x.02 Rapportage 2022 functionaris gegevensbescherming.pdf

Rapportage 2022

Functionaris gegevensbescherming Hanne-Esther Kruijt | maart 2023

Inhoud 1. Ontwikkelingen

4

2. Volwassenheidsmeting

7

3. Positie Functionaris gegevensbescherming

9

4. Training en bewustwording

12

5. FG-werkzaamheden 5.1 Toezicht uit hoofde van de Wet Politiegegevens 5.2 Overige onderwerpen

14 14 14

6. Bijlagen

17

2 | Rapportage 2022 Functionaris gegevensbescherming | maart 2023

1

Ontwikkelingen

1

Ontwikkelingen Deze rapportage start met het aanstippen van enkele positieve ontwikkelingen die het afgelopen jaar binnen de gemeente hebben plaatsgevonden. Daarna volgen drie aanbevelingen gevolgd door een toelichting per aanbeveling. Deze aanbevelingen zijn bedoeld ter ondersteuning van de verdere professionalisering van de organisatie. Zij vormen de kern van deze rapportage. De rapportage sluit af met een kort verslag van FG werkzaamheden.

Quality Assurance

1 Criteria voordat werk wordt opgepakt, wordt

De organisatie heeft dit jaar belangrijke stappen gezet ter onder­ steuning van het compliant inrichten van bedrijfsprocessen en proce­ dures. Binnen de directies DS&I werken de verschillende vakgroepen nauw samen binnen het programma Quality Assurance. Deze samen­ werking heeft gezamenlijke acceptatiecriteria1 opgeleverd. Deze vragenlijst helpt de directies bij het in kaart brengen van de uitdagin­ gen en verplichtingen die een voorgenomen activiteit met zich mee­ brengt en de borgende maatregelen die genomen dienen te worden.

opgeleverd en ‘af’ is (definition of ready en

i-Academy Daarnaast is de i-academy gestart. De scholingsactiviteiten die hieruit voortkomen moeten op termijn in een sluitend aanbod voorzien. Zodat in de toekomst alle medewerkers van de gemeente over vol­ doende kennis over deze onderwerpen beschikken. Dit betekent basiskennis voor iedereen en verdieping van kennis voor degenen die intensiever met persoonsgegevens werken. De experts, zoals de privacy officers, information security officers en architecten breiden hun vaardigheden uit zodat ze hun collega’s professioneel kunnen bijstaan.

Aanbevelingen Kortom, er worden belangrijke stappen gezet. De Algemene verorde­ ning gegevensbescherming (Avg) is nu bijna 5 jaar van kracht. De gemeente draagt een ‘verantwoordingsplicht’2 en wil zicht hebben op eventuele risico’s. De volgende drie aanbevelingen dienen ter ondersteuning van dit doeleinde:

definition of done.

Register van verwerkingen

Aanbeveling 1 – Meet het volwassenheidsniveau

De gemeente werkt hard aan het actualiseren van het register van verwerkingen. Dit mede met het oog op de publicatie van het register in het 1ste kwartaal van 2023. Dit betreft een toezegging van de wethouder aan de raad.

Breng op de korte termijn de status van gegevensbescherming in kaart met behulp van een volwassenheidsmeting. Deze meting verschaft de gemeente inzicht in haar belangrijkste risico’s. En maakt duidelijk waar nog stappen moeten worden gezet. Schakel voor de uitvoering van de meting een externe partij in met aantoonbare kennis en ervaring op dit vlak.

2 De gemeente is verantwoordelijk voor de naleving van de Avg en kan deze aantonen. Dit heet de verantwoordingsplicht of in goed Engels, accountability. Zie artikel 5 Algemene verordening gegevensbescheming.

4 | Rapportage 2021 Functionaris gegevensbescherming | april 2022

Aanbeveling 2 – Verbeter de positie van de FG Draag zorg voor professionalisering van de FG functie. Een eigen budget, personele ondersteuning en rechtstreeks toegang tot directeuren, college en raadsleden zijn hierbij randvoorwaarden. Neem in overweging om deze functie hiërarchisch onder de gemeente­secretaris of de concerncontroller te plaatsen. Met deze positionering geeft de gemeente uitdrukking aan het belang dat zij hecht aan de onafhankelijke, gemeentebrede toezichtsrol van de FG.

