Bijlage 1 Rapport interne audit.pdf

Auditrapport Privacyfunctie Referentie: VIC2025/audit10AJP

Opdrachtgever: Concerncontroller Auteur: Interne audit en Beleidsonderzoek Proceseigenaar: Directie Digitale Strategie en Informatie

13 juni 2025 (Finale versie 2.3)

1

Inleiding

Op basis van het auditjaarplan 2024-2025 heeft de afdeling Interne Audit & Beleidsonderzoek een audit uitgevoerd naar de privacyfunctie. Dit onderwerp valt onder de verantwoordelijkheid van directie Digitale Strategie en Informatie (DS&I). In deze audit onderzoeken wij de effectiviteit van de privacyfunctie met o.a. aandacht voor het inrichten van de verantwoordelijkheid voor privacyborging en het bijbehorende toezicht voor naleving van de eisen opgenomen in de Algemene verordening gegevensbescherming (AVG). De AVG is in 2018 in werking getreden. De gemeentelijke inrichting van de privacyfunctie heeft een aantal wijzigingen doorgemaakt bij de reorganisatie van het I-domein in 2022 met de clustering van privacy officers in de vakgroep Digitale Rechten, Ethiek en Privacy (vakgroep DREP) en de positionering van de Functionaris Gegevensbescherming (FG) in directie Juridische Zaken (JZ) per 1 januari 2024. Een goed ingerichte en sterke privacyfunctie draagt direct bij aan realisatie van de gemeentelijke doelstelling voor voldoen aan privacywetgeving en het borgen van de Europese grondrechten van natuurlijke personen (inwoners van de gemeente, ondernemers en bezoekers) op de bescherming van persoonsgegevens en de eerbiediging van het privéleven.

De privacyfunctie binnen de gemeente Amsterdam bestaat uit alle functionarissen die zich op enige wijze bezighouden met het waarborgen van de bescherming van persoonsgegevens middels naleving van de AVG.

Centrale vraag In welke mate biedt de inrichting van de privacyfunctie in de gemeente op strategisch en tactisch niveau voldoende borging voor naleving van de AVG en de voorschriften van de Autoriteit Persoonsgegevens (AP)? Scope We onderzoeken de facilitering van privacyborging via drie deelonderwerpen te weten: 1. De positionering van de FG 2. Beleid en kaders 3. Rollen, taken en verantwoordelijkheden (o.a. taakafbakening). Binnen het domein Beleid en kaders zal ook worden getoetst op welke wijze componenten waaruit de governance is opgebouwd – zoals bijvoorbeeld risicomanagement – terugkomen in beleid en kaders, inclusief aansluiting op de stedelijke processen. De onderzoeksperiode is heden. Niet in scope De audit beperkt zich tot het strategisch en tactisch niveau. In dit onderzoek is de inrichting en goede werking van operationele processen voor borging van AVG-compliant werken buiten scope gesteld. Het AVG-kennisniveau van 1e lijnfunctionarissen binnen de organisatie is geen onderdeel van deze interne audit. De Commissie Persoonsgegevens Amsterdam en Bureau Integriteit vallen niet in de scope van deze audit. Ook de automatiseringsomgeving en de informatiebeveiligingsaspecten zijn niet in scope. Toetsingskader •

AVG en de bijbehorende uitvoeringsregeling

•

Voorschriften van de Autoriteit Persoonsgegevens

•

Gemeentelijke governance met de stedelijke kaders het Mandaatbesluit en Amsterdam Doelgericht

Auditverantwoording Wij hebben deze audit uitgevoerd conform het Audit Charter 2024, welke is ondertekend door onze opdrachtgever, de Gemeentesecretaris. In dit document staat de reikwijdte van onze werkzaamheden en bevoegdheden beschreven. Het document is te vinden op onze intranetpagina van Interne audit en Beleidsonderzoek (IA&BO). Onze werkzaamheden worden uitgevoerd in overeenstemming met de normen van de beroepsgroep voor interne auditors. Dit is het Instituut voor Interne Auditors (IIA). Sinds september 2022 is IA&BO gecertificeerd. Fully in Control Zoals aangegeven in de Auditbrief worden de bevindingen door IA&BO overgenomen in de Governance, Risk en Compliance Tool van Gemeente Amsterdam genaamd Fully in Control (FiC). Vervolgens dient de auditee de nadere opvolging in dit systeem vast te leggen. Verspreidingskring en openbaar maken van rapporten Het definitieve auditrapport wordt toegestuurd aan de concerncontroller, de Stedelijk Directeur, de manager Control, de (proces)controller en ACAM. Wanneer ACAM erom verzoekt, verstrekken wij hen ook toegang tot ons dossier. De conclusies en belangrijkste bevindingen worden opgenomen in onze voortgangsrapportage die aan het GMT worden toegestuurd. Alle definitieve auditrapporten worden 6 maanden na bespreking in het Risk en Audit Comité (RAC) openbaar gemaakt op open.amsterdam.

Opzet van het rapport: In hoofdstuk 2 hebben wij de samenvatting en conclusies opgenomen. In de bijlagen hebben wij deze bevindingen nader uitgewerkt. Bedankt: Wij bedanken de medewerkers die bij dit onderzoek betrokken zijn geweest voor de open en constructieve samenwerking bij het verrichten van onze

werkzaamheden. Tot het verstrekken van nadere toelichting zijn wij uiteraard bereid.

2

Bevindingen en conclusies

De audit is uitgevoerd in het kader van het auditjaarplan 2025 en richt zich op de inrichting van de privacyfunctie van gemeente Amsterdam. De privacyfunctie is ingericht voor borging van AVG-compliant verwerken van persoonsgegevens. In ons onderzoek naar de privacyfunctie stond de vraag centraal: In welke mate biedt de inrichting van de privacyfunctie in de gemeente op strategisch en tactisch niveau voldoende borging voor naleving van de AVG en de voorschriften van de Autoriteit Persoonsgegevens (AP)? Tijdens het onderzoek is een normenkader opgesteld op basis van de AVG aangevuld vanuit de gemeentelijke kaders het Mandaatbesluit en Amsterdam Doelgericht. Op basis van het normenkader is de inrichting van de privacyfunctie op strategisch en tactisch niveau getoetst. Voor een gedetailleerd overzicht van onderzochte risico’s, beheersmaatregelen en het toegepaste normenkader wordt verwezen naar bijlage 2. Onze werkzaamheden bestonden uit interviews met verschillende stakeholders en het bestuderen van relevante documentatie aan de hand van eerder genoemde toetsingskader. Conclusie Op basis van de door ons uitgevoerde werkzaamheden concluderen wij dat de huidige inrichting van de privacyfunctie onvoldoende in staat is de geïdentificeerde risico’s adequaat te beheersen (zie bijlage 2). De belangrijkste bevindingen (d.i. met prioriteit 1) zijn: •

Het privacybeleid is verouderd en onvolledig.

•

Rollen, taken en verantwoordelijkheden zijn slechts deels belegd en beschreven.

