RIS322122 Bijlage Jaarverslag FG 2024

Jaarverslag Functionaris Gegevensbescherming (FG) over 2024

Inhoud 1. Inleiding

3

Leeswijzer3 Ontwikkeling3

2. Waar staat de gemeentelijke organisatie.

5

Framework5 Toelichting Framework

6

Grafische weergave

6

Resultaten over 2024

6

Beleid7 Processen8 Organisatorische inbedding

10

Rechten van betrokkenen

10

Samenwerking12 Informatieveiligheid12 Datalekken13 Informatiebeveiliging13 Verantwoorden14 Wet politiegegevens

14

3. Onderzoeken

15

4. Overig

17

2

1. Inleiding Dit is het derde jaarverslag van de Functionaris Gegevensbescherming (hierna: FG) van de gemeente Den Haag. Met deze rapportage voldoet de FG aan zijn wettelijke verplichting om aan het college en de burgemeester, als uiteindelijk verantwoordelijken, verslag uit te brengen van zijn bevindingen over de stand van zaken van de uitvoering van zowel de Algemene verordening gegevensbescherming (AVG) als de Wet politiegegevens (Wpg).

Leeswijzer In dit hoofdstuk worden de ontwikkelingen geschetst over het jaar 2024. In hoofdstuk twee wordt aan de hand van de onderdelen van het Privacy Control Framework van de VNG een beschrijving gegeven van waar de gemeentelijke organisatie staat op het gebied van privacy. In hoofdstuk drie volgt een opsomming van de toezichtsactiviteiten van de FG. Tot slot volgt in hoofdstuk vier een beschrijving van de activiteiten van de FG.

Ontwikkeling In het jaarverslag over 2023 heb ik gemeld dat de gemeentelijke organisatie nu een centraal register van verwerkingen heeft zodat de organisatie een beeld heeft waar men staat. Dit is belangrijk omdat hier vervolgens op kan worden gestuurd door het management c.q. de proceseigenaren. In 2024 is er door het college het Privacybeleid Mens Centraal en het Cookiebeleid vastgesteld en zijn er door het GMT procedures opgesteld op de kernprocessen (DPIA-proces, verwerkingsregister, datalekken en rechten van betrokkenen) zodat iedereen weet wat zijn rol is en processen worden gestroomlijnd. Daarnaast is het Expertisecentrum Privacy versterkt en geven gedetailleerdere dashboards sturing op zowel dienst- als organisatieniveau.

3

Met het versterken van de privacy organisatie is Den Haag voortvarend te werk gegaan en er worden voortdurend veel initiatieven ontplooid om dit naar een nog hoger plan te brengen. Initiatieven die vaak ook slagen. Maar ik heb in mijn vorige jaarverslagen ook aangegeven dat de opgave groot is en dat er nog een flink aantal stappen gezet moeten worden om compliant te worden en de risico’s onder controle te hebben. Wanneer ik echter kijk naar de cijfers moet ik concluderen dat er weliswaar hard is gewerkt, maar dat het tempo waarin de achterstand wordt ingelopen te laag is om binnen afzienbare tijd te spreken van een organisatie die voldoende in control is. Van belang is om hier nu extra op in te zetten om te voorkomen dat compliance gaat verzanden in een lange moeizame weg. Door de achterstand lopen burgers en medewerkers van Den Haag onnodig risico’s als het gaat om de bescherming van hun persoonsgegevens en zijn er financiële risico’s voor de gemeente in de vorm van handhavend optreden van een toezichthouder. En de achterstanden wegwerken moet lukken, de gemeente heeft een directie die het belang van privacy niet alleen snapt en onderschrijft, maar hier ook stevig op inzet. Dit blijkt ook uit het feit dat de organisatie de afgelopen jaren een stevige investering heeft gedaan in de privacy organisatie.

Dat is onder meer gedaan door een aantal goede bouwblokken (zoals de governance en procedures) neer te zetten. Daarnaast heeft de gemeente een enthousiast privacy team en zie ik steeds meer commitment bij proceseigenaren om aan de wetgeving te voldoen vanuit een bewustzijn voor de risico’s voor de burger. Maar ik concludeer ook dat de ingezette maatregelen nog niet geleid hebben tot het gewenste resultaat en een duurzame borging. De wedstrijd is pas gewonnen als de finish is gehaald en hoewel we flink op weg zijn, zijn we er nog niet. Mijn oproep is om ondanks alle andere uitdagingen en opgaven die de gemeente heeft de focus op dit onderwerp te houden. Daarbij moet bedacht worden dat de ontwikkelingen op het gebied van (privacy) wetgeving, informatiebeveiliging en AI op dit moment snel gaan, maar ook de bedreigingen toenemen. Omdat een aantal basis onderwerpen niet op orde is, vormen deze nieuwe ontwikkelingen een extra risico voor de gemeente. Naast deze concrete risico’s, is de organisatie nog niet volledig in staat om de ambities waar te maken op een manier waarbij de AVG uitgangspunt is, dat wil zeggen waarbij de rechten van de burgers geborgd zijn. Ik zeg, nog niet volledig, want diverse initiatieven hebben laten zien dat er ook wel veel slaagt en dat het wel kan. Specifiek advies heb ik onder de verschillende hoofdstukken geplaatst.