Aanbeveling 3 – Vergroot de kennis binnen de organisatie Zorg voor structurele en verplichte bewustwordingsactiviteiten rond­ om gegevensbescherming. Inventariseer bestaande initiatieven binnen de organisatie en zorg voor hergebruik. Richt een trainingsen bewustwordingsprogramma in dat zich richt op de lange termijn en de gehele organisatie. Houd hierbij rekening met verschillende doelgroepen.

5 | Rapportage 2022 Functionaris gegevensbescherming | maart 2023

2

Volwassenheidsmeting

2

Volwassenheidsmeting Overzicht meetinstrumenten

Uitvoering

In 2022 hebben gesprekken plaatsgevonden tussen de CIO en be­ langrijke stakeholders in de organisatie. Kwartaalrapportages die de CIO in samenwerking met de directies opstelt, vormen de basis voor deze gesprekken. Deze rapportages bevatten beperkt informatie over de stand van zaken inzake gegevensbescherming. Ook is in 2022, ondanks voornemens daartoe, de gapanalyse die in het kader van de BIO wordt uitgevoerd, niet uitgebreid met een Avg-gapanalyse.

Breng op de korte termijn de status van gegevensbescherming in kaart met behulp van een volwassenheidsmeting. Een volwassenheids­ meting biedt inzicht in de opzet, het bestaan en de werking van procedures en processen en de daarbij behorende inzet van mensen en middelen. Een meting maakt duidelijk waar nog stappen moeten worden gezet. En biedt daarmee ook inzicht in de belangrijkste risico’s.

De gemeente is bezig met het inrichten van privacy management in Fully in control. Dit is integrale governance-risk-compliance (GRC) software die is aangeschaft om te monitoren en zodoende risico’s te identificeren. De voorgenomen planning, dat directies in 2022 starten met rapporteren, is niet gehaald. Het ziet er naar uit dat de inrichting nog enige tijd in beslag zal nemen. Dat betekent dat deze informatie langer op zich laat wachten. De informatie op basis waarvan de toezichtsrol wordt ingevuld, komt uit eigen onderzoek, ad hoc en/of bij toeval beschikbaar. Omdat structurele meetinstrumenten ontbreken hebben noch de CIO noch de FG voldoende zicht op hoe de organisatie er voor staat. En daar­ mee ook geen volledig zicht op eventuele risico’s.

Volwassenheidsniveaus De meeste metingen werken met 5 niveaus van volwassenheid: 1. ad hoc; 2. beheerst; 3. vastgesteld; 4. voorspelbaar; 5. geoptimaliseerd. Een organisatie als de gemeente moet minimaal op niveau 3, vastge­ steld, scoren. Vanwege de grote verschillen die binnen de organisatie lijken te bestaan, lijkt een score rond de 2, beheerst, op dit moment het hoogst haalbare. Het bijkomend voordeel van de uitvoering van een dergelijke meting is dat de organisatie de uitkomst kan gebruiken als input voor Fully in control, de GRC-software.

7 | Rapportage 2022 Functionaris gegevensbescherming | maart 2023

3

Positie Functionaris gegevensbescherming

3

Positie Functionaris gegevensbescherming Historie

Notitie

De relatief nieuwe functie van de FG binnen de gemeente roept nog regelmatig vragen op. Ook is met de reorganisatie van het i-domein de positie van de FG ingrijpend gewijzigd. Een belangrijk verschil met voorheen is dat op het moment dat de FG eind 2018 werd benoemd en in de CIO-office onder is gebracht, de CIO niet verantwoordelijk was voor verwerkingen van persoonsgegevens. De huidige CIO is tegelijkertijd clusterdirecteur en in die functie verantwoordelijk voor verschillende directies waaronder de directies Data en Digitale voor­ zieningen. Deze directies verzorgen diverse belangrijke datadiensten binnen de gemeente, waarbij sprake is van het verwerken van persoons­gegevens.

De notitie biedt duidelijkheid over de rol en positie van de FG aan de hand van het wettelijk kader. En bespreekt de mogelijke organisa­ torische inbedding van de FG functie. Hierbij is in het bijzonder aan­ dacht voor de onafhankelijke positie van de FG en de toezichtsrol.

