c. Rapportage Functionaris gegevensbescherming 2021.pdf

Rapportage 2021

Functionaris gegevensbescherming Hanne-Esther Kruijt | april 2022

Inhoud

2 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

1. Samenvatting 1.1 Terugblik 2021 1.2 Vooruitblik 2022 1.3 Tot slot

4 4 5 6

2. Inleiding

8

3. Terugblik 3.1 Vaste onderwerpen 3.2 Overige onderwerpen

11 11 15

4. Vooruitblik 2022 4.1 Onderwerpen 4.2 Opvolging

20 20 22

5. Tot slot

24

6. Bijlage Schema privacy functies

26

1

Samenvatting

1

Samenvatting 1.1 Terugblik 2021 Amsterdam loopt als gemeente regelmatig voorop. Zo zijn de afge­ ­lopen twee jaar een algoritme- en een sensorregister gelanceerd. Het blijft echter voor de gemeente een uitdaging om gegevens­ bescherming vanzelfsprekend onderdeel van de werkzaamheden te laten uitmaken. Uit een inventarisatie blijkt dat ook in het afgelopen jaar het verwerkingsregister nog niet volledig is bijgewerkt. Verder blijkt uit onderzoek van de ACAM dat de gemeente geen volledig inzicht heeft in haar risicovolle verwerkingen. Niet alle directies lijken zich bewust te zijn van hun verantwoordelijkheid op deze punten. Dat de gemeente vooralsnog heeft gekozen voor een beperkte bezetting van de vakgroep gegevensbescherming speelt hierbij een rol. Het aantal vragen en klachten dat burgers bij de FG hebben ingediend is met 50 (vijftig) bijna verdubbeld ten opzichte van 2020. De onderwerpen zijn divers, een verzoek is regelmatig het gevolg van gebrekkige communicatie of het door de gemeente verzamelen en/of uitvragen van teveel gegevens. Ook het aantal inzageverzoeken en de datalekken die de gemeente in 2021 heeft geregistreerd hebben een significante groei laten zien. Bijna de helft van de datalekken betreft GGD meldingen in verband met Covid-19. Voorbeelden daarvan zijn het per abuis meegeven of toesturen van een vaccinatiebewijs of testuitslag aan de verkeerde persoon.

Het programma ‘Weet wat je deelt’ heeft een structureel karakter gekregen binnen de gemeente. De zichtbaarheid en effectiviteit van

4 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

het programma mag worden vergroot. Een centrale jaarkalender met vaste en wisselende activiteiten kan hierbij houvast bieden. In 2021 zijn verschillende stappen gezet die betrekking hebben op de beveiliging van persoonsgegevens. Voor de implementatie van de Baseline Informatievoorziening Overheid (BIO) is een driejarenplan opgesteld (2020-2023). De Autoriteit Persoonsgegevens (AP) heeft naar aanleiding van het datalek dat begin 2021 bij de landelijke organi­satie GGD GHOR heeft plaatsgevonden, een onderzoek gedaan naar de beveiliging van persoonsgegevens die worden verwerkt in het kader van de bestrijding van de coronapandemie. De AP heeft haar “Onderzoeksrapport bescherming van persoons­ gegevens in de ontwikkeling van Nederlandse Smart Cities” aan de gemeente aangeboden. Hieruit volgen, kort samengevat, de volgende aanbevelingen: stel een helder gemeentelijk beleid vast, leg de gemaakte afwegingen over de verwerking van persoonsgegevens bij smart city-toepassingen vast en zorg voor democratische controle en het betrekken van burgers bij de ontwikkeling van deze toepassingen. Het door de FG geïnitieerde onderzoek naar de stand van zaken inzake DPIA’s (risico-analyses) is in 2021 afgerond.

Belangrijkste bevindingen betreffen het gebrekkig onderhoud van het verwerkings­ register en het slechts gedeeltelijk opvolgen van met een DPIA vastgestelde maatregelen om risico’s te mitigeren. De FG heeft in 2021 bij 60 risicovolle verwerkingen een advies uitgebracht. Naar aanleiding van het door de NHL Stenden Hogeschool en de Rijksuniversiteit

Groningen uitgevoerde onderzoek naar online monitoring door gemeenten heeft de FG op verzoek van het college een advies uitgebracht inzake online onderzoek door gemeenten. De gemeente geeft aan in 2022 in lijn met dit advies beleid inzake online onderzoek te ontwikkelen. De ACAM is in 2021 gestart met de voor de gemeente vierjaarlijkse verplichte externe audit op grond van de Wet politiegegevens. Het onderzoek betreft de verwerking van politiegegevens door BOA’s. Naar aanleiding van de uitspraak van het Hof van Justitie in de zgn. Schrems II zaak uit 2020 is het gemeentelijk addendum bij de VNG-model verwerkersovereenkomst aangepast. De organisatie inventariseert de contracten die worden geraakt door deze uitspraak. Aan het deelnemingenbeleid van de gemeente is toegevoegd dat een verbonden partij moet voldoen aan kwaliteitsaspecten als het gaat om dataverwerking. Stichting Waternet is een van deze partijen, wat betekent dat deze kwaliteitseisen moeten worden meegenomen in de te maken afspraken rondom het nieuwe governance model voor de drinkwatervoorziening. Processen en systemen waarin persoonsgegevens worden verwerkt, moeten worden ingericht volgens het principe van privacy by design. Eind 2021 beschikt de gemeente nog niet over gezamenlijke uitgangspunten waaraan door de privacy- en beveiligingsadviseurs kan worden getoetst.

Het college heeft in 2021 een nieuwe voorzitter benoemd voor de Commissie Persoonsgegevens Amsterdam (CPA). Ook is de CPA aangewezen als adviseur inzake het gebruik van algoritmes en kan zij om een ethische beoordeling van voorgenomen verwerkingen worden gevraagd. De FG raadt de organisatie aan om de op haar rustende verplichting om de FG ‘naar behoren en tijdig’ te betrekken ‘bij alle aangelegenheden die verband houden met de bescherming van persoons­

5 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

gegevens’ ter harte te nemen. In de voorbereiding van de CPAvergaderingen blijkt dat hier niet altijd gevolg aan wordt gegeven. De gemeente is druk doende met het overbrengen en borgen van de data van betrokkenen van Weesp naar de bedrijfsapplicaties van Amsterdam. Het sociaal domein heeft hierbij speciale aandacht en meer in het bijzonder de gegevensverwerkingen rondom het Sociaal Wijkteam Weesp.

