Bijlage 1. Toezichtverslag 2025 FG Delft
Tekst van het document
Toezichtverslag 2025 Functionaris Gegevensbescherming December 2025
Functionaris Gegevensbescherming: Toezichtverslag 2025 - December 2025
Inhoudsopgave 1 Inleiding
2
2 Reflectie 2025
3
3 Uitdagingen voor de komende jaren
10
1
Functionaris Gegevensbescherming: Toezichtverslag 2025 - December 2025
1 Inleiding De gemeente Delft is verplicht om een functionaris Gegevensbescherming (FG) aan te stellen. Deze verplichting komt voort uit zowel de Algemene Verordening Gegevensbescherming (AVG) als de Wet politiegegevens (Wpg). De functionaris Gegevensbescherming is een derde lijns interne toezichthouder. Werkzaamheden van de functionaris Gegevensbescherming bestaan uit: - Toezicht houden op de naleving van de desbetreffende wetgeving (AVG/ Wpg) - Gevraagd en ongevraagd adviseren over gegevensbeschermingsaangelegenheden - Advies geven op data protection impact assessments (DPIA’s) - Optreden als contactpunt voor de Autoriteit Persoonsgegevens - Opstellen van een jaarverslag (verplicht vanuit de Wpg) De functionaris Gegevensbescherming (FG) is aangemeld bij de Autoriteit Persoonsgegevens voor de Gemeente Delft (FG002094) en daarmee de bestuursorganen die daar onder vallen (de burgemeester, de Raad en het College van burgemeester en wethouders). Daarnaast is de FG van de Gemeente ook de FG van de Rekenkamer (in overeenstemming met het privacybeleid van de Rekenkamer). De FG is aangesteld voor zowel de AVG als voor de Wpg.
In dit toezichtverslag wordt teruggekeken op de naleving van de AVG en de Wpg in 2025 en hoe is omgegaan met de aanbevelingen van het toezichtverslag over 2024. In het vorige toezichtverslag werd vooruitgekeken naar ontwikkelingen die op ons afkomen en op welke aandachtgebieden de FG de komende jaren onderzoek wilt uitvoeren. Dit is in dit toezichtverslag niet meegenomen. Per 1 januari vertrekt de huidige FG (dhr. A. van den Berg) bij de gemeente Delft. Hij heeft dit verslag geschreven. Het is aan de nieuwe FG om zelf te bepalen welke aandachtgebieden de komende jaren onderzoek behoeven.
2
Functionaris Gegevensbescherming: Toezichtverslag 2025 - December 2025
2 Reflectie 2025 Wet politiegegevens Vanuit de Wpg is de gemeente verplicht om jaarlijks een interne audit te doen en vierjaarlijks een externe audit. Afgelopen jaar is er een externe audit uitgevoerd. De audit toetst aan de hand van 31 normen of er wordt voldaan in “opzet”, “bestaan” en “werking”. Als een domein bij de externe audit niet in “opzet” en “bestaan” voldoet, dient er een verbeterplan opgesteld te worden en dient er jaarlijks een hercontrole plaats te vinden. Daarnaast moet de organisatie standaard jaarlijks een interne audit uitvoeren en moet de FG jaarlijks een verslag opleveren met zijn bevindingen. Doordat er een externe audit heeft plaatsgevonden heeft de FG dit jaar geen eigen onderzoek gedaan, maar leunt hij op de bevindingen van de externe auditor. Conclusie externe audit 2025 - Domein 1 (Openbare ruimte): Normen
Opzet
Bestaan Werking
1. Reikwijdte
1
1
0
2. Doelbinding
1
1
3
3. Noodzakelijkheid en rechtmatigheid, vermelding herkomst
1
0
0
4. Juistheid en volledigheid politiegegevens
1
1
1
5. Onderscheid feiten en oordeel
1
0
0
6. Gegevensbescherming door beveiliging en ontwerp
2
1
1
7. Gegevensbescherming door standaardinstellingen
2
1
1
8. Gegevensbeschermingseffectbeoordeling/ Data protection impact assessment (DPIA)
2
0
0
9. Bijzondere categorieën van politiegegevens
1
3
3
10. Autorisaties en toegang tot politiegegevens
1
0
0
11. Autorisaties: aanwijzen functionarissen
0
3
3
12. Onderscheid tussen verschillende categorieën van betrokkenen
