Bijlage 2 Rapport extern onderzoek.pdf

3.3.6

Wet politiegegevens (Wpg) Bestaande situatie In de tweede lijn, bij de vakgroep DREP is een Privacy Officer specifiek aangesteld voor de Wpg. De rol van deze Privacy Officer is beschreven in het privacy beleidskader Wpg.27 De afgelopen periode is veel geïnvesteerd in het verhogen van de kennis en bewustzijn over de Wpg in de eerste lijn en dat werpt zijn vruchten af. Daarnaast is een Wpg e-learning in ontwikkeling waardoor de kennis en het bewustzijn op het onderwerp verder verhoogd is. De eerste ambitie voor de Wpg is om beter voorbereid te zijn op de Wpg audits, omdat in het verleden is gebleken dat de organisatie niet voldoet aan de Wpg. 28 Elke directie met buitengewoon opsporingsambtenaren (BOA’s) moeten volgens het stedelijk beleid een Wpgcontactpersoon hebben 29, maar dat is niet in elke directie als zodanig geïmplementeerd. Uit de interviews is gebleken dat de betrokkenheid van de directies op het onderwerp sterk verschilt. Ondanks de toename van de kennis en het bewustzijn op de Wpg in de eerste lijn, is het daardoor kwetsbaar als ‘single point of knowledge’ dat er in de tweede lijn slechts één Privacy Officer is met deze specifieke kennis. Omdat er in de derde lijn beperkte kennis van de Wpg aanwezig is, leunt het toezicht sterk op de tweede lijn. Dit zou hier niet moeten liggen.

27 28 29

Stedelijk privacykader Wet Politiegegevens gemeente Amsterdam, p. 2-3. Jaarverslag FG 2024, p. 15. Stedelijk privacykader Wet Politiegegevens gemeente Amsterdam, p. 2-3.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 22 van 40

Gewenste governance Wij adviseren om binnen de tweede lijn een tweede Privacy Officer voor de Wpg op te leiden, zodat er bij afwezigheid vervanging kan plaatsvinden en de continuïteit gewaarborgd blijft. Wij adviseren daarnaast om inzichtelijk te maken bij welke directies met BOA’s nog geen Wpgcontactpersoon is aangesteld, zodat handhaving van het beleid kan plaatsvinden en de betreffende directie kan worden aangesproken op het niet voldoen aan het beleid. Ten slotte adviseren wij om de investering in het verhogen van het kennis en bewustzijn over de Wpg voort te zetten, zodat binnen de gemeente de kennis over de Wpg binnen alle lijnen van de organisatie breder geborgd is.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 23 van 40

3.4

FG-office Toepasselijke deelvragen 2.1 2.2

Is de organisatie, inrichting en bemensing van de FG-office adequaat om de rol van toezichthouder conform de wettelijke taken naar behoren uit te voeren? Beschikt de FG-office over voldoende middelen om de rol van toezichthouder naar behoren uit te voeren?

Algemene bevindingen De organisatie is adequaat, maar de inrichting en bemensing niet. Door de beperkte capaciteit en de onvolwassenheid van de organisatie kan de FG haar wettelijke taken niet naar behoren uitvoeren.

Adviezen •

•

•

Vergroot de capaciteit van de FG-office om mee te groeien met de bijgekomen taken, zoals het toezicht op de Wpg, het coördinerend FG-schap in de WGS en toezicht op de verwerking van persoonsgegevens in AI. Stel een FG-statuut (of ander document) vast waarin de rol, taken en verantwoordelijkheden van de FG duidelijk wordt omschreven. Dit kan duidelijkheid scheppen ten opzichte van de CPA en directie Juridische Zaken. Bij een hogere privacyvolwassenheid van de organisatie, waarbij de eerste en de tweede lijn hun taken en verantwoordelijkheden uitvoeren volgens het Three Lines Model en de informatievoorziening naar de FG geborgd is, verschuift het toezicht van ad-hoc naar meer proactief toezicht.

Bestaande situatie De gemeente Amsterdam heeft een FG die wordt ondersteund door een assistent-FG. Tezamen vormen zij de FG-office met een formatie van 2,0 FTE. Een van de grootste knelpunten waarde FG-office tegenaan loopt, is het werk dat met twee personen moet worden verricht. Sinds 2018 zijn er taken voor de FG van Amsterdam bijgekomen en is er op het gebied de verwerking van persoonsgegevens in AI veel gebeurd. Tot het takenpakket van de FG behoren advisering ten aanzien van DPIA’s, toezicht houden, informeren en adviseren van de organisatie over privacywetgeving en contact met de AP.30 Afgelopen jaren is daar veel bijgekomen. Sinds 2022 hoort het toezicht op de uitvoering en naleving van de Wpg ook tot het takenpakket van de FG. Dit levert een toename van de complexiteit van taken op, doordat de Wpg op specifieke punten afwijkt van de AVG en in samenhang gelezen moet worden met het strafvorderlijke juridisch kader van de opsporing, waarbij medewerkers een onderscheid moeten maken tussen taken waarop de AVG van toepassing is en taken waarop de Wpg van toepassing is. Daarnaast vragen de wettelijk verplichte Wpg-audits aandacht van de FG. Specialistische kennis over de Wpg is niet bij de FG-office aanwezig. Daarom leunt de FG sterk

30

Artikel 39 AVG.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 24 van 40

op de Wpg-coördinator. Het toezicht op de Wpg is daarmee sterk afhankelijk van een bepaalde persoon en dat raakt de onafhankelijkheid van de FG. Verder is per 1 maart 2025 de Wet gegevensverwerking door samenwerkingsverbanden (WGS) in werking getreden. De FG van Amsterdam treedt op als coördinerend FG voor het Regionaal Informatie- en Expertisecentrum (RIEC) en het Actiecentrum Veiligheid en Zorg (AcVZ) van de regio Amsterdam. Voor deze twee samenwerkingsverbanden moet de coördinerend FG de toezichtstaak alle deelnemende FG’s van de gezamenlijke verwerkingsverantwoordelijken coördineren. Daarnaast speelt de coördinerend FG een rol bij de op grond van de WGS verplichte privacyaudits. Verwacht wordt dat in opstartfase in de eerste twee jaar veel DPIA’s worden voorgelegd aan de coördinerend FG. Tot op heden is het gebruik van AI afgelopen jaren toegenomen. Toezicht houden op het gebruik van persoonsgegevens in AI kent een eigen dynamiek en vereist veel nieuwe kennis. Momenteel lukt het de FG niet om aan al haar wettelijke taken te voldoen, zoals het desgevraagd voorzien van advies op DPIA’s.31 De gemiddelde doorlooptijd van een DPIA bij de FG is opgelopen tot meerdere maanden. Ondertussen staat de organisatie stil en kan niet worden begonnen aan een voorgenomen verwerking.

