RIS325217 Bijlage Jaarverslag FG 2025

Versie: april 2026

Inhoud 1. Inleiding

3

Nieuwe FG

3

2. Terugblik over 2025

4

Aanbevelingen FG vorig jaarverslag

4

Wet Politiegegevens

5

3. Eerste indruk

6

Betrokkenheid bij het onderwerp

6

Focus op aantoonbaarheid

6

Ten dienste van de mens

6

2

1. Inleiding Dit is het jaarverslag van de Functionaris Gegevensbescherming (FG) van de gemeente Den Haag. De gemeente Den Haag is verplicht om een FG aan te stellen. Deze verplichting komt voort uit de zowel de Algemene Verordening Gegevensbescherming (AVG) als de Wet politiegegevens (Wpg). De FG is een onafhankelijke interne toezichthouder. Werkzaamheden van de FG bestaan uit: •

Toezicht houden op de naleving van de desbetreffende wetgeving (AVG/ Wpg)

•

Gevraagd en ongevraagd adviseren over gegevensbeschermingsaangelegenheden.

•

Advies geven op Data Protection Impact Assessments (DPIA’s)

•

Optreden als contactpunt voor de Autoriteit Persoonsgegevens

•

Opstellen van een jaarverslag (verplicht vanuit de Wpg)

De FG is aangesteld voor de Gemeente Den Haag en daarmee de bestuursorganen die daar onder vallen (de burgemeester, de Raad en het College van burgemeester en wethouders). De FG van de Gemeente is daarmee ook de FG voor GGD Haaglanden, de Gemeentelijke Ombudsman, Veilig Thuis, de Jeugdbeschermingstafel en de Bibliotheek Den Haag. Daarnaast is de FG van de Gemeente Den Haag ook aangewezen als de coördinerend FG voor het RIEC Den Haag en het Zorg- en Veiligheidshuis Haaglanden.

Nieuwe FG In mei 2025 is de FG van de gemeente Den Haag vertrokken naar een andere organisatie. Vanaf 1 januari 2026 ben ik in dienst gekomen als de nieuwe FG van de gemeente Den Haag. In de tussenperiode is functie van FG tijdelijk intern waargenomen om de continuïteit van de lopende processen te waarborgen, met name in de advisering van DPIA’s, werkzaamheden in het kader van de Wet Politiegegevens en het fungeren als contactpersooon voor de Autoriteit Persoonsgegevens en andere partijen. Dit jaarverslag over 2025 is opgesteld op basis van informatie verstrekt door het Expertisecentrum Privacy (ECP) over 2025 en niet op basis van mijn eigen bevindingen over deze periode. Dit verslag is opgesteld in het eerste kwartaal van 2026. In de eerste maanden heb ik veel kennismakingsgesprekken gehad om een beeld te krijgen waar de organisatie staat en wat er speelt. In dit jaarverslag zijn mijn eerste indrukken meegenomen. Alex van den Berg Functionaris Gegevensbescherming gemeente Den Haag

3

2. Terugblik over 2025 Aanbevelingen FG vorig jaarverslag In het jaarverslag over 2024 heeft de vorige FG een aantal aanbevelingen gedaan, waaronder de aanbeveling om een ambitie neer te leggen om binnen een bepaalde termijn voor alle grootschalige en risicovolle verwerkingen een DPIA te maken. Ook is geadviseerd om het privacybeleid en procedures te implementeren en onder de aandacht te brengen. De organisatie hanteert een vijftal kritische-prestatie indicatoren (KPI): KPI

Toelichting

Doelstelling

Register van

Volledigheid van informatie met betrekking tot

90%

verwerkingen

opgenomen processen.

compleet

2.

DPIA’s

Aantal vereiste DPIA’s dat is uitgevoerd.

90% aanwezig

3.

Privacy

Aantal vereiste privacy overeenkomsten dat gesloten

90 %

overeenkomsten

is.

aanwezig

4.

Datalekken

Aantal datalekken dat tijdig is gemeld bij de toezichthouder.

100% tijdig

5.

Verzoeken van

Aantal AVG-verzoeken dat tijdig is afgehandeld.

100% tijdig

1.

betrokkenen

In 2025 heeft de interne auditafdeling een effectmeting op de AVG-volwassenheid uitgevoerd voor de gemeente Den Haag over het jaar 2024. Het Expertisecentrum Privacy (ECP) gebruikt de auditbevindingen als uitgangspunt voor het monitoren van de voortgang. Drie keer per jaar wordt hierover gerapporteerd. In 2027 zal er opnieuw een interne audit worden uitgevoerd.

Bevinding en aanbeveling De gemeente heeft voor zichzelf duidelijke doelen gesteld. Deze worden actief gemonitord en over gerapporteerd. Eind 2025 heeft de gemeente deze eigen KPI’s nog niet gehaald. Met name op het gebied van DPIA’s heeft de gemeente nog stappen te zetten. De gemeente is zich hiervan bewust en heeft de ambitie neergelegd om eind 2026 alle vereiste DPIA uitgevoerd of onder handen te hebben. De gemeente bewaakt de voortgang van de KPI’s en DPIA’s. Het is goed dat de gemeente actief op deze KPI’s stuurt en voor zichzelf ambitieuze doelen heeft gesteld. Hou er echter rekening mee dat de AVG meer onderwerpen bevat dan deze KPI’s. Zaken als bewustwording, transparantie en gegevensminimalisatie zijn even belangrijk.

