Berenschot 3-12-2025 Rapportage gemeente Midden-Delfland

Onderzoek datalek gemeente Midden-Delfland

21/59

procedure, heeft de gemeentesecretaris omwille van de voortgang deze taak op zich genomen. De gemeentesecretaris heeft de RIB geschreven, laten ondertekenen, en deze vervolgens conform, de aan ons geschetste, procedure geüpload in het zaaksysteem. De RIB geeft zowel inhoudelijk als procesmatig een toelichting op de belangrijkste uitkomsten van de bezwaarprocedure rond de omgevingsvergunning. Tegelijkertijd heeft de gemeentesecretaris de RIB inclusief de bijbehorende bijlagen gemaild naar de plaatsvervangend griffier. De reden om de documentatie tevens per e-mail te verzenden was, omwille van de voortang en de volledigheid, gelegen in het naderende zomerreces en de aanstaande afwezigheid van de gemeentesecretaris wegens vakantie. Deze bijlagen betroffen: •

De BOB ontvankelijk en gegrond – vergunninghouder.

•

De BOB ontvankelijk en gegrond.

•

De BOB niet-ontvankelijk.

•

De beschikking ten behoeve van het COA.

•

Het

advies

van

de

bezwaarschriftencommissie,

inclusief

de

NAW-gegevens

van

132

bezwaarmakers (feitelijk een bijlage van de drie BOB’s). Het gebruik van niet-gecentraliseerde communicatiemiddelen zoals e-mail in plaats van het daarvoor bestemde zaaksysteem voor het uitwisselen van persoonsgegevens leidt tot een verhoogd risico en staat op gespannen voet met de beveiligingsverplichtingen en het vertrouwelijkheidsbeginsel vanuit de AVG. Tegelijkertijd blijkt uit de casus dat een geanonimiseerde versie van het advies van de bezwaarschriftencommissie niet in het zaaksysteem was opgenomen, maar uitsluitend beschikbaar was binnen RX Mission, het informatiesysteem dat door het team VTH wordt gehanteerd. Daardoor zou het, zelfs wanneer het beschreven proces strikt zou zijn gevolgd, feitelijk niet hebben geleid tot een andere uitkomst, omdat het relevante document op dat moment niet in het zaaksysteem voorhanden was. De reden dat in deze casus überhaupt sprake was van een geanonimiseerde versie van de BOB en bijbehorend advies van de bezwaarschriftencommissie, is gelegen in het feit dat het team VTH op verzoek van het college een geanonimiseerde versie van het besluit heeft gedeeld met de bezwaarmakers onderling.

Dit vormt een afwijking van hetgeen, zo blijkt uit de gesprekken, doorgaans gebruikelijk is in bezwaarprocedures (zie hierna tevens in de casus Sterappel, paragraaf 2.3.1), aangezien artikel 7:4 Awb voorschrijft dat belanghebbenden in een bezwaarprocedure recht hebben op volledige inzage in alle op de zaak betrekking hebbende stukken. Dit omvat in beginsel ook de niet-geanonimiseerde persoonsgegevens van mede-bezwaarmakers, omdat deze gegevens relevant kunnen zijn voor onder meer de ontvankelijkheidsbeoordeling. Gelet op de politieke gevoeligheid van het AZC-dossier heeft het college beoogd terughoudender om te gaan met het delen van identificeerbare gegevens dan op grond van de Awb strikt noodzakelijk zou zijn. Daarnaast heeft het college, gezien de verwachte publieke belangstelling, besloten de BOB op de gemeentelijke website te publiceren. In beide gevallen (berichten van de bezwaarmakers en publicatie op de gemeentelijke website) is derhalve, opmerkelijk genoeg en saillant in het licht van de onderhavige casus,

wel

gebruikgemaakt

van

een

geanonimiseerde

versie

van

het

advies

van

de

bezwaarschriftencommissie. Tot slot is een week later op 4 augustus 2025, een geanonimiseerde versie, van het besluit gepubliceerd op de website: www.gemeenteblad.nl. Doordat de plaatsvervangend griffier de benodigde bijlagen niet kon terugvinden in het zaaksysteem, heeft hij deze gehaald uit de documenten die hij per e-mail van de gemeentesecretaris had ontvangen, in plaats van de bijlagen op te vragen bij de betreffende vakafdeling, in dit geval team VTH. De daaropvolgende stap, het publiceren van de RIB inclusief deze bijlagen in iBabs, vond daarmee plaats op basis van documenten die buiten het formele, geregistreerde en gelogde informatiebeheerproces om waren verkregen. De plaatsvervangend griffier heeft de RIB inclusief de bijlagen vervolgens gepubliceerd in iBabs. De RIB en de betreffende bijlagen zijn eerst op 28 juli 2025 gepubliceerd op Lijst A ten behoeve van de vergadering van 23 september 2025 en vervolgens op 29 juli 2025 gepubliceerd op de gemeentelijke website onder de categorie ‘Raadsinfobrieven’,

Onderzoek datalek gemeente Midden-Delfland

22/59

waardoor de stukken op 28 juli 2025 reeds openbaar waren, maar nog beperkt vindbaar voor geïnteresseerden in het onderwerp. De categorie ‘Raadsinfobrieven’ heeft een informerend karakter en biedt nieuwswaarde voor inwoners. De hyperlink naar deze categorie op de website wordt om die reden regelmatig geraadpleegd door inwoners en andere belanghebbenden. Op basis van het hierboven geschetste proces blijkt dat op vier verschillende wijzen is afgeweken, van het, zo blijkt uit de gesprekken, gebruikelijke proces. Processen die overigens niet schriftelijk zijn vastgelegd en vastgesteld binnen de gemeente. Deze afwijkingen betreffen: 1. Afwijking van de reguliere procedure voor periodieke RIB’s waarbij normaliter het team Juridische Zaken en het team Communicatie bijdragen en meelezen. 2. Afwijking

van

de

gebruikelijke

verantwoordingsstructuur, doordat

niet de

inhoudelijke

vakafdeling met specifieke en gedetailleerde kennis van de betreffende documenten, maar de gemeentesecretaris de RIB opstelde. 3. Afwijking van het uitgangspunt dat BOB-besluiten onder normale omstandigheden niet worden opgenomen in een RIB. 4. Afwijking door gebruik te maken van bijlagen uit een e-mail in plaats van uitsluitend documenten uit het zaaksysteem. Door op meerdere momenten af te wijken van de standaard werkwijzen is, in algemene zin, een reëel risico ontstaan dat sprake zou zijn van een omissie. Daarnaast blijkt uit de casus dat in deze situatie de snelheid heeft geprevaleerd boven de zorgvuldigheid. De gevoeligheid van het AZCdossier binnen de gemeente, het naderende zomerreces, de grote informatiebehoefte van de raad en de wens van het college om de raad tijdig en volledig te informeren, worden door betrokkenen als verklarende factoren genoemd voor de gekozen werkwijze. Hoewel de voortvarendheid en transparantie van het college in een politiek-bestuurlijk complexe situatie op zichzelf begrijpelijk en te waarderen is, heeft deze handelwijze er tegelijkertijd toe geleid dat niet alle noodzakelijke waarborgen in acht zijn genomen.

Hierdoor werd onvoldoende geborgd dat de verwerking en publicatie van documenten voldeden aan de eisen van dataminimalisatie en gepaste technische en organisatorische maatregelen zoals bepaald in de AVG en eveneens is vastgesteld in het interne privacybeleid van de gemeente Midden-Delfland.

2.2.6.2

Melding mogelijk datalek

Op 29 juli 2025 ontvangt het team Communicatie een melding van een inwoner over een mogelijk datalek. Conform het interne ‘Proces afhandeling datalekken’ heeft de gemeente onmiddellijk actie ondernomen. Het document waarin persoonsgegevens zichtbaar waren, is direct vervangen door een geanonimiseerde versie. Deze onmiddellijke herstelhandeling sluit aan bij de verplichting uit de AVG, dat voorschrijft dat passende technische en organisatorische maatregelen worden getroffen om de beveiliging van persoonsgegevens te waarborgen. Daarnaast zijn de melder, de burgemeester, de betrokkenen en de gemeenteraad vrijwel direct geïnformeerd over het ontstane incident, mede gezien het politiek gevoelige dossier. Voorts heeft de PO een melding gedaan bij de AP, conform de meldplicht uit de AVG, omdat op het moment van beoordeling nog niet kon worden uitgesloten dat het datalek risico’s voor betrokkenen opleverde. De keuze om het datalek te melden is gebaseerd op het relatief grote aantal betrokkenen (132 personen), de duur van de onbevoegde openbaarmaking van de NAW-gegevens (langer dan 24 uur), en de gevoeligheid van het dossier rondom de opvanglocatie voor asielzoekers, dat als maatschappelijk en politiek gevoelig moet worden beschouwd.

