Berenschot 3-12-2025 Rapportage gemeente Midden-Delfland
Tekst van het document
de
omgevingsvergunning voor het AZC, aangezien de geplande, periodieke RIB pas september 2025 zou worden uitgebracht. De inhoudelijke vakafdeling is normaliter verantwoordelijk voor het opstellen van een RIB, maar de betreffende vakafdeling, team VTH, had nooit eerder een RIB moeten opstellen, aangezien een BOB doorgaans niet tot een RIB leidt. Mede om die reden heeft de gemeentesecretaris deze rol op zich genomen, de RIB opgesteld en de bijlagen eveneens per e-mail aan de plaatsvervangend griffier verzonden. De plaatsvervangend griffier heeft de RIB inclusief bijlagen vervolgens, vanuit het e-mailbericht, toegevoegd en gepubliceerd in iBabs. In deze casus blijken zich derhalve vier afwijkingen te hebben voorgedaan ten aanzien van het reguliere en gebruikelijke proces, die bij een RIB doorgaans worden gehanteerd. Deze afwijkingen betreffen:
Onderzoek datalek gemeente Midden-Delfland
37/59
1. Afwijking van de reguliere procedure voor periodieke RIB’s ten aanzien van ontwikkelingen betreffende het AZC, waarbij normaliter het team Juridische Zaken en het team Communicatie bijdragen en meelezen. 2. Afwijking
van
de
gebruikelijke
verantwoordingsstructuur, doordat
niet de
inhoudelijke
vakafdeling met specifieke en gedetailleerde kennis van de betreffende documenten, maar de gemeentesecretaris de RIB opstelde. 3. Afwijking van het uitgangspunt dat BOB-besluiten onder normale omstandigheden niet worden opgenomen in een RIB. 4. Afwijking door gebruik te maken van bijlagen uit een e-mail in plaats van uitsluitend documenten uit het zaaksysteem. Het is evident dat afwijkingen van reguliere werkprocessen het risico op fouten aanzienlijk vergroten. Daarbij komt dat uit het onderzoek is gebleken dat binnen de gemeente geen formeel vastgelegde (werk)processen bestaan voor het opstellen en publiceren van een RIB. Hierdoor ontbreekt een eenduidige procedurele basis, hetgeen de kans op inconsistent handelen en daarmee op incidenten vergroot. De tijdsdruk door het naderende zomerreces, de -door het college ingeschatte- grote informatiebehoefte van de raad en de politieke gevoeligheid van het AZC-dossier hebben voorts bijgedragen aan een verhoogde foutgevoeligheid In de casus inzake het Woo-verzoek is sprake geweest van een datalek doordat persoonsgegevens (NAW-gegevens en IBAN) van de voormalig burgemeester per abuis niet waren geanonimiseerd. In deze casus ging het om een Woo-verzoek van een inwoner die onder meer inzicht vraagt in de declaraties van de toenmalige burgemeester.
Uit het onderzoek blijkt dat een medewerker van het team Juridische Zaken een Woo-verzoek oppakt en de benodigde stukken opvraagt bij de verschillende afdelingen binnen de organisatie. De medewerker Juridische Zaken is vervolgens verantwoordelijk voor het anonimiseren van de documenten op basis van hetgeen daarover is bepaald in de AVG en de Woo. Destijds gebeurde dat handmatig. De gemeentesecretaris heeft in dit proces een coördinerende en toezichthoudende rol, ondertekent in die hoedanigheid het Woo-besluit, maar controleert niet persoonlijk alle onderliggende documentatie. Uit het onderzoek is niet gebleken dat binnen de gemeente sprake is van een (geactualiseerd) gehanteerd en vastgelegd (werk)proces ten aanzien van Woo-verzoeken. Hierdoor was het proces kwetsbaar voor menselijke fouten. Uit de gesprekken blijkt dat de Woo-verzoeken worden gekwalificeerd als een arbeidsintensief proces en een beperkt aantal medewerkers van het team Juridische Zaken de Woo-verzoeken in behandeling neemt, waarbij waarschijnlijk in deze specifieke casus, de persoonsgegevens over het hoofd zijn gezien. Ten slotte kan ten aanzien van de Sterappel-zaak het volgende worden opgemerkt. De gemeente Midden-Delfland heeft ervoor gekozen de ingediende bezwaarschriften ter advisering voor te leggen aan een onafhankelijke bezwaarschriftencommissie.
Deze commissie beoordeelt de bezwaren en brengt een gemotiveerd advies uit, waarna het college het formele besluit op bezwaar vaststelt. Het in deze casus gehanteerde proces vloeit rechtstreeks voort uit de wettelijke verplichtingen uit de Awb en de bepalingen zoals vastgelegd in de ‘Verordening bezwaarschriftencommissie MiddenDelfland 2023’. Het delen van NAW-gegevens tussen bezwaarmakers vloeit eveneens voort uit wettelijke verplichtingen uit de Awb en is noodzakelijk voor een zorgvuldige behandeling van het bezwaarproces. Wel laat deze casus zien dat spanning kan ontstaan tussen de openbaarheid en inzageverplichtingen uit de Awb enerzijds en het dataminimalisatiebeginsel van de AVG anderzijds. Die spanning vereist in elke procedure een bewuste en toetsbare afweging. Gelet hierop is de conclusie van de gemeente dat in deze situatie geen sprake is van een datalek goed navolgbaar, maar dat sprake is van een afweging binnen de bevoegdheidsruimte van het bestuursorgaan, waarbij de verwerking van persoonsgegevens plaatsvindt op basis van een wettelijke verplichting (artikel 6, eerste lid, onder c AVG) en in lijn met de inzage- en openbaarheidsverplichtingen uit de Awb.
Onderzoek datalek gemeente Midden-Delfland
3.2
38/59
Onderzoeksvraag 3
Welke interne processen en procedures zijn binnen de gemeente, dan wel wettelijk vastgelegd met betrekking tot persoonsgegevensbescherming, en zijn deze in de betreffende casussen doorlopen? Zo niet, waarom niet en met welke gevolgen? De gemeente beschikt over een Strategisch Informatiebeveiligingsbeleid 2023–2026 en een Privacybeleid gemeente Midden-Delfland uit 2019, alsmede een geactualiseerde versie uit 2025. Aangezien de onderzochte casussen nog onder de reikwijdte vielen van de versie uit 2019, is in dit onderzoek van die versie uitgegaan. De beleidskaders bevatten bepalingen en handvatten die voortvloeien uit de AVG en de UAVG. Zo beschikt de gemeente onder meer over een register van verwerkingen, een register van datalekken en zijn de wettelijk verplichte rollen, zoals de FG, ingevuld. Uit het register van verwerkingen blijkt dat de gegevensverwerkingen inzake Wooverzoeken niet is beschreven en nog gebaseerd is op de voormalige Wob en Who. De verwerkingen inzake een RIB en de bezwaarschriftenprocedure staan daarentegen wel geregistreerd in het register van verwerkingen. Daarnaast komt uit het onderzoek naar voren dat binnen de organisatie diverse bewustwordingsactiviteiten worden georganiseerd. Ten aanzien van de twee datalekken kan worden vastgesteld dat één van de beginselen uit de AVG, namelijk het beginsel van dataminimalisatie, niet correct is toegepast.
