Bijlage 3 BPA.pdf

BASELINE PRIVACY AMSTERDAM (BPA)

1

OVERZICHT - Toelichting - BPA Thema’s en Onderwerpen - Management samenvatting - Stedelijke resultaten - details - Resultaten per cluster - details - Resultaten per directie - details

TOELICHTING

December 2025 | Toelichting

Compliance Privacy | Baseline Privacy Amsterdam Toelichting ▪ De gemeente Amsterdam is in 2023 gestart met de Baseline Privacy Amsterdam (BPA) vanuit de interne behoefte om te weten in hoeverre de gemeentelijke organisatie aan de Algemene Verordening Gegevensbescherming (AVG) voldoet én vanuit de externe verantwoordingsplicht die de AVG ons oplegt; ▪ De BPA is een eenduidige baseline voor wat de gemeente Amsterdam moet doen om aan de Algemene Verordening Gegevensbescherming (AVG) te kunnen voldoen; ▪ Het uitgangspunt van de BPA is dat de gemeentelijke organisatie gaat voldoen aan alle maatregelen uit de BPA;

▪ Dit betekent dat de organisatie op alle maatregelen een maximale score van 4 dient te realiseren, op een schaal van o t/m 4; ▪ De inhoud van deze slides bevat de BPA scores als resultaat van de eerste BPA uitvraag (nul-meeting); ▪ De scores zijn weergegeven op: ▪ Stedelijk niveau (mate waarin aan stedelijke maatregelen wordt voldaan), en op ▪ Directie niveau (mate waarin aan directie maatregelen wordt voldaan). De directie scores zijn geaggregeerd op cluster niveau. ▪ Deze nul-meeting is het startpunt van een Plan-Do-Check-Act (PDCA) cyclus, waar de directie verbeterplannen een essentieel onderdeel van zijn.

BPA THEMA’S EN ONDERWERPEN

December 2025 | Toelichting

Compliance Privacy | Baseline Privacy Amsterdam De 7 BPA thema’s en hun betekenis ▪ Beleid ▪ De organisatie heeft processen en bijbehorende verantwoordelijkheden en risico's in kaart gebracht en vastgelegd in beleidsstukken. Deze stukken moeten voor alle werknemers goed vindbaar en begrijpelijk zijn. ▪ Processen ▪ De organisatie heeft alle processen waarbinnen persoonsgegevens worden verwerkt in kaart gebracht. De beschrijving van deze processen wordt actueel gehouden, werkinstructies worden nageleefd en processen met een hoog risico worden getoetst op juistheid. ▪ Organisatorische inbedding ▪ De organisatie heeft een FG aangesteld en kan zich voor inhoudelijke vraagstukken tot een intern privacyteam richten. Er wordt doorlopend aan bewustwording gedaan. ▪ Rechten van betrokkenen ▪ De organisatie voldoet aan alle wettelijke eisen die er zijn op het gebied van rechten van betrokkenen. De organisatie is transparant over hoe en welke persoonsgegevens verwerkt worden. ▪ Samenwerking ▪ De organisatie heeft in kaart gebracht met wie zij samenwerkt en heeft daarbij passende afspraken gemaakt. Deze afspraken worden door de betrokken partijen nageleefd. ▪ Gegevensbescherming ▪ Hoewel pas echt een volledig beeld kan worden geschetst van de stand van zaken op het gebied van gegevensbescherming middels de BIO, zijn privacy en gegevensbescherming niet geheel van elkaar los te trekken.

Een aantal informatiebeveiligingsaspecten met een duidelijke privacycomponent zijn dan ook in de BPA opgenomen. ▪ Verantwoording ▪ De organisatie evalueert de naleving van de AVG en rapporteert over de voortgang.

December 2025 | Thema’s en Onderwerpen

Compliance Privacy | Baseline Privacy Amsterdam De 7 BPA thema’s en bijbehorende onderwerpen ▪ Beleid ▪ Beleid vaststellen ▪ Privacybeleid ▪ Verantwoordelijkheden ▪ Processen ▪ Werkprocessen ▪ Verwerkingsregister ▪ Pre-DPIA’s ▪ DPIA’s ▪ Bewaar- en vernietigingsbeleid ▪ Organisatorische inbedding ▪ Privacyteam ▪ Aanstelling, positie en taken FG ▪ Informeren OR ▪ Bewustwording ▪ Rechten van betrokkenen ▪ Recht op informatie ▪ Processen rechten van betrokkenen ▪ Toestemming ▪ Geautomatiseerde individuele besluitvorming ▪ Websites en applicaties ▪ Technische ondersteuning

