B-4.10 Memo B&W Jaarverslag Functionaris Gegevensbescherming 2024 d.d. 11-2-25

Raadsmemo Jaarverslag FG 2024

Datum: Onderwerp: Ter attentie van: Afzender:

4 februari 2024 Jaarverslag Functionaris Gegevensbescherming 2024 De Raad College van Burgemeester en Wethouders

Portefeuillehouder

W. Oosterwijk

Mail behandelaar

fg@barneveld.nl Telefoonnummer (0342) 495 381 / 06 2165 7166 Samenvatting Het jaarverslag Functionaris Gegevensbescherming 2024 – dat mede in samenwerking met de Privacy Officer (PO) en de Chief Information Security Officer (CISO) – door de Functionaris Gegevensbescherming (FG) is opgesteld, geeft weer wat de Gemeente Barneveld in 2023 heeft ondernomen om aan de vereisten van de Algemene Verordening Gegevensbescherming (AVG) en de Wet Politiegegevens (Wpg) te voldoen. Doel Het doel van de memo is om de raad te informeren over het jaarverslag. De AVG, de Wpg en het Privacybeleid van de Gemeente Barneveld schrijven voor dat de FG jaarlijks voor 1 maart verslag uitbrengt aan de bestuursorganen. Het onderhavige verslag wordt dan ook uitgebracht aan het college van burgemeester en wethouders, de burgemeester en de gemeenteraad van Barneveld. Inhoud memo In 2024 zijn de volgende zaken gerealiseerd: • • • • •

Het register van verwerkingen voor AVG en voor Wpg is geactualiseerd nader toegelicht. Er zijn nieuwe of geactualiseerde verwerkersovereenkomsten afgesloten met verwerkers. Ook zijn er intern veel adviezen gegeven en workshops gehouden over privacy en informatieveiligheid. De komst van Artificiële Intelligentie (AI) wordt sinds Q4 2024 ook meegenomen in de workshops, omdat dit impact heeft op de werkwijze in verschillende processen van de gemeente. 2024 stond, evenals de voorgaande jaren in het teken van borging, waarbij de verwerking van persoonsgegevens en de bescherming daarvan nog beter verankerd wordt in de organisatie door middel van protocollen, procedures,

•

•

bewustzijnsacties, waar nodig aanpassingen in applicaties en software, en dat de medewerkers zich daarvan bewust zijn en ook daarnaar handelen. Om dit nog beter inzichtelijk te krijgen is in 2024 hiervoor een nieuwe applicatie aangeschaft. Daarnaast is in 2024, net als in voorgaande jaren, aandacht besteed aan de evaluatie van de eerder gecommuniceerde aanbevelingen en te nemen maatregelen die zijn voortgekomen uit de uitgevoerde Data Protection Impact Assessments (DPIA’s) om de verwerking van persoonsgegevens en onder andere de bewaartermijnen beter te borgen en na te leven. Sinds 2022 wordt jaarlijks een interne en vierjaarlijks een externe audit uitgevoerd voor de Wpg. In 2024 zijn, net als in 2023, veel acties uit het Wpg verbeterplan opgepakt en uitgevoerd, waardoor steeds meer zaken zijn opgepakt en voldoen of bijna voldoen aan de in de audit gestelde normen. De nieuwe applicatie waarin de borging uitgevoerd wordt, kan daarbij behulpzaam zijn.

Vervolg Met het publiceren van het Jaarverslag FG 2024 op de website van de gemeente voldoet het college aan de in de AVG, Wpg en het Privacybeleid opgenomen informatieverplichting. Hiermee geeft het college aan uw raad en aan de inwoners en andere belangstellenden opening van zaken over wat de Gemeente Barneveld in 2024 heeft ondernomen om aan de vereisten van de AVG en de Wpg te voldoen. In het jaarverslag wordt toegelicht welke werkzaamheden zijn uitgevoerd en wat de acties voor het komende jaar zijn.

Jaarverslag Functionaris Gegevensbescherming 2024

Opdrachtgever:

gemeente Barneveld Bestuursondersteuning

Auteur:

Sascha Beekman, Functionaris Gegevensbescherming

Datum:

24 januari 2025

Inhoud 1. Managementsamenvatting ................................................................................4 2.

3.

4.

Wettelijk kader ..............................................................................................5 2.1

AVG Algemeen .......................................................................................5

2.2

Wet politiegegevens ................................................................................5

2.3

Toezichtskader AP: ontwikkelingen en gevolgen ..............................................6

Governance ..................................................................................................8 3.1

Governance algemeen .............................................................................8

3.2

Verantwoording Functionaris gegevensbescherming .........................................8

3.3

Verantwoording Privacy Officer...................................................................8

3.4

Verantwoording CISO .............................................................................10

3.5

Borging ..............................................................................................10

Werkzaamheden en bevindingen ......................................................................11 4.1

Privacybeleid .......................................................................................11

4.2

Thuiswerken ........................................................................................11

4.3

Wpg- audit ..........................................................................................11

4.3.1

Audit over 2021 tot en met 2023 .............................................................11

4.3.2

Audit over 2024 .................................................................................12

4.4

Register van verwerkingen.......................................................................18

4.5

Meldingen datalekken ............................................................................18

4.5.1

Cijfers AVG .......................................................................................18

4.5.2

Cijfers Wpg ......................................................................................18

4.6

Rechten van betrokkenen........................................................................19

4.6.1

AVG verzoeken ..................................................................................19

4.6.2

Wpg verzoeken .................................................................................19

4.7

Bewaartermijnen ..................................................................................19

4.8

Verwerkers en verwerkersovereenkomsten ..................................................19

4.9

Privacy in het Sociaal Domein ..................................................................19

4.10

Informatieveiligheid ..............................................................................19

4.11

Data Protection Impact Assessments ..........................................................20

4.12

Bewustwording ....................................................................................23

4.13

Overige zaken ......................................................................................23

4.14

Te verwachten ontwikkelingen wet- en regelgeving ........................................23

Jaarverslag FG 2024

-2-

Aanbevelingen en acties ......................................................................................27 5.1 Aanbevelingen............................................................................................27 5.2 Acties voor 2025 ..........................................................................................28

Jaarverslag FG 2024

-3-

1.

MANAGEMENTSAMENVATTING

Dit jaarverslag – dat mede in samenwerking met de Privacy Officer (PO) en de Chief Information Security Officer (CISO) – door de Functionaris Gegevensbescherming (FG) is opgesteld, geeft weer wat de Gemeente Barneveld in 2024 heeft ondernomen om aan de vereisten van de Algemene Verordening Gegevensbescherming (AVG) en de Wet Politiegegevens (Wpg) te voldoen. Het register van verwerkingen is geactualiseerd en er is voor de Wpg in 2022 een apart register opgesteld dat in 2023 verder is toegelicht. Bij de in november 2024 uitgevoerde Wpg controles is gebleken dat dit gedeelte van het register geactualiseerd moet worden. Dat word in Q1 2025 opgepakt. Daarnaast zijn er nieuwe of geactualiseerde verwerkersovereenkomsten afgesloten met verwerkers. Ook zijn er intern veel adviezen gegeven en workshops gehouden over privacy en informatieveiligheid, omdat deze onlosmakelijk met elkaar verbonden zijn en het belangrijk is dat het bewustzijn bij de medewerkers aanwezig is en dat ook blijft. Daarbij is niet alleen aandacht besteed aan de grondslag en doelbinding die aanwezig moet zijn voordat gegevens verwerkt mogen worden, welke gegevens verwerkt mogen worden en hoe lang deze bewaard mogen worden, maar ook is het belang onderstreept van een zorgvuldige verwerking en deling van gegevens door bijvoorbeeld gebruik te maken van beveiligd e-mailen.