In beide casussen blijkt sprake te zijn van een menselijke fout, waarbij onvoldoende aandacht is geweest voor de gegevens die zijn gedeeld. Met betrekking tot het Woo-verzoek blijkt uit het onderzoek dat inmiddels technische maatregelen zijn getroffen, onder meer door de inzet van anonimisatiesoftware. Hierdoor is de kans op het ongewenst delen van persoonsgegevens verkleind. Uit de Sterappel-zaak blijkt daarnaast de spanning die kan ontstaan tussen de openbaarheid en inzageverplichtingen uit de Awb enerzijds en het dataminimalisatiebeginsel van de AVG anderzijds. In de AZC-zaak lijkt de balans te zijn verschoven in de richting van het dataminimalisatiebeginsel uit de AVG. In die casus is immers door het college besloten een geanonimiseerde versie van het advies van de bezwaarschriftencommissie te delen met de bezwaarmakers, gezien de (politieke) gevoeligheid van de casus. In de Sterappel-zaak lijkt de omgekeerde situatie te zijn ontstaan: daar heeft
de
openbaarheid en
inzageplicht
op
grond
van
de
Awb
geprevaleerd
boven het
dataminimalisatiebeginsel, doordat de volledige NAW-gegevens van de bezwaarmakers onderling zijn gedeeld. Ofschoon de gemaakte keuzes in beide casussen afzonderlijk verdedigbaar kunnen zijn, was het voor de betrokken bezwaarmakers wenselijk en passend geweest wanneer de gemeente duidelijker en explicieter had gemotiveerd waarom in de ene casus wél en in de andere casus géén persoonsgegevens werden
geanonimiseerd. Een transparante
toelichting
op
de
gemaakte
belangenafweging had mogelijk bijgedragen aan beter begrip bij betrokken inwoners, maar ook aan een meer consistente beeldvorming rondom de privacy- en openbaarheidstoepassing door de gemeente.
3.3
Onderzoeksvraag 4 en 5
Welke interne processen en procedures zijn binnen de gemeente, dan wel wettelijk vastgelegd na het ontdekken van een datalek en zijn deze in de betreffende casussen doorlopen? Zo niet, waarom niet en met welke gevolgen? Hoe zijn de processen verlopen na het ontdekken van de (mogelijke) datalekken? Hoe is de interne samenwerking verlopen? Hoe is geacteerd richting betrokkenen (intern, inwoners, raad)? De gemeente beschikt over een ‘Proces afhandeling datalekken’, dat grotendeels is gebaseerd op de verplichtingen uit de AVG. Na ontdekking van de (mogelijke) datalekken is in twee van de drie casussen (Woo en AZC) in lijn met het ‘Proces afhandeling datalekken’ gehandeld. De samenwerking
Onderzoek datalek gemeente Midden-Delfland
39/59
na ontdekking verliep in de meeste gevallen goed, met snelle actie, risicobeoordeling en communicatie naar betrokkenen, raad en -indien nodig- de media. Ten aanzien van het Woo-verzoek is afhandeling van het datalek is grotendeels het proces afhandeling datalekken doorlopen: de betrokkene is geïnformeerd, er is een risico-afweging gemaakt en het incident is geregistreerd. De gegevens zijn niet verder verspreid en de risico’s werden daarom als beperkt ingeschat. Ten aanzien van de AZC-casus heeft de gemeente na ontdekking van het incident snel en adequaat gehandeld door het document direct te vervangen, de betrokkenen en de raad vrijwel onmiddellijk te informeren en conform de meldplicht uit de AVG een melding te doen bij de AP. Bij de beoordeling van het incident is tevens meegewogen of sprake was van bijzondere categorieën van persoonsgegevens. Dit is beoordeeld en ontkennend vastgesteld door de PO in afstemming met de FG. Aangezien de AP geen reactie heeft gegeven, mag worden aangenomen dat de melding correct is ingediend en dat het incident op basis van de beschikbare informatie geen verdere opvolging door de AP behoeft. Daarnaast heeft een intern onderzoek plaatsgevonden, waarbij het datalek conform de AVG is geëvalueerd. Tot slot heeft op 27 oktober 2025 een bijeenkomst voor betrokkenen plaatsgevonden, waarbij de burgemeester en de gemeentesecretaris aanwezig waren.
Tijdens deze bijeenkomst hebben zij onder meer de resultaten van het interne onderzoek toegelicht en hebben zij vragen van inwoners beantwoord. In de Sterappel-casus is deze procedure niet volledig toegepast. Hoewel uiteindelijk werd vastgesteld dat in deze casus geen sprake was van een datalek, is de melder (van 30 juli 2025) niet voorzien van een gemotiveerde toelichting waarom de casus, naar het oordeel van de gemeente, niet als datalek werd aangemerkt. Deze motivering is pas later, in de media en bij de beantwoording van schriftelijke vragen van de raad, alsnog gegeven.
3.4
Onderzoeksvraag 6
Welke lessen kan de gemeente trekken uit de onderzochte casussen, en welke verbeteringen zijn denkbaar teneinde dergelijke risico’s adequater te beheersen? Uit de drie casussen blijkt dat de gemeente Midden-Delfland over het algemeen een solide basis heeft voor privacy- en informatiebeveiligingsbeheer, maar dat verdere professionalisering en borging noodzakelijk is om dergelijke risico’s effectief te mitigeren. In onderstaande paragaaf geven wij enkele aanbevelingen puntsgewijs weer: •
Uit het onderzoek blijkt dat voor enkele cruciale processen, waaronder de behandeling van Wooverzoeken en het opstellen en publiceren van een RIB, geen formeel vastgestelde en vastgelegde procedures of werkprocessen beschikbaar zijn. Het is aan te bevelen deze processen expliciet te definiëren, te formaliseren en organisatiebreed te borgen, zodat een uniforme en controleerbare werkwijze ontstaat. Wij bevelen aan in deze formele procedures duidelijk de bijbehorende rollen en verantwoordelijkheden te specificeren en tevens een verplicht vier-ogen-principe op te nemen, waarbij zowel de inhoud van het document als alle bijlagen (met specifieke aandacht voor de aanwezigheid van persoonsgegevens) voorafgaand aan publicatie of verstrekking door een tweede functionaris worden gecontroleerd. Daarbij dient expliciet het uitgangspunt te gelden dat zorgvuldigheid immer boven snelheid prevaleert. Wij adviseren deze nieuwe, maar ook de reeds bestaande, protocollen periodiek te evalueren op actualiteit, effectiviteit en werkbaarheid, conform de vereisten uit onder meer de AVG.
•
De casus rond de RIB illustreert dat het gebruik van parallelle communicatielijnen (e-mail én zaaksysteem) kan leiden tot fouten, zeker wanneer documenten niet consistent in systemen beschikbaar zijn of wanneer meerdere systemen naast elkaar bestaan (zoals het algemene zaaksysteem en het zaaksysteem van team VTH: RX Mission). De gemeente kan hier een belangrijke slag maken door een strikte voorkeurskanaalstrategie te hanteren, het gebruik van
Onderzoek datalek gemeente Midden-Delfland
40/59
e-mail voor het delen van persoonsgegevens te beperken en technische koppelingen tussen systemen te verbeteren of systemen te consolideren. Daarbij verdient het aanbeveling de gebruiksvriendelijkheid en praktische toepasbaarheid van het zaaksysteem te evalueren, in het bijzonder om na te gaan of dit systeem voldoende aansluit bij situaties waarin spoed en tijdsdruk een rol spelen. •
Beperk het gebruik van bijlagen bij informatieverstrekking, waaronder bij het opstellen van een RIB. In lijn met het beginsel van dataminimalisatie dient de gemeente telkens kritisch te beoordelen welke informatie daadwerkelijk noodzakelijk is om het doel van de communicatie te bereiken. Het verdient aanbeveling de RIB zodanig op te stellen dat de benodigde informatie integraal en volledig in de tekst van de brief wordt opgenomen en bijlagen uitsluitend toe te voegen wanneer zij strikt noodzakelijk zijn voor de inhoudelijke duiding of besluitvorming. Bij het toevoegen van bijlagen dient altijd een privacy- en noodzaakstoets uit te voeren. Persoonsgegevens mogen, op grond van artikel 5 AVG, immers slechts in die mate worden verwerkt en gedeeld die strikt noodzakelijk is voor het doel. Bij elke afzonderlijke casus dient de gemeente kritisch te beoordelen welke gegevens strikt noodzakelijk zijn voor het doel en hoe deze kunnen worden gedeeld, zodat zowel de zorgvuldigheid en transparantie uit relevante wetgeving, zoals de Awb en de Woo, als de privacyverplichtingen uit de AVG in voldoende mate worden gerespecteerd.
