RIS318930 Bijlage Jaarverslag Functionaris Gegevensbescherming 2023

Jaarverslag Functionaris Gegevensbescherming (FG) over 2023

Inhoud 1. Inleiding

3

Leeswijzer3 Terugblik en ontwikkelingen in 2023

3

Conclusie4

2. Waar staat de gemeentelijke organisatie

5

Framework5 Beleid6 Processen6 Organisatorische inbedding

7

Rechten van betrokkenen

8

Samenwerking8 Informatieveiligheid9 Verantwoorden10 Wet politiegegevens

10

3. Onderzoeken

12

4. Werkzaamheden

13

2

1. Inleiding Dit is het tweede jaarverslag van de Functionaris Gegevensbescherming (hierna: FG) van de gemeente Den Haag. Met deze rapportage voldoe ik aan mijn wettelijke verplichting om aan het college en de burgemeester, als uiteindelijk verantwoordelijken, verslag uit te brengen van mijn bevindingen over de stand van zaken van de uitvoering van zowel de Algemene verordening gegevensbescherming (AVG) als de Wet politie­ gegevens (Wpg).

Leeswijzer Dit hoofdstuk schetst de ontwikkelingen over het jaar 2023. Hoofdstuk twee beschrijft aan de hand van de onderdelen van het Privacy Control Framework van de VNG waar de gemeentelijke organisatie staat op het gebied van privacy. In hoofdstuk drie volgt een korte opsomming van de toezichtsactiviteiten van de FG. Tot slot staat in hoofdstuk vier een korte opsomming van de werkzaamheden van de FG.

Terugblik en ontwikkelingen in 2023 In het FG-jaarverslag over 2022 was mijn belangrijkste constatering dat er weliswaar stevig is geïnvesteerd in de AVG implementatie, maar dat het op het rapportagemoment ontbreekt aan een totaaloverzicht. Het gebrek aan inzicht brengt risico’s met zich mee, omdat we dan niet weten of we voldoen aan de AVG. Ik adviseerde om aan de hand van een cijfermatig inzicht te sturen op de opgave. Daarnaast adviseerde ik onder meer om het Beleidskader Gegevensbescherming uit 2018 te herzien om hierin een goede governancestructuur vast te leggen. Op die manier weet iedereen wat hun verant­ woordelijkheid is zodat er goed samengewerkt kan worden. De bevindingen en het beeld uit het jaarverslag werden door de ambtelijke organisatie onderschreven en leidde tot de inzet van de nodige verbeteracties. In 2023 heeft het Expertise Centrum Privacy (het ECP) hard gewerkt om het overzicht te krijgen en begin 2024 is het register van verwerkingen het centrale overzicht geworden voor de rapportages. In het register van verwerkingen staan alle gemeentelijke processen waarbij persoonsgegevens worden verwerkt. Waar voorheen gewerkt werd met diverse lijsten geldt nu één centraal systeem. Waar ik in mijn jaarverslag van 2022 moest melden dat niet kon worden nagegaan waar de gemeente staat, kan ik nu melden dat dit helder is.

Ik ga hier later in hoofdstuk twee, bij het onderdeel processen nader op in. Het ECP heeft als tweede gewerkt aan het Privacybeleid en daarvan afgeleide procedures die de privacy organisatie beter inbedden, door taken en verantwoordelijkheden van de verschillende rollen duidelijk(er) te benoemen. Ook werkt het ECP aan werkinstructies die de kwaliteit van de registers borgen. Volgens planning­ van het ECP is dit voor de zomer van 2024 ingeregeld. Bovenstaande acties trokken een zware wissel op de privacyorganisatie, waarbij ondertussen de vraag naar AVG-gerelateerde innovaties gewoon doorging. Denk daarbij aan datagedreven werken, pilots, labs, maar ook toepassingen van algoritmen, camera’s en drones. En dit tegen de achtergrond van ondercapaciteit (vacatures) en het feit dat het ECP een jong team is dat nog in opbouw is. In 2023 is het ECP versterkt zodat in 2024 de privacyorganisatie beter in staat kan worden gesteld de organisatie te ondersteunen bij het voldoen aan de AVG en Wpg en het mogelijk maken van de ambities.

