RIS324454 Stand van zaken toezeggingen privacy en transparantie (Rekeningencommissierapport 2024)

Typ tekstTyp tekstTyp tekst

Hilbert Bredemeijer Wethouder van Onderwijs, Jeugd, Sport en Dienstverlening

dienst: dienstcode

Retouradres: Postbus 12600, 2500 DJ Den Haag

Ons kenmerk

Aan de voorzitter van de Rekeningencommissie

DBV/11003059 RIS324454 Contactpersoon

Dennis Ravensbergen Dienst

Dienst Bedrijfsvoering Afdeling

I&A Telefoonnummer

14070 Datum

E-mailadres

27 januari 2026

wijnand.vandrooge@denhaag.nl

Onderwerp

Stand van zaken toezeggingen privacy en transparantie (Rekeningencommissierapport 2024)

Geachte voorzitter van de Rekeningencommissie, In de bestuurlijke reactie van het college op het Rapport van de Rekeningencommissie 2024 (RIS322763) heeft het college met betrekking tot het Jaarverslag van de Functionaris Gegevensbescherming een aantal toezeggingen gedaan. Met deze brief informeer ik de commissie over de stand van zaken met betrekking tot: • de achterstanden in de compliance (toezegging nummer: 19); • de dashboards privacybeleid (toezegging nummer: 21); • publicatie DPIA’s (toezegging nummer: 22). Omdat deze toezeggingen nauw verband met elkaar houden ga ik als eerste in op de onderlinge samenhang. Daarna wordt er een toelichting gegeven op gegevensverwerkingen en onze privacy organisatie. Tot slot geef ik een toelichting op de stand van zaken per toezegging. Samenhang en uitleg over gegevensverwerkingen Binnen de gemeente worden persoonsgegevens gebruikt in uiteenlopende processen. Het gebruik van persoonsgegevens wordt in privacywetgeving een ‘verwerking’ genoemd. Het gaat hierbij om elke handeling met betrekking tot persoonsgegevens. Denk aan bijvoorbeeld het verzamelen, opslaan, gebruiken en verwijderen van persoonsgegevens. Een proces bevat vaak meerdere verwerkingen. Deze verwerkingen zijn nodig om ons werk als gemeente voor inwoners en ondernemers goed te kunnen doen.

Om dit te concretiseren kan als voorbeeld gekeken worden naar het proces ‘Wmo-melding’. In dit proces wordt een aantal stappen gezet waarbij persoonsgegevens worden ingediend, opgevraagd, aangevuld of gewijzigd, bijvoorbeeld: Stap 1: De intake, waarin een Wmo-melding van de burger door de gemeente wordt ontvangen met daarin onder meer de naam en het BSN van de burger; Stap 2: De analyse, waarin een casemanager de ontvangen Wmo-melding analyseert om tot een advies te komen inzake het verzoek van de burger, hierbij wordt onder meer de BRP geraadpleegd; Stap 3: De indicatie, waarin wordt besloten tot het toekennen, of afwijzen van het verzoek, waarvoor de adresgegevens voor het toezenden van het besluit worden gebruikt.

Gemeente Den Haag

Spui 70 Den Haag

Postbus 12600 2500 DJ Den Haag

Telefoonummer 14070 www.denhaag.nl

Gemeente Den Haag Ons kenmerk

DBV/11003059

Hierbij bestaat elke processtap uit één of meerdere verwerkingen. Voor elke verwerking wordt bepaald of er privacy-risico's zijn en welke maatregelen nodig zijn om die risico's te mitigeren. Een Data Protection Impact Assessment (hierna: DPIA) is het instrument om privacyrisico’s van een (gegevens)verwerking in kaart te brengen. Enerzijds is niet elk proces DPIA-plichtig. Anderzijds als er sprake is van gelijksoortige DPIA-plichtige processen, dan kunnen deze gebundeld getoetst worden middels een DPIA. Dit doet de gemeente bijvoorbeeld bij handhavingsprocessen voor vergunningen en bij de processen van het KlantContactCentrum (KCC). Bij het voldoen aan privacy wet- en regelgeving hoort dat organisaties inzichtelijk hebben welke verwerkingen zij verrichten. Deze worden weergegeven in het register van verwerkingsactiviteiten (ook wel: ‘verwerkingsregister’) en is allereerst bedoeld als interne (privacy) administratie. De gemeente heeft ervoor gekozen om dit register op procesniveau bij te houden: processen waarin verwerkingen plaatsvinden worden weergegeven.

