Rapportage FG - Gemeente Hoogeveen - Gemeente De Wolden - SWO - 2024 (2)

FG Rapportage 2024

Rapportage Gegevensbescherming Voor het bestuur van de Samenwerkingsorganisatie De Wolden Hoogeveen en de gemeentebesturen van De Wolden en Hoogeveen

J.P. Wind 27 februari 2025

Colofon Naam document FG rapportage 2024 SWO De Wolden Hoogeveen Versienummer 3.1 Versiedatum 27-02-2025 Versiebeheer Het beheer van dit document berust bij de Functionaris voor de Gegevensbescherming. Doel Het doel van de jaarrapportage gegevensbescherming is vanuit het toezicht een overzicht te geven van de ontwikkelingen op het gebied van de bescherming van persoonsgegevens. Doelgroep Dit document is van belang voor het bestuur en de organisatie van de SWO en de gemeentebesturen van De Wolden en Hoogeveen. Relatie met overige producten • AVG Borgingsproduct gegevensbescherming in de SWO De Wolden Hoogeveen

1

Samenvatting In 2018 trad de Algemene verordening gegevensbescherming (hierna: AVG) in werking. In dat jaar ben ik door de gemeente De Wolden, gemeente Hoogeveen en de Samenwerkingsorganisatie De Wolden Hoogeveen (hierna: SWO) aangewezen als Functionaris voor de Gegevensbescherming (hierna: FG). Inmiddels is de AVG grotendeels geïmplementeerd en hebben gemeenten veel kennis uitgewisseld en producten met elkaar gedeeld, zowel online (bijvoorbeeld via het VNG privacyforum) als offline (bijvoorbeeld via de IBD regiobijeenkomsten). Ontwikkelingen in rechtspraak en wetgeving hebben enige duidelijkheid geboden bij de vele open normen uit de AVG. De verhoogde aandacht voor het beschermen van de privacy van inwoners stond centraal. De overheid heeft hierin een belangrijke voorbeeldfunctie. De verantwoordelijkheden voor de SWO voor het verwerken van persoonsgegevens van inwoners liggen in hoofdlijnen bij het bestuur van de SWO en de drie bestuursorganen van de gemeenten: de burgemeester, het college van B&W en de gemeenteraad. Het bestuur van de SWO is verantwoordelijk voor het merendeel van de concrete verwerkingen van persoonsgegevens. Dit brengt verplichtingen met zich mee. In deze jaarrapportage staat beschreven de stand van zaken in 2024 om de doelstellingen en beginselen uit de AVG te behalen en te waarborgen. Ook bevat dit document aandachtspunten en actiepunten.

Adequaat omgaan met persoonsgegevens is een blijvend proces en zal dan ook aandacht blijven vergen van zowel bestuur, management als medewerkers. Samenvattend heeft de SWO sinds de invoering van de AVG veel werk verzet op het gebied van gegevensbescherming. Zo is onder andere veel aandacht geschonken aan de vormgeving van het beleid en de organisatorische inpassing daarvan. De concrete invulling van het beleid vraagt blijvende aandacht.

Jan-Pieter Wind Functionaris Gegevensbescherming

2

Inhoudsopgave Inleiding ................................................................................................................. 4 Leeswijzer .............................................................................................................. 5 Deel 1. Terugblik .................................................................................................... 6 Beleid ................................................................................................................... 6 Processen .............................................................................................................. 6 Organisatorische inbedding ...................................................................................... 6 Rechten van betrokkenen ........................................................................................ 7 Samenwerking ....................................................................................................... 7 Beveiliging ............................................................................................................. 8 Verantwoording ...................................................................................................... 8 Conclusie ............................................................................................................... 8 Deel 2.

