Bijlage 3 - Nota van bevindingen Informatiebeveiliging en privacy - januari 2023.pdf

27

Rol/functie

Op basis van de rol/functie krijgt een medewerker toegangsrechten tot een applicatie en de informatie die daarin wordt verwerkt. Het autorisatiebeleid ziet er op toe dat medewerkers niet bij gegevens kunnen komen die zij niet voor hun functie of rol nodig hebben. De bevoegdheidsprofielen waarin is opgenomen welke rollen/functies toegang krijgen tot welke applicaties en informatie zijn vastgesteld in een autorisatietabel of mandatenlijst. De autorisaties worden beheerd door de applicatiebeheerders binnen het team systeembeheer. Naar aanleiding van een melding van de leidinggevende met behulp van een autorisatieformulier, wordt een account aangemaakt en worden rechten toegekend. Ontslag of functiewisseling van de medewerker dient de leidinggevende meteen aan de applicatiebeheerder door te geven; dat signaal kan ook vanuit team HR komen. Uit de interviews blijkt dat wisseling van functie relatief weinig voorkomt. En wanneer wel wordt een account opgeheven en komt een nieuw account daarvoor in de plaats op basis van een nieuw functieprofiel.

Controle

De applicatiebeheerder stuurt elk halfjaar een overzicht van de autorisaties voor een controle aan de betreffende leidinggevende. Deze geeft eventuele nog niet doorgevoerde aanpassingen door aan de applicatiebeheerder. Voor de autorisatietabellen op de BRP is een separaat traject in het beleid opgenomen. Omdat de Rijksdienst voor Identiteitsgegevens (RvIG) toezicht houdt op de autorisatietabellen en daarop halfjaarlijks de leidinggevende, via de privacybeheerder op de BRP, de autorisaties laat controleren. Elke wijziging wordt door systeembeheer in Topdesk, de incidentenapplicatie, bijgehouden. De accounts worden in de Active Directory (AD) opgenomen. De actuele status van de AD hangt in principe af van de bereidwilligheid van leidinggevenden mutaties door te geven. Uit interviews blijkt niet dat daar garanties op worden gegeven, met name bij functiewijzigingen. Er blijken weinig functiewisselingen te zijn en wat de meldingsbereidheid stimuleert, is dat elk account in rekening wordt gebracht. Een check op de Active Directory kan ook daarbij helpen (zie §6.4.)

Accountant

In het kader van de interim controle over 2021 heeft de accountant zich onder andere gericht op toegangsbeveiliging en wijzigingsbeheer. De accountant merkt in de boardletter van 28 januari 2022 op dat op de authenticatie en autorisatie, alsook het wijzigingsbeheer, verbeteringen noodzakelijk zijn. Gelet op de risico's, maar ook het faciliteren van de bedrijfsvoering, adviseert de accountant het college aan de bevindingen uit de interim-controle voorrang te geven.

5.2 Pentesten Inleiding

Zoals eerder aangegeven, zijn in het kader van het rekenkameronderzoek pentesten uitgevoerd, door ethische hackers. Uitgevoerd zijn een wifinetwerk pentest, een Active directory audit, een phishing- en smishing mail aanval, zie hierna voor de resultaten. In eerste instantie was de rekenkamercommissie van plan ook een interne en externe netwerk pentest en mystery guest test uit te laten voeren. ICTsamenwerking heeft

28

maart 2021 een externe en interne netwerk pentest laten uitvoeren op het gezamenlijke netwerk. ICTsamenwerking gaf aan met de verbeteracties naar aanleiding van deze pentesten aan de slag te zijn. De ethische hackers die de rekenkamercommissie heeft ingehuurd, hebben de testrapportages bekeken. Zij hebben geadviseerd dat het niet efficiënt zou zijn om die testen in het kader van het rekenkameronderzoek uit te voeren, daar ze allicht dezelfde bevindingen zouden opleveren. Ook is afgezien van een mystery guest test, vanwege de thuiswerkadviezen in verband met de coronapandemie gedurende de looptijd van het onderzoek. Als er weinig tot geen medewerkers op kantoor zijn, heeft een dergelijke test geen meerwaarde. Afgesproken is dat kritieke risico's meteen gemeld zouden worden aan de CISO en gemeentesecretaris. Dat is niet aan de orde geweest. Bij de ambtelijke hoor en wederhoorfase worden de rapporten van de pentesten aan de gemeentesecretaris overhandigd, zodat de gemeente op de geconstateerde risico's verbetermaatregelen kan treffen. Gelet op de gevoelige inhoud van de rapporten worden deze niet breed verspreid. Hieronder gaan we nader in op de bij de pentesten gesignaleerde risico's. Wifi-netwerk pentest

Op 8-11-2021 is een wifi-penetratietest bij de gemeente Doetinchem uitgevoerd. Deze test is bedoeld om de beveiliging van de draadloze netwerken te toetsen en mogelijke kwetsbaarheden in kaart te brengen. Gesimuleerd wordt of een kwaadwillende baat kan hebben bij een aanvalsscenario op het draadloze netwerk van de gemeente. De effectiviteit van de genomen beveiligingsmaatregelen wordt daarmee geverifieerd. De mogelijkheid tot toegang verkrijgen tot het beveiligde draadloze netwerk heeft een hoge impact, en dat doel is gedeeltelijk behaald in de test. Er zijn twee aandachtspunten gesignaleerd, een is een ongeautoriseerde toegang tot een draadloos netwerk die geen directe toegang tot het interne netwerk zou kunnen verschaffen, en twee is de mogelijkheid dat bezoekers op het gastnetwerk elkaars computer of telefoon kunnen zien. Op basis van de uitgevoerde pentest wordt het risico op laag ingeschat. Wel zijn op basis van de aandachtspunten verbetermaatregelen aanbevolen in het rapport over de wifi-pentest.

AD audit

De Active Directory (AD) audit is op 8-11-2021 uitgevoerd. Een AD staat beheerders toe om het beleid met betrekking tot rechten van medewerkers en instellingen in het netwerk van een organisatie te beheren. De AD audit is dan ook in samenwerking met IT-beheer van de gemeente Doetinchem uitgevoerd. ICTsamenwerking beheert de AD van alle partners in de samenwerking, maar deze audit beperkt zich tot 689 accounts van de gemeente Doetinchem, en 624 met andere deelnemers in ICTsamenwerking gedeelde accounts. Dat zijn beheerderaccounts en enkele algemene serviceaccounts. Niet alle serviceaccounts zijn in gebruik bij de gemeente Doetinchem, maar konden voor de test niet uitgefilterd worden.

29

De AD audit checkt op zwakke en gekraakte wachtwoorden. Zwakke wachtwoorden worden gecheckt op complexiteitsgraad, gekraakte wachtwoorden worden vergeleken met een lijst op internet met wachtwoorden die in relatie gebracht kunnen worden met de gemeente. Er zijn kwetsbaarheden gevonden die voornamelijk voort lijken te komen uit het niet consequent toepassen van het wachtwoordbeleid. Relatief los van wat in de AD audit is getest, is geconstateerd dat de mailadresbestanden van de deelnemers in ICTsamenwerking door alle partners in de samenwerking worden gedeeld. Daarmee is het makkelijker en sneller mailadressen van medewerkers binnen het samenwerkingsverband in de adresbalk op te geven. Het risico snel een verkeerd adres op te geven, neemt evenwel ook toe. De Autoriteit Persoonsgegevens gaf in het jaarverslag over 2021 aan dat het bij het grootste deel van de datalekken gaat om verkeerd geadresseerde brieven en e-mails. Phishingmail

Kwaadwillenden proberen vaak via e-mails mensen naar een valse website te lokken, om inlog- of andere gegevens buit te maken. Ook kunnen daarmee ransomware of virussen geïnstalleerd worden, of datalekken ontstaan. Om de alertheid en bewustzijn van medewerkers van de gemeente Doetinchem op dat soort e-mails te testen is op 24-11-2021 een phishing mail uitgezet. De e-mail is door Awaretrain verstuurd vanaf een extern mailadres en bevatte een uitnodiging voor een werkoverleg. Als een medewerker op een van de links klikte, kwam deze op een landingspagina waarop gemeld werd dat dit onderdeel was van een test in opdracht van de rekenkamercommissie. En werd uitleg gegeven over phishing mails en hoe deze te herkennen.

