Reactie FG jaarverslag 2020-2022 BLNP JZ (1252045).pdf

REACTIE FG JAARVERSLAG Periode 2020 – 2022

Inleiding Geachte collega’s, Voor u ligt een volledige en beknopte inhoudelijke reactie op het onlangs verstuurde FG Verslag Gegevensbescherming 2020-2022 in de BLNP-gemeenten. Vanuit de verschillende privacy-gremia hebben we onderling overleg gehad, input opgehaald en besproken om tot deze gezamenlijke reactie te komen. Bij het formuleren van deze reactie zijn betrokken geweest: de Privacy Officers, de Regionale CISO en de Privacy-Jurist. Zoals blijkt uit onze reactie, is er terdege bewustzijn over de nog te verrichten werkzaamheden. Echter, hechten wij er ook waarde aan om op een aantal punten enige nuancering bij het gestelde in het FG verslag aan te brengen. Zoals blijkt uit onderstaande reactie, zijn een flink aantal werkzaamheden reeds – geheel of gedeeltelijk – uitgevoerd, dan wel gestart of ingepland. Om daar de komende maanden zo goed mogelijk verdere vorm en inhoud aan te kunnen geven, bereiden we een uitvoeringsproject voor waarin we ondergenoemde conclusies en aanbevelingen uit beide L2P rapporten en het FG verslag omzetten in concrete acties en planningen voor de komende jaren. Het FG jaarverslag 2020-2022 is toegevoegd als bijlage 1.

Volwassenheidsniveau Het Centrum voor Informatieveiligheid en Privacy kent 5 volwassenheidsniveaus om aan te tonen hoe volwassen een organisatie omgaat met de borging van privacy en hoe gestructureerd zij de privacy beschermt bij de verwerking van persoonsgegevens. In bijlage 2 zijn de 5 volwassenheidsniveaus nader toegelicht. De FG stelt in haar jaarverslag 2020-2022 vast dat de BLNP gemeenten zich bevinden op het privacy volwassenheidsniveau 1 á 2. Deze volwassenheidsniveaus worden omschreven als ad hoc (niveau 1) en herhaalbaar (niveau 2). Binnen de gemeenten zien we deze niveaus terug doordat: -

-

Er binnen de BLNP een governancestructuur voor privacy en informatieveiligheid is vastgesteld1, maar de rollen en verantwoordelijkheden die hierin beschreven staan onvoldoende zijn belegd in de organisatie; Er ad hoc wordt gehandeld n.a.v. incidenten en privacy en informatieveiligheid by design niet tot nauwelijks wordt toegepast; De BLNP gemeenten te veel afhankelijk zijn van één of enkele privacyfunctionarissen en er nog te weinig eigenaarschap in de organisatie wordt getoond; Er niet tot nauwelijks risico analyses zoals een DPIA worden uitgevoerd; Het ontbreekt aan een goede Plan-Do-Check-Act-cyclus waardoor maatregelen ook daadwerkelijk worden doorgevoerd en geëvalueerd.

Naast het opgeleverde FG jaarverslag zijn er in 2023 twee assessments uitgevoerd door L2P in opdracht van de BLNP. 1. AVG Assessment HRM Op het taakveld HRM is door Legal2Practice een assessment uitgevoerd ten behoeven van een AVG conforme inrichting van de BLNP HRM samenwerking. Er heeft naast bureauonderzoek een documentenonderzoek plaatsgevonden en ook zijn er interviews afgenomen. De uitkomsten van dit assessment waren over het totale beeld dat is verkregen positief. De genomen maatregelen om AVG compliant te werken maken het mogelijk dat de verwerkingen 1 Bijlage 1 van het BLNP informatieveiligheid- en privacybeleid, vastgesteld in 2020.

1

die op het taakveld plaatsvinden voldoende privacy rechtelijke waarborgen bieden. Er zijn een aantal aanbevelingen naar voren gekomen voor wat betreft de verwerkingen op de personeelsadministratie. Uit de interviews is naar voren gekomen dat het niet zeker is dat de informatiehuishouding in de praktijk volledig vlekkeloos verloopt. L2P adviseert daarom om - in lijn met het huidige privacy- en informatiebeveiligingsbeleid - de werkwijze voor de gescheiden dossiers vast te leggen in een werkproces en de uitvoering van dit werkproces periodiek te controleren. Zo is het wijzen op medewerkers doormiddel van checklists, hoe om te gaan met het verwerken (bijv. het opslaan) van persoonsgegevens een van de middelen die ingezet gaat worden. Ook is er een aanbeveling geweest om de informatieplicht van de werkgever richting de medewerkers transparanter te laten verlopen. Om aan deze informatieplicht te voldoen adviseert L2P de gemeenten om de verplichte informatie te verstrekken in een privacyverklaring conform de artikelen 12, 13 en 14 AVG, en deze binnen de eigen gemeentelijke organisatie beschikbaar te stellen voor alle werknemers. Het teamhoofd HRM heeft zelf actief geïnformeerd naar hoe nog meer grip op informatie te kunnen krijgen. Hierover stelt L2P dat het van belang is inzichtelijk te houden wie waar toegang tot heeft.

In dit overzicht is het raadzaam op te nemen welke verschillende rollen (gebruikersaccounts) er zijn en welke rol wat kan en mag inzien. Ook is het belangrijk om met enige regelmaat de logging van het systeem te controleren. Dit moet misbruik van toegangsautorisaties voorkomen. Het teamhoofd HRM zal zich hiervoor inspannen. 2. Volwassenheidsmeting informatieveiligheid en privacy in het sociaal domein Tijdens dit assessment werd het volwassenheidsniveau binnen het sociaal domein getoetst voor de vier gemeenten. Uit het assessment is gebleken dat de vier gemeenten al veel doen op het gebied van informatieveiligheid en privacy, maar dit is nog onvoldoende vastgelegd. Hierdoor komen de vier gemeenten elk uit op het volwassenheidsniveau 1, informeel. Het opgeleverde rapport is algemener van aard dan beoogd. Dit komt mede doordat bij het uitvoeren van één assessment voor vier verschillende gemeenten het lastig is om de verdieping in te gaan. In de toekomst kunnen dergelijke assessments beter per gemeente worden uitgevoerd. N.a.v. de constateringen uit het FG jaarverslag 2020-2022 en de twee opgeleverde rapporten door L2P, wordt er een project opgestart om de gegeven adviezen en benodigde maatregelen te implementeren. Dit moet ervoor zorgen dat de BLNP gemeenten op het volwassenheidsniveau 3 á 4 uitkomen.

Daarnaast onderzoeken we de mogelijkheden om gezamenlijk een nieuw Information Security Management System (hierna: ISMS) voor naleving van de BIO en AVG aan te schaffen. Dit is een systeem wat vanuit de BIO verplicht is en behelst het totaalplaatje aan systematiek, maatregelen en afspraken om informatieveiligheid en privacy in de organisatie te beheren. Op dit moment worden er wel degelijk maatregelen genomen, maar kan dit niet altijd worden aangetoond doordat we de bewijslast nog niet goed hebben gewaarborgd. De BLNP gemeenten beschikken nu over een systeem, maar het huidige systeem wordt onvoldoende gebruikt en pas niet bij de structuur van de BLNP organisatie. Een ISMS wat past bij de structuur en behoefte van de organisatie, zal de BLNP helpen om de PDCA cyclus beter te waarborgen en voldoende tegemoet te komen aan ‘privacy by design/by default’.

Personele bezetting en plek in de organisatie De BLNP gemeenten hebben in het informatieveiligheid- en privacybeleid verschillende rollen aangewezen: -

-

Functionaris Gegevensbescherming (FG): rol waarvan de bevoegdheden en aanstelling komen uit de AVG. Betreft de interne toezichthouder binnen de organisatie welke onafhankelijk moet kunnen adviseren. Privacy Officer (PO): adviseur op het gebied van privacy die de organisatie ondersteunt bij het uitvoeren van het privacybeleid.

2

-

-

Regionale CISO: voert de coördinatie over overkoepelende aangelegenheden op het gebied van informatieveiligheid die zich voordoen in BLNP verband. CISO: adviseur op het gebied van informatieveiligheid die de organisatie ondersteunt bij het uitvoeren van het informatieveiligheidsbeleid.

De bezetting van deze rollen is op dit moment als volgt: BLNP

Bunschoten

Leusden

Nijkerk

Putten

FG AVG: 32 uur

PO: 18 uur ¹

PO: 18 uur

PO: 36 uur

PO: 18 uur ¹

FG Wpg: Nieuwe functie. Moet nog ingevuld worden

Vacant m.i.v. mei. 2024

Regionale CISO: 18 uur ²

CISO: 18 uur ³

CISO: 18 uur ⁴

CISO: 36 uur

CISO: 36 uur vacant

Vacant m.i.v. feb. 2024

Tijdelijk 20 uur inhuur

¹ PO is werkzaam voor 18 uur en vervult naast de PO taak voor 18 uur lokaal de rol van WOO functionaris ² Regionale CISO is werkzaam voor 18 uur en vervult naast de Regionale CISO taak lokaal de rol van i-adviseur ³ CISO is werkzaam voor 18 uur en vervult naast de CISO taak voor 18 uur lokaal de rol van systeembeheerder ⁴ CISO is werkzaam voor 18 uur en vervult naast de CISO taak voor 18 uur lokaal de rol van AO

De combinatie van de PO of (regionale) CISO taak met een andere rol blijkt in de praktijk niet ideaal; collega’s moeten met enige regelmaat een afweging maken tussen de verschillende werkzaamheden. Hierin zien we dat het pro actief verbeteren van de organisatie op het gebied van informatieveiligheid en privacy vaak op de achtergrond raakt en de ad-hoc werkzaamheden de overhand hebben. De PO’s maken onderdeel uit van BLNP Juridische Zaken en de CISO’s van BLNP informatisering. BLNP Juridische zaken werkt op donderdag samen in de gastgemeente Putten waar ook de PO’s bij aansluiten. Hierdoor zijn er korte lijnen tussen de PO’s en juristen en kan er gemakkelijk gebruik worden gemaakt van elkaars expertise. De PO’s en CISO’s hebben lokaal veel contact en in BLNP verband komen alle CISO’s en PO’s gezamenlijk eens per twee maanden bij elkaar. Mede door een volledige(re) bezetting op gebied van privacy wordt er sinds begin dit jaar (2023) op een iteratieve manier gewerkt om de verdere samenwerking op privacy vorm te geven tussen de gemeenten door periodieke overleggen en bijeenkomsten Bij afwezigheid vangen de PO’s en CISO’s elkaar op. Dit wordt onderling afgestemd. Doordat er op dit moment één FG is aangesteld, is vervanging hier nog niet (intern) gewaarborgd.

Indien we er toch voor opteren om te werven voor een FG Wpg (en AVG), kan ook de huidige FG gemakkelijker vervangen worden bij afwezigheid.

BLNP detachering- en verwerkersovereenkomsten In het FG jaarverslag 2020-2020 wordt er onder 5.3. in de vierde alinea het volgende gesteld ‘’ De tussen de gemeenten gesloten verwerkersovereenkomsten lijken onder de gegeven omstandigheden nauwelijks nog waarde te hebben.’’. Met het sluiten van de verwerkersovereenkomsten is getracht maximale privacy rechtelijke waarborgen te implementeren in de uitwisseling van persoonsgegevens. De waarde daarvan is wel degelijk aan de orde en zit hem in het feit dat de gemeenten over en weer 3

verwerkingsverantwoordelijk en verwerker naar elkaar toe zijn. Deze gegevensstroom wordt mede gereguleerd door de verwerkersovereenkomsten.

Detacheren van medewerkers Het detacheren van medewerkers in BLNP verband zorgt in de gezamenlijke werkomgevingen voor voldoende privacy rechtelijke waarborgen. De gebruikte systemen voldoen aan de juiste beveiligingsen gebruikerseisen. De Regeling Zonder Meer biedt in combinatie met de detacherings- en verwerkersovereenkomst ook voor inwoners en ketenpartners voldoende privacy rechtelijke waarborgen. De Regeling Zonder Meer is ook conform de daarvoor geldende regels bekend gemaakt.

Adviezen FG In de periode van 2020 tot en met 2022 heeft de FG meerdere adviezen gegeven zoals weergegeven in hoofdstuk 8 van het FG jaarverslag 2020-2022. In bijlage 3 is een overzicht opgenomen van hoe deze adviezen zijn opgevolgd.

Conclusie en aanbevelingen FG In de conclusie geeft de FG vier adviezen. 1. Start in 2023 alsnog met het uitvoeren van gezamenlijk IBP-nulmetingen/zelfevaluaties uit om per gemeente en per gemeentelijk domein, de voornaamste IBP-risico’s in kaart kunnen te brengen. Betrek daarbij ook de risico’s vanwege het samenwerken binnen diverse samenwerkingsverbanden waarin de gemeenten ieder afzonderlijk participeren. Bepaal op basis van de risicoscore en het advies hierover van de BLNP FG of een DPIA nodig is en prioriteer de DPIA’s in het (aan te passen) IBP-Jaarplan 2024; 2. Ontwikkel BLNP-breed een realistische visie, doelstellingen en strategie voor IBP binnen de vier gemeenten en het beoogde samenwerkingsverband BLNP (als vijfde entiteit of anderszins); 3. Vertaal één en ander in een specifieke, gestructureerde en multidisciplinaire IB&P-aanpak: - Richt BLNP breed een ‘Controlteam’ of ‘Chief Information Office’ waarin de BLNP CISO en FG worden ondergebracht; - Richt per gemeente een lokaal kwaliteitsteam in waarin de lokale PO’s en CISO’s worden ondergebracht. De lokale PO’s en CISO’s stemmen -net als nu- geregeld af met de BLNP CISO en FG en overige functionarissen binnen het CIO. - Voorzie de CISO’s, PO’s en FG van de juiste middelen en voldoende commitment en ondersteuning voor de uitoefening van hun taken.

Hierdoor kunnen de gemeenten/het samenwerkingsverband BLNP meer risico gestuurd werken en verder groeien in IB&Pvolwassenheid (zie punt 6, kopje: ‘Privacy-volwassenheidsniveau op basis van de resultaten’ op blz. 11); 4. Houd bij dit alles oog voor de menselijke maat en heb daarom ook aandacht voor de ethische aspecten die gepaard gaan met digitalisering en die een steeds prominentere plaats zullen moeten krijgen bij impactbeoordelingen.

Hierbij een reactie op de adviezen van de FG: 1. De Privacy Officers hebben op advies van de FG het AVG borgingsproduct van de VNG onderzocht en afgesproken deze voor elke gemeente in te vullen. Met de komst van BIO 2.0 gaan de CISO’s aan de slag met het doorvoeren van verbeteringen zodat die bij deze aangepaste normering aansluiten. 2. De BLNP gemeenten hebben al een informatiebeveiligings- en privacy beleid. Het is van belang dat de organisaties hier meer naar gaan handelen en dat deze goed geïmplementeerd worden in de organisaties. Zodra deze geïmplementeerd zijn, kan er gekeken worden of er wijzigingen 4

aangebracht moeten worden in het beleid. Dit zal worden meegenomen in het project wat wordt opgestart om de gemeenten op een hoger volwassenheidsniveau te krijgen. 3. Het inrichten van een BLNP ‘Controlteam’ / ‘Chief Information Office’ of een lokaal kwaliteitsteam zal niet direct leiden tot een hoger volwassenheidsniveau. Voor nu ligt de prioriteit op het uitvoering geven aan het privacy en informatieveiligheidsbeleid. 4. Hebben we ter kennisname aangenomen.

Slotwoord Afsluitend en wellicht ten overvloede, willen wij nog graag het volgende meegeven. Wij zijn ons terdege bewust van het beeld wat naar voren komt uit het jaarverslag van de FG. Echter, zoals hierboven reeds uiteengezet, hebben we ondertussen een flink aantal stappen gezet om de situatie te verbeteren. Deze reeds ingeslagen weg blijven we met goede hoop continueren.

5

Bijlage 1: FG jaarverslag 2020-2022 Separaat toegevoegd.

6

Bijlage 2: Volwassenheidsniveaus Niveau 1 – Ad hoc

Kenmerken -

2 – Herhaalbaar

-

3 – Bepaald

-

4 – Beheerst

-

5 – Geoptimaliseerd

-

-

Geen of onduidelijke privacyrollen en verantwoordelijkheden Geen of nauwelijks beheersmaatregelen aanwezig Reactief en sturing n.a.v. incidenten Grote afhankelijkheid van één of enkele privacyfunctionarissen Onbewust onbekwaam Privacyrollen en -verantwoordelijkheden toegewezen Beheersmaatregelen zijn aanwezig, maar worden op informele wijze uitgevoerd Standaarden en formats aanwezig: juist en in duidelijke taal Bewust onbekwaam (Privacy)medewerkers tonen eigenaarschap, d.w.z. dat de rollen en verantwoordelijkheden actief worden opgepakt Beheersmaatregelen worden consistent en gestructureerd uitgevoerd en zijn gedocumenteerd Er wordt aantoonbaar aan verplichtingen voldaan Verwerkingsverantwoordelijke bestuursorganen nemen beslissingen mede op grond van risicoanalyses zoals een DPIA. Er is een duidelijke samenhang met informatiebeveiliging Bewust bekwaam De effectiviteit van beheersmaatregelen wordt periodiek geëvalueerd in een PDCA-cyclus Er wordt proactief geïnformeerd door de proceseigenaar over de realisering van de geconstateerde benodigde verbeteringen in een PDCA-cyclus In een jaarlijkse evaluatie blijkt een correcte PDCA-cyclus Bewust bekwaam Toekomstgericht Proactieve houding van het college en het bestuur Het verantwoordelijk management verzoekt aan de FG om hun verantwoording van een oordeel te voorzien.

Privacy wordt gezien als een vanzelfsprekendheid Er wordt continue gezocht naar verbetering, zoals in de vorm van (interne of externe) tooling Privacy wordt gezien als een kans of unique selling point (USP) Er wordt verbinding gezocht met andere concerndisciplines Kennis en ervaringen worden actief gedeeld met gemeenten en andere relevante organisaties waardoor best practices in gemeentenland ontstaan Onbewust bekwaam

7

Bijlage 3: Adviezen FG Gegeven adviezen in de periode 2020, 2021 en 2022 Onderwerp

Opvolging

HRM BLNP (nog niet uitgevoerd) wel tussentijdse

Assessment HRM in 2023 uitgevoerd en

enkele verbeteracties processen/systemen (deels in

afgerond

afstemming met PO’s en CISO’s) (N) Vroegsignalering schulden (wijziging Wet gemeentelijke

Is afgerond (B + P)

schuldhulpverlening) (B + P) Camera’s

Camerabewaking gemeentewerf (B)

op

gemeentewerf

zijn

afgeschaft en buiten werking. (B) (pré) DPIA privacyreglement samenwerkingsverband

Opgenomen in jaarplan 2023 (N)

aanpak verward gedrag (N) Zaaksysteem,

DPIA-verslag

nog

aanpassen

+

Is afgerond (B)

Camera-/toegangscontrole overtoom pleziervaartuigen

Is afgerond (B)

vervolgens FG advies (B) (B) Peutermonitor (monitoren aanpak voorschools aanbod

Is afgerond (P)

voor doelgroep peuters) (P) Systeem voor integrale aanpak van wetgeving binnen

Is

opgepakt

binnen

Samenleving,

het sociaal domein (P)

voorbeeld; men is bezig met het opstellen van het toegangsprotocol Samenleving (P)

Noodzaak van DPIA op nieuw zaaksysteem wel intern

Opgenomen in jaarplan (L)

besproken maar niet uitgevoerd (L) Camera-inzet

handhaving

verkeersmaatregel

Is afgerond (L)

winkelgebied, wacht nog op FG-advies (L) De proceseigenaren de DPIA opdracht geven om de

Hier is nog geen opvolging aan gegeven.

DPIA-aanpak verder te (laten) professionaliseren 2 Dit betreft het nog aanwijzen van enkele ‘DPIAprojectleiders’

in de teams met veel

risicovolle

persoonsgegevensverwerkingen en het voorzien in een gerichte opleiding. Hieraan is nog geen opvolging gegeven; ‘Pre-DPIA-sessies’ houden: kortere, minder belastende

Er worden vaker pré-DPIA’s uitgevoerd.

sessie om na te gaan of een DPIA noodzakelijk is.

Het proces dient verder uitgewerkt te

Hieraan is inderdaad opvolging gegeven waardoor er

worden in de procedure privacy by design.

veel meer inzicht is ontstaan in de aard van een aantal lokale persoonsgegevensverwerkingen.

2 Voorbeeld wat betreft het professionaliseren van het DPIA-proces:

Adviesbureau M&I/Partners heeft hun aanpak om te komen tot een begrijpelijke DPIA-methode gepubliceerd en kan ondersteuning bieden bij het ontwikkelen hiervan: https://mxi.nl/dpia

8

Verplichte audits persoonsgegevensverwerking i.v.m.

De verplichte externe audit is voor de vier

de Wet politiegegevens (Wpg) laten voeren en Wpg-

BLNP gemeenten afzonderlijk uitgevoerd.

taken te organiseren.

De gemeenten voldeden nog niet volledig

Advies van de BLNP FG en -CISO (juni 2021) was om

aan de Wpg en hebben een verbeterplan

alsnog een Wpg-audit te laten uitvoeren om de vier

opgesteld. O.a. het uitwerken van beleid

gemeenten tijdig aan hun auditverplichtingen vanwege

en het aanstellen van een FG Wpg is in dit

het toezicht op de Wpg te kunnen laten voldoen. Dit

verbeterplan opgenomen.

advies werd in de loop van 2022 via de Regiegroep BLNP door de gemeenten overgenomen. Een beleid voor de in- en externe Wpg privacy-audits dient

nog

te

worden

uitgewerkt

en

diverse

functionarissen -waaronder een Wpg-FG- dienen zoals eerder aangegeven nog te worden aangewezen. Door de Regiegroep is in 2023 besloten om een externe WpgFG te gaan werven Lokaal uitzetten van vragen door FG n.a.v. onderzoek

Hier is nog geen opvolging aan gegeven

door

(B, N)

de

AP

vanwege

werkwijze

van

het

Inlichtingenbureau Dit betrof de vraag of er onnodig vaak

De vraag is opgepakt voor de teams in het

gevoelige

sociaal domein (L, P)

persoonsgegevens

uitkeringsgerechtigden

worden

verwerkt

van vanwege

signalen vanuit het Inlichtingenbureau (gemeenten B,L,N,P) Verder heeft de accountant in de verschillende

Hier is nog geen opvolging aan gegeven.

gemeentelijke management-letters geadviseerd om tot een effectievere IT-risico- en beheeromgeving te komen als belangrijk onderdeel van de bedrijfsvoeringstrategie. Hij wees daarbij ook op de noodzaak om aandacht te hebben voor AVG-vraagstukken.

9