B-4.10 Memo B&W Jaarverslag Functionaris Gegevensbescherming 2024 d.d. 11-2-25

In werkafspraken/instructies moet vastgelegd worden welke gegevens wel en niet verwerkt mogen worden in een belnotitie; - Ontbrekende of verouderde werkprocesbeschrijvingen moeten worden opgesteld en/of geactualiseerd; - Er vindt geen opschoning plaats van zaken in een vak applicatie, dus dat moet ingeregeld worden; - Er ontbreekt een autorisatieprocedure in een vak applicatie, dus die moet opgesteld en vervolgens ingeregeld worden; - Er ontbreken werkafspraken over loggingen en monitoring daarvan in Zaaksysteem en meerdere vak applicaties; - Het informeren van betrokkenen wordt niet gedaan en/of ontbreekt in een werkprocesbeschrijving, zodat dit op website en/of in werkprocesbeschrijving aangepast moet worden; - Bij meerdere zaaktypen in Zaaksyteem zijn toegangsrechten niet goed of te ruim ingeregeld, dus dat moet in afstemming tussen applicatiebeheerder en privacyofficer aangepast en (opnieuw) ingeregeld worden;

Jaarverslag FG 2024

-21-

-

-

-

Borging van autorisaties in Zaaksysteem is (nog) niet geregeld, dus daarvoor moet een tweejaarlijkse controle gaan plaatsvinden. Daarnaast moeten teamleiders iedere wijziging direct melden, zodat de autorisaties daarop aangepast worden; In Zaaksysteem is logging niet goed ontsloten, zodat daarvoor in afstemming met privacyofficer een portaal/dashboard ontwikkeld moet worden; Verouderde hoofdovereenkomst en/of verwerkersovereenkomst, zodat actualisering en opnieuw afsluiten daarvan nodig is; Versleutelen van data in vak applicatie nog niet geregeld, dus daarvoor moet contact opgenomen worden met leverancier; Whatsapp mag maar beperkt gebruikt worden en is niet bedoeld om (persoons)gegevens te delen met cliënten, dus moet onderzocht worden wanneer en waarvoor Whatsapp wel gebruikt kan/mag worden en dat moet vastgelegd worden in een werkinstructie; In vak applicatie is bewaartermijn niet goed ingeregeld, dus daarvoor moet contact opgenomen worden met leverancier; Persoonsgegevens en documenten komen via verschillende kanalen binnen. Daardoor is het niet altijd direct duidelijkheid op welke locatie (persoons)gegevens en documenten opgeslagen mogen/moeten worden. Dit moet opgenomen worden in werkprocesbeschrijving/werkinstructie; In testomgeving van verschillende applicaties worden persoonsgegevens gebruikt, zodat dit aangepast moet worden en testen anoniem uitgevoerd gaan worden.

Informeren van medewerkers gebeurt in een enkele verwerking onvoldoende, dus moet dat alsnog gedaan worden; Een verwerking ontbreekt in het register, zodat bedoelde verwerking daarin opgenomen moet worden; Technische tekortkomingen in een applicatie, waardoor gegevens onbedoeld kwijt raken of op de verkeerde plek worden opgeslagen, zodat de leverancier daarop aangesproken moet worden om dit op te lossen.

De volgende maatregelen zijn reeds genomen: - Een ontbrekend ISO-certificaat van een leverancier is ontvangen en goedgekeurd door de CISO, waarmee geborgd is dat leverancier voldoet aan normen die vanuit privacy en security gesteld worden; - Inregelen frequentie monitoring van loggingen; - Bij analyseren van belnotities worden geen persoonsgegevens meer gebruikt en deze worden ook niet meer opgenomen in de analyserapporten; - Functionaliteit om documenten en gegevens buiten de beveiligde netwerkomgeving te downloaden is uitgeschakeld; - Bewaartermijn van log gegevens is teruggebracht naar 1 jaar; - Bewaartermijn van 1 jaar voor klantcontacten is ingeregeld in Zaaksysteem; - Ontbrekende informatie op website om betrokkenen te informeren is geplaatst; - Google Messenger wordt niet meer gebruikt, maar daarvoor is Whatsapp via Unexus in de plaats gekomen, waarmee een contract is afgesloten; - Meerdere werkprocesbeschrijvingen zijn opgesteld en/of geactualiseerd; - In vak applicatie zijn rollen en rechten inmiddels goed ingeregeld; - verwerken van bijzondere persoonsgegevens is zonder grondslag niet toegestaan, zodat deze verwerking is beëindigd en in de werkprocesbeschrijving/werkinstructie is opgenomen in welke gevallen en op welke grondslag dit wel is toegestaan.

