Bijlage 4 Rapportage gegevensbescherming 2018-2019.pdf

Rapportage gegevensbescherming 2018/19 Functionaris gegevensbescherming Gemeente Amsterdam

Gemeente Amsterdam

Rapportage gegevensbescherming 2018/2019

Inhoud 1 Samenvatting ......................................................................................................... 3 2 Inleiding ................................................................................................................. 4 3 Terugblik ................................................................................................................ 5 3.1 Implementatie AVG .................................................................................................................. 5 3.2 Overige onderwerpen ............................................................................................................... 8 4 Vooruitblik 2020 .................................................................................................... 11 4.1 Onderwerpen .......................................................................................................................... 11 4.2 Opvolging................................................................................................................................12 5 Conclusie .............................................................................................................. 13 6 Bijlage 1 Schema privacy functies ........................................................................... 14

2

Gemeente Amsterdam

Rapportage gegevensbescherming 2018/2019

1 Samenvatting

Het jaar 2018 was op het gebied van gegevensbescherming een bijzonder jaar voor organisaties en burgers, zo ook voor de gemeente Amsterdam. Op 25 mei 2018 werd namelijk de Algemene verordening gegevensbescherming (AVG) van kracht. De AVG vervangt de Wet bescherming persoonsgegevens (Wbp) en zorgt voor een verhoogde aandacht voor de rechtmatige verwerking van persoonsgegevens in alle sectoren. De overheid heeft hierin een belangrijke voorbeeldfunctie. In deze rapportage staat beschreven welke acties en maatregelen de gemeente Amsterdam in 2018 en 2019 heeft getroffen om de beginselen van de AVG te waarborgen en de doelstellingen te behalen. Zo is het Stedelijk kader verwerken persoonsgegevens door het college vastgesteld, is één digitaal loket voor burgers in gebruik genomen en is een verwerkingenregister ingericht waarin de activiteiten waarbij de gemeente persoonsgegevens gebruikt, worden geregistreerd. Ook beschrijft dit document de aandachtspunten en activiteiten voor het jaar 2020. Adequaat omgaan met persoonsgegevens is een continu proces en zal de komende jaren aandacht blijven vergen van zowel bestuur, management als medewerkers.

3

Gemeente Amsterdam

Rapportage gegevensbescherming 2018/2019

2 Inleiding

De gemeente dient zorgvuldig om te gaan met persoonsgegevens. Gemeenten verwerken immers bij de uitoefening van hun taken veel gegevens. Niet alleen persoonlijke informatie over de eigen inwoners, maar ook over andere burgers, medewerkers, externen en relaties. De AVG vormt het wettelijk kader voor het verwerken van persoonsgegevens. Daarnaast heeft de gemeente ook te maken met tal van privacyregels in sectorspecifieke wetgeving. Dit alles heeft gevolgen voor de inrichting van processen en systemen in de gemeente. Het verwerken van persoonsgegevens door de gemeente vindt plaats onder de verantwoordelijkheid van het college van burgemeester en wethouders (college van B&W) dan wel de burgemeester. De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacyregels in Nederland. Daarnaast dient de gemeente te beschikken over een interne toezichthouder: de Functionaris voor de Gegevensbescherming (FG). Het college, de burgemeester en de raad hebben Hanne-Esther Kruijt per 17 september 2018 aangewezen als FG, nadat de functie vanaf 25 mei 2018 ad interim is vervuld. De FG ziet erop toe dat de AVG intern wordt nageleefd. Het is daarom van belang dat de FG rechtstreeks of via de privacy officers kennis heeft van alle gelegenheden die verband houden met de bescherming van persoonsgegevens.

De FG brengt jaarlijks verslag uit van haar werkzaamheden en bevindingen aan het college en de raad. Deze rapportage bestaat uit twee onderdelen. In het eerste deel wordt teruggekeken op de jaren 2018/19. Wat heeft de gemeente bereikt op het gebied van gegevensbescherming? Welke maatregelen zijn er getroffen om te voldoen aan de AVG? Het tweede deel van de rapportage beschrijft de bevindingen van de FG en de vereiste acties om gegevensbescherming in 2020 naar een hoger niveau te tillen. Waar nodig wordt aandacht geschonken aan de technische en organisatorische middelen die nodig zijn om dit hogere niveau te bereiken. De rapportage sluit af met een conclusie. Waar directies wordt vermeld, wordt directies en stadsdelen bedoeld, tenzij anders wordt aangegeven.

4

Gemeente Amsterdam

Rapportage gegevensbescherming 2018/2019

3 Terugblik

3.1 Implementatie AVG Het jaar 2018 stond volledig in het teken van het van kracht worden van de AVG. In dit deel van de rapportage wordt teruggeblikt op hetgeen de gemeente in 2018/2019 heeft bereikt. In 2017 heeft het Gemeentelijk Management Team ingestemd met een Plan van aanpak voor de implementatie van de AVG. Conform dit plan zijn in 2018/2019 diverse maatregelen gerealiseerd. Stedelijk beleid ten aanzien van het verwerken persoonsgegevens: het college heeft het beleid ten aanzien van het verwerken van persoonsgegevens door de gemeente Amsterdam vastgesteld. In het stedelijk kader geeft het college aan hoe de centrale uitgangspunten van de AVG (rechtmatigheid, behoorlijkheid en transparantie) worden gerealiseerd. Ook heeft het college zes aanvullende uitgangspunten geformuleerd. Besluiten over afwijkingen van het stedelijk kader worden bestuurlijk gemaakt en niet ambtelijk. Het stedelijk kader is in september 2018 vastgesteld. Taken en verantwoordelijkheden: de verdeling van taken en verantwoordelijkheden bij het verwerken van persoonsgegevens, zowel ambtelijk als bestuurlijk, is door het college vastgesteld. Behalve de eerdergenoemde FG is een netwerk van privacy officers actief dat de directies ondersteunt. In de lijn zijn privacy contactpersonen benoemd, zij hebben een signalerende functie.

