Rapportage 2020 Functionaris gegevensbescherming.pdf
Tekst van het document
Rapportage 2020
Functionaris gegevensbescherming Hanne-Esther Kruijt | april 2021
Inhoud
2 | Rapportage 2020 Functionaris gegevensbescherming | april 2021
1. Samenvatting
4
2. Inleiding
6
3. Terugblik 3.1 Vaste onderwerpen 3.2 Overige onderwerpen
8 8 11
4. Vooruitblik 2021 4.1 Belangrijkste aandachtspunten 4.2 Opvolging
14 14 15
5. Bijlage 1 Schema privacy functies
17
1
Samenvatting
1
Samenvatting De coronacrisis heeft de gemeente voor nieuwe uitdagingen gesteld voor wat betreft het beschermen van de gegevens van haar burgers, werknemers en andere betrokkenen. Over de gehele linie lijkt er meer aandacht te zijn gekomen voor gegevensbescherming. Dit vindt plaats onder invloed van externe ontwikkelingen, zoals de pandemie en voortdurende cyberaanvallen waar het afgelopen jaar de gemeente Hof van Twente slachtoffer van was. Maar ook als gevolg van het feit dat de gemeente haar digitale dienstverlening een nieuwe impuls geeft met de herinrichting en verdere ontwikkeling van het I-domein. Deze rapportage beschrijft welke maatregelen de gemeente Amsterdam in 2020 heeft getroffen om de beginselen van de AVG verder te waarborgen en waar nog actie is vereist. De directies zijn opgeroepen om het verwerkingsregister te actualiseren en het loket Persoonsgegevens heeft ingezet op termijnbewaking. De gemeente heeft in het kader van de transparante overheid een algoritmeregister gelanceerd. Cijfers en overzichten geven inzicht in de AVG-verzoeken die door burgers zijn ingediend, het aantal klachten dat de Functionaris gegevensverwerking (FG) heeft ontvangen en het aantal datalekmeldingen van de gemeente. De FG heeft o nderzoek laten doen naar de stand van zaken met betrekking tot Data Protection Impact Assessments (DPIA’s).
Het eerste deel van het onderzoek is afgerond en daaruit blijkt dat de gemeente nog niet voor al haar risicovolle verwerkingen een DPIA heeft uitgevoerd. De doorlopende bewustwordingscampagne ‘Weet wat je deelt 2.0’
4 | Amsterdam werkt aan toegankelijkheid | versie van 29-10-20
draagt bij aan het interne bewustzijn over gegevensbescherming. Dit krijgt een extra stimulans door de e-learnings die zijn ontwikkeld een meer verplichtend karakter te geven. De aandachtspunten en activiteiten voor het jaar 2021 zijn divers. De organisatie zal voor inzicht zorgen in de actuele status van gegevensbescherming met de inrichting van operationeel risico management. Ook zal de gemeente een eigen standaard aanpak formuleren waarmee zij invulling geeft aan het principe van privacy by design. Bewaartermijnen worden geïmplementeerd en in 2021 volgt het 2e deel van het onderzoek naar de stand van zaken met betrekking tot DPIA’s. Dit ziet op de uitvoering van de met een DPIA vastgestelde maatregelen. Adequaat omgaan met persoonsgegevens is een continu proces en vraagt doorlopend aandacht en daarmee tijd en middelen, van zowel bestuur, management als medewerkers. De rapportage is tot stand gekomen in afstemming met de concern adviseur gegevensbescherming en de privacy officers voor de clusters.
2
Inleiding
2
Inleiding Het jaar 2020 is in veel opzichten een bijzonder jaar geweest. Om een paar ontwikkelingen te noemen: het Digitaal vergaderen heeft haar intrede gedaan omdat we vanwege de coronacrisis massaal thuiswerken. De gemeente heeft haar dienstverlening waar mogelijk gedigitaliseerd. De GGD heeft onder extreme druk teststraten en de uitvoering van bron- en contactonderzoek georganiseerd. Bij al deze processen speelt gegevensbescherming een belangrijke rol. Dit is te merken geweest aan de zichtbaarheid van de externe toezichthouder. De Autoriteit Persoonsgegevens (AP) heeft in 2020 veelvuldig van zich laten horen, ook vanwege corona gerelateerde ontwikkelingen. Enkele voorbeelden: aanbevelingen voor veilig thuiswerken, digitaal thuisonderwijs en de keuzehulp bij videobelapps. Ook heeft de AP onderzoek gedaan naar de werkwijze van de belastingdienst in verband met het gebruik van dubbele nationaliteiten en de beveiliging van het werkgeversportaal bij het UWV. Met deze praktische adviezen, aanbevelingen en onderzoeken geeft zij organisaties richting. Zo ook het college van burgemeester en wethouders (college) dan wel de burgemeester als verantwoordelijken voor het verwerken van persoonsgegevens binnen de gemeente. De organisatie weet de Functionaris gegevensbescherming (FG) beter te vinden.