Voor de risico’s die thuiswerken met zich meebrengt is regelmatig aandacht gevraagd. De komst van Artificiële Intelligentie (AI) wordt sinds Q4 2024 ook meegenomen in de workshops, omdat dit impact heeft op de werkwijze in verschillende processen van de gemeente. Daarbij wordt gekeken wat de (on)mogelijkheden, kansen en bedreigingen van het gebruik van AI voor de gemeente zijn. Er wordt daarbij benadrukt dat er geen persoonsgegevens in AI gebruikt mogen worden. De gemeente Barneveld heeft de bescherming van privacy en een goede informatieveiligheid hoog in het vaandel staan. Veel is goed geregeld. Om dit zo te houden, dient er continue aandacht besteed te worden aan privacy van burgers, bedrijven en medewerkers, waarbij een zorgvuldige verwerking van de persoonsgegevens en de bescherming daarvan steeds gewaarborgd moet zijn. De afgelopen jaren stonden in het teken van borging, waarbij de verwerking van persoonsgegevens en de bescherming daarvan nog beter formeel vastgelegd is in de organisatie door middel van protocollen, procedures en bewustzijnsacties. Waar nodig zijn aanpassingen in applicaties en software gedaan. Ook is in workshops en via intranetberichten meer aandacht gevraagd voor een juiste en zorgvuldige verwerking van persoonsgegevens, zodat de medewerkers zich daarvan bewust zijn en ook daarnaar handelen.

In oktober 2024 is een nieuwe applicatie aangeschaft waarin alle door de gemeente gebruikte normenkaders opgenomen (kunnen) worden wat de beoordeling van de borging vergemakkelijkt. Tevens is er dan gemeentebreed meer overzicht in het al dan niet voldoen aan de normen inzichtelijk te krijgen. In 2025 wordt dit verder opgepakt. Daarnaast is in 2024, net als in voorgaande jaren, aandacht besteed aan de evaluatie van de eerder gecommuniceerde aanbevelingen en te nemen maatregelen die zijn voortgekomen uit de uitgevoerde Data Protection Impact Assessments (DPIA’s) om de verwerking van persoonsgegevens en onder andere de bewaartermijnen beter te borgen en na te leven. Hierdoor worden op een steeds zorgvuldigere en bewustere wijze persoonsgegevens verwerkt, waardoor de eventueel aanwezige privacyrisicos’s worden verkleind en er steeds beter aan de AVG en de Wpg wordt voldaan. Sinds 2022 worden interne en externe audits uitgevoerd voor de Wet politiegegevens (Wpg). Op grond van de Wpg moet elk jaar een interne audit worden uitgevoerd en één keer per vier jaar een externe audit. De audits hebben betrekking op de verwerking van politiegegevens door de buitengewone opsporingsambtenaren openbare ruimte en de leerplichtambtenaren. Uit de

Jaarverslag FG 2024

-4-

audits zijn een aantal verbeterpunten naar voren gekomen. In 2024 zijn, net als in 2023, veel acties uit het Wpg verbeterplan opgepakt en uitgevoerd, waardoor steeds meer zaken zijn opgepakt en voldoen of bijna voldoen aan de in de audit gestelde normen. De nog openstaande zaken of de zaken waarin bijna of gedeeltelijk voldaan wordt aan de normen, worden in 2025 verder opgepakt en uitgewerkt. De nieuwe applicatie waarin de borging uitgevoerd wordt, kan daarbij behulpzaam zijn. De verwachting is dat de eind 2025 uit te voeren externe audit een positief resultaat zal hebben, gelet op de inspanningen van de afgelopen jaren waardoor steeds beter aan de Wpg wordt voldaan. Gedetailleerde bevindingen, conclusies en aanbevelingen zijn beschreven in hoofdstuk 4. 2.

WETTELIJK KADER

2.1 AVG Algemeen In de AVG zijn regels vastgelegd voor het verwerken van persoonsgegevens. Deze verordening voor de verwerking van persoonsgegevens kent een rechtstreekse werking voor de lidstaten van de Europese Unie. In de AVG worden de rechten van burgers versterkt en de AVG legt de nadruk op de eigen verantwoordingsplicht van organisaties die persoonsgegevens verwerken. Dit betekent dat organisaties bijvoorbeeld goed moeten vastleggen welke gegevens zij verwerken, met welk doel, hoe lang zij die gegevens bewaren, dat zij de gegevens goed beveiligen en met wie ze gegevens delen. De rechtstreekse werking van de AVG zorgt ervoor dat de regels voor bescherming van persoonsgegevens uniform zijn binnen de Europese Unie. De AVG geeft een overkoepelend kader voor het verwerken van persoonsgegevens en is nader uitgewerkt in de Nederlandse Uitvoeringswet AVG. Daarnaast zijn er in materiewetgeving, zoals de Jeugdwet, de Wet maatschappelijke ondersteuning en de Wet Basisregistratie personen specifieke regels te vinden voor het verwerken van persoonsgegevens. De AVG hangt daar altijd als een paraplu boven. Dat betekent dat als persoonsgegevens verwerkt mogen worden op grond van de materiewetgeving, de bepalingen van de AVG daarboven blijven hangen.

Er moet bijvoorbeeld altijd een rechtmatige grondslag zijn voor het verwerken van persoonsgegevens en persoonsgegevens mogen alleen worden verwerkt voor het doel waarvoor ze zijn verzameld. 2.2 Wet politiegegevens Buitengewone opsporingsambtenaren (boa’s) die voor hun opsporingstaak persoonsgegevens verwerken, vallen onder de Wpg. Boa’s verwerken de politiegegevens onder beheer van hun werkgever en daarmee is de werkgever van de boa’s de verwerkingsverantwoordelijke. Voor de gemeente Barneveld geldt dat zij als werkgever boa’s openbare ruimte en leerplichtambtenaren in dienst heeft die bij het uitvoeren van hun taken politiegegevens verwerken. De Gemeente Barneveld is daarom verantwoordelijk voor het toezicht op de naleving van de Wpg. In de Wpg is ook een auditverplichting opgenomen voor werkgevers van boa’s. • Interne Wpg-audit: elk jaar. Dat betekent dat de werkgever van die boa’s verplicht is om elk jaar een interne Wpg-audit uit te voeren. De Gemeente Barneveld heeft in 2023 de privacy officer laten opleiden als interne auditor. • Externe Wpg-audit: elke vier jaar. De werkgever moet elke vier jaar een externe Wpgaudit laten uitvoeren en de resultaten daarvan aan de Autoriteit Persoonsgegevens (AP)

Jaarverslag FG 2024

-5-

2.3 Toezichtskader AP: ontwikkelingen en gevolgen De AP heeft in eind december 2023 haar toezichtkader voor het jaar 2024 gepubliceerd. In het ‘Jaarplan 2024’1 geeft de AP haar prioriteiten aan voor de komende jaren, zodat dit ook van toepassing is voor het jaar 2025. Toezicht houden betekent ook keuzes maken. Het toezichtveld van de AP wordt namelijk steeds groter en de middelen zijn beperkt. Daarom richt de AP zich op de grootste risico’s voor burgers en samenleving. De bescherming van publieke belangen staat altijd voorop. Zoals gelijke behandeling, persoonlijke autonomie en de controleerbaarheid van macht. Focusgebieden De AP legt in 2024 en volgende jaren in het toezichtwerk extra nadruk op vijf focusgebieden: ➢ Algoritmes en AI ➢ Big Tech ➢ Vrijheid en Veiligheid ➢ Datahandel ➢ Digitale Overheid Algoritmes & AI Algoritmes en AI zijn niet meer weg te denken uit onze samenleving. Algoritmes bieden een hoop kansen. Bijvoorbeeld voor het bedrijfsleven, de wetenschap en de medische wereld. Tegelijkertijd kan door onverantwoorde ontwikkeling of inzet van algoritmes grote schade ontstaan. Onjuiste data of data die gebaseerd zijn op foutieve aannames, kunnen zowel bij de overheid als bij bedrijven grote risico’s voor burgers met zich meebrengen. Zoals uitsluiting of discriminatie.

Dat wil de AP voorkomen door de risico’s in kaart te brengen en handvatten te bieden voor veilig en verantwoord gebruik van algoritmes en AI. Wat doet de AP in ieder geval in 2024 en volgende jaren? • AP geeft prioriteit aan klachten, datalekken en onderzoeken die over algoritmes en AI gaan, zodat de AP zicht krijgt op waar en waarom dingen misgaan. • Signaleren en analyseren van overkoepelende risico’s van algoritmes die in meerdere sectoren spelen. Twee keer per jaar publiceert de AP de Rapportage Algoritmerisico’s Nederland (RAN). • De AP geeft uitleg over de risico’s van algoritmes en communiceert de ‘best practices’ over hoe algoritmes verantwoord zijn in te zetten. • De AP werkt samen met andere toezichthouders om ervoor te zorgen dat het toezicht op algoritmes goed is afgestemd. Big Tech De invloed van grote Tech bedrijven blijft groeien. Een klein aantal bedrijven heeft hierdoor veel macht. Omdat deze bedrijven ook veel persoonlijke gegevens in handen hebben, kunnen ze mensen beïnvloeden. Bijvoorbeeld door nepnieuws en politieke targeting op basis van profielen. Dat vormt een bedreiging voor onze democratie en samenleving. Om ervoor te zorgen dat grote Tech bedrijven zich aan de AVG houden, werkt de AP veel samen met andere Europese toezichthouders. En treedt de AP hard op als dat nodig is.

