221207 Antwoord DPIA vraag commissie

Van: Medewerking: Aan: Datum: Betreft:

Rob van Gelderen, Functionaris Gegevensbescherming (FG) Gertjan Bremer, Privacy Adviseur (PA) Leden van de gemeenteraad 6 december 2022 Vraag m.b.t. risico achterlopen DPIA’s

Geachte leden van de gemeenteraad, In uw commissie is woensdag 30 november jl. gesproken over het rapport Informatieveiligheid van de Rekenkamercommissie als uitkomst van het Rekenkamer onderzoek. Naar aanleiding daarvan heb ik via mijn collega Patrick Zuiderwijk (Ciso gemeente De Ronde Venen) een vraag van u mogen ontvangen. Ik begrijp daaruit; “Dat de commissie zich afvraagt of de gemeente een risico loopt met betrekking tot de constatering dat de gemeente achterloopt met de DPIA’s op verwerkingen met een hoog risico?” Wet- en regelgeving verplichten de gemeenten tot de uitvoering Data Protection Impact Assessments (DPIA’s). Mede door het uitvoeren van een DPIA kan een gemeente de kwaliteit van informatieveiligheid en gegevensbescherming verbeteren en verkleint het risico op materiele en immateriële schade. Hieronder volgt een verdere toelichting. Inleiding Van belang is om eerst een korte toelichting op de begrippen DPIA en Verwerkingen te geven. Daarna zal ik het verband leggen tussen informatieveiligheid en de uitvoering van een DPIA. Tot slot sluit ik af met een kort overzicht van de mogelijke consequenties. 1. Wat is een DPIA? Onder de Algemene Verordening Gegevensbescherming (AVG) en ook bijvoorbeeld de Wet politiegegevens (Wpg) kunnen organisaties verplicht zijn een DPIA uit te voeren.

Een DPIA wordt in het Nederlands ook wel een gegevensbeschermingseffectbeoordeling (risicoanalyse) genoemd. De AVG beschrijft1 dat verwerkingsverantwoordelijke passende technische en organisatorische maatregelen moet nemen om een op het risico afgestemd beveiligingsniveau te waarborgen. Door de uitvoering van een DPIA wordt dit getoetst cq. beoordeeld. Wanneer een verwerking (zie punt 2) voor betrokkenen waarschijnlijk een hoog risico inhoudt moet de verwerkingsverantwoordelijke volgens de AVG2, vóór de verwerking en nadien periodiek, een beoordeling uitvoeren van het effect op de bescherming van persoonsgegevens. In de AVG is beschreven 3 welke onderwerpen een beoordeling minimaal dient te bevatten. Het niet nakomen van de verplichting geeft de toezichthoudende autoriteit een groot aantal bevoegdheden 4 waaronder: waarschuwen, berispen, het opleggen van een verwerkingsverbod en/of een administratieve geldboete5. Door de Autoriteit Persoonsgegevens (AP) is het boetebeleid uitgewerkt in de “Boetebeleidsregels Autoriteit Persoonsgegevens 2019 (BAP). 2.

Wat is een verwerking? De AVG definieert6 een verwerking als een bewerking van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, bijwerken, opvragen, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, combineren of wissen van gegevens. Een verwerking is dus te zien als een onderdeel van een werkproces of applicatie. Immers bij de 1

Artikel 32 AVG Artikel 35 - 1 AVG 3 Artikel 35 - 7 AVG 4 Artikel 58 AVG 5 Artikel 83 AVG 6 Artikel 4 - 2 AVG 2

