RIB 25-30 Bijl2 - Jaarverslag 2024 en Jaarplan 2025 Functionaris Gegevensbescherming
Tekst van het document
Anne Tames – Hendriks MSc 25 februari 2025
Jaarverslag 2024 en jaarplan 2025 Functionaris Gegevensbescherming
Daadkracht Advies KVK
09183666
BTW
NL819545740B01
IBAN
NL33RABO0143169327
Alg. Voorw. gedeponeerd bij KvK
Postbus 6635
024 3446288
6503 GC Nijmegen
info@daadkracht.nl
Daadkracht www.daadkracht.nl
Inhoudsopgave HOOFDSTUK 1
3
Voorwoord
3
HOOFDSTUK 2
4
Inleiding
4
2.1 2.2 2.3
4 4 5
Aanstelling Feiten en kengetallen Bijzonderheden in 2024
HOOFDSTUK 3
6
Activiteiten 2024
6
3.1
6
Werkzaamheden jaarplan 2024
HOOFDSTUK 4
7
Aanbevelingen
7
4.1 4.2
7 7
Concrete invulling jaarplan 2025 Bewustwording
© Daadkracht Advies
Jaarverslag 2024 en jaarplan 2025 Functionaris Gegevensbescherming
Pagina 2 van 7
HOOFDSTUK 1
Voorwoord Het landelijke beeld op het gebied van privacy en informatiebeveiliging toont vooral een toenemende externe dreiging, zowel in volume als complexiteit. Het rapport “Dreigingsbeeld informatiebeveiliging Nederlandse gemeenten 2023 – 20241” spreekt van een ‘somber beeld’ in de feitelijke cijfers en tegelijkertijd een oproep voor meer aandacht en groei om het gat te dichten. Daarnaast was er (veel) Europese aandacht voor regulering door de AI act, de NIS2 en de cybersecuritywet die volgt. Dit jaarverslag dient voor de gemeente Dongen enerzijds als evaluatie op het afgelopen jaar, maar ook om vooruit te kijken en te leren van ontwikkelingen van afgelopen jaar. Deze openheid, over resultaten en incidenten, leidt tot een cultuur waar men leert van fouten en de kansen aangrijpt om de informatievoorziening en informatieontsluiting rechtmatig en veilig te houden.
1
Dreigingsbeeld informatiebeveiliging Nederlandse gemeenten 2023 – 2024, Informatiebeveiligingsdienst (IBD).
© Daadkracht Advies
Jaarverslag 2024 en jaarplan 2025 Functionaris Gegevensbescherming
Pagina 3 van 7
HOOFDSTUK 2
Inleiding In het jaarverslag over 2024 volgt een beschrijving van de activiteiten, de behaalde resultaten, incidenten en aanbevelingen voor 2025. Het doel van dit verslag is terugkijken, de verantwoording naar het bestuur en de Autoriteit Persoonsgegevens. Ook beschrijft het de aanbevelingen voor 2025 die richting kunnen geven aan ambities, doelstellingen en investeringen voor 2025. Belangrijk om te vermelden is dat het jaarverslag de activiteiten, resultaten en incidenten beschrijft in relatie tot de naleving van de Algemene Verordening Gegevensbescherming (AVG). Het Jaarverslag is een verplicht onderdeel van de FG-functie en heeft als doel om de organisatie te informeren over de stand van zaken en eventueel bijzonderheden op het thema privacy. Gemeente Dongen werkt sinds 2022 met een jaarplan om privacy activiteiten op te leveren en bij te blijven op actuele thema’s. Vanaf nu zal dit jaarlijks worden bijgehouden.
2.1
Aanstelling
De FG houdt zich aan de richtlijnen zoals die door de Autoriteit Persoonsgegevens zijn opgesteld in artikel 29 van de groep gegevensbescherming.2 De opdracht omvat een toezichthoudende functie op het naleven van de privacy wet- en regelgeving bij de gemeente Dongen. Valerie Leijs is aangemeld geweest bij het landelijk register voor FG’s tot oktober 2024. Vanaf oktober 2024 is Anne Tames – Hendriks aangemeld als FG. Met de aanstelling van de FG voldoet de gemeente Dongen aan de door de AVG gestelde verplichting.
2.2
Feiten en kengetallen
In 2023 ontving de Autoriteit Persoonsgegevens (AP) meer dan 25.000 meldingen van datalekken, wat een aanzienlijk risico voor betrokkenen met zich meebracht, waaronder 20 miljoen getroffen personen. Cyberaanvallen, vaak gericht op ICT-leveranciers, zijn een belangrijke oorzaak van deze datalekken. De AP schrijft in haar jaarrapportage datalekken3 dat organisaties het risico voor slachtoffers vaak te laag inschatten. Als gevolg worden slachtoffers niet altijd geïnformeerd en lopen zij risico op identiteitsfraude en (de gevolgen van) phishing. De AP benadrukt dat samenwerking en juiste risico-inschatting cruciaal zijn voor het vergroten van de digitale weerbaarheid. In het kader van de NIS2-richtlijn zal de AP ook intensiever samenwerken met andere toezichthouders om de bescherming van persoonsgegevens te verbeteren. Gemeente Dongen heeft in het jaar 2024 tien inzageverzoeken binnengekregen, twee beveiligingslekken en negen datalekken gehad. Er zijn drie meldingen gedaan bij de Autoriteit Personsgegevens. Het betrof in zeven gevallen een mail die naar een verkeerd e-mailadres was gestuurd en in één geval een verkeerd verzonden brief.
