FG Jaarverslag College BW 2024 DO def

De FG van de gemeente Breda, wordt tevens coördinerend FG van het Zorgen Veiligheidshuis. Wet Proactieve Dienstverlening Sociale Zaken en Werkgelegenheid (SZW) De wet Proactieve Dienstverlening SZW is in voorbereiding. Deze wet zou op termijn moeten gaan voorzien in proactieve dienstverlening bij inkomensondersteunende regelingen. Er is op dit moment nog geen impact op de gemeente Breda: Aangezien deze wet nog in voorbereiding is, is er nog geen grondslag om proactieve dienstverlening te gaan uitvoeren. Wet gegevensverwerking persoonsgerichte aanpak radicalisering en terroristische activiteiten Deze wet is op 28 januari 2025 aangenomen. De impact op de gemeente zal zijn dat de burgemeester de bevoegdheid krijgt een casusoverleg te organiseren wanneer een persoon wordt verdacht van radicalisering. Deze wet regelt, dat er voor deze taak, indien noodzakelijk en binnen de grenzen van deze wet én de AVG, persoonsgegevens verwerkt mogen worden. Wijziging Participatiewet (bijzondere bijstand alleenverdieners) Vooralsnog is gekozen voor een tijdelijke oplossing die bekend staat als ‘wetsvoorstel tijdelijke regeling alleenverdienersproblematiek’. De impact op de gemeente Breda is dat zij de inwoners die onder deze regeling vallen een jaarlijks bedrag mogen uitkeren.

De uitdaging zit in het identificeren van de doelgroep, aangezien de rechthebbende niet altijd tijdig bekend zijn bij de gemeente. Gemeenten hebben hiervoor een handelingsperspectief ontvangen van de VNG.

14. Wet politiegegevens De gemeente Breda heeft buitengewoon opsporingsambtenaren (boa’s) in dienst, in de BOA domeinen I (openbare ruimte), III (onderwijs) en V (Werk, inkomen en Zorg). Sinds 1 januari 2019 geldt een auditverplichting (onder de Wet Politiegegevens) voor organisaties die boa’s in dienst hebben. Elke vier jaar moet de gemeente Breda een externe WPG-audit(s) laten uitvoeren en deze naar de 21

Autoriteit Persoonsgegevens (AP) sturen. Elk jaar moet een interne audit (per domein) worden uitgevoerd.13

14.1.

Terugblik 2024 beleid/ werkinstructies

Alle boa domeinen hebben beleid en werkinstructies. Domein I heeft in 2024 grote stappen in volwassenheid gezet: er is veel moeite gestoken in het instrueren van medewerkers en het oplossen van bevindingen die uit eerdere audits naar voren kwamen.

14.2.

Terugblik 2024 bewustwording

In 2024 heeft het team GBS, de FG en medewerkers van team Toezicht Handhaving Openbare Ruimte (onderdeel van het Ruimtelijk Economisch Domein) gezamenlijk een Wpg training gevolgd. Boa’s volgen eigen op het werk toegesneden trainingen die intern worden verzorgd.

14.3.

Terugblik 2024 (interne) audits

In 2024 heeft één interne audit plaatsgevonden in domein I. Het afronden van de audit loopt door in 2025. De interne audits voor de overige domeinen zijn voor 2025 gepland.

14.4. • • •

Groei-en ontwikkelkansen ‘wet politiegegevens’ Domein III en V: Stel een verbeterplan op en volg deze op. Domein I: ga zo door. Zorg voor voldoende tijd en capaciteit om de verbeterpunten uit de Wpg audits op te pakken, waaronder het structureel inregelen van terugkerende (controle-en verantwoordings-) taken. Zorg voor het structureel borgen van de (interne en externe) auditverplichting.