1

https://www.autoriteitpersoonsgegevens.nl/documenten/ap-jaarplan-2024

Jaarverslag FG 2024

-6-

Wat doet de AP in ieder geval in 2024 en volgende jaren? • De AP doet (internationaal) onderzoek naar overtredingen door grote Tech bedrijven. Klachten over deze bedrijven behandelt de AP met voorrang. Voor het onderzoek kan de AP speciale instrumenten inzetten. • Samen met de andere Europese toezichthouders draagt de AP eraan bij dat grote Tech bedrijven alleen generatieve AI-modellen ontwikkelen en aanbieden die voldoen aan de wet en veilig zijn voor mensen, nu en in de toekomst. • De AP werkt samen met haar Europese collega’s aan innovatieve manieren om het toezicht op Big Tech effectiever vorm te geven, om zo de grondrechten van burgers nog beter te beschermen. Vrijheid & veiligheid Vrijheid en veiligheid kunnen op gespannen voet met elkaar staan. Om de veiligheid te vergroten, moeten er soms maatregelen worden genomen die de vrijheid beperken. Omdat vrijheid en veiligheid voor mensen beide van fundamenteel belang zijn, moet een zorgvuldige afweging worden gemaakt tussen meer van het een en minder van het ander. De AP let bij de verwerking van persoonsgegevens extra op een verdedigbare balans tussen vrijheid en veiligheid. Wat doet de AP in ieder geval in 2024 en volgende jaren? • De AP doet onderzoek naar en houdt toezicht op grote Europese informatiesystemen en databases die worden gebruikt voor het beschermen van de buitengrenzen van het Schengengebied.

• Bij de inzet van nieuwe, risicovolle technologieën in het veiligheidsdomein adviseert de AP gevraagd en ongevraagd over wat wel en niet mag, om zo te voorkomen dat grondrechten in het geding komen. • Het gebruik van gezichtsherkenningstechnologie om de veiligheid te vergroten brengt ook grote risico’s voor burgers met zich mee. De AP besteedt hier extra aandacht aan en geeft praktische handvatten voor veilig gebruik. Datahandel De steeds meer gedigitaliseerde (‘slimme’) producten en diensten die er gebruikt worden, creëren veel waardevolle data. Met als gevolg dat er ook steeds meer ongeoorloofde (door)verkoop plaatsvindt van persoonsgegevens. Niet alleen in Nederland, maar ook internationaal. Dat moet een halt toegeroepen worden. Wat doet de AP in ieder geval in 2024 en volgende jaren? • De AP start een meerjarenproject dat het ongeoorloofd online volgen van mensen, bijvoorbeeld met cookies, op verschillende fronten aanpakt. • De AP geeft prioriteit aan onderzoek naar klachten en datalekmeldingen die een duidelijke link hebben met datahandel. • De AP zet extra in op voorlichting en communicatie over naleving op het gebied van datahandel. Zo zorgen ze ervoor dat bedrijven zich aan de wet houden en burgers geen schade oplopen. Digitale overheid De overheid beschikt over veel – vaak gevoelige – persoonsgegevens van Nederlandse burgers en maakt hier veel gebruik van.

Het risico dat burgers in de knel komen is groot als de overheid verkeerd omgaat met hun persoonsgegevens. Bovendien heeft de overheid een voorbeeldfunctie als het gaat om de verantwoorde omgang met persoonsgegevens. Om ervoor te zorgen dat overheidsorganisaties veilig omgaan met persoonsgegevens schenkt de AP hier extra aandacht aan en deelt de AP haar kennis hierover.

Jaarverslag FG 2024

-7-

Wat doet de AP in ieder geval in 2024 en volgende jaren? • De AP reserveert extra capaciteit om onderzoek te doen naar overheden en uitvoeringsorganisaties die persoonsgegevens van burgers gebruiken in algoritmes. • De AP besteedt opnieuw aandacht aan het delen van gegevens tussen verschillende onderdelen van de overheid en andere organisaties. Daarnaast geeft de AP aandacht aan de risico’s van het gebruik van algoritmes bij de overheid, zoals discriminatie. • De AP deelt gevraagd en ongevraagd kennis over gegevensuitwisseling in het sociaal domein en over privacy waarborgen bij fraudebeleid en schuldhulpverlening. 3.

GOVERNANCE

3.1 Governance algemeen Er is een duidelijke structuur aangaande de governance aanwezig wat betreft de uitvoering van de AVG. Er zijn een Chief Information Security Officer (CISO), een Privacy Officer (PO) en een Functionaris Gegevensbescherming (FG) aangewezen door het college. Deze onderlinge relaties en verantwoordingen blijken uit het door het college vastgestelde en op 1 mei 2023 in werking getreden herziene Privacybeleid. Hiermee wordt voldaan aan artikel 5 lid 2 van de AVG dat bepaalt dat een organisatie dient aan te kunnen tonen ‘in control’ te zijn aangaande de uitvoering van de AVG. 3.2 Verantwoording Functionaris gegevensbescherming Overzicht uitgevoerde werkzaamheden in 2024: • • • •

•

In 2024 zijn de uit de in 2023 uitgevoerde Data Protection Impact Assessments (DPIA’s) voortvloeiende acties opgepakt en uitgevoerd. Het Register van Verwerkingen is in 2024 geactualiseerd Er is in 2022 een register voor de Wpg opgesteld dat in 2023 verder is toegelicht. Bij de jaarlijkse Wpg controle in november 2024 is gebleken dat het register geactualiseerd moet worden, zodat dit Q1 2025 opgepakt wordt. De voorgaande jaren is aan de hand van het IBD borgingsdocument de borging van privacy en informatiebeveiliging beoordeeld en zijn de resultaten geëvalueerd ten opzichte van het jaar daarvoor. In oktober 2024 is een nieuwe applicatie aangeschaft, waarin alle normenkaders verwerkt zijn die op de gemeente van toepassing (kunnen) zijn. In Q4 2024 en in Q1 2025 wordt de borging uitgevoerd in de nieuwe applicatie, zodat vanaf Q2 de beoordeling kan plaatsvinden. De daaruit voortkomende acties worden vervolgens in 2025 opgepakt [Zie verder bij 3.5]. Voor de Wpg is een interne en externe audit uitgevoerd en naar aanleiding daarvan is begin 2023 een verbeterplan opgesteld dat op 2 maart 2023 is vastgesteld door het college. De nog openstaande of deels gerealiseerde verbeterpunten uit 2023 zijn in 2024 verder opgepakt en uitgevoerd.

3.3 Verantwoording Privacy Officer Overzicht uitgevoerde werkzaamheden in 2024: DPIA’s

Jaarverslag FG 2024

In 2024 zijn een aantal DPIA’s uitgevoerd op risicovolle processen, zoals de verwerking van gegevens in het inmiddels in gebruik genomen systeem PGAx, de uitbesteding van reprografische diensten, het onderzoek en de opvolging van beveiligingsincidenten door het SOC en een aantal processen in het sociaal domein.

-8-

Bewustwording privacy en informatiebeveiliging

-

Wet politiegegevens

Door de PO is, in samenwerking met de inhoudelijke collega’s een interne audit uitgevoerd op de verwerking van politiegegevens.

Privacy en Publiekszaken

In overleg met Publiekszaken is ondersteuning geboden bij privacyvraagstukken (verstrekken gegevens uit de BRP).

Onderhouden register van verwerkingen

Nieuwe processen worden toegevoegd en wijzigingen in processen worden in het register doorgevoerd.

Ondersteunen bij ontwikkelingen in de organisatie

Bij ontwikkelingen in de organisatie is de privacyregelgeving meegenomen en neemt waar nodig de PO deel aan (implementatie) projecten.

