B-4.3 Memo B&W over Jaarverslag Functionaris Gegevensbescherming 2025, d.d. 3 februari 2026

4.8 Verwerkers en verwerkersovereenkomsten Van alle leveranciers waarmee een verwerkersovereenkomst is afgesloten is een actueel overzicht. Bestaande verwerkers hebben niet gerapporteerd over incidenten. Verder weten medewerkers de Privacy Officer te vinden als ze twijfelen of een verwerkersovereenkomst moet

Jaarverslag FG 2025

-20-

worden afgesloten en wordt een af te sluiten verwerkersovereenkomst ook altijd voorgelegd aan de Privacy Officer (en soms aanvullend aan de CISO) voor een inhoudelijke check. Bij het afsluiten van verwerkersovereenkomsten met leveranciers wordt standaard de model verwerkersovereenkomst gehanteerd die verplicht is gesteld door de VNG/IBD. Dit is in 2025 bij alle verwerkersovereenkomsten gebeurd. Wel is in 2025 bij een verwerkersovereenkomst artikel 4.2. aangepast en is bij 3 overeenkomsten artikel 7 uitgebreider opgenomen. Bij een overeenkomst zijn meerdere artikelen aangepast. Bij iedere (door de verwerker gewenste) afwijking of aanpassing is steeds overleg gevoerd met de betreffende partij, de Privacy Officer, de FG en waar nodig ook met de CISO, waarna de verwerkersovereenkomst is goedgekeurd en vervolgens is afgesloten. 4.9 Privacy in het Sociaal Domein Tussen de teams Samenleving, voornamelijk de juristen, de beleidsmedewerkers en de informatieadviseur, en de Privacy Officer is een goede samenwerking ontstaan. Indien nodig wordt tijdig de Privacy Officer geraadpleegd en om advies gevraagd. 4.10 Informatieveiligheid In 2025 zijn grote wijzigingen doorgevoerd in de IT-infrastructuur van gemeente Barneveld. Hierdoor is veel aandacht en tijd van de CISO gegaan naar werk op operationeel niveau. Werk op strategisch niveau is daardoor vertraagd.

Ook is door de aanscherping van informatiebeveiligingsnormen het werk op het gebied van compliance sterk toegenomen. De directie en het bestuur hebben dit herkend en erkend. Besloten is om per 2026 formatie toe te wijzen voor ondersteuning van de CISO voor operationele taken. De CISO heeft de jaarlijkse verantwoordingen in het kader van BAG, BGT, DigiD, Suwinet, ENSIA, BRP en PNIK opgeleverd. 4.11 Data Protection Impact Assessments In 2025 zijn er DPIA’s voor de onderstaande processen uitgevoerd: 1

Wet zorg en dwang en Wet verplichte ggz

Wet zorg en dwang en Wet verplichte ggz

Bestaand proces, Nieuwe verwerking

2

Tijdelijk huisverbod

Tijdelijk huisverbod

3

Camera's gemeentelijke gebouwen

Camera's gemeentehuis

Bestaand proces, Nieuwe verwerking Nieuwe/gewijzigde verwerking

4

ZorgNed

Nieuwe verwerking

5

Schuldhulpverlening

Nieuwe applicatie voor Sociaal domein - Jeugd, Wmo en Regie Vroegsignalering schuldhulp voorafgaand

6

Schuldhulpverlening

Schuldhulpverlening

Periodieke herziening

Jaarverslag FG 2025

-21-

Periodieke herziening

In 2026 zullen er in ieder geval DPIA’s voor de onderstaande processen worden uitgevoerd, waarbij dit voor de meeste processen een herziening en verdieping van de DPIA uit 2022 of 2023 betreft: 1

Wet Damocles

Bestuursrechtelijke handhaving

Periodieke herziening

2

Ondermijning- RIEC

Ondermijning

Periodieke herziening

3

Transcriberen keukentafelgesprekken

Transcriberen keukentafelgesprekken als aanvulling op DPIA Participatiewet

Aanvulling op DPIA Inkomen en Participatie

4

Handhaving boa's domein I

Handhaving boa's

Periodieke herziening

5

Leerplicht

Leerplicht (AVG en Wpg)

Periodieke herziening

6

Personeels- en salarisadministratie

Personeels- en salarisadministratie

Periodieke herziening. Dashboard mens-werkgeld meenemen in de DPIA.

7

Belastingen

Heffingen- en invorderingsadministratie Kwijtschelding gemeentelijke belastingen

Tijdens implementatie nieuwe applicatie/ Aanbesteding belastingapplicatie

8

Bodycams

Bodycams

Periodieke herziening

9

Leerlingenvervoer

Leerlingenvervoer

Periodieke herziening

10

Woonurgentie

Woonurgentie

Periodieke herziening

11

Telefonie- en contactcentrum KCC

Telefonie- en contactcentrum KCC

Periodieke herziening

Alle DPIA’s vinden plaats aan de hand van een vragenlijst. Deze vragenlijst is gebaseerd op de vragenlijst van de beroepsvereniging voor IT-auditors NOREA en door de Privacy Officer aangepast en verder aangevuld. De vragenlijst ziet op zowel AVG als Wpg verwerkingen. Er wordt gevraagd naar onder andere de verwerkingsverantwoordelijke, de verwerkers, verwerkersovereenkomsten, nieuwe technieken, noodzaak van gegevensverwerking, aard van de persoons-/politiegegevens (bijzonder of gevoelig), gegevensuitwisseling intern en extern, doelbinding, grondslag, transparantie, actualiteit, integriteit en beschikbaarheid van persoonsgegevens, rechten van betrokkenen, bewaartermijnen en beveiliging. Per proces wordt een rapportage opgesteld met bevindingen, conclusies en aanbevelingen, dat vervolgens aangevuld wordt met het advies van de FG. Uit de in 2025 uitgevoerde DPIA’s zijn maatregelen en aanbevelingen voortgekomen. Er zijn namelijk wat privacyrisico’s geconstateerd. Dat houdt niet in dat er onzorgvuldig gewerkt wordt of dat medewerkers zich niet voldoende bewust zijn van het belang van een zorgvuldige