15. Toezicht door de FG 15.1.

Organisatorische positionering FG

Een Functionaris Gegevensbescherming is een onafhankelijk toezichthouder op de naleving van de AVG en Wpg. Deze onafhankelijkheid betekent dat de FG geen instructies mag ontvangen over hoe zij haar toezicht vormgeeft en in de gelegenheid moet worden gesteld haar toezicht uit te voeren. Om de onafhankelijkheid van de FG te borgen is zij gepositioneerd bij de afdeling Concern Control. De FG werkt nauw samen met de Privacy-en Security Officers, Chief Information Security Officer (CISO), Archivaris, business controllers en auditoren. Daarnaast is er veel contact met directeuren, afdelingshoofden, teamleiders, projectleiders en kwaliteitsmedewerkers. Elke inwoner of medewerker kan en mag direct contact leggen met de FG. De FG heeft ten minste drie keer per jaar overleg met de ambtelijk portefeuillehouder. Er is in 2024 twee keer overleg geweest met de Gemeentesecretaris over de naleving van de AVG. Ten minste twee keer per jaar is er een rapportage moment in het Directie Overleg. Directeuren, managers en bestuurders zijn laagdrempelig bereikbaar voor overleg.

13

In totaal zijn er zes BOA domeinen, te weten: Domein I: Openbare ruimte Domein II: Milieu, Welzijn en Infra Domein III: Leerplicht Domein IV: Openbaar vervoer Domein V: Werk, inkomen en Zorg Domein VI: Generieke opsporing.

Er heeft in 2024 één werkoverleg met de AVG-portefeuillehouder in het college plaatsgevonden. Daarnaast is er overleg geweest met drie andere bestuurders over specifieke vraagstukken. Er is een open en ontvankelijke cultuur om het toezicht te kunnen uitvoeren.

15.2.

Externe samenwerkingen en lidmaatschappen

In de regio Midden West-Brabant neemt de FG deel aan externe FG-overleggen. Daarnaast is zij in het kader van professionalisering aangesloten bij een landelijke FG-intercollegiale toetsingsgroep en een werkgroep van het Nederlands Genootschap van Functionarissen Gegevensbescherming. De FG is lid van het Nederlands Genootschap voor Functionarissen Gegevensbescherming, ISACA (information Systems Audit and control association), IAPP (International Association of Privacy Professionals) en (ISC)2 (International information security Certification consortium) en volgt doorlopend nascholing (op het gebied van zowel privacy als cybersecurity).

15.3.

Toezichtactiviteiten

De AVG, Uitvoeringswet AVG (UAVG) en Wpg vormen de wettelijke basis voor het toezicht door de FG. Hoe de FG dit toezicht uitvoert, is vormvrij. De FG van de gemeente Breda voert het toezicht uit, zodat dit past bij het volwassenheidsniveau van de organisatie, aansluit bij de actuele ontwikkelingen binnen én buiten de organisatie en bijdraagt aan het behalen van de door de organisatie gestelde compliance doelstellingen. Grofweg kunnen vier vormen van toezicht worden onderscheiden: 1. Toezicht op naleving: regulier, algemeen toezicht op naleving van bepalingen in de AVG/Wpg. 2. Systeemgericht toezicht: toezicht op de PDCA-cyclus van systemen en processen van AVG/Wpg naleving, bijvoorbeeld op de naleving van interne procedures of intern beleid. 3. Toezicht naar aanleiding van signalen: ad hoc toezicht naar aanleiding van incidenten, signalen, klachten, vragen of datalekken. 4. Thema of onderwerp gericht toezicht: onderzoek richt zich op één of meer specifieke onderdelen bij eén of verschillende afdelingen.

15.4.

Ontwikkelingen binnen het toezicht 2024

In het algemeen heeft het toezicht door de FG plaatsgevonden door toezicht op naleving van algemene (basis) bepalingen, zoals het (doen) controleren van het register van verwerkingen en het geven van advies bij inkoop-en aanbesteding, advies voor, tijdens of na het starten van initiatieven, het beoordelen van lopende projecten en verwerkingen, het van advies voorzien van DPIA’s en het adviseren dát de DPIA moet worden uitgevoerd. Ook heeft de FG met haar adviezen aangesloten op de organisatie brede ontwikkelingen, zoals het procesgericht werken, projectmatig werken en het vormgeven van jaarplannen (inclusief gegevensbeschermingswerkzaamheden). De FG heeft een gecombineerd systeem-signaalgericht toezicht uitgevoerd op naleving van interne processen en procedures, zoals het volgen van het proces van datalekken, het inzagerecht en de procedure voor uitvoeren en opvolgen van DPIA’s. Van dit toezicht is geen separaat auditverslag opgesteld: de bevindingen zijn in zijn algemeenheid terug te vinden in het Privacy management systeem en dit verslag. De FG heeft in 2024 een onderzoek gestart naar de governance van AI en algoritmen. Dit onderzoek loopt door in 2025. 23

Incidenten en klachten zijn onderzocht en van een (intern) advies of terugkoppeling (aan de melder) voorzien, conform de hiervoor geldende procedure.