•

Suboptimale informatievoorziening voor de FG.

Als gevolg van deze bevindingen bestaat de kans dat noodzaak tot het nemen van gegevensbeschermende maatregelen niet of te laat wordt vastgesteld en gerealiseerd. Ook bestaat de kans op dubbel verrichten van werkzaamheden. Vertrouwen De gemeente heeft de afgelopen jaren vele ontwikkelingen doorgemaakt welke positieve effecten hebben op de gemeentelijke privacyfunctie. Een voorbeeld is de positionering van de FG in directie JZ in plaats van directie DSenI waarmee versterking van de onafhankelijke taakuitvoering van de FG is gerealiseerd, maar wel met behoud van de samenwerking met de vakgroep DREP. Wel zien we dat verdere doorontwikkeling nodig is zoals blijkt uit het verouderd en onvolledig zijn van privacybeleid en het niet helder belegd zijn van rollen, taken en verantwoordelijkheden in de hele privacyketen. Het ontbreken van actueel beleid en helder belegde rollen, taken en verantwoordelijkheden bemoeilijkt ook het aanspreken van collega’s en de handhaving van een zuivere roluitvoering (1e lijn – 2e lijn – 3e lijn). Concreet zien we de gevolgen in de samenwerking zoals bij het niet tijdig actualiseren van beleid en bij het oplopen van werkvoorraden te beoordelen DPIA’s.

Bevindingen Naar aanleiding van de door ons uitgevoerde werkzaamheden hebben wij de volgende bevindingen. Positieve observaties  De FG is adequaat gepositioneerd in cluster Bestuur & Organisatie, directie Juridische Zaken (JZ). Hierbij zijn een onafhankelijke taakuitvoering en directe rapportagelijnen naar de gemeentesecretaris, het College en de Raad geborgd.  De samenwerking tussen de verschillende stakeholders, waaronder de vakgroep DREP en de FG lijkt in het algemeen constructief te verlopen. De FG is zowel intern als extern goed bereikbaar.  De externe communicatie over privacybeleid naar burgers is voldoende gewaarborgd. De privacyverklaring van de gemeente, inclusief de rechten van betrokkenen, is openbaar toegankelijk via de gemeentelijke website. Hiermee wordt op transparante wijze invulling gegeven aan de informatieplicht richting burgers. Bevinding 1 Het privacybeleid is verouderd en onvolledig. De vakgroep DREP is sinds 2022 (herstructurering op het privacy domein) verantwoordelijk voor het privacy beleid. Een positieve ontwikkeling is dat de vakgroep DREP inmiddels gestart is met actualiseren van het privacybeleid. Echter, het privacybeleid dateert uit 2018 en is niet actueel. De organisatie van de privacyfunctie is sinds 2018 sterk gewijzigd waardoor beleidsstukken onvoldoende aansluiten bij de huidige praktijk.

Van strategische beleidsdocumenten zoals ‘Positionering Functionaris Gegevensbescherming’ is de formele status niet helder. Minder frequent voorkomende onderwerpen in de AVG zijn niet (volledig) in beleid verwerkt. Bevinding 2 Rollen, taken en verantwoordelijkheden zijn slechts deels belegd en beschreven.

De beschrijving van rollen, taken en verantwoordelijkheden is verouderd en onvolledig. Er is sprake van dubbel belegde verantwoordelijkheden voor het opstellen van beleid (vakgroep en een directie). In de praktijk zijn binnen de strategische organisatie van de privacyfunctie van de gemeente rollen, taken, verantwoordelijkheden, mandaten en bevoegdheden niet goed op elkaar afgestemd en overlappen deze. Bevinding 3 Suboptimale informatievoorziening voor de FG. De FG is momenteel in hoge mate afhankelijk van mondelinge informatievoorziening zoals bila’s, bijwonen van overleggen, afstemming met de vakgroep DREP en beoordeling van Gegevensbeschermingseffectbeoordelingen (DPIA’s). Een database met een integrale vastlegging van de risico’s van directies voor de bescherming van persoonsgegevens wordt opgebouwd. DPIA’s worden per mail ter review aan vakgroep DREP en FG aangeboden. Verdere (IT-)ondersteuning van dit proces ontbreekt nog. Bevinding 4. Borging van voldoende kennis onder druk. De borging van voldoende kennis van de gemeentelijke casuïstiek en organisatie en training van medewerkers van de vakgroep DREP staat onder druk. De vakgroep leunt zwaar op externe medewerkers, wat het institutionele geheugen kwetsbaar maakt, de continuïteit van kennis bedreigt en interne kennisopbouw bemoeilijkt bij het wegvallen van deze externen (sleutelfiguren).

Bevinding 5 Onvoldoende structurele borging van afhandeling inzageverzoeken. De rollen, taken en verantwoordelijkheden van LP ontbreken in het stedelijk document: ‘Taken en verantwoordelijkheden bij het verwerken van persoonsgegevens van 25 september 2018’. Voor de afhandeling van inzageverzoeken is de coördinerende taak belegd bij het Loket Persoonsgegevens (LP). Er ontbreken heldere instructies voor de uitvoering

en samenwerking tussen directies, de vakgroep en het LP, bijvoorbeeld over situaties waarin overgegaan mag worden tot verlenging van de afhandelingstermijn en de omgang met contactintensieve dossiers. Gevolgen zijn dat het niet tijdig afhandelen van inzageverzoeken kan leiden tot extra financiële lasten (dwangsommen). De bevindingen zijn (met overeenkomstige nummering) nader uitgewerkt in bijlage 1. In bijlage 2 is een volledig overzicht opgenomen van alle door ons getoetste interne beheersmaatregelen met onze conclusies over de opzet en het bestaan van de getoetste beheersingsmaatregelen. In het onderstaand schema hebben wij op basis van een risico-inschatting aangegeven welke prioriteit aan de bevindingen moet worden gegeven. Bevindingen

Prioriteit 3 Laag

Prioriteit 2 Midden

Prioriteit 1 Hoog

1.

Het privacybeleid is verouderd en onvolledig.

X

2.

Rollen, taken en verantwoordelijkheden zijn slechts deels belegd en beschreven.

X

3.

Suboptimale informatievoorziening voor de FG.

X

4.

Borging van voldoende kennis onder druk.

X

5.

Onvoldoende structurele borging

X

van afhandeling inzageverzoeken.

