Bijlage 2 Rapport extern onderzoek.pdf

Onderzoek naar de governance en formatie van de privacyorganisatie

Gemeente Amsterdam

Rapport

Paul Dam paul.dam@lexdigitalis.nl Carin van Oosten carin.vanoosten@lexdigitalis.nl Floris Beerens floris.beerens@lexdigitalis.nl Datum: 07 november 2025 Versie: 1.4 (eindversie)

Managementsamenvatting Aanleiding en methode De gemeente Amsterdam heeft laten onderzoeken in hoeverre de huidige privacyorganisatie van de gemeente voldoende ondersteuning biedt bij de toepassing van de Algemene verordening gegevensbescherming (AVG), Wet politiegegevens (Wpg) en aanverwante weten regelgeving. Daarnaast is beoordeeld of het toezichtstelsel adequaat is toegerust en of de rollen en verantwoordelijkheden van intern en extern toezicht helder zijn beschreven en gecommuniceerd. Het onderzoek is uitgevoerd met een combinatie van interviews, documentanalyse en benchmarking. Er zijn gesprekken gevoerd met personen uit de drie lijnen van de privacyorganisatie, medewerkers uit andere directies en op bestuurlijk niveau. Daarnaast zijn beleidsdocumenten, jaarverslagen, rapporten en werkafspraken geanalyseerd. De uitkomsten zijn getoetst aan best practices. Ook is een benchmark uitgevoerd met de gemeente Rotterdam, gemeente Den Haag, het UWV en de Belastingdienst. Voor het governancemodel wordt gebruik gemaakt van het nieuwe Three Lines Model voor de Overheid (3LMO).

Bevindingen Bij zowel de gemeente Amsterdam als de benchmark organisaties blijkt dat veel organisaties nog worstelen met de inrichting van het Three Lines Model. De organisaties kunnen op verschillende vlakken van elkaar leren, in hoofdstuk 4 wordt hier aandacht besteed. Voor de gemeente Amsterdam zijn er ook bevindingen en geven wij adviezen om verbeteringen in te zetten. De analyse laat zien dat het governancemodel voor privacy, compliance en risicobeheersing niet formeel is vastgesteld. De rollen, taken en verantwoordelijkheden zijn niet (volledig) vastgelegd. Hierdoor ontstaat onduidelijkheid over de rollen van de eerste en tweede lijn, de FG en de CPA. De privacystructuur en het Three Lines Model functioneren hierdoor niet efficiënt. De meeste organisaties uit de benchmark voeren het model niet op exacte wijze uit en worstelen met dit onderwerp. Met name in de eerste lijn ontbreekt bij directies de capaciteit en kennis om privacytaken adequaat uit te voeren. In de directies waar wel capaciteit is, is meer bewustzijn. De integrale aanpak met Informatiebeveiliging en -beheer in de opgaven werkt goed. De tijdelijke opvang van het Loket Persoonsgegevens bij het Woo-team wordt als positief ervaren. De tweede lijn kan beter worden ingericht. Het werk van de Privacy Officers wordt door de directies als positief ervaren, veelal als wordt gewerkt binnen een directie of cluster.

Er is door tijdelijke budgetten veel inhuur, terwijl er structureel werk wordt verricht. Door te weinig capaciteit gebeurt veel tweedelijns werk op ad-hoc basis en is daardoor lastig te plannen. Tussen de verschillende domeinen kan nog meer worden samengewerkt. In de derde lijn heeft de Functionaris voor Gegevensbescherming (FG) te weinig capaciteit om te voldoen aan haar wettelijke taken en haar geïntensiveerde takenpakket (Wpg, WGS, AI). Hierdoor vindt het toezicht op reactieve wijze en ad-hoc basis plaats, terwijl de FG graag naar proactief toezicht wil. Het adviseren op DPIA’s duurt vaak maanden, waardoor de organisatie in de tussentijd niet door kan, maar in bepaalde gevallen de verwerking toch start. Het is voor medewerkers niet duidelijk wanneer men naar de FG en naar de Commissie Persoonsgegevens Amsterdam (CPA) moet, doordat de rol van de CPA onduidelijk is voor de

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 1 van 40

organisatie. Er is verder geen formeel proces voor de opvolging van CPA-adviezen ingericht en wie verantwoordelijk is voor de monitoring hiervan. De ambtelijk secretaris vraagt wel jaarlijks de opvolging van de adviezen op bij de betreffende directies.

Adviezen Om de privacyorganisatie te versterken, adviseren wij om het governancemodel vast te leggen en aan te sluiten bij het nieuwe 3LMO, dat past op de organisatie van de gemeente Amsterdam. Daarbij moeten de rollen, taken en verantwoordelijkheden worden geactualiseerd. Maak daar bij de rollen van de FG en de CPA duidelijker. Elke directie zou een AVG- en Wpg-contactpersoon moeten hebben, die ook deelneemt aan een eerstelijns community voor kennisdeling. Investeer in de kennis en het bewustzijn van de eerste lijn, zodat het volwassenheidsniveau stijgt en de tweede en de derde lijn worden ontlast. Het Loket Persoonsgegevens kan het beste worden geïntegreerd in het Woo-team. Er ontstaan dan minder snel achterstanden, continuïteit wordt beter gewaarborgd, er zijn procesverbeteringen mogelijk en tools kunnen worden aangeschaft. Daarbij moet wel een keuze worden gemaakt of het Loket de AVG-verzoeken alleen blijft coördineren, of ook inhoudelijke ondersteuning bij de directies gaat uitvoeren. Als voor het laatste wordt gekozen, moet de formatie worden herzien. In de tweede lijn moet er meer structurele financiering komen. Wij adviseren op basis van benchmarkonderzoek om minimaal 19,6 FTE aan vaste formatie aan te houden. De tijdelijke budgetten uit de lijn moeten vaste budgetten voor de tweede lijn worden. Met hetzelfde geld kan dan meer capaciteit worden aangetrokken.

Dit is een besluit dat het GMT moet nemen. Ook heeft dit een positief gevolg voor het verloop, de continuïteit en de borging van kennis in de organisatie. In de tweede lijn ontstaat bovendien ruimte om te werken aan domeinoverstijgende zaken en de ontwikkeling van beleid, procedures, templates en kennismateriaal. Op deze wijze voegt de tweede lijn meer waarde toe aan de organisatie. Het privacybeleid moet worden geactualiseerd, dit is een overkoepelend kader voor het onderliggende beleid en procedures. De tweede lijn kan ook een leidende rol nemen in de opzet en monitoring van risicomanagement. Er moet een uniforme wijze van risicobeoordeling komen. Het registreren van risico’s in FiC moet makkelijker worden zodat de volledigheid en juistheid geborgd wordt. Verder is het van belang continuïteit te borgen door tweede coördinatoren op te leiden voor BPA en Wpg, inzicht te geven in de aanwezigheid van Wpg-contactpersonen en doorlopend te investeren in kennis over de Wpg in de eerste lijn. De FG-office moet structureel worden uitgebreid met circa 1,5 tot 2 FTE om het toegenomen takenpakket (Wpg, WGS en AI) adequaat uit te voeren. Een FG-statuut kan de positie en verantwoordelijkheden van de FG verduidelijken ten opzichte van de CPA en Juridische Zaken. Naarmate de privacyvolwassenheid van de organisatie stijgt, verschuift het toezicht van ad hoc naar proactief.