▪ Samenwerking ▪ AVG rollen ▪ Gegevensverstrekking ▪ Gegevensbescherming ▪ Risico’s ▪ Gegevensbescherming door ontwerp ▪ Gegevensbescherming door standaard instellingen ▪ Informatiebeveiliging ▪ Privacy incidenten en datalekken ▪ Verantwoording ▪ Evaluatie naleving AVG ▪ Evaluatie informatiebeveiliging ▪ Rapportage

MANAGEMENT SAMENVATTING

December 2025 | Management Samenvatting

Compliance Privacy | Baseline Privacy Amsterdam Samenvattende resultaten Stedelijk niveau ▪ De gemiddelde BPA score op stedelijk niveau is redelijk, maar nog niet goed genoeg (score van 3,4 uit 4) ▪ De meest significante en urgentste verbeteringen zijn nodig op de onderwerpen: ▪ Privacybeleid, dit dient geactualiseerd te worden, en ▪ Bewustwording, met name een programma om medewerkers doorlopend bewust te maken en te houden van de risico’s en randvoorwaarden bij de omgang met persoonsgegevens. Directie niveau ▪ De gemiddelde BPA score van alle directies is onvoldoende (score van 2,4 uit 4) ▪ De meest significante en urgentste verbeteringen zijn nodig op de onderwerpen: ▪ Bewustwording, met name het kunnen aantonen dat medewerkers en contractanten een bewustwordingstraining hebben gevolgd en het toetsen of de trainingen effectief zijn geweest; ▪ Bewaar- en vernietigingsbeleid, met name het daadwerkelijk verwijderen van persoonsgegevens en het toezicht daarop; ▪ DPIA’s, met name de controle op de uit te voeren maatregelen zoals die zijn vastgelegd in de DPIA en de effectiviteit van deze maatregelen;

STEDELIJKE RESULTATEN (DETAILS) Centrale privacy maatregelen, op stedelijk niveau te treffen

December 2025 | Resultaten op stedelijk niveau

Compliance Privacy | Baseline Privacy Amsterdam Een score van 4 zou aangeven dat de stedelijke maatregelen afdoende zijn om te voldoen aan de minimale compliance eisen van de AVG.

De 5 stedelijke hoogst scorende onderwerpen

Stedelijke totaal score

Stedelijke score per thema

4,0

3.1 Privacyteam

4,0

Organisatorische inbedding

3,3

3,4

Rechten van betrokkenen

3,3

Gegevensbescherming

3,5 3,5

7.3 Rapportage

4,0

2.3 Pre-DPIA's

4,0

Processen

7.1 Naleving AVG

4,0

Verantwoording

0,0

1,0

2,0

3,0

4,0

4.5 Websites en applicaties

0,0

1.2 Privacybeleid

3,0

3,2

2,0

6.1 Risico's

2,0

2.4 DPIA's

3,0 0,0

1,0

2,0

3,0

4,0

3,6

3,8

4,0

4,0 0,0

1,0

2,0

3,0

4,0

(Standaard) Risico

Websites en applicaties

Verwerking van persoonsgegevens voor een niet verenigbaar doel zonder toestemming. (de status van deze maatregel is onbekend, moet uitgezocht worden).

Privacybeleid

Persoonsgegevens worden niet verwerkt op een wijze die rechtmatig, behoorlijk en transparant is.

Bewustwording

Fouten en incidenten/datalekken.

Risico’s

Niet kunnen identificeren en aanpakken van privacy risico's.

DPIA’s

Discriminatie, stigmatisering en uitsluiting van personen of verwerkingen m.b.t. personen in kwetsbare groepen.

1,8

3.4 Bewustwording

3,4

Onderwerp

De 5 stedelijke laagsts scorende onderwerpen

ST

ST

2,7

ST

ST

Beleid 6.2 Gegevensbescherming door ontwerp

CLUSTER RESULTATEN (DETAILS)

December 2025 | Resultaten alle clusters

Compliance Privacy | Baseline Privacy Amsterdam Dit BPA overzicht geeft inzicht in hoeverre de clusters de maatregelen hebben getroffen om te kunnen voldoen aan de minimale compliance eisen van de AVG.