Matthijs Mulder Functionaris Gegevensbescherming Gemeente Den Haag

4

2. Waar staat de gemeentelijke organisatie. In dit hoofdstuk schets ik, in mijn rol als onafhankelijk toezichthouder, mijn bevindingen over de mate waarin de gemeente voldoet aan haar wettelijke verplichtingen in het kader van naleving van privacywetgeving. Dit beeld is gebaseerd op feiten (zoals bijvoorbeeld de vastgestelde procedures), mijn onderzoeken, de uitkomsten van de DPIA’s en op observaties en gesprekken. De resultaten zijn in kader van hoor- wederhoor, besproken met de CPO en de CISO. Aan hen is gevraagd eventuele feitelijke onjuistheden door te geven. Voor zover van toepassing zijn er aanpassingen doorgevoerd.

Framework Voor de herkenbaarheid heb ik net als vorig jaar voor de bevindingen in dit jaarverslag gebruik gemaakt van het Privacy Control Framework van de VNG. Dit framework bestaat uit zeven onderdelen. Dit hoofdstuk is aan de hand van deze onderdelen opgebouwd. De onderdelen zijn: 1. Beleid 2. Processen 3. Organisatorische inbedding 4. Rechten van betrokkenen 5. Samenwerking 6. Beveiliging 7. Verantwoorden

5

Toelichting Framework Om de resultaten goed te kunnen doorgronden volgt hieronder een korte toelichting op het framework. Het control framework bestaat uit vragen die zien op verplichte onderdelen die direct verwijzen naar de AVG, zoals ‘is er een FG’ of ‘is er een register van verwerkingen’. Wanneer hier niet aan wordt voldaan is dit in strijd met de AVG. Daarnaast bestaat het framework uit indirect verplichte onderdelen zoals bepaalde procedures die de juistheid van gegevens moeten borgen. Denk hierbij aan bepaalde procedures of formats voor DPIA’s of datalekken. Hoewel niet wettelijk verplicht zorgen deze onderdelen er voor dat de gemeente de risico’s beheerst. Het framework is niet alleen een hulpmiddel voor de organisatie om aan alle wettelijke verplichtingen te voldoen, maar ook om de risico’s te beheersen. Belangrijk is nog om aan te geven dat niet alle onderdelen/vragen van het framework met een ‘ja’ of ‘nee’ kunnen worden beoordeeld. Bijvoorbeeld omdat voor een deel van de verwerkingen getoetst is of deze voldoen aan de AVG en deels niet. In dat geval krijg je gedeeltelijk.

Grafische weergave In de onderstaande diagrammen wordt grafisch weergegeven in hoe de gemeente Den Haag er voorstaat op basis van het VNG framework. In het eerste twee plaatje ziet u de situaties in 2022 en 2023.

Totaal 2022

Totaal 2023

Gedeeltelijk Niet van toepassing Onbekend

Gedeeltelijk Niet van toepassing Onbekend

Nee

Nee

Ja

Ja

Situatie in 2024

Gedeeltelijk Niet van toepassing Onbekend Nee Ja

Resultaten over 2024 Op basis van de toetsing aan het privacy control framework is de conclusie dat ten opzichte van 2023 meer onderdelen op groen staan. Dat ziet met name op: • het vaststellen van een procedure voor de rechten van betrokkenen en het inregelen van controls daarvoor; • taken en verantwoordelijkheden die belegd zijn; • het privacybeleid dat actueel is en de vastgestelde procedures.

6

Het is een mooie ontwikkeling dat er op het niveau van vaststellen van verantwoordelijkheden en procedures een verbetering te zien is. Deze verbetering is een belangrijke voorwaarde voor het in control komen voor wat betreft privacy naleving. Daarbij moet ook geconstateerd worden dat bijna 40% nog steeds op gedeeltelijk staat. Dat ziet met name op de verwerkingen van persoonsgegevens. Voor al die verwerkingen geldt dat deze aan de eisen van privacy en informatiebeveiliging moeten voldoen. Een deel van de verwerkingen zijn gecontroleerd en voldoen aan de eisen van privacy en informatiebeveiliging. Maar voor een belangrijk deel is duidelijk dat dit niet bekend is en van een deel is evident dat die niet voldoen. Daarnaast worden bepaalde controls slechts gedeeltelijk uitgevoerd, zoals het register van verwerkingen wat niet compleet is. Dat heeft bijvoorbeeld tot gevolg dat we geen volledig overzicht hebben van waar en/ of hoe binnen de organisatie met persoonsgegevens wordt gewerkt. Of we weten niet of bepaalde gegevens in het register, zoals bewaartermijnen, in de praktijk ook worden nageleefd. Ook worden bepaalde procedures of eisen niet consequent nageleefd, zodat deze ook op gedeeltelijk staan. Door gerichte aandacht vanuit het management is het mogelijk om dit in mijn volgende jaarrapportage op groen te krijgen. Dit geldt ook voor informatiebeveiliging.

Voor een deel van de informatiesystemen wordt jaarlijks verantwoording afgelegd door de proceseigenaren. Dit gebeurt middels een ISMS, een managementinstrument om informatieveiligheid in beeld te brengen, risico’s te identificeren en verantwoordelijkheden te verdelen. Om inzicht in beveiligingsmaatregelen per applicatie en proces te krijgen wordt gebruikgemaakt van een specifieke applicatie. Uit deze controles blijkt dat een deel van de verplichtingen wordt nageleefd, maar soms ook dat dit niet het geval is. Daarnaast is bij een deel van de systemen de beveiliging niet (aantoonbaar) op orde en wordt deze ook niet regelmatig gecontroleerd. Het onderdeel ‘onbekend’ is wederom afgenomen, ook dat is een belangrijke stap naar verder in control komen. Helaas blijkt uit dit inzicht dat dit voor een deel verschoven is naar rood. Dit ziet met name op het gebruik van de grondslag ‘toestemming’ en het controleren van logbestanden. Ik kom hier later op terug.