Uit de interviews is echter gebleken dat in sommige gevallen de verwerking wel begint met als risico dat de verwerking hoge risico’s voor betrokkenen bevat waarop de FG geen advies heeft kunnen geven. Het toezicht door de FG vindt nu vooral achteraf plaats aan de hand van signalen, klachten en risico’s uit DPIA’s. Ook wordt de FG bij projecten of voorgenomen verwerkingen soms pas laat in het proces betrokken, waardoor het moeilijker is om bij te sturen. Dit leidt ertoe dat er veel ad hoc-werk is, terwijl de FG graag naar proactief en stimulerend toezicht toe wil werken. Daarnaast zijn er veel factoren die het werk en de efficiëntie van de FG beïnvloeden. Veel DPIA’s worden vanwege beperkte kennis en ervaring nog niet met hoge kwaliteit aangeleverd bij de FG, ondanks dat er wel een DPIA-proces is. De tijd die de FG moet steken in ad hoctoezicht, advisering op DPIA’s en kennis en bewustzijn, hangt af van de mate van privacyvolwassenheid van de organisatie. Een hogere privacyvolwassenheid vergemakkelijkt het werk van de FG. De capaciteit en waardering van de functies in de FG-office zijn sinds 2018 niet meer herijkt. Met de groei van de privacyorganisatie, het geïntensiveerde takenpakket van de FG en de toenemende digitalisering bij de gemeente Amsterdam, is het nodig om de capaciteit uit te breiden.

Daarnaast is gebleken dat het vinden van ondersteuning bij de FG-office lastig is, onder meer vanwege de vele specialistische kennis die is vereist. Daarom is het verstandig om bij de uitbreiding van de FG-office de waardering van de ondersteuning in overeenstemming te brengen met het functiehuis van de Privacy Officers. Per 1 januari 2024 is de FG ondergebracht bij de directie Juridische Zaken om te waarborgen dat de FG onafhankelijk kan opereren. De FG valt hierdoor functioneel onder de Gemeentesecretaris en qua p-verantwoordelijkheid onder de directie Juridische Zaken. Deze herpositionering is goed bevallen en biedt voldoende garanties om onafhankelijk toezicht te houden.32 Het komt voor dat zowel Juridische Zaken als de FG adviseert op een vraagstuk,

31

32

Jaarverslag FG 2024, p. 9-10. Zo heeft de FG in 2024 in totaal 84 DPIA’s ontvangen. 59 zijn er in behandeling genomen en hiervan zijn er 26 van advies voorzien. Voor 33 DPIA’s is om aanvullende informatie gevraagd. Jaarverslag FG 2024, p. 3.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 25 van 40

waarbij de FG vanuit haar onafhankelijke positie anders kijkt naar een vraagstuk. Dit vraagt om duidelijke communicatie naar de organisatie om onduidelijkheid te voorkomen. Op dit moment is er geen FG-statuut (of vergelijkbaar document). De rol, taken en verantwoordelijkheden staan alleen kort beschreven in het document van de taken en verantwoordelijkheden.

Gewenste governance Wij adviseren de formatie van de FG-office te vergroten, zodat de wettelijke taken (zoals DPIAadvies, toezicht en advisering) binnen redelijke termijnen kunnen worden uitgevoerd. Het helpt daarin als de FG eerder in het proces wordt betrokken. Door het vergroten van de capaciteit en het op tijd betrekken van de FG, is het mogelijk om meer proactief en stimulerend toezicht te houden. Gezien de intensivering van het takenpakket met de Wpg, AI en coördinerend FG-schap is het belangrijk om hiervoor voldoende formatie beschikbaar te stellen. Zeker het coördinerend FGschap kan flink veel werk opleveren voor de FG. Deze onderwerpen vereisen ondersteuning met specialistische kennis. Dat betekent dat de functies en waardering van de FG-office herijkt moeten worden, aangezien deze sinds 2018 niet meer zijn gewijzigd. Een FG-statuut zou de onafhankelijkheid, duidelijkheid en transparantie rond de rol van de FG kunnen vergroten. Hierin zou bijvoorbeeld ook opgenomen kunnen worden hoe de onafhankelijkheid van de FG ten opzichte van het bestuur en de directie Juridische Zaken gewaarborgd kan blijven. Wij adviseren dat de vakgroep DREP het FG-statuut opstelt, in samenspraak met de FG en directie Juridische Zaken, en vervolgens laat vaststellen door het college van B&W.

In hoofdstuk 4 wordt aan de hand van een benchmark een schatting gemaakt van de benodigde bezetting in de derde lijn. Samengevat adviseren wij dat er 1,5 tot 2,0 FTE aan formatie bij komt in de FG-office.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 26 van 40

3.5

Commissie Persoonsgegevens Amsterdam (CPA) Toepasselijke deelvragen 3.1 3.2

3.3

Hoe staan de QAA in verbinding met het Reglement van de CPA binnen het brede landschap van de gemeentelijke privacygovernance? Op welk moment in het proces van gemeentelijke beleids- en regelgevingsontwikkeling moet, met in achtneming van de QAA een gemeentemedewerker naar de CPA, en waarvoor naar de FG? Hoe kan dit voor gemeentemedewerkers nader worden verhelderd?