Inzageverzoeken

De meeste inzageverzoeken hebben betrekking op het sociaal domein en publiekszaken en zijn door de Privacy Officer afgehandeld in samenwerking met een betrokken collega.

Datalekken

Inbreuken in verband met privacy zijn geregistreerd. Datalekken zijn gemeld bij de AP.

Overige werkzaamheden

Naast de hierboven genoemde werkzaamheden zijn door de PO de volgende werkzaamheden verricht: - Toetsen/ opstellen verwerkersovereenkomsten - Toetsen/ opstellen convenanten - Behandelen privacyvraagstukken - Signaleringsfunctie in organisatie - Sparringpartner voor de organisatie

Jaarverslag FG 2024

Er zijn trainingen voor (nieuwe) medewerkers verzorgd. Periodiek is een nieuwsbericht op intranet gezet. Er is een project in gang gezet voor verplichte training en bewustwording voor alle medewerkers van de gemeente Barneveld. Dit zal in 2025 verder vorm krijgen.

-9-

3.4 Verantwoording CISO Overzicht van uitgevoerde werkzaamheden in 2024: Bewustwording privacy en informatiebeveiliging

Zelfevaluatie BRP/PNIK Zelfevaluatie ENSIA

BIO SIEM/SOC

Informatie-beveiliginsbeleid NIS2 / Cbw

3.5

Samen met de PO zijn workshops voor medewerkers verzorgd. - Op verzoek zijn de CISO of PO bij teamoverleggen aanwezig geweest. - De CISO neemt periodiek deel aan afdelingsoverleggen binnen en buiten I&A. - Ter versterking van bewustwording is periodiek een nieuwsbericht op intranet gezet. Maandelijks krijgen alle nieuwe medewerkers een basistraining Privacy en Informatiebeveiliging. Jaarlijks draagt de gemeente verantwoording af over informatiebeveiliging rond BRP / Pnik. Jaarlijks draagt de gemeente verantwoording af over informatiebeveiliging door middel van ENSIA (Eenduidige Normatiek Single Information Audit). Hierin vallen onder andere BAG, BGT, DigiD, Suwinet. Daarbij worden DigiD, Suwinet en de ENSIA-verantwoording getoetst door een externe RE/RA auditor. Controleren en evalueren van de huidige set maatregelen. Er is structureel budget toegekend voor het extern uit laten voeren van een Security Operations Center (SOC). Een dienst hiervoor is aanbesteed en een Europese aanbesteding voor meerdere jaren wordt in 2025 uitgevoerd. In 2024 is een nieuw strategisch Informatiebeveiligingsbeleid vastgesteld door het college. Aan implementatie wordt gewerkt. Eind 2025 wordt de nieuwe Cyberbeveiligingswet van kracht. Implementatie van extra maatregelen (techinsch en organisatorisch) wordt voorbereid. -

Borging

Sinds 2021 is het borgingsdocument van de VNG jaarlijks gebruikt om te beoordelen of wat betreft privacy en security voldaan wordt aan de gestelde normenkaders, die voornamelijk uit de BIO (Baseline Informatieveiligheid Overheid) voortkomen. In oktober 2024 is een nieuwe applicatie aangeschaft waarin alle normenkaders opgenomen zijn die op de gemeente van toepassing (kunnen) zijn. Q4 2024 en Q1 2025 worden gebruikt om de controle op borging in die nieuwe applicatie te verwerken, zodat het resultaat daarvan en de op te pakken acties en verbeterpunten vanaf Q2 2025 opgepakt en uitgevoerd kunnen gaan worden. De basis die gebruikt wordt, is het resultaat van de laatstelijk uitgevoerde controle op de borging uit Q1 2024. Ook al moet de applicatie nu eenmalig ingericht worden, wil dat niet zeggen dat momenteel geen beeld is van de stand van zaken en welke zaken opgepakt moeten gaan worden om (nog) beter te voldoen aan de voor privacy en security gestelde normen. In het Jaarverslag FG 2025 worden de bevindingen en conclusies over de borging opgenomen.

Jaarverslag FG 2024

-10-

4. WERKZAAMHEDEN EN BEVINDINGEN 4.1 Privacybeleid Op 1 april 2018 is het Privacybeleid in werking getreden. Op 30 mei 2018 is de gemeenteraad hierover geïnformeerd. Dit beleid implementeert de uitgangspunten en verplichtingen uit de AVG. De uitgangspunten rechtmatigheid, behoorlijkheid, transparantie, doelbinding, subsidiariteit, proportionaliteit, dataminimalisatie en vertrouwelijkheid worden omgezet in alle werkprocessen waarbinnen persoonsgegevens worden verwerkt. Er is beleid gevormd op hoe om te gaan met de rechten van betrokkenen, meldplicht datalekken, de functies van FG, PO en CISO en de gegevensuitwisseling tussen verschillende domeinen en teams. Zowel in 2021, 2022 als in 2023 heeft een herziening plaatsgevonden van het privacybeleid, waarin bij de beleidsherziening in 2023 tevens de Wpg is opgenomen. Het nieuwe (herziene) privacybeleid is op 18 april 2023 vastgesteld door het college en is op 1 mei 2023 in werking getreden. De raad is hierover geïnformeerd en ook op de website van de Gemeente Barneveld is hier aandacht aan besteed. In 2024 is het privacybeleid beoordeeld, waarbij is geconcludeerd dat geen actualisatie nodig was in 2024. 4.2 Thuiswerken In de jaren 2020 tot en met 2022 waren er landelijk maatregelen afgekondigd ter bestrijding van Covid-19.

Het thuiswerken heeft vanaf dat moment een enorme vlucht genomen en sinds 2023 wordt het hybride werken (deels thuis, deels op kantoor werken) veel toegepast. Dat zal ook de komende jaren zo blijven, omdat gebleken is dat dit goed werkt. Een belangrijk punt daarbij is dat medewerkers goed in hun agenda bijhouden waar en wanneer ze bereikbaar zijn. Daarbij is ook in 2024 regelmatig aandacht gevraagd voor de risico’s die thuiswerken met zich meebrengt, aangezien thuiswerken niet alleen nieuwe mogelijkheden biedt, maar ook risico’s met zich meebrengt op het gebied van privacy en informatiebeveiliging. Er is benadrukt dat de regels van privacy en informatiebeveiliging in acht genomen moeten worden. Vanuit privacy is aangegeven dat het ongewenst en ook strijdig met het privacybeleid is dat medewerkers fysieke documenten meenemen met daarop persoonsgegevens of andere vertrouwelijke gegevens. Via de beveiligde netwerkomgeving zijn alle documenten beschikbaar. Vanuit informatieveiligheid/-beveiliging zijn de regels voor thuiswerken nogmaals onder de aandacht gebracht, ook middels de verplichte workshops. Daarbij zijn medewerkers erop geattendeerd dat ze met vertrouwelijke gegevens en informatie werken. De thuiswerkregeling is in 2023 geactualiseerd en onder de aandacht gebracht van alle medewerkers. 4.3

Wpg- audit

4.3.1 Audit over 2021 tot en met 2023 Op grond van de Wpg moet elk jaar een interne audit worden uitgevoerd en één keer per vier jaar een externe audit. In 2022 zijn er zowel een interne als een externe audit uitgevoerd voor de Wpg over het jaar 2021. De audits hebben betrekking op de verwerking van politiegegevens door de buitengewone opsporingsambtenaren openbare ruimte en de leerplichtambtenaren. Uit de audits zijn een aantal verbeterpunten naar voren gekomen, die binnen een jaar doorgevoerd moeten worden. Hiervoor is begin 2023 een verbeterplan opgesteld en de actiepunten daarin zijn opgepakt en uitgevoerd. De externe audit over de hercontrole heeft eind 2023 plaatsgevonden en had een positief resultaat. In 2024 zijn de nog openstaande zaken verder opgepakt.

