2 Jaarverslag 2023 en toezichtsplan 2024 van de functionaris gegevensbescherming

Gemeente Almelo

Raadsbrief ter informatie

Postadres: Gemeente Almelo Postbus 5100 7600 GC Almelo

Aan de raad van de gemeente Almelo Bijlage

Doorkiesnummer

Behandeld door W.S. Karperien

Datum 16 april 2024

Onderwerp Jaarverslag 2023 en toezichtsplan 2024 van de functionaris gegevensbescherming

Geachte leden van de raad, De functionaris gegevensbescherming heeft haar jaarverslag 2023 en toezichtsplan 2024 opgesteld. Deze twee documenten sturen wij als bijlage mee met deze raadsbrief. Onderstaand de hoofdlijnen het jaarverslag 2023 en het toezichtsplan 2024.

Jaarverslag 2023 Werken aan een stevige basis In 2023 is er aandacht geweest voor het (opnieuw) leggen van een stevige basis op het gebied van de bescherming van persoons- en politiegegevens. Er zijn meerdere beleidsstukken en procedures her/geschreven, om zodoende de organisatie duidelijke kaders te geven waarbinnen het kan opereren. Er is een start gemaakt met het in kaart brengen van alle verwerkingen, waarbij het register met verwerkingen van politiegegevens inmiddels compleet is. Ook is er veel werk verzet om aan de wettelijke normen voor het verwerken van politiegegevens te voldoen.

Doorlopende werkzaamheden Er zijn echter ook een aantal zaken waar de gemeente in 2023 niet aan toegekomen is. De gemeente Almelo loopt, ondanks de inspanningen in voorgaande jaren, achter met het uitvoeren van de wettelijk verplichte risico-analyses op verwerkingen met een hoog risico voor betrokkenen. De inhaalslag op deze achterstand moet zo snel mogelijk plaatsvinden. Ook is er te weinig inzet geweest op bewustzijnscampagnes op het gebied van privacy (en informatiebeveiliging). Het belang van dit soort campagnes is groot omdat het menselijk handelen het grootste risico op incidenten is. Onderstaand de aanbevelingen die de FG in haar jaarverslag heeft opgenomen. Aanbevelingen Beleid - Voer een gapanalyse uit op de beleidsstukken en zorg voor implementatie van de ontbrekende zaken. Processen - Borg dat de registers van verwerkingen ook na opzet actueel en juist blijven. - Zorg voor voldoende middelen om een inhaalslag met de DPIA’s te kunnen maken. Organisatie - Zorg voor een structureel bewustzijnscampagne - Zorg voor voldoende capaciteit binnen het Privacyteam Rechten van - Zorg voor capaciteit om het doorzoeken van systemen naar betrokkenen persoonsgegevens te automatiseren Pagina 1 van 3 Raad - 2408253

Beveiliging

-

Zorg voor voldoende middelen voor het uitvoeren van het verbeterplan - Zorg voor het opstellen van een datalekregister Samenwerking - Breng alle samenwerkingen in kaart en neem deze op in de registers van verwerkingen - Inventariseer en sluit alle verwerkersovereenkomsten af - Neem toezicht op samenwerkingsverbanden op in het toezichtsplan 2024 van de FG Verantwoording en - Blijf aandacht houden voor verdere implementatie van de Wpgaudits normen - Implementeer een AVG borgingsinstrument De aanbevelingen genoemd in het Jaarverslag 2023 zijn overgenomen en worden binnen de bestaande begroting uitgevoerd.

