RIS316879 bijlage

Jaarverslag Functionaris Gegevensbescherming (FG)

Inhoud 1. Inleiding

3

Leeswijzer3 Ontwikkeling3 Stand van zaken

4

Advies4

2. Bevindingen per onderdeel

5

Framework5 Beleid5 Processen6 Organisatorische inbedding

6

Rechten van betrokkenen

6

Samenwerking6 Informatieveiligheid7 Datalekken7 Verantwoorden8

3. Wet politiegegevens

9

4. Overig

10

2

1. Inleiding Dit is het jaarverslag van de Functionaris Gegevensbescherming (hierna: FG) van de gemeente Den Haag over het jaar 2022. De FG is de onafhankelijke toezichthouder op de naleving van de Algemene Verordening Gegevensbescherming (hierna AVG) en de Wet politiegegevens (hierna: Wpg) binnen de gemeente Den Haag. Met deze rapportage voldoet de FG aan zijn wettelijke verplichting om aan het college en de burgemeester, als uiteindelijk verantwoordelijken, verslag uit te brengen van zijn bevindingen op het gebied van gegevensbescherming. Het is aan de verwerkingsverantwoordelijke om vervolgens aan de naleving van de AVG en Wpg te voldoen.

Leeswijzer In dit verslag wordt eerst ingegaan op de ontwikkeling die de naleving van de AVG in de gemeente Den Haag heeft ondergaan. Dit is nodig om te begrijpen waar we nu staan en welke ambities er de komende periode gerealiseerd gaan worden. Vervolgens wordt per onderdeel kort een stand van zaken gegeven. Dit is op hoofdlijnen op basis van wat objectief kan worden vastgesteld.

Ontwikkeling In de gemeente Den Haag is de afgelopen jaren werkenderwijs gezocht naar een optimale invulling van de privacy organisatie. Deze is in de loop van 2021 centraal ingericht en mede vormgegeven aan de hand van de resultaten van een externe audit, die zogenoemde ‘nul-meting’ die eind 2020 is opgeleverd. Deze nulmeting heeft geleid tot twee belangrijke acties. Zoals gezegd enerzijds een nieuwe inrichting van de privacy organisatie, het Expertise Centrum Privacy (ECP) en anderzijds een aanpak, vormgegeven vanuit de centrale sturing van het ECP, om in control te komen middels diverse werkprogramma’s. De privacy organisatie kent de volgende structuur: de FG is, in lijn met de AVG, direct onder de gemeentesecretaris gepositioneerd bij de directie bestuurszaken van de Bestuursdienst. Op die manier is de onafhankelijke positie als toezichthouder en adviseur zeker gesteld. Daarnaast is gezorgd voor een scheiding van toezicht en uitvoering, onder meer, door het aanstellen van een Chief Privacy Officer die leiding geeft aan de Privacy Officers (PO) van het ECP. Het ECP is verantwoordelijk voor het opstellen van het verbeterplan, beleid en protocollen naar aanleiding van de nulmeting en heeft regie op de uitvoering van de noodzakelijke AVG maatregelen.

De gemeente heeft in korte tijd gericht geïnvesteerd in het ECP, niet alleen in de werving van meer capaciteit, maar ook in de training en opleiding van de privacy officers. Op deze manier zijn voor elke gemeentelijke dienst een of meer privacy officers beschikbaar. Het ECP heeft het afgelopen jaar hard gewerkt aan het ontwikkelen van een uniforme werkwijze onder centrale sturing. Onder andere door het opstellen van kaders, procedures en formats. Ook hierbij is een duidelijke rolverdeling; de directies zijn verantwoordelijk voor privacy binnen hun organisatie en daarmee ook voor de opgave. Het ECP is adviserend / faciliterend. De werkprogramma’s worden per dienst of bedrijfsonderdeel vastgesteld. Deze werkprogramma’s omvatten alle facetten van de AVG en hebben tot doel om de organisatie binnen twee jaar naar een passend privacyvolwassenheidsniveau te krijgen.

