2622339 College van B&W - Toezichtverslag 2025 Functionaris Gegevensbescherming (FG)

Oplegger raad Raadsinformatie Onderwerp

Toezichtverslag 2025 Functionaris Gegevensbescherming (FG)

Portefeuillehouder

Martina Huismans

Voorstel ingediend door

Sandra Lammerding (slammerding@Delft.nl)

Registratienummer

6427720

Datum

19 mei 2026

Concept-besluit(en) N.v.t. Waarom nu? Normaal dient de FG zijn toezichtverslag gelijktijdig in met de verantwoordingsrapportage over Informatiebeveiliging en Gegevensbescherming. Doordat de FG echter per 1 januari 2026 niet meer in dienst is bij de gemeente Delft heeft hij voor zijn vertrek nog het toezichtverslag afgerond. Inhoud Aanbeveling 1: Voldoe eind 2026 voor alle Wpg-domeinen in “opzet” en “bestaan” Maak actief werk van de implementatie van de Wpg, met name binnen domein 1. Zorg er voor dat er doorgepakt wordt bij domeinen 3 en 5, zodat er eind 2026 aantoonbaar aan de Wpg wordt voldaan . Aanbeveling 2: Maak binnen domein 5 gebruik van een specifieke applicatie voor de onderzoeken. Met de huidige werkwijze kan er niet goed worden voldaan aan de Wpg. Ook voor de onderzoeken die onder de AVG plaatsvinden kan op deze wijze de vertrouwelijkheid van de onderzoeken niet goed worden geborgd. Met de inzet van een specifieke applicatie kan dit wel. Aanbeveling 3: Zorg dat de MS 365 implementatie voor 1 januari 2027 AVG-proof is De huidige inrichting voldoet niet aantoonbaar aan de AVG. Stel beleid op en zorg dat de MS 365 conform dit beleid wordt ingericht. Geef hier prioriteit aan en zorg dat de personele bezetting passend is voor een degelijk complex product.

Zorg er tevens voor dat er bewuste keuzes gemaakt worden waarbij dataminimalisatie; security en privacy by design and by default centraal staan. Aanbeveling 4: Pak het verbeteren van de bewaartermijnen projectmatig aan en rapporteer hier periodiek over Breng in kaart welke systemen nu niet voldoen en start een project of programma om dit gefaseerd op orde te brengen. Zorg ervoor dat er tijd en geld gereserveerd is om hier invulling aan te geven en rapporteer periodiek over de voortgang. Aanbeveling 5: Maak werk van de eIDAS 1.0 en 2.0 implementatie Breng in kaart wat er voor nodig is om aan eIDAS 1.0 en 2.0 te voldoen. Pas waar nodig de systemen en processen aan, zodat er wordt voldaan aan eIDAS 1.0 en de systemen voorbereid zijn op alle verplichtingen vanuit eIDAS 2.0 Aanbeveling 6: Neem op korte termijn maatregelen om misbruik rechten zaaksysteem te monitoren Neem aanvullende privacy waarborgen zoals de verplichte controle van logging om misbruik achteraf te kunnen detecteren. Voor daarnaast periodieke steekproeven uit en laat de medewerkers toelichten waarom bepaalde dossiers zijn geraadpleegd. Aanbeveling 7: Onderzoek een structurele oplossingsrichting waarbij het bestuurlijk proces gescheiden Versie 08.25

wordt van de uitvoerende processen. Onderzoek andere oplossingsrichtingen te die breder kijken dan de huidige inrichting. Denk bijvoorbeeld aan databasescheiding van beide soorten processen (zoals nu bijvoorbeeld gebeurt met de processen van ISR), of het bestuurlijk proces volledig onderbrengen in een aparte applicatie (zoals iBabs); Aanbeveling 8: Beleg eigenaarschap en laat eigenaren periodiek rapporteren aan het DT Benoem eigenaren voor alle processen, verwerkingen en applicaties. Hanteer hierbij een top-down methodiek (directeur is verantwoordelijk totdat anders bepaald). Geef de eigenaren inzicht waarvoor ze verantwoordelijk zijn, zoals de risico’s uit DPIA’s en datalekken. En laat ze periodiek rapporteren wat er aan gedaan wordt om deze risico’s te mitigeren. Aanbeveling 9: Zet nadrukkelijk in op het verbeteren van Identity en Access Management (IAM) Investeer in het verbeteren van Identity en Acces Management (IAM) en zorg dat het uitreiken, intrekken en wijzigen van accounts en rechten op een uniforme wijze plaatsvindt. Gebruik hiervoor de personeelsadministratie als bron voor de verandering van rechten en accounts. Zorg daarbij dat de accounts en rechten van alle systemen binnen 5 jaar op deze wijze beheerd worden.

Wat verandert er? Met het opvolgen van de aanbevelingen maakt de organisatie verdere stappen om te voldoen aan de Algemene Verordening Gegevensbescherming (AVG) en de Wet politiegegevens (Wpg). Beleidskaders AVG en de Wpg Financiën

Vervolg

Participatie

Communicatie

Bijlage(n) Zitten er geheime stukken bij? ☐ja Xnee Bijlage 1: Toezichtverslag 2025 FG Delft.pdf

Het besluit moet gepubliceerd worden in het Gemeenteblad ☐ Ja

☐ Niet van toepassing

☒ Nee

Motie / toezegging Heeft het voorstel betrekking op een motie en/of toezegging?

☐ Ja,

het college verzoekt de raad om motie ….. / toezegging … als afgedaan te beschouwen

☒ Nee

Hoogachtend, Het college van burgemeester en wethouders van Delft,

M Berger Pagina 2 van 3

K Schrederhof 29-05-2026

Pagina 3 van 3