Raadsinformatiebrief onderzoeken naar de gemeentelijke privacyorganisatie.pdf

Raadsinformatiebrief

Aan:

Portefeuillehouder(s): Behandeld door

De leden van de gemeenteraad van Amsterdam 10 februari 2026 ICT en Digitale Stad Alexander Scholtes Digitale Strategie en Informatie (bestuurszaken.dii@amsterdam.nl)

Onderwerp

Onderzoeken naar de gemeentelijke privacyorganisatie

Datum Portefeuille(s)

Geachte leden van de gemeenteraad, Er zijn sinds de inwerkingtreding van de Algemene Verordening Gegevensbescherming (hierna: AVG) per mei 2018 veel maatschappelijke, juridische, technologische en organisatorische veranderingen geweest die het privacylandschap raken. Zo zijn er bijvoorbeeld taken bijgekomen met de inwerkingtreding van de Wet politiegegevens (Wpg) en de Wet gegevensverwerking door samenwerkingsverbanden (WGS) en is de privacy-organisatie van de gemeente Amsterdam gecentraliseerd. Daarnaast zijn er veel technologische ontwikkelingen, denk aan algoritmen en Artificiële Intelligentie. Het is daarom van belang te onderzoeken of de huidige privacyorganisatie, die meer dan 22.000 medewerkers ondersteunt, in voldoende mate de gemeente Amsterdam kan ondersteunen in de toepassing en naleving van de AVG, Wpg en de aanpalende wetgeving. In opdracht van de gemeente Amsterdam zijn in dit kader in 2025 onderzoeken en zelfevaluaties uitgevoerd. Graag informeer ik u in deze brief over de resultaten van de bevindingen en aanbevelingen. De drie onderzoeken 1) De afdeling Interne audit en Beleidsonderzoek (DMC) doet doorlopend onderzoek naar de belangrijkste processen binnen de gemeente, met het doel om directies en stadsdelen te helpen hun processen nog beter te beheersen.

In 2025 is in dat kader onderzocht of de inrichting van de privacyfunctie in de gemeente op strategisch en tactisch niveau voldoende borging biedt voor naleving van de AVG en de voorschriften van de Autoriteit Persoonsgegevens. De auditor heeft dit gedaan door opzet en bestaan van (beheers-) maatregelen te onderzoeken. Zoals gebruikelijk bij dit soort audits is de werking niet onderzocht. 2) Eén van de aandachtspunten die uit de interne audit naar voren kwam heeft betrekking op de omvang van de privacy organisatie en het beschrijven en vastleggen van rollen en verantwoordelijkheden. Daarom heeft de gemeente Amsterdam door een extern bureau laten onderzoeken in hoeverre de huidige privacyorganisatie (gehele keten) van de gemeente voldoende ondersteuning biedt bij de toepassing van de privacywetgeving en het toezicht daarop. De onderzoekers zijn daarbij uitgegaan van het nieuwe Three Lines of Defence Model voor de Overheid (3LMO). Dit model verdeelt verantwoordelijkheden voor risicobeheersing over drie verschillende 'verdedigingslinies'. Elke lijn heeft een eigen rol en verantwoordelijkheid, maar ze moeten samenwerken. De eerste lijn (het dagelijks

Gemeente Amsterdam, raadsinformatiebrief

3)

Datum 10 februari 2026 Pagina 2 van 4

management en de medewerkers) voert uit en beheerst, de tweede lijn (functies m.b.t. risicomanagement, compliance en control) bewaakt en adviseert, de derde lijn (intern toezicht) controleert onafhankelijk. Zo ontstaat een gelaagde verdediging tegen risico's. We hebben laten onderzoeken of de verdeling tussen de ‘lijnen’ goed werkt of dat er onduidelijkheden zijn. Ook is onderzocht of er risico’s zijn die tussen wal en schip vallen omdat niemand zich verantwoordelijk voelt, of juist dat meerdere teams hetzelfde werk dubbel doen. Tegelijkertijd is de gemeente Amsterdam in 2023 gestart met de Baseline Privacy Amsterdam (BPA) vanuit de interne behoefte om te weten in hoeverre de gemeentelijke organisatie aan de Algemene Verordening Gegevensbescherming (AVG) voldoet én vanuit de externe verantwoordingsplicht die de AVG ons oplegt. Deze volwassenheidsmeting door zelfevaluaties wordt onder andere gebruikt om de privacyrisico’s beter te beheersen, zowel op stedelijk niveau als op directieniveau (conform de aanbevelingen hierover van ACAM, Rekeningencommissie en de Functionaris Gegevensbescherming (FG). De nulmeting van de BPA per directie is nu beschikbaar.