Toezichtsplan 2024 De stand van de organisatie in 2024 wordt gebruikt als nulmeting om van daaruit het ambitie-niveau en de bijbehorende consequenties voor de volgende jaren te laten vaststellen. Hieronder worden de belangrijkste thema’s uit het toezichtsplan benoemd. Onderwerp Methodiek/aanpak Focus 1 Verwerking van persoonsgegevens in het kader van Interview, Observatie, Q2 samenwerkingsverbanden Doc.onderzoek 2 Verantwoord gebruik algoritmes en Artificial Interview, Doc.onderzoek Q4 Intelligence 3 Toezicht op uitvoering van DPIA’s bij nieuwe Interview, Observatie Continu verwerkingen (m.n. bij project/ procesmanagement) Doc.onderzoek 4 Toezicht op doelbinding binnen AVG en Wpg Doc.onderzoek Q3 5 Controle op noodzakelijkheid en rechtmatigheid van Toetsing DPIA’s Q3 verwerkingen Interview, Observatie 6 Controle op vernietiging en rectificatie Interview, Doc.onderzoek Q4 politiegegevens 7 Toezicht op logging en controle van de logging Interview, Doc.onderzoek Q2, Q1 ‘25 8 Toezicht op planning en uitvoering van AVG en Wpg Interview, Observatie Q2, Q4 audits Doc.onderzoek 9 Toezicht op uitvoering rechten van betrokkenen Interview, Observatie Q2, Q1 ‘25 Doc.onderzoek 10 Toezicht afhandeling datalekken Observatie, Continu Doc.onderzoek 11 Toezicht op naleving van Wpg en AVG Interview, Observatie Continu Doc.onderzoek

Hoogachtend, Burgemeester en Wethouders van Almelo, de secretaris, de burgemeester,

J. Dijkstra

Pagina 2 van 3

M.M. van ’t Veld

Bijlagen:

Pagina 3 van 3

- Jaarverslag 2023 - Toezichtsplan 2024

Toezichtsplan Hier komt de2024 titel te eventueel over Vanstaan, de Functionaris Gegevensbescherming meerdere regels. Eventueel nog een onderregel.

Inleiding De Functionaris Gegevensbescherming (FG) houdt toezicht op en adviseert over naleving van de Algemene Verordening Gegevensbescherming (AVG), de Uitvoeringswet AVG (UAVG) en de Wet politiegegevens (Wpg). Ook fungeert de FG als contactpunt voor de externe toezichthouder, de Autoriteit Persoonsgegevens (AP) en als aanspreekpunt voor betrokkenen, waaronder inwoners en medewerkers. Dit plan beschrijft hoe de toezichthoudende taak van de FG in 2024 wordt ingevuld.

Taken en positie van de FG In de AVG en Wpg is een verwerkingsverantwoordelijke diegene of die partij die bepaalt met welk doel en met welke middelen persoonsgegevens verwerkt en beschermd worden. Alle bestuursorganen van de gemeente zijn zelf verwerkingsverantwoordelijke. Door de verwerkersverantwoordelijke worden management- en uitvoeringstaken gedelegeerd aan proceseigenaren, die op hun beurt verantwoordelijk zijn voor hoe dagdagelijks wordt omgegaan met persoonsgegevens. Een proceseigenaar gebruikt daarvoor middelen zoals beleid en systemen. De FG heeft een onafhankelijke positie binnen een organisatie en fungeert als intern toezichthouder, als verlengstuk van de AP. De FG rapporteert aan het hoogste bestuursorgaan en adviseert gevraagd en ongevraagd over de naleving van de AVG en Wpg. Hoewel deze adviezen formeel niet bindend zijn, gelden ze als zwaarwegend. Daarnaast moet de verwerkingsverantwoordelijke het advies inwinnen van de FG bij de uitvoering van risico analyses voor gegevensverwerkingen, de Data Protection Impact Assessments (DPIA’s). De FG adviseert over technische en organisatorische maatregelen om persoonsgegevens te beveiligen. Daarbij heeft de FG een aanjagende en informerende functie. De AVG schrijft voor dat bij een datalek de verwerkingsverantwoordelijke de FG dient te betrekken.

De FG toetst het besluit van de verwerkingsverantwoordelijke of een datalek al dan niet gemeld wordt bij de AP en de betrokkene(n). Het melden van een datalek valt onder de verantwoordelijkheid van de verwerkingsverantwoordelijke. De FG is ook bevoegd om zelfstandig een datalek te melden.

Methoden van toezichthouden Observatie De FG monitort datalekken: kwantitatief, oorzaken, gevolgen en procesmatige aspecten zoals doorlooptijden. Het doel is tweeledig: vaststellen van het compliance niveau van de organisatie en het identificeren van verbetermogelijkheden in beleid en procedures. Daarnaast worden verzoeken van inwoners in het kader van AVG rechten, zoals verzoeken tot dossierinzage, gemonitord. Observatie van de fysieke werkomgeving vindt plaats door middel van waarnemingsrondes. Daarbij wordt gekeken naar informatieveilig gedrag, zoals het locken van beeldschermen en het verwijderen van (bakjes met) gevoelige informatie van de bureaus na een werkdag.