Om invulling te kunnen geven aan haar wettelijke taken, zoals het toezien op de naleving van de AVG en daarvan verslag doen met deze jaarlijkse rapportage aan het college en de raad, moet de FG kennis hebben van alle belangrijke aangelegenheden die verband
6 | Rapportage 2020 Functionaris gegevensbescherming | april 2021
houden met de bescherming van persoonsgegevens. De inrichting van structurele (risico)rapportages vormt een belangrijk onderdeel van de informatievoorziening waarvan de FG afhankelijk is. Deze jaarrapportage bestaat uit een terugblik met vaste en roulerende onderwerpen en een vooruitblik naar het nieuwe jaar. Ook is er aandacht voor de Brandweer Amsterdam-Amstelland en voor de fusie met de gemeente Weesp. Waar directies wordt vermeld, wordt directies en stadsdelen bedoeld, tenzij anders staat aangegeven.
3
Terugblik
3
Terugblik 3.1 Vaste onderwerpen In dit deel van de rapportage wordt teruggeblikt op 2020 aan de hand van een aantal jaarlijks terugkerende onderwerpen.
Verwerkingsregister Per 1 januari 2021 zijn in het register 751 verwerkingen van persoonsgegevens opgenomen. Het register moet door de gemeente up-to-date worden gehouden in het kader van haar accountability verplichtingen op grond van de AVG. Eind 2020 is gebleken dat het register niet structureel wordt bijgehouden. De directies zijn door de FG opgeroepen om hun verwerkingen te controleren en het register zal worden bijgewerkt. De FG zal de opvolging monitoren en waar nodig aansporen tot extra inspanning.
Transparantie In 2020 zijn de specifieke privacyverklaringen zoals gepubliceerd op www.amsterdam.nl/privacy waar mogelijk samengevoegd of is een verklaring veralgemeniseerd waarmee de informatie voor burgers toegankelijker is gemaakt.
Algoritmeregister De gemeente heeft in 2020 een algoritmeregister gelanceerd. Het algoritmeregister biedt een overzicht van de algoritmes waarvan de gemeente gebruik maakt bij haar dienstverlening. Het register is een randvoorwaarde om gebruik te kunnen maken van je privacyrechten
8 | Rapportage 2020 Functionaris gegevensbescherming | april 2021
als burger van Amsterdam waaronder bezwaar tegen (geheel of gedeeltelijke) geautomatiseerde besluitvorming of profilering. De gemeente gebruikt de volgende definitie voor een algoritme: een vooraf bepaalde set regels of stappen die door de computer gevolgd worden. Op 31 december 2020 heeft de gemeente vier algoritmes in haar register opgenomen. De FG volgt deze ontwikkelingen met bijzondere aandacht.
Behandeling van klachten Burgers kunnen bij de FG vragen stellen of een klacht indienen over de verwerking van persoonsgegevens door de gemeente Amsterdam. In 2020 heeft de FG 27 klachten ontvangen tegen 38 in 2019. Twee hiervan hadden gevolgen voor websites van de gemeente. Een burger had een klacht met betrekking tot het gebruik van panoramabeelden door de gemeente. Deze zijn beschikbaar op de gemeentelijke website maar waren onvoldoende geanonimiseerd waardoor burgers herkenbaar in beeld kwamen. Zolang de beelden niet aan de daaraan te stellen eisen voldoen, zal de gemeente deze niet meer publiceren.
Een andere klacht betrof het bovenmatig vastleggen van persoons gegevens waarna het betreffende formulier waarmee de gegevens werden uitgevraagd, is aangepast.
