PrivacyRapportage2020Q2 Def.pdf

Privacy rapportage Gemeente Beek

Tweede half jaar 2020

Veerle van Hees, Functionaris Gegevensbescherming 11 februari 2021

Inhoudsopgave INHOUDSOPGAVE ............................................................................................................................................ 2 INLEIDING ........................................................................................................................................................ 3 LEESWIJZER ............................................................................................................................................................ 3 DEEL 1. TERUGBLIK OP HET TWEEDE HALF JAAR VAN 2019 .............................................................................. 4 1. 2. 3. 4. 5. 6. 7. 8.

HET PRIVACYBELEID ......................................................................................................................................... 4 PROCESSEN.................................................................................................................................................... 4 ORGANISATORISCHE INBEDDING ........................................................................................................................ 5 RECHTEN VAN BETROKKENEN ............................................................................................................................ 5 SAMENWERKING ............................................................................................................................................. 5 BEVEILIGING .................................................................................................................................................. 6 VERANTWOORDING ......................................................................................................................................... 6 CONCLUSIE .................................................................................................................................................... 6

DEEL 2. VOORUITKIJKEN ................................................................................................................................... 7 1. 2. 3. 4. 5. 6. 7. 8.

HET PRIVACYBELEID ......................................................................................................................................... 7 PROCESSEN.................................................................................................................................................... 7 ORGANISATORISCHE INBEDDING ........................................................................................................................ 7 RECHTEN VAN BETROKKENEN ............................................................................................................................ 7 SAMENWERKING ............................................................................................................................................. 7 BEVEILIGING .................................................................................................................................................. 8 VERANTWOORDING ......................................................................................................................................... 8 CONCLUSIES................................................................................................................................................... 8

2

Inleiding De gemeente dient zorgvuldig om te gaan met persoonsgegevens. Gemeenten verwerken immers bij de uitoefening van hun taken veel informatie. Niet alleen persoonlijke informatie van eigen inwoners, maar ook van andere burgers, medewerkers, externen en zakenrelaties. In de AVG wordt het wettelijk kader beschreven voor het verwerken van persoonsgegevens. Zo dient de gemeente transparant te zijn welke persoonsgegevens zij verwerkt en voor welk doel. Persoonsgegevens mogen alleen worden verwerkt wanneer dit in overeenstemming is met het doel waarvoor zij zijn verzameld en gegevens mogen niet langer bewaard worden dan strikt noodzakelijk. Bovendien moet de gemeente passende technische en organisatorische beveiligingsmaatregelen treffen om onrechtmatige toegang tot deze persoonsgegevens tegen te gaan en daardoor een onrechtmatig gebruik van deze persoonsgegevens te voorkomen. Daarnaast heeft de gemeente ook te maken met tal van privacyregels in sectorspecifieke wetgeving. Dit alles heeft gevolgen voor de inrichting van processen en systemen in en van de gemeente. Onder de verantwoordelijkheid van het college van Burgemeester en Wethouders (college van B&W) en van de gemeenteraad vindt een groot aantal verwerkingen van persoonsgegevens plaats. Het gaat hierbij om persoonsgegevens van eigen inwoners, inwoners van andere gemeenten, zakenrelaties, medewerkers en externen.

De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacyregels in Nederland. Dit halfjaarlijkse verslag is bedoeld voor de burgemeester, het college van B&W en de gemeenteraad.

Leeswijzer Deze rapportage bestaat uit twee delen. In het eerste deel wordt teruggekeken naar het tweede half jaar van 2020. Wat heeft de gemeente bereikt op het gebied van gegevensbescherming? Welke maatregelen zijn er genomen om te voldoen aan de AVG? In het tweede deel worden werkzaamheden voorgesteld en aanbevelingen gedaan om gegevensbescherming en privacy naar een nog hoger niveau te tillen. Hierbij wordt waar nodig tevens aandacht geschonken aan de technische en organisatorische middelen die nodig zijn om dit hogere niveau te bereiken. De zeven onderdelen die in beide delen worden genoemd zijn afkomstig uit het document ‘Het borgen van de Algemene Verordening Gegevensbescherming in de gemeentelijke organisatie’ van de Informatiebeveiligingsdienst. In dat document worden criteria en maatregelen omschreven die de AVG vertalen naar een kwaliteitscyclus voor gegevensbescherming en privacy voor gemeentelijke processen. De aanpak en werkzaamheden van de privacy organisatie van gemeente Beek is gebaseerd op deze kwaliteitscyclus.