1
2
2
13. Verwerker en Verwerkersovereenkomst
1
1
1
14. Geheimhoudingsplicht
2
1
0
15. Geautomatiseerde individuele besluitvorming
2
2
3
16. Uitvoering van de dagelijkse politietaak
2
2
2
17. Ter beschikking stellen van politiegegevens binnen het WPG-domein
0
3
3
18. Geautomatiseerd vergelijken en in combinatie zoeken
0
0
0
19. Ondersteunende taken
3
3
3
20. Bewaartermijnen, verwijderen en vernietigen
1
1
1
21. Verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee
0
0
0
22. Doorgiften aan derde landen
0
0
0
23. Verstrekking aan derden structureel voor samenwerkingsverbanden
0
0
0
24. Rechtstreekse verstrekking aan inlichtingen- of veiligheidsdiensten
0
0
0
0
0
0
1
1
1
25. Informatie aan de betrokkene, recht op inzage, rectificatie en verwijdering 26. Register
3
Functionaris Gegevensbescherming: Toezichtverslag 2025 - December 2025 27. Documentatie
0
0
0
28. Logging
0
0
0
29. Audits
1
1
1
30. Melding datalekken
1
1
0
31. Functionaris voor Gegevensbescherming
2
2
0
Conclusie externe audit 2025 - Domein 3 (Onderwijs): Normen
Opzet
Bestaan Werking
1. Reikwijdte
2
2
2
2. Doelbinding
2
2
2
3. Noodzakelijkheid en rechtmatigheid, vermelding herkomst
2
0
0
4. Juistheid en volledigheid politiegegevens
1
1
1
5. Onderscheid feiten en oordeel
2
1
0
6. Gegevensbescherming door beveiliging en ontwerp
2
2
1
7. Gegevensbescherming door standaardinstellingen
2
2
1
8. Gegevensbeschermingseffectbeoordeling/ Data protection impact assessment (DPIA)
2
0
0
9. Bijzondere categorieën van politiegegevens
2
3
3
10. Autorisaties en toegang tot politiegegevens
1
1
0
11. Autorisaties: aanwijzen functionarissen
2
3
3
12. Onderscheid tussen verschillende categorieën van betrokkenen
2
2
2
13. Verwerker en Verwerkersovereenkomst
2
1
1
14. Geheimhoudingsplicht
2
2
2
15. Geautomatiseerde individuele besluitvorming
2
2
3
16. Uitvoering van de dagelijkse politietaak
2
2
1
17. Ter beschikking stellen van politiegegevens binnen het WPG-domein
2
3
3
18. Geautomatiseerd vergelijken en in combinatie zoeken
2
3
3
19. Ondersteunende taken
3
3
3
20. Bewaartermijnen, verwijderen en vernietigen
2
1
1
21. Verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee
2
2
0
22. Doorgiften aan derde landen
2
3
3
23. Verstrekking aan derden structureel voor samenwerkingsverbanden
1
0
0
24. Rechtstreekse verstrekking aan inlichtingen- of veiligheidsdiensten
2
3
3
1
0
0
26. Register
2
1
1
27. Documentatie
1
0
0
28. Logging
2
0
0
29. Audits
1
1
1
30. Melding datalekken
1
1
0
31. Functionaris voor Gegevensbescherming
2
2
0
25. Informatie aan de betrokkene, recht op inzage, rectificatie en verwijdering
Conclusie externe audit 2025 - Domein 5 (Werk, inkomen en zorg): Normen
Opzet
Bestaan Werking
4
Functionaris Gegevensbescherming: Toezichtverslag 2025 - December 2025 1. Reikwijdte
2
2
2
2. Doelbinding
2
3
3
3. Noodzakelijkheid en rechtmatigheid, vermelding herkomst
2
3
3
4. Juistheid en volledigheid politiegegevens
2
3
3
5. Onderscheid feiten en oordeel
2
2
3
6. Gegevensbescherming door beveiliging en ontwerp
2
1
0
7. Gegevensbescherming door standaardinstellingen
1
1
0
8. Gegevensbeschermingseffectbeoordeling/ Data protection impact assessment (DPIA)
2
1
1
9. Bijzondere categorieën van politiegegevens
2
3
3
10. Autorisaties en toegang tot politiegegevens
1
1
0
11. Autorisaties: aanwijzen functionarissen
2
2
3
12. Onderscheid tussen verschillende categorieën van betrokkenen
2
2
2
13. Verwerker en Verwerkersovereenkomst
2
0
0
14. Geheimhoudingsplicht
2
2
1
15. Geautomatiseerde individuele besluitvorming
2
2
3
16. Uitvoering van de dagelijkse politietaak
2
3
3
17. Ter beschikking stellen van politiegegevens binnen het WPG-domein