Interviews en teamgesprekken In gesprekken met proceseigenaren en uitvoerend medewerkers worden mogelijke risico’s voor informatieveiligheid en knelpunten in de bedrijfsvoering geïnventariseerd. Tevens worden het niveau van awareness en de ondersteuningsbehoefte vanuit de organisatie verkend. Want naast het duiden van het privacy-volwassenheidsniveau van de organisatie, is het evenzo belangrijk dat collega’s zich gesteund voelen in het vinden van praktische oplossingen bij privacyrisico’s.

Pagina 2 van 4 Toezichtsplan 2024

Afwerken van standaard checklists Hiervoor worden onder meer onderstaande tools gebruikt, die samen een GAP analyse opleveren: - Borgingsproduct AVG 3.0 Toetsingskader (IBD), een inventarisatie van compliance op de AVG artikelen, tevens gehanteerd bij interne audits; - CIPP Self Assessment om de positie op de Privacy volwassenheidsladder vast te stellen en een overzicht te genereren van de AVG-terreinen waarop nog extra aandacht nodig is; - Checklist borging Wpg.

Documentatie onderzoek • • • • •

Steekproefsgewijs screenen van verwerkingsovereenkomsten en contracten met partijen die voor de Gemeente Almelo als verwerker optreden. Check op de correcte vastlegging van gegevensuitwisseling met partnerorganisaties en samenwerkingsverbanden, vanuit zowel AVG als Wpg. Steekproefsgewijs controleren van de rechtmatigheid van gegevensverwerkingen. Dat kan bijvoorbeeld door samen met een medewerker een proces te doorlopen. Vaststellen van uitvoering van beheersmaatregelen, zoals controle op logging, gebruik van beveiligd mailen, geheimhoudingsafspraken, et cetera. Analyse van relevante rapportages zoals de maandrapportages datalekken en AVG verzoeken, de Suwinet controles en (onderdelen uit) interne en externe audits.

Analyse, rapportage en advies De stand van de organisatie in 2024 wordt gebruikt als nulmeting om van daaruit het ambitieniveau en de bijbehorende consequenties voor de volgende jaren te laten vaststellen. Risico’s, afwijkingen en complexe casuïstiek worden door de FG zo snel mogelijk gecommuniceerd met de proceseigenaren. Over het globale beeld met betrekking tot compliance, incidenten en verzoeken wordt met een kwartaalrapportage gerapporteerd aan management en bestuur.

Uitgelichte thema’s in 2024 Onderwerp Verwerking van persoonsgegevens in het kader van samenwerkingsverbanden Verantwoord gebruik algoritmes en Artificial Intelligence Toezicht op uitvoering van DPIA’s bij nieuwe verwerkingen (m.n. bij project/ procesmanagement) Toezicht op doelbinding binnen AVG en Wpg Controle op noodzakelijkheid en rechtmatigheid van verwerkingen Controle op vernietiging en rectificatie politiegegevens Toezicht op logging en controle van de logging

Methodiek/aanpak Interview, Observatie, Doc.onderzoek Interview, Doc.onderzoek Interview, Observatie Doc.onderzoek Doc.onderzoek Toetsing DPIA’s Interview, Observatie Interview, Doc.onderzoek Interview, Doc.onderzoek

9

Toezicht op planning en uitvoering van AVG en Wpg audits Toezicht op uitvoering rechten van betrokkenen

10 11

Toezicht afhandeling datalekken Toezicht op naleving van Wpg en AVG

Interview, Observatie Doc.onderzoek Interview, Observatie Doc.onderzoek Observatie, Doc.onderzoek Interview, Observatie Doc.onderzoek