3

Deel 1. Terugblik op het tweede half jaar van 2020 In dit deel van de rapportage wordt teruggeblikt op hetgeen de gemeente in het eerste half jaar van 2020 heeft bereikt en welke werkzaamheden zijn verricht. Bijzondere factor in deze periode is natuurlijk de Corona-crisis die nog steeds ook impact op privacy en informatiebeveiliging heeft.

1. Het privacybeleid Het privacybeleid is een kader waarin de gemeente Beek aangeeft aan welke principes zij zich houdt bij de verwerking van persoonsgegevens. Het privacyreglement is een verdieping van het beleid en laat zien hoe de gemeente met privacy, en met name de wet, omgaat. Met andere woorden: hoe wordt het beleid in de praktijk uitgevoerd? Op 6 oktober 2020 is het Privacybeleid en -reglement gemeente Beek door het college van Burgemeester en Wethouders vastgesteld en gepubliceerd. Op Beekipedia is onder organisatie, beleidsdocumenten een button privacybeleid gemaakt waarin alle relevante informatie omtrent beleidsdocumenten privacy te vinden is. .

2. Processen De verwerkingen van persoonsgegevens van de gemeente Beek dienen te voldoen aan de AVG. Dit houdt in dat de werkprocessen die persoonsgegevens bevatten getoetst en ingericht moeten worden volgens de volgende beginselen: behoorlijkheid, transparantie, doelbinding, dataminimalisatie, opslagbeperking, juistheid, integriteit en vertrouwelijkheid. Daarnaast kan de gemeente in gevallen verplicht zijn om een gegevensbeschermingseffectbeoordeling (DPIA1) uit te voeren. Het up to date houden van het register van verwerkingen is een structurele activiteit van de privacy functionaris. Dit register wordt nu niet meer bijgehouden in een Excel-oplossing, maar met de tool i-Navigator. Hiermee wordt aansluiting bereikt met het zaaksysteem Liber en hebben we een veel fijnmaziger register. Het systeem iNavigator wordt momenteel door alle medewerkers aangevuld conform het door DIV opgestelde excelbestand. Naar verwachting is het vullen van het systeem voor maart 2021 gereed. Eind 2020 zijn de volgende gegevensbeschermingseffectbeoordelingen (DPIA’s) afgerond voor bestaande danwel nieuwe verwerkingen: De verwerking van persoonsgegevens in de gemeentelijke uitvoering van de Wet Verplichte Geestelijke Gezondheidszorg (WVGGZ); De verwerkingen van persoonsgegevens in het nieuwe digitale informatiesysteem SQUIT20/20 dat t.b.v.

vergunningverlening, toezicht en handhavingstaken (VTH) wordt geïmplementeerd; De verwerkingen van persoonsgegevens ‘aanvragen van een rijbewijs’, waarbij het informatiesysteem iBurgerzaken wordt gebruikt; De verwerkingen van persoonsgegevens ‘aanvraag jeugdhulp’ waarbij het informatiesysteem iSamenleving wodt gebruikt; De verwerkingen van persoonsgegevens ‘hulp bij het huishouden’ waarbij het informatiesysteem iSamenleving wordt gebruikt; De verwerkingen van persoonsgegevens in het bestaande systeem corsa, (document management systeem (DMS systeem) in combinatie met een digitaal archief) is niet afgerond vanwege tijdsgebrek bij betreffende taakveld. De privacy functionaris maken hierbij gebruik van de DPIA-tool die door de InformatieBeveiligingsDienst (IBD) van de VNG ter beschikking wordt gesteld. Naast de CISO gebruikt de privacy functionaris key2control ter vastlegging en monitoring van de opgestelde beheersmaatregelen uit de DPIA’s.

1 De gegevensbeschermingseffectbeoordeling wordt ook wel afgekort tot DPIA naar de Engelse term Data

Protection Impact Assessment.