2
3
3
18. Geautomatiseerd vergelijken en in combinatie zoeken
2
3
3
19. Ondersteunende taken
2
3
3
20. Bewaartermijnen, verwijderen en vernietigen
2
1
1
21. Verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee
2
3
3
22. Doorgiften aan derde landen
2
3
3
23. Verstrekking aan derden structureel voor samenwerkingsverbanden
2
3
3
24. Rechtstreekse verstrekking aan inlichtingen- of veiligheidsdiensten
2
3
3
1
0
0
26. Register
2
1
1
27. Documentatie
1
1
1
28. Logging
0
0
0
29. Audits
1
1
1
30. Melding datalekken
1
1
0
31. Functionaris voor Gegevensbescherming
2
2
0
25. Informatie aan de betrokkene, recht op inzage, rectificatie en verwijdering
Bevinding Functionaris Gegevensbescherming Na 4 jaar werken onder de Wpg zou de organisatie in staat moeten zijn om in “opzet” en “bestaan” volledige te voldoen. Dit is echter niet het geval. De externe audit laat een duidelijke verbetering zien ten opzichte van 4 jaar geleden, maar er is nog meer nodig. Met name domein 1 heeft op dit vlak nog stappen te zetten om te zorgen dat zij voor eind 2026 op zowel “opzet” als “bestaan” voldoen. Domein 3 is goed onderweg en is te verwachten dat zij eind 2026 volledig groen kunnen scoren. 5
Functionaris Gegevensbescherming: Toezichtverslag 2025 - December 2025
Domein 5 heeft veel werk verzet om te komen tot de huidige score en ook zij zouden in theorie eind 2026 volledig groen moeten kunnen scoren. Doordat domein 5 echter geen gebruik maakt van een specifieke applicatie, maar werkt met documenten op een teamsomgeving wordt het lastig om de logging en beveiliging zo in te richten dat er kan worden voldaan. Beter zou zijn om over te stappen naar een specifieke applicatie zoals bijvoorbeeld PGAx. Aanbeveling 1: Voldoe eind 2026 voor alle Wpg-domeinen in “opzet” en “bestaan” Maak actief werk van de implementatie van de Wpg, met name binnen domein 1. Zorg er voor dat er doorgepakt wordt bij domeinen 3 en 5, zodat er eind 2026 aantoonbaar aan de Wpg wordt voldaan.
Aanbeveling 2: Maak binnen domein 5 gebruik van een specifieke applicatie voor de onderzoeken. Met de huidige werkwijze kan er niet goed worden voldaan aan de Wpg. Ook voor de onderzoeken die onder de AVG plaatsvinden kan op deze wijze de vertrouwelijkheid van de onderzoeken niet goed worden geborgd. Met de inzet van een specifieke applicatie kan dit wel.
Implementatie MS 365 In 2024 is er een DPIA uitgevoerd op de implementatie van Microsoft 365. De DPIA is in januari 205 opgeleverd en bevatte 19 hoge risico’s; 13 gemiddelde risico’s en 1 laag risico. Eerdere DPIA’s op deel implementaties in 2021 en 2022 hebben toen geleid tot een voorlopig positief advies van de FG. Aanbeveling die de FG toen heeft gedaan, zijn echter zeer beperkt opgevolgd. Gelet op de aanwezigheid van hoge restrisico’s heeft de FG besloten om deze keer een “voorlopig negatief” advies te geven. Een negatief advies omdat er nog hoge restrisico’s zijn. En voorlopig omdat het mogelijk is om deze risico’s te mitigeren. De FG heeft tevens graag om een verbeterplan met daarin opgenomen op welke manier de risico’s worden aangepakt en per wanneer. Als er besloten wordt om risico’s niet te mitigeren en te accepteren dient dit met onderbouwing opgenomen te zijn in het verbeterplan. Hoge risico’s die niet gemitigeerd worden moeten voorgelegd worden aan de Autoriteit Persoonsgegevens en het college van Burgemeester en Wethouders. De FG heeft verzocht dit verbeterplan voor 1 mei 2025 op te stellen en naar hem toe te sturen. Deze datum is niet gehaald. In overleg met de FG is afgesproken dat er meer tijd nodig was en is datum verzet naar 1 november 2025.