Jaarverslag FG 2025

-22-

verwerking van persoons-/politiegegevens, maar ziet meer op het formeel vastleggen van werkprocesbeschrijvingen en werkinstructies. Ook komen er regelmatig technische/ICTaspecten naar voren die niet direct opgelost kunnen worden, omdat een applicatie daarvoor (nog) niet voldoende toegerust is. In overleg met de leverancier en aanpassing van de applicatie of een aanbestedingen traject voor het aanschaffen van een upgrade of nieuwe applicatie kost tijd en daardoor is de onderstaande lijst langer en komt wellicht wat zorgwekkend over, maar er wordt nauwlettend op toegezien dat er – veelal met tussentijdse tijdelijke aanpassingen of handmatige oplossingen – toch AVG-/Wpg-proof gewerkt wordt.

In de in 2025 uitgevoerde DPIA’s komen – samengevat – de volgende risico’s naar voren: - Er zijn geen afspraken gemaakt over controle op logging; - De verwerking(en) is/zijn (nog) niet opgenomen in het register van verwerkingen of deze zijn onvoldoende actueel; - De verwerkersovereenkomst is verouderd of (nog) niet ondertekend of afgesloten; - Werkprocesbeschrijving/werkwijze/werkinstructie/richtlijn of protocol is/zijn verouderd en/of er blijkt onvoldoende uit welke persoons-/politiegegevens door wie opgevraagd, gedeeld en verwerkt mogen/moeten worden door zowel interne als externe partijen; - Er wordt gebruik gemaakt van onbeveiligde mail; - Er wordt gebruik gemaakt van het delen van gegevens via onbeveiligde usb-sticks; - In de privacyverklaring op de website ontbreekt een (nieuwe) verwerking of bevat verouderde informatie; - Medewerkers worden niet tijdig of onvoldoende geïnformeerd over een nieuwe verwerking; - Er wordt gebruik gemaakt van ‘echte’ persoons-/politiegegevens in de testomgeving; - Er is geen proces waarin is geregeld dat ouders geen toegang meer hebben tot het dossier als hun kind 16 jaar wordt; - Toestemmingsverklaring is niet op de juiste grondslag gebaseerd; - Er wordt een kopie ID-bewijs in het dossier opgeslagen terwijl dat niet noodzakelijk is, omdat verificatie voldoende is; - Bij gebruik van whats app worden persoonsgegevens gedeeld, terwijl dit

medium daar niet voor bedoeld is en daarvoor gebruik gemaakt moet worden van beveiligde mail (bij voorkeur vanuit de vak applicatie); - Het informeren van betrokkenen ontbreekt op een aanvraagformulier; - Op een aanvraagformulier wordt om toestemming gevraagd, maar het is onduidelijk waarvoor (gewone, bijzondere of gevoelige persoonsgegevens); - In een vak applicatie zijn de bewaartermijnen niet goed ingeregeld, maar dit zal opgelost zijn zodra de nieuwe applicatie per 1 januari 2026 in gebruik genomen gaat worden; - In een vak applicatie zijn de autorisaties te ruim geregeld, zodat meer medewerkers dan noodzakelijk gegevens kunnen inzien. De volgende maatregelen zijn reeds genomen: - Er zijn werkafspraken gemaakt over controle op logging; - De verwerkingen is/zijn opgenomen in het register van verwerkingen; - De verwerkersovereenkomst(en) is/zijn geactualiseerd, ondertekend en/of afgesloten; - Er wordt gebruik gemaakt van een mailvoorziening binnen de vak applicatie of via pgax, zodat beveiligd gemaild wordt. Ook zijn er afspraken gemaakt over de termijn waarop andere maatregelen worden genomen zoals bijvoorbeeld in het geval dat wijzigingen in een werkprocesbeschrijving/werkwijze/ werkinstructie/richtlijn of protocol opgenomen moeten worden, het opnemen van contact met de leverancier om de bewaartermijnen goed in te regelen of het maken van afspraken met

Jaarverslag FG 2025

-23-

ketenpartners. Deze te nemen maatregelen kosten meer tijd, omdat er vaak meer interne en externe partijen bij betrokken zijn. 4.12 Bewustwording Net als in voorgaande jaren, zijn er in 2025 workshops over Privacy en Informatiebeveiliging gehouden. Deze workshop is verplicht voor alle nieuwe medewerkers en wordt sinds 2023 in kleinere groepen gehouden voor een betere interactie. Belangrijk voor de bewustwording is ook de bekendheid en benaderbaarheid van de PO om als vraagbaak te fungeren. Hiervan is en wordt veel gebruik gemaakt. In het najaar van 2025 is een tooling en een programma aangeschaft om het bewustzijn van de medewerkers op gebied van privacy en security te vergroten. Eind 2025/begin 2026 is de implementatie van deze tooling gepland en begin 2026 wordt gestart met enkele teams om dit uit te testen, voordat uitrol in de hele organisatie plaatsvindt. 4.13 Overige zaken Er zijn een aantal andere zaken te melden over 2025. Dat zijn: Onjuiste wijze van afhandelen registratiefase in Zaaksysteem Bij het willen afsluiten van een afgehandelde/afgeronde zaak werd een terugkerende foutmelding gegeven die aangaf dat bepaalde kenmerken niet ingevuld zijn. Dit betrof o.a. geboortedatum, verklaring dat naar waarheid alles ingevuld is en de hoogte van een schadebedrag (betrof een aansprakelijkstelling). Dat zijn gegevens die alleen de indiener kan/mag en hoort in te vullen.

