5. Rekenkameronderzoek Weten wat je moet weten - Bijlagenboek Berg en Dal, Wijchen en Beuningen

Verloop bestuurlijke ontwikkellijn – de donkerblauwe lijn geeft de AVG-beleidsvoering van Gemeente Hilversum weer. De lichtblauwe stippellijn toont het gemiddelde van gemeenten waar PMP het FG-schap invult. Sturing boven de 90% wil zeggen dat bestuur en management ‘op niveau’ zitten. Het vergt tijd en inspanningen om op dat niveau te komen en niet terug te vallen.

Opvallend in 2020 Vooral positief is dat er sprake is van een stijging, óndanks de coronacrisis. Dit wordt met name verklaard doordat het interne supportteam voor AVG en informatiebeveiliging, het PIT, werd versterkt met extra mensen waardoor meer werk verzet kan worden en uitval niet meteen leidt tot stilstand in de beleidsvoering. Door in 2021 de juiste prioriteiten te stellen en resultaten te boeken, moet het mogelijk zijn om in 2021 de ontwikkellijn steilere stijging te geven. Twee invalshoeken werken bevorderend: • de ontwikkeling van een bestuurlijke visie op ‘Hilversum 2035’: wat wil de gemeente betekenen voor haar inwoners in het digitale tijdperk en hoe organiseer je dat slim – ook in samenwerking met regionale en landelijke ketenpartners? • bestuurlijke aandacht voor digitale transformatie tijdens collegevergaderingen, raadsvergaderingen en in het directieteam.

5 De percentages zijn het gemiddelde van de scores in de kolom ‘werking’ op de bestuurlijke ontwikkellijn in de FG-verslagen 2018-2020.

3/8

In 2020 is het PIT er in geslaagd om zich beter binnen de gemeenteorganisatie te manifesteren. De managementrapportages van het PIT maken de voortgang inzichtelijk. De privacy officers slagen er steeds beter in om proceseigenaren klantgericht te ondersteunen en oogsten op die manier waardering. Hét instrument om tot een AVG-conforme werkwijze te komen, is de uitvoering van dataprotectie impact assessments (DPIA’s). Een goede DPIA doet denken aan een milieueffectentoets, maar voor de digitale leefomgeving. De proceseigenaar onderzoekt, geholpen door het PIT, welke risico’s personen lopen zónder beschermingsmaatregelen en welke maatregelen nodig zijn om effectieve bescherming te bieden zodat die risico’s zich redelijkerwijs niet kunnen voordoen. In het afgelopen jaar zijn verschillende DPIA’s opgestart, zoals de DPIA Ondermijning en een DPIA Werk en Inkomen, naast de DPIA’s die zijn uitgevoerd voor smart city-projecten (Snelliuslaan, Druktemeter, Hoppler buurtplatform) en bijvoorbeeld de DPIA bodycams. Het is aan het PIT om te rapporteren over voortgang en resultaten volgens het jaarplan dat in samenspraak met het college is vastgesteld. Belangrijk is dat met de uitvoering van DPIA’s in het afgelopen jaar kennis en ervaring is opgedaan, waardoor Gemeente Hilversum nu beter kan voorzien in passende maatregelen zoals de AVG voorschrijft.

Medewerkers en bestuurders worden uitgedaagd om kritischer te zijn, onder meer op protocollen en regelingen waarmee ogenschijnlijk de AVG wordt nageleefd. Een voorbeeld is de ‘Verwerkersovereenkomst Machtigingsbesluit Toeslaggedupeerden’ die eind 2020 tot stand kwam. Bij toetsing aan de AVG bleek deze regeling in het geheel niet te kloppen omdat geen rekening was gehouden met de eigen verantwoordelijkheid van gemeenten.6