Begin december moet de FG constateren dat: de extra tijd niet is gebruikt om aan een verbeterplan te werken; er nog geen verbeterplan is opgeleverd; en er ook nog geen datum is waarop het verbeterplan wel zal worden opgeleverd. Aanbeveling 3: Zorg dat de MS 365 implementatie voor 1 januari 2027 AVG-proof is De huidige inrichting voldoet niet aantoonbaar aan de AVG. Stel beleid op en zorg dat de MS 365 conform dit beleid wordt ingericht. Geef hier prioriteit aan en zorg dat de personele bezetting passend is voor een degelijk complex product. Zorg er tevens voor dat er bewuste keuzes gemaakt worden waarbij dataminimalisatie; security en privacy by design and by default centraal staan. 6
Functionaris Gegevensbescherming: Toezichtverslag 2025 - December 2025
Bewaartermijnen Onder de AVG en de Wpg is het niet toegestaan om persoonsgegevens langer te bewaren dan noodzakelijk. Voor de Wpg is dit vastgelegd in de wetgeving en voor de AVG hanteren gemeenten de ‘Selectielijst gemeenten en intergemeentelijke organen’. Vorig jaar is in het toezichtverslag aangegeven dat de naleving van bewaartermijnen moet verbeteren. In 2025 zijn hier stappen ingezet. Voor verschillende systemen is in kaart gebracht wat er moet gebeuren. Om dit goed te doen, vergt dit echter aandacht en tijd. Het is dan ook niet te verwachten dat de gemeente dit op korte termijn volledig op orde heeft. Belangrijk is wel dat er een totaalbeeld is van welke systemen nu niet voldoen en projectmatige aanpak, inclusief tijd en geld, om dit aan te pakken. Anders bestaat het risico dat dit onderwerp ondergesneeuwd raakt in de waan van de dag. Aanbeveling 4: Pak het verbeteren van de bewaartermijnen projectmatig aan en rapporteer hier periodiek over Breng in kaart welke systemen nu niet voldoen en start een project of programma om dit gefaseerd op orde te brengen. Zorg ervoor dat er tijd en geld gereserveerd is om hier invulling aan te geven en rapporteer periodiek over de voortgang.
Algoritmes en A.I. In 2024 is de AI-verordening aangenomen. Deze Europese verordening wordt in fases ingevoerd.
7
Functionaris Gegevensbescherming: Toezichtverslag 2025 - December 2025
Sinds 1 februari 2025 is de gemeente verplicht om werk te maken aan AI-geletterdheid, gericht op de systemen die gebruikt worden. In 2025 zijn er een aantal algemene AI-sessies geweest voor de medewerkers. Daarnaast is de AI behoefte geïnventariseerd en wordt gekeken hoe hier invulling aangegeven kan worden. Ook is in 2025 het AI-beleid opgesteld waarin een ambtelijke toetsingscommissie is opgenomen. Hiermee is invulling gegeven aan de specifieke aanbevelingen uit het toezichtverslag van vorig jaar. We zijn er echter nog niet. Het is belangrijk om actief het gebruik van AI in de organisatie te monitoren en de ambtelijke toetsingscommissie ook daadwerkelijk in te richten en goed te positioneren. Wetgeving veiligheidsdomein Per 1 maart 2025 is de Wet Gegevensverwerking Samenwerkingsverbanden (WGS) in werking getreden en per 1 juli 2025 de Wet gegevensverwerking Persoonsgerichte Aanpak Radicalisering en Terroristische Activiteiten (PARTA). De WGS richt zich op samenwerkingsverbanden zoals de Zorg- en Veiligheidshuizen en de Regionale Informatie- en Expertisecentra (RIEC). De WGS en de wet PARTA leveren beide de benodigde wettelijke basis om gegevens te mogen uitwisselen met bepaalde partners. Hier zitten echter ook beperkingen aan. Beide wetten geven aan met welk doel, welke gegevens met wie gedeeld mogen worden. Dit hoeft niet overeen te komen met de huidige werkwijze.