4

3. Organisatorische inbedding Voor een goede en juiste uitvoering is het van belang dat eenieder binnen de organisatie op de hoogte is van de beginselen van de AVG en het belang van privacy. Organisatorische inbedding betekent het toewijzen van taken, verantwoordelijkheden en bevoegdheden en bewustzijn creëren. Bewustzijn is gecreëerd door een ibewustzijnsprogramma op gebied van informatieveiligheid, privacy en integriteit te doorlopen. Dit programma betrof drie leercirkels bestaande uit een meting, webinars/workshops en elearning. In 2018 is gestart met de leercirkel Informatiebeveiliging. In 2019 is dit vervolgd met de leercirkel Privacy en in 2020 is de leercirkel Integriteit afgerond. Waarbij steeds een aantal zaken uit voorgaande leercirkels werd herhaald. Hackers worden steeds inventiever en phishing mails zijn soms nog maar amper van echt te onderscheiden. Daarom is het van groot belang dat iedereen in de organisatie in staat is tijdig phishing-berichten te herkennen. Er zijn inmiddels 3 phishing tests uitgezet in de organisatie. (dec 2019, juni 2020 en september 2020) Rapportage resultaten Er zijn in totaal drie PST-campagnes uitgevoerd. De resultaten van de campagnes verschillen sterk. De eerste campagne is uitgevoerd onder medewerkers van de gemeente Beek. In de campagne is te zien dat er nog weinig bewustwording was op het gebied van phishing.

Hierdoor hebben van de 78 mensen die de mail hebben geopend, 62 (79%) geklikt. In de tweede campagne heeft alleen plaatsgevonden onder raads- en commissieleden. Uit de cijfers blijkt dat zij bewusterzijn dan de medewerkers. Van de 21 mensen die de mail hebben geopend, hebben 8 mensen(38%) geklikt.Tijdens de derde campagne zijn beide groepen getoetst op de bewustwording. Hieruit blijkt dat de bewustwording sterk is toegenomen. Gekeken naar het gemiddelde van degene die hebben geopend versus die hebben geklikt –uit de eerste twee campagnes -was dit gemiddeld 70,7%. Nu heeft van degene die het bericht hebben geopend 39% geklikt. Bij ICT zijn weinig tot geen melding die betrekking hebben op Phishingmail binnen gekomen.

4. Rechten van betrokkenen De gemeente dient degene van wie zij de persoonsgegevens verwerkt (betrokkene) zowel actief als passief te informeren over het verwerken, de wijze van het verwerken, de grondslag en de maatregelen die zij neemt om onrechtmatige toegang en - verwerking te voorkomen. Daarnaast stelt de AVG betrokkenen in staat om middels een aantal rechten controle en invloed uit te oefenen over zijn of haar persoonsgegevens. In het eerste half jaar van 2020 hebben 2 betrokkenen een verzoek tot wissing van van hem verwerkte persoonsgegevens gedaan. Deze verzoeken zijn door de privacy functionaris afgehandeld. In de tweede helft van 2020 zijn geen verzoeken omtrent uitvoering rechten van betrokkenen ontvangen. De privacy functionaris is gestart met het uitwerken van een procedure rechten van betrokkenen.

5. Samenwerking De gemeente Beek werkt op meerdere beleidsterreinen, in verschillende bedrijfsfuncties, in diverse rollen en hoedanigheden samen met (mede) overheden en private organisaties. In veelvoorkomende gevallen zal er sprake zijn van een verwerking van persoonsgegevens tussen partijen: ontvangen van persoonsgegevens, verzenden van persoonsgegevens, maar ook het opslaan van en inzage hebben in persoonsgegevens valt onder dit begrip. Deze verwerkingen dienen dan ook te voldoen aan de AVG. De gemeente Beek dient dan ook afspraken te maken met deze andere partijen. Gemeente Beek hanteert de standaard verwerkersovereenkomst (laatste versie is 2.3 d.d. 26-11-2020) van de VNG voor het maken van afspraken met partijen die voor de gemeente persoonsgegevens verwerken. Net zoals in het eerste half jaar is ook nu met een aantal partijen een verwerkersovereenkomst afgesloten. Sinds medio 2019 neemt de privacy functionaris van de gemeente Beek deel aan het Regionaal Privacy Overleg (RPO) Midden- en Zuid-Limburg. Ook via een regionaal overleg Westelijke Mijnstreek, intervisie met collega privacy functionarissen en het privacyforum van de VNG wordt kennis en informatie uitgewisseld.

