RIS316879 Jaarverslag Functionaris Gegengvensbescherming

Typ tekstTyp tekstTyp tekst

Hilbert Bredemeijer Wethouder van Onderwijs, Jeugd, Sport en Dienstverlening

050

Retouradres: Postbus 12600, 2500 DJ Den Haag

Ons kenmerk

Aan de voorzitter van de Rekeningencommissie

DBV/10617098 RIS316879 Contactpersoon

Sah Farooq Dienst

Dienst Bedrijfsvoering Afdeling

Informatisering en Automatisering Telefoonnummer

14070 Datum

E-mailadres

2 november 2023

sah.farooq@denhaag.nl

Onderwerp

Jaarverslag Functionaris Gegevensbescherming

Geachte voorzitter, Bijgevoegd vindt u het jaarverslag 2022 van de Functionaris Gegevensbescherming (FG), die toeziet op de gegevensbescherming bij de gemeente. Het rapport van de FG wordt gebruikt als kompas voor risico-gestuurd werken op zowel ambtelijk als bestuurlijk niveau. Het college herkent de bevindingen in het rapport en neemt de aanbevelingen over. Deze reactie geeft context bij de al genomen maatregelen en de toekomstige plannen. De afgelopen periode is hard gewerkt aan de implementatie en de geboekte resultaten maken we zichtbaar door middel van ambtelijke dashboards en overzichten. Volwassenheidsniveau De FG geeft aan dat er een totaaloverzicht ontbreekt waar we als Den Haag staan wat betreft onze privacy compliance. Ook, zo geeft hij aan, is behoefte aan overzicht en sturing vanuit management. Er zijn de afgelopen periode maatregelen genomen om dat te verbeteren. Zo hebben we dashboards opgeleverd om cijfermatig inzicht te verbeteren. Daarnaast doen we in 2024, na de nulmeting in 2021, een vervolgmeting om inzicht te krijgen in de effecten van de gemaakte investeringen sindsdien. Op basis van de acht kernwaarden die toen gedefinieerd zijn, is in de nulmeting de AVG-volwassenheid van de gemeente inzichtelijk gemaakt. Dat was organisatie breed gemiddeld 1-1,5 op een schaal van 5.

Den Haag kent als stad van vrede en recht namelijk een hoog ambitieniveau op het vlak van privacy en heeft de ambitie om de acht kernwaarden naar niveau 3 (‘gedefinieerd’) te krijgen. Vanwege personeelsverloop, de toegenomen vraag naar privacy expertise, de steeds complexer wordende vraagstukken binnen de GDH en de krappe arbeidsmarkt voor privacy professionals, is er risico gedreven geprioriteerd, waardoor de ambities getemporiseerd worden gerealiseerd. Beleid Het laatste gegevensbeschermingsbeleid stamt uit 2018 en is aan vernieuwing toe, onderschrijft de FG. Een vernieuwd beleidskader kan namelijk helderheid scheppen over de governance in de privacy organisatie. Met dat doel wordt gewerkt aan een nieuw beleidskader, met de titel Mens Centraal Digitaal. De verwachting is dat dit begin 2024 wordt vastgesteld. Hierin staan de Haagse organisatiewaarden centraal voor het verder borgen van privacy in de gemeente.

