Beantwoording technische vragen OPD bij Jaarprogramma Integrale Veiligheid 2021.docx

Diemen, 17 mei 2021 Aan het college van burgemeester en wethouders van Diemen Betreft: Technische vragen Jaarprogramma integrale veiligheid (agendapunt 7 Informatieve raad 20 mei 2021). Geacht college, In het jaarprogramma uitvoering integrale veiligheid 2021 staat dat er besloten is een aantal software pakketten aan te schaffen (of zijn reeds aangeschaft), het gaat onder meer om de volgende pakketten/software. OSINT (Open Source Intelligence) – voor het anoniem kunnen bezoeken van web sites. Woonfraudelens– koppeling van gegevens m.b.t. woonfraudeonderzoek Meld een Vermoeden (MEV) – centraal meldpunt om ondermijnende criminaliteit te melden Meld misdaad anoniem (M) Op orde – verslaglegging huisbezoeken Vragen. 1. Zijn er voor aanschaf van deze pakketten zogenaamde DPIA’s(Data Protection Impact Assessments) of PIA’s(Privacy impact Assessment) gemaakt om te bepalen dat deze applicaties de verwerking van privacy gevoelige gegevens volgens de privacy wetgeving (AVG) op een correcte en veilige manier verwerken? Daar waar sprake is van het verwerken van persoonsgegevens zijn, dan wel worden DPIA’s opgesteld in samenspraak met de Functionaris Gegevensbescherming. 2. Als er geen gebruik is gemaakt van de genoemde methodes, welke methode/procedure is dan wel gebruikt om te bepalen dat deze pakketten volgens een wettelijk correcte en veilige manier omgaan met privacy gegevens en data?

Zie vraag 1.

3. Zal het gebruik van OSINT (en de andere pakketten) binnen de ambtelijke organisatie van Diemen uitsluitend gebruikt worden voor het project Scheerlicht, of zal deze applicatie organisatie breed gebruikt gaan worden? De OSINT-module is uitsluitend bedoeld voor de methodiek Scheerlicht en de aanpak van ondermijning. De applicatie zal niet organisatie breed gebruikt worden. Sterker nog, er zal slechts een zeer beperkt aantal mensen toegang krijgen tot deze module. Ook voor de andere pakketten/applicaties geldt dat slechts een beperkt aantal mensen hiervan gebruik mag maken en slechts die gegevens mag verwerken die noodzakelijk zijn voor het uitvoeren van de wettelijke taak. 4. Is de aangeschafte software gekocht of wordt die geleased(gehuurd)? De softwarepakketten zijn aangekocht met een bijbehorend onderhoudscontract. 5. En in het geval van lease/huur wat zijn de afspraken die gemaakt zijn met de leveranciers over de opslag en bewaartermijn van de privacy gevoelige gegevens? Zoals hiervoor aangegeven zijn de softwarepakketten aangekocht. Ondanks dat het hier geen lease/huur betreft zijn er wel afspraken gemaakt, die zijn vastgelegd in een verwerkingsovereenkomst. Hierin wordt onder andere geregeld waar en hoe lang de gegevens worden opgeslagen, hoe de desbetreffende gegevens worden verwerkt en beveiligd en hoe gehandeld dient te worden in het geval van een datalek. 6.

Bij wie ligt de verantwoordelijkheid in het geval van datalekken? De verantwoordelijkheid ligt altijd bij de eigenaar van de gegevens, in casu de gemeente. 7. Zijn de leveranciers van deze pakketten zg. AVG proof? en hoe (en hoe vaak) controleert de gemeente Diemen of dat ook zo is. Met de leveranciers wordt een verwerkingsovereenkomst afgesloten. Bij deze overeenkomst zit een specifieke bijlage, waarin door de verwerker moet worden aangeven aan welke normen c.q. certificering wordt voldaan. De normen c.q. certificering worden bij het aangaan van de verwerkingsovereenkomst door de Functionaris Gegevensbescherming beoordeeld en jaarlijks gecontroleerd.