Digitaal loket voor burgers Via het digitaal loket kan de Amsterdammer zijn of haar rechten uitoefenen die voortvloeien uit de AVG. Zoals het recht op inzage, verwijdering of correctie van persoonsgegevens (AVG verzoeken). In 2020 heeft het loket 120 AVG verzoeken in behandeling genomen. Dit betekent een kleine stijging (+7) ten opzichte van 2019. Het loket heeft het afgelopen jaar ingezet op termijnbewaking. De gemeente heeft 78% van het totaal aantal ingediende verzoeken binnen de termijn afgehandeld. Het komende jaar wordt de focus op termijnbewaking gecontinueerd. De FG ondersteunt dit.
Periode 1 januari 2020 tot 1 januari 2021 AVG-verzoeken:
9 | Rapportage 2020 Functionaris gegevensbescherming | april 2021
120, waarvan: Inzage*
85
Correctie
4
Verwijdering
6
Overig
25
Behandeld binnen termijn
76
Behandeld buiten termijn
22
nvt
22
*Inzageverzoek breed
12, waarvan 9 afgewezen
Inzageverzoek specifiek
73
Weigering
9
Er zijn burgers die hun verzoek rechtstreeks bij een gemeente- onderdeel indienen wat tot gevolg heeft dat het loket nog niet alle verzoeken registreert die de gemeente ontvangt. Dit betreft met name de GGD, de directie Openbare Orde en Veiligheid en de directie Werk, Inkomen en Participatie. Het loket werkt wel samen met deze afdelingen en verwacht in 2021 alle verzoeken die zien op het uitoefenen van AVG rechten binnen de gemeente te registreren.
Datalekken De incidentenprocedure is verder geoptimaliseerd door het in gebruik nemen van een vragenlijst bij de directie ICT en extra ondersteuning bij de afhandeling van datalekken. Datalekken worden met ingang van 2021 gemeld en geregistreerd in een centraal systeem (Topdesk). Hiermee verkrijgt de gemeente systematisch inzicht in het aantal beveiligingsincidenten en datalekken, en de wijze waarop deze worden afgehandeld. De FG zal er op toezien dat de meldingsprocedure laagdrempelig blijft en geen onnodige barrières opwerpt.
ten opzichte van het vorige jaar, wijst erop dat het bewustzijn rondom datalekken is toegenomen. In vergelijking met andere grote gemeenten meldt men in Amsterdam, gerelateerd aan het aantal medewerkers, echter minder datalekken.
200
Type datalekken 2019/2020
180 150
pg van verkeerde klant getoond in klantportaal
100
pg per ongeluk gepubliceerd
50
53
59
69
38 0
13%
31%
8%
overig post kwijtgeraakt of geopend retour ontvangen
gemeld bij de AP
gemeld aan betrokkenen
3%
2019
4%
54% 72%
10% 2%
datalekken 2019
2020
2020
In het jaar 2020 zijn 180 datalekken geregistreerd waarvan er 53 bij de Autoriteit Persoonsgegevens zijn gemeld. Datalekken moeten worden gemeld wanneer er een risico bestaat op nadelige gevolgen voor de burger of werknemer. Het feit dat het aantal interne meldingen wederom is gestegen
10 | Rapportage 2020 Functionaris gegevensbescherming | april 2021
3%
pg verstuurd of afgegeven aan de verkeerde ontvanger
156
De Autoriteit Persoonsgegevens heeft het afgelopen jaar drie maal om nadere informatie gevraagd naar aanleiding van de door de gemeente gemelde datalekken. Nadat de gemeente aanvullende informatie heeft verstrekt, heeft de Autoriteit Persoonsgegevens geen verdere actie ondernomen.
Bewustwording De organisatie is van start gegaan met ‘Weet wat je deelt 2.0’, het vervolg op de bewustwordingscampagne uit 2018. De campagne moet ambtenaren meer bewust maken van de verant woordelijkheid die het werken met informatie van burgers met zich meebrengt. De campagne richt zich niet alleen op gegevensbescherming en informatiebeveiliging maar ook op informatiebeheer en openbaarheid. Het afgelopen jaar is informatie op intranet bijgewerkt, de e-leannings Beveiliging en Privacy zijn geactualiseerd en deelname wordt geanonimiseerd, gemonitord. Er is uitgebreid aandacht besteed aan veilig thuiswerken en het gebruik van digitale middelen. Vanwege de coronacrisis hebben niet alle voor 2020 geplande activiteiten doorgang kunnen vinden.