Beleid Het privacy beleid is het kader waarin wordt aangegeven aan welke principes de gemeente zich houdt, het laat zien hoe de gemeente met persoonsgegevens omgaat en welke maatregelen de gemeente treft om te voldoen aan de wet-en regelgeving en wie hier binnen de organisatie verantwoordelijk voor is. In 2024 is door het GMT een verbeterplan privacy vastgesteld onder meer om te komen tot het opzetten en stroomlijnen van beleid en procedures. Daarnaast heeft het college een nieuw privacybeleid voor de AVG vastgesteld, Mens Centraal Digitaal. Dit privacybeleid is uitgewerkt in diverse procedures; daarin staan de taken, rollen en bevoegdheden beschreven. De procedures zijn in opzet gereed (vastgesteld), maar nog niet volledig geïmplementeerd (bestaan en werking). Het volledig implementeren van het beleid, de betrokken medewerkers hierin trainen en ook het regelmatig onder de aandacht brengen daarvan draagt er aan bij dat de procedures die we met elkaar hebben afgesproken meer en beter worden nageleefd, zodat de risico’s afnemen. Voor de Wet politiegegevens (hierna: Wpg) is in 2023 al beleid gemaakt, hierin staat beschreven hoe medewerkers met de informatie om moeten gaan en hoe de rechten van de burgers worden geborgd.

Advies: Implementeer het privacybeleid en de bijbehorende procedures. Breng deze regelmatig onder de aandacht.

7

Processen Dit onderdeel ziet op het inzichtelijk hebben welke verwerkingsactiviteiten onder verantwoordelijkheid of gezamenlijke verantwoordelijkheid van de gemeente worden uitgevoerd en de mate waarin deze voldoen aan de AVG. Begin 2024 zijn de voorheen registers op dienstniveau naar een uniform centraal register van verwerkingen overgebracht. Hierin staan alle processen van de gemeente waarin persoonsgegevens worden verwerkt. Tevens is toen besloten om de data uit het register te gebruiken als basis voor de management rapportages. De kengetallen die uit het register komen vormen de basis voor de privacy rapportages aan de I-boards, de viermaandsrapportage aan het GMT en dit jaarverslag. Dat vergt dus eisen op het gebied van juistheid en volledigheid. Daar is aan tegemoet gekomen door naast de wettelijk verplichte onderdelen van het register tevens extra kolommen toe te voegen om ook daadwerkelijk in control te komen. Zo is bijvoorbeeld aangegeven of een verwerking DPIA-plichtig is en of die is gedaan, of er een verwerkingsovereenkomst nodig is en of die ook aanwezig is, maar ook heel praktische informatie, zoals de naam of functie van de verantwoordelijk manager/ proceseigenaar. Immers die persoon is verantwoordelijk voor de naleving van de privacyregels binnen zijn afdeling. Wanneer alle kolommen zijn ingevuld is een verwerking ‘compleet’.

Daarnaast moet deze informatie ook geverifieerd worden en geaccordeerd door de proceseigenaar en periodiek aangepast bij wijzigingen van bijvoorbeeld wetgeving. Het overzicht ziet er als volgt uit: Jaar

Totaal aantal verwerkingen

Percentage compleet

2022

900

0%

2023 (stand per maart 2024)

885

75%

2024 (stand per 1 januari 2025)

713

83%

Uit de tabel blijkt dat de achterstanden worden ingelopen, waarbij met name bij SZW en de GGD nog een flinke slag te maken. Daarvoor lopen speciale programma’s om dit in te lopen. Voor alle risicovolle en of grootschalige verwerkingen wordt een zogenaamde Data Protection Impact Assesment gedaan, afgekort DPIA- oftewel een privacy risico analyse. Door de privacyrisico’s, die nu eenmaal gepaard gaan bij een toepassing van een verwerking, te inventariseren en vervolgens maatregelen te implementeren om die risico’s te ondervangen worden de risico’s van de verwerkingen van burgers van onze gemeente en de medewerkers beperkt. Een maatregel kan bijvoorbeeld zijn de burgers (beter) informeren over de verwerking, minder gegevens opvragen, afspraken maken met een samenwerkingspartner/ verwerker, maar soms ook de beveiliging van de gegevens of het handhaven van bewaartermijnen inregelen. Dit zijn serieuze zaken waar stevige boetes voor worden uitgedeeld. Hieronder staat een overzicht van het aantal vastgestelde DPIA’s. Dit zijn DPIA’s die zijn voorzien van een FG advies en geaccordeerd door de proceseigenaar. Jaar

Totaal vastgesteld

2023 (stand peildatum maart 2024)

48

2024 (stand per 1 januari 2025)

92

8

Het kan zijn, dat één DPIA ziet op een aantal (samenhangende) verwerkingen, bijvoorbeeld omdat de uitvoering van een wet of proces in meerdere deelverwerkingen uiteenvalt. Wanneer we kijken naar het aantal DPIA-plichtige verwerkingen in het register en dat relateren aan het aantal verwerkingen waarvoor een DPIA is gedaan ontstaat het volgende beeld. Jaar

Aantal DPIA plichtige verwerkingen

Aantal DPIA-plichtige verwerkingen waarvoor een DPIA is vastgesteld

Percentage DPIA-plichtige verwerkingen waarvoor een DPIA is vastgesteld

2023 (stand peildatum maart 2024)

416

142

34%

2024 (stand per 1 januari 2025)