Algemene bevindingen Voor de medewerkers van de gemeente is het onvoldoende duidelijk op welk moment in het proces van gemeentelijke beleids- en regelgevingsontwikkeling de medewerker naar de CPA en/of de FG moet en wat de verschillen zijn tussen deze twee actoren.

Adviezen •

Verduidelijk in het document met taken en verantwoordelijkheden de rollen van de CPA en de FG. Vooral de reikwijdten en doelstellingen kunnen voor de organisatie worden verhelderd.

•

Actualiseer de QAA en het Reglement en promoot het gebruik van de QAA zowel bij de opgaven als de directies. Maak het onderdeel van kennis- en bewustzijnstrainingen aan de eerste lijn. Richt een proces in voor de QAA hoe opvolging wordt gegeven aan CPAadviezen en wie dit monitort.

• • •

De actualisatie van de rollen, taken en verantwoordelijkheden en de QAA is een goed moment om een naamswijziging van de CPA te overwegen. Dit kan samengaan met een interne campagne over het belang van gegevensbescherming in de organisatie.

Bestaande situatie De Commissie Persoonsgegevens Amsterdam (CPA) adviseert gevraagd en ongevraagd het college van B&W en de ambtelijke organisatie van de gemeente Amsterdam over beleid met betrekking tot de bescherming van persoonsgegevens, algoritmen, data-ethiek en mensenrechten die samenhangen met digitalisering. De CPA heeft een eigen reglement dat de afbakening van taken en bevoegdheden regelt, alsmede het lidmaatschap en de organisatie van de commissie.33 Er bestaat onduidelijkheid over de verschillende doelen van de CPA en de FG. De FG is vanuit privacywetgeving in veel gevallen een ‘must’ op grond van wetgeving over gegevensbescherming, terwijl de CPA vanuit een bredere blik (ethiek, techniek,

33

Reglement van de Commissie Persoonsgegevens Amsterdam 2021.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 27 van 40

mensenrechten) kijkt of het wel wenselijk is dat een project met veel data wordt uitgevoerd. Dit komt mede omdat in het document met taken en verantwoordelijkheden weinig onderscheid duidelijk wordt gemaakt tussen de rol van de CPA en de FG en de reikwijdte van de CPA is verbreed. Ook uit het Reglement van de CPA blijkt niet duidelijk wat de verschillende reikwijdten zijn van de CPA en de FG. Volgens het Reglement vindt er tussen de CPA en FG overleg plaats om overlap in elkaars werkzaamheden te voorkomen.34 Uit de interviews blijkt dat dit overleg er vooral is om elkaar op de hoogte te houden en elkaar niet te verrassen. Op welke wijze een overlap van werkzaamheden nu wordt voorkomen, is niet duidelijk. In de interviews is verder naar voren gekomen dat niet alle medewerkers duidelijk weten wanneer een (voorgenomen) verwerking moet worden voorgelegd aan de CPA. Hiervoor zouden de Quality Assurance Acceptatiecriteria (QAA) uitkomst moeten bieden, waarin staat beschreven op welk moment aan welke compliance eisen een nieuw proces moet voldoen.35 De QAA zijn niet bij elk organisatieonderdeel bekend of worden niet altijd toegepast. Volgens de QAA moet men de casus voorleggen voor advies aan de CPA als een verwerking ‘complex of politiek gevoelig is’. Invulling van dit begrip vindt plaats aan de hand van uitleg en een aantal voorbeelden in de QAA.

Toch is niet voor elke medewerker helder of en wanneer men de CPA moet consulteren. Ook de volgordelijkheid van adviesaanvragen aan de CPA en de FG blijkt uit de QAA. Dit duidt erop dat de QAA niet bekend zijn of niet goed worden nageleefd. Overigens staat in de QAA niet beschreven wat er moet gebeuren bij conflicterende adviezen van de CPA en de FG; in dat geval gaat het advies van de FG voor. 36 Indien de CPA om advies wordt gevraagd, blijkt uit interviews dat de doorlooptijd van het verkrijgen van advies acht tot twaalf weken is. Dit is begrijpelijk omdat de CPA eens per zes weken bij elkaar komt, maar in de tussentijd staat de organisatie stil in afwachting van advies of bestaat het risico dat wordt doorgegaan met de verwerking terwijl dit niet wenselijk is. Daarnaast is er geen proces ingericht voor de opvolging van CPA-adviezen. Formeel gezien moet afwijken van een CPA-advies op beargumenteerde wijze gebeuren en aan het college van B&W en de CPA worden gerapporteerd.37 Het is een gedeelde verantwoordelijkheid vanuit de directie Bestuurszaken en de ambtelijk secretaris van de CPA om de opvolging jaarlijks op te vragen. Uit de gehouden interviews en uit de gevonden documenten is echter gebleken dat voor de organisatie niet duidelijk is hoe dit proces in elkaar steekt, op welke wijze dit wordt gemonitord, wie dit moet doen en dat dit op structurele wijze gebeurt.

Gewenste governance Wij adviseren om de rollen, taken en verantwoordelijkheden van de CPA en de FG te verduidelijken in het document met taken en verantwoordelijkheden. Een beslisboom of stroomdiagram kan behulpzaam zijn. Het is verstandig om uit te leggen wat de CPA en de FG doen, dat de FG vaak een ‘must’ is vanuit wetgeving rondom gegevensbescherming en dat de CPA breder kijkt bij projecten met datagebruik naar de wenselijkheid en ethiek. Dit kan worden ondersteund met voorbeelden, zodat het beter herkenbaar wordt voor de medewerkers wanneer de FG en/of de CPA geconsulteerd moet worden. Deze rolverdeling

