B-4.2 Besluit B&W over jaarverslag functionaris gegevensbescherming 2023 d.d. 6-2-24

Jaarverslag FG 2023

-25-

Aanbeveling: Een volgende stap in het nog beter privacy-proof maken van de gemeente Barneveld is het verder invoeren van passende technische en organisatorische maatregelen, meer specifiek logging en monitoring bij het gebruik van applicaties. Wordt dit niet ingevoerd, dan loopt de gemeente Barneveld op dit vlak een groot risico. Dit is in 2023 opgepakt en zal in 2024 verder uitgevoerd worden. Belang: Een andere passende technische en organisatorische maatregel ter beveiliging van persoonsgegevens is het op een veilige manier bewaren en verzenden van gegevens. Door het digitale werken kunnen bestanden met persoonsgegevens makkelijker (onbewust) worden bewaard op plekken waar dat niet gewenst is. Hierbij kan gedacht worden aan de persoonlijke e-mailbox in Outlook en Onedrive in plaats van een vak applicatie of het zaaksysteem. Het is van belang dat er binnen de gemeente Barneveld een eenduidige lijn is waar bestanden met persoonsgegevens bewaard moeten worden. Aanbeveling: In afstemming met stakeholder tot een gedragen werkinstructie te komen waar bestanden met persoonsgegevens moeten worden opgeslagen en op welke wijze deze gedeeld mogen worden met derden. Hierover is in 2023 overleg gevoerd en afstemming gezocht met teamleiders en waar nodig het CT.

In meerdere teams is dit al actief opgepakt en 2024 zal in het teken komen te staan van verdere opschoning van schaduwarchieven op onjuiste plaatsen door de onjuiste werkwijze te beëindigen en te zorgen voor opslag in de juiste vak applicaties of het zaaksysteem. Belang: Uit een DPIA komen maatregelen naar voren die geïmplementeerd moeten worden om mogelijke risico’s te mitigeren. De teams dragen zelf verantwoordelijkheid voor het implementeren van de maatregelen. Zonder deze implementatie, blijven risico’s bestaan. Aanbeveling: Er moet structureel een proces komen voor controle op opvolging van de maatregelen uit de DPIA. De FG voert deze controle structureel uit en kan vervolgens toetsen of alle mitigerende maatregelen zijn genomen. In 2023 is er een begin gemaakt met het evalueren van het al dan niet oppakken en uitvoeren van de aanbevelingen en te nemen maatregelen. In 2024 wordt dit verder opgepakt en uitgevoerd, waarbij de FG toezicht houdt op de naleving.

5.2 Acties voor 2024 In de voorgaande hoofdstukken is aangegeven welke werkzaamheden in 2023 zijn uitgevoerd en in paragraaf 5.1. worden de aanbevelingen genoemd. In deze laatste paragraaf wordt nader ingegaan op de acties die hiervoor al kort genoemd zijn. In 2024 worden de onderstaande acties opgepakt, waarover in het Jaarverslag FG 2024 gerapporteerd zal worden.

Jaarverslag FG 2023

-26-

•

DPIA’s: evalueren van de opgepakte en uitgevoerde uit de rapportages voortgekomen aanbevelingen en maatregelen. Daarna toezien op de naleving ervan.

•

DPIA’s: herzien en actualiseren van uitgevoerde DPIA’s in verband met de 3jaarlijkse herziening;

•

Uitvoering geven aan nog openstaande acties uit het verbeterplan Wpg;

•

Continue aandacht houden voor het belang van het afsluiten van verwerkersovereenkomsten en het overzicht actueel houden. Verouderde overeenkomsten actualiseren en nieuwe overeenkomsten afsluiten met nieuwe verwerkers.

•

Vervolg workshops Privacy & Informatieveiligheid voor nieuwe medewerkers.

•

Op verzoek aansluiten bij team- of afdelingsoverleggen om privacy binnen een bepaald vakgebied te bespreken.

•

Vervolg opschoonacties, waarbij de wettelijke bewaartermijnen goed in acht genomen moeten worden. Bij het opschonen van documenten en (persoons)gegevens, inclusief metadata, moet niet vergeten worden dat veel medewerkers schaduwbestanden hebben in ordners en op netwerkschijven. Ook de gegevens en documenten in e-mailberichten mogen daarbij niet vergeten worden. In overleg met het CT is dit niet meer in 2023 opgepakt, maar is dit een actiepunt geworden voor 2024. De teamleiders willen eerst met elkaar en met het CT afstemmen welke periode in het jaar daarvoor het meest geschikt is. Bijvoorbeeld de zomervakantieperiode of de kerstvakantieperiode.