De PO heeft samen met de FG een inhoudelijke beoordeling uitgevoerd, waarbij onder meer is onderzocht of de gedeelde gegevens kwalificeerden als bijzondere categorieën van persoonsgegevens in de zin van artikel 9 AVG. Daarbij is expliciet gekeken naar het mogelijke voorkomen van gegevens waaruit politieke opvattingen zouden kunnen blijken. Uit het onderzoek volgt dat de gemeente uitsluitend het advies van de

Onderzoek datalek gemeente Midden-Delfland

23/59

bezwaarschriftencommissie heeft gedeeld en niet de integrale bezwaarschriften zelf. In het advies werden slechts de strekking van de diverse bezwaren weergegeven, zonder dat kon worden vastgesteld wie welk bezwaar had ingediend. Hierdoor waren de persoonsgegevens niet rechtstreeks of indirect te koppelen aan een specifieke politieke overtuiging. Op basis hiervan is geconcludeerd dat de verstrekte persoonsgegevens niet kwalificeren als bijzondere persoonsgegevens. De gegeven motivering van deze conclusie is navolgbaar. De melding van het datalek is door de PO tijdig ingediend bij de AP, namelijk binnen 72 uur. Na het indienen van de melding heeft de AP geen aanvullende vragen gesteld en geen nadere actie ondernomen. In de praktijk betekent dit dat de melding correct en volledig is ingediend en dat de AP geen aanleiding ziet voor nader onderzoek. De AP bevestigt dit niet expliciet, maar het uitblijven van een reactie is in de regel een indicatie dat de melding voldoet aan de wettelijke vereisten en dat de AP het incident beschouwt als afgedaan op basis van de beschikbare informatie. Tot slot is het datalek, conform de wettelijke verplichting tot interne documentatie van datalekken en het interne ‘Proces afhandeling datalekken’, geregistreerd in het gemeentelijk datalekregister.

2.3

Twee mogelijke datalekken: Sterappel-zaak en Wooverzoek

Op dinsdag 29 juli 2025 heeft de gemeente een melding ontvangen van een datalek met betrekking tot de bezwaarmakers in de procedure rond de omgevingsvergunning voor het AZC. In de daaropvolgende e-mailcorrespondentie van woensdag 30 juli 2025 is tevens melding gemaakt van een mogelijk datalek in de zogenoemde Sterappel-zaak en een mogelijk datalek naar aanleiding van informatie die zou zijn verstrekt na een verzoek op grond van de Woo. In de hiernavolgende paragrafen worden beide casussen afzonderlijk behandeld. Daarbij wordt ingegaan op de aard van de incidenten, de wijze waarop deze intern zijn opgepakt, de afwegingen met betrekking tot de meldplicht bij de AP, alsmede de communicatie richting de betrokkenen. Tevens wordt aandacht besteed aan de media-aandacht en de vragen vanuit de gemeenteraad, en aan de wijze waarop de gemeente hierop heeft gereageerd. Afgesloten wordt met een analyse op basis van de onderzoeksvragen.

2.3.1

Sterappel-zaak

Op 27 september 2016 heeft het college van burgemeester en wethouders van de gemeente MiddenDelfland aan Stichting Wonen Midden-Delfland een tijdelijke omgevingsvergunning verleend voor het realiseren van vijftien tijdelijke woningen op de locatie Sterappel in Den Hoorn. De vergunning geldt voor een instandhoudingstermijn van zeven jaar. Deze woonunits zijn geplaatst als voorziening om de taak die de gemeente heeft om statushouders te huisvesten te kunnen uitvoeren. Op 30 september 2024 heeft een inwoner bij de gemeente Midden-Delfland een handhavingsverzoek ingediend. Volgens de inwoner was afgesproken dat de tijdelijke woningen voor statushouders maximaal zeven jaar zouden blijven staan en in 2024 zouden worden verwijderd. De inwoner verzoekt de gemeente derhalve om onmiddellijke handhaving en verwijdering van de woonunits. Op 8 oktober 2024 heeft de indiener een ontvangstbevestiging ontvangen van de gemeente met de mededeling dat de zaak in behandeling is genomen. Op 21 november 2024 heeft de gemeente Midden-Delfland de indiener van het handhavingsverzoek geïnformeerd dat het verzoek niet binnen de wettelijke beslistermijn van acht weken kon worden afgehandeld. De gemeente heeft de beslistermijn op grond van artikel 4:14 Awb met maximaal acht weken verlengd.

In dezelfde brief heeft het college van burgemeester en wethouders verwezen naar de aanvullende ontvangst van een handtekeningenlijst met steunbetuigingen die door de indiener was meegestuurd. Het college heeft daarbij aangegeven dat voor de verdere correspondentie en

Onderzoek datalek gemeente Midden-Delfland

24/59

besluitvorming uitsluitend de indiener als contactpersoon zal worden beschouwd. Uiteindelijk heeft de gemeente Midden-Delfland bij brief van 22 januari 2025 het handhavingsverzoek afgewezen, omdat sprake is van concreet zicht op legalisatie; onder meer vanwege de aanvraag van een omgevingsvergunning door Stichting Wonen Midden-Delfland (thans WoonWest).

2.3.1.1

Ingediende bezwaarschriften naar aanleiding van afwijzing

Op 1, 2 en 3 maart 2025 heeft de gemeente in totaal 42 bezwaarschriften ontvangen tegen het besluit tot afwijzing van het handhavingsverzoek. Op 8 april 2025 hebben de bezwaarmakers een brief van de bezwaarschriftencommissie ontvangen, waarin zij zijn geïnformeerd over de behandeling van hun bezwaar. Bij de brief is het procesdossier gevoegd, waaronder het door het college opgestelde verweerschrift. In de brief wordt tevens verwezen naar de geplande hoorzitting van de commissie op 15 april 2025. Uit de brief blijkt dat een (of meerdere) van de bezwaarmakers heeft verzocht afzonderlijk te worden gehoord. De bezwaarschriftencommissie heeft dit verzoek afgewezen, omdat zij heeft geoordeeld dat de bezwaren in onderlinge samenhang konden worden behandeld: ‘(..) In groepsverband horen Op 21 maart 2025 heeft u aangegeven niet in groepsverband gehoord te willen worden. Hoewel wij begrip hebben voor uw verzoek is het, gelet op het aantal bezwaarmakers, niet mogelijk om hieraan tegemoet te komen. Wanneer wij aan uw verzoek tegemoet zouden komen, zou dit namelijk betekenen dat iedere belanghebbende afzonderlijk op de hoogte moet worden gesteld van het verhandelde tijdens het horen. Het is in het kader van een goede procesorde dan ook niet mogelijk aan uw verzoek tegemoet te komen.

Daarnaast volgt uit de memorie van toelichting bij Artikel 7:6 lid 2 van de Awb dat dit artikel slechts onder uitzonderlijke omstandigheden de mogelijkheid biedt om afzonderlijk te worden gehoord. Het is de commissie niet gebleken dat het in elkaars aanwezigheid horen van belanghebbenden een zorgvuldige behandeling van het door u ingediende bezwaarschrift zal belemmeren. De commissie begrijpt dat het bestreden besluit bij veel partijen gevoelig ligt en uw belangen sterk tegengesteld zijn aan de belangen van vergunninghouder. Uw belangen zijn daarentegen niet sterk tegengesteld van die van de overige bezwaarmakers. In het algemeen verdient het dan ook juist aanbeveling dat wanneer sprake is van meer dan één belanghebbende, dezen in elkaars aanwezigheid worden gehoord. Dat is gelet op de grote groep bezwaarmakers niet alleen doelmatig, maar het komt bovendien de kwaliteit van de besluitvorming ten goede. Niet iedereen is namelijk even goed in staat om zich schriftelijk uit te drukken en het horen van elkaar kan ertoe dienen nadere informatie ter beschikking te krijgen en tot nieuwe/gewijzigde inzichten te komen. Verder betreft het een openbare hoorzitting, zodat ook om die reden alle belanghebbenden en toehoorders hoe dan ook in elkaars aanwezigheid op de hoogte kunnen zijn wat door partijen wordt gewisseld.