2
Richtlijnen voor functionarissen voor gegevensbescherming:
https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/wp243rev01_nl.pdf 3
Datalekrapportage 2023, Autoriteit Persoonsgegevens. (Het verslag 2024 nog niet beschikbaar op het moment van schrijven)
© Daadkracht Advies
Jaarverslag 2024 en jaarplan 2025 Functionaris Gegevensbescherming
Pagina 4 van 7
2.3
Bijzonderheden in 2024
In 2024 zijn er verschillende DPIA’s opgestart en afgerond. Daarnaast is er periodiek aandacht voor bewustwording onder andere door middel van het privacy-alfabet wat op intranet geplaatst wordt. Aan gemeente Dongen is vanuit de Autoriteit Persoonsgegevens gevraagd aandacht te geven aan haar werkwijze ten aanzien van veilig mailen. Dit is onder van het privacy alfabet waar de gemeente mee is gestart voor wat betreft de bewustwording van privacy en informatiebeveiliging. Daarnaast is er aandacht voor bewustwording op het gebied van privacy door middel van een training voor nieuwe medewerkers.
© Daadkracht Advies
Jaarverslag 2024 en jaarplan 2025 Functionaris Gegevensbescherming
Pagina 5 van 7
HOOFDSTUK 3
Activiteiten 2024 3.1
Werkzaamheden jaarplan 2024
Hieronder blikken we terug op het jaarplan 2024.
Geplande activiteit
2024
1
Verwerkingsregister op orde
Periodiek
2
Afsluiten
Doorlopend Betreft een doorlopende actie.
Onderdeel van continue werkzaamheden in het kader van privacy.
verwerkersovereenkomsten 3
Workshops bewustwording
4
Het uitvoeren van DPIA’s
5
Interne Wpg audit
6
Intern beleid omtrent Artificial Intelligence (AI) Algoritmeregister
Afgerond
Het beleid is vastgesteld.
Afgerond
Dit is intern belegd bij de CISO.
Ongeplande activiteit
2024
1
Ontvangen tip van AP
Afgerond
2
Notitie Sociaal Domein
Afgerond
3
Woo-verzoeken met privacy
Afgerond
7
Periodiek
Privacy-alfabet is gestart op intranet en een training voor nieuwe medewekers. Doorlopend Er heeft een inhaalslag op de uitvoering van DPIA’s plaatsgevonden. In Training is gevolgd, interne audit is gestart door PO . uitvoering
component 4
Anonimiseren jeugddossiers
Afgerond
5
ETHOS-telling
On-hold
6
Pilot bestuurlijk afpakken – RIEC
On-hold
© Daadkracht Advies
Jaarverslag 2024 en jaarplan 2025 Functionaris Gegevensbescherming
Pagina 6 van 7
HOOFDSTUK 4
Aanbevelingen 4.1
Concrete invulling jaarplan 2025
Het jaarplan 2025 is een overwogen overzicht van activiteiten die gemeente Dongen wil ondernemen op het gebied van privacy en informatiebeveiliging, rekening houdend met de capaciteit en prioriteit. De aanbeveling is om een realistische planning voor 2025 op te, waarbij de gemeente de prioriteiten vaststelt en de haalbaarheid van plannen in samenwerking met de FG en PO afstemt. Wegens tijdelijke afwezigheid van de privacy officer is het jaarplan nog niet opgesteld.
4.2
Bewustwording
Gezien de aard van de beveiligingsincidenten die in 2024 hebben plaatsgevonden is het advies van de FG om aandacht te besteden aan het zorgvuldig mailen. Menselijke foutjes zullen altijd voorkomen, maar het is wel belangrijk om te leren van de fouten. Bewustzijn van dreiging en risico’s helpt de organisatie om incidenten te herkennen (en later voorkomen). Naast de nieuwe aanbevelingen is het van groot belang dat lopende zaken zonder onderbrekingen worden voortgezet. Daarnaast is het bij incidenten belangrijk om helder en zichtbaar te communiceren naar medewerkers, iedereen dient op de hoogte te zijn van wat er is gebeurd en welke stappen er door wie ondernomen moeten worden.
© Daadkracht Advies
Jaarverslag 2024 en jaarplan 2025 Functionaris Gegevensbescherming
Pagina 7 van 7