Zie Bijlage 1 Schema privacy functies voor een overzicht van de verschillende functies. Verwerkingenregister: alle activiteiten en/of processen die door de gemeente worden uitgevoerd en waarbij sprake is van het verwerken van persoonsgegevens, moeten worden vastgelegd in een register. Voorbeelden van verwerkingen zijn het verlenen van vergunningen, het verstrekken van paspoorten en parkeerkaarten en het beveiligen van de openbare ruimte met behulp van camera’s. De gemeente heeft een register ingericht, waarin per 1 januari 2020 723 verwerkingen van persoonsgegevens zijn opgenomen. Het registreren betreft een continu proces; er is sprake van nieuwe processen of activiteiten, processen of activiteiten wijzigen of worden stopgezet. In deze situaties moet het register worden aangepast. Verbeterde instrumenten voor risicoanalyses: om de juiste maatregelen te kunnen treffen, brengt de gemeente de risico’s in kaart van activiteiten of processen die worden gewijzigd of nieuw worden opgestart. De gemeente maakt hierbij gebruik van verschillende risico-instrumenten, afhankelijk van de aard van de activiteit of het proces. Het risicoanalyse-instrumentarium zoals de VRA (Verkorte Risico Analyse) en de DPIA (Data Protection Impact Assessment) zijn aangepast aan de vereisten uit de AVG.

5

Gemeente Amsterdam

Rapportage gegevensbescherming 2018/2019

Privacy by design: op projecten die wijzigingen aanbrengen in de bestaande gemeentelijke informatievoorziening wordt het principe van privacy by design toegepast. Dit houdt in dat bij het ontwerpen en aanpassen van systemen en procedures de privacy-beginselen in acht worden genomen. Transparantie: op www.amsterdam.nl/privacy vindt de Amsterdammer relevante voorlichting en informatie over de verwerkingen van de gemeente in de vorm van specifieke privacyverklaringen. De informatie wordt gemonitord op volledigheid, vindbaarheid en toegankelijkheid. Op het niveau van de individuele processen en activiteiten wordt, indien van toepassing, aanvullende informatie verstrekt via folders, brieven en dergelijke. Verwerkersovereenkomst: wanneer een verwerker is ingeschakeld, zijn partijen verplicht om een verwerkersovereenkomst af te sluiten. In deze overeenkomst worden afspraken gemaakt over de manier waarop met de persoonsgegevens wordt omgegaan. Het gemeentelijk model is aangepast aan de AVG. Informatiebeveiliging: de gemeente heeft een informatiebeveiligingsbeleid, dat in 2016 is vastgesteld en momenteel wordt herzien. De Chief Information Security Officer (CISO) houdt toezicht op de informatiebeveiliging binnen de gemeente, waaronder de beveiliging van persoonsgegevens.

De CISO stuurt op de gemeentebrede implementatie van de Baseline Informatiebeveiliging Gemeenten (BIG) waarmee het in de AVG vereiste basisniveau wordt gerealiseerd. In 2020 wordt de BIG vervangen door de Baseline Informatievoorziening Overheid (BIO). Over informatiebeveiliging wordt apart gerapporteerd.

Digitaal loket voor burgers: via één digitaal loket kan de Amsterdammer zijn of haar rechten die voortvloeien uit de AVG (bijvoorbeeld op inzage of correctie) uitoefenen. Het loket is ondergebracht bij de directie Dienstverlening en op 25 mei 2018 in gebruik genomen. In 2018 heeft het loket 46, en in 2019 113 AVG verzoeken in behandeling genomen. In de eerste periode van haar bestaan heeft het loket te kampen gehad met kinderziektes waardoor een significant aantal verzoeken niet binnen de daarvoor geldende termijn is afgehandeld. Ook is er sprake geweest van een geschil met een verzoeker, waarover de rechter zich heeft uitgesproken. De gemeente had een verzoeker hulp moeten bieden bij het preciseren van zijn verzoek, dat was in dit geval niet gebeurd.

AVG-verzoeken

Periode 25 mei 2018 tot 1 januari 2019 46, waarvan: Inzage 37 Correctie 9

Behandeld binnen termijn Behandeld buiten termijn

17 29

Inzageverzoek breed Inzageverzoek specifiek Weigering

22 12: 3

6

Gemeente Amsterdam

Rapportage gegevensbescherming 2018/2019 Periode 1 januari 2019 tot 1 januari 2020 113, waarvan: Inzage 113 Correctie 0

AVG-verzoeken

Behandeld binnen termijn Behandeld buiten termijn

80 33

Inzageverzoek breed Inzageverzoek specifiek Weigering

50 48 15

Datalekken: de procedure voor het melden van datalekken is aangepast aan de eisen die de AVG stelt. De FG onderhoudt bij datalekken het contact met de Autoriteit Persoonsgegevens. Door dit op één centraal punt binnen de gemeentelijke organisatie te beleggen, verzorgt de organisatie een uniforme afhandeling. Vanaf mei 2018 tot 1 januari 2019 heeft het gemeentelijk meldpunt datalekken 74 datalekken geregistreerd waarvan er 42 bij de Autoriteit Persoonsgegevens zijn gemeld. Over de periode 1 januari 2019 tot 1 januari 2020 zijn 156 datalekken geregistreerd waarvan er 38 bij de Autoriteit Persoonsgegevens zijn gemeld. Datalekken moeten worden gemeld wanneer er een risico bestaat op nadelige gevolgen voor de burger of werknemer.