406

206

50%

Hoewel dit een gestage lijn is betekent bovenstaande tabel wel, dat we voor bijna de helft van de risicovolle verwerkingen niet weten of de risico’s voor de Haagse burger gemitigeerd zijn. Net als in mijn jaarverslag over 2023 merk ik op dat dit zorgwekkend is. Het tempo voor het uitvoeren van DPIA’s moet nog verder omhoog willen we tijdig risico’s voor onze inwoners en medewerkers in beeld krijgen en maatregelen implementeren om deze risico’s te mitigeren. Uitgaande van een huidig aantal van rond de 30 á 40 opgeleverde DPIA’s per jaar gaat het op deze manier nog jaren duren voor de gemeente Den Haag kan aantonen dat de risicovolle verwerkingen aan de AVG voldoen en dat is niet acceptabel. Daar komt nog bij dat er jaarlijks nieuwe verwerkingen bijkomen waarvoor een nieuwe DPIA moet worden verricht. Daarnaast is het advies van de Autoriteit Persoonsgegevens om DPIA’s te herzien als de verwerkingen veranderen, bijvoorbeeld bij een nieuw systeem, of in ieder geval om de drie jaar. Voor een deel van de eerder vastgestelde DPIA’s geldt dat die termijn al is verlopen. Die inhaalslag komt ook nog boven op de opgave. Het is opvallend dat de achterstand zo groot is en over de oorzaak is geen eenduidig antwoord te formuleren.

Uit eigen waarneming zie ik dat bijna alle DPIA’s gemaakt worden door externe adviseurs die weinig binding hebben met de werkvloer en er veel digitaal en op afstand gewerkt wordt. Maar ook het ontbreken van procesbeschrijvingen, het te laat betrekken van de privacy officer of werkdruk bij de proceseigenaar werkt vertragend. Terwijl er genoeg voorbeelden zijn waarbij de deskundige medewerkers en adviseurs bij elkaar gaan zitten waarbij er in korte tijd een hoop werk verzet kan worden. Zo is ruim voor de inwerkingtreding van de nieuwe milieuzone een DPIA uitgevoerd en is drie jaar nadat een DPIA gedaan is voor de bodycam een nieuwe DPIA hiervoor gemaakt. In 2024 is een nieuw DPIA format vastgesteld, deze richt zich meer op de risico’s voor de betrokkenen en moet helpen om de DPIA’s korter, bondiger en daarmee met een kortere doorloopsnelheid op te leveren. Maar belangrijk is om de eindverantwoordelijkheid van de proceseigenaar bij DPIA’s te benadrukken. Daarnaast is van belang dat de maatregelen die worden voorgesteld in de DPIA om de risico’s te mitigeren daadwerkelijk worden uitgevoerd. Uit onderzoeken van zowel internal audit als de FG blijkt dat de maatregelen om deze risico’s te mitigeren op enkele uitzonderingen na niet uitgevoerd waren. Het ECP is eind 2024 begonnen met het inventariseren van de maatregelen zodat daar op gestuurd kan worden.

Dit brengt in ieder geval inzicht in nog te implementeren maatregelen. Belangrijk is echter ook dat de DPIA door de opsteller in samenspraak met de proceseigenaar en het Expertisecentrum Security wordt opgesteld zodat risico’s worden onderkend en waarbij reële uitvoerbare maatregelen worden afgesproken met een realistische termijn waarbinnen de risico’s daadwerkelijk worden gemitigeerd. In 2024 heb ik bij 11 DPIA’s een negatief advies gegeven omdat de effectiviteit van de maatregelen om de risico’s aan te pakken onvoldoende was. Dat kwam ondermeer doordat het onderliggend proces niet conform de wet was en de proceseigenaar niet de middelen had om de maatregelen uit te voeren. In de meeste gevallen heeft de betrokken directeur direct de verantwoordelijkheid genomen en is een project opgestart om de maatregelen planmatig uit te voeren.

9

Advies: leg een ambitie neer om binnen een bepaalde termijn voor alle grootschalige en risicovolle verwerkingen een DPIA te maken. Zorg voor een plan om dit daadwerkelijk uit te voeren en stuur daar op. Borg tevens dat de maatregelen worden uitgevoerd en rapporteer daar over. Werk met standaard maatregelen die goed uitgevoerd kunnen worden.

Organisatorische inbedding Voor een goede en juiste uitvoering is het van belang dat eenieder binnen de organisatie op de hoogte is van de beginselen van de AVG en het belang van privacy. Organisatorische inbedding betekent het toewijzen van taken, verantwoordelijkheden en bevoegdheden. Daarnaast moet er op worden toegezien dat die ook worden nageleefd en dat blijkt niet altijd het geval. Bij organisatorische inbedding hoort ook het beheer op toegangsrechten van systemen. Voor medewerkers die uit dienst treden is goed geregeld dat deze na vertrek geen toegang meer hebben tot de gemeentelijke systemen. Bij een interne wisseling is dit niet altijd het geval. Daarnaast is het belangrijk dat het gebruik van die systemen niet alleen wordt gelogd, maar ook dat dit regelmatig wordt gecontroleerd. Dit voorkomt dat medewerkers gaan kijken in gegevens voor niet functionele doeleinden. Uit uitgevoerde DPIA’s blijkt meestal dat dit niet goed of volledig is geregeld. Niet alleen voldoet de gemeente hier niet aan de beveiligingseisen, maar loopt de organisatie ook een reëel risico.

Advies: zorg voor naleving van de procedures. Faciliteer managers zodat het regelmatig controleren van autorisaties en logbestanden eenvoudig kan worden uitgevoerd en gecontroleerd.