Het QAA-proces en het Reglement van de CPA moeten voor gemeentemedewerkers worden verduidelijkt, vooral wat betreft de verschillende reikwijdten van de CPA en FG. Bij elke directie en opdracht zou duidelijk moeten zijn dat de QAA gevolgd moeten worden. Maak dit daarom onderdeel van kennis en bewustzijn in de eerste lijn. Herziening van de rollen, taken en verantwoordelijkheden, het governancemodel, het Reglement en het privacybeleid, kan ook een goed moment zijn voor de CPA om een andere naam te overwegen die beter aansluit op haar werkzaamheden. Start daarom een interne campagne om het belang van privacy en de nieuwe naam van de CPA kenbaar te maken.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 2 van 40

Inhoudsopgave Managementsamenvatting ............................................................................................. 1 1

Inleiding .................................................................................................................. 4

2

Methodiek ............................................................................................................... 5

3

Analyse privacygovernance...................................................................................... 7 3.1 Privacystructuur .......................................................................................................... 7 3.1.1 Governancemodel ....................................................................................... 7 3.1.2 Rollen, taken en verantwoordelijkheden ......................................................... 8 3.1.3 Geschiedenis .............................................................................................. 9 3.1.4 Organogram privacyorganisatie .................................................................... 10 3.2 Eerstelijns privacyorganisatie .................................................................................... 12 3.2.1 Lijndirecties en opgaven .............................................................................. 12 3.2.2 Loket Persoonsgegevens ............................................................................. 14 3.3 Tweedelijns privacyorganisatie .................................................................................. 16 3.3.1 Vakgroep Digitale Rechten, Ethiek en Privacy (DREP) ...................................... 17 3.3.2 Privacybeleid ............................................................................................. 18 3.3.3 3.3.4 3.3.5 3.3.6

Risicomanagement ..................................................................................... 19 Managementrapportages en rapportagelijnen ................................................ 20 Baseline Privacy Amsterdam (BPA) ............................................................... 21 Wet politiegegevens (Wpg) ........................................................................... 22

3.4

FG-office ................................................................................................................... 24

3.5

Commissie Persoonsgegevens Amsterdam (CPA) ..................................................... 27

4

Benchmark met andere organisaties .......................................................................30 4.1 Schatten van formatie privacyorganisatie .................................................................. 30 4.1.1 Formatie eerste lijn ..................................................................................... 31 4.1.2 4.1.3 4.2

5

Formatie tweede lijn.................................................................................... 31 Formatie derde lijn ...................................................................................... 32

Andere observaties.................................................................................................... 33

Globaal stappenplan ..............................................................................................34

Bijlagen.........................................................................................................................37 A

Lijst van gebruikte afkortingen ................................................................................... 37

B

Lijst van gesproken personen .................................................................................... 38

C

Lijst van gebruikte documenten ................................................................................. 40

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 3 van 40

1

Inleiding Betrouwbare overheid: een adequate privacyorganisatie Mensen verwachten van de gemeente Amsterdam dat hun privacy wordt gerespecteerd, zeker in een tijd waarin digitale technologie het mogelijk maakt om op grote schaal data te verzamelen, te analyseren en verder in te zetten. Onzorgvuldig omgaan met gegevens van een burger bij gemeentelijke taken kan leiden tot ondermijning van de gemeentelijke legitimiteit, datalekken, discriminatie en andere benadeling van burgers. Naleving van privacybeginselen vormt mede daarom een belangrijk onderdeel van het zijn van een betrouwbare overheid.

Onderzoek in de context van een veranderende privacyorganisatie Daarom heeft de gemeente Amsterdam door Lex Digitalis laten onderzoeken in hoeverre de huidige privacyorganisatie van de gemeente in voldoende mate ondersteunt in de toepassing van de Algemene verordening gegevensbescherming (AVG), de Wet politiegegevens (Wpg) en aanverwante wet- en regelgeving (zoals kunstmatige intelligentie). Daarnaast wil de gemeente laten onderzoeken of het toezichtstelsel voldoende is geëquipeerd en of de rollen en verantwoordelijkheden van intern en extern toezicht voldoende helder zijn beschreven en gecommuniceerd naar de organisatie. Dit hangt samen met digitaliserings- en ethische vraagstukken, het respecteren van mensenrechten en organisatorische veranderingen in de privacyorganisatie van de gemeente Amsterdam sinds 2018.

Leeswijzer Hoofdstuk 2 behandelt de vraagstelling uit de offerte en de gehanteerde methodiek van dit rapport. In hoofdstuk 3 wordt de huidige en de gewenste governance geanalyseerd aan de hand van verschillende deelonderwerpen. In blauwe blokken staan de relevante deelvraag, algemene bevindingen en concrete adviezen bij de desbetreffende paragraaf samengevat. Hoofdstuk 4 beschrijft de benchmark die is uitgevoerd om de formatie te bepalen, samen met observaties uit de benchmark die voor de gemeente Amsterdam van pas kunnen komen. In hoofdstuk 5 is een globaal stappenplan opgenomen, waar de geadviseerde maatregelen worden gegroepeerd en geprioriteerd. Als bijlage zijn lijsten toegevoegd met (A) gebruikte afkortingen, (B) gesproken personen en (C) gebruikte documenten.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 4 van 40

2

Methodiek Vraagstelling De gemeente wil met het onderzoek de volgende hoofdvraag laten beantwoorden: Is de privacyorganisatie van de gemeente Amsterdam adequaat ingericht om haar doel te borgen om gegevens van de burger, ondernemer en bezoeker te beschermen tegen onrechtmatige verwerkingen en om het mensenrecht ‘privacy’ te beschermen, gezien de grootte, complexiteit en verantwoordelijkheden van de organisatie? Deze hoofdvraag is onderverdeeld in verschillende deelonderwerpen en -vragen. 1. Eerste- en tweedelijns privacyorganisatie De beschrijving van de taken en verantwoordelijkheden bij het verwerken van persoonsgegevens door de gemeente is sinds 2018 niet meer herijkt. Keuzes voor de positionering van onderdelen van de privacyorganisatie zijn niet geëvalueerd. Daarnaast kan de Vakgroep Digitale Rechten, Ethiek en Privacy (Vakgroep DREP) de gevraagde capaciteit niet leveren met de huidige formatie. Daarbij horen de volgende deelvragen: 1.1. Is de privacystructuur van de gemeente Amsterdam effectief en efficiënt ingericht voor haar taken en het borgen van haar verantwoordelijkheden? 1.2. Is de organisatie, inrichting en bemensing van de eerstelijns privacyorganisatie adequaat om 1.3.

haar taken goed uit te voeren? Is de organisatie, inrichting en bemensing van de tweedelijns privacyorganisatie adequaat om haar rol goed te vervullen?

2. Interne toezichtslijn AVG en Wpg (FG-office) In de interne toezichtslijn is er druk ontstaan op de capaciteit van de FG-office door nieuwe regelgeving, veranderingen in de werkwijze van de Autoriteit Persoonsgegevens (AP) en maatschappelijke en organisatorische ontwikkelingen zoals het van toepassing worden van de Wpg op de boa’s van de gemeente in 2019, de invoering van de rol van coördinerend FG door de Wet gegevensverwerking door samenwerkingsverbanden (WGS) en toenemende technologische complexiteit. Daarbij horen de volgende deelvragen: 2.1. Is de organisatie, inrichting en bemensing van de FG-office adequaat om de rol van 2.2.

toezichthouder conform de wettelijke taken naar behoren uit te voeren? Beschikt de FG-office over voldoende middelen om de rol van toezichthouder naar behoren uit te voeren?

3.

Adviesorgaan Commissie Persoonsgegevens Amsterdam (CPA)

De Commissie Persoonsgegevens Amsterdam (CPA) adviseert de gemeente over de aan haar voorgelegde of onderzochte kwesties over de verwerking van persoonsgegevens, algoritmen, data-ethiek, digitale (mensen)rechten en openbaarmaking van persoonsgegevens. In de Quality Assurance Assessment (QAA) criteria is opgenomen wanneer op grond hiervan advies moet worden gevraagd aan de CPA. Er bestaat behoefte aan de beantwoording van de vraag hoe verschillende actoren in het privacylandschap zich tot elkaar verhouden en hoe de rol van de CPA, gezien vanuit het Reglement CPA en de QAA, kan worden verduidelijkt. Daarbij horen de volgende deelvragen:

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 5 van 40

3.1. 3.2.

