FG Jaarverslag College BW 2024 DO def

2024

Functionaris Gegevensbescherming 1-1-2024

Colofon Naam document

Jaarverslag Functionaris Gegevensbescherming Versienummer

1.0 Versiedatum format

November 2024 Versiebeheer

Het beheer van dit document berust bij de gemeente Breda – Functionaris Gegevensbescherming. Wijzigingshistorie Versie

Datum

1.0

4-2-2025

Wijziging / Actie

1.2

10-3-2025

Suggesties van reviewers verwerkt.

1.3

14-5-2025

Managementreactie verwerkt, DLP begrip toegelicht

Inhoudsopgave 1.

Inleiding

5

1.1. Doel Jaarverslag ............................................................................................................................... 5 1.2. Leeswijzer Jaarverslag ..................................................................................................................... 5 1.3. Achtergrond bij het ontstaan van het recht op gegevensbescherming .......................................... 5 1.4. Recht op privacy en recht op gegevensbescherming ...................................................................... 6 1.5. Taken en opgaven van de gemeente in relatie tot de AVG ............................................................. 7 1.6. Beeldvorming en mythes rond de AVG ........................................................................................... 7

2.

Samenvatting en Conclusies

7

2.1. Algemeen beeld van 2024 ............................................................................................................... 7 2.2. Terugblik en reflectie op opvolging advies jaarrapportage FG 2023 .............................................. 8 2.3. Belangrijkste resultaten uit 2024 .................................................................................................... 8 2.4. Belangrijkste prioriteit voor 2025.................................................................................................... 9

3.

Managementreactie Jaarverslag 2024

9

4.

Governance/Organisatie

10

4.1. Terugblik 2024 Rollen, taken, beleid, sturen op compliance en planvorming .............................. 10 4.2. Groei-en ontwikkelkansen 2025 Governance/organisatie ............................................................ 10

5.

Risicomanagement

11

5.1. Terugblik 2024 Register van verwerkingen ................................................................................... 11 5.2. Terugblik 2024 Data Protection Impact Assessments uitvoeren en opvolgen.............................. 11 5.3. Terugblik 2024 Risico verklaringen ................................................................................................ 12 5.4. Groei-en ontwikkelkansen 2025 risicomanagement ..................................................................... 12

6.

Samenwerkingen

13

6.1. Samenwerkingen en de vereisten uit de AVG ............................................................................... 13 6.2. Terugblik 2024 samenwerkingen .................................................................................................. 13 6.3. Groei-en ontwikkelkansen 2025 ‘samenwerkingen’ ..................................................................... 14

7.

Datalekken

14

7.1. Terugblik 2024 datalekken ............................................................................................................ 14 7.2. Groei-en ontwikkelkansen 2025 datalekken ................................................................................. 14

8.

Toepassen data protection by design and default

14

8.1. Terugblik 2024 Pre-DPIA’s/Data Protection Impact Assessments ................................................ 15 8.2. Terugblik 2024 naleving bewaartermijnen.................................................................................... 15 8.3. Groei-en ontwikkelkansen 2025 toepassen dataprotection by design and default en naleven bewaartermijnen ................................................................................................................................... 15

9.

Rechten van betrokkenen

15

9.1. Terugblik 2024 Inzageverzoeken ................................................................................................... 16 9.2. Terugblik 2024 verwijderingsverzoeken ........................................................................................ 16 9.3. Terugblik 2024 Bezwaar ................................................................................................................ 16 9.4. Terugblik 2024 AVG klachten ........................................................................................................ 16 9.5. Terugblik 2024 Transparantie en het recht op informatie ............................................................ 16 9.6. Groei-en ontwikkelkansen 2025 ‘rechten betrokkenen’ ............................................................... 17

10. 10.1. 10.2.

11.

Informatiebeveiliging

17

Terugblik 2024 informatiebeveiliging.................................................................................... 17 Groei-en ontwikkelkansen 2025 informatiebeveiliging ....................................................... 18

Bewustwording

18 3

11.1. 11.2.

12. 12.1. 12.2.

Terugblik 2024 bewustwording ............................................................................................. 18 Groei-en ontwikkelkansen 2025 bewustwording ................................................................. 18

Innovatie en het gebruik van innovatieve technieken

19

Terugblik 2024 innovatie en het gebruik van innovatieve technieken ................................. 19 Groei-en ontwikkelkansen 2025 innovatie en het gebruik van innovatieve technieken ...... 20

13. Trends en toekomstverkenning/Ontwikkelingen gegevensbeschermingsrecht 2025

20

14.

21

14.1. 14.2. 14.3. 14.4.

15. 15.1. 15.2. 15.3. 15.4.

16. 16.1. 16.2. 16.3. 16.4.

Wet politiegegevens

Terugblik 2024 beleid/ werkinstructies................................................................................. 22 Terugblik 2024 bewustwording ............................................................................................. 22 Terugblik 2024 (interne) audits ............................................................................................. 22 Groei-en ontwikkelkansen ‘wet politiegegevens’ ................................................................. 22

Toezicht door de FG

22

Organisatorische positionering FG ........................................................................................ 22 Externe samenwerkingen en lidmaatschappen .................................................................... 23 Toezichtactiviteiten ............................................................................................................... 23 Ontwikkelingen binnen het toezicht 2024 ............................................................................ 23

Toezichtsplan 2025

24

Systeemgericht Toezicht ....................................................................................................... 24 Themagericht Toezicht .......................................................................................................... 24 Toezichtonderwerpen voor de Wpg ..................................................................................... 24 Overige taken FG ................................................................................................................... 25

1.

Inleiding

1.1.

Doel Jaarverslag

De Functionaris Gegevensbescherming (FG) brengt jaarlijks verslag uit aan de Gemeentesecretaris en het College van Burgemeester en Wethouders. Dit verslag is bedoeld om hen te ondersteunen in hun verantwoordelijkheid de verplichtingen uit de Algemene Verordening Gegevensbescherming (AVG artikel 38 lid 3) en Wet politiegegevens Wpg (artikel 36 lid 4) te (doen) naleven en hen in staat te stellen hier sturing aan te geven. De aanbevelingen en adviezen in dit verslag zijn met name bedoeld voor en gericht op het management en bestuur, aangezien zij primair verantwoordelijk zijn voor het implementeren van de AVG en het (doen) borgen van gegevensbescherming.

1.2.

Leeswijzer Jaarverslag

Deze rapportage volgt de hoofdthema’s uit de AVG. Daarnaast behandelt de rapportage het toezicht door de FG op de Wpg en het toezichtsjaarplan voor 2025. De rapportage begint, na de introductie op het ontstaan van het gegevensbeschermingsrecht, met een managementsamenvatting met de belangrijkste bevindingen en groei- en ontwikkelkansen voor komend jaar op hoog-over niveau. Per hoofdonderwerp wordt in de vervolghoofdstukken een inhoudelijke verdieping gegeven van de diverse onderdelen met een illustratie van de behaalde resultaten en met de groei- en ontwikkelkansen voor het komende jaar. Hoewel het verslag uitgebreid is, beoogt het niet volledig te zijn. Het verslag kan in zijn geheel worden gelezen voor een beter begrip van de stand van zaken en om een gedetailleerder beeld te krijgen van de mate waarin de gemeente Breda heeft gewerkt aan het (blijvend) voldoen aan de AVG (en Wpg). Het verslag kan voor het management ondersteunend zijn bij de introspectie over hoe zij zaken binnen hun organisatieonderdeel hebben georganiseerd of nog moeten organiseren. Er kan ook voor worden gekozen alleen de (management)samenvatting, belangrijkste resultaten en aanbevelingen voor komend jaar te lezen (zie Hoofdstuk 2) en deze aanbevelingen op elke afdeling (in elk geval) te implementeren.

1.3.

Achtergrond bij het ontstaan van het recht op gegevensbescherming

In 1948 werd door de Verenigde Naties de Universele Verklaring van de Rechten van de Mens (UVRM) aangenomen. Deze verklaring stelt dat elk mens gelijk is en elk mens gelijke rechten heeft. In totaal worden in de Verklaring 30 rechten opgesomd. Eén van die fundamentele rechten is het recht op eerbiediging van de persoonlijke levenssfeer, vrij vertaald naar ‘het recht op privacy’1. Dit recht beoogt mensen te beschermen tegen willekeurige inmenging van organisaties. Het recht op privacy wordt gezien als zeer belangrijke randvoorwaarde om als mens te kunnen ontwikkelen tot een autonoom en (geestelijk en lichamelijk) gezond mens.