3

Stand van zaken Eind 2022 ligt er voor de meeste directies, diensten/bedrijfsonderdelen een helder werkprogramma met middelen en expertise om de opgave uit te voeren. De inspanning die de gemeente Den Haag het afgelopen jaar heeft verricht moet daarna zijn vruchten gaan afwerpen. Per 2023 wordt vanuit het ECP gestart met periodieke rapportages per directie. Hierdoor ontstaat inzicht waar de organisatie staat met betrekking tot de uitvoering van het tweejarig werkprogramma. Met dat inzicht kan de voortgang van de werkprogramma’s systematisch en op verschillende niveaus worden bewaakt en daarover worden gerapporteerd. De verantwoordelijken kunnen vervolgens sturen op de opgave.

Advies Hoewel de afgelopen jaren hard is gewerkt en geïnvesteerd in de AVG implementatie ontbreekt op dit moment een totaaloverzicht waar we staan. En dat brengt risico’s met zich mee. Het kan zijn dat gegevens te lang worden bewaard, niet goed zijn beveiligd of dat er teveel gegevens worden bijgehouden. Grote datalekken of een toeslagen-affaire hebben pijnlijk duidelijk gemaakt wat er mis kan gaan als niet aan de beginselen van de AVG wordt voldaan. Maar niet alleen de burgers en de medewerkers van Den Haag kunnen risico lopen, ook de organisatie zelf. Handhavend optreden van de Autoriteit Persoonsgegevens, (collectieve) schade claims van burgers bij datalekken of een verlies van vertrouwen in een organisatie maken dat het voldoen aan de AVG niet vrijblijvend is. Het is goed te zien dat de gemeente Den Haag het belang van het ondervangen van deze risico’s heeft onderkend en deze met een systematische aanpak aanpakt. Ik heb deze organisatieplannen om verder in control te komen beoordeeld en kan mij vinden in de ingezette koers. Daarnaast heeft de organisatie voor de uitvoering middelen gereserveerd. Het komt nu aan op de uitvoering. Mijn belangrijkste aanbeveling is dan ook om de zorgvuldig ingeslagen weg nauwgezet te vervolgen.

Dit is absoluut noodzakelijk en het moet ook mogelijk zijn om de ambities te realiseren, waarbij het management aan de hand van een cijfermatig inzicht stuurt op de opgave.

4

2. Bevindingen per onderdeel Framework De bevindingen in dit jaarverslag komen voort uit een toetsing aan de hand van het Privacy Control Framework van de VNG. Dit framework bestaat uit zeven onderdelen. Dit hoofdstuk is aan de hand van deze onderdelen opgebouwd. De onderdelen zijn: 1. Beleid 2. Processen 3. Organisatorische inbedding 4. Rechten van betrokkenen 5. Samenwerking 6. Beveiliging 7. Verantwoorden Het control framework bestaat uit verplichte onderdelen, zoals is er een FG is er een register van verwerkingen, daarnaast bestaat het uit niet wettelijk verplichte onderdelen. Denk hierbij aan procedures die moeten borgen dat de eisen uit de AVG worden nageleefd. In de onderstaande diagram is grafisch weergegeven in hoeverre de gemeente Den Haag in control is.

Totaal

Gedeeltelijk Niet van toepassing Onbekend Nee Ja

Op basis van ons eigen onderzoek zien we dat we aan bijna 50% van alle benodigde maatregelen prima voldoen. Voor een klein deel geldt dat we niet of niet volledig voldoen, maar ook zien we dat voor ruim 25% nog niet goed weten of en in welke mate we voldoen. In de hierna volgende onderdelen wordt hier op ingegaan.

