Presentatie FG RC 10 februari 2021

De bescherming van persoonsgegevens bij de gemeente Den Haag Rekeningencommissie Raad februari 2021

Opbouw presentatie • AVG op hoofdlijnen • Rol FG • Wat heeft de GDH de afgelopen jaren gedaan en hoe staan we ervoor? • Wat moet er verbeterd worden?

Kern van de AVG • De verwerking van persoonsgegevens vindt rechtmatig plaats, uitsluitend voor welbepaalde doelen, is noodzakelijk en juist en gegevens worden niet langer bewaard dan nodig. • De gemeente moet ervoor zorgen dat de verwerking van persoonsgegevens transparant is. • Risico’s moeten in kaart worden gebracht en beperkt (Privacy Impact assessments (PIA’s), Data Protection Impact Assessments (DPIA’s). • GDH moet de rechten van de betrokkene effectueren (toegang tot persoonsgegevens, correctie, verwijdering).

Taken en rollen bij de verwerking van persoonsgegevens • Verwerkingsverantwoordelijke: B&W

• Hoogste bestuurder = GS • Gezamenlijke verwerkingsverantwoordelijkheid: ketens • Verwerker: derde partij • Betrokkene: burger (maar ook werknemer) • Toezichthouder: FG (intern) en Autoriteit Persoonsgegevens (AP, extern)

Taken FG (art. 39 AVG) • GDH heeft een FG sinds 2017 • De FG is een onafhankelijke, interne toezichthouder • Adviseren en informeren aan hoogste bestuurder • Er is voorgesteld een scheiding aan te brengen tussen toezicht (FG) en beleid (Chief Privacy Officer (CPO) en privacy-organisatie) • Desgevraagd adviseren op DPIA’s. • Toezicht op naleving AVG en andere privacywetgeving (Wet Politie Gegegevens), inclusief toezicht op beleid en auditing. • Bevorderen bewustwording • Samenwerken met Autoriteit Persoonsgegevens en optreden als contactpunt • NB de FG houdt rekening met de risico’s van gegevensverwerking

Onafhankelijkheid FG

In 2018 heeft de Rekeningencommissie aangegeven te willen worden geïnformeerd over de onafhankelijkheid van de FG (zie ook het RC-verslag van 26 september 2018).

Gewenste positionering FG De FG wil dat rapportagelijnen, taken en bevoegdheden worden vastgelegd in een kader om haar onafhankelijkheid, positionering en de relatie met CPO en de privacy organisatie te waarborgen.

10 stappenplan AP (2017) uitgewerkt in beleidskader gegevensbescherming GDH (2018) 1. Bewustwording 2. Rechten van betrokkenen 3. Overzicht verwerkingen 4. Data protection impact assessments 5. Privacy by design and default 6. Functionaris gegevensbescherming 7. Meldplicht datalekken 8. Verwerkersovereenkomsten 9. Leidende toezichthouder 10. Toestemming

Wat is er al gedaan? • Er is in 2020 een gezamenlijke bewustzijnscampagne gestart met privacy, security, datagedreven werken en informatiebeheer. • FG rapporteert elke vier maanden aan het gemeentelijk management team en de wethouder ICT (Saskia Bruines) • Rechten van betrokkenen worden momenteel door de afzonderlijke diensten gerealiseerd. • De FG heeft in 2020 de afzonderlijke dienstregisters vervangen door een centraal register van verwerkingsactiviteiten opgezet (art. 30 AVG) • Er is sinds 2017 een FG. De FG heeft eind 2020 met de CIO een voorstel voor een centrale privacy-organisatie ingediend bij het GMT. Op dit moment is de privacy capaciteit versnipperd over de diensten en zijn er grote verschillen. • Uit onderzoek van de GAD blijkt dat debekendheid van de meldplicht datalekken gelijk is aan 2017.

Wat moet er verder verbeterd worden? • Er is eind 2020 een nulmeting verricht die meer inzicht zal geven in prioriteiten. • Voortdurende aandacht voor bewustzijn, o.a. door gerichter te rapporteren aan management teams. • Een centraal proces voor het realiseren van de rechten van betrokkenen (zoals inzage, correctie en verwijdering). • Opnemen van niet-wettelijk verplichte verwerkingen in register.

• Inzicht in risico’s in de vorm van Baseline Informatiebeveiliging Overheid (BIO) toetsen, privacy impact assessments (PIA’s) en Data protection impact assessments (DPIA’s) • Opnemen privacy-maatregelen in PDCA-cyclus

• Administratie van datalekken t.b.v. managementinformatie, inzicht in de maatregelen die naar aanleiding van een datalek zijn getroffen en borging van opvolging in PDCA-cyclus • Verder bouwen aan privacy organisatie.

Wat is de stip op de horizon?