3

Conclusie Het verkregen inzicht en het privacybeleid leggen een stevige basis voor sturing en compliance. Duidelijk is dat de opgave groot is en er nog een flink aantal stappen moet worden gezet om in control te komen. Het is nu zaak om aan de hand van dit inzicht te werken aan de onderdelen waarvan we nog niet kunnen vaststellen of die voldoen aan de AVG, en daarmee de rechten van de burgers en medewerkers van de gemeente Den Haag kunnen beschermen. En dat moet lukken. Er is een uitstekende steun vanuit het management om aan de AVG te voldoen en er zijn het afgelopen jaar mooie voorbeelden te zien van gemeentelijke onderdelen die voortvarend hebben gewerkt om compliant te worden. In dat kader noem ik de resultaten op het gebied van de Wet politiegegevens. Nadat eind 2022 uit de verplichte audit bleek dat de gemeente Den Haag op dit gebied nog een behoorlijke slag te maken had, is onder aansturing van de Algemeen Directeur van de Dienst Stadsbeheer voortvarend gewerkt aan de opgave waarbij men een groot deel van de bevindingen die door de accountant zijn geconstateerd heeft opgelost. Er is daarbij in korte tijd onder meer een Wpg-beleid opgesteld. Daarnaast zijn er vier DPIA’s gemaakt met bijbehorende werkinstructies en is er een opleidingstraject voor medewerkers gestart.

Dit jaarverslag ziet op 2023, maar inmiddels kunnen ten tijde van het opstellen van dit jaarverslag de eerste successen worden gemeld die het resultaat zijn van de bovengenoemde acties. Ik vind het van belang die ontwikkelingen hierin te benoemen, omdat er anders een door de tijd achterhaald beeld zou ontstaan die geen recht doet aan de inspanning en resultaten. Mijn advies is om op de ingeslagen weg door te gaan waarbij de voortgang intensief wordt gemonitord zodat tijdig bijgestuurd kan worden mocht daar aanleiding voor zijn.

4

2. Waar staat de gemeentelijke organisatie In dit hoofdstuk schets ik, in mijn rol als onafhankelijk toezichthouder, mijn bevindingen van de mate waarin de gemeente voldoet aan haar wettelijke verplichtingen. Ik baseer dit beeld deels op feiten en onderzoeken­en deels op persoonlijke observaties die ik in mijn dagelijkse contacten met de werkvloer op doe. De resultaten heb ik in het kader van hoor- wederhoor, besproken met de Chief Privacy Officer (CPO) en de Centrale Information Security Officer (CISO). Ik heb hen gevraagd eventuele feitelijke onjuistheden door te geven.

Framework Ik heb de bevindingen in dit jaarverslag gerubriceerd volgens het Privacy Control Framework van de VNG1. Dit framework bestaat uit zeven onderdelen; te weten: 1. Beleid 2. Processen 3. Organisatorische inbedding 4. Rechten van betrokkenen 5. Samenwerking 6. Beveiliging 7. Verantwoorden In de onderstaande diagrammen wordt grafisch weergegeven in hoeverre de gemeente Den Haag in control is, op basis van het VNG framework.

Totaal 2022

Totaal 2023

Gedeeltelijk Gedeeltelijk Niet van toepassing Onbekend

Gedeeltelijk Niet van toepassing Niet van toepassing

Nee

Onbekend Onbekend Nee

Ja

Ja

Nee Ja

1 Het control framework bestaat uit 200 vragen, controls genaamd. De vragen betreffen enerzijds verplichte AVG onderdelen, zoals ‘is er een FG’ of ‘is er een register van verwerkingen’. Daarnaast bestaat het framework uit niet wettelijk verplichte onderdelen, zoals de aanwezigheid van bepaalde procedures die de juistheid van gegevens moeten borgen. Niet alle onderdelen kunnen met een ‘ja’ of ‘nee’ worden beoordeeld. Bijvoorbeeld omdat nog niet alle verwerkingen zijn gecontroleerd, maar een deel wel. Hier wordt dan gedeeltelijk ingevuld. Bepaalde onderdelen, zoals awareness, zijn moeilijk te meten. Hier is een inschatting gemaakt. Het framework is ingevuld in samenspraak met de CPO en de CISO.

5

Op basis van toetsing van aan het framework zien we ten opzichte van 2022 dat er minder onderdelen op rood staan. Dat is een mooie ontwikkeling, temeer ook daar het hier wettelijk verplichte onderdelen betrof. Verder zien we dat het onderdeel ‘onbekend’ kleiner is geworden. Dat komt door meer inzicht in de informatie­beveiliging. Maar het beeld is niet op alle onderdelen beter geworden. Dat komt doordat uit onderzoek bleek dat bepaalde zaken niet of niet geheel op orde waren. Het gaat daarbij onder meer over de kwaliteit van de registers. Later ga ik hier meer op in.