In dit specifieke geval is dit door de medewerker ingevuld om de zaak af te kunnen sluiten en het niet mogelijk was dat de indiener het webformulier (achteraf) kon aanvullen met de ontbrekende gegevens. Het formulier was immers al ingestuurd en geregistreerd en is dan niet meer aan te passen. Daarom zijn geboortedatum 1-1-1900 en een fictief schadebedrag ingevuld met daarbij de opmerking dat deze gegevens incorrect zijn. Vervolgens is op voordracht van de FG door de applicatiebeheerder en de proceseigenaar uitgezocht waar de storing in zat en is dit verder opgelost, zodat dergelijke situaties niet meer voor mogen komen. Onterechte inzage cv’s bij benoeming commissieleden Vanwege het eindigen van de termijnen van commissieleden is er een procedure gevolgd voor herbenoeming en benoeming van leden. De sollicitatie- en selectiecommissie heeft de cv’s ingezien en beoordeeld en mede aan de hand van gesprekken zijn de gekozen en voorgedragen kandidaten opgenomen in het benoemingsbesluit. De benoeming door het college is alleen een formaliteit en zij hoeven die beoordeling niet over te doen. Het bijvoegen van cv’s is niet nodig en ook vanuit de AVG niet gewenst. Het college wenste echter tegen het advies van de FG in toch inzage in de gegevens van de geselecteerde en voorgedragen kandidaten.

Als compromis zijn de cv’s alsnog toegevoegd aan het collegevoorstel, maar de documenten zijn wel zodanig beveiligd en afgeschermd dat niemand buiten het college om deze documenten kon inzien. 4.14 Te verwachten ontwikkelingen wet- en regelgeving2 Hieronder zijn wetswijzigingen, waarin gegevensverwerking voorkomt en die in 2025 of 2026 in ontwikkeling zijn of in werking treden, opgenomen.

2

Bij de totstandkoming van deze paragraaf is gebruik gemaakt van AI, omdat daarmee het doorzoeken van vele websites vergemakkelijkt kan worden. Daarop is vervolgens een check gedaan naar betrouwbaarheid en logica van de ontvangen zoekresultaten.

Jaarverslag FG 2025

-24-

4.14.1 Inwerkingtreding Wet PARTA Per 1 juli 2025 is de Wet gegevensverwerking Persoonsgerichte Aanpak Radicalisering en Terroristische Activiteiten (hierna: Wet PARTA) in werking getreden. De wet biedt duidelijkheid over taken, verantwoordelijkheden, grondslagen voor multilaterale gegevensverwerking en waarborgen voor gegevensbescherming die aansluiten bij de AVG. Regiefunctie burgemeester De burgemeester heeft op grond van de Wet PARTA de wettelijke taak om te zorgen voor het instand houden van een casusoverleg voor de persoonsgerichte aanpak van radicalisering en terroristische activiteiten (de zogenoemde regiefunctie). Grondslag voor gegevensuitwisseling De Wet PARTA geeft de juridische grondslag voor de gegevensuitwisseling, inclusief zogenoemde bijzondere persoonsgegevens, tussen organisaties die betrokken zijn bij een casus. De burgemeester en het college van burgemeester en wethouders, politie, het openbaar ministerie, reclasseringsinstellingen en de raad voor de kinderbescherming zijn aangewezen als reguliere deelnemers. Aanvullende waarborgen voor gegevensbescherming De wet regelt ook diverse aanvullende waarborgen voor een goede bescherming van de persoonsgegevens die de deelnemers aan de casusoverleggen verwerken. Deze vormen een aanvulling op de rechten en plichten uit de AVG, die nu al van toepassing zijn.

Continuering van bestaande praktijk De wet continueert en legt de bestaande praktijk van de persoonsgerichte aanpak radicalisering vast. De wet sluit inhoudelijk zoveel mogelijk aan bij de Wet Gegevensverwerking door Samenwerkingsverbanden (WGS). Hieronder vallen de Zorg- en Veiligheidshuizen. Dus als een gemeente al een zorgvuldige werkwijze heeft voor de persoonsgerichte aanpak van radicalisering en terroristische activiteiten, dan is het niet nodig om deze aanpak helemaal anders te organiseren. Ondersteuning voor kleinere gemeenten Kleinere gemeenten kunnen voor de inrichting van de verplichting om een casusoverleg in stand te houden ondersteuning zoeken in de ervaring en faciliteiten van grotere gemeenten en/of regionale zorg- en veiligheidshuizen. 4.14.2 Wet Aanpak Meervoudige problematiek Sociaal Domein De inwerkingtreding van de Wet Aanpak Meervoudige problematiek Sociaal Domein (Wams) stond gepland op 1 januari 2024. Maar uit een nieuwsbericht van de VNG van 22 november 2023 blijkt dat de focus van de handreikingen en checklists niet meer op het wetsvoorstel ligt, maar op het versterken van de aanpak van meervoudige problematiek in het sociaal domein. Dit omdat de wet op 12 september 2023 controversieel is verklaard, maar het wel verstandig is om alvast met het versterken van de aanpak van meervoudige problematiek aan de slag te gaan.