Datalekken 2018 en 2019 2018

2019

156

74 42

datalekken

49

59

38

gemeld bij de AP

aan betrokkenen gemeld

De stijging van het aantal interne meldingen wijst er op dat het bewustzijn rondom datalekken is toegenomen. De lichte daling van het aantal bij de AP gemelde datalekken lijkt er op te wijzen dat het aantal ernstige datalekken iets is afgenomen. De FG vermoedt echter dat nog niet alle datalekken binnen de organisatie worden gemeld. De norm is dat alle datalekken gemeld worden bij de FG, waarna de FG beoordeelt of het datalek bij de Autoriteit Persoonsgegevens wordt gemeld omdat er nadelige gevolgen voor burgers of werknemers zijn. In de opvolger van de campagne ‘Weet wat je deelt’, zal wederom aandacht worden 7

Gemeente Amsterdam

Rapportage gegevensbescherming 2018/2019

besteed aan datalekken. Zie hieronder in hoofdstuk 4 Vooruitblik 2020, Training en bewustwording.

Type Datalekken 2018/2019 pg verstuurd of afgegeven aan de verkeerde ontvanger pg van verkeerde klant getoond in klantportaal pg per ongeluk gepubliceerd overig apparaat etc. kwijtgeraakt of gestolen post kwijtgeraakt of geopend retour ontvangen

5% 3%

2019

12% 5%5% 7% 8% 4%

11% 4%

2018 68% 68%

De Autoriteit Persoonsgegevens heeft de afgelopen 2 jaren een aantal maal om nadere informatie gevraagd naar aanleiding van de door de gemeente gemelde datalekken. Er is door de Autoriteit geen andere actie ondernomen.

Bewustwording: in 2018 is de campagne ‘Weet wat je deelt’ uitgevoerd, met als doel om medewerkers bewust te maken van de risico’s op het gebied van privacy en informatiebeveiliging. Tijdens de campagne is het kennisniveau van de medewerkers getoetst. De twee e-learningmodules zijn respectievelijk door 3712 en 2443 werknemers ingevuld. In 2019 is een 1-meting uitgevoerd. Hieruit blijkt dat er behoefte is aan verdieping van algemene kennis, en op specifieke onderwerpen zoals het gebruik van e-mail, tooling en social media. In samenwerking met de privacy officers heeft de FG in 2019 het Privacy Platform Amsterdam nieuw leven in geblazen. Het Privacy Platform Amsterdam is bedoeld voor kennisdeling en het stimuleren van bewustwording onder de privacy contactpersonen van de directies.

3.2 Overige onderwerpen Doorlichting In 2018 heeft de gemeente 447 verwerkingen uit haar register aan de hand van een vragenlijst getoetst aan de AVG. Er is geconstateerd dat op onderdelen de vastlegging niet 8

Gemeente Amsterdam

Rapportage gegevensbescherming 2018/2019

correct is en er zijn punten van verbetering vastgesteld. Gezien de hoeveelheid aan activiteiten en processen zijn de aanbevelingen geprioriteerd en worden deze over een langere periode opgepakt. Hierover zijn afspraken gemaakt met de directies. Gedetailleerde informatie over deze doorlichting is te vinden in het rapport Doorlichting privacy, waarvan het college op 26 februari 2019 kennis heeft genomen en de raadscommissie KDD op 20 maart 2019.

Behandeling van klachten Burgers kunnen bij de FG vragen stellen of een klacht indienen over de verwerking van persoonsgegevens door de gemeente Amsterdam. De FG zet deze vragen en/of klachten uit in de organisatie of behandelt deze indien mogelijk zelf. Over de periode mei t/m december 2018 zijn 23 klachten binnengekomen in de FG mailbox. In 2019 waren dat er 38. De klachten variëren sterk, er zijn klachten mbt het gebruik van cookies op de gemeentelijke websites tot het gebruik van productcodes in de zorg.

Onderzoek Autoriteit Persoonsgegevens In september 2018 is de gemeente benaderd door de Autoriteit Persoonsgegevens (AP) om mee te werken aan een verkennend onderzoek naar de registratie van datalekken. De gemeente heeft haar registratie over de periode 25 mei 2018 – 1 oktober 2018 aan de Autoriteit opgeleverd. In maart 2019 heeft de AP de resultaten van het onderzoek gepubliceerd. De rapportage geeft een beeld van de registraties van 26 overheidsorganisaties waarbij de onderzochte organisaties niet herleidbaar zijn opgenomen. Ook zijn ‘poor en best practices’ opgenomen. De gemeente gebruikt de aanbevelingen als input voor de verbetering van haar registratie en haar activiteiten in het kader van training en bewustwording op dit onderwerp. In oktober 2019 is de gemeente geselecteerd voor een verkennend onderzoek van de AP naar Smart city-toepassingen. De AP wil inzicht verkrijgen in de verwerkingen van persoonsgegevens binnen smart city-toepassingen en de rol van de FG bij de ontwikkeling van deze toepassingen, onderzoeken. De gemeente is in afwachting van de resultaten van het onderzoek.