Ook zijn er afspraken gemaakt over de termijn waarop andere maatregelen worden genomen zoals bijvoorbeeld in het geval dat wijzigingen in de werkwijze/werkinstructies opgenomen moeten worden, het opnemen van contact met de leverancier om de bewaartermijnen goed in

Jaarverslag FG 2024

-22-

te regelen of het maken van afspraken met ketenpartners. Deze te nemen maatregelen kosten meer tijd, omdat er vaak meer interne en externe partijen bij betrokken zijn. 4.12 Bewustwording Net als in voorgaande jaren, zijn er in 2024 workshops over Privacy en Informatiebeveiliging gehouden. Deze workshop is verplicht voor alle nieuwe medewerkers en wordt sinds 2023 in kleinere groepen gehouden voor een betere interactie. Belangrijk voor de bewustwording is ook de bekendheid en benaderbaarheid van de PO om als vraagbaak te fungeren. Hiervan is en wordt veel gebruik gemaakt. In de loop van 2025 zal een tooling en een programma gestart worden om het bewustzijn van de medewerkers op gebied van privacy en security te vergroten. 4.13 Overige zaken Er zijn geen overige zaken te melden over 2024. 4.14 Te verwachten ontwikkelingen wet- en regelgeving Hieronder zijn wetswijzigingen, waarin gegevensverwerking voorkomt en die in 2024 of 2025 in ontwikkeling zijn of in werking treden. 4.14.1 Europese Artificial Intelligence verordening Deze is op 2 augustus 2024 in werking getreden en net als bij de AVG hebben de EU-lidstaten 2 jaar de tijd om aan deze verordening te voldoen. Dat gaat in verschillende fasen met voor iedere fase een gestelde datum waarop aan de verplichtingen/normen van die fase voldaan moet zijn. De gemeente is te zien als gebruiker van AI-systemen.

AI-verordening De AI-verordening is een Europese wet die regels stelt voor de ontwikkeling en het gebruik van AI-systemen. Ook geeft de wet rechten aan burgers die in aanraking komen met AI-systemen. Het doel van de wet is dat AI-systemen die organisaties (binnen de EU) gebruiken, veilig zijn en fundamentele rechten respecteren. Het maakt niet uit of die AI-systemen binnen of buiten de EU zijn ontwikkeld. AI-systemen worden onderverdeeld in verschillende risicocategorieën. Afhankelijk van de categorie waarin een AI-systeem valt, gelden zwaardere, minder zware of geen regels. Voor organisaties die AI ontwikkelen en aanbieden wordt duidelijk aan welke eisen hun systemen in Europa moeten voldoen. Organisaties die AI inzetten, kunnen straks door de AIverordening erop vertrouwen dat deze betrouwbaar en van een hoge kwaliteit is. Mensen die in aanraking komen met AI worden beter beschermd door de eisen en rechten uit de AIverordening. 1. Voor wie? De AI-verordening gaat gelden voor ontwikkelaars van AI-modellen en -systemen en voor organisaties en bedrijven die de AI-systemen gebruiken. Er gelden met name verplichtingen voor ontwikkelaars en gebruikers van hoog-risico AI-systemen. Voor ontwikkelaars van AIsystemen waarmee je als burgers direct in aanraking komt, zoals chatbots en deepfakes, gelden verplichtingen om transparantie te bevorderen.