34 35 36 37

Toelichting op het Reglement van de Commissie Persoonsgegevens Amsterdam 2021. Quality Assurance Acceptatiecriteria 1.3. Zo zijn Privacy Officers betrokken bij stappen 3 en 4, de CPA bij stap 6 en de FG bij stap 7. Toelichting op het Reglement van de Commissie Persoonsgegevens Amsterdam 2021. Artikel 2, lid 3 van het Reglement van de Commissie Persoonsgegevens Amsterdam 2021.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 28 van 40

kan ook worden verduidelijkt in het Reglement van de CPA. Wij adviseren dat de CPA en de FG, zoals beschreven in de toelichting van het Reglement, meer met elkaar overleggen om overlap in werkzaamheden te voorkomen. Met een duidelijkere rolafbakening wordt het voor de organisatie duidelijker wat de toegevoegde waarde is van de CPA en FG, ieder vanuit zijn eigen rol. De QAA moeten verduidelijkt worden en meer bekendheid krijgen in de organisatie. Dit kan onderdeel zijn in trainingen voor kennis en bewustzijn aan de organisatie. De eerste lijn geeft deze trainingen vaak, de tweede lijn ondersteunt met materialen. De QAA ziet niet alleen op privacy, maar omvatten ook Informatiebeveiliging, Informatiebeheer en Architectuur. Zoek daarom de samenwerking op om te werken aan bekendheid en een concretere invulling van de van de QAA. Dit kan bijvoorbeeld middels een gesprek met de CPA en de medewerkers die bij het opstellen en uitvoeren van de QAA betrokken zijn. De actualisatie van taken en verantwoordelijkheden, de verduidelijking van de QAA, verduidelijking van het Reglement en het opnemen van de CPA in privacytrainingen kan een goed moment zijn om te overwegen of de naam van de Commissie Persoonsgegevens Amsterdam nog voldoende haar taken dekt. Met de komst van de FG zijn de werkzaamheden van de CPA breder geworden.

De CPA adviseert niet alleen op de verwerking van persoonsgegevens, maar ook algoritmen, data-ethiek, digitale (mensen)rechten en openbaarmaking van persoonsgegevens. Wij

adviseren

dan

om

gelijktijdig

met

een

actualisatie

van

rollen,

taken

en

verantwoordelijkheden, een duidelijkere QAA, een duidelijker Reglement en nieuw bewustwordingsmateriaal een interne campagne te starten om het belang van het onderwerp gegevensbescherming aan te geven en de naamswijziging en bredere rol van de CPA kenbaar te maken. Samen met goede uitleg over de verschillen met de FG in de taken en verantwoordelijkheden, QAA en het Reglement, zal het helpen voor gemeentemedewerkers om de CPA te vinden en de CPA duidelijker voor de organisatie te positioneren. Ten slotte adviseren wij om een proces behorend bij de QAA in te richten voor de opvolging van de adviezen van de CPA zodat de opvolging eenduidig wordt. Dit omvat dat moet worden beargumenteerd als van een CPA-advies wordt afgeweken, op welke wijze de opvolging van adviezen wordt gemonitord en wie hiervoor verantwoordelijk is.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 29 van 40

4

Benchmark met andere organisaties Toepasselijke deelvragen 1.2. 1.3. 2.1

Is de (…) bemensing van de eerstelijns privacyorganisatie adequaat om haar rol goed te vervullen? Is de (…) bemensing van de tweedelijns privacyorganisatie adequaat om haar rol goed te vervullen? Is de (…) bemensing van de FG-office adequaat om de rol van toezichthouder conform de wettelijke taken naar behoren uit te voeren?

Algemene bevindingen De bezetting is in alle lijnen niet voldoende ingevuld. Vooral in de eerste lijn ontbreekt veel capaciteit, terwijl daar veel werk wordt uitgevoerd. In de tweede lijn is te weinig vaste formatie en veel inhuur. De FG-office is niet meegegroeid met de taken en verantwoordelijkheden die daar afgelopen jaren zijn bijgekomen.

Adviezen • • •

•

4.1

Zorg in elke directie voor een AVG- en een Wpg-contactpersoon. Dit kan ook in de rol van Compliance Officer of Privacy Contactpersoon. Zorg voor structureel in plaats van incidenteel budget in de tweede lijn. Met hetzelfde budget als nu, is dan meer capaciteit mogelijk. De capaciteit is vooral nodig voor domeinoverstijgende zaken die veel waarde toevoegen aan de organisatie en de eerste lijn helpen. De capaciteit van de FG-office moet worden verhoogd met 1,5 tot 2,0 FTE om te voldoen aan haar wettelijke taken en het geïntensiveerde takenpakket (Wpg, WGS, AI).

Schatten van formatie privacyorganisatie Voor het schatten van de formatie hebben wij een benchmark uitgevoerd met de gemeenten Rotterdam en Den Haag, het UWV en de Belastingdienst. Aanvullend wordt een onderzoek van M&I/Partners naar de grootte van het privacyteam en de FG-functie bij gemeenten gebruikt.38

38

Formatieonderzoek privacy bij gemeenten, M&I/Partners, https://mxi.nl/kennis/715/formatieonderzoek-privacy-bij-gemeenten-2024.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

14

april

2025,

pagina 30 van 40

4.1.1

Formatie eerste lijn Wij maken geen exacte inschatting voor de formatie in de eerste lijn. Dit komt omdat het overzicht van AVG- en Wpg-contactpersonen bij de directies in de eerste lijn met hoge frequentie verandert en de hoeveelheid tijd die zij besteden aan privacy respectievelijk de Wpg-werkzaamheden niet bekend is. Hierdoor ontbreekt een stabiele basis om de formatie te definiëren. In de benchmarkgesprekken is de bezetting van de eerste lijn vaak wel aan de orde gekomen. De verschillen in de organisatiestructuren en werkzaamheden zijn echter te groot om via deze weg getalsmatig een schatting voor de eerste lijn van Amsterdam te maken. Wel kan een aantal uitgangspunten worden geformuleerd. Allereerst adviseren wij dat elke directie een AVG- en, waar relevant, een Wpg-contactpersoon benoemt. Dit is nu nog niet het geval bij sommige directies. Deze rol kan worden gecombineerd met andere disciplines, zoals Informatieveiligheid, Informatiebeheer of integriteit in de vorm van een Compliance Officer.

