Gemeenteraad bezorgd over datalekken

Vorige maand heeft D66 uitleg gevraagd aan het college over hoe het staat met de Meldplicht datalekken. Deze week ontvingen wij antwoord op de vragen, waaruit bleek dat er sinds de inwerkingtreding van de Meldplicht negen datalekken binnen de gemeente hebben plaatsgevonden. Dit leidde tot ophef binnen de gemeenteraad en het stellen van vervolgvragen door D66 en de SGP.

Meldplicht datalekken

Begin 2016 is de Meldplicht datalekken in werking getreden. Indien er gegevens over personen in handen vallen van derden die daar geen toegang toe zouden mogen hebben, zijn bedrijven en overheid verplicht het datalek te melden bij de Autoriteit Persoonsgegevens. Ook moet de persoon van wie de gegevens gelekt zijn in de regel worden geïnformeerd. In oktober bleek dat er in het eerste half jaar 300 datalekken door gemeenten gemeld zijn. Dat baarde de D66-fractie zorgen, aangezien ook in Apeldoorn de kans op schending van de privacy bij een dergelijk hoog aantal voor de hand ligt. Om die reden zijn er vragen over de Meldplicht gesteld.

Lekken Burgerservicenummers

Op 20 oktober jl. stond er, vooruitlopend op de beantwoording van de vragen van D66, een bericht over het feit dat er persoonsgegevens van de collegeleden ‘op straat’ zijn komen liggen. Het ging hier om het burgerservicenummer van de burgemeester, vier wethouders en een oud-wethouder van gemeente Apeldoorn. Al eerder bleek dat er persoonsgegevens over vergunninghouders gelekt waren. Het college beloofde beterschap, maar er deed zich een nieuw incident voor. Dit onderstreepte de zorg van D66.

Beantwoording

Uit het antwoord op de vragen dat D66 deze week ontving, bleek dat binnen gemeente Apeldoorn dit jaar in totaal negen datalekken hebben plaatsgevonden. Hiervan zijn er vijf gemeld bij de Autoriteit Persoonsgegevens. Een voorbeeld betreft dat het via de PC’s in de vergaderruimtes mogelijk was om een deel van de interne IT omgeving te benaderen, die personen toegang gaf tot bestanden waar zij geen toegang toe zouden mogen hebben.

Vervolgvragen

Ondanks de transparantie die er achteraf alsnog is geboden, verbaast het D66 dat de gemeente er in de meeste gevallen voor heeft gekozen het datalek niet te melden aan betrokkenen, omdat het risico voor de privacy niet groot zou zijn. Er ligt daar geen duidelijke argumentatie aan ten grondslag. Ook is D66 kritisch dat er nog geen audit heeft plaatsgevonden van de bedrijfsprocessen. Mede daarom stelden D66 en de SGP vervolgvragen. Hierin pleiten D66 en de SGP onder andere voor een intern meldpunt waarin medewerkers van de gemeente anoniem datalekken en onzorgvuldig gedrag op het gebied van privacy kunnen melden.