Jaarverslag FG 2024

-11-

4.3.2 Audit over 2024 In 2024 zijn controles uitgevoerd op autorisaties, loggingen, het monitoren van loggingen en het verwerken van politiegegevens. De verwerkingen zijn steekproefsgewijs uitgevoerd. Uitgangspunten autorisatie controle Alleen daartoe bevoegde (en beëdigde) medewerkers mogen politiegegevens verwerken in de applicatie, waarbij een onderscheid is gemaakt in rollen en rechten tussen de verschillende functionarissen. Dit is van belang voor een rechtmatige verwerking en om het vier-ogenprincipe op een correcte wijze in de applicatie uit te kunnen voeren. Dit wordt bij de controles beoordeeld. Uitgangspunten logging controle In tegenstelling tot de AVG kent de Wpg een verplichte logging. Dit volgt uit de EU-Richtlijn 2016/680. Het betreffende artikel is echter nog niet geïmplementeerd in de Wpg. De achterliggende gedachte is dat in het strafrecht de gegevens doorgaans gevoelig zijn en dat het grote gevolgen kan hebben als deze gegevens in de verkeerde handen terecht komen. Logging houdt dan ook in dat wordt vastgelegd wie toegang heeft gehad tot bestanden met politiegegevens en dat dit regelmatig wordt gecontroleerd. Zo kan worden nagegaan of iemand toegang heeft gehad tot politiegegevens, terwijl diegene daartoe onbevoegd was.

De verwerkingsverantwoordelijke (werkgever van de boa) (en de verwerker) moeten het verzamelen, wijzigen, raadplegen, verstrekken en het vernietigen van politiegegevens vastleggen. Uitgangspunten steekproef controle verwerking politiegegevens In de Wet politiegegevens (Wpg) is bepaald dat jaarlijks een controle moet plaatsvinden op de verwerking van politiegegevens. De wijze van controle en de criteria aan de hand waarvan de controle plaatsvindt, zijn bepaald in het Controleprotocol. Er worden jaarlijks veel processen-verbaal en halt-verwijzingen uitgeschreven. Om te kunnen beoordelen of dat op een zorgvuldige en rechtmatige wijze gebeurt, vindt door middel van een steekproef een controle plaats op het vastgestelde percentage te beoordelen zaken. In 2024 en voorgaande jaren is dat eenmaal in het jaar gedaan, maar vanaf 2025 zal dat voor domein I tweemaal per jaar plaats gaan vinden. Voor domein III blijft dat eenmaal per jaar, waarbij zaken uit het afgeronde voorgaande schooljaar worden beoordeeld. 4.3.2.1. Domein I (Openbare ruimte) controles februari, april, mei 2024 Controle autorisaties Op 1 februari 2024 is door Privacy Officer de periodieke controle op de autorisaties in Citycontrol uitgevoerd. Daarbij is de autorisatiematrix van 1 februari 2024 vergeleken met de actuele situatie in Citycontrol op 1 februari 2024. Daarbij is vastgesteld dat: 1.

De geïmplementeerde autorisaties komen overeen met de toegekende autorisaties; 2. De gebruikers in Citycontrol komen overeen met de gebruikers in de autorisatiematrix. 3. De aan de gebruikers toegekende rollen in de autorisatiematrix komen overeen met de toegekende autorisatie in Citycontrol. Er is geen opvolging omdat er geen bevindingen zijn geconstateerd. Loggingen applicatie CityControl In CityControl zijn alle Loggingen per zaak te zien, waarbij door vermelding van naam en tijd na te gaan is wie wat heeft gedaan. Daarbij is zichtbaar onder welk tabblad is gewerkt, maar niet wat daar is ingevoerd. Tevens is zichtbaar wat de zaakstatus is, als dit is aangepast.

Jaarverslag FG 2024

-12-

Uitgevoerde controle op de logging Uitgangspunt is dat de rechten en rollen van de verschillende medewerkers goed gescheiden zijn. Op 18 april 2024 is de controle op de logging uitgevoerd door de CISO, FG, BOA-coördinator en BOA/Bevoegd Functionaris op het HVC over de periode oktober 2023 tot en met april 2024. Tijdens de controle zijn met de BOA-coördinator en BOA/Bevoegd Functionaris de bevindingen van de vorige controle en welke opvolging hieraan is gegeven besproken. Daarnaast heeft de Bevoegd Functionaris inzicht gegeven in CityControl: • De rollen en bevoegdheden per collega; • Rol AdminProfile; • Aantal zaken over de periode oktober 2023 tot en met april 2024. Bevindingen Er zijn en aantal bevindingen naar voren gekomen uit de controle waarop aanbevelingen gedaan zijn voor verbetering om nog beter aan de Wpg te voldoen. Het controlemoment daarna zal de stand van zaken daarvan aan de orde komen. Het gaat om de volgende bevindingen: 1. De rollen en bevoegdheden per collega: werkwijze in- en uitdiensttreding en langdurige afwezigheid opnemen in werkprocesbeschrijving 2. Rol AdminProfile: leverancier geen toegang geven tot zaken 3. Casuïstiek bespreken in team overleggen: wanneer is sprake van AVG en wanneer van Wpg 4. Gebruik maken van 2f authenticatie bij inloggen op pc en handheld 5. Verwerkingen handheld zijn niet zichtbaar in loggingen 4.3.2.2.

Domein III (Leerplicht) februari, april, mei 2024 Controle autorisaties Op 15 februari 2024 is door Privacy Officer de periodieke controle op de autorisaties in Carel uitgevoerd. Daarbij is de autorisatiematrix van 28 juni 2023 vergeleken met de actuele situatie in Carel op 15 februari 2024. Daarbij is vastgesteld dat: 1. De geïmplementeerde autorisaties komen overeen met de toegekende autorisaties; 2. De gebruikers in Carel komen overeen met de gebruikers in de autorisatiematrix. In de autorisatiematrix was echter nog een persoon opgenomen die niet meer in dienst was. 3. De aan de gebruikers toegekende rollen in de autorisatiematrix komen overeen met de toegekende autorisatie in Carel. Opvolging Naar aanleiding van de bevindingen zijn op 15 februari 2024 de volgende acties uitgevoerd: Persoon is verwijderd uit autorisatiematrix en uit de applicatie. Aangezien Carel alleen toegankelijk is binnen de VDI-omgeving is er geen onrechtmatige toegang geweest tot Carel, omdat deze persoon niet meer in de gemeentelijke VDI-omgeving kon. Daarnaast is onderzocht waarom de betreffende persoon nog op in de autorisatiematrix stond vermeld. Deze wijzigingen zijn doorgevoerd in de autorisatiematrix. Controle logging De Gemeente Barneveld gebruikt sinds 2021 de applicatie Carel. In Carel worden standaard kolomnamen bij de Wpg logging gebruikt. Dit betreft één logbestand dat is gegenereerd.

Onderstaande kolommen zijn zichtbaar in het logbestand. Gebruiker

Tijdstip

Toegangsreden

Jaarverslag FG 2024

Verstrekking

Verstrekking aan

Persoonsnummer

-13-

Casus omschrijving

Begindatum casus

Documentnaam

Op 22 mei 2024 is door FG en de interim FG de logging over Q4 2023/Q1 2024 beoordeeld. Daarnaast zijn met de leerplichtambtenaar aan de hand van een steekproef een aantal loggingen gecontroleerd. Tevens is bij deze controle inhoudelijk beoordeeld of de Haltverwijzingen en Processen- verbaal voldoen aan de vereisten van juistheid, volledigheid, doelbinding, noodzaak en rechtmatigheid. Bevindingen Gebleken is dat alleen door bevoegde medewerkers Wpg zaken worden behandeld en verwerkt in de applicatie Carel. Geconstateerd is dat er geen raadplegingen of andere verwerkingen gedaan zijn buiten kantoortijden. De eerder genoemde kolommen geven de meest noodzakelijk zaken aan waar bij een logging op gemonitord kan worden. Omdat het om Wpg-gegevens gaat, kan slechts sprake zijn van drie soorten zaken, namelijk Relatief verzuim, Halt-verwijzing en Proces-verbaal. Er zijn geen andere zaken in het logbestand zichtbaar. Tijdens de controle is ook geconstateerd dat aan de vereisten van juistheid, volledigheid, doelbinding, noodzaak en rechtmatigheid wordt voldaan. Conclusie Geconcludeerd kan worden dat – voor zover dat aan de hand van de gegevens inzichtelijk is – op de juiste wijze gewerkt wordt in de applicatie Carel en dat de vier (en vanaf Q2 2024 vijf) daartoe bevoegde medewerkers die daarin Wpg-zaken behandelen daar voldoende bewust en zorgvuldig mee omgaan.