•
Uit het onderzoek blijkt dat in de twee bezwaarprocedures in de Sterappel-zaak en de AZC-casus verschillende keuzes zijn gemaakt ten aanzien van het delen of anonimiseren van NAW-gegevens van bezwaarmakers. Hoewel deze keuzes in beide casussen afzonderlijk verdedigbaar kunnen zijn, leidt het ontbreken van een proactieve motivatie en communicatie tot onduidelijkheid bij betrokkenen (zoals onder meer blijkt uit het nieuwjaarsartikel van 25 augustus 2025 in het AD) en creëert het een risico op negatieve beeldvorming over de zorgvuldigheid en gelijkmatigheid van gemeentelijke besluitvorming. Het verdient aanbeveling zoveel mogelijk een consistent beleid
en
werkwijze
vast
te
leggen
voor
het
omgaan
met
persoonsgegevens
in
bezwaarprocedures. Indien wordt besloten hiervan af te wijken (binnen de gestelde wettelijke kaders), dan is het wenselijk dit duidelijk te motiveren en te communiceren aan de betrokkenen.
Onderzoek datalek gemeente Midden-Delfland
41/59
Bijlage 1. Toetsingskader Doel van het onderhavige onderzoek is onder meer te duiden welke interne processen en procedures binnen de gemeente van toepassing zijn, dan wel wettelijk zijn vastgelegd, met betrekking tot de bescherming van persoonsgegevens en de afhandeling van datalekken, en in hoeverre deze in de betreffende casussen zijn gevolgd. In dit toetsingskader zijn de relevante wetten, regelingen en (interne) procedures opgenomen die van belang zijn voor de duiding van de bevindingen. Het toetsingskader bestaat uit de volgende onderdelen: 1. Algemeen beginselen van behoorlijk bestuur en Bijzondere bepalingen over bezwaar en administratief beroep (Algemene wet Bestuursrecht) 2. Algemene Verordening Gegevensbescherming en Uitvoeringswet Algemene Verordening Gegevensbescherming 3. Baseline Informatiebeveiliging Overheid en de handreiking ’10 bestuurlijke principes voor informatiebeveiliging’ 4. Wet open overheid 5. Strategisch informatiebeveiligingssysteem gemeente Midden-Delfland 2023 – 2026 6. Privacybeleid gemeente Midden-Delfland 2019 7. Gemeentewet
1.1 Algemene beginselen voor behoorlijk bestuur De algemene beginselen van behoorlijk bestuur zijn regels en principes die bestuursorganen moeten volgen om eerlijk, zorgvuldig en transparant te handelen bij de uitvoering van hun taken. Deze beginselen zorgen ervoor dat besluiten en acties van de overheid rechtvaardig en betrouwbaar zijn en dat burgers en bedrijven worden beschermd tegen willekeur en onzorgvuldigheid. Kort samengevat luiden de beginselen: •
Het zorgvuldigheidsbeginsel: bestuursorganen moeten zorgvuldig onderzoek doen naar de relevante feiten en belangen voordat zij een besluit nemen. Alle betrokken partijen moeten worden gehoord en belangen goed afgewogen.
•
Het rechtszekerheidsbeginsel: burgers moeten erop kunnen vertrouwen dat besluiten duidelijk, voorspelbaar en stabiel zijn. Het bestuur mag niet zomaar besluiten wijzigen of intrekken zonder goede reden.
•
Het vertrouwensbeginsel: burgers mogen erop vertrouwen dat toezeggingen en verklaringen van het bestuur worden nagekomen, tenzij er zwaarwegende redenen zijn om hiervan af te wijken.
•
Het gelijkheidsbeginsel: het bestuur mag geen onderscheid maken tussen personen in gelijke situaties en moet iedereen gelijk behandelen.
•
Het motiveringsbeginsel: besluiten moeten duidelijk worden onderbouwd en geïndiceerd. Het waarom en de juridische basis van het besluit moet worden uitgelegd aan de betrokkenen.
•
Het proportionaliteitsbeginsel: een maatregel of besluit mag niet verder gaan dan nodig is om het doel te bereiken. Er moet een balans zijn tussen het middel en de gevolgen ervan.
Onderzoek datalek gemeente Midden-Delfland
•
42/59
Het fair play-beginsel: bestuursorganen moeten objectief, onbevooroordeeld en transparant handelen. Zij mogen geen belang hebben bij de uitkomst van de zaak.
•
Het beginsel van kenbaarheid: burgers moeten weten welke regels van toepassing zijn en hoe zij hun rechten kunnen uitoefenen. Het bestuur moet helder en toegankelijk communiceren.
Bovengenoemde beginselen zijn grotendeels verankerd in de Algemene wet bestuursrecht (Awb).
Bijzondere bepalingen over bezwaar en administratief beroep Relevant voor deze casus zijn tevens de bepalingen in de Awb op welke wijze in Nederland burgers bezwaar kunnen maken tegen besluiten van bestuursorganen, en hoe die besluiten eventueel kunnen worden aangevochten via de bezwaar- en beroepsprocedure. De bepalingen die relevant zijn voor onderhavig onderzoek zijn met name artikel 7:2 (hoorplicht), 7:4 (inzage in stukken) en 7:6 Awb (wijze van horen). De gemeente Midden-Delfland heeft ervoor gekozen bezwaarschriften ter beoordeling voor te leggen aan een onafhankelijke bezwaarschriftencommissie (Artikel 7:13 Awb). Deze commissie brengt advies uit over bezwaarschriften, waarna de gemeente een besluit op het bezwaar neemt. Ten behoeve van de inrichting en werkwijze van de bezwaarschriftencommissie hanteert de gemeente de ‘Verordening bezwaarschriftencommissie Midden-Delfland 2023’. Deze verordening bevat de lokale uitwerking van artikel 7:13 Awb en regelt onder meer de samenstelling, bevoegdheden en procedurele werkwijze van de commissie.
1.2 Wetgeving en (interne) richtlijnen Relevante wetgeving en richtlijnen omtrent omgang data Algemene Verordening Gegevensbescherming en Uitvoeringswet Algemene Verordening Gegevensbescherming De Algemene Verordening Gegevensbescherming (AVG) vormt de basis voor regelgeving rondom verzameling en het gebruik van persoonsgegevens. De Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG) is de Nederlandse wet die sinds 25 mei 2018 de Europese privacywet AVG (GDPR) aanvult en concretiseert voor Nederland. Gemeenten moeten niet alleen voldoen aan de AVG, maar ook aan de nationale aanvullingen uit de UAVG. De AVG is een Europese verordening, maar laat op sommige punten ruimte voor nationale keuzes. De UAVG vult deze ruimte in voor Nederland, bijvoorbeeld bij de Verwerking van bijzondere persoonsgegevens (zoals biometrische gegevens) en regels voor verwerking van persoonsgegevens van strafrechtelijke aard. Daarnaast regelt de UAVG de bevoegdheden van de Autoriteit Persoonsgegevens (AP) en bepaalt hoe de AP toezicht houdt en boetes oplegt. Onder de AVG heeft de gemeente Midden-Delfland een informatieplicht. Dat betekent dat de gemeente verplicht is inwoners duidelijk te informeren over wat met hun persoonsgegevens gebeurt en waarom. Persoonsgegevens zijn onder andere iemands naam, adres, telefoonnummer en pasfoto. Er zijn zes AVG-beginselen.
Deze beginselen zijn relevant voor het onderzoek voor het duiden van de interne processen van de gemeente rondom dataverzameling en gegevensverwerking: •
Rechtmatigheid, behoorlijkheid en transparantie:
organisaties moeten
rechtmatig,
behoorlijk en transparant handelen. Om rechtmatig te zijn, moet een verwerking in elk geval zijn gebaseerd op een grondslag uit de AVG. Maar ook mag de verwerking niet in strijd zijn met andere wetgeving, zoals een wettelijke geheimhoudingsplicht. De verwerking moet ook 'behoorlijk' zijn. Dat betekent dat deze niet (op een niet te rechtvaardigen manier) nadelig, discriminerend, onverwacht of misleidend mag zijn voor de betrokkenen. Verder moet het transparant zijn voor betrokkenen hoe en waarom een organisatie hun persoonsgegevens verwerkt. Dat betekent dat de organisatie hier open en duidelijk over moet communiceren.