1.2 Vooruitblik 2022 De directies starten in 2022 met rapporteren via het gemeentelijk systeem voor operationeel risicomanagement dat is ingericht. Deze informatie is van essentieel belang, omdat het de organisatie de mogelijkheid biedt om te sturen. Ook voorzien de rapportages in de behoefte van de FG om haar toezichtstaak naar behoren te kunnen vervullen. De rapportageverplichting van de directies is in 2018 door het college vastgesteld. De implementatie van de Baseline Informatievoorziening Overheid (BIO) zal in 2022 conform het driejarenplan (2020-2023) worden voortgezet. Het is de bedoeling dat de organisatie in 2022 de generieke voorziening Identity & Access Management (IAM) implementeert wat bijdraagt aan een sluitend autorisatiebeheer. Ook wordt de vastgestelde standaard (DMARC), voor email-systemen die de gemeente gebruikt, volledig doorgevoerd. Dit beperkt het risico op misbruik als gevolg van spam en phishing. De CIO heeft toegezegd in het eerste kwartaal van 2022 met een plan van aanpak te komen waarin de aanbevelingen van de AP die volgen uit het ‘Onderzoeksrapport bescherming van persoonsgegevens in de ontwikkeling van Nederlandse Smart Cities’ worden geadresseerd. De organisatie verwacht in het voorjaar van 2022 de inventarisatie naar de contracten die worden geraakt door de uitspraak ‘Schrems II’

van het Hof van Justitie van de EU, af te ronden. Daarna start men met het aanpassen van contracten wanneer dat is vereist. In 2022 publiceert de gemeente haar cloudstrategie. De gemeente neemt haar gehele cloudinfrastructuur af van externe leveranciers. Bij ICT richt men een cloudplatform in waarop de applicaties en ook de datafunctie moet gaan landen. Voordat de gemeente start met het overbrengen van haar applicaties naar de cloud brengt zij met een DPIA de risico’s in kaart die met de inrichting van het cloudplatform samenhangen. De FG heeft de organisatie geadviseerd om ook voor de inrichting van de datafunctie een DPIA uit te voeren. Begin 2022 is de, op grond van de Wet politiegegevens, verplichte audit afgerond en worden de resultaten met de gemeentelijke organisatie gedeeld. Als onderdeel van de auditverplichting moet binnen 3 maanden een rapport met verbetermaatregelen zijn vastgesteld en

6 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

voor het einde van het jaar een korte versie van het auditrapport aan de Autoriteit Persoonsgegevens worden verstrekt.

1.3 Tot slot De gemeente is ondernemend en heeft veel ambitie. In de praktijk blijkt het echter niet mogelijk om alles wat is gewenst, daadwerkelijk te realiseren. Dat betekent dat keuzes moeten worden gemaakt. De AVG biedt daarvoor enige ruimte omdat aan een deel van de wette­ lijke verplichtingen aan de hand van een risico-afweging kan worden voldaan. Om dat verantwoord te kunnen doen is overzicht en inzicht in de te verrichten werkzaamheden en daarmee gepaard gaande risico’s essentieel. Het is daarom van groot belang dat de gemeente dit jaar zorgdraagt voor de invulling van het operationeel risico­ management zodat mede aan de hand van de eigen risico inventari­ satie kan worden gestuurd.

2

Inleiding

2

Inleiding Voor u ligt de derde rapportage van de functionaris gegevens­ bescherming (FG). Met deze rapportage voldoet de FG aan haar wettelijke verplichting om aan het college, als uiteindelijk verant­ woordelijke, verslag uit te brengen van haar bevindingen in relatie tot de uitvoering door de gemeente van de gemeentelijke taken en verplichtingen op het gebied van gegevensbescherming. Op dit moment biedt de rapportage behalve inzicht in de door de FG uitgevoerde taken en haar bevindingen, ook een overzicht van de stand van zaken inzake gegevensbescherming in de gemeente. Onder­deel van het professionaliseren van verantwoording inzake gegevensbescherming is dat de organisatie zelf deze inzichten verzorgt. Vervolgens betrekt de FG de rapportages die dit oplevert in haar verslag aan het college. Naar verwachting worden dit jaar stappen gezet om dit te realiseren. In de rest van deze inleiding wordt u meegenomen in ontwikkelingen op het gebied van gegevensbescherming die de gemeente direct hebben geraakt dan wel ontwikkelingen waar de gemeente zich bewust van is of dient te zijn. Het afgelopen jaar is corona wederom bepalend geweest voor ieders persoonlijke en werkzame leven. Momenteel ligt de focus op de oorlog in Oekraïne. Iedereen is geraakt door het leed van de Oekraïense bevolking. De gemeente onderzoekt de (mogelijke) gevolgen van de oorlog voor de stad en haar inwoners.

Begin 2021 is Nederland opgeschrikt door het datalek bij de lande­ lijke organisatie van de GGDen, de GGD GHOR. Dit betrof een datalek waarbij medewerkers van GGD GHOR, die zich bezig hielden met

8 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

bron- en contactonderzoek in verband met corona, gegevens op internet te koop aanboden. Het ging om gegevens van cliënten, waar­onder ook Amsterdammers. Van andere landelijke beveiligingsincidenten, zoals kwetsbaarheden in verband met Microsoft Exchange server en Log4U heeft de gemeente, voor zo ver bekend, geen schadelijke gevolgen onder­ vonden. Dergelijke incidenten benadrukken hoe belangrijk het is om adequate beveiligingsmaatregelen te treffen om de bescherming van persoonsgegevens te kunnen waarborgen. De toezichthouder, de Autoriteit Persoonsgegevens (AP), heeft een eerste hoge boete aan een gemeente uitgedeeld. Aan Enschede is een bestuurlijke boete van 600.000 euro opgelegd in verband met wifitracking. Op het bezwaar wat de gemeente Enschede heeft aangetekend tegen de boete is nog geen uitspraak gevolgd. De Belastingdienst heeft vanwege haar rol in de toeslagenaffaire een boete opgelegd gekregen van 2,75 miljoen euro. Dit omdat de Belasting­dienst jarenlang de (dubbele) nationaliteit van aanvragers van kinderopvangtoeslag op onrechtmatige, discriminerende en daarmee onbehoorlijke wijze heeft verwerkt. Namens de Belastingdienst helpt de gemeente gedupeerde ouders en hun toeslagpartners met het op orde krijgen van hun financiën door openstaande private schulden kwijt te schelden of te vergoeden. Ondertussen dienen zich nieuwe ontwikkelingen aan.

Op grond van de Wet afwikkeling massaschade in collectieve actie kan sinds 1 januari 2020 een collectieve massaschadeclaim worden ingesteld. De eerste in Nederland uitgebrachte claim betreft het datalek bij de GGD GHOR.

GGD Amsterdam en de gemeente zelf zijn, naast GGD GHOR en het ministerie van VWS, aangeschreven in het kader van deze claim. De AP onderzoekt op dit moment het gebruik van Google analytics aan de hand van twee klachten. Zowel de Oostenrijkse als de Franse toezichthouder hebben het gebruik van Google analytics afgekeurd. De Europese toezichthouders zijn samen een onderzoek naar het gebruik van clouddiensten door overheden gestart.