Ook kunnen op clusterniveau meerdere AVG- dan wel Wpg-contactpersonen worden aangesteld over directies om zo een formatie van enige omvang in stand te kunnen houden wat voordelen biedt zoals continuïteit, kunnen opvangen van piekbelastingen en er niet vervallen wordt in een situatie waarin medewerkers een afweging moeten maken tussen werkzaamheden en waar verantwoordelijkheden niet nagekomen worden door een gebrek aan prioriteit. Dit verdient de voorkeur boven losse contactpersonen met een marginale formatie per directie. In de praktijk van Amsterdam zien we voorbeelden waarin per opgave één tot drie Privacy Contactpersonen of Compliance Officers volledig toegewijd aan de opgave werken. Deze aanpak werkt goed en biedt meerwaarde voor de opgave en voor de tweede lijn en voor de beheersing van risico’s. Een vergelijkbare inrichting is ook voor de lijnorganisatie aan te bevelen. Het zwaartepunt van de benodigde formatie zal logischerwijs liggen bij directies met een hoger risico, zoals het sociaal domein, handhaving en openbare orde, dienstverlening en digitalisering. Bij organisatieonderdelen waar minder risico is, kan de inzet beperkter zijn. Daarmee wordt de formatie van de eerste lijn een afspiegeling van risico’s, zoals ook de bedoeling wordt voor de tweede lijn.39

4.1.2

Formatie tweede lijn Ten aanzien van de tweede lijn blijkt uit de gesprekken met de gemeenten Rotterdam (25 FTE en Den Haag (19 FTE) dat zij een grotere vaste PO-formatie hebben dan Amsterdam, terwijl beide gemeenten minder inwoners hebben dan Amsterdam.40 Het UWV heeft een tweede lijn van 2 FTE, maar wil toe naar 6 FTE. Een opmerking hierbij is dat het UWV een sterke eerste lijn heeft ingericht met Business Security Officers (verantwoordelijk voor Informatiebeveiliging en Privacy) en hoge inschaling. Ook hebben ze een goed bezette FG-office in de derde lijn, die sommige tweedelijnstaken uitvoert. De Belastingdienst heeft verschillende lijnen die zich bezighouden met privacy. Er is een privacymanagementlijn, waarbij de Chief Privacy Officer

39

20250522 GMT - Naar betrouwbare en professionele digitalisering - volgende fase digitale transformatie v1.1, p. 21. 40 Ter vergelijking: Amsterdam heeft in 2025 ongeveer 935.000 inwoners, Rotterdam ongeveer 675.000 en Den Haag 570.000 inwoners. Afkomstig van https://www.cbs.nl/nlnl/visualisaties/dashboard-bevolking/regionaal/inwoners.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 31 van 40

10 FTE aan Privacy Officers heeft. Daarnaast is er een vaktechnische, inhoudelijke lijn van 70 decentrale privacyjuristen met eigen (landelijke) vakcoördinatoren. Uit het onderzoek van M&I/Partners blijkt dat de gemeente Amsterdam een minimale vaste PO-formatie van 19,6 FTE zou moeten hebben om op vergelijkbaar niveau van andere grote gemeenten uit te komen.41 Als de gewenste PO-formatie van andere grote gemeenten op de gemeente Amsterdam wordt toegepast, zou de gewenste PO-formatie uitkomen op 28,1 FTE.42 Gemeenten geven aan te willen groeien in privacyvolwassenheid. Daarom is een groei van de formatie logisch om dit te bewerkstellingen. Momenteel heeft de gemeente Amsterdam een vaste PO-formatie van 11,2 FTE. Uit zowel de gesprekken met de gemeenten Rotterdam en Den Haag als het onderzoek van M&I/Partners volgt dat het verstandig is om in Amsterdam de vaste PO-formatie te verhogen naar minimaal 19,6 FTE. Daarbij geldt dat vaste mensen goedkoper zijn dan inhuur en het mogelijk is om met hetzelfde budget meer capaciteit op te leveren. Amsterdam komt daarmee ongeveer op het niveau van grote gemeenten in Nederland. Hier bovenop zou een formatie van 1,5 tot 3,0 FTE kunnen helpen om vooral domeinoverstijgende of coördinerende zaken op te pakken, zoals het maken van beleid, werkprocessen, templates en kennis- en bewustwordingsmateriaal.

4.1.3

Formatie derde lijn Voor de FG-office blijkt uit gesprekken dat de FG-office van andere organisaties verschillende formaties heeft. De gemeente Rotterdam heeft een formatie van 3,0 FTE (inclusief FG). De gemeente Den Haag op het moment 1,0 FTE, maar vindt dit niet voldoende. De FG-office van het UWV heeft een formatie van 9,0 FTE plus gedeelde managementondersteuning met de CPO. Deze FG-office voert op het moment bepaalde tweedelijns taken uit die binnenkort aan de tweede lijn zullen worden overgedragen waardoor de FG-office uitkomt op 6 FTE. De FG(office) van het Ministerie van Financiën werkt voor het hele ministerie, waaronder de Belastingdienst. Bij deze FG-office is 5 FTE werkzaam, maar de Autoriteit Persoonsgegevens (AP) acht minimaal 6 FTE nodig voor het hele departement.43 Volgens het onderzoek van M&I/Partners, zou de gemeente Amsterdam een bestaande FGformatie van 3,7 FTE moeten hebben om op een vergelijkbaar niveau van andere grote gemeenten uit te komen.44 De gewenste FG-formatie van andere grote gemeenten komt op hetzelfde niveau uit als de bestaande FG-formatie.45 Momenteel heeft de FG-office een formatie van 2,0 FTE, wat niet voldoende is om aan de wettelijke taken te voldoen.

