RIS314908 Bijlage 1 Wpg verbeterrapport

In geval van opvoedingsproblemen kan wel (handmatig) worden gekeken naar broers en zussen. Hierbij wordt eerst gekeken naar de hulpverlening. De interne audit is gestart in 2021 als een nulmeting en in 2022 zal de verplichte privacy audit plaatsvinden.

Het toezicht op de naleving van de Wet politiegegevens dient echter een structureel karakter te krijgen. Hiervoor dient het gemeentebestuur het voorstel meerjarenplan voor audit te bekrachtigen, over de uitvoering afspraken te maken met de opdrachtnemers en de betrokkenen te informeren.

-

-

31 Functionaris voor gegevensbeschermi ng

Gemeente Den Haag heeft een functionaris voor de gegevensbescherming (FG) aangesteld om toezicht te houden op het naleven van de AVG. In de functieomschrijving van de FG staat niets vermeld over het toezicht houden op het naleven van de Wpg. Deze taak is dus nog niet (formeel) belegd.

Hanteert het gemeentebestuur een standaard template voor het opstellen van een jaarplan en een jaarverslag voor elke afdeling?

-

Geen andere verbetermaatregelen dan zoals vermeld onder “31 (III) Functionaris voor Gegevensbescherming” bij openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB) in paragraaf 5.1.1.

De FG stelt aan het begin van een jaar een jaarplan op waarin concrete doelen, activiteiten en resultaten voor het komende jaar staan vermeld. Aan het einde van het jaar legt de FG verantwoording af aan het

64/122

Gemeente Den Haag – Wpg verbeterrapport gemeentebestuur om een duidelijk beeld te geven hoe de gemeente Den Haag heeft gepresteerd en geeft een samenvatting van de feiten die in het afgelopen jaar hebben plaatsgevonden. De FG is aangemeld bij de Autoriteit Persoonsgegevens.

Conclusies audit

8

Er is geen DPIA ontvangen.

Gegevensbeschermingseffectbeoordeling/ Data protection impact assessment (DPIA)

Aanbeveling audit

-

Stel een DPIA op. Implementeer de daaruit volgende risico beperkende maatregelen in de gebruikte applicaties.

Werking

Onderwerp Wpg

Bestaan

Werk, inkomen en zorg (Va) – (SZW) Opzet

5.1.3

Verbetermaatregelen

-

-

-

Onderzoek op welke DPIA de conclusie uit de audit betrekking heeft. Identificeer of en op welke verwerkingen van politiegegevens er een DPIA moeten worden uitgevoerd. Voer eventueel een DPIA pre-screening uit. Controleer of het huidige DPIA template van de Gemeente Den Haag ook geschikt is voor de uitvoering van een Wpg DPIA en pas het template zo nodig aan. Controleer de status van de geïdentificeerde DPIA’s en actualiseer indien nodig het DPIA overzicht. Voer de DPIA uit. De FG dient toe te zien op de uitvoering van DPIA’s en desgevraagd advies te verstrekken over de DPIA’s. Voer na afronding van de DPIA’s de risico-mitigerende maatregelen uit die in de DPIA’s zijn geïdentificeerd.

65/122

Gemeente Den Haag – Wpg verbeterrapport

15 Geautomatiseerde individuele besluitvorming 18 Geautomatiseerd vergelijken en in combinatie zoeken 31 Functionaris voor gegevensbescherming

-

Beslis of er een nieuwe applicatie wordt aangekocht. Zorg dat bij de aanbesteding van een nieuwe applicatie voorafgaand aan het verwerken van politiegegevens een DPIA wordt uitgevoerd

Er is geen evidence aangeleverd

-

Zie verbetermaatregelen zoals vermeld onder 15 (III) Geautomatiseerde individuele besluitvorming ” in paragraaf 5.1.2.

Er is geen evidence aangeleverd

-

Zie verbetermaatregelen zoals vermeld onder 18 (III) Geautomatiseerd vergelijken en in combinatie zoeken” in paragraaf 5.1.2.

-

Zie verbetermaatregelen zoals vermeld onder “31 (III) Functionaris voor Gegevensbescherming” bij openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB) in paragraaf 5.1.1.

Er vindt geen periodieke rapportage plaats over de Wpg

-

Rapporteer periodiek over de Wpg.

66/122

Gemeente Den Haag – Wpg verbeterrapport

6 Beveiliging AVG-conforme technische en organisatorische maatregelen Net als in de AVG, volgt uit de Wpg dat de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen moet treffen, die een op het risico afgestemd beschermingsniveau waarborgen. Wat passend is, verschilt kortom van geval tot geval. Technische maatregelen zijn bijvoorbeeld het toepassen van encryptie, het opzetten van een firewall of het opslaan van gegevens in beveiligde omgevingen. Bij organisatorische maatregelen kan worden gedacht aan het beperken van de toegang tot gegevens tot bepaalde medewerkers (autorisatiebeleid). Met behulp van een DPIA kan in kaart worden gebracht welke concrete risico’s er spelen en welke maatregelen er nodig zijn om die risico’s te mitigeren. Ook de Baseline Informatiebeveiliging Overheid (BIO) zal door de Gemeente Den Haag in acht moeten worden genomen bij het vaststellen van de beveiligingsmaatregelen. In het NOREA-normenkader is de volgende minimale set aan passende beveiligingsmaatregelen opgenomen (deze maatregelen gelden voor normen 6, 7, 10, 13 en 24). 1. 2. 3. 4. 5.

Wijzigingenbeheer Logische toegangsbeveiliging Patchmanagement/ kwetsbaarheden beheer Cryptografie Vulnerability scans en penetratietesten

Bovenstaande maatregelen worden hieronder nader toegelicht. Let op, het betreft een minimale set aan passende beveiligingsmaatregelen. Het kan dus zijn dat naast deze maatregelen nog aanvullende maatregelen getroffen dienen te worden.

Wijzigingenbeheer Wanneer het nodig is om een wijziging aan te brengen in een applicatie, is het van belang dat deze wijziging getest wordt, voordat deze in productie wordt genomen. Het kan voorkomen dat een wijziging wordt geïmplementeerd die beveiligingsrisico’s met zich meebrengt. Dit dient te worden voorkomen. Het is daarom nodig om een procedure voor wijzigingsbeheer te hebben en te controleren of deze procedure wordt nageleefd. Bij applicaties van een externe partij, ligt deze verantwoordelijkheid bij de leverancier of gebruikersgroep. Deze verantwoordelijkheid dient te zijn vastgelegd in de overeenkomst met de leverancier. Een onderdeel van wijzigingenbeheer is het bijhouden van een autorisatiematrix; er moet namelijk een wijziging in de applicatie worden gedaan om een boa toegang te geven tot de applicatie.

67/122

Gemeente Den Haag – Wpg verbeterrapport

Logische toegangsbeveiliging In principe zou toegang tot politiegegevens alleen mogelijk moeten zijn wanneer het nodig is voor de uitvoering van de taak van de desbetreffende boa. Dit wordt het “need-to-know” principe genoemd. Een manier om dit uit te voeren is om ervoor te zorgen dat degene die inlogt op het account van een boa, ook daadwerkelijk die boa is. Om dit te verzekeren, zijn er een aantal (technische)maatregelen te nemen. -

-

Het bijhouden van autorisaties in een autorisatiematrix Eisen stellen aan wachtwoorden: o Periodiek wijzigen o Complexe wachtwoorden o Twee factor authenticatie Controle op het feit of de werknemer daadwerkelijk in dienst is Wijzigen van standaardwachtwoorden

Een ander belangrijk aspect van toegangsbeveiliging is logging: houdt bij wie, wat, op welk moment, ziet of doet. Patchmanagement/kwetsbaarhedenbeheer Het kan voorkomen dat een applicatie die voldoet aan de Wpg vereisten, alsnog technische kwetsbaarheden vertoont. Dit kan worden opgelost door patching (een soort pleister die de kwetsbaarheid tegengaat). Doorgaans dient er op maandelijkse patching plaats te vinden, tenzij er een hoge urgentie is door een beveiligingsprobleem (in dat geval vaker). Hierover dienen afspraken met de leverancier te worden gemaakt. Wanneer wordt gewerkt met een oude applicatie die geen patch updates ontvangt (een zogenoemde legacy applicatie), moet het daarmee genomen risico aantoonbaar zijn afgewogen. Ook voor de huidige applicatie dient te worden onderzocht of er patches nodig zijn. Dit kan worden gezien als een 0-meting. Cryptografie Politiegegevens dienen beschermd te zijn. Dat geldt zowel voor de opslag als de verzending van die gegevens. Om gegevens te beschermen, kan gebruik worden gemaakt van cryptografie. Denk daarbij aan versleuteling van gegevens. Het is de norm dat politiegegevens die verzonden worden sterk beveiligd zijn, en daarom ook voldoen aan de cryptografie vereisten. Wanneer gegevens niet versleuteld zijn, moet er worden gedocumenteerd waarom dit niet zo is.

