FG Verslag Gegevensbescherming BLNP-gemeenten in 2020 - 2022 versie def_ juli 2023 18-7-2023 (1252044).pdf

Gegevensbescherming in 2020 – 2022 in de gemeenten Bunschoten, Leusden, Nijkerk en Putten (BLNP-gemeenten)

Bron: https://www.digitaleoverheid.nl/

Verslag en advies van de Functionaris Gegevensbescherming van de BLNP-gemeenten, bestemd voor de Gemeenteraden en de Colleges van Burgemeester en Wethouders

Mirjam Udo Juli 2023

Voor dit verslag heeft het Format FG Jaarverslag van VNG/IBD versie 1.2 als uitgangspunt gediend

Inhoudsopgave: Deel 1 Terugblik………………………………………………………………………………………………………………..………….…3 1. Inleiding: …………………………………………………………………………….....…………………………..….3 2. 3. 4.

Over dit Verslag gegevensbescherming BLNP gemeenten 2020-2021 + doorkijk........4 Gevolgen van niet (voldoende) naleven van EU- en nationale wet- en regelgeving.…4 Fundamentele beginselen die gelden binnen de (gemeentelijke) overheid………….….5

5. Urgente bevindingen van de FG over de periode 2020 t/m 2022 ………………….…………5 5.1 Nog onvoldoende commitment en nog geen adequate werkorganisatie ..……………..6 5.2 Nog onvoldoende tegemoet gekomen aan ‘privacy by design/by default’………….…..8 5.3 Nog onvoldoende waarborgen voor naleven AVG in BLNP-verband………………………..8 6.

Resultaten borging AVG in de BLNP-gemeenten in 2020-2022…………….………………….10

7.

Incidenten met persoonsgegevens/datalekken………………………………………………………11

8.

Bereikte resultaten in 2020 – 2022…………………………………………………………………………13

Deel 2 Vooruitblik…………………………………………………………………………………………………………………………..16 9. Blijvende inzet per gemeente is nodig vanwege actuele IBP-risico’s……………………….16 10. Conclusie en advies………………………………………………………………………………………………..19

Bijlage: Literatuurlijst bij FG Verslag Gegevensbescherming BLNP 2020-2022……………………….20

2

Deel 1 Terugblik 1. Inleiding. Het belang van bescherming van Persoonsgegevens/Privacy Mensen vinden het belangrijk om zoveel mogelijk zelf regie te kunnen houden over wat er gebeurt met hun persoonsgegevens en binnen hun persoonlijke levenssfeer. Vooral van de overheid verwacht de samenleving in dit digitale tijdperk hierin een voorbeeldrol. Beschermen van persoonsgegevens is nog niet vanzelfsprekend Het beschermen van persoonsgegevens is binnen de overheid nog lang niet vanzelfsprekend. De kinderopvangtoeslagenaffaire is hiervan een exemplarisch voorbeeld. Dat ook bij gemeenten meer alertheid geboden is wat betreft het beschermen van persoonsgegevens blijkt onder meer uit: De inzet van wifi-tracking van mobiele telefoons van passanten waarmee mensen kunnen worden gevolgd in plaats van dat zij uitsluitend worden geteld vanwege het meten van drukte in centrumgebieden. Dit leverde de gemeente Enschede een boete op van € 600.000,- van de Autoriteit Persoonsgegevens (AP); Het door de AP constateren van een ondermaats privacy beleid bij de gemeenten Hellevoetsluis en Eindhoven.

Dit leidde tot het onder verzwaard toezicht stellen van de gemeenten door de AP; Diverse aanvallen met gijzelsoftware bij gemeenten, zoals de gemeente Hof van Twente (schade van ruim € 4.000.000,-) en de gemeente Buren waarbij door het hacken van ID-gegevens van inwoners, privégegevens via het ‘dark web’ werden aangeboden. Een (cyber)incident met persoonsgegevens bij gemeenten is kortom niet denkbeeldig en vraagt om voldoende inzet op Informatiebeveiliging en Bescherming van Persoonsgegevens en privacy (IBP). Persoonsgegevens beschermen binnen (gedigitaliseerde) gemeentelijke processen De (gedigitaliseerde) gegevenshuishouding op orde brengen is ingewikkeld. Een gestructureerde en risico gestuurde aanpak helpt om de gemeentelijke werkprocessen in lijn te brengen met de geldende IBP-wet- en regelgeving. Het bovenstaande vraagt van gemeenten inmiddels ook andere dan puur bedrijfsmatige afwegingen. Zo stelt de AP stelde in haar Jaarverslag 2021 [1] ten aanzien van digitalisering: ‘We zijn als samenleving op het punt gekomen dat we weten dat digitalisering niet zonder waardenafweging kan. Digitalisering moet verantwoord zijn.

Iedere nieuwe ontwikkeling of tool vraagt van ons: willen we dit als samenleving en als burger? Daarin past niet dat mensen onterecht ongelijk worden benaderd of behandeld.’ Aandacht voor IBP betekent ook een ‘frisse wind’ door processen die soms erg verouderd zijn. Het Rijk zet stevig in op opgaven rond digitalisering waaronder innovatie, inclusie, digitale burgerrechten, evenals de VNG/Informatiebeveiligingsdienst (IBD). Zowel de AP, de VNG/ IBD en het Centrum Informatie-beveiliging en Privacybescherming Overheid (CIP-Overheid) bieden de gemeenten diverse handvatten [2] om processen rond IBP verder vorm te geven.

3

BLNP - gemeenten: meer aandacht nodig voor IBP Ook de BLNP-gemeenten dienen voldoende te investeren in de (digitale) informatiehuishouding en specifiek in IBP, onder meer om te kunnen aantonen dat zij zorgvuldig omgaan met persoonsgegevens-/privacybescherming. IBP is vanaf 2018 ondergebracht in de BLNP bedrijfsvoering samenwerking maar is sterk verbonden met werkzaamheden die -per gemeente- plaatsvinden in teams. Gemeenten onderscheiden binnen de GEMeentelijke Model Architectuur (GEMMA) [3] de volgende domeinen: bestuur, sociaal domein, fysieke leefomgeving, publieksdiensten, openbare orde en veiligheid en ondersteuning. Hierbinnen bevinden zich taken waarvoor zelfstandige gemeenten ieder afzonderlijk verantwoordelijk zijn en blijven, of zij daarbij nu samenwerken of niet. Het ontbreekt echter nog aan voldoende inzicht in: zowel de bestaande als de beoogde inrichting van de informatiehuishouding per gemeente en de specifieke processen waarbinnen (persoons)gegevens worden verwerkt; de aard en de mate van samenwerken tussen de vier BLNP-gemeenten en eventuele risico’s die de gemeenten lopen vanwege het verwerken van persoonsgegevens binnen deze samenwerking. 2. Over dit Verslag gegevensbescherming BLNP-gemeenten 2020 – 2022 Dit verslag en advies van de Functionaris Gegevensbescherming (FG) van de gemeenten Bunschoten, Leusden, Nijkerk en Putten omvat de periode van 2020 – 2022.

Dit volgt op de lokale FG Jaarverslagen Gegevensbescherming 2019 en diverse vertrouwelijke FGberichten en -adviezen aan zowel de BLNP-Regiegroep van gemeentesecretarissen als de lokale portefeuillehouders privacy namens de colleges van B&W vanwege de stand van zaken van januari 2020 tot medio 2022. Deze vertrouwelijkheid hield vooral verband met nog te zetten stappen om de rechtmatigheid van de BLNP-samenwerking verder te borgen, een onderwerp waarover de gemeenteraden door de colleges destijds nog niet waren geïnformeerd. Meer hierover volgt onder punt 5.3. De in dit verslag als volgt genummerde verwijzingen: [1] zijn opgenomen in de bijgevoegde Literatuurlijst. 3. Gevolgen van niet (voldoende) naleven van EU- en nationale wet- en regelgeving Niet (voldoende) naleven van de EU-wetgeving op het gebied van IBP, zoals de AVG en de EU Richtlijn gegevensbescherming politie en justitie en daarop gebaseerde nationale wetgeving zoals de Uitvoeringswet AVG (UAVG) en de Wet politiegegevens en de Baseline Informatiebeveiliging Overheid (BIO), brengt risico’s mee zoals datalekken en andere beveiligingsproblematiek. Ook belemmert dit betrokkenen bij het uitoefenen van hun recht op bescherming van hun persoonsgegevens, bij voorbeeld vanwege een datalek.