Het is de bedoeling dat in de Wet Wams de wettelijke borging van de regionale meldpunten wordt voorbereid. De Wet Wams betreft een aanpassing van de Wet maatschappelijke ondersteuning (Wmo) en regelt een basis voor gegevensdeling in het Sociaal Domein en een gemeentelijk meldpunt niet-acuut. Ook deze wet levert, naast nieuwe mogelijkheden, vanuit privacy & security risico’s op, zodat bij implementatie betrokkenheid van de PO, CISO en FG van belang is. Vooralsnog is er nog geen duidelijkheid over de behandeling van dit wetsvoorstel, de datum van inwerkingtreding en de implementatie. Zodra het nieuwe kabinet gevormd is in 2024 zal dit wetsvoorstel weer opgepakt moeten gaan worden. De VNG adviseert gemeenten niet af te

Jaarverslag FG 2025

-25-

wachten, maar al verder te gaan met de nodige voorbereidingen omdat het te verwachten is dat deze wet er wel komt, zij het met enige vertraging. In het jaar 2024 zijn hierin geen ontwikkelingen geweest en is er geen vervolg meer gekomen op het moment van controversieel verklaren van het wetsvoorstel. In 2025 is het kabinet wederom gevallen en is er geen gevolg meer gekomen op het eerder controversieel verklaarde wetsvoorstel. In juli 2025 heeft de Tweede Kamer het voorstel nog niet geagendeerd. Wel is er een beleidsnota rond juli 2025 gepubliceerd en worden gemeenten ondersteund via VNG-activiteiten, als voorbereiding op mogelijke toekomstige inwerkingtreding. Het nieuwe kabinet is na de verkiezingen van oktober 2025 nog niet gevormd, zodat er begin 2026 nog geen ontwikkelingen te melden zijn. 4.14.3

aanpassingen AVG en AI Act (AI Verordening)

Er wordt een 7 of 8 stappen roadmap voor de uitvoering van de AVG geïntroduceerd. Dat bestaat uit de volgende onderdelen: identificeren van verwerkingsactiviteiten, DPIA’s uitvoeren, wettelijke grondslagen vastleggen, dataminimalisatie optimaliseren, transparantie borgen, rechten van betrokkenen faciliteren en toezicht en ‘proof of compliance’ (documentatie, audits) instellen. Ook is er een toekomstige versoepeling te verwachten die een vereenvoudiging inhoudt (voor mkb) via het Digital Omnibus-pakket3, inclusief versoepeling van gegevensregisters en DPIAverplichtingen. Het Digital Omnibus pakket (november 2025) houdt o.a. in: herschrijven persoonsgegevensdefinitie, zodat enkel data te beschouwen is als identificeerbaar persoonsgegeven, en een ‘incidentmeldings-single-point’ wat het samenvoegen van meldingen onder AVG, NIS2, DORA4, DORA etc., met geharmoniseerde deadlines en formats inhoudt. Daarnaast is sprake van uitstel AI Act verplichtingen5. De deadlines voor hoogrisico-AI zijn geschrapt en uitgesteld zijn tot eind 2027 of 2028. De fasen worden als volgt aangepast: •

Fase 1 (feb 2025): verbod op ongeoorloofde AI-toepassingen zoals sociale scoring, emotieherkenning, biometrische surveillance.

•

Fase 2 (aug 2025): governanceverplichtingen voor General Purpose AI – risicoanalyses, bias-mitigatie, transparantie, menselijke overzicht.

•

Voorbereiding 2026-2028: risicoklassificatie per AI-systeem, conformiteitsrapportages, kwaliteitsmanagement, documentatie & toezicht.

4.15 Evaluatie Toezichtplan 2025-2026 Met behulp van de in het Toezichtsplan opgenomen actiepunten en planning is overzichtelijk welke zaken er op welk moment gecontroleerd moeten worden aan de hand van AVG, Wpg of gemaakte afspraken. Weliswaar schuiven actiepunten – net als bij DPIA’s – regelmatig op in de planning, maar de bewustwording van zaken die geregeld, gecontroleerd en afgestemd moeten worden is hoger dan in voorgaande jaren. De medewerking en het oppakken van bijvoorbeeld maatregelen uit DPIA’s, uitgevoerde periodieke controles of uit een verbeterplan dat voortgekomen is uit een

3

EU Digital Omnibus: How EU Data, Cyber, and AI Rules Will Shift | Insights | Jones Day DORA = Digital Operational Resilience Act. DORA is van toepassing op banken en verzekeraars en is niet direct relevant voor gemeenten. 5 EU AI Act 2025: Practical Compliance Steps for Businesses 4

Jaarverslag FG 2025

-26-

intern of extern gehouden audit verloopt soepeler en men weet elkaar beter te vinden om zaken te bespreken en afspraken te maken over op te pakken actiepunten. In dit jaarverslag wordt niet inhoudelijk ingegaan op de verschillende actiepunten, maar geconcludeerd kan worden dat het Toezichtplan behulpzaam is bij het overzicht houden en de samenwerking tussen verschillende functionarissen. Enkele actepunten die in 2025 niet afgerond konden worden, bijvoorbeeld door afhankelijkheid of planning van externe partijen, wordt aan het begin van 2026 opgepakt. De planning en actiepunten voor 2026 worden daarop aangepast. Evaluatie daarvan vindt plaats in het jaarverslag over 2026, waarna ook een toezichtplan voor 2027-2028 wordt opgesteld.