5

6. Beveiliging Vanuit het algemene behoorlijkheidsbeginsel, het integriteitsbeginsel en het vertrouwelijkheidsbeginsel is het essentieel dat de gemeente Beek passende technische en organisatorische maatregelen neemt ter beveiliging van persoonsgegevens. Daarnaast geldt er onder de AVG een procedure rondom datalekken. Dit houdt in dat incidenten – waaronder inbreuken – op de beveiliging moeten worden geregistreerd en onder omstandigheden gemeld dienen te worden aan de AP en/of de betrokkene(n). In het eerste half jaar van 2020 zijn we vanaf maart geconfronteerd met de gevolgen van de Corona-uitbraak. Door het in groten getale thuiswerken, is ook extra aandacht besteed aan de privacy aspecten daarvan en zijn diverse adviezen uitgebracht, bijvoorbeeld omtrent het gebruik van elektronische vergadersystemen en het opnemen van vergaderingen. In totaal zijn in 2020 12 datalekken gemeld waarvan in 3 gevallen een melding bij AP is gedaan. In 2019 heeft gemeente Beek in totaal 17 datalekken gehad, waarvan er 3 zijn gemeld bij de AP.

7. Verantwoording De AVG legt de verantwoordelijkheid bij de organisatie zelf om aantoonbaar te maken dat deze voldoet aan de privacyregels. Door te voldoen aan de verantwoordingsplicht, levert de organisatie een belangrijke bijdrage aan de bescherming van het grondrecht van mensen op privacy. Dit betekent dat het college van B&W en de gemeenteraad aan moeten kunnen tonen dat de verwerkingen van persoonsgegevens voldoen aan de beginselen van de AVG en aan de relevante wet- en regelgeving. Privacy Management Systeem Het Privacy Management Systeem vormt samen met de modulen Kwaliteitssysteem informatiebeveiliging en Kwaliteitssysteem informatiebeheer de onderdelen van een integraal intern beheersing systeem in key2control. Dit integraal beheersysteem stelt ons in staat om het proces van privacy management, informatiebeveiliging én informatiebeheer zodanig in te richten dat de kwaliteit van beleidsuitgangspunten, procedures en risico’s aantoonbaar geborgd wordt ten behoeve van de dagelijkse uitvoering én er een blijvend proces van continu verbeteren in gang wordt gezet. Register van verwerkingen In iNavigator wordt momenteel door DIV gewerkt aan het updaten van alle werkprocessen en verwerkingen. De gemeente beschikt vervolgens over een up to date register van verwerkingen, dat door de privacy functionaris wordt onderhouden.

Ook inbreuken in verband met persoonsgegevens en verzoeken van betrokkenen worden geadministreerd.

8. Conclusie Ook in 2020 is de gemeente Beek verder gegaan op het ingezette pad om de privacy te borgen in de organisatie, de systemen en de processen. Dankzij de aanschaf van het Privacy Management Systeem kan dit nu aantoonbaar worden geborgd. Er zijn geen significante gevolgen van het vele thuiswerken gesignaleerd, wel blijkt dat er minder datalekken zijn gemeld. Er zijn ook aandachtspunten voor de organisatie om aantoonbaar te kunnen (blijven) voldoen aan de AVG. In het tweede deel van de rapportage zullen aanbevelingen worden gedaan om gegevensbescherming verder in te bedden in de organisatie.

6

Deel 2. Vooruitkijken Gegevensbescherming onderdeel laten worden van de organisatie, en daarmee aantoonbaar voldoen aan de relevante wet- en regelgeving, is geen afvinklijst, maar een continu proces. Het vraagt om structurele borging van dit onderwerp. Privacy moet bij iedereen in het DNA komen te zitten. 2020 stond met name in het teken van het nieuwe vastgesteld privacy beleid, de bewustwordingscampagne integriteit, eerste uitgevoerde en afgeronde gegevenseffectbeoordelingen, aanschaf Privacy Management System en uitzetting van phishing tests. Uiteraard blijft het spannend of en hoe Corona de bescherming van privacy zal beïnvloeden.