9 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

Deze jaarrapportage bestaat uit een terugblik met vaste en roule­ rende onderwerpen en een vooruitblik naar het nieuwe jaar. Waar directies wordt vermeld, wordt directies en stadsdelen bedoeld, tenzij anders staat aangegeven.

3

Terugblik

3

Terugblik 3.1 Vaste onderwerpen In dit deel van de rapportage wordt teruggeblikt op het jaar 2021 aan de hand van een aantal vaste jaarlijkse onderwerpen.

Verwerkingsregister Eind 2020 zijn de directies opgeroepen om hun verwerkingen te controleren en het verwerkingsregister (hierna ook: register) bij te werken. Dit omdat uit het, in opdracht van de FG door de ACAM uitgevoerde onderzoek naar DPIA’s, bleek dat het register niet actueel is. Eind 2021 heeft de FG de directies gevraagd om een in-control statement af te geven met betrekking tot het register. Uit de reacties is gebleken dat het register nog niet door alle directies is gecontroleerd en/of wordt onderhouden. Ook moet de organisatie nog een register inrichten voor de verwerkingen die zij voor anderen uitvoert. De registers maken onderdeel uit van de algemene verantwoordingsplicht die op de gemeente rust. In dat kader kunnen de registers worden opgevraagd door de Autoriteit Persoonsgegevens. Daarnaast bieden de registers bruikbare overzichten voor de eigen organisatie.

Transparantie Privacyverklaringen De gemeente Amsterdam heeft transparantie hoog in het vaandel staan. De afgelopen twee jaren zijn wederom diverse specifieke privacyverklaringen gepubliceerd op www.amsterdam.nl/privacy. Deze

11 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

zijn waar mogelijk met andere verklaringen samengevoegd waarmee de informatie voor burgers toegankelijker is gemaakt.

Algoritmeregister De door de gemeente in 2020 gelanceerde beta versie van een algoritmeregister heeft in de binnen- en buitenlandse media veel positieve aandacht gegenereerd. In 2021 zijn naast het algoritmeregister aanvullende instrumenten voor publieke controle ontwikkeld, waaronder een governancedocument waarin rollen en taken zijn belegd, een mensenrechten-impactassessment, best practices voor een bias-ana­ lyse en een handreiking voor het toetsen van bezwaar- en beroep. Ook is een strategische aanpak voorbereid voor het vullen van het algo­ritme­register met als onderdeel een inventarisatie van impactvolle algoritmen. De FG beveelt de organisatie aan om in 2022 stappen te zetten voor wat betreft het vullen van het register en zo mogelijk een evaluatie in samenspraak met burgers te organiseren.

Sensorregister In 2021 is de meldingsplicht sensoren in de openbare ruimte ingevoerd door middel van een wijziging van de Algemene Plaatselijke Verordening. Het is voor professionele partijen nu verplicht om een sensor in de openbare ruimte of een voor publiek toegankelijk gebouw vooraf te melden bij de gemeente. Het college houdt een register bij van de sensoren van de gemeente Amsterdam én van derde partijen. Dit vergoot de zeggenschap van burgers over de verwerking van persoonsgegevens in de openbare ruimte, omdat zij daarover informatie kunnen inwinnen of een klacht kunnen indienen bij de voor de sensor verantwoordelijke.

Behandeling van vragen en klachten Burgers kunnen via functionaris.gegevensbescherming@ amsterdam.nl de FG een vraag stellen of een klacht indienen over het verwerken van persoonsgegevens door de gemeente. In 2021 heeft de FG 50 klachten en vragen van betrokkenen (burgers en organisaties) ontvangen tegen 27 in 2020. Een paar klachten worden hieronder toegelicht. Uit 2020 stamt de klacht van een burger over de wijze waarop de gemeente panoramabeelden publiceert. De beelden zijn onvoldoende geanonimiseerd en worden extern gepubliceerd. De gemeente heeft daarop de externe toegang tot de beelden geblokkeerd. De burger is vervolgens door de gemeente betrokken bij de verdere opvolging. Dit werd door deze burger zeer op prijs gesteld. Het is de gemeente in 2021 echter nog niet gelukt om een methode voor beeldvervaging in gebruik te nemen die acceptabel is vanuit het oogpunt van gegevensbescherming. Dit betekent dat de gemeente de beelden nog niet beschikbaar heeft kunnen stellen voor externe gebruikers. Daarnaast heeft dit tot gevolg dat intern gebruik wordt gemaakt van beelden die niet voldoen aan de daaraan te stellen criteria. De FG beveelt de organisatie aan om haast te maken met het implementeren van een acceptabele methode voor beeldvervaging. Een andere klacht betreft een burger die onderwerp was van een adresonderzoek.

Gedurende het verloop van het onderzoek is gebleken dat de gemeente onvoldoende duidelijk communiceert over de door de burger aan te leveren bewijsstukken. Naar aanleiding van deze klacht is ook opnieuw onder de aandacht gebracht dat de gemeente burgers de mogelijkheid moet bieden om documenten op veilige wijze aan te kunnen bieden bijvoorbeeld met behulp van een upload faciliteit. Momenteel zijn burgers meestal aangewezen op het versturen van documenten per e-mail. Dit is vanuit gegevens­ beschermingsoptiek een onwenselijke situatie. De FG beveelt de organisatie aan om de upload faciliteit breder in te zetten of via de online omgeving van Mijn Amsterdam een oplossing te creëren.

12 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

Een aantal klachten betreft formulieren van de gemeente waarop persoonlijke gegevens worden uitgevraagd zonder dat daar een noodzaak voor bestaat. Een paar maal betrof dit het BSN, wat een gevoelig persoonsgegeven is, omdat hiermee identiteitsfraude kan worden gepleegd. De klachten zijn besproken met de betrokken afdelingen en deze hebben aangegeven maatregelen te zullen treffen. De FG monitort de opvolging hiervan.

Digitaal loket voor burgers Via het digitaal Loket Persoonsgegevens (hierna: loket) kan de burger zijn of haar rechten uitoefenen die voortvloeien uit de AVG. Zoals het recht op inzage, verwijdering of correctie van persoons­ gegevens (AVG verzoeken). In 2021 heeft het loket 214 AVG verzoeken in behandeling genomen. Dit betekent bijna een verdubbeling ten opzichte van 2020, toen sprake was van 120 verzoeken. Het is het loket gelukt om haar ambities op het gebied van termijn­ bewaking waar te maken. In 2021 heeft de gemeente 91% van het totaal aantal ingediende verzoeken binnen de termijn afgehandeld tegen 78% in 2020. Ook is het loket succesvol geweest door in gesprek met burgers hen te bewegen breed ingediende verzoeken te specificeren.