Gezien de hoeveelheid aangeboden DPIA’s waarop door de FG moet worden geadviseerd en de intensivering van het takenpakket met de Wpg, AI en de WGS, adviseren wij om de FG-office uit te breiden met 1,5 tot 2,0 FTE. Daarmee komt de totale formatie op 3,5 tot 4,0 FTE. Dit is in lijn met het onderzoek van M&I/Partners en de gemeente Rotterdam. Dit aantal ligt verder tussen de gemeente Den Haag, wat te weinig is, en het UWV en Belastingdienst.

41 42 43

44 45

Formatieonderzoek privacy, p. 3-4. De gemiddelde PO-formatie is 2,1 PO per 100.000 inwoners. Formatieonderzoek privacy, p. 6. De gewenste PO-formatie is 3,0 PO per 100.000 inwoners. Brief van de Autoriteit Persoonsgegevens aan de staatssecretaris van Fiscaliteit, Belastingdienst en Douane van 23 december 2024, https://www.autoriteitpersoonsgegevens.nl/documenten/brief-apover-privacyorganisatie-van-belastingdienst. Formatieonderzoek privacy, p. 3. De gemiddelde FG-formatie is 0,4 FG per 100.000 inwoners. Formatieonderzoek privacy, p. 6.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 32 van 40

4.2

Andere observaties Uit de benchmarkinterviews is gebleken dat een goede bezetting van de drie lijnen in de privacyorganisatie van cruciaal belang is om tot een goede uitvoering te komen volgens het Three Lines Model. Een goede samenwerking waarbij de afstand tussen de eerste en de tweede lijn niet te groot is, is door de geïnterviewden ook nadrukkelijk benoemd. Vergelijkbaar tussen de gemeente Amsterdam en de benchmarks is dat de eerste lijn niet altijd geëquipeerd is om de privacywerkzaamheden uit te voeren waardoor de tweede lijn een stap naar voren zet om hen te ondersteunen maar daardoor wel krapte heeft. Daarnaast is een belangrijk punt uit de interviews dat senioriteit en veel ervaring in de organisatie en het ‘goed aan tafel zitten’ bij het senior management een belangrijke factor is om de adviezen van de FG te laten landen bij de directies. Dat verhoogt ook de kans dat de adviezen daadwerkelijk geïmplementeerd worden. Bij een van de andere grote gemeenten is een Privacy Academy opgericht met een ingangstoets en een examen om een certificaat te halen. De training wordt gegeven door de medewerkers van de Chief Privacy Officer en zorgt voor een steeds groter netwerk aan ambassadeurs in de organisatie. In een van de interviews is naar voren gekomen dat de CPO drie Privacy Officers heeft aangenomen om deze medewerkers vervolgens door te ‘verhuren’ aan de eerste lijn.

De privacyexpertise blijft dan wel centraal georganiseerd. De Commissie Persoonsgegevens Amsterdam zoals deze in de gemeente Amsterdam bestaat, is als zodanig geen commissie die ook is ingericht bij de benchmarkorganisaties. In Rotterdam bestaat een Algorithm Advisory Board, die advies geeft hoe algoritmen op ethische, maatschappelijk verantwoorde en transparante kunnen worden vormgegeven.46 Het UWV heeft een Commissie Data Ethiek die adviseert over ethische en verantwoorde omgang met gegevens.47 Deze Commissie geeft adviezen op IAMA’s (Impact Assessment Mensenrechten en Algoritmes). Bij het UWV en de gemeente Rotterdam zijn de reikwijdten van de adviescommissie en de FG verschillend en hebben geen overlap met elkaar, zoals op het vlak van persoonsgegevens wel bestaat bij de CPA en de Amsterdamse FG. In Groningen bestaat een Ethische commissie data en technologie48, die adviseert over het gebruik van nieuwe digitale technologieën aan de hand van een aantal publieke waarden.49 Ten slotte is uit de interviews gebleken dat het inrichten van een grote vaktechnische, juridische lijn naast een privacymanagement lijn zorgt voor inefficiëntie en tegengestelde adviezen, waardoor de eerste lijn niet weet hoe zij hieraan opvolging moet geven.

46 47

48 49

Instellingsbesluit Algorithm Advisory Board, gemeente Rotterdam, 23 juni 2022, http://lokaleregelgeving.overheid.nl/CVDR678222. Commissie Data Ethiek binnen UWV adviseert over datatoepassingen, UWV, 31 maart 2022, https://www.uwv.nl/nl/persberichten/commissie-data-ethiek-binnen-uwv-adviseert-overdatatoepassingen. Instellingsbesluit ethische commissie data en technologie, gemeente Groningen, 1 augustus 2023, https://lokaleregelgeving.overheid.nl/CVDR699786. Ethische commissie data en technologie, https://gemeente.groningen.nl/ethische-commissie-dataen-technologie.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 33 van 40

5

Globaal stappenplan In dit hoofdstuk is een globaal stappenplan opgebouwd rondom vijf prioriteiten die richting geven aan verdere verbetering van de privacyorganisatie. De vijf prioriteiten zijn onderverdeeld in deelprioriteiten. Deze deelprioriteiten moeten onderling en in samenhang worden opgepakt. Prioriteit 1: actualiseer de governance en het beleid Prio

Maatregelen

Gewenste situatie

Wie

1a

Leg formeel vast welk

Een vastgesteld en actueel

Tweede

governancemodel de gemeente

governancemodel schept

lijn

Amsterdam wil implementeren voor

duidelijkheid over de structuur van de

compliance. Het nieuwe 3LMO sluit

organisatie en de rollen.

aan op de Amsterdamse organisatie. 1b

Actualiseer het document met taken

Een actueel document met taken en

Tweede

en verantwoordelijkheden. Maak

verantwoordelijkheden schept

lijn

daarin ook duidelijker onderscheid

duidelijkheid. Zo is het verschil tussen

tussen de CPA en de FG. Neem daarin

de eerste en tweede lijn duidelijker,

de verantwoordelijkheden rondom de

alsook tussen de CPA en FG.

opvolging van de BPA en managementrapportages op. 1c

Actualiseer het privacybeleid, dat als

Een actueel privacybeleid gaat mee

Tweede

overkoepelend kader dient voor

met technologische en

lijn

onderliggend beleid. Neem hierin ook

maatschappelijke ontwikkelingen.

de BPA op.

