COMM Resultaten onderzoek datalekken

Datum

18 december 2025

Nummer

2026-01-

Datum commissievergadering

13 januari 2026

Datum raadvergadering

27 januari 2026

OPLEGGER Registratienummer Onderwerp

Resultaten extern onderzoek datalekken

Portefeuillehouder

F.I. Noordermeer – van Slageren (uitsluitend de college-brief) NB Raadsoplegger is procesgericht (opgesteld door de Griffie)

Uiterste behandeldatum (+reden) Eerdere besluitvorming

Samenvatting voorstel

26 augustus 2025: Motie “Win het vertrouwen terug door een extern onderzoek” 23 september 2025: Opdrachtformulering extern onderzoek Naar aanleiding van het datalek eind juli 2025 heeft de gemeenteraad besloten om een extern onderzoek te starten (raadsbesluit dd 26 augustus 2025 motie “Win het vertrouwen terug door een extern onderzoek”). In de vergadering 23 september 2025 heeft de raad besloten om bureau Berenschot opdracht te geven om nog twee casussen die verband houden met het AZC te onderzoeken. Het doel van het onderzoek is tweeledig: enerzijds om duidelijkheid te verkrijgen over het ontstaan van de vermeende datalekken en de stappen die door de ambtelijke organisatie en het college zijn ondernomen na ontdekking ervan; anderzijds om aanbevelingen te formuleren voor het verkleinen van het risico op soortgelijke incidenten in de toekomst. De raad wordt voorgesteld om: 1 in te stemmen met de constatering van de begeleidingsgroep dat het onderzoeksrapport voldoende duiding geeft aan de raadsuitspraak, gedaan per motie dd 26 augustus 2025 en nader vastgesteld bij raadsbesluit dd 23 september 2025; 2 met instemming kennis te nemen van de in het kader van het bestuurlijk wederhoor door het college gegeven reactie;

Bijlagen

3 het Presidium na de raadsverkiezingen te belasten met het formuleren van de uitgangspunten voor de documentenstroom vanuit het college aan de raad in de raadscyclus 2026-2030, met inachtneming van het bepaalde in artikel 169 van de Gemeentewet. Rapport Berenschot dd 3-12-2025 Brief college bestuurlijk wederhoor dd 16-12-2025

Advies commissie

Raadsbesluit

o Akkoord / o Niet akkoord opmerking:

A. de Vos griffier

F.I. Noordermeer – van Slageren voorzitter

2

Toelichting Naar aanleiding van het datalek eind juli 2025 heeft de gemeenteraad besloten om een extern onderzoek te starten (raadsbesluit dd 26 augustus 2025 motie “Win het vertrouwen terug door een extern onderzoek”). In de vergadering 23 september 2025 heeft de raad besloten om bureau Berenschot opdracht te geven om nog twee casussen die verband houden met het AZC te onderzoeken. Het doel van het onderzoek is tweeledig: enerzijds om duidelijkheid te verkrijgen over het ontstaan van de vermeende datalekken en de stappen die door de ambtelijke organisatie en het college zijn ondernomen na ontdekking ervan; anderzijds om aanbevelingen te formuleren voor het verkleinen van het risico op soortgelijke incidenten in de toekomst. Het onderzoeksbureau Berenschot beschrijft in hoofdstuk 3 de conclusie waarin de onderzoeksvragen worden beantwoord. Uit de drie casussen blijkt dat de gemeente Midden-Delfland over het algemeen een solide basis heeft voor privacy- en informatiebeveiligingsbeheer, maar dat verdere professionalisering en borging noodzakelijk is om dergelijke risico’s effectief te mitigeren. Op basis hiervan zijn de volgende aanbevelingen geformuleerd (blz 39/40): 1.

Uit het onderzoek blijkt dat voor enkele cruciale processen, waaronder de behandeling van Wooverzoeken en het opstellen en publiceren van een RIB, geen formeel vastgestelde en vastgelegde procedures of werkprocessen beschikbaar zijn. Het is aan te bevelen deze processen expliciet te definiëren, te formaliseren en organisatiebreed te borgen, zodat een uniforme en controleerbare werkwijze ontstaat. Wij bevelen aan in deze formele procedures duidelijk de bijbehorende rollen en verantwoordelijkheden te specificeren en tevens een verplicht vier-ogen-principe op te nemen, waarbij zowel de inhoud van het document als alle bijlagen (met specifieke aandacht voor de aanwezigheid van persoonsgegevens) voorafgaand aan publicatie of verstrekking door een tweede functionaris worden gecontroleerd. Daarbij dient expliciet het uitgangspunt te gelden dat zorgvuldigheid immer boven snelheid prevaleert. Wij adviseren deze nieuwe, maar ook de reeds bestaande, protocollen periodiek te evalueren op actualiteit, effectiviteit en werkbaarheid, conform de vereisten uit onder meer de AVG. 2.