Op een enkele raadpleegopmerking na wordt hier zakelijk mee omgegaan. De kolommen waarop gemonitord wordt, zijn voldoende om een goede beoordeling te kunnen maken. Meer of minder kolommen zijn niet nodig voor de monitoring. 4.3.2.3. Domein I (Openbare ruimte) oktober, november 2024 Controle autorisaties Op 14 oktober 2024 is door privacy officer met BOA/bevoegd functionaris de periodieke controle op de autorisaties in de applicatie Citycontrol uitgevoerd. Daarbij is de autorisatiematrix van 14 oktober 2024 vergeleken met de actuele situatie in Citycontrol op 14 oktober 2024. Daarbij is vastgesteld dat: 1. De geïmplementeerde autorisaties komen overeen met de toegekende autorisaties; 2. De gebruikers in Citycontrol komen overeen met de gebruikers in de autorisatiematrix. 3. In de autorisatiematrix en de applicatie was aan één gebruiker nog de oude rol van BOAcoördinator toegekend, terwijl de functie van deze medewerker op woensdag 4 september 2024 is gewijzigd naar BOA. In beide rollen zijn de raadpleegrechten gelijk, echter heeft een BOA-coördinator ook beheerrechten. Opvolging Naar aanleiding van de bevindingen zijn op 14 oktober 2024 de volgende acties uitgevoerd: aanpassing rol gebruiker naar BOA. De hiervoor genoemde wijzigingen zijn doorgevoerd in de autorisatiematrix.

Loggingen applicatie CityControl In CityControl zijn alle Loggingen per zaak te zien, waarbij door vermelding van naam en tijd na te gaan is wie wat heeft gedaan. Daarbij is zichtbaar onder welk tabblad is gewerkt, maar niet wat daar is ingevoerd. Tevens is zichtbaar wat de zaakstatus is, als dit is aangepast. Uitgevoerde controle op de logging Uitgangspunt is dat de rechten en rollen van de verschillende medewerkers goed gescheiden zijn. Op 27 november 2024 is de controle op de logging uitgevoerd door de CISO, FG, BOAcoördinator en BOA/Bevoegd Functionaris op het HVC over de periode van 1 april tot en met 30 september 2024. Tijdens de controle zijn met de BOA-coördinator en BOA/Bevoegd Functionaris

Jaarverslag FG 2024

-14-

de bevindingen van de vorige controle en welke opvolging hieraan is gegeven besproken. Daarnaast heeft de Bevoegd Functionaris inzicht gegeven in CityControl: • De rollen en bevoegdheden per collega; • Rol AdminProfile; • Aantal zaken over de periode van 1 april tot en met 30 september 2024. Stand van zaken bevindingen 1. De concept werkinstructies/werkprocessen zijn besproken. Het streven is om dit 1 februari 2025 afgerond te hebben en ermee te werken. 2. Definitief geen toegang. Afgerond. 3. Afgesproken is dat vanaf 1 januari 2025 3 keer per jaar (dus iedere 4 maanden) in een teamoverleg casuïstiek besproken wordt over wanneer er sprake is van AVG of Wpg. 4. Is ingesteld. Afgerond. 5. Logging / monitoring is mogelijk op verwerkingen in de backoffice (PC). Ook kunnen er rapportages gedraaid worden. Dit is nog niet mogelijk op frontoffice verwerkingen (handheld). Dit wordt nogmaals nagevraagd bij de leverancier (staat nog niet op hun planning). 6. Nieuwe bevinding: Er wordt over nagedacht om ondermijningszaken extra af te schermen. In Q1 2025 zal daar een besluit over genomen worden. Zodra dit in de applicatie is ingericht wordt de nieuwe werkwijze in een teamoverleg besproken. Controle verwerkingen politiegegevens Ieder proces-verbaal wordt door de boa zelf nagelopen op juistheid, volledigheid en rechtmatigheid.

Daarnaast controleert de BOA-coördinator maandelijks 10 processen-verbaal. Eén keer per jaar controleert de FG 50 random gekozen processen-verbaal, uitgaande van 1000 processen-verbaal per jaar. Daarbij wordt een standaard vragenlijst gebruikt. Een deel van de vragenlijst gaat over de persoonsgegevens en een ander deel van de vragenlijst gaat over rechtmatigheid, noodzaak en doelbinding. Controleperiode Q4 2023 tot en met Q3 2024: van 1 oktober 2023 tot en met 30 september 2024. Omvang Steekproef In het controleprotocol is de omvang van de steekproef bepaald op 50 processen-verbaal, waarbij als uitgangspunt ongeveer 1000 processen-verbaal per jaar geldt. Dat is 5%. Nu over de controleperiode 793 processen-verbaal zijn uitgeschreven, is er voor gekozen om 40 processen-verbaal in de steekproef mee te nemen (uitgaande van bijna 800 processen-verbaal over een jaar tijd). De steekproef is random geselecteerd. De beoordeling is uitgevoerd op 27 november 2024, in bijzijn van BOA/Bevoegd Functionaris en BOA coördinator/Bevoegd Functionaris, omdat toegang tot CityControl nodig was om de documenten te kunnen inzien/controleren. Bevindingen Doordat foutieve parkeersituaties snel en vaak aangetroffen worden tijdens surveillancerondes komen dat soort bekeuringen/processen-verbaal het meest voor.

Tijdens de controles van de processen-verbaal zijn geen onrechtmatige verwerkingen aangetroffen. In nagenoeg alle zaken zijn alleen de noodzakelijke gegevens verwerkt. In veel gevallen waren er wel voertuiggegevens, kenteken, foto, locatie en aangetroffen overtreden situatie bekend, maar was er geen persoon aangetroffen, waardoor er geen persoonsgegevens verwerkt konden worden. Het CJIB heeft echter voldoende aan de hiervoor genoemde gegevens, waarmee het CJIB de kenteken/voertuighouder eraan kan koppelen en die persoon of dat bedrijf een bekeuring kan sturen.

Jaarverslag FG 2024

-15-

In de meeste zaken wordt een korte maar duidelijke omschrijving van de aangetroffen situatie vermeld en is sprake van een vrij kort of summier verhoor, indien er een persoon is aangetroffen of staande gehouden. 4.3.2.4. Domein III (Leerplicht) september, november 2024 Controle autorisaties Op 19 september 2024 is door Privacy Officer samen met Functioneel beheerder de periodieke controle op de autorisaties in Carel uitgevoerd. Daarbij is de autorisatiematrix van 19 september 2024 vergeleken met de actuele situatie in Carel op 19 september 2024. Daarbij is vastgesteld dat: 1. De geïmplementeerde autorisaties komen overeen met de toegekende autorisaties; 2. De gebruikers in Carel komen overeen met de gebruikers in de autorisatiematrix. 3. De aan de gebruikers toegekende rollen in de autorisatiematrix komen overeen met de toegekende autorisatie in Carel. Er is geen opvolging omdat er geen bevindingen zijn geconstateerd. Controle logging Op 13 november 2024 is door FG samen met de CISO de logging over Q2 en Q3 2024 beoordeeld. Vervolgens is op 14 november 2024 door de FG met de leerplichtambtenaar een aantal loggingen over Q2 en Q3 uit 2024 gecontroleerd naar aanleiding van wat vragen die voortgekomen zijn uit de controle door FG en CISO.

Daarnaast is op 14 november 2024 met de leerplichtambtenaar aan de hand van een steekproef inhoudelijk beoordeeld of 10% van de Processen- verbaal over schooljaar 2023/2024 voldoen aan de vereisten van juistheid, volledigheid, doelbinding, noodzaak en rechtmatigheid. Over schooljaar 2023/2024 zijn zes willekeurige gekozen Haltverwijzingen opgenomen en deze zijn op 18 en 26 november 2024 inhoudelijk beoordeeld op het voldoen aan de vereisten van juistheid, volledigheid, doelbinding, noodzaak en rechtmatigheid. Bevindingen Alleen bevoegde medewerkers hebben Wpg zaken behandeld en verwerkt in de applicatie Carel. Geconstateerd is dat er geen raadplegingen of andere verwerkingen gedaan zijn buiten kantoortijden. De hiervoor in paragraaf 4.3.2.2. genoemde kolommen geven de meest noodzakelijk zaken aan waar bij een logging op gemonitord kan worden. Omdat het om Wpggegevens gaat, kan slechts sprake zijn van drie soorten zaken, namelijk Relatief verzuim, Haltverwijzing en Proces-verbaal. De reden van een raadpleging is ook steeds vermeld. In het auditgesprek op 14 november 2024 is aangegeven dat er gewerkt wordt aan formats en veel gebruikte formuleringen/tekstblokken, zodat er dan meer uniform gewerkt kan worden. Tijdens de controle is ook geconstateerd dat aan de vereisten van juistheid, volledigheid, doelbinding, noodzaak en rechtmatigheid wordt voldaan.