Rechten van betrokkenen Organisaties dienen betrokkenen zowel actief als passief te informeren over de persoonsgegevens die zij verwerken. Daarnaast stelt de AVG betrokkenen middels een aantal rechten in staat om controle uit te oefenen over zijn of haar persoonsgegevens. In 2024 is een nieuw proces vastgesteld en er zijn 21 privacyverklaringen geplaatst op de website. Toch blijkt uit uitgevoerde DPIA’s dat burgers nog regelmatig niet goed worden geïnformeerd, doordat er in formulieren geen verwijzing staat naar een privacyverklaring of folders ontbreken. Daarnaast bleek uit een onderzoek naar DPIA’s dat veel voorgenomen maatregelen om burgers te informeren middels privacyverklaringen niet waren uitgevoerd. Nadat ik dit gesignaleerd heb, is dit alsnog gedaan. Ook is het register van verwerkingen niet online geplaatst. Hoewel dit niet verplicht is op grond van de AVG geeft dit de burgers veel inzicht en transparantie over welke gegevens wij over hen verwerken.

10

Burgers en medewerkers kunnen gebruik maken van hun rechten (inzage, wijziging etc) via de AVG portal van de gemeente. In onderstaande tabel staat een overzicht van deze rechten. 2024

2023

Binnengekomen

55

95

Afgehandeld binnen één maand

33

57

Afgehandeld na verdaging

9

n.b.

Afgehandeld buiten termijn

8

n.b.

Recht toegekend

30

n.b.

Recht afgewezen

3

n.b.

Buiten behandeling gesteld

14

n.b.

Geen persoonsgegevens

3

n.b.

Nog in behandeling

5

n.b.

Ook hier zien we dat we verder in control komen door gedetailleerdere data zodat hier op gestuurd kan worden. Opvallend is de daling in het aantal aanvragen. Waarschijnlijk is het werkelijke aantal verzoeken hoger, maar blijft voor deel van de verzoeken onduidelijk hoe die worden afgehandeld. Daarnaast gelden bij Veilig Thuis en de GGD ook andere wetten die de inzage in gegevens regelen. Hoe dit zich precies verhoudt tot de AVG is in de werkwijze nog niet uitgekristalliseerd. Tot slot kan dit komen omdat verzoeken buiten de procedure om worden behandeld, omdat bijvoorbeeld medewerkers die verzoeken niet herkennen als AVG-verzoeken Met een informele afhandeling kunnen inwoners directer en laagdrempeliger worden geholpen en wordt een formeel juridisch proces voorkomen. Wel is van belang om ook de informele afhandeling te documenteren om zo een goed beeld te krijgen waar binnen de processen verbeteringen mogelijk zijn. Positief is dat bij dit onderdeel ten opzichte van vorig jaar een groot aantal controls op groen zijn gegaan. De inspanningen om dit onderdeel te verbeteren hebben hier zichtbaar resultaat gekregen. Bij een onderzoek bleek de kwaliteit van dit proces ook op orde. Het lagere aantal aanvragen is geadresseerd bij de verantwoordelijk manager die hier in de directie teams aandacht voor zal vragen. Toch is bij dit onderdeel niet alles op orde.

Dat ziet met name op het onderdeel toestemming. In zijn algemeenheid dient een gemeente terughoudend te zijn in de wijze waarop gebruik wordt gemaakt van de grondslag toestemming. Toestemming suggereert immers dat een inwoner een keuze heeft, maar indien deze afhankelijk is van de dienstverlening van de gemeente dan is er feitelijk geen keuze. In veel van onze dienstverlening zijn de burgers immers afhankelijk van de gemeente en in die gevallen is het gebruik van deze grondslag kwetsbaar. In 2024 is onder andere uit DPIA’s naar voren gekomen dat de gemeente deze grondslag onder andere gebruikt als basis voor diverse verwerkingen in het sociaal domein. Het gebruik van toestemming als grondslag voor de gegevensverwerking is kwetsbaar, omdat hiervoor strenge voorwaarden gelden waaraan de gemeente niet in alle gevallen kan voldoen. Er zijn situaties waarin door de gemeente bewust gekozen wordt voor de grondslag toestemming. Bijvoorbeeld voor verwerkingen die ten dienste staan van de soms kwetsbare burgers die tussen wal en schip dreigen te komen. In die situatie is van belang dat er voldoende waarborgen zijn ingebouwd voor een zorgvuldige verwerking. Hierbij kan worden gedacht aan het begrijpelijk informeren over de verwerking met een duidelijke en gedocumenteerde toestemmingsverklaring.

11

Advies: inventariseer wanneer er sprake is van de grondslag toestemming. Gebruik deze grondslag uitsluitend wanneer er aantoonbaar geen andere opties zijn. Bouw in die gevallen waarborgen in, zoals het beter informeren, een adequate beveiliging, alleen in situaties waarin de inwoner er beter van wordt en een duidelijke toestemmingsverklaring die gedocumenteerd is.

Samenwerking Den Haag werkt op meerdere beleidsterreinen, in verschillende bedrijfsfuncties, in diverse rollen en hoedanigheden samen met(mede) overheden en private organisaties. Zoals leveranciers van software. De AVG verplicht in deze situatie tot het sluiten van verwerkersovereenkomsten. Uit de dashboards blijkt dat nog niet voor alle verwerkingen aantoonbaar is dat een dergelijke overeenkomst aanwezig is. Daarnaast is het zaak dat de afspraken met de verwerkers ook worden gecontroleerd, beheerd en herzien indien daar aanleiding voor is. Ook dit gebeurt niet in alle gevallen. Het is daarom belangrijk dat contractbeheer goed wordt ingeregeld. Het afsluiten van een verwerkersovereenkomst is niet enkel een formele verplichting. Er staan voor de leverancier ook verplichtingen in over informatiebeveiliging. Bijvoorbeeld over het melden van datalekken en beveiligingsupdates. Indien er zich een incident voordoet zijn duidelijke en gedocumenteerde afspraken van groot belang. Die zijn niet in alle gevallen beschikbaar. Daarmee loopt de gemeente een risico dat in geval van een beveiligingsincident niet voldoende adequaat kan worden gereageerd. In de media wordt steeds vaker melding gemaakt van beveiligingsincidenten, zoals criminele hackers die waren binnengedrongen bij de TU Eindhoven.