AVG verzoeken1 periode 1 januari 2021 t/m 31-12-2021 Inzage

137

Correctie

2

Verwijdering

26

Bezwaar

5

Ingetrokken/afgewezen/dubbele aanvraag

33

Overige vragen/nog te beoordelen

11

Totaal

214

1 Verzoeken die bij de GGD zijn ingediend, zijn in deze tabel niet meegenomen.

Welke directies zijn met name onderwerp van onderzoek?2 OOV

15

Zorg

33

WPI

38

Meer dan 1 dienst

32

De GGD heeft, mede als gevolg van het datalek dat begin 2021 heeft plaatsgevonden bij GGD GHOR, ruim 800 AVG-verzoeken via het loket ontvangen. Later in het jaar gaat het met name om verzoeken die betrekking hebben op de corona testresultaten. Met de GGD is afgesproken dat het Loket persoonsgegevens met name een rol speelt bij de (verplichte) identificatie van de verzoekers en het aan­ leveren van de verzoeken bij de GGD. De verdere afhandeling van verzoeken vindt plaats bij de GGD zelf. Het loket ontvangt in principe alle aan de gemeente gerichte AVG-verzoeken. De directie OOV vormt hierop een uitzondering, hier zijn 5 verzoeken rechtstreeks ingediend. Dit betrof 2 inzageverzoeken en 3 verwijderverzoeken. Ook is er nog geen totaal overzicht van bij de GGD ingediende verzoeken. Er zijn GGD-afdelingen die zelf verzoeken afhandelen. De GGD is bezig om een totaaloverzicht te verkrijgen.

Datalekken Met ingang van 2021 worden alle datalekken centraal geregistreerd in het systeem TopDesk. Het meldpunt datalekken heeft op het Serviceportaal een meer prominente plek gekregen, waarmee het meldpunt gemakkelijker toegankelijk is. Er moeten een aantal stappen worden gezet en eerst worden ingelogd voordat een melding kan worden gedaan. In 2021 zijn in totaal 418 datalekken geregistreerd, waarvan er 62 bij de Autoriteit Persoonsgegevens (AP) zijn gemeld. Het afgelopen jaar zijn bijna dubbel zoveel datalekken gemeld als in 2020. Voor het

overgrote deel betreft dit GGD-meldingen in verband met Covid-19. Voorbeelden daarvan zijn het per abuis meegeven of toesturen van een vaccinatiebewijs of testuitslag aan de verkeerde persoon. Het datalek dat begin 2021 heeft plaatsgevonden bij de landelijke GGD GHOR organisatie heeft de bewustwording bij de GGD aanmerkelijk vergroot. Dit betrof een datalek waarbij medewerkers gegevens van cliënten op internet te koop aanboden. Niet alleen bij de GGD maar ook in de rest van de gemeente is ingezet op meer bewustwording over datalekken. Vanuit Team FG is, in samenwerking met de privacy officers, een roadshow georganiseerd waarmee een 20-tal teams zijn bezocht. De roadshow is goed ontvangen. Uit de rondgang is gebleken dat veel collega’s zich niet altijd bewust 500

400

418

300

200

223

100

0

60 datalekken 20203

62

gemeld bij de AP 2021

76

67

gemeld aan betrokkenen

3 E  r heeft een correctie plaatsgevonden op de meldingen over 2020, deze zijn aan­ 2 Voor de overige directies geldt dat per directie < 10 verzoeken zijn ontvangen.

13 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

gevuld met de meldingen van de GGD. Deze waren voorheen niet meegenomen.

zijn van wat een datalek is en waar je met een eventuele melding terecht kunt. Na afloop van de roadshow heeft de training een vaste plek gekregen als workshop ‘'Grip krijgen op datalekken’ in het opleidingsaanbod van de Amsterdamse School. Navraag leert dat in de rest van 2021 geen gebruik is gemaakt van dit aanbod. Voor 2022 is de eerste aanvraag ingediend. Het aantal meldingen aan betrokkenen is groter dan het aantal meldingen aan de AP. Dit is opmerkelijk omdat een melding aan betrokkenen enkel verplicht is als sprake is van een hoog risico voor hun rechten en vrijheden. De gemeente doet uit transparantieoverwegingen in sommige situaties toch melding van het datalek aan degene die het betreft. Voor wat betreft type datalekken vormen verkeerd verstuurde berichten en verloren of gestolen devices (overige), net als in 2020, de grootste categorieën van oorzaken van datalekken. Datalekken waren over het algemeen het gevolg van menselijk handelen.

Bewustwording Het programma ‘Weet wat je deelt’ heeft een structureel karakter gekregen binnen de gemeente. Alle expertises zijn betrokken in een kernteam dat wekelijks acties bepaald en uitzet en een vaste link heeft naar communicatiekanalen/adviseur. Het afgelopen jaar zijn naast de e-learnings op privacy gebied twee workshops ontwikkeld waar medewerkers zich via de Amsterdamse school voor kunnen aanmelden. Het gaat om het multidisciplinaire dilemmaspel en de workshop ‘grip op datalekken’ (zie hierboven). Deze workshops zijn onderdeel geweest van het aanbod van de zomerschool en de zomermarkt van de data community. Het aantal bezoekers bij beide workshops is beperkt geweest. Er heeft besluitvorming plaatsgevonden over het verplicht stellen van de e-learnings. De organisatie is in gesprek met P&O over opname in de onboarding module, een onderdeel van het inwerkprogramma voor nieuwe medewerkers. Eind 2021 zijn nog geen concrete resul­ taten te melden. De FG raadt aan om ook bestaande collega’s actief te benaderen.

14 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

Type datalekken 2020/2021 pg verstuurd of afgegeven aan de verkeerde ontvanger

27%

brief of postpakket kwijtgeraakt of geopend retour ontvangen pg bij oud papier gezet pg per ongeluk gepubliceerd

38% 0%

5%

pg van verkeerde klant getoond in klantportaal pg toegevoegd aan verkeerd dossier apparaat, gegevensdrager en/of papier met persoonsgegevens kwijtgeraakt of gestolen

8% 0,45%

2021

43% 55%

2% 3%3% 5% 5%2% 4%

2020

overig

Er is een infographic ontwikkeld met tips inzake beveiliging die aan medewerkers wordt meegegeven wanneer zij een nieuw device afhalen. Op de vernieuwde privacypagina op intranet is voor medewerkers alle beschikbare informatie en documentatie met betrekking tot gegevensbescherming te vinden. Ook is men gestart met het ontwikkelen van een opleidingsmodule ‘De Digitale Ambtenaar’. Deze module moet er voor zorgdragen dat iedereen binnen de organisatie beschikt over een basiskennisniveau met betrekking tot gegevens­ bescherming, informatiebeveiliging en -beheer. Het is de bedoeling dat de vakgroep gegevensbescherming in aanvulling hierop een verdiepingsprogramma ontwikkelt op specifieke onderwerpen. Vanuit de GGD zijn positieve resultaten te melden. Van alle medewerkers wordt verwacht dat zij een specifieke GGD e-learning doorlopen en er worden regelmatig bewustwordingsactiviteiten ondernomen.