Smishing

Criminelen proberen tegenwoordig steeds vaker via sms op een smartphone aan persoonsgegevens te komen of malware te installeren. De rekenkamercommissie heeft op 7-12-2021 door Awaretrain een smishing aanval op de zakelijke 06-nummers van medewerkers van de gemeente laten uitvoeren. De sms werd door Awaretrain verstuurd en bevatte een nep 'bank alert' over een verdachte incasso. De medewerkers werd gevraagd op een link te klikken om het bedrag te storneren. Als een medewerker daarop klikte, kwam deze, net als bij de phishing mail op een landingspagina waarop gemeld werd dat dit onderdeel was van een test in opdracht van de rekenkamercommissie. En werd uitleg gegeven over smishing en hoe deze te herkennen.

Techniek en thuiswerken

Thuiswerken speelt een rol bij de resultaten van de tests op phishing en smishing. Medewerkers zien elkaar niet bij het koffiezetapparaat of lunchtafel om elkaar te waarschuwen. Daarnaast speelt techniek ook een rol bij een aanval met phishingmails. Over het algemeen bereiken veel phishing mails de geadresseerden niet omdat ze worden afgevangen door zwarte lijsten die mailservers van afzenders bijhouden. Om de test mogelijk te maken, wordt van tevoren het verzendadres en domein 'gewhitelist', zodat de mailservers de testmail niet tegenhouden. Ondanks de whitelisting kwam de phishing mail maar moeizaam door, maar uiteindelijk lukte het

30

alle geadresseerden te bereiken. Het kan dus zijn dat medewerkers weinig met phishingmails worden geconfronteerd, door de technische maatregelen die kwaadwillende mails afvangen. En wellicht vertrouwen zij op de techniek bij het reageren op mails. De testen laten zien dat alertheid altijd geboden blijft.

31

6 Informatievoorziening aan de gemeenteraad Onderzoeksvraag 4

In dit hoofdstuk beantwoorden we de vierde onderzoeksvraag: Hoe is de informatievoorziening aan de gemeenteraad?

P&C-cyclus

In de Baseline Informatiebeveiliging Overheid (BIO) is opgenomen dat de raad minimaal 1x per jaar in het kader van de P&C-cyclus geïnformeerd wordt over informatieveiligheid en privacy. In Doetinchem wordt over informatieveiligheid gerapporteerd in het hoofdstuk Rechtmatigheid in de jaarstukken van de gemeente. In het informatiebeveiligingsbeleid 20202022 wordt de raad benoemd met betrekking tot de controlerende rol, met name in het kader van de horizontale verantwoording waarvoor ENSIA is opgezet (zie hierna). Er is geen kaderstellende rol voor de raad op informatieveiligheid opgenomen, behalve uiteraard in algemene zin het budgetrecht voor de financiële kaders. Uit interviews komt naar voren dat ICT, informatiebeveiliging en privacy door college en management vooral als onderdeel van bedrijfsvoering worden opgevat, waar de raad bestuurlijk gezien meer op afstand van staat. In het jaarverslag over 2020 wordt kort ingegaan op het gecombineerde informatiebeveiligings- en privacybeleid dat in 2020 is vastgesteld. Gemeld wordt dat de verticale verantwoording richting landelijke toezichthouders via de ENSIA-rapportage (zie hierna) is geschied. De resultaten uit de ENSIArapportage met betrekking tot de verbeterpunten en vooruitgang op de BIO-maatregelen zijn opgenomen.

Ook wordt een aantal activiteiten op de privacy belicht, zoals het verwerkingsregister, bewustwording en de spelregels voor de thuiswerksituatie in verband met corona. Het samenwerkingsverband op ICT wordt uiteraard ook behandeld in het jaarverslag, ook financieel. Het lijkt lastig voor raadsleden om de precieze kosten voor de gemeente uit de rapportage te halen. ICT zit in verschillende posten verwerkt en de partners betalen mee aan de uitvoering.

ENSIA

Zoals hiervoor gemeld, wordt ENSIA in de jaarstukken op hoofdlijnen meegenomen. In maart 2021 is de gemeenteraad geïnformeerd over de ENSIA in het kader van de horizontale verantwoording. De raad neemt kennis van de collegeverklaring over de informatiebeveiliging van DigiD en Suwinet, het assurancerapport van de externe auditor over de collegeverklaring en de verbeterplannen naar aanleiding van de audits op Suwinet en DigiD en van Laborijn. Deze stukken zijn geheim verklaard. Daarnaast kan de raad kennis nemen van de verantwoordingsrapportages over de BAG, BGT en BRO. In 2019 voldeed de gemeente volledig aan de normen en hoefde geen verbeterplan naar aanleiding van ENSIA te worden opgesteld. De normen zijn in 2020 deels aangescherpt. De kernboodschap van ENSIA over 2020 is dat op vier normen na de gemeente voldoet aan de gestelde normen. Deels omdat leveranciers niet aan alle normen voldeden, op Suwinet en DigiD. De

32

raad kon zich vertrouwelijk op de hoogte stellen van de verbeterplannen hierop door de gemeente en Laborijn. Op de basisregistraties BAG, BGT en BRO werd in 2020 voor respectievelijk 75%, 75% en 60% voldaan de uitvoeringsnormen. Daarop zijn ook verbeterplannen geformuleerd. Jaarrapportages

De jaarlijkse rapportage van de FG over de uitvoering van het beleid zijn aan MT en/of college gericht. In juni 2021 is de raad op privacy en het voldoen aan de AVG door het college geïnformeerd, met behulp van een infographic en een samenvatting op hoofdlijnen. Weergegeven wordt in hoeverre de gemeente voldoet aan de eisen van de AVG, op beleid, processen, samenwerking met derden, rechten van betrokkenen, beveiliging en organisatorische inbedding. Die meting wordt uitgevoerd op basis van het toetsingsdocument 'Borging AVG'. Ook worden de ontwikkelpunten aangegeven en drie focusgebieden voor 2021. Dat is op samenwerking, processen en inbedding in de organisatie. Aantal datalekken/incidenten dat bij de privacycoördinator is gemeld, aantal datalekken dat aan de AP is gemeld en aantal datalekken waarbij betrokkenen op de hoogte zijn gebracht. Er hebben zich geen dusdanig ernstige incidenten voorgedaan dat de noodzaak werd gevoeld de raad separaat te informeren, zoals bijvoorbeeld het geval was in Lochem en Hof van Twente.

Accountant

De raad krijgt uiteraard de managementletters van de accountant. De accountant controleert de rechtmatigheid van de jaarrekening van de gemeente. Steeds meer en meer richten accountants zich ook op controle van de uitvoering van informatiebeveiliging bij gemeenten. In Doetinchem is automatisering een jaarlijks terugkerend onderwerp in de managementletters en -verslagen. Zo constateert de accountant in 2017 verbetermogelijkheden op ICT. In 2018 ziet de accountant deze verbetermogelijkheden specifiek op functiescheiding en toegangsbeveiliging. In 2020 doet de accountant naar aanleiding van de controle over 2019 aanbevelingen over de reproduceerbaarheid en structuur van controles. De accountant ziet dat daarvoor ook aandacht bij de ICT-afdeling aanwezig is. In 2021 constateert de accountant in de boardletter over 2020 dat Doetinchem meer in het algemeen nog forse stappen moet zetten op het gebied van het planning- en control instrumentarium en het interne beheersingssysteem.

Lastig onderwerp

Voor de raadsleden zijn informatiebeveiliging en privacy lastige onderwerpen. Informatiebeveiliging is een redelijk technisch onderwerp, wat niet meteen in het middelpunt van de aandacht ligt. Een deel van raad heeft affiniteit op het terrein, maar een groot deel ook niet. Informatiebeveiliging en privacy komen incidenteel langs bij de raad, zo blijkt uit interviews. Uit de interviews komt naar voren dat er uit de raad weinig tot geen vragen komen over deze onderwerpen, behalve een enkele keer naar aanleiding van incidenten elders. In 2019 zijn er vanuit de raad vragen gesteld en zijn er gesprekken over informatiebeveiliging gehouden met raadsleden. Er zijn ook bewustwordingssessies met de raad gehouden, maar minder vaak dan met het college. Na 2019 zien respondenten weinig aandacht meer, wat bij hen de indruk geeft dat het onderwerp bestuurlijk

33

niet als een urgent thema wordt ervaren. Het gevaar dreigt dat het onderwerp iets is voor de liefhebber en dat de complexiteit van de onderwerpen moeilijk vertaald worden naar de politiek-bestuurlijke realiteit.