CIO als toezichthouder 3 Zie Organisatiebesluit Amsterdam, de binnenkort tezamen met het nieuwe Algemeen mandaatbesluit Amsterdam te publiceren versie van het besluit.

4 De notitie is van de hand van Bart Schermer, directeur van Considerati, een bekende en ervaren

Daarnaast heeft de CIO ook een toezichthoudende functie. Hij ­ is verantwoordelijk voor het toezicht op de digitale, IT, data- en informatie gerelateerde zaken binnen de gemeente.3 Dit betreft toezicht vanuit de uitvoering, oftewel toezicht vanuit de 1ste /2e lijn. Dit onderscheidt zich van het toezicht vanuit de 3e lijn waarvoor de FG is aangewezen.

adviesorganisatie uit het privacy domein. Bart Schermer is ook als hoogleraar Privacy & Cyber­ crime verbonden aan eLaw- Centrum voor Recht en Digitale technologie van de universiteit Leiden.

Deze ontwikkelingen vragen om een zorgvuldige heroverweging van de positie van de FG. Bijgaande notitie biedt de gemeente hierbij houvast4, zie bijlage 1.

9 | Rapportage 2022 Functionaris gegevensbescherming | maart 2023

Drie aandachtspunten uit de notitie: 1. ‘Toezicht op de gegevensverwerking naast of in aanvulling op de FG (als de AVG dat al toestaat) kan beter niet worden uitgevoerd door rollen die ook betrokken zijn bij het bepalen van de doelen en middelen voor de gegevensverwerking (CEO, COO, CIO et cetera).’ 2. ‘Wanneer de FG functioneel wordt ondergebracht binnen een groter organisatieonderdeel, dan kan de FG niet in een rapportage­­ lijn zitten met een rol die óók een verantwoordelijkheid heeft voor het toezicht op de gegevensverwerking (in casu de CIO). Een en ander verhoudt zich namelijk moeilijk tot niet met het vereiste van onafhankelijkheid uit artikel 38 AVG.’ 3. ‘Om de onafhankelijkheid van de FG te waarborgen en de schijn van afhankelijkheid te voorkomen, is het het overwegen waard om de rol van de FG onder te brengen bij die organisatieonderdelen die al een adviserende en/of toezichthoudende rol hebben (anders dan gegevensbescherming). Hierbij kan gedacht worden aan een inbedding binnen Bestuur en Organisatie (Directie Middelen en Control of de Directie Juridische Zaken).’

Alternatieven Een uitvraag onder de collega FG’s van de G4 levert het volgende beeld op. In Rotterdam en Den Haag zijn de FG’s hiërarchisch direct onder de gemeentesecretaris geplaatst. De FG’s van Rotterdam en Utrecht zijn functioneel ondergebracht bij de afdeling concerncontrol. De FG van Den Haag bij de Bestuursdienst. Deze positionering sluit aan bij het 3 ‘lines of defence’ model gezien vanuit de Avg en Wpg, zoals verbeeld in bijgaande power point pagina5, zie bijlage 2. Bij de Dienst Middelen en Control van de gemeente Amsterdam werkt men met het 3-lijns model.

Uitvoering Draag zorg voor professionalisering van de FG functie. Een eigen budget, personele ondersteuning en rechtstreeks toegang tot direc­ teuren, college en raadsleden zijn hierbij randvoorwaarden. Neem in overweging om de FG hiërarchisch onder de gemeente-secretaris of de concerncontroller te benoemen. Met deze positionering geeft de gemeente uitdrukking aan het belang dat zij hecht aan deze onafhan­ kelijke, gemeentebrede toezichtsrol. In aansluiting op de praktische uitvoering van de toezichtsrol kan de FG functioneel worden onder­ gebracht bij concerncontrol. De FG werkt in de uitvoering van zijn/haar taak samen met de afdeling interne audit.

5 Dit model is afkomstig van BMC, onderdeel van de Yacht groep. Ook een bekende en ervaren adviesorganisatie uit het privacy domein.