3.3.

Hoe staan de QAA in verbinding met het Reglement van de CPA binnen het brede landschap van de gemeentelijke privacygovernance? Op welk moment in het proces van gemeentelijke beleids- en regelgevingsontwikkeling moet, met in achtneming van de QAA een gemeentemedewerker naar de CPA, en waarvoor naar de FG? Hoe kan dit voor gemeentemedewerkers nader worden verhelderd?

Aanpak van het onderzoek Dit rapport is opgebouwd in drie onderdelen: (1) een analyse van de huidige en gewenste privacygovernance, (2) een berekening van de daarbij behorende formatie en (3) een globaal stappenplan om de gewenste governance te implementeren. Om inzicht te krijgen in zowel de formele governance als de praktijk, hebben we interviews gehouden met sleutelpersonen die werkzaam zijn in de drie lijnen van de privacyorganisatie en daarnaast medewerkers die werkzaam zijn in de uitvoering van de gemeente Amsterdam. In bijlage B is een lijst met geïnterviewde personen opgenomen. Verder analyseerden we relevante documenten, zoals beleidsstukken, auditrapporten, organogrammen en werkafspraken. In bijlage C is een lijst met gebruikte documenten opgenomen. Hiermee zijn ook de positionering, taken en werkzaamheden van de diverse onderdelen van de privacyorganisatie, zoals het Loket Persoonsgegevens, de vakgroep DREP, FG en CPA in beeld gebracht.

De gewenste governance is samengesteld aan de hand van beleidsdocumenten, observaties uit de interviews, best practices uit onze ervaringen en een selectie adviezen uit de handleiding over privacygovernance van het Centrum Informatiebeveiliging en Privacybescherming (CIP).1 We hanteren het nieuwe Three Lines Model voor de Overheids- en non-profit sector (3LMO) als basisstructuur.2 De benodigde formatie voor zowel de privacyorganisatie als het interne toezicht op gegevensbescherming kan op verschillende wijzen worden ingeschat, waaronder door benchmarking. We hebben een benchmark uitgevoerd tegen min of meer vergelijkbare peers, waaronder de gemeenten Rotterdam en Den Haag, het UWV en de Belastingdienst. Daarbij gebruiken we een onderzoek van M&I/Partners naar privacyformatie bij gemeenten.3 We sluiten het rapport af met een beschrijving van de verbeteringen die nodig zijn om de gewenste governance en formatie te realiseren, inclusief een globaal stappenplan. Hierbij baseren we ons op een gap-analyse.

1

2 3

Handleiding Privacy Governance - versie 3.2, Centrum Informatiebeveiliging en Privacybescherming, 14 augustus 2020, https://www.cip-overheid.nl/producten-en-diensten/handleiding-borging-vanprivacy-in-organisaties. Een nieuw Three Lines Model voor de Overheids- en non-profit sector (3LMO), Tjerk Budding en Robert ’t Hart, 15 augustus 2025. Formatieonderzoek privacy bij gemeenten, M&I/Partners, 14 april 2025, https://mxi.nl/kennis/715/formatieonderzoek-privacy-bij-gemeenten-2024.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 6 van 40

3

Analyse privacygovernance

3.1

Privacystructuur Toepasselijke deelvraag 1.1.

Is de privacystructuur van de gemeente Amsterdam effectief en efficiënt ingericht om haar taken en verantwoordelijkheden uit te voeren?

Algemene bevindingen Het governancemodel van de privacyorganisatie is niet formeel vastgelegd en de rollen, taken en verantwoordelijkheden zijn verouderd. Hierdoor is de privacystructuur niet effectief en efficiënt genoeg.

Adviezen •

3.1.1

•

Leg formeel vast welk governancemodel de gemeente Amsterdam wil implementeren voor privacy, compliance en risicobeheersing. Gebruik hierbij het nieuwe Three Lines Model voor de Overheids- en non-profit

• •

in de Amsterdamse organisatie. Actualiseer het document met rollen, taken en verantwoordelijkheden. Maak duidelijker onderscheid tussen de rollen van de FG en de CPA.

Governancemodel Bestaande situatie Uit meerdere documenten en interviews blijkt dat de gemeente ernaar streeft om het Three Lines of Defence (3LoD)-model te gebruiken voor de inrichting van de privacyorganisatie.4 Het gebruik van dit model als uitgangspunt voor de compliance- en privacystructuur is nooit formeel vastgelegd, net zoals een beschrijving van de bijbehorende rollen, taken en verantwoordelijkheden en waarom voor dit model is gekozen. In de praktijk bestaan er wel drie lijnen: de eerste lijn (uitvoering), de tweede lijn (beleid, ondersteuning en monitoring) en de derde lijn (toezicht). Doordat de inrichting volgens dit model nooit formeel is vastgelegd, ontstaan er verschillende risico’s. Allereerst ontstaat onduidelijkheid over verantwoordelijkheden. Het is niet helder wie eindverantwoordelijk is voor bepaalde taken, waardoor overlap en gaten kunnen ontstaan tussen verschillende lijnen en functies. Daarnaast ontstaat het risico op reactief en ad hoc werken, in plaats van proactief en in staat om verbeteringen in de organisatie door te voeren.

4

Zie de documenten “20250522 GMT - Naar betrouwbare en professionele digitalisering - volgende fase digitale transformatie v1.1”, “Compliance Functie v1” en “Jaarverslag FG 2024”.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 7 van 40

Gewenste governance Het 3LoD-model is een breed toegepaste structuur om verantwoordelijkheden rondom privacy, compliance en risicobeheersing te sturen. Het is verstandig om in de organisatie formeel een governancemodel vast te leggen. Dit schept helderheid in de verantwoordelijkheden van verschillende groepen en functies in de privacyorganisatie van de gemeente Amsterdam. Daarbij legt het een basis om proactiever en efficiënter te werken. Het 3LoD-model van het Institute of Internal Auditors (IIA) is de klassieke benadering van een organisatie ingericht voor compliance. In 2020 heeft het IIA dit model vernieuwd en hernoemd naar het Three Lines model (3LM), waarmee het meer geschikt is voor strategische sturing, in plaats van alleen risicobeheersing.5 Begin september 2025 is door Robert ’t Hart en Tjerk Budding van de Vrije Universiteit Amsterdam voor de publieke sector het Three Lines model voor de Overheids- en non-profit sector (3LMO) ontwikkeld.6 Wij adviseren om het 3LMO te implementeren, omdat dit model beter dan het reguliere 3LoD-model aansluit op de structuur van de gemeente Amsterdam. Het 3LMO is gefocust op de maatschappelijke rol van overheden en hoe risicomanagement en governance hieraan kunnen bijdragen. Dat betekent dat checks-and-balances niet alleen intern gericht zijn, maar ook bijdragen aan de maatschappij en zichtbaar gemaakt worden.

Daarnaast heeft dit nieuwe model oog voor veelvoorkomende problemen bij het gebruik van de vorige Three Lines modellen. Een aantal punten is herkenbaar voor de privacyorganisatie van gemeente Amsterdam. Dit rapport verwijst op de relevante plekken naar oplossingen die het 3LMO biedt voor de Amsterdamse context.