34

7 Toekomstige opgaven In dit hoofdstuk beantwoorden we de vijfde onderzoeksvraag: Wat zijn de toekomstige opgaven?

Onderzoeksvraag 5

De overheid is voor een groot deel een digitale dienstverlener geworden. Dat brengt risico's met zich mee op het gebied van informatiebeveiliging en privacy, zoals uit de vorige hoofdstukken blijkt. De digitale dienstverlening biedt ook kansen, zoals verrijking van data door koppeling van gegevens of datagedreven werken met behulp van algoritmes. Bij de toepassing van nieuwe technologieën hebben overheden een verantwoordelijkheid om een transparante en controleerbare afweging te maken bij het gebruik van data en systemen enerzijds en het beschermen van privacy. Digitale agenda Gemeenten 2024

De VNG heeft een digitale agenda opgesteld die de digitale transitie ondersteunt. Daarbij worden drie doelstellingen benoemd voor gemeenten voor de komende jaren in de informatiesamenleving:

- Mogelijk maken - Kansen benutten - Duiden en reflecteren Mogelijk maken

Mogelijk maken gaat erover dat de basis op orde is met betrekking tot digitale veiligheid, een betrouwbare overheid die inclusief is en een solide digitale dienstverlening kan bieden.

Kansen benutten

Het benutten van kansen betreft het integraal verbinden van verschillende beleidsdomeinen in het lokaal bestuur ten behoeve van de dienstverlening aan de samenleving en onder andere verbinden met de economie.

Duiden en reflecteren

Duiden en reflecteren betekent dat nieuwe technologie met ethiek verbonden moet worden en met respect voor publieke waarden van de democratische rechtsstaat. Wat de digitale agenda duidelijk maakt, is dat digitalisering niet meer een ding voor de ICT-afdeling is. In het kader van dit onderzoek wordt al duidelijk dat de verantwoordelijkheid voor informatieveiligheid en privacy al in de lijn is belegd en niet alleen bij ICT-ers of de CISO. We zien ook dat deze onderwerpen ook niet meer alleen de gemeentelijke dienstverlening betreffen, maar ook het functioneren van de overheid in de kern van de samenleving. Door de ethische vraagstukken en publieke waarden die met verdergaande digitalisering gemoeid zijn, en de verwoestende effecten van grootschalige incidenten, zoals Hof van Twente, komt de informatiesamenleving steeds meer op de politieke voorgrond. Het stelt gemeenten voor grote opgaven.

Middelen

De incidenten laten zien dat de kwaadwillenden steeds geraffineerder worden. Ook spelen geopolitieke ontwikkelingen waarin door buitenlandse staten gesteunde groepen de overheid en samenleving proberen te ontregelen. Om zich daartegen te wapenen, zijn middelen en expertise

35

nodig. De verwachting is dan ook dat de vraag naar middelen en formatie voor ICT en informatiebeveiliging zal toenemen. Het is al lastig om expertise op ICT uit de markt te halen en de moeite daarop zal alleen maar toenemen, zeker voor de kleinere en middelgrote gemeenten. In de vorige hoofdstukken is opzet, bestaan en werking van informatiebeveiligings- en privacybeleid bij de gemeente Doetinchem geschetst. Datalab GO

Het benutten van kansen staat volgens de geïnterviewden nog in de kinderschoenen. De gemeente Doetinchem participeert samen met gemeenten in de Achterhoek in Datalab Gelderland Oost (Datalab GO). Datalab GO is gestart in 2020 en nog een pril project. Het gaat daarbij vooralsnog om de koppeling van basale gegevens die al aanwezig zijn in het fysieke domein. Er is vooralsnog geen sprake van een koppeling van persoonsgegevens, maar uit de interviews blijkt dat het ook niet wordt uitgesloten. Bronckhorst is de penvoerder van het project Datalab GO, de projectleider heeft daar een aanstelling. De FG van de gemeente Doetinchem is op strategisch niveau niet aangehaakt bij het project.

Gegevens koppelen, camera's Binnen de gemeente wordt geëxperimenteerd met koppelen van gegevens

in het sociaal domein. Voor de financiële monitoring en de analyse van de voorzieningen worden gegevens uit verschillende databestanden gekoppeld en geanalyseerd. Respondenten geven aan dat dat geanonimiseerd en niet naar personen herleidbaar wordt uitgevoerd. Aangegeven wordt dat geleerd is van landelijke schandalen, zoals de toeslagenaffaire. En duidelijk is dat de gemeente wel van plan is de kansen te benutten die big data en de koppeling van gegevens bieden. Voor de veiligheid rondom het stadhuis zijn camera's aangeschaft en opgehangen. Deze kunnen medewerkers en anderen die binnenkomen registreren. Duiden en reflecteren

Voor het ophangen van camera's is overleg geweest met de OR en is een protocol opgesteld. Maar er is van tevoren geen risicoanalyse opgesteld en er wordt getwijfeld of over het gebruik en de mogelijke consequenties bestuurlijk een overwogen besluit is genomen, blijkt uit de interviews. Ook wordt in interviews aangegeven dat het koppelen van gegevens kwetsbaar is, zoals in het sociaal domein en zonder nadere afspraken over de wijze waarop. En dat het ook bestuurlijk ingekaderd moet worden.

Kaders

Privacy is geen absoluut recht en kan bij een zorgvuldige en transparante afweging opzij geschoven worden voor een prevalerend publiek belang. Zo kunnen camera's niet zomaar opgehangen worden op willekeurige plekken, maar wel waar veiligheid als publiek belang in het geding is. De ontwikkeling van datagedreven werken is nieuw en er zijn hierop nog weinig specifieke kaders. Boetes van de AP kunnen een toetsingskader bieden en uiteraard de landelijke kaders uit de BIO en AVG. Op onderdelen zijn ook al kaders, zoals in het sociaal domein of de omgevingswet, hoewel die laatste nog geïmplementeerd moet worden. De gemeente heeft zelf noch visie of kader op datagedreven werken ontwikkeld.

36

Bijlage 1. Geraadpleegde documenten en respondenten Geraadpleegde documenten -

-

Aandachtspunten t.b.v. software-aanvraag B14 Opschaalmodel cybercrisis – Advies Back-up proces Bewustwordingsplan Informatieveiligheid 2021 Bijlage DigiD bij Collegeverklaring ENSIA 2019 - gewaarmerkt Bijlage Suwinet bij Collegeverklaring ENSIA 2019 - gewaarmerkt Boardletters accountants, 2017-2020 ENSIA 2020 verantwoording, mededeling van het college aan de gemeenteraad (2021-45) GAP analyse BIO Getekende collegeverklaring ENSIA 2019 - gewaarmerkt Gewaarmerkte bijlage DigiD bij Collegeverklaring ENSIA 2020 Gewaarmerkte bijlage Suwinet bij Collegeverklaring ENSIA 2020 Gewaarmerkte en ondertekende Collegeverklaring ENSIA 2020 Informatieveiligheidsbeleid gD 2020-2022 Informatieveiligheidsplan 2021 (IVP) Jaarstukken 2020, gemeente Doetinchem Opschaalmodel Cybercrisis - B Model Protocollen o Afvoer ICT-middelen o Autoriseren van gebruikers voor toegang tot applicaties procedure o Beveiligingsincidenten en datalekken procedure o Configuratiebeheer o Datalek melden handleiding o Functiewijziging o Gedragscode - Nieuwe medewerkers bewustwording - Eerste hulp bij privacy o Gedragscode - Nieuwe medewerkers bewustwording - Gouden regels Informatieveiligheid o Gedragscode ambtenaren gemeente Doetinchem o Gegevensdragers opschonen procedure o Incidentmanagement en Responsebeleid ICT o Intranetpagina thuiswerken o Malware voorzieningen procedure o Patchmanagement o Recovery proces o