Wanneer zich een dergelijk incident zou voordoen bij de gemeente Den Haag is onder andere de tijdige en volledige beschikbaarheid van de gedocumenteerde afspraken met de leverancier van groot belang. Verder neemt de gemeente Den Haag deel aan verschillende samenwerkingsverbanden. Denk hierbij aan het Zorg- en Veiligheidshuis, het RIEC, Heit, maar ook in het onderwijs en met de zorgpartners. Op een uitzondering na is het niet goed mogelijk om bij deze samenwerkingsvormen aan te tonen dat aan de AVG wordt voldaan. Dit komt mede omdat vaak niet duidelijk is of goed is vastgelegd wat ieders verantwoordelijkheid is, hoe de afspraken zijn geborgd en hoe dat wordt gecontroleerd. Ook staat de grondslag vaak ter discussie en is de noodzaak en proportionaliteit niet altijd onderbouwd of aangetoond. Terwijl de verwerkingen grote impact kunnen hebben op de betrokkenen en het vaak om zeer gevoelige gegevens gaat. In 2024 is een nieuwe wet aangenomen om de aanpak van ondermijnende criminaliteit te versterken en te versnellen en ook om daarvoor een wettelijke grondslag te bieden. Dat is de Wet gegevensverwerking door samenwerkingsverbanden. Begin 2025 treedt die wet in werking. Deze wet geeft een wettelijke basis voor de gegevensdeling bij onder meer het RIEC en het Zorg- en Veiligheidshuis, maar stelt tevens stevige eisen aan de naleving en het inrichten van waarborgen.

Daarnaast moet er een coördinerend FG worden aangesteld. De discussie over hoe en onder welke voorwaarden dat wordt geregeld is nog niet geslecht en zowel het RIEC als het Zorg- en Veiligheidshuis hebben een grote opgave om aan de eisen uit de AVG en WGS te voldoen. Daarnaast neemt de gemeente Den Haag ook deel aan lokale samenwerkingsverbanden op het gebied van veiligheid. De ruimere verstrekkingsmogelijkheden en de grondslagen uit de WGS gelden hier dus niet. Wel geldt de AVG, waar op dit moment niet aan wordt voldaan.

Informatieveiligheid De AVG vereist dat je als lijnverantwoordelijke passende technische en organisatorische maatregelen neemt om zo een risico gestuurd beveiligingsniveau aan te tonen. Voor overheden zijn deze maatregelen onder meer uitgewerkt in de Baseline Informatiebeveiliging Overheid (de BIO). De verantwoordelijkheid voor de informatiebeveiliging binnen de gemeente Den Haag is belegd in de lijn.

12

Datalekken Bij datalekken is er sprake van een inbreuk op de beveiliging waarbij er persoonsgegevens in het geding zijn. Deze kunnen grote impact hebben op de betrokkene. Denk aan gevoelige gegevens die bij een ander terecht komen of een grootschalige hack. Hieronder is een overzicht te zien van het aantal datalekken. Aantal datalekken

Aan de AP gemeld

Te laat gemeld

2022

215

44

Nb.

2023

378

48

6

2024

253

49

3

Bijzonder is dat er een flinke daling is te zien in het aantal datalekken. Het is lastig om hier een verklaring voor te vinden, maar mogelijk speelt verminderde aandacht voor dit onderwerp een rol, waardoor datalekken mogelijk niet worden gemeld. Net als in mijn verslag van vorig jaar merk ik op dat we ons als gemeente te kort doen door te weinig te leren van datalekken. Uit onderzoek blijkt dat er nauwelijks effectieve maatregelen worden voorgesteld om nieuwe datalekken te voorkomen en in die gevallen dat er al maatregelen worden voorgesteld is niet aantoonbaar dat deze ook daadwerkelijk zijn geïmplementeerd. Daarnaast wordt ook niet onderzocht of maatregelen effectief zijn. In 2024 is een nieuwe procedure voor datalekken vastgesteld, waarin hiervoor extra waarborgen zijn ingebed. Uitvoering van deze procedure waar samen met de verantwoordelijk manager gezocht gaat worden hoe nieuwe datalekken voorkomen kunnen worden en deze maatregelen monitoren zal de veiligheid verbeteren.