Wij maken daarbij het volgende onderscheid in de bevindingen: Prioriteit 1: Zeer belangrijk, grote impact, urgent, opvolging direct vereist Prioriteit 2: Belangrijk, gemiddelde impact, minder urgent, opvolging nodig

Prioriteit 3: Aandacht nodig, beperkte impact, niet urgent, opvolging niet noodzakelijk Bevindingen met prioriteit 1 en eventueel bevindingen met prioriteit 2 worden in de voortgangsrapportages aan het GMT opgenomen. Prioriteit 3 bevindingen worden enkel aan de directie en management gerapporteerd

Managementreactie directie DSI Het management van de directie Digitale Strategie & Informatie (hierna: DSI) waar de audit betrekking op heeft, en in het bijzonder de Vakgroep Digitale Rechten, Ethiek & Privacy (hierna: DREP), heeft met grote belangstelling kennisgenomen van de resultaten van het auditrapport. De audit dient voornamelijk om inzicht te krijgen in de volgende centrale vraag: In welke mate biedt de inrichting van de privacyfunctie in de gemeente op strategisch en tactisch niveau voldoende borging voor naleving van de AVG en de voorschriften van de Autoriteit Persoonsgegevens (AP)? De scope van de audit is gericht op 3 deelonderwerpen: 1. De positionering van de FG 2. Beleid en kaders 3. Rollen, taken en verantwoordelijkheden (o.a. taakafbakening). We herkennen de bevindingen van de audit dat de gemeente de afgelopen jaren vele ontwikkelingen doorgemaakt heeft welke positieve effecten hebben op de gemeentelijke privacyfunctie. Denk aan de reorganisatie van het I-domein in 2022 met de clustering van privacy officers in de vakgroep Digitale Rechten, Ethiek en Privacy (vakgroep DREP) en de positionering van de Functionaris Gegevensbescherming (FG) in directie Juridische Zaken (JZ) per 1 januari 2024.

Bovendien is de vakgroep in de afgelopen twee jaar uitgebreid in thema’s (Digitale Rechten, Ethiek, AI & Algoritmen) en heeft de focus vooral gelegen in het opbouwen van de vakgroep. Ook herkennen we de positieve observaties die benoemd worden in het rapport (pagina 5). Met de grote inspanningen van de afgelopen jaren (bijvoorbeeld de centralisatie van de privacyfunctie, positionering van de FG, risico-analyses die uitgevoerd worden (Data Protection Impact Assessments (hierna: DPIA’s) en Baseline Privacy Amsterdam (BPA)), verbeterplannen en sturing daarop middels Fully in Control (hierna: FiC))) en de vooruitgang die is geboekt, staan we aan het begin van de volgende stap in de doorontwikkeling van de vakgroep alsmede de gemeentelijke organisatie op deze thema’s. Er moet nog méér gebeuren om de digitale rechten en privacy van betrokkenen te borgen en blijvend onder de aandacht te brengen. Dat geldt te meer nu de geopolitieke (o.a. Digitaal autonomie), technologische (o.a. AI), maatschappelijke (o.a. vertrouwen in de overheid), juridische (o.a. AVG, AI-Act) aspecten permanent en continue in beweging zijn en blijven.

Wel merken we op dat de focus op de 3 deelonderwerpen niet voldoende zal zijn: de beperkte capaciteit van de vakgroep DREP en het blijvend inzetten op commitment en eigenaarschap (verantwoordelijkheid) van alle (lijn)directies maken het uitdagend om deze veranderingen te kunnen bijbenen en de basis op orde te krijgen. Daarnaast moeten we scherper sturen op stedelijke initiatieven, processen en dataverwerkingen waarbij gegevensbescherming nog beter moet worden ingebed. Dit begint bij de (lijn)directies zelf.

Het i-domein is inmiddels gestart met het actiegericht oppakken van de bevindingen die uit deze audit komen. Hiermee komen we tot een actueel privacybeleid, een meer eenduidige privacy-organisatie / privacy-governance en de verdere doorontwikkeling van de positie van de FG. Dit doen wij samen met onze stakeholders. Voor de volledige managementreactie per bevinding verwijzen wij naar bijlage 1. Directeur Sigrid Winkel Directie Digitale Strategie en Informatie

Bijlage 1: Bevindingen en aanbevelingen

Bevindingen Directie Digitale Strategie en Informatie 1. Het privacybeleid is verouderd en onvolledig

Achtergrond

PRIO 1

Beleid dient als een strategisch instrument waarmee doelen kunnen worden bereikt door middel van beheersing, sturing en verantwoording. Het biedt een gestructureerd kader voor het nemen van beslissingen en het uitvoeren van activiteiten, waardoor consistentie en efficiëntie worden bevorderd. Daarnaast biedt beleid een basis om prestaties te meten en te evalueren. De privacyfunctie voor de gemeente is aanzienlijk van inhoud veranderd bij het van kracht worden van de AVG in 2018. De vakgroep DREP is sinds 2022 (herstructurering op het privacy domein) verantwoordelijk voor het privacy beleid.

Bevinding

Een positieve ontwikkeling is dat de vakgroep DREP inmiddels is gestart met het actualiseren van het privacybeleid. Gebreken in het huidige verouderde privacybeleid hebben tot gevolg dat beleidsstukken onvoldoende aansluiten bij de huidige praktijk. Dit blijkt bijvoorbeeld uit de vermelding omtrent de positionering van de FG, welke inmiddels is gewijzigd van (het opgeheven) CIO-office naar directie JZ waarmee tevens een nieuwe verantwoordelijke voor bedrijfsvoeringstaken van de FG-functie is geïntroduceerd. Van strategische beleidsdocumenten zoals ‘Positionering Functionaris Gegevensbescherming’ is de formele status niet helder. Verder ontbreekt een proces in opzet en bestaan voor opstellen, communiceren, implementeren, evalueren en actualiseren en/of herijken van (stedelijk) beleid binnen het privacy domein. Ook zijn minder frequent voorkomende onderwerpen in de AVG zoals artikel 18 recht van beperking van de verwerking niet (volledig) in het beleid verwerkt en is beleid dat ten grondslag ligt aan stedelijke kaders en formats zoals Baselinetoets niet altijd (volledig) uitgewerkt.

Risico

Als gevolg van het ontbreken van actuele, duidelijke en vastgestelde beleidsdocumenten en richtlijnen voor alle voor de gemeente Amsterdam relevante artikelen van de AVG bestaat de kans dat medewerkers te veel persoonsgegevens vastleggen en kunnen raadplegen wat kan leiden tot het schenden van de privacy van burgers.

Oorzaak

Mede als gevolg van een gebrek aan capaciteit binnen de vakgroep DREP heeft een lange tijd geen actualisatie van beleidsdocumenten plaats kunnen vinden.

Aanbeveling

 Ontwikkel een actuele visie op de manier waarop privacy binnen de gemeente Amsterdam ingericht moet zijn. Formuleer hierbij ook het kwaliteitsniveau en de kwaliteitseisen voor privacyborging binnen de organisatie.  Actualiseer het huidige (stedelijke) privacy beleid met bijbehorende procesbeschrijvingen en werkinstructies in overeenstemming met de (geactualiseerde) visie.  Richt een proces in voor het opstellen, communiceren, implementeren, evalueren en actualiseren en/of herijken van (stedelijk) beleid. Implementeer een PDCA-cyclus voor de actualisatie en/of herijking van beleid. Indien beschikbaar is het goed om daarvoor aan te sluiten op de directiestandaard. Ook meenemen van input van het wettenteam zou een integraal onderdeel van het proces moeten zijn. De vakgroep DREP is primair verantwoordelijk voor zowel de actualisatie van de visie en het (stedelijke) privacy beleid als het inrichten van een proces voor het opstellen, communiceren, implementeren, evalueren en actualiseren en/of herijken van (stedelijk) beleid.

