De gemeente Zutphen heeft met een datalek te maken gekregen nadat er bij migratie van digitale documenten van een oud naar een nieuw systeem bestanden zijn vernietigd. Er is melding gedaan bij de Autoriteit Persoonsgegevens, zo laat het college van burgemeester en wethouders in een brief aan de gemeenteraad weten (pdf).

Zutphen is bezig met de migratie naar een nieuw Document Management Systeem (DMS). Tijdens het migreren van documenten is een deel hiervan in het proces vernietigd. Het gaat onder andere om omgevingsvergunningen, sloopmeldingen of grond verhuren. Het verlies van andere categorieën documenten is door de gemeente als minder belangrijk aangemerkt, omdat de documenten een tijdelijke bewaartermijn hebben in het kader van de Archiefwet of de informatie uit de documenten eenvoudig uit andere aanwezige bronnen te achterhalen is.

Inmiddels is duidelijk dat de documenten niet vanuit het oude DMS te herstellen zijn, omdat dit systeem en de inhoud ervan niet meer bestaan. Door middel van secundaire bronnen, zoals applicaties en netwerkschijven, is het toch mogelijk om het grootste deel van de documenten te herstellen, zo denkt het college. Voor een kleiner deel van de documenten is nog onduidelijk of dergelijk herstel mogelijk is. Dit zal waarschijnlijk over een aantal weken duidelijk worden. Daarna kan de gemeente zeggen in hoeverre het herstel volledig kan plaatsvinden.

De Functionaris Gegevensbescherming (FG) van de gemeente heeft het datalek gemeld bij de Autoriteit Persoonsgegevens. De gemeente heeft naar eigen zeggen nog geen reactie van de privacytoezichthouder ontvangen. "Formeel is er sprake van een datalek. Het is hierbij echter goed om te realiseren dat er geen data op straat liggen. De documenten zijn immers vernietigd", aldus het college. Het daadwerkelijke herstel van de documenten kan pas plaatsvinden als de migratie naar het nieuwe DMS voltooid is. Dat zou begin 2023 moeten zijn.

"Bij een datalek gaat het om ongeoorloofde of onbedoelde toegang tot persoonsgegevens. Maar ook om het ongewenst vernietigen, verliezen, wijzigen en verstrekken van persoonsgegevens. Ook hierdoor kunnen de betrokken personen namelijk schade leiden", zo stelt de Autoriteit Persoonsgegevens.