1 Artikel 12 Universele Verklaring van de Rechten van de Mens: ‘Niemand zal onderworpen worden aan willekeurige inmenging in zijn

persoonlijke aangelegenheden, in zijn gezin, zijn tehuis of zijn briefwisseling, noch aan enige aantasting van zijn eer of goede naam. Tegen een dergelijke inmenging of aantasting heeft eenieder recht op bescherming door de wet.’

5

De Universele Verklaring stelt verder, dat alle rechten onlosmakelijk met elkaar verbonden zijn en alle rechten evenveel waard zijn. Dat betekent dat er geen hiërarchie is in de rechten en dat er bij een ogenschijnlijke tegenstelling of conflict tussen bepaalde rechten altijd moet worden gekeken naar hoe alle fundamentele rechten kunnen worden geborgd.

1.4.

Recht op privacy en recht op gegevensbescherming

Privacy professionals worden nog steeds weleens geconfronteerd met verzuchtingen over dat ‘nieuwe’ privacyregels dingen moeilijker maken. De uitgangspunten binnen de Algemene Verordening Gegevensbescherming, zijn echter allesbehalve nieuw: Binnen de OECD (Organisation for Economic Co-operation and Development) werd al in de jaren 70 gezien dat automatisering een grote vlucht zou gaan nemen en dat deze automatisering een belangrijke rol zou gaan spelen in de handel én hierdoor het verwerken van persoonsgegevens . Om ervoor te zorgen dat consumenten het vertrouwen in de digitaliserende economie niet zouden verliezen, stelden zij de zogenaamde ‘privacy principles’2 op. Deze ‘privacy principes’, die door de OECD in 1980 werden aangenomen, hebben de basis gevormd voor de AVG zoals die er nu ligt. De Universele Verklaring van de Rechten van de Mens kent geen separaat recht op gegevensbescherming. De Raad van Europa heeft in 1950 het Europees Verdrag voor de Rechten van de Mens en de Fundamentele Vrijheden (EVRM) opgesteld. Dit verdrag is door alle 46 landen ondertekend. De Europese Unie heeft het Handvest van de Grondrechten in 2000 ondertekend3. In het Handvest wordt voor het eerst onderscheid gemaakt tussen het recht op ‘privacy’ en ‘het recht op gegevensbescherming’.

Het recht op privacy heeft meer betrekking op een absoluut ruimtelijk recht waarbij de overheid alleen fysiek (in bijvoorbeeld een woning) mag binnengaan als een drempelwaarde in een wet wordt overschreden, zoals bijvoorbeeld het geval is, wanneer iemand wordt verdacht van een misdaad. Dit ‘fysieke’ recht op privacy kan worden samengevat door te stellen: Geen inbreuk, tenzij… Het recht op gegevensbescherming heeft een zeer lage drempelwaarde: zodra persoonsgegevens worden verwerkt, gelden de regels voor gegevensbescherming (in de EU weergegeven in de AVG. In de AVG staat dát gegevens verwerkt mogen worden, soms zelfs moeten worden, als aan alle randvoorwaarden die worden genoemd in de AVG, wordt voldaan. Eén van die randvoorwaarden is, dat er een opdracht (ook wel: grondslag) is om persoonsgegevens te verwerken. Voor een gemeente geldt (onder andere), dat een ‘opdracht tot het verwerken van persoonsgegevens’ moet staan in een wet. Vaak staat er niet letterlijk welke persoonsgegevens worden verwerkt. In zo’n geval moet logisch zijn dat om een taak uit te voeren persoonsgegevens nodig zijn. Het moet voor de betrokkene transparant zijn, dat zijn/haar persoonsgegevens worden verwerkt en voor welk doel.

De verwerking moet in verhouding staan tot het doel, een verwerking moet zo min mogelijk inbreuk maken (op de persoonlijke levenssfeer), moet beveiligd gebeuren en als de bewaartermijn van de persoonsgegevens zijn verstreken, moeten persoonsgegevens worden vernietigd. De AVG staat gegevensverwerking nadrukkelijk toe, tenzij niet aan de randvoorwaarden uit artikel 5 4 en 6 5 uit de AVG wordt voldaan: gegevensverwerking is dus toegestaan, mits de randvoorwaarden zoals hierboven genoemd, worden ingevuld. Het is belangrijk te benadrukken dat het recht op gegevensbescherming geen absolute gelding heeft, net zo min als de andere mensenrechten een absolute gelding hebben. Mensenrechten moeten altijd

2 OECD Legal Instruments 3 text_nl.pdf 4 L_2016119NL.01000101.xml 5 L_2016119NL.01000101.xml

worden bezien in hun context en er moet altijd een balans gevonden worden tussen deze rechten. Dat geldt ook voor het recht op gegevensbescherming.

1.5.

Taken en opgaven van de gemeente in relatie tot de AVG

Gemeenten zijn verantwoordelijk voor het uitvoeren van een veelheid aan taken: ze geven paspoorten uit, maken plannen voor het ontwikkelen van gebieden om woningen te bouwen, ondersteunen mensen wanneer zij bijvoorbeeld schulden hebben of helpen mensen zelfredzaam te zijn door hen naar betaald werk te begeleiden. Zo bezien zijn gemeenten dagelijks bezig met het waarborgen van allerlei mensenrechten. De opdracht aan gemeenten ligt vast in diverse wetgeving, zoals de Gemeentewet, Participatiewet, Verkeerswet, Wet Maatschappelijke Ondersteuning, etc. etc. Samen met de AVG bieden deze wetten de gemeente Breda kaders en instrumenten om te bepalen: welke gegevens noodzakelijk en proportioneel zijn om taken te kunnen uitvoeren; - afwegingen te maken en een passende balans te vinden (en houden) tussen het ondersteunen van mensen; - het zorgen voor veiligheid in de stad; - kinderen veilig en gezond te laten opgroeien én; - het recht op gegevensbescherming te waarborgen.

1.6.

Beeldvorming en mythes rond de AVG

In 2024 bestond de AVG 6 jaar. In de praktijk worden privacy professionals nog steeds geconfronteerd met het feit dat de AVG wordt gezien als een belemmerende factor of een reden om dingen niet ‘te mogen’. Meestal klopt daar weinig van, maar het is wél zo dat het goed invullen van de randvoorwaarden en verplichtingen en de verantwoording onder de AVG voor een gemeente een intensieve klus is. Een gemeente is een complexe organisatie met een even complex werkveld. Het werk om aan de AVG te gaan voldoen, wordt gelijktijdig gedaan terwijl alle andere taken en ontwikkelingen óók worden uitgevoerd: de winkel kan niet dicht, terwijl de AVG geïmplementeerd wordt. Inwoners verwachten wél dat de gemeente de AVG naleeft. Dit vraagt veel van de gemeente Breda.

2.

Samenvatting en Conclusies

2.1.