Ook worden enkele toepassingen van AI verboden. Tenslotte gelden er eisen aan de makers van grote taalmodellen en andere modellen die op allerlei manieren kunnen worden ingezet of ingebouwd. 2. Categorieën De AI Act onderscheid verschillende risicocategorieën, te weten: • Verboden praktijken: AI-systemen voor bijvoorbeeld schadelijke manipulatie, onterechte social scoring en emotieherkenning in het onderwijs hebben een onaanvaardbaar risico;

Jaarverslag FG 2024

-23-

•

•

Hoog-risico: AI-systemen voor onder meer biometrische identificatie en categorisatie, voor het evalueren van kandidaten voor een vacature, of de toelating van studenten in het onderwijs worden beschouwd als risicovol voor fundamentele rechten, veiligheid en gezondheid. Het bepalen of iemand in aanmerking komt voor essentiele publieke diensten en subsidies zoals toeslagen valt hier ook onder. Een volledige lijst met toepassingsgebieden is te vinden in bijlage 3 van de AI-verordening en luistert nauw. Risico op misleiding: de makers van AI-systemen die content genereren moeten dit markeren als gegenereerd of gemanipuleerd, en deepfakes moeten als zodanig bekend worden gemaakt. Ook bij de inzet van bijvoorbeeld chatbots moet duidelijk worden dat je met AI te maken hebt.

Jaarverslag FG 2024

-24-

3. Verplichtingen In de AI-verordening staan ook verplichtingen voor de makers van grote AI-modellen. Voor de grootste modellen geldt dat men de systeemrisico’s in kaart moet brengen en mitigeren. Ook moet men het auteursrecht beschermen voor al deze modellen. Daarnaast moet voldoende informatie worden gegeven zodat degene die hiermee nieuwe AI ontwikkelt aan de eisen van de AI-verordening kan voldoen. Zo kan iedereen erop vertrouwen dat de bouwblokken van AIsystemen veilig zijn. 4. Laag risico AI Er zijn veel AI-systemen die niet worden gereguleerd. Bij AI die niet in 1 van de bovenstaande categorieën valt gelden er geen eisen omdat de risico’s laag of nihil zijn. Ontwikkelaars of organisaties kunnen wel vrijwillige gedragscodes opstellen en naleven. 5. Toezicht De naleving van verboden AI, eisen aan hoog-risico AI-systemen en transparantieverplichtingen wordt gecontroleerd door nationale toezichthouders. De verplichtingen voor grote AI-modellen worden op Europees niveau door de AI Office of het AI-bureau gecontroleerd. 4.14.2 Wet Aanpak Meervoudige problematiek Sociaal Domein De inwerkingtreding van de Wet Aanpak Meervoudige problematiek Sociaal Domein (Wams) stond gepland op 1 januari 2024.

Maar uit een nieuwsbericht van de VNG van 22 november 2023 blijkt dat de focus van de handreikingen en checklists niet meer op het wetsvoorstel ligt, maar op het versterken van de aanpak van meervoudige problematiek in het sociaal domein. Dit omdat de wet op 12 september 2023 controversieel is verklaard, maar het wel verstandig is om alvast met het versterken van de aanpak van meervoudige problematiek aan de slag te gaan. Het is de bedoeling dat in de Wet Wams de wettelijke borging van de regionale meldpunten wordt voorbereid. De Wet Wams betreft een aanpassing van de Wmo en regelt een basis voor gegevensdeling in het Sociaal Domein en een gemeentelijk meldpunt niet-acuut. Ook deze wet levert, naast nieuwe mogelijkheden, vanuit privacy & security risico’s op, zodat bij implementatie betrokkenheid van de PO, CISO en FG van belang is. Vooralsnog is er nog geen duidelijkheid over de behandeling van dit wetsvoorstel, de datum van inwerkingtreding en de implementatie. Zodra het nieuwe kabinet gevormd is in 2024 zal dit wetsvoorstel weer opgepakt moeten gaan worden. De VNG adviseert gemeenten niet af te wachten, maar al verder te gaan met de nodige voorbereidingen omdat het te verwachten is dat deze wet er wel komt, zij het met enige vertraging.