Informatiebeveiliging In 2020 is door het college het vernieuwde Beleidskader informatiebeveiliging vastgesteld. De gemeente is gestart met de implementatie van de Baseline Informatievoorziening Overheid (BIO) waarmee het in de AVG vereiste basisniveau voor informatiebeveiliging wordt gerealiseerd. De Chief Information Security Officer (CISO) ondersteunt dit proces. Voor informatiebeveiliging is een zelfstandige rapportage opgesteld.
3.2 Overige onderwerpen Dit onderdeel blikt terug aan de hand van een aantal activiteiten en ontwikkelingen die zich in 2020 hebben voorgedaan.
Stedelijk kader Het college van B&W heeft destijds besloten dat het in september 2018 vastgestelde ‘Stedelijk kader verwerken persoonsgegevens’ niet alleen op nieuwe verwerkingen wordt toegepast, maar ook op de reeds lopende verwerkingen. In 2019 is geïnventariseerd welke verwerkingen alsnog aan het college moeten worden voorgelegd. In 2020 is het bijbehorende traject van de bestuurlijke besluitvorming afgerond.
VNG Verwerkersovereenkomst en Schrems II Wanneer de gemeente een dienstverlener inschakelt, zijn partijen verplicht om afspraken te maken over de manier waarop met persoonsgegevens wordt omgegaan. Met ingang van 2020 gebruikt de gemeente hiervoor het VNG-model verwerkersovereenkomst met daar aan toegevoegd een Amsterdams addendum. In juli 2020 heeft het Hof van Justitie van de Europese Unie een uitspraak gedaan in de zgn. Schrems II zaak. Dit heeft tot gevolg gehad dat het verwerken van persoonsgegevens in de Verenigde Staten onder de bestaande afspraken, het EU-VS Privacy shield, niet rechtmatig plaatsvindt. De gemeente is in 2020 gestart met het inventariseren van de contracten die door deze uitspraak worden geraakt. Deze inventarisatie omvat mede de contracten die eventueel moeten worden herzien vanwege de Brexit. De FG is in afwachting van de resultaten.
Onderzoek Autoriteit Persoonsgegevens In oktober 2019 is de gemeente door de Autoriteit Persoonsgegevens (AP) verzocht om informatie aan te leveren in het kader van haar verkennend onderzoek naar Smart city-toepassingen. Met het onderzoek wil de AP inzicht verkrijgen in het gebruik van persoonsgegevens
11 | Rapportage 2020 Functionaris gegevensbescherming | april 2021
binnen smart city-toepassingen en de rol van de FG bij de ontwikkeling van deze toepassingen. Eind 2020 heeft de AP de gemeente laten weten dat de afronding van het onderzoek vanwege Covid-19 vertraging heeft opgelopen. De AP verwacht in Q1 2021 de resultaten van het onderzoek met de gemeente te kunnen delen.
FG Onderzoek DPIA’s Indien de gemeente een vanuit het oogpunt van gegevensbescherming risicovolle verwerking start, rust op haar de verplichting om een Data Protection Impact Assessement (DPIA) uit te voeren. Met een DPIA brengt de organisatie alle aspecten van de gegevensverwerking in kaart inclusief eventuele risico’s en stelt zij maatregelen vast om deze risico’s te mitigeren. De FG heeft onderzoek laten doen naar de stand van zaken met betrekking tot DPIA’s. Uit het eerste afgeronde deel blijkt dat de gemeente hard aan de weg timmert, maar nog niet voor al haar risicovolle verwerkingen een DPIA heeft uitgevoerd. Meer specifiek volgt uit het onderzoek dat nog 55 DPIAs moeten worden uitgevoerd en voor 96 verwerkingen wordt het aanbevolen een DPIA uit te voeren. In 2021 wordt het 2e deel van het onderzoek uitgevoerd. Dit deel bestaat uit een steekproef die ziet op 9 DPIA’s en de uitvoering van de daarmee vastgestelde maatregelen.