Datalekken kunnen leiden tot: identiteitsfraude, discriminatie, buitensluiting, reputatieverlies, onrechtmatige en ongelijke behandeling, financiële schade of andere schade of nadeel voor de betrokken personen. Daarnaast kunnen deze risico’s leiden tot aanzienlijke financiële schade en imagorisico’s voor de betrokken organisaties. Denk daarbij aan dwangmaatregelen of hoge boetes vanuit de AP, schadeclaims van betrokkenen/hun advocaten, hogere kosten door het achteraf alsnog moeten treffen van privacy maatregelen en het verhelpen van de gevolgen van 4

onvoldoende betrouwbare of onvoldoende beveiligde gegevens en het verlies van vertrouwen in de overheid/werkgever. 4. Fundamentele beginselen die gelden binnen de (gemeentelijke) overheid Algemene beginselen van behoorlijk bestuur Naast de hiervoor genoemde wet- en regelgeving op het gebied van IBP geldt een aantal fundamentele beginselen waaraan de gemeenten zich als overheidsorganisatie dienen te houden. Dit geldt eens temeer vanwege de voorbeeldfunctie van gemeenten binnen de democratische rechtsstaat. Dit betreft de algemene beginselen van behoorlijk bestuur [4]: beginselen die gelden voor het voorbereiden van overheidsbesluiten, het motiveren en de inhoud hiervan. Denk bijvoorbeeld aan vereisten wat betreft zorgvuldigheid, rechtszekerheid, het vermijden van vooringenomenheid of partijdigheid, het vermijden van procedures die niet overeenstemmen met de wet en het tegengaan van willekeur van de kant van de overheid. Nederlandse code voor goed openbaar bestuur In de Nederlandse code voor goed openbaar bestuur [5] zijn nadere uitgangspunten uitgewerkt voor het professioneel functioneren van de besturen van gemeenten, waterschappen, provincies en het rijk. Het gaat daarbij onder meer om: openheid en integriteit, behoorlijk contact met burgers, legitiem handelen en het afleggen van verantwoording over overheidshandelen of het juist nalaten hiervan.

Code Goed Digitaal Bestuur Inmiddels zijn er binnen de VNG kaders en hulpmiddelen ontwikkeld die passen bij de uitdagingen in de huidige sterk gedigitaliseerde samenleving, zoals de Digitale Agenda Gemeenten 2024 [6]: een collectieve Agenda voor de Digitale Samenleving en de Code Goed Digitaal Openbaar Bestuur (CODIO) [7]: een waardenkader dat in opdracht van de rijksoverheid is ontwikkelt door de Universiteit Utrecht om het gesprek te voeren over hoe de inzet van digitale middelen verschillende publieke waarden raakt. 5. Urgente bevindingen van de FG over de periode 2020 t/m 2022 Met name via de Regiegroep van gemeentesecretarissen BLNP vond vanaf 2021 een meer gestructureerde afstemming plaats met de FG. Verder vonden -op meer incidentele basisgesprekken plaats tussen de portefeuillehouders privacy binnen de vier gemeenten en de FG. Het bovenstaande heeft er weliswaar toe geleid dat er inmiddels enkele FG-adviezen zijn opgevolgd, zoals opdracht tot onderzoek door externen onder meer wat betreft diverse vraagstukken rond persoonsgegevensbescherming in relatie tot de BLNP-samenwerking. De besluitvorming vanuit de vier gemeenten over een gedegen aanpak voor de persoonsgegevens-/privacybescherming is echter -vijf jaar na het van toepassing worden van de AVGnog steeds diffuus.

Tot eind 2024 doorgaan met de ingezette aanpak binnen de vier gemeenten afzonderlijk en de samenwerking, biedt naar mijn mening onvoldoende waarborgen om de veiligheid van persoonsgegevens van inwoners, medewerkers en derden voldoende te kunnen beschermen. De meest urgente bevindingen die hieraan ten grondslag liggen zijn hieronder vermeld onder de punten 5.1 – 5.3 die hierna volgen.

5

5.1 Nog onvoldoende commitment en nog geen adequate werkorganisatie Zoals eerder aangegeven in de FG Jaarverslagen van 2019 en in daaropvolgende interne verslagen aan en gesprekken met portefeuillehouders en gemeentesecretarissen, was er ook in 2020 – 2022 binnen de vier gemeenten nog onvoldoende commitment om te kunnen voldoen aan naleving van de regelgeving op het gebied van persoonsgegeven-/privacybescherming. Het ontbreekt verder nog aan een adequate, gestructureerde en op risicomanagement toegeruste werkorganisatie met voldoende mensen, middelen en ondersteuning om op basis van het vastgestelde strategische IBP-beleid een tactisch beleid te ontwikkelen en uit te voeren binnen de vier gemeenten. Verantwoordelijkheid voor IBP op strategisch niveau De verantwoordelijkheid voor persoonsgegevensbescherming is door de wetgever nadrukkelijk belegd bij de ‘verwerkingsverantwoordelijken’: de colleges, burgemeesters en uiteindelijk de gemeenteraden op basis van de taakstellende en controlerende rol van de raad. In 2022 is via de griffies de handreiking van de AP ‘Gemeenten en privacy, wat kunt u als raadslid doen’[8] gedeeld voor de raadsleden.

Ook interessant is de publicatie van adviesorganisatie IB&P: ‘de rol van de gemeenteraad bij informatiebeveiliging en privacy’[9] Verantwoordelijkheid voor IBP op tactisch niveau: bij het management In praktische zin ligt de verantwoordelijkheid voor IBP vooral bij de lokale directies en het management, specifiek: bij de gemeentesecretarissen en proceseigenaren (leidinggevenden) IBP en hun teams. Zij zijn verantwoordelijk voor het (door)ontwikkelen van het gegevensbeschermingsbeleid voor de vakgebieden waarbinnen zij werkzaam zijn. Ondersteuning bij, advies over en toezicht op IBP-taken De organisaties worden bij hun IBP-taken ondersteund door lokale Privacy Officers (PO’s) en lokale Informatieveiligheid Officers (CISO’s), onder meer wat betreft het uitvoeren van het opstellen van IBP-Jaarplannen waarvan risico-analyses en bewustwordingsacties en opleiding van medewerkers. Verder maken de PO’s, CISO’s en FG deel uit van het ‘incident responseteam’ dat beveiligingsincidenten en datalekken onderzoekt en daarover rapporteert naar de verwerkingsverantwoordelijken op basis van de incidentenprocedure. De (wettelijke) taak van de BLNP FG is strategisch adviserend en (intern) toezichthoudend. Extern toezicht is belegd bij de AP.