Als laatste is het de commissie niet gebleken dan wel aannemelijk gemaakt dat er feiten of omstandigheden bekend zullen worden waarvan geheimhouding om gewichtige reden is geboden. (…)’

Op 12 mei 2025 volgt het advies van de bezwaarschriftencommissie dat zich onder meer richt aan de 42 inwoners die een bezwaarschift hadden ingediend. Deze personen worden aangeduid met hun volledige NAW-gegevens. De Commissie heeft onder meer de ontvankelijkheid beoordeeld van de bezwaarschiften en in hoeverre de verschillende bezwaarmakers kunnen worden aangemerkt als belanghebbenden: ‘De commissie ziet zich vervolgens voor de vraag gesteld of bezwaarmakers kunnen worden aangemerkt als belanghebbenden zoals bedoeld in artikel 1:2, eerste lid, van de Algemene wet bestuursrecht (hierna: 'Awb')."’

Hierbij is onder meer de locatie waar de betreffende bezwaarmakers wonen expliciet meegenomen in de beoordeling: "Met betrekking tot de ingediende bezwaarschriften van bezwaarmakers (…) overweegt de commissie als volgt. Deze bezwaarmakers wonen op een afstand van minder dan 100 meter van de woonunits en hebben vanuit hun woning en/of perceel direct zicht op de woonunits. Dit is naar het oordeel van de commissie voldoende om in dit geval te kunnen spreken van een objectief, persoonlijk, eigen,

Onderzoek datalek gemeente Midden-Delfland

25/59

rechtstreeks en actueel belang. Vanwege de geringe afstand tot en het directe zicht op de woonunits hebben deze bezwaarmakers tevens gevolgen van enige betekenis voor hun woon- en leefsituatie. (..). De belanghebbendheid dient voor ieder individueel te worden vastgesteld. (..)."

Op 3 juni 2025 volgt hierop het collegevoorstel waarin het college de ‘beslissing op bezwaar tegen afwijzing handhavingsverzoek tijdelijke woonunits voormalige Sterappel’ behandelt en het advies van de bezwaarschriftencommissie overneemt: ‘1. Conform het advies van de bezwaarschriftencommissie 39 bezwaren tegen het afwijzingsbesluit handhavingsverzoek over tijdelijke woonunits (locatie voormalige Sterappel) niet-ontvankelijk te verklaren. 2. Conform het advies van de bezwaarschriftencommissie drie bezwaren tegen het afwijzingsbesluit handhavingsverzoek over tijdelijke woonunits (voormalige Sterappel) ongegrond te verklaren. 3. De bezwaarmakers te informeren met bijgevoegde beslissing op bezwaar over uw besluit.’

De bezwaarmakers hebben hierop tot slot op 4 juni 2025 het besluit van het college ontvangen, alsmede het integrale advies van de bezwaarschriftencommissie inclusief de NAW-gegevens van alle bezwaarmakers.

2.3.1.2

Melding datalek

Op dinsdag 29 juli 2025 wordt, zoals reeds aangegeven, het datalek gemeld ten aanzien van de bezwaarmakers inzake de omgevingsvergunning voor het AZC. In een daaropvolgende emailwisseling wordt op woensdag 30 juli 2025 tevens melding gemaakt van een mogelijk datalek met betrekking tot onderhavige casus en een Woo-verzoek (zie voor het Woo-verzoek paragraaf 2.3.2): ‘(…) 4 juni 2025 (kenmerk […]) – In de Sterappel-zaak werden met het advies van de bezwaarschriftencommissie betreffende een handhavingsverzoek de volledige NAW-gegevens van alle bezwaarmakers gedeeld met alle andere bezwaarmakers. (…)’

Op vrijdag 1 augustus 2025 reageert de afdelingsdirecteur Bedrijfsvoering op de e-mail met de melding en geeft daarbij het volgende aan over het gemelde datalek: ‘(…) Datalekken onder verantwoordelijkheid van de gemeente Je noemt in je mail twee voorbeelden van datalekken. Het eerste voorval wat je beschrijft, is bij ons bekend, maar betreft geen datalek. (…)’

Uit het onderzoek is niet gebleken in hoeverre de afdelingsdirecteur Bedrijfsvoering hierover, tussen het moment van de melding (30 juli 2025) en haar reactie daarop (1 augustus 2025), intern heeft afgestemd om tot dit antwoord te komen. De afdelingsdirecteur Bedrijfsvoering was wegens een sabbatical langdurig afwezig ten tijde van ons onderzoek, waardoor wij dit niet hebben kunnen verifiëren. De PO heeft in die specifieke periode geen directe rol gehad in de beoordeling van de melding. Eerder, op 23 juni 2025, heeft de PO echter wel een vraag ontvangen van het team VTH. Het team verzocht de PO te beoordelen of de verstrekking van de NAW-gegevens van de bezwaarmakers aan andere belanghebbenden in deze procedure als een datalek moest worden aangemerkt. Dit verzoek volgde op een e-mail van één van de bezwaarmakers die de BOB, inclusief de daarin opgenomen NAW-gegevens, had ontvangen en zich afvroeg in hoeverre dit mogelijk in strijd was met de AVG. De PO heeft hierop overleg gevoerd met de secretaris van de bezwaarschriftencommissie. Gezamenlijk is geconcludeerd dat geen sprake was van een datalek. Deze conclusie was gebaseerd op de overweging dat het delen van NAW-gegevens voortvloeide uit een wettelijke verplichting in het kader van de behandeling van bezwaarschriften op grond van de Awb.

Volgens de gemeente was de verwerking van deze persoonsgegevens derhalve rechtmatig op grond van de AVG. In hoeverre de gemeente de melder hierover destijds heeft geïnformeerd, is niet

Onderzoek datalek gemeente Midden-Delfland

26/59

gebleken uit het onderzoek, aangezien de betrokken medewerker die de betreffende e-mail heeft behandeld, inmiddels niet meer werkzaam is binnen de organisatie. De gemeente heeft bovenstaande zienswijze nadien extern toegelicht: zowel in een brief aan de gemeenteraad als in een reactie op vragen van het AD (zoals blijkt uit het artikel van 25 augustus 2025)

heeft

zij

nader

uiteengezet

dat

de

verstrekking

van

NAW-gegevens

binnen

de

bezwaarschriftenprocedure voortvloeide uit de wettelijke systematiek van de Awb en derhalve niet als een datalek werd aangemerkt (zie verder paragraaf 2.3.3).

2.3.2

Woo-verzoek burgemeester

In het kader van de Woo is op 17 november 2023 door een inwoner van de gemeente een verzoek ingediend. In dit verzoek vraagt de inwoner om een overzicht van de declaraties, inclusief de beschikbare facturen, van de op dat moment zittende (thans voormalig) burgemeester van MiddenDelfland. Het verzoek ziet daarmee op informatie die valt onder de reikwijdte van artikel 4.1 van de Woo: ‘Geachte college, Ik verzoek u op grond van de Wet open overheid (Woo) de volgende informatie zo spoedig mogelijk te publiceren op de website van Gemeente Midden-Delfland, dan wel aan mij te verstrekken. Ik geef expliciet geen toestemming voor publicatie van mijn persoonsgegevens online en/of openbaarmaking op andere wijze. Verzoek om informatie Mijn verzoek betreft de volgende informatie: (…) II. Een overzicht van de declaraties (met factuur indien beschikbaar) van [voormalig burgemeester] in zijn termijn als interim-burgemeester van Midden-Delfland. (…) Doorzenden Indien u niet in bezit bent van de door mij gevraagde informatie verzoek ik u vriendelijk mijn verzoek ingevolge art. 4.2 Woo door te zenden naar het bestuursorgaan dat wel in bezit is van de gevraagde informatie. Kosten Indien u kosten in rekening brengt voor het maken van kopieën of anderszins kosten in rekening brengt, verzoek ik u mij hiervan vooraf op de hoogte te brengen.