In het jaar 2024 zijn hierin geen ontwikkelingen geweest en is er geen vervolg meer gekomen op het moment van controversieel verklaren van het wetsvoorstel. 4.14.3 Besluit bevorderen samenwerking en rechtmatige zorg Dit besluit valt onder de Wet bevorderen samenwerking en rechtmatige zorg, waarin regels worden gesteld met betrekking tot het Informatieknooppunt zorgfraude en het Waarschuwingsregister zorgfraude. In deze amvb worden nadere regels gesteld die onder andere betrekking hebben op de gegevens die mogen worden uitgewisseld, de wijze waarop, de beveiliging en het beheer van de informatievoorziening. Gegevensverstrekking bij gerechtvaardigde overtuiging van fraude in de zorg («het Waarschuwingsregister zorgfraude») Dit onderdeel van de wet vormt de wettelijke grondslag voor gemeenten en ziektekostenverzekeraars om elkaar onderling gegevens, waaronder persoonsgegevens, te

Jaarverslag FG 2024

-25-

verstrekken van partijen ten aanzien van wie een gerechtvaardigde overtuiging bestaat dat zij fraude hebben gepleegd in de zorg. Genoemde instanties kunnen elkaar zo waarschuwen voor die partijen en indien nodig maatregelen treffen. Of de gerechtvaardigde overtuiging van fraude er in een bepaald geval is en of het noodzakelijk is de gegevens te verstrekken, moet worden vastgesteld overeenkomstig het bij ministeriele regeling vast te stellen protocol. Teneinde rechtsgelijkheid, rechtszekerheid en een zorgvuldige en rechtmatige verwerking van gegevens in het kader van dit onderdeel van de wet voor betrokken partijen te waarborgen, is het van belang dat betrokken instanties de afweging maken aan de hand van heldere, objectieve en uniforme criteria. Dat is ook noodzakelijk voor uitvoering van de in artikel 2.2 van de wet bedoelde toets van de gerechtvaardigde overtuiging door de gemeentelijk toezichthouder respectievelijk de Nederlandse zorgautoriteit (hierna: NZa) voorafgaand aan de verstrekking van gegevens. Ten behoeve daarvan zijn in dit besluit de voorwaarden om tot een gerechtvaardigde overtuiging komen en de eisen aan het protocol opgenomen. Ook zijn in dit besluit de gegevens aangewezen die op grond van de wet mogen worden uitgewisseld en zijn regels opgenomen ten aanzien de beveiliging van gegevens, de bewaartermijnen en de uitoefening van rechten van betrokkenen.

De verstrekking van gegevens in het geval van een gerechtvaardigde overtuiging van fraude in de zorg is techniekonafhankelijk geregeld. De wet noch dit besluit schrijft een systeem voor, maar betrokken instanties zijn voornemens hiertoe het Waarschuwingsregister zorgfraude (hierna: «Waarschuwingsregister») te gebruiken. Het besluit bevat wel regels over wat in het protocol in algemene zin wordt opgenomen ten aanzien van een systeem dat door betrokken instanties zal worden gebruikt voor gegevensverstrekking, zodat op eenduidige wijze en met passende waarborgen uitvoering wordt gegeven aan de wet. Bij de toelichting van deze regels wordt het Waarschuwingsregister genoemd en dan wordt bijbehorende terminologie, zoals het «registreren» en «raadplegen» van gegevens, gebruikt. Persoonsgegevens die in het geval van gerechtvaardigde overtuigingen van fraude in de zorg worden verstrekt, worden geschaard onder persoonsgegevens van strafrechtelijke aard als bedoeld in artikel 10 AVG. Persoonsgegevens van dien aard mogen ingevolge de AVG alleen verwerkt worden als passende waarborgen zijn geboden ter bescherming van de rechten en vrijheden van betrokkenen. Daar wordt met dit besluit en de bij ministeriële regeling vast te stellen protocol in voorzien.

Ten aanzien van zowel persoonsgegevens als nietpersoonsgegevens gelden vergelijkbare waarborgen en maatregelen ten behoeve van een zorgvuldige en rechtmatige verwerking van gegevens. In dit hoofdstuk wordt daarom het begrip «gegevens» gebruikt. Enkel wanneer er aanleiding toe is, wordt specifiek onderscheid gemaakt tussen persoonsgegevens en niet-persoonsgegevens. Dit besluit is op 1 januari 2025 in werking getreden. 4.14.4 Wijziging van de Regeling tenuitvoerlegging bestuurlijke boeten en terugvordering onverschuldigde betaling (herijking debiteurenbeleid UWV en SVB) De Regeling gaat gelden voor alle uitvoeringsinstanties die sociale zekerheidswetten uitvoeren, ook gemeenten. Dit zorgt voor uniformiteit en harmonisatie in het stelsel, en daarbij ook voor een betere rechtspositie van de burger omdat hij/zij recht het op dezelfde minimale eisen voor invordering bij iedere uitkeringsinstantie. Deze regeling is op 1 januari 2025 in werking getreden.