10 | Rapportage 2022 Functionaris gegevensbescherming | maart 2023

4

Training en bewustwording

4

6 Het onderzoek ‘Naleving Avg door overheden’ is 9 februari jl. aangeboden aan de Tweede Kamer.

Training en bewustwording Weet wat je deelt

WODC-onderzoek

Het programma ‘Weet wat je deelt’ heeft nog geen structureel karak­ ter gekregen binnen de gemeente. Momenteel is het aan ieder indivi­ dueel onderdeel of, en zo ja, welke initiatieven men onderneemt. Met als resultaat een divers palet van trainingen, bijeenkomsten en andere bewustwordingsactiviteiten. Regelmatig vindt een onderdeel opnieuw het wiel uit, er is weinig sprake van hergebruik. Daarnaast is ook sprake van onderdelen waar geen bewustwordingsactiviteiten plaats­ vinden.

Dit sluit aan bij de aanbeveling uit het onderzoek ‘Naleving van de AVG door overheden’6 waarvan het rapport 9 februari jl. is aangebo­ den aan de Tweede Kamer. Onderwerp van onderzoek is tegen welke problemen gemeenten aanlopen en wat de oorzaken hiervan kunnen zijn. ‘De onderzoekers raden de minister voor Rechtsbescherming en de minister van BZK aan om verdere investeringen bij overheids­ organisaties te doen en een stimulerende rol te pakken om de privacy-­organisatie bij overheden steviger te funderen en privacy­ bewustzijn sterker te verankeren.’

i-Academy

Als knelpunt zien de onderzoekers dat ‘naleving van de AVG soms wordt vertaald naar een sterke focus op techniek en beveiliging, maar minder naar de bescherming van persoonsgegevens en het waarborgen van dat belang in alle processen binnen de organisatie’. Dit is een herkenbaar knelpunt voor de gemeente Amsterdam.

Positief is dat de gemeente het initiatief van de i-academy is gestart. De i-academie Amsterdam is opgezet om de (virtuele) verbinding te zijn voor de (digitale) ontwikkeling van de medewerkers van de gemeente Amsterdam. Vakmanschap en kennisontwikkeling staan centraal. Binnenkort start men met de ontwikkeling van een leeraan­ bod dat aansluit op de benodigde competenties en functies die een rol spelen bij de diverse disciplines die onderdeel uitmaken van Quality Assurance. Gegevensbescherming maakt hier onderdeel van uit.

De opdracht is afkomstig van het Wetenschappelijk Onderzoek- en Documentatiecentrum en is uitgevoerd door Pro Facto.

12 | Rapportage 2022 Functionaris gegevensbescherming | maart 2023

Uitvoering Zorg voor structurele bewustwordingsactiviteiten rondom gegevens­ bescherming. Inventariseer bestaande initiatieven binnen de organi­ satie en zorg voor hergebruik. Richt een trainings- en bewustwor­ dingsprogramma in dat zich richt op de lange termijn en de gehele organisatie. Houd hierbij rekening met verschillende doelgroepen.

5

FG-werkzaamheden

5

FG-werkzaamheden 5.1 Toezicht uit hoofde van de Wet Politiegegevens Wanneer geen andere toezichthouder is benoemd, is de FG vanwege de Algemene verordening gegevensbescherming de aangewezen toezichthouder voor de Wet politiegegevens. Dit omvat de verplich­ ting tot rapporteren over de stand van zaken binnen de organisatie. In 2022 heeft de organisatie voldaan aan de verplichting om een externe audit uit te laten voeren. Deze audit heeft uitgewezen dat nog onvoldoende actie is ondernomen om de Wet politiegegevens te implementeren. Conform haar verplichting heeft de gemeente de Autoriteit Persoonsgegevens hiervan op de hoogte gesteld. Op basis van de uitkomst van de audit is door de betrokken directies een plan van aanpak opgesteld. Gezien de uitkomst en het tijdspad van de audit en het plan van aanpak is het niet zinvol geacht om voor 2022 een FG toezichtsplan Wpg op te stellen. Voor 2023 stelt de FG dit toezichtsplan op. Op uitvraag van de FG is de volgende informatie aangeleverd: a. Alle domeinen: er is nog geen gemeentelijk beleid aanwezig waarin de uitgangspunten van de Wet bescherming politie­ gegevens zijn vertaald; b. Domein I Openbare ruimte: er is een gapdocument en risicoscore ingevuld. Een aantal werkzaamheden verwacht men Q2 2023 te hebben afgerond.