Jaarverslag FG 2025

-27-

5. AANBEVELINGEN EN ACTIES 5.1 Aanbevelingen Belang: het is belangrijk om het bewustzijn over het belang van het zorgvuldig omgaan met en verwerken van persoons-/politiegegevens blijvend onder de aandacht te houden bij de medewerkers. Daarbij is de combinatie privacy en informatieveiligheid een vast gegeven. Aanbeveling: voor een blijvend bewustzijn regelmatig berichten op intranet plaatsen. Ook kan met de teamleiders afgesproken worden dat de Privacy Officer met enige regelmaat of incidenteel aanschuift bij teamoverleggen om in algemene zin of aan de hand van een specifieke casus het bewustzijn over het omgaan met persoons-/politiegegevens hoog te houden. Vanuit informatieveiligheid blijft aandacht gevraagd worden voor het vergrendelen van het beeldscherm als de werkplek verlaten wordt. Verder is het van belang dat fysieke documenten veilig achter slot en grendel liggen en dat bezoekers tot aan de deur worden begeleid. Ook bij het thuiswerken moet worden gelet op het opbergen van documenten, omdat het niet de bedoeling is dat onbevoegden, denk aan huisgenoten of bezoekers, kennis kunnen nemen van vertrouwelijke informatie. Om het bewustzijn te vergroten is in najaar 2025 een tooling en een programma aangeschaft voor bewustwordingstraining voor privacy en informatiebeveiliging voor nieuwe én bestaande medewerkers.

In Q1 2026 zal gestart wordt met een tweetal teams als testgroep. Als dat goed verloopt, wordt deze tooling in de hele organisatie uitgerold. Belang: een andere passende technische en organisatorische maatregel ter beveiliging van persoonsgegevens is het bewust omgaan met chatrobots, omdat de uitkomsten daarvan niet allen even betrouwbaar zijn. Aanbeveling: wat betreft de chatrobots is in 2024 en 2025 aanbevolen om alleen gebruik te maken van co-pilot (zakelijke versie), maar zonder dat daar persoonsgegevens en/of dossiers in verwerkt worden. Daarvoor is geen enkele chatrobot voldoende toegerust en daarmee onvoldoende betrouwbaar. Voor algemenere informatie kan een chatrobot een handige aanvulling/ handvatten bieden. Belang: digitale mogelijkheden groeien en worden steeds diverser. AI speelt daarbij een belangrijke rol en het is van belang dat zorgvuldig omgegaan wordt met het toepassen van AI in de gemeentelijke dienstverlening. De bescherming van persoons-/politiegegevens moet goed geborgd zijn, voordat daar veelvuldig op de juiste wijze gebruik van gemaakt kan worden. In 2025 is verder onderzoek gedaan naar (on)mogelijkheden en risico’s van het gebruik van AI en is aangevangen met het opstellen van een algoritmeregister. In 2026 zal dit verder uitgewerkt worden en wordt de organisatie daar stapsgewijs bij betrokken.

Ook zijn er in 2025 een aantal pilots gestart waarvan de evaluatie en het daarna wel of niet in gebruik nemen op de planning staat. Aanbeveling: betrek de juiste stakeholders bij de ontwikkelingen en inzet van AI in de gemeentelijke dienstverlening. Evalueer de pilots voorafgaande aan het in gebruik nemen daarvan. En waar nodig voer een DPIA uit op de voorgenomen toepassing.

Jaarverslag FG 2025

-28-

5.2 Acties voor 2026 In de voorgaande hoofdstukken is aangegeven welke werkzaamheden in 2025 zijn uitgevoerd en in paragraaf 5.1. worden de aanbevelingen genoemd. In deze laatste paragraaf wordt nader ingegaan op de acties die hiervoor al kort genoemd zijn. In 2026 worden de onderstaande acties opgepakt, waarover in het Jaarverslag FG 2026 gerapporteerd zal worden. •

DPIA’s: evalueren van de opgepakte en uitgevoerde uit de rapportages voortgekomen aanbevelingen en maatregelen. Daarna toezien op de naleving ervan.

•

DPIA’s: uitvoeren DPIA’s voor nieuwe/gewijzigde verwerkingen en herzien en actualiseren van uitgevoerde DPIA’s in verband met de 3-jaarlijkse herziening.

•

Actueel houden en aanpassen register van verwerkingen voor wat betreft AVG verwerkingen, na input uit uitgevoerde DPIA’s.

•

Uitvoering geven aan nog openstaande acties uit het verbeterplan Wpg;

•

Uitvoeren jaarlijkse interne audit Wpg en meewerken aan het verbeterplan dat voortkomt uit de in 2025 uitgevoerde vierjaarlijks externe audit Wpg;

•

Continue aandacht houden voor het belang van het afsluiten van verwerkersovereenkomsten (AVG en Wpg) en het overzicht actueel houden. Verouderde verwerkersovereenkomsten actualiseren en nieuwe verwerkersovereenkomsten afsluiten met nieuwe verwerkers.