FG-advies voor 2021 In de rechterkolom van de bestuurlijke ontwikkellijn en de ontwikkellijn per aandachtsgebied treft u aanbevelingen aan voor een verdere opgaande lijn in 2021. Hoofdzakelijk gaat het om het volgende: 1. Leg de nadruk op realisatie van beheersmaatregelen. Geef proceseigenaren duidelijk opdracht en laat hen verantwoording afleggen over genomen beschermingsmaatregelen. Bij hogere risicoscores (zie privacybeleidskader) zijn proceseigenaren ook opdrachtgever van audits. 2. Ontwikkel een eigen bestuurlijke visie en strategie op de digitalisering en de opkomst van nieuwe technologieën zoals smart tech, algoritmes en kunstmatige intelligentie. Hanteer de AVG als kompas om te waarborgen dat gegevensverwerking ten dienste staat van de mens. 3. Maak met buurgemeenten en ketenpartners afspraken over ieders rol en verantwoordelijkheid in informatieketens. Meer specifiek verdienen in 2021 schuldhulpverlening en het werk van bijzondere opsporingsambtenaren aandacht. Het PIT heeft in het werkplan 2021 aangegeven hier werk van te maken. • Schuldhulpverlening vanwege de recente wijziging van de Wet gemeentelijke schuldhulpverlening waarin wordt benadrukt dat gegevens kunnen worden gedeeld voor een meer menscentrale aanpak. Door de coronacrisis en de toeslagenaffaire is dat actueel.

• Het werk van bijzondere opsporingsambtenaren verdient prioriteit omdat op de verwerking van persoonsgegevens door BOA’s sinds 2018 vaak óók vernieuwde Wet politiegegevens van toepassing is. Bij de aanpassing van de Wpg is bepaald dat op de gegevensverwerking door 6 De verwerkersovereenkomst is door het Ministerie van Financiën voorgesteld aan gemeenten, in samenwerking met de VNG.

4/8

BOA’s na twee jaar een audit dient te worden uitgevoerd, die daarna om de vier jaar moet worden herhaald.

Bijdrage FG aan de beleidsvoering Als FG ondersteun ik de beleidsvoering vanuit mijn wettelijke rol en verantwoordelijkheid. Ik kan helpen door misverstanden over de AVG weg te nemen en de baten van duurzaam databeleid te accentueren. Via participatie in regionaal FG-overleg en bijvoorbeeld mijn contacten met de Autoriteit Persoonsgegevens help ik het pad te effenen voor toekomstvast gemeentebestuur. Uw FG is ook degene die als de gemeentelijke data-ombudsman de personen helpt die ondanks alle waarborgen op het gebied van gegevensbescherming, toch verstrikt raken of in de steek zijn gelaten door ‘het systeem’ waar Gemeente Hilversum evenzeer deel van uit maakt.

Utrecht, 10 maart 2021

Mr. S.H. Katus, CIPP/E CIPM FIP

5/8

Leeswijzer ontwikkellijnen Algemeen In de kern gaat de AVG niet over privacy. De AVG reikt praktische handvatten aan voor maatschappelijk verantwoord omgaan met persoonsgegevens, duurzame samenwerking binnen informatieketens (jeugdketen, zorgketen, veiligheidsketen, …) en acceptabele inzet van nieuwe technologieën zoals data-analyse, algoritmes / kunstmatige intelligentie, gezichtsherkenning, drones of bijvoorbeeld verkeerssensoren. Voor de beoordeling van de mate waarin een gemeente aan de AVG voldoet, hanteer ik hierna zowel prestatie-indicatoren op bestuurlijk niveau (bestuurlijke ontwikkellijn) als prestatieindicatoren op uitvoeringsniveau (ontwikkellijn per aandachtsgebied).7 De kwaliteit van de beleidsvoering visualiseer ik vervolgens zowel aan de hand van onderstaande symbolen, als de driedeling ‘opzet, bestaan en werking’.

Niet onderzocht,

In aanzet aanwezig

Substantieel aan-

Grotendeels

Volledig aanwezig

Onderzocht maar (nu)

afwezig of niet

en aantoonbaar

wezig en aantoon-

aanwezig en

en aantoonbaar

niet aan de orde.

baar

aantoonbaar

aantoonbaar

– Opzet: de aanpak klopt op papier – er is goed over nagedacht. – Bestaan: de aanpak is volgens plan in praktijk gebracht – de gemeente heeft daadwerkelijk in passende gegevensbescherming voorzien. – Werking: de aanpak blijkt ook in de praktijk doelmatig en doeltreffend.