4

Wet Politiegegevens De Wet Politiegegevens (Wpg) is specifieke wetgeving die bescherming van politiegegevens regelt. Het ‘Besluit politiegegevens buitengewoon opsporingsambtenaren’ stelt dat delen van de Wpg van toepassing zijn op organisatie met buitengewoon opsporingsambtenaren (boa’s). Hun werkzaamheden zijn te verdelen over de volgende domeinen: Domein 1: Openbare ruimte Domein 2: Milieu, welzijn en infrastructuur Domein 3: Onderwijs Domein 4: Openbaar vervoer Domein 5: Werk, inkomen en zorg Domein 6: Generieke opsporing De gemeente Den Haag heeft boa’s in dienst waarvan de werkzaamheden betrekking hebben op de domeinen 1, 2, 3 en 5. De Wpg verplicht organisaties iedere 4 jaar een externe privacy audit uit te voeren. Als niet op alle onderdelen wordt voldaan, dient er een verbeterplan te worden opgesteld. En moet er jaarlijks een hercontrole op deze onderdelen plaatsvinden. In 2025 heeft deze verplichte externe audit plaatsgevonden. Op niet alle onderdelen werd voldaan. Met name domein 5 vergt aandacht. De gemeente heeft een verbeterplan opgesteld en een stuurgroep opgericht die toeziet op de uitvoering van het verbeterplan.

Bevinding en aanbeveling De organisatie heeft adequaat gereageerd op de uitkomsten van de externe audit. Het onderwerp is serieus opgepakt. De domeinen zijn verspreid over verschillende diensten en afdelingen. Het verschil tussen de auditresultaten van de verschillende domeinen kan vrij groot zijn. Doordat de audit over alle domeinen heen gaat kan de indruk ontstaan dat gemaakte inspanningen geen resultaten hebben gehad. Hou hier rekening mee in de communicatie en geef ook positieve aandacht aan de afdelingen die wel voldoen.

5

3. Eerste indruk Op 1 januari 2026 ben ik begonnen bij de gemeente Den Haag. In de afgelopen 10 weken heb ik veel kennismakingsgesprekken gehad. Dit heeft mij een eerste indruk gegeven hoe de organisatie tegen gegevensbescherming aankijkt en wat er speelt. Het eerste half jaar van 2026 staat voor mij in het teken van het verder verkennen van de organisatie. In de tweede helft van het jaar zal ik een toezichtplan opstellen. Als leidraad voor dit toezichtplan zal ik kijken naar onderwerpen die mogelijk risicovol zijn voor de rechten en vrijheden van de burgers of medewerkers en naar de strategische focus van de Autoriteit Persoonsgegevens (AP). De AP heeft als strategische focus voor 2026-2028: Massasurveillance in het private en publieke domein; Snelle ontwikkelingen en implementatie van AI; Weerbare en betrouwbare digitale diensten.

Betrokkenheid bij het onderwerp In de gesprekken met het hoger management komt naar voren dat zij zich bewust zijn van de AVG en gegevensbescherming. Het onderwerp heeft aandacht, waarbij vooral het realiseren van de DPIA’s een terugkerend onderwerp is. Dit vergt veel tijd een aandacht en het hogere management is zich hiervan bewust. Er ligt een ambitieuze bestuurlijke opgave om de achterstand dit jaar weg gewerkt te hebben. Ook bij andere onderwerpen, zoals bijvoorbeeld als een serieus datalek zich voordoet, neemt het hoger management haar verantwoordelijkheid.

Focus op aantoonbaarheid De AVG bevat regels om natuurlijke personen te beschermen in relatie tot de verwerking van hun persoonsgegevens. Artikel 5 van de AVG stelt dat de verwerking rechtmatig, behoorlijk en transparant moet zijn. Persoonsgegevens mogen alleen verwerkt worden voor welbepaalde doeleinden en de persoonsgegevens moeten juist en toereikend zijn. Als ze niet meer nodig zijn moeten ze verwijderd worden. Als organisatie moet de gemeente passende technische en organisatorische maatregelen treffen om de persoonsgegevens zo goed mogelijk te beschermen. Artikel 5 stelt ook dat de organisatie moet kunnen aantonen dat zij dit ook doet. In de AVG worden verschillende middelen verplicht gesteld waarmee de organisatie dit kan aantonen. Bijvoorbeeld door het hebben van een register van verwerkingen en het uitvoeren van DPIA’s. Mijn eerste indruk is dat de gemeente de afgelopen jaren sterk heeft ingezet op deze aantoonbaarheid. De KPI’s zijn hierop gericht. Ook het borgingsproduct van de VNG, wat als basis dient voor de audits, past hierin. Deze focus op aantoonbaarheid is goed, maar mijn eerste indruk is dat deze focus ertoe heeft geleid dat er een zeker mate van AVG-kramp is ontstaan in de organisatie. De sterke aandacht voor aantoonbaarheid lijkt in de uitvoering soms te leiden tot situaties waarbij het middel tot doel wordt verheven.

Ten dienste van de mens Uit de gesprekken die ik gevoerd heb kwam ook naar voren dat binnen de gemeente de AVG als belemmerend wordt ervaren. Dit AVG wordt, ten onrechte, gezien als een wet die veel verbiedt. In de praktijk is het vaak echter materiele wetgeving die beperkende kaders opstelt. De AVG stelt in Grond 4 dat de verwerking van persoonsgegevens ten dienste van de mens moet staan. Ook moet het recht op bescherming van persoonsgegevens in overeenstemming met het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen. Deze afweging moet echter weloverwogen, gemotiveerd en toetsbaar zijn. Meer kennis van de AVG bij alle medewerkers kan helpen om de AVG niet als drempel te zien, maar als instrument dat we dagelijks met elkaar gebruiken om onze burgers zo goed mogelijk van dienst te zijn.

6