•

Vervolg workshops Privacy & Informatieveiligheid voor nieuwe medewerkers.

•

Starten met uitrol van tooling en een programma voor bewustwordingstraining voor privacy en informatiebeveiliging voor nieuwe én bestaande medewerkers.

•

Op verzoek aansluiten bij teamoverleggen om privacy binnen een bepaald vakgebied te bespreken.

•

Uitvoeren van de zelfevaluatie/borging waarna beoordeling van de zelfevaluatie/borging gedaan kan worden en de daaruit voortkomende acties en verbeterpunten opgepakt en uitgezet kunnen worden in de organisatie. Vervolgens toezien op de naleving daarvan.

•

Verbeteren bewustwording privacy en beeld van de privacyregelgeving positiever maken.

•

Actueel houden en aanpassen register van verwerking voor wat betreft de Wpg verwerkingen, na input uitgevoerde Wpg controles.

•

Evalueren van en adviseren over pilots waarin AI wordt toegepast, voordat besloten wordt dit toe te gaan passen in de dienstverlening.

Jaarverslag FG 2025

-29-

BIJLAGE Autoriteit Persoonsgegevens Jaarplan 20256 Citaat: “Heldere communicatie en uitleg om burgers beter te beschermen in een digitale wereld. Het beschermen van mensen in een digitale wereld: daar maakt de Autoriteit Persoonsgegevens (AP) zich sterk voor. Maatschappelijke, technologische en politieke ontwikkelingen - zowel binnen als buiten - hebben direct effect op ons werk. Organisaties verzamelen, verwerken en delen persoonsgegevens op grote schaal, en dit neemt alleen maar toe. Onder de juiste voorwaarden draagt dat bij aan innovatie en maatschappelijke vooruitgang. Het gebruiken van persoonsgegevens moet wel altijd rechtmatig, eerlijk en transparant gebeuren. Mensen moeten grip kunnen houden op hun persoonlijke gegevens. Want als dat niet gebeurt, dan kunnen mensen –bedoeld of onbedoeld- risico lopen op uitsluiting, manipulatie of discriminatie. Als AP houden we toezicht op de naleving van de regels door organisaties. Wij leggen uit wat er wél kan. Zo helpen we organisaties én burgers vooruit. Toezicht houden betekent ook keuzes maken: ons toezichtveld wordt steeds groter en onze middelen zijn beperkt. Daarom hebben we onze fundamentele waarden bij het beschermen van persoonsgegevens vastgelegd: non-discriminatie, persoonlijke autonomie en vrijheid, en controleerbare en transparante macht. Door deze bril kijken we naar ons toezicht.

Begin 2025 verscheen de AP-evaluatie met aanbevelingen en adviezen voor onze plannen voor de komende jaren. Daar zijn we mee aan de slag gegaan. We zetten meer in op alternatieve interventies, zoals het uitleggen van de wet aan organisaties, en voorlichting. We leggen alleen boetes op als het nodig is. Zo beschermen we mensen in een digitale wereld. In 2025 besteden we, net als vorig jaar, extra aandacht aan deze vijf thema's: Algoritmes & AI Onze wereld wordt steeds digitaler en de mogelijkheden van algoritmes en artificiële intelligentie (AI) nemen snel toe. Dit biedt een hoop kansen, maar kan ook leiden tot onrechtmatige verwerking van gegevens, discriminatie, willekeur, gebrek aan transparantie of misleiding en manipulatie. We willen deze risico’s voorkomen door onze grondrechten goed en proactief te beschermen. In 2025 verwachten we een intensivering van onze werkzaamheden op het gebied van algoritmes en AI. Hieraan werkt onder meer de Directie Coördinatie Algoritmes. Lees de Werkagenda coördinerend AI- en algoritmetoezicht 2025 voor meer informatie. Wat doen we onder andere in 2025? •

We publiceren de halfjaarlijkse Rapportage AI- & Algoritmerisico’s Nederland (RAN) waarin we nieuwe ontwikkelingen voor AI en algoritmes duiden, risico’s benoemen en inzoomen op specifieke toepassingen. We besteden extra aandacht aan het bereiken van specifieke doelgroepen, zoals bedrijven die algoritmes ontwikkelen of inzetten, onder meer door het organiseren van roadshows.

•

Wij richten een wetenschappelijke commissie op, met onder andere expertise op het gebied van AI en algoritmes.

•

We starten een netwerk van meldpunten om informatie over incidenten rond algoritmes en AI op te halen bij meldpunten en belangenorganisaties.

•

We werken samen met andere toezichthouders in de voorbereiding op het toezicht op de AI-verordening en de lancering van de AI regulatory sandbox in 2026, waar organisaties AI-systemen in wording kunnen testen.

6

https://www.autoriteitpersoonsgegevens.nl/over-de-autoriteit-persoonsgegevens/ap-jaarplan-2025, volledig citaat overgenomen.

Jaarverslag FG 2025

-30-

•

We betrekken stakeholders via oproepen tot input en dialoogbijeenkomsten.

•

Vanuit het gegevensbeschermingstoezicht ligt de focus op algoritmes en AI op verschillende aspecten van geautomatiseerde besluitvorming, zoals betekenisvolle menselijke tussenkomst, de rechten van betrokkenen, en de relatie met leveranciers van software. Hierover verwachten we informatie te publiceren met concrete handvaten voor organisaties om verantwoord met algoritmes en AI om te gaan.