We zijn het eens met de bevinding. Het privacybeleid dateert uit

Tijdsbestek: verwachting is

Verantwoordelijke

2018 en heeft een actualisatie nodig. Hier is, zoals door de

dat we in 2026 de

directie: DSI

auditor ook al geconstateerd en ondanks de beperkte capaciteit,

geactualiseerde visie en

al door de vakgroep DREP een start mee gemaakt.

beleid kunnen laten

Managementreactie

vaststellen. De vakgroep DREP zal een stedelijk visie en een geactualiseerd

Einddatum: Q4 2026, dit

stedelijk beleid vast laten stellen voor

vanwege de aankomende

gegevensbescherming/privacy. Hiervoor is de Chief Privacy

Officer, samen met de teamleider Privacy aan zet. In

gemeenteraadsverkiezingen

samenwerking met de relevante stakeholders en i-opgave.

en nieuwe collegevorming. Follow-up audit: ja, vanuit tweede lijn control middels FiC, elk 3 jaar privacy audit vanuit DMC.

2. Rollen, taken en verantwoordelijkheden zijn slechts deels belegd en beschreven

Achtergrond

PRIO 1

Voor een goede inrichting en taaktuitvoering van de privacyfunctie is het helder beleggen van rollen, taken en verantwoordelijkheden essentieel. Binnen de gemeentelijke governance zijn daarom rollen, taken en verantwoordelijkheden voor de bescherming van persoonsgegevens en naleving van de privacyprincipes vastgesteld. De privacyfunctie voor de gemeente is aanzienlijk van inhoud veranderd bij het van kracht worden van de AVG in 2018. De AVG stelde de aanstelling van een FG verplicht en versterkte ook de rol van een privacy functionaris in de vorm van een privacy officer. In 2018 is de eerste FG aangesteld. De privacyfunctie kende in de eerste jaren een sterk gedecentraliseerde inrichting en is in de laatste jaren gewijzigd naar een gecentraliseerde organisatie.

Het document 'Taken en verantwoordelijkheden bij het verwerken van persoonsgegevens door de gemeente Amsterdam (2018)' dateert uit 2018 en bij de reorganisatie en herpositionering van de FG niet geüpdatet. Sindsdien is er veel gewijzigd in de inrichting van de privacyfunctie, waardoor de beschreven rollen, taken en verantwoordelijkheden niet meer volledig aansluiten bij de praktijk. Onderstaand concrete voorbeelden: • • Bevinding

•

In het hiervoor genoemde document ontbreken de rollen, taken en verantwoordelijkheden voor een aantal verantwoordelijken, bijvoorbeeld voor directie JZ en de gemeentesecretaris. De opheffing van de CIO-office en de daarop volgende wijziging in de positionering van de FG naar directie JZ heeft niet geleid tot aanpassing in de beschrijving van rollen, taken en verantwoordelijkheden. Helderheid over de verantwoordelijkheid voor de uitvoerende werkzaamheden in de operationele processen gerelateerd aan privacy ontbreekt en de verdeling van taken tussen de eerste en tweede lijn is niet helder.

In de praktijk zijn binnen de organisatie van de privacyfunctie van de gemeente rollen, taken, verantwoordelijkheden, mandaten en bevoegdheden niet goed op elkaar afgestemd en overlappen deze. Onderstaand een overzicht van concrete voorbeelden: •

•

De beleidsverantwoordelijkheid voor de gemeentelijke verwerking van persoonsgegevens is benoemd als de verantwoordelijkheid van de directeur OOV maar zowel privacy juristen binnen OOV als privacy officers binnen de vakgroep DREP houden zich bezig met het opstellen van privacybeleid. Privacy contactpersonen zijn het eerste aanspreekpunt binnen de directie op het gebied van privacybescherming, digitale rechten, informatiebeveiliging en informatiebeheer. Ze vormen de linking pin

•

•

•

tussen de 1e lijn en de Privacy Officer/vakgroepen. De verantwoordelijkheden van de privacy contactpersonen zijn zeer summier omschreven. Mandaten en bevoegdheden voor privacy contactpersonen zijn verschillend per directie. Ook zijn er nog directies zonder een privacy contactpersoon voor de AVG. Dit resulteert in een verhoogde werkdruk voor privacy officers uit de vakgroep en medewerkers van het LP. Directies hanteren momenteel geen uniforme werkwijze voor het afhandelen van inzageverzoeken. Dit leidt tot kwalitatief uiteenlopende producten richting burger. In de vastgestelde stukken staat opgenomen dat de FG desgevraagd (en dus niet verplicht) advies verstrekt m.b.t. de DPIA. Dit betekent dat er in de praktijk meer ruimte bestaat voor de business/1e lijn om privacy advies te mijden. De privacy officers hebben o.a. tot taak het uitoefenen van het zgn. eerstelijns toezicht op de verwerking van persoonsgegevens. In het operationele proces opstellen DPIA’s betekent dit beoordelen en adviseren van DPIA’s die door directies zijn opgesteld. In de praktijk komt het echter ook voor dat privacy officers de DPIA opstellen en daarmee eerstelijns werkzaamheden verrichten. In rollen, taken en verantwoordelijkheden is niets vastgelegd over samenwerking met de vakgroep DREP bij het zelfstandig inhuren van privacy officers door individuele directies.

Ook ontbreken afspraken over de samenwerking (waaronder informatievoorziening) tussen de vakgroep DREP en elders in de organisatie zelfstandig ingehuurde privacy officers.

Risico

Als gevolg van het ontbreken van actuele, duidelijke en vastgestelde beleidsdocumenten m.b.t. de governance van de privacyfunctie bestaat de kans dat rollen, taken en verantwoordelijkheden voor de betrokken functionarissen niet helder zijn wat kan leiden tot misverstanden, het niet of dubbel uitvoeren van taken en een gebrekkige samenwerking binnen de gemeentelijke organisatie. Dit kan resulteren in niet-effectieve bescherming van persoonsgegevens van natuurlijke personen verzameld tijdens uitvoering van gemeentelijke taken.

Oorzaak

De afgelopen jaren heeft de gemeente meerdere grote en kleine reorganisaties gekend waarbij taken en functies zijn gesplitst, samengevoegd en verplaatst naar andere organisatieonderdelen. Hierbij is ook de verantwoordelijkheid voor de governance van de privacyfunctie naar een ander organisatieonderdeel verschoven. Al deze veranderingen zijn niet verwerkt in formeel vastgesteld beleid voor de nieuwe rollen, taken en verantwoordelijkheden. Het ontbreken van helderheid over rollen, taken en verantwoordelijkheden in de huidige actuele organisatie bemoeilijken de mogelijkheden voor het maken van consistente werkafspraken voor samenwerking tussen de privacyfunctie (o.a. tussen vakgroep DREP en LP).