De 5 hoogst scorende onderwerpen alle clusters 6.3 Gegevensbescherming door standaardinstellingen 2.2 Verwerkingsregister

Score per cluster: 2,4 gemiddeld 2,1

3,1

SOC

2,2

3,0

SBD

2,2 2,3

2,7

RUI

6.2 Gegevensbescherming door ontwerp

2,7

DII

4.3 Toestemming

2,7

BO

0,0

1,0

2,0

3,0

4,0

De 5 laagst scorende onderwerpen alle clusters 4.2 processen rechten van betrokkenen

1,0

3.4 Bewustwording

1,1 1,6

4.5 Websites en applicaties

1,6

2.4 DPIA's

1,6 0,0

1,0

2,5

3,1 0,0

1,0

Onderwerp Websites en applicaties

Privacybeleid

7.1 Naleving AVG

2,0

3,0

Organisatorische inbedding

BV

4.1 Recht op informatie

4,0

Score per thema alle clusters

2,0

3,0

1,8

Verantwoording

2,2

Processen

2,3

Beleid

2,4

Samenwerking

2,4

Rechten van betrokkenen

2,5

Gegevensbescherming

2,8

4,0

0,0

1,0

2,0

3,0

4,0

(Standaard) Risico Verwerking van persoonsgegevens voor een niet verenigbaar doel zonder toestemming. (de status van deze maatregel is onbekend, moet uitgezocht worden). Persoonsgegevens worden niet verwerkt op een wijze die rechtmatig, behoorlijk en transparant is.

Bewustwording

Fouten en incidenten/datalekken.

Risico’s

Niet kunnen identificeren en aanpakken van privacy risico's.

DPIA’s

Discriminatie, stigmatisering en uitsluiting van personen of verwerkingen m.b.t. personen in kwetsbare groepen.

December 2025 | Scores cluster Bedrijfsvoering

Compliance Privacy | Baseline Privacy Amsterdam NB: Dit BPA overzicht geeft inzicht in hoeverre het cluster BV de maatregelen heeft getroffen om te kunnen voldoen aan de minimale compliance eisen van de AVG.

* Cluster Bedrijfsvoering: niet alle directies hebben meegedaan aan de BPA wegens het ontbreken van eerste lijns kennis en inzet.

Cluster BV*: de 5 hoogst scorende onderwerpen 4,0

5.1 AVG rollen

2,8

2.2 Verwerkingsregister

2,7

2.1 Werkprocessen

2,7

6.4 Informatiebeveiliging

2,5 0,0

1,0

2,0

3,0

Organisatorische inbedding

1,2

Verantwoording

1,4

Rechten van betrokkenen

2,0

Processen

2,1

Beleid

2,3

Samenwerking

2,4

Gegevensbescherming

2,4

BV

BV

6.1 Risico's

Score thema's BV*: 2,1 gemiddeld

4,0

0,0

Cluster BV*: de 5 laagst scorende onderwerpen

Onderwerp

BV

4.4 Geautomatiseerde… 0,0 3.4 Bewustwording

0,6

2.5 Bewaar- en vernietigingsbeleid

0,7

7.1 Naleving AVG

1,2

3.1 Privacyteam

1,4 0,0

1,0

2,0

3,0

4,0

1,0

2,0

3,0

4,0

(Standaard) Risico

Geautomatiseerde besluitvorming Bewustwording

Aanzienlijk economisch of maatschappelijk nadeel voor de betrokkene. (lage score omdat voornamelijk n.v.t. werd geantwoord). Fouten en incidenten/datalekken.

Bewaar- en vernietigingsbeleid

Persoonsgegevens worden te lang bewaard.

Naleving AVG

Politiek-bestuurlijke en/of juridische maatregelen, verlies van vertrouwen en imagoschade (gemeente). Doelstellingen van het privacybeleid kunnen niet gerealiseerd worden.

Privacyteam

December 2025 | Scores cluster Sociaal

Compliance Privacy | Baseline Privacy Amsterdam Dit BPA overzicht geeft inzicht in hoeverre het cluster SOC de maatregelen heeft getroffen om te kunnen voldoen aan de minimale compliance eisen van de AVG.

* Cluster Sociaal: niet alle directies hebben meegedaan aan de BPA wegens het ontbreken van eerste lijns kennis en inzet. .