Richtlijn clear desk en clear screen o Richtlijnen voor mobiele devices en mobiele informatie o Starterspakket Informatieveiligheidsbeheerders o Toegang tot ruimten procedure o Wachtwoorden richtlijn o Wijzigingsbeheer Rapportage Interne toetsing AVG 2019 Register van verwerkersovereenkomsten AVG Toelichting-uitwijkvoorziening-datacenters Verbeterplan ENSIA 2020 Suwinet en DigiD

37

-

Verbeterplan informatiebeveiliging Suwinet Laborijn Verwerkersovereenkomst gemeente Doetinchem v2.4 Voorwaarden inpasbaarheid ICT-infrastructuur Vragenlijst inpasbaarheid webapplicatie ICT-infrastructuur

Geïnterviewde functionarissen -

Burgemeester Gemeentesecretaris Chief Information Security Officer Functionaris Gegevensbescherming Informatieveiligheidscoördinator Teamleider informatiemanagement Teamleider ICTsamenwerking

Geïnterviewden cases Casus 1. Sociaal domein -

Applicatiebeheerder sociaal domein (Suites schuldhulpverlening, Suwinet) Beleidsmedewerker armoedebeleid en schuldhulpverlening Bewindvoerder Kwaliteitsmedewerker financiële ondersteuning Teamleider minimabeleid

Casus 2. Handhaving -

Beleidsmedewerker juridische procedures Secretaresse en handhaver kinderopvang Handhaver, bouwen en ruimtelijke ordening Afdelingsmanager Applicatiebeheerder

38

Bijlage 2. Veel gebruikte termen en afkortingen 2FA 2-staps-verificatie Active Directory (AD)

AP Applicatie AVG (GDPR)

BAG BIG

BIO BIR BIV BRP BRO CISO Cryptografie Data Recovery

Dataminimalisatie

DPIA (ook PIA)

ENSIA

FG GAP GAP-analyse GDPR GBA

Twee factor authenticatie, zo wordt op 2 verschillende manieren gecheckt of degene die inlogt degene is die hij/zij aangeeft te zijn zie 2FA De Active Directory (AD) staat beheerders toe om het beleid (rechten en instellingen) in het netwerk van een organisatie te beheren. De AD bevat een database waarin onder andere accounts en inloggegevens zijn opgenomen Autoriteit Persoonsgegevens Softwareprogramma, zoals de BAG, BRP, SUWInet enz. Algemene Verordening Gegevensbescherming, Europese regelgeving die de privacyregels in de Europese lidstaten harmoniseert (GDPR = General Data Protection Regulation) Basisregistratie Adressen en Gebouwen, applicatie met onder andere gegevens over adressen en gebouwen in de gemeente Baseline Informatiebeveiliging Gemeenten, maatregelen voor de informatiebeveiliging bij gemeenten, in 2013 als standaard afgesproken in VNG-verband Baseline Informatiebeveiliging Overheid, verwachting is dat hier de BIR en BIG in zullen opgaan vanaf 2020 Baseline Informatiebeveiliging Rijksdienst, geldt als basis voor de BIG Beschikbaarheid – Integriteit – Vertrouwelijkheid.

Termen waarop de beveiligingsrisico's van de informatie/applicaties zijn geënt Basisregistratie Personen, applicatie met persoonsgegevens van de inwoners De Basisregistratie Ondergrond (BRO) bevat gegevens over geologische en bodemkundige opbouw van de Nederlandse ondergrond Chief Information Security Officer Cryptografie is het versleuteld versturen en delen van informatie die voor derden onleesbaar is Data Recovery is het weer beschikbaar stellen of ’terughalen’ van verloren data van opslagmedia zoals servers, harde schijven, usb-sticks, sd-cards, tablets en smartphones Houdt in dat bij het verzamelen en verwerken van persoonsgegevens niet meer gegevens mogen worden gebruikt dan nodig is om het doel waarvoor ze gebruikt zullen worden te bereiken. Data protection impact assessment, analyse op risico's in verband met privacy en gegevensbescherming bij verwerkingsprocessen. Onder de AVG verplicht bij gegevensverwerking met een waarschijnlijk hoog privacy risico Eenduidige Normatiek Single Information Audit, eenmalige informatieverstrekking en eenmalige IT-audit voor de horizontale (richting gemeenteraad als toezichthouder) en verticale verantwoording (richting landelijke toezichthouders) Functionaris gegevensbescherming, verplicht voor overheden. Is de Engelse term voor ‘kloof’.

Dat betekent hier het verschil tussen de bestaande situatie en de gewenste situatie Controle of en in welke mate de maatregelen uit de BIG geïmplementeerd zijn General Data Protection Regulation (zie AVG) Gemeentelijke Basisadministratie

39

GR GRIP

Gemeenschappelijke regeling De GRIP structuur regelt de opschaling van de hulpverleningsdiensten van de veiligheidsregio bij rampenbestrijding en crisisbeheersing IBD Informatiebeveiligingsdienst voor gemeenten ICT Informatie- en communicatietechnologie Incidentmanagement en responsebeleid: Beleid om incidenten effectief en efficiënt aan te kunnen pakken, bepalend voor het beperken van schade van beveiligingsincidenten IRPA integrale risico- en privacy-analyse, instrument van IBD voor een integrale GAP- en risicoanalyse ISMS Information security management system, is een managementinstrument om de informatiebeveiliging te waarborgen en besturen. Met het instrument kunnen onder andere de veiligheidsrisico’s in kaart gebracht worden, beleid en rapportages opgesteld worden en taken en verantwoordelijkheden verdeeld worden. Log4J Log4J is een stuk software dat veel gebruikt wordt in webapplicaties en andere systemen, dat in december 2021 bleek kwetsbaar te zijn Logging Logging is het in een logbestand vastleggen van alle inzagen, aanpassingen, toevoegingen en verwijderingen, die door medewerkers in een systeem of databestand worden gedaan Malware Malware is de verkorte term voor 'malicious software' (schadelijke software), daaronder vallen onder andere virussen en ransomware.

Patchmanagement Patchmanagement gaat om het gecontroleerd en planmatig identificeren van kwetsbaarheden en het testen en uitrollen van patches en updates van software. Het doel is om up to date te zijn en tegelijk de dienstverlening zo min mogelijk te verstoren P&C-cyclus Planning & Control cyclus PDCA Plan-Do-Check-Act beleidsleercyclus Phishing mail Vorm van internet oplichting en fraude, door middel van een vals e-mail bericht 'hengelen' naar inlog- of andere persoonsgegevens PIA Zie bij DPIA Privacy by design Betekent dat bij het ontwerp van producten en diensten nagedacht wordt over privacy Proportionaliteit Een verwerking van persoonsgegevens waarbij de vraag gesteld wordt of de verwerking in evenredigheid is met de inbreuk die gepleegd wordt op de persoonlijke levenssfeer van de betrokkenen Ransomware Software (malware) die (delen van) computersystemen gijzelt in ruil voor losgeld Recovery Zie Data Recovery RI&E Risico inventarisatie en evaluatie SIEM/SOC Security Information & Event Management (SIEM) en Security Operations Center (SOC) software die computerdreigingen monitort Smishing Smishing is dezelfde vorm van internet oplichting en fraude als phishing via valse sms-berichten op mobiele telefoons Spoofing Het verzenden van e-mails waarbij het e-mailadres van de afzender vervalst is TPM Third Party Memorandum.

Verklaring dat de derde partij, die de gegevens voor de gemeente bewerkt voldoet aan de geldende richtlijnen over informatiebeveiliging Uitwijkprocedures Uitwijkprocedures regelen het zo snel mogelijk herstel van de dienstverlening na een verstoring of calamiteit Verwerkingsregister Register waarin de gemeente bijhoudt welke persoonsgegevens de gemeente en de verwerkers die deze inschakelt verwerkt 40

Wifi-netwerk pentest

Wijzigingsbeheer Wpg

Deze test is bedoeld om de beveiliging van de draadloze netwerken te toetsen en mogelijke kwetsbaarheden in kaart te brengen. Gesimuleerd wordt of een kwaadwillende baat kan hebben bij een aanvalsscenario op het draadloze netwerk van de gemeente Wijzigingsbeheer is het planmatig en gecontroleerd uitvoeren van wijzigingen in soft- en hardware in een organisatie Wet politiegegevens, vanaf 2020 van kracht

41

Bijlage 3. Casus 1. Sociaal Domein In deze casus gaan we na hoe het team in het sociaal domein omgaat met persoonsgegevens. Met verschillende functionarissen is gesproken, zie ook bijlage 1.26 Hierna behandelen we achtereenvolgens de AVG, hoe gegevens gedeeld worden, de intake, Plan van aanpak, applicaties en de toegang tot de gegevens, controle, bijzondere bijstand en het meedoenarrangement. Bureau financiële ondersteuning

Het sociaal domein is breed, specifiek voor deze casus is gesproken met medewerkers van Bureau financiële ondersteuning. Het Bureau financiële ondersteuning voert de minimaregelingen, schuldhulpverlening, bijzondere bijstand, en het meedoenarrangement uit. Beleidsmatig is het bureau ook verantwoordelijk voor de regeling voor kwijtschelding, de uitvoering van deze regeling ligt bij bedrijfsvoering.