3.1.2

Rollen, taken en verantwoordelijkheden Bestaande situatie De uitwerking van het huidige governancemodel kan worden beschreven in een document met rollen, taken en verantwoordelijkheden. De privacyorganisatie van de gemeente Amsterdam heeft dit voor het laatst beschreven en laten vaststellen door het college van B&W op 25 september 2018 en is daarom niet meer actueel.7 Dit document is een organisatorisch kader dat de rollen, taken en verantwoordelijkheden beschrijft van bestuurlijke en ambtelijke personen in de privacyorganisatie. In de tussentijd is de privacyorganisatie gecentraliseerd en zijn sommige taken en verantwoordelijkheden veranderd. Het auditrapport naar de privacyfunctie van Interne Audit en Beleidsonderzoek bevat een aantal concrete voorbeelden van verbeterpunten.8 In de organisatie is veel onduidelijkheid over de taken en verantwoordelijkheden van de lijndirecties en wat zij van de privacyorganisatie verwachten.9 Hierdoor vervaagt ook de grens tussen de eerste en tweede lijn en ontstaan onjuiste verwachtingen tussen de lijndirecties en de privacyorganisatie. Het belang van heldere taken en verantwoordelijkheden blijkt ook uit het jaarverslag van de FG. 5

6 7 8 9

Het Three Lines model van het IIA - een update van de ‘Three Lines of Defence’, juli 2020, https://www.theiia.org/globalassets/documents/resources/the-iias-three-lines-model-an-update-ofthe-three-lines-of-defense-july-2020/three-lines-model-updated-dutch.pdf. Een nieuw Three Lines Model voor de Overheids- en non-profit sector (3LMO), Tjerk Budding en Robert ’t Hart, 15 augustus 2025. Taken en verantwoordelijkheden bij het verwerken van persoonsgegevens, 25 september 2018. Auditrapport Privacyfunctie, VIC2025/audit10AJP, 13 juni 2025, p. 11-14. Jaarverslag FG 2024, p. 3.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 8 van 40

Sinds de komst van de FG, de centralisatie van het i-domein en de toenemende digitalisering is de behoefte van de gemeente richting de CPA veranderd en is het takenpakket van de CPA verbreed met algoritmen, data-ethiek, digitale mensenrechten en openbaarmaking van gegevens. Er is een overlap in de advisering van de FG en CPA op de verwerking van persoonsgegevens. Het is niet duidelijk beschreven wat de rollen van deze twee actoren precies zijn en wat de overlap van advisering betekent voor gemeentemedewerkers.

Gewenste governance Om meer duidelijkheid te creëren adviseren wij het document met rollen, taken en verantwoordelijkheden te actualiseren. Dit moet in overeenstemming zijn met het gekozen governancemodel. Het is belangrijk om concrete taken hierin op te nemen en om de verantwoordelijkheid van de opvolging te koppelen aan specifieke functies. Ook kunnen in dit document de verschillende rollen en doelen van de FG en de CPA worden verhelderd voor medewerkers. Daarnaast is het belangrijk om de grens tussen de eerste en tweede lijn nader te omschrijven. Het 3LMO onderscheidt de tweede lijn aan de hand van drie taken: (1) faciliteren van de eerste lijn, de directie en bestuur vanuit een expertiserol (gevraagd advies), (2) een kritische blik op de eerste lijn (ongevraagd advies) en (3) verantwoordelijk voor het ontwikkelen, onderhouden en monitoren van werkprocessen (PDCA-cyclus). 10 De eerste lijn levert producten en diensten (bijvoorbeeld sociale regelingen) voor maatschappelijke problemen en is verantwoordelijk voor het managen van risico’s.11

3.1.3

Geschiedenis In 2015 was het ICT-landschap per dienst en stadsdeel georganiseerd. Daarom is toen besloten tot een reorganisatie van de ICT-organisatie per cluster. In 2020 is vanwege de toenemende digitalisering en de inefficiëntie van de decentrale organisatie besloten om het hele i-domein te hervormen tot één centrale organisatie binnen de gemeente, waaronder ook privacy. Directies hebben de perceptie dat budget en bemensing voor het i-domein, en dus ook privacy, bij hen is weggehaald om het cluster Digitalisering en Innovatie te vormen. Niet alle directies en clusters hebben hieraan bijgedragen, vanwege het ontbreken van budget. De directies die wel hebben bijgedragen verwachten dat het cluster DII helpt in de uitvoering van zaken van het feitelijke eerstelijnswerk, terwijl de vakgroepen Digitale Rechten, Ethiek en Privacy, Informatiebeveiliging en Informatiebeheer nu zijn ingericht als een tweede lijn die kaders stelt en ondersteuning biedt bij complexe zaken. Samen met het ontbreken van een formeel vastgesteld governance- en risicomanagementraamwerk en beschreven rollen, taken en verantwoordelijkheden, zorgt dit voor verkeerde verwachtingen over en weer. Daardoor worden sommige werkzaamheden niet of niet efficiënt uitgevoerd. De verantwoordelijkheid voor de financiering van de structurele werkzaamheden voor privacy is niet duidelijk in de organisatie.

Parralel aan deze hervormingen zijn de taken van de Commissie Persoonsgegevens Amsterdam (CPA) door de jaren heen veranderd. De Registratiecommissie Amsterdam, de voorloper van de CPA, bestaat sinds 1982. Voor de komst van de FG werden complexe en gevoelige verwerkingen van persoonsgegevens ter advisering aan de CPA voorgelegd. Met de

10 11

Een nieuw Three Lines Model voor de Overheids- en non-profit sector (3LMO), par VI. Een nieuw Three Lines Model voor de Overheids- en non-profit sector (3LMO), p. 8-9.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 9 van 40

komst van de FG in 2018 is de taakstelling van de CPA uitgebreid met de toetsing van digitale rechten, algoritmen, data-ethiek en openbaarmaking van persoonsgegevens. Sinds de komst van de FG is wel formeel vastgelegd dat FG-adviezen voorgaan op CPA-adviezen. In praktijk kennen veel medewerkers het onderscheid tussen de FG en de CPA niet, alsmede de QAA en de normen die hierin staan, waardoor zij niet de vastgelegde route volgen bij privacy gerelateerde vraagstukken.

3.1.4

Organogram privacyorganisatie De gemeente Amsterdam kent nu een structuur die bestaat uit vijf clusters en een bestuursen concernstaf. In het cluster Digitalisering, Innovatie en Informatie (DII) is de directie Digitale Strategie en Informatie (DS&I) gepositioneerd. Vervolgens is de vakgroep Digitale Rechten, Ethiek en Privacy (DREP) met daarin het team Privacy onderdeel van DS&I. De directie DS&I bestaat naast DREP ook uit de vakgroepen Informatiebeveiliging en Informatiebeheer met een vergelijkbare compliance structuur. Dit is de tweede lijn. In de eerste lijn, bij de directies, zijn informeel Privacy Contactpersonen (PCP) benoemd. Onderdeel van de eerste lijn is het Loket Persoonsgegevens, dat formeel is ondergebracht bij de directie Dienstverlening. Door recentelijke uitval van beide medewerkers, is het Loket Persoonsgegevens nu niet bezet. De werkzaamheden worden tijdelijk waargenomen door het Woo-team, dat valt onder de vakgroep Informatiebeheer en Openbaarheid van de directie DS&I. De functionaris voor gegevensbescherming (FG) is gepositioneerd bij de directie Juridische Zaken (JZ), die onderdeel uitmaakt van Bestuur en Organisatie. De Commissie Persoonsgegevens Amsterdam (CPA) is een externe adviescommissie ingesteld door het college van burgemeester en wethouders (B&W).

Ze adviseert het college van B&W en de ambtelijke organisatie over vraagstukken met betrekking tot de verwerking van persoonsgegevens, algoritmen, data-ethiek, digitale (mensen)rechten en openbaarmaking van persoonsgegevens.

Figuur 1: organogram van de gemeente Amsterdam.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 10 van 40

Digitale Strategie en Informatie

Informatiebeveiliging en continuïteit

Digitale Rechten en Ethiek

Digitale Rechten, Ethiek en Privacy

Architectuur

Privacy

Adviseurs Informatiebeheer

Openbaarheid en Informatiebeheer

Ondersteuning

Stedelijk Team Openbaarheid

Informatiebeheer

Figuur 2: organogram van directie DS&I.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 11 van 40

3.2

Eerstelijns privacyorganisatie Toepasselijke deelvraag 1.2

Is de organisatie, inrichting en bemensing van de eerstelijns privacyorganisatie adequaat om haar taken goed uit te voeren?