Aanbeveling

Managementreactie

 Richt een werkgroep in met daarin vertegenwoordigers van verschillende stakeholders binnen het privacydomein o.l.v. de vakgroep DREP, zoals: de vakgroep DREP, FG-office, JZ en het LP. Door de vakgroep dienen overige stakeholders binnen het privacydomein te worden geconsulteerd, zoals: privacy contactpersonen, eerstelijns privacyjuristen, individuele directies en door directies zelfstandig ingehuurde privacy officers. De belangrijkste opgave voor deze werkgroep is vervolgens om in gezamenlijkheid rollen, taken en verantwoordelijkheden van de verschillende actoren binnen het privacylandschap van de gemeente Amsterdam te herijken en opnieuw vast te stellen. Deze herijking heeft tot doel helderheid te creëren in rollen, taken en verantwoordelijkheden van de verschillende stakeholders (eisen), een duidelijke taakafbakening tussen de eerste, tweede en derde lijn te realiseren en eenduidige en uniforme werkprocessen op te stellen, bijvoorbeeld m.b.t. inzageverzoeken en het delen van gegevens met derden.  Beleg de verantwoordelijkheid voor het periodiek herijken van stukken m.b.t. de governance waaronder rollen, taken en verantwoordelijkheden helder en eenduidig bij de vakgroep DREP.

Gezien het dynamische privacylandschap: borg dat er tijdens deze periodieke herijking input wordt opgehaald bij de verschillende stakeholders van de privacyfunctie (zoals bijvoorbeeld het LP) zodat knelpunten naar boven komen en tussentijdse bijsturing mogelijk is.

We zijn het eens met de bevinding. De inrichting van de privacy-

Tijdsbestek: Verwachting is

Verantwoordelijke

organisatie (rollen, taken en verantwoordelijkheden) moet

dat we in 2026 samen met

directie: DSI

geactualiseerd en naar de maatstaven van deze tijd worden

het geactualiseerde visie en

ingericht. Hiervoor hebben wij inmiddels de eerste stappen gezet

beleid, ook de rollen, taken

middels een extern onderzoek. Dit onderzoek zal naast een

& verantwoordelijkheden

benchmarkt over de capaciteit van de vakgroep DREP en FG

kunnen laten vaststellen.

Office, ook breder kijken naar de inrichting van de privacy organisatie. Het doel is dat we de huidige inrichting kritisch bekijken (totaalpakket: DREP, FG-Office, OOV, CPA, Loket Persoonsgegevens, GGD etc.) en er aanbevelingen zullen volgen over een betere en logische inrichting voor de gemeente Amsterdam. Daarnaast zijn we vanuit de i-opgave ook voor privacy (maar ook voor security en informatiebeheer) het 3-lines-

Einddatum: Q4 2026, dit vanwege de aankomende gemeenteraadsverkiezingen en nieuwe collegevorming. Follow-up audit: ja, vanuit tweede lijn control middels

of defence verder aan het uitwerken en uitrollen binnen de

FiC, elk 3 jaar privacy audit

organisatie. Tevens is ook het bewustwordingscampagne hiervoor

vanuit DMC.

al samen met de i-opgave uitgewerkt. De vakgroep DREP is de trekker van het externe onderzoek (in nauwe samenwerking met de FG-Office en CPA) en ook voor de verdere uitwerking van het 3-lines-of-defence. Hiervoor is de Chief Privacy Officer, samen met de teamleider Privacy aan zet. In samenwerking met de relevante stakeholders en i-opgave.

3. Suboptimale informatievoorziening voor de FG

PRIO 1

De gemeente kent een grote hoeveelheid aan processen waarin persoonsgegevens worden verwerkt. Voor al deze processen worden analyses opgesteld in de vorm van Baselinetoetsen en DPIA’s. Achtergrond

De directie DS&I is bezig met de implementatie van de compliance module van FiC voor het onderdeel privacy. Voor de privacyfunctie betekent dit vastlegging van de resultaten van de Baseline Privacy Amsterdam (BPA) in FiC. De BPA is gebaseerd op het AVG Borgingsproduct 3.0 ontwikkeld door de VNG en biedt inzicht in de stand van zaken voor privacy borging op directieniveau.

Positief is dat de FG informatie ontvangt over ontwikkelingen en ter identificatie van risico’s vanuit gesprekken en het bijwonen van meetings. Een voorbeeld is de wekelijkse gezamenlijke meeting van de FG en de vakgroep waarbij o.a. informatie over privacy aspecten bij directies en opgaven worden besproken. Op dit moment ontbreekt echter een integrale vastlegging van alle risico’s inzake bescherming van persoonsgegevens en non-compliance met de AVG. De gemeente is gestart met de uitvoering van een privacy scan, de Baseline Privacy Amsterdam (BPA), waarmee dit inzicht gerealiseerd moet gaan worden. De resultaten van deze scan worden vastgelegd in FIC en vormen de eerste integrale gemeentelijke vastlegging van risico’s gerelateerd aan de verwerkingen van persoonsgegevens. Bevinding

Operationele processen voor inventarisatie van risico’s als gevolg van de gemeentelijke verwerking van persoonsgegevens, zoals de baselinetoetsen en de DPIA’s, worden uitgevoerd in word-documenten en door directies per mail met hun privacy officer gedeeld waarbij de FG daarna nog de DPIA per mail ter advies ontvangt. Er is derhalve geen adequate IT-ondersteuning van deze operationele processen, welke uitgevoerd worden voor een grote hoeveelheid gemeentelijke verwerkingen van persoonsgegevens waarbij de gemeente ook nog veel doorontwikkelingen en veranderingen kent. De FG voert een integrale beoordeling uit van alle DPIA’s die stedelijk worden uitgevoerd en geeft hierin haar advies. De DPIA’s zijn daarmee een belangrijke informatiebron voor de informatiepositie van de FG, ook omdat de database met privacyrisico’s nog in opbouw is. In de huidige situatie leidt dit echter tot lange doorlooptijden (oplopend naar 6 tot 12 weken) bij het beoordelen van DPIA’s.

Als gevolg van het nog in opbouw zijn van de gestructureerde informatievoorziening bestaat de kans dat de FG later in kennis wordt gesteld van relevante informatie waardoor het voor de FG niet in alle situaties mogelijk is om effectief toezicht uit te voeren op de naleving van de AVG. Risico

Oorzaak

Aanbeveling

Als gevolg van oplopende werkvoorraden in operationele processen van de privacyfunctie bestaat de kans dat de 2e en 3e lijn van de privacyfunctie hun taken niet of niet tijdig kunnen uitvoeren met als gevolg het bemoeilijken van het effectief toezicht uitoefenen door de FG en het ontbreken of te laat treffen van maatregelen voor bescherming van persoonsgegevens in gemeentelijke verwerkingen.