Urgentie Ik hoop dat u mijn verzoek zo snel mogelijk, doch in ieder geval binnen de wettelijk gestelde termijn, kunt beantwoorden, aangezien de gemeenteraad zeer binnenkort een beslissing zal nemen met betrekking tot dit dossier. Met vriendelijk groet, [Woo-verzoeker]’

Op 19 december 2023 ontvangt de persoon in kwestie een brief van de gemeentesecretaris namens het college waarin zijn verzoek gedeeltelijk wordt toegewezen: ‘Geachte heer, Op 17 november 2023 hebt een verzoek op grond van de Wet open overheid (Woo) ingediend om publieke informatie openbaar te maken. Bij brief van 17 november 2023 hebben wij de ontvangst van uw verzoek aan u bevestigd. In deze brief leest u ons besluit. Welke voorwaarden gelden er voor uw aanvraag? Ingevolge art. 1.1 van de Woo heeft eenieder recht op toegang tot publieke informatie zonder daartoe een belang te hoeven stellen. Een verzoek om publieke informatie kan mondeling of schriftelijk worden ingediend bij de gemeente. Dit is neergelegd in art. 4.1, tweede lid, van de Woo. Ons besluit Wij hebben besloten om uw verzoek gedeeltelijk toe te wijzen. Hieronder leest u hoe wij tot ons besluit zijn gekomen. Waarom hebben we dit besloten?

Onderzoek datalek gemeente Midden-Delfland

27/59

Algemene opmerkingen U hebt op 17 november 2023 uw verzoek om publieke informatie kenbaar gemaakt aan de gemeente Midden-Delfland. Op basis van het door u ingediende verzoek is er een zoekslag verricht naar documenten. De zoekslag heeft betrekking gehad op: mailboxen, het interne zaaksysteem en het archief. De documenten die langs deze weg worden openbaar gemaakt, vloeien voort uit deze zoekslag. Beoordeling per punt van uw verzoek In het vervolg zullen wij uw verzoek per ingediend punt behandelen. (…) Hoogachtend, Namens het college van burgemeester en wethouders, [Gemeentesecretaris]’

Bij de betreffende beslissing waren meerdere bijlagen gevoegd, waaronder een declaratie van dinerkosten. In de bijgevoegde betaalopdracht waren tevens de adresgegevens en het IBAN (International Bank Account Number) van de voormalig burgemeester zichtbaar.

2.3.2.1

Afhandeling Woo-verzoeken

Uit de gevoerde gesprekken komt naar voren dat de verantwoordelijkheid voor de behandeling van Woo-verzoeken primair ligt bij medewerkers van het team Juridische Zaken. Zij dragen er zorg voor dat directe collega’s, waar nodig, worden betrokken bij het meelezen en beoordelen van documenten. In de praktijk gebeurt dit regelmatig, maar dit is afhankelijk van de beschikbaarheid van collega’s. Volgens de geïnterviewden betreft de afhandeling van Woo-verzoeken een arbeidsintensief en zorgvuldig proces. Het komt regelmatig voor dat sprake is van omvangrijke dossiers waarbij een groot aantal documenten moet worden beoordeeld om te waarborgen dat geen persoonsgegevens of andere vertrouwelijke informatie ten onrechte openbaar wordt gemaakt. De betrokken medewerkers van de verschillende vakafdelingen binnen de organisatie, waar de gevraagde informatie beschikbaar is, leveren de relevante documenten aan. Vervolgens beoordeelt een jurist van het team Juridische Zaken deze documenten op de aanwezigheid van persoonsgegevens en persoonlijke beleidsopvattingen. Op deze wijze wordt geborgd dat informatie die op grond van de AVG en/of de Woo niet openbaar mag worden gemaakt, wordt afgeschermd. De jurist die ten tijde van het betreffende Woo-verzoek verantwoordelijk was voor de behandeling van deze casus, is inmiddels niet meer werkzaam bij de gemeente.

Hierdoor kon de feitelijke gang van zaken rondom dit verzoek niet meer met deze persoon worden afgestemd of nader worden gereconstrueerd. Tijdens de gesprekken is nagevraagd of binnen de organisatie een vastgelegde procedure bestaat voor de afhandeling van Woo-verzoeken. Uit de interviews komt naar voren dat een dergelijke procedure waarschijnlijk niet formeel is vastgelegd. Mocht er wel een procedure bestaan, dan is deze naar verwachting verouderd en wordt zij in de praktijk niet meer actief gehanteerd. De formele verantwoordelijkheid voor de besluitvorming op een Woo-verzoek berust bij het college van burgemeester en wethouders. De gemeentesecretaris heeft in dit proces een coördinerende en toezichthoudende rol, maar controleert niet persoonlijk alle onderliggende documentatie. Binnen de huidige werkwijze is het proces zo ingericht dat de behandelend jurist beschikt over het mandaat om de uitgaande correspondentie, waaronder besluitbrieven, zelfstandig te ondertekenen namens het college. Voorheen, zoals in onderhavig casus, gebeurde dat door de gemeentesecretaris. Vanaf december 2023 maakt de gemeente gebruik van de softwaretool DataMask. DataMask werkt met behulp van artificiële intelligentie (AI) en taaltechnologie om gevoelige persoonsgegevens in documenten automatisch te herkennen.

De software anonimiseert deze gegevens, waardoor zij niet langer herleidbaar zijn tot natuurlijke personen. De anonimisering is onomkeerbaar, wat inhoudt dat de oorspronkelijke gegevens niet meer kunnen worden gereconstrueerd.

Onderzoek datalek gemeente Midden-Delfland

28/59

In de huidige werkwijze voert DataMask een eerste beoordeling uit van de documenten aan de hand van de uitzonderingsgronden van de Woo. Deze eerste geautomatiseerde selectie en afscherming (de zogeheten ‘eerste slag’) wordt vervolgens handmatig gecontroleerd door een jurist van het team Juridische Zaken (de zogeheten ‘tweede slag’). Voordat DataMask door de gemeente in gebruik werd genomen, vond de beoordeling en afscherming van persoonsgegevens en vertrouwelijke informatie handmatig plaats. Gezien het tijdstip van het betreffende Woo-verzoek is het aannemelijk dat DataMask op dat moment nog niet beschikbaar was en de beoordeling destijds derhalve handmatig heeft plaatsgevonden. Eén van de geïnterviewden vermoedt dat in dit specifieke geval de betreffende persoonsgegevens per abuis over het hoofd zijn gezien.

2.3.2.2

Melding datalek

Op 29 juli 2025 wordt het datalek gemeld ten aanzien van de bezwaarmakers inzake de omgevingsvergunning voor het AZC. In een daaropvolgende e-mailwisseling wordt op 30 juli 2025 tevens melding gemaakt van een mogelijk datalek met betrekking tot onderhavige casus: ‘(…) 19 december 2023 (kenmerk […]) – Met de beslissing op een Woo-verzoek zijn de privégegevens van oud-burgemeester [toenmalig burgemeester] verstrekt aan [Woo-verzoeker]: naam, volledig adres, telefoonnummer en IBAN, zonder afscherming. Het besluit is ondertekend door gemeentesecretaris [gemeentesecretaris]. Dit lek is des te ernstiger omdat – zoals bekend uit mediaberichten – de burgemeester in die periode werd bedreigd. Wij hebben deze gegevens uiteraard nooit verspreid, juist vanwege de enorme impact die dergelijke privacy-inbreuken kunnen hebben op iemands persoonlijke levenssfeer. (…)’

De melding van het datalek door de inwoner maakte zoals hierboven reeds aangegeven onderdeel uit van een e-mail gericht aan de gemeentesecretaris, de burgemeester en de afdelingsdirecteur Bedrijfsvoering (tevens loco-secretaris). Op vrijdag 1 augustus 2025 reageert de afdelingsdirecteur Bedrijfsvoering op de e-mail met de melding en geeft daarbij het volgende aan over het mogelijke datalek naar aanleiding van het Woo-verzoek: ‘(…) Datalekken onder verantwoordelijkheid van de gemeente Je noemt in je mail twee voorbeelden van datalekken. (…). Het tweede voorval is bij ons, bij mij, niet bekend, maar wij gaan na wat er aan de hand was. Als daar inderdaad sprake is van een datalek, dan handelen wij daarnaar. (…)’

Na de melding heeft de afdelingsdirecteur Bedrijfsvoering, blijkens onderstaande e-mail, overleg gevoerd met de PO en de Woo-coördinator verzocht de casus te onderzoeken. De afdelingsdirecteur Bedrijfsvoering was wegens een sabbatical langdurig afwezig ten tijde van ons onderzoek en de jurist die ten tijde van het betreffende Woo-verzoek verantwoordelijk was voor de behandeling van deze casus, is inmiddels niet meer werkzaam bij de gemeente, waardoor wij dit niet hebben kunnen verifiëren. Op basis van de uitkomsten van het interne onderzoek is in afstemming tussen de afdelingsdirecteur Bedrijfsvoering en de PO besloten het datalek niet te melden bij de AP. Deze afweging is afgestemd met de FG en was gebaseerd op het feit dat de betreffende gegevens slechts met één persoon waren gedeeld, dat de melder zelf had aangegeven de gegevens niet te hebben verspreid, en dat voor zover bekend sinds de gebeurtenis (ongeveer anderhalf jaar geleden) geen onrechtmatig gebruik van de gegevens heeft plaatsgevonden. De PO heeft het datalek wel op 4 augustus 2025 geregistreerd in het interne datalek register. De afdelingsdirecteur Bedrijfsvoering heeft tweemaal per e-mail (op 13 en 22 augustus 2025) bij de melder verzocht om verwijdering van de gegevens, waarop beide keren geen reactie is ontvangen.

