Klungelige doofpot-poging bij datalek in Amersfoort

Op 15 juni is het onderzoekrapport dat Verdonck Klooster & Associates(VKA) maakte over het datalek in de gemeente Amersfoort gepubliceerd. Het gaat daarbij om het versturen van een Excel-bestand met (jeugd)zorg-gegevens van rond de 1900 burgers per email naar een foutief emailadres. Het rapport laat tussen de regels door zien dat vanaf 28 januari, toen het bestand verstuurd werd, langdurig door diverse diensten binnen de gemeente gedacht is dat het probleem ondershands op te lossen was. Het duurde tot 7 april voor de gemeente het datalek meldde aan de Autoriteit Persoonsgegevens(AP). Dat gebeurde pas nadat de AP zelf de gemeente belde met de mededeling dat de foutieve ontvanger van de email de AP op de hoogte had gesteld van het datalek. Drie diensten van de gemeente de afdeling Sociale Wijkteams(SW), IT-Dienstverlening en Advies(IDTA) en Juridische Dienstverlening en advies(JDA) wisten in de tussentijd van het probleem, evenals de gemeentesecretaris. De verantwoordelijk wethouder Imming was al die tijd niet op de hoogte van het probleem.

Het bestand

Het verstuurde bestand was een Excel-file. De tabbladen waren voorzien van allerlei filters. Ook waren verborgen tabbladen aanwezig. Lang, zegt het rapport, hebben allen die bij de gemeente weet hadden van de foutieve verzending, gedacht dat het om data van ongeveer75 personen ging. Tot 7 april zou het bewuste bestand door alle betrokken ambtenaren niet opnieuw bekeken zijn. Pas na de melding aan de AP zou men bij nadere beschouwing van de EXCEL-file tot de ontdekking zijn gekomen dat er sprake was gegevens van 1900 personen die op verborgen tabbladen stonden. Toch moet er minimaal één persoon zijn die al die tijd geweten moet hebben dat het om zoveel data ging, namelijk de maker van het bestand. Als die zich niet gemeld heeft, dan maakt dat het hele gebeuren nog meer laakbaar.

Geen datalek?

Het blijkt dat de ambtenaren een heel vreemd idee van een datalek hadden. Men vond het, althans volgens het rapport, niet echt een datalek dat aan de AP gemeld had hoeven worden. Van 28 januari tot 7 april gaat men ervan uit dat het pas een datalek zou zijn als het bestand door de foutief geadresseerde geopend zou zijn. Die gedachte is ook niet getoetst bij specialisten op dat vlak. Iedere leek kan bedenken dat als een onversleuteld bestand verstuurd is naar een niet rechthebbende er sprake is van een datalek, ongeacht of het bestand nu geopend is of niet. Vroeg of laat wordt het onversleutelde bestand geopend.

 Gemeentesecretaris

Binnen twee uur na de foutieve verzending is de gemeentesecretaris ingelicht door de manager van de afdeling SW. De mail meldt de op dat moment bekend zijnde situatie en geeft aan dat er acties lopen om de gevolgen te beperken. In het rapport van VKA, op bladzijde 11 punt 2 staat dat geen “call to action” in de mail te lezen is. Dat zulks daar niet in stond verontschuldigt in genen dele de verdere lakse houding van de gemeentesecretaris. Zij is de eerste beleidsadviseur van het college van burgemeester en wethouders en had eigenstandig het college van B&W dienen in te lichten.

Ontvanger

Over de ontvanger van het Excel-bestand wordt gezegd dat email adres toebehoort aan iemand, met wie de medewerker die de email verstuurde in een eerdere rol als medewerker van het Sociale Wijkteam een zakelijke relatie had(pagina 9 punt 7). Het moet daarbij vrijwel zeker gaan om iemand met een professioneel hulpverleningsprofiel. Ik schreef op deze website al eerder over deze veronderstelling. Bij toezending aan een willekeurige burger zou al heel snel een krant of televisierubriek op de hoogte zijn gesteld van de gebeurtenis plus een beschrijving van de gevonden data plaatsgevonden hebben. Men kon er bij de gemeente blijkbaar van uitgaan dat de ontvanger sowieso prudent met het ontvangen bestand zou omgaan, bijv. omdat het iemand was die gebonden was aan een (eventueel medisch) beroepsgeheim en tuchtrecht. Het getouwtrek tussen de ambtenaren en de geadresseerde, zelfs met dreiging van een kort geding, en de gang van laatstgenoemde naar de AP op 7 april laat zien dat deze persoon de gemeente maximaal wilde laten zweten.

Doofpot

Het rapport van VKA laat bij nauwkeurige lezing zien dat de gemeente tot begin april geprobeerd heeft om ondershands tot een regeling met de geadresseerde te komen en zo publiciteit te ontlopen. Het niet ondernemen van enige actie richting het college van burgemeester en wethouders door de gemeentesecretaris als hoogste beleidsambtenaar is stuitend en getuigd van weinig realiteitszin. Geen advies vragen aan externe experts en het niet zelf melden aan de Autoriteit Persoonsgegevens door de leiding van de betrokken gemeentelijke diensten is onvergeeflijk. Nu ligt volkomen ten onrechte in het rapport de nadruk op het “per ongeluk” verkeerd inschatten van de definitie van een datalek. Het is een heel opzichtige manier om het eigen falen van gemeente onder het kleed te vegen.

Het leuke met doofpotten is wel, dat wat in de doofpot zit, gewoon verder kookt(Loesje).

W.J. Jongejan

22-06-2016. Reactie geeft aan dat de gemeentesecretaris een vrouw is. Hij in zij veranderd.