Onderzoek datalek gemeente Midden-Delfland
43/59
Organisaties mogen alleen persoonsgegevens verwerken als zij voldoen aan minimaal één van onderstaande grondslagen: o
U heeft toestemming van de persoon om wie het gaat;
o
Het is noodzakelijk om gegevens te verwerken om een overeenkomst uit te voeren;
o
Het is noodzakelijk om gegevens te verwerken omdat u dit wettelijk verplicht bent;
o
Het is noodzakelijk om gegevens te verwerken om vitale belangen te beschermen;
o
Het is noodzakelijk om gegevens te verwerken om een taak van algemeen belang uit te voeren/openbaar gezag uit te oefenen;
o
Het is noodzakelijk om gegevens te verwerken om uw gerechtvaardigde belang te behartigen.
•
Doelbinding: organisaties mogen persoonsgegevens alleen verzamelen en verwerken met een gerechtvaardigd doel dat vooraf bepaald is.
•
Dataminimalisatie: de dataverwerking moet passen bij het vooropgestelde doel en er mogen niet meer gegevens verwerkt worden dan noodzakelijk is om het gestelde doel te bereiken.
•
Juistheid: organisaties moeten ervoor zorgen dat gegevens juist zijn. En de gegevens actualiseren als dat nodig is.
•
Opslagbeperking: organisaties moeten persoonsgegevens verwijderen zodra die niet langer nodig zijn voor het oorspronkelijke doel waarvoor ze zijn verzameld.
•
Vertrouwelijkheid en integriteit: organisaties moeten hun gegevensverwerkingen goed beveiligen. Naast
‘gewone’
persoonsgegevens,
persoonsgegevens.
Deze
het
verhogen
risico
zijn op
een
er
gevoelige mogelijke
en
bijzondere
datalek.
Gevoelige
persoonsgegevens zijn niet expliciet in de AVG opgenomen, bijvoorbeeld locatiegegevens. Voor bijzondere persoonsgegevens gelden er wel expliciet extra beveiligingseisen. In de regel is het verwerken van bijzondere persoonsgegevens verboden, tenzij een organisatie zich kan beroepen op een uitzondering. In artikel 9 van de AVG zijn deze uitzonderingen opgenomen. Bijzondere persoonsgegevens betreffen: o
Persoonsgegevens waaruit iemands ras of etnische afkomst blijkt.
o
Persoonsgegevens waaruit iemands politieke opvattingen blijken.
o
Persoonsgegevens waaruit iemands religieuze of levensbeschouwelijke overtuigingen blijken.
•
o
Persoonsgegevens waaruit het lidmaatschap van een vakbond blijkt.
o
Gegevens over iemands gezondheid.
o
Gegevens over iemands seksueel gedrag of seksuele gerichtheid.
o
Genetische gegevens.
o
Biometrische gegevens (bedoeld voor de unieke identificatie van een persoon).
Verantwoordingsplicht: de verantwoordingsplicht betreft een overkoepelend beginsel van de AVG. De verantwoordingsplicht houdt in dat een organisatie moet kunnen aantonen dat een verwerking van persoonsgegevens voldoet aan de belangrijkste uitgangspunten van de AVG. Ook moet aangetoond kunnen worden dat de juiste technische en organisatorische maatregelen genomen zijn om de persoonsgegevens te beveiligen.
Gegevensverwerking Onder de ‘verwerking’ van persoonsgegevens, worden de volgende handelingen verstaan: verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, doorzenden, verspreiden, beschikbaar stellen, samenbrengen, met elkaar in verband brengen, afschermen, wissen en vernietigen. Voorafgaande deze verwerking, is dus een grondslag benodigd. Het is aan te raden deze grondslag te vermelden in een privacyverklaring, in het privacybeleid (dergelijk beleid is echter niet verplicht) of een verwerkingsregister. Een verwerkingsregister is verplicht zodra een organisatie meer dan 250 medewerkers heeft, de
Onderzoek datalek gemeente Midden-Delfland
44/59
verwerking van persoonsgegevens niet incidenteel is, er persoonsgegevens verwerkt worden die een hoog risico inhouden voor de rechten en vrijheden van deze personen, en als bijzondere persoonsgegevens verwerkt worden. Daarnaast is het aan een organisatie zelf om te bepalen of gegevensverwerking een hoog privacy risico oplevert. Als dit vermoeden er is, dient voorafgaande de gegevensverwerking een Data protection impact assessment (DPIA) uitgevoerd te worden. Artikel 35 van de AVG bepaalt hierover het volgende: Artikel 35 - Gegevensbeschermingseffectbeoordeling 1.
Wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën worden
gebruikt, gelet op de aard, de omvang, de context en de doeleinden daarvan waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen voert de verwerkingsverantwoordelijke vóór de verwerking een beoordeling uit van het effect van de beoogde verwerkingsactiviteiten op de bescherming van persoonsgegevens. Eén beoordeling kan een reeks vergelijkbare verwerkingen bestrijken die vergelijkbare hoge risico's inhouden. (…) 3.
Een gegevensbeschermingseffectbeoordeling als bedoeld in lid 1 is met name vereist in de volgende
gevallen: a)
een systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke
personen, die is gebaseerd op geautomatiseerde verwerking, waaronder profilering, en waarop besluiten worden gebaseerd waaraan voor de natuurlijke persoon rechtsgevolgen zijn verbonden of die de natuurlijke persoon op vergelijkbare wijze wezenlijk treffen; b)
grootschalige verwerking van bijzondere categorieën van persoonsgegevens als bedoeld in artikel
9, lid 1, of van gegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10; of c)
stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten.
Proces datalek Er is sprake van een datalek als iemand toegang heeft tot persoonsgegevens zonder dat dit mag of de bedoeling is. Zodra er een datalek heeft plaatsgevonden, moeten organisaties zich houden aan de meldplicht datalekken zoals beschreven in artikel 33 en artikel 34 van de AVG. Echter, het is afhankelijk van de mogelijke impact van het datalek op slachtoffers of deze gemeld moet worden bij de AP. Hetzelfde geldt voor het informeren van slachtoffers. Hiervoor moet een organisatie zelf een risico-inschatting maken op basis van verschillende factoren die de AVG aanreikt. Onder andere de kenmerken van de ontvanger, waarbij gesteld wordt dat een verkeerde collega binnen dezelfde organisatie, partijen met een vaste zakelijke relatie, en partijen met een wettelijk beroepsgeheim vallen onder betrouwbare ontvangers. Daarnaast zijn er meerdere richtlijnen opgesteld door de European Data Protection Board over de meldplicht van datalekken. Artikel 33 - Melding van een inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit 1.
Indien een inbreuk in verband met persoonsgegevens heeft plaatsgevonden, meldt de
verwerkingsverantwoordelijke deze zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen, aan de overeenkomstig artikel 55 bevoegde toezichthoudende autoriteit, tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Indien de melding aan de toezichthoudende autoriteit niet binnen 72 uur plaatsvindt, gaat zij vergezeld van een motivering voor de vertraging.
Onderzoek datalek gemeente Midden-Delfland
2.
45/59
De verwerker informeert de verwerkingsverantwoordelijke zonder onredelijke vertraging zodra hij kennis
heeft genomen van een inbreuk in verband met persoonsgegevens. 3.
In de in lid 1 bedoelde melding wordt ten minste het volgende omschreven of meegedeeld: a)
de aard van de inbreuk in verband met persoonsgegevens, waar mogelijk onder vermelding van
de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie; b)
de naam en de contactgegevens van de functionaris voor gegevensbescherming of een ander
contactpunt waar meer informatie kan worden verkregen; c) d)
de waarschijnlijke gevolgen van de inbreuk in verband met persoonsgegevens; de maatregelen die de verwerkingsverantwoordelijke heeft voorgesteld of genomen om de
inbreuk in verband met persoonsgegevens aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan. 4.
Indien en voor zover het niet mogelijk is om alle informatie gelijktijdig te verstrekken, kan de informatie
zonder onredelijke vertraging in stappen worden verstrekt. 5.
De verwerkingsverantwoordelijke documenteert alle inbreuken in verband met persoonsgegevens, met
inbegrip van de feiten omtrent de inbreuk in verband met persoonsgegevens, de gevolgen daarvan en de genomen corrigerende maatregelen. Die documentatie stelt de toezichthoudende autoriteit in staat de naleving van dit artikel te controleren. Artikel 34 - Mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene 1.