Algemene bevindingen De eerste lijn stelt over de hele linie onvoldoende capaciteit beschikbaar en heeft onvoldoende kennis om de taken en verantwoordelijkheden goed in te vullen. Dit is waardevol gebleken in directies en opgaven waar wel capaciteit is. De tijdelijke oplossing voor het Loket Persoonsgegevens bevalt goed.

Adviezen Lijndirecties en opgaven • Zorg dat elke directie een Privacy Contactpersoon of Compliance Officer heeft. • Investeer in kennis en bewustzijn van de eerste lijn om de lijn beter te laten functioneren. • Richt een community voor de Privacy Contactpersonen en Compliance Officers op ten behoeve van de uitwisseling van kennis en ervaring. De tweede lijn rol van trekkers ligt bij de tweede lijn. Loket Persoonsgegevens • Integreer het Loket Persoonsgegevens in het Woo-team. • Besluit of het Loket Persoonsgegevens uitsluitend een coördinerende taak houdt of ook ondersteunt bij de afhandeling van verzoeken. •

3.2.1

Indien wordt besloten dat het Loket Persoonsgegevens ook gaat ondersteunen in de afhandeling, moet worden onderzocht welke gevolgen dit heeft voor de formatie van het loket.

Lijndirecties en opgaven Bestaande situatie De eerste lijn bestaat uit de directies en opgaven van de gemeente Amsterdam. Zij zijn de risico-eigenaar voor verwerking van persoonsgegevens binnen de betreffende directie of opgave. Alle medewerkers van de directies en opgaven maken onderdeel uit van de eerste lijn. Zij zijn verantwoordelijk voor de dagelijkse operatie en signalering, zoals het risicobewustzijn, het opstellen en onderhouden van het register van verwerkingen en het uitvoeren van Data Protection Impact Assessments (DPIA’s). Zij hebben ook een belangrijke functie in het beantwoorden van vragen en klachten over de verwerking van persoonsgegevens van burgers en medewerkers.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 12 van 40

Binnen elke directie en opgave hoort er minimaal één Privacy Contactpersoon voor privacyvraagstukken te zijn.12 Als deze functie wordt gecombineerd met een eerstelijns aanspreekpunt voor informatieveiligheid en informatiebeheer, of met andere vakgebieden zoals integriteit, is dit een Compliance Officer (CO). De meeste directies en opgaven hebben een Privacy Contactpersoon of een Compliance Officer die zich (deels) bezighoudt met privacyvraagstukken, maar niet allemaal. Ook de rol van deze contactpersoon is beperkt beschreven. Met de vorming van het cluster DII is er capaciteit van de lijnorganisatie naar de vakgroep gegaan, waardoor de perceptie bij de directies is dat de vakgroep DREP de privacywerkzaamheden uitvoert. Uit verschillende interviews, zowel met medewerkers uit de eerste als de tweede lijn, is gebleken dat het aan kennis en bewustzijn ontbreekt in de eerste lijn. Hierdoor krijgt privacy ook geen prioriteit. De eerste lijn stelt over de hele linie onvoldoende capaciteit beschikbaar en heeft onvoldoende kennis om de taken en verantwoordelijkheden goed in te vullen, waardoor de tweede lijn dit compenseert. Het gevolg is dat de tweede lijn daardoor minder toekomt aan haar tweedelijns taken, namelijk ondersteuning, monitoring en het opstellen van beleid.

De eerste lijn van de privacyorganisatie zou door elke directie ingevuld moeten worden met specifieke Privacy Contactpersonen of Compliance Officers met een bredere scope. De eerste lijn is nodig om uitvoerend privacywerk te doen, zoals bewustwording, training, het verwerkingsregister, DPIA’s en inzageverzoeken. Er is wel een overzicht van contactpersonen per directie dat wordt bijgehouden door een Privacy Officer van de vakgroep DREP, maar deze is vaak verouderd omdat er veel verloop is. Er is echter geen volledig overzicht van het aantal uren dat deze medewerkers beschikbaar hebben en of dit tijdelijk of duurzaam is. Daardoor is onduidelijk of de privacywerkzaamheden daadwerkelijk goed geborgd zijn binnen de directies. Bijkomend gevolg is dat hierdoor ook belangrijke sleutelfiguren in de directies en opgaven ontbreken, die kunnen helpen om de juiste contacten in de desbetreffende directie of opgave te vinden. Uit gesprekken is gebleken dat dit waardevol is voor de directie of opgave zelf en voor de tweede en derde lijn. Dat niet elke directie een contactpersoon heeft, hangt samen met de ontstane verwachting van directies dat het i-domein wat betreft privacy veel uit handen neemt.

Gewenste governance Wij adviseren dat elke directie en opgave minimaal één Privacy Contactpersoon of Compliance Officer aanstelt. Als in de eerste lijn niet parallel aan de tweede lijn wordt geïnvesteerd, zal het ontbreken van eigenaarschap in de eerste lijn blijven voortbestaan. Deze personen zijn belangrijk om uitvoerend privacywerk in de lijn te doen. Daarnaast adviseren wij om een community op te richten voor de Privacy Contactpersonen en Compliance Officers waarin uitwisseling van kennis en ervaring kan plaatsvinden. Het is belangrijk om te investeren in kennis en bewustzijn in de eerste lijn, zodat deze beter functioneert. De tweede lijn draagt dan zorg het trekken van de community, het beleid, de tools en de templates waar de eerste lijn gebruik van kan maken en stemt deze af op het volwassenheidsniveau van de directies. Daarmee zorg je voor draagvlak en is er gemeente breed groei mogelijk naar volgend

12

Taken en verantwoordelijkheden bij het verwerken van persoonsgegevens 2018, p. 7.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 13 van 40

volwassenheidsniveau. Naarmate de eerste lijn beter in staat is om privacywerkzaamheden uit te voeren, kan de tweede lijn haar rol beter vervullen.

3.2.2

Loket Persoonsgegevens Bestaande situatie Het Loket Persoonsgegevens (hierna: het Loket) is gepositioneerd bij de directie Dienstverlening, omdat deze directie vaak het eerste contact met burgers heeft. Het Loket maakt niet expliciet onderdeel uit van het 3LoD-model, maar speelt een speciale rol in de eerste lijn. De rollen, taken en verantwoordelijkheden van het Loket ontbreken in het document van de taken en verantwoordelijkheden.13 Door uitval van beide medewerkers die de AVG-verzoeken coördineerden, worden de werkzaamheden tijdelijk uitgevoerd bij het Woo (Wet open overheid)-team. Dit team is gepositioneerd onder de directie DS&I. Bij de overgang naar dit team was er sprake van achterstanden, waardoor de verzoeken buiten de wettelijke termijn werden afgehandeld. De achterstanden zijn nu voor een belangrijk deel ingelopen en daardoor is er ruimte ontstaan om procesverbeteringen door te voeren. Om de AVG-verzoeken tijdig te kunnen afhandelen, is het van belang dat de directies in de eerste lijn, waar de persoonsgegevens worden verwerkt, de gegevens tijdig en volledig aanleveren aan de coördinatoren. Uit de interviews is gebleken dat bij de aanlevering van documenten aan het Loket inconsistenties bestaan tussen directies en dat dit kan leiden tot klachten van betrokkenen. Daarnaast is er ook een verschil in de taakopvatting tussen het Loket en de directies.