De belangrijkste uitkomsten De onderzoeken laten zien dat de vele ontwikkelingen die de gemeente de afgelopen jaren heeft doorgemaakt positieve effecten heeft gehad op de gemeentelijke privacyorganisatie. Denk aan de reorganisatie van het I-domein in 2022 met de clustering van privacy officers in de vakgroep Digitale Rechten, Ethiek en Privacy (vakgroep DREP) en de positionering van de Functionaris Gegevensbescherming (FG) in directie Juridische Zaken (JZ) in 2024. De samenwerking tussen de verschillende stakeholders, waaronder tussen de vakgroep (de tweede lijn) en de FG (de derde lijn) is constructief. De FG is adequaat gepositioneerd bij de directie Juridische Zaken (JZ). Hierbij zijn een onafhankelijke taakuitvoering door de FG en directe rapportagelijnen naar de gemeentesecretaris, het college en de raad geborgd. Ook is bijvoorbeeld de externe communicatie over het privacybeleid naar burgers voldoende gewaarborgd. De privacyverklaringen van de gemeente, inclusief de rechten van betrokkenen, is openbaar toegankelijk via de gemeentelijke website. Hiermee wordt op transparante wijze invulling gegeven aan de informatieplicht richting burgers. Tegelijkertijd moet er veel gebeuren, want uit de onderzoeken komt duidelijk naar voren dat er noodzaak bestaat tot onderhoud aan het privacylandschap van de gemeente Amsterdam.

De belangrijkste verbeterpunten zijn: • Het privacybeleid moet worden geactualiseerd. • De rollen, taken en verantwoordelijkheden zijn niet (volledig) beschreven en vastgelegd. Hierdoor ontstaat onduidelijkheid over wie verantwoordelijk is voor de naleving van de AVG. • Met name in de eerste lijn ontbreekt bij directies de capaciteit en kennis om privacytaken adequaat uit te voeren. In de directies waar wel capaciteit is, is meer bewustzijn. De integrale aanpak met Informatiebeveiliging en -beheer in de opgaven werkt goed. • De tweede lijn kan beter worden ingericht. Er is door tijdelijke budgetten veel externe inhuur, terwijl er structureel werk wordt verricht. Door te weinig capaciteit gebeurt veel tweedelijns werk op ad-hoc basis en is daardoor lastig te plannen. Dit geldt te meer voor stedelijke maatregelen die getroffen moeten worden, denk aan het herijken van verouderd beleid. De

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

•

•

• •

•

Datum 10 februari 2026 Pagina 3 van 4

borging van voldoende kennis staat onder druk door deze inzet en uitstroom van ingehuurde medewerkers. Het externe onderzoek adviseert op basis van een benchmark om voor de tweede lijn een vaste formatie aan te houden van minimaal 20 tot 25 fte (de huidige vaste formatie bedraagt 11,2 fte). In de derde lijn heeft de Functionaris voor Gegevensbescherming (FG) te weinig capaciteit om te voldoen aan haar taken. Ook is de informatievoorziening voor de FG suboptimaal. Het toezicht vindt op reactieve wijze en ad-hoc basis plaats, terwijl de FG graag naar proactief toezicht wil. Het externe onderzoek adviseert om voor de omvang van de FG-office 3,5 tot 4 fte aan te houden (de huidige bezetting is 2 fte). Alhoewel de BPA-nulmeting een aantal bemoedigende elementen laat zien, is de gemeentelijke privacyvolwassenheid nog niet op voldoende niveau. Het is voor medewerkers niet altijd duidelijk wanneer men naar de FG en/of naar de Commissie Persoonsgegevens Amsterdam (CPA) moet, doordat de rol van de CPA onduidelijk is voor de organisatie. Er is onvoldoende structurele borging van afhandeling inzageverzoeken bij het Loket Persoonsgegevens. Dit gaat over het centrale loket waar burgers aan de gemeente inzage (en indien nodig correctie of verwijdering) kunnen vragen in welke persoonsgegevens de gemeente van hen heeft verwerkt.