Vooruitkijken .............................................................................................. 9 Processen .............................................................................................................. 9 Organisatorische inbedding ...................................................................................... 9 Rechten van betrokkenen ........................................................................................ 9 Samenwerking ....................................................................................................... 9 Beveiliging ............................................................................................................. 9 Verantwoording .................................................................................................... 10 Conclusies ........................................................................................................... 10

3

Inleiding De SWO is zich steeds meer bewust van het belang van het beschermen van persoonsgegevens van haar inwoners. Zij verwerkt immers bij de uitoefening van haar taken veel (gevoelige) gegevens van veel (kwetsbare) inwoners in veel verschillende domeinen. Daarnaast staan persoonsgegevens van andere inwoners, medewerkers, externen en zakenrelaties op de radar. In de AVG wordt het wettelijk kader beschreven voor het verwerken van persoonsgegevens. Zo dient transparant te zijn welke persoonsgegevens er worden verwerkt, voor welk doel en met welke grondslag. Tijdens de verwerking van persoonsgegevens moeten ze goed worden beveiligd, mogen ze niet zomaar voor een ander doel worden verwerkt en moeten ze na afloop worden vernietigd of geanonimiseerd. Daarnaast hebben we ook te maken met tal van privacyregels in sectorspecifieke wetgeving. Dit alles heeft gevolgen voor de inrichting van processen en systemen in en van de SWO. Onder de verantwoordelijkheid van de gemeenten en SWO vindt een groot aantal verwerkingen van persoonsgegevens plaats. Daarop vindt extern en intern toezicht plaats. De Autoriteit Persoonsgegevens (hierna: AP) houdt toezicht op de naleving van de privacyregels in Nederland. Daarnaast dienen de SWO en de beide gemeenten te beschikken over een interne toezichthouder: de Functionaris Gegevensbescherming (FG).

Begin 2018 hebben het bestuur van de SWO en de colleges van de gemeenten De Wolden en Hoogeveen een FG aangewezen. Later is dit gevolgd door een aanwijzing door de andere bestuursorganen. De huidige FG stopt per 1 maart 2025. Er moet nog een nieuwe FG worden aangewezen. De FG ziet erop toe dat de AVG intern wordt nageleefd. Het bestuur van de SWO dient erop toe te zien dat de FG naar behoren en tijdig wordt betrokken bij alle gelegenheden die verband houden met de bescherming van persoonsgegevens. Daarnaast dient de FG ondersteund te worden door hem toegang te verschaffen tot persoonsgegevens en verwerkingen daarvan en hem de benodigde middelen ter beschikking te stellen voor het vervullen van de taak en het in standhouden van zijn deskundigheid. Een deel van de uitvoerende taken ligt bij de Privacy Officer (hierna: PO). De FG brengt verslag uit aan de gemeentelijke bestuursorganen over zijn werkzaamheden, bevindingen en aanbevelingen.

4

Leeswijzer Deze jaarrapportage bestaat uit twee onderdelen. In het eerste deel wordt teruggekeken. Wat hebben de SWO en de beide gemeenten bereikt op het gebied van gegevensbescherming? Welke maatregelen zijn er genomen om te voldoen aan de AVG? In het tweede deel worden aanbevelingen gedaan om gegevensbescherming en privacy naar een hoger niveau te tillen. Hierbij wordt waar nodig tevens aandacht geschonken aan de technische en organisatorische middelen die nodig zijn om dit hogere niveau te bereiken. Daarbij zijn in 2024 van belang geweest de rapporten van de rekenkamers van eind 2023 over informatieveiligheid en privacybescherming, het overnemen van de conclusies en aanbevelingen hieruit door de beide gemeenteraden en de besluitvorming over een extra impuls gedurende vier jaar in de verdere organisatorische inbedding van informatieveiligheid en privacybescherming. De thema’s die in dit rapport worden genoemd zijn afkomstig uit het AVG borgingsproduct van de Informatiebeveiligingsdienst (IBD). Er worden zeven thema’s onderscheiden: 1. 2. 3. 4. 5. 6. 7.

Beleid Processen Organisatorische inbedding Rechten van betrokkenen Samenwerking Beveiliging Verantwoording

In het borgingsproduct worden thema’s, criteria en maatregelen omschreven die de AVG vertalen naar een kwaliteitscyclus voor gegevensbescherming en privacy voor gemeentelijke processen.

