RIS322122 Jaarverslag FG

Typ tekstTyp tekstTyp tekst

Hilbert Bredemeijer Wethouder van Onderwijs, Jeugd, Sport en Dienstverlening

dienst: dienstcode

Retouradres: Postbus 12600, 2500 DJ Den Haag

Ons kenmerk

Aan de voorzitter van de Rekeningencommissie

DBV/10887829 RIS322122 Contactpersoon

Sah Farooq Dienst

Dienst Bedrijfsvoering Afdeling

I&A Telefoonnummer

14070 Datum

E-mailadres

13 mei 2025

sah.farooq@denhaag.nl Bijlage

Onderwerp

1

Reactie - Jaarverslag FG

Geachte voorzitter, Het college bedankt de Functionaris Gegevensbescherming (FG) voor het uitgebreide jaarverslag over 2024. Wij waarderen de grondige analyse en de heldere beschrijving van de huidige stand van zaken met betrekking tot de naleving van de Algemene verordening gegevensbescherming (AVG) en de Wet politiegegevens (Wpg) binnen onze gemeentelijke organisatie. Wij zien dat de inspanningen die zijn geleverd en de stappen die zijn gezet worden erkend, maar zijn ons bewust van de uitdagingen die nog voor ons liggen en de noodzaak om verdere stappen te zetten om meer compliant te worden. Het college is vastbesloten om de focus op privacy en informatiebeveiliging te behouden. Wij zullen blijven investeren in programmavoering op compliance en zorgen voor een duurzame borging van de privacymaatregelen. Een belangrijk deel van de aanbevelingen van de FG hebben betrekking op de Data Protection Impact Assessments (DPIA’s). We zullen daarom vooral primair ingaan op de huidige stand van zaken, de genomen en de geplande maatregelen om te zorgen dat we voor alle verwerkingen DPIA’s hebben. Huidige stand van zaken DPIA Momenteel heeft de gemeente een werkvoorraad van 200 verwerkingen waar een DPIA op moet worden uitgevoerd.

Door een deels gebundelde aanpak die we hierna zullen toelichten, resulteert een werkvoorraad van 130 DPIA's (circa 50 DPIA’s lopen inmiddels en circa 80 moeten nog starten). Hierbij wordt risico gestuurd gewerkt waarbij de meest risicovolle processen als eerste worden opgepakt. Gezien het belang van privacybescherming en de naleving van de Algemene Verordening Gegevensbescherming (AVG) en de Wet Politiegegevens (Wpg) is het noodzakelijk om deze voorraad snel en effectief weg te werken. Het college onderkent de urgentie en neemt concrete stappen om deze achterstand versneld in te lopen, maar ziet ook de complexiteit van de processen en de inspanning die nodig is om de processen zelf zo te beschrijven dat een DPIA zinvol kan worden uitgevoerd. Een plan met het oogmerk om verdere versnelling in het beschrijven van processen te behalen is in de maak.

Gemeente Den Haag

Spui 70 Den Haag

Postbus 12600 2500 DJ Den Haag

Telefoonummer 14070 www.denhaag.nl

Gemeente Den Haag Ons kenmerk

DBV/10887829

Voor een groot deel van de grootschalige en risicovolle verwerkingen verwachten wij uiterlijk over 12 maanden een afgeronde DPIA te hebben en een plan van aanpak voor de opvolging van de aanbevelingen. Als een deel van de DPIA’s dan niet is afgerond zullen we een helder tijdspad geven voor de termijn waarop die DPIA’s en de maatregelen wel kunnen worden afgerond. Verwerkingsregister Het verwerkingsregister is inmiddels (peildatum: medio april 2025) voor 87% compleet. Wat een verbetering is ten opzichte van het percentage van 83% dat in het verslag is genoemd (peildatum 1 januari 2025). We hebben steeds meer zicht op wat er in die processen zou moeten gebeuren om ze compliant aan de wetgeving te krijgen. Het streven is om een compleetheid van minimaal 90% te halen in de loop van 2025. Een hoger percentage dan dat is in de praktijk lastig te realiseren, ook al streven wij daar wel naar. Gemeentelijke processen veranderen immers regelmatig, waardoor een volledig sluitend register in de praktijk niet haalbaar is. De resterende 10% zal naar verwachting als marge voor de dynamiek binnen de gemeente blijven bestaan waarbij meest risicovolle processen steeds voorrang krijgen. Validatie processen Van ongeveer 50% van de processen uit het verwerkingsregister kan inmiddels worden gesteld dat deze zijn gevalideerd en grotendeels aan de wettelijke eisen voldoen.