Ook kan dit worden gebruikt als overkoepelend kader voor verder beleid, processen en templates.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 34 van 40

Prioriteit 2: versterk de formatie in de eerste, tweede en derde lijn Prio

Maatregelen

Gewenste situatie

Wie

2a

Versterk de eerste lijn. Maak inzichtelijk

De eerste lijn is in elke directie

Eerste lijn

welke directies een Avg- en Wpg-

bezet. De eerste lijn voert

contactpersoon hebben. Zorg dat elke

werkzaamheden uit zoals

directie een AVG- en Wpg-

bewustwording, training, het

contactpersoon heeft. Dit kan ook in de

verwerkingsregister, DPIA’s en

rol van een Compliance Officer of Privacy

inzageverzoeken.

Contactpersoon. 2b

Versterk de tweede lijn. Zorg voor

Door structureel geld voor

Tweede

structurele financiering in plaats van

structureel werk te hebben,

lijn

incidenteel geld. Met hetzelfde geld kan

ontstaat ruimte voor verbetering

meer capaciteit worden aangetrokken en

en domeinoverstijgende zaken.

ontstaat ruimte voor

Kennis gaat niet verloren.

domeinoverstijgende zaken. 2c

Versterk de FG-office. Een vergroting van

DPIA’s worden snel voorzien van

de capaciteit helpt de FG om mee te

advies, zodat de organisatie

groeien met de bijgekomen taken en de

verder kan. Door de FG op tijd te

organisatie om tijdig advies te verkrijgen

betrekken, ontstaan minder

op DPIA’s.

problemen later in het proces.

Derde lijn

Prioriteit 3: actualiseer beleid, processen, QAA en het Reglement Prio

Maatregelen

Gewenste situatie

Wie

3a

Laat de tweede lijn beleid, processen en

De organisatie (eerste lijn) wordt

Tweede

templates ontwikkelen afgestemd op de

door de tweede lijn geholpen met

lijn

directies in de eerste lijn. Door integraal

producten en informatie hoe het

samen te werken met

wel kan op een privacyvriendelijke

Informatiebeveiliging en -beheer, is de

manier.

tweede lijn van toegevoegde waarde voor de organisatie. 3b

3c

Verduidelijk en actualiseer de QAA en het

De QAA en het Reglement zijn

Tweede

Reglement. Communiceer deze naar de

zowel in de directies als de

lijn

organisatie. Maak daarbij duidelijk

opgaven bekend bij de eerste lijn

onderscheid in de rollen van de FG en de

en worden gebruikt bij het

CPA. Laat het terugkomen in kennis- en

opstarten van nieuwe projecten.

bewustzijnstrainingen. Werk hierin

Het is helder wat de rollen van de

samen met andere vakgroepen.

FG en CPA zijn.

Richt een proces in bijhorend bij de QAA

Er is een proces ingericht voor de

Tweede

waarin de opvolging van de CPA-adviezen

opvolging van CPA-adviezen. Als

lijn

wordt vastgelegd en wie hiervoor

wordt afgeweken van het advies,

verantwoordelijk is.

wordt dit gemotiveerd.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 35 van 40

Prioriteit 4: risicobeheer Prio

Maatregelen

Gewenste situatie

Wie

4a

Bepaal een uniforme wijze van

Passende privacymaatregelen

Tweede

risicobeoordeling, het niveau van

kunnen worden genomen waarbij

lijn

risicoacceptatie, onder welke

een afweging is gemaakt tussen

voorwaarden dit gebeurt en wie er

het risico en de kosten. Dit

verantwoordelijk voor is.

gebeurt op uniforme wijze in de organisatie en onder bepaalde voorwaarden.

4b

Maak het registreren van risico’s in FiC

Privacyrisico’s en maatregelen

Tweede

eenvoudiger. Zorg dat iedereen toegang

kunnen gemakkelijk worden

lijn

tot dezelfde informatie in FiC heeft.

ingevoerd. Iedereen heeft toegang tot dezelfde informatie, zodat op uniforme wijze keuzes kunnen worden gemaakt.

4c

Leg vast op welke wijze en wie opvolging

Directies maken prioriteit en

Tweede

moet gegeven aan

weten hoe ze aanbevelingen uit

lijn

managementrapportages. De Privacy

managementrapportages moeten

Contactpersonen en eventueel de Privacy

opvolgen. Ze worden hierbij

Officer kunnen de directies hierbij

geholpen door de tweede lijn.

helpen. De CPO zit aan tafel bij de directies.

Prioriteit 5: continuïteit van het Loket Persoonsgegevens, BPA en Wpg. Prio

Maatregelen

Gewenste situatie

Wie

5a

Integreer het Loket Persoonsgegevens in

Het Loket Persoonsgegevens is

Eerste lijn

het Woo-team. Besluit of het Loket

geïntegreerd in het Woo-team,

Persoonsgegevens uitsluitend een

waardoor pieken kunnen worden

coördinerende taak houdt of ook

opgevangen en aan de wettelijke

ondersteunt bij de afhandeling van

reactietermijn wordt voldaan. Het

verzoeken. Indien besloten wordt om ook

is ook mogelijk om verbeteringen

te ondersteunen moet onderzocht

door te voeren en speciale tools

worden welke gevolgen dit heeft voor de

aan te schaffen. Het Loket kan de

formatie.

directies helpen met de afhandeling van verzoeken.