AVG AVG

De werkwijzen van het bureau zijn vanaf 2018, vanaf het moment dat de AVG gehandhaafd werd, onder de loep genomen. Gecontroleerd is of deze AVG-proof zijn. Het merendeel van de werkwijzen was dat al wel, maar de AVG heeft volgens de respondenten de uitvoering aangescherpt. De AVG heeft volgens de respondenten geleid tot meer bewustwording op gegevensbescherming bij de medewerkers. Cursussen en e-learning worden aangeboden en kunnen medewerkers volgen om bewustwording op informatiebeveiliging en privacy te bevorderen.

Verwerkingsregister, dpia's

De verschillende verwerkingen van het bureau zijn opgenomen in het verwerkingsregister. Bij de verschillende nieuwe activiteiten en processen wordt de FG, privacyofficer en informatieveiligheidscoördinator betrokken, geven de respondenten aan. Mede om te bepalen of er een dpia uitgevoerd moet worden op de nieuwe verwerking. In 2019 zijn meteen dpia's op de bestaande verwerkingsprocessen uitgevoerd. Daaruit bleken volgens de respondenten geen risico's op privacy. De medewerkers van het team geven aan veel onderzoeken op informatiebeveiliging en privacy te hebben en te hebben gehad. Zoals dataclassificatie, risicoanalyse op de processen, dpia's, rapportages van de beveiligingsincidenten en datalekken, actueel houden van het verwerkingsregister, BIO-maatregelen, ENSIA audit, enzovoorts. In de teamoverleggen wordt regelmatig aandacht besteed aan aspecten op informatiebeveiliging en privacy. De applicatiebeheerder heeft structureel overleg met de informatieveiligheidscoördinator. Bij de uitvoering van de bijzondere bijstand is elk half jaar overleg over informatiebeveiliging.

Spanningsveld

26

Beleid en regels op informatiebeveiliging en privacy ondersteunen het zorgvuldig omgaan met persoonsgegevens. Het gaat daarbij om data-

Voor deze casus is gesproken met de applicatiebeheerder sociaal domein (Suites schuldhulpverlening, Suwinet), beleidsmedewerker armoedebeleid en schuldhulpverlening, bewindvoerder, kwaliteitsmedewerker financiële ondersteuning en teamleider minimabeleid.

42

minimalisatie (niet meer gegevens verzamelen of verwerken dan strikt noodzakelijk is voor het doel waarvoor de gegevens worden gebruikt) en proportionaliteit (is de verwerking in evenredigheid met de inbreuk op de persoonlijke levenssfeer van de betrokkene.). Het beperkte in de financiële dienstverlening volgens de respondenten de dienstverlening aan de inwoners. De medewerkers willen graag financiële diensten verlenen aan inwoners die het hard nodig hebben, maar ervaren dat zij soms teruggefloten worden door de AVG. Met name de dienstverlening in de preventiesfeer, omdat het niet makkelijk mogelijk is gegevens van inwoners met instanties onderling te delen. Zelf regelingen uitvoeren

Voor een deel is dat door Doetinchem verholpen. De gemeente voert alle minimaregelingen zelf uit, op Werk en inkomen na. De gemeente is dan al zelf in bezit van de NAW-gegevens van een mogelijk nader te bepalen doelgroep die recht heeft op een nieuwe regeling en aangeschreven kan worden. Zo is bijvoorbeeld recent in het kader van de tegemoetkoming energiekosten de doelgroep aangeschreven, met inachtneming van de AVG. Respondenten geven aan dat de inwoners die het betreft vaak zelf weinig problemen ermee hebben als hun gegevens gedeeld worden. Als ze maar worden geholpen met hun problemen. Daarnaast worden de verschillende instanties die zich met armoedebeleid bezig houden vaak als van een en dezelfde gemeente gezien. Dan hebben ze bijvoorbeeld al gegevens aangeleverd aan Laborijn, en dan moeten de medewerkers van de gemeenten nog een keer dezelfde gegevens uitvragen.

Gegevens delen Toestemming

De gemeente vraagt tegenwoordig vooraf toestemming of gegevens bij andere instanties kunnen worden opgevraagd of met andere instanties gedeeld kunnen worden. De klanten worden ervan bewust gemaakt om welke gegevens dat gaat, en dat het ten behoeve van de dienstverlening is. Daar zijn de aanvraagformulieren die de klanten krijgen op aangepast.

Schuldhulpverlening (Wgs)

In de Wet gemeentelijke schuldhulpverlening (Wgs) is geregeld welke gegevens gemeenten mogen verwerken om inwoners toegang te geven tot de schuldhulpverlening. In de wet is ook vastgelegd dat vroegsignalering een regietaak van de gemeente is. De gemeente maakt ter voorkoming van ernstige schulden bij inwoners afspraken met woningverhuurders, zorgverzekeraars en drinkwater- en energiebedrijven om gegevens te delen. Dat zijn NAW-gegevens, mailadres en de achterstand van betaling. Naar aanleiding van die melding wordt actief door de gemeente contact opgenomen met de betrokken inwoners. Tot aan de voordeur als er door de inwoner geen contact wordt opgenomen. Als de inwoner zelf actief een aanvraag doet, mag de gemeente op basis van de Wgs gegevens bij de betrokken partijen opvragen. Als de gemeente de betrokken inwoner een schuldhulpverleningstraject heeft aangeboden, en deze geaccepteerd heeft, kunnen alle schulden in een plan van aanpak worden meegenomen. Niet alleen de schulden van woningverhuurders,

43

zorgverzekeraars en drinkwater- en energiebedrijven, waarmee het traject wordt opgestart. Een wet, zoals de Wgs, om gegevens te delen in het brede sociale domein, dus inclusief Wmo en Jeugdwet, is er nog niet. Wel ligt bij de Eerste Kamer het wetsvoorstel Wet gegevensverwerking door samenwerkingsverbanden voor. Daardoor wordt het voor de uitvoering van de Wmo en Jeugdwet voor gemeenten makkelijker gegevens tussen partijen onderling met elkaar te delen.

Intake Keukentafelgesprek, buurtcoaches

Er zijn verschillende kanalen waarop een inwoner van Doetinchem bij een voorziening in het kader van financiële ondersteuning in aanmerking kan komen. Een is er via een consulent als deze bij een inwoner komt voor een keukentafelgesprek, bijvoorbeeld in verband met een Wmo-aanvraag. Als de consulent constateert dat er tijdens dat gesprek een schuldenproblematiek speelt, kan deze doorverwijzen naar de financiële dienstverlening. Een ander kanaal loopt via het Buurtplein en de buurtcoaches. Huisartsen kunnen patiënten doorverwijzen naar het Buurtplein. De buurtcoaches hebben zicht op de vele leefgebieden van de inwoners en als er een financieel probleem speelt, verwijzen zij ook door naar het Bureau financiële ondersteuning. De buurtcoaches sturen een meldverslag, met NAW-gegevens, gezinssituatie en omschrijving van de hulpvraag. Degenen die doorverwezen worden, krijgen nog een aparte intake, op het gemeentekantoor, voordat een traject wordt opgestart. Met de introductie van de Wgs in 2020 kunnen inwoners zich ook rechtstreeks melden bij de gemeente met een financiële hulpvraag. Dan krijgen zij ook een intake op het gemeentekantoor. De respondenten geven aan dat In 90% van de gevallen door wordt verwezen naar de buurtcoach voor de vraagstukken op niet-financieel terrein op.