Gemeente Den Haag

Spui 70 Den Haag

Postbus 12600 2500 DJ Den Haag

Telefoonnummer 14070 www.denhaag.nl

Gemeente Den Haag Ons kenmerk

DBV/10617098

De ambities zijn aangescherpt op basis van de nieuwe organisatievorm en aanbevelingen van FG en interne audit. Tevens wordt aandacht besteed aan een heldere governance. Daarnaast benadrukt de FG het belang van domeinspecifieke protocollen. Op die manier wordt aan medewerkers duidelijke handvatten geboden voor hun specifieke domein, zodat zij conform de AVG kunnen werken. Deze protocollen zullen een vertaalslag worden van het privacybeleid naar tactisch operationele handvatten en worden ambtelijk uitgewerkt. Daarbij zijn er al een aantal protocollen vervaardigd, bijvoorbeeld voor de uitvoering van DPIA’s, het toepassen van camera’s en sensoren en bij het starten van nieuwe initiatieven. Op dit moment hebben vier diensten hun dienstspecifieke AVGwerkprogramma vastgesteld, de verwachting is dat de andere diensten dit uiterlijk eind 2023 hebben gerealiseerd. Processen In 2022 is er een inventarisatie gedaan van de processen waarbij persoonsgegevens worden verwerkt, wat heeft geleid tot een register met meer dan 900 verwerkingen. Door de inventarisatie hebben we een werkvoorraad bepaald van de uit te voeren privacy assessments, ofwel DPIA’s. Het rapport benadrukt dat nog niet alle verwerkingen inzichtelijk zijn en ook nog niet bij de geregistreerde verwerkingen een toets is gedaan op het voldoen aan de AVG.

Het doel voor 2023 is om het verwerkingsregister te vullen en te valideren tot 85% à 90%. Daarnaast worden in 2023 zoveel mogelijk wettelijk verplichte DPIA’s uitgevoerd om deze verwerkingen alsnog te toetsen op de AVG en de privacy impact. Hierbij ligt de prioriteit bij risicovolle verwerkingen. Op die manier krijgen we meer grip op onze risicovolle processen en welke maatregelen nodig zijn voor de mitigatie ervan. Organisatorische inbedding Om privacy goed te kunnen borgen, is een goede organisatorische inbedding en blijvende bewustwording nodig. Het rapport stelt dat er winst behaald kan worden door meer bekendheid te geven aan privacyregels. Om bewustwording van huidig en nieuw personeel (blijvend) te verbeteren, zetten we een aantal middelen in: • • • • •

Nieuwe medewerkers attenderen we al bij hun onboarding op de privacyaspecten van hun werk bij de gemeente; We bieden e-learnings, films, leesmateriaal en workshops over generieke en specifieke onderwerpen binnen gegevensbescherming aan; We hebben voor (huidige) medewerkers een Privacy Academy opgezet, waar we gemeentemedewerkers trainen en lesgeven in privacykennis; Er wordt een multidisciplinaire bewustwordingscampagne gevoerd op de onderwerpen privacy, datagebruik, informatieveiligheid en informatiebeheer; Bovendien is gegevensbescherming geborgd in recent herijkte ICT-en personeelsreglement van de gemeente. De organisatorische inbedding is in bovenstaand beleidskader verder uitgewerkt.

Samenwerking Als grote organisatie en als stad van vrede en recht, neemt Den Haag deel in veel verschillende samenwerkingsverbanden. De FG stelt dat er onvoldoende zicht is of de juiste contracten zijn afgesloten en waarin afspraken zijn gemaakt over gegevensgebruik. Bij het verder vullen en valideren van het verwerkingsregister wordt aandacht besteedt aan samenwerkingspartijen; zodat op termijn hier meer inzicht in gegeven kan worden.

2/9

Gemeente Den Haag Ons kenmerk

DBV/10617098

In het komend jaar zullen het register en de contracten tevens worden opgenomen in de riskmanagement tool, die in 2023 wordt aangekocht. De tool helpt bij het voeren van programma’s op wettelijke verplichtingen, verschaft inzichten en kan risico’s in processen duiden. Als risk en compliance tool zal het bijdragen aan kwalitatief privacy risicomanagement, helpen de levenscyclus van persoonsgegevens te bewaken en tijdig maatregelen te treffen waar nodig. Bovendien zal de tool bijdragen om meer integraal te werken. Met het integraal inzichtelijk maken van de risico’s, wordt het ook makkelijker om deze integraal te mitigeren of voorkomen. Wet politiegegevens Na de audit in 2022 op de Wet politiegegevens is een verbeterplan opgesteld om de aangewezen maatregelen op te pakken. Conform het voorstel van het verbeterplan is de governance neergelegd bij de bestaande AVG-infrastructuur, waardoor het expertisecentrum privacy ook hiervoor de kaders stelt. In juni 2023 is de projectaanpak vastgesteld in de Stuurgroep Wpg. De deadline van de aanbevelingen eind 2023 staat nog steeds en om in de uitvoering te voorzien is een projectgroep opgezet. Deze projectgroep ondersteunt en adviseert de diensten en pakt concrete centrale taken op, zoals het Wpgbeleid, het uitvoeringsbeleid, Wpg-statements en alle nodige registers en procesinrichtingen.