Hoe werkt dit in de praktijk? een proces waarin één of meerdere verwerkingen plaatsvinden komt als proces in het register, dus ongeacht het aantal verwerkingen in dat proces; aan de hand van door de Europese en Nederlandse toezichthouder opgestelde lijsten met risicovolle verwerkingen wordt bepaald of een proces DPIA-plichtig is, omdat daarin sprake is van één of meer risicovolle verwerkingen. Indien dit het geval is, wordt dit bij het proces in het register vermeld (en wordt de DPIA zo snel als mogelijk uitgevoerd); de aantallen DPIA’s in het register en in onze rapportages zijn hiermee ten hoogste gelijk aan het aantal DPIA-plichtige processen; ongeacht of zo’n proces één of meerdere verwerkingen heeft; het aantal vereiste DPIA’s kan lager zijn dan het aantal processen omdat soms gelijksoortige processen in één DPIA kunnen worden opgenomen. Het is niet verplicht om het register te publiceren. En soms kan publicatie van dergelijke processen ook onwenselijk zijn, bijvoorbeeld als er sprake is van risicovolle verwerkingen die nog niet getoetst zijn via een DPIA. Door publicatie worden dan kwetsbaarheden en daarmee beveiligingsrisico’s voor iedereen zichtbaar. De gemeente Den Haag kiest ervoor om processen pas in het openbaar register op te nemen, nadat deze zijn beoordeeld middels een DPIA of een andere juridische toets.

Wat is de werkwijze en ontwikkeling van onze privacy-organisatie? Het Expertisecentrum Privacy (ECP) is onze privacy-organisatie en stelt beleid op, geeft vorm aan de privacy governance en toetst processen en verwerkingen, onder meer door middel van DPIA’s. Hierbij staat het ECP in nauw contact met de diensten. Het ECP bestaat uit privacy officers en een Chief Privacy Officer (CPO) die verantwoordelijk zijn voor strategie en kaderstelling binnen het privacydomein. Verder beheert het ECP een gemeentebreed verwerkingsregister, waardoor informatie over processen centraal beschikbaar is en er zodoende inzicht is in risico’s en naleving. Op deze manier bereiken we twee doelen: • een compleet en accuraat overzicht (in het verwerkingsregister) van de gemeentelijke processen waarbij persoonsgegevens worden verwerkt; • het versnellen van het uitvoeren van verplichte DPIA’s op gemeentelijke processen. De verantwoordelijkheid voor de processen, voor de privacy-waarborgen in die processen en de correcte uitvoering van de DPIA’s ligt uiteindelijk altijd bij de verantwoordelijke proceseigenaren van de desbetreffende diensten binnen de organisatie.

2/4

Gemeente Den Haag Ons kenmerk

DBV/11003059

Stand van zaken per toezegging Als laatste onderdeel van deze brief geef ik een toelichting op de verschillende toezeggingen en sta ik stil bij de belangrijkste maatregelen en keuzes. Toezegging nummer 19: Achterstanden in compliance gegevensbescherming De toezegging van de wethouder is om in het verwerkingsregister ook op te nemen of een DPIA voor de betreffende verwerking verplicht is en of deze is uitgevoerd, onderhanden is of nog moet gebeuren. Op basis van dit verwerkingsregister kan worden gezegd hoe groot de werkvoorraad van grootschalige en risicovolle verwerkingen is. In het intern verwerkingsregister is voorzien in statusvelden, waarin voor elk proces wordt aangegeven of een proces DPIA-plichtig is en zo ja, of de DPIA aanwezig is, wordt uitgevoerd of nog moet worden uitgevoerd. In het openbaar register van verwerkingen (zie ook de toelichting bij de andere toezeggingen) is voorzien in een statusveld waarin aangegeven wordt dat er een DPIA aanwezig is, of dat een DPIA niet nodig is. Op basis van het intern verwerkingsregister kan ook getalsmatig inzicht worden verschaft. Er zijn op dit moment in totaal 656 processen bekend. Daarvan zijn er 225 beoordeeld middels een DPIA in december 2025. Er zijn nog 159 processen die nog niet beoordeeld zijn via een DPIA, terwijl dat wel is vereist. Van de 656 processen zijn er naar verwachting 272 niet DPIA-plichtig.