Om te bepalen of gegevens versleuteld moeten worden opgeslagen of verzonden, er twee belangrijke stappen en/of documenten waaraan voldaan moet zijn: de classificatie van gegevens (welke gegevens zijn wel/niet politiegegevens en waarom) en een risicoanalyse op die gegevens. Vulnerability scans en penetratietesten Vulnerability scans en penetratietesten moeten periodiek worden uitgevoerd. Door middel van deze scans/testen kan inzichtelijk worden gemaakt waar de risico’s en kwetsbaarheden van de onderzochte systemen liggen en kunnen verbeteringen gericht worden doorgevoerd om de 68/122

Gemeente Den Haag – Wpg verbeterrapport

beveiliging te versterken en daarmee de risico’s en kwetsbaarheden te bestrijden. Wij raden aan om de testen periodiek uit te voeren, doch minimaal een keer per jaar, en ten minsten na significante wijzigingen. Logging Logging betreft een vereiste dat wel als zodanig in de Wpg wordt vermeld. Op grond van artikel 32a Wpg, dienen zowel de verwerkingsverantwoordelijke als de verwerker zorg te dragen voor logging van de volgende verwerkingen van politiegegevens in geautomatiseerde systemen: -

Verzamelen Wijzigen Raadplegen Verstrekken onder meer in de vorm van doorgiften Combineren Vernietigen

Al deze handelingen dienen dus worden vastgelegd in het boa-registratiesysteem. Op basis van de logs kan vervolgens worden nagegaan of gegevensverwerkingen van boa’s rechtmatig zijn geweest en voldoen aan het “need-to-know” principe. Artikel 32a Wpg omschrijft de verplichting tot logging. Ten tijde van het voorstel van het artikel in EU Richtlijn 2016/680, is besloten om dit artikel niet direct in werking te laten treden. Dit om politie en andere organisaties van lidstaten die politiegegevens verwerken de tijd te geven om de ICT-systemen geleidelijk aan te passen. De deadline voor implementatie van artikel 32a Wpg is 2023. Enkel wanneer een IT-auditor aangeeft dat een systeem alleen aan deze plicht kan voldoen met “buitengewone inspanning”, krijgt een organisatie uitstel. Tot die tijd geldt: “artikel 32a is van toepassing tenzij…” Omdat artikel 32a Wpg dit jaar in werking treedt, doet de Gemeente Den Haag er verstandig aan zo snel mogelijk met de leveranciers van boa registratiesystemen in gesprek te gaan om na te gaan of de benodigde acties gelogd kunnen worden (indien dat thans nog niet het geval is) en de leveranciers te bewegen deze logging door te voeren en concrete afspraken hieromtrent vast te leggen in de (verwerkers)overeenkomst.

Naast bovengenoemde beveiligingsmaatregelen, zijn er een aantal andere bepalingen uit de Wpg die betrekking hebben op de beveiliging van politiegegevens.

69/122

Gemeente Den Haag – Wpg verbeterrapport

Autorisatie en toegang tot politiegegevens Politiegegevens mogen enkel worden verwerkt door personen die hiervoor zijn geautoriseerd voor zover dit noodzakelijk is voor de uitvoering van de politietaak (need-to-know principe). De boa werkgever dient dan ook een systeem van autorisaties voor verwerking van politiegegevens door boa’s bij te houden voor zover zij politiegegevens nodig hebben voor hun opsporingstaak. Op grond van artikel 6 lid 4 Wpg en artikel 3 Bpgboa is het mogelijk dat de werkgever van de boa personen autoriseert die onder zijn beheer werken, maar geen boa zijn (zoals voor het behandelen van bezwaar- en beroepschriften of verzoeken van betrokkenen en het verrichten van administratieve werkzaamheden met betrekking tot processen-verbaal van boa’s). Gelet op het voorgaande is het raadzaam om een autorisatiebeleid op te stellen, waarin is beschreven de boa’s en andere personen geautoriseerd worden. Ook dient een autorisatiematrix te worden opgesteld, waarin de toegewezen autorisaties per applicatie zijn vastgelegd. Meldplicht datalekken De Wpg bevat, net als de AVG, een verplichting om onder omstandigheden een inbreuk in verband met persoonsgegevens (een datalek) mede te delen aan de Autoriteit Persoonsgegevens en in sommige situaties ook aan de betrokkene.

De mededeling aan de betrokkene kan worden uitgesteld, beperkt of achterwege gelaten op de gronden zoals vermeld in artikel 27 Wpg, bijvoorbeeld wanneer het achterwege laten van een dergelijke mededeling noodzakelijk is ter vermijding van belemmering van de gerechtelijke onderzoeken of procedures. De meldplicht datalekken zoals opgenomen in artikel 33a Wpg stemt grotendeels overeen met de meldplicht datalekken zoals opgenomen in artikelen 33 en 34 AVG. Een mededeling aan de betrokkenen kan op grond van de Wpg echter vaker achterwege worden gelaten, dan op grond van de AVG. Hier dient kortom rekening mee te worden gehouden wanneer een afweging moet worden gemaakt of de betrokkenen wel of juist niet op de hoogte wordt gesteld. Los van de voorgaande algemene conclusies, treft u hieronder een overzicht van de concrete conclusies en aanbevelingen die zijn gedaan in beide audits, alsmede de door ons voorgestelde verbetermaatregelen naar aanleiding daarvan.

70/122

Gemeente Den Haag – Wpg verbeterrapport

6.1

Audits en verbetermaatregelen

I.

De werking hebben we niet kunnen vaststellen

Wijzigingenbeheer

Aanbeveling audit

Bij aanbesteding van de nieuwe applicatie overwegen om een right to audit in het contract op te nemen of afspraken maken over een periodieke TPM type 2 rapport.

Werking

Conclusies audit

Bestaan

Onderwerp Wpg

Opzet

6.1.1 Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) - (DSB) Verbetermaatregelen

-

-

II Logische toegangsbeveiliging

III Patchmanagement

IV Cryptografie

Vraag de leverancier van CityControl om een ‘TPM’ of derde partij mededeling (oftewel een rapport opgemaakt door een onafhankelijke externe auditor) type 2 rapport om de effectieve werking van de beheersingsmaatregelen aan te tonen. Neem bij de aanbesteding van een eventueel nieuwe applicatie een right to audit op in de (verwerkers)overeenkomst met de leverancier en maak afspraken over een periodieke TPM type 2 rapport. Zie verbetermaatregelen zoals vermeld onder “I. Wijzigingenbeheer” in deze paragraaf.

De werking hebben we niet kunnen vaststellen

Bij aanbesteding van de nieuwe applicatie overwegen om een right to audit in het contract op te nemen of afspraken maken over een periodieke TPM type 2 rapport.

-

De werking hebben we niet kunnen vaststellen

Bij aanbesteding van de nieuwe applicatie overwegen om een right to audit in het contract op te nemen of afspraken maken over een periodieke TPM type 2 rapport.

-

Zie verbetermaatregelen zoals vermeld onder “I. Wijzigingenbeheer” in deze paragraaf.

De werking hebben we niet kunnen vaststellen

Bij aanbesteding van de nieuwe applicatie overwegen om een right to audit in het contract op te nemen of

-

Zie verbetermaatregelen zoals vermeld onder “I. Wijzigingenbeheer” in deze paragraaf.

71/122

Gemeente Den Haag – Wpg verbeterrapport afspraken maken over een periodieke TPM type 2 rapport. V Vulnerability scans en penetratietesten

De werking hebben we niet kunnen vaststellen

Bij aanbesteding van de nieuwe applicatie overwegen om een right to audit in het contract op te nemen of afspraken maken over een periodieke TPM type 2 rapport.

-

Zie verbetermaatregelen zoals vermeld onder “I. Wijzigingenbeheer” in deze paragraaf.

Aanbeveling audit

10 (III)

De werking hebben we niet kunnen vaststellen.

Onderzoek of meegelift kan worden bij de aanbesteding van de HHO naar een nieuwe Wpg applicatie.

Autorisaties en toegang tot politiegegevens

Bij aanbesteding van de nieuwe applicatie overwegen om een right to audit in het contract op te nemen of afspraken maken over een periodieke TPM type 2 rapport.