Wanneer de inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de
rechten en vrijheden van natuurlijke personen, deelt de verwerkingsverantwoordelijke de betrokkene de inbreuk in verband met persoonsgegevens onverwijld mee. 2.
De in lid 1 van dit artikel bedoelde mededeling aan de betrokkene bevat een omschrijving, in duidelijke
en eenvoudige taal, van de aard van de inbreuk in verband met persoonsgegevens en ten minste de in artikel 33, lid 3, onder b), c) en d), bedoelde gegevens en maatregelen. 3.
De in lid 1 bedoelde mededeling aan de betrokkene is niet vereist wanneer een van de volgende
voorwaarden is vervuld: a)
de
verwerkingsverantwoordelijke
heeft
passende
technische
en
organisatorische
beschermingsmaatregelen genomen en deze maatregelen zijn toegepast op de persoonsgegevens waarop de inbreuk in verband met persoonsgegevens betrekking heeft, met name die welke de persoonsgegevens onbegrijpelijk maken voor onbevoegden, zoals versleuteling; b)
de verwerkingsverantwoordelijke heeft achteraf maatregelen genomen om ervoor te zorgen dat
het in lid 1 bedoelde hoge risico voor de rechten en vrijheden van betrokkenen zich waarschijnlijk niet meer zal voordoen; c)
de mededeling zou onevenredige inspanningen vergen. In dat geval komt er in de plaats daarvan
een openbare mededeling of een soortgelijke maatregel waarbij betrokkenen even doeltreffend worden geïnformeerd. 4.
Indien de verwerkingsverantwoordelijke de inbreuk in verband met persoonsgegevens nog niet aan de
betrokkene heeft gemeld, kan de toezichthoudende autoriteit, na beraad over de kans dat de inbreuk in verband met persoonsgegevens een hoog risico met zich meebrengt, de verwerkingsverantwoordelijke daartoe verplichten of besluiten dat aan een van de in lid 3 bedoelde voorwaarden is voldaan.
Onderzoek datalek gemeente Midden-Delfland
46/59
Op de website van de AP (www.autoriteitpersoonsgegevens.nl) staat het volgende stappenplan beschreven ten aanzien van het melden van een datalek: •
U meldt een datalek bij de AP.
•
Dit moet u doen binnen 72 uur na kennisname van het lek.
•
De verwerkingsverantwoordelijke moet het datalek melden.
•
U kunt uw melding eventueel aanvullen, aanpassen of intrekken.
•
U krijgt meestal geen reactie van de AP op uw melding.
•
U kunt ook verplicht zijn om de slachtoffers van het datalek te informeren.
Baseline Informatiebeveiliging Overheid en de handreiking ’10 bestuurlijke principes voorinformatiebeveiliging’ De
Baseline
Informatiebeveiliging
Overheid
(BIO)
is
het
basisnormenkader
voor
de
informatiebeveiliging bij het Rijk, gemeenten, provincies en waterschappen. In lijn met de BIO is de handreiking ’10 bestuurlijke principes voor informatiebeveiliging’ van kracht. Onder de handreiking wordt gesteld dat gemeenten bij de uitwisseling van data te allen tijde rekening houden met beveiligings- en privacyaspecten omdat ze een maatschappelijke en wettelijke verantwoordelijkheid hebben om de gegevens van hun inwoners onder alle omstandigheden te beschermen. Dit gaat verder dan enkel ICT en de technische beveiliging. De BIO richt zich ook op de vraag in hoeverre bestuurders bewust zijn van de risico’s van en voor de organisatie rondom informatie-uitwisseling. Zij worden volgens de BIO verantwoordelijk gesteld voor de informatiebeveiliging binnen de gemeentelijke organisatie. Beveiliging van gegevens en systemen is een zaak van organisatie, procedures, werkprocessen en in de laatste plaats techniek. Er wordt omschreven dat het gaat om de mens, de manier waarop deze werkt en het gereedschap waarmee het werk verricht wordt. De 10 bestuurlijke principes luiden als volgt: •
Bestuurders bevorderen een veilige cultuur: zonder open cultuur voelt niet iedereen zich vrij om te spreken, waardoor het niet goed mogelijk is om risico’s te identificeren en te adresseren.
•
Informatiebeveiliging is van iedereen: het is van belang dat alle medewerkers, in alle lagen van de organisatie, betrokken zijn bij risicomanagement.
•
Informatiebeveiliging is risicomanagement: risicomanagement werkt alleen als het geïntegreerd is in alle werkprocessen van een gemeente. Dat kan alleen bereikt worden als risico’s regelmatig op de agenda staan en als risico’s een plek/paragraaf krijgen in alle bestuurlijke documenten.
•
Risicomanagement is onderdeel van de besluitvorming: een bestuurder kan alleen de juiste besluitvorming doen als informatie hem/haar bereikt.
•
Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking: een gemeente dient met ketenpartners en leveranciers regelmatig het gesprek te voeren over risico’s en de maatregelen die ervoor zorgen dat de risico’s rondom informatievoorziening tot een acceptabel niveau worden teruggebracht.
•
Informatiebeveiliging is een proces: risicomanagement moet binnen de gemeente een cyclisch, iteratief en terugkerend proces zijn, want dreigingen veranderen, doelstellingen veranderen, de omgeving verandert en wetgeving verandert.
•
Informatiebeveiliging kost geld: risico’s kan een gemeente ontwijken, mitigeren, overdragen of wegnemen door het nemen van preventieve-, repressieve en/of correctieve maatregelen. Deze maatregelen kosten echter tijd en geld.
•
Onzekerheid dient te worden ingecalculeerd: de input voor risicomanagement is gebaseerd op historische en actuele informatie, evenals op toekomstige verwachtingen. Risicomanagement houdt expliciet rekening met eventuele beperkingen en onzekerheden die aan dergelijke informatie en verwachtingen zijn verbonden.
Onderzoek datalek gemeente Midden-Delfland
•
47/59
Verbetering komt voort uit leren en ervaring: risicomanagement gedijt het beste in een organisatie die leert van ervaringen en op basis hiervan verbeteringen doorvoert.
•
Het bestuur controleert en evalueert: controle is belangrijk om goed inzicht te krijgen in de mate waarin het informatiebeveiligingsbeleid en risicomanagement ingebed zijn in de organisatie. Naast verslagen en managementrapportages zijn incidenten, en dan vooral de manier waarop ze afgewikkeld worden, een goede graadmeter om te zien hoe de organisatie omgaat met het onderwerp.
Wet open overheid De Wet open overheid (Woo) regelt het recht op toegang tot publieke informatie bij de overheid. Op grond van deze wet kan eenieder een Woo-verzoek indienen om overheidsinformatie op te vragen, zodat inzicht wordt verkregen in het handelen en de besluitvorming van overheidsinstanties. In de Woo staan voorts zeventien informatiecategorieën die bestuursorganen verplicht op termijn uit eigen beweging openbaar moeten maken. Daarnaast verplicht deze wet dat bestuursorganen informatie openbaar maakt zodra iemand erom vraagt en dat overheidsinformatie goed vindbaar moet zijn. In de Woo zijn een aantal uitzonderingsgronden opgenomen in artikel 5.1, waaronder de bepaling dat het openbaar maken van informatie achterwege blijft indien het belang daarvan niet opweegt tegen de eerbiediging van de persoonlijke levenssfeer (artikel 5.1 lid 2 sub e). Artikel 5.1. Uitzonderingen 1.
Het openbaar maken van informatie blijft eveneens achterwege voor zover het belang daarvan niet opweegt tegen de volgende belangen:
(…) e. de eerbiediging van de persoonlijke levenssfeer;
Interne documenten omtrent omgang data Strategisch informatiebeveiligingssysteem gemeente Midden-Delfland 2023 – 2026 Bij
de
gemeente
Midden-Delfland
is
een
beleidsnota
opgesteld
waarin
het
strategisch
informatiebeveiligingsbeleid voor de jaren 2023 tot 2026 omschreven is. De basis voor dit strategisch beleid is, volgens de beleidsnota, de NEN-ISO/IEC 27002:20174 en de daarvan afgeleide BIO. Het is daarnaast, blijkens de beleidsnota, gebaseerd op de 10 principes voor informatiebeveiliging zoals uitgewerkt door de VNG. In het document wordt ingegaan op zowel het strategisch beleid van de gemeente als de organisatie, taken en verantwoordelijkheden van verschillende ambtenaren. De organisatie, taken en verantwoordelijkheden zijn relevant voor het onderzoek om te kunnen duiden welke invulling bepaalde functies hebben binnen de (mogelijke) datalekken: •
Bestuurlijke organisatie: het college van burgemeester en wethouders (college van B&W) is eindverantwoordelijk voor het informatiebeveiligingsbeleid binnen de gemeente en stelt hiervoor de
strategische
kaders
vast.