Jaarverslag FG 2024

-26-

AANBEVELINGEN EN ACTIES 5.1 Aanbevelingen Belang: het is belangrijk om het bewustzijn over het belang van het zorgvuldig omgaan met en verwerken van persoonsgegevens blijvend onder de aandacht te houden bij de medewerkers. Daarbij is de combinatie privacy en informatieveiligheid een vast gegeven. Aanbeveling: voor een blijvend bewustzijn regelmatig berichten op intranet plaatsen. Ook kan met de teamleiders afgesproken worden dat de Privacy Officer met enige regelmaat of incidenteel aanschuift bij teamoverleggen om in algemene zin of aan de hand van een specifieke casus het bewustzijn over het omgaan met persoonsgegevens hoog te houden. Vanuit informatieveiligheid blijft aandacht gevraagd worden voor het vergrendelen van het beeldscherm als de werkplek verlaten wordt. Verder is het van belang dat fysieke documenten veilig achter slot en grendel liggen en dat bezoekers tot aan de deur worden begeleid. Ook bij het thuiswerken moet worden gelet op het opbergen van documenten, omdat het niet de bedoeling is dat onbevoegden, denk aan huisgenoten of bezoekers, kennis kunnen nemen van vertrouwelijke informatie. Om het bewustzijn te vergroten wordt in de loop van 2025 een tooling en een programma ingevoerd voor bewustwordingstraining voor privacy en informatiebeveiliging voor nieuwe én bestaande medewerkers.

Belang: Een andere passende technische en organisatorische maatregel ter beveiliging van persoonsgegevens is het op een veilige manier bewaren en verzenden van gegevens. Door het digitale werken kunnen bestanden met persoonsgegevens makkelijker (onbewust) worden bewaard op plekken waar dat niet gewenst is. Hierbij kan gedacht worden aan de persoonlijke e-mailbox in Outlook en Onedrive in plaats van een vak applicatie of het zaaksysteem. Het is van belang dat er binnen de gemeente Barneveld een eenduidige lijn is waar bestanden met persoonsgegevens bewaard moeten worden. In aanvulling hierop wordt ook aandacht gevraagd voor het bewust omgaan met chatrobots, omdat de uitkomsten daarvan niet allen even betrouwbaar zijn. Aanbeveling: In afstemming met stakeholder tot een gedragen werkinstructie te komen waar bestanden met persoonsgegevens moeten worden opgeslagen en op welke wijze deze gedeeld mogen worden met derden. Hierover is in 2023 en 2024 overleg gevoerd en afstemming gezocht met teamleiders en waar nodig het CT. In meerdere teams is dit eerder al actief opgepakt en 2025 zal in het teken komen te staan van verdere opschoning van schaduwarchieven op onjuiste plaatsen door de onjuiste werkwijze te beëindigen en te zorgen voor opslag in de juiste vak applicaties of het zaaksysteem. Daarmee wordt mogelijk onrechtmatig verwerking van persoonsgegevens gereduceerd.

Wat betreft de chatrobots is in 2024 aanbevolen om alleen gebruik te maken van co-pilot (zakelijke versie), maar zonder dat daar persoonsgegevens en/of dossiers in verwerkt worden. Daarvoor is geen enkele chatrobot voldoende toegerust en daarmee onvoldoende betrouwbaar. Voor algemenere informatie kan een chatrobot een handige aanvulling/handvatten bieden. Belang: Uit een DPIA komen maatregelen naar voren die geïmplementeerd moeten worden om mogelijke risico’s te mitigeren. De teams dragen zelf verantwoordelijkheid voor het implementeren van de maatregelen. Zonder deze implementatie, blijven risico’s bestaan.