Onderzoek datalek gemeente Midden-Delfland

29/59

In het eerste e-mailbericht van 13 augustus 2025 geeft de afdelingsdirecteur Bedrijfsvoering eveneens een terugkoppeling ten aanzien van de melding. Eerste e-mail gestuurd op 13 augustus 2025 om 10.45 uur: ‘Beste, Jij en [naam] ontvingen met onderstaand bericht mijn reactie op jullie mail. In jullie mail schrijven jullie onder meer over twee andere incidenten die naar jullie mening een datalek zijn. Ik schreef dat ik het tweede voorval (persoonsgegevens oud-burgemeester [achternaam]) nog niet bij mij, bij ons, bekend was en dat we na zouden gaan wat er aan de hand is. Via deze mail informeer ik jou (en jullie). Er is inderdaad sprake van een datalek toen de gemeente in december 2023 jou informatie toestuurde als reactie op jouw WOO-verzoek. De betreffende gegevens van de oud-burgemeester hadden weggelakt moeten worden. Naar aanleiding van jullie mail heb ik de huidige WOO coordinator gevraagd om te onderzoeken wat er is gebeurd, contact opgenomen met de heer [achternaam voormalig burgemeester] en het lek gemeld bij onze privacy officer. Je gaf, jullie gaven, al in de mail aan dat jullie deze gegevens uiteraard niet hebben verspreid omdat jullie je realiseerden wat de impact zou kunnen zijn. Ik vraag je om deze gegevens ofwel te vernietigen ofwel zelf onleesbaar te maken. Wil je aan mij bevestigen dat je dit doet? Alvast dank voor je moeite.

Hartelijke groet, [afdelingsdirecteur Bedrijfsvoering]

Tweede e-mail gestuurd op 22 augustus 2025 om 13.59 uur: ‘Beste, In onderstaande mail vroeg ik je om te bevestigen dat je de persoonsgegevens van [naam voormalig burgemeester] zou vernietigen of onleesbaar te maken. Aanvullend op dat wat jullie zelf al hadden aangegeven, namelijk het niet verder verspreiden van de informatie (vanaf toen).Ik heb daarop nog geen reactie van je ontvangen. Ik vermoed dat je de mail wel in geode orde ontvangen en gelezen hebt, ik vernam namelijk dat mijn mail aan jou de (een) basis was voor het AD om vragen te stellen. Graag ontvang ik alsnog jouw reactie op mijn mail. Alvast dank! Hartelijke groet, [afdelingsdirecteur Bedrijfsvoering]’

De voormalig burgemeester is vervolgens op 4 september 2025 per brief over de melding geïnformeerd, nadat hij eerder telefonisch op de hoogte was gebracht door de afdelingsdirecteur Bedrijfsvoering: ‘Geachte [achternaam voormalig burgemeester], beste [voornaam voormalig burgemeester], Op 29 juli 2025 ontvingen wij een mail van een inwoner over een datalek. In de vervolgcommunicatie die als gevolg daarvan ontstond, liet de betreffende inwoner ons op 30 juli ’s avonds aanvullend per mail weten dat dit niet het eerste datalek was van de gemeente. In die mail werd melding gemaakt van een datalek dat ontstaan was op 19 december 2023 en daarbij zouden uw persoonsgegevens zijn gedeeld. Tijdens het telefonisch contact dat u hierover had met [afdelingsdirecteur Bedrijfsvoering], heeft zij toegezegd dat wij de informatie ook schriftelijk aan u vastleggen. Dat is deze brief. Wij bieden onze excuses aan voor onze fout. Uw naam, adres en IBAN zijn gedeeld met één persoon Op 17 november 2023 hebben wij een verzoek ontvangen op grond van de Wet open overheid (hierna: Woo). Dit verzoek was gericht op informatie over u als toenmalig burgemeester. Het verzoek bestond uit meerdere onderdelen waaronder het verzoek om een overzicht van uw declaraties als burgemeester.

Op 20 december 2023 hebben wij onze beslissing op het Woo-verzoek gestuurd aan de verzoeker en hebben wij het verzoek deels toegewezen. Bij de beslissing waren bijlagen gevoegd, waaronder één declaratie van avondeten vanwege een informatiebijeenkomst. Bij de betaalopdracht die is bijgevoegd staan uw adresgegevens en uw IBAN. Deze informatie had weggelakt moeten worden en mochten niet worden gedeeld met de verzoeker. Het spijt ons dat uw persoonsgegevens ten onrechte zijn gedeeld Wij betreuren het dat uw persoonsgegevens niet met de alertheid zijn behandeld die u van ons mag verwachten en bieden onze excuses aan voor deze fout. Het datalek heeft in het verleden plaatsgevonden en wij zijn voor het eerst op de hoogte geraakt door de mail van 30 juli. In de mail heeft de betreffende inwoner aangegeven de gegevens niet te hebben

Onderzoek datalek gemeente Midden-Delfland

30/59

gedeeld: “Wij hebben die gegevens uiteraard nooit verspreid, juist vanwege de enorme impact die dergelijke privacy-inbreuken kunnen hebben op iemands persoonlijke levenssfeer”. Handelingen na de melding Na ontvangst van de mail met daarin de melding van het datalek, hebben we dit onderzocht en toen bleek dat er inderdaad sprake was van een datalek hebben we hiervan intern melding gemaakt bij de privacy officer. We hebben daarna via whatsapp contact met u opgenomen om u vervolgens telefonisch te informeren. In dat gesprek is ook toegezegd dat u een schriftelijke bevestiging krijgt. Tot slot hebben we de melder van het datalek bevestigd dat inderdaad sprake is van een datalek. Melder had zelf aangegeven niets met de informatie te doen en aanvullend is hem verzocht om de gegevens te verwijderen of te anonimiseren en dat aan de gemeente te bevestigen. Die bevestiging is helaas ook na herinnering uitgebleven. De mail vanuit ons aan betrokkene is wel gedeeld met de pers, dus we weten dat deze mail wel in goede orde ontvangen en gelezen is. Dat laatste heeft er ook toe geleid dat over het datalek enkele persvragen zijn gesteld. Daaraan voorafgaand is het ook betrokken bij schriftelijke vragen van de fractie VVD (artikel 42 reglement van orde) over datalekken bij de gemeente.

