Gegevens honderden kinderen leerlingenvervoer lagen maandenlang op straat

De gegevens van honderden Amersfoortse kinderen die gebruik maken van leerlingenvervoer, zijn op straat komen te liggen. Dat gebeurde in januari tijdens de inlichtingenfase van de aanbestedingsprocedure, toen op TenderNed een document met persoonlijke gegevens van leerlingen openbaar werd gemaakt. Het gaat hierbij om onder meer postcodes, huisnummers en welk soort vervoer de kinderen nodig hebben.

De persoonlijke gegevens hebben van 10 januari tot 20 augustus op straat gelegen, blijkt uit een brief van het gemeentebestuur van Amersfoort. Voor alleen Amersfoort gaat het om de gegevens van 384 kinderen, maar volgens het AD gaat het voor de hele regio Amersfoort om de gegevens van ruim duizend leerlingen.

“Het feit dat deze particuliere informatie publiekelijk was te raadplegen, betreuren wij”, schrijft het Amersfoortse gemeentebestuur in het collegebericht. “De veiligheid en privacy van onze inwoners zijn voor ons van het grootste belang. We begrijpen dat dit voor ouders en leerlingen verontrustend kan zijn en bieden onze oprechte excuses aan voor de ontstane situatie.”

Het college heeft na de ontdekking van het datalek direct maatregelen genomen om de toegang tot de persoonlijke gegevens te blokkeren. “We hebben er alles aan gedaan om verdere schade te voorkomen”, schrijft het gemeentebestuur. “Daarnaast hebben we het incident gemeld bij de Autoriteit Persoonsgegevens. Er is inmiddels een grondig onderzoek gestart om de oorzaak vast te stellen en om te zorgen dat dit in de toekomst niet meer kan gebeuren.”

Historische ritdata

Inschrijvende partijen dienen volgens de gemeente over historische ritdata te beschikken om hun verwachte kosten en prijs te kunnen berekenen. Hier zitten ook vertrouwelijke gegevens tussen, die mogelijk te herleiden zijn tot individuele personen. Daarom is in de aanbestedingsstukken opgenomen dat dergelijke informatie alleen beveiligd beschikbaar wordt gesteld na ondertekening van een geheimhoudingsverklaring.

“Tijdens de aanbestedingsprocedure is echter per ongeluk een excel-bestand op de openbare website van TenderNed terecht gekomen, met per gemeente de gegevens van leerlingen die gebruik maken of hebben gemaakt van leerlingenvervoer”, aldus het college.

Voor de regiogemeenten Baarn, Bunschoten, Leusden, Soest en Woudenberg gaat het hierbij om alleen de zes tekens van de postcode. Voor de gemeente Amersfoort zijn specifieke huisadressen gebruikt. “Deze combinatie van gegevens maakt ze herleidbaar tot individuen, wat betekent dat ze als persoonsgegevens moeten worden beschouwd.”

Bijzondere persoonsgegevens

Ook zijn in sommige gevallen bijzondere persoonsgegevens openbaar gemaakt. “Dit geldt bijvoorbeeld voor informatie over rolstoelvervoer of verwijzingen naar specifieke schoollocaties, zoals scholen voor kinderen met een visuele beperking.”

De gemeente heeft de ouders per brief over de situatie geïnformeerd. Als het interne onderzoek naar de oorzaak van het datalek is afgerond, worden er verbeterde veiligheidsmaatregelen ingevoerd. Verder wordt de situatie continu gemonitord en worden alle betrokkenen, indien nodig, op de hoogte gehouden.