Onvoldoende duidelijk is wat rond IBP in BLNP-verband wordt opgepakt en wat lokaal Onvoldoende duidelijk is wat er precies rond IBP in BLNP-verband wordt geïnitieerd en uitgevoerd en wat lokaal belegd blijft. Dit geeft problemen bij het verkrijgen van ‘grip’ op taken, bijvoorbeeld de klachtbehandeling van AVG-gerelateerde onderwerpen. Het duurt vaak lang voordat de klachtprocedures zijn afgewikkeld. Deze zijn verouderd of nog niet goed opgezet. Op FG-verzoeken, zowel lokaal als binnen de Regiegroep als binnen JZ om -in overleg- tot procesverbetering te komen is tot dusver nauwelijks gereageerd. Dit laatste geldt soms ook voor inzage- en andere verzoeken in relatie tot (privacy)rechten van betrokkenen die PO’s niet altijd ter afhandeling aan de (lokale) teams kunnen adresseren. Positionering van IBP-taken Sinds 2021 zijn de lokale PO’s vanuit ICT in Bunschoten functioneel ondergebracht bij BLNPgastheergemeente Putten (JZ). Bij JZ is er tot dusver weinig affiniteit met persoonsgegevens-/ privacybescherming en worden er andere prioriteiten gesteld. Omdat de personele taken voor de FG ook vanuit JZ worden uitgevoerd lijkt het of de FG deel uitmaakt van het team. Hierdoor is de onafhankelijk positie van de FG onvoldoende duidelijk. 6

De FG is in feite afhankelijk van ‘goodwill’ van het teamhoofd JZ of van de Regiegroep BLNP, bij voorbeeld voor (incidenteel) budget voor onderzoek, opleiding en medewerking om toezicht te kunnen uitvoeren op wat er gebeurt in de vier organisaties. Dit is niet in lijn met de AVG die voor de FG een meer onafhankelijke positionering verlangt en voldoende middelen en ondersteuning, zoals aangegeven in de artikelen 37-39 AVG [10], de uitgangspunten van de Autoriteit Persoonsgegevens [11] en handreiking van VNG/IBD [12]. De lokale informatieveiligheidsfunctionarissen (CISO’s) zijn sinds 2021 functioneel ondergebracht bij BLNP-gastheergemeente Bunschoten (ICT) en de BLNP CISO al eerder. De BLNP CISO heeft aangegeven nog onvoldoende mogelijkheden te hebben om toe te komen aan zijn rol als ‘Concern CISO’, zoals aangegeven in de handreiking voor de onder meer de Concern CISO-taak van de VNG/IBD [13]. Uren voor PO-, CISO- en FG-taken De uren voor de PO’s, CISO’s en FG, zijn krap bemeten zoals blijkt uit het overzicht hieronder. De AP houdt naast onder meer op de AVG ook toezicht op de verwerking van persoonsgegevens in het kader van de Wet politiegegevens (Wpg) en Wet justitiële en strafvorderlijke gegevens (Wjsg) binnen de gemeenten (vanwege diverse BOA-taken) [14] Binnen de FG-taak in BLNP-verband is de FG voor de Wpg tot dusver nog niet aangesteld.

De AP gaat er -zonder tegenbericht- vanuit dat de AVG-FG BLNP ook Wpg-FG is. Hiervoor kan de FG BLNP onmogelijk uren vrij maken. Te meer omdat de FG BLNP ook is aangesteld als (AVG) FG voor de adviescommissies voor de bezwaarschriften, de rekenkamers en de lokale ombudsmanfuncties. Ook aan deze taken wordt in de praktijk niet toegekomen. Er worden in 2023 wel stappen gezet om de AVG- en Wpg-FG-taken op te splitsen en om voor onderlinge vervanging van de beide typen FG-en te kunnen zorgen. Bunschoten PO: Tot medio 2022: vast (flexibel in te vullen naast taak burgerzaken) Vanaf medio - eind 2022: Vacature Vanaf eind 2022: Trainee tot eind 2023 (naast WOO- + Wpgtaken) CISO: 18 uur vast (naast o.a. ITtaken)

BLNP-gemeenten: FG: Tot heden: 32 uur

Leusden PO: Tot heden: 18 uur vast (naast Wpgtaak + studie Internet, Intellectuele eigendom en ICT aan de VU)

Nijkerk PO: Tot eind 2022: 18 uur (naast PO-taak Putten) n.b. Vanaf begin 2023: 36 uur (naast Wpgtaak)

Putten PO: Tot eind 2022 18 uur) naast PO-taak Nijkerk) n.b. Vanaf begin 2023: 18 uur (naast WOO- + Wpg-taken)

CISO: 18 uur vast (naast o.a. adviseur AOtaken)

CISO: Tot eind 2022: 18 uur vast (naast o.a. IT-taken) n.b. Vanaf maart 2023 heden: 8 uur inhuur

CISO: n.b. Tot maart 2023: 18 uur vast (naast o.a. IT-taken) n.b. Vanaf maart 2023 heden: 8 uur inhuur

CISO: Tot heden: 18 uur (naast taken ITarchitectuur en Informatie management)

Wat nodig is om de benodigde personele capaciteit en faciliteiten voor IBP op een meer aanvaardbaar volwassenheidsniveau te brengen in de vier gemeenten hangt echter af van: - de ambities van de raden en colleges; - inzicht in de daadwerkelijke staat van IBP binnen de verschillende domeinen in de vier gemeenten. 7

5.2 Nog onvoldoende tegemoet gekomen aan ‘privacy by design/by default’ ‘Privacy by design en Privacy by default’ [15] betreft de verplichte aanpak om risico’s rond bescherming van persoonsgegevens vanaf de start van een project, inrichting van werkproces of de aanschaf van een systeem te onderkennen en vervolgens te zorgen voor privacy-vriendelijke werkwijzen en instellingen. Door het ontbreken van een gestructureerde preventieve aanpak hiervoor komen beschermende maatregelen rond de gegevens van inwoners, medewerkers en derden nog te veel in het gedrang. Werkprocessen, samenwerkingsinitiatieven en aanschaf van systemen worden veelal opgestart zonder de impact op de persoonsgegevens te onderzoeken en hierop beschermende maatregelen af te stemmen. Wat resteert is advies over het uitvoeren van reparatiewerk achteraf. In de praktijk houdt een (verplichte) gegevensbescherming effectbeoordeling of Data Protection Impact Assessment (meestal aangeduid als DPIA) [16] dan niet veel meer in dan het ‘afvinken’ van deze verplichting. 5.3 Nog onvoldoende waarborgen voor naleven AVG in BLNP-verband Het samenwerkingsverband bedrijfsvoering BLNP is gebaseerd op het juridisch construct ‘Regeling Zondermeer’ (RZM). De RZM bood tussen 2016 tot eind 2022 onvoldoende waarborgen om rechtmatig te kunnen samen te werken.

Bij deze lichtste vorm van een Gemeenschappelijke Regeling tussen gemeenten -zonder rechtspersoonlijkheid- is het delegeren en mandateren of bij volmacht of via machtiging toekennen van taken tussen de gemeenten over en weer niet aan de orde. Anders dan door middel van het detacheren van medewerkers naar de andere drie gemeenten biedt de RZM geen mogelijkheid om hen op een rechtmatige manier taken te laten uitvoeren vanwege de BLNP-samenwerking. Van detachering en/of een andere oplossing om rechtmatig te kunnen samenwerken was tot eind 2022 geen sprake. Het is dus niet het ‘AVG-probleem’ dat in de weg stond aan het rechtmatig kunnen samenwerken maar het ontbreken van een geldige rechtsgrond om rechtmatig te kunnen samenwerken. Dit laatste bleek al uit een organisatieadvies uit 2015. Desondanks is in 2017 besloten tot het verder intensiveren van de samenwerking vanuit de vier BLNP-teams. Hierdoor waren medewerkers -in ieder geval tot aan 2022- in onzekerheid over o.a. de rechtmatigheid van het door hen verwerken van persoonsgegevens van inwoners en derden en van de medewerkers van de vier gemeenten. Dit heeft ook geleid tot datalekmelding bij de AP. Detacheren van ambtenaren in BLNP-verband naar vier afzonderlijke gemeenten Eind 2022 is door het over en weer detacheren van de betreffende ambtenaren een tijdelijke oplossing gecreëerd om rechtmatig te kunnen samenwerken.