Adviezen In 2018 is op verzoek van de directeur Verkeer & Openbare Ruimte een advies uitgebracht over de samenwerking met de politie voor wat betreft het gebruik van de gemeentelijke verkeerscamera’s voor de Milieuzone en het delen van deze infrastructuur met de politie. Ook heeft de FG geadviseerd over de toepassing van mobile device management bij de uitgifte van mobiele telefoons aan medewerkers van de gemeente Amsterdam. Onderwerpen waarover in 2019 is geadviseerd zijn: de governance voor de bescherming van persoonsgegevens bij de stadsdelen, de verantwoordelijkheidsverdeling inzake de bescherming van persoonsgegevens bij verbonden partijen 1 , en het verwerken van persoonsgegevens via de gemeentelijke websites. 1

Een verbonden partij is een externe organisatie waaraan een publieke taak van de gemeente Amsterdam is uitbesteed

9

Gemeente Amsterdam

Rapportage gegevensbescherming 2018/2019

In G5 verband is een gezamenlijk advies uitgebracht aan de Autoriteit Persoonsgegevens over de verdeling van bevoegdheden tussen burgemeester en politie ten aanzien van de inzet van camera’s op basis van art. 151c Gemeentewet. Naar aanleiding van dit advies heeft de AP informatie op haar website aangepast. De conclusie was dat zowel de burgemeester als de Korpschef van de Nationale Politie verwerkingsverantwoordelijke zijn.

Borgen van de governance De directeuren (afdelings- en/of teamhoofden), de privacy officers en de privacy contactpersonen vullen de verantwoordelijkheid in die ze, zoals vastgelegd in het organisatorisch kader ‘Taken en verantwoordelijkheden’, toebedeeld hebben gekregen. Ter ondersteuning hiervan heeft de CIO de procesplaten ‘Privacy Amsterdam’ en ‘Wat te doen bij een datalek’ ontwikkeld. De FG heeft de directieteams van de clusters bezocht, met uitzondering van Ruimte en Economie, om de afzonderlijke rollen en verantwoordelijkheden toe te lichten. Aan het toezicht op de naleving van de AVG en de bijbehorende ‘accountability’ verplichting heeft de FG verdere invulling gegeven met de (door)ontwikkeling van een privacy dashboard. Het dashboard verschaft de organisatie inzicht in de actuele status van gegevensbescherming zodat op managementniveau sturing kan plaatsvinden. De FG gebruikt het dashboard om invulling te geven aan haar toezichtstaak. In december 2019 heeft een zevental directies (hieronder geen stadsdelen) het dashboard voor het eerst in gebruik genomen.

Commissie Persoonsgegevens Amsterdam Als gevolg van de komst van de FG bij de gemeente is de taakstelling van de Commissie Persoonsgegevens Amsterdam (CPA) gewijzigd. De FG heeft een interne toezichthoudende functie, de CPA adviseert met de ‘blik van buiten’ over complexe of gevoelige verwerkingen. Afgesproken is dat de CPA de FG informeert over de onderwerpen die uitdrukkelijk de aandacht van de FG nodig hebben. De samenwerking tussen de CPA en FG is in 2019 geïntensiveerd. Hierbij haakt ook de directie Juridische Zaken aan.

Brandweer Eind 2019 heeft de burgemeester besloten dat ook de Brandweer Amsterdam – Amstelland onder het toezicht staat van de FG van de gemeente Amsterdam.

10

Gemeente Amsterdam

Rapportage gegevensbescherming 2018/2019

4 Vooruitblik 2020

Gegevensbescherming als onderdeel van de organisatie en aantoonbaar voldoen aan de relevante wet- en regelgeving, is geen afvinklijst, maar een continu proces. Het vraagt om structurele borging van dit onderwerp. Waar 2018 in het teken stond van de voorbereiding op de AVG en het treffen van de nodige maatregelen, stond 2019 in het teken van het borgen van de governance, het verder op orde brengen van de basis en de training en bewustwording van de organisatie. Dit wordt in 2020 gecontinueerd.

4.1 Onderwerpen Borgen van de governance In 2020 wordt het privacy dashboard door alle organisatieonderdelen gevuld en wordt het onderhoud, in de vorm van een PDCA-cyclus, geborgd. Basis op orde In de periode 2018/19 is een belangrijk deel van het implementatieplan gerealiseerd. Het is van belang dat de organisatie het plan in 2020 afrondt. De volgende acties zijn nodig: 1. Stedelijk kader Het college van B&W heeft besloten dat het vastgestelde stedelijk kader niet alleen op nieuwe verwerkingen wordt toegepast, maar ook op de reeds lopende verwerkingen. De CIO heeft in 2019 geïnventariseerd welke verwerkingen alsnog aan het college of de burgemeester moeten worden voorgelegd. In 2020 volgt het traject van de bestuurlijke besluitvorming. De FG ondersteunt dit proces. 2. Register van verwerkingen De directies vullen het register aan met de verwerkingen die nog niet zijn geregistreerd. Het register wordt door de directies continu onderhouden. 3. Risicoanalyses De gemeente brengt risico’s in kaart zodat maatregelen kunnen worden getroffen om ze te beheersen. De Autoriteit Persoonsgegevens heeft een lijst opgesteld van activiteiten waarbij de privacyrisico’s en maatregelen met behulp van een Data Protection Impact Assessment (DPIA) in kaart moeten worden gebracht.