Algemeen beeld van 2024

‘Privacy’ wetgeving is niet nieuw. De AVG heeft ten opzichte van de Wet Bescherming Persoonsgegevens (Wbp) eigenlijk alleen de mogelijkheid tot het opleggen van hoge boetes door de nationale toezichthouder toegevoegd. Wat de AVG daarnaast heeft gedaan is zorgen voor bewustwording bij inwoners. Bewustwording dat privacy belangrijk is en dat je vooral merkt dat je privacy had, als het weg is of als je het gevoel hebt dat het weg is. De AVG is in 2018 in werking getreden. Maar weinig organisaties zijn al eerder gestart met het voorbereiden op de AVG omdat er destijds veel vragen waren over wat nu precies de bedoeling was. Inmiddels weten we: de implementatie van de AVG is heel veel werk binnen een gemeentelijke organisatie. Veel processen waren al jaren ingeregeld en ‘opeens’ moeten er dingen anders of worden er andere dingen van dat proces gevraagd. Er moeten Data Protection Impact Assessments (DPIA’s) worden gedaan, mensen worden ‘van hun werk gehaald’ om een register te controleren, er moeten samenwerkingsafspraken worden gemaakt en privacystatements worden opgesteld. De gemeente kan niet een paar maanden dicht om de AVG ‘even’ te implementeren. En toch gebeurt dat implementeren wel, tijdens en tussen alle andere werkzaamheden door. De meeste medewerkers zien dat inwoners het belangrijk vinden dat er goed met hun gegevens om wordt gegaan, dat zij 7

hechten aan hun ‘privacy’. Inwoners willen weten waar ze aan toe zijn, met wie hun gegevens gedeeld worden en wat het doel is van gegevens die worden opgevraagd of worden gedeeld. En als het voor de inwoner belangrijk is, wil de medewerker het juiste doen voor die inwoner. In het afgelopen jaar heeft de FG bemerkt dat het onderwerp ‘privacy’ in vergelijking met alle voorgaande jaren steeds meer wind mee krijgt. De steun van het management en het bestuur is hierin onontbeerlijk geweest. Als zij het niet steunen en van de organisatie verlangen dat zij zich aan de AVG houdt, gaat het onderwerp nooit gedragen worden. De gemeente is nog niet waar ze graag wil of naar de verwachting van toezichthouders en inwoners behoort te zijn. Voldoen aan de AVG (en Wpg) is heel veel werk. En het is geen éénmalige klus. Het goede nieuws is dat veel werkzaamheden elk jaar terugkomen: die zijn planbaar en voorzienbaar. Als de terugkerende werkzaamheden vaker worden gedaan, gaan ze steeds makkelijker en sneller. Het is een kwestie van het organiseren van een Plan-Do-Check-Act cyclus voor alle verplichtingen en het oefenen met onverwachte gebeurtenissen, zoals datalekken of cyberaanvallen. De FG ziet dat het structureel borgen van de AVG verplichtingen in een reguliere, algemene PDCA-cyclus of kwaliteitscyclus, op verschillende plekken steeds meer vorm gaat krijgen.

Desalniettemin blijft een flinke inzet, aandacht voor en sturing op het onderwerp ‘AVG-compliance’ absoluut noodzakelijk, zeker in 2025 en verder waarin nieuwe wetgeving zoals de AI act, de Wet Gegevensverwerking door Samenwerkingsverbanden, de wet gegevensverwerking persoonsgerichte aanpak radicalisering en terroristische activiteiten gelijksoortige of zelfs zwaardere eisen als de AVG oplegt aan de gemeente Breda. Het is van groot belang dat de resultaten die tot nu toe zijn behaald en alle goede dingen die zijn gestart in 2025 worden geconsolideerd en verder worden uitgebouwd.

2.2.

Terugblik en reflectie op opvolging advies jaarrapportage FG 2023

Eind 2023 was het advies van de FG in 2024 prioriteit te geven aan: • ‘de basis op orde’, dat wil zeggen: o Governance: ‘AVG-beleid en procedures’ (planmatig) implementeren en taken, rollen verantwoordelijkheden beleggen in de lijn. o Controle /up to date houden register van verwerkingen, naleving DPIA plicht, en verbeterpunten uit DPIA’s oppakken. o In kaart brengen en beoordelen samenwerkingen (met interne én externe partijen). • Integreer naleving/compliance aan (alle) basisverplichtingen (AVG/Wpg) in de jaarplanning van (alle) afdelingen. • Knelpunten, dilemma’s en risico’s ter besluitvorming voorleggen aan de directie, conform de hiervoor geldende procedure. Het voorleggen van de knelpunten en dilemma’s is in 2024 beter gelukt als in andere jaren. Een aantal afdelingen heeft al echt stappen gemaakt in het opnemen van de basisverplichtingen uit de AVG in de jaarplanning. Zo heeft de afdeling Maatschappelijke Ondersteuning (binnen het Sociaal Economisch Domein) hiermee een goede start gemaakt en krijgt het bij de afdeling Veiligheid en Leefomgeving (binnen het Ruimtelijk Economisch Domein) ook vorm.

2.3. • •

Belangrijkste resultaten uit 2024 In 2024 zijn 10 nieuwe DPIA’s en ongeveer 55 pre-DPIA’s opgeleverd. Het register is (bijna helemaal) gecontroleerd.

• • • • • •

2.4.

Alle nieuwe medewerkers hebben de e-learnings gemaakt en op afdelingen zijn bewustwordingspresentaties over diverse onderwerpen gehouden. Er is een nieuwe e-learning aangeschaft. Er zijn 99 inzageverzoeken behandeld. De meeste werden toegekend en ook binnen de termijn afgehandeld. Er is een Roadmap Security gemaakt om de implementatie van de NIS2/Cyber Beveiligingswet en voorbereiding op de komst van de Baseline Informatiebeveiliging Overheid (2.0) te ondersteunen. Bij het gebruiken van nieuwe technologie zijn de privacy-en security aspecten nauwgezet meegenomen in de afweging de tool wel of niet te gaan gebruiken. Domein I (Openbare Ruimte) heeft op Wpg gebied grote stappen in volwassenheid gezet. Privacy en security heeft echt grond aan de voeten gekregen in 2024. Het onderwerp wordt inmiddels op verschillende plekken standaard geborgd: in de in control rapportage, in formats en in werkgroepen/projecten. Medewerkers weten de privacy-en security professionals goed te vinden.

Belangrijkste prioriteit voor 2025

Platgeslagen is/blijft de belangrijkste prioriteit voor 2025: richt de Plan Do Check Act cyclus voor gegevensbescherming (verder) in, meer specifiek: • Implementeer (‘AVG’) beleid/procedures/werkinstructies in de lijn. • Neem in jaarplanningen/uitvoeringsplannen de planbare verplichtingen, zoals de controle van het register, het opvolgen van de bevindingen uit de DPIA’s, het uitvoeren van (herzienings-) DPIA’s, afspraken maken met partners, Privacy by design inrichten van processen etc. uit de AVG op. • Stuur op voortgang en het behalen van de ‘privacy’jaarplanning. • Beleg taken en verantwoordelijkheden expliciet bij mensen in de teams. • Zorg dat inzichtelijk is welke toepassingen in gebruik zijn, zorg dat informatie op de juiste manier en op de juiste plek wordt opgeslagen, zodat archivering en vernietiging mogelijk is. • Implementeer een Data Loss Prevention (DLP6) toepassing. • Borg gegevensbescherming in alle basiswerkwijzen, canvassen, projectplannen en formats.

3.

Managementreactie Jaarverslag 2024

De directie herkent het beeld wat door de FG in het jaarverslag wordt geschetst. De door de FG in paragraaf 2.4 geformuleerde adviezen onderschrijven we. Het is voor 2025 niet haalbaar om alle adviezen één op één over te nemen: zo kan het advies over het opnemen van planbare AVG-zaken in het afdelingsjaarplan niet direct worden overgenomen omdat een aantal afdelingen al een jaarplan heeft opgesteld. Met ingang van 2026 zal elke afdeling jaarlijks een jaarplan, inclusief de planbare taken voor naleving van de AVG, opstellen. Gegevensbescherming zal verder breder worden geborgd in de standaard werkwijzen en sturingsproducten, zoals de IC rapportage. Het team Gegevensbescherming heeft een roadmap Privacy en een roadmap Security opgesteld, waarin de adviezen van de FG zijn meegenomen.

6

Een Data Loss Prevention toepassing is een toepassing waarmee data kan worden geclassificeerd, gelabeld en waarmee regels aan die classificatie en labels kan worden meegegeven waardoor beveiliging op data kan worden gedaan. Het zonder meer delen van gevoelige gegevens wordt hiermee tegengegaan, gegevens worden gemakkelijker vindbaar en kunnen ook gemakkelijker worden beheerd (waaronder vernietigd, wanneer de bewaartermijn is verstreken).