5

Deel 1. Terugblik In dit deel van de rapportage zal worden teruggeblikt op hetgeen de SWO heeft bereikt en welke werkzaamheden zijn verricht. Beleid Het privacybeleid voor de gemeente is vastgesteld. Dit is een kader waarin de gemeente aangeeft aan welke principes zij zich houdt bij de verwerking van persoonsgegevens. Het laat zien hoe de gemeente omgaat met persoonsgegevens en welke maatregelen zij treft om te voldoen aan de relevante wet- en regelgeving. Processen De verwerkingen van persoonsgegevens van de SWO dienen te voldoen aan de AVG. Dit houdt in dat de werkprocessen die persoonsgegevens bevatten getoetst en ingericht moeten worden volgens de volgende beginselen: behoorlijkheid, transparantie, doelbinding, dataminimalisatie, opslagbeperking, juistheid, integriteit en vertrouwelijkheid. Daarnaast kan de SWO verplicht zijn een gegevensbeschermingseffectbeoordeling (DPIA 1) uit te voeren om te bepalen of en welke risico's verbonden zijn aan een verwerking van persoonsgegevens en welke maatregelen hiervoor moeten worden genomen. In 2024 zijn er geen DPIA’s uitgevoerd, die aan de FG zijn voorgelegd. Dit komt omdat er weinig nieuwe systemen zijn ingevoerd waarin persoonsgegevens worden verwerkt, maar ook omdat er nog weinig aandacht en capaciteit is voor bestaande verwerkingen waarvoor alsnog een DPIA zou moeten worden uitgevoerd.

De wereldwijde ontwikkeling van Artificial Intellingence (AI) is in 2024 in een stroomversnelling gekomen. Steeds meer mensen, ook medewerkers van de SWO gebruiken (particulier) AI. Het gaat dan veelal om ChatGPT of Microsoft Copilot. De SWO heeft nog geen beleid vastgesteld voor het gebruik van AI in werkomstandigheden. Dit kan een risico zijn als persoonsgegevens worden gebruikt in AI-systemen. Organisatorische inbedding Voor een goede en juiste uitvoering is het van belang dat eenieder binnen de organisatie op de hoogte is van de beginselen van de AVG en het belang van privacy. Organisatorische inbedding betekent het toewijzen van taken, verantwoordelijkheden en bevoegdheden en bewustzijn creëren. In 2024 is er door de PO en de ISO veel gedaan aan de verdere bewustwording van de medewerkers. Zo is er een ambassadeursnetwerk opgericht met medewerkers uit de verschillende organisatieonderdelen. Er zijn 27 ambassadeurs. Zij enthousiasmeren en motiveren andere collega's om veilig te werken. Daarnaast denken zij mee in hoe informatieveiligheid meer op de kaart gezet kan worden in de organisatie. Deze ambassadeurs dragen bij aan de veiligheidscultuur in de organisatie. Ook zijn er phishingmail-acties uitgevoerd en is aan het winnende team een award uitgereikt. Bij de introductie van nieuwe medewerkers wordt aandacht geschonken aan de materie.

Ook is er een dilemmasessie voor bestuurders gehouden. Mocht er echt iets mis gaan, zoals de installatie van ransomware, dan dient ook het bestuur hierop te zijn voorbereid. Verder zijn flyers met richtlijnen over het omgaan met persoonsgegevens verspreid op ontmoetingspunten in het gebouw.

1

Zie https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/praktisch-avg/data-protection-impactassessment-dpia

6

In de organisatie was onder voorzitterschap van de Corporate Information Security Officer (hierna: CISO) een organisatiebreed team informatiebeveiliging en privacybescherming actief. Dat kwam drie tot vier keer per jaar bij elkaar om beleid en uitvoering te bespreken. Daarbij was de FG als gast aanwezig. In 2024 is dat brede overleg in overleg met de deelnemers als het ware opgesplitst. De FG is nu aanwezig bij het kernteam Informatiebeveiliging & Privacy, dat bestaat uit de CISO, de Information Security Officer (hierna: ISO) en de PO. Voor die vier functies zijn in 2024 geactualiseerde functiebeschrijvingen gemaakt. De FG is ook in 2024 in staat gesteld om voldoende informatie op te doen door onder meer deelname aan bijeenkomsten van de IBD, de AP, het Nederlands Genootschap Functionarissen Gegevensbescherming (NGFG), het Centrum Informatiebeveiliging en Privacybescherming (CIP) en het Drents FG Overleg (DFGO) en die informatie door te geven aan de organisatie. Rechten van betrokkenen De SWO en de beide gemeenten dienen degene van wie zij de persoonsgegevens verwerken (betrokkene) zowel actief als passief te informeren over het verwerken, de wijze van het verwerken, de grondslag en de maatregelen die zij nemen om onrechtmatige toegang en verwerking te voorkomen.