Het
college
stimuleert
het
management
om
passende
beveiligingsmaatregelen te nemen en legt verantwoording af via de jaarlijkse collegeverklaring ENSIA en de gemeentelijke jaarstukken. •
College van B&W: het college van B&W draagt de politieke verantwoordelijkheid voor een passend niveau van informatiebeveiliging binnen de gemeentelijke processen en systemen. Het stelt beleidskaders op basis van wet- en regelgeving en stimuleert afdelingsdirecteuren om
4
NEN-ISO/IEC 27002:2017 – Informatietechnologie – Beveiligingstechnieken – Praktische richtlijnen voor informatiebeveiligingsmaatregelen.
Onderzoek datalek gemeente Midden-Delfland
beveiligingsmaatregelen
te
nemen.
De
uitvoering
van
deze
48/59
verantwoordelijkheid
is
gemandateerd aan het directieteam. •
Directieteam (DT): de ambtelijke verantwoordelijkheid voor informatiebeveiliging ligt bij het directieteam dat zorgt voor de juiste implementatie in processen en systemen. Voor elk systeem wijst het team een procesverantwoordelijke of systeemeigenaar aan. De operationele verantwoordelijkheid is belegd bij de afdelingsdirecteuren.
•
Chief Information Officer (CIO): de CIO heeft gemandateerde verantwoordelijkheid voor informatiebeveiliging binnen de organisatie en zorgt voor de juiste implementatie in processen en systemen. Hij/zij adviseert bij projecten, beheert risico’s, houdt het beleid actueel en rapporteert hierover aan het bestuur. De operationele uitvoering ligt bij de afdelingsdirecteuren, terwijl de CIO vaak dicht bij het bestuur gepositioneerd is.
•
Chief Information Security Officer (CISO): de CISO is verantwoordelijk voor de interne controle
op
naleving
van
het
informatiebeveiligingsbeleid
en
de
afhandeling
van
beveiligingsincidenten. Hij voert beleidsmatige taken uit, geeft invulling aan gedelegeerde verantwoordelijkheden
van
de
CIO
en
fungeert
als
aanspreekpunt
voor
technische
informatiebeveiliging. De CISO rapporteert aan de CIO en onderhoudt nauw contact met betrokken functionarissen binnen de organisatie. •
Information Security Officer (ISO): de ISO is verantwoordelijk voor het ontwikkelen, implementeren en handhaven van beleid en maatregelen om informatie en gegevens binnen de organisatie te beveiligen. Hij werkt samen met de CISO en andere afdelingen om risico’s te beheersen, bewustwording te vergroten en te zorgen voor compliance met relevante wet- en regelgeving. De ISO speelt een centrale rol in het beschermen van digitale middelen tegen beveiligingsrisico’s.
•
Contactpersonen IBD: elke gemeente heeft een functionaris nodig die beveiligingsincidenten coördineert en meldingen uitwisselt met de IBD. Hiervoor zijn twee contactpersonen aangewezen en hebben als taak de impact van de ontvangen waarschuwingen af te (laten) wegen en daarop maatregelen te treffen. Deze rollen zijn meestal ondergebracht bij de ENSIA-coördinator en de CISO: o
Algemeen
Contactpersoon
Informatiebeveiliging
(ACIB):
voor
algemene
waarschuwingen o
Vertrouwde Contactpersoon Informatiebeveiliging (VCIB): voor vertrouwelijke informatie.
•
Functionaris Gegevensbescherming (FG): de FG is verantwoordelijk voor de naleving van de AVG en adviseert over de bescherming van persoonsgegevens. Hij/zij werkt nauw samen met de CISO vanwege de overlap tussen privacy en informatiebeveiliging. De FG heeft periodiek overleg met de CISO om afstemming te waarborgen.
•
Afdelingsdirecteuren: binnen de gemeente dragen afdelingsdirecteuren verantwoordelijkheid voor zowel primaire als ondersteunende processen, waaronder informatieveiligheid en privacy. Lijnmanagers begeleiden hun teamleiders bij het maken van afwegingen over acceptabele risico’s binnen werkprocessen. Deze teamleiders kennen de processen en te beschermen informatie het beste en zijn daardoor cruciaal in de uitvoering.
•
Teamleiders: teamleiders zijn verantwoordelijk voor de uitvoering van informatieveiligheids- en privacymaatregelen binnen hun afdeling. Specialistische functies zoals de CISO en FG ondersteunen en adviseren hierbij. Het lijnmanagement beoordeelt risico’s, stuurt op bewustzijn en spreekt medewerkers aan op onzorgvuldig gedrag.
•
Beveiligingsbeheerders (BB): binnen elk team wijst het lijnmanagement een BB aan die verantwoordelijk is voor de naleving van het informatiebeveiligingsbeleid binnen het toegewezen deelgebied. Deze functionaris voorkomt, detecteert en reageert op beveiligingsincidenten, voert interne controles uit en rapporteert aan de CIO en CISO.
Onderzoek datalek gemeente Midden-Delfland
•
49/59
Medewerkers: iedere medewerker is verantwoordelijk voor veilig omgaan met informatie, het melden van incidenten en het naleven van afspraken. Bewustwording, opleiding en training zijn cruciaal om deze risico’s te beperken.
•
Eenduidige Normatiek Single Information Audit (ENSIA)-coördinator: de ENSIAcoördinator is verantwoordelijk voor het tijdig en volledig afleggen van verantwoording over informatieveiligheid aan interne en externe partijen. Hij/zij bewaakt de voortgang van ENSIAprocessen, onderhoudt contact met domeinverantwoordelijken en externe instanties, en regelt de audit en rapportages. Deze rol vraagt om brede betrokkenheid binnen de organisatie.
Privacybeleid gemeente Midden-Delfland 2019 De gemeente Midden-Delfland heeft in 2019 een privacybeleid vastgesteld in lijn met de AVG en de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG). In het privacybeleid staan de afspraken over hoe medewerkers en ieder die voor of namens de gemeente werkzaamheden verricht omgaan met de taken en verplichtingen die de AVG meebrengt. Deze informatie is relevant voor het duiden van de interne processen voorafgaande de constatering van de (mogelijke) datalekken. In het document worden de volgende rollen omschreven die betrokken zijn bij de navolging van het privacybeleid: •
College van B&W: Het college van B&W is verantwoordelijk voor de verwerking van persoonsgegevens door of namens de gemeente.
•
FG: Het college van B&W benoemt een FG, zoals bedoeld in de AVG. De FG houdt toezicht op het privacy- en beveiligingsbeleid van de gemeente
•
Privacy Officer (PO): de FG wordt in zijn/haar werkzaamheden ondersteund door PO’s. De PO’s zijn het aanspreekpunt binnen de organisatie voor vragen over privacy en voeren overige werkzaamheden uit die niet tot het takenpakket van de FG behoren.
•
Privacy Ambassadeurs (PA): elk team benoemt een PA als aanspreekpunt voor de FG en coördinator
van
het
privacybeleid
binnen
het
team.