9

Team Gegevensbescherming zal de organisatie planmatig en in praktische zin ondersteunen in het blijvend gaan voldoen aan de Algemene Verordening Gegevensbescherming, Wet gegevensdeling samenwerkingsverbanden, Wet politiegegevens, Artificial Intelligence Act en Cybersecurity wetgeving (NIS2). In 2025 zetten we in op het verder verstevigen van de governance en het borgen van compliance-eisen die deze wetten aan ons stellen. We integreren nieuwe, aanvullende eisen, zoals bijvoorbeeld de verplichting uit de AI-act onder omstandigheden een IAMA uit te voeren, in de processen die er nu al zijn of nu worden ontwikkeld.

4.

Governance/Organisatie

4.1.

Terugblik 2024 Rollen, taken, beleid, sturen op compliance en planvorming

Om goed uitvoering te kunnen geven aan de verplichtingen onder de AVG moet een gemeente beleid, procedures en werkinstructies hebben. Op deze manier kunnen werkzaamheden op alle plekken op eenzelfde manier worden uitgevoerd en is ook controleerbaar of dat juist en tijdig gebeurt. Voor alle basisprocessen en verplichtingen onder de AVG zijn beleidsstukken en/of procedures. Deze worden jaarlijks geëvalueerd en waar nodig bijgesteld. Zo is er een procedure voor het controleren van het register, een procedure voor het melden (en afhandelen) van datalekken en een procedure om invulling te geven aan de rechten van betrokkenen. In alle beleidsstukken en procedures zijn de taken en verantwoordelijkheden beschreven. De FG komt echter nog regelmatig tegen, dat beleid en procedures niet of onvoldoende bekend zijn bij de mensen op afdelingen die een rol hebben in de uitvoering. Hierdoor loopt de correcte en tijdige uitvoering van deze procedures op bepaalde momenten stroef. Wanneer de FG melding maakt van een stroef verloop van procedures of van non-compliance wordt hier door de organisatie over het algemeen goed op gereageerd en actie ondernomen. In 2024 hebben een aantal afdelingen een start gemaakt met het opstellen van een afdelingsjaarplan 2025. Dit is een mooie ontwikkeling waarin de planbare taken uit de AVG en Wpg, prima in kunnen worden meegenomen.

De FG is tijdig betrokken bij een aantal beleidsontwikkelingen, zoals het nieuwe beleidsplan Armoede en Schulden en een conceptversie van het Diversiteitsbeleid. De FG ziet kansen om het borgen van gegevensbescherming te laten landen in diverse onderdelen van het organisatieontwikkelprogramma FIT: zo biedt bijvoorbeeld de standaard voor het procesmatig werken en het projectmatig werken en het handboek sturing uitstekende aanknopingspunten om het onderwerp duurzaam te borgen.

4.2. • • • • •

Groei-en ontwikkelkansen 2025 Governance/organisatie Zorg dat (‘AVG’)beleid en procedures bekend zijn op afdelingen/implementeer beleid. Besteed hier bijvoorbeeld periodiek aandacht aan in afdelingsoverleggen. Beleg de taken expliciet bij bepaalde personen (op de afdeling). Neem de planbare taken standaard op in de jaarplannen/uitvoeringsplannen. Neem in werkinstructies/handboeken/afdelingsprocedures eventueel verwijzingen op naar algemeen beleid rondom gegevensbescherming. Neem het onderdeel ‘borgen gegevensbescherming’ op in alle te ontwikkelen standaarden en sturingsmechanismen.

5.

Risicomanagement

5.1.

Terugblik 2024 Register van verwerkingen

Elk jaar worden alle afdelingen door de Decentrale Privacy en Security Officers bezocht om het register van verwerkingen te controleren. Het register van verwerkingen is een belangrijk instrument om risicogestuurd toezicht te kunnen doen en als eerste aandacht te geven aan de meest risicovolle en belangrijke processen. De organisatie krijgt door middel van een actueel register zicht op welke processen altijd door moeten kunnen gaan (bijvoorbeeld in het kader van bedrijfscontinuïteit), van welke processen transparantieverklaringen moeten worden opgesteld, waar Wpg verwerkingen plaatsvinden of/ en waar eventueel algoritmes worden gebruikt. Door alle processen die de gemeente uitvoert, goed in zicht te hebben en houden kan de gemeente (eerst) die meest belangrijke processen de aandacht geven die noodzakelijk is, zodat de inwoner erop kan vertrouwen dat zijn/haar/hun gegevens in goede handen zijn. Het goed in kaart hebben/houden van processen heeft voordelen voor de organisatie zelf: het stelt de organisatie in staat te onderscheiden waar welke samenwerkingen plaatsvinden, op welk gebied, waar we mogelijk efficiënter zouden kunnen werken en waar de gemeente de inwoner betere (privacy)kwaliteit kan leveren.

Wanneer de gemeente zich, conform haar verplichting, moet verantwoorden (AVG, Wpg, WOO of BIO) kan een actueel register hier behulpzaam zijn om snel en eenvoudig het inzicht geven dat nodig is op bijvoorbeeld het gebied van gegevensdeling, samenwerkingen, risico’s/bevindingen en uitgevoerde en nog uit te voeren DPIA’s. Het register stelt de gemeente in staat het overzicht te houden van waar persoonsgegevens in processen worden gebruikt. Hiermee kunnen we de meest waardevolle (of risicovolle) processen identificeren. Processen die bijvoorbeeld veel aandacht en zorg(vuldigheid) nodig hebben omdat ze potentieel een diepe impact op iemands persoonlijke leven kunnen hebben (en daarom DPIA-plichtig zijn én extra beveiligingsmaatregelen nodig hebben). Om het doel van het register goed te kunnen benutten, is het goed in 2025 meer diepgang in de inhoud van het register aan te brengen ofwel de verwerkingen nóg beter te beschrijven en alle samenwerkingen en binnengemeentelijke gegevensdelingen in kaart te brengen. Op deze manier kan de organisatie (o.a.) de stap gaan maken in het goed gaan invullen van de transparantieverplichting. Randvoorwaarde om de controle goed en efficiënt te kunnen doen is dat er mensen worden aangewezen die kennis hebben van alle processen op de afdeling die hieraan meewerken.

De controle van het register is een jaarlijks terugkerende actie en is daardoor planbaar.

5.2.

Terugblik 2024 Data Protection Impact Assessments uitvoeren en opvolgen

Onder omstandigheden is de gemeente Breda verplicht een Data Protection Impact Assessment, of DPIA, uit te voeren. Dat is het geval wanneer een verwerking een grote impact heeft op de ‘rechten en vrijheden’ van de betrokkene. De Autoriteit Persoonsgegevens heeft een besluit gepubliceerd met verschillende soorten verwerkingen waarvoor het uitvoeren van een DPIA verplicht is.7 Een DPIA moet worden uitgevoerd vóórdat met het verwerken van persoonsgegevens wordt begonnen. In 2024 zijn 10 geheel nieuwe DPIA’s opgeleverd en door de FG van advies voorzien. De eerste- en tweedelijns privacy en security officers helpen de organisatie met advies en praktische hulp bij het oplossen van bevindingen die uit de DPIA komen. Over het algemeen blijven bevindingen te lang open

7

Besluit van de Autoriteit Persoonsgegevens van 27 november 2019 (Stcrt. 2019, nr. 64418).

11

staan, terwijl deze wél opgelost zouden kunnen worden binnen de afgesproken termijn van drie maanden. In totaal zijn, sinds 2018, 60 DPIA’s gedaan. De verwachtingen over wie wat zou moeten doen, lopen in de praktijk soms uiteen, hoewel de procedure uitvoeren DPIA en de informatie die tijdens het proces van de DPIA hierover worden gegeven, duidelijk zijn. Medewerkers hebben vaak vele taken en opgaven op hun bordje liggen en hebben moeite tijd vrij te maken om de DPIA ‘erbij’ te doen. We zien ook dat de uitvoering van de DPIA’s vaak trager verloopt dan in de procedure is afgesproken. Dit komt doordat de randvoorwaarden om de DPIA te kunnen uitvoeren, zoals het hebben van een procesbeschrijving die bruikbaar is voor het opstellen van de DPIA, niet of niet tijdig aanwezig is. Ook worden afspraken verzet of zijn (nieuwe) processen (nog) onvoldoende uitgekristalliseerd om te kunnen worden beoordeeld. Dit alles vertraagt de uitvoering van DPIA’s. En soms, zijn processen, door hun aard, omvang en samenstelling, in aanleg erg complex en duurt het langer om deze in de volle omgang goed en zorgvuldig in kaart te brengen. Tien nieuwe DPIA’s in één jaar lijkt op het eerste gezicht niet veel, op het totaal aantal aan DPIA’s wat een gemeente te doen heeft (naar schatting 100-120).