Werking

Conclusies audit

Bestaan

Onderwerp Wpg

Opzet

6.1.2 Onderwijs (III) & Werk, inkomen en zorg (Vb) – (OCW) Verbetermaatregelen

-

-

-

-

10 (Vb) Autorisaties en toegang tot politiegegevens

Er is geen documentatie aanwezig. Voor de verslagperiode kan niet worden aangetoond dat uitsluitend boa’s toegang

Ondanks dat het een klein team is, bevelen wij aan een lijst bij te houden met mensen die toegang hebben tot de SR map op de Gschijf periodiek (per kwartaal) te

-

Vraag de leverancier van LBA om een ‘TPM’ of derde partij mededeling (oftewel een rapport opgemaakt door een onafhankelijke externe auditor) type 2 rapport om de effectieve werking van de beheersingsmaatregelen aan te tonen. Neem bij de aanschaf van een eventueel nieuwe applicatie een right to audit op in de (verwerkers)overeenkomst met de nieuwe leverancier en maak afspraken maken over een periodieke TPM type 2 rapport. Zie aanbevelingen zoals vermeld onder 10 (III) Autorisaties en toegang tot politiegegevens bij de interne audit. De FG dient toe te zien op de toewijzing van de autorisaties. Stel een autorisatiebeleid op, waarin een proces is vastgelegd voor het toewijzen, wijzigen en intrekken van autorisaties t.b.v. de toegang tot de politiegegevens. Gebruik het template “Het Autorisatieproces Wpg” van de VNG eventueel als

72/122

Gemeente Den Haag – Wpg verbeterrapport hebben tot de politiegegevens

16(III)

Dit is niet ingericht in LBA.

Uitvoering van de dagelijkse politietaak

toetsen en vast te stellen dat onbevoegden geen toegang hebben. Grootste risico hierbij betreft mensen die van functie veranderen de gemeente Den Haag. Bij uit diensttreden wordt het account van de betreffende medewerkers opgeheven waardoor ook de toegang tot de map op de G schijf onmogelijk wordt. Verzoek de leverancier deze functionaliteit standaard in LBA beschikbaar te maken.

-

-

-

-

28 (III) Logging

LBA houdt een log bij. De log wordt niet gebruikt voor controles.

Beschrijf voor welke controledoeleinden de logging gebruikt mag (dient te) worden en implementeer dit.

-

-

-

input. Stel een autorisatiematrix op, zodat duidelijk is wie er toegang hebben tot de boa registratiesystemen. Zorg dat periodiek toezicht wordt gehouden op de naleving van het autorisatiebeleid, waaronder de toewijzing van de autorisaties en documenteer dit. De FG dient toe te zien op de toewijzing van de autorisaties.

Ga na of LBA zodanig kan worden ingericht dat geborgd is dat art. 8 politiegegevens een jaar na de datum van eerste verwerking zodanig worden opgeslagen dat ze alleen nog beschikbaar komen voor verdere verwerking op basis van de vergelijking van gegevens (hot-no-hit basis) en implementeer dit in LBA. Onderzoek of meegelift kan worden bij de aanbesteding van de HHO naar een nieuwe Wpg applicatie en zorg ervoor dat deze functionaliteit wordt meegenomen. Spreek met de leverancier van LBA af dat de loggingegevens periodiek worden verstrekt, zodat het autorisatiebeleid periodiek gecontroleerd kunnen worden. Dergelijke afspraken kunnen in een verwerkersovereenkomst worden vastgelegd. Gebruik de logging uitsluitend ter controle van de rechtmatigheid van de gegevensverwerkingen, interne controles, ter waarborging van de integriteit en de beveiliging van politiegegevens en voor strafrechtelijke procedures. Leg voorgenoemde werkwijze en controledoeleinden vast in een Wpg-beleid of beveiligingsbeleid.

73/122

Gemeente Den Haag – Wpg verbeterrapport 28(Vb) Logging

Er wordt gebruik gemaakt van een G-schijf waarbij geen logging plaatsvindt.

Om te voldoen aan de Wpg dient een Wpg-geclassificeerd informatiesysteem aangeschaft en ingericht te worden. Onderzoek of aangesloten kan worden bij de aanbesteding van een nieuwe Wpg-applicatie van de HHO

I (III) Wijzigingen-beheer

I (Vb) Wijzigingenbeheer

II (III) Logische toegangsbeveiliging

De werking hebben we niet kunnen vaststellen.

-

-

Onderzoek of meegelift kan worden bij de aanbesteding van de HHO naar een nieuwe Wpg applicatie.

-

Bij aanbesteding van de nieuwe applicatie overwegen om een right to audit in het contract op te nemen of afspraken maken over een periodieke TPM type 2 rapport.

-

Er wordt gebruik gemaakt van een G-schijf die onvoldoende mogelijkheden biedt de PV's/opsporingsdocumenten op een adequate manier te beveiligen en hierop toe te zien.

Om te voldoen aan de WPG dient een Wpg-geclassificeerd informatiesysteem aangeschaft en ingericht te worden.

-

De werking hebben we niet kunnen vaststellen.

Onderzoek of meegelift kan worden bij de aanbesteding van de HHO naar een nieuwe Wpg applicatie.

Onderzoek of aangesloten kan worden bij de aanbesteding van een nieuwe Wpg-applicatie van de HHO. -

Onderzoek of aangesloten kan worden bij de aanbesteding van een nieuwe Wpg-applicatie van de HHO en besteedt aandacht aan logging bij de inrichting van een nieuw systeem. Zie de verbetermaatregelen zoals vermeld onder “28 (III) Logging” in deze paragraaf.

Vraag de leverancier van LBA om een ‘TPM’ of derde partij mededeling (oftewel een rapport opgemaakt door een onafhankelijke externe auditor) type 2 rapport om de effectieve werking van de beheersingsmaatregelen aan te tonen. Neem bij de aanschaf van een eventueel nieuwe applicatie een right to audit op in de (verwerkers)overeenkomst met de leverancier en maak afspraken over een periodieke TPM type 2 rapport. Onderzoek of aangesloten kan worden bij de aanbesteding van een nieuwe Wpg-applicatie van de HHO en besteedt aandacht aan deze norm bij de aanschaf en inrichting van het nieuwe systeem. Neem een right to audit op in de (verwerkers)overeenkomst met de nieuwe leverancier en maak afspraken over een periodiek TPM type 2 rapport. Zie de verbetermaatregelen zoals voorgesteld onder “I (III) Wijzigingenbeheer” in deze paragraaf.

74/122

Gemeente Den Haag – Wpg verbeterrapport Bij aanbesteding van de nieuwe applicatie overwegen om een right to audit in het contract op te nemen of afspraken maken over een periodieke TPM type 2 rapport. II (Vb) Logische toegangsbeveiliging

III (III) Beheer van kwetsbaarheden (patchmanagement)

Er wordt gebruik gemaakt van een G-schijf die onvoldoende mogelijkheden biedt de PV's/opsporingsdocumenten op een adequate manier te beveiligen en hierop toe te zien.

Om te voldoen aan de WPG dient een Wpg-geclassificeerd informatiesysteem aangeschaft en ingericht te worden.

- - Zie de verbetermaatregelen zoals voorgesteld onder “I (Vb) Wijzigingenbeheer” ” in deze paragraaf.

De werking hebben we niet kunnen vaststellen.

Onderzoek of meegelift kan worden bij de aanbesteding van de HHO naar een nieuwe Wpg applicatie.

- - Zie de verbetermaatregelen zoals voorgesteld onder “I (III) Wijzigingenbeheer” in deze paragraaf.

Bij aanbesteding van de nieuwe applicatie overwegen om een right to audit in het contract op te nemen of afspraken maken over een periodieke TPM type 2 rapport. III (Vb) Beheer van kwetsbaarheden (patchmanagement)

Er wordt gebruik gemaakt van een G-schijf die onvoldoende mogelijkheden biedt de PV's/opsporingsdocumenten op een adequate manier te beveiligen en hierop toe te zien.

Om te voldoen aan de WPG dient een Wpg-geclassificeerd informatiesysteem aangeschaft en ingericht te worden.

-

Zie de verbetermaatregelen zoals voorgesteld onder “I (Vb) Wijzigingenbeheer” ” in deze paragraaf.

Onderzoek of aangesloten kan worden bij de aanbesteding van een nieuwe Wpg-applicatie van de HHO.

75/122

Gemeente Den Haag – Wpg verbeterrapport IV (III) Cryptografie

De werking hebben we niet kunnen vaststellen.

Onderzoek of meegelift kan worden bij de aanbesteding van de HHO naar een nieuwe Wpg applicatie.