Informatiebeveiliging Hieronder kort aangestipt een aantal aandachtspunten die het afgelopen jaar de revue hebben gepasseerd op het gebied van informatiebeveiliging. De organisatie is druk doende met de implementatie van de Baseline Informatievoorziening Overheid (BIO). Hiervoor is een driejarenplan opgesteld (2020-2023). In 2021 zijn de volgende stappen gezet die betrekking hebben op de beveiliging van persoonsgegevens: • Uitvoeren van scans en risicoanalyses bij 17 directies. De overige directies zijn in 2022 ingepland. • Implementeren van beter beveiligde telefoons, laptops en tablets. • Ontwerpen van een nieuw, veilige digitale werkomgeving voor alle medewerkers. Hiermee is de veiligheid van de dagelijks werkzaamheden toegenomen en wordt ook het veilig uitwisselen van gegevens binnen de gemeente en met externe partijen geborgd. • Herzien van de afspraken met leveranciers van ICT-diensten, zodat beveiliging hierin nog beter is meegenomen. • Periodiek toetsen en verbeteren van de veiligheid van de ICTinfrastructuur en applicaties. • Herzien van de afspraken op het gebied van informatiebeveiliging en gegevensbescherming met verbonden partijen.

De grootschalige, landelijke en wereldwijde incidenten die het afge­ lopen jaar hebben plaatsgevonden, benadrukken het belang van beveiligingsmaatregelen zoals het segmenteren van netwerken4 en het onderhouden, het zogenoemde patchen5, van applicaties. De organisatie is bezig over te gaan naar een nieuw ontworpen netwerkomgeving.

4 Netwerksegmentatie is het opknippen van het totale netwerk in kleinere segmenten,

De Chief Information Security Officer (CISO) rapporteert namens het college over informatiebeveiliging.

3.2 Overige onderwerpen Dit onderdeel blikt terug aan de hand van een aantal activiteiten en ontwikkelingen die zich in 2021 hebben voorgedaan.

VNG Verwerkersovereenkomst en Schrems II Naar aanleiding van de uitspraak van het Europese Hof van Justitie in de zgn. Schrems II zaak heeft de gemeente haar addendum bij de VNG-model verwerkersovereenkomst aangepast. Een leverancier heeft toestemming nodig van de gemeente wanneer door haar persoonsgegevens buiten de Europese Economische Ruimte worden gebracht. De gemeente stelt de leverancier contractueel verantwoordelijk voor het voldoen aan de AVG. Dit ontslaat de gemeente echter niet van haar verantwoordelijkheid voor het voldoen aan de AVG tegenover degene wiens persoonsgegevens onderwerp zijn van een doorgifte buiten de EER. Vanuit Brussel is door de Europese Commissie een nieuwe versie van de verwerkersovereenkomst, behorende bij de standaardcontracten voor internationale doorgifte, gepresenteerd. Eind 2022 zal de gemeente aan moeten kunnen tonen welke stappen zijn gezet om hier­­aan te voldoen. In 2021 is men begonnen met een inventarisatie van gemeentelijke contracten die worden geraakt door de uitspraak inzake Schrems II en het verplicht stellen van de nieuwe contractbepalingen van de EC. Met ingang van september 2021 is het gebruik van dit contract verplicht. Een Data transfer impact assessment (DTIA) maakt onderdeel uit van deze contracten.

met tussen de segmenten een beveiligd koppelvlak. Dit zorgt ervoor dat kwaadwillenden die zich in een netwerksegment bevinden niet direct ongehinderd toegang hebben tot andere netwerksegmenten (Bron: IBD). 5 Beveiligings- of reparatiesoftware.

15 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

Onderzoek Autoriteit Persoonsgegevens Zomer 2021 heeft de Autoriteit Persoonsgegevens (AP) haar lang­ verwachte “Onderzoeksrapport bescherming van persoonsgegevens

in de ontwikkeling van Nederlandse Smart Cities” gepubliceerd. Voor het onderzoek zijn 12 gemeenten in twee groepen onderzocht waarbij vragen zijn gesteld en stukken opgevraagd. De eerste groep betrof vijf gemeenten in meer stedelijke gebieden, waaronder Amsterdam. De tweede groep betrof zeven gemeenten met een meer diverse ligging en verschillende samenstelling in Nederland. In een latere fase heeft de Autoriteit Persoonsgegevens gesprekken gevoerd met de wethouder en de Chief Technology Officer (CTO), en apart met de FG. In haar rapport concludeert de AP dat vrijwel alle gemeenten meer kennis dienen te ontwikkelen en aandacht dienen te besteden aan specifieke gemeentelijke kaders en een sterker bewustzijn over de gevolgen van smart city-toepassingen op rechten en vrijheden van burgers, waaronder de bescherming van persoonsgegevens. Volgens de AP is dit een voorwaarde om smart city-toepassingen verantwoord verder te ontwikkelen. Gemeenten moeten de door hen gemaakte afwegingen over de verwerking van persoonsgegevens bij smart city-toepassingen, waaronder de rechtmatigheid, goed vastleggen. Bijvoorbeeld in DPIA’s, en deze ook bijwerken. Pas wanneer de rechtmatigheidsvraag positief is beantwoord, is het verstandig ook te kijken naar ethische vraagstukken. De AP komt op basis van haar onderzoek tot een aantal aandachtspunten.

Naast bovenstaande aandachtspunten, zijn dit een helder gemeentelijk beleid, democratische controle en het betrekken van burgers. Dit kan helpen bij het controleren van risico’s en verantwoord ontwikkelen van smart city-toepassingen waarvoor transparantie immers een noodzakelijke voorwaarde is. De inzet van technologie in de openbare ruimte betreft namelijk een zwaarwegend besluit waarbij alle aspecten zorgvuldig afgewogen dienen te worden. Het rapport sluit af met een aantal aanbevelingen. De FG heeft samen met de concernadviseur gegevensbescherming op basis van het rapport een advies opgesteld. De CIO heeft toegezegd Q1 2022 met een plan van aanpak te komen waarin dit advies is verwerkt.

16 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

FG Onderzoek DPIA’s Met een Data Protection Impact Assessement (DPIA) brengt de organisatie alle privacy-aspecten van een risicovolle gegevensverwerking in kaart waaronder eventuele risico’s. Vervolgens stelt de organisatie maatregelen vast om deze risico’s te mitigeren. In 2021 is ook het tweede deel van het door de FG geïnitieerde onderzoek naar de stand van zaken inzake DPIA’s afgerond. Dit deel bestond uit een steekproef waarbij aan de hand van 9 DPIA’s de uitvoering van de mitigerende maatregelen zijn gecontroleerd. Uit de steekproef is gebleken dat aan de helft van de vastgestelde maatregelen, waaronder het FG-advies, geen enkele of geen volledige uitvoering is gegeven. Deze bevinding volgt na de bevinding uit het eerste deel van het onderzoek dat de gemeente nog niet voor al haar risicovolle verwerkingen een DPIA heeft uitgevoerd. De organisatie heeft aangegeven met de opvolging van de bevindingen aan de slag te gaan. De FG houdt toezicht op het de uitvoering van de aanbevelingen uit het rapport. Gezien de diversiteit aan risico-analyses (DPIA, BIO, DTIA, AIIA) raadt de FG de organisatie, in lijn met een aanbeveling uit het ACAM-rapport, met name de DPIA en de BIO analysetools te stroomlijnen en op elkaar af te stemmen.