De DPIA’s die wel zijn opgeleverd zijn van meer dan uitstekende kwaliteit en kunnen het proces wat is beoordeeld echt helpen groeien. Naast de uitvoering van volledige DPIA’s, is belangrijk te vermelden dat er ook zogenaamde ‘preDPIA’s’ worden gedaan en ook losse adviezen gegeven worden. Er zijn in 2024 naar schatting 55 preDPIA’s gedaan.8 Eind 2024 hebben de managers van de afdelingen Jeugd, Participatie, WMO, Sociaal beleid en VenL gericht DPIA prioriteringsadvies (voor de te plannen DPIA’s in 2025) ontvangen van de FG. Het is de verantwoordelijkheid van de proceseigenaar deze op te nemen in de jaarplanning.

5.3.

Terugblik 2024 Risico verklaringen

De gemeente Breda heeft een proces voor het nemen van besluiten over bevindingen en risico’s die (nog) niet kunnen worden opgelost. In totaal zijn 11 risicobesluiten, conform deze procedure, voorgelegd aan het hoger management. Eén risicobesluit is tevens aangeboden aan en besproken met de verantwoordelijk wethouder. De gemeente neemt hiermee haar verantwoordelijkheid en kan aantonen dat ze dat weloverwogen en zorgvuldig doet. De risicoverklaringen worden opgenomen in het risicoregister in het privacymanagementsysteem.

5.4. • • • • • • •

8

Groei-en ontwikkelkansen 2025 risicomanagement DPIA’s en de opvolging daarvan zijn planbare taken: neem deze op in de jaarplanning, inclusief de opvolging. Zorg dat medewerkers tijd krijgen én prioriteit geven aan de voorbereiding van de DPIA, de uitvoering en het oplossen van bevindingen. Beschrijf álle verwerkingen in het register, inclusief samenwerkingen en binnengemeentelijke gegevensdelingen. Neem de controle van het register op in de afdelingsplanning. Sluit waar mogelijk aan bij de reguliere kwaliteitscyclus van de afdeling. Beleg taken en werkzaamheden expliciet bij medewerkers. Controleer de voortgang.

Een pre-DPIA wordt bij de gemeente Breda uitgevoerd door middel van de zogenaamde AVG-vragenlijst, een gestandaardiseerde vragenlijst die relevante onderdelen uit de AVG uitvraagt.

6.

Samenwerkingen

6.1.

Samenwerkingen en de vereisten uit de AVG

Wanneer partijen met elkaar samenwerken én daarbij sprake is van het verwerken van persoonsgegevens, moeten de partijen onderlinge afspraken maken over hoe de partijen zich tot elkaar verhouden, wie welke verantwoordelijkheid heeft (onder de AVG) en hoe om te gaan met bijvoorbeeld inzageverzoeken. Onder omstandigheden9 kan het verplicht zijn op de samenwerking een DPIA uit te voeren vóórdat met de gegevensverwerking of samenwerking wordt begonnen. De AVG kent een aantal vormen van samenwerking: Twee of meer verwerkingsverantwoordelijken werken samen aan een gezamenlijk doel en bepalen in gezamenlijkheid het doel en het middel (bijvoorbeeld de applicatie waarmee persoonsgegevens zullen worden verwerkt) van de gegevensverwerking. In dit geval spreken we van gezamenlijk verwerkingsverantwoordelijken. Deze samenwerkingspartners moeten met elkaar afspraken maken over bijvoorbeeld inzageverzoeken en de transparantieverklaring. Als partij ieder hun eigenstandige taken hebben en er verder geen sprake is van een gezamenlijke verwerking van persoonsgegevens voor een bepaald doel, dan spreken we van afzonderlijke verwerkingsverantwoordelijken.

Deze partijen moeten wel afspraken met elkaar maken, maar niet zoals bedoeld in artikel 26 AVG.10 Wanneer een verwerkingsverantwoordelijke, bijvoorbeeld de gemeente Breda, samenwerkt met een leverancier van software, dan moeten er afspraken gemaakt worden met deze leverancier. Dat wordt gedaan door middel van een verwerkersovereenkomst. 11

6.2.

Terugblik 2024 samenwerkingen

Gemeenten stonden en staan voor uitdagende opgaven. Het takenpakket en de verantwoordelijkheden lijken alsmaar groter te worden en tegelijk kijken gemeenten naar een ‘Ravijnjaar’, waarin de financiële middelen aanzienlijk minder zullen zijn. Gemeenten hebben samenwerkingspartijen nodig om de maatschappelijke opgaven die er liggen het hoofd te bieden. Het programma van Verbeter Breda en de ‘Pacten van Breda’ die bij dit programma horen, schetsen een beeld van de uitdagingen die voorliggen en hoe hierin met partijen in de stad wordt samengewerkt. Met maatschappelijke- en zorgpartners wordt gewerkt aan gelijke kansen voor alle inwoners. Met o.a. scholen, hulpverleners en toezichthouders wordt gewerkt aan de opgave kinderen een veilige en goede start in het leven te geven. Met private en andere overheidspartijen wordt gewerkt aan het terugdringen of voorkomen van armoede. En als de veiligheid in het geding komt kan ook worden samengewerkt met bijvoorbeeld de politie of een Zorg-en Veiligheidshuis. Het in kaart brengen en beoordelen van al deze samenwerkingen (inclusief de samenwerkingen met verwerkers) is onverminderd een grote uitdaging, maar nog steeds, naast verplicht, belangrijk om te doen. De verplichtingen die de AVG stelt aan het aangaan en onderhouden van samenwerkingen helpen de gemeente de opgave, het doel en wie daarin wat doet helder af te spreken.

Dit draagt niet alleen bij aan compliance aan de AVG, maar helpt ook om tijdig bij te sturen als doelen niet worden behaald of wanneer samenwerkingspartijen zich niet aan de afspraken houden. Het (tijdig) uitvoeren van de DPIA helpt processen goed vorm te geven. De transparantieverplichting draagt bij aan de klantvriendelijkheid richting de inwoner, geeft vertrouwen en stelt de inwoner in staat regie te nemen. En dat is een streven wat de gemeente Breda op vele vlakken nastreeft voor haar inwoners: het zelfredzaam kunnen zijn. 9

Besluit van de Autoriteit Persoonsgegevens van 27 november 2019 (Stcrt. 2019, nr. 64418). L_2016119NL.01000101.xml (artikel 26 AVG) 11 L_2016119NL.01000101.xml (artikel 28 AV 10

13

6.3. • • •

•

• •

•

Groei-en ontwikkelkansen 2025 ‘samenwerkingen’ Breng samenwerkingen op alle afdelingen in beeld (ook tussen afdelingen). Neem alle samenwerkingen op in het register van verwerkingen. Voer standaard een DPIA uit op nieuwe en risicovolle samenwerkingen: in veel gevallen is dit verplicht. Doe dit vóórdat je gaat samenwerken. Leg taken, verantwoordelijkheden en bevoegdheden eenduidig vast en zorg dat iedereen (binnen het project, de samenwerking, de afdeling) hetzelfde beeld heeft van wat er gaat gebeuren, met welk systeem, welke (persoons)gegevens etc. Hieruit volgt dat voor gegevensbescherming helder is wie, welke ‘AVG-taak’ uitvoert. Evalueer afspraken (waaronder de verwerkersovereenkomst of samenwerkingsovereenkomst) en stel eventueel bij. Zorg dat de juiste, passende beveiligingsmaatregelen worden genomen (conform BIO) als de gemeente Breda ook verantwoordelijk is (richting samenwerkingspartijen) voor het leveren van ICT diensten. Zorg dat de samenwerkingsafspraken (contracten/verwerkersovereenkomsten) terug te vinden zijn op één plek, zodat toezicht mogelijk is.

7.

Datalekken

7.1.