-

Zie de verbetermaatregelen zoals voorgesteld onder “I (Vb) Wijzigingenbeheer” ” in deze paragraaf.

-

Zie de verbetermaatregelen zoals voorgesteld onder “I (Vb) Wijzigingenbeheer” ” in deze paragraaf.

-

Zie de verbetermaatregelen zoals voorgesteld onder “I (Vb) Wijzigingenbeheer” ” in deze paragraaf

-

Zie de verbetermaatregelen zoals voorgesteld onder “I (Vb) Wijzigingenbeheer” ” in deze paragraaf.

Bij aanbesteding van de nieuwe applicatie overwegen om een right to audit in het contract op te nemen of afspraken maken over een periodieke TPM type 2 rapport. IV (Vb) Cryptografie

V (III) Vulnerability scans en penetratietesten

Er wordt gebruik gemaakt van een G-schijf die onvoldoende mogelijkheden biedt de PV's/opsporingsdocumenten op een adequate manier te beveiligen en hierop toe te zien.

Om te voldoen aan de WPG dient een Wpg-geclassificeerd informatiesysteem aangeschaft en ingericht te worden.

De werking hebben we niet kunnen vaststellen.

Onderzoek of meegelift kan worden bij de aanbesteding van de HHO naar een nieuwe Wpg applicatie.

Onderzoek of aangesloten kan worden bij de aanbesteding van een nieuwe Wpg-applicatie van de HHO.

Bij aanbesteding van de nieuwe applicatie overwegen om een right to audit in het contract op te nemen of afspraken maken over een periodieke TPM type 2 rapport. V (Vb) Vulnerability scans en penetratietesten

Er wordt gebruik gemaakt van een G-schijf die onvoldoende mogelijkheden

Om te voldoen aan de WPG dient een Wpg-geclassificeerd informatiesysteem aangeschaft en

76/122

Gemeente Den Haag – Wpg verbeterrapport biedt de PV's/opsporingsdocumenten op een adequate manier te beveiligen en hierop toe te zien.

ingericht te worden. Onderzoek of aangesloten kan worden bij de aanbesteding van een nieuwe Wpg-applicatie van de HHO.

Interne audit Onderwerp Wpg

Bevindingen audit

10

De dienst OCW heeft een eigen autorisatiebeleid.

Autorisatie en toegang tot politiegegevens

Functioneel beheer LBA is onder andere verantwoordelijk voor het gebruikersbeheer, dus het toekennen, wijzigen en intrekken van rollen aan gebruikers. Bij een inhoudelijke aanpassing van een rol is ook de stafmedewerker LBA betrokken.

Aanbeveling audit

Verbetermaatregelen -

Actualiseer de autorisatiematrix, aangezien deze gedateerd is. Onderzoek of het beheer van de autorisatiematrix bij de juiste functionaris belegd is. De FG dient toe te zien op de toewijzing van de autorisaties.

De procedure voor het aanvragen of wijzigen van toegangsrechten in het systeem LBA verloopt als volgt. De productgroep manager of een teamleider vraagt toegang aan voor een medewerker. Met Topdesk wordt deze aanvraag gedaan. Hierin staat om welke medewerker het gaat, welke rol deze medewerker heeft en per welke datum. Functioneel beheer LBA voert deze gebruikersmutaties door in het systeem LBA. De rollen in het systeem LBA zijn ingericht op groepsniveau en aan een rol zijn vaste rechten toegekend. Er is een autorisatiematrix beschikbaar, maar deze is gedateerd. De volgende rollen in het systeem LBA hebben toegang (lezen en/ of schrijven) tot gevoeligere

77/122

Gemeente Den Haag – Wpg verbeterrapport informatie zoals de workflow Halt verwijzing en de workflow proces-verbaal: • Administratie; • Beheer; • Casemanager; • Coördinator; •Coördinator Administratie; • Management. Per kwartaal worden de toegekende rechten gecontroleerd. Hiervoor wordt een actueel overzicht met gebruikers en toegekende rollen door functioneel beheer LBA opgesteld. Het overzicht wordt ter controle naar de productgroep manager en de teamleiders gestuurd. Eventuele opmerkingen worden aan functioneel beheer LBA teruggekoppeld en doorgevoerd. 11 Autorisatie: aanwijzen functionarissen

Naast leerplichtambtenaren (boa’s) hebben ook niet boa’s toegang tot de politiegegevens. De toegang van niet boa’s dient nog te worden geformaliseerd met een verklaring. Er is geen overzicht van bevoegde functionarissen die toegang hebben tot de gegevens die onder de Wpg worden verwerkt. Wel is een autorisatiematrix, maar die is verouderd en geeft weinig inzicht. Uit de autorisatiematrix moet duidelijk blijken welke rollen toegang hebben tot gegevens die onder de Wpg worden verwerkt.

Door de afdeling Leerlingen Onderwijszaken is nog niet vastgesteld welke gegevens onder de Wpg worden verwerkt. Hierdoor is onbekend wie allemaal toegang hebben tot de politiegegevens. Wie is aangewezen als bevoegd functionaris en formaliseert de toegang tot politiegegevens?

-

-

-

Actualiseer de autorisatiematrix. Stel een lijst van bevoegd functionarissen op Onderzoek of de niet-boa’s die toegang hebben tot politiegegevens recht hebben op die toegang (need-toknow) Formaliseer de toegang van niet-boa’s tot politiegegevens in een verklaring. Gebruik Bijlage I – Aanvraagformulier autorisatiewijziging zoals opgenomen in het template Het Autorisatieproces Wpg” van de VNG hiervoor eventueel als input. De FG dient toe te zien op de toewijzing van de autorisaties.

Naast boa’s hebben ook niet boa’s toegang tot deze gegevens, zoals

78/122

Gemeente Den Haag – Wpg verbeterrapport administratieve medewerkers, kwaliteitsmedewerkers en stagiaires. De toegang van niet boa’s dient te worden geformaliseerd met een verklaring. 14 Geheimhoudingsplicht

Er is aandacht voor de rechten en plichten van een medewerker bij de aanstelling als ambtenaar (eed of belofte) en bij de beëdiging van een leerplichtambtenaar (ambtsinstructie boa).

Hoe wordt de geheimhouding geregeld bij niet boa’s, zoals stagairs en inhuurkrachten?)

-

Zijn medewerkers geïnformeerd over de consequenties bij overtreding van de geheimhouding? 28 Logging

De correspondentie/ mailwisseling en handmatige verstrekkingen wordt bijgehouden in het dossier onder ‘acties’.

-

De inzage van stukken, zoals een proces-verbaal wordt automatisch gelogd, maar deze logging is alleen opvraagbaar via de leverancier Pronexus. De logging vindt plaats tot 3 maanden terug. Deze logging wordt slechts incidenteel opgevraagd. 30 Melding datalekken

Er is een procedure voor het melden van datalekken bij de gemeente Den Haag. Het expertisecentrum privacy handelt datalekken af en beheert het gemeentelijke datalekkenregister. In deze registratie is nog niet expliciet opgenomen of het politiegegevens betreft.

Kan het datalekkenregister worden uitgebreid met een eenvoudige zoeksleutel voor politiegegevens?

-

-

Formuleer een antwoord op de hiernaast weergegeven vragen. Bepaal eventuele vervolgstappen n.a.v. de geformuleerde antwoorden. Gebruik eventueel de geheimhoudingsverklaring zoals opgenomen in “Bijlage II – in het template Het Autorisatieproces Wpg” van de VNG

Zie de verbetermaatregelen zoals vermeld onder “28 (III) Logging” bij de externe audit. Probeer met de leverancier afspraken te maken over logging voor een langere periode van drie maanden.

Maak een datalekregister aan voor de Wpg Richt het datalekkenregister zodanig in dat daarin expliciet wordt geregistreerd of het een datalek politiegegevens omvat. Neem het voorgaande op in een datalekprocedure.

79/122

Gemeente Den Haag – Wpg verbeterrapport

10

Er wordt gebruik gemaakt van een G-schijf die onvoldoende mogelijkheden biedt de PV's/opsporingsdocumenten op een adequate manier te beveiligen en hierop toe te zien.

Autorisaties en toegang tot politiegegevens

Aanbeveling audit

-

-

Om te voldoen aan de Wpg, dient een Wpggeclassificeerd informatiesysteem ingericht te worden. Onderzoek of aangesloten kan worden bij de aanbesteding van een nieuwe Wpg- applicatie van de HHO.

Werking

Conclusies audit

Bestaan

Onderwerp Wpg

Opzet

6.1.3 Werk, inkomen en zorg (Va) – (SZW) Verbetermaatregelen

-

-

-

-

-

28 Logging

Grootste deel van de verwerking vindt plaats op de G-schijf. Hier vindt geen logging plaats. Socrates is niet onderzocht. Hier vindt slechts een deel van de verwerking plaats.