Beleid Het privacybeleid is het kader waarin wordt aangegeven aan welke principes de gemeente zich houdt, het laat zien hoe de gemeente met persoonsgegevens omgaat en welke maatregelen de gemeente treft om te voldoen aan de wet-en regelgeving. Het privacybeleid is de basis van de privacy organisatie en juist in 2023 is gebleken dat er een helder beschreven governancestructuur moet zijn, zodat iedereen weet wat zijn taken en verantwoordelijkheden zijn en daar ook op kan terugvallen. Binnen de organisatie moet veel worden samengewerkt, maar vaak zijn de rollen informeel, niet bekend en/ of niet beschreven. Met het gevaar op misverstanden, discussies en verkeerde verwachtingen. Door de taken en rollen te beschrijven, vast te leggen en bekend te maken ontstaat een robuuste basis voor de privacy organisatie van waaruit op voortgebouwd kan worden. Het in de inleiding genoemde beleid moet dit gaan borgen. Zoals eerder gesteld is er voor de Wpg al beleid geformuleerd: het beschrijft duidelijk hoe medewerkers met de informatie om moeten gaan en hoe de rechten van de burgers daarbij geborgd worden.

Processen Dit onderdeel ziet op het inzichtelijk hebben welke verwerkingsactiviteiten onder verantwoordelijkheid of gezamenlijke verantwoordelijkheid van de gemeente worden uitgevoerd en in welke mate deze voldoen aan de AVG. Waar in 2022 de focus lag op het vullen van het register van verwerkingen aan de hand van de informatie­ plattegrond, werd, in het vervolg hierop, in 2023 gewerkt aan het ophalen en valideren van informatie bij de proceseigenaren. Begin 2024 werden de werkbestanden naar een uniform centraal register overgebracht waarna door een kwaliteitsslag een beter inzicht ontstond. Momenteel telt het register 885 verwerkingen. Bijna 75% van deze verwerkingen is compleet. De verwachting­is dat het register medio mei 2024 geheel gevuld zal zijn. Hiermee ontstaat een belang­ rijk sturingsinstrument, omdat dan ook de juiste aantallen DPIA’s en nog af te sluiten verwerkings­ overeenkomsten inzichtelijk zijn. Door het register actueel te houden blijft de voortgang goed te monitoren. Ik vraag aandacht voor een adequate borging van het beheer van het register. Veranderingen in wetgeving en in processen moeten verwerkt worden in het register anders boet de actualiteit is en komt de kwaliteit van het register onder druk te staan. Dit vergt afstemming tussen de proceseigenaar, die verantwoordelijk is voor de inhoud, en de privacy officer.

Heldere werkafspraken die periodiek getoetst worden helpen dit borgen. Het is goed dat hier aan gewerkt wordt. Het register is immers het fundament van de privacy organisatie­. Niet alleen voor verantwoording, maar ook voor toezicht en sturing. Voor alle risicovolle verwerkingen wordt een zogenaamde Data Protection Impact Assesment gedaan, afgekort­DPIA- oftewel een privacy risico analyse. Door de risico’s te inventariseren en vervolgens maat­ regelen te implementeren om die risico’s te ondervangen of te accepteren beperken we de AVG-risico’s. In het jaarverslag over 2022 heb ik gemeld dat er voor 61 van deze verwerkingen een DPIA is gedaan. Eind 2023 is het register waar de DPIA’s in worden geregistreerd opgeschoond. Er zijn heldere kwaliteitseisen gesteld en een duidelijk proces moet de kwaliteit van het register borgen. Oude DPIA’s voor verwerkingen die we niet meer verrichten zijn gearchiveerd. Deze opschoning heeft tot gevolg dat er op dit moment 48 vastgestelde DPIA’s staan geregistreerd zijn in het register. Daarnaast zijn er bijna 70 DPIA’s in procedure. Een groot deel daarvan is nagenoeg gereed, bijvoorbeeld omdat deze enkel nog op ondertekening wachten.