De directies moeten voldoende resources beschikbaar hebben om een DPIA uit te voeren en de daaruit voortvloeiende maatregelen te nemen. 4. Privacy by design De gemeente past het privacy by design principe toe, maar nog niet op een uniforme, gestructureerde wijze. De CIO zal in samenwerking met de CTO gemeentebrede uitgangspunten formuleren waarbij zij aanhaken bij activiteiten in VNG-verband.

11

Gemeente Amsterdam

Rapportage gegevensbescherming 2018/2019

5. Transparantie De privacyverklaringen die op amsterdam.nl zijn gepubliceerd worden waar nodig aangevuld en/of geactualiseerd. 6. Verwerkersovereenkomsten Indien een verwerker wordt ingeschakeld moet een verwerkersovereenkomst worden afgesloten. Wanneer deze ontbreekt of moet worden aangepast zijn de directies in overleg met de betreffende marktpartijen om deze overeenkomsten af te ronden. 7. Digitaal loket voor burgers De directie Dienstverlening verzorgt de verdere professionalisering van het loket en wordt daarbij ondersteund door de FG. 8. Bewaartermijnen Uit de doorlichting is gebleken dat de bewaartermijnen onvoldoende worden bewaakt. Persoonsgegevens mogen niet langer bewaard worden dan nodig is om het doel te bereiken waarvoor de gegevens zijn verzameld. Daarom moet er voor elke verwerking een bewaartermijn worden bepaald en nageleefd. Er wordt momenteel gewerkt aan een stedelijk plan van aanpak voor de bewaartermijnen. De CIO is de opdrachtgever van dit project. Training en bewustwording De CIO heeft een multidisciplinaire werkgroep geïnitieerd die zich structureel bezighoudt met de invulling van training en bewustwording op het gebied van privacy en informatiebeveiliging. In 2020 organiseert de CIO een vervolg op de bewustwordingscampagne, ‘Weet wat je deelt’. Het blijft belangrijk om daarbij specifiek aandacht te besteden aan datalekken.

De FG draagt bij aan deze activiteiten.

4.2 Opvolging De gemeentesecretaris draagt zorg voor de opvolging van de hierboven beschreven aandachtspunten en activiteiten. De FG voorziet hem daartoe van de benodigde informatie over de voortgang en knelpunten.

12

Gemeente Amsterdam

Rapportage gegevensbescherming 2018/2019

5 Conclusie

In 2018/19 heeft de gemeente belangrijke stappen gezet om de AVG te implementeren. Het komende jaar ligt de focus op het afronden van de gestarte werkzaamheden en de structurele borging van de AVG. Hiervoor stelt de organisatie mensen en middelen beschikbaar. Om privacy structureel te kunnen borgen, is het belangrijk dat het bewustzijn binnen de organisatie wordt onderhouden en vergroot. De doorontwikkeling van het dashboard ondersteunt de sturing op managementniveau. Met deze acties draagt de gemeente bij aan het op adequate wijze beschermen van de gegevens van burgers, medewerkers en andere betrokkenen.

13

Gemeente Amsterdam

Rapportage gegevensbescherming 2018/2019

6 Bijlage 1 Schema privacy functies

Onderstaand schema biedt een overzicht van de verschillende stakeholders die in het privacy domein actief zijn. Het schema is gebaseerd op het document ’Taken en verantwoordelijkheden bij het verwerken van persoonsgegevens door de gemeente Amsterdam’, vastgesteld door het college op 25 september 2018. Dit document wordt bij de rapportage verstrekt.

Samenleving

College B&W Portefeuillehouders Inhoudelijk verantwoordelijk voor de directies die onder hen vallen

Coördinerend wethouder Privacy Stelselverantwoordelijk

Rapporteren

Rapporteren

Gemeentesecretaris

Toezichthouder

Functionaris Gegevensbescherming Wettelijke voorgeschreven toezichthouder

Rapporteren en adviseren

Infomeren en adviseren

Informeren en adviseren Vragen en klachten

Opdracht voor kader/beleid Rapporteren

Directie CPA Expertise en maatschappelijk Klankbord

Adviseren

(Stedelijk) Directeur Verantwoordelijk voor de uitvoering

Adviseren

Rapporteren

Kadersteller Expertpool

informeren

Privacy Contactpersoon Signalering

Vertegenwoordiging

Signaleren

Privacy Officer Expert

CIO Verantwoordelijk voor kaders en beleid

Rapporteren

informeren

Burgers Hun persoonsgegevens worden verwerkt

Dienstverlening

Medewerkers Uitvoering

Adviseren

Kaders uitzetten

14

Taken en verantwoordelijkheden Het Stedelijk kader verwerken persoonsgegevens door de gemeente Amsterdam maakt zowel bestuurlijk als ambtelijk duidelijk hoe de gemeente Amsterdam om gaat met de verwerking van persoonsgegevens. Organisatorisch kader Het organisatorisch kader voor de taken en verantwoordelijkheden maakt duidelijk wat de rol, taken en verantwoordelijkheden zijn van de betrokken bestuurlijke en ambtelijke actoren op het gebied van de verwerking van persoonsgegevens in de gemeente Amsterdam. Het organisatorisch kader ziet er als volgt uit:

Bestuurlijk: College B&W, Burgemeester, Het College van Burgemeester en Wethouders, dan wel de Burgemeester, ieder vanuit hun eigen taak en bevoegdheid1, verantwoordelijk voor de verwerkingen van persoonsgegevens die door of namens de gemeente worden uitgevoerd. Zij zijn dan ook de verantwoordelijke in de zin van de wet. Portefeuillehouder ICT De portefeuillehouder ICT heeft de stelselverantwoordelijkheid voor het verwerken van persoonsgegevens en is verantwoordelijk voor:  het door het College laten vaststellen van generiek beleid voor het verwerken van persoonsgegevens;  het initiëren van flankerende activiteiten om de bescherming van persoonsgegevens binnen de organisatie te bevorderen, zoals een communicatieplan, training en bewustwording van medewerkers, risicomanagement en de informatie aan Amsterdammers over de wijze waarop de gemeente Amsterdam omgaat met informatie en de wijze waarop deze gebruik kan maken van zijn/ haar rechten ingevolge de wet. Burgemeester De Burgemeester is verantwoordelijk voor:  De rechtmatigheid2 van de verwerking van persoonsgegevens, waarvoor de Burgemeester verwerkingsverantwoordelijke is. Vakportefeuilles Daar waar de Burgemeester portefeuillehouder is op een domein en het een verwerking van persoonsgegevens betreft waarvoor het college de verwerkingsverantwoordelijke is, is de burgemeester te beschouwen als een vakportefeuillehouder.

1

De Raad is verantwoordelijk voor de verwerkingsactiviteiten in het kader van de uitoefening van taken van de Raad.

2 Met rechtmatigheid wordt telkens bedoeld de compliance aan wet- en regelgeving op het gebied van de

bescherming van persoonsgegevens en het Stedelijk kader verwerken persoonsgegevens door de gemeente Amsterdam.

De vakportefeuillehouders zijn -politiek- verantwoordelijk voor  De rechtmatigheid van de verwerking van persoonsgegevens van de RVE’s of van stadsdelen die binnen zijn/haar eigen vakportefeuille vallen, zoals Dienstverlening, Jeugd, Onderwijs, Zorg, Participatie, Handhaving, Basisinformatie, Onderzoek, Informatie en Statistiek;  Het ter besluitvorming aan het college voorleggen van complexe en/of politiek gevoelige verwerkingen van persoonsgegevens.

Ambtelijk, stelselverantwoordelijkheid Chief Information Officer (CIO) De Chief Information Officer (CIO) is verantwoordelijk voor het laten vaststellen van beleid voor het verwerken van persoonsgegevens in relatie tot het technische informatiebeveiligingsbeleid van de gemeente. De Chief Information Security Officer (CISO) ziet toe op de naleving van het informatiebeveiligingsbeleid. De CIO, de CISO en de Functionaris Gegevensbescherming werken samen daar waar informatiebeveiliging en privacy in elkaar grijpen. De Chief Information Officer (CIO) heeft de volgende taken:  In opdracht van de Wethouder ICT formuleren en beheren van kaderstellende afspraken voor het gebruik van persoonsgegevens en voor informatieveiligheid bij het verwerken van privacygevoelige gegevens;  Bewustwording van medewerkers op het gebied van informatiebeveiliging en bescherming persoonsgegevens;  Het inrichten van het risicomanagement ten aanzien van de bescherming van persoonsgegevens. Functionaris Gegevensbescherming De Functionaris Gegevensbescherming (FG) is de interne toezichthouder en brengt advies uit over de naleving van het stedelijk kader en verplichtingen ingevolge de wet.

De Functionaris Gegevensbescherming heeft de volgende taken: 1) De verantwoordelijke of de verwerker informeren en adviseren over hun verplichtingen uit hoofde van de AVG en andere gegevensbeschermingsbepalingen; 2) Toezien op het naleven van de AVG en andere gegevensbeschermingsbepalingen en van het beleid van de verantwoordelijke of de verwerker m.b.t. de bescherming van persoonsgegevens (i.c. het stedelijk kader), met inbegrip van de toewijzing van verantwoordelijkheden, bewustmaking en opleiding van het bij de verwerking betrokken personeel en de betreffende audits; 3) Desgevraagd advies verstrekken m.b.t. de gegevensbeschermingseffectbeoordeling (data protection impact assessment) en toezien op de uitvoering daarvan; 4) Met de toezichthoudende autoriteit (Autoriteit Persoonsgegevens) samenwerken; 5) Optreden als contactpunt voor de toezichthoudende autoriteit inzake met verwerking verband houdende aangelegenheden. 6) Het in stand houden van het register van verwerkingsactiviteiten; 7) Melding doen bij de Autoriteit Persoonsgegevens in het kader van de meldplicht datalekken en het bijhouden van het register van datalekken; 8) Behandeling van vragen en klachten van Amsterdammers en voorlichting; 9) Het adviseren en rapporteren aan de gemeentesecretaris; 10) Jaarlijkse rapportage aan het College en de Raad.