Terugblik 2024 datalekken

Mogelijke datalekken moeten tijdig worden gemeld en worden afgehandeld. Wanneer er voor de betrokkene een hoog risico is ontstaan door het datalek, dan moet het datalek ook (binnen maximaal 72 uur) bij de Autoriteit Persoonsgegevens en aan de betrokkene zelf worden gemeld. Door de jaren heen zien we een stijgende lijn in het aantal incidenten, waaronder datalekken, die worden gemeld bij het Team Gegevensbescherming (GBS): van 60 meldingen in 2022, liep het aantal meldingen op naar 90 in 2023. In 2022 werden 20 datalekken gemeld bij de AP, in 2023 waren dat er 21. In 2024 zijn 88 datalekmeldingen gedaan, waarvan er 26 bij de Autoriteit Persoonsgegevens zijn gemeld. Als meest genoemde oorzaak werden ‘menselijke fouten’ genoemd, zoals het verkeerd versturen van een e-mail of twee brieven van twee verschillende mensen in eenzelfde envelop versturen. De betrokkenen zijn in elf gevallen, conform de wettelijke vereisten, geïnformeerd. De toename in het aantal meldingen is niet per definitie een teken dat zaken niet goed geregeld zijn of dat er veel fouten worden gemaakt. Doordat er veel moeite in awareness is gestoken, lijkt het erop dat de drempel om daadwerkelijk meldingen te doen, lager is geworden.

7.2. •

8.

Groei-en ontwikkelkansen 2025 datalekken Neem maatregelen om herhaling van datalekken zoveel mogelijk te voorkomen. Wanneer op dezelfde afdelingen dezelfde datalekken plaatsvinden, is het goed na te gaan welke oorzaak hieraan ten grondslag ligt en hierop verbetermaatregelen te treffen.

Toepassen data protection by design and default

De AVG verplicht de verantwoordelijke, in dit geval de gemeente Breda, om ‘gegevensbescherming door ontwerp en standaardinstelling’ toe te passen. In de volksmond wordt dit ‘privacy by design and default’ genoemd. Het betekent, dat het de bedoeling is, dat elk proces en elke verwerking, standaard zo is ingericht dat dit de minst mogelijke inbreuk maakt op de rechten en vrijheden van de betrokkene

én dat tegelijkertijd het doel van het proces behaald kan worden. Dit moet het standaard uitgangspunt zijn.

8.1.

Terugblik 2024 Pre-DPIA’s/Data Protection Impact Assessments

Er zijn meerdere manieren om data protection by design and default toe te passen of uit te voeren. Bij het starten/ontwerpen van processen kan een (pre) DPIA worden gedaan en er kan advies gevraagd worden. Het team Gegevensbescherming neemt standaard deel aan overleggen voor-en tijdens projecten. Op die manier kan advies gegeven worden over de best mogelijke inrichting. Uit al deze instrumenten en adviesvragen wordt duidelijk dat er voor wat betreft het by design and default goed inregelen van processen ruimte voor verbetering is, bijvoorbeeld op de toegang tot persoonsgegevens. Medewerkers behoren alleen toegang hebben tot datgene wat noodzakelijk is om hun werk uit te kunnen voeren. Soms voorziet een toepassing hier niet volledig in en is hierin toch een andere keuze gemaakt en zijn autorisaties niet geheel passend voor de taak die moet worden uitgevoerd. Of is een doel van een project of samenwerking nog niet helemaal uitgekristalliseerd, maar wordt toch alvast begonnen met het proces. Het is daarom goed dat het team GBS hierin meekijkt en advies geeft. Het betekent ook dat er bij het niet (kunnen) voldoen, aanvullende maatregelen noodzakelijk zijn, zoals extra controles op toegang tot dossiers en een expliciete afweging.

8.2.

Terugblik 2024 naleving bewaartermijnen

Een aandachtspunt is zicht te hebben en houden op waar persoonsgegevens zich bevinden en welke toepassingen er in de volle breedte in gebruik zijn. De gemeente is gehouden aan de Archiefwet. Volgens de Archiefwet heeft de organisatie selectielijsten vastgesteld. In deze lijsten wordt opgesomd welke informatie met persoonsgegevens wanneer voor vernietiging in aanmerking komt. De informatie met persoonsgegevens moet na verlopen van de bewaartermijn worden vernietigd, met toestemming van de archivaris. Wanneer er geen goed zicht is op welke toepassingen er allemaal zijn, welke persoonsgegevens daarin zitten, of waar informatie met persoonsgegevens is opgeslagen kan niet (goed) worden voldaan aan de verplichting tot (tijdig) vernietigen.

8.3.

Groei-en ontwikkelkansen 2025 toepassen dataprotection by design and default en naleven bewaartermijnen

•

Controleer wie toegang moet hebben tot welke persoonsgegevens en tot op welk detailniveau. Richt systemen hierop goed in en controleer de toegang tot en autorisaties binnen de systemen periodiek. Zorg voor sluitend inzicht in alle opslaglocaties en toepassingen die worden gebruikt. Zorg voor het tijdig aanbieden van te vernietigen stukken (met persoonsgegevens): volg het interne vastgestelde beleid in deze. Neem een Data Loss Prevention (DLP) oplossing in gebruik: op deze manier kan beveiliging op gegevens worden toegepast, worden ze makkelijker terug vindbaar en kan de bewaartermijn worden nageleefd.

• • •

9.

Rechten van betrokkenen

De AVG geeft de betrokkene een aantal rechten: • Het recht op informatie (artikel 12 AVG) • Het recht op inzage (artikel 15 AVG) • Het recht over rectificatie (artikel 16 AVG) • Het recht op vergetelheid/vernietiging (artikel 17 AVG) • Het recht op beperking van de verwerking (artikel 18 AVG) 15

• •

9.1.

Het recht van bezwaar tegen de verwerking (artikel 21 AVG) Het recht om niet te worden onderworpen aan een automatisch genomen besluit (zonder betekenisvolle menselijke tussenkomst) (artikel 22 AVG).

Terugblik 2024 Inzageverzoeken

Het aantal inzageverzoeken blijft stijgen: in 2022 werden 16 inzageverzoeken gedaan, in 2023 waren het er 65 en in 2024 werden maar liefst 129 inzageverzoeken ontvangen. 28 verzoeken werden om diverse redenen afgebroken, bijvoorbeeld omdat de betrokkene niet had gereageerd op het verzoek zich te identificeren of omdat het inzageverzoek eigenlijk een ander soort verzoek bleek te zijn. 1 verzoek werd afgewezen omdat deze dubbel was binnengekomen. Uiteindelijk bleven er 99 inzageverzoeken over. Van de 99 inzageverzoeken werden er 83 binnen de termijn toegekend, 16 buiten de termijn (10 afdelingsspecifiek en 6 gemeentebreed). Van de 100 verzoeken, waren er 53 afdelingsoverstijgend. Dat wil zeggen dat een betrokkene om inzage verzocht in zijn/haar persoonsgegevens van (meestal) alle afdelingen. De overige verzoeken betroffen afdelingsspecifieke verzoeken. In deze gevallen vraagt de betrokkene specifiek om inzage bij één afdeling. Publiekszaken heeft verreweg de meeste afdelingsspecifiek inzageverzoeken ontvangen in 2024 (33 stuks). Vermeldenswaardig is dat de gemeente Breda de betrokkenen goed faciliteert in het uitoefenen van het inzagerecht.

In plaats van het alleen verschaffen van een overzicht, levert de gemeente Breda, in de meeste gevallen ook de documenten aan, zodat betrokkenen daadwerkelijk in staat zijn de rechtmatigheid van de verwerking in de context van de verwerking te verifiëren.

9.2.

Terugblik 2024 verwijderingsverzoeken

In 2024 werd één verwijderingsverzoek gedaan. Dit verzoek werd, correct onderbouwd, afgewezen.

9.3.

Terugblik 2024 Bezwaar

In 2024 is één bezwaar tegen het verwerken van persoonsgegevens in behandeling genomen. De afhandeling van dit verzoek loopt nog.

9.4.