Met name voor lokale initiatieven kan dit gevolgen hebben. De WGS biedt namelijk geen wettelijke basis voor lokale initiatieven en in de wet PARTA spelen juist de Zorg- en Veiligheidshuizen en de RIEC’s formeel geen rol. Vorig jaar heeft de FG aanbevolen om de werkwijze binnen de lokale veiligheidssamenwerkingen in lijn te brengen met de WGS en de wet PARTA. De afdeling is hier mee aan de slag. De vertaling van deze wetten naar de praktijk is landelijk gezien echter een lastige. Er zijn meerdere landelijke werkgroepen die zich hiermee bezighouden. Delft houdt deze landelijke ontwikkelingen in de gaten en voert regionaal gesprekken met onder andere het Zorg en Veiligheidshuis Haaglanden. eIDAS 2.0 Verordening eIDAS staat voor ‘Electronic Identification And Trust Services’. Alle overheidsinstellingen moeten sinds 2018 Europese burgers de mogelijkheid geven om in te loggen met Europees erkende inlogmiddelen. Dit betekent concreet dat een burger bij de gemeente moet kunnen inloggen met DigiD of een ander Europees erkend inlogmiddel. In eIDAS 2.0 wordt geregeld dat burgers ook moeten kunnen inloggen met Europese digitale portemonnee, ook wel een IDwallet genoemd. De Nederlandse overheid moet eind 2026 in ieder geval één ID-wallet erkennen, zodat Nederlanders hierover kunnen beschikken. Eind 2027 moeten Europeanen kunnen inloggen bij alle overheidsinstanties met deze ID-wallet.
Zo’n ID-wallet is echter meer dan een alternatief voor DigiD. Burgers moeten eind 2027 ook de mogelijkheid hebben om documenten zoals een rijbewijs digitaal op te slaan op de wallet. Op dit moment voldoet de gemeente Delft niet aan eIDAS. Als betrokkenen hun rechten willen uitoefenen onder de AVG of de Wpg, kan dit per post of digitaal. Voor het digitale gedeelte is DigiD verplicht. Andere Europees erkende inlogmiddelen worden niet ondersteund. Dit betekent dat Europeanen die in Delft hun rechten willen uitoefenen dit niet digitaal kunnen. 8
Functionaris Gegevensbescherming: Toezichtverslag 2025 - December 2025
De FG heeft hier vorig jaar in zijn toezichtverslag op gewezen en aanbevolen om werk te maken van de eIDAS 1.0 en 2.0 implementatie. Hier is nog weinig mee gedaan. Er wordt onderzocht of met de huidige (zelfontwikkelde) producten dit gerealiseerd kan worden of dat dit meengenomen moet worden in de vervangingsstrategie. Gelet hierop blijft het advies van vorig jaar van kracht. Aanbeveling 5: Maak werk van de eIDAS 1.0 en 2.0 implementatie Breng in kaart wat er voor nodig is om aan eIDAS 1.0 en 2.0 te voldoen. Pas waar nodig de systemen en processen aan, zodat er wordt voldaan aan eIDAS 1.0 en de systemen voorbereid zijn op alle verplichtingen vanuit eIDAS 2.0 NIS2
Rechten zaaksysteem In de applicatie Djuma worden meerdere soorten processen ondersteund. Enerzijds wordt het gebruikt voor het in routing brengen van documenten als onderdeel van het bestuurlijk proces. Daarnaast is het ook zaaksysteem voor allerlei uitvoerende processen tussen de gemeente en burgers met betrekkingen tot uitkeringen, toeslagen, vergunningen, handhaving, klachten en bezwaren. Beide processen kunnen met het systeem uitgevoerd worden, maar dit vereist wel dat autorisatie zo ingericht worden dat gebruikers alleen toegang krijgen tot informatie die ze nodig hebben voor hun functie. Met name in de uitvoerende processen worden veel gevoelige en bijzondere persoonsgegevens verwerkt, waarvoor strenge autorisatie eisen gelden. Dit blijkt in de praktijk niet goed in te regelen. Om het bestuurlijk proces goed te kunnen ondersteunen hebben onder andere bestuurders ruime rechten nodig. Waardoor deze personen ook toegang hebben gekregen tot (bijzondere) persoonsgegevens uit de uitvoerende processen. Hoewel dit voor de kortere termijn, met aanvullende maatregelen, uitlegbaar is, is dit niet het geval voor de langere termijn. Aanbeveling 6: Neem op korte termijn maatregelen om misbruik rechten zaaksysteem te monitoren Neem aanvullende privacy waarborgen zoals de verplichte controle van logging om misbruik achteraf te kunnen detecteren.
Voor daarnaast periodieke steekproeven uit en laat de medewerkers toelichten waarom bepaalde dossiers zijn geraadpleegd.