De uitkomst van de status van de aanbevelingen, moet eind 2023, middels de uitkomsten van een externe audit, teruggekoppeld worden aan de Autoriteit Persoonsgegevens. Verwachting is dat dat er op enkele punten een verbetering zichtbaar en meetbaar zal zijn, al blijft er nog veel werk over dat verdere aandacht en structurele capaciteit zal vragen. Conclusie In lijn met de in deze brief gepresenteerde maatregelen in aanvulling op het jaarverslag van de FG, zet GDH zich in om de privacy basis op orde te krijgen. Er is op het gebied van privacy nog veel te doen, zoals het rapport en deze brief laten zien. Maar door de risico’s in kaart te brengen, aan wet- en regelgeving te voldoen en daarnaast ook vooruit te kunnen kijken naar ontwikkelingen op het gebied van privacy, kan de gemeente de rechten van inwoners en medewerkers beschermen en in de toekomst eerder ingrijpen bij mogelijke risico’s. Met vriendelijke groet, de wethouder van Onderwijs, Jeugd, Sport en Dienstverlening, Hilbert Bredemeijer

3/9

Gemeente Den Haag Ons kenmerk

DBV/10617098

Bijlage: TABEL MET Constateringen FG, AANBEVELINGEN FG EN REACTIE COLLEGE Constateringen FG Volwassenheid Het ontbreekt aan overzicht. Mogelijk zijn Gegevens te lang bewaard, niet goed beveiligd, te veel gegevens worden bijgehouden. Beleid Het huidige kader dateert uit 2018 → ontwikkel nieuw beleid

Processen Nog niet alle verwerkingen die risicovol zijn, zijn in beeld. Er kan niet aangetoond worden of er aan de AVG voldaan wordt en daardoor onduidelijk is of er passende maatregelen zijn genomen>

Aanbeveling FG

Reactie College

Zorgvuldig ingezette weg nauwgezet volgen Management stuurt cijfermatig op opgave.

In het tweede helft van 2023 zijn dashboards gemaakt om cijfermatige sturing mogelijk te maken.

Het waarborgen van de bescherming van de burgers en medewerkers vraagt om een duidelijk en helder beleid en een goedwerkende governance, zodat iedereen weet wat zijn taken en verantwoordelijkheden zijn. Door het ontwikkelen van domeinspecifieke protocollen wordt aan medewerkers duidelijke handvatten geboden zodat AVG conform gewerkt kan worden.

Het nieuwe privacybeleid, Mens Centraal Digitaal, borgt de bescherming van burgers en medewerkers en geeft duidelijkheid over de governancestructuur en verantwoordelijkheden. In 2024 zal het beleid vertaald worden in verdere protocollen voor concrete uitvoering.

Maar het is belangrijk dat hier op korte termijn een slag in moeten worden gemaakt. Het register is namelijk het fundament van de GDH m.b.t de AVG. Niet alleen voor verantwoording, maar ook voor toezicht en sturing.

Tot eind 2023 wordt gestreefd om het register op alle wettelijk verplichte onderdelen aan te vullen en van de meer dan 650 processen 85-90% gevalideerd te hebben. In samenwerking met de stakeholders in de diensten wordt dit geprioriteerd opgepakt. Verbetering en valideren van het register is een continue taak en zal periodiek geëvalueerd en

4/9

Gemeente Den Haag Ons kenmerk

DBV/10617098

gecontroleerd worden, waarna aanpassingen en aanvullingen worden uitgevoerd. Het register is geen statisch maar een dynamische bron van processen at met de dynamiek van de gemeente meebeweegt en continu aandacht blijft krijgen. Organisatorische imbedding Er is geen centraal inzicht in de naleving van autorisaties en toegangsrechten, hier wordt een risico gelopen. Daarnaast zijn niet alle verwerkingen getoetst aan de onderdelen van de AVG en is het register ook niet compleet.