6

Uit de inventarisatie van het register van verwerkingen blijkt dat er voor bijna de helft van de verwerkingen een DPIA uitgevoerd moet worden en dat dit inmiddels voor ruim 30% van de verwerkingen het geval is. Dit cijfer wordt enigszins vertekend doordat veel verwerkingen zien op een groot aantal deelprocessen, waarbij een DPIA vaak op meerdere deelprocessen ziet. Toch blijft het een grote opgave en het aantal uit­gevoerde DPIA’s is zorgwekkend laag. Door hier risicogestuurd te werk te gaan mitigeren we de grootste risico’s het eerste. Maar ook het aantal DPIA’s moet snel omhoog en de doorlooptijd van een DPIA moet korter, zeker gezien de ambitie om op alle risicovolle verwerkingen een DPIA te verrichten. Daarnaast is het zaak om adequaat in te kunnen spelen op nieuwe ontwikkelingen waarbij vooraf een DPIA moet worden gedaan om de risico’s voor de betrokken in beeld te brengen en daarvoor maatregelen te nemen. Dit loopt niet in alle gevallen soepel met vertraging tot gevolg. De oorzaak ligt mede in de soms stroeve afstemming tussen de verschillende partijen, personele wisselingen, maar ook in een ingewikkeld en omvangrijk DPIA model. Voor 2024 zet het ECP in op betere stroomlijning van dit proces zodat hier meer vaart in gebracht kan worden. Maar ook vergt dit commitment en inzet van de proceseigenaren die immers verantwoordelijk zijn.

Maar ook hier zijn over 2023 successen te melden. Zo heeft de Haagse pandbrigade in 2023 op bijna al haar processen een DPIA verricht. Door vervolgens de maatregelen te implementeren laat deze afdeling zien dat zij zorgvuldig met de vaak gevoelige gegevens omgaat. Ook op gebied van cameratoezicht in de gemeentelijke panden zijn mooie vorderingen gemaakt waarbij de proceseigenaren de AVG niet alleen als een verplichting zagen, maar ook als een manier om aan te tonen dat de belangen die gemoeid zijn met de beveiliging op een goede manier zijn afgewogen tegen de privacy risico’s. Maar alleen met het uitvoeren van een DPIA zijn we er niet. Uit de risico-inventarisatie van de DPIA komt vaak een set maatregelen en het spreekt voor zich dat deze maatregelen ook daadwerkelijk moeten worden uitgevoerd. Ook hier beveel ik aan om controleacties systematischer te borgen in plaats van de huidige werkwijze waarbij er incidenteel maatregelen worden gecontroleerd. Het is belangrijk dit zo spoedig mogelijk­op te zetten zodat aangetoond kan worden dat de risico’s ook zijn weggenomen. Ook is het zaak om de DPIA’s tijdig te actualiseren wanneer er wijzigingen zijn in een proces of wanneer deze periodiek moeten worden herzien. Dit vergt een adequate administratie en planning om dit ook te realiseren. Een procedure die dit moet borgen is in voorbereiding.

Organisatorische inbedding Voor een goede en juiste uitvoering is het van belang dat eenieder binnen de organisatie op de hoogte is van de beginselen van de AVG en het belang van privacy. Organisatorische inbedding betekent het toewijzen van taken, verantwoordelijkheden en bevoegdheden. Ik ben als FG direct onder de gemeentesecretaris geplaatst bij directie Bestuurszaken en ik adviseer op verzoek bij belangrijke AVG aangelegenheden en DPIA’s. Daarnaast heeft elke dienst één of meer privacy officers. Naast adviseren over de AVG helpen zij met de implementatie, voeren zij controles uit en bewaken zij de naleving van de wetgeving. Vanwege krapte op de arbeidsmarkt werd deze functie niet bij elk onder­ deel volledig uitgevoerd, waardoor er knelpunten ontstonden. Deels is dit opgelost door het aanstellen van privacy ambassadeurs. Dit zijn medewerkers die naast hun functie parttime privacy in hun portefeuille hebben. Zij hebben een speciaal door het ECP ontwikkelde opleiding gevolgd aan de privacy academie. Met name bij OCW zijn daar goede resultaten mee behaald. Dat lost het capaciteitstekort echter nog steeds niet op. Terwijl er een serieus probleem ligt, omdat we door een gebrek aan capaciteit nieuwe projecten uitstellen of starten zonder de juiste begeleiding. Daarnaast is de ondersteuning van een deel van de proceseigenaren bij de vaak ingewikkelde wetgeving onvoldoende.