Bij de vorige controle is geconstateerd dat wanneer er meer terugkoppeling aan Halt gaat worden gevraagd bij een negatief resultaat het wenselijk is dit ook vast te leggen in de werkinstructie (met daarbij een onderbouwing welke informatie wordt gevraagd en wat hiervan de noodzaak is). Tijdens het auditgesprek op 14 november 2024 is ook dit punt aan de orde gekomen, maar hierbij is geen voortgang te melden en wordt als actiepunt genoteerd voor 2025. Conclusie Geconcludeerd kan worden dat – voor zover dat aan de hand van de gegevens inzichtelijk is – op de juiste wijze gewerkt wordt in de applicatie Carel en dat de vijf daartoe bevoegde medewerkers die daarin Wpg-zaken behandelen daar voldoende bewust en zorgvuldig mee omgaan. Hier wordt zakelijk mee omgegaan. De kolommen waarop gemonitord wordt, zijn voldoende om een goede beoordeling te kunnen maken. Meer of minder kolommen zijn niet nodig voor de monitoring.

Jaarverslag FG 2024

-16-

Controle verwerking politiegegevens De interne controle op de naleving van de Leerplichtwet 1969, in Barneveld, ziet op twee handhavingsmaatregelen: • Verwijzing naar Bureau Halt (Haltafdoening), gericht op de jongere tussen 12 en 18 jaar; • Proces-verbaal voor openbaar ministerie, gericht op de jongere tussen 12 en 18 jaar en/of ouders-verzorgers; Op deze handhavingsmaatregelen vindt toetsing plaats. Deze toetsing kent een ‘drietrapsmodel’. De eerste toetsing wordt uitgevoerd door de leerplichtambtenaar (tevens Boa), de tweede toetsing wordt uitgevoerd door een collega-leerplichtambtenaar (4-ogenprincipe) en in de derde toetsing wordt de voorgaande toetsing, steekproefsgewijs getoetst door de functionaris gegevensbescherming. Dit wordt gedaan aan de hand van een vragenformulier, waarin de vragen verduidelijkt en verbeterd zijn naar aanleiding van de vorige controle. De toetsing richt zich op de volgende elementen en aspecten: - Persoonsgegevens - Verzuim - Handhaving - Haltafdoening - Rechtmatigheid, noodzaak en doelbinding Controleperiode Schooljaar 2023/2024 Omvang Steekproef In het controleprotocol is de omvang van de steekproef bepaald op 10%. Over schooljaar 2023/2024 zijn omstreeks 40 Halt-verwijzingen in het schooljaar 2023/2024 uitgeschreven. In de controle zijn daarvan zes willekeurige dossiernummers uitgekozen en opgenomen.

In schooljaar 2023/2024 zijn 26 processen-verbaal uitgeschreven, waarvan er drie in de controle zijn opgenomen. De steekproef is random geselecteerd. Controledatum De beoordeling van de Halt-verwijzingen is uitgevoerd op 18 en 26 november 2024, nadat de geselecteerde dossiers via Filecap beveiligd waren toegezonden door de BOA/leerplichtambtenaar aan de Functionaris gegevensbescherming. De beoordeling van de Processen-verbaal is uitgevoerd 14 november 2024, in bijzijn van BOA/leerplichtambtenaar, omdat toegang tot Carel nodig was om de documenten te kunnen inzien/controleren. Bevindingen Verificatie identiteit Tijdens de uitvoering van de controle is gebleken dat de uit de vorige controle voortgekomen aanbevelingen over de Verificatie van de identiteit van de verdachte of jongere moeten worden aangepast. Uit het auditgesprek van 14 november 2024 blijkt dat documentnummer en geldigheid document niet worden genoteerd, omdat dit niet toegestaan wordt door OM. Alleen soort document mag worden genoteerd. Dit zal in het formulier aangepast worden.

Jaarverslag FG 2024

-17-

Indiening halt-verwijzing Bij Halt-verwijzingen blijkt uit het formulier wel dat aan de jongere en diens ouder/voogd uitgelegd is wat een Halt-traject inhoudt en wat de consequenties zijn bij het niet positief afsluiten van een traject of in geval van recidive. Er blijkt echter niet uit of de Halt-verwijzing ingediend is bij Openbaar Ministerie en/of Bureau Halt Oost-Nederland. In het formulier Halt-verwijzing wordt deze vraag opgenomen als standaard onderdeel, zodat duidelijk is of deze vervolgstap is uitgevoerd. Vanaf 6 januari 2025 wordt het aangepaste formulier voor Halt-verwijzingen gebruikt. 4.3.2.5. Domein I en III de technische en organisatorische maatregelen Wpg De in november/december geplande jaarlijkse controle op de technische en organisatorische maatregelen Wpg is uitgesteld naar maart 2025, omdat de Third Party Memoranda (TPM’s) nog opgevraagd moesten worden en de leveranciers daarvoor een auditor moet inschakelen. De verwachting is dat de TPM voor Carel (Domein III) in februari 2025 beschikbaar komt. De TPM voor Sigmax (Domein I) is in januari 2025 ontvangen. 4.4 Register van verwerkingen In 2023 is het register van verwerkingen geactualiseerd. Bij alle verwerkingen die in het register zijn opgenomen, worden de bewaartermijnen gehanteerd zoals deze door de VNG zijn vastgesteld in de “Selectielijst 2020”.

In 2022 zijn nieuwe verwerkingen in het register opgenomen en gewijzigde verwerkingen zijn aangepast. Ook is de nieuwe organisatiestructuur in het register opgenomen. Daarnaast zijn in 2022 in het register verwerkingen aangepast dan wel toegevoegd, om een duidelijk onderscheid te maken tussen verwerkingen op grond van de AVG en verwerkingen op grond van de Wpg. Deze Wpg verwerkingen zijn in 2023 aan de hand van het verbeterplan Wpg verder uitgewerkt of nader toegelicht. Bij de controles in november 2024 is gebleken dat het register geactualiseerd moet worden. Dat wordt in Q1 2025 opgepakt. 4.5

Meldingen datalekken

4.5.1 Cijfers AVG In totaal zijn er in 2024 33 AVG beveiligingsincidenten geregistreerd bij de Gemeente Barneveld. Hiervan zijn vier incidenten gemeld bij de AP. De AP registreert alle meldingen die door gemeenten gedaan worden. De AP reageert alleen in gevallen dat zij ‘nader onderzoek’ willen doen naar een door de gemeente gedane melding. In 2024 is daarvan geen sprake geweest. Ook heeft de AP geen waarschuwing gedaan of een dwangsom opgelegd aan de Gemeente Barneveld. In een aantal gevallen is de betrokkene wiens gegevens zijn gelekt op de hoogte gesteld van het datalek. Uit een analyse van de datalekken is gebleken dat het van belang is om blijvend aandacht te besteden aan bewustwording over omgang met bedrijfsmiddelen en/of verwerken van persoonsgegevens. Waar nodig zijn er technische maatregelen getroffen om de gebruikers te ondersteunen. 4.5.2 Cijfers Wpg In 2024 zijn er geen Wpg beveiligingsincidenten gemeld bij de Gemeente Barneveld. De procedure meldplicht datalekken is in 2023 geactualiseerd en de Wpg is daar nu ook in opgenomen, omdat de procedure voorheen alleen zag op de AVG.