De directies hebben de verwachting dat het team hen ondersteunt bij het afhandelen van de verzoeken en niet uitsluitend een coördinerende taak heeft. Door een onderbezetting van de eerste lijn, is ook niet altijd de juiste kennis, capaciteit en tools aanwezig in de directies voor het afhandelen van inzageverzoeken. Met de huidige formatie van het Loket is er uitsluitend ruimte voor het coördineren van de AVG-verzoeken, zoals dit nu ook wordt uitgevoerd door het Woo-team, en niet voor inhoudelijke ondersteuning.

Gewenste governance Met de huidige formatie, waarbij het Loket Persoonsgegevens uitsluitend de AVG-verzoeken coördineert, kunnen de AVG-verzoeken binnen de wettelijke termijn worden afgehandeld. Wij adviseren om het Loket Persoonsgegevens permanent te integreren in het Woo-team, zodat er door de grootte van het team meer mogelijkheden zijn tot het opvangen van elkaars werkzaamheden bij verzuim of pieken in de capaciteitsvraag en om de processen daar verder te verbeteren. Dat betekent dat het Loket niet meer onder de directie Dienstverlening zal vallen, maar het Woo-team onder de directie DS&I. Voor huidige medewerkers van het Wooteam biedt dit ook afwisseling in de repeterende werkzaamheden rondom de coördinatie van de AVG-verzoeken. Daarnaast adviseren wij om de rollen, taken en verantwoordelijkheden van het (nieuwe) Loket Persoonsgegevens te beschrijven en deze te communiceren naar de directies. Het is van belang om de insteek van het gezamenlijk belang met de eerste lijn te kiezen.

13

Taken en verantwoordelijkheden bij het verwerken van persoonsgegevens 2018.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 14 van 40

Verder moet besloten en verduidelijkt worden of het Loket Persoonsgegevens uitsluitend een coördinerende taak heeft of ook ondersteunt bij het inhoudelijk afhandelen van de AVGverzoeken. Als de eerste lijn goed is ingericht door het aanstellen van Privacy Contactpersonen met voldoende kennis van privacy, is een coördinerende rol voldoende. Het kan anderzijds ook efficiënter zijn om centraal meer capaciteit voor de inhoudelijke afhandeling van AVG-verzoeken te regelen. Hierdoor is het mogelijk om pieken bij directies op te vangen en kunnen ondersteunende tools voor de afhandeling worden aangeschaft. Wanneer besloten wordt om ook inhoudelijke ondersteuning te bieden aan de directies, past dat niet in de huidige formatie en zal de formatie van het Loket uitgebreid moeten worden. Wij adviseren dan om te onderzoeken welke werkzaamheden zouden kunnen worden uitgevoerd door het Loket en welke gevolgen dat heeft voor de formatie.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 15 van 40

3.3

Tweedelijns privacyorganisatie Toepasselijke deelvragen 1.3

Is de organisatie, inrichting en bemensing van de tweedelijns privacyorganisatie adequaat om haar rol goed te vervullen?

Algemene bevindingen De organisatie, inrichting en bemensing van de tweede lijn behoeft verbetering. Het privacybeleid en de rollen, taken en verantwoordelijkheden zijn verouderd. Er is onvoldoende vaste bezetting in de tweede lijn. Er wordt veel ad hoc en reactief gewerkt. In de domeinen werkt de structuur goed, maar domein overstijgend vindt er te weinig uitwisseling van kennis en ervaring plaats.

Adviezen Vakgroep Digitale Rechten, Ethiek en Privacy (DREP) • Zorg voor meer structurele financiering voor de tweede lijn. Met hetzelfde geld kan dan meer capaciteit worden aangetrokken, zodat kennis en expertise binnen de gemeente blijft en centrale aansturing wordt geborgd. • Investeer in domeinoverstijgende expertise, zodat de tweede lijn meer waarde toevoegt aan de organisatie. Privacybeleid • Actualiseer het privacybeleid, dat als overkoepelend kader dient voor onderliggend beleid. • Actualiseer vervolgens onderliggend beleid, procedures en templates. Risicomanagement • Bepaal een uniforme wijze van risicobeoordeling, het niveau van risicoacceptatie, onder welke voorwaarden dit gebeurt en wie er verantwoordelijk voor is. • Maak het registreren van risico’s in FiC eenvoudiger. • •

Zorg dat iedereen toegang tot dezelfde informatie in FiC heeft. Privacy Contactpersonen en eventueel de Privacy Officer kunnen de directies helpen met de opvolging van rapportages.

Baseline Privacy Amsterdam (BPA) • •

Leid een tweede BPA-coördinator op om continuïteit te waarborgen. Leg de BPA vast in het privacybeleid.

•

Communiceer duidelijker het nut en de noodzaak van de BPA aan de eerste lijn.

Wet politiegegevens (Wpg) • Opleiden van een tweede Wpg-coördinator ten behoeve van continuïteit. • Maak inzichtelijk welke directies een Wpg-contactpersoon hebben. • Ga door met het investeren in Wpg-kennis en -bewustzijn in de eerste lijn.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 16 van 40

3.3.1

Vakgroep Digitale Rechten, Ethiek en Privacy (DREP) Bestaande situatie De tweede lijn voor de privacyorganisatie is de vakgroep DREP, die bestaat uit Privacy Officers (PO). Zij adviseren en ondersteunen de eerste lijn bij privacywerkzaamheden. Zij ontwikkelen gemeentelijk beleid, een centrale kaderstelling en hanteerbare tools en templates op het gebied van privacy. De Privacy Officers zijn een brug tussen de operatie in de eerste lijn en het toezicht in de derde lijn. Zij vormen tevens een belangrijke informatiebron voor de FG. De expertise van de Privacy Officers kan worden ingezet op complexe vraagstukken en de advisering op hoge risico’s van (voorgenomen) verwerkingen. De verdeling van Privacy Officers over de clusters en directies gebeurt momenteel op basis van historische afspraken.14 Uit de interviews blijkt dat het werk van de tweede lijn gewaardeerd wordt, vooral in de opgaven waar Privacy Officers samen specialisten van Informatiebeveiliging en Informatiebeheer integraal adviseren op vraagstukken. De vaste formatie in de tweede lijn is niet toereikend. Op het moment van schrijven heeft de vakgroep een budget voor een vaste formatie van 11,2 FTE. Daarbovenop is 5,0 FTE aan Privacy Officers gepositioneerd bij team Privacy middels een Terugverdienopdracht (TVO).

Dit is veelal inhuur gefinancierd door tijdelijke budgetten vanuit de opgaven en lijndirecties, terwijl het gaat om structureel tweedelijns werk. Verder komt er binnenkort 1,0 FTE bij waarvoor nog geen formatie voor is gevonden. De BPA-coördinator (1,0 FTE) wordt gedekt vanuit Bedrijf & Organisatie-middelen. In totaal is er dus voor 18,2 FTE in de tweede lijn, waarvan 7,0 FTE geen vaste formatie betreft. Dit is niet toereikend en ook geen duurzame oplossing is. Wanneer het budget op is of de grens van de wet DBA is bereikt, moet de inhuur vertrekken. Als gevolg hiervan is het verloop hoog en vertrekt er steeds weer kennis en expertise uit de organisatie. Inhuur is bovendien kostbaarder dan vaste bezetting, waardoor middelen minder doelmatig worden besteed dan wanneer er structurele formatie is opgebouwd. Uit interviews blijkt dat de tweede lijn vooral ad hoc en reactief werk uitvoert. Het is daardoor lastig om binnen clusters of directies te kijken naar de langere termijn. Het werk van de Privacy Officers is niet goed aangesloten op portfoliomanagement. Hierdoor komt de tweede lijn niet voldoende toe aan domeinoverstijgende zaken, zoals de ontwikkeling van beleid, processen of hulpmiddelen zoals templates, bewustwordingsmateriaal en campagnes. Het is hierdoor lastig om mee te gaan met nieuwe ontwikkelingen, zoals AI en toenemende digitalisering.