Jaarverslag FG 2024

-27-

Aanbeveling: Er moet structureel komen voor controle op opvolging van de maatregelen uit de DPIA. Dit proces moet beschreven worden in een werkprocesbeschrijving, zodat de werkwijze ook formeel vastgelegd wordt. De FG voert deze controle (al een aantal jaren) structureel uit en kan vervolgens toetsen of alle mitigerende maatregelen zijn genomen. In 2023 is er een begin gemaakt met het evalueren van het al dan niet oppakken en uitvoeren van de aanbevelingen en te nemen maatregelen die voortkomen uit de DPIA’s. In 2024 wordt dit verder opgepakt en uitgevoerd, waarbij de FG toezicht houdt op de naleving. De in oktober 2024 aangeschafte applicatie waarin de borging verwerkt en goed inzichtelijk gemaakt kan worden, kan zodra de leverancier deze beschikbaar heeft uitgebreid worden met een module waarin de DPIA’s bijgehouden worden. Dan is de naleving beter geborgd dan nu met een los document dat bijgehouden wordt. 5.2 Acties voor 2025 In de voorgaande hoofdstukken is aangegeven welke werkzaamheden in 2024 zijn uitgevoerd en in paragraaf 5.1. worden de aanbevelingen genoemd. In deze laatste paragraaf wordt nader ingegaan op de acties die hiervoor al kort genoemd zijn. In 20254 worden de onderstaande acties opgepakt, waarover in het Jaarverslag FG 2025 gerapporteerd zal worden. •

DPIA’s: evalueren van de opgepakte en uitgevoerde uit de rapportages voortgekomen aanbevelingen en maatregelen. Daarna toezien op de naleving ervan.

•

DPIA’s: uitvoeren DPIA’s voor nieuwe/gewijzigde verwerkingen en herzien en actualiseren van uitgevoerde DPIA’s in verband met de 3-jaarlijkse herziening.

•

Actueel houden en aanpassen register van verwerkingen voor wat betreft AVG verwerkingen, na input uitgevoerde DPIA’s.

•

Uitvoering geven aan nog openstaande acties uit het verbeterplan Wpg;

•

Uitvoeren jaarlijkse interne en meewerken aan vierjaarlijks externe audit Wpg;

•

Continue aandacht houden voor het belang van het afsluiten van verwerkersovereenkomsten en het overzicht actueel houden. Verouderde overeenkomsten actualiseren en nieuwe overeenkomsten afsluiten met nieuwe verwerkers.

•

Vervolg workshops Privacy & Informatieveiligheid voor nieuwe medewerkers.

•

Invoering van tooling en een programma voor bewustwordingstraining voor privacy en informatiebeveiliging voor nieuwe én bestaande medewerkers.

•

Op verzoek aansluiten bij teamoverleggen om privacy binnen een bepaald vakgebied te bespreken.

•

Vervolg opschoonacties, waarbij de wettelijke bewaartermijnen goed in acht genomen moeten worden. Bij het opschonen van documenten en (persoons)gegevens, inclusief metadata, moet niet vergeten worden dat veel medewerkers schaduwbestanden hebben in ordners en op netwerkschijven. Ook de gegevens en documenten in e-mailberichten mogen daarbij niet vergeten worden. In overleg met het CT is dit niet meer in 2023 en ook niet in 2024 opgepakt, maar is dit een actiepunt geworden voor 2025. De teamleiders willen eerst met elkaar en met het CT afstemmen welke periode in het jaar

Jaarverslag FG 2024

-28-

daarvoor het meest geschikt is. Bijvoorbeeld de zomervakantieperiode of de kerstvakantieperiode. •

Uitvoeren van de zelfevaluatie/borging in de nieuw aangeschafte applicatie. In Q4 2024 is daarmee gestart en dit zal verder uitgevoerd worden in Q1 2025, zodat vanaf Q2 2025 beoordeling van de zelfevaluatie/borging gedaan kan worden en de daaruit voortkomende actie sen verbeterpunten opgepakt en uitgevoerd gaan worden.

•

Verbeteren bewustwording privacy en beeld van de privacyregelgeving positiever maken.

•

Actueel houden en aanpassen register van verwerking voor wat betreft de Wpg verwerkingen, na input uitgevoerde Wpg controles.

Jaarverslag FG 2024

-29-