Gevolgen van het datalek Telefonisch heeft u aangegeven het uiteraard te betreuren dat dit is gebeurd en ook dat u er tot nu toe geen hinder van heeft ondervonden of iets van heeft gemerkt. Aangezien het datalek ruime tijd geleden gebeurd is, ontvanger heeft aangegeven niets met de informatie te hebben gedaan en te doen en u tot nu toe geen last hebt gehad, schatten wij in dat de risico’s beperkt zijn. Toch is het goed om alert te blijven op misbruik en phishingmails. (…) Met vriendelijke groet, [gemeentesecretaris] Gemeentesecretaris’

2.3.3

Vragen in de media en vanuit de gemeenteraad

Op 8 augustus 2025 wordt door de fractie van de VVD naar aanleiding van een brief die zij op 7 augustus 2025 van bezorgde inwoners zouden hebben ontvangen schriftelijke vragen ingediend ten aanzien van twee aanvullende vermeende datalekken. De vragen van de VVD-fractie hebben betrekking op de twee vermeende datalekken en luiden als volgt: ‘Vragen op grond reglement van orde artikel 42 van de VVD-fractie naar aanleiding van mogelijke andere datalekken Gistermiddag, 7 augustus, ontvingen wij een brief van bezorgde inwoners over andere datalekken dan de persoonsgegevens van de 132 bezwaarmakers van vorige week. De betreffende inwoners stellen dat dit meest recente datalek geen incident op zich is. Zij hebben nog een aantal privacy schendingen gevonden in gemeentelijk documenten, te weten: • 4 juni 2025 (kenmerk [kenmerk]): In de zogeheten Sterappel-zaak zijn de NAW- gegevens van alle bezwaarmakers gedeeld met álle andere bezwaarmakers (mogelijk ook WoonWest als vergunninghouder). • 19 december 2023 (kenmerk [kenmerk]): Via een Woo-besluit zijn de privégegevens van oudburgemeester [naam] – inclusief naam, adres, telefoonnummer en IBAN – verstrekt aan een derde. De VVD heeft naar aanleiding van deze brief een aantal vragen: 1. Zijn deze privacy-lekken ook daadwerkelijk goed onderzocht? 2. Wat is de uitkomst geweest van deze onderzoeken? 3.

En wat zijn de acties geweest die naar aanleiding hiervan door het college zijn genomen? 4. Zijn deze incidenten ook gemeld bij de Autoriteit Persoonsgegevens? 5. Is de borging van de AVG binnen de gemeentelijke organisatie wel (echt) goed op orde? Is hiervoor een plan van aanpak?’

Het college beantwoordt de vragen van de VVD-fractie per brief van 26 augustus 2025, waarin het college nader ingaat op de gemaakte afwegingen, de onderliggende juridische motivatie en de uiteindelijke, genomen besluiten: ‘(…) Context van de vragen van de VVD De betreffende inwoners stellen dat er nog een tweetal privacy schendingen is, te weten: • 4 juni 2025 ([kenmerk]): In de zogeheten Sterappel-zaak zijn de NAW-gegevens van alle bezwaarmakers gedeeld met alle andere bezwaarmakers (mogelijk ook WoonWest als vergunninghouder).

Onderzoek datalek gemeente Midden-Delfland

•

31/59

19 december 2023 ([kenmerk]): Via een Woo-besluit zijn de privégegevens van oud-burgemeester [naam] - inclusief naam, adres, telefoonnummer en IBAN - verstrekt aan een derde

Vraag 1. Zijn deze privacy-lekken ook daadwerkelijk goed onderzocht? REACTIE: Beide situaties zijn onderzocht. De eerstgenoemde situatie is geen (data)lek. In de tweede situatie is wel sprake van een datalek. Vraag 2. Wat is de uitkomst geweest van deze onderzoeken? REACTIE: De eerste situatie betreft geen datalek. Deze situatie gaat over een bezwaarzaak, waarin 'op de zaak betrekking hebbende stukken' (waaronder de ingediende bezwaarschriften) met procespartijen zijn gedeeld door middel van beveiligde verzending. Hieronder leest u een nadere toelichting. Artikel 7:4, tweede lid, van de Algemene wet bestuursrecht (Awb) verplicht om belanghebbenden inzage te geven in deze stukken. Omdat de wet dit verplicht, is de verwerking van persoonsgegevens die hierdoor plaatsvindt noodzakelijk als bedoeld in artikel 6, eerste lid, aanhef en onder c, van de Algemene Verordening Gegevensbescherming (AVG) en bijgevolg rechtmatig. Daarnaast was er een gerechtvaardigd doel: het delen van ingezonden bezwaarschriften met betrokkenen is noodzakelijk voor een eerlijk bezwaarproces. Voorts kan het geven van (volledige) inzage in de stukken achterwege blijven als 'geheimhouding om gewichtige redenen is geboden' (artikel 7:4, vijfde lid, van de Awb).

Dat vraagt om een belangenafweging, waarbij er aan de zijde van procesdeelnemers (waaronder de vergunninghouder) in het algemeen zwaarwegende belangen bestaan bij kennisneming van de meest essentiële gegevens van de indiener van een bezwaarschrift om zich effectief te kunnen verdedigen (het verdedigingsbeginsel). Als voorbeeld van die belangen Is het kunnen onderzoeken of een bezwaarmaker belanghebbende Is. NAW-gegevens zijn daarvoor essentieel. Zie ook de uitspraak van de rechtbank Rotterdam van 27 augustus2018, ECLI:NL:RBROT:2018:7943, waarin werd geoordeeld dat NAWgegevens in beginsel moeten worden gedeeld zodat partijen zich effectief kunnen verweren. De tweede situatie betreft wel een datalek. Hierbij zijn bij het besluit op een verzoek op grond van de Wet open overheid (Woo) van 19 december 2023 persoonsgegevens van de heer [voormalig burgemeester] verzonden aan de verzoeker. Verzoeker en diens partner hebben dit recent per mail gemeld. Daarmee werd het lek bekend en hebben we dit onderzocht. Vraag 3. En wat zijn de acties geweest die naar aanleiding hiervan door het college zijn genomen? REACTIE: Voor wat betreft het datalek is contact opgenomen met de betrokkenen. Dus naast de [voormalig burgemeester], is er ook contact geweest met de (toenmalige) behandelaar van het Woo-verzoek.

De melder van het datalek had zelf aangegeven na ontvangst van de gegevens in december 2023 deze niet te hebben gedeeld met anderen en dit ook niet te zullen doen. Aan de melder van het datalek is aanvullend verzocht om de gegevens te verwijderen dan wel te anonimiseren. Vraag 4. Zijn deze incidenten ook gemeld bij de Autoriteit Persoonsgegevens? REACTIE: Nee, het datalek is niet gemeld bij de AP. Niet aile datalekken moeten worden gemeld bij de AP. De Privacy officer maakt een risico-inschatting van het datalek. Hierbij spelen een aantal factoren een rol. Meer informatie over deze factoren kunt u lezen via de volgende link: Datalek: wel of niet melden I Autoriteit Persoonsgegevens. Na afweging van alle relevante factoren, is besloten om het datalek niet te melden bij de AP. Vraag 5. Is de borging van de AVG binnen de gemeentelijke organisatie wel (echt) goed op orde? Is hiervoor een plan van aanpak? REACTIE: Ja, het fundament van onze AVG-borging is op orde. We beschikken over de vereiste governance, processen en maatregelen. Wij handelen conform de AVG bij incidenten en verbeteren continu. Het recente datalek is betreurenswaardig; we hebben het volgens de wettelijke eisen opgepakt en gebruiken de lessen om verder te versterken.

Tegelijk bewegen we in een domein waar twee publieke waarden en wettelijke plichten soms schuren: openbaarheid van informatie (de Woo, maar ook de Awb gaat uit van openbaarheid van dan wel inzage in documenten (tenzij...)) en bescherming van persoonsgegevens (AVG). Dat vraagt per geval om een zorgvuldige afweging, transparantie over keuzes én blijvende aandacht voor menselijk handelen. (…)’

Een dag eerder, op 25 augustus 2025, verschijnt eveneens een artikel in het AD waaraan wordt gerelateerd aan onderhavige casussen en waar een reactie vanuit de gemeente staat opgenomen: ‘Gemeente deelde eerder gegevens van bezwaarmakers: bewoners voelen zich geschonden in privacy Al eerder, in de zogenoemde 'Sterappel-zaak', werden naam- en adresgegevens van bezwaarmakers door de gemeente Midden-Delfland gedeeld met anderen. Of dat toen wél mocht, is de vraag.