Wel blijft het een aandachtspunt om de onderliggende maatregelen, die uit een DPIA voortkomen, versneld te implementeren zodat deze processen volledig compliant worden. Privacy-overeenkomsten In 75% van de gevallen waarin een privacy-overeenkomst vereist was, is deze inmiddels afgesloten. Het beleid is dat bij samenwerkingen met derden, de Haagse standaardovereenkomsten worden gebruikt. Daarmee worden risico’s die bij het gebruik van overeenkomsten van derden kunnen ontstaan opgevangen. Deze Haagse standaardovereenkomsten zijn in samenwerking met juridische zaken, en in het geval van de verwerkersovereenkomst door de VNG, opgesteld. Voortgang op de in 2024 aangekondigde maatregelen Ons streven is om op het gebied van compliance steeds meer in control te zijn en het niveau van compliance te verhogen. Daarbij hebben wij ook de aanbevelingen uit eerdere rapportages ter harte genomen zoals toegelicht in de rekeningen commissie in oktober 2024. Dit heeft geleid tot verbeteringen, zoals blijkt uit de bovenstaande cijfers. Concreet zijn de volgende inhoudelijke stappen gezet. 1. Slim samenvoegen van verwerkingen Door verwerkingen logisch samen te voegen, kunnen meerdere verwerkingen in één DPIA worden gevat omdat ze vergelijkbare risico’s hebben, de zelfde soort gegevens op eenzelfde manier verwerken en binnen hetzelfde proces vallen.

Dit is een efficiëntieslag die expliciet mogelijk is volgens de AVG. Daarmee is het getal van de totale DPIA-voorraad kleiner dan het aantal verwerkingen uit het register van verwerkingen. Door deze maatregel is zoals gezegd het aantal nog op te stellen DPIA’s 130 in plaats van 200 die in het jaarverslag van de FG staan. 2. Invoeren van gespecialiseerde DPIA-software Wij hebben geïnvesteerd in gespecialiseerde softwaretools die het DPIA-proces standaardiseren en versnellen. Deze tools automatiseren standaardvragen en risicobeoordelingen, wat leidt tot een efficiënter proces en consistentere resultaten.

2/6

Gemeente Den Haag Ons kenmerk

DBV/10887829

De medewerkers worden momenteel getraind om deze software in gebruik te nemen. In de aankomende periode wordt verkend hoe deze software nog verder ingericht kan worden om het proces verder te automatiseren. 3. Inzet van AI-gebaseerde DPIA-analyse Als innovatieve versneller zullen we AI-tools verkennen om risico's automatisch te identificeren, standaardvragen te beantwoorden en concepten te genereren. Samen met het ministerie van SZW onderzoeken wij dit jaar de mogelijkheden hiervan via een trial. Daarnaast verkennen we welke veilige AI-tools voor de overheid er in de markt zijn, die bij kunnen dragen aan het versnellen van het DPIAproces. 4. Verbeterde dashboards De dashboards zijn verbeterd en geven nu een diepere kijk per dienst, waardoor sneller en accurater ingegrepen kan worden bij achterblijvende resultaten. Hiermee kan er beter gemonitord en gestuurd worden op de privacy-risico’s. Deze verbetering zal in de loop van dit jaar verder uitgediept worden met het gebruik van dashboards uit de GRC-tool. Dat is software die organisaties helpt bij het beheren van drie belangrijke domeinen: governance, risicomanagement en compliance 5. Monitoring van maatregelen Sinds begin 2025 worden de maatregelen om de hoge risico’s te beperken uit de vastgestelde DPIA’s actief gemonitord, zodat ook gestuurd kan worden op de daadwerkelijke uitvoering ervan.

In 2025 zijn alle maatregelen van risicovolle processen bij geaccordeerde DPIA’s geregisteerd in één overzicht. Op basis van dit overzicht zal door de Chief Privacy Officer (CPO) elke eigenaar van die maatregel worden gevraagd naar de status daarvan. De FG en internal audit zal steekproefsgewijs controleren op de genomen maatregelen. De CPO informeert vanuit haar monitorende taak alle diensten over de voortgang van de te nemen maatregelen uit de DPIA’s. Dit zorgt voor een betere borging van de privacy-compliance in de organisatie. 6. Uitvoering van onafhankelijke audits Er zijn audits uitgevoerd of nog lopende op het gebied van security en privacy. Deze audits dragen bij aan het verder verbeteren van onze processen en systemen. De voorgestelde aanbevelingen worden opgevolgd. 7. Gemeentelijke samenwerking via gedeeld platform Parallel aan bovenstaande maatregelen verkennen we de mogelijkheden voor samenwerking met andere gemeenten via een gedeeld platform. Dit platform, gefaciliteerd door o.a. de VNG, maakt kennisdeling, standaardmodellen en gezamenlijke DPIA’s mogelijk. Wij verkennen momenteel met zowel de VNG als de G4 hoe dit effectief uitgevoerd kan worden. 8.

Efficiëntere werkvorm en intensivering We gaan verder vervolmaken hoe we de werkvorm van de praktische uitvoering van DPIA’s effectiever en efficiënter kunnen laten verlopen met gerichte inzet en intensivering van benodigde capaciteit en deskundigheid binnen de gehele organisatie. Tot slot Door deze integrale aanpak zorgen we ervoor dat de gemeente als geheel beter in control komt en aan de wettelijke verplichtingen kan voldoen. Door regelmatig de voortgang te evalueren en waar nodig bij te sturen, zorgen we ervoor dat de ingezette verbeteringen daadwerkelijk worden gerealiseerd.