De
PA
organiseert
bewustwordingsactiviteiten, coördineert het onderzoek naar een datalek in zijn/haar team en adviseert over privacyvraagstukken en verwijst teamleden door naar de juiste personen binnen de organisatie. De PA krijgt ondersteuning van de afdelingsdirecteur en blijft via de FG, PO’s en CISO op de hoogte van relevante ontwikkelingen. Daarnaast wordt in het document het proces uiteengezet na de constatering van een datalek: •
Stap 1: de PO en de CISO beoordelen of het datalek meldenswaardig is, zoals bedoeld in de AVG. Indien nodig vraagt de PO hiervoor het advies van de FG;
•
Stap 2: indien het datalek meldenswaardig is, meldt de PO het datalek direct aan de nationale toezichthouder, de Autoriteit Persoonsgegevens. De PO stelt de FG hiervan onverwijld op de hoogte;
•
Stap 3: de afdelingsdirecteur van het betreffende team is verantwoordelijk voor de onverwijlde melding aan betrokkenen;
•
Stap 4: de CISO ziet er samen met de Chief Information Officer (CIO) op toe dat het datalek op adequate wijze wordt gedicht.
Proces afhandeling datalekken Binnen de gemeente Midden-Delfland is een document opgesteld voor alle medewerkers met daarin de te volgen processtappen bij een geconstateerde datalek. Deze informatie is relevant voor het duiden van de interne processen na de constatering van de (mogelijke) datalekken: •
Constatering: medewerkers die een potentieel datalek constateren, melden dit via de ServiceDesk.
Onderzoek datalek gemeente Midden-Delfland
•
50/59
Ontvangen en doorzetten door de ServiceDesk: het infomatiebeveiligingsteam ontvangt de melding en zet deze in TopDesk. Wanneer het een incident met persoonsgegevens betreft zet het informatiebeveiligingsteam het incident door aan de PO.
•
Beoordeling door de PO: De PO beoordeelt het datalek en bepaalt of direct maatregelen moeten worden getroffen om potentiële gevolgschade te voorkomen. Als dit het geval is, worden door de PO acties toegewezen. Vervolgens beoordeelt de PO de melding op een aantal criteria.
•
Melding aan de AP: wanneer de PO tot de conclusie komt dat er sprake is van een meldenswaardig datalek, doet de PO een (voorlopige) melding bij de AP.
•
Escalatie: indien sprake is van een ernstig datalek of een datalek dat bestuurlijke impact kan hebben, dan brengt de PO de FG en/of coördinator Juridische Zaken (JuZa) op de hoogte. Dit is afhankelijk van de aard van het datalek. Daarnaast kan de wethouder met privacy in zijn/haar portefeuille, de gemeentesecretaris, de CISO en contactpersoon Communicatie op de hoogte gebracht worden. Voor deze laatste personen, wordt eerst altijd contact opgenomen met de afdelingsdirecteur van JuZa.
•
Melding aan betrokkenen: wanneer de PO tot de conclusie komt dat het datalek gemeld moet worden aan de betrokkene(n), dan stelt hij de Teamleider van het team waar het datalek heeft plaatsgehad hiervan op de hoogte. Deze teamleider is verantwoordelijk voor het opstellen van het bericht aan de betrokkenen. Het bericht wordt ter goedkeuring voorgelegd aan de PO. In dit bericht worden in ieder geval de volgende zaken benoemd: o
de mededeling van de naam en de contactgegevens van de functionaris voor gegevensbescherming of een ander contactpunt waar meer informatie kan worden verkregen;
o
een beschrijving van de waarschijnlijke gevolgen van de inbreuk;
o
een beschrijving van de voorgestelde of uitgevoerde maatregelen om de inbreuk te beëindigen en, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen ervan (zie artikel 34 AVG en artikel 33a lid 5 Wpg).
•
Registratie en terugkoppeling: wanneer de melding definitief is en het bericht aan de betrokkenen is geschreven, beschrijft de PO het datalek in het logboek datalekken. Wanneer het datalek veel werk heeft meegebracht voor verschillende medewerkers plant de PO een evaluatiemoment in om leerpunten voor het proces te bespreken. Binnen deze evaluatie wordt ook besproken of over het datalek intern gepubliceerd wordt ten behoeve van bewustwording binnen de organisatie.
1.3 Samenwerking binnen de gemeente en de omgeving Een deel van de onderzoeksvragen gaat over het de samenwerking tussen raad, college en ambtelijke organisatie en hoe de gemeente geacteerd heeft met de omgeving (zorgplicht). In het kader van het algehele onderzoek zijn de volgende zaken relevant.
Informeren raad Relevant is dat de raad in de gelegenheid te stellen zijn kaderstellende en controlerende rol waar te maken. Hiervoor is de actieve informatieplicht sinds maart 2002 in de Gemeentewet opgenomen (art. 169 juncto art. 180 Gemeentewet). De collegeleden dienen alle informatie te verschaffen die de raad voor de uitoefening van zijn taak nodig heeft. Hiervoor hanteren wij de volgende randvoorwaardelijke criteria: •
Het college maakt expliciet hoe het de informatieplicht naar de raad vervult.
•
De informatie is toegankelijk (dat wil zeggen: goed vindbaar) voor de raad. Bij eventuele geheime informatie wordt dit duidelijk aangegeven en toegelicht.
Onderzoek datalek gemeente Midden-Delfland
51/59
Voor een duiding van het informeren van de raad hanteren wij doorgaans de volgende criteria: •
Tijdig: de informatie is op een dusdanig moment aangereikt, dat de raad de informatie kan gebruiken voor het vervullen van zijn rollen. Raadsleden hebben voldoende tijd om te overleggen met de fractie.
•
Volledig: De informatie is zo actueel en compleet mogelijk. Er is voor de raad geen informatie, welke noodzakelijk is voor de besluitvorming, achterwege gebleven. Er wordt niet bewust en/of opzettelijk beperkte informatie verstrekt.
•
Duidelijk: De informatie is niet op verschillende manieren te interpreteren en in de tijd navolgbaar. Complexe informatie wordt voorzien van een heldere uitleg en toelichting. Definities en berekeningen zijn eenduidig en navolgbaar. Er wordt niet bewust/opzettelijk ongrijpbare of te veel informatie met de raad gedeeld.
Ambtelijk/bestuurlijke samenwerking Het gaat hierbij om de samenwerking binnen het college, tussen college en ambtelijke organisatie en tussen ambtelijke organisatie/college en de betrokken inwoners. Voor een duiding van de bestuurlijke/ambtelijke samenwerking hanteren wij doorgaans de volgende criteria: •
Een duidelijke verdeling van rollen en verantwoordelijkheden.
•
Een goede rolinvulling en rol vastheid.
•
Een duidelijk verdeling van taken en activiteiten zowel inhoudelijk als procesmatig.
•
Een goede onderlinge omgang.
•
Politiek-bestuurlijke sensitiviteit.
•
Omgevingssensitiviteit.
Onderzoek datalek gemeente Midden-Delfland
52/59
Bijlage 2. Feitenrelaas In dit feitenrelaas geven wij een gedetailleerd overzicht van de feiten en omstandigheden rond de (mogelijke) datalekken. Dit wordt gedaan per casus. Casus I – datalek bezwaar AZC Datum
Gebeurtenis
November 2023 30 november
Nadat eerder op 25 oktober 2023 door de gemeenteraad is besloten dat vanuit het college maandelijks een raadsinformatiebrief (RIB) gestuurd wordt met daarin de voortgang van alle zaken in het AZC dossier, volgt op deze dag de eerste RIB.
December 2024 18 december
Het COA dient een aanvraag in bij de gemeente Midden-Delfland voor een omgevingsvergunning voor de realisatie van een tijdelijke asielopvanglocatie in Den Hoorn.
Februari 2025 12 februari
Het college van burgemeester en wethouders (B&W) heeft een omgevingsvergunning verleend aan het COA.
Maart 2025 25 maart
Het college verstuurt een RIB met updates over het AZC dossier.
26 maart
De deadline voor het indienen van bezwaar tegen het collegebesluit, om een omgevingsvergunning aan het COA te verstrekken, sluit vandaag.
April 2025 27 april
Er zijn vragen van de fractie Mijn Partij schriftelijk beantwoord door het college over de uitgebleven raadsinformatiebrief, de realisatie van het AZC en de betaling van het COA.
Mei 2025 22 mei
Het college stuurt een RIB over de voorgang van de realisatie van het AZC en de ontvangen bezwaarschriften. In de brief is opgenomen dat de behandeling van deze bezwaarschiften geen opschortende werking heeft voor de verleende vergunning en de daaruit voortkomende werkzaamheden.