1 2 3 4 5 6 7 8

Pagina 3 van 4 Toezichtsplan 2024

Focus Q2 Q4 Continu Q3 Q3 Q4 Q2, Q1 ‘25 Q2, Q4 Q2, Q1 ‘25 Continu Continu

Pro memori (vanaf 2025) Voor een aantal onderwerpen is actief toezicht nog niet haalbaar. Het is bijvoorbeeld niet realistisch om te rapporteren over het effect van privacy bewustzijnstrainingen, omdat een doelgroepgericht awareness programma op de rol staat voor 2025. Ook wordt op dit moment het register van verwerkingsactiviteiten nader ingericht. Aan de hand van de daaruit geïdentificeerde risico’s wordt beoordeeld welke DPIA’s uitgevoerd moeten worden. Met die risicogestuurde prioritering wordt de organisatie in staat gesteld om meer regie te voeren. Voor nieuwe verwerkingen en projecten worden overigens, conform wettelijke verplichting, wel DPIA’s uitgevoerd. Gedurende het jaar 2024 wordt aan het eind van ieder kwartaal de voortgang op deze onderwerpen gemonitord, bijzonderheden worden gemeld in de kwartaalrapportage van de FG.

Pagina 4 van 4 Toezichtsplan 2024

Jaarverslag Hier komt de2023 titel van te de Functionaris staan, eventueel over meerdere regels. Gegevensbescherming Eventueel nog een onderregel.

Inhoud INLEIDING EN LEESWIJZER

3

MANAGEMENTSAMENVATTING

4

TERUGBLIK 2023

5

1.

Beleid Aanbevelingen

5 5

2.

Processen Aanbevelingen

5 5

3.

Organisatie Aanbevelingen

6 6

4.

Rechten van betrokkenen Aanbevelingen

6 6

5.

Beveiliging Aanbevelingen

67 7

6.

Samenwerking Aanbevelingen

7 7

7.

Verantwoording en audits Aanbevelingen

7 8

EINDWOORD

8

BIJLAGE 1: AANBEVELINGEN

9

Pagina 2 van 9 Jaarverslag 2023 van de FG

Inleiding en leeswijzer De gemeente Almelo verwerkt bij de uitvoering van haar taken vele (gevoelige) gegevens van veel (kwetsbare) inwoners binnen de verschillende domeinen, maar ook van haar medewerkers, burgers uit andere gemeenten en externen. Met de komst van de Algemene Verordening Gegevensbescherming (AVG) en de Wet politiegegevens (Wpg), zijn er wettelijke kaders of instructies beschreven waar de verwerkingen van persoons- en politiegegevens aan moeten voldoen. De implementatie van deze kaders, maar ook het kunnen aantonen daarvan, vraagt veel van de organisatie. Een van de wettelijke vereisten is het aanstellen van een Functionaris Gegevensbescherming (FG). De FG adviseert over en houdt toezicht op het naleven van de vereisten uit de AVG en Wpg. In dit jaarverslag breng ik verslag uit van de verrichte werkzaamheden in 2023 om te voldoen aan de AVG en de Wpg en geef ik u mijn bevindingen en aanbevelingen. Het jaarverslag is opgedeeld in een managementsamenvatting, een terugblik op 2023 uitgesplitst in 7 verschillende thema’s en een eindwoord. In de uitwerking per thema geef ik ook mijn aanbevelingen. De 7 verschillende thema’s zijn: 1. 2. 3. 4. 5. 6. 7.

Beleid Processen Organisatie Rechten van betrokkenen Beveiliging Samenwerking Verantwoording en audits

Afsluitend zijn de genoemde aanbevelingen opgenomen in bijlage 1.

Pagina 3 van 9 Jaarverslag 2023 van de FG

Managementsamenvatting Organisatie

In 2023 is er aandacht geweest voor het (opnieuw) leggen van een stevige basis op het gebied van de bescherming van persoons- en politiegegevens. Door te weinig capaciteit en het hebben van prioriteit bij het draaiende houden van de organisatie, is er in voorgaande jaren te weinig ruimte geweest voor het onderhoud en verdere implementatie van deze basis. In 2023 is het privacyteam daarom uitgebreid met extra capaciteit, waarbij er een duidelijke scheiding is aangebracht binnen de functies van Privacy Officer en Functionaris Gegevensbescherming. Daar waar in de eerste helft nog veel werkzaamheden door externe medewerkers weren uitgevoerd, staat er eind 2023 een team van interne medewerkers.