De organisatie is gebaat bij hulp van de tweede lijn, niet alleen om compliant te zijn, maar vooral hoe innovaties of nieuwe verwerkingen wél kunnen op een privacyvriendelijke manier. De tweede lijn neemt idealiter de leiding.15 Onlangs zijn er wel eerste stappen gezet om bewustzijn te verbeteren en hulpmiddelen te ontwikkelen. Zo is een Compliance Awareness Officer (CAO) in de vakgroep DREP aangenomen en is er enige tijd vrijgemaakt om beleid, procedures en werkinstructies te coördineren.

14 15

20250522 GMT - Naar betrouwbare en professionele digitalisering - volgende fase digitale transformatie v1.1, p. 21-22. Een nieuw Three Lines Model voor de Overheids- en non-profit sector (3LMO), par VII.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 17 van 40

Gewenste governance Wij adviseren meer structureel budget voor de tweede lijn te beleggen. Omdat het werk van de tijdelijke inhuur vaak structureel werk bevat. Dat betekent dat de vaste formatie groeit en de inhuur afneemt. Met hetzelfde budget kan dan meer capaciteit worden aangetrokken. Ook verbetert dit de continuïteit. Dit is een beslissing dat door het GMT zal moeten worden genomen, omdat de tijdelijke budgetten vaak door de opgaven en lijndirecties worden betaald middels een TVO. De organisatie is op de goede weg door vanuit de tweede lijn te investeren in de eerste lijn met de aangestelde Compliance Awareness Officer. De eerste lijn zal door de investering in kennis, beleid en procedures beter toegerust worden om basisvragen te beantwoorden, DPIA’s voor te bereiden en het privacybewustzijn van de business te vergroten. Dit verlicht de druk op de tweede lijn. Tegelijkertijd is het van belang om in de tweede lijn te investeren in domeinoverstijgende zaken, zowel binnen de vakgroep DREP als met de vakgroepen Informatieveiligheid en Informatiebeheer. Door dit domeinoverstijgend te organiseren, kan expertise worden gedeeld, dubbel werk worden voorkomen en ontstaat meer samenhang in de uitvoering van privacybeleid. Uit interviews is gebleken dat deze integrale werkwijze vaker in de opgaven wordt toegepast dan in de directies. Deze werkwijze wordt als positief ervaren.

Uit documentatie blijkt ook dat er toe wordt gewerkt naar een Shared Service Team (SST) op clusterniveau, waarin deze drie disciplines samenwerken. In deze teams wordt niet alleen ingezet op risicobeheersing, maar ook op strategisch handelen en oplossend vermogen.16 De vakgroep DREP kan dan waarde toevoegen door de organisatie mee te nemen in de mogelijkheden die privacywetgeving biedt bij nieuwe ontwikkelingen zoals digitalisering en AI. In hoofdstuk 4 wordt aan de hand van een benchmark een schatting gemaakt van de benodigde bezetting in de tweede lijn. Samengevat is er in de tweede lijn minimaal 19,6 FTE aan vaste PO-formatie nodig om op vergelijkbaar niveau als andere gemeenten te komen.

3.3.2

Privacybeleid Bestaande situatie Het college van B&W heeft een stedelijk kader (het privacybeleid) opgesteld voor de verwerking van persoonsgegevens door de gemeente Amsterdam.17 Dit is een strategisch instrument waarmee doelen kunnen worden bereikt door middel van beheersing, sturing en verantwoording.18 Hierin geeft het college aan hoe ze de uitgangspunten van de AVG gaat realiseren. Aanvullend aan de AVG kiest de gemeente nog voor Amsterdamse uitgangspunten. Dit document is voor het laatst op 25 september 2018 vastgesteld en daarom niet meer actueel. Op dit moment wordt het stedelijk kader geactualiseerd. Dit zal in 2026 afgerond worden en daar waar relevant zal dit onderzoek worden meegenomen.

16 17 18

Compliance Functie v1, p. 1. Stedelijk kader verwerken persoonsgegevens door de gemeente Amsterdam, 25 september 2018. Auditrapport Privacyfunctie, p. 8-10.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 18 van 40

Voor de Wpg geldt een stedelijk privacykader, waaraan BOA’s zich bij het verwerken van persoonsgegevens moeten houden.19 In dit kader is de governance op Wpg-gebied al verder uitgewerkt aan de hand van verantwoordelijkheden, kaders en sjablonen, toezicht, informatiebeheer en bewaartermijnen. Ook zijn inhoudelijke uitgangspunten, de technische inrichting van applicaties en een organisatorische inrichting beschreven. Dit beleidsstuk is voor het laatst in december 2024 vastgesteld. De inhoud en kwaliteit van dit document is als zodanig niet beoordeeld in dit onderzoek.

Gewenste governance In het tweede kwartaal van 2025 is de vakgroep DREP gestart met de actualisatie van het privacybeleid. In het beleid worden onder meer de positionering van de FG en de BPA beschreven, zodat het naast actueel ook volledig wordt. Het beleid vormt het overkoepelend kader voor het onderliggende beleid, zoals procedures, werkinstructies en templates die ook verouderd zijn. Een helder privacybeleid, waarin ook ambities zijn opgenomen, zorgt voor een duidelijk doel en realiseerbare ambities.20

3.3.3

Risicomanagement Bestaande situatie Risicomanagement maakt onderdeel uit van de privacygovernance. Hoewel de eerste lijn verantwoordelijk is voor het managen van de risico’s, is de tweede lijn verantwoordelijk voor de opzet en monitoring van het systeem van risicomanagement en instrumenten zoals verantwoordingsrapportages. De gemeente Amsterdam moet privacyrisico’s op een meer gestructureerde wijze gaan beheersen, zodat de waarborgen voor privacy en de efficiëntie van de privacyorganisatie worden verhoogd. Een hoger niveau van risicomanagement vereist ook dat risico’s op uniforme wijze worden beoordeeld. Recent zijn er stappen gezet om risicomanagement in het i-domein en daarmee ook privacy in te richten. Zo is er iemand aangenomen om risicomanagement in te richten conform de opgave Quality Assurance. Een belangrijk onderdeel hiervan is de Baseline Privacy Amsterdam, die wordt getrokken door vakgroep DREP. Een DPIA is ook een instrument voor risicomanagement bij privacy. Als een DPIA voorafgaand aan een verwerking wordt uitgevoerd, is het mogelijk om privacyrisico’s vroegtijdig te signaleren. Risico’s en mitigerende maatregelen, bijvoorbeeld uit DPIA’s, moeten in het risicomanagementsysteem Fully in Control (FiC) geregistreerd worden.

Daarnaast moeten andere privacyrisico’s, zoals bevindingen uit audit-rapportages en FG-rapporten, door Privacy Officers in FiC geregistreerd worden om een volledig beeld te verkrijgen. Op dit moment zijn er nog geen duidelijke afspraken over het niveau van risicoacceptatie, onder welke voorwaarden dit gebeurt en wie er verantwoordelijk voor is.21 Een totaalbeeld van de risicobereidheid en de gevonden risico’s in de organisatie is waardevolle informatie om op te sturen. Uit interviews met diverse organisatieonderdelen blijkt dat het invoeren van risico’s en maatregelen in FiC omslachtig is en daardoor onnodig veel tijd kost. Een uniforme wijze van 19 20 21

Stedelijk privacykader Wet Politiegegevens gemeente Amsterdam, 10 december 2024. Handleiding Privacy Governance - versie 3.2, p. 37. Jaarverslag FG 2024, p. 12.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 19 van 40

risicobeoordeling ontbreekt, dit leidt tot inconsistente beslissingen en lastige prioritering. Daarnaast zien de verschillende lijnen (zowel eerste, tweede als derde lijn) verschillende onderdelen van FiC, waardoor langs elkaar heen wordt gepraat en maatregelen geen goede opvolging vinden.22