Audit Wet politiegegevens Wanneer een Buitengewoon Opsporingsambtenaar (BOA) in het kader van zijn/haar/diens werkzaamheden als opsporingsambtenaar persoonsgegevens verwerkt, is sprake van het verwerken van politiegegevens. Dit heeft tot gevolg dat niet de AVG maar de Wet politiegegevens (Wpg) van toepassing is op dergelijke verwerkingen. De Wpg bevat aanvullende verplichtingen. Naast een jaarlijkse interne audit, moet de gemeente zich vierjaarlijks door een externe auditor laten controleren. De gemeente heeft ACAM in het voorjaar van 2021 gevraagd de uitvoering van deze audit op zich te nemen. Begin 2022 zal de audit zijn afgerond en worden de resultaten met de gemeentelijke organisatie gedeeld. Onderdeel van de auditverplichting is dat de gemeente een samenvatting van het rapport aan de Autoriteit Persoonsgegevens verstrekt.

Adviezen Naar aanleiding van het onderzoek naar online onderzoek door gemeenten van de NHL Stenden Hogeschool en de Rijksuniversiteit Groningen heeft de FG op verzoek van het college een advies uit­ gebracht. De gemeente ontwikkelt in 2022 beleid inzake online onder­zoek waarin dit advies wordt meegenomen. Ook heeft de FG samen met de concernadviseur gegevensbescherming een advies naar aanleiding van het Smart city onderzoeksrapport van de AP (zie hierboven) uitgebracht dat door de CIO wordt verwerkt in een plan van aanpak. In totaal zijn door team FG in 2021 zestig (60) adviezen uitgebracht bij de DPIA’s van evenveel risicovolle verwerkingen.

Verbonden Partijen / Waternet De gemeente is in 2020 gestart met een inventarisatie van haar relaties met derde partijen. Dit omdat in het verleden de afspraken met deze partijen meestal niet zijn getoetst aan de AVG of haar voor­ ganger de Wet bescherming persoonsgegevens. Voor zowel de gemeente Amsterdam als de verbonden partij is dit van belang. In 2021 is aan het deelnemingenbeleid van de gemeente toegevoegd dat een verbonden partij moet voldoen aan kwaliteitsaspecten als het gaat om dataverwerking. Dit raakt vele partners en het zal enige jaren duren voordat de afspraken met deze partners zijn getoetst aan de kwaliteitsaspecten en zijn herzien wanneer dat nodig blijkt te zijn. De FG raadt aan om aan de hand van een risico analyse op de dataverwerkingen de te toetsen partners te prioriteren. De ernstige tekortkomingen in de beveiliging bij de Stichting Waternet zijn mede aanleiding geweest voor een evaluatie en herijking van de samenwerking inzake watertaken tussen de gemeente Amsterdam en waterschap Amstel, Gooi en Vecht. Het eindrapport van de bestuursopdracht heeft geresulteerd in de voordracht van een principebesluit wat ziet op het uitwerken van het governancemodel van een bedrijfsvoeringsorganisatie. De onderdelen van dit model zijn een separate drinkwater N.V. onder aansturing van Amsterdam en een

17 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

strategische unit voor de beleidsbepalende, opdrachtgevende en toezichthoudende rol van Amsterdam. De FG gaat er vanuit dat een nieuw governance model op voornoemde kwaliteitsaspecten wordt getoetst. Transparantie naar betrokkenen is hierbij cruciaal. Het moet voor burgers en andere betrokkenen duidelijk zijn onder wiens verantwoordelijkheid welke persoonsgegevens worden verwerkt.

Commissie Persoonsgegevens Amsterdam In 2021 heeft het college een nieuwe voorzitter benoemd voor de CPA. Hetzelfde jaar is ook het werkveld van de CPA uitgebreid. Naast haar bestaande taken op het gebied van gegevensbescherming is de CPA door het college aangewezen als adviseur inzake het gebruik van algoritmes en kan de commissie ook om een ethische beoordeling worden gevraagd. Het afgelopen jaar heeft de organisatie de FG beter weten te vinden in de voorbereiding van een CPA adviestraject. Dit betreft echter nog geen vanzelfsprekendheid wat betekent dat zo nu en dan achteraf moet worden bijgestuurd. De FG raadt de organisatie aan om haar op tijd te betrekken bij plannen waarbij sprake is van (politiek) gevoelige – en/of complexe gegevensverwerkingen welke ter advisering aan de CPA worden voorgelegd. Dit is in lijn met de op de organisatie rustende verplichting om de FG ‘naar behoren en tijdig’ te betrekken ‘bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens’.

Brandweer Amsterdam-Amstelland (Brandweer) In 2021 heeft de Brandweer de lijn van verbetering van bescherming van persoonsgegevens voortgezet. Het verwerkingsregister is geactualiseerd en er is een richtlijn DPIA vastgesteld. Er zijn enkele DPIA’s uitgevoerd en men is bezig met een overzicht aan de hand waarvan monitoring zal plaatsvinden. Bij de Brandweer zijn het afgelopen jaar 4 datalekken geconstateerd, waarvan er 3 zijn gemeld bij de Autoriteit Persoonsgegevens. Er zijn twee inzageverzoeken ingediend en deze zijn tijdig afgehandeld. De Brandweer heeft geen privacygerelateerde vragen of klachten ontvangen. Voor wat betreft afspraken met derden is een verbeterslag gemaakt

met een standaard verwerkersovereenkomst naar VNG-model. Bewust­wording is gestimuleerd met berichten op intranet en een gecontroleerde phishing actie. Nieuwe collega’s worden voorgelicht met een algemene introductie over gegevensbescherming. Ook is gewerkt aan het beleid voor cameragebruik. Naar verwachting wordt dit beleidsstuk medio 2022 vastgesteld.

Weesp In maart 2022 is de bestuurlijke fusie met Weesp een feit. Dit betekent dat het college vanaf die datum verantwoordelijk is voor het

18 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

verwerken van persoonsgegevens van de burgers en andere betrokkenen van Weesp. De gemeente is druk doende met het overbrengen en borgen van de data van deze betrokkenen in de bedrijfsapplicaties van Amsterdam in lijn met het uitgangspunt van het programma: “Werkwijze en applicaties van Amsterdam zijn leidend’’. Het sociaal domein heeft hierbij speciale aandacht en meer in het bijzonder de gegevensverwerkingen rondom het Sociaal Wijkteam Weesp. De FG adviseert om met een DPIA eventuele risico’s in kaart te brengen.