5b

Leid een tweede Wpg-coördinator en een

In geval van uitval is continuïteit

Tweede

tweede BPA-coördinator op als

van de Wpg en de BPA

lijn

achtervang om de continuïteit te

gewaarborgd.

waarborgen.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 36 van 40

Bijlagen A

Lijst van gebruikte afkortingen AP

Autoriteit Persoonsgegevens

AVG

Algemene verordening gegevensbescherming

BPA

Baseline Privacy Amsterdam

CIP

Centrum Informatiebeveiliging en Privacybescherming

CPA

Commissie Persoonsgegevens Amsterdam

DII

Digitalisering, Innovatie en Informatie

DREP

Digitale Rechten, Ethiek en Privacy

DS&I

Digitale Strategie & Informatie

FG

Functionaris voor gegevensbescherming

IAMA

Impact Assessment Mensenrechten en Algoritmes

IIA

Institute of Internal Auditors

PCP

Privacy Contactpersoon

PO

Privacy Officer

QAA

Quality Assurance Assessment

WGS

Wet gegevensverwerking door samenwerkingsverbanden

Wpg

Wet politiegegevens

3LM

Three Lines Model

3LMO

Three Lines Model voor de Overheids- en non-profit sector

3LoD

Three Lines of Defence

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 37 van 40

B

Lijst van gesproken personen Wethouder ICT en Digitale Stad

College van B&W

Functionaris voor Gegevensbescherming

Directie Juridische Zaken

Assistent FG

Directie Juridische Zaken

Directeur Juridische Zaken

Directie Juridische Zaken

Voorzitter CPA

Commissie Persoonsgegevens Amsterdam

Vicevoorzitter CPA

Commissie Persoonsgegevens Amsterdam

Vicevoorzitter CPA

Commissie Persoonsgegevens Amsterdam

Stedelijk Directeur DII

Cluster Digitalisering, Innovatie en Informatie

Directeur DS&I

Directie Digitale Strategie & Informatie

Vakgroepmanager DREP

Directie Digitale Strategie & Informatie

Teamleider Privacy

Directie Digitale Strategie & Informatie

Teamleider Digitale Rechten en Ethiek

Directie Digitale Strategie & Informatie

Privacy Officer

Cluster Digitalisering, Innovatie en Informatie

Privacy Officer

Directies Onderwijs; Sport en Bos; Jeugd, Zorg en Diversiteit

Privacy Officer

Opgave Gebruik Openbare Ruimte

Privacy Officer

Directie Werk, Participatie en Inkomen

BPA-coördinator

Directie Digitale Strategie & Informatie

Wpg-coördinator

Directie Digitale Strategie & Informatie

Chief Information Security Officer

Directie Digitale Strategie & Informatie

Privacy Jurist

Cluster Sociaal

Compliance & Security Officer

Directie Parkeren

Compliance Officer

Directie Wonen

Privacy Contactpersoon en Integriteit

Directie Dienstverlening

Compliance Officer

Directie Werk, Participatie en Inkomen

Manager Woo-team

Directie Dienstverlening

Medewerker Woo-team

Directie Dienstverlening

Medewerker Woo-team

Directie Dienstverlening

Cluster i-lead

Clusters Sociaal

Cluster i-lead

Clusters Bedrijfsvoering en Bestuur en Organisatie

Cluster i-lead

Cluster Stadsdelen, Beheer en Dienstverlening

Cluster i-lead

Cluster Ruimte en Economie

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 38 van 40

i-lead

Opgave Gebruik Openbare Ruimte

i-lead

Jeugdzorg, Wmo en diversiteit

Directeur Inkomen

Directie Inkomen

Adjunct Directeur THOR

Directie Toezicht en Handhaving Openbare Ruimte

Chief Privacy Officer

Gemeente Rotterdam

Adviseur gegevensbescherming FG-office

Gemeente Rotterdam

Chief Privacy Officer

Gemeente Den Haag

Functionaris voor Gegevensbescherming

UWV

Chief Privacy Officer

Belastingdienst

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 39 van 40

C

Lijst van gebruikte documenten •

20250522 GMT - Naar betrouwbare en professionele digitalisering - volgende fase digitale transformatie v1.1, 20 mei 2025.

• •

Auditrapport Privacyfunctie, VIC2025/audit10AJP, 13 juni 2025, Brief van de Autoriteit Persoonsgegevens aan de staatssecretaris van Fiscaliteit, Belastingdienst en Douane van 23 december 2024, https://www.autoriteitpersoonsgegevens.nl/documenten/brief-ap-overprivacyorganisatie-van-belastingdienst.

•

Commissie Data Ethiek binnen UWV adviseert over datatoepassingen, UWV, 31 maart 2022, https://www.uwv.nl/nl/persberichten/commissie-data-ethiek-binnen-uwvadviseert-over-datatoepassingen. Compliance Functie v1, februari 2025.

• •

Een nieuw Three Lines Model voor de Overheids- en non-profit sector (3LMO), Tjerk Budding en Robert ’t Hart, 15 augustus 2025.

•

Ethische commissie data en technologie, https://gemeente.groningen.nl/ethischecommissie-data-en-technologie. FG jaarverslag 2024. Formatieonderzoek privacy bij gemeenten, M&I/Partners, 14 april 2025, https://mxi.nl/kennis/715/formatieonderzoek-privacy-bij-gemeenten-2024. Handleiding Privacy Governance - versie 3.2, Centrum Informatiebeveiliging en

• • •

• •

Privacybescherming, 14 augustus 2020, https://www.cip-overheid.nl/producten-endiensten/handleiding-borging-van-privacy-in-organisaties. Instellingsbesluit Algorithm Advisory Board, gemeente Rotterdam, 23 juni 2022, http://lokaleregelgeving.overheid.nl/CVDR678222. Instellingsbesluit ethische commissie data en technologie, gemeente Groningen, 1

• • •

augustus 2023, https://lokaleregelgeving.overheid.nl/CVDR699786. Inwoners per gemeente, CBS, https://www.cbs.nl/nl-nl/visualisaties/dashboardbevolking/regionaal/inwoners. Quality Assurance Acceptatiecriteria 1.3. Reglement van de Commissie Persoonsgegevens Amsterdam 2021. Stedelijk privacykader Wet Politiegegevens gemeente Amsterdam, 10 december 2024.

• •

Stedelijk privacykader Wet Politiegegevens gemeente Amsterdam, 10 december 2024 Taken en verantwoordelijkheden bij het verwerken van persoonsgegevens, 25

•

september 2018.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 40 van 40