De casus rond de RIB illustreert dat het gebruik van parallelle communicatielijnen (e-mail én zaaksysteem) kan leiden tot fouten, zeker wanneer documenten niet consistent in systemen beschikbaar zijn of wanneer meerdere systemen naast elkaar bestaan (zoals het algemene zaaksysteem en het zaaksysteem van team VTH: RX Mission). De gemeente kan hier een belangrijke slag maken door een strikte voorkeurskanaalstrategie te hanteren, het gebruik van e-mail voor het delen van persoonsgegevens te beperken en technische koppelingen tussen systemen te verbeteren of systemen te consolideren. Daarbij verdient het aanbeveling de gebruiksvriendelijkheid en praktische toepasbaarheid van het zaaksysteem te evalueren, in het bijzonder om na te gaan of dit systeem voldoende aansluit bij situaties waarin spoed en tijdsdruk een rol spelen. 3. Beperk het gebruik van bijlagen bij informatieverstrekking, waaronder bij het opstellen van een RIB. In lijn met het beginsel van dataminimalisatie dient de gemeente telkens kritisch te beoordelen welke informatie daadwerkelijk noodzakelijk is om het doel van de communicatie te bereiken. Het verdient aanbeveling de RIB zodanig op te stellen dat de benodigde informatie integraal en volledig in de tekst van de brief wordt opgenomen en bijlagen uitsluitend toe te voegen wanneer zij strikt noodzakelijk zijn voor de inhoudelijke duiding of besluitvorming.

Bij het toevoegen van bijlagen dient altijd een privacy- en noodzaakstoets uit te voeren. Persoonsgegevens mogen, op grond van artikel 5 AVG, immers slechts in die mate worden verwerkt en gedeeld die strikt noodzakelijk is voor het doel. Bij elke afzonderlijke casus dient de gemeente kritisch te beoordelen welke gegevens strikt noodzakelijk zijn voor het doel en hoe deze kunnen worden gedeeld, zodat zowel de zorgvuldigheid en transparantie uit relevante wetgeving, zoals de Awb en de Woo, als de privacyverplichtingen uit de AVG in voldoende mate worden gerespecteerd. 4. Uit het onderzoek blijkt dat in de twee bezwaarprocedures in de Sterappel-zaak en de AZC-casus verschillende keuzes zijn gemaakt ten aanzien van het delen of anonimiseren van NAW-gegevens van bezwaarmakers. Hoewel deze keuzes in beide casussen afzonderlijk verdedigbaar kunnen zijn, leidt het ontbreken van een proactieve motivatie en communicatie tot onduidelijkheid bij betrokkenen (zoals onder meer blijkt uit het nieuwjaarsartikel van 25 augustus 2025 in het AD) en creëert het een risico op negatieve beeldvorming over de zorgvuldigheid en gelijkmatigheid van gemeentelijke besluitvorming. Het verdient aanbeveling zoveel mogelijk een consistent beleid en werkwijze vast te leggen voor het omgaan met persoonsgegevens in 3

bezwaarprocedures. Indien wordt besloten hiervan af te wijken (binnen de gestelde wettelijke kaders), dan is het wenselijk dit duidelijk te motiveren en te communiceren aan de betrokkenen. BESTUURLIJK WEDERHOOR De aanbevelingen richten zich op de interne processen. Derhalve is het college in de gelegenheid gesteld om te reageren. Hiervan is gebruik gemaakt. Het college herkent de conclusies van het onderzoek en geeft aan dat de gedane aanbevelingen worden opgevolgd. Kortheidshalve wordt voor de inhoud verwezen naar de collegebrief dd. 16 december 2025. ADVIES / VOORSTEL 1 De begeleidingsgroep, bestaande uit de fractievoorzitters, heeft eind november vastgesteld dat het onderzoeksrapport voldoende duiding geeft aan de raadsuitspraak, gedaan per motie dd 26 augustus 2025 en nader vastgesteld bij raadsbesluit dd 23 september 2025. 2 De in het kader van het bestuurlijk wederhoor door het college gegeven reactie kan met instemming door de raad worden ontvangen. 3 Ten aanzien van het element “minder bijlagen” (paragraaf 3.4 Berenschot-onderzoek) stelt het college het volgende (citaat): Het beperken van het aantal bijlagen bij een RIB is een aanbeveling die tussen uw gemeenteraad en onze college in procesafspraken vastgelegd dienen te worden. Hieraan voorafgaand kun u als raad mogelijk bespreken wat u op dit punt van het college verlangt.

Wij werken graag mee deze aanbeveling in de praktijk nader uit te werken. In onze visie sluit dat goed aan bij de komende processen 'Griffie Fit' en 'Ontwikkelagenda' vanuit het Spiegeltraject. Opmerking Griffie: Het Presidium (overleg van fractievoorzitters) is bij uitstek het orgaan om zich te beraden over de uitgangspunten voor de documentenstroom qua informatievoorziening vanuit het college aan de raad. Qua planning is het logisch om dit na de raadsverkiezingen in het Presidium te bespreken, zodat het onderdeel kan zijn van de gewenste omgangsvormen tussen raad en college in de raadscyclus 20262030. Hierdoor kan ook de koppeling worden gelegd met de uitwerking van de lopende processen “Griffie Fit” en “Ontwikkelagenda vanuit het Spiegeltraject”, dat ook is voorzien na de komende gemeenteraadsverkiezingen. Bij de verdere oordeelsvorming door het Presidium is het van belang dat het wettelijk uitgangspunt, zoals beschreven in de Gemeentewet de basis zal zijn, luidende: Artikel 169 1 Het college en elk van zijn leden afzonderlijk zijn aan de raad verantwoording schuldig over het door het college gevoerde bestuur. 2 Zij geven de raad alle inlichtingen die de raad voor de uitoefening van zijn taak nodig acht. 3 Zij geven de raad mondeling of schriftelijk de door een of meer leden gevraagde inlichtingen, tenzij het verstrekken ervan in strijd is met het openbaar belang.

4