Onderzoek datalek gemeente Midden-Delfland

32/59

(...) Sterappel-zaak Volgens de bewoners is het niet de eerste keer dat de gemeente de mist in gaat met het openbaar maken van vertrouwelijke gegevens. Zo kregen alle 42 bezwaarmakers tegen de 15 woonunits aan de Sterappel, afgelopen juni bij de beslissing op bezwaar elkaars namen en adressen toegestuurd. Het bewonerscollectief noemt dat een 'ernstige privacyschending'. Maar dat mocht gewoon, stelt de gemeente, die verwijst naar de uitspraak in een eerdere, vergelijkbare zaak rond woningbouw in Rotterdam. Advocaat [naam advocaat] (Louwers IP&Tech Advocaten), gespecialiseerd in onder meer privacyrecht, bevestigt als onafhankelijk jurist dat de gemeente hier waarschijnlijk geen fout heeft gemaakt: ,,Als meerdere mensen bezwaar maken tegen hetzelfde besluit, is de gemeente wettelijk verplicht alle bezwaarschriften en bijbehorende stukken ter inzage te leggen voor alle betrokken partijen." Het is gebruikelijk dat de NAW-gegevens, als onderdeel van deze stukken, worden meegestuurd. Er is echter een 'maar': ,,Als er veiligheidsrisico's spelen of als openbaarmaking de privacy van betrokkenen onevenredig raakt, kan - en in sommige gevallen moet - de gemeente gegevens (gedeeltelijk) afschermen.

Belanghebbenden kunnen bovendien vooraf de gemeente verzoeken hun gegevens niet volledig te delen." Dat hebben de bewoners - impliciet - gedaan, stelt [naam]: ,,Bezwaarmakers hadden aangegeven niet gevoegd (samengebracht, red.) behandeld te willen worden. Dit impliceert dus een verzoek om geen gegevens te delen." Bovendien: ,,Het is niet consequent, want de gemeente heeft alle bezwaarmakers in de azc-zaak wél een afgelakte versie gestuurd waarin adressen niet zichtbaar waren (voor het datalek aan het licht kwam, red). Het is onduidelijk waarom ze dat hier dan wel hebben gedaan."’ Datalek Het datalek van 28 juli was wél duidelijk een fout. Het doet het bewonerscollectief denken aan een eerdere fout die een gemeentelijk ambtenaar maakte. Op 19 december 2023 werden naam, adres, telefoonnummer en IBAN van oud-burgemeester [naam] verstrekt aan een derde via een Woo-besluit. Volgens een gemeentelijk woordvoerder is dit lek onderzocht: ,,Er is contact hierover geweest met de voormalig burgemeester ([naam] red.), hij heeft aangegeven hier geen hinder van te hebben ondervonden en beschouwt dit als een afgedane zaak." (…)’

2.3.4

Analyse

Aan de hand van de vooraf geformuleerde onderzoeksvragen volgt in de volgende paragrafen een analyse van de beide casussen. Hierbij wordt aandacht besteed aan de aard van de incidenten, de interne afhandeling door de gemeente, de toepassing van relevante wettelijke kaders (Awb, Woo en AVG) en interne protocollen, de beoordeling van de meldplicht en privacyaspecten, evenals de communicatie richting betrokkenen en de reactie op vragen vanuit de media en de gemeenteraad. De onderzoeksvragen worden geïntegreerd behandeld binnen de analyse, waarbij telkens de relatie met de relevante (juridische) kaders en de interne protocollen en de feitelijke handelwijze van de gemeente wordt gelegd. In de conclusie (hoofdstuk 3) volgt ten slotte een samenvattende, gestructureerde en expliciete beantwoording van de onderzoeksvragen van de drie casussen tezamen.

2.3.4.1

Sterappel-zaak

In de onderhavige casus betreft het een bezwaarschriftenprocedure rondom de tijdelijke woonunits op de locatie voormalige Sterappel. De wettelijke bepalingen met betrekking tot de behandeling van bezwaarschriften zijn vastgelegd in de Awb. In dergelijke procedures kunnen de verplichtingen uit de Awb en de beginselen van de AVG, zoals dataminimalisatie, op gespannen voet met elkaar komen te staan. De spanning ontstaat doordat de Awb het bestuursorgaan verplicht tot openheid, transparantie en een zorgvuldige belangenafweging en de AVG het bestuursorgaan verplicht zo min mogelijk persoonsgegevens te verwerken en delen en deze uitsluitend te gebruiken voor het specifieke doel waarvoor zij zijn verzameld.

Onderzoek datalek gemeente Midden-Delfland

33/59

De gemeente Midden-Delfland heeft ervoor gekozen bezwaarschriften ter beoordeling voor te leggen aan een onafhankelijke bezwaarschriftencommissie. Deze commissie brengt advies uit over bezwaarschriften, waarna de gemeente een besluit op het bezwaar neemt. Het bijbehorende proces staat beschreven in de ‘Verordening bezwaarschriftencommissie Midden-Delfland 2023’. In het onderzoek zijn hieromtrent geen bijzonderheden gesignaleerd en is, voor zover uit het onderzoek blijkt, correct toegepast. Op grond van artikel 7:2 Awb wordt het bestuursorgaan verplicht zorg te dragen voor een zorgvuldige behandeling van het bezwaar, waaronder de mogelijkheid voor belanghebbenden te worden gehoord. Artikel 7:6, tweede lid, Awb bepaalt dat een bestuursorgaan belanghebbenden afzonderlijk kan horen, indien dit noodzakelijk is voor een zorgvuldige behandeling. Wanneer een verzoek tot afzonderlijk horen wordt afgewezen, vloeit uit de algemene motiveringsplicht van artikel 3:46 Awb voort dat het bestuursorgaan de beslissing moet motiveren en de overwegingen kenbaar moet maken. In de onderhavige zaak heeft de commissie dit gedaan door in de brief van 8 april 2025 uit te leggen waarom het in groepsverband horen van de bezwaarmakers zowel doelmatig als toereikend was voor een zorgvuldige besluitvorming.

Daarnaast bepaalt artikel 7:4 Awb dat belanghebbenden ten minste tien dagen voor de hoorzitting de mogelijkheid hebben nadere stukken in te dienen. Tevens dient het bestuursorgaan het bezwaarschrift en alle op de zaak betrekking hebbende stukken ten minste een week voorafgaand aan het horen voor belanghebbenden ter inzage te leggen. Hiermee wordt gewaarborgd dat alle partijen voldoende tijd hebben zich zorgvuldig voor te bereiden en dat de hoorzitting plaatsvindt op basis van een volledig en inzichtelijk dossier. Het inzagerecht, geregeld in het tweede lid van artikel 7:4,

vormt

een

van

de

fundamentele

waarborgen

voor

een

zorgvuldig

verlopende

bezwaarschriftprocedure. Zo wordt voorkomen dat het bestuursorgaan zijn beslissing baseert op informatie die de belanghebbenden niet hebben kunnen kennen. In het kader van de Sterappel-procedure hebben meerdere inwoners bezwaar gemaakt tegen de afwijzing van hun handhavingsverzoek. In dit type procedure kunnen bezwaarmakers onderling kennis nemen van elkaars integrale bezwaarschriften en elkaar fysiek ontmoeten tijdens de openbare hoorzitting. Uit gesprekken in het kader van dit onderzoek en het nieuwsartikel van 25 augustus 2025, waarin een advocaat wordt geciteerd, blijkt dat het in de praktijk gebruikelijk is dat wanneer het college haar BOB deelt, het advies van de bezwaarschriftencommissie mede wordt verstrekt inclusief de NAW-gegevens van de bezwaarmakers. Dit kan echter, zoals eerder aangegeven, leiden tot een spanningsveld tussen de transparantieverplichtingen uit de Awb en de beginselen van de AVG, zoals dataminimalisatie. Belanghebbenden moeten in beginsel echter kunnen controleren of het college hun ingediende bezwaarschiften, waaronder de ontvankelijkheid, correct heeft beoordeeld (art. 7:2, 7:4 Awb). In de Sterappel-casus is dit relevant, omdat de commissie heeft vastgesteld dat bepaalde bezwaarmakers een direct en persoonlijk belang hebben: zij wonen op minder dan 100 meter van de woonunits en hebben vanuit hun woning en/of perceel direct zicht op de woonunits.