4

Vooruitblik 2022

4

Vooruitblik 2022 Gegevensbescherming vraagt om structurele borging èn continue aandacht. De reorganisatie van het i-domein en de transitie naar het opgavegericht werken brengen de nodige uitdagingen met zich mee. De governance wijzigt en ondertussen is de organisatie nog bezig met het zetten van de benodigde stappen waarbij het risicomanagement moet bijdragen in het inzichtelijk maken van de aandachtpunten per directie. Daarbij is continu onderhoud en borging op kwaliteitsaspecten van belang. Het jaar 2022 staat daarom opnieuw in het teken van het borgen van de governance en het risicomanagement, en het verder op orde brengen van de basis en het trainen en onderhouden van de kennis van medewerkers. Voor een belangrijk deel van haar taken is de gemeente afhankelijk van persoonsgegevens van burgers van Amsterdam, ondernemers en andere betrokkenen. Dat betekent dat de juridische mogelijkheden en wat ethisch wenselijk is, mede bepalend zijn voor de wijze waarop de gemeentelijke opgaven worden uitgevoerd.

4.1 Onderwerpen Borgen van de governance In 2022 zal de reorganisatie van het i-domein worden voltooid. In de nieuwe structuur opereren de verschillende expertises, zoals gegevens­bescherming en informatiebeveiliging, voortaan onder verantwoordelijkheid van de CIO. Er is tot op heden gekozen voor een beperkte bezetting van de vakgroep gegevensbescherming. Onafhankelijk van de bezettings-

20 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

graad is sprake van een ‘co-productie’ tussen vakgroep en de directies. De directies beschikken immers over de kennis van het werk­proces. Zij zijn daarom altijd betrokken bij zaken zoals het actueel houden van het verwerkingsregister of het uitvoeren van een DPIA. Een aantal directies heeft er voor gekozen om eigen (externe) expertise gegevensbescherming in huis te halen. De FG constateert echter dat nog niet alle directies zich bewust zijn van de eigen verantwoordelijkheid. Dit vraagt om het vergroten van de samenwerking tussen vakgroep en directies. En er moet afstemming plaatsvinden met de binnen een directie werkzame externe vakcollega’s. De FG raadt de gemeente aan om de capaciteit van de vakgroep uit te breiden.

Risicomanagement In 2021 heeft de organisatie haar risicomanagementregistratie uitgebreid met normen voor operationeel risicomanagement. Behalve voor gegevensbescherming, betreft dit de vakgebieden informatiebeheer en informatie­beveiliging. In 2022 starten de directies met rapporteren via dit systeem aan de hand van de ingevoerde normen. Deze informatie stelt de organisatie in staat om, niet alleen financieel, maar ook operationeel te kunnen sturen. Daarnaast is deze informatie essen­tieel voor de FG om haar toezichtstaak in te kunnen vullen. De gemeente werkt aan het professionaliseren van processen. De klachtenafdeling heeft een nieuw systeem in gebruik genomen wat beter inzicht geeft in het aantal en de onderwerpen van klachten. Dit levert de gemeente naar verwachting belangrijke inzichten op waarmee processen en procedures kunnen worden verbeterd. Een onderwerp dat ook door de nieuwe ombudsman op de agenda is gezet. De FG hoopt via dit kanaal informatie te verkrijgen inzake aantallen en soort klachten over gegevensbescherming die de gemeente via het reguliere klachtenproces ontvangt naast de vragen en klachten die via functionaris.gegevensbescherming@amsterdam.nl worden voorgelegd.

Basis op orde Een positieve ontwikkeling is dat vanaf 2022 de gap-analyse die de organisatie vanwege de BIO uitvoert, wordt uitgebreid met de AVG.

Dit vanwege de overlap tussen de normen uit de BIO en de AVG. In 2021 zijn bij 17 directies BIO scans en risicoanalyses uitgevoerd, de overige directies staan voor 2022 ingepland. Er is een eerste informatieanalyse uitgevoerd en er is bij controle van het verwerkingsregister extra aandacht gevraagd voor bewaar­ termijnen, maar er is nog geen stedelijk plan van aanpak voor bewaartermijnen gerealiseerd. Persoonsgegevens mogen niet langer bewaard worden dan nodig is om het doel te bereiken waarvoor de gegevens zijn verzameld, tenzij sprake is van een wettelijke verplichting. Voor elke verwerking van persoonsgegevens moet een bewaartermijn zijn bepaald en deze moet worden geïmplementeerd om te kunnen worden nageleefd. De FG ondersteunt daarom het voor­nemen om te onderzoeken op welke manier informatie vernietigd kan worden en de daadwerkelijke uitvoering van de vernietiging ter hand te nemen. Het beheersen van de informatiehuishouding speelt ook een grote rol bij openbaarheid.

beveiliging van persoonsgegevens die worden verwerkt in het kader van de bestrijding van de coronapandemie in de systemen die worden gebruikt door de GGD GHOR en de 25 GGD’en. Deze organisaties zijn per brief aangespoord om aanvullende beveiligingsmaatregelen te treffen. Voor 1 maart 2022 verwacht de AP een voortgangsrapportage. De GGD GHOR coördineert de totstandkoming van deze rapportage namens de verschillende GGD’en. Het oplossen van bovengenoemde aandachtspunten krijgt in 2022 prioriteit. De FG onderschrijft het belang hiervan.

Schrems II/Doorgifte naar derde landen

De gemeentearchivaris rapporteert jaarlijks aan het college over de staat van het informatiebeheer van de gemeente.

In het eerste kwartaal van 2022 rondt de organisatie de inventarisatie af van de contracten die door de Schrems II uitspraak worden geraakt. Als vervolgstap identificeert de organisatie de contracten waarbij nadere afspraken met leveranciers noodzakelijk zijn. Naar verwachting zal dit tientallen of meer contracten betreffen. Vanwege de hoeveelheid contracten is het aan te bevelen dat de organisatie bij de uitvoering van het project aan de hand van een risicoanalyse prioritering aanbrengt.

Informatiebeveiliging

Inrichting van het cloudplatform/de datafunctie

Uit de datalekken blijkt dat de autorisaties niet altijd op orde zijn binnen de organisatie. De implementatie van de generieke voor­ ziening Identity & Access Management (IAM) moet er in 2022 aan bijdragen dat de juiste personen toegang krijgen tot applicaties en gegevens (en dat er geen ongeoorloofde toegang is).

In 2022 publiceert de gemeente haar cloudstrategie. De gemeente neemt haar gehele cloudinfrastructuur af van externe leveranciers. De belangrijkste overweging die bij dat besluit een rol heeft gespeeld is dat de infrastructuur in de cloud niet veroudert, maar continu wordt onderhouden door de leverancier die de hiervoor benodigde exper­ tise in huis heeft. Een regieorganisatie houdt vanuit de gemeente toezicht. Deze draagt zorg voor voldoende expertise om vanuit de gemeente een volwaardig gesprekspartner te zijn.