De Functionaris Gegevensbescherming houdt bij de uitvoering van zijn taken naar behoren rekening met het aan verwerkingen verbonden risico, en met de aard, de omvang, de context en de verwerkingsdoeleinden.

Ambtelijk, lijnverantwoordelijkheid: Stedelijk directeur  De stedelijk directeur ziet toe op de naleving van het stedelijk kader en op de samenhang daar waar domein-overstijgende uitwerking vereist is.

Rve-directeur/ dagelijks bestuur van het stadsdeel De betrokken rve-directeur dan wel het dagelijks bestuur van het stadsdeel is verantwoordelijk voor:  Het -indien aan de orde- opstellen en aan het via de vakwethouder aan het college ter besluitvorming aanbieden van uitwerkingen van het beleid m.b.t. verwerking van persoonsgegevens.  De rechtmatigheid van de verwerking van persoonsgegevens binnen zijn/haar werkgebied. De beslissing over de gegevensverwerking wordt genomen met inachtneming van de vastgestelde kaders en het beleid.  Het namens de verantwoordelijke uitvoeren van de taken verband houdende met de rechten van de betrokkene zoals omschreven in hoofdstuk III van de Algemene Verordening Gegevensbescherming (artikelen 12 tot en met 21 van de AVG).  Het maken van transparante afspraken met andere, gezamenlijke, verantwoordelijken in de zin van artikel 26 AVG.  Het sluiten van overeenkomsten met verwerkers als bedoeld in artikel 28 AVG.  Het inschrijven van (wijzigingen van) verwerkingen van persoonsgegevens waarvoor een registratieplicht geldt in het register van de verwerkingsactiviteiten als bedoeld in artikel 30 AVG.

 Het nemen van beslissingen over het dichten van geconstateerde datalekken en de melding daarvan aan de betrokkenen;  Het treffen van passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen;  Het borgen van privacy by design en privacy by default;  Voordat een beslissing wordt genomen over nieuwe of wijzigingen van bestaande verwerkingen, met waarschijnlijk een hoog risico voor de rechten en vrijheden van personen, worden de privacy risico’s in beeld gebracht en indien vereist toont de directeur/dagelijks bestuur door middel van een data protection impact assessment aan, dat de privacy voldoende is gewaarborgd en worden de al dan niet te nemen maatregelen gemotiveerd. De directeur/dagelijk bestuur zal advies over data protection impact assessments inwinnen bij de privacy-officer en in geval van complexe gegevensverwerking bij de Functionaris Gegevensbescherming.  Het voorafgaand raadplegen van de Autoriteit Persoonsgegevens over risico’s indien de AVG dit vereist.  Het treffen van waarborgen in de zin van de AVG en zoals voorgeschreven door de Europese Commissie en/of de Autoriteit Persoonsgegevens, bij doorgifte aan derde landen of een internationale organisatie3;  Het sturen op bewustzijn en naleving van het beleid bij medewerkers van het organisatieonderdeel.

 Het rapporteren over de naleving van wet- en regelgeving en het stedelijk kader aan de CIO/FG.  Indien er sprake is van een situatie van complexe gegevensverwerking en/of politiek gevoelige gegevensverwerking, zal de directeur/dagelijks bestuur voordat een beslissing wordt genomen over nieuwe of wijzigingen van bestaande verwerkingen tevens advies inwinnen bij de Commissie Persoonsgegevens Amsterdam.

3

Dit doet zich als er een verwerker wordt ingeschakeld die de gegevens opslaat op een server die zich bevindt in een land buiten de Europese Unie dat niet voorkomt op de lijst van landen waarvan de Europese Commissie heeft vastgesteld dat de bescherming van de privacy er adequaat geborgd is.

Directeur OOV De directeur OOV is (namens de Burgemeester) verantwoordelijk voor:  Het indien aan de orde opstellen en aan de Burgemeester ter besluitvorming aanbieden van een uitwerking van het beleid met betrekking tot persoonsgegevens.  De rechtmatigheid van de verwerking van persoonsgegevens. De beslissing over de gegevensverwerking wordt genomen met inachtneming van de vastgestelde kaders en het beleid.  Het namens de verantwoordelijke uitvoeren van de taken verband houdende met de rechten van betrokkene zoals omschreven in zoals omschreven in hoofdstuk III van de Algemene Verordening Gegevensbescherming (artikelen 12 tot en met 21 van de AVG).  Het maken van transparante afspraken met andere, gezamenlijke, verantwoordelijken in de zin van artikel 26 AVG.  Het sluiten van overeenkomsten met verwerkers als bedoeld in artikel 28 AVG.  Het inschrijven van (wijzigingen van) verwerkingen van persoonsgegevens waarvoor een registratieplicht geldt in het register van de verwerkingsactiviteiten als bedoeld in artikel 30 AVG.  Het nemen van beslissingen over het dichten van geconstateerde datalekken en de melding daarvan aan de betrokkenen.