Adviezen In 2020 heeft de FG in samenwerking met anderen, de gemeente op verschillende onderwerpen geadviseerd, waaronder de migratie naar de cloud, de implementatie van de Wet politiegegevens vanwege het verwerken van politiegegevens door buitengewoon opsporingsambtenaren (BOA’s), en de internationale doorgifte van persoonsgegevens vanwege de Schrems II uitspraak. De FG heeft bij de beoordeling van 34 risicovolle verwerkingen (DPIA) een advies uitgebracht.
Verbonden Partijen Als uitvloeisel van een eerder uitgebracht FG advies heeft de gemeente in 2020 besloten, te starten met een inventarisatie van haar
12 | Rapportage 2020 Functionaris gegevensbescherming | april 2021
relaties met derde partijen. Voor zowel de gemeente Amsterdam als de verbonden partij is dit van belang. De FG zal er op toezien dat de gemeente start met het in kaart brengen van haar relaties met derde partijen. Een actuele casus is de Stichting Waternet waar in 2020 misstanden in de beveiliging zijn geconstateerd. Gezien haar verantwoordelijkheid voor de drinkwatervoorziening en de persoons gegevens die in dat kader worden verwerkt, moet de gemeente zicht hebben op eventuele risico’s die spelen bij deze aan Waternet gemandateerde taak. De FG zal er op toezien dat de gemeente hier in 2021 mee aan de slag gaat.
Commissie Persoonsgegevens Amsterdam De FG en de CPA hebben hun samenwerking in 2020 geïntensiveerd. De FG haakt aan bij de maandelijkse bijeenkomsten van de CPA en is in de gelegenheid om hieraan een bijdrage te leveren. De CPA en de FG ondersteunen elkaar waar mogelijk met inachtneming van de vastgestelde taakverdeling. Brandweer Amsterdam-Amstelland (Brandweer) De Brandweer heeft in 2020 belangrijke stappen gezet ter verbetering van de bescherming van persoonsgegevens. Belangrijke onderwerp van onderzoek was het cameragebruik, waarvoor privacybeleid wordt opgesteld dat volgens planning medio 2021 formeel wordt vastgesteld. Andere aandachtspunten zijn het verwerkingsregister, in 2020 is men gestart met de actualisatie. Voor incidenten is een centrale mailbox aangemaakt. De Brandweer heeft in 2020 geen AVG verzoeken ontvangen en er zijn ook geen klachten binnengekomen op privacy gebied. De Brandweer heeft in 2020 drie datalekken geconstateerd die zijn gemeld bij de Autoriteit Persoonsgegevens. In 2021 zal verder aandacht worden besteed aan bewustwording op het gebied van privacy.
Weesp Totdat de bestuurlijke fusie heeft plaatsgevonden verzorgt de FG van Weesp een eigen jaarrapportage. In 2021 wordt de data van Weesp overgebracht en geborgd in de bedrijfsapplicaties van Amsterdam. Dit is in lijn met het uitgangspunt van het programma: “Werkwijze en applicaties van Amsterdam zijn leidend’’.
4
Vooruitblik 2021
4
Vooruitblik 2021 Gegevensbescherming vraagt om continue aandacht en structurele borging. Het jaar 2020 stond in het teken van het borgen van de governance, het verder op orde brengen van de basis en de training en bewustwording van de organisatie. Deze lijn wordt in 2021 gecontinueerd. Het is de taak van de FG om er op toe te zien dat de organisatie de benodigde stappen zet.
4.1 Belangrijkste aandachtspunten Borgen van de governance / risicomanagement Als gevolg van de coronacrisis is het privacy dashboard, waar in 2019 mee was gestart, het afgelopen jaar niet van de grond gekomen. Er is gezocht naar een alternatief dat inzicht biedt in de actuele status van gegevensbescherming. De inrichting van operationeel risicomanagement maakt op managementniveau sturing mogelijk en ondersteunt de FG bij haar toezichtstaak. In 2021 zet de organisatie belangrijke stappen om dit te realiseren. De CIO geeft dit vorm samen met de Directie Middelen en Control en de privacy officers dragen hier aan bij.