Werkzaamheden

In 2023 zijn er meerdere beleidsstukken en procedures her-/geschreven, om zodoende de organisatie duidelijke kaders te geven waarbinnen het kan opereren. Er is een start gemaakt met het in kaart brengen van alle verwerkingen, waarbij het register met verwerkingen van politiegegevens inmiddels compleet is.Ook is er veel werk verzet om aan de wettelijke normen voor het verwerken van politiegegevens te voldoen. Er zijn echter ook een aantal zaken waar de gemeente in 2023 niet aan toegekomen is. De gemeente Almelo loopt achter met het uitvoeren van de wettelijk verplichte risico-analyses op verwerkingen met een hoog risico voor betrokkenen. De inhaalslag op deze achterstand moet zo snel mogelijk plaatsvinden. Ook zijn er amper bewustzijnscampagnes op het gebied van privacy (en informatiebeveiliging) uitgevoerd; het belang van dit soort campagnes is groot omdat het menselijk handelen het grootste risico op incidenten is.

Risicovolle dossiers

Vanuit mijn rol als Functionaris Gegevensbescherming heb ik in 2023 mijn zorgen geuit en geadviseerd over 2 dossiers betreffende samenwerkingen. Ik wil de gemeente Almelo graag adviseren om meer zicht en grip te krijgen op de vele samenwerking(sverband)en waar gemeente Almelo bij betrokken is.

Pagina 4 van 9 Jaarverslag 2023 van de FG

Terugblik 2023 1. Beleid In 2023 is veel werk verzet in het opstellen of actualiseren van verschillende beleidsstukken op het gebied van de AVG en Wpg. Zo is er een nieuw overkoepelend privacybeleid opgesteld, een operationeel beleid Wpg en een tactisch informatiebeveiligingsbeleid. Daarnaast zijn er meerdere procedures en werkinstructies uitgeschreven, bijvoorbeeld procedures voor de afhandeling van AVG-verzoeken, het uitvoeren van Data Protection Impact Assessments (DPIA’s) en werkinstructies hoe om te gaan met politiegegevens. Dit geeft de organisatie handvatten in de omgang met gevoelige gegevens. Maar het brengt de organisatie ook naar een hoger volwassenheidsniveau doordat uniformer en daarmee efficiënter gewerkt kan worden. Aanbevelingen Met de nieuwe beleidsstukken (opzet), is het aan te raden om in 2024 een gapanalyse uit te voeren om zodoende te achterhalen welke zaken nog geïmplementeerd moeten worden om de realiteit dichter bij de gewenste situatie te brengen (bestaan en werking).

2. Processen Verwerkingen van persoons-/ of politiegegevens dienen te voldoen aan de AVG of Wpg. Een belangrijk handvat hierbij is het (wettelijk verplichte) register van verwerkingen. Begin 2023 is gebleken dat het huidige register niet volledig, actueel en/of juist was. Hierop volgend is het register van verwerkingen onder de Wpg opgesteld. Ook is een plan van aanpak gemaakt voor het actualiseren en completeren van het register van verwekingen onder de AVG. In 2024 zal dit plan uitgevoerd worden. Op verwerkingen met een hoog risico voor betrokkenen moet een risico-analyse, de DPIA uitgevoerd worden, vóór aanvang van de verwerking. Helaas is geconstateerd dat er een achterstand is in de uitgevoerde DPIA’s. In 2023 is een procesbeschrijving opgesteld voor het uitvoeren van een DPIA en is er gestart met het ontwerp van een format voor de DPIA (oplevering in Q1 2024). Ook is er een presentatie gemaakt om dit proces en het belang aan alle stakeholders uit te leggen. Het informeren van de organisatie start in de eerste helft van 2024. Aanbevelingen In het plan van aanpak staan ook adviezen over de borging van de registers van verwerkingen. Houdt de aandacht op deze adviezen, zodat de gemeente niet alleen in 2024 actuele en juiste registers hebben, maar ook in de daaropvolgende jaren.

De verantwoordelijkheid van het uitvoeren van DPIA’s ligt bij de procesverantwoordelijken); de Privacy Officers kunnen hierbij ondersteunen. Pagina 5 van 9 Jaarverslag 2023 van de FG

Zorg dat in 2024 de verantwoordelijken voldoende middelen vrijmaken om een inhaalslag op de DPIA’s te kunnen maken.