 Het treffen van passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen;  Het borgen van privacy by design en privacy by default;  Voordat een beslissing wordt genomen over nieuwe of wijzingen van bestaande verwerkingen, met waarschijnlijk een hoog risico voor de rechten en vrijheden van personen, worden de privacy risico’s in beeld gebracht en indien vereist toont de directeur door middel van een data protection impact assessment aan, dat de privacy voldoende is gewaarborgd en worden de al dan niet te nemen maatregelen gemotiveerd. De directeur zal advies over data protection impact assessments inwinnen bij de privacy-officer en in geval van complexe gegevensverwerking bij de Functionaris Gegevensbescherming.  Het voorafgaand raadplegen van de Autoriteit Persoonsgegevens over risico’s indien de AVG dit vereist.  Het vaststellen van passende waarborgen bij doorgifte aan derde landen of een internationale organisatie.  Het sturen op bewustzijn en naleving van het beleid bij medewerkers van het organisatieonderdeel.  Het rapporteren over de naleving van wet- en regelgeving en het stedelijk kader aan de CIO/FG.

 Indien er sprake is van een situatie van complexe gegevensverwerking en/of politiek gevoelige gegevensverwerking, zal de directeur voordat een beslissing wordt genomen over nieuwe of wijzigingen van bestaande verwerkingen tevens advies inwinnen bij de Commissie Persoonsgegevens Amsterdam. Privacy officer De Privacy officers (gepositioneerd in de clusters) zijn belast met de coördinatie en uitvoering van het beleid inzake het verwerken van persoonsgegevens van de organisatieonderdelen die onder het cluster ressorteren. Tot de taken van de Privacy officer behoren in ieder geval:  Het adviseren over nieuwe of aangepaste verwerkingen in het licht van wettelijke verplichtingen en de naleving van het stedelijk kader.  Het uitoefenen van het eerstelijns toezicht op de verwerking van persoonsgegevens.  Het opstellen van en het houden van toezicht op het gebruik van privacy protocollen en verwerkersovereenkomsten.  Advies over transparante afspraken met andere, gezamenlijke, verantwoordelijken in de zin van artikel 26 AVG.  Het controleren, onderhouden en aanvullen van het register van verwerkingsactiviteiten, die binnen de rve’s/stadsdelen die onder het cluster ressorteren, plaatsvinden.

 Alle handelingen aangaande de meldplicht datalekken die het organisatieonderdeel aangaan. Met uitzondering van het doen van de melding bij de Autoriteit Persoonsgegevens, die taak ligt bij de Functionaris Gegevensbescherming.  Adviseren aangaande de verwerking van persoonsgegevens en data protection impact assessments.  Advies over de verplichting om de Autoriteit Persoonsgegevens voorafgaand te raadplegen over risico’s indien de AVG dit vereist.  Een actieve bijdrage aan de ontwikkeling van bewustzijn en kennis van het beleid bij medewerkers.  Het rapporteren over de naleving van wet- en regelgeving en het stedelijk kader aan de CIO/FG. Contactpersoon voor de gegevensbescherming Elk organisatieonderdeel heeft een contactpersoon die belast is met het signaleren van vraagstukken betreffende de uitvoering van verplichtingen in de AVG en het stedelijk kader verwerken persoonsgegevens in het betreffende organisatieonderdeel. Commissie Persoonsgegevens Amsterdam (CPA) Het College van Burgemeester en Wethouders heeft de Commissie Persoonsgegevens Amsterdam ingesteld. Deze commissie adviseert het College omtrent de gegevensverwerking in breedste zin. De werkwijze van de commissie en met name het houden van – in beginsel – openbare vergaderingen en uitbrengen van adviezen, draagt bij aan de transparantie rondom de verwerking van persoonsgegevens door de gemeente.

De Commissie Persoonsgegevens Amsterdam heeft in 2011 zowel een toezichthoudende als een adviserende rol gekregen. De interne toezichthoudende rol komt vanaf mei 2018 bij de Functionaris Gegevensbescherming te liggen. De CPA heeft de volgende taak: Gevraagd en ongevraagd adviseren van de verantwoordelijke over complexe en/of politiek gevoelige gegevensverwerking met inachtneming van de wet- en regelgeving, en de maatschappelijke en technologische ontwikkelingen. Indien de FG en de CPA conflicterende adviezen of verschillen van inzicht hebben, is het advies van de FG leidend. In dat geval wordt het besluit over de gegevensverwerking door de betrokken rve- directeur dan wel het dagelijks bestuur van het stadsdeel voorgelegd aan de verantwoordelijke. Datalek Iedere medewerker, verwerker of een ieder ander die een datalek constateert waarvoor het College of de Burgemeester of de Raad verantwoordelijk is, volgt het proces datalekken zoals vastgesteld in het GMT. De Functionaris Gegevensbescherming verricht, in afstemming met de Privacy officer van het cluster en de betrokken rve-directeur of het dagelijks bestuur van het stadsdeel, de melding van het datalek bij de Autoriteit Persoonsgegevens.

De rve-directeur/dagelijks bestuur van het stadsdeel is verantwoordelijk voor het dichten van het datalek onder advisering van de Functionaris Gegevensbescherming en de Chief Information Security Officer (CISO). De rve-directeur dan wel het dagelijks bestuur van het stadsdeel doet - indien vereist- de melding van een inbreuk in verband met persoonsgegevens aan de betrokkene.

Organisatie van gegevensbescherming Rapportage en escalatielijn is als volgt: De rapportage en escalatielijn is als volgt: Privacy Officer -> FG -> Gemeentesecretaris / verantwoordelijke. De FG rapporteert aan de gemeentesecretaris. Jaarlijks brengt de FG verslag uit aan het College en de Raad.

Landelijk overleg De FG is -onder meer- vertegenwoordigd in het G4-privacy overleg, het privacy overleg van het landelijke CIO-platform.