Het loket is nu organisatorisch gezien tijdelijk ondergebracht bij het Stedelijk Team Openbaarheid (dat zich bezighoudt met openbaarmaking van gemeentelijke informatie). Dit wordt als positief ervaren.

Wat hebben we nu al opgepakt? Het college herkent de bevindingen uit het onderzoek. Op een aantal onderwerpen lopen er al verbeteracties. • Er is gestart met het herijken van het privacybeleid en we willen dit in het derde kwartaal van 2026 vaststellen. • Er wordt momenteel nader onderzoek naar het Three lines of Defence Model. Daarbij worden de rollen, taken en verantwoordelijkheden verder uitgewerkt. Dit onderzoek en de resultaten worden in het eerste kwartaal van 2026 opgeleverd. Daarna laten we het gemeentebreed vaststellen. Op basis van het vastgestelde Three Lines of Defence Model bieden we duidelijkheid voor lijnorganisaties en gaan we gesprekken aan om de eerstelijns capaciteit aan te sterken. • Tegelijkertijd zetten we in op het structureel onderbrengen van het Loket Persoonsgegevens bij het Stedelijk Team Openbaarheid, om de afhandeling van inzageverzoeken structureel te borgen. Hier is meer capaciteit beschikbaar, waardoor de continuïteit bij ziekte en uitval wordt vergroot. Bovendien maakt het loket dan deel uit van de directie waar ook de specialisten op dit onderwerp (de privacy officers) werkzaam zijn. De gesprekken hierover worden in het eerste kwartaal van 2026 gestart. Dan wordt ook besloten of het Loket Persoonsgegevens wordt overgeplaatst naar het Stedelijk Team Openbaarheid.

• Gesprekken over het capaciteitsvraagstuk van de tweede en derde lijn zijn al gestart en krijgen een vervolg in 2026. • Aan de hand van de BPA-nulmeting worden er in overleg met de directies, en als start van een Plan-Do-Check-Act (PDCA) cyclus, BPA-verbeterplannen opgesteld.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

•

•

Datum 10 februari 2026 Pagina 4 van 4

Daarnaast wordt er medio 2026 een FG-statuut vastgesteld door de FG-Office, waarmee de positie en verantwoordelijkheden van de FG ten opzichte van onder andere de CPA en Directie Juridische Zaken wordt verduidelijkt. Ook worden de Quality Assurance acceptatiecriteria en het Reglement van de CPA herijkt, zodat de verschillen tussen de FG en CPA voor de gehele organisatie inzichtelijker worden. Hierin zal ook de monitoring van de opvolging van de CPA-adviezen worden meegenomen. Tot slot blijven we jaarlijks inzetten op bewustwording voor compliance binnen de organisatie. Er is een bewustwordingsplan 2026 opgesteld, er is een e-learning in de maak, er worden leergangen voorbereid voor collega's in het i-domein en de centrale onboarding op het gebied van compliance wordt nader uitgewerkt voor alle nieuwe medewerkers van de gemeente.

Wat is er nodig om alle verbeterpunten door te voeren? De maatregelen die al lopen zijn gedekt in de begroting. Er is op dit moment geen dekking binnen de begroting van programma B.2 om alle aanbevelingen uit de drie voorliggende onderzoeken op te kunnen pakken, met name de aanbevelingen met betrekking tot het organiseren van de benodigde structurele capaciteit. Het is aan de nieuwe raad en het nieuwe college hoe hier mee wordt omgegaan. Met vriendelijke groet, Namens het college van burgemeester en wethouders van de gemeente Amsterdam,

Alexander Scholtes Wethouder ICT en Digitale Stad

Bijlagen 1. Bijlage 1 Rapport interne audit 2. Bijlage 2 Rapport extern onderzoek 3. Bijlage 3 Rapport resultaten Baseline Privacy Amsterdam

Een routebeschrijving vindt u op amsterdam.nl