De Bilt – Op woensdag 7 april jl. is de gemeente De Bilt op de hoogte gesteld van een datalek in een verkeerscontrolesysteem door een onderzoeksjournalist van het radioprogramma Argos. Het verkeerscontrolesysteem was geplaatst in de Korssesteeg in Westbroek om het sluipverkeer tussen bepaalde uren tegen te gaan en was door de gemeente uitbesteed aan een externe partij. De overeengekomen veiligheids- en privacyvoorschriften en afspraken over de bewaartermijnen zijn door de externe partij geschonden.
Welke gegevens betrof het datalek?
Het datalek betrof een bestand met beelden afkomstig van verkeerscamera’s op verschillende locaties in het land, waaronder de spitscamera tegen sluipverkeer aan de Korssesteeg in Westbroek.
Het fotobestand was zonder autorisatie toegankelijk via een webserver. Dat is een inbreuk op de beveiliging. In het bestand waren duizenden unieke beelden opgeslagen afkomstig uit de periode 2017 tot en met 2021 uit verschillende gemeenten waaronder uit Westbroek. De wettelijke gebruikstermijn werd daarmee overschreden. Het bestand had niet toegankelijk mogen zijn zonder autorisatie. Daarnaast hadden de beelden ook niet zo lang bewaard mogen worden.
Wat is het risico voor kentekenhouders?
Op de beelden zijn kentekens, locaties en tijdstippen te zien van voertuigen die de Korssesteeg in Westbroek passeren. Kentekens worden gekwalificeerd als persoonsgegevens volgens de Europese Algemene verordening gegevensbescherming (AVG) voor degenen die toegang hebben tot het kentekenregister. Het privacy risico voor de kentekenhouders is beperkt.
Wie is verantwoordelijk voor het datalek?
Volgens de AVG is de gemeente verantwoordelijk voor de verwerking van persoonsgegevens voor de handhaving van het sluipverkeer aan de Korssesteeg. De gemeente heeft met de leverancier van de verkeerscamera afspraken gemaakt over het gebruik van de persoonsgegevens. De afspraken zijn vastgelegd in een verwerkersovereenkomst en omvatten onder meer de verplichting dat de leverancier de informatiebeveiliging volgens de norm ISO 27001 inricht. Het datalek is strijdig met deze ISO-norm en een inbreuk op de AVG. De leverancier geeft aan dat het datalek is veroorzaakt door een instellingsfout.
Herstelmaatregelen
De leverancier heeft op direct op 7 april 2021 een einde gemaakt aan het datalek door het toepassen van adequate beveiligingsinstellingen. De gemeente doet een dringend verzoek aan de leverancier om alle foto’s ná de wettelijke gebruikstermijn te vernietigen.
“Vooraf duidelijke afspraken gemaakt”
Ook verantwoordelijk wethouder Landwehr is niet te spreken over de gang van zaken bij de leverancier van het verkeerscontrolesysteem. André Landwehr: “We zijn enorm teleurgesteld in de betrouwbaarheid van het verkeerscontrolesysteem van onze leverancier. We hebben vooraf duidelijke afspraken gemaakt over de informatiebeveiliging en die afspraak is geschonden. Als gemeente staan we ervoor de privacy van onze inwoners of bezoekers aan de gemeente te beschermen. Dan is het een hard gelag als blijkt dat een ogenschijnlijk betrouwbare partner dit in zijn processen niet naleeft.”
Maatregelen ter voorkoming van herhaling
Indien de gemeente de overeenkomst met de leverancier voortzet zullen verscherpte controlemaatregelen en informatiebeveiligings-audits deel uit maken van de afspraken.
Melding bij de Autoriteit Persoonsgegevens
Hoewel het risico voor betrokkenen beperkt is hebben zowel de gemeente als de leverancier het beveiligingsincident gemeld bij de Autoriteit Persoonsgegevens.
Voorlopig geen handhaving
Het verkeerscontrolesysteem is op het moment buiten werking gesteld. Op het moment zal er daarom niet gehandhaafd worden op sluipverkeer via de verkeerscontrolesysteem.
Contactpunt
Heeft u vragen naar aanleiding van dit bericht? Dan kunt u contact met onze privacy officer
via f.mulder@debilt.nl