27 mei
Er is een hoorzitting door de bezwaarschriftencommissie georganiseerd waarin bezwaarmakers hun bezwaarschrift mondeling kunnen toelichten. Bezwaarmakers zijn op voorhand hiervoor uitgenodigd.
Juni 2025 23 juni
Er is een advies uitgebracht door de bezwaarschriftencommissie inzake de bezwaren tegen de verleende omgevingsvergunning. In het advies wordt onder andere omschreven dat de verleende omgevingsgunning (deels) herzien moet worden conform het advies van de commissie.
24 juni
Het college heeft een bericht geplaatst op de gemeentelijke website over start van de voorbereidende werkzaamheden voor de bouw van het AZC door het COA, namelijk 27 juni 2025.
24 juni
Het COA heeft bekend gemaakt dat op 27 juni 2025 een aanvang wordt gemaakt met bouwwerkzaamheden.
29 juni
Fractie VVD dient vragen in naar aanleiding van de berichtgeving van het COA over de start van de bouwwerkzaamheden. Zo wordt onder andere de vraag gesteld of
Onderzoek datalek gemeente Midden-Delfland
53/59
het college en het COA begrip hebben voor “de gevoelens van alle inwoners die bezwaar hebben ingediend tegen de omgevingsvergunning?” 30 juni 08:46
Omroep West publiceert nieuwsartikel over de plannen voor het AZC: Bouw nieuw asielzoekerscentrum begonnen, buurtbewoners zeggen naar rechter te gaan Omroep West
Juli 2025 15 juli
De Wabo coördinator van de gemeente dient een collegevoorstel in. In het voorstel wordt het advies van de bezwaarschriftencommissie uiteengezet en advies gegeven over de uit te werken beslispunten in de beslissing op bezwaar (BOB) van het college.
22 juli
In de collegevergadering is besloten dat een RIB opgesteld wordt inzake de BOB. De gemeentesecretaris heeft tijdens de vergadering een conceptversie uitgewerkt van de brief. Het eerdere collegevoorstel is geüpdatet met daaraan de volgende toevoeging: “Op dit advies is 22 juli 2025 besloten. Komt 2 september op de agenda zodat het ook op de “verzamelbesluitlijst” van de recesperiode komt.”
24 juli
De vakafdeling, team Vergunningen, Toezicht en Handhaving (VTH), heeft via het team Documentaire Informatie Voorziening (DIV) de BOB aangeleverd in RX Mission. Team DIV heeft de BOB toegevoegd aan het centrale zaaksysteem. Gemeentesecretaris heeft de RIB uitgeprint en ondertekend. Daarna heeft de burgemeester de RIB ondertekend en is de brief fysiek aangekomen bij het team DIV. Team DIV heeft de RIB ingescand en naar het zaaksysteem ten behoeve van de griffier gestuurd.
24 juli 12:36
De gemeentesecretaris heeft om 12:36 uur de RIB en de volgende bijlagen naar de (plv.) griffier gemaild: Het advies van de bezwaarschriftencommissie; Vergunningenbesluit COA; Brief aan ontvankelijke groep bezwaarmakers; Brief aan niet ontvankelijke groep; Brief ontvankelijk en gegrond – vergunninghouder. In de mail geeft de gemeentesecretaris aan dat de RIB ondertekend, via DIV, naar de (plv.) griffier onderweg is.
28 juli 10:38
De (plv.) griffier krijgt een melding dat de RIB ondertekend klaar staat in het zaaksysteem. Bij het controleren van de stukken, merkt de griffier op dat bijlagen missen in het zaaksysteem. De (plv.) griffier heeft deze bijlagen zelf toegevoegd, omdat hij deze op 24 juli 2025 van de gemeentesecretaris heeft ontvangen. Deze stukken zijn vervolgens doorgezet naar iBabs.
28 juli 11:18
De RIB met de bijlagen is gepubliceerd in iBabs op Lijst A van de gemeenteraad voor de vergadering van 23 september.
29 juli 08:50
Op maandagavond 28 juli 2025 werd bekend dat de stukken nog niet gepubliceerd waren in de publieksportal bij raadsinformatiebrieven. Dit vergde een dubbele handeling vanuit de griffier in iBabs welke op dinsdagochtend 29 juli 2025 is hersteld. De raadsinformatiebrief met bijlagen is daarmee toegevoegd aan de gemeentelijke website onder de categorie raadsinformatiebrieven.
29 juli 12:52
Team Communicatie heeft een mail verstuurd aan de abonnees rondom het AZC dossier met daarin een update over het genomen besluit in het college op het advies van de bezwaarschriftencommissie. Daarin wordt verwezen naar de desbetreffende iBabs link.
29 juli 14:30
Team Communicatie ontvangt een reactie op de mail vanuit een bezwaarmaker. Deze persoon constateert dat in de iBabs link naar het advies van de bezwaarschriftencommissie de NAW-gegevens van alle bezwaarmakers openbaar zijn. Deze persoon benoemt direct dat het gaat om een datalek en uit zorgen. De PO en Directeur Bedrijfsvoering/loco-gemeentesecretaris worden via de mail op de hoogte gebracht van het datalek. De PO neemt contact op met de (plv.) griffier met het verzoek om bijlage 5 te verwijderen. De Directeur Bedrijfsvoering/locogemeentesecretaris en ambtenaar van het team Communicatie nemen contact op met de burgemeester.
Onderzoek datalek gemeente Midden-Delfland
54/59
29 juli 15:05
De griffier verwijdert bijlage 5 die de NAW-gegevens bevatten van de raadsagenda en bij de RIB.
29 juli 15:24
De griffier plaatst een geanonimiseerde versie van de bijlage bij de raadsagenda en RIB.
29 juli (circa) 16:00
De PO, de directeur Bedrijfsvoering, een ambtenaar van de afdeling Communicatie en de Functionaris Gegevensbescherming (FG) hebben besloten dat het datalek gemeld zal worden bij de Autoriteit Persoonsgegevens (AP).
29 juli
Die middag staat de burgemeester de regionale media Omroep West te woord en verschijnt een eerste nieuwsbericht op WOS: Midden-Delfland onthulde persoonsgegevens van bezwaarmakers | WOS
29 juli 19:42
Het college informeert de gemeenteraad en burgercommissieleden per mail over het datalek.
29 juli 19:52
Er is informatie geplaatst op de gemeentelijke website over het datalek.
30 juli 01:37
De PO meldt het datalek bij de AP.
30 juli 07:03
De loco-gemeentesecretaris reageert op de mail van de melder. In de mail staan de genomen stappen omschreven om het datalek op te lossen.
30 juli
Er is informatie geplaatst op het intranet over het datalek.
30 juli
Er is een brief opgesteld door het team Communicatie (met hulp van team VTH) aan betrokkenen over het datalek, met daarin informatie over wat er is gebeurd, wat de gemeente heeft gedaan en wat het datalek betekent voor de betrokkenen.
30 juli 15:20
Omroep West publiceert nieuwsbericht over het datalek: Blunder: gemeente publiceert persoonsgegevens van ruim 100 mensen die tegen komst asielzoekers waren - Omroep West
30 juli 19:42
Er volgt een mail vanuit de melder, waarin kritiek geuit wordt op bereikbaarheid van gemeente. Zo zou er na de constatering van het datalek niemand telefonisch bereikbaar zijn geweest. De vraag wordt gesteld wanneer de betrokkenen een persoonlijke brief ontvangen. Daarnaast wordt geëist dat een afschrift, met hoe de gemeenteraad is geïnformeerd over het datalek, binnen 5 dagen wordt gedeeld. In de mail van de bezwaarmaker wordt ook benoemd dat de gemeente structureel fouten heeft gemaakt rondom dit dossier. Daarbij worden twee andere situaties genoemd, namelijk de Sterappel-zaak en het lekken van de gegevens van de oudburgemeester naar aanleiding van een Woo-verzoek.
30 juli 22:33
De NOS publiceert nieuwsbericht over het datalek: Midden-Delfland publiceert per ongeluk persoonsgegevens van bezwaarmakers azc
31 juli
Initiële deadline voor het versturen van de BOB aan de bezwaarmakers en het COA. Donderdagavond is een brief aan huis bezorgd bij de betrokkenen bij het datalek.