3/6

Gemeente Den Haag Ons kenmerk

DBV/10887829

Alhoewel door de dynamiek van een grote organisatie als de onze, altijd een beperkte werkvoorraad zal blijven bestaan, streven wij ernaar om met de gekozen, gecombineerde aanpak de werkvoorraad van DPIA’s verder en substantieel te reduceren. Hiermee zetten we een belangrijke stap richting een structureel compliant en privacybewuste gemeentelijke organisatie. Uiteindelijk waarborgen we zo de privacy van onze burgers en medewerkers en versterken we het vertrouwen in onze gemeentelijke dienstverlening. Met vriendelijke groet, de wethouder van Onderwijs, Jeugd, Sport en Dienstverlening Hilbert Bredemeijer

4/6

Gemeente Den Haag Ons kenmerk

DBV/10887829

Bijlage A: Overzicht van aanbevelingen en gestarte of geplande maatregelen Aanbeveling

Toelichting o.b.v. rapport FG

Genomen of geplande maatregelen

Versnellen op inhaalslag

Het tempo waarin de werkvoorraad wordt ingelopen is te laag. Er moet extra inzet komen om te voorkomen dat compliance verzandt in een lange moeizame weg. Het volledig implementeren van het beleid, het trainen van betrokken medewerkers en het regelmatig onder de aandacht brengen daarvan is noodzakelijk om risico’s te verminderen.

Zie uitwerking in de commissiebief.

Volledige implementatie van beleid en procedures

Verhogen van het tempo voor DPIA’s

Uitvoeren van voorgestelde maatregelen in DPIA’s Verbeteren van organisatorische inbedding

Verbeteren van informatie aan burgers

Documenteren van informele afhandeling van verzoeken

Terughoudend gebruik van toestemming als grondslag

Sluiten en beheren van verwerkersovereenkomsten

Het tempo voor het uitvoeren van Data Protection Impact Assessments (DPIA’s) moet omhoog om tijdig risico’s voor inwoners en medewerkers in beeld te krijgen en maatregelen te implementeren. De maatregelen die worden voorgesteld in de DPIA’s om risico’s te mitigeren moeten daadwerkelijk worden uitgevoerd. Het toewijzen van taken, verantwoordelijkheden en bevoegdheden moet beter worden nageleefd. Ook het beheer op toegangsrechten van systemen moet worden verbeterd. Burgers moeten beter worden geïnformeerd over de verwerking van hun persoonsgegevens. Dit kan door verwijzingen naar privacyverklaringen in formulieren en het plaatsen van het register van verwerkingen online. Informele afhandeling van verzoeken moet worden gedocumenteerd om een goed beeld te krijgen waar binnen de processen verbeteringen mogelijk zijn. De gemeente moet terughoudend zijn in het gebruik van toestemming als grondslag voor gegevensverwerking, vooral wanneer burgers afhankelijk zijn van de dienstverlening van de gemeente. Voor alle verwerkingen moeten verwerkersovereenkomsten aanwezig zijn en deze moeten worden gecontroleerd, beheerd en herzien indien nodig.

Wordt als onderdeel van de awareness-programma’s meegenomen. Daarnaast wordt de privacy academie (zelfredzaam maken van medewerkers) bij steeds meer diensten ingezet. Zie uitwerking in de commissiebief.

Zie uitwerking in de commissiebief. Wordt als onderdeel van de awareness-programma’s meegenomen.

Het verwerkingsregister wordt geleidelijk online gepubliceerd. Er zullen meer privacyverklaringen op de website geplaatst worden en op de online formulieren daarnaar verwezen worden. Het register van de rechten van betrokkenen zal op dat punt aangepast worden. Elke individuele casus moet juridisch getoetst worden op de verantwoorde en mogelijke inzet van toestemming als grondslag. Zie uitwerking in de commissiebief.

5/6

Gemeente Den Haag Ons kenmerk

DBV/10887829

Verbeteren van informatiebeveiliging

Leren van datalekken

Voldoen aan de verantwoordingsplicht

Compliance met de Wet politiegegevens (Wpg)

De beveiliging van informatiesystemen moet worden verbeterd, inclusief het controleren van logbestanden en het naleven van bewaartermijnen. Er moeten effectieve maatregelen worden voorgesteld en geïmplementeerd om nieuwe datalekken te voorkomen. Daarnaast moeten maatregelen worden onderzocht op effectiviteit. De gemeente moet aantonen dat de verwerkingen voldoen aan de belangrijkste beginselen van de AVG en de verantwoordingsplicht naleven. De gemeente moet blijven voldoen aan de Wpg, inclusief de verplichte externe en interne audits.

Zie audit security.

Dit wordt als onderdeel van de awareness-programma’s opgepakt.

De genoemde maatregelen zullen daaraan bijdragen. De ingezette verbetermaatregelen, zoals de inkoop van een software om de gegevens in een beveiligde omgeving te verwerken en het aanvullen van de verwerkersovereenkomst, zullen verder worden opgepakt. In 2025 wordt een externe audit uitgevoerd.

6/6