Beleid Het privacy beleid is het kader waarin wordt aangegeven aan welke principes de gemeente zich houdt, het laat zien hoe de gemeente met persoonsgegevens omgaat en welke maatregelen de gemeente treft om te voldoen aan de wet-en regelgeving. Den Haag kent als stad van vrede en recht een hoog ambitieniveau. Dit is ook vastgesteld in het Beleidskader Gegevensbescherming, waarin staat dat de rechten van de burger in de persoonlijke levenssfeer wordt beschermd. Het waarborgen van de bescherming van de burgers en medewerkers vraagt om een duidelijk en helder beleid en een goedwerkende governance, zodat iedereen weet wat zijn taken en verantwoordelijkheden zijn. Het huidige kader dateert uit 2018. Inmiddels is gestart met een actualisering van dit beleid. De wijzigingen die de organisatie de afgelopen periode heeft doorgevoerd kunnen hierin worden verankerd. Door het ontwikkelen van domeinspecifieke protocollen wordt aan medewerkers duidelijke handvatten geboden zodat AVG conform gewerkt kan worden.

5

Processen Dit onderdeel ziet op het inzichtelijk hebben welke verwerkingsactiviteiten onder onze verantwoordelijkheid of gezamenlijke verantwoordelijkheid worden uitgevoerd en dat deze voldoen aan de AVG. Er is in 2022 een mooie slag gemaakt met het inventariseren van processen waarbij persoonsgegevens worden verwerkt. Dit heeft geleid tot een register van verwerkingen met meer dan 900 verwerkingen. Maar nog niet alle verwerkingen zijn in beeld. Daarnaast zijn niet alle verwerkingen getoetst aan de onderdelen van de AVG en is het register ook niet compleet. In de werkprogramma’s is dit onderdeel geadresseerd, maar het is belangrijk dat hier op korte termijn een slag in moeten worden gemaakt. Het register is namelijk het fundament is van de privacy organisatie. Niet alleen voor verantwoording, maar ook voor toezicht en sturing. Voor alle risicovolle verwerkingen wordt een zogenaamde risico assessment gedaan, afgekort een DPIA. Door de risico’s te inventariseren en vervolgens maatregelen te implementeren om die risico’s te ondervangen worden de risico’s voor de burgers van de gemeente Den Haag en onze medewerkers beperkt. In 2022 is voor 61 van deze verwerkingen een DPIA gedaan. Maar nog niet alle verwerkingen die risicovol zijn, zijn in beeld. Ook is nog niet voor alle risicovolle verwerkingen een DPIA verricht.

Hier worden risico’s gelopen omdat niet aangetoond kan worden dat aan de AVG voldaan wordt en het derhalve onduidelijk is of er passende maatregelen zijn genomen om de risico’s voor de burgers en medewerkers te beperken.

Organisatorische inbedding Voor een goede en juiste uitvoering is het van belang dat eenieder binnen de organisatie op de hoogte is van de beginselen van de AVG en het belang van privacy. Organisatorische inbedding betekent het toewijzen van taken, verantwoordelijkheden en bevoegdheden. Zoals beschreven in de inleiding zijn de afgelopen jaren mooie successen behaald met de inrichting van een robuuste privacy organisatie. Winst kan behaald worden door meer bekendheid te geven aan de privacy normen. Door het trainen van medewerkers en het opstellen van afdelingsspecifieke protocollen wordt er minder beroep gedaan op de privacy organisatie en weten medewerkers hoe zij AVG-proof werken. Daarnaast is het van belang dat alleen die medewerkers toegang hebben tot informatie die zij nodig hebben voor hun taken. Er is geen centraal inzicht in de naleving van autorisaties en toegangsrechten, hier wordt een risico gelopen.