Jaarverslag FG 2024

-18-

4.6

Rechten van betrokkenen

4.6.1 AVG verzoeken Er zijn in 2024 4 verzoeken binnengekomen. Al deze verzoeken waren verzoeken tot inzage. De meeste verzoeken zijn toegewezen en hebben betrekking op het Sociaal Domein en publiekszaken. 4.6.2 Wpg verzoeken Er zijn in 2024 geen verzoeken gedaan op grond van de Wpg waarin betrokkenen een beroep op hun rechten deden. 4.7 Bewaartermijnen In 2019 zijn digitale bezemdagen georganiseerd in verschillende teams en zijn teams actief gewezen op het opschonen van mappen op netwerkschrijven en in e-mailboxen. Door de coronapandemie is er door de meeste medewerkers veel thuis gewerkt, waardoor het goed beveiligd thuiswerken meer prioriteit heeft gekregen dan het digitaal bezemen. Eind 2021 is het digitaal bezemen weer door enkele teams opgepakt en het was de bedoeling om dit in 2023 en 2024 voort te zetten, maar dat is niet gedaan. Het digitaal bezemen schuift daarom door naar 2025. Inmiddels is iedereen gewend geraakt aan het thuiswerken en weet men met welke privacy- en informatiebeveiligingsaspecten rekening gehouden moet worden. 4.8 Verwerkers en verwerkersovereenkomsten Van alle leveranciers waarmee een verwerkersovereenkomst is afgesloten is een actueel overzicht. Bestaande verwerkers hebben niet gerapporteerd over incidenten.

Verder weten collega’s ook de Privacy Officer te vinden als ze twijfelen of een verwerkersovereenkomst moet worden afgesloten en wordt een af te sluiten verwerkersovereenkomst ook altijd voorgelegd aan de Privacy Officer voor een inhoudelijke check. Bij het afsluiten van verwerkersovereenkomsten met leveranciers wordt standaard de model verwerkersovereenkomst gehanteerd die verplicht is gesteld door de VNG/IBD. Dit is in 2024 bij alle verwerkersovereenkomsten gebeurd. Wel is bij een verwerkersovereenkomst artikel 4.2. aangepast naar het maximaal 1 keer per jaar verlenen van medewerking aan een audit en dat dit 4 weken vooraf gemeld wordt. Daarop is akkoord gegeven, tenzij sprake is van bijzondere omstandigheden zoals bijvoorbeeld in geval van een hercontrole op een eerder uitgevoerde audit. In een andere verwerkersovereenkomst is niet het volledige model VNG gebruikt en zijn de artikelen 7 en 8 vanwege het ontbreken van een hoofdovereenkomst aangepast. Er is in dat geval wel een afsprakenkader waaraan gerefereerd wordt. Na overleg is deze aanpassing goedgekeurd. 4.9 Privacy in het Sociaal Domein Tussen de sector Samenleving, voornamelijk de juristen, de beleidsmedewerkers en de informatieadviseur, en de Privacy Officer is een goede samenwerking ontstaan. Indien nodig wordt tijdig de Privacy Officer geraadpleegd en om advies gevraagd.

Er is in 2024 een externe training verzorgd over gegevensuitwisseling in het sociaal domein. 4.10 Informatieveiligheid In 2024 heeft de Gemeente Barneveld nieuw strategisch informatiebeveiligingsbeleid vastgesteld dat past bij de huidige wet- en regelgeving. In het beleid is de governance rond informatiebeveiliging geregeld en is vastgelegd wat de doelen van informatiebeveiliging zijn. Aan implementatie van het beleid wordt de komende jaren gewerkt.

Jaarverslag FG 2024

-19-

Ook is in 2024 gewerkt aan voorbereiding op de komst van de Cyberbeveiligingswet, de Nederlandse implementatie van de Europese NIS2-richtlijn. De CISO heeft de jaarlijkse verantwoordingen in het kader van BAG, BGT, DigiD, Suwinet, ENSIA, BRP en PNIK opgeleverd. Daarnaast zijn er tal van maatregelen geëvalueerd (en eventueel bijgestuurd). De CISO acteert op alle lagen van de Gemeente Barneveld (Strategisch, Tactisch en Operationeel). De CISO stelt zowel beleidsstukken op als dat de CISO langs verschillende teams gaat voor bewustwordingstrainingen. 4.11 Data Protection Impact Assessments In 2024 zijn er DPIA’s voor de onderstaande processen uitgevoerd: 1

Pgax

2 3

Anonimiseren van gegevens Woo Reprografische diensten

4

SOC

5 6

Schuldhulpverlening Schuldhulpverlening

7

Gehandicaptenparkeerkaart

Processen Pgax (verwarde personen/signalen ondermijning) Anonimiseren van gegevens Woo Reprografische diensten (uitbesteding drukwerk) Schuldhulpverlening Vroegsignalering schuldhulp voorafgaand Gehandicaptenparkeerkaart

Nieuwe/gewijzigde verwerking Nieuwe/gewijzigde verwerking Nieuwe/gewijzigde verwerking Nieuwe/gewijzigde verwerking Periodieke herziening Periodieke herziening Nieuwe/gewijzigde herziening

In 2025 zullen er in ieder geval DPIA’s voor de onderstaande processen worden uitgevoerd, waarbij dit voor de meeste processen een herziening en verdieping van de DPIA uit 2021 of 2022 betreft: 1

Participatiewet BBZ

Participatiewet BBZ

Periodieke herziening

2

Wet zorg en dwang en Wet verplichte ggz

Wet zorg en dwang en Wet verplichte ggz

3

Tijdelijk huisverbod

Tijdelijk huisverbod

4

Kwaliteitsmonitoring KCC

Kwaliteitsmonitoring KCC

5

Camera's gemeentelijke gebouwen Sociaal domein - Jeugd, Wmo en Regie Ondermijning- RIEC Wet Damocles

Camera's gemeentelijke gebouwen Aanvullende DPIA applicatie Jeugd/Wmo/Regie Ondermijning Uitvoering Wet Damocles

Nieuwe/gewijzigde verwerking (2 en 3 gelijktijdig oppakken vanwege samenhang) Nieuwe/gewijzigde verwerking (2 en 3 gelijktijdig oppakken vanwege samenhang) Nieuwe/gewijzigde verwerking Periodieke herziening

6 7 8

Jaarverslag FG 2024

-20-

Nieuwe/gewijzigde verwerking Periodieke herziening Periodieke herziening

9 10

Personeels- en salarisadministratie Belastingen

Personeels- en salarisadministratie Heffingen- en invorderingsadministratie Kwijtschelding gemeentelijke belastingen; nieuwe applicatie in 2025 of 2026

Periodieke herziening Periodieke herziening

De DPIA’s vonden plaats aan de hand van een vragenlijst. Deze vragenlijst is deels gebaseerd op de vragenlijst van de beroepsvereniging voor IT-auditors NOREA en door de privacy officer aangepast en verder aangevuld. Hierin wordt gevraagd naar de verwerkingsverantwoordelijke en verwerkers(overeenkomsten), nieuwe technieken, noodzaak van gegevensverwerking, aard van de persoonsgegevens (bijzonder of gevoelig), gegevensuitwisseling intern en extern, doelbinding, grondslag, transparantie, actualiteit, integriteit en beschikbaarheid van persoonsgegevens, rechten van betrokkenen, bewaartermijnen en beveiliging. Per proces wordt een rapportage opgesteld met bevindingen, conclusies en aanbevelingen. Van de in 2023 of eerder uitgevoerde DPIA’s is in januari 2024 bevestigd dat de aanbevolen maatregelen opgepakt en uitgevoerd zijn en daarmee afgerond zijn. Deze hoeven nu niet meer toegelicht te worden, zodat daarvoor verwezen wordt naar het jaarverslag over 2023. Uit de in 2024 uitgevoerde DPIA’s zijn maatregelen en aanbevelingen voortgekomen. Er zijn namelijk wat privacyrisico’s geconstateerd. Dat houdt niet in dat er onzorgvuldig gewerkt wordt of dat medewerkers zich niet voldoende bewust zijn van het belang van een zorgvuldige verwerking van persoonsgegevens, maar ziet meer op het formeel vastleggen van werkprocesbeschrijvingen en werkinstructies.

Ook komen er regelmatig technische/ict-aspecten naar voren die niet direct opgelost kunnen worden omdat een applicatie daarvoor niet voldoende toegerust. Is Overleg met de leverancier en aanpassing van de applicatie of een aanbestedingen traject voor het aanschaffen van een upgrade of nieuwe applicatie kost tijd en daardoor is de onderstaande lijst langer en komt wellicht wat zorgwekkend over, maar er wordt nauw op toegezien dat er – veelal met tussentijdse tijdelijke aanpassingen of handmatige oplossingen – toch AVG-proof gewerkt wordt. In de in 2024 uitgevoerde DPIA’s komen – samengevat – de volgende risico’s naar voren: - Er worden teveel (persoons)gegevens verwerkt.