Cluster SOC*: de 5 hoogst scorende onderwerpen

Score thema's SOC*: 2,2 gemiddeld

1.1 Beleid vaststellen

4,0

6.1 Risico's

3,3

6.5 Privacyincidenten en…

Organisatorische inbedding

1,4

Verantwoording

1,6

2,7

2.3 Pre-DPIA's

Processen

SOC

SOC

NB:

2,7

6.3 Gegevensbescherming door…

2,7

0,0

1,0

2,0

3,0

2,0

Samenwerking

2,2

Rechten van betrokkenen

2,3

Beleid

4,0

2,5

Gegevensbescherming

Cluster SOC*: de 5 laagst scorende onderwerpen

SOC

3.3 Informeren OR

0,0

1,0

4.5 Websites en applicaties

1,2

2.5 Bewaar- en vernietigingsbeleid

1,3

3.4 Bewustwording

1,6 0,0

1,0

2,0

3,0

1,0

2,0

3,0

Onderwerp

0,6

7.1 Naleving AVG

2,7

4,0

4,0

(Standaard) Risico

Informeren OR

Inbreuk op rechten en vrijheden van medewerkers.

Naleving AVG

Politiek-bestuurlijke en/of juridische maatregelen, verlies van vertrouwen en imagoschade (gemeente).

Websites en applicaties

Verwerking van persoonsgegevens voor een niet verenigbaar doel zonder toestemming.

Bewaar- en vernietigingsbeleid Bewustwording

Persoonsgegevens worden te lang bewaard.

Fouten en datalekken.

December 2025 | Scores cluster Stadsdelen, Beheer en Dienstverlening

Compliance Privacy | Baseline Privacy Amsterdam Dit BPA overzicht geeft inzicht in hoeverre het cluster SBD de maatregelen heeft getroffen om te kunnen voldoen aan de minimale compliance eisen van de AVG.

Score thema's SBD: 2,2 gemiddeld

Cluster SBD*: de 5 hoogst scorende onderwerpen 7.2 Evaluatie Informatiebeveiliging

SBD

6.3 Gegevensbescherming door…

4,0

2.2 Verwerkingsregister

3,1

Organisatorische inbedding

1,7

Samenwerking

2,3

Processen

2,3

Rechten van betrokkenen

2,4 2,5

4.3 Toestemming

2,8

Gegevensbescherming

6.4 Informatiebeveiliging

2,7

Verantwoording

0,0

SBD

1,6

SBD

4,0

Beleid

1,0

2,0

3,0

0,0

4,0

Cluster SBD: de 5 laagst scorende onderwerpen

Beleid vaststellen

1.1 Beleid vaststellen

Websites en applicaties 1,1

3.4 Bewustwording

1,2

6.1 Risico's 7.1 Naleving AVG 0,0

1,0

1,0

2,0

3,0

Onderwerp

0,7

4.5 Websites en applicaties

2,8 4,0

(Standaard) Risico Onduidelijkheid over hoe beleid wordt vastgesteld en kenbaar gemaakt binnen de organisatie. Verwerking van persoonsgegevens voor een niet verenigbaar doel zonder toestemming.

Bewustwording

Fouten en datalekken.

1,3

Risico’s

Niet kunnen identificeren en aanpakken van privacy risico's.

1,5

Naleving AVG

Politiek-bestuurlijke en/of juridische maatregelen, verlies van vertrouwen en imagoschade (gemeente).

2,0

3,0

4,0

December 2025 | Scores cluster Digitalisering, Innovatie en Informatie

Compliance Privacy | Baseline Privacy Amsterdam Dit BPA overzicht geeft inzicht in hoeverre het cluster DII de maatregelen heeft getroffen om te kunnen voldoen aan de minimale compliance eisen van de AVG.

Score thema's DII: 2,5 gemiddeld

Cluster DII*: de 5 hoogst scorende onderwerpen

Organisatorische inbedding

DII

6.1 Risico's

Samenwerking

2,4

Processen

2,5

Rechten van betrokkenen

2,6

4,0

3,3

4.3 Toestemming

3,2

Gegevensbescherming

2,7

6.5 Privacyincidenten en…

3,2

Verantwoording

2,8

1.1 Beleid vaststellen

3,2

Beleid

2,9

1,0

2,0

3,0

DII

2.2 Verwerkingsregister

0,0

0,0

4,0

Cluster DII: de 5 laagst scorende onderwerpen

DII

1,8

Onderwerp Websites en applicaties

1,0

2,0

3,0

4,0

(Standaard) Risico Verwerking van persoonsgegevens voor een niet verenigbaar doel zonder toestemming. Fouten en datalekken.

4.5 Websites en applicaties

1,3

Bewustwording

3.4 Bewustwording

1,3

DPIA’s

Discriminatie, stigmatisering en uitsluiting van personen of verwerkingen m.b.t. personen in kwetsbare groepen.