Rechten van betrokkenen Organisaties dienen betrokkenen zowel actief als passief te informeren over de persoonsgegevens die zij verwerken. Daarnaast stelt de AVG betrokkenen middels een aantal rechten in staat om controle uit te oefenen over zijn of haar persoonsgegevens. In 2022 is 27 maal1 gebruik gemaakt van dit recht om inzage te krijgen in de gegevens. Verder is de transparantie verbeterd doordat het privacystatement van de gemeente Den Haag is vernieuwd. Daarnaast is een deel van de verwerkingen online te raadplegen, waardoor burgers beter geïnformeerd zijn. Het voornemen bestaat om dit verder uit te breiden. Verdere verbetering van de informatievoorziening zit in de werkplannen.

Samenwerking Den Haag werkt op meerdere beleidsterreinen, in verschillende bedrijfsfuncties, in diverse rollen en hoedanigheden samen met(mede) overheden en private organisaties. Hiervoor zijn afspraken nodig. Op dit moment is niet duidelijk of met alle partijen een overeenkomst is afgesloten. In de werkplannen is dit een actie die met spoed moet worden opgepakt. Daarnaast neemt de gemeente Den Haag deel in verschillende samenwerkingsverbanden. Gebrek aan grondslag en complexe samenwerkingsvormen maken hier het voldoen aan de AVG lastig. Hier dient ingezet worden dat partijen aantonen zich aan de AVG te houden. 1 Dit zijn de cijfers vanaf mei tot en met december 2022.

6

Te meer daar het hier vaak gaat om gevoelige gegevens waarbij een onzorgvuldige verwerking grote gevolgen zou kunnen hebben voor de betrokkenen.

Informatieveiligheid De AVG vereist dat je als lijnverantwoordelijke passende technische en organisatorische maatregelen neemt om zo een risico gestuurd beveiligingsniveau aan te tonen. Voor overheden zijn deze maatregelen onder meer uitgewerkt in de Baseline Informatiebeveiliging Overheid (de BIO). Het uitgangspunt is dat alle geautomatiseerde systemen waarin persoonsgegevens worden verwerkt aan de BIO normen worden getoetst. De werkwijze is overheidsbreed nog beperkt tot een toets op opzet en bestaan (is dit procedureel geregeld en is de organisatie ingericht). Hierdoor is er geen zekerheid in welke mate wij voldoen aan de BIO normen (werking). Uitgangspunt binnen de gemeentelijke organisatie is dat risicomanagement leidend is. De beveiliging van de belangrijkste processen, applicaties en databronnen hebben de hoogste prioriteit. De lijnmanagers binnen de diensten zijn verantwoordelijk voor de informatieveiligheid van de applicaties die gebruikt worden in hun bedrijfsprocessen. De diensten geven aan welke van deze applicaties opgenomen worden in de ISMS-cyclus2 en dus voor welke applicaties de BIO-maatregelen worden geëvalueerd. Hierbij worden zij ondersteund door het Expertise Centrum Security (ECS).

Het huidige Governance Risk and Compliance (GRC) systeem wordt in 2023 vervangen door een systeem dat ons beter kan helpen integraal (privacy, security, finance en risicomanagement) in control te komen. Van belang is daarbij een helder overzicht waar we staan. Immers het adagium “meten is weten” is ook hier van belang. Aandachtspunten zijn het controleren van autorisaties en het regelmatig controleren van logbestanden. Bij de DPIA’s die worden uitgevoerd zijn dit verplichte onderdelen. Daarnaast zien we dat de AP steeds actiever wordt en ook de consequenties van de toezichthoudende activiteiten worden steeds zichtbaarder. Bovendien geven de boetebesluiten aan diverse organisaties duidelijke indicaties over de verwachtingen die de AP heeft van een zorgvuldige omgang met persoonsgegevens. Zo heeft de AP afgelopen jaren bij verschillende organisaties gehandhaafd op de toetsing van BIO normen, kwaliteit van logische toegangsbeveiliging, logging en het tijdig uitvoeren van DPIA’s. Daaruit bleek ook een strikte toetsing van de BIO normen. Ook in aanbevelingen van de AP wordt gewezen op het belang van het periodiek (laten) uitvoeren van audits gericht op de evaluatie van technische en organisatorische beveiligingsmaatregelen waarbij opvolging wordt gegeven aan de uitkomsten van deze audits en er een ISMS-cyclus tot stand komt.