Daarnaast stelt de AVG betrokkenen in staat om middels een aantal rechten controle en invloed uit te oefenen over zijn of haar persoonsgegevens. In het algemeen zijn de rechten van betrokkenen duidelijk. Het aantal verzoeken tot gebruikmaking van rechten is gering. Samenwerking De SWO en de beide gemeenten werken op meerdere beleidsterreinen, in verschillende bedrijfsfuncties, in diverse rollen en hoedanigheden samen met (mede) overheden en private organisaties. In veelvoorkomende gevallen zal er sprake zijn van een verwerking van persoonsgegevens tussen partijen: ontvangen van persoonsgegevens, verzenden van persoonsgegevens, maar ook het opslaan van en inzage hebben in persoonsgegevens valt onder dit begrip. Deze verwerkingen dienen dan ook te voldoen aan de AVG. De SWO maakt hierover dan ook afspraken met deze andere partijen. In het DFGO komen indien gewenst dit soort gevallen ter sprake. De bevindingen daarvan brengt de FG onder de aandacht van de PO en CISO. Het kan bijvoorbeeld gaan om gegevensgebruik bij een project over de toekomst van recreatieparken of uitwisseling van gegevens tussen leerplichtambtenaren van verschillende gemeenten. In 2024 is onder meer gesproken over gegevensuitwisseling met het RIEC in het kader van de bestrijding van ondermijning en het gebruik van gemeentelijke gegevens door de provincie in het kader van de plaatsing van laadpalen.

7

Beveiliging Vanuit het behoorlijkheidsbeginsel, het integriteitsbeginsel en het vertrouwelijkheidsbeginsel is het essentieel dat de SWO passende technische en organisatorische maatregelen neemt ter beveiliging van persoonsgegevens. Daarnaast geldt er onder de AVG een meldplicht datalekken. Dit houdt in dat incidenten – waaronder inbreuken – op de beveiliging onder omstandigheden gemeld dienen te worden aan de AP en/of de betrokkene(n). Ook in 2024 was het aantal datalekken is gering. In 2024 zijn 75 veiligheidsincidenten gemeld, waarvan er 24 een datalek bleken te bevatten. Hiervan zijn er vier gemeld bij de AP, omdat er een mogelijk risico was voor de betrokkenen. De wijze van afhandeling is voorgelegd aan de FG, die zich daarin kon vinden. In het algemeen is er bij de meeste datalekken geen sprake van een ernstige bedreiging van rechten van betrokkenen, zodat melding bij de AP veelal niet nodig is. Grote digitale datalekken hebben zich niet voorgedaan. Mijn indruk is dat er op een adequate wijze met (mogelijke) datalekken worden omgegaan. Verantwoording De AVG legt de verantwoordelijkheid bij de organisatie zelf om aantoonbaar te maken dat deze voldoet aan de privacyregels. Door te voldoen aan de verantwoordingsplicht, levert de organisatie een belangrijke bijdrage aan de bescherming van het grondrecht van mensen op privacy.

Dit betekent dat het bestuur van de SWO en de colleges van B&W aan moeten kunnen tonen dat de verwerkingen van persoonsgegevens voldoen aan de beginselen van de AVG en aan de relevante wet- en regelgeving. De verslaglegging door de organisatie ontwikkelt zich. Afgelopen jaar is voor de tweede keer gebruik gemaakt van het borgingsproduct AVG van de IBD. Het is de bedoeling dat dit jaarlijks wordt gemonitord en geactualiseerd. De FG heeft kennis genomen van geactualiseerde borgingsproduct. Op een aantal punten, zoals bewustwording, is vooruitgang geboekt. Op een aantal andere punten, vooral waar een diepgaand inzicht is vereist in hoe de organisatie het daadwerkelijk doet, konden nog geen duidelijke conclusies worden getrokken. Conclusie Ook in 2024 heeft de SWO heel wat werk verzet om de AVG te implementeren in de organisatie, de systemen en de processen. Vooral de vaststelling van beleid en groei van bewustzijn bij de medewerkers waren duidelijk waarneembaar. Er zijn ook aandachtspunten voor de organisatie om aantoonbaar te kunnen voldoen aan de AVG. In het tweede deel van de rapportage zullen aanbevelingen worden gedaan om gegevensbescherming nog meer in te bedden in de organisatie.