De lijnmanager of proceseigenaar is verantwoordelijk voor de naleving van de AVG, maar deze is zich niet altijd bewust van deze verantwoordelijkheid. Daarnaast is niet in alle gevallen duidelijk wie de proces­eigenaar is en wat deze rol inhoudt. Ook komt het voor dat lijnmanagers of proceseigenaren hun

7

verantwoordelijkheden voor privacy niet nemen, omdat zij vanwege de aandacht voor het primaire proces aan andere prioriteiten voorrang geven. Dit heeft in sommige gevallen geleid tot privacy risico’s. Denk aan maatregelen die te laat zijn uitgevoerd, verouderde overeenkomsten en protocollen die niet worden herzien of het geheel ontbreken van een risicoanalyse voorafgaand een nieuw project. Het vergt vervolgens veel afstemming en energie om dat later alsnog te regelen. Ook zijn er soms dure of suboptimale aanpassingen achteraf nodig. Door het eerder genoemde privacybeleid vast te stellen en vervolgens te implementeren kan dit beter ondervangen worden. Van belang is verder dat medewerkers alleen toegang hebben tot die gegevens die noodzakelijk zijn voor hun werkzaamheden, het need to know principe. De regelgeving rondom informatiebeveiliging vergt dat dit aantoonbaar gecontroleerd wordt, inclusief de toegang tot dossiers. Bij de uitvoering van DPIA’s blijkt dit echter vaker niet dan wel ingeregeld te zijn of te worden nageleefd.

Rechten van betrokkenen De AVG schrijft voor dat organisaties betrokkenen zowel actief als passief dienen te informeren over de persoonsgegevens die zij verwerken. Daarnaast stelt de AVG betrokkenen via een aantal rechten in staat om controle uit te oefenen over zijn of haar persoonsgegevens. In 2023 is het ECP gestart met het verder verbeteren­van dit onderdeel. Er wordt gewerkt aan een nieuwe procesbeschrijving voor de rechten van betrokkenen, er zijn meer privacyverklaringen geplaats op de website en de privacyverklaring AVG is uitgebreid­met de Wpg. Toch blijkt ook dit een punt van aandacht. Uit de uitgevoerde DPIA’s blijkt nog regelmatig­dat burgers niet goed zijn geïnformeerd. Burgers en medewerkers kunnen gebruik maken van hun rechten via de AVG portal van de gemeente. In 2023 is 95 maal gebruik gemaakt van dit recht om inzage te krijgen in de gegevens. De AVG schrijft voor dat we op deze verzoeken binnen een redelijke termijn, doch uiterlijk binnen vier weken moeten beslissen. Dit is ook een belangrijk recht. We zien echter dat 70% binnen de termijn wordt afgehandeld. Hier is nog een slag te maken. Een nieuwe procesbeschrijving en een eenduidige registratie en een strakke bewaking van de termijn moet zorgen voor een verkorting van de beslistermijn. Daarnaast is voor een deel van de verzoeken onduidelijk hoe die worden afgehandeld.

Dit komt doordat nog niet alle organisatieonderdelen aansluiten op bij het centrale proces, zodat we ook hier de kwaliteit kunnen borgen. Dit ziet met name bij de GGD en Veilig Thuis. De gemeente heeft over het algemeen een wettelijke taak voor het verwerken van persoonsgegevens. Toch kan het voorkomen dat in bepaalde gevallen de grondslag toestemming gebruikt wordt. Als gemeente moeten we terughoudend zijn in de wijze waarop we gebruik maken van de grondslag toestemming. In veel van onze dienstverlening zijn de burgers immers afhankelijk van de gemeente en is het belangrijk om vast te stellen dat we onze (machts)positie niet misbruiken. Er zijn indicaties dat binnen de gemeente de grond­ slag toestemming wordt gebruikt, maar we hebben nog niet voldoende in beeld of dit steeds voldoet aan de uiterst strenge voorwaarden die daarvoor gelden.

Samenwerking Den Haag werkt op meerdere beleidsterreinen, in diverse rollen en hoedanigheden samen met (mede) overheden­en private organisaties. Bij de laatste groep gaat het om bijvoorbeeld om leveranciers van software­. De AVG verplicht in deze situatie tot het sluiten van verwerkersovereenkomsten. Uit het register van verwerkingen blijkt dat nog niet voor alle verwerkingen aantoonbaar is dat een dergelijke overeenkomst aanwezig is. Daarnaast is het zaak dat we de afspraken met de verwerkers ook controleren, beheren en herzien indien daar aanleiding voor is. Ook dit gebeurt niet in alle gevallen. Het is daarom belangrijk het contractbeheer goed in te regelen en te borgen. Verder neemt de gemeente Den Haag deel in verschillende samenwerkingsverbanden. Denk hierbij aan het Zorg- en Veiligheidshuis, het RIEC, het Heit, maar ook in het onderwijs en met de zorgpartners.