-

Verwerk de gegevens in een Wpg compliant informatiesysteem.

-

-

Onderzoek of aangesloten kan worden bij de aanbesteding van een nieuwe Wpg- applicatie van de HHO. Neem bij de aanschaf van een eventueel nieuwe applicatie een right to audit op in de (verwerkers)overeenkomst met de nieuwe leverancier en maak afspraken over een periodieke TPM type 2 rapport. Stel een autorisatiebeleid op, waarin een proces is vastgelegd voor het toewijzen, wijzigen en intrekken van autorisaties t.b.v. de toegang tot de politiegegevens. Gebruik het template “Het Autorisatieproces Wpg” van de VNG eventueel als input. Stel een autorisatiematrix op, zodat duidelijk is wie er toegang hebben tot de boa registratiesystemen. Zorg dat periodiek toezicht wordt gehouden op de naleving van het autorisatiebeleid, waaronder de toewijzing van de autorisaties en documenteer dit. De FG dient toe te zien op de toewijzing van de autorisaties. Onderzoek of aangesloten kan worden bij de aanbesteding van een nieuwe Wpg- applicatie van de HHO. Spreek met de leverancier af dat de loggingegevens periodiek worden verstrekt, zodat het autorisatiebeleid periodiek gecontroleerd kan worden. Dergelijke afspraken

80/122

Gemeente Den Haag – Wpg verbeterrapport

-

-

30 Melding datalekken

I (Socrates) Wijzigingenbeheer

II (Socrates) Logische toegangsbeveiliging

Inspectie van de gemeentelijke ‘Werkinstructie datalekken’ voor alle medewerkers van de gemeente Den Haag en vastgesteld dat de melding van datalekken is beschreven. Hier is geen evidence voor geleverd.

-

Geef evidence voor bestaan en werking van deze werkinstructie.

-

-

Ontbreken van voldoende bewijsmateriaal om de werking te kunnen beoordelen Uit de autorisatiematrix blijkt dat consulent handhaving & fraude, coach handhaving & fraude en sociaal

-

-

-

Maak een scheiding tussen de rechten van de sociaal rechercheur en andere medewerkers van de afdeling Fraude en Toezicht.

-

-

kunnen in een verwerkersovereenkomst worden vastgelegd. Gebruik de logging uitsluitend ter controle van de rechtmatigheid van de gegevensverwerkingen, interne controles, ter waarborging van de integriteit en de beveiliging van politiegegevens en voor strafrechtelijke procedures. Leg voorgenoemde werkwijze en controledoeleinden vast in een Wpg-beleid of beveiligingsbeleid. Indien zich geen Wpg datalek heeft voorgedaan in de verslagperiode kan er geen bewijs voor het bestaan en werking worden overgelegd aan de auditor. Ga na of zich een Wpg datalek heeft voorgedaan in de verslagperiode. Zo niet, stel de auditor daar dan van op de hoogte, zodat bestaan en werking op “toereikend” kunnen worden gezet. NB: onduidelijk is waarom het bestaan en de werking van deze norm als ontoereikend is aangemerkt binnen deze verwerking, terwijl deze zelfde norm bij DSB (verwerking I) en bij OCW (Verwerkingen III en Vb) wel als toereikend zijn aangemerkt. Vraag de leverancier van Socrates om een ‘TPM’ of derde partij mededeling (oftewel een rapport opgemaakt door een onafhankelijke externe auditor) type 2 rapport om de effectieve werking van de beheersingsmaatregelen aan te tonen. Maak een scheiding tussen de rechten van de sociaal rechercheur en andere medewerkers van de afdeling Fraude en Toezicht.

Vraag de leverancier van Socrates om een ‘TPM’ of derde partij mededeling (oftewel een rapport opgemaakt door een onafhankelijke externe

81/122

Gemeente Den Haag – Wpg verbeterrapport rechercheur (BOA) dezelfde rechten hebben. III (Socrates) Patchmanagement/ kwetsbaarheden beheer

IV (Socrates) Cryptografie

V (Socrates) Vulnerability scans/ penetratietesten

I (G-schijf) Wijzigingenbeheer

II (G-schijf) Logische toegangsbeveiliging

Door het ontbreken van voldoende bewijsmateriaal hebben we de Opzet, Bestaan en Werking van norm 12.5.1 niet kunnen beoordelen.

auditor) type 2 rapport om de effectieve werking van de beheersingsmaatregelen aan te tonen. -

Richt een patchmanagementprocedure in die in lijn is met wijzigingenbeheer.

-

Richt een patchmanagementprocedure in die in lijn is met wijzigingenbeheer. Vraag de leverancier van Socrates om een ‘TPM’ of derde partij mededeling (oftewel een rapport opgemaakt door een onafhankelijke externe auditor) type 2 rapport om de effectieve werking van de beheersingsmaatregelen aan te tonen. Vraag de leverancier van Socrates om een ‘TPM’ of derde partij mededeling (oftewel een rapport opgemaakt door een onafhankelijke externe auditor) waaruit volgt dat aan deze norm is voldaan.

Door het ontbreken van voldoende bewijsmateriaal hebben we de Werking van deze norm niet kunnen beoordelen.

-

Door het ontbreken van voldoende bewijsmateriaal hebben we de Werking van deze norm niet kunnen beoordelen.

-

Vraag de leverancier van Socrates om een ‘TPM’ of derde partij mededeling (oftewel een rapport opgemaakt door een onafhankelijke externe auditor) type 2 rapport om de effectieve werking van de beheersingsmaatregelen aan te tonen.

-

Onderzoek of meegelift kan worden bij de aanbesteding van de HHO naar een nieuwe Wpg applicatie en zorg ervoor dat deze norm daarbij wordt meegenomen. Neem een right to audit op in de (verwerkers)overeenkomst met de nieuwe leverancier en maak afspraken over een periodiek TPM type 2 rapport.

Er wordt gebruik gemaakt van een G-schijf die onvoldoende mogelijkheden biedt de PV’s/opsporingsdocumenten op een adequate manier te beveiligen en hierop toe te zien.

-

Er wordt gebruik gemaakt van een G-schijf die onvoldoende mogelijkheden biedt de

-

Om te voldoen aan de WPG dient een Wpggeclassificeerd informatiesysteem ingericht te worden.

-

Onderzoek of aangesloten kan worden bij de aanbesteding van een nieuwe Wpg- applicatie van de HHO. Om te voldoen aan de WPG dient een Wpggeclassificeerd informatiesysteem ingericht

-

Zie aanbeveling onder “I (G-schijf) Wijzigingenbeheer”

82/122

Gemeente Den Haag – Wpg verbeterrapport PV’s/opsporingsdocumenten op een adequate manier te beveiligen en hierop toe te zien.

III (G-schijf) Patchmanagement/ kwetsbaarheden beheer

IV (G-schijf) Cryptografie

V (G-schijf) Vulnerability scans/ penetratietesten

te worden. Onderzoek of aangesloten kan worden bij de aanbesteding van een nieuwe Wp- applicatie van de HHO.

Er wordt gebruik gemaakt van een G-schijf die onvoldoende mogelijkheden biedt de PV’s/opsporingsdocumenten op een adequate manier te beveiligen en hierop toe te zien.

-

Er wordt gebruik gemaakt van een G-schijf die onvoldoende mogelijkheden biedt de PV’s/opsporingsdocumenten op een adequate manier te beveiligen en hierop toe te zien

-

Er wordt gebruik gemaakt van een G-schijf die onvoldoende mogelijkheden biedt de PV’s/opsporingsdocumenten

-

Om te voldoen aan de WPG dient een Wpggeclassificeerd informatiesysteem ingericht te worden.

-

Zie aanbeveling onder “I (G-schijf) Wijzigingenbeheer”

-

Zie aanbeveling onder “I (G-schijf) Wijzigingenbeheer”

-

Zie aanbeveling onder “I (G-schijf) Wijzigingenbeheer”

Onderzoek of aangesloten kan worden bij de aanbesteding van een nieuwe Wpg- applicatie van de HHO. Om te voldoen aan de WPG dient een Wpggeclassificeerd informatiesysteem ingericht te worden. Onderzoek of aangesloten kan worden bij de aanbesteding van een nieuwe Wp- applicatie van de HHO. Om te voldoen aan de WPG dient een Wpggeclassificeerd informatiesysteem ingericht te worden.

83/122

Gemeente Den Haag – Wpg verbeterrapport op een adequate manier te beveiligen en hierop toe te zien.