Big Tech Grote techbedrijven gebruiken de gegevens van hun gebruikers als brandstof. En dat is vaak niet in lijn met de Algemene verordening gegevensbescherming (AVG). Persoonsgegevens worden gebruikt om gericht reclames te kunnen aanbieden, AI-modellen te trainen en om gepersonaliseerde inhoud aan te bieden zodat gebruikers langer online blijven. Daarom is het van groot belang om hier scherp toezicht op te blijven houden. Burgers moeten de regie kunnen houden over hun persoonsgegevens. De AP blijft hier in 2025 aan werken, samen met andere (internationale) toezichthouders. Wat doen we onder andere in 2025? •

We blijven (internationaal) onderzoek doen naar mogelijke overtredingen door grote techbedrijven.

•

Samen met de andere Europese toezichthouders voorkomen we dat grote techbedrijven misbruik maken van de persoonsgegevens van Europese burgers bij het ontwikkelen en aanbieden van AI-modellen.

•

In 2025 werken wij, samen met de Autoriteit Consument & Markt (ACM), aan het verder vormgeven van het toezicht op de Digitaledienstenverordening (DSA). Zo kunnen we de fundamentele rechten van burgers nog beter beschermen.

•

Persoonsgegevens zijn niet overal zo veilig als in de Europese Economische Ruimte (EER). Bedrijven die persoonsgegevens doorgeven naar buiten de EER moeten maatregelen treffen om een vergelijkbare bescherming te garanderen. De AP besteedt aandacht aan internationale doorgiften in onderzoeken, en werkt samen met Europese collega’s om te controleren of bedrijven voldoende maatregelen hebben getroffen.

Vrijheid & veiligheid Wij willen bijdragen aan een verdedigbare balans tussen vrijheid en veiligheid. Het zijn twee kanten van dezelfde medaille, waarbij veiligheid de vrijheid bevordert. Om de veiligheid te bewaken worden soms maatregelen genomen die de vrijheid inperken, zoals het delen van gegevens voor opsporing van strafbare feiten. Wat doen we onder andere in 2025? •

Wij bouwen verder aan een meerjarig programma Vrijheid en veiligheid. Het gebruiken van gegevens is nodig om goed onderzoek uit te voeren bij de opsporing van strafbare feiten, het bewaken van de openbare orde en onze buitengrenzen. Dit moet zorgvuldig en binnen de grenzen van de wet gebeuren.

•

Bij de inzet van nieuwe, risicovolle technologieën in het veiligheidsdomein adviseren we gevraagd en ongevraagd over wat wel en niet mag.

•

We versterken ons toezicht op de politie om vanuit onze positie als toezichthouder te zorgen voor een verbeterde registratie, bewaring en rechtmatig gebruik van persoonsgegevens door de politie.

Jaarverslag FG 2025

-31-

•

We ontvangen al jaren veel klachten en tips over deurbelcamera’s van particulieren. Burgers geven aan dat er inbreuk wordt gemaakt op hun persoonlijke levenssfeer. Daarom gaan we hier extra aandacht aan besteden en praktische handvaten voor veilig gebruik geven.

•

We zetten een programma op om intensiever onderzoek te doen naar en toezicht te houden op grote Europese systemen en databases voor de bescherming van de buitengrenzen van het Schengengebied.

•

We zijn nauw betrokken bij de implementatie van de nieuwe Europese anti-witwas regels.

Datahandel Slimme producten en diensten genereren bergen waardevolle data, wat kan leiden tot de ongeoorloofde doorverkoop van persoonsgegevens. Dat gebeurt niet alleen in Nederland, maar ook internationaal. Dat mag niet en willen we een halt toe roepen. Wat doen we onder andere in 2025? •

We zetten extra in op naleving van de regels voor datahandel. En geven voorlichting en uitleg over de juiste manier om met gegevens om te gaan, vooral gericht op het MKB.

•

We zetten ook in op meer voorlichting aan consumenten over wat er met hun gegevens gebeurt en hoe ze hun privacyrechten kunnen uitoefenen.

•

We geven prioriteit aan onderzoek naar klachten en datalekmeldingen die een duidelijke link hebben met datahandel.

•

We komen dit jaar met de eerste resultaten van onze inspanningen op het gebied van datahandel.

•

We blijven het ongeoorloofd online volgen van mensen, bijvoorbeeld via cookies en andere trackingmogelijkheden, op verschillende fronten aanpakken.

Digitale overheid Centrale en lokale overheden, uitvoeringsorganisaties en politie en justitie beschikken over grote hoeveelheden - vaak gevoelige en bijzondere - persoonsgegevens van Nederlanders en maken hier veel gebruik van. Het risico dat burgers in de knel komen is groot als de overheid verkeerd omgaat met je persoonsgegevens. Vooral omdat het vaak verplicht is om gegevens af te staan aan de overheid. Bovendien heeft de overheid een voorbeeldfunctie als het gaat om de verantwoorde omgang met persoonsgegevens. Daarom zien we hier komend jaar extra op toe. Wat doen we onder andere in 2025? •

We delen gevraagd en ongevraagd kennis over gegevensuitwisseling in het sociaal domein, daar waar mensen vaak geen andere keuze hebben dan het delen van hun gegevens. We besteden extra aandacht aan de bescherming van de persoonsgegevens van kinderen.

•

We gaan in 2025 door met het reserveren van extra capaciteit om onderzoek te doen naar overheden en uitvoeringsorganisaties die persoonsgegevens van burgers gebruiken in algoritmes.