Informatiebeveiliging Uitgangspunt binnen de gemeentelijke organisatie voor informatiebeveiliging is dat risicomanagement leidend is. De beveiliging van de belangrijkste processen, applicaties en databronnen heeft de hoogste prioriteit. Dit zijn de zogenaamde ‘kroonjuwelen’. Dat is een applicatie die noodzakelijk is voor het primair proces. Deze zijn opgenomen in een ISMS-cyclus1. Hierbij levert de proceseigenaar bewijs aan dat aan de maatregelen is voldaan. Daarnaast worden ook jaarlijks tijdens projecten nieuwe of vervangen applicaties opgenomen in deze ISMS-cyclus. Een groot gedeelte van de applicaties is niet opgenomen in de ISMS-cyclus. Het is daarmee onbekend c.q. niet na te gaan of de gemeente op dit punt voldoet. In 2024 heeft de Rekenkamer onderzoek gedaan naar digitale veiligheid bij mobiel werken, daarnaast heeft de CIO een audit laten uitvoeren naar het volwassenheidsniveau van de gemeentelijke informatieveiligheid. Het college en de Raad zijn over de uitkomsten hiervan geïnformeerd, zodat ik hier niet op inga. Op dit gebied ligt nog een flinke opgave. Dit blijkt ook uit de uitgevoerde DPIA’s waarbij in een fors aantal gevallen niet kon worden aangetoond dat aan de beveiligingseisen werd voldaan. In die gevallen werd alsnog een informatiebeveiligingsadvies gegeven en de maatregelen geïmplementeerd.

Verder bleek zoals eerder gemeld dat het controleren van logbestanden vaker niet dan wel was geregeld. Daarnaast waren er ook andere risico’s, omdat bijvoorbeeld nog vaak op de G-schijf wordt gewerkt of groeps emailboxen. Autorisatiebeheer, loggen en het monitoren daarvan is daarbij lastig in te regelen. Evenals het naleven van bewaartermijnen. Om deze risico’s te ondervangen wordt geleidelijk overgegaan op een zaaksysteem. Verder wordt waarschijnlijk in 2025 de nieuwe Cyberbeveiligingswet (NIS2) van kracht. Ook vanuit een oogpunt van de genoemde cyberdreiging is het zaak om hier aan te voldoen. Voor de aanbevelingen op informatiebeveiliging verwijs ik naar de aanbevelingen in de eerder genoemde rapportages.

1 Information Security Management System – de security PDCA-cyclus

13

Verantwoorden De AVG legt de verantwoordelijkheid bij de organisatie zelf om aantoonbaar te maken dat deze voldoet aan de privacyregels. Door te voldoen aan de verantwoordingsplicht, levert de organisatie een belangrijke bijdrage aan de bescherming van mensen op privacy. De gemeente Den Haag moet aantonen dat de verwerkingen voldoen aan de belangrijkste beginselen van de AVG. Sinds 2022 rapporteert de CPO in de viermaandsrapportage aan het Gemeentelijk Management Team en de wethouder bedrijfsvoering over de stand van zaken AVG en sinds 2023 ook over de Wpg. Dit gebeurt zoveel als mogelijk in de vorm van dashboards. Middels rapportages aan de I-boards van de verschillende diensten wordt specifiek ingegaan op de situatie per dienst.

Wet politiegegevens Naast de AVG geldt voor bepaalde verwerkingen binnen de Gemeente Den Haag de Wet politiegegevens. Het gaat hierbij om de gegevensverwerkingen van de buitengewoon opsporingsambtenaren (boa’s) voor de opsporing van strafbare feiten. Denk daarbij aan onder meer leerplichtambtenaren, stadswachten en sociaal rechercheurs. Het bijzondere aan de Wpg is de veelvoud aan toezicht en auditverplichtingen. Naast een periodieke verplichte externe audit, is ook periodiek een interne audit verplicht bovenop het toezicht van de FG. In een toetsingskader opgesteld door de bracheorganisatie NOREA hoe de controle op de naleving van de Wpg moet worden uitgevoerd. Ook voor de FG staat dit voorgeschreven. Dit worden de verplichte toezichtsmaatregelen genoemd. Hoewel al dit toezicht zeker bijdraagt dat de werkzaamheden op een zorgvuldige wijze wordt uitgevoerd, brengt het ook een grote administratieve last met zich mee. Daarbij hebben verplichte controle maatregelen ook tot gevolg dat er in het algemeen niet zozeer risicogestuurd te werk wordt gegaan, maar gewerkt wordt aan het halen van de vinkjes. Zo kan het zijn dat de aandacht komt te liggen op het ontbreken van een procedure voor de rechten van betrokkenen bij een specifieke afdeling, terwijl daar nauwelijks verzoeken binnenkomen.

Terwijl bijvoorbeeld het regelmatig monitoren van logbestanden, waarmee ongeoorloofd inzien van bestanden tijdig kan worden gedetecteerd, niet is ingeregeld. Dit alles neemt niet weg dat de gemeente Den Haag sinds de eerste initiële audit een mooie gestage lijn laat zien met de compliance, waarbij de handhavingsorganisatie zelfs koploper is. Dit is een prestatie waar we trots op mogen zijn. De uitdaging is nu om ook voor de andere onderdelen, te weten; de strafrechtelijke fraudebestrijding van zorg- en uitkeringsfraude en het strafrechtelijk aanpakken van schoolverzuim te zorgen dat deze compliant worden. Een mooie stap is verder dat in 2024 speciaal voor de Wpg een privacy officer is aangesteld. Hierdoor kunnen de diensten beter ondersteund worden. Na de zomer van 2024 heeft Internal Audit een audit uitgevoerd op alle betrokken afdelingen op zowel opzet, bestaan en werking. De resultaten van deze audit zijn besproken in het GMT. In 2025 vindt een externe audit plaats. De resultaten hiervan worden ook gedeeld met de Raad en toegestuurd naar de Autoriteit Persoonsgegevens. Als FG heb ik in 2024 de verplichte Wpg-onderzoeken verricht. Deze worden besproken in het volgende hoofdstuk.