16. Toezichtsplan 2025 Het toezichtsplan van de FG beweegt mee met de ontwikkelingen in de organisatie, eventuele externe ontwikkelingen (zoals nieuwe wetgeving of publiciteit rondom een onderwerp) én volgt de toezichtsagenda van de Autoriteit Persoonsgegevens. Het toezicht is bedoeld om de organisatie te ondersteunen in het blijvend gaan voldoen aan de AVG (en Wpg) én tegelijkertijd de strategische doelstellingen (zoals onder andere verwoord in het Bestuursakkoord) te behalen.

16.1.

Systeemgericht Toezicht

In 2025 voert de FG systeemgericht toezicht14 uit op de volgende onderdelen. - Verwerkingsregister - Samenwerkingen/ Verwerkersovereenkomsten of andere afspraken met betrekking tot gegevensdeling - DPIA, DPIA-opvolging en planning - Privacybeleid implementeren en naleven - Organisatorische inbedding: taken, rollen en verantwoordelijkheden beleggen en uitvoeren - Rechten van betrokkene: inzageverzoeken tijdig afhandelen, klachtafhandeling - Transparantie - Datalekken - Informatiebeveiliging: Data Loss Prevention (DLP)/dataopslag/bewaartermijnen naleven - Gegevensbescherming in afdelingsplannen - Wet Gegevensdelingen samenwerkingsverbanden

16.2.

Themagericht Toezicht

Themagericht prioriteiten in het toezicht zullen zijn: - Algoritmes en AI (in het bijzonder de prioriteiten zoals aangegeven bij het systeemtoezicht). - Big Tech (in het bijzonder de prioriteiten zoals aangegeven bij het systeemtoezicht). - Digitale Overheid - Binnengemeentelijke gegevensdeling - Gegevensuitwisseling Sociaal Domein - Privacy waarborgen bij Fraudebeleid en Schuldhulpverlening - Vrijheid en Veiligheid (in het bijzonder de prioriteiten zoals aangegeven bij het systeemtoezicht). Datahandel (bij gebruik in algoritmes/Smart City/simulaties en voorspellingen/Crowdmanagement). Behalve gepland toezicht wordt ook ad hoc-toezicht uitgevoerd naar aanleiding van incidenten, signalen, klachten, vragen of datalekken.

16.3.

Toezichtonderwerpen voor de Wpg

In 2025 zal de FG met name de aandacht richten op de volgende onderwerpen: 14

Tijdige uitvoering van audits en opvolging van de audit-bevindingen.

Noot: bij systeemtoezicht wordt bijvoorbeeld gekeken: Is er een actueel register? Wordt deze bijgehouden? Bij het Themagerichte toezicht zou bijvoorbeeld gekeken worden naar: staat een algoritme in het verwerkingsregister/algoritmeregister?

-

16.4.

(Vaststellen) auditplan Wpg. Wpg DPIA-uitvoering, opvolging (PDCA) en planning. Borging Wpg verplichtingen in beleid, procedures, werkinstructies, etc. Implementatie Wpg beleid. Verwerkingsregister. Autorisaties/autorisatieprocedure. Aantoonbare periodieke controle logging op het gebruik van politiegegevens. Bevoegd functionaris t.a.v. artikel 9 onderzoeken. Vastleggen doel artikel 9 onderzoeken. Bewustmaking en opleiding.

Overige taken FG

De FG heeft naast toezichtactiviteiten in ieder geval tot taak: • Te adviseren over DPIA’s; • Te adviseren over de toepassing en uitvoering van de AVG en Wpg; • Het begeleiden en verzorgen van contacten tussen de gemeente en de AP; • Het toezien op de juiste afwikkeling van klachten rond het verwerken van persoonsgegevens; • Het toezien op en adviseren over de afwikkeling en het evalueren van (risicovolle) incidenten met betrekking tot het verwerken van persoonsgegevens of politiegegevens; • Het adviseren over gegevensbescherming in het kader van (beleids)ontwikkelingen en implementatietrajecten.

25