•

De AP heeft het toezicht op de Belastingdienst geïntensiveerd. Daarmee verwacht de AP bij te dragen aan een duurzame verbetering van de bescherming van persoonsgegevens van Nederlandse burgers door de Belastingdienst. Onder meer wordt nagegaan of

Jaarverslag FG 2025

-32-

risicoselecties zorgvuldig plaatsvinden en discriminatie wordt voorkomen. En of de privacyorganisatie toereikend is ingericht. •

We besteden opnieuw aandacht aan het delen van gegevens tussen verschillende onderdelen van de overheid en andere organisaties. Ook de risico’s van het gebruik van algoritmes bij de overheid blijven we in de gaten houden, zoals discriminatie.

Wat doen we niet? Keuzes maken betekent ook dat we andere dingen niet kunnen. Het budget en de capaciteit van de AP zijn immers beperkt. Dit kunnen we in 2025 niet optimaal: •

Alle datalekken de aandacht geven die ze verdienen, ondanks de mogelijke gevolgen voor de slachtoffers van deze datalekken.

•

Alle klachten sneller afhandelen. Het duurt vaak meer dan een halfjaar voordat we een klacht kunnen oppakken. Ook snel inspringen op actuele issues lukt niet altijd.

•

Proactief advies geven over wetgeving, zodat persoonsgegevens goed zijn beschermd in de wet.

•

Sectoren die veel persoonsgegevens verwerken, zoals de zorg, onderwijs, energie, overheid en financiën, de aandacht geven die nodig is.

Financiering bij toenemend datagebruik Het budget van de AP is afgelopen jaren telkens licht gegroeid, tot ca. €49 miljoen voor 2025 en verder. De financiering van het toezicht van de AP blijft daarmee echter ver achter op de hoge mate van digitalisering van Nederland. De ernst van de situatie bepaalt de actie die we ondernemen. Daarvoor hebben wij een breed toezichtsinstrumentarium. Bij voorkeur gaan we eerst in gesprek, of geven we uitleg over de wet. Daar waar het nodig is, leggen we boetes op. Welk middel we kiezen, hangt af van de ernst van het probleem, de urgentie en het oordeel van onze professionals. Dit vraagt wel om de financiële, bestuurlijke en operationele armslag om steeds de juiste mensen, middelen en methodes te kunnen inzetten bij onze taak. De Parlementaire Enquêtecommissie Fraudebeleid en Dienstverlening kwam eerder ook tot deze conclusie. Om onze taken goed te kunnen vervullen moet ons structurele budget groeien. AP in vergelijking met andere toezichthouders Gerealiseerd budget in 2024: AP

AFM

NLA

ACM

47.4

142.7 (geraamd)

222

115.1

Cijfers uit 2024, bedragen in miljoenen euro. AP= Autoriteit Persoonsgegevens, AFM = Autoriteit Financiële Markten, NLA = Nederlandse arbeidsinspectie, ACM = Autoriteit Consument & Markt. Aanbevelingen en adviezen AP-evaluatie uitvoeren In 2024 heeft een commissie van externe deskundigen, onder leiding van onafhankelijk voorzitter Paul Schnabel een breed evaluatieonderzoek uitgevoerd over de periode 2018-2024. In 2025 gaan we met de aanbevelingen en de adviezen van de AP-evaluatie aan de slag.

Jaarverslag FG 2025

-33-

Er is een nadrukkelijke verduidelijking nodig van het AP-beleid over normen en handhaving. Met andere woorden: meer en helderdere communicatie over wat wel en niet mag. Dat betekent luisteren, en in gesprek gaan op een manier die rekening houdt met het eigen karakter en de identiteit van de partijen waar wij ons op richten. Een concreet voorbeeld van hoe we dat gesprek beter kunnen voeren, is het vaker uitzetten van consultaties. Zo kunnen we de ideeën en verwachtingen van de bij ons werkveld betrokken actoren in acht nemen in de uitvoering van ons toezicht. De belangrijkste aanbeveling van de commissie herkennen wij goed: een andere tijd vraagt om een andere houding. Met inachtneming van de uitdagingen die we hebben ervaren in de eerste jaren van de AVG en de Richtlijn gegevensbescherming bij rechtshandhaving (RGR). We zijn hier in 2024 mee aan de slag gegaan, met name via een verbeterde informatievoorziening en actievere voorlichting naar organisaties, burgers en collega-experts. In 2025 zullen we nog meer investeren in onze lopende inspanningen, bijvoorbeeld in het verbeteren van de samenwerking met de functionarissen gegevensbescherming (FG’s) van gegevens verzamelende en verwerkende organisaties en in de verdere ontwikkelingen van onze contacten met burgers.

De evaluatie laat zien dat de meeste winst is te boeken op het verder verbeteren en versnellen van het persoonlijk contact ‘op ooghoogte’, in onze toon en toelichting. Dat vertalen wij als ‘helder op de inhoud, benaderbaar op de persoon’. Zo hebben we recent met VNO-NCW afgesproken dat we het komende jaar intensiever met brancheverenigingen zullen overleggen, zoals we ook al doen met de burger- en consumentenorganisaties. Zo kunnen we de komende jaren zo goed mogelijk werk maken van het beschermen van mensen in een digitale wereld. En organisaties uitleggen wat er wél kan en stimuleren bij privacyvriendelijke innovaties. Zo helpen we de samenleving vooruit” [einde citaat].

Jaarverslag FG 2025

-34-