Deze locatiegebonden criteria vormen onder meer een objectieve basis voor de ontvankelijkheidsbeoordeling en maken het gebruik van volledige NAW-gegevens noodzakelijk binnen de bezwaarschiftenprocedure. De verwerking van volledige NAW-gegevens in de Sterappel-casus is hier mee in lijn met de AVG, omdat het noodzakelijk is voor de naleving van de wettelijke verplichtingen uit de Awb. Gelet hierop is de conclusie van de gemeente dat in deze situatie geen sprake is van een datalek goed navolgbaar. Voorts wordt op 30 juli 2025 de melding van het mogelijke datalek ontvangen. De afdelingsdirecteur Bedrijfsvoering reageert op 1 augustus 2025 richting de melder met de mededeling dat naar oordeel van de gemeente geen sprake is van een datalek. De reactie is echter summier van aard, aangezien uitsluitend wordt vermeld dat geen sprake is van een datalek zonder nadere motivering of toelichting

Onderzoek datalek gemeente Midden-Delfland

34/59

op de gehanteerde beoordeling. Conform het gemeentelijke ‘Proces afhandeling datalekken’ ligt de verantwoordelijkheid voor de beoordeling en terugkoppeling bij de PO. De PO dient de melding te beoordelen, hierover afstemming te hebben met de betrokken afdeling en vervolgens een gemotiveerde terugkoppeling te geven aan de melder. Deze terugkoppeling omvat zowel de conclusie of sprake is van een datalek als de onderliggende argumentatie en de eventueel te nemen vervolgstappen. Aan deze procedurele vereisten is in de onderhavige casus niet volledig voldaan, aangezien in de reactie aan de melder de onderliggende argumentatie ontbrak. De PO had een vergelijkbare melding met betrekking tot dezelfde casus wel al eerder beoordeeld. Later, op 26 augustus 2025, is naar aanleiding van schriftelijke vragen van de VVD-fractie wel nader op de casus ingegaan. In deze beantwoording zijn de overwegingen en gemaakte keuzes van de gemeente uitgebreider toegelicht en is inzicht gegeven in de juridische en feitelijke gronden waarop het eerdere oordeel, dat geen sprake zou zijn van een datalek, is gebaseerd.

2.3.4.2

Woo-verzoek

In deze casus is sprake van een verzoek op grond van de Woo waarin een inwoner informatie vraagt over onder meer de declaraties van de toenmalige burgemeester. Het verzoek valt onder de reikwijdte van artikel 4.1 Woo, aangezien het ziet op bestuurlijke informatie waarover het college van burgemeester en wethouders beschikt. De Woo beoogt openbaarheid van publieke informatie te bevorderen en het democratisch bestuur transparant te maken. Tegelijkertijd kent de Woo duidelijke uitzonderingsgronden om te voorkomen dat openbaarheid leidt tot onevenredige schade aan de belangen van de overheid of derden, waaronder de bescherming van de persoonlijke levenssfeer (artikel 5.1, tweede lid, sub e). De AVG stelt daarnaast grenzen aan de verwerking van persoonsgegevens, waarbij persoonsgegevens slechts mogen worden gedeeld indien daar een rechtsgrond voor bestaat en het delen noodzakelijk en proportioneel is (artikel 5 en 6). Ook hier is derhalve sprake van een spanningsveld tussen enerzijds transparantie en anderzijds de bescherming van persoonsgegevens. De gemeente heeft in onderhavige casus documenten verstrekt die onder meer persoonsgegevens van de voormalig burgemeester bevatten, waaronder naam, adres en IBAN.

Deze gegevens vielen onder de bescherming van artikel 4, eerste lid, AVG (begrip ‘persoonsgegevens’) en hadden moeten worden geanonimiseerd of weggelakt op grond van artikel 5.1, tweede lid, onder e, Woo en artikel 5 AVG (dataminimalisatie). De kwalificatie als datalek door de gemeente is daarmee navolgbaar. De gemeente heeft het incident, na de melding, intern onderzocht en geregistreerd in het datalekregister, maar niet gemeld bij de AP. Op grond van artikel 33 AVG moet melding plaatsvinden tenzij het niet waarschijnlijk is dat het datalek een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. De afweging van de gemeente, dat de gegevens slechts aan één persoon zijn verstrekt, dat de ontvanger had toegezegd niets met de informatie te doen, en dat geen aanwijzingen bestonden voor misbruik, is in beginsel verdedigbaar binnen deze meldnorm. In onderhavige casus heeft de afdelingsdirecteur Bedrijfsvoering namens de gemeente op de externe melding gereageerd. Daarbij is, conform het ‘Proces afhandeling datalekken’, aan de melder bevestigd dat inderdaad sprake was van een datalek, omdat persoonsgegevens van de voormalig ten onrechte waren meegestuurd bij de beslissing op het Woo-verzoek. Hierbij heeft afstemming plaatsgevonden met de PO en de FG.

Vervolgens heeft de afdelingsdirecteur Bedrijfsvoering de melder tweemaal per e-mail verzocht de ontvangen persoonsgegevens te vernietigen of onleesbaar te maken en dit schriftelijk te bevestigen. Ondanks deze verzoeken is van de melder geen reactie ontvangen. Voorts is de gemeenteraad, via de beantwoording van de schriftelijke vragen van de VVD-fractie, geïnformeerd over het datalek, de interne beoordeling en de door het college genomen maatregelen. Tot slot is de voormalig burgemeester conform het ‘Proces afhandeling datalekken’ geïnformeerd dat zijn persoonsgegeven zijn gedeeld en sprake is van een datalek.

Onderzoek datalek gemeente Midden-Delfland

35/59

Daarnaast blijkt uit de reconstructie dat de gemeente geen actuele of formeel vastgelegde procedure had voor de behandeling van Woo-verzoeken. Sinds december 2023 gebruikt de gemeente de AItool DataMask voor automatische anonimisering, hetgeen een positieve verbetering is in het kader van privacy by design (artikel 25 AVG). Deze software tool was nog niet beschikbaar ten tijde van de behandeling van onderhavig Woo-verzoek. De casus toont dat de formele rolverdeling en toezichtslijnen bij de behandeling van Woo-verzoeken kwetsbaar zijn. De gemeentesecretaris ondertekende destijds besluiten zonder persoonlijke controle van de bijlagen, terwijl de materiële toetsing bij een behandelend jurist lag. Hoewel deze werkwijze past binnen het mandaatbesluit, vergroot dit de afhankelijkheid van individuele zorgvuldigheid. De latere invoering van een tweeslagcontrole (AI-anonimisering gevolgd door menselijke toetsing) versterkt de naleving van de beginselen van de verantwoordingsplicht vanuit de AVG. De casus illustreert evenzo het blijvende spanningsveld tussen openbaarheid en privacy: de Woo vergt transparantie, terwijl de AVG terughoudendheid voorschrijft. Deze casus onderstreept dat een goed functionerend Woo-proces niet alleen juridisch, maar ook organisatorisch en technisch moet worden ingebed.

Onderzoek datalek gemeente Midden-Delfland

36/59

HOOFDSTUK 3

Conclusie en aanbevelingen In

dit

afsluitende

hoofdstuk

volgt

de

conclusie

waarin

de

onderzoeksvragen worden beantwoord. Daarbij sluiten wij af met een antwoord op de laatste onderzoeksvraag waarin wij aanbevelingen formuleren voor het verkleinen van het risico op soortgelijke en vergelijkbare incidenten in de toekomst. Uit de analyse van de drie onderzochte casussen -de Sterappel-zaak, het Woo-verzoek en het datalek rondom de RIB inzake het AZC- komt naar voren dat er geen aanwijzingen zijn dat de Sterappelzaak een datalek betreft. De overige twee casussen betreffen wel datalekken en zijn in belangrijke mate veroorzaakt door een combinatie van menselijke fouten, het ontbreken van eenduidige en actuele werkprocessen en -in het geval van het AZC- tijdsdruk en de gevoeligheid van de onderliggende dossiers. Hoewel de feitelijke toedracht tussen de casussen verschilt, zijn enkele overeenkomsten zichtbaar. De onderzoeksvragen die inhoudelijk overlap hebben met elkaar, worden gezamenlijk behandeld.

3.1

Onderzoeksvraag 1 en 2

Wat zijn de oorzaken en omstandigheden waardoor de (mogelijke) datalekken hebben kunnen ontstaan? Hoe zijn de processen verlopen die hebben geleid tot de (mogelijke) datalekken? Hoe is de interne samenwerking verlopen? In de casus omtrent de BOB inzake de omgevingsvergunning voor het AZC is het datalek ontstaan doordat bij de RIB meerdere bijlagen zijn gevoegd die onderdeel uitmaakten van de BOB-stukken. In één van deze bijlagen, het advies van de bezwaarschriftencommissie, bevonden zich de NAWgegevens van 132 bezwaarmakers. Het college heeft in deze casus besloten dat eind juli 2025 een extra RIB uitgebracht moest worden, zodat

de

raad

tijdig

en

volledig

zou

worden

geïnformeerd

over

de

BOB

inzake