3. Organisatie Begin 2023 vertrok de interne Privacy Officer en tevens waarnemend FG bij de gemeente Almelo. De positie van Privacy Officer is in 2023 met 1,5 fte ingevuld met vaste medewerkers. Daarnaast zijn er verschillende opdrachten op het gebied van privacy en politiegegevens door externe medewerkers uitgevoerd. Er is een duidelijke scheiding tussen Privacy Officer en FG aangebracht; de positie van FG is in 2023 extern vervuld. Eind 2023 is een geschikte kandidaat gevonden om de positie van FG in 2024 intern te gaan vervullen. In 2023 zijn er amper tot geen bewustzijnscampagnes uitgevoerd op het gebied van Privacy en Informatiebeveiliging. Het belang om hier verandering in te brengen is groot; de grootste risicofactor op deze gebieden is het menselijk handelen. Aanbevelingen Zorg voor een structureel bewustzijnscampagne en stel hier voldoende middelen voor beschikbaar. Zorg voor voldoende capaciteit binnen het Privacy Officers team; 1,5 fte is niet genoeg voor een organisatie als gemeente Almelo. Dit kan tijdelijk opgevuld worden met externe opdrachten. Zodra de basis op het gewenste volwassenheidsniveau is, evalueer en bepaal het aantal gewenste Privacy Officer fte.

4. Rechten van betrokkenen Betrokkenen hebben onder de AVG en Wpg recht om zowel actief als passief geïnformeerd te worden over de verwerking van hun gegevens. Eind 2023 is daarom gestart met het actualiseren van de privacyverklaring op de website. Ook zijn er een nieuwe procedures opgesteld die voorzien in de afhandeling van inzage- en verwijderingsverzoeken van betrokkenen. Het is gebleken dat er veel tijd kwijt gaat aan het handmatig doorzoeken van de systemen voor het ophalen van de informatie bij dergelijke verzoeken. Hierdoor zijn in meerdere gevallen de verzoeken niet binnen de wettelijke termijnen afgehandeld. In 2023 is gekeken of het doorzoeken van de systemen geautomatiseerd kon worden. Dit onderzoek is voortijdig gestopt vanwege onvoldoende capaciteit en/of prioriteit. Aanbevelingen Zorg voor voldoende (juiste) capaciteit om het doorzoeken van de systemen te automatiseren en daarmee de wettelijke termijnen te waarborgen.

5. Beveiliging Pagina 6 van 9 Jaarverslag 2023 van de FG

In 2023 is er een verbeterplan op het gebied van informatiebeveiliging opgesteld. Hierin zijn onder andere de verbeterpunten uit de Wpg-audit opgenomen. Ook is er een nieuwe procedure opgesteld en geïmplementeerd voor de afhandeling van beveiligingsincidenten, waaronder datalekken. Datalekken en de afhandeling daarvan worden centraal geregistreerd. Er is echter, vanwege andere prioriteiten, nog geen (wettelijk verplicht) datalekregister. Aanbevelingen Zorg voor voldoende middelen voor het uitvoeren van het verbeterplan. Zorg voor het opstellen van het datalekregister.

6. Samenwerking In 2023 zijn er twee dossiers betreffende samenwerkingen in Twente geweest waar een aantal FG’s gezamenlijk hun zorgen over hebben geuit aan de verschillende bestuursorganen. Dit betroffen zorgen over zowel de inhoud (processen/techniek) als over governance (het beleggen van rollen en verantwoordelijkheden). Binnen de gemeente Almelo is gebleken dat er te weinig zicht is op de vele samenwerkingen, zowel met andere gemeenten en verwante partijen zoals politie en hulpverleners, als met dienstverleners. Aanbevelingen Breng in kaart alle verschillende samenwerkingen en neem deze op in het register van verwerkingen. Inventariseer of alle benodigde verwerkersovereenkomsten aanwezig en actueel zijn. Zo niet, sluit deze (opnieuw) af. Neem het toezicht houden op de samenwerkingen met de hoogste risico’s voor betrokkenen op in het toezichtsplan 2024 van de FG.