Plan van aanpak Plan

Na de intake en controles wordt een plan van aanpak opgesteld. In het Plan van aanpak worden de NAW-gegevens en een probleembeschrijving opgenomen. Er wordt alleen een medische problematiek geregistreerd als die van invloed is op de financiële problematiek. Dat betekent dat er bijzondere persoonsgegevens van klanten in een schuldhulpverleningtraject geregistreerd kunnen worden bij de gemeente.

Applicaties en toegang tot de gegevens Applicatie

De gemeente gebruikt verschillende applicaties om Plan van aanpak en dossiergegevens op te slaan. Onegov is het zaaksysteem van de gemeente. Voor schuldhulpverlening wordt een aparte vakapplicatie gebruikt, namelijk Key2 schuldhulpverlening. Daaruit kunnen de klantgegevens worden opgehaald, gekoppeld aan de basisadministratie van de gemeente. Daarmee wordt de actualiteit gecheckt van de persoonsgegevens. Als een werkproces wordt opgestart of een document wordt aangeraakt, wordt het

44

gekoppeld aan Onegov, het zaaksysteem. Om onder andere te voorkomen dat dubbel wordt opgevraagd of gedigitaliseerd. Nieuwe applicatie

In het eerste kwartaal van 2022 wordt Key2 schuldhulpverlening vervangen door nieuwe applicatie, Allegro. Dat wordt de nieuwe actieve applicatie. In de aanbestedingsfase is daarop een dpia uitgevoerd.

Digitaal/papier

De bestanden van Key2 schuldhulpverlening staan in Onegov en worden gescand. Alleen de lopende werkvoorraad is nog op papier, via de scanstraat. Daarnaast wordt voor de bijzondere bijstand, Wmo en Jeugdwet de vakapplicatie Suite sociaal domein gebruikt (zie hierna bij bijzondere bijstand). Ook via Suite worden bestanden automatisch doorgezet naar zaaksysteem Onegov. De lopende werkvoorraad aan dossiers is nog op papier, de rest van de dossiers is via de scanstraat gescand en digitaal.

Toegang

Onegov, het zaaksysteem, werkt met autorisatieprofielen die aangeven tot waar de als medewerker geautoriseerd is om gegevens in te zien en te verwerken. Deze profielen worden bepaald door het team waar de medewerker werkt. Er wordt een typering aan de casus in het zaaksysteem gehangen die bepaalt welk medewerkersprofiel toegang heeft tot de gegevens.

Bewindvoering

De rechter kan, als iemand niet geheel zelfstandig in staat is zorg te dragen voor de financiën, bewindvoering opleggen. De gemeente kan in het kader van schuldsanering ook de bewindvoering uitvoeren. De bewindvoerder mag op basis van de beschikking van de rechtbank alle gegevens opvragen. Niet alleen de gegevens die bij de gemeente aanwezig zijn, maar uitkeringsgegevens van het UWV, huur bij de woningbouwvereniging, de bankrekening enzovoorts. Deze gegevens worden in het zaaksysteem opgeslagen, met een klantnummer en BSN. Dit laatste om te kunnen koppelen aan de gemeentelijke basisadministratie, zodat de persoonsgegevens actueel zijn. Alleen de bewindvoerder heeft toegang tot het dossier in het zaaksysteem. Deze deelt de gegevens met de rechtbank, via een formulier dat beveiligd via Zivver wordt verzonden.

Kredietbank

In het kader van de schuldhulpverlening kan een krediet verstrekt worden. Voor de gemeente voert de Stichting Kredietbank Nederland deze dienstverlening uit. Als er sprake is van een krediet gaat een aanvraag met NAW-gegevens en het bedrag naar de kredietbank. Het mailverkeer hierover gaat beveiligd via Zivver.

Controle Zoals aangegeven heeft in principe niemand die niet aan een bepaald medewerkersprofiel voldoet toegang tot de dossiers. Enkele uitzonderingen voor de controle daargelaten. Kwaliteitsmedewerker

Intervisie en controle op de werkprocessen vindt in eerste instantie plaats bij de casusbespreking door de medecollega's. Daarnaast kan de kwaliteitsmedewerker in Key2 schuldhulpverlening bij het dossier om te

45

toetsen of de juiste procedures worden gevolgd en of het dossier compleet is. Verder kan in principe niemand bij de dossiers, behalve een bewindvoerder als de klant onder bewindstelling is geplaatst. Schuldhulpverlening

Vanuit de brancheorganisatie schuldhulpverlening (NVVK) wordt een audit op de schuldhulpverlening gehouden. Dat werd tot voor kort jaarlijks op dossierniveau gedaan. In 2022 heeft de NVVK voor een nieuwe methodiek gekozen. In plaats van de check op de dossiers gaat de nieuwe audit over de visie van de gemeente op schuldhulpverlening. De audit van 2022 zou over de afgelopen drie jaar gaan, maar is vertraagd.

Rechtbank

Er vindt een jaarlijkse handhavingscontrole op beschermingsbewind plaats door het kwaliteitsbureau van de rechtbank. Per dossier moet de gemeente verantwoorden waaraan geld is uitgegeven en hoe de processen op bewindvoering zijn ingeregeld bij de gemeente. Dat zijn volgens de respondenten zware kwaliteitseisen waaraan de gemeente moet voldoen om als bewindvoerder benoembaar te zijn en te blijven.

Accountant

Tot slot voert de accountant controles uit op de bedrijfsmatige uitvoering van het beschermingsbewind. Dat gebeurt steekproefsgewijs op de dossiers.

Bijzondere bijstand Laborijn en gemeente

Laborijn voert de regelingen van de Participatiewet uit in verband met het levensonderhoud, zoals de bijstandsuitkering. De onbelaste bijzondere bijstand wordt door de gemeente uitgevoerd. De medewerkers van het team zijn ook betrokken bij deze aanvragen voor bijzondere bijstand. Bij een aanvraag zijn gegevens nodig om de cliënt te identificeren, zoals NAWgegevens en BSN, en de reden voor de aanvraag van de voorziening. Als iemand al bekend is via een Participatiewet-uitkering dan is er sprake van een verkorte aanvraag, want de financiële gegevens zijn bekend. Dan komen de inwoners sowieso voor bijzondere bijstand in aanmerking. Als de financiële gegevens niet bekend zijn bij de gemeente, bijvoorbeeld als ze een eigen ander inkomen hebben, dan worden financiële gegevens opgevraagd. De inwoner levert die gegevens zelf aan, dus de verstrekking van die gegevens gebeurt altijd met instemming van de cliënt.

Draagkrachtmeting

Mede op basis van een vermogenstoets maakt de consulent op basis van de gegevens een draagkrachtberekening om te controleren of de cliënt in aanmerking komt voor bijzondere bijstand. En of hij/zij een eigen bijdrage moet betalen. Voor de controle op de aangeleverde gegevens kan 'Suwinet inkijk' gebruikt worden.

Dossier Suites

Sommige uitkeringen zijn incidenteel op basis van een beschikking, andere uitkeringen zijn periodiek, die ook periodiek worden geregistreerd. Het dossier wordt opgenomen in de applicatie voor het sociaal domein dat de gemeente gebruikt, Suites sociaal domein. Deze is gekoppeld aan het zaaksysteem Onegov. In het dossier zitten de aanvraag en aanvullende bewijsstukken zoals aankoopbonnen facturen enzovoorts. De verwerking is

46

opgenomen in het verwerkingsregister en in 2019 met een dpia gecheckt. De toegang tot de dossiers is ook geregeld via de rollen/functies van de medewerkers. CBS

De gegevens over de bijzondere bijstand worden verplicht maandelijks gedeeld met het CBS. Dat gebeurt op basis van geaggregeerde en geanonimiseerde gegevens en via speciaal daartoe opgezette en beveiligde communicatiekanalen.

Meedoenarrangement Participeren

Het meedoenarrangement is bedoeld voor mensen die door gebrek aan geld niet kunnen deelnemen aan het maatschappelijk verkeer. Bedoeld voor gezinnen met een inkomen tot netto 120% van de bijstandsnorm en kinderen en jongeren t/m 17 jaar uit een gezin met een inkomen tot 130% van de bijstandsnorm. Bij een aanvraag bijzondere bijstand of schuldhulpverlening wordt meteen de link gelegd met het meedoenarrangement.