Gewenste governance De gemeente Amsterdam is op de juiste weg door risicomanagement in te richten voor de hele organisatie. In eerste instantie kost dit tijd en geld, maar op termijn moet dit zich uitbetalen doordat een betere afweging ontstaat tussen doel, risico’s en kosten.23 Het zorgt immers voor inzicht en overzicht van de privacyrisico’s. Het is wel van belang dat in de organisatie een uniforme wijze van risicobeoordeling, risicoacceptatie en de voorwaarden waaronder dit gebeurd wordt bepaald. Zo wordt privacybeleid consistenter uitgevoerd en kunnen directies makkelijker prioriteren op basis van de risico’s en te nemen maatregelen. De tweede lijn is verantwoordelijk voor de opzet en werking van risicomanagement en faciliteert daarmee de eerste lijn in het managen van de risico’s.24 Daarnaast adviseren wij om het registreren van risico’s en maatregelen in FiC te vereenvoudigen, zodat er niet een (te) grote administratieve last ontstaat. Hierdoor wordt risicomanagement geen papieren tijger, maar kan het toegevoegde waarde leveren aan de organisatie. FiC kan een single point of knowledge worden wat betreft risicomanagement. Het is van belang dat de verschillende lijnen toegang hebben tot dezelfde onderdelen van FiC, zodat iedereen over hetzelfde praat.

3.3.4

Managementrapportages en rapportagelijnen Bestaande situatie Sinds begin 2025 worden door Privacy Officers in samenwerking met de Privacy Contactpersonen per directies kwartaalrapportages opgesteld over privacy compliance. Deze managementrapportages over de voortgang van KPI’s worden vervolgens in het cluster besproken door de cluster-i-leads met de clusterdirecteuren en de directies. Als normenkader voor de rapportages wordt de BPA gebruikt. De Privacy Officers monitoren compliance en geven advies op de belangrijkste (hoge) risico’s. Er is geen proces ingericht waarin bepaald is hoe en door wie er opvolging wordt gegeven aan de bevindingen en de risico’s uit de rapportages en bij wie welke verantwoordelijkheid ligt. Daarnaast blijkt uit de interviews dat directies op verschillende wijze omgaan met de rapportages. Sommige directies kunnen hiermee verder, maar vaak is nog onduidelijk wat het nut is van de rapportages, hoe ze er opvolging aan moeten geven en ontbreekt de capaciteit om opvolging te geven. In interviews is benoemd dat door het grote aantal bevindingen uit de verschillende rapportages het absorptievermogen van de directies opraakt, waardoor actiepunten niet tijdig worden opgelost. Naast de managementrapportages is een rapportage- en escalatielijn vastgesteld.

Dit is een proces over dat wordt geactiveerd als er problemen of risico’s ontstaan of als beslissingen niet binnen de eigen bevoegdheid kunnen worden opgelost. Momenteel loopt deze van de Privacy

22 23 24

Dit blijkt uit meerdere interviews en het Jaarverslag van de FG 2024, p. 12. Handleiding Privacy Governance - versie 3.2, p. 42. Een nieuw Three Lines Model voor de Overheids- en non-profit sector (3LMO), p. 9.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 20 van 40

Officer naar de FG en vervolgens naar de Gemeentesecretaris.25 Hoe het lijnmanagement in deze rapportage- en escalatielijn wordt betrokken, is niet helder.

Gewenste governance Wij adviseren om vast te leggen wat de rollen, taken en verantwoordelijkheden in de processen van de managementrapportages en van de rapportage- en escalatielijn zijn. Zo moet worden vastgelegd hoe opvolging wordt gegeven aan bevindingen uit managementrapportages en door wie. Wij adviseren dat de vakgroepmanager DREP (CPO) in een overleg met cluster i-leads en directeuren toelichting geeft op managementrapportages en monitort of opvolging tijdig plaatsvindt. De CPO rapporteert naar de CIO/GMT over privacyrisico’s op geaggregeerd gemeenteniveau. Indien nodig kan de tweede lijn escaleren naar GMT-niveau. Om opvolging te kunnen geven aan de bevindingen, is het van belang dat elke directie een Privacy Contactpersoon heeft die de directie ondersteunt en adviseert bij het oplossen van de bevindingen. De Privacy Officer uit de tweede lijn kan daarbij vanuit zijn functie ook adviseren met kennis over hoe het wél kan. Ten slotte is het van belang om ook het lijnmanagement te betrekken in de rapportage- en escalatielijn, aangezien zij primair verantwoordelijk zijn voor het managen van risico’s.26

3.3.5

Baseline Privacy Amsterdam (BPA) Bestaande situatie Binnen de gemeente is op initiatief van de vakgroep DREP anderhalf jaar geleden gestart met het opstellen van de Baseline Privacy Amsterdam (BPA). Met de BPA wordt inzichtelijk gemaakt in hoeverre de gemeente voldoet aan de eisen van de regels voor gegevensbescherming en worden de risico’s in kaart gebracht. Het project bestaat uit verschillende fases en is momenteel in de fase van validatie van de bevindingen door de directies, waarna op basis daarvan een verbeterplan zal worden opgesteld door de directies als onderdeel van een Plan-Do-Check-Act (PDCA) cyclus. De meting van 2025 is de eerste meting en zal jaarlijks worden herhaald. In de tweede lijn, bij de vakgroep DREP, is een Privacy Officer werkzaam die specifiek is aangesteld voor de coördinatie van de BPA. De rol van deze Privacy Officer is niet formeel beschreven in het document over de taken en verantwoordelijkheden. De BPA is ook niet vastgelegd in (privacy)beleid. De Privacy Officer maakt een geaggregeerde totaalrapportage en gezamenlijk met de verbeterplannen zal dit worden gepresenteerd aan de wethouder ICT en Digitale Stad. Uit de interviews is gebleken dat de directies de toegevoegde waarde van de BPA verschillend ervaren.

Voor hen is daarbij niet in alle gevallen duidelijk wat het doel ervan is en hoe dat hen ondersteunt bij het in beeld brengen van de privacyvolwassenheid van hun directie.

25 26

Taken en verantwoordelijkheden bij het verwerken van persoonsgegevens 2018 p. 8. Een nieuw Three Lines Model voor de Overheids- en non-profit sector (3LMO), p. 9.

Lex Digitalis | Onderzoek governance en formatie privacyorganisatie Amsterdam

pagina 21 van 40

Gewenste governance Binnen de huidige formatie is de coördinatie van de BPA belegd bij een Privacy Officer en is daardoor kwetsbaar als ‘single point of knowledge’. Wij adviseren om binnen de tweede lijn een tweede Privacy Officer op te leiden zodat de continuïteit wordt gewaarborgd. Wij adviseren daarnaast dat de CPO betrokken wordt bij het onder de aandacht brengen van de BPA bij de directies samen met de (cluster)-i-leads . Specifiek door toelichting te gegeven op het doel van de BPA, de inhoud van de BPA en hoe de metingen door een in te richten PDCAcyclus bijdragen aan het verhogen van het privacyvolwassenheidsniveau van de directies. Daarbij is voor het draagvlak van belang dat voor directeuren duidelijk is wat het nut en de noodzaak is van dit instrument en dat deze metingen bijdragen aan hun dagelijkse werkzaamheden. Het is namelijk van essentieel belang voor de Amsterdamse burger, namelijk dat een beter inzicht in de mate waarin de persoonsgegevens worden beschermd en hoe dit verbeterd kan worden. Dit moet dus op het vizier staan van de directie en de medewerkers. Ten slotte adviseren wij de BPA en de rol ervan in een continu verbeterproces (PDCA-cyclus) vast te leggen in het beleid, inclusief de beschrijving van de rollen, taken en verantwoordelijkheden van de personen in dit proces.