Deze oplossing houdt in dat de ambtenaren die binnen de vier BLNP-teams zijn ondergebracht, vanuit hun gemeente van aanstelling naar de drie andere gemeenten worden gedetacheerd. Deze gemeenten voeren hun taken uit ‘in eigen beheer’, dus per afzonderlijke gemeente. Een gezamenlijke verwerkingsverantwoordelijkheid of het over en weer verwerken van persoonsgegevens als verwerker op het gebied van ICT, Financiën, HRM of JZ is dan niet aan de orde. De gemeenten zijn aan te merken als vier zelfstandig verwerkingsverantwoordelijken in de zin van de AVG voor het verwerken en beveiligen van persoonsgegevens. De tussen de gemeenten gesloten verwerkersovereenkomsten lijken onder de gegeven omstandigheden nauwelijks nog waarde te hebben.

8

Niet voldoende transparantie naar betrokkenen De AVG stelt onder meer dat de gemeenten transparant dienen te zijn naar de betrokkenen over de manier waarop medewerkers de persoonsgegevens verwerken en op grond waarvan zij dat mogen doen. Tot dusver zijn de gemeenten onvoldoende transparant naar betrokkenen van wie in BLNP-verband persoonsgegevens worden verwerkt, op welke manier dat gebeurt en welke beschermende maatregelen hiervoor getroffen zijn. De BLNP-samenwerking raakt ieder die in de vier gemeenten op de loonlijst staat. Verder gaat deze samenwerking ook de inwoners van de gemeenten aan en derden van wie door of namens de gemeente persoonsgegevens verwerkt worden. Zij hebben er recht op om te weten waarom een ambtenaar ‘uit een andere gemeente’ hen bijvoorbeeld mailt vanwege hun vraag/klacht/bezwaarschrift/inzageverzoek etc. Risicovolle persoonsgegevensverwerkingen van en naar de vier gemeenten onderling Van het FG advies om voor risicovolle verwerkingen van en naar de vier gemeenten onderling alsnog (verplichte) DPIA ‘s te laten uitvoeren op betrokken werkprocessen en systemen, is door de Regiegroep gemotiveerd afgeweken. In plaats hiervan is een externe audit uitgevoerd op IBP binnen HRM en binnen het Sociaal Domein.

De audits hebben daarmee een andere uitwerking gekregen dan beoogd werd met het FGadvies, minder op inhoud per domein/team maar meer (hoog over) op het proces. De uitkomsten van de externe audits zijn echter nog niet definitief en daarom nog niet betrokken bij het advies in deel 2 van dit FG-verslag. Momenteel is vaak nog niet duidelijk hoe de gedetacheerde BLNP-medewerkers met het oog op IBP hun (ICT-, Fin-, HRM- of JZ-) taak bij de vier verschillende gemeenten precies dienen uit te voeren: - Op basis van welke (lokale) werkprocessen en hoe deze in lijn met de beginselen in de AVG [17] kunnen worden uitgevoerd; - Met welk passend mandaat/volmacht/machtiging voor hun (lokale) taken. Met het daadwerkelijk uitvoering geven aan het detacheren van medewerkers neemt het risico toe dat (gevoelige) persoonsgegevens vanuit de vier gemeenten terecht komen in slecht of niet beveiligde bestanden, op samenwerkschijven etc. van één of meer van de andere gemeenten dan de ‘eigen’ gemeente. Dit kan -onverhoopt- tot schade leiden die vervolgens slecht valt uit te leggen aan de betrokken inwoners, bijvoorbeeld in geval van een hack door cybercriminelen.

Positief was dat eind 2021 de inmiddels aangewezen coördinerend proceseigenaren privacy die samenwerken binnen het BNLP bedrijfsvoeringsoverleg, in overleg met de privacybeheerders een Privacy Jaarplan opstelden voor 2022, waarop FG advies is uitbracht. De uitvoering van dit plan bleef echter alsnog een ad-hoc aangelegenheid. Dit komt onder meer doordat binnen de afzonderlijke gemeenten nog onvoldoende IBP-risico beheermechanismen zijn [18] ingezet, zoals: IBP-brede self-assessments/nulmetingen en gap-analyses. Dit betreft onderzoek/analyse van wat per gemeentelijk domein is en wat er nog ontbreekt in het kader van IBP het ‘IBP-volwassenheids-niveau’ qua: beleidsdoelen, afspraken vanwege (keten)samenwerking, werkprocessen, mate van IBP-bewustwording en van de beveiliging. Verdere aandachtspunten zijn: - Een Information Security Management System BIO en AVG [19], een vanuit de BIO verplicht systeem waarmee -per gemeente- resultaten en aandachtspunten op het gebied van IBP kunnen worden gedeeld met lokaal verant-

9

-

woordelijken die hierop hun input geven (een IBP ondersteunende Plan-DoCheck-Act-cyclus); Periodieke controles op het gebruik van de systemen vanwege het naleven van de BIO en de AVG/Wpg, o.a. wat betreft uitvoeren van loggingcontroles, inspelen op uitkomsten uit DPIA’s en (verplichte) in- en externe audits.

6. Resultaten borging AVG in de BLNP-gemeenten in 2020-2022 De uitwerking van de Handreiking borging van de AVG van de VNG gaf in de periode 20202022 in de vier gemeenten ongeveer dezelfde resultaten te zien:

(De toelichting op deze resultaten volgt op bladzijde 11)

10

Privacy-volwassenheidsniveau op basis van de resultaten De bovengenoemde resultaten leiden tot Privacy-volwassenheids-niveau [20] 1 à 2: 1

•

Ad hoc

• • •

2 Herhaalbaar

• • • • •

Geen of onduidelijke privacyrollen en verantwoordelijkheden Geen of nauwelijks beheersmaatregelen aanwezig Reactief en sturing n.a.v. incidenten Grote afhankelijkheid van één of enkele privacyfunctionarissen Onbewust onbekwaam Privacyrollen en -verantwoordelijkheden toegewezen Beheersmaatregelen zijn aanwezig, maar worden op informele wijze uitgevoerd Standaarden en formats aanwezig: juist en in duidelijke taal Bewust onbekwaam

Het privacy-volwassenheidsniveau dat gemeenten 5 jaar na het van toepassing zijn van de AVG hebben bereikt is daarmee relatief laag en versnellen van de doorgroei naar niveau 3 à 4 is wenselijk. 3

Bepaald

• • • • • •

4

Beheerst

• •

5

Geoptimaliseerd

• • • • • • • • • • •

(Privacy)medewerkers tonen eigenaarschap, d.w.z. dat de rollen en verantwoordelijkheden actief worden opgepakt Beheersmaatregelen worden consistent en gestructureerd uitgevoerd en zijn gedocumenteerd Er wordt aantoonbaar aan verplichtingen voldaan Verwerkingsverantwoordelijke bestuursorganen nemen beslissingen mede op grond van risicoanalyses zoals een DPIA. Er is een duidelijke samenhang met informatiebeveiliging Bewust bekwaam De effectiviteit van beheersmaatregelen wordt periodiek geëvalueerd in een PDCA-cyclus Er wordt proactief geïnformeerd door de proceseigenaar over de realisering van de geconstateerde benodigde verbeteringen in een PDCAcyclus In een jaarlijkse evaluatie blijkt een correcte PDCA-cyclus Bewust bekwaam Toekomstgericht Proactieve houding van het college en het bestuur Het verantwoordelijk management verzoekt aan de FG om hun verantwoording van een oordeel te voorzien. Privacy wordt gezien als een vanzelfsprekendheid Er wordt continue gezocht naar verbetering, zoals in de vorm van (interne of externe) tooling Privacy wordt gezien als een kans of unique selling point (USP) Er wordt verbinding gezocht met andere concerndisciplines Kennis en ervaringen worden actief gedeeld met gemeenten en andere relevante organisaties waardoor best practices in gemeentenland ontstaan Onbewust bekwaam