Er is geen centraal inzicht in de naleving van autorisaties en toegangsrechten, hier wordt een risico gelopen

Voor een goede en juiste uitvoering is het van belang dat eenieder binnen de organisatie op de hoogte is van de beginselen van de AVG en het belang van privacy. Organisatorische inbedding betekent het toewijzen van taken, verantwoordelijkheden en bevoegdheden.

Winst kan behaald worden door meer bekendheid te geven aan de privacy normen. Door het trainen van medewerkers en het opstellen van afdelingsspecifieke protocollen wordt er minder beroep gedaan op de privacy organisatie en weten medewerkers hoe zij AVG-proof werken.

Om de kennis en bewustwording omtrent privacy, datagebruik, informatieveiligheid en informatiebeheer op breder niveau te vergroten, zal een bewustwordingscampagne worden gelanceerd en is een Privacy Academy opgericht dat medewerkers zal opleiden in de relevante AVGvraagstukken voor hun werk. Verder zal er bijzondere aandacht worden besteed aan nieuwe medewerkers tijdens introductiedagen. In december 2023 gaat de pilot van de Privacy Academy van start, een initiatief dat voortbouwt op eerdere inspanningen. Deze Academy richt zich in eerste instantie op het verrijken van de kennis en het bewustzijn over privacy van gemeentemedewerkers Daarnaast wordt het belang van privacy geïntegreerd in zowel het ICT-middelen reglement

5/9

Gemeente Den Haag Ons kenmerk

DBV/10617098

als het personeelsreglement van de gemeente. Rechten van betrokkenen Daarnaast stelt de AVG betrokkenen middels een aantal rechten in staat om controle uit te oefenen over zijn of haar persoonsgegevens. Indien we dit niet regelen, voldoen we niet aan de AVG.

Samenwerking Den Haag werkt op meerdere beleidsterreinen, in verschillende bedrijfsfuncties, in diverse rollen en hoedanigheden samen met(mede) overheden en private organisaties. Hiervoor zijn afspraken nodig. Op dit moment is niet duidelijk of met alle partijen een overeenkomst is afgesloten. Daarnaast neemt de gemeente Den Haag deel in verschillende samenwerkingsverbanden. Gebrek aan grondslag en complexe samenwerkingsvormen maken hier het voldoen aan de AVG lastig. Te meer daar het hier vaak gaat om gevoelige gegevens waarbij een

Ga hiermee door.

Dit proces is interdisciplinair opgesteld en recent geëvalueerd. Alle nodige processtappen zijn conform wettelijke eisen vormgegeven en worden conform procesafspraken uitgevoerd. Middels bewustwording op privacyregelgeving wordt er meer aandacht besteed aan medewerkers zodat zij het proces kennen en hanteren.

Hiervoor zijn afspraken nodig.

Ambtelijk wordt interdisciplinair gewerkt aan een efficiënter contractmanagement voor privacy. Hiermee wordt inzichten en grip verkregen krijgen op de relaties met derden, waardoor risico’s in beeld komen en gemitigeerd en beheerst kunnen worden.

Hier dient ingezet te worden dat partijen aantonen zich aan de AVG te houden.

Op dit moment worden contractuele afspraken gemaakt waarbij specifieke privacyovereenkomsten worden afgesloten met nadere afspraken voor de naleving van de wet. Alle betrokken partijen zijn verplicht zich aan de wet te houden en de AVG na te leven.

6/9

Gemeente Den Haag Ons kenmerk

DBV/10617098

onzorgvuldige verwerking grote gevolgen zou kunnen hebben voor de betrokkenen. Informatiebeveiliging De werkwijze is overheidsbreed nog beperkt tot een toets op opzet en bestaan (is dit procedureel geregeld en is de organisatie ingericht). Hierdoor is er geen zekerheid in welke mate wij voldoen aan de BIO normen (werking).

Daarnaast zien we dat de AP steeds actiever wordt. Uit gesprekken met de CISO blijkt dat het onderwerp Security nog niet overal een structureel onderwerp aan de directietafel is

Van belang is daarbij een helder overzicht waar we staan. Immers het adagium “meten is weten” is ook hier van belang. Aandachtspunten zijn het controleren van autorisaties en het regelmatig controleren van logbestanden. Bij de DPIA’s die worden uitgevoerd zijn dit verplichte onderdelen.

