiding van een BOB-procedure van het college inzake 133 bezwaarschriften met betrekking tot de bouw van een AZC. Uit het onderzoek blijkt dat het college de inschatting maakte dat vanuit de gemeenteraad een duidelijke wens bestond terstond, volledig en transparant te worden geïnformeerd over alle relevante ontwikkelingen rondom het AZC. Vrijwel alle betrokkenen kwalificeren deze casus als politiek zeer gevoelig. Mede vanwege deze informatiebehoefte en het politieke gewicht van het dossier is reeds eerder besloten dat de raad periodiek een RIB zou ontvangen met alle relevante ontwikkelingen. De beschreven inschatting past binnen de actieve informatieplicht van het college uit de Gemeentewet, die tevens in beginsel een toereikende grondslag vormt voor gegevensverwerking onder de AVG (verwerking noodzakelijk voor een taak van algemeen belang). Nadat het proces inzake de BOB medio/eind juli 2025 was afgerond, heeft het college besloten dat de raad integraal zou worden geïnformeerd over de genoemde beslissingen en, in het kader van de transparantie, over dezelfde informatie zou beschikken als het college. Aangezien de eerstvolgende reguliere RIB pas in september 2025 zou worden uitgebracht, achtte het college dit te laat. Om die reden is gekozen voor een extra RIB.
Aangezien de vakafdeling normaliter verantwoordelijk is voor het uitbrengen van de RIB, maar de vakafdeling in kwestie, team VTH, nooit eerder een RIB heeft uitgebracht en op dat moment bovendien nog volop bezig was met de afronding van de BOB-