7. Incidenten met persoonsgegevens/datalekken In de vier gemeenten deden zich in 2020 - 2022 meerdere incidenten met persoonsgegevens voor, waaronder datalekken in de zin van de AVG. Vanwege de meldplicht datalekken in de AVG [21] zijn deze in een aantal gevallen ook gemeld bij de AP. Het gaat in dit verband niet in de eerste plaats om aantallen per gemeente, al is hiervan wel een jaaroverzicht op te vragen bij de PO’s van de vier gemeenten. Datalekken -veelal veroorzaakt door menselijk handelen of nalaten- zullen nooit helemaal vermeden kunnen worden. Het intern melden hiervan bij de PO’s of CISO’s is cruciaal om persoonsgegevens passend te kunnen beschermen, onder meer door gerichte inzet op 11

bewustwording. Van belang is daarom dat medewerkers open durven zijn over incidenten door hun eigen of andermans fouten. Het aantal incidenten/datalekken ligt in de vier gemeenten vermoedelijk hoger Wellicht wordt dit (deels) veroorzaakt door het vaker thuiswerken. Interessant is vooral om te kijken naar de oorzaken van de datalekken. Deze werden in de gemeenten vooral veroorzaakt door: - Het onvoldoende beveiligen van een bevoegde toegang tot persoonsgegevens, binnen de gemeentelijke werkprocessen/systemen en/of bij partijen waarmee de gemeenten samenwerken; - Fouten bij het verwerken van persoonsgegevens, binnen de gemeentelijke werkprocessen/systemen en/of bij die van partijen waarmee de gemeenten samenwerken en die onder verantwoordelijkheid van de gemeenten persoonsgegevens verwerken, zoals leveranciers en dienstverleners.

De meest voorkomende oorzaken van datalekken zijn: - Persoonsgegevens zijn onbeveiligd per email/per post verzonden naar een verkeerde ontvanger, bijvoorbeeld een verkeerde zorgverlener of een verkeerde persoon (bijvoorbeeld door een fout emailadres of fout huisnummer); - Personen hebben onbevoegd toegang tot persoonsgegevens in bepaalde bestanden/systemen/door het achterlaten van fysieke gegevens op bepaalde plekken (papieren bij het kopieerapparaat etc.); - Emailadressen zijn zichtbaar voor een groep personen door aan allen te emailen in plaats van ieder afzonderlijk via ‘bcc’; - Persoonsgegevens zijn onterecht op gemeentewebsites of landelijke portalen gedeeld en daar of door te googelen op iemands naam voor iedereen zichtbaar zijn. Datalek bij gemeente Amersfoort In 2021 deed zich een serieus datalek voor bij de gemeente Amersfoort (verwerker), waardoor gevoelige persoonsgegevens van een grote groep kwetsbare inwoners van zowel Bunschoten, Leusden en in een meer beperkte mate van Nijkerk, gedurende een half jaar open stonden voor medewerkers van de regiogemeenten voor wie dat niet noodzakelijk was voor hun taak. Deze kwetsbaarheid is verholpen en de verwerker heeft veiligheidshalve een audit laten uitvoeren op het gebruik van het systeem. De uitkomst hiervan is nog niet gedeeld. Beveiligingsincidenten/datalekken t.a.v.

persoonsgegevens van medewerkers in de vier gemeenten Verder bereikten mij vanaf eind 2020 en begin 2021 geregeld signalen van medewerkers over het delen van hun persoonsgegevens binnen het samenwerkingsverband BLNP, terwijl een rechtsgeldige verwerkingsgrondslag daarvoor ontbrak en/of niet duidelijk was of er voldoende beveiligingsmaatregelen waren getroffen. In een aantal gevallen was er ook onvoldoende transparantie over de verwerking. In een enkel geval was er ook sprake van een datalekmelding bij de AP en van nadelige gevolgen voor de betrokkenen. Datalek bij SVMN Begin 2022 werden de gemeenten Bunschoten en Leusden voor de tweede maal geconfronteerd met een datalek bij Jeugdzorgorganisatie Samen Veilig Midden Nederland (SVMN). SVMN is als organisatie een ‘zelfstandig verwerkingsverantwoordelijke’ in de zin van de AVG. Vanwege het oplossen van een storing bij SVMN was door een menselijke fout een datalek ontstaan waardoor er interne nieuwsberichten, online discussies tussen 12

medewerkers, namen en telefoonnummers van medewerkers van SVMN enige tijd op internet gepubliceerd stonden. Van het incident is melding gemaakt bij de AP en er werden direct beschermende maatregelen getroffen: de persoonsgegevens zijn van internet verwijderd, wachtwoorden zijn aangepast en medewerkers zijn geïnformeerd. Dit incident heeft niet geleid tot het melden van nadere gevolgen door inwoners van Bunschoten en Leusden. Dit incident volgde op een eerder datalek onder verantwoordelijkheid van SVMN in april 2019, waarbij er wel sprake was van het lekken van (uiterst gevoelige) cliëntgegevens van kinderen en hun ouders. Dit leverde destijds veel media-aandacht op, behandeling in de Tweede Kamer en raadsvragen in de betrokken gemeenten. Via de gemeente Utrecht volgde namens de betrokken Utrechtse gemeenten onderzoek en advies vanuit het Instituut Veiligheids- en Crisismanagement dat destijds gedeeld is met de gemeenteraden.

-

-

-

8. Bereikte resultaten in 2020 – 2022 FG advies over/het door de vier gemeenten vaststellen van het BLNP breed ontwikkelde privacybeleid + bijlagen (o.a. Governance-document (uitwerking van taken en rollen), Uitwerking toepassen AVG, Protocol datalekken, DPIA-procedure) Behandeling van/PO- en FG advies over diverse beveiligingsincidenten/datalekken via het incidentenresponseteam (CISO’s, PO’s en FG) Behandeling van/PO- en FG-advies over diverse AVG-verzoeken, incl. ondersteuning van de PO’s aan de betreffende teams/proceseigenaren Behandeling van/FG advies over enkele AVG-gerelateerde klachten van betrokkenen na melding bij de FG, incl. ondersteuning van de PO’s aan de betreffende teams/proceseigenaren FG advies over en door PO’s opstellen en deels uitvoeren van Privacy Jaarplannen De uitvoering van de Jaarplannen was in 2020 -2022 nog niet goed geborgd (ad hoc). Aan het werken aan meer bewustwording werd - buiten de ad hoc contacten - niet toegekomen. Hiervoor waren ook nauwelijks middelen en uren beschikbaar. Wel is er in de gemeenten een digitaal (online) leerplatform beschikbaar gesteld met modules voor Informatieveiligheid/bescherming persoonsgegevens & privacy, overigens zonder overleg hierover met PO’s/FG.

Het FG advies wat betreft het uitvoeren van diverse DPIA’s in overleg met PO’s en betrokken teams betrof onder meer: HRM BLNP (nog niet uitgevoerd) wel tussentijdse enkele verbeteracties processen/systemen (deels in afstemming met PO’s en CISO’s) (N) Vroegsignalering schulden (wijziging Wet gemeentelijke schuldhulpverlening) (B + P) Camerabewaking gemeentewerf (B) (pré) DPIA privacyreglement samenwerkingsverband aanpak verward gedrag (N) Zaaksysteem, DPIA-verslag nog aanpassen + vervolgens FG advies (B) Camera-/toegangscontrole overtoom pleziervaartuigen (B) Peutermonitor (monitoren aanpak voorschools aanbod voor doelgroep peuters) (P) Systeem voor integrale aanpak van wetgeving binnen het sociaal domein (P) Noodzaak van DPIA op nieuw zaaksysteem wel intern besproken maar niet uitgevoerd (L) Camera-inzet handhaving verkeersmaatregel winkelgebied, wacht nog op FG-advies (L)

13

Het FG advies bij de Privacy Jaarplannen 2021 en 2022 hield verder onder meer in: De proceseigenaren de DPIA opdracht geven om de DPIA-aanpak verder te (laten) professionaliseren [22] Dit betreft het nog aanwijzen enkele ‘DPIA-projectleiders’ in de teams met veel risicovolle persoonsgegevensverwerkingen en het voorzien in een gerichte opleiding. Hieraan is nog geen opvolging gegeven; ‘Pre-DPIA-sessies’ houden: kortere, minder belastende sessie om na te gaan of een DPIA noodzakelijk is. Hieraan is inderdaad opvolging gegeven waardoor er veel meer inzicht is ontstaan in de aard van een aantal lokale persoonsgegevensverwerkingen; Verplichte audits persoonsgegevensverwerking i.v.m. de Wet politiegegevens (Wpg) laten voeren en Wpg-taken te organiseren Advies van de BLNP FG en -CISO (juni 2021) was om alsnog een Wpg-audit te laten uitvoeren om de vier gemeenten tijdig aan hun auditverplichtingen vanwege het toezicht op de Wpg te kunnen laten voldoen. Dit advies werd in de loop van 2022 via de Regiegroep BLNP door de gemeenten overgenomen. Een beleid voor de in- en externe Wpg privacy-audits dient nog te worden uitgewerkt en diverse functionarissen -waaronder een Wpg-FG- dienen zoals eerder aangegeven nog te worden aangewezen. Door de Regiegroep is in 2023 besloten om een externe Wpg-FG te gaan werven; Overige resultaten: FG-/PO-advies n.a.v.

wetgeving/inspelen op maatschappelijke ontwikkelingen, o.a. verwerkingen in relatie tot COVID-19-pandemie, de Wet Open Overheid/Omgevingswet, Inburgeringswet, div. sociale wetten binnen het schuldendomein en de Wet meervoudige aanpak van problematiek sociaal domein en de gegevensverwerking in het kader van de energietransitie in relatie tot de AVG (gemeenten B,L,N,P) FG-advies n.a.v. de overdracht van taken naar de gastheergemeenten in BLNP-verband, o.a. vanwege het verwerken van (gevoelige) persoonsgegevens (gemeenten B,L,N,P) Verkenning door FG met CISO’s en PO’s naar het gebruik van Business Intelligence-tools en -diensten [23] vanwege het verwerken van veel (gevoelige) persoonsgegevens van inwoners (gemeenten B,L,N,P) Gesprekken tussen OR en FG vanwege het verschijnen van het OR Privacyboekje van de AP [24] in twee van de vier gemeenten vanwege de cruciale rol van de OR bij afspraken met de werkgever, onder meer over: regelingen rond het verwerken/de bescherming van persoonsgegevens; regelingen rond voorzieningen die gericht zijn op of geschikt zijn voor het monitoren van medewerkers wat betreft hun aanwezigheid, gedrag of prestaties. Lokaal uitzetten van vragen door FG n.a.v.

onderzoek door de AP vanwege werkwijze van het Inlichtingenbureau Dit betrof de vraag of er onnodig vaak gevoelige persoonsgegevens van uitkeringsgerechtigden worden verwerkt vanwege signalen vanuit het Inlichtingenbureau (gemeenten B,L,N,P) Deelname aan diverse in- en externe overleggen vanwege IB&P-taken, o.a.: Periodiek overleg PO’s en FG, overleg FG-en in de provincie Utrecht, overleg CISO’s en FG-en regio Amersfoort, Overleg FG-en en privacy officers

14

-

Foodvalley (N), diverse webinars over actualiteiten van o.a. AP, VNG/IBD en CIP (gemeenten B,L,N,P). Diverse publicaties rond IBP in 2020 - 2022 Gezamenlijk zijn door de (BLNP)-CISO’s, PO’s en FG -in goede samenwerking met het team communicatie Bunschoten- diverse IBP-nieuws-brieven opgesteld om te plaatsen op de gemeentelijke intranetten. Dit laatste gebeurde helaas niet altijd. Ook aan een voorbereide en aangekondigde ‘pc opruimdag’ werd verder geen vervolg gegeven. Wel werd een cadeaubon uitgereikt voor een idee voor een bewustwordingsactie. Tot het verspreiden van een IB&P Nieuwsbrief vanuit ‘Communicatie BLNP’ zoals aangegeven vanuit de Regiegroep is het tot dusver nog niet gekomen. Binnen de BLNP-samenwerking zijn medewerkers vanaf september 2021 via interne BLNP-berichten wel vanuit de Regiegroep geïnformeerd over de aanpak van ‘de AVG-problematiek’. Hierbij werd vooral gedoeld op een (tijdelijke) juridische oplossing rond de AVG-vraagstukken binnen de BLNPsamenwerking. Aan het vaart maken met maatregelen om IBP meer structureel te borgen binnen de verschillende domeinen en hun teams in de vier organisaties werd daarbij niet ingegaan. De kans bestaat dat dit laatste het blijft afleggen tegen andere prioriteiten.

Verder heeft de accountant in de verschillende gemeentelijke managementletters geadviseerd om tot een effectievere IT-risico- en beheeromgeving te komen als belangrijk onderdeel van de bedrijfsvoeringstrategie. Hij wees daarbij ook op de noodzaak om aandacht te hebben voor AVGvraagstukken.

15

Deel 2 Vooruitblik Doorkijk vanaf eind 2022 9. Blijvende inzet per gemeente is nodig vanwege actuele IBP-risico’s Deze inzet is nodig omdat IBP-verantwoordelijkheden meestal onder de verantwoordelijkheid van de gemeenten zelf blijven vallen, of zij daarbij nu samenwerken met andere partijen of niet. De vier gemeenten moeten zich beraden op de manier waarop zij invulling willen geven aan hun IBP-taken en op hun ambities en visies om -waar mogelijk- duurzaam in BLNP-verband samen te werken wat betreft deze taken. Succesfactoren tot verbetering Zes succesfactoren tot verbetering van de borging van IB&P risico’s liggen volgens het document ‘Dreigingsbeeld 2023 – 2024’ van de VNG/IBD [25] met name in:

Voor de vier gemeenten zijn de bovengenoemde succesfactoren en randvoorwaarden voor een betere borging van IBP als volgt: - Samenwerking: duidelijkheid over de voortgang van de BLNPsamenwerking Aan de in 2022 verleende opdracht aan een extern adviesbureau om een plan uit te werken om de BLNP samenwerking binnen een beter passend construct voort te zetten is inmiddels voldaan. De rapportage hierover is binnen organisaties nog niet gedeeld. Meer duidelijkheid over de verdere voortgang van de BLNP-samenwerking is inmiddels wel geboden; - Organisatie/Techniek/Eigenaarschap management: er is een meer integrale aanpak nodig van IBP-vraagstukken Deze aanpak houdt in: lokaal door PO’s en CISO’s en FG in netwerkverband kunnen samenwerken met onder meer informatie adviseurs, applicatiebeheerders, inkopers, data-analisten en (privacy) juristen om IBP op een hoger plan te kunnen krijgen. Dit vraagt om meer multi-disciplinair samengestelde ‘Kwaliteitsteams/-netwerken’ (lokaal) en een ‘Controlteam/netwerk’ (BLNP-breed). Zo kan -waar nodig- uitwisseling plaatsvinden tussen lokaal en BLNP-breed. Alleen ‘zenden’ door PO’s, CISO’s en FG werkt niet. Het beter borgen van IBP vraagt ook dat zij tijdig worden betrokken door de teams, het management en het bestuur;

16

Verder is van belang om elkaar binnen de vier gemeenten als lokale PO en CISO te kunnen vervangen bij vakantie etc. Hierover zijn nog geen structurele afspraken gemaakt. In de vervanging van de FG dient ook nog te worden voorzien; CIO-office In veel gemeenten wordt een CIO-office (Chief Information Office) ingericht. Een voorbeeld kan worden genomen aan de gemeente Utrecht, dat vanwege de razendsnelle technische ontwikkelingen aantoonbaar investeert in beleid en kaders op het gebied van digitalisering en informatie- en procesmanagement en ook in het kunnen omgaan ethische vraagstukken die zich daarbij voordoen (bijvoorbeeld rond Kunstmatige Intelligentietoepassingen, zoals een chatbot waarmee het denkvermogen van een mens wordt nagemaakt door middel van algoritmegebruik). Het CIO Office stelt beleid en kaders vast op het gebied van informatie- en procesmanagement, bevordert dat dit beleid uitvoerbaar is, bevordert dat nieuw beleid adequaat wordt geïmplementeerd en op effect en implementatie wordt gemonitord. Daarnaast draagt het CIO office zorg voor continue vernieuwing en verbetering van het bestaande systeemlandschap. Het CIO Office bestaat uit adviseurs op het gebied van Innovatie, Architectuur, Informatiebeheer, Procesmanagement, Basisregistraties, Datagedreven werken, Common Ground, Portfoliomanagement en Open Overheid.

De Functionaris voor Gegevensbescherming en de Concern Informatie Security Officer (CISO) zijn ook binnen het office gepositioneerd. Aanwijzen van proceseigenaren in de diverse domeinen/teams

Behalve het beter borgen van het positioneren en faciliteren van de PO’s, CISO’s en FG betekent dit: ook de in de IBP governance genoemde proceseigenaren aanwijzen binnen de diverse gemeentelijke domeinen (bestuur, sociaal, fysieke leefomgeving, openbare orde en veiligheid, publieksdiensten, ondersteuning) en IBP-aandacht functionarissen in de teams. Hiermee wordt het eigenaarschap lokaal belegd, daar waar de taken worden uitgevoerd; Gemeente brede nulmetingen/zelfevaluaties/DPIA’s/audits en opvolging geven aan adviezen Nog te houden gemeente brede nulmetingen/zelfevaluaties op het verwerken van (gevoelige) persoonsgegevens zullen er wellicht nog uit (verplichte) DPIA’s en audits volgen vanwege risicovolle verwerkingen binnen/namens de gemeenten. Verder dient nog inzichtelijk te worden of aan de adviezen vanwege de uitkomst van de DPIA’s die wel zijn uitgevoerd voldoende opvolging gegeven is; Inmiddels zijn er in 2022 en 2023 in de vier gemeenten (verplichte) externe Privacy-audits over het jaar 2021 uitgevoerd op de verwerking van persoonsgegevens bij opsporingstaken op grond van de Wet politiegegevens. Dit betreft de taken van de BOA’s die bij de gemeenten in dienst zijn. De uitkomst van de audits in de vier gemeenten is niet gunstig. Veel gemeenten in het land voldoen op dit punt niet aan de wet en hebben ook een inhaalslag te maken. 17

Verder zijn er ook externe IT/privacy-audits uitgevoerd op de HRM-taken en de taken binnen het sociaal domein, zie ook de eerste alinea onder het kopje ‘Risicovolle persoonsgegevensverwerkingen van en naar de vier gemeenten onderling’ onder punt 5.3. -

Financiën: Randvoorwaarden met financiële gevolgen om IBP-taken naar behoren te kunnen vervullen Dit betreft: ▪ Voldoende uren; ▪ Voldoende middelen, zoals een nog aan te schaffen Information Security Management System dat de IBP-cyclus kan ondersteunen en budget voor opleiding/bewustwording/onderzoek en advies; Zo kunnen: ▪ Lokale PO’s en lokale CISO’s op een meer structurele basis adviseren en rapporteren aan de (coördinerend) proceseigenaren IBP in de organisaties en de directies/gemeentesecretarissen en kan de BLNP FG meer gericht afstemmen met portefeuillehouders/colleges in het kader van het intern toezicht; ▪ Door hierbij ook het uitoefenen van rechten/klachten van betrokkenen te betrekken, kan hier meer sturing komen waardoor er eerder duidelijkheid naar in- en externen kan volgen;

-

Medewerkers: werken aan bewustwording, opleiding en verdere implementatie van de BIO en AVG in de vier gemeenten Er is structurele aandacht nodig voor IB&P-bewustwording en gerichte opleiding/training vanwege specifieke IB&P-risico’s. Vooral binnen domeinen waar veel gevoelige persoonsgegevens worden verwerkt en er veel wijzigingen aan de orde zijn door wet- en regelgeving, inzet van nieuwe technologie en nieuwe werkwijzen etc. Dit betreft vooral: Het sociaal domein (in- en extern persoonsgegevens delen binnen het armoede- en schuldendomein en het zorgdomein) De publieksdienstverlening (KCC en burgerzaken) De openbare gebouwen en ruimte (AI-/algoritmetoepassingen waaronder ’slimme’ sensoren/wifi-trackers en inzet van camera’s Vergunningverlening en handhaving onder meer i.v.m. de Omgevingswet, Alcoholwet en APV Openbare orde en veiligheid (o.a. onderzoeksmethodieken en -tools vanwege ondermijning, bij BIBOB-onderzoek, inzet van vast cameratoezicht (artikel 151 c Gemeentewet) en flexibel cameratoezicht (o.a.

vanwege evenementen en bodycams voor BOA’s); OR en IBP afspraken De inbreng van de OR op het gebied van IBP afspraken die medewerkers betreffen is cruciaal in verband onder meer: het instemmingsrecht van de OR vanwege: - regelingen rond het verwerken/de bescherming van persoonsgegevens - regelingen rond voorzieningen die gericht zijn op of geschikt zijn voor het monitoren van medewerkers wat betreft hun aanwezigheid, gedrag of prestaties;

18

Organisatie cultuur om het borgen van IBP beter mogelijk te maken Een cultuur waarbij er onnodig veel spanning zit tussen loyaliteit en openheid en eerlijkheid steekt soms de kop op in organisaties. Ook de vier BLNP-gemeenten ontkomen hier niet aan. Dit speelt ook rond het kunnen aankaarten van IBP-issues die lokaal spelen of in relatie tot de BLNP-samenwerking. Eén en ander dient te worden omgebogen naar een meer open cultuur. Ieder moet vrij zijn om -passend- kanttekeningen te plaatsen bij de gang van zaken, in het belang van het samen kunnen groeien als organisaties op het gebied van IBP of andere kwesties die binnen de organisaties ‘sudderen’. Cultuurproblemen binnen de overheid worden treffend beschreven in het boek van de Stichting Beroepseer: ‘Het recht op ambtelijk vakmanschap’[26] 10. Conclusie en advies Ondanks veel organisatorische hindernissen gingen de IB&P werkzaamheden vanuit de lokale CISO’s, privacybeheerders, BLNP CISO en FG lokaal in de periode 2020 - 2022 zo goed mogelijk door. Door in te zetten op een inclusief verandermanagement waarbij ieder met een taak of rol op het gebied van IB&P-rol op tijd betrokken en geïnformeerd wordt, zijn er mogelijkheden om gezamenlijk te groeien naar een meer adequate en meer eigentijdse IB&P aanpak. In verband hiermee adviseer ik de vier gemeenten: 1.

Start in 2023 alsnog met het uitvoeren van gezamenlijk IBP-nulmetingen/zelfevaluaties uit om per gemeente en per gemeentelijk domein, de voornaamste IBP-risico’s in kaart kunnen te brengen. Betrek daarbij ook de risico’s vanwege het samenwerken binnen diverse samenwerkingsverbanden waarin de gemeenten ieder afzonderlijk participeren. Bepaal op basis van de risicoscore en het advies hierover van de BLNP FG of een DPIA nodig is en prioriteer de DPIA’s in het (aan te passen) IBP-Jaarplan 2024; 2. Ontwikkel BLNP-breed een realistische visie, doelstellingen en strategie voor IBP binnen de vier gemeenten en het beoogde samenwerkingsverband BLNP (als vijfde entiteit of anderszins); 3. Vertaal één en ander in een specifieke, gestructureerde en multidisciplinaire IB&Paanpak: Richt BLNP breed een ‘Controlteam’ of ‘Chief Information Office’ waarin de BLNP CISO en FG worden ondergebracht; Richt per gemeente een lokaal kwaliteitsteam in waarin de lokale PO’s en CISO’s worden ondergebracht. De lokale PO’s en CISO’s stemmen -net als nu- geregeld af met de BLNP CISO en FG en overige functionarissen binnen het CIO. Voorzie de CISO’s, PO’s en FG van de juiste middelen en voldoende commitment en ondersteuning voor de uitoefening van hun taken.