Onderzoek of aangesloten kan worden bij de aanbesteding van een nieuwe Wpg- applicatie van de HHO.

84/122

Gemeente Den Haag – Wpg verbeterrapport

7 Privacy-by-design Privacy als uitgangspunt bij (nieuwe) ontwikkelingen De uitgangspunten privacy door ontwerp en privacy door standaardinstellingen zijn, evenals in de AVG, in de Wpg opgenomen (artikelen 4a en 4b Wpg). In de praktijk worden deze uitgangspunten vaak aangeduid met de Engelse benamingen: Privacy by Design en Privacy by Default. Privacy by Design en Privacy by Default houden kortgezegd in dat verwerkingsverantwoordelijke privacy en gegevensbescherming mee dienen te nemen als eisen bij de ontwikkeling van nieuw beleid of het ontwerp c.q. de aankoop van nieuwe systemen waarmee politiegegevens worden verwerkt. Overheidsinstellingen, zoals de Gemeente Den Haag, dienen er rekening mee te houden dat bij openbare aanbestedingen de beginselen van Privacy by Design en Privacy by Default in aanmerking worden genomen. Organisaties dienen er op basis van deze beginselen aldus voor te zorgen dat er zo min mogelijk inbreuk wordt gemaakt op de persoonlijke levenssfeer bij verwerkingsactiviteiten, bijvoorbeeld door het toepassen van pseudonimisering en het inbouwen van andere technische waarborgen. Welke technische en organisatorische maatregelen getroffen moeten worden om invulling te geven aan deze uitgangspunten is afhankelijk van het concrete geval.

Bij het bepalen van de verwerkingsmiddelen en de verwerking moet in elk geval rekening worden houden met de volgende elementen: -

de stand van de techniek;

-

de uitvoeringskosten;

-

de aard, omvang, context en het doel van de verwerking; en

-

de risico’s voor de betrokkene.

Deze elementen bepalen gezamenlijk welke technische en organisatorische maatregelen een organisatie moet nemen om de gegevensbeschermingsbeginselen op een doeltreffende manier uit te voeren en de nodige waarborgen in te bouwen ter naleving van de eisen uit de Wpg. Met andere woorden: de maatregelen die worden genomen, moeten in verhouding staan tot de risico’s en redelijk zijn met het oog op de stand van de techniek en de uitvoeringskosten om de maatregelen te implementeren. Data georiënteerde ontwerpstrategieën Minimaliseer Beperk zoveel mogelijk de verwerking van gegevens. Selecteer voor het verzamelen. Verwijder wanneer mogelijk. Scheid

Scheid persoonsgegevens zoveel mogelijk van elkaar en werk zo gedistribueerd mogelijk. 85/122

Gemeente Den Haag – Wpg verbeterrapport

Abstraheer Bescherm / maak onherleidbaar

Aggregeer tot het hoogst mogelijke niveau. Beperk zoveel mogelijk het detail waarin persoonsgegevens worden verwerkt. Voorkom dat gegevens openbaar worden. Beveilig gegevens. Verbreek waar mogelijk de link tussen personen en gegevens (anonimiseer en pseudonimiseer).

Proces georiënteerde ontwerp strategieën Informeer Informeer gebruikers over de verwerking van hun persoonsgegevens. Geef controle Geef gebruikers controle over de verwerking van hun persoonsgegevens. Dwing af Stel een privacybeleid op en dwing dit af met technische en organisatorische middelen. Toon aan Toon aan dat op een privacyvriendelijke wijze persoonsgegevens worden verwerkt. Verzamel logs, doe audits en rapporteer. Los van de voorgaande algemene conclusies, treft u hieronder een overzicht van de concrete conclusies en aanbevelingen die zijn gedaan in beide audits, alsmede de door ons voorgestelde verbetermaatregelen naar aanleiding daarvan.

7.1

Audits en verbetermaatregelen Aanbeveling audit

7 (III)

LBA is ontworpen voor de Wpg van kracht werd. En is daar niet aan aangepast. Er kan niet worden aangetoond dat de standaard instellingen van LBA zo zijn ingericht dat privacy maximaal gewaarborgd wordt.

Maak LBA in overleg met de leverancier Wpg compliant. Neem hierbij de standaardinstellingen mee.

Gegevensbescherming door standaardinstellingen

Werking

Conclusies audit

Bestaan

Onderwerp Wpg

Opzet

7.1.1 Onderwijs (III), Werk, inkomen en zorg (Vb) – (OCW) Verbetermaatregelen

-

-

-

Beslis of wordt meegelift op de aanbesteding van HHO naar een nieuwe Wpg applicatie. Neem in de aanbesteding de standaardinstellingen mee. Breng in kaart of er gemeentelijke richtlijnen zijn t.a.v privacy by design & by default zijn. Zo ja, implementeer deze richtlijnen dan voor zover mogelijk bij het inrichten van de processen en boa registratie in LBA. Treedt in overleg met de leverancier van LBA over het

86/122

Gemeente Den Haag – Wpg verbeterrapport Wpg compliant inrichten van LBA. Neem hierbij de standaardinstellingen mee.

Interne audit Onderwerp Wpg 6 Gegevensbescherming door beveiliging en ontwerp

Bevindingen audit

Aanbeveling audit

De strategie en kaders informatieveiligheid staan op werknet:

Er is geen aantoonbare risicoanalyse uitgevoerd. Doordat de inrichting van LBA (de workflows) niet goed meer aansluit op de uitvoering (de organisatie), vormt het systeem LBA, de werkwijze en de opgeslagen data een aandachtspunt. Voor RMC loopt een project om het systeem opnieuw in te richten. Dit is voor de leerplicht ook nodig om te komen tot een betrouwbaar systeem.

• Beleidskader Informatieveiligheid 2019 – 2022; • Baseline Informatiebeveiliging Overheid (BIO). Tactische-en operationele stukken moeten nog worden geschreven of zijn in revisie. Huidige beleidskader gegevensbescherming

Verbetermaatregelen

Zie de verbetermaatregelen zoals voorgesteld bij “8(Vb) Gegevensbeschermingseffectbeoordeling / data protection impact assessment (DPIA)” in paragraaf 5.1.2.

• Beleidskader en reglement inzake Gegevensbescherming Gemeente Den Haag (raadsinformatie.nl) • Werkprogramma behorend bij het beleidskader inzake

87/122

Gemeente Den Haag – Wpg verbeterrapport Gegevensbescherming (raadsinformatie.nl). Tot en met 2018 was het systeem LBA opgenomen in het Information Security Management System (ISMS). Een rapport van bevindingen (2018) is beschikbaar. In het verleden heeft ook een leverancierstoets naar Pronexus BV plaatsgevonden, maar deze informatie is niet meer beschikbaar. Gebruikers benaderen het systeem LBA via het internet en krijgen toegang op basis van gebruikersnaam, wachtwoord en een verificatiecode (via Google Authenticator). Dit is geen federatieve toepassing met onze gemeentelijke identiteits-en toegangsbeheer (IAM). De huidige systeeminrichting van LBA is redelijk open: bijvoorbeeld wie toegang heeft tot de workflow proces-verbaal, die heeft toegang tot alle onderliggende objecten.

88/122

Gemeente Den Haag – Wpg verbeterrapport De toegang tot gevoeligere informatie zoals de workflow Halt verwijzing en de workflow proces-verbaal is niet verder onderverdeeld en geeft toegang tot alle lopende zaken. 7 Gegevensbescherming door standaard instellingen

Momenteel kan nog niet worden aangetoond dat de standaard instellingen zodanig zijn ingericht dat de privacy maximaal wordt gewaarborgd.

Wat zijn de gemeentelijke richtlijnen over privacy by design en privacy by default?

Zie de verbetermaatregelen zoals vermeld bij 7 “Onderwijs (III & Vb) – (OCW)” in paragraaf 7.1.2.

89/122

Gemeente Den Haag – Wpg verbeterrapport

8 Transparantie Heldere communicatie richting betrokkenen Om een eerlijke verwerking van persoonsgegevens te waarborgen zijn in de Wpg, net als in de AVG, diverse rechten aan de betrokkene toegekend die tegenover de verwerkingsverantwoordelijke kunnen worden uitgeoefend. Zo heeft de betrokkene het recht op: - informatie over de verwerkingen; - inzage in zijn/haar gegevens; - rectificatie van de gegevens als deze niet kloppen; en - vernietiging/afscherming van de gegevens. Naast bovenstaande rechten die in de Wpg toegekend zijn aan betrokkenen, is in de Wpg een verbod opgelegd aan verwerkingsverantwoordelijke om betrokkenen te onderwerpen aan geautomatiseerde besluitvorming waaronder begrepen profilering. Een belangrijk verschil met de AVG is dat in de Wpg meer beperkingen en uitzonderingen zijn opgenomen dan in de AVG.