Aanvraag

De aanvraag kan via buurtcoaches, consulenten, via allerlei andere kanalen van het netwerk in het sociaal domein. Inwoners kunnen de aanvraag ook zelf doen. Daarvoor is een apart systeem opgezet, met behulp van een website of 'software as a service' (SAAS). Daarin worden alleen NAWgegevens opgevraagd, die inwoners digitaal aanleveren via DigiD. Het aanvraagformulier is gekoppeld aan het zaaksysteem Onegov. Daar vullen de inwoners de NAW-gegevens aan met inkomensgegevens, als die niet bekend zijn via een Participatiewet-uitkering. Deze gegevens zijn ook weer rol- en functieafhankelijk toegankelijk en worden niet gedeeld met anderen, of derden. Met de verschillende uitvoerders van de regeling worden NAW-gegevens gedeeld. Ook op dit verwerkingsproces is een dpia uitgevoerd.

47

Bijlage 4. Casus 2. Toezicht en handhaving In deze casus gaan we na hoe het team handhaving omgaat met persoonsgegevens. Met verschillende functionarissen is gesproken, zie ook bijlage 1.27 Hierna behandelen we achtereenvolgens de AVG en Wpg, de werkwijze in het team, de gebruikte applicaties, de toegang tot de gegevens (autorisaties), communicatie en tot slot overleg en bewustwording.

AVG en Wpg AVG

Volgens de respondenten heeft de AVG geen ingrijpende wijzigingen in de werkwijzen bij toezicht en handhaving teweeg gebracht. Er werd onder de voorganger, de Wet bescherming persoonsgegevens (Wbp), rekening gehouden zorgvuldig omgaan met gegevens van inwoners. De AVG heeft zeker invloed gehad op de bewustwording en het strikter houden aan regels hoe met persoonsgegevens wordt omgegaan. Het proces van autoriseren is zorgvuldiger vormgegeven en niet iedereen heeft toegang tot dossiers met BSN-nummer van de betrokkenen. Zoveel als mogelijk vermelding van namen in applicaties vermeden, door te pseudonimiseren of te anonimiseren door de term 'bezwaarder' te gebruiken.

Wpg

De Wet politiegegevens (Wpg) is vanaf 2020 in werking getreden. Die wet regelt vanuit het kader van de politiewet en de AVG hoe de gemeente om moet gaan met informatie uit de systemen waar de Boa's toegang toe

Wpg Een gemeente moet volgens de Wet politiegegevens (Wpg) aan een aantal vereisten voldoen bij de verwerking van gegevens. Die moet plaatsvinden in afzonderlijke systemen en door aangewezen medewerkers. De reden voor deze strenge eisen ligt in de aard van de bevoegdheden. Hiermee kan diep op de privacy van burgers worden ingegrepen en dit vraagt om strenge regels om de privacy van burgers te beschermen. Voor de verwerking van politiegegevens stelt de Wpg net als de AVG een aantal algemene criteria. Dit betreft criteria over noodzakelijkheid, rechtmatigheid, juistheid, proportionaliteit, subsidiariteit en volledigheid. Daarnaast moet de verwerkingsverantwoordelijke gemeente een aantal technische en organisatorische maatregelen nemen: 1. 2. 3. 4. 5. 6. 7. 8.

27

Inspanningsverplichting verwerkingsverantwoordelijke Beveiliging Gegevensbeschermingseffectbeoordeling (GEB)/dpia Rechten betrokken burgers Registerplicht Meldplicht datalekken Documentatieplicht Voorwaarden ICT-systeem

Beleidsmedewerker juridische procedures, secretaresse en handhaver kinderopvang, handhaver bouwen en ruimtelijke ordening, applicatiebeheerder en afdelingsmanager.

48

hebben. Daarop zijn tweejaarlijkse audits verplicht en deze is nog niet gehouden voor de gemeente Doetinchem.

Systemen/applicaties Zaaksysteem

Als digitaal zaaksysteem gebruiken de medewerkers Onegov, die de meeste medewerkers van de gemeente gebruiken. De gegevens kunnen gekoppeld worden met de basisregistraties en zijn in principe open voor de medewerkers die daarop kunnen inloggen. In Onegov kunnen gehele of gedeelten van dossiers afgeschermd worden.

Key2 Vergunningen

Voor toekenning en registratie van vergunningen wordt Key2 Vergunningen van Centric of Centric Leefomgeving gebruikt. Als iemand een vergunning aanvraagt, dan kunnen daarbij alle geregistreerde gegevens worden opgevraagd en ingezien worden. Als de vergunning is verleend, worden alleen de locatiegegevens naar een externe applicatie van Arcadis geëxporteerd, niet naam of andere persoonsgegevens. Daarmee kunnen op locatie met behulp van een mobiel apparaat checklists worden ingevuld.

Squit XO

Specifiek voor gegevens in verband met bouwvergunningen wordt Squit XO gebruikt. Dat is een extern systeem waar geen persoonsgegevens in aanwezig zijn, alleen locatiegegevens. Daar kunnen bovendien alleen medewerkers met een bepaald profiel en toegangsrechten bij. In verband met handhaving bij een overtreding moeten dan wel de persoonsgegevens nagetrokken worden.

Medische gegevens

In de systemen en applicaties zijn geen bijzondere persoonsgegevens aanwezig, volgens de respondenten. Bijvoorbeeld, bij de toetsing van het plaatsen van een vergunningsvrije mantelzorgwoning, waar geen omgevingsvergunning meer voor nodig is, worden geen medische gegevens geregistreerd. In de systemen wordt alleen op basis van een verklaring van een huisarts of wijkverpleegkundige of aan de voorwaarden voor mantelzorg is voldaan. Verder wordt alleen getoetst op de voorwaarden in het Bouwbesluit, zoals de regels op het gebied van veiligheid, gezondheid en milieu.

Wob-verzoeken

De medewerkers gebruikten een applicatie voor het aflakken van persoonsgegevens, en beleidsopvattingen van personen bij de publicatie van Wob-dossiers. Die wijze van zwart maken van passages in documenten kon door speciale software weer ongedaan gemaakt worden. Vandaar dat medewerkers het aflakken handmatig uitvoeren.

Autorisaties Autorisaties

De toegang tot applicaties en gegevens daarbinnen, de autorisaties, worden toegekend op basis van de rol/functie die een medewerker heeft. Respondenten geven aan dat dat op minimale basis gebeurt, zodat het voorkomt dat medewerkers vaak verzoeken moeten doen om tot meer gegevens toegang te krijgen. De leidinggevende doet de melding voor de toekenning van een autorisatie van de leidinggevende via Topdesk, waarna

49

de applicatiebeheerder in de applicatie de rechten voor die rol/functie toekent.

Aanvraag vergunning Werkprocessen

De huidige werkprocessen zijn niet grafisch weergegeven en op papier gezet. Ze zijn wel opgenomen in de systemen. Met de komst van de Omgevingswet moeten alle processen opnieuw ingericht en uitgeschreven worden. Daarvoor worden wel nieuwe processen op papier uitgeschreven.

Aanvraag

Een aanvraag voor een vergunning komt binnen met NAW-gegevens en BSN-nummer. Het gaat bij de registratie in principe om de vergunning en niet meer om de naam van de aanvrager. Voor de aanvraag van vergunningen, zoals horeca- en drankvergunningen, is in de systemen een aparte procedure en bestandssysteem binnen Onegov opgezet. Daarbij kan gedacht worden aan vergunningen voor seksinrichtingen, coffeeshops, speelautomaten. Vanaf de binnenkomst worden die aanvragen apart doorgeleid. De namen en BSN-nummers zijn afgeschermd. Bij die bestanden mogen alleen vanwege hun functie geautoriseerde medewerkers. Ook de dossiers met gegevens die met ondermijning te maken hebben, worden op die manier verwerkt. Deze zijn gelinkt met de APV-applicatie. In de applicatie zijn de BSN-nummers afgeschermd, maar vergunningen zijn openbare gegevens. De vergunningen worden gepubliceerd met locatiegegevens en de persoonsgegevens worden afgeschermd.