•

Actiepunten uit de in januari 2023 gehouden en in januari 2024 te houden zelfevaluatie/borging in 2024 verder oppakken en uitvoeren.

•

Uitzoeken impact AI verordening en voorbereiden op implementatie van deze verordening in de lokale wet- en regelgeving in 2024 en 2025, voordat de AI verordening in 2026 van kracht wordt.

•

Verbeteren bewustwording privacy en beeld van de privacyregelgeving positiever maken.

Jaarverslag FG 2023

-27-

Raadsmemo Jaarverslag FG 2023

Datum:

Onderwerp:

Ter attentie van:

Afzender:

6 februari 2024

Jaarverslag Functionaris Gegevensbescherming 2023 De Raad College van Burgemeester en Wethouders

Portefeuillehouder

W. Oosterwijk

Mail behandelaar

fg@barneveld.nl Telefoonnummer (0342) 495 381 / 06 2165 7166

Samenvatting Het jaarverslag Functionaris Gegevensbescherming 2023 – dat mede in samenwerking met de Privacy Officer (PO) en de Chief Information Security Officer (CISO) – door de Functionaris Gegevensbescherming (FG) is opgesteld, geeft weer wat de Gemeente Barneveld in 2023 heeft ondernomen om aan de vereisten van de Algemene Verordening Gegevensbescherming (AVG) en de Wet Politiegegevens (Wpg) te voldoen. Doel Het doel van de memo is om de raad te informeren over het jaarverslag. De AVG, de Wpg en het Privacybeleid van de Gemeente Barneveld schrijven voor dat de FG jaarlijks voor 1 maart verslag uitbrengt aan de bestuursorganen. Het onderhavige verslag wordt dan ook uitgebracht aan het college van burgemeester en wethouders, de burgemeester en de gemeenteraad van Barneveld. Inhoud memo In 2023 zijn de volgende zaken gerealiseerd: ➢ ➢ ➢ ➢

Het register van verwerkingen voor de AVG en het register van verwerkingen voor de Wpg zijn geactualiseerd en nader aangevuld. Er zijn nieuwe of geactualiseerde verwerkersovereenkomsten afgesloten met verwerkers. Intern zijn er veel adviezen gegeven en workshops gehouden over privacy en informatieveiligheid. Het jaar 2023 stond, evenals 2021 en 2022, in het teken van borging, waarbij de verwerking van persoonsgegevens en de bescherming daarvan nog beter verankerd zijn in de organisatie door middel van

➢ ➢

➢

protocollen, procedures, bewustzijnsacties en waar nodig aanpassingen in applicaties en software. Het privacybeleid is in 2023 herzien en geactualiseerd. Daarnaast is in 2023 aandacht besteed aan de evaluatie van de eerder gecommuniceerde aanbevelingen en te nemen maatregelen om de verwerking van persoonsgegevens en onder andere de bewaartermijnen beter te borgen en na te leven. In 2022 is een interne en externe audit uitgevoerd voor de Wpg. Op grond van de Wpg moet elk jaar een interne audit worden uitgevoerd en één keer per vier jaar een externe audit. De audits hebben betrekking op de verwerking van politiegegevens door de buitengewone opsporingsambtenaren openbare ruimte en de leerplichtambtenaren. In 2023 is het Wpg verbeterplan opgesteld en zijn veel acties daaruit opgepakt en uitgevoerd, waardoor de in november 2023 uitgevoerde externe audit over deze hercontrole er in heeft geresulteerd dat veel zaken zijn opgepakt en voldoen of bijna voldoen aan de in de audit gestelde normen. De nog openstaande zaken of de zaken waarin bijna of gedeeltelijk voldaan wordt aan de normen, worden in 2024 verder opgepakt en uitgewerkt.

Vervolg Met het publiceren van het Jaarverslag FG 2023 op de website van de gemeente voldoet het college aan de in de AVG, Wpg en het Privacybeleid opgenomen informatieverplichting. Hiermee geeft het college aan uw raad en aan de inwoners en andere belangstellenden opening van zaken over wat de Gemeente Barneveld in 2023 heeft ondernomen om aan de vereisten van de AVG en de Wpg te voldoen. In het jaarverslag wordt toegelicht welke werkzaamheden zijn uitgevoerd en wat de acties voor het komende jaar zijn.