8

Deel 2. Vooruitkijken Gegevensbescherming onderdeel laten zijn van de processen en systemen van de SWO, en daarmee aantoonbaar voldoen aan privacywetgeving, is een continu proces. Het vraagt om structurele borging van dit onderwerp. Waar de afgelopen jaren in het teken stonden van de ‘lessons learned’ van de eerste jaren van de AVG en de verdere implementaties en verbeteringen, zal de komende jaren de uitvoering van het beleid en de continue aandacht voor bevordering van het bewustzijn centraal staan. Beleid Aanbevelingen: • Er moet aandacht worden besteed aan het gebruik van AI. Onder welke voorwaarden en voor welke doeleinden kan gebruik worden gemaakt van AI? Welke toepassingen voldoen aan de te stellen eisen op het gebied van gegevensbescherming? Processen Aanbevelingen: • Al sinds 2018 is een knelpunt de gestructureerde en tijdige verwijdering van persoonsgegevens in digitale systemen. Voor gegevens in het analoge en digitale archief wordt gebruik gemaakt van de selectielijsten op basis van de Archiefwet. Die termijnen zouden ook moeten gelden voor overige applicaties. Dat is echter vaak nog niet mogelijk. Bij aanschaf of vernieuwing van systemen zou hier aandacht voor moeten zijn. Organisatorische inbedding Aanbevelingen: • Er bestaat een duidelijke behoefte aan uitbreiding van formatie bij de informatiebeveiliging en privacybescherming betrokken ambtenaren van de SWO.

Zo kan de huidige FG ongeveer voor 0,1 fte aan die taak besteden. Een rapport van M&I/Partners wijst uit dat voor een organisatie van de grootte van de SWO ongeveer 0,7 fte voor een FG gepast is. Ook voor het actualiseren van het register van verwerkingen, aanvullend beleid, processen en het coördineren van DPIA's is aanvullende capaciteit nodig. Uitbreiding hiervan is voorzien in het kader van het traject Toekomstvaste Informatievoorziening. Beide gemeenteraden hebben voor vier jaar middelen beschikbaar gesteld voor een extra impuls op dit gebied; • Ook moet structureel verder gewerkt worden aan bewustwording van zowel bestuurders, management als medewerkers. Rechten van betrokkenen Aanbevelingen: • Blijvende aandacht voor het voorkomen van datalekken. Wat is verwijderd, kan niet worden gelekt; • In 2018 is met behulp van een externe partij een verwerkingsregister opgesteld. Dit register moet worden geactualiseerd. Samenwerking Aanbevelingen: • Bij aanschaf of vernieuwing van systemen waarbij derden zijn betrokken is de tijdige inschakeling van de PO een vereiste. Op die manier wordt ook voldoende aandacht voor het gebruik van de juiste verwerkersoverkomsten gewaarborgd. • Voor risicovolle gegevensverwerkingen moet een DPIA uitgevoerd worden, waarbij advies van de FG wordt gevraagd.

9

Beveiliging Aanbevelingen: • De in het beleid vastgestelde doelen moeten nog verder worden geïmplementeerd. Zie ook de aanbevelingen van de rekenkamers. Verantwoording Aanbevelingen: • De informatiesystemen zouden door de organisatie periodiek (jaarlijks) moeten worden gecontroleerd op naleving van beveiligingsnormen en vermindering van risico’s. Conclusies Op het gebied van privacy en gegevensbescherming is er de komende jaren winst te behalen. Met name de implementatie van beleid verdient de komende jaren extra aandacht.

10