Aanbeveling 7: Onderzoek een structurele oplossingsrichting waarbij het bestuurlijk proces gescheiden wordt van de uitvoerende processen. Onderzoek andere oplossingsrichtingen te die breder kijken dan de huidige inrichting. Denk bijvoorbeeld aan databasescheiding van beide soorten processen (zoals nu bijvoorbeeld gebeurt met de processen van ISR), of het bestuurlijk proces volledig onderbrengen in een aparte applicatie (zoals iBabs);
9
Functionaris Gegevensbescherming: Toezichtverslag 2025 - December 2025
3 Uitdagingen voor de komende jaren De organisatie is op het gebied van Informatiebeveiliging en Gegevensbescherming in de afgelopen 6 jaar een stuk volwassener geworden. In 2019 was er een virtueel team binnen de organisatie met mensen vanuit de afdelingen IV en Controlling die informatiebeveiliging en gegevensbescherming belangrijk vonden, maar het er meestal bij deden. De organisatie had in 2019 geen behoefte aan een FG als toezichthouder, maar aan een FG als privacy expert die de organisatie verder kon helpen. Inmiddels is het 2025 en is informatiebeveiliging en gegevensbescherming niet meer iets wat er bij gedaan wordt, maar zijn er mensen vast in dienst die hier invulling aan gegeven. De bewustwording in de organisatie is hiermee gestegen en zo het aantal DPIA’s dat wordt uitgevoerd. Datalekken worden centraal opgepakt en privacy is steeds vaker een onderwerp aan het begin van een project. Inmiddels is er een duidelijke behoefte aan een FG die zich ook als toezichthouder opstelt. Eigenaarschap Toch is de organisatie nog niet volwassen genoeg. De verantwoordelijkheid voor informatiebeveiliging en gegevensbescherming wordt nog te veel neergelegd bij dit (virtuele) team, in plaats van bij de directeuren, afdelingshoofden en de proces-, data- en applicatie eigenaren.
Net zoals dat zij verantwoordelijk zijn dat een proces op financieel verantwoordde manier wordt uitgevoerd, zijn ze dit ook voor informatiebeveiliging en gegevensbescherming. Eigenaarschap kan echter alleen gevoeld worden als dit zichtbaar wordt gemaakt; je de middelen hebt om het te omarmen; en je er op wordt aangesproken.
Aanbeveling 8: Beleg eigenaarschap en laat eigenaren periodiek rapporteren aan het DT Benoem eigenaren alle processen, Identity and Access voor Management (IAM) verwerkingen en applicaties. Hanteer hierbij een top-down methodiek (directeur is verantwoordelijk totdat anders bepaald). Geef de eigenaren inzicht waarvoor ze verantwoordelijk zijn, zoals de risico’s uit DPIA’s en datalekken. En laat ze periodiek rapporteren wat er aan gedaan wordt om deze risico’s te mitigeren.
10
Functionaris Gegevensbescherming: Toezichtverslag 2025 - December 2025
Identity and Access Management (IAM) Bij een volwassen organisatie hoort ook het goed omgaan met gebruikersaccounts en rechten voor systemen. Dit is bij de gemeente Delft nog onvoldoende goed ingeregeld. Er is geen organisatiebreed overzicht welke rechten een medewerker met een bepaalde functie zou moeten hebben. Hierdoor kan ook niet gecontroleerd worden of rechten terecht zijn uitgereikt of niet. Bij het wisselen van functie of afdelingen worden rechten niet automatisch aangepast. Dit gebeurd alleen als de medewerker of het afdelingshoofd van de “oude” afdeling hier alert op is. Rechten van iemand die uitdienst gaat worden niet automatisch ingetrokken. Het afdelingshoofd moet via een specifiek formulier aangeven dat een medewerker zijn IT-voorzieningen met inleveren. Slechts voor een beperkt aantal applicaties worden de rechten vervolgens ingetrokken. Applicaties die niet in de lijst voorkomen moeten door de medewerker zelf “ingeleverd” worden voordat hij uitdienst gaat.
Aanbeveling 9: Zet nadrukkelijk in op het verbeteren van Identity en Access Management (IAM) Investeer in het verbeteren van Identity en Acces Management (IAM) en zorg dat het uitreiken, intrekken en wijzigen van accounts en rechten op een uniforme wijze plaatsvindt. Gebruik hiervoor de personeelsadministratie als bron voor de verandering van rechten en accounts. Zorg daarbij dat de accounts en rechten van alle systemen binnen 5 jaar op deze wijze beheerd worden.
11