Control & accountability Overal zou een 100% score moeten staan, uitgezonderd situaties waarin de AVG niet van toepassing is omdat (nog) niet met persoonsgegevens wordt gewerkt. Daarmee is niet gezegd dat oplossingen perfect zijn of dat zich geen privacydiscussies kunnen voordoen, maar wel dat de gemeente naar behoren de AVG naleeft, doordat is voorzien in AVG-conforme oplossingen (‘passende maatregelen’). Het gemeentebestuur (vooral het college), is dan maximaal in control en in de positie om met vertrouwen verantwoording af te leggen over beleid en maatregelen • Dit FG-verslag ondersteunt de verantwoording door het college aan de raad en eventueel anderen, zoals de Autoriteit Persoonsgegevens of de rechter. • De raad beschikt aan de hand van dit verslag over de informatie die nodig is om het college te kunnen controleren op het gebied van privacybescherming. • De accountant beschikt met dit verslag over een in onafhankelijkheid en op expertise gebaseerde beoordeling voor de jaarcontrole. • Dit verslag hoort leidend te zijn bij BRP-, ENSIA-audits of rekenkamertoetsing voor zover de vraag speelt of de gemeente de AVG naleeft. AVG-toetsing door anderen dan de FG brengt extra administratieve lasten met zich mee en strookt niet met de toezichtsystematiek van de AVG.

7 De indicatoren op uitvoeringsniveau vormen tegelijkertijd de koppeling met het verwerkingsregister waarover de gemeente volgens artikel

30 AVG moet beschikken. Vgl. de afspraken hierover die we in VNG/IBD-verband hebben gemaakt.

6/8

Ontwikkellijn bestuurlijk Speerpunten 1. Beleid Visie, missie en aanpak

Opzet

Bestaan

Werking

Advies (1) Plaats het privacybeleidskader in het licht van duurzaam databeleid. (2) Zet het belang van duurzaam databeleid af tegen andere bestuurlijke thema’s. (3) Maak FG-verslagen onderdeel van horizontale verantwoording.

2. Regie en support Ondersteuning aan proceseigenaren

(1) Bevorder begrip bij proceseigenaren en waarom zij behoeftesteller zijn. (2) Benadruk de ondersteunende functie van het PIT. (3) Waarborg de kwaliteit en capaciteit van het PIT. (4) Laat proceseigenaren via de concerndirecteur verantwoording afleggen over hun oplossingen.

3. Toezicht Kwaliteitsbewaking en data-ethiek

(1) Betrek de FG naar behoren en tijdig bij alle bestuurlijke aangelegenheden die verband houden met verwerking en bescherming van persoonsgegevens. (2) Blijf hem ruimte geven voor uitoefening van taken. (3) Bevorder FG-regio overleg.

4. Werkprogramma Plan ‘Samen op weg naar digitale duurzaamheid’.

(1) Relateer het werkprogramma voor de middellange termijn aan duurzaam databeleid. (2) Probeer via het jaarplan zoveel mogelijk ‘grote slagen’ te maken. Bijvoorbeeld: één integrale DPIA op bescherming van personen bij de gemeentelijke aanpak op het gebied van bijstand, schuldenproblematiek en fraudebestrijding. (3) waarborg korte doorlooptijden van DPIA’s en implementatie van maatregelen.

5. Privacy by design Interne activiteiten en gegevensdeling privacyproof

6. Ketenregie Uitbestede activiteiten en gegevensdeling privacyproof

(1) Zie toe op de implementatie van DPIA-uitkomsten (2) Vraag bij hogere AVG-risicoscoring de FG nadrukkelijk om DPIA-advies.

(1) Beperk ketenregie niet tot ‘verwerkersovereenkomsten’ maar neem ook verantwoordelijkheid bij deelname in samenwerkingsverbanden. (2) Voer ook in samenwerking met ketenpartners duurzaam databeleid. (3) Baseer ketenregie-afspraken op DPIA-uitkomsten en maak afspraken SMART.

7. Verzoeken, klachten en incidenten Veerkracht en servicegerichtheid

8. Communicatie en training/opleiding Cultuur, begrip en draagvlak

(1) Bewaak de goede werking van afhandeling van verzoeken, klachten en incidenten. (2) Draag zorg voor goede incidentadministratie (niet alleen datalekken). (3) Blijf lering trekken. (4) Betrek de FG waar nodig – met name bij escalatie van klachten. (1) Waarborg dat informatieverstrekking steeds voldoet aan de eisen van art. 13-14 AVG. (2) Blijf sturen op toereikende kennis en het juiste gedrag van medewerkers. (3) Waarborg met name dat personeelswisselingen niet kunnen leiden tot een ‘kennisgat’.