1

uitvoering van het werkproces zijn gegevens noodzakelijk die meestal in een computer worden opgeslagen. Denk bijvoorbeeld aan vastleggen van (persoons)gegevens voor een WMO-aanvraag. Opgemerkt moet worden dat een werkproces of een applicatie uit één of meerdere verwerkingen kan bestaan. Naast het vastleggen van de aanvraag kunnen gegevens ook worden geraadpleegd of bijgewerkt. Daarom kan, vanuit efficiency gedachte, overwogen worden om een DPIA uit te voeren op proces of applicatie. Vanzelfsprekend blijven alle onderliggende verwerkingen onderwerp van toetsing. De gemeente onderkent op dit moment ongeveer 150 verwerkingen. Deze zijn opgenomen in het verplichte register van verwerkingsactiviteiten. 3. Informatieveiligheid en DPIA’s Informatiebeveiligingsbeleid is gebouwd op drie kernbegrippen: vertrouwelijkheid, integriteit en beschikbaarheid. Informatieveiligheid omvat alle gegevens van een organisatie terwijl gegevensbescherming alleen over persoonsgegevens gaat. Gegevensbescherming is erop gericht de rechten en vrijheden van natuurlijke personen (de betrokkene) binnen en buiten de organisatie te beschermen tegen misbruik van hun gegevens. De AVG7 spreekt ook over gegevensbescherming en passende beveiliging! De AVG-beginselen8 bepalen dat persoonsgegevens (van betrokkene) rechtmatig, behoorlijk en transparant worden verwerkt.

Passende technische en/of organisatorische maatregelen moeten daarbij zorgen voor een gewaarborgde beveiliging. Gesteld9 wordt dat een netwerk of informatiesysteem (applicatie) op een bepaald vertrouwelijkheidsniveau bestand moet zijn tegen incidentele gebeurtenissen of onrechtmatige of kwaadaardige acties (bijvoorbeeld een hack) en de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van opgeslagen of doorgegeven persoonsgegevens niet in gevaar brengt. Voldoende duidelijk blijkt hieruit het verband tussen informatieveiligheid en gegevensbescherming. Het uitvoeren van een DPIA dient zowel de kwaliteit van de gegevensbescherming als die van informatiebeveiliging. 4. Consequenties Zoals onder punt 1 (laatste alinea) gesteld kan het niet nakomen van de verplichting (uitvoeren DPIA) of een inbreuk leiden tot een administratieve geldboete 10 volgens het boetebeleid van de AP. De AP houdt bij de hoogte van de boete rekening met een aantal factoren. Factoren die een rol kunnen spelen 11 zijn bijvoorbeeld: -

De opzettelijke of nalatige aard van de inbreuk; (Niet) genomen maatregelen om (geleden) schade te beperken; De mate van verantwoordelijkheid gezien de technische en organisatorische maatregelen die is uitgevoerd overeenkomstig de artikelen 25 en 32 van de AVG; Elke andere verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen.

Naast het risico op een administratieve geldboete zijn ook nog andere risico’s denkbaar, zoals: 1. 2. 3. 4. 5.

Betalen van losgeld door hack of gijzeling van persoonsgegevens Imagoschade verwerkingsverantwoordelijke Stigmatisering, profilering, discriminatie van betrokkene Identiteitsfraude Schadevergoeding aan betrokkene

De kans dat een risico zich voordoet is lastig te bepalen. Factoren hierbij betreffen onder andere de handhaving door de AP en/of de oorzaak en gevolgen van een inbreuk. Voorbeelden uit het verleden 12 hebben laten zien dat de AP met corrigerende maatregelen (boetes of sancties) zal reageren. 7

Artikel 25 AVG Artikel 5 AVG 9 Overweging 49 AVG 10 Administratieve boete is een boete die niet door de strafrechter wordt opgelegd, maar door een bestuursorgaan. 11 Artikel 7 BAB 8

2

Kortom, met het uitvoeren van (pre)DPIA’s analyseert de gemeente waar deze mogelijk risico loopt. En zoja, welke maatregelen nodig zijn om deze risico’s te beperken. Onder verwijzing naar de bestuurlijk reactie op het uitgevoerde onderzoek is te lezen dat gewerkt wordt met een vaste werkwijze om de (pre)DPIA’s uit te voeren. Daarnaast is aangegeven dat er dit jaar een aantal zijn opgepakt en ook voor volgend jaar is dit onderwerp opgenomen in de jaarlijkse rapportage over gegevensbescherming en informatieveiligheid. Tot zover en met vriendelijke groet, Rob van Gelderen Mede namens Gert-jan Bremer

12

Boete gemeente Enschede om wifitracking en belastingdienst voor zwarte lijst, Last onder dwangsom Nationale Politie, UWV en BZ voor slechte beveiliging van gegevens

3