In de Wpg is opgenomen dat een verzoek tot inzage, rectificatie of vernietiging van politiegegevens kan worden afgewezen, voor zover dit een noodzakelijke en evenredige maatregel is (artikel 27 Wpg): - ter vermijding van belemmering van de gerechtelijke onderzoeken of procedures; - ter vermijding van nadelige gevolgen voor de voorkoming, opsporing, het onderzoek en de vervolging van strafbare feiten en de tenuitvoerlegging van straffen; - ter bescherming van de openbare veiligheid; - ter bescherming van de rechten en vrijheden van derden; of - ter bescherming van de nationale veiligheid. Hieruit vloeit voort dat minder snel aan een verzoek van een betrokkene hoeft te worden voldaan. Ook de informatieplicht kan in specifieke situaties worden uitgesteld, beperkt of achterwege gelaten worden (artikel 24b Wpg). Daarom is het van belang dat gegevensverwerkingen die onder de Wpg-regime vallen, andere kenmerken krijgen dan de gegevensverwerkingen die onder de AVG vallen.

90/122

Gemeente Den Haag – Wpg verbeterrapport

Uit de auditrapportages volgt dat er geen duidelijke (standaard)procedure is opgesteld om verzoeken van betrokkenen op grond van de Wpg tijdig en adequaat af te handelen. In de interne audit is uitgelicht dat door het ontbreken van een standaardprocedure, Wpg-verzoeken op alle niveaus en bij allerlei medewerkers in de organisatie binnen kunnen komen. Dat is risicovol, omdat er tijdig en adequaat op dergelijke verzoeken gereageerd moet worden. In de interne audit wordt de suggestie geopperd om binnen de Gemeente Den Haag alle verzoeken (Woo, AVG en Wpg) via een standaardprocedure op een centrale plaats te laten binnenkomen (zie Bijlage 11 interne audit), zodat de gehele organisatie naar dezelfde procedure kan verwijzen en er sprake is van centrale registratie en regie met betrekking tot het afhandelen van verzoeken van betrokkenen. Wij adviseren in lijn met deze bevindingen om te onderzoeken of er gemeente breed een standaardprocedure voor de afhandeling van verzoeken van betrokkenen kan worden ingericht.

Los van de voorgaande algemene conclusies, treft u hieronder een overzicht van de concrete conclusies en aanbevelingen die zijn gedaan in beide audits, alsmede de door ons voorgestelde verbetermaatregelen naar aanleiding daarvan. 8.1

Audits en verbetermaatregelen

25 (III)

Geen evidence voor bestaan en werking ontvangen.

Informatie aan de betrokkene, recht op inzage, rectificatie en verwijdering 25 (Vb) Informatie aan de betrokkene, recht op

- Er is geen Wpg template, procesbeschrijving of werkinstructie. Stel specifieke bewaartermijnen

Aanbeveling audit

Stel een procedure en templates op m.b.t. recht van betrokkene op inzage, rectificatie en verwijdering.

Werking

Conclusies audit

Bestaan

Onderwerp Wpg

Opzet

8.1.1 Onderwijs (III) & Werk, Inkomen en Zorg (Vb) – (OCW) Verbetermaatregelen

-

Zie de verbetermaatregelen zoals voorgesteld bij “25 Interne Audit Informatie aan de betrokkene, recht op inzage, rectificatie en verwijdering” in paragraaf 8.1.1.

-

Zie de verbetermaatregelen zoals voorgesteld bij “25 Interne Audit Informatie aan de betrokkene, recht op inzage, rectificatie en verwijdering” in paragraaf 8.1.1.

91/122

Gemeente Den Haag – Wpg verbeterrapport inzage, rectificatie en verwijdering

vast voor de politiegegevens die worden verwerkt - Implementeer deze bewaartermijnen. `ie beschreven.

Interne audit Onderwerp Wpg

Bevindingen audit

Aanbeveling audit

25

De afhandeling van verzoeken van de betrokkene (inzage, wijziging en verwijdering van persoonsgegevens) is lastig.

Hoe zorgt gemeente Den Haag voor tijdige-en adequate afhandeling van verzoeken als we (1) niet weten waar deze verzoeken binnenkomen en (2) de ontvangst van een dergelijk verzoek niet wordt geregistreerd?

Informatie aan de betrokkene, recht op inzage, rectificatie en verwijdering.

Er zijn gelijkenissen tussen een WOBverzoek, een AVG-verzoek en een Wpgverzoek. Op www.denhaag.nlstaan verschillende procedures, maar hier staat geen informatie over het Wpg-verzoek. Door verschil in procedure en onduidelijkheden kan een verzoek op meerdere plaatsen in de organisatie binnen komen: • Een verzoek via MijnDenHaag. De regie van deze informatiestroom verloopt via Juridische Zaken. • Een verzoek per mail aan de functionaris voor de gegevensbescherming(gegevensbescherm

Wil de gemeente Den Haag een centrale regie en een standaardprocedure voor de verschillende verzoeken? (Bij Juridische Zaken loopt een initiatief om WOB-verzoeken te stroomlijnen; de voorwaarde voor centrale regie is echter een deugdelijk verwerkingsregister) Hoe (formeel) willen we informatie over uitoefening

Verbetermaatregelen -

-

-

-

Onderzoek op welke wijze Wpg-verzoeken van betrokkenen binnenkomen en of er een procedure is opgesteld voor de afhandeling van deze rechten. Toets of in deze procedure de Wpg is meegenomen, en zo niet, stel zo nodig een nieuwe/aangepaste procedure op. Maak eventueel gebruik van het template “Addendum rechten van betrokkenen Wet politiegegevens” zoals opgesteld door de VNG. Onderzoek de mogelijkheid om binnen de Gemeente Den Haag alle Wob, Avg en Wpg-verzoeken via een standaardprocedure op een centrale plaats te laten binnenkomen en centraal gecoördineerd af te handelen. Pas de procedure hier op aan. Zorg dat de administratie met betrekking tot het afhandelen van verzoeken wordt bijgehouden en gearchiveerd. Onderzoek de mogelijkheid om voor alle diensten deze administratie op een centrale plek te laten registreren. Houd dit in de tussentijd decentraal bij, zodat het bestaan en de werking daarvan in de eerstvolgende audit kan worden aangetoond. Stel vast of afwijzingen van een inzage, rectificatie of verwijderverzoek altijd schriftelijk plaatsvinden en alleen

92/122

Gemeente Den Haag – Wpg verbeterrapport ing@denhaag.nl). De functionaris voor de gegevensbescherming (FG)zet dit verzoek verder uit bij diensten of behandelt het in uitzonderlijke gevallen zelf. De regie van deze informatiestroom verloopt via de FG.

van rechten verstrekken aan de betrokkene?

-

• Een verzoek mondeling of per mail rechtstreeks aan een dienst. Het is mogelijk dat de betreffende privacy officer of de FG hierover niet worden geïnformeerd, omdat het door de lijn wordt afgehandeld.

voor zover dit een noodzakelijke en evenredige maatregel is, zoals gesteld in artikel 27 lid 1 Wpg. Onderzoek of er informatie over de verwerking van politiegegevens in een beknopte en toegankelijke vorm en in duidelijke en eenvoudige taal beschikbaar wordt gesteld. Zo niet, stel dan een privacyverklaring op. Maak daarbij van het template “Privacyverklaring Wet politiegegevens”, zoals opgesteld door de VNG. Zorg ervoor dat deze privacyverklaring door betrokkenen kan worden geraadpleegd.

Zo wordt bij de strafrechtelijke aanpak van verzuim de betrokkene tijdens het verhoor mondeling geïnformeerd. Een inzage verzoek verloopt meestal rechtstreeks via de betreffende leerplichtambtenaar. De teammanager moet het verzoek goedkeuren en de betrokkene krijgt alleen een fysieke kopie van zijn eigen dossier waaruit de namen van anderen zijn verwijderd. Hierover is een werkinstructie opgesteld.

25

Er is geen evidence aangeleverd.

Informatie aan de betrokkene, recht op

Aanbeveling audit

Werking

Conclusies audit

Bestaan

Onderwerp Wpg

Opzet

8.1.2 Werk, inkomen en zorg (Va) – (SZW) Verbetermaatregelen

-

Zie de verbetermaatregelen zoals voorgesteld bij “25 Interne Audit Informatie aan de betrokkene, recht op inzage, rectificatie en verwijdering” in paragraaf 8.1.1.