1. Het privacybeleid Het privacy beleid is in oktober 2020 vastgesteld door het college.

2. Processen Aanbevelingen/plannen: In de verplichte gevallen zal een gegevensbeschermings-effectbeoordeling (DPIA) worden uitgevoerd. De DPIA’s betreffende onderstaande onderwerpen zullen in 2021 nog verder afgerond worden: Voor de processen en verwerkingen waarbij het informatiesysteem Liber worden gebruikt is nog niet gestart. Voor de processen en verwerkingen waarbij het informatiesysteem Corsa worden gebruikt is uitgesteld naar 2021. Vanuit de ENSI audit is de verplichting gekomen om een DPIA op SUWINET uit te voeren. De nieuwe gewijzigde wet schuldhulpverlening en de nieuwe hieruit voortvloeiende verwerkingen. Ook de hieruit voortvloeiende maatregelen worden in key2control ter borging opgenomen. Er is een nieuwe risicoanalyse opgesteld om de maatregelen beter te kunnen classificeren.

3. Organisatorische inbedding Conform artikel 37.1 (A) wijst een overheidsorgaan als de verwerkingsverantwoordelijke een functionaris gegevensbescherming aan. De rollen op gebied van privacy zijn per 1 januari 2021 aangepast in de organisatie. De functie van privacy officer is sinds oktober 2019 intern opgevuld en de functie van functionaris gegevensbescherming werd ingehuurd. Per 1 januari 2021 is de functie van interne privacy officer gewijzigd in de functie van functionaris gegevensbescherming, vanwege de opgebouwde kennis en ervaring opgedaan het afgelopen jaar is inhuur van functionaris gegevensbescherming niet meer nodig, uitsluitend daar waar het vierogen principe verplicht is bijvoorbeeld bij de uitvoering én adviesplicht bij een gegevenseffectbeoordeling zal juridische (AVG) expertise moeten worden ingewonnen of daar waar aanvullend advies noodzakelijk is. Vergroten bewustwording Uitvoering geven aan de in een kalender voor 2021 opgestelde bewustwordingsacties voor privacy welke is afgestemd met o.a. P&O, CISO, ICT.

4. Rechten van betrokkenen Aanbevelingen/plannen: De procedure rechten van betrokkenen afstemmen met Stein en SG en opnemen in handboek. Opstellen procedure datalek. Actualiseren handboek privacy. Opstellen procedure gegevenseffectbeoordeling.

5. Samenwerking Aanbevelingen/plannen: Actief blijven deelnemen aan het Regionaal Privacy Overleg en de andere in het eerste deel genoemde kennis- en informatie uitwisseling. Actief deelnemen aan het Regionaal overleg Westelijke Mijnstreek, contacten onderhouden binnen het VNG forum. Tevens actief en structureel blijven samenwerken met

7

de collega’s van Informatiebeveiliging, omdat dit nauw verbonden is met privacy. Deelname aan het nieuw gestarte structurele overleg met de applicatiebeheerders, ICT, DIV en CISO.

6. Beveiliging Aanbevelingen/plannen: Blijf de organisatie snel en breed informeren bij het afhandelen van informatieveiligheidsincidenten waarbij sprake is van een inbreuk in verband met persoonsgegevens. Dit creëert nog beter bewustzijn en draagt bij aan het voorkomen van herhaling van vergelijkbare incidenten. En blijf zorgen voor korte lijnen (zoals ook al in de vorige paragraaf genoemd) met de collega’s van Informatiebeveiliging.

7. Verantwoording Aanbevelingen/plannen: Aanvulling van het register van verwerkingen in i-Navigator. Tegelijkertijd met de implementatie van zaaksysteem Liber evalueert afdeling DIV en de operationele afdelingen of de verwerkingen van persoonsgegevens die worden uitgevoerd inderdaad allemaal correct in het register van verwerkingen (iNavigator) zijn opgenomen. In het Privacy Management Systeem is de nu meting privacy afgerond waarbij de resultaten verwerkt zijn in het afdelingsplan voor 2021. Het Privacy Management Systeem heeft een takenmodule waarmee taken, gekoppeld aan maatregelen, zijn toegewezen aan medewerkers. Hierdoor heeft de organisatie doorlopend inzicht en overzicht in de feitelijke stand van zaken. Alle data inclusief bewijslast worden auditproof opgeslagen in een versleutelde omgeving. Uitvoeren van de hieruit voortgekomen taken en monotoring. .

8. Conclusies Op het gebied van privacy en gegevensbescherming is er in 2021 nog op diverse punten winst te behalen. Het communiceren en delen van resultaten over privacy én de borging daarvan blijven we verbeteren. Met het doel om op een steeds volwassener en transparante wijze bescherming van gegevens en privacy naar een hoger niveau te tillen.

8