Vragen van het lid Jager (CDA) aan de minister van Justitie over gegevens van gedetineerden (ingezonden 21 april 2010).

Antwoord van minister Hirsch Ballin (Justitie) (ontvangen 16 juli 2010). Zie ook Aanhangsel Handelingen, vergaderjaar 2009–2010, nr. 2464.

Vraag 1

Hebt u kennisgenomen van het bericht dat gegevens van gedetineerden op straat zijn komen te liggen?¹

Antwoord 1

Ja.

Vraag 2

Is dit bericht waar en zijn er sinds 2003 vanuit de gevangenis meer computers weggegeven?

Antwoord 2

Het is juist dat twee jongens op een dumpplaats voor computerapparatuur een computer met twee harde schijven hebben gevonden. Vastgesteld is dat één van de schijven defect was. De andere schijf is in gebruik geweest bij de penitentiaire inrichting De Berg te Arnhem. Deze harde schijf bevatte gegevens uit 2002, waaronder notulen van een psycho-medisch overleg, een registratiekaart, procedures, een plattegrond en foto’s van penitentiaire inrichting De Berg.

Ook na 2003 zijn door Justitie personal computers, die waren afgeschreven, ter beschikking gesteld aan scholen ter bevordering van het computeronderwijs. Uiteraard was en is hierbij wel de voorwaarde dat eventueel aanwezige gegevensdragers dienen te zijn geschoond. Bij de betreffende computer is dit helaas niet afdoende gebeurd.

Vraag 3

Geldt bij het weggeven of afdanken van computers een bepaald protocol voor het wissen van vertrouwelijke gegevens en is dat bekend bij het personeel?

Antwoord 3

Zoals in het antwoord op vraag 2 is aangegeven dienen gegevensdragers van of af te danken computers afdoende te zijn geschoond. De wijze waarop dit dient te gebeuren is uitgewerkt in een protocol dat is gebaseerd op een voorschrift uit het Handboek «beveiliging Ministerie van Justitie». Het betreffende voorschrift luidt: «Personal computers, laptops e.d., waarop enig gerubriceerd gegeven kan zijn verwerkt, worden pas naar Domeinen of een particulier (bedrijf) afgestoten als de harde schijven eruit zijn verwijderd of de harde schijven zijn gewist met een door de Beveiligingsambtenaar van Justitie goedgekeurd product en volgens een door hem goedgekeurde procedure. De verwijderde harde schijven worden langs mechanische weg vernietigd of onbruikbaar gemaakt, bijvoorbeeld door samenpersen of bewerken met hamerslagen.»

Het protocol is aan alle informatiebeveiligingsfunctionarissen van DJI verstrekt.

Het bovengenoemde handboek en het DJI basispakket informatiebeveiliging waarin onder meer het beheer en de afvoer van personal computers en andere gegevensdragers voor de DJI-organisatie nader is uitgewerkt, is voor alle medewerkers digitaal beschikbaar. Verder wordt in diverse functionele overleggen regelmatig aandacht besteed aan informatiebeveiligingsonderwerpen, waaronder de veilige afvoer van ICT-middelen. Met de instelling in 2008 van een Shared Service Center voor ICT (SSC-I) geschiedt de afvoer van personal computers voor geheel DJI centraal vanuit dit SSC-I.

Vraag 4

Vindt er nader onderzoek plaats hoe dit heeft kunnen gebeuren en wie daarvoor verantwoordelijk is?

Antwoord 4

Er heeft een forensisch onderzoek plaatsgevonden van de harde schijf. De uitkomsten van dit interne onderzoek zijn bevestigd door een extern bureau. Uit het onderzoek blijkt dat de schijf begin 2003 voor het laatst is gebruikt.

Aangezien de penitentiaire inrichting De Berg niet beschikt over gegevens met betrekking tot personal computers die aan scholen zijn verstrekt, kan niet worden achterhaald aan welke school de betrokken personal computer ter beschikking is gesteld.

De directeur van een penitentiaire inrichting is verantwoordelijk voor het veiligheidsbeleid binnen zijn inrichting en dus ook voor het op een afdoende wijze wissen van gegevens op gegevensdragers die worden afgestoten.

Vraag 5

Ziet u reden tot aanscherping van het bestaand Justitiebeleid in de omgang met vertrouwelijke gegevens op (oud-)computers?

Antwoord 5

Ik zie geen aanleiding om het huidige Justitiebeleid in de omgang met vertrouwelijke gegevens te wijzigen. De vondst van de door de penitentiaire inrichting afgestoten personal computer bevestigt wel hoe belangrijk het is dat er op dit punt goede procedures zijn en dat daar de hand aan wordt gehouden. Op dit moment is er een bewustwordingscampagne op het gebied van informatiebeveiliging bij DJI gaande. Hierin krijgen ondermeer deze aspecten aandacht.

---

1 NOS Teletekst, 16 april 2010.