Terugblik 2024 AVG klachten

De betrokkene heeft het recht om rechtstreeks met de FG contact op te nemen. In 2024 ontving de FG 5 klachten en/of signalen. 3 klachten zijn via de reguliere klachtenprocedure opgepakt, één klacht is toegekend en één is nog in onderzoek. De FG heeft met drie betrokkenen gesproken over hun klacht. De rode draad uit deze gesprekken is, dat ondanks dat betrokkenen op diverse gebieden hulp en ondersteuning van de gemeente nodig hebben, zij waarde hechten aan hun privacy, waarde hechten aan de rechten die ze hebben. Dit is een belangrijk signaal: De FG hoort in gesprekken weleens de opmerking dat ‘privacy’ van ondergeschikt belang is wanneer een betrokkene op andere vlakken in het leven hulp en ondersteuning behoeft. De betrokkenen benadrukten dat bijvoorbeeld het recht op informatie bijdraagt aan het vertrouwen. Om te kunnen voelen dat de gemeente écht naast je staat in plaats van tegenover je. Betrokkenen zijn afhankelijk en hebben grote behoefte aan duidelijke informatie over wat de bedoeling is, wat er van hen verlangd wordt, waarom dat moet, met wie gegevens gedeeld worden en waarom.

9.5.

Terugblik 2024 Transparantie en het recht op informatie

Betrokkenen hebben op grond van de AVG het recht om te weten welke informatie er over hen wordt verwerkt, met welk doel, hoe lang hun informatie wordt bewaard en met welke partijen deze informatie eventueel wordt gedeeld. De informatie over een verwerking moet helder en

beknopt zijn, gemakkelijk toegankelijk en moet op ‘het juiste’ moment beschikbaar zijn. De gemeente Breda had in 2023 31 transparantieverklaringen op de website. In 2024 staan er 36 verklaringen op de website.

9.6. • •

•

•

• •

Groei-en ontwikkelkansen 2025 ‘rechten betrokkenen’ Wijs op elke afdeling iemand op de afdeling aan die de informatie zal aanleveren om verzoeken tijdig af te handelen. Maak voor elke afdeling/proces, zoals is vastgelegd in de procedure transparantie, in samenwerking met Team Gegevensbescherming, een specifieke privacy-verklaring voor op de website. Zorg voor (afdelingsspecifiek) beleid/instructie welke rechten er zijn en hoe te handelen als er een verzoek binnenkomt, zodat de verzoeken (aantoonbaar) binnen de gestelde wettelijke termijn van uiterlijk een maand afgerond kan worden. Zorg voor (afdelingsspecifiek) beleid/instructie op welk moment, op welke wijze een betrokkene geïnformeerd wordt over gegevensverwerking (binnen een bepaald proces) en hoe vragen van inwoners hierover te beantwoorden. Vul de transparantieverklaringen op de website aan. Zorg voor afdelings-en rolspecifieke instructie hoe dossiervoering op afdelingen vorm te geven.

10. Informatiebeveiliging 10.1.

Terugblik 2024 informatiebeveiliging

Informatiebeveiliging of Cybersecurity is een groeiend werkveld wat steeds meer tijd en aandacht vraagt, niet in de laatste plaats door toenemende (Europese en Nederlandse) wet- en regelgeving op dit gebied en de toename van digitale dreigingen door het gebruik van bijvoorbeeld artificial intelligence (AI) toepassingen. Ontwikkelingen in NIS2/Cybersecurity wet- en regelgeving en rondom het gebruik van AI (waaronder algoritmes), zullen van Breda steeds meer gaan vergen. Er zal meer energie nodig zijn voor risicobeoordelingen en risicomanagement, afspraken maken, toetsing (van mogelijkheid, wenselijkheid en van leveranciers), implementatie van maatregelen en verantwoording (over het geheel). Zeker omdat de gemeente Breda in een aantal gevallen naast samenwerkingspartner voor andere gemeenten, ook ‘ICT leverancier’ is. Dit brengt richting deze gemeenten verantwoordingsverplichtingen met zich mee. Er zal naar verwachting blijvend meer capaciteit (in tijd/mensen en geld) nodig zijn om de digitaliseringsambitie veilig (en conform de AVG) te ondersteunen. Het gebruik van nieuwe technologieën, waaronder AI en algoritmes vraagt een ander, nieuw soort kennis en expertise. Zeker als het gaat om het beheer en het kunnen toetsen van de veiligheid en beveiliging van deze toepassingen.

De uitdaging is alle in gebruik zijnde toepassingen (en opslagplekken van persoonsgegevens) inclusief de beveiliging in het zicht te krijgen en houden. Alleen op die manier is het mogelijk om een zo sluitend mogelijke informatiebeveiliging (en archivering/vernietiging) te bewerkstelligen. In de praktijk komen privacy & security officers nog applicaties tegen die niet eerder zijn beoordeeld of niet conform de BIO worden beheerd/beveiligd. Achteraf maatregelen nemen is vaak minder effectief, duurder en meer werk.

17

In 2024 hebben de security officers Suwinet hun beoordelingen en controles van de autorisaties en het gebruik van Suwinet aan de FG aangeboden. Uit deze controles kwamen geen onrechtmatigheden naar voren. De gemeente Breda heeft in 2024 verder gewerkt aan het gaan borgen van de bedrijfscontinuïteit in het geval van een verstoring. Er is een table top oefening met de directie uitgevoerd met een scenario van grootschalige ICT uitval. Het herziene strategisch gegevensbeschermingsbeleid is gepubliceerd. Voor 2025 en verder is een implementatieroadmap NIS2/BIO opgesteld.

10.2. • • • • •

• •

Groei-en ontwikkelkansen 2025 informatiebeveiliging Inventariseer alle in gebruik zijnde informatie assets en applicaties. Train medewerkers die het functioneel beheer van applicaties uitvoeren doorlopend op het implementeren van beveiligingsmaatregelen. Controleer/laat controleren of deze maatregelen toereikend zijn en breng eventueel nieuwe risico’s in kaart. Herhaal dit periodiek. Maak afspraken met leveranciers en evalueer/controleer de naleving van deze afspraken (waaronder de verwerkersovereenkomst). Zorg voor voldoende kennis/kunde over de BIO-eisen bij medewerkers die een rol hebben in de projecten waarbij nieuwe applicaties worden gekocht of het gebruik van nieuwe technologieën worden verkend. Blijf trainen om voorbereid te zijn op eventuele incidenten. Implementeer een Data Loss Prevention oplossing, zodat beveiliging op gegevens kan worden gedaan. Op deze manier wordt het eventuele onbedoelde of ongeautoriseerde delen van (persoons)gegevens tegengegaan en zijn gegevens (ook) makkelijker vindbaar (zodat zij gearchiveerd kunnen worden). Dit maakt (tevens) het naleven van bewaartermijnen gemakkelijker.

11. Bewustwording 11.1.

Terugblik 2024 bewustwording

De organisatie behoort medewerkers te trainen in het veilig werken met informatie en wat te doen als er iets misgaat. Ook de FG heeft een rol in het bevorderen van het bewustzijn. In 2024 hebben alle medewerkers de verplichte e-learnings gevolgd op level brons (medewerkers < 3 maanden in dienst), level zilver (medewerkers > 6 maanden in dienst) en level goud (medewerkers die level brons en zilver hebben behaald). De Decentrale Privacy en Security officers hebben in teams onder andere voorlichtingen gegeven over datalekken. Er zijn door de Security Officers ook presentaties gehouden over ‘shadow IT’. De FG heeft voorlichting gegeven over het in Control komen op de AVG en Wpg binnen de Management Teams in de domeinen SED en RED. Alle managementteams hebben zich betrokken getoond, gegevensbescherming duurzaam te gaan borgen in al hun processen. Dat is een belangrijk signaal, aangezien commitment van het hoogste management en bestuur van cruciaal belang is om daadwerkelijk in control te komen. Er zullen komende jaren meer bewustwordingsactiviteiten nodig zijn. Naast het interne awarenessprogramma Veilig Werken met Informatie en de AVG/Wpg bewustwording zal ook geïnvesteerd moeten worden in AI geletterdheid.

11.2.

Groei-en ontwikkelkansen 2025 bewustwording

•

• •

Besteed in afdelingsoverleggen en teamoverleggen periodiek aandacht aan compliance aan de bepalingen uit de AVG/Wpg of AI act. Nodig de FG of het team GBS uit om iets te komen vertellen. Inventariseer wie gebruik gaat maken van AI. Zorg dat deze gebruikers doorlopend geschoold worden in het juist en goed gebruiken van deze toepassingen.