De huidige werkvoorraad omvat dus 159 processen (peildatum: december 2025). Hierbij is het belangrijk om aan te geven dat de werkvoorraad 159 processen omvat, maar dit niet automatisch betekent dat er ook 159 DPIA’s nodig zijn. Zoals eerder is toegelicht kunnen sommige processen worden gebundeld en is daar één DPIA voor nodig. Daarnaast vermeld ik graag dat DPIA’s periodiek geëvalueerd worden, waarna mogelijk herziening nodig is. Ook kunnen processen veranderen. Hierdoor kan de voorraad na verloop van tijd ook weer groter worden. Daarover is op voorhand echter geen harde schatting te geven. Toezegging nummer 21: Dashboards privacybeleid De toezegging is om de raad te informeren door middel van dashboards. Met het vervolmaken van het intern verwerkingsregister, grotere eenduidigheid in de definities en het steeds beter op orde hebben van de governance, kan ook beter gerapporteerd worden aan u. Vanaf 2026 ontvangt uw raad daarom jaarlijks een rapport over de opvolging en stand van zaken inzake privacy; samen met het verslag van de FG. Deze rapportage bevat de volgende kengetallen: KPI Register van verwerkingen

DPIA’s (na bundeling van processen) Privacy-overeenkomsten

Toelichting Aantal opgenomen processen dat van volledige informatie is voorzien. Aantal processen waarvoor een DPIA is uitgevoerd, aantal processen waarvoor geen DPIA nodig is en aantal processen waarvoor nog een DPIA moet worden vastgesteld. Totaal aantal vereiste DPIA's. Aantal DPIA's dat nog onderhanden is. Aantal afgeronde DPIA's. Aantal privacy-overeenkomsten die zijn gesloten. Aantal privacy-overeenkomsten die nog moeten worden vastgesteld.

3/4

Gemeente Den Haag Ons kenmerk

DBV/11003059

Datalekken

Verzoeken van betrokkenen

Aantal meldingen van (vermoedde) datalekken, hoeveel daarvan gemeld zijn aan de AP en hoeveel daarvan buiten de termijn zijn gemeld. Aantal ontvangen AVG-verzoeken en aantal daarvan die niet tijdig zijn afgehandeld.

Net als bij de vorige toezegging is het ook hier belangrijk om te weten dat in de privacy verantwoording aan de raad soms getallen voor komen die niet direct lijken aan te sluiten op getallen in andere rapportages (bijvoorbeeld FG-rapportages of deelrapportages op specifieke onderwerpen). Dat komt omdat er verschillen kunnen zijn in definities, grondslagen en peildata. Dat kan een-op-eenvergelijking van aantallen processen en aantallen verwerkingen lastig maken, zeker zonder uitgebreide toelichting. Het streven is om in 2026 steeds meer eenduidigheid in de registratie en rapportage van deze gegevens te realiseren, waardoor verschillen wel steeds beter verklaarbaar worden. Toezegging nummer 22: Publicatie DPIA’s De toezegging is dat voor de verwerkingen waarvoor een DPIA noodzakelijk is op termijn in het gepubliceerd verwerkingsregister (dat op dit moment in onderhoud is) aangegeven wordt of er een DPIA is uitgevoerd. De gemeente wil transparant zijn en heeft daarom een openbare versie van het verwerkingsregister 1 gepubliceerd op het Haagse dataplatform2. Dit is niet wettelijk verplicht. In het huidig openbaar register zijn, zoals eerder toegelicht, vooralsnog alleen de processen opgenomen die zijn beoordeeld door middel van een DPIA.

De vervolgstap is om het openbaar register in het eerste kwartaal van 2026 aan te vullen met processen die niet DPIA-plichtig zijn, na een interne beoordeling door proceseigenaren en het ECP op volledigheid en juistheid. Processen waarvoor nog een DPIA moet worden opgesteld, worden niet in het openbaar register vermeld vanwege de eerdergenoemde (exploitatie)risico’s. Deze worden wel opgenomen in het intern verwerkingsregister en de aantallen worden wel vermeld in de rapportages. De gemeente heeft hiermee gekozen voor een zorgvuldige aanpak, waarbij we uitsluitend getoetste processen publiceren. Zo zorgen we ervoor dat we zo transparant mogelijk zijn over de persoonsgegevens die we verwerken en tegelijkertijd kwetsbaarheden adequaat willen beschermen. Dit komt ook tegemoet aan de transparantieregel die in de AVG staat. Met deze maatregelen en keuzes zet het college belangrijke stappen om privacy compliance en transparantie verder te versterken. Het openbaar verwerkingsregister is uitgebreid met een DPIAstatusveld, de werkvoorraad wordt actief gereduceerd en er komt een structurele rapportage bij de FGverslagcyclus vanaf 2026. Met deze genoemde maatregelen beschouw ik de toezeggingen 19, 21 en 22 als afgedaan. Met vriendelijke groet, de wethouder van Onderwijs, Jeugd, Sport en Dienstverlening Hilbert Bredemeijer

1

Bezoek het openbaar verwerkingsregister op: https://denhaag.dataplatform.nl/#/data/d79ab5b9-1f20-468c-a7cf-5a559166f2b1

2

Lees meer over dit dataplatform op: https://www.denhaag.nl/nl/projecten-en-themas/den-haag-en-open-data/

4/4