4. Bijlage 2 - Advies Lex Digitalis geanonimiseerd (GEHEIM)

Lex Digitalis BV Binckhorstlaan 36, M1-07 2516 BE Den Haag Tel +31 70 204 2440 www.lexdigitalis.nl Bank IBAN 5.1.2e KvK 80768695 BTW 5.1.2e

Rapportage Onderwerp Van Datum Status

1.

Onderzoek naar de privacy governance en de rol en positionering van de functionaris voor gegevensbescherming 5.1.2e en 5.1.2e 9 december 2023 Definitief

Inleiding De Autoriteit Persoonsgegevens heeft het College van burgemeester en wethouders van de gemeente Eindhoven verzocht uiterlijk 31 december 2023 een aangepast verbeterplan in te dienen. Het verbeterplan moet door de functionaris voor gegevensbescherming (FG) beoordeeld worden en door het college van burgemeester en wethouders goedgekeurd zijn. Het verbeterplan moet onder andere ingaan op de positie en rol van de FG en governance en organisatiecