Schriftelijke mededeling

Schriftelijke mededeling Nummer 1214027 - Schriftelijke mededeling - Verslag en advies van de Functionaris

Gegevensbescherming van de BLNP-gemeenten 2020-2022 Aan de commissie: Bestuur en Financiën Portefeuillehouder: M. van de Groep Beleidskader: Bedrijfsvoering Opmerkingen griffie: Team: Leidinggevenden Ambtenaar: Sylvia Slangen Telefoonnummer: E-mailadres: Datum: Aanvullende stukken

1. Gegevensbescherming 2020-2022 in de gemeenten Bunschoten, Leusden, Nijkerk en Putten (BLNP-gemeenten) 2. Reactie FG Jaarverslag van taakveld JZ Bijlagen digitaal beschikbaar: ja Ter inzage: Mededeling

Reactie Regiegroep BLNP op het Verslag en advies van de Functionaris Gegevensbescherming (FG) van de BLNP-gemeenten over de periode 2020-2022, gedateerd juli 2023 en de Reactie daarop vanuit het Taakveld Juridische Zaken BLNP. De FG heeft de meest urgente bevindingen vastgelegd in 3 punten (in het verslag genummerd 5.1 t/ m 5.3)

1. Ad 5.1. “Nog onvoldoende commitment en nog geen adequate werkorganisatie” De gemeentesecretarissen erkennen dat niet in elke gemeente over de volledige periode de organisatie voldoende was ingericht. Dit had evenwel niet te maken met onvoldoende commitment, als wel met invulling van de vacatures voor privacy-officers (PO’s) of chief information security officers (CISO’s). In elke BLNP-gemeente zijn de functies inmiddels belegd. Wanneer (door krapte op de arbeidsmarkt) de vacatures niet zijn ingevuld door medewerkers in vaste dienst, wordt formatie ingehuurd. Het spreekt voor zich dat de gemeenten op zoek zijn naar vaste formatie voor de invulling van deze vacatures. In 3 van de 4 gemeenten is de formatie voor zowel PO’s als CISO’s uitgebreid. De vervulling van bedoelde vacatures verloopt moeizaam, vanwege het specialistische gehalte van de functies, alsmede dat het relatief nieuwe taakvelden zijn, waardoor er weinig deskundigen in de huidige arbeidsmarkt beschikbaar zijn.

In de aanloop naar een verdere doorontwikkeling van de samenwerking BLNP zal, nadat duidelijk is welk juridisch construct wordt gekozen, vastgesteld moeten worden of de omvang van de formatie per gemeente, dan wel het nieuwe -gezamenlijke- construct, moet leiden tot een andere formatieve invulling of uitbreiding van de formatie voor PO’s en CISO’s op totaalniveau.

1. Ad 5.2. “Nog onvoldoende tegemoetgekomen aan ‘privacy by design/by default’” Het toepassen van “privacy by design” vereist bekendheid bij alle medewerkers om in een vroeg stadium bij werkprocessen, samenwerkingsinitiatieven en aanschaf van systemen te onderkennen dat de gegevensbescherming van inwoners, medewerkers en derden hierbij in het geding is. Om te kunnen komen tot die gewenste verdergaande bewustwording bij medewerkers is er in alle vier de gemeenten gewerkt aan het vergroten van de “awareness” van medewerkers. Zo zijn er in 2023 bijna elk kwartaal (3x) online e-learning awareness modules ter beschikking gesteld, die medewerkers verplicht dienden te doorlopen, om zo in de gehele organisatie bekendheid met de materie te krijgen en o.a. datalekken te voorkomen. In Bunschoten is daarnaast tevens nog een inspiratiesessie in de vorm van een escape-room georganiseerd over privacy en de algemene verordening gegevensbescherming (AVG), waarmee de bewustwording en regelgeving voor alle medewerkers op een actieve manier is uitgewerkt. Inmiddels wordt ook bij indiensttreding bij elke medewerker informatie en aandacht gegeven over de AVG.

Om in een zo vroeg mogelijk stadium bij de aanschaf van systemen te voldoen aan privacy by design, wordt in alle vier de gemeenten sinds 2023 in pilot-vorm onderzocht of een change advisory board (CAB) aan het bereiken van deze doelstelling bijdraagt. Ook leidinggevenden nemen deel aan de CAB, waardoor privacy by design in de organisaties wordt geborgd.

2. Ad 5.3. “Nog onvoldoende waarborgen voor naleven AVG in BLNP-verband” Bij de start van het samenwerkingsverband bedrijfsvoering BLNP is gekozen voor het juridisch construct “Regeling Zondermeer” (RZM). Het destijds gekozen juridische construct werd ingegeven door de politiek-bestuurlijke wens voor een lichte vorm van samenwerking. Bij deze afweging voor het juridisch construct is destijds geen of onvoldoende rekening gehouden met de impact op bijvoorbeeld AVG/privacy en fiscaliteit. Dit was ook logisch doordat de feitelijke samenwerking nog verder diende te worden uitgewerkt. Door intensivering van de samenwerking, waarbij bijvoorbeeld collega’s in de verschillende taakvelden elkaar bij ziekte en vakanties konden waarnemen, bleek dat er ter waarborging van de AVG nadere stappen dienden te worden gezet. De vier gemeenten hebben zich hierover extern doen adviseren door Nysingh advocaten. In vervolg daarop is eind 2022 overgegaan tot het over en weer detacheren van de betreffende medewerkers, waarmee, aldus Nysingh, op een rechtmatige wijze kon worden samengewerkt.

Op dit moment is de doorontwikkeling van het juridisch construct voor BLNP verder in onderzoek. Bij de uitwerking van een verdergaande intensivering van die samenwerking komt ook het waarborgen van de naleving van de AVG nadrukkelijk aan de orde.

Tot slot: De FG stelt in het jaarverslag 2020-2022 dat de BLNP-gemeenten zich bevinden op een privacy volwassenheidsniveau 1 (ad hoc) a 2 (herhaalbaar), op een schaal van 5 volwassenheidsniveaus (1 = ad hoc, 2 = herhaalbaar, 3 = bepaald, 4 = beheerst, 5 = geoptimaliseerd). Gelet op de relatief recente introductie van de AVG in 2018, waarbij een transformatie diende plaats te vinden van oude systemen en processen, is dit volwassenheidsniveau over de jaren 2020-2022 in veel gemeenten aan de orde. Ook onze omliggende buurgemeenten functioneerden in de jaren 2020-2022 nog op een

vergelijkbaar volwassenheidsniveau. Voor een aantal omringende gemeenten is een volwassenheidsniveau tussen 1 en 2 ook het komende jaar aan de orde.

Dit neemt niet weg dat er door de individuele gemeenten en de BLNP hard gewerkt wordt aan verdere ontwikkeling. In 2023 zijn er 2 assessments uitgevoerd door L2P voor BLNP. Hoewel de uitkomsten van deze assessments niet voor elke gemeente gelijk zijn, zijn de aanbevelingen uit deze assessments wel bruikbaar voor alle vier de BLNP-gemeenten. Besloten is dan ook dat door PO’s en CISO’s deze assessments als een nulmeting dienen te worden gezien. Voor alle vier de BLNPgemeenten wordt hierop een plan van aanpak gemaakt, zodanig dat hiermee in 2024 een volwassenheidsniveau van 3 (bepaald) kan worden gerealiseerd. Uitgangspunt is altijd om binnen de kaders van de wet- en regelgeving te werken. Mogelijk dat, bij realisatie van volwassenheidsniveau 3, na 2024 naar een volwassenheidsniveau 4 kan worden toegewerkt. Vooruitlopend op het plan van aanpak is inmiddels een aanbesteding gestart voor de aanschaf van een ISMS-systeem voor alle vier de BLNP-gemeenten, waarmee de PO’s en de CISO’s in staat worden gesteld om de AVG en BIO beter te monitoren en borgen in de vier gemeenten.