93/122

Gemeente Den Haag – Wpg verbeterrapport inzage, rectificatie en verwijdering

94/122

Gemeente Den Haag – Wpg verbeterrapport

9 Cultuur Goede omgang met persoonsgegevens en bewustwording 9.1

Audits en verbetermaatregelen

Uit de interne audit volgt dat is aangevangen met een gemeenschappelijke startbijeenkomst. Op 18 november 2021 is een eendaagse training voor (vertegenwoordigers van) betrokkenen bij de Wpg georganiseerd. Dit is een goede start, maar heeft zeer waarschijnlijk nog niet geresulteerd in een kennisniveau dat voldoende toereikend is om alle Wpg verbetermaatregelen uit te kunnen voeren. In de externe audit en interne audit zijn ten aanzien van bewustwording, training en awareness geen specifieke aanbevelingen gedaan. Dit neemt natuurlijk niet weg dat boa’s en andere medewerkers die met politiegegevens werken, op de hoogte moeten zijn van de Wpg-verplichtingen en dat het opzetten van een trainingsprogramma of het volgen van een cursus daarbij kan helpen. Ook het optuigen van periodieke bewustwordingsacties strekken tot aanbeveling. Zorg er door middel van cursussen, training en bewustwordingsacties voor dat medewerkers van de Gemeente Den Haag zich bewust zijn en blijven van de eisen die gelden ten aanzien van verwerking van politiegegevens. Probeer bijvoorbeeld aan bestaande AVG-trainingen die medewerkers periodiek moeten volgen een Wpg-onderdeel toe te voegen. Controleer ook of de betreffende trainingen daadwerkelijk worden gevolgd.

95/122

Gemeente Den Haag – Wpg verbeterrapport

10 Overzicht verbetermaatregelen In dit hoofdstuk zijn de verbetermaatregelen opgenomen die naar ons oordeel de hoogste prioriteit hebben. Daarbij is een onderscheid gemaakt tussen verbetermaatregelen die het beste op strategisch/centraal niveau kunnen worden opgepakt en maatregelen die het beste op decentraal niveau kunnen worden opgepakt. De verbetermaatregelen gelden immers niet voor alle diensten van de Gemeente Den Haag, maar alleen voor de diensten waar boa’s werken. Met strategisch/centraal niveau wordt bedoeld: dienst-overstijgende procedures en soortgelijke producten, zoals beleid, administratie en registratie van verwerkingsprocessen en datalekken. Voor de uitvoerbaarheid van deze maatregelen wordt aanbevolen een zo uniform mogelijk proces in te richten voor alle betrokken diensten en hier vanuit een centraal orgaan regie op te voeren. De dienst-specifieke maatregelen kunnen n.a.v. dit verbeterraport in dienst-specifieke Wpg-werkprogramma’s worden gerealiseerd. Een logisch organisatieonderdeel waar regie op de Wpg uitgevoerd kan worden zou het ECP kunnen zijn. Voor een volledig overzicht van alle verbetermaatregelen verwijzen wij terug naar de voorgaande hoofdstukken.

10.1 Verbetermaatregelen op strategisch/centraal niveau Audits Wij adviseren om een meerjarenplan (2022-2025) op te stellen ten aanzien van het uitvoeren van de externe en interne audits, zodat de verschillende diensten weten wanneer zij aan de beurt zijn en zich optimaal kunnen voorbereiden op de audit (zie o.a. de verbetermaatregelen zoals voorgesteld onder “29 audits” in paragraaf 5.1.1 Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” onder “interne audit”). Inrichten privacybesturing Het lijkt voor de diensten momenteel nog niet (voldoende) duidelijk welke acties er door hen zelf opgepakt moeten worden en welke acties er op centraal niveau moeten worden opgepakt, dan wel moeten worden gecoördineerd. Mede hierdoor zijn de diensten mogelijk nog niet begonnen met het doorvoeren van verbetermaatregelen. Wij adviseren dan ook om zo spoedig mogelijk een strategie voor (het implementeren van) de Wpg binnen de Gemeente Den Haag op te zetten en te communiceren richting de diensten. Omdat er veel overeenkomsten zijn tussen de AVG en Wpg, kan ervoor worden gekozen om de Wpg-taken te beleggen binnen de huidige privacy organisatie, het ECP. Hierdoor kunnen bestaande processen, zoals het bijhouden van 96/122

Gemeente Den Haag – Wpg verbeterrapport

het verwerkingsregister, ook worden aangewend voor de Wpg. Er is een privacy organisatie nodig die vanuit een centrale aanpak programma voert op de Wpg (en AVG) en op een efficiënte en logische ingerichte manier vorm geeft aan de wettelijk vereisten (zie hoofdstuk 2). De huidige privacy organisatie (het ECP) beschikt over de nodige infrastructuur en kennis m.b.t. de AVG en zou tevens regie kunnen voeren op de implementatie van de Wpg. Zij beschikt momenteel alleen nog niet over voldoende Wpg kennis. Het is dan ook raadzaam voor de Gemeente om te investeren in het kennnisniveau van het ECP en/of het aantrekken van Wpg privacy functionarissen. Daarmee kan de Gemeente vanuit een centrale aanpak regie laten voeren op de naleving van wet- en regelgeving m.b.t. de AVG én de Wpg. Verwerkingsregister Beslis op centraal niveau of er een apart verwerkingsregister voor Wpg-verwerkingen wordt opgesteld of dat Wpg-verwerkingen in het bestaande verwerkingsregister worden opgenomen. Omdat de informatie die in het Wpg-register moet worden vastgelegd grotendeels overeenstemt met de informatie die op grond van de AVG in het verwerkingsregister moet worden opgenomen, adviseren wij om te onderzoeken of de Wpg-verwerkingen aan het AVGverwerkingsregister kunnen worden toegevoegd en of daarvoor dezelfde procedure kan worden gevolgd.

Het is zaak hierover op korte termijn een beslissing te nemen, zodat het verwerkingsregister kan worden ingericht (zie hoofdstuk 3). DPIA’s Wij adviseren om een hoge prioriteit te geven aan het uitvoeren van DPIA’s op Wpg-verwerkingen. In dit verband zal eerst onderzocht moeten worden of het huidige DPIA-template ook geschikt is om DPIA’s op Wpg-verwerkingen uit te voeren of dat het template aanpassing behoeft (hoofdstuk 5). Training en awareness Het huidige kennisniveau binnen de Gemeente Den Haag is naar verwachting niet toereikend om alle Wpg-verbetermaatregelen zoals vastgelegd in deze verbeterrapportage voortvarend te kunnen implementeren. Wij adviseren dan ook om op korte termijn een of meerdere Wpg-trainingssessies te organiseren voor privacy officers, boa’s en andere medewerkers voor wie dat relevant is (hoofdstuk 9). Functionaris Gegevensbescherming Wij hebben begrepen dat de Gemeente Den Haag reeds een FG heeft aangesteld. Onderzocht dient te worden of de FG over voldoende kennis en expertise beschikt om naast het toezicht op de AVG, ook toezicht te houden op de naleving van de Wpg. Zo niet, draag daar dan zorg voor (zie hoofdstuk 5) 97/122

Gemeente Den Haag – Wpg verbeterrapport

Rechten van betrokkenen Uit de auditrapportages volgt dat er geen duidelijke (standaard)procedure is opgesteld om verzoeken van betrokkenen op grond van de Wpg tijdig en adequaat af te handelen. In de interne audit wordt de suggestie geopperd om binnen de Gemeente Den Haag alle verzoeken (Woo, AVG en Wpg) via een standaardprocedure op een centrale plaats te laten binnenkomen (zie Bijlage 11 interne audit), zodat de gehele organisatie naar dezelfde procedure kan verwijzen en er sprake is van centrale registratie en regie met betrekking tot het afhandelen van verzoeken van betrokkenen. Wij adviseren in lijn met deze bevindingen om te onderzoeken of er gemeente breed een standaardprocedure voor de afhandeling van verzoeken van de rechten van betrokkenen kan worden ingericht (zie hoofdstuk 8). 10.2 Verbetermaatregelen op decentraal niveau, uitgesplitst per dienst 10.2.1 Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB) Inventarisatie, DPIA en verwerkingsregister - Inventariseer de verwerkingen die onder de Wpg vallen en toets de rechtmatigheid van deze verwerkingen (dat kan door middel van een DPIA, zie hierna). - Voer een DPIA(‘s) uit op de Wpg-verwerking(en) (punt 8, paragraaf 5.1.1). o Onderzoek als onderdeel van deze DPIA(‘s) of er art. 9 verwerkingen (zouden kunnen) plaatsvinden.