Gegevens delen en ontvangen Politie

De politie deelt met de gemeente over en weer gegevens, maar is daar zeer terughoudend in. Op last van de politie kunnen Boa's panden verzegelen, zoals drugspanden. Die melding komt via de burgemeester, als onderdeel van de driehoek, binnen. De afdeling krijgt dan alleen te horen dat er op een bepaald moment op een bepaalde locatie een inval wordt gedaan. Daarbij worden geen persoonsgegevens verstrekt. De voorbereiding van de Boa's die daarbij betrokken zijn, is miniem. Uit de interviews blijkt dat dat met de juridische en strafrechtelijke context te maken heeft waarin de politie werkt. Voor constateringsrapporten gebruiken de Boa's een app op het mobiele apparaat. Daarin mogen geen politiegegevens verwerkt worden. Via een vraag of er politiegegevens verwerkt worden, kan een speciaal beveiligde applicatie gebruikt worden. CityControl, waarbij politiegegevens ingezien kunnen worden en alleen die gegevens die voor de actie die de Boa moet ondernemen. Daarin worden door de Boa's geen (persoons)gegevens opgeslagen.

Zivver

Met veel partijen worden gegevens en (bijzondere) persoonsgegevens gedeeld. Als er persoonsgegevens worden uitgewisseld, moet dat via beveiligd verkeer gebeuren. De gemeente gebruikt daarvoor de applicatie Zivver, waarmee beveiligd (grote) bestanden verstuurd kunnen worden. Zo

50

gebruikt de afdelingsmanager Zivver voor de mailcommunicatie met de bedrijfsarts over verzuim van medewerkers. Respondenten geven aan dat niet iedereen rechten heeft om Zivver te gebruiken. Een van de respondenten verstuurt (grote) bestanden met het als onveilig aangemerkte Wetransfer. Persoonsgegevens in pdf-bestanden kunnen dan vervaagd, 'geblurd', worden. Een andere respondent wist niet van het bestaan van Zivver. Wel dat er een programma voor veilig versturen was en dat erover wordt nagedacht dat standaard in het mailprogramma te verwerken, maar de naam was niet gecommuniceerd. GGD-rapporten kinderopvang De GGD en de gemeente delen de inspectierapporten over kinderopvang in

de landelijke inspectieruimte van de rijksoverheid. Dat is een beveiligd systeem waar alleen de GGD, gemeenten en de Inspectie onderwijs toegang toe hebben. De gemeente kan het stuk met de persoonsgegevens in een pdf-format ophalen en in Onegov in het betreffende handhavingstraject registreren. In deze GGD-inspectierapporten zijn de naam en functie van de betreffende inspecteur opgenomen. De opvangadressen en de persoonsgegevens van gastouders zijn opgenomen in de rapporten. Waarom de persoonsgegevens van de gastouders zijn opgenomen, wordt verklaard door het feit dat deze als bedrijfsgegevens worden gezien. Gastouders willen als 'bedrijfszaak' gevonden worden. Andere persoonsgegevens zijn gepseudonimiseerd met behulp van een nummer waaronder zij bekend zijn bij het Landelijk Register Kinderopvang (LRK). De GGD en gemeenten reconstrueren zelf op basis van dat nummer uit het Landelijk Register Kinderopvang de betreffende namen. Omgevingsdienst

De gemeente wisselt gegevens met de Omgevingsdienst Achterhoek (ODA) via het omgevingsloket. Dat is een gezamenlijk initiatief van ministerie van BZK, Interprovinciaal Overleg (IPO), Unie van Waterschappen (UvW) en de Vereniging Nederlandse Gemeenten (VNG). Daarmee wordt over en weer via beveiligde verbindingen gecommuniceerd. Via het omgevingsloket wordt ook beveiligd gecommuniceerd met de Veiligheidsregio Noord- en Oost-Gelderland (VNOG), bijvoorbeeld in geval van een melding van de brandweer.

Aanvraag vergunningen

Over de vergunningen voor horeca en drank (zie hiervoor) en ondermijnende zaken wordt op een beveiligde manier gecommuniceerd met het Regionale Informatie- en Expertise Centra (RIEC).

Bezwarencommissie

Met de bezwarencommissie worden persoonsgegevens gedeeld, in een pdfbestand via de mail en niet geanonimiseerd. De verklaring die daarvoor wordt gegeven is dat de leden van deze commissie over deze gegevens moeten beschikken om tot een goed oordeel te komen.

DPIA's, verwerkersovereenkomsten, verzoeken om inzage AVG

In het kader van de AVG worden onder andere dataprotection impact assessments op privacygevoelige verwerkingsprocessen, verwerkersovereenkomsten gesloten met derden als er persoonsgegevens

51

worden verwerkt en kunnen betrokkenen om inzage verzoeken in de gegevens die van hen door de gemeente worden verwerkt. Dpia's

Bij toezicht en handhaving zijn nog geen dataprotection impact assessments gehouden, zie ook de lijst met dpia's in §5.1.2. De gesproken medewerkers zijn er niet mee bekend. Gepland staan gesprekken met de privacyofficer en informatieveiligheidscoördinator om een pre-dpia te doen. De accountant heeft daar ook opmerkingen over gemaakt en risico's gesignaleerd. Die constateringen gingen overigens verder dan alleen de persoonsgegevens en betroffen ook de rechtmatigheid van de bedrijfsvoering en informatiebeveiliging.

Verwerkersovereenkomsten

Wel is er contact met de privacyofficer en ICT over verwerkersovereenkomsten die gesloten moeten worden. Zoals bij het ontvangen en delen van informatie van gegevens met betrekking tot de beoordeling over de vergunningsvrije zorgwoningen of de gehandicapten parkeerkaart. Voor de verwerkersovereenkomst is gekeken naar het portaal waarop de gegevens gedeeld worden.

Verzoeken om inzage

Er worden bij vergunningen regelmatig verzoeken gedaan om inzage van eigen of andermans gegevens. Vanwege de procedure bij omgevingsvergunningen moeten gegevens ter inzage liggen. Dan gebeurt het bijvoorbeeld dat buren vragen om inzage in de stukken. Ook in het kader van een Wob-verzoek is een keer om inzage in de eigen persoonsgegevens verzocht. Maar dat zijn andere verzoeken om inzage in de eigen persoonsgegevens dan bedoeld in verband met de AVG. Er zijn in dat kader twee verzoeken binnengekomen om inzage in de persoonsgegevens die bij het team worden verwerkt. Deze komen via de privacyofficer en het zaaksysteem Onegov bij het team binnen. Daar volgden geen verzoeken uit tot verwijdering van de verwerkte gegevens.

Team Alertheid toegenomen

Respondenten geven aan dat de alertheid met de zorgvuldige omgang met persoonsgegevens is toegenomen. Vanuit het bestuur en management wordt aandacht voor informatiebeveiliging en privacy gestimuleerd. In het MT worden regelmatig rapportages over datalekken van de privacyofficer besproken en verbeteracties opgenomen. Er worden trainingen en cursussen op gebied van informatiebeveiliging en privacy aangeboden. De privacyofficer, FG en CISO zijn bekend bij de medewerkers en men weet ze ook te vinden. Veel van de procedures en informatie op informatiebeveiliging en privacy is voorhanden op intranet. Tegelijk wordt aangegeven dat dat niet door alle medewerkers even goed wordt gelezen en bijgehouden.

Teamoverleggen

Aangegeven wordt dat in de teamoverleggen praktijksituaties worden besproken en hoe in het kader van de AVG hiermee om te gaan. Daarbij krijgt het team ondersteuning van de privacyofficer en informatieveiligheidscoördinator. De handvatten om in overeenstemming met de AVG te handelen, zijn er. Een enkele respondent geeft aan het lastig te vinden,

52

niet goed ondersteund te worden en met de insteek van de privacyofficer en informatieveiligheidscoördinator te worstelen.

Vragen raadsleden Richtlijn

Tijdens de gesprekken werpen respondenten het vraagstuk op over informatie delen met raadsleden. De vraag is welke informatie zij als ambtenaren kunnen delen naar aanleiding van een vraag van een raadslid. Een artikel-38 vraag heeft een formele procedure voor de beantwoording, maar soms worden zij ook direct benaderd door raadsleden. Voor zover bekend is daar geen richtlijn voor.