14 | Rapportage 2022 Functionaris gegevensbescherming | maart 2023

c. Domein III Onderwijs: voert de benodigde werkzaamheden uit over een langere periode van 2021-2024. Boa’s zijn in 2021 getraind. d. Domein IV Werk, Inkomen en Zorg: van de processen, de verwer­ kingen en de DPIA is inmiddels een eerste, verbeterde versie beschikbaar. In 2023 selecteert men de applicatie om de huidige applicatie te vervangen, zodat aan de technische maatregelen van de Wpg kan worden voldaan. Advies: neem dit onderwerp op in de kwartaalrapportages zodat de toezichthouders de voortgang kunnen monitoren en zo nodig bijsturen.

5.2 Overige onderwerpen 5.2.1 FG Inbox Team FG is een samenwerking aangegaan met de klachtencoördinator. Klachten belanden daarmee sneller op de juiste plek. Zo nodig ­worden klachten naar de uitvoerende directies doorgezonden ter behandeling. De FG komt in actie wanneer de klacht of vraag niet tot tevredenheid van de betrokken burger is opgelost en specifiek ziet op gegevensbescherming. In 2022 heeft de FG 57 externe en ­32 inter­ne vragen en klachten ontvangen.

5.2.2 Data Protection Impact Assessments

5.2.3 Datalekken

Op verzoek van de organisatie adviseert de FG met betrekking tot risico impact analyses over gegevensbescherming, Data Protection Impact Assesments oftewel DPIA’s. Een dergelijke assessment is verplicht wanneer sprake is van een hoog risico verwerking. Dit jaar heeft de FG 52 analyses van een advies voorzien. Dit heeft geresulteerd in één negatief advies, concretisering en verbetering van de analyses en aanvullende maatregelen om gegevensbescherming te waarborgen.

De Autoriteit Persoonsgegevens heeft de gemeente op de vingers getikt vanwege het aantal te laat gemelde datalekken. In reactie hierop heeft de gemeente maatregelen toegezegd waaronder het verhogen van het bewustzijn onder medewerkers. De FG zal hier in 2023 onderzoek naar doen.

De FG heeft in 2022 onderzoek gedaan naar de opvolging van miti­ gerende maatregelen die met behulp van een DPIA zijn vastgesteld. Het onderzoek omvat een steekproef van 16 DPIA’s vanuit verschillen­ de onderdelen van de gemeente. De belangrijkste uitkomst van het onderzoek is dat binnen de onderdelen geen monitoring plaatsvindt op de uitvoering van de maatregelen. Een proces dat zorgt voor het systematisch actualiseren van DPIA’s, ontbreekt. Aanbeveling: richt een plan, do, check, act cyclus in die zorgdraagt voor de opvolging, monitoring en actualisering van de risico-analyses.

15 | Rapportage 2022 Functionaris gegevensbescherming | maart 2023

Het aantal datalekken dat bij de Autoriteit is gemeld omdat sprake is van een risico, is toegenomen. In 2023 heeft de gemeente 78 meldin­gen gedaan, terwijl in 2020 en 2021 sprake was van 60, respectievelijk 62 meldingswaardige datalekken. Hier zijn twee mogelijke verklaringen voor: 1. er worden meer datalekken gemeld omdat het bewustzijn rondom datalekken is vergroot; 2. de organisatie gaat onzorgvuldiger om met persoonsgegevens. Er zijn geen aanwijzingen dat de gemeente onzorgvuldiger omspringt met persoonsgegevens. Vooralsnog is de conclusie dat het bewustzijn onder medewerkers enigszins is verhoogd.

Beveili

6

gd

Bijlagen

6

Bijlagen Bijlage 1 Notitie toezicht gegevensbescherming en positie ­Functionaris gegevensbescherming, Considerati, Auteur: prof. mr. dr. Bart W. Schermer, partner. Bijlage 2 ‘3 lijnen model’, afkomstig van BMC, onderdeel van de Yacht groep.

Hanne-Esther Kruijt Functionaris gegevensbescherming Amsterdam, 21 februari 2023

17 | Rapportage 2022 Functionaris gegevensbescherming | maart 2023