9. Informatiebeveiliging Beschikbare, betrouwbare en veilige informatievoorzieningen

10. Budget Algemene financiële middelen voor duurzaam databeleid

(1) Herijk informatiebeveiligingsmaatregelen aan de hand van DPIAuitkomsten. (2) Blijf de landelijke afspraken nakomen volgens de Baseline Informatiebeveiliging Overheid (BIO). (3) Blijf oplossingsgericht en kritisch op de administratieve lastendruk. (1) Draag er zorg voor dat in 2021 passend budget is voor kwalitatief goede AVG-beleidsvoering. (2) Geef het budget voor AVG-management / duurzaam databeleid een aparte post op de gemeentebegroting. (4) voorzie in een reserve voor de bekostiging van juridische bijstand bij rechtszaken.

7/8

Ontwikkellijn per aandachtsgebied Aandachtsgebied 1. Belastingheffing

Opzet

Bestaan

Werking

Advies Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig.

2.

Bescherming en opvang, inclusief rechtsbescherming

Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig.

3.

Burgerzaken

Er worden al langere tijd strenge eisen gesteld aan BRP en BSN, maar nog niet zozeer vanuit de AVG. Hanteer daarom evengoed een DPIA-aanpak om een beeld te vormen van de passendheid van maatregelen.

4.

Cultuur en sport

Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig. Mogelijk blijkt de AVG in dit aandachtsgebied minder een rol te spelen.

5.

Fraudeonderzoek

Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig.

6.

Gemeenteraad

(1) Heb contact met de FG, zowel de proceseigenaar (griffier) als in het kader van raadstoezicht. Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig.

7.

Interne organisatie

Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig.

8.

Jeugd en onderwijs

Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig.

9.

Lokale economie

Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig. Mogelijk blijkt de AVG in dit aandachtsgebied minder een rol te spelen.

10. Milieu en duurzaamheid

Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig. Mogelijk blijkt de AVG in dit aandachtsgebied minder een rol te spelen.

11. Wonen, ruimte en bereikbaarheid

Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig. Mogelijk blijkt de AVG in dit aandachtsgebied minder een rol te spelen.

12. Veiligheid en openbare orde

Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig. Draag zorg voor de audit conform de ministeriële regeling ‘periodieke audit politiegegevens’ van 26 juni 2019.

13. Werk en inkomen

Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig.

14. Zorg en welzijn

Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig.

8/8

Privacy Management Partners Coöperatie UA adres

Vondellaan 58 3521 GH Utrecht telefoon

+31 85 401 38 66 e-mail

info@pmpartners.nl website

www.pmpartners.nl

Weten wat je moet weten

BIJLAGE 7: TOELICHTING GEBRUIKTE AFKORTINGEN EN BEGRIPPEN In deze bijlage zijn gebruikte afkortingen en begrippen toegelicht. Bij enkele toelichtingen zijn links naar meer informatie opgenomen. AB: Algemeen Bestuur AP: Autoriteit Persoonsgegevens. De AP is de toezichthoudende autoriteit, zoals bedoeld in art. 51 lid 1 AVG. De AP houdt onafhankelijk toezicht op het gebruik van persoonsgegevens. De taken van de AP zijn toezicht, advisering, voorlichting, informatieverstrekking en verantwoording, en internationale taken. Voor meer informatie: https://www.autoriteitpersoonsgegevens.nl/ . De AP heeft ook een korte handreiking voor raadsleden gemaakt. AVG: Algemene Verordening Gegevensbescherming. De AVG is een Europese verordening waarin maatregelen en voorschriften zijn opgenomen die betrekking hebben op de bescherming van de persoonsgegevens in Europa. De AVG trad in 2016 in werking met een overgangsperiode tot 25 mei 2018. BIG: Baseline Informatiebeveiliging Nederlandse Gemeenten. De BIG gold in de periode 2012 – 2019. Vanaf 2019 is de BIO (zie hierna) van toepassing. BIO: De Baseline Informatiebeveiliging Overheid (BIO) is sinds 2019 het basisnormenkader voor informatiebeveiliging binnen de overheid (Rijk, gemeenten, provincies, waterschappen). CERT: Computer Emergency Response Team.