Hierdoor kunnen de gemeenten/het samenwerkingsverband BLNP meer risico gestuurd werken en verder groeien in IB&P-volwassenheid (zie punt 6, kopje: ‘Privacy-volwassenheidsniveau op basis van de resultaten’ op blz. 11); 4. Houd bij dit alles oog voor de menselijke maat en heb daarom ook aandacht voor de ethische aspecten die gepaard gaan met digitalisering en die een steeds prominentere plaats zullen moeten krijgen bij impactbeoordelingen.

19

Bijlage Literatuurlijst bij FG Verslag Gegevensbescherming BLNP 2020-2022 [1]:

Jaarverslag AP 2021: https://www.autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/jaarverslag_ap_2021.pdf

[2]:

Handvatten om digitale veiligheid en bescherming van persoonsgegevens en privacy goed te borgen in de gemeenten: AP: https://www.autoriteitpersoonsgegevens.nl/nl/onderwerpen/overheid/gemeenten VNG/IBD: https://vng.nl/rubrieken/onderwerpen/digitale-veiligheid-en-privacy CIP-Overheid: https://cip-overheid.nl/productcategorie%C3%ABn-en-workshops/producten/privacybescherming/

[3]

GEMMA domeinarchitectuur: https://www.gemmaonline.nl/index.php/GEMMA_Domeinarchitecturen

[4]

Algemene beginselen voor behoorlijk bestuur: https://www.infomil.nl/vaste-onderdelen/onderwerpen/lucht-water/handboek-water/handreikinglozingen/procedure-keuze-rechtsbescherming/algemene-beginselen-behoorlijk-bestuur/

[5]

De Nederlandse gedragscode voor goed openbaar bestuur: https://www.rijksoverheid.nl/onderwerpen/kwaliteit-en-integriteit-overheidsinstanties/gedragscode-openbaarbestuur#:~:text=De%20Code%20goed%20openbaar%20bestuur,de%20code%20goed%20openbaar%20bestuur

[6]

De digitale agenda gemeenten 2024 van de VNG: https://vng.nl/sites/default/files/202005/digitale_agenda_gemeenten-2024_vng.pdf

[7]

De Code goed digitaal openbaar bestuur (CODIO) van de rijksoverheid: https://www.rijksoverheid.nl/documenten/rapporten/2021/04/30/code-goed-digitaal-openbaar-bestuur

[8]

De publicatie van de AP: ‘Gemeenten en privacy – wat kunt als raadslid doen: https://autoriteitpersoonsgegevens.nl/uploads/imported/gemeenten_en_privacy__wat_kun_u_als_raadslid_doen_-.pdf

[9]

De publicatie van adviesorganisatie IB&P: ‘de rol van de gemeenteraad bij informatiebeveiliging en privacy: https://ib-p.nl/2023/06/de-rol-van-de-gemeenteraad-bijinformatiebeveiliging-en-privacy/

[10]

Artikel 37 -39 AVG over aanwijzing, positie en taken van de FG: https://www.privacy-regulation.eu/nl/artikel-37-aanwijzing-van-de-functionaris-voor-gegevensbescherming-EUAVG.htm; https://www.privacy-regulation.eu/nl/artikel-38-positie-van-de-functionaris-voor-gegevensbeschermingEU-AVG.htm en https://www.privacy-regulation.eu/nl/artikel-39-taken-van-de-functionaris-voorgegevensbescherming-EU-AVG.htm

[11]

Uitgangspunten voor de positionering van de FG van de AP: https://autoriteitpersoonsgegevens.nl/uploads/imported/positionering_van_de_fg.pdf

[12]

Handreiking voor positionering van de FG van de VNG/IBD: https://vng.nl/nieuws/aandacht-voor-rol-en-taken-functionaris-gegevensbescherming

[13]

Handreiking voor de (Concern) CISO-taak van de VNG/IBD, hst. 3 vanaf blz. 12: https://www.informatiebeveiligingsdienst.nl/product/handreiking-ciso-functieprofiel/

[14]

Toezicht AP op privacywetgeving voor politie en justitie: (i.v.m. diverse BOA-taken die bij gemeenten uitgevoerd worden en waarvoor onder meer inen externe audits dienen te worden uitgevoerd vanwege het verwerken van gevoelige persoonsgegevens) https://www.autoriteitpersoonsgegevens.nl/themas/politie-en-justitie/politie-bijzondere-opsporing-enjustitie/privacywetgeving-voor-politie-enjustitie#:~:text=De%20AP%20houdt%20toezicht%20op,houdt%20de%20AP%20ook%20toezicht.

20

[15]

Handleidingen Privacy by design van: De IBD: https://www.informatiebeveiligingsdienst.nl/privacy-by-design-ibd-instrumenten/ CIP overheid: https://www.cip-overheid.nl/media/1574/20170507-handleiding-privacy-by-design-v3_0.pdf

[16]

Informatie van de AP over DPIA’s in geval van hoge privacyrisico’s: https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/praktisch-avg/data-protection-impact-assessmentdpia

[17]

Artikel 5 AVG over de beginselen die gelden bij het verwerken van persoonsgegevens: https://www.privacy-regulation.eu/nl/artikel-5-beginselen-inzake-verwerking-van-persoonsgegevens-EU-AVG.htm

[18]

IBP-nulmetingen/gap analyses: https://www.informatiebeveiligingsdienst.nl/avg-borgingsproduct-3-0/ https://www.informatiebeveiligingsdienst.nl/irpa-tool/

IBP-Selfassessements: https://www.digitaleoverheid.nl/nieuws/bio-self-assessment-beschikbaar/ https://www.cip-overheid.nl/media/1140/prisa-gebruikers-toelichting-indiv-v3.pdf

[19]

Information Security Management System BIO en AVG (ISMS): https://www.informatiebeveiligingsdienst.nl/product/isms-v1-0/

[20]

Privacyvolwassenheidsmodel CIP overheid: https://www.cip-overheid.nl/media/uasdokan/20171102-privacy-volwassenheidsmodel-v3_0_9.pdf

[21]

Meldplicht datalekken AVG: https://europadecentraal.nl/onderwerp/digitale-overheid/avg/verplichtingenverwerkingsverantwoordelijke/meldplicht-datalekken en: https://autoriteitpersoonsgegevens.nl/uploads/imported/guidelines_meldplicht_datalekken.pdf

[22]

Voorbeeld wat betreft het professionaliseren van het DPIA-proces: Adviesbureau M&I/Partners heeft hun aanpak om te komen tot een begrijpelijke DPIAmethode gepubliceerd en kan ondersteuning bieden bij het ontwikkelen hiervan: https://mxi.nl/dpia

[23]

Business Intelligence: https://nl.wikipedia.org/wiki/Business_intelligence

[24]

OR-privacy-boekje van de AP: https://www.autoriteitpersoonsgegevens.nl/uploads/imported/ap_or_privacy-boekje.pdf

[25]

Dreigingsbeeld 2023 -2024 van de IBD: https://www.informatiebeveiligingsdienst.nl/wp-content/uploads/2022/10/IBD_dreigingsbeeld_2023-2024_DEFversie.pdf

[26]

Boek van de Stichting Beroepseer: Het recht op ambtelijk vakmanschap: https://beroepseer.nl/wp-content/uploads/2022/10/Het-recht-op-ambtelijk-vakmanschap.pdf

Ook interessant in verband met het beschermen van persoonsgegevens/privacy: Publicatie: ‘Waarom is privacy eigenlijk belangrijk?’ van adviesorganisatie IB&P: https://ib-p.nl/2023/02/waarom-is-privacy-eigenlijk-belangrijk/

Publicatie: ‘Raadgever digitale grondrechten en ethiek’ van de VNG: https://vng.nl/artikelen/raadgever-digitale-grondrechten-en-ethiek

21