RIS325217 Reactie en opvolging - Jaarverslag Functionaris Gegevensbescherming (FG) 2025

Hilbert Bredemeijer Wethouder van Onderwijs, Jeugd, Sport en Dienstverlening

Retouradres: Postbus 12600, 2500 DJ Den Haag

Ons kenmerk

Aan de voorzitter van de Rekeningencommissie

DBV/11042235 RIS325217 Contactpersoon

Dennis Ravensbergen Dienst

Dienst Bedrijfsvoering Afdeling

DBV I&A Telefoonnummer

14070 Datum

E-mailadres

21 april 2026

dennis.ravensbergen@denhaag.nl

Onderwerp

Reactie en opvolging - Jaarverslag FG 2025

Geachte voorzitter, Het college heeft het jaarverslag 2025 van de Functionaris Gegevensbescherming (FG) in goede orde ontvangen en spreekt haar waardering uit voor dit verslag. We hebben waardering voor de professionele wijze waarop het toezicht op zowel de Algemene Verordening Gegevensbescherming (AVG) als de Wet politiegegevens (Wpg) is voortgezet. Ook de eerste indrukken, die de nieuwe FG heeft gedeeld via het jaarverslag, verwelkomt het college. Observaties nieuwe FG: balans tussen aantoonbaarheid en werkbaarheid De FG signaleert dat de gemeente sterk heeft ingezet op ‘aantoonbaarheid’, wat heeft bijgedragen aan aandacht voor toezichtinstrumenten maar ook tot een zekere mate van AVG-kramp1 kan hebben geleid. Het college herkent in het jaarverslag van de FG een realistische en evenwichtige benadering. De FG beschouwt de ontwikkeling van gegevensbescherming als een meerjarige opgave, waarin aantoonbare voortgang is geboekt en verdere stappen tijd vragen. Duurzame verbetering vraagt volgens de FG om consistent en langdurig inzetten, niet om incidentele of kortlopende maatregelen. Daarbij wijst de FG op het belang van een goede balans tussen verantwoording en uitvoerbaarheid in de organisatie. Het college onderschrijft deze benadering, waarin voortgang wordt erkend en tegelijkertijd wordt ingezet op structurele verankering van gegevensbescherming in de dagelijkse praktijk.

Tot slot ziet het college in het jaarverslag een helder overzicht van de opgaven en hun status en aandachtspunten voor de komende periode. Alvorens wordt ingegaan op de bevindingen uit dit verslag, acht het college het van belang de context te schetsen waarbinnen deze reactie gelezen dient te worden. 1

AVG-kramp is een term om te duiden dat onzekerheid over de toepassing van privacyregels bij medewerkers kan leiden tot

terughoudendheid of handelingsverlegenheid in de dagelijkse praktijk. Dit kan bijvoorbeeld leiden tot belemmeringen in het uitvoeren van publieke taken uit angst de privacywet te overtreden.

Gemeente Den Haag

Spui 70 Den Haag

Postbus 12600 2500 DJ Den Haag

Telefoonummer 14070 www.denhaag.nl

Gemeente Den Haag Ons kenmerk

DBV/11042235

In januari 2026 heeft het college de Rekeningencommissie (RIS324454) geïnformeerd over een aantal gedane toezeggingen. Deze hadden betrekking op de samenhang tussen processen, gegevensverwerkingen en DPIA’s, als wel de gekozen inrichting van het verwerkingsregister en de wijze waarop de werkvoorraad aan DPIA’s wordt bepaald en gereduceerd. In die commissiebrief is tevens de schommeling van de aantallen DPIA’s toegelicht. Dit heeft onder meer zijn grondslag in: • Herijking van DPIA’s; • Wijzigingen in processen; • Bundeling van gelijksoortige processen. Opvolging van eerdere toezeggingen en aanbevelingen In de bijlage is een overzicht opgenomen van de aanbevelingen van de FG uit het jaarverslag 2024 met daarbij de genomen of geplande maatregelen. Naar aanleiding daarvan heeft het college in de Rekeningencommissie op 13 mei 2025 met haar collegereactie op het jaarverslag FG 2024 (RIS322122) een aantal toezeggingen gedaan over het verhogen van het tempo in de DPIA-inhaalslag, het versterken van de uitvoering van maatregelen uit DPIA’s, het verbeteren van de kwaliteit en volledigheid van het verwerkingsregister en het structureel borgen van privacy- en informatiebeveiligingsprocessen. In de eerdergenoemde commissiebrief wordt hier ook een en ander nader over toegelicht. In aanvulling daarop deelt het college graag twee (extra) resultaten over 2025: 1.