De IBD (zie hierna) is de CERT / CSIRT voor alle Nederlandse gemeenten en onderdeel van de Vereniging Nederlandse Gemeenten. CIO: Chief Information Officer. De hoogste verantwoordelijke binnen een organisatie op het gebied van ICT. CIS: Center for Internet Security. CIS is een non-profit organisatie die wereldwijd erkende ‘best practices’ opstelt voor het beveiligen van IT-systemen en data. CISO: Chief Information Security Officer. De CISO is verantwoordelijk voor het implementeren van het informatiebeveiligingsbeleid én het toezicht daarop. CSIRT: Computer Security Incident Response Team. De IBD (zie hierna) is de CERT / CSIRT voor alle Nederlandse gemeenten en onderdeel van de Vereniging Nederlandse Gemeenten. Datalek: De toegang tot of vernietiging, verlies, wijziging of verstrekking van persoonsgegevens bij een organisatie, zonder dat dit de bedoeling is van deze organisatie.

Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 7, bladzijde 1

Weten wat je moet weten

DB: Dagelijks Bestuur. DDoS-aanval: Distributed) Denial-of-Service-aanval. Met een DDoS-aanval wordt de capaciteit van onlinediensten of de ondersteunende servers en netwerkapparatuur aangevallen. Het resultaat van deze aanval is dat diensten slecht of helemaal niet meer bereikbaar zijn voor medewerkers of klanten. DIV: Documentaire Informatie Voorziening (in spreektaal vaak: het archief) DOP: Digitaal Ontwikkel Plan. DPIA: Data Protection Impact Assessment of gegevensbeschermingseffectbeoordeling. Een DPIA is een onderzoek dat de privacyrisico’s van een gegevensverwerking in kaart brengt. In de regel dienen DPIA’s uitgevoerd te worden wanneer een organisatie een nieuw systeem of proces wil invoeren. De Autoriteit Persoonsgegevens heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA verplicht is. DVO: Dienstverleningsovereenkomst. FG: Functionaris Gegevensbescherming. Organisaties zijn in bepaalde situaties verplicht een functionaris gegevensbescherming (FG) aan te stellen. De FG houdt binnen de organisatie onafhankelijk toezicht op en adviseert over de toepassing en naleving van de AVG. GAP-analyse: Een onderzoek waarbij getoetst wordt in hoeverre voldaan wordt aan een bepaalde set van eisen. Het verschil tussen de huidige en gewenste situatie is de ‘gap’. GMT: Gemeentelijk Management Team. GR: Gemeenschappelijke Regeling.

GRC tool: Governance, Risk & Compliance tool. Een GRC-tool is een hulpmiddel voor het beheren van de governance van een organisatie, het beheren van risico’s en het naleven van regelgeving. IBD: Informatiebeveiligingsdienst. De IBD is de sectorale CERT / CSIRT voor alle Nederlandse gemeenten en onderdeel van de Vereniging van Nederlandse Gemeenten. De IBD ondersteunt gemeenten op het gebied van informatiebeveiliging en privacy. Voor meer informatie: https://www.informatiebeveiligingsdienst.nl/ en specifiek voor de handreikingen, factsheets, formats en andere hulpmiddelen van de IBD voor gemeenten: Producten Informatiebeveiliging & Privacy - Informatiebeveiligingsdienst iRvN: ICT Rijk van Nijmegen. iRvN is een module binnen de Modulaire Gemeenschappelijke Regeling Rijk van Nijmegen. Voor meer informatie: https://www.irvn.nl/

Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 7, bladzijde 2

Weten wat je moet weten

ISMS: Information Security Management System is de Engelse term voor het managementsysteem voor informatiebeveiliging. Een ISMS is een geautomatiseerd systeem waarin – volgens de principes van de PDCA-cyclus (zie hierna) - de administratieve organisatie wordt vastgelegd en beheerd. ISO 27001: Internationale standaard voor het implementeren, onderhouden en continu verbeteren van een managementsysteem voor informatiebeveiliging. De BIO (zie hiervoor) is afgeleid van de ISO 27002:2013 norm en verplicht Nederlandse overheden om het managementsysteem in te richten volgens deze norm. KPI: Kritische Prestatie Indicator. Met kritische prestatie-indicatoren worden de prestaties van organisaties (of teams of medewerkers) gemeten. Op deze manier kan de voortgang van de uitvoering van beleid of van contractuele afspraken meetbaar en concreet gemaakt worden. Op basis van meetresultaten kan vervolgens besloten worden of bijsturing noodzakelijk is. Logging: Het registreren van uitgevoerde handelingen in een logbestand zodat monitoring en evaluatie plaats kan vinden. Door middel van logging worden gebeurtenissen in systemen vastgelegd. Bijvoorbeeld wie bepaalde gegevens heeft bekeken of heeft aangepast, maar ook pogingen om ongeautoriseerd toegang te krijgen tot systemen (denk aan DDoS aanvallen of ransomware). Ook kunnen door logging datalekken gesignaleerd of juist uitgesloten worden.

MGR: Modulaire Gemeenschappelijke Regeling Rijk van Nijmegen. Voor meer informatie: https://www.regiorvn.nl/ en https://lokaleregelgeving.overheid.nl/CVDR669794/2 MT: Managementteam. NBA-LIO en NOREA volwassenheidsmodel: model waarmee het volwassenheidsniveau voor informatiebeveiliging kan worden bepaald. Voor meer informatie: zie bijlage 2 of https://www.nba.nl/intern-en-overheidsaccountants/volwassenheidsmodel-informatiebeveiliging/ P&C cyclus: Planning & Control cyclus. PDC: Producten en Diensten Catalogus. PDCA-cyclus: PDCA staat voor Plan Do Check Act en betreft een structurele, cyclische aanpak die ook de basis is voor informatiebeveiliging en privacybescherming. Penetratietest (of kortweg pentest): Een onderzoek waarbij ethische hackers proberen de systemen en netwerken van een organisatie binnen te dringen met als doel het identificeren van kwetsbaarheden en het geven van passende adviezen om die kwetsbaarheiden te verkleinen of op te lossen. PO: Privacy Officer. Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 7, bladzijde 3

Weten wat je moet weten

Privacy Baseline: Model waarmee het volwassenheidsniveau voor privacybescherming bepaald kan worden. Voor meer informatie: zie bijlage 2 of https://www.cipoverheid.nl/media/1302/20190506-privacy-baseline-v3_2.pdf Ransomware: Kwaadaardige software die gegevens, of de toegang daartoe, onmogelijk maakt door informatie te versleutelen (encryptie) en losgeld te eisen. RvN: Rijk van Nijmegen. SMART: SMART staat voor Specifiek, Meetbaar, Acceptabel, Realistisch, Tijdgebonden. Dit is een algemeen gehanteerde norm, waarbij het uitgangspunt is dat aan hoe meer onderdelen wordt voldaan, hoe helderder de informatie is. •

Specifiek: voor maar één uitleg vatbaar

•

Meetbaar: er is sprake van een nulmeting én een streven of prognose

•

Acceptabel: de uitvoerder heeft de uitvoering geaccepteerd

•

Realistisch: de haalbaarheid is op enigerlei wijze onderbouwd en de gemeente heeft invloed op de realisatie

•

Tijdgeboden: er is een te volgen tijdpad benoemd

SO: Security Officer. Suwinet: Een digitale infrastructuur waarmee de Suwipartijen (UWV, SVB en gemeenten) gegevens met elkaar kunnen uitwisselen voor de uitoefening van hun wettelijke taak. Toestemming

Elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de

betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt. VNG: Vereniging van Nederlandse Gemeenten. De VNG ondersteunt gemeenten onder meer op het gebied van informatieveiligheid en privacybescherming. Voor gemeenteraden heeft de VNG diverse zogenaamde Raadgevers opgesteld. Op het gebied van informatiebeveiliging en privacybescherming zijn diverse Raadgevers over de informatiesamenleving interessant voor de gemeenteraad. WDW: Werkorganisatie Druten-Wijchen. Wbp: Wet bescherming persoonsgegevens. De Wbp gold vanaf 2001 en is inmiddels vervangen door de AVG. Wmo: Wet maatschappelijke ondersteuning.

Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 7, bladzijde 4