RIS318930 Jaarverslag Functionaris Gegevensbescherming (FG) 2023

Typ tekstTyp tekstTyp tekst

Hilbert Bredemeijer Wethouder van Onderwijs, Jeugd, Sport en Dienstverlening

050

Retouradres: Postbus 12600, 2500 DJ Den Haag

Ons kenmerk

DBV/10752204 RIS318930 Aan de voorzitter van de Rekeningencommissie

Contactpersoon

Sah Farooq Dienst

Dienst Bedrijfsvoering Afdeling

I&A Telefoonnummer

14 070 Datum

E-mailadres

28 mei 2024

sah.farooq@denhaag.nl Bijlage

1

Onderwerp

Jaarverslag FG 2023

Geachte voorzitter, Bijgevoegd vindt u het jaarverslag 2023 van de Functionaris Gegevensbescherming (FG), die toeziet op de gegevensbescherming bij de gemeente. Het rapport van de FG wordt gebruikt als kompas voor risico-gestuurd werken op zowel ambtelijk als bestuurlijk niveau. Het college herkent de bevindingen in het rapport en neemt de aanbevelingen over. Deze reactie geeft context bij de al genomen maatregelen en de toekomstige plannen. De afgelopen periode is hard gewerkt aan de implementatie en de geboekte resultaten maken we zichtbaar door middel van ambtelijke dashboards en overzichten. Onderstaande heeft zowel betrekking op de AVG als de WPG. Er is hard gewerkt aan het verkrijgen van inzicht. De gemeente beschikt nu over een cijfermatig inzicht op basis van een viertal registers (verwerkingen, DPIA’s, datalekken en verzoeken van betrokkenen) op basis waarvan gestuurd kan worden. Dit is het ‘Dashboard Privacy’. Het dashboard wordt met de viermaandelijkse voortgangsrapportages besproken in de i-boards van alle diensten. De belangrijkste privacyprocessen (hoe stellen we vast of een verwerking DPIA plichtig is, hoe stellen we een DPIA op, hoe behandelen we een datalek en hoe behandelen we een verzoek van een betrokkene) worden uitgewerkt en gedocumenteerd. Hiermee operationaliseren we het vernieuwde privacybeleid.

De processen geven inzicht in de taken en verantwoordelijkheden die door verschillende rollen binnen de gemeente (eerste, tweede en derde lijn) worden vervuld. Bovengenoemde processen zullen, na consultatie van de betrokken stakeholders binnen de gemeentelijke organisatie dit voorjaar worden vastgesteld. Met de opgeschoonde registers, het dashboard, beleid en processen is voor de zomer een stevige basis gelegd voor de sturing en compliance op privacy binnen de gemeente Den Haag. Op basis hiervan vindt in 2024 ook een externe audit plaats op privacy om, na de eerdere audit in 2021, zichtbaar wordt in welke mate we als gemeente compliant zijn op privacy.

Gemeente Den Haag

Spui 70 Den Haag

Postbus 12600 2500 DJ Den Haag

Telefoonnummer 14070 www.denhaag.nl

Gemeente Den Haag Ons kenmerk

DBV/10752204

De FG geeft terecht aan dat het inzicht dat er is laat zien dat de gemeente nog een grote opgave heeft, met name in het uitvoeren van benodigde toetsing op werkprocessen welke risico’s de gemeente loopt in het beschermen van de persoonsgegevens van de inwoners van Den Haag en welke maatregelen nodig zijn om deze te mitigeren (dat doen we door DPIA’s uit te voeren en daarna de maatregelen uit de DPIA). Voor een goede uitvoering van het beleid conform de processen werken we, conform de wens van de FG, hard aan bewustwording op privacy in de organisatie. In 2023 is gestart met een pilot met een Privacy Academy. Deze is succesvol afgerond waarmee er nu ruim 20 privacy ambassadeurs zijn bij OCW. We gaan de Academy in 2024 ook inzetten bij de andere diensten en een vervolg organiseren bij OCW. De privacy ambassadeurs gaan een belangrijke rol spelen binnen de diensten om nog beter om te gaan met bijvoorbeeld (het voorkomen van) datalekken en het werken aan DPIA’s. Dit is van groot belang om de diensten als eerste lijn een heel belangrijke rol spelen in het beschermen van privacy van burgers. Tenslotte wordt gewerkt aan het ontwikkelen van het jonge team (training & opleiding, intervisie, loopbaanontwikkeling) en het zorgvuldiger organiseren van de externe inhuur (meer continuïteit in de externe schil) zodat kennis behouden blijft en minder weglekt.

Daarbij is de lijn ingezet dat interne medewerkers meer op complexere en kritieke activiteiten komen en verambtelijking van een deel van de externe schil. De bovenstaande maatregelen die in 2023 zijn ingezet zijn onderdeel van een Verbeterplan Privacy 2024. De verwachting is met het beleid en conform de beschreven processen tot een betere samenwerking tussen de eerste lijn (de diensten), de tweede lijn (Expertise Centrum Privacy en Juridische Zaken) en de derde lijn (toezichthouders als FG en GAD) te komen. Dit met als concreet doel bijvoorbeeld efficiënter tot uitvoering van de benodigde DPIA’s te kunnen komen en vermindering van het aantal datalekken en snellere afhandeling. Kortere DPIA’s waarin maatregelen staan die voor de diensten ook begrijpelijk en uitvoerbaar zijn. Het monitoren van de maatregelen zal in 2024 met de invoering van de nieuwe Governance Risk en Compliance-tooling gaan plaatsvinden. Met vriendelijke groet, de wethouder van Onderwijs, Jeugd, Sport en Dienstverlening Hilbert Bredemeijer

2/2