Uit gesprekken met de CISO blijkt dat het onderwerp Security nog niet overal een structureel onderwerp aan de directietafel is. Vanuit het eigenaarschap van de dienstdirecties en lijnmanagers voor het onderwerp, is het belangrijk om vast te leggen wat de ‘kroonjuwelen’ van de dienst zijn, dreigingen te bepalen en alle processen en applicaties op te nemen in het proces rond de BIO zelfevaluatie (ISMS-cyclus). Hier ligt nog een opgave.

Datalekken Bij een datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie, zonder dat dit de bedoeling is. In 2022 zijn er 215 datalekken door de ambtelijke organisatie opgepakt, tegen 255 in 2021. Daarvan zijn er 44 gemeld aan de AP. Het merendeel van de datalekken betreft het verlies of de diefstal van mobiele apparatuur of verkeerd verstuurde e-mails naar externen, waarvan de consequenties gelukkig relatief beperkt zijn geweest.

2 Information Security Management System – de security PDCA-cyclus

7

Verantwoorden De AVG legt de verantwoordelijkheid bij de organisatie zelf om aantoonbaar te maken dat deze voldoet aan de privacyregels. Door te voldoen aan de verantwoordingsplicht, levert de organisatie een belangrijke bijdrage aan de bescherming van het grondrecht van mensen op privacy. De organisatie dient aan te kunnen tonen dat de verwerkingen voldoen aan de belangrijkste beginselen van de AVG. De gemeente Den Haag heeft door middel van de nul-meting voor de organisatie en de verschillende privacy scans een helder beeld van de opgave. Ook is een duidelijk ambitieniveau neergelegd waaraan voldaan moet worden. De gemeente Den Haag heeft een heldere rapportagelijn over privacy en informatiebeveiliging. Daarnaast is in 2023 gestart met een gedetailleerde AVG rapportage per dienst naar de verantwoordelijk directeur. Het is belangrijk deze te voorzien van KPI’s, dit geeft de verantwoordelijke directies de mogelijkheid om te sturen en te borgen dat de doelstellingen worden gerealiseerd.

8

3. Wet politiegegevens Naast de AVG geldt voor bepaalde verwerkingen binnen de Gemeente Den Haag de Wet politiegegevens. Het gaat hierbij om de gegevensverwerkingen van de buitengewoon opsporingsambtenaren (boa’s) voor de opsporing van strafbare feiten. Denk daarbij aan onder meer leerplichtambtenaren, stadswachten en sociaal rechercheurs. In 2022 heeft de gemeente Den Haag een externe audit laten verrichten en de resultaten vormden aanleiding tot diverse aanbevelingen die dit jaar geïmplementeerd moeten worden. Hiervoor is een stuurgroep in het leven geroepen die aan de hand van een verbeterplan aan de opgave monitort. Voor het einde van 2023 moeten deze aanbevelingen worden geïmplementeerd. Hierover moet verantwoording worden afgelegd aan de AP. De FG ziet eveneens toe op de naleving van de Wpg.

9

4. Overig De FG heeft in 2022 een onderzoek verricht naar de uitvoering van het datalekken proces. De aanbevelingen zijn gedeeld met de CPO en de CISO. De aanbevelingen aan het ECP zijn in 2022 overgenomen en gerealiseerd. Daarnaast houdt de FG zich bezig met de behandelen van vragen, soms ook klachten, die binnen zijn gekomen bij de FG op een apart emailadres. Verder met het adviseren op DPIA’s, deelname aan werkgroepen en het onderhouden van netwerken. In 2022 hebben de FG’s van de gemeente Den Haag en Rotterdam van functie geruild. Dit heeft geleid tot een intensieve samenwerking en het overnemen van best-practices.

10