14

3. Onderzoeken Omwille van transparantie heeft de FG in 2024 een toezichtsplan voor de AVG en Wpg opgesteld. Aan de hand van deze toezichtsplannen zijn de volgende onderzoeken verricht die zien op de AVG. Onderzoek

Inhoudelijke bevinding

Conclusie

Advies

Proces datalekken

• Aanbevelingen uit een eerder onderzoek niet volledig geïmplementeerd; • Register onvolledig ingevuld; • Zeer beperkt maatregelen om nieuwe datalekken te voorkomen; • Geen controle op implementatie van voorgestelde maatregelen na een datalek

Naleving AVG onvoldoende

Implementeer een procedure hiervoor en zie toe op de naleving.

DPIA maatregelen

• Bij geen enkele van de onderzochte DPIA waren alle maatregelen uitgevoerd; • Geen sturing en inzicht op de maatregelen; • Eerdere adviezen niet geïmplementeerd.

Naleving AVG onvoldoende

Implementeer alsnog een procedure en zie toe op de uitvoering van maatregelen.

Privacystatement

• Een deel van de privacy statements bleek niet gepubliceerd.

Schending transparantie

Publiceer alsnog de privacystatements en verbeter dit proces.

Register van verwerkingen

• De kwaliteit van het register ten opzichte van vorig jaar bleek zienderogen vooruit gegaan; • De juistheid en aantoonbaarheid van de gegevens bleek niet afdoende.

Naleving AVG onvoldoende

Implementeer de beheersmaatregelen

Rechten van betrokkenen

• Een groot aantal beheersmaatregelen waren geïmplementeerd zoals formats, werkinstructies en een systeem waarbij tevens gestuurd werd op een tijdige afdoening: • Daarnaast is de samenwerking tussen de betrokken afdelingen verbeterd; • Opvallend was het lage aantal AVG verzoeken uit het sociaal domein, OCW, SZW, Veilig Thuis en de GGD Haaglanden.

Transparantie

Breng de rechten van betrokkene procedure onder de aandacht van de diensten.

15

De constateringen en de adviezen op deze rapporten zijn besproken met de CPO, de CIO en de Algemeen Directeur Bedrijfsvoering, die tevens portefeuillehouder privacy is. Toegezegd is dat de aanbevelingen van de FG worden overgenomen. Met de daadwerkelijke uitvoering van de procedures die in 2024 zijn vastgesteld kunnen een groot deel van de geconstateerde gebreken worden weggenomen. Een deel van de aanbevelingen is (nog) niet geïmplementeerd. Met betrekking tot de Wpg heeft de FG toezicht gehouden door middel van de volgende onderzoeken: Onderzoek

Aanbeveling

Een onderzoek naar onder meer de implementatie van het Wpg beleid en de opvolging van de DPIA maatregelen

Mijn belangrijkste aanbeveling is het opzetten van een rapportagestructuur waardoor de gemeente niet afhankelijk is van audits om een beeld te krijgen waar de organisatie staat. Deze aanbeveling is overgenomen door het opstellen van een framework dat in 2025 geïmplementeerd zal worden.

Een onderzoek naar Internal Audit, of de audits die deze afdeling verricht conform de normen worden uitgevoerd.

Hieruit kwamen een paar formele bevindingen die aan het hoofd van de afdeling is teruggekoppeld.

Een onderzoek naar Leerlingzaken

Hierbij zijn aanbevelingen gedaan over het slimmer monitoren van logbestanden, het bewaren van controle formulieren waardoor de controle van proces-verbalen aantoonbaar wordt en aanbevelingen om het soms onvermijdelijke gebruik van bijzondere persoonsgegevens te minimaliseren.

De Handhavingsorganisatie

Hierbij wordt aangesloten bij de bevindingen van Internal Audit om onder andere de logbestanden regelmatig te controleren.

Fraudebestrijding SZW

Een groot aantal risico’s kunnen ondervangen worden door over te gaan op een zaaksysteem, daarnaast is aanbevolen om het Wpg beleid regelmatig onder de aandacht te brengen van de medewerkers.

Fraudebestrijding OCW

Ook hier geldt dat aansluiting bij een zaaksysteem de geconstateerde risico’s flink kan beperken.

DPIA’s

Verder bleek bij alle afdelingen dat de afgesproken maatregelen op de DPIA’s uit 2023 niet geheel waren uitgevoerd, terwijl de termijn daarvoor verstreken was.

Naast de genoemde onderzoeken is ad-hoc toezicht gehouden bijvoorbeeld naar aanleiding van datalekken en geconstateerde privacy risico’s. Afhankelijk van het risico zijn de constateringen besproken met managers en/of gerapporteerd naar Algemeen Directeuren.

16

4. Overig De FG is contactpersoon voor de Autoriteit Persoonsgegevens en is bereikbaar voor kwesties van Haagse burgers en medewerkers over de AVG en Wpg. De FG is extern bereikbaar middels een eigen email adres. Hier komen, naast inzage verzoeken, ook klachten of datalekken binnen. Dit zijn er enkele tientallen per jaar. Verder houdt de FG zich bezig met het adviseren op de naleving van de AVG en Wpg, adviseren over DPIA’s, onderzoek, deelname aan werkgroepen, het geven van voorlichting en het onderhouden van relevante netwerken. De Autoriteit Persoonsgegevens heeft een aantal malen via de FG contact opgenomen met de gemeente Den Haag. Het ging daarbij om burgers die zich met klachten tot de AP hadden gewend. Daarnaast heeft de AP twee verkennende onderzoeken opgestart die bedoeld zijn om een beeld te krijgen van naleving binnen een bepaalde sector, daarnaast is een aantal malen een oordeel gegeven over een klacht. Deze waren ongegrond en/of leiden niet tot onderzoeken.

17