Verdere vervolmaking van het (openbaar) verwerkingsregister De kwaliteit, uniformiteit en volledigheid van het verwerkingsregister zijn verder verbeterd. Hierdoor functioneert het register steeds beter als centraal sturings- en verantwoordingsinstrument voor privacy-compliance. Het college blijft sturen op verdere versnelling en borging binnen de organisatie. Het register van verwerkingen is in 2025 verder aangevuld en staat inmiddels op 86% compleetheid (peildatum: december 2025). De ambitie om richting 90% te groeien blijft ook in 2026 gelden, waarbij moet worden opgetekend dat een kleine marge onontkoombaar is vanwege de hierboven omschreven dynamiek. 2. Bestendigen van de Privacy Academy In 2025 is ingezet op de bestendiging van een interne Privacy Academy. Opleidingen en trainingen zijn doorontwikkeld en worden inmiddels uitgevoerd. Hiermee wordt structureel gewerkt aan verhoging van het privacybewustzijn en de handelingsbekwaamheid van medewerkers binnen de organisatie. Het college heeft in 2025 aantoonbare stappen gezet in privacy-compliance en ziet duidelijke voortgang op meerdere onderdelen. Tegelijkertijd is gebleken dat de gewenste versnelling in het uitvoeren van DPIA’s meer tijd vergt dan aanvankelijk voorzien. In dit verlengde onderkent het jaarverslag terecht dat de KPI’s voor 2025, met name ten aanzien van DPIA’s, nog niet volledig zijn gerealiseerd.

Door herijking van processen, het bundelen van gelijksoortige verwerkingen en het scherper bepalen van wat daadwerkelijk DPIA-plichtig is, is de werkvoorraad in 2025 betrouwbaarder en inhoudelijk zuiverder in beeld gebracht.

2/6

Gemeente Den Haag Ons kenmerk

DBV/11042235

Dit heeft ertoe geleid dat de cijfers in eerste instantie een minder gunstig beeld laten zien, terwijl zij feitelijk een stabieler en realistischer uitgangspunt vormen voor verdere verbetering. Daarbij blijft het college onverminderd sturen op de eerder aan de Rekeningencommissie gedane toezegging: “Voor een groot deel van de grootschalige en risicovolle verwerkingen verwachten wij uiterlijk over 12 maanden een afgeronde DPIA te hebben en een plan van aanpak voor de opvolging van de aanbevelingen. Als een deel van de DPIA’s dan niet is afgerond zullen we een helder tijdspad geven voor de termijn waarop die DPIA’s en de maatregelen wel kunnen worden afgerond.” Deze toezegging vormt het uitgangspunt voor de verdere uitvoering van het DPIA-plan en de prioritering in 2026. In dat kader werkt het college toe naar een verdere verhoging van de DPIA-dekkingsgraad, waarbij wordt ingezet op circa 70% eind 2026. Zoals eerder toegelicht aan de commissie in de brief van 27 januari 2026 (RIS324454) is een volledige dekking van 100% in de praktijk onhaalbaar. Vanwege de continue dynamiek in gemeentelijke processen, bundeling of wijziging van een proces en periodieke herijkingen van DPIA's. Daarom hanteert het college een doelstelling van 90%, waar geleidelijk en beheerst naartoe wordt gegroeid.

Naleving Wet politiegegevens (Wpg) Het college heeft kennisgenomen van de uitkomsten van de externe audit 2025 en de verschillen in volwassenheid tussen de verschillende domeinen waarin de boa’s actief zijn. Onze reactie, met daarin een inzet, is terug te vinden in de commissiebrief (RIS324412). De aanbeveling van de FG om zorgvuldig te communiceren over de verschillen tussen domeinen en expliciet ook waardering uit te spreken voor – het merendeel van – de domeinen die aantoonbaar voldoen wordt ter harte genomen. Het college beschouwt de verdere professionalisering van privacy en gegevensbescherming nadrukkelijk als een meerjarige ontwikkelopgave. Dit vraagt om consistente sturing, realistische fasering en blijvende aandacht, in plaats van incidentele versnelling zonder duurzame borging. We blijven onverminderd gecommitteerd aan de eerder ingezette verbeteropgaven en de bijbehorende acties die reeds in gang zijn gezet. Met vriendelijke groet, de wethouder van Onderwijs, Jeugd, Sport en Dienstverlening Hilbert Bredemeijer

3/6

Gemeente Den Haag Ons kenmerk

DBV/11042235

Bijlage A: Aanbevelingen uit het FG Jaarverslag 2024 (geactualiseerd) Aanbeveling