De mate waarin wij voldoen aan de BIO-normen wordt jaarlijks vastgelegd tijdens de zelfevaluatie. Dit proces wordt elk jaar geëvalueerd en verbeterd. De aanbeveling om een helder overzicht te hebben wordt ingevuld door de aanbesteding voor zogenaamde Governance, Risk & Compliance tooling ter ondersteuning van het ISMS-proces. Deze aanbesteding zit in de afrondende fase en voor het einde van dit jaar wordt de opdracht gegund aan een leverancier. Hiermee zullen onder andere de zogenaamde 'Kroonjuwelen' opgenomen worden in het ISMS-proces, waardoor inzicht wordt verkregen in de mate waarin de BIO-normen zijn geïmplementeerd. De voorbereiding van de uitvraag voor het uitvoeren van een gespecialiseerde bio-audit T1-24 is in gang gezet, waarbij gezocht wordt naar een gerenommeerde security partij.

Vanuit het eigenaarschap van de dienstdirecties en lijnmanagers voor het onderwerp, is het belangrijk om vast te leggen wat de ‘kroonjuwelen’ van de

Kern van deze constatering is dat het onderwerp Security nadrukkelijk een eindverantwoordelijkheid is van de diensten. De zogenaamde 'kroonjuwelen' van de diensten zijn bekend en worden jaarlijks aangevuld door de directies

7/9

Gemeente Den Haag Ons kenmerk

DBV/10617098

Wet Politiegegevens In 2022 heeft de gemeente Den Haag een externe audit laten verrichten en de resultaten vormden

dienst zijn, dreigingen te bepalen en alle processen en applicaties op te nemen in het proces rond de BIO zelfevaluatie (ISMScyclus). Hier ligt nog een opgave.

van de diensten met additionele applicaties die opgenomen worden in het ISMS-proces. De Chief Information Security Officer zal waar nodig meer betrokken worden. Dit krijgt vorm via de i-boards, waarin de diensten ontwikkelingen bespreken op het vlak van digitalisering. Om de diensten goed te informeren de sturing op de bestaande risico’s te verbeteren rapporteert het expertisecentrum security aan de hand van KPI’s aan de i-boards over de status van informatieveiligheid. Dit geeft de mogelijkheid om de ontwikkelingen centraal in beeld te brengen en een sterkere verbinding te leggen tussen kaderstelling en implementatie. Recent is binnen het MT I&A besloten dat de drie rapporten voor de compliance partijen vanaf nu afzonderlijk en zelfstandig door de leidinggevenden worden opgesteld. Er zijn vanaf tertiaal 2 2023 vier rapporten in totaal, waarvan één van de CIO en drie gerelateerd aan Privacy, Security, en Informatiebeheer. Deze rapporten zullen tezamen rechtstreeks naar de directietafels worden gestuurd.

Voor het einde van 2023 moeten deze aanbevelingen worden

Uit het verbeterplan voor de Wpg volgt dat de regie over de uitvoering van taken uit de Wpg het beste

8/9

Gemeente Den Haag Ons kenmerk

DBV/10617098

aanleiding tot diverse aanbevelingen die dit jaar geïmplementeerd moeten worden.

geïmplementeerd. Hierover moet verantwoording worden afgelegd aan de AP. De FG ziet eveneens toe op de naleving van de Wpg

belegd kan worden binnen de huidige privacy organisatie (het ECP), dit is in augustus 2023 overgenomen. Met de deadline van de aankomende terugkoppeling aan de nationale toezichthouder eind 2023, waarin vooruitgang inzichtelijk gemaakt moet worden, is er haast geboden. Dit onderwerp staat dan ook hoog op de agenda, zowel ambtelijk als bestuurlijk. Hier voert het ECP, samen met de diensten vertegenwoordigd in de Stuurgroep, programma op en zal het de komende jaren aandacht blijven krijgen. Hiertoe is structurele capaciteit vereist.

9/9