De vastgestelde standaard (DMARC) voor email-systemen die de gemeente gebruikt, wordt in 2022 volledig doorgevoerd. Het gebruik van deze standaard beperkt het risico op misbruik (spam, phishing). Specifiek aandachtspunt is daarbij de eigen mailomgeving van GGD Amsterdam. Naar aanleiding van het eerder genoemde datalek bij de GGD GHOR heeft de Autoriteit Persoonsgegevens onderzoek gedaan naar de

21 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

In 2022 start de gemeente met het overbrengen van haar applicaties naar de cloud. Bij ICT richt men een cloudplatform in waarop de applicaties en ook de datafunctie gaan landen. Het is van belang dat zowel het platform als de datafunctie voldoen aan het principe van privacy by design. Op advies van de FG brengt de gemeente met

een DPIA en een data transfer impact assessment (DTIA) de risico’s in kaart die met de inrichting van het cloudplatform samenhangen. Ook heeft de FG geadviseerd om op de inrichting van de datafunctie een DPIA uit te voeren. Indien sprake is van een nieuwe activiteit is van belang dat een DPIA moet zijn afgerond voordat de dienst­­­ verlening in gebruik wordt genomen.

Privacy by design Op de inrichting van alle processen en systemen moet het principe van privacy by design worden toegepast. Eind 2021 beschikt de gemeente nog niet over gezamenlijke uitgangspunten waaraan door de privacy- en beveiligingsadviseurs kan worden getoetst. De FG beveelt de organisatie aan om hiervoor een bruikbaar kader te ontwikkelen.

Training en bewustwording Het is toe te juichen dat het programma ‘Weet wat je deelt’ een structureel karakter heeft gekregen binnen de gemeente. Het ontbreekt het programma echter nog aan voldoende zichtbaarheid en effectiviteit. Dit kan worden vergroot door een jaarkalender met vaste en wisselende activiteiten vast te stellen die in samenwerking met de vakgroep en de directies worden uitgevoerd. Ook kan worden aangehaakt bij het digitale rechten programma dat de gemeente in het kader van de Digitale Stad heeft opgezet. De kalender kan ook worden ingezet om de ontwikkeling en actuali­ sering van tools zoals de e-learnings en de opleiding ‘de Digitale ambtenaar’ te bewaken. De FG raadt de organisatie aan voldoende mensen en middelen vrij te maken zodat in 2022 aan bewustwording prioriteit kan worden toegekend.

22 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

Onderzoek Zoals hierboven is toegelicht is de Wet politiegegevens (Wpg) van toepassing op de gegevens die BOA’s in het kader van hun werkzaamheden als opsporingsambtenaar verwerken. De Wpg verplicht de organisatie om jaarlijks een interne audit uit te voeren. Deze jaarlijkse audit maakt onderdeel uit van het Audit- en onderzoeksprogramma 2022 van de afdeling Interne audit van de gemeente. De CIO is de opdrachtgever voor deze audit. In aanvulling op de door de ACAM uitgevoerde audit naar de stand van zaken inzake DPIA’s (zie 3.2 FG Onderzoek DPIA’s) zal de FG in 2022 wederom aandacht besteden aan de actualiteit van het verwerkingsregister. Daarnaast zijn de uitvoering van verplichte DPIA’s en de uit een DPIA of het advies van de FG voortvloeiende maatregelen voorwerp van onderzoek. Hierbij wordt ook aandacht besteedt aan de actualiteit van de DPIA’s. Zoals ook door de AP wordt benadrukt in haar onderzoeksrapport ‘Smart cities’ moeten DPIA’s door de organisatie actueel worden gehouden. Bewustwording hieromtrent in de organisatie dient te worden verbeterd.

4.2 Opvolging De gemeentesecretaris (GS) draagt namens het college en de burgemeester zorg voor de opvolging van de hierboven beschreven aandachtspunten en activiteiten. De GS heeft de praktische uitvoering van deze verantwoordelijkheid bij de CIO neergelegd. De FG heeft minimaal jaarlijks, en zo nodig vaker, een contactmoment met de GS en voorziet hem van de benodigde informatie over de voortgang en knelpunten.

5

Tot slot

5

Tot slot De gemeente is ondernemend en ambitieus. In de praktijk blijkt het echter niet mogelijk om alles wat is gewenst, daadwerkelijk te reali­ seren. Dat betekent dat keuzes moeten worden gemaakt. De AVG biedt daarvoor mogelijkheden omdat aan een deel van de wettelijke verplichtingen aan de hand van een risico-afweging kan worden voldaan. Om dat verantwoord te kunnen doen is overzicht en inzicht in de te verrichten werkzaamheden en daarmee gepaard gaande risico’s essentieel. Het is daarom van groot belang dat de gemeente dit jaar zorgdraagt voor de invulling van het operationeel risico­ management zodat mede aan de hand van een risico-inventarisatie kan worden gestuurd. Daarnaast heeft de gemeente baat bij een inten­sieve samen­werking tussen het nieuw ingerichte i-domein en de activiteiten die in de lijn worden uitgevoerd. In de praktijk blijkt men onvoldoende bekend met het vastgestelde beleid of onvoldoende uitgerust te zijn om het beleid zoals vastgesteld te volgen. Dit kan gepaard gaan met het ontstaan van nieuwe risico’s.

24 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

6

Beveili

gd

Bijlage

Schema privacy functies

6

Bijlage Schema privacy functies Onderstaand schema biedt een overzicht van de verschillende stakeholders die in het privacy domein actief zijn. Het schema is gebaseerd op het document ’Taken en verantwoordelijkheden bij het verwerken

van persoonsgegevens door de gemeente Amsterdam’, vastgesteld door het college op 25 september 2018.

Privacy Functies Samenleving

Portefeuillehouders Inhoudelijk verantwoordelijk voor de directies die onder hen vallen

Coördinerend wethouder Privacy Stelsel - verantwoordelijk

College B&W

Rapporteren Rapporteren & adviseren Informeren & adviseren

Functionaris Gegevensbescherming Wettelijke toezichthouder

Toezichthouder

Rapporteren

Directie CPA Expertise en maatschappelijk Klankbord

Adviseren

(Stedelijk) Directeur Verantwoordelijk voor de uitvoering

Adviseren

Burgers Hun persoonsgegevens worden verwerkt

Privacy Contactpersoon Signalering

Vakgroep

Signaleren

Privacy Officer Expert

informeren Dienstverlening

Medewerkers Uitvoering

Kadersteller

Rapporteren & escaleren

informeren Vertegenwoordiging

Adviseren

Kaders uitzetten

26 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

Informeren & adviseren

CIO Verantwoordelijk voor kaders en beleid, risicomanagement en bewustwording Rapporteren

Opreacht voor kader/beleid

Vragen & klachten

Rapporteren

Gemeentesecretaris