Bewaar- en vernietigingsbeleid

Persoonsgegevens worden te lang bewaard.

Processen rechten van betrokkenen

Verhindering van betrokkenen om controle over hun persoonsgegevens uit te oefenen.

2.4 DPIA's

1,7

2.5 Bewaar- en vernietigingsbeleid

1,8

4.2 Processen

1,8 0,0

1,0

2,0

3,0

4,0

December 2025 | Scores cluster Bestuur en Organisatie

Compliance Privacy | Baseline Privacy Amsterdam NB: Dit BPA overzicht geeft inzicht in hoeverre het cluster BO de maatregelen heeft getroffen om te kunnen voldoen aan de minimale compliance eisen van de AVG.

* Cluster Bestuur en Organisatie: Voor een aantal directies is de BPA niet uitgevoerd wegens ontbreken van eerste lijns kennis en inzet.

Cluster BO*: de 5 hoogst scorende onderwerpen

6.5 Privacyincidenten en datalekken 4.4 Geautomatiseerde besluitvorming

4,0

Organisatorische inbedding

4,0

Samenwerking

7.2 Evaluatie Informatiebeveiliging

4,0

6.1 Risico's

4,0 0,0

1,0

2,0

3,0

BO

Verantwoording

3,3

Rechten van betrokkenen

3,3

2,1

5.2 Gegevensverstrekking

2,3

3.1 Privacyteam

2,5

7.1 Naleving AVG

2,5 2,0

3,6

Beleid

3,6 1,0

2,0

3,0

Onderwerp

2.5 Bewaar- en vernietigingsbeleid

1,0

Gegevensbescherming

0,0

1,5

0,0

2,8 3,1

4,0

Cluster BO* de 5 laagst scorende onderwerpen 3.4 Bewustwording

2,3

Processen

4,0 BO

BO

1.1 Beleid vaststellen

Score thema's BO*: 3,1 gemiddeld

3,0

4,0

4,0

(Standaard) Risico

Bewustwording

Fouten en datalekken.

Bewaar- en vernietigingsbeleid Gegevensverstrekking

Persoonsgegevens worden te lang bewaard.

Privacyteam

Doelstellingen van het privacybeleid kunnen niet gerealiseerd worden.

Naleving AVG

Politiek-bestuurlijke en/of juridische maatregelen, verlies van vertrouwen en imagoschade (gemeente).

Onrechtmatige verstrekking van persoonsgegevens aan derden.

December 2025 | Scores cluster Ruimte en Economie

Compliance Privacy | Baseline Privacy Amsterdam Dit BPA overzicht geeft inzicht in hoeverre het cluster R&E de maatregelen heeft getroffen om te kunnen voldoen aan de minimale compliance eisen van de AVG.

Cluster RUI: de 5 hoogst scorende onderwerpen

Score thema's RUI: 2,3 gemiddeld Rechten van betrokkenen

3,5

4.4 Geautomatiseerde besluitvorming

3,3

2.2 Verwerkingsregister

3,2

6.2 Gegevensbescherming door ontwerp

3,2

4.1 Recht op informatie

3,0 0,0

1,0

2,0

3,0

RUI

0,8

2.4 DPIA's

1,1

7.1 Naleving AVG

1,2

7.2 Evaluatie Informatiebeveiliging

1,2

5.2 Gegevensverstrekking

1,4 0,0

1,0

2,0

2,5

Samenwerking

2,4

Beleid

2,4

Processen

2,3

Organisatorische inbedding

1,6

Verantwoording 4,0

Cluster RUI: de 5 laagst scorende onderwerpen 3.4 Bewustwording

Gegevensbescherming

RUI

RUI

1.1 Beleid vaststellen

2,8

1,2 0,0

1,0

2,0

3,0

Onderwerp

3,0

4,0

4,0

(Standaard) Risico

Gegevensverstrekking

Onrechtmatige verstrekking van persoonsgegevens aan derden.

Evaluatie Informatiebeveiliging Naleving AVG

Politiek-bestuurlijke en/of juridische maatregelen, verlies van vertrouwen en imagoschade (gemeente) Politiek-bestuurlijke en/of juridische maatregelen, verlies van vertrouwen en imagoschade (gemeente).

DPIA’s

Discriminatie, stigmatisering en uitsluiting van personen of verwerkingen m.b.t. personen in kwetsbare groepen.

Bewustwording

Fouten en datalekken.

MOGELIJK TOEKOMSTIG DASHBOARD Prototype

21

22