Voor deze bevinding is sprake van meerdere elkaar versterkende oorzaken: • Het ontbreken van adequate IT-ondersteuning voor de operationele taakuitvoering • Het ontbreken van inzicht in en overzicht over de te verwachten werkvoorraden van operationele producten. • Het ontbreken van de verankering van operationele documenten zoals de DPIA in vastgesteld beleid waardoor een eenduidige norm voor invulling ontbreekt. • Kwaliteitsverschillen in invulling van DPIA’s door 1e en 2e lijn • De grote hoeveelheden aan ontwikkelingen binnen de gemeente, waaronder ook reorganisaties, welke ook leiden tot wijzigingen in de verwerkingen van persoonsgegevens en daarmee tot herziening van privacy producten • Beperkte capaciteit binnen de FG-office

 Zet initiatieven die bijdragen aan het realiseren van een gestructureerde informatievoorziening voort. Concrete voorbeelden zijn de Baseline Privacy Amsterdam (BPA) en vastlegging van de resultaten van de BPA in Fully in Contol (FiC). Deze initiatieven ondersteunen de FG-office bij het inzichtelijk krijgen waar de grootste gemeentelijke risico’s m.b.t. privacyborging zich bevinden.  Stel vast op welke wijze het proces van informatievoorziening richting de FG-office kan worden verbeterd en voer deze verbeteringen door, zodat de FG-office niet langer integraal en adhoc DPIA beoordelingen hoeft uit te voeren. Onderstaand enkele concrete aandachtspunten: • Het informatievoorzieningsproces dient te borgen dat de werkvoorraad voor de FG-office zowel inzichtelijk als planbaar is. Verwerk DPIA's i.p.v. via de mail en Word in een monitoringstool (zoals bijvoorbeeld FiC) zodat er zicht en grip op de werkvoorraad kan komen en de geïdentificeerde risico’s en beheersmaatregelen integraal in beeld zijn te brengen. • Het informatievoorzieningsproces dient DPIA’s op te leveren van inhoudelijk kwalitatief afdoende niveau. Hiermee wordt gefaciliteerd dat de FG-office haar adviserende werkzaamheden aan de hand van

selectiecriteria op basis van een steekproef van hoog-risico DPIA’s kan uitvoeren. Helderheid in taakafbakening tussen de eerste, tweede en derde lijn en werkinstructies voor de directies kunnen de kwaliteitsverschillen in de DPIA's doen afnemen.

We zijn het (gedeeltelijk) eens met de bevinding. Allereerst zijn er

Tijdsbestek: Verwachting

Verantwoordelijke

al goede stappen gezet in de informatievoorziening aan de FG.

is dat we in Q3, Q4 2025

directie: DSI

Naast de gedane bevinding door de auditor dat de relatie en

en 2026 de

samenwerking tussen de vakgroep DREP en FG-Office intensief en

informatievoorziening van

goed is (de FG zit elke donderdag bij de vakgroepoverleggen van

de FG nader hebben

de vakgroep, heeft minimaal 1x per week overleg met de CPO en

verbeterd.

heeft individueel contact met de vakgroepleden) zijn we momenteel bezig met het inrichten van een database met een integrale vastlegging van privacy risico’s. Dit doen we in FiC. Momenteel zit het gehele verwerkingsregister in FiC. Daarnaast zijn we de inrichting voor BPA in FiC aan het realiseren. Halverwege Managementreactie

2025 hebben we de o-meting van de “privacyvolwassenheid” (nu met excelsheets) per directie in beeld. Dit is relevante informatie voor de FG. Ook proberen we de risico’s en geadviseerde maatregelen uit DPIA’s in FiC te plotten. Op al deze producten monitoren wij vanuit de vakgroep. Daarnaast wordt vanuit de iopgave gewerkt aan sturingsinformatie op de compliance onderwerpen van directie DSI (denk o.a. een risico-register, risicoacceptatie proces). Ook dit is weer een goede stap richting een optimalere informatievoorziening voor de FG. Het stapelen van de DPIA’s bij de FG-Office is in beginsel gerelateerd aan de beperkte capaciteit van de FG-Office. De wijze waarop de FG-office DPIA’s beoordeelt is aan hen (integraal of niet, risico-gestuurd of niet).

Einddatum: Dit loopt al. Verwachting is Q2 2026. Follow-up audit: ja, vanuit tweede lijn control middels FiC, elk 3 jaar privacy audit vanuit DMC.

NB: verdere of gewenste (IT-) ondersteuning van de FG moet ook gedeeltelijk vanuit DJZ komen waar de FG gepositioneerd is. Denk aan de workload ihkv DPIA’s etc. De vakgroep DREP is verantwoordelijk voor de inrichting van FiC voor de privacy risico’s (verwerkingsregister, BPA en DPIA). Hiervoor is de Chief Privacy Officer, samen met de teamleider Privacy aan zet. Daarnaast wordt vanuit de i-opgave gewerkt aan sturingsinformatie op de compliance onderwerpen. De FG-office is verantwoordelijk voor een kader waarin ze aangeeft hoe ze privacy risico’s in brede zin beoordeelt/wilt beoordelen.

4. Borging van voldoende kennis onder druk

Achtergrond

Bevinding

PRIO 2

In opzet is een intern scholings- en trainingsplan, de Leerkaart Privacy Officer, ontwikkeld voor privacy officers werkzaam binnen de vakgroep DREP. Er is opleidingsbudget en er zijn diverse externe trainingsmogelijkheden. Tijdens de wekelijkse vakgroep overleggen vindt kennisoverdracht plaats tussen privacy officers.

De borging van voldoende training en kennis bij medewerkers van de vakgroep DREP staat onder druk. Een deel van de formatie van de vakgroep is bezet door externen. De vakgroep leunt zwaar op deze externe medewerkers. Dit maakt het institutionele geheugen kwetsbaar, bedreigt de continuïteit van kennis en bemoeilijkt interne kennisopbouw wanneer deze externen de gemeente verlaten zonder adequate overdracht aan collega’s en zonder adequate vastlegging van kennis voor latere raadpleging. Het hoge aandeel van externen beïnvloedt ook de effectiviteit van het (interne) scholings- en trainingsplan. Concrete voorbeelden: het is voor management van de vakgroep DREP moeilijker sturen op de doorontwikkeling van competenties met veel externe medewerkers; zoals het behalen van de CIPP/E-certificering.

Risico

Als gevolg van onvoldoende kennis en training van medewerkers van de vakgroep DREP bestaat de kans op afnemende kwaliteit van de 2e lijns activiteiten zoals de beoordeling van DPIA's en advisering aan de 1e lijn bij het opstellen van de DPIA's.

Het verloop van extern personeel is hoog. Een integrale goed doorzoekbare vastlegging van gemeentelijke casuïstiek ontbreekt. Oorzaak

De vakgroep is afhankelijk van de kennis en deskundigheid van externen als gevolg van het nog niet kunnen werven van nieuw eigen personeel ter vervanging van externen. Het inhuren van externen is het gevolg van de huidige krapte op de arbeidsmarkt.