Toelichting

Genomen of geplande maatregelen

Versnellen op inhaalslag

Het tempo waarin Zie voornoemde maatregelen in de werkvoorraad wordt ingelopen is te de laag. Er moet extra inzet komen om te commissiebrief (RIS324454). voorkomen dat compliance verzandt in een lange moeizame weg. Volledige implementatie van Het volledig implementeren van het Dit wordt als onderdeel van de beleid en procedures beleid, het trainen van betrokken awareness-programma’s medewerkers en het regelmatig onder opgepakt. de aandacht brengen daarvan is noodzakelijk om risico’s te verminderen. Leren van datalekken Er moeten effectieve maatregelen worden voorgesteld en geïmplementeerd om nieuwe datalekken te voorkomen. Daarnaast moeten maatregelen worden onderzocht op effectiviteit. Verbeteren van Het toewijzen van taken, organisatorische inbedding verantwoordelijkheden en bevoegdheden moet beter worden nageleefd. Ook het beheer op toegangsrechten van systemen moet worden verbeterd. Verhogen van het tempo Het tempo voor het uitvoeren van Zie voornoemde uitwerking in voor DPIA’s Data Protection Impact Assessments de commissiebrief. (DPIA’s) moet omhoog om tijdig risico’s voor inwoners en medewerkers in beeld te krijgen en maatregelen te implementeren. Uitvoeren van voorgestelde De maatregelen die worden Zie voornoemde uitwerking in maatregelen in DPIA’s voorgesteld in de DPIA’s om risico’s te de commissiebrief. mitigeren moeten daadwerkelijk worden uitgevoerd.

Verbeteren van informatie aan Burgers moeten beter worden Het verwerkingsregister wordt burgers geïnformeerd over de verwerking van geleidelijk online gepubliceerd hun persoonsgegevens. Dit kan door en zullen verwijzingen meer privacyverklaringen op de naar privacyverklaringen in website geplaatst worden. formulieren en het plaatsen van het register van verwerkingen online. Documenteren van informele Informele afhandeling van verzoeken Het register van de rechten van afhandeling van verzoeken moet worden gedocumenteerd om een betrokkenen zal op dat punt goed beeld te krijgen waarbinnen de aangepast worden. processen verbeteringen mogelijk zijn.

4/6

Gemeente Den Haag Ons kenmerk

DBV/11042235

Terughoudend gebruik van toestemming als grondslag

Sluiten en beheren van verwerkersovereenkomsten

Verbeteren van informatiebeveiliging

Voldoen aan de verantwoordingsplicht

Compliance met de Wet politiegegevens (Wpg)

De gemeente moet terughoudend zijn Elke individuele casus moet in het gebruik van toestemming als juridisch getoetst worden op de grondslag voor gegevensverwerking, verantwoorde en mogelijke vooral wanneer burgers afhankelijk inzet van toestemming als zijn van de dienstverlening van de grondslag. gemeente. Voor alle verwerkingen moeten Zie voornoemde uitwerking. verwerkersovereenkomsten aanwezig zijn en deze moeten worden gecontroleerd, beheerd en herzien indien nodig. De beveiliging van informatiesystemen Zie audit security. moet worden verbeterd, inclusief het controleren van logbestanden en het naleven van bewaartermijnen. De gemeente moet aantonen dat de De genoemde maatregelen verwerkingen voldoen aan de zullen daaraan bijdragen. belangrijkste beginselen van de AVG en de verantwoordingsplicht naleven. De gemeente moet blijven voldoen aan Dat zal onveranderd voortgezet de Wpg, inclusief de verplichte externe worden. In 2025 en interne audits. wordt wederom een externe audit uitgevoerd.

5/6

Gemeente Den Haag Ons kenmerk

DBV/11042235

Bijlage B: Rapportage over verwerkingen en DPIA’s (eind 2025) De onderstaande cijfers betreffen momentopnames na herijking en herstructurering van de werkvoorraad. Hierdoor zijn zij niet één-op-één vergelijkbaar met eerdere rapportages. Het college benadrukt dat deze cijfers primair bedoeld zijn om beter en transparanter te sturen, niet om een rooskleurig beeld te schetsen. KPI Cijfers en context met peildatum: december 2025. Register van verwerkingen • Aantal processen in totaal: 656; Doelstelling: 90% • Hoeveel daarvan volledig van informatie voorzien: 562; Huidig: 86% • Aantal processen waarvoor een DPIA is uitgevoerd: 225; • Aantal processen waarvoor geen DPIA nodig is: 272; • Aantal processen waarvoor nog een DPIA moet worden vastgesteld: 159. DPIA’s (na bundeling van Deze rapportage geeft inzicht in de totale DPIA-opgave, inclusief processen) structurele werkzaamheden en reguliere achterstand. Doelstelling: 90% • Totaal aantal vereiste DPIA's: 216; Eind 2026: 70% • Aantal DPIA's dat nog onderhanden is: 58; • Aantal afgeronde DPIA's: 72; • Werkvoorraad: 86. Privacy-overeenkomsten • Aantal privacy-overeenkomsten die zijn gesloten: 461; Doelstelling: 90% • Aantal privacy-overeenkomsten die nog moeten worden Huidig: 86% vastgesteld: 142.

Datalekken Doelstelling: 100%

• • •

Aantal meldingen van (vermoedde) datalekken: 317; Hoeveel daarvan gemeld zijn aan de AP: 32; En hoeveel daarvan buiten de termijn zijn gemeld: 9.

Verzoeken van betrokkenen Doelstelling: 100%

• •

Aantal ontvangen AVG-verzoeken: 87; Hoeveel daarvan niet tijdig zijn afgehandeld: 9.

6/6