Basis op orde In de periode 2018-2020 zijn belangrijke stappen gezet om de AVG te implementeren. De FG constateert dat het plan van aanpak nog niet is afgerond. Het is belangrijk dat er voldoende aandacht en resources beschikbaar zijn en blijven zodat de gemeente aan haar accountability verplichtingen kan voldoen. Dit betreft onder meer een actueel register van verwerkingen en de benodigde basisdocumentatie, waaronder diverse overeenkomsten en DPIA’s.
14 | Rapportage 2020 Functionaris gegevensbescherming | april 2021
Privacy by design Het AVG-principe privacy by design is een belangrijk uitgangspunt voor de inrichting van processen en systemen. Het speelt een rol in de door de gemeente ontwikkelde cloudstrategie en bij de inrichting van de gemeentelijke datafunctie. Het is van belang dat de organisatie zorgdraagt voor een eigen standaard aanpak waarmee zij invulling geeft aan het principe van privacy by design. Het gaat om de ontwikkeling van gemeentebrede uitgangspunten waarbij wordt aangehaakt bij externe ontwikkelingen. De FG zal hier een bijdrage aan leveren.
Bewaartermijnen In 2021 start de gemeente met de uitvoering van een stedelijk plan van aanpak voor de bewaartermijnen. Persoonsgegevens mogen niet langer bewaard worden dan nodig is om het doel te bereiken waarvoor de gegevens zijn verzameld, tenzij sprake is van een wettelijke verplichting. Voor elke verwerking van persoonsgegevens moet een bewaartermijn zijn bepaald en deze moet worden nageleefd.
Training en bewustwording De bewustwordingscampagne, ‘Weet wat je deelt’2.0 zal in 2021 worden gecontinueerd. De gemeente onderzoekt op welke wijze zij het volgen van de door haar ontwikkelde e-learnings kan stimuleren. Het is aan te bevelen om deze een meer verplichtend karakter te geven en onderdeel uit te laten maken van het indiensttredingstraject van nieuwe werknemers. In 2021 besteedt de organisatie specifieke aandacht aan datalekken. Samen met de privacy officers organiseert de FG een Roadshow datalekken.
Onderzoek Sinds 2019 hebben BOA’s bij de uitoefening van hun taken te maken met de Wet politiegegevens (Wpg). Deze wet verplicht de gemeente om in 2021 een externe audit uit te laten voeren op de gegevensverwerking onder de Wpg. Samen met de CIO zal de FG deze audit begeleiden.
4.2 Opvolging De gemeentesecretaris draagt namens het college en de burgemeester zorg voor de opvolging van de hierboven beschreven aandachtspunten en activiteiten. De FG voorziet hem van de benodigde informatie over de voortgang en knelpunten.
15 | Rapportage 2020 Functionaris gegevensbescherming | april 2021
5
Bijlage 1
Schema privacy functies 2021
5
Bijlage 1 Schema privacy functies Onderstaand schema biedt een overzicht van de verschillende stakeholders die in het privacy domein actief zijn. Het schema heeft als uitgangspunt de wettelijke functie van de FG en is gebaseerd op het
document ’Taken en verantwoordelijkheden bij het verwerken van persoonsgegevens door de gemeente Amsterdam’, vastgesteld door het college op 25 september 2018.
Privacy Functies Samenleving
Portefeuillehouders Inhoudelijk verantwoordelijk voor de directies die onder hen vallen
Coördinerend wethouder Privacy Stelsel - verantwoordelijk
College B&W
Rapporteren Rapporteren & adviseren Informeren & adviseren
Functionaris Gegevensbescherming Wettelijke toezichthouder
Toezichthouder
Rapporteren
Directie CPA Expertise en maatschappelijk Klankbord
Adviseren
(Stedelijk) Directeur Verantwoordelijk voor de uitvoering
Adviseren
Burgers Hun persoonsgegevens worden verwerkt
Privacy Contactpersoon Signalering
Expertpool
Signaleren
Privacy Officer Expert
informeren Dienstverlening
Medewerkers Uitvoering
Kadersteller
Rapporteren & escaleren
informeren Vertegenwoordiging
Adviseren
Kaders uitzetten
17 | Rapportage 2020 Functionaris gegevensbescherming | april 2021
Informeren & adviseren
CIO Verantwoordelijk voor kaders en beleid, risicomanagement en bewustwording Rapporteren
Opreacht voor kader/beleid
Vragen & klachten
Rapporteren
Gemeentesecretaris