Aanbeveling

 Verloop/werkdruk: Zorg dat de ideale bezetting/formatie van vakgroep DREP helder in beeld is zodat er scherpe keuzes kunnen worden gemaakt m.b.t. de prioritering van werkzaamheden van de privacy officers. Het realiseren van rolduidelijkheid tussen de eerste, tweede en derde lijn en een verhoogd kennis- en bewustwordingsniveau m.b.t. privacyborging in de eerste lijn kunnen bijdragen aan het verlagen van de werkdruk voor privacy officers binnen de vakgroep DREP.  Kennis/institutioneel geheugen: Organiseer een goede onboarding voor nieuwe privacy officers in de vakgoep DREP. Zorg dat relevant(e) beleid/werkinstructies en dossiers in een applicatie zijn vastgelegd en zo nazoekbaar zijn.

We zijn het eens met de bevinding. We zijn het eens met de

Tijdsbestek:

Verantwoordelijke

constatering dat de vakgroep een beperkte capaciteit heeft en ook

Onboarding: Q4 2025.

directie: DSI

op externen leunt. Dit is een risico voor de organisatie. Hiervoor zijn

Formatie en rollen, taken

we al vanuit de directie en cluster aan het bekijken om externe

en

inhuur om te buigen naar vaste medewerkers. Tegelijkertijd loopt er

verantwoordelijkheden:

een extern onderzoek op dit vlak (zie ook bij bevinding 2). Echter,

zie bij bevinding 2.

dit kent financiële belemmeringen. De interne mensen weten we Managementreactie

goed te behouden. Daarnaast willen we benadrukken dat er voldoende budget is (en dat zetten we ook jaarlijks in) om onze eigen medewerkers op te leiden en om het kennisniveau op pijl te houden. De vakgroep DREP neemt de aanbevelingen over. De Chief Privacy officer zal samen met de teamleider Privacy zorgen voor een goed onboardingsproces. Daarnaast zetten we voor wat betreft de beperkte formatie en inrichting van de privacyorganisatie al het een en ander in. Zie ook bij bevinding 2.

Einddatum: Q4 2025 voor onboarding. Q4 2026 voor overig. Follow-up audit: ja, vanuit tweede lijn control middels FiC, elk 3 jaar privacy audit vanuit DMC.

Bevindingen Directie Dienstverlening 5. Onvoldoende structurele borging van afhandeling inzageverzoeken

Achtergrond

PRIO 2

In de AVG staat in artikel 15 het recht van de burger op inzage in de voor hem verwerkte persoonsgegevens benoemd. De gemeente heeft op centraal niveau invulling gegeven aan dit voorschrift door inrichting van een Loket Persoonsgegevens (LP) bij directie Dienstverlening. Het LP heeft een coördinerende taak in het beantwoorden van privacy verzoeken en –vragen van de burger. Het is de verantwoordelijkheid van de directies om de inzageverzoeken inhoudelijk af te handelen en de beantwoording naar het LP te sturen. Het LP deelt het antwoord met de burger. De vakgroep DREP is verantwoordelijk voor het opstellen van beleid en het adviseren van directies in de beantwoording van de inzageverzoeken. Daarnaast is het LP inmiddels ook verantwoordelijk om – in aanvulling op het Stedelijk team - namens de gemeente WOO-verzoeken af te handelen die betrekking hebben op de directie Dienstverlening.

In het privacybeleid ontbreken op onderdelen heldere instructies voor het afhandelen van inzageverzoeken. Er ontbreekt bijvoorbeeld een instructie voor directies over de verzameling en presentatie van verwerkte persoonsgegevens ten behoeve van de beantwoording van de ontvangen verzoeken. Een gevolg is het ontstaan van verschillen in de kwaliteit van beantwoording door directies welke ook regelmatig onvoldoende wordt geacht. Een ander gevolg is een oplopende termijn benodigd in realisatie van beantwoording van verzoeken bij zowel directies en inmiddels ook het LP, hetgeen leidt tot het inroepen van de wet Dwangsom door burgers. Bevinding

De rollen, taken en verantwoordelijkheden van het LP ontbreken in het stedelijke document ‘Taken en verantwoordelijkheden bij het verwerken van persoonsgegevens’ van 25 september 2018. Dit heeft ook tot gevolg dat de verantwoordelijkheid van het LP in relatie tot de andere partijen in de privacyketen niet helder is. Zo komt het voor dat het LP wordt gevraagd mee te werken bij inhoudelijke afhandeling van inzageverzoeken. Of dat directies met betrekking tot inzageverzoeken advies vragen aan het LP in plaats van aan de vakgroep DREP. In de dagelijkse praktijk is het Loket veel tijd kwijt aan de afhandeling van verzoeken van contactintensieve dossiers. Een contactintensief dossier is een dossier waarin sprake is van veelvuldig, intensief en soms moeilijk te begrenzen

contact met een specifieke burger wat vaak leidt tot een hoge werkbelasting voor de betrokken medewerkers. De instructies van het Loket bevatten geen informatie over de afhandeling van contactintensieve dossiers. De gemeente heeft op grond van artikel 12 lid 3 de verplichting om inzageverzoeken binnen de wettelijke termijn van 1 maand af te handelen met de mogelijkheid tot verlenging van deze periode met 2 maanden. Deze mogelijkheid mag op grond van artikel 12 lid 3 AVG slechts bij uitzondering worden gebruikt. Hierbij wordt per verzoek beoordeelt wat de complexiteit van het verzoek is en of het verzoek deel uitmaakt van een groter aantal verzoeken van dezelfde burger, zoals ook vermeld in de richtlijn 01/2022 versie 2.1 vastgesteld 28 maart 2023, paragrafen 162164 van het European Data Protection Board. Ook door de Autoriteit Persoonsgegevens is op haar website toegelicht dat verlenging slechts toegestaan is voor complexe dossiers en bij meerdere verzoeken van dezelfde vrager (contactintensieve dossiers). Deze verlengingsmogelijkheid is derhalve bedoeld voor bijzondere en uitzonderlijke situaties. Tijdens het onderzoek is echter aangegeven dat de gemeente frequent gebruik maakt van de mogelijkheid tot verlenging, met op dit moment de drukte bij de directie WPI als reden voor verlenging.

Risico

Als gevolg van het ontbreken van helderheid over de afhandeling van inzageverzoeken (wie, wat) bestaat de kans dat inzageverzoeken kwalitatief onvoldoende, niet, slechts deels, of te laat worden afgehandeld waardoor onvrede bij burgers ontstaat en de gemeente negatief in het nieuws komt. Daarnaast als de inzageverzoeken dus niet of binnen het wettelijke termijn is afgehandeld kan de burger om een dwangsom vragen wat de gemeente geld kost.