12. Innovatie en het gebruik van innovatieve technieken 12.1.

Terugblik 2024 innovatie en het gebruik van innovatieve technieken

In 2024 was veel aandacht voor allerlei vormen van Artificial Intelligence. De verwachtingen voor deze toepassingen en wat zij voor de mensheid kunnen betekenen zijn hoog. Het gebruik van de zogenaamde Large Language Models (LLM) toepassingen, zoals ChatGPT, namen een (nog) hoge(re) vlucht. De gemeente Breda is een innovatieve gemeente. Niet om het innoveren zelf, maar om de toekomstige opgaven voor de stad en de uitdagingen op de arbeidsmarkt, daar waar mogelijk, goed en efficiënt het hoofd te kunnen bieden met ondersteuning van technologie. De gemeente Breda heeft om die reden de VNG subsidie ‘Uitvoeringskracht en Arbeidsmarktkrapte’, aangegrepen om in samenwerking met de leverancier van Copilot te onderzoeken waar kantoorwerk leuker, makkelijker en efficiënter gemaakt kan worden. Diverse wensen vanuit de organisatie zijn op gestructureerde wijze in kaart gebracht om te kijken op welke manier de toepassing gecontroleerd en veilig kan worden ingezet. Waar de tool werd ingezet, werd de opbrengst en impact nauwkeurig in beeld gebracht. Vooraf werd de impact op privacy en security beoordeeld. Bij twijfel of het verstandig of wenselijk was om de tool in te zetten, werd de FG standaard om advies gevraagd.

Zo is de inzet van deze toepassing in bijvoorbeeld het directe contact met inwoners, vooralsnog niet ingezet, omdat de organisatie zo zeker als mogelijk wil weten of dat veilig en goed kan. Op deze manier zijn de onzekerheden van deze nieuwe toepassing zo goed als mogelijk gemanaged. Dit project is een schoolvoorbeeld van FIT samenwerken. Het is belangrijk om de ogen niet te sluiten voor welke mogelijkheden innovatie kan bieden op plekken waar grote uitdagingen liggen, zoals op het gebied van arbeidsmarktkrapte. Het is echter ook zo, dat deze nieuwe technologieën niet zonder meer snel het gewenste rendement gaan leveren. Het is belangrijk om je heel goed bewust te zijn en blijven wat een LLM zoals ChatGPT of CoPilot echt is: een taalmodel, geen zoekmachine. Het levert niet per definitie een kloppend antwoord. Bovendien worden door de wetgeving nieuwe verplichtingen en waarborgen opgelegd, die ook tijd, geld en mankracht kosten. Zo zullen er naar verwachting nieuwe, andere functies nodig zijn om de diverse innovatieve toepassingen te beheren en veilig te houden. Er zal aan de ene kant iets worden gewonnen en aan de andere kant mogelijk iets worden verloren. Ook is het goed, om vast te stellen, wat het gewenste effect van de inzet van een innovatieve technologie moet zijn. Technologie, in welke vorm dan ook, is nooit neutraal.

Het is belangrijk de impact op het proces, de organisatie en de betrokkene op wiens dossier de technologie al dan niet wordt ingezet, goed in beeld te (blijven) brengen om ervoor te (blijven) waken dat rechten en vrijheden én publieke waarden in het gedrang komen.

19

12.2. • • • • •

•

Groei-en ontwikkelkansen 2025 innovatie en het gebruik van innovatieve technieken Stel beleid/procedures op voor het beoordelen van innovaties of innovatieve technieken in relatie tot de doelstelling van een proces of van de in te zetten innovatie, in lijn met wat in de pilot is gedaan. Integreer het gebruik van de DPIA/IAMA (Impact Assessment Mensenrechten en Algoritmes12) in dit proces. Zorg dat de kernwaarden/publieke waarden van de gemeente worden ondersteund, maar nooit worden ondermijnd, door het gebruik van de technologie. Zorg dat beveiliging óp documenten/informatie wordt geborgd, met andere woorden: pas Data Loss Prevention (DLP) toe. Zorg dat medewerkers die een innovatieve toepassing gebruiken doorlopend worden getraind/bijgeschoold in het gebruik ervan. Zo is goed prompten echt een nieuwe vaardigheid die geleerd moet worden om optimaal te kunnen profiteren van de uitkomsten en deze op waarde te kunnen schatten. Zorg dat er, conform de verplichtingen onder de AI-act/AVG, mechanismen zijn/worden ingericht waardoor verantwoording kan worden afgelegd over de resultaten die met innovatieve techniek tot stand zijn gekomen (audit trail).

13. Trends en toekomstverkenning/Ontwikkelingen gegevensbeschermingsrecht 2025 Digitalisering kan een grote impact hebben op onze samenleving en de privacy van inwoners. Het biedt kansen en risico’s. Een deel van regelgeving rondom digitalisering (en gegevensverwerking) komt vanuit de Europese Unie en wordt geïmplementeerd (of vertaald) in Nederlandse wetgeving. Ook reeds bestaande wetten worden soms uitgebreid of aangevuld, waardoor gegevensverwerkingen kunnen wijzigen. Een greep uit een aantal wetten die naar verwachting impact zullen hebben op de governance van gegevensbescherming van gemeente Breda in de komende periode: Artificial Intelligence Act (AI act) In 2024 trad de Artificial Intelligence Act in werking. Stapsgewijs zullen alle vereisten uit de AI act geïmplementeerd moeten worden. Vanaf 1-2-2025 moeten de verboden toepassingen zijn uitgeschakeld. De impact op de gemeente Breda in 2025 is dat zij: • AI beleid moeten opstellen. • In kaart moeten brengen welke toepassingen zij in gebruik hebben. • Indien van toepassing: verboden toepassingen moet uitschakelen. • Moet bepalen welke rol (gebruiker, aanbieder, of allebei) zij ten aanzien van de toepassing hebben. • DPIA’s en/of IAMA’s moet gaan uitvoeren (indien van toepassing). • Data governance moeten gaan inrichten (zie ook DLP advies op pagina 15 en 19).

• Inkoopbeleid voor AI opstellen/inkoopbeleid aanvullen voor AI. • Transparantie, monitoring van AI en (betekenisvol) menselijk toezicht moet inrichten. • (doorlopende) Training en awareness voor gebruikers van AI moet organiseren. 12

IAMA nuttig hulpmiddel voor gesprek over mensenrechten - Digitale Overheid

Mogelijk wordt het gebruik van het algoritmeregister in 2025 verplicht gesteld voor gemeenten. Sowieso moeten alle algoritmes in het verwerkingsregister worden opgenomen, wanneer zij worden toegepast op persoonsgegevens. NIS2/Cyberbeveiligingswet De NIS2/Cyberbeveiligingswet wordt naar verwachting in het eerste kwartaal aangeboden aan de Tweede Kamer. Naar verwachting treedt deze wet in het derde kwartaal van 2025 in werking. De impact op de gemeente Breda is dat zij meer en andere beveiligingsmaatregelen zal moeten treffen en dat de verantwoording en meldingsplichten toenemen. Wet Gegevensverwerking door Samenwerkingsverbanden. Per 1 maart 2025 treedt de Wet Gegevensverwerkingen door Samenwerkingsverbanden in werking. Deze wet regelt de opdracht tot samenwerking (en gegevensverwerking) tussen een vier specifieke samenwerkingsverbanden, namelijk: Het Regionaal Informatie en Expertisecentrum (RIEC), het Zorg-en Veiligheidshuis (ZvH), het Financieel Expertisecentrum (FEC) en de Infobox Crimineel en Overklaarbaar Vermogen (iCOV). De impact op de gemeente Breda is dat deelname (en gegevensdeling) aan deze samenwerkingsverbanden verplicht wordt. De twee samenwerkingsverbanden die voor de gemeente Breda relevant zijn, zijn: het Zorg-en Veiligheidshuis en het RIEC. Voor het Zorg-en Veiligheidshuis en het RIEC zal de gemeente Breda het contactpunt zijn voor de rechten van betrokkenen.