Schriftelijke vragen Datalek Amersfoort

Op 3 december 2024 heeft de gemeente een persbericht uitgedaan waarin omschreven staat dat er een datalek is geconstateerd bij de leverancier van de digitale afsprakensysteem. Dit persbericht heeft voor de fractie CDA Amersfoort aanleiding gegeven tot de volgende vragen:

1. Wat is het argument om het beeld van de gebeurtenis te reconstrueren? Is dit vooral bedoeld om zelf de tijdlijn en acties te kunnen constateren omdat de leverancier weinig tot geen informatie geeft?  
2. Welke rol heeft de leverancier hierin en welke feiten bestaan er waarom de communicatie tussen leverancier en gemeente moeizaam verliep? De portefeuillehouder geeft in de commissievergadering van 3 december aan dat op dit moment niet duidelijk is wie de BSN nummers heeft ingevuld die in de database terecht zijn gekomen. Dit impliceert dat er mogelijk ook andere toepassingen gekoppeld zijn aan deze database. Is dit correct? En zo ja, om welke reden zijn BSN nummers gevraagd bij het maken van afspraken?
3) Zie vraag 2: Welke andere toepassingen zijn dan gekoppeld aan deze database en zorgt dit er dan ook voor dat er wisselende retenties voor de data bestaat? Zie wederom vraag 2:
4) Zie wederom vraag 2: Als er geen andere toepassingen gekoppeld zijn aan de database waar de afsprakenmodule aan gekoppeld is, wat is dan de overweging voor de leverancier geweest om geen data-minimalisatie toe te passen?
5) Kan de portefeuillehouder aangeven welk retentiebeleid de leverancier hanteert?
6) Welke stappen zijn ondernomen om de veiligheid van het huidige systeem te waarborgen? Welke beveiligingsmaatregelen zijn nu geïmplementeerd om toekomstige datalekken, eventueel bij leveranciers, te voorkomen?
7) En hoe worden de beveiligingsmaatregelen van externe leveranciers gecontroleerd en verbeterd? Zijn deze leveranciers DORA en/of NIS2 en/of ISO27001 gecertificeerd?
8) Mochten er gevallen van misbruik van de gelekte gegevens gemeld worden, bent u voornemens om de inwoners deze mede te delen opdat zij opnieuw alert kunnen zijn?
9) Welke verdere stappen worden ondernomen in samenwerking met de AP om de gevolgen van het datalek te beperken? 

Arie den Ouden (CDA Amersfoort)