Oorzaak

Het ontbreekt aan een integrale en goed gecoördineerde beleids- en governance-structuur binnen de privacyfunctie. Er is sprake van onduidelijke afbakening van verantwoordelijkheden en rollen, zowel op operationeel niveau (zoals bij het LP) als op strategisch niveau (zoals bij de relatie tussen de directie OOV en de vakgroep DREP). Daarnaast ontbreekt het ook aan adequate technische ondersteuning. Er is beperkte capaciteit binnen het LP.

Aanbeveling

 We verwijzen voor de aanbeveling op bevinding 5 ‘Onvoldoende structurele borging van afhandeling inzageverzoeken’ door naar de aanbevelingen op bevinding 1 ‘Het privacybeleid is verouderd en onvolledig’ en bevinding 2 ´Rollen, taken en verantwoordelijkheden zijn slechts deels belegd en beschreven’ zoals eerder opgenomen in dit rapport. In aanvulling: •

Om handleidingen/werkinstructies op het niveau van het LP uit te werken, is het eerst van belang dat de rollen, taken en verantwoordelijkheden van het LP zijn uitgewerkt in stedelijke/strategische documenten. Op

•

die manier zijn handleidingen/werkinstructies dan ook passend binnen het stedelijke kader en de bredere structuur van de privacyfunctie. Hetzelfde geldt voor eenduidige instructies richting de directies. Een specifiek voorbeeld van het belang van de herijking van rollen, taken en verantwoordelijkheden van de verschillende actoren binnen het privacylandschap is dat het voor de eerste lijn helder moet zijn dat zij voor aanvullende vragen m.b.t. een inzageverzoek terecht kunnen bij de vakgroep DREP, en niet bij het LP.

Eens met de bevinding. Met de kanttekening dat we in 2024 en

Tijdsbestek: Zie

Verantwoordelijke

2025 het stedelijke proces en stedelijke werkinstructies voor het

bevindingen 1 en 2.

directie: DSI

afhandelen van inzageverzoeken geactualiseerd hebben. Daarnaast zijn de contacten tussen de vakgroep DREP en LP afgelopen 2 jaar geïntensiveerd (binnen de vakgroep is er een rechten van betrokkenen team opgezet). De medewerkers van LP weten ons beter te vinden. Ook de Privacy Officers informeren lijndirecties waar LP voor is en welke rol/taak de Privacy officer hierin heeft. Dit Managementreactie

gezegd hebbende zijn we uiteraard al in bevinding 1 en 2 ingegaan op de actualisatie van het beleid en de rollen, taken en verantwoordelijkheden. Dus we verwijzen graag daar naar. Tot slot: we zijn met LP in gesprek over de juiste positionering van het LP en de technische ondersteuning van LP. Dit doen wij in samenwerking met het stedelijke WOO-team. NB: LP handelt geen WOO-verzoeken af maar ondersteunt soms het stedelijke WOO-team als er verzoeken binnen komen die zowel de AVG als een specifieke WOO-verzoek raken (artikel 5.5. WOO verzoeken).

Einddatum: Zie bevindingen 1 en 2. Follow-up audit: ja, vanuit tweede lijn control middels FiC, elk 3 jaar privacy audit vanuit DMC.

De vakgroep DREP pakt deze bevindingen op. De Chief Privacy officer zal samen met de teamleider Privacy hiervoor aan de lat staan. Verder verwijzen we naar de bevindingen 1 en 2.

Bijlage 2: Overzicht van gecontroleerde beheersmaatregelen Symbool

Betekenis

V

Opzet, Bestaan en/of Effectieve Werking is vastgesteld.

O

Opzet, Bestaan en/of Effectieve Werking is gedeeltelijk vastgesteld.

X

Opzet, Bestaan en/of Effectieve Werking is niet vastgesteld.

—

Opzet, Bestaan en/of Effectieve Werking is getoetst.

Risico

Beheersmaatregelen

R1 Als gevolg van het ontbreken van een

IB1.1 Adequate positionering FG, zie

effectieve inrichting van de privacyfunctie en

deelrisico 1

processen bestaat de kans dat de

IB1.2 Opstellen, vaststellen en onderhouden

vertrouwelijkheid van de (persoons)gegevens

van beleid, procedures en richtlijnen, zie

van natuurlijke personen (i.c. burgers,

deelrisico 2

ondernemers, bezoekers en inwoners van de

IB1.3 Inrichten, vastleggen en vaststellen van

gemeente zelf) niet is gewaarborgd. Dit

rollen, taken en verantwoordelijkheden, zie

betreft het schenden van de Europese

deelrisico 3

Normenkader

Opzet

Bestaan

Toelichting

Zie deelrisico’s

O

O

Zie deelrisico’s

Artikelen 38 en 39

V

O

Bevinding 3

grondrechten van natuurlijke personen op de bescherming van persoonsgegevens en de eerbiediging van het privéleven. Dit kan vervolgens leiden tot schade voor individuele burgers, boetes van de AP en reputatieschade voor de gemeente. R2 Als gevolg van een suboptimale positionering van de FG, bestaat de kans dat de FG onvoldoende effectief toezicht kan

IB2 We toetsen op de onderwerpen: • Verwerken persoonsgegevens • Toegang en middelen • Onafhankelijkheid

AVG

Risico

Beheersmaatregelen

uitoefenen wat kan leiden tot te laat

• Communicatie FG intern en extern • Geheimhouding • Taken en verantwoordelijkheden FG • Kwalificatie FG IB3 We toetsten op de onderwerpen:

identificeren en oplossen van belangrijke privacy- en compliance vraagstukken. R3 Als gevolg van het ontbreken van actuele, vastgestelde en duidelijke beleidsdocumenten en richtlijnen bestaat de kans dat medewerkers te veel persoonsgegevens vastleggen en kunnen raadplegen wat kan leiden tot het schenden van de privacy van burgers. R4 Als gevolg van gebrekkige taakafbakening bestaat de kans op misverstanden, niet uitvoeren van taken of dubbel uitvoeren van taken wat kan leiden tot gebrekkige bescherming van persoonsgegevens van natuurlijke personen verzameld tijdens

• •

Strategisch beleid Verantwoordelijkheden bij opstellen beleid • Aansluiting beleid stedelijke processen • Aanwezigheid beleid voor onderwerpen vermeld in de AVG (specifiek beleid) IB4 We toetsen op de onderwerpen: • • • • •

uitvoering van gemeentelijke taken. •

Taken FG Taken en verantwoordelijkheden in privacyborgingsproducten Gedragscode, certificering Training Afbakening van rollen, verantwoordelijkheden en competenties Afstemming van rollen, verantwoordelijkheden en middelen

Normenkader

Opzet

Bestaan

Toelichting

O

O

Bevinding 1 en 5

X

X

Bevinding 2, 4 en 5

Artikel 37 AVG m.u.v. lid 1 t/m4

Artikelen 2, 3, 23 t/m 29, 31 en 33 AVG Amsterdam Doelgericht

Artikelen 24, 28, 39 t/m 42 AVG Amsterdam Doelgericht Mandaatbesluit