7. Verantwoording en audits Eind 2022 heeft de wettelijk verplicht Wpg-audit plaatsgevonden. Uit het rapport bleek dat de gemeente Almelo voor het overgrote deel niet voldeed aan de normen. In 2023 is er een verbeterplan opgesteld en uitgevoerd. Dit plan was met name gericht op opzet en bestaan. In november 2023 heeft de, wederom verplichte, heraudit. Hieruit bleek dat gemeente Almelo grote stappen heeft gezet in het voldoen aan de normen. De gemeente Almelo heeft een eigen verantwoordingsplicht om aan te kunnen tonen dat de verwerkingen van persoonsgegevens voldoen aan de principes uit de AVG. Hier zijn verschillende instrumenten voor, zoals bijvoorbeeld het borgingsproduct van de IBD, of de in 2023 door de AP goedgekeurde AVG-standaard BC 5701 van Brand Compliance (let op: de accreditatieaanvraag bij de Raad van Accreditatie loopt nog). Pagina 7 van 9 Jaarverslag 2023 van de FG

Aanbevelingen Blijf aandacht houden voor de verdere implementatie van de Wpg-normen, ook op het gebied van bestaan en werking: de in- en externe audits blijven jaarlijks terugkomen. Zodra de basisprincipes van de AVG op het gewenste volwassenheidsniveau zijn geïmplementeerd in de organisatie, implementeer een instrument waarmee het volwassenheidsniveau gemeten en aangetoond kan worden, en gestuurd kan worden op verdere verbeteringen.

Eindwoord Ondanks de geringe middelen in het eerste half jaar van 2023, is er met name in het tweede half jaar veel werk verzet door het Privacyteam. Daar waar er in 2023 nog veel werkzaamheden door externen werd uitgevoerd, zal er in 2024 een sterker intern team zijn wat ondersteund wordt door externe inzet. De focus heeft in 2023 gelegen op het op orde brengen van de basis, kaders te stellen waarbinnen de organisatie kan opereren en het op orde brengen van het interne team. Dit terwijl de winkel tegelijkertijd draaiende gehouden moest worden. Hoewel de gemeente Almelo veel stappen heeft gezet in 2023, moeten er ook nog genoeg stappen genomen worden om op een volwassenheidsniveau te komen wat medewerkers en inwoners mogen verwachten van de gemeente Almelo. Per 1 maart 2024 start mijn opvolgster in de functie FG. Na maart 2024 zitten mijn werkzaamheden binnen de gemeente erop. Ik wil daarom als slot mijn vertrouwen in het huidige team en mijn opvolgster uitspreken; zij hebben zeker de kennis en kunde om gemeente Almelo te helpen bij de uit te voeren vervolgstappen, waarbij de geringe beschikbare capaciteit een blijvend aandachtspunt is. Met vriendelijke groet, Nynke Ruinard Functionaris Gegevensbescherming

Pagina 8 van 9 Jaarverslag 2023 van de FG

Bijlage 1: Aanbevelingen Aanbevelingen Beleid

-

Processen

-

Organisatie

Rechten van betrokkenen Beveiliging

Samenwerking

-

Verantwoording en audits

-

Voer een gapanalyse uit op de beleidsstukken en zorg voor implementatie van de ontbrekende zaken. Borg dat de registers van verwerkingen ook na opzet actueel en juist blijven. Zorg voor voldoende middelen om een inhaalslag met de DPIA’s te kunnen maken. Zorg voor een structureel bewustzijnscampagne Zorg voor voldoende capaciteit binnen het Privacyteam Zorg voor capaciteit om het doorzoeken van systemen naar persoonsgegevens te automatiseren Zorg voor voldoende middelen voor het uitvoeren van het verbeterplan Zorg voor het opstellen van een datalekregister Breng alle samenwerkingen in kaart en neem deze op in de registers van verwerkingen Inventariseer en sluit alle verwerkersovereenkomsten af Neem toezicht op samenwerkingsverbanden op in het toezichtsplan 2024 van de FG Blijf aandacht houden voor verdere implementatie van de Wpg-normen Implementeer een AVG borgingsinstrument

Pagina 9 van 9 Jaarverslag 2023 van de FG