8

Op een enkele uitzondering na is het niet goed mogelijk om bij deze samenwerkingsvormen aan te tonen dat aan de AVG wordt voldaan. Dit komt omdat vaak niet duidelijk is of goed is vastgelegd wat ieders verantwoordelijk­heid is, hoe de afspraken zijn geborgd en hoe dat wordt gecontroleerd. Daarnaast speelt mee dat de wettelijke kaders die dit voor een deel van deze samenwerkingen moeten gaan regelen zijn uitgesteld. Dit probleem speelt ook landelijk.

Informatieveiligheid De AVG vereist dat je als lijnverantwoordelijke passende technische en organisatorische maatregelen neemt om zo een risicogestuurd beveiligingsniveau aan te tonen. Voor overheden zijn deze maatregelen onder meer uitgewerkt in de Baseline Informatiebeveiliging Overheid (de BIO). In het VNG framework valt het onderwerp datalekken onder informatieveiligheid. Bij een datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie, zonder dat dit de bedoeling is. In 2023 heeft de gemeente 293 datalekken gesignaleerd, tegen 215 in 2022. Daarvan hebben we er 48 gemeld aan de Autoriteit Persoonsgegevens. Dat zijn datalekken die risico’s met zich meebrengen voor betrokkenen. Een melding moet zo spoedig mogelijk plaatsvinden, doch uiterlijk binnen 72 uur. Zes datalekken zijn te laat gemeld bij de AP. Van 245 datalekken is geconstateerd dat deze geen of beperkte risico’s meebrengen voor betrokkenen. Deze worden wel in het gemeentelijk systeem geregistreerd om daar lering uit te trekken. In 93 van de gevallen betrof het een verlies van een mobiele device. Door preventieve (beveiliging) en correctieve maatregelen­(zoals op afstand whipen) waren de consequenties daarvan gering.

Wanneer het blijkt dat er ook een security component aan het datalek zit wordt ook het Expertise Centrum Security betrokken bij de analyse, het oplossen en de evaluatie van het incident. Van belang is dat nieuwe datalekken worden voorkomen, dat kan door het nemen van technische en organisatorische­maatregelen. Er moet vervolgens op toezien worden dat deze maatregelen ook daad­ werkelijk worden geïmplementeerd en vervolgens getoetst op effectiviteit. Uit eigen onderzoek blijkt dat er wel maatregelen worden genomen na datalekken, maar een volledig systeem voor het systematisch toezien en evalueren van maatregelen is niet ingericht. Een nieuwe datalekkenprocedure borgt dit onderdeel beter. Uitgangspunt binnen de gemeentelijke organisatie voor informatieveiligheid is dat risicomanagement leidend is. De beveiliging van de belangrijkste processen, applicaties en databronnen heeft de hoogste prioriteit­. De zogenaamde kroonjuwelen zijn opgenomen in een ISMS-cyclus2. Hierbij levert de proces­ eigenaar bewijs aan dat aan de beveiligingsmaatregelen is voldaan. Te denken valt aan een overzicht van een autorisatieschema en het controleren daarvan. De bewijsvoering wordt hiervan gecontroleerd en er wordt ook op gerapporteerd. Een deel van die processen is niet opgenomen in de ISMS-cyclus zodat niet helder is of deze aan de eisen voldoen.

De ambitie van de gemeente is dat uiteindelijk alle processen in een ISMS-cyclus worden opgenomen. Dit is van belang omdat uit de uitgevoerde DPIA’s soms bleek dat een BIO-toets ontbrak of dat niet kon worden aangetoond dat hieraan werd voldaan. In die gevallen werd alsnog een BIO-toets gedaan en de maatregelen geïmplementeerd. Verder is het regelmatig controleren van logging een punt van aandacht. De aanbesteding van het Governance Risk and Compliance (GRC) systeem is volgens planning in 2023 gegund aan een nieuwe leverancier. Het nieuwe systeem zal helpen om nog beter in control te komen. Niet alleen van security en privacy, maar ook informatiebeheer en financial risk zullen worden opgenomen in het systeem. De implementatie is januari 2024 gestart en zal in in stappen worden gemigreerd en geïmplementeerd.

2 Information Security Management System – de security PDCA-cyclus.

9

In het jaarverslag over 2022 werd opgemerkt dat uit gesprekken met de CISO bleekt dat het onderwerp Security nog niet overal een structureel onderwerp aan de directietafel is. In 2024 wordt de CISO driemaal per jaar uitgenodigd door het Gemeentelijk Management Team voor het bespreken van dit onderwerp. Belangrijk aandachtspunt binnen de gemeente vanuit Security blijft het eigenaarschap voor het onderwerp security. Momenteel werkt de gemeente met een drielijns model voor informatieveiligheid. Hierin zijn de proceseigenaren in de eerste lijn verantwoordelijk voor de kwaliteit van hun proces De kwaliteit van het proces betekent in dit geval ook dat er volgens de wet met (persoons)gegevens wordt omgegaan, dat wordt aanbesteed waar nodig, dat informatie juist en tijdig wordt gearchiveerd én dat het proces voldoende (digitaal) veilig is. De expertise op het gebied van security binnen de gemeente is in de tweede lijn centraal belegd bij het Expertisecentrum Security (ECS), onder leiding van de Chief Information Security Officer (CISO). De derde lijn, waarin wordt getoetst of het huidige beleid adequaat is, versterkt het college door middel van het extern onderzoek op het gebied van digitale veiligheid.

Verantwoorden De AVG legt de verantwoordelijkheid bij de organisatie zelf om aantoonbaar te maken dat deze voldoet aan de privacyregels. Door te voldoen aan de verantwoordingsplicht, levert de organisatie een belangrijke bijdrage aan de bescherming van het grondrecht van mensen op privacy. De gemeente Den Haag moet aantonen dat de verwerkingen voldoen aan de belangrijkste beginselen van de AVG. Sinds 2022 rapporteert de CPO in de viermaandsrapportage aan het Gemeentelijk Management Team en de wethouder bedrijfsvoering over de stand van zaken AVG en sinds 2023 ook over de Wpg. De FG geeft in een bijlage bij die rapportage een onafhankelijk oordeel over deze rapportage. Uit mijn onderzoeken bleken de registers (het verwerkingenregister, het DPIA-register en het datalekken­ register) niet actueel en slechts deels goed ingevuld. Daarbij heb ik geadviseerd om beheermaatregelen te treffen om de juistheid van de gegevens te borgen. Ook door middel van deze registers kan de gemeente aantonen dat we aan de verplichtingen van de AVG voldoen. De privacy organisatie heeft goed in beeld wat we nog moeten doen om in control te komen. Er is enige jaren geleden een ‘nul-meting’ verricht en sinds 2024 geeft het register van verwerkingen inzicht. Daarnaast is er op alle onderdelen een dashboard en er zijn werkplannen per dienst.

Voorts is naar aanleiding van de genoemde knelpunten in de privacy organisatie een verbeterplan opgesteld, waarin de aanbevelingen uit de FG-onderzoeken zijn meegenomen. Ook voor de Wpg is helder wat de opgave is. Eind 2023 is een hercontrole verricht en duidelijk is wat er nog moet gebeuren om ‘de rode vakjes op groen te krijgen’. Van belang is om deze opgave ook te vertalen naar managementrapportages zodat er niet alleen inzicht komt bij de verantwoordelijken hoe we ervoor staan, maar dat er ook op gestuurd kan worden. Diverse voorbeelden­, onder andere bij de Wpg implementatie, laten zien dat een dergelijke aanpak werkt om zichtbare­voortgang te boeken.

Wet politiegegevens Naast de AVG geldt voor bepaalde verwerkingen binnen de gemeente Den Haag de Wet politiegegevens. Het gaat hierbij om de gegevensverwerkingen van de buitengewoon opsporingsambtenaren (boa’s) voor de opsporing van strafbare feiten. Denk daarbij aan onder meer leerplichtambtenaren, stadswachten en sociaal rechercheurs. In 2022 heeft de gemeente Den Haag een externe Wpg audit laten verrichten. Hieruit kwamen diverse aanbevelingen. Hiervoor is een werkgroep in het leven geroepen die aan de hand van een verbeterplan aan de opgave heeft gewerkt. Aan het einde van 2023 is een wettelijk verplichte hercontrole geweest op de eerdere bevindingen. De vier verschillende afdelingen die zich bezighouden met de Wpg zijn gecontroleerd. Maar ook de toezichthoudende rol van de FG is geaudit.

10

Het is goed om te kunnen melden dat door een forse inspanning en een stevige sturing vanuit de Dienst Stadsbeheer met de steun van het GMT een mooie voortgang is te zien. Bij de Handhavings­ organisatie stonden alle onderzochte onderdelen op ‘groen’. Bij Leerlingzaken nagenoeg alle onderdelen. Mooi om te zien is dat bij die afdeling alle medewerkers hebben samengewerkt bij de implementatie. Deze aanpak was intensiever, maar door de gedragen aanpak leidde dit direct tot een kwaliteitsverbetering. Fraudebestrijding heeft nog een grote opgave, waarbij de verwachting is dat de aanschaf van een systeem een groot deel van de bevindingen oplost. Verder wordt verwezen naar de brief aan de Raad over dit onderwerp. Maar we zijn er nog niet. Uit de uitgevoerde DPIA’s blijkt dat we nog een groot aantal maatregelen moet implementeren. Daarnaast zijn veel maatregelen in opzet en bestaan akkoord bevonden, maar toetst een volgende audit ook de werking. Het is nu van belang de maatregelen ook het hele jaar door na te leven. Een knelpunt bij een goede borging is het ontbreken van een vaste Wpg privacyofficer die de desbetreffende afdelingen juridisch en praktisch kan ondersteunen. Door intern expertise in huis te halen kunnen we de afdelingen beter en duurzaam ondersteunen.

11

3. Onderzoeken Ik heb als FG naast een adviserende functie op de AVG en de Wpg een toezichthoudende taak. Omwille van transparantie heb ik in 2023 toezichtsplannen voor de AVG en Wpg opgesteld. Deze heb ik gedeeld met alle stakeholders. Aan de hand van deze toezichtsplannen heb ik de volgende onderzoeken verricht die zien op de AVG: • Een onderzoek naar de kwaliteit van het register van verwerkingen; • Een onderzoek naar de juistheid en volledigheid van het DPIA-register; • In samenwerking met Internal Audit een onderzoek naar de opvolging van DPIA-maatregelen; • In 2022 heeft de toenmalige FG een onderzoek gedaan naar de uitvoering van het datalekken proces. In 2023 heb ik een hercontrole gedaan waarbij ik onder meer heb gekeken in hoeverre aan de eerdere aanbevelingen was voldaan. De constateringen en de adviezen op deze rapporten heb ik besproken met de CIO en de Algemeen Directeur Bedrijfsvoering, waar het ECP onder valt. Zij hebben toegezegd dat zij mijn aanbevelingen overnemen. Deze aanbevelingen zien met name op het beschrijven en implementeren van beheersmaatregelen om de kwaliteit van de genoemde registers te verbeteren. In 2024 zie ik onder meer toe op de uitvoering hiervan. Met betrekking tot de Wpg heb ik toezicht gehouden op de implementatie van de Wpg.

Daarnaast heb ik conform het Norea-normenkader bij alle afdelingen die Wpg gegevens verwerken een onderzoek verricht. Mijn bevindingen heb ik teruggekoppeld aan de proceseigenaren. Naast de genoemde onderzoeken heb ik ad-hoc toezicht gehouden naar aanleiding van datalekken, incidenten­of geconstateerde gebreken, zoals het ontbreken van overeenkomsten of een privacyverklaring. Vaak in samenwerking met de privacy officers, maar ook met de CISO heb ik adviezen gegeven en erop toegezien dat de constateringen daadwerkelijk werden opgelost. Het is goed om te constateren dat de verantwoordelijken in bijna alle gevallen voortvarend hebben meegewerkt. Dit zorgde voor een effectieve oplossing. Het FG advies is verplicht bij DPIA’s. Hoewel het een advies is, moet het niet overnemen hiervan wel gemotiveerd­gebeuren. Bij een controle op een deel van de DPIA’s bleek dat in enkele gevallen het niet duidelijk­was of het advies van de FG was overgenomen.

12

4. Werkzaamheden De FG is contactpersoon voor de Autoriteit Persoonsgegevens en is bereikbaar voor kwesties van Haagse burgers en medewerkers over de AVG en Wpg. De FG is extern bereikbaar middels een eigen e-mail adres. Hier komen, naast inzage verzoeken, ook klachten binnen van burgers en bedrijven over hoe de gemeente omgaat met de AVG. Deze klachten behandel ik afhankelijk van de inhoud in samenspraak met de privacy officer of klachtencoördinator. Verder houd ik me bezig met het adviseren op de naleving van de AVG en Wpg, adviseren over DPIA’s, onderzoek­, deelname aan werkgroepen, het geven van voorlichting en het onderhouden van relevante netwerken. De Autoriteit Persoonsgegevens heeft via mij diverse malen contact opgenomen met de gemeente Den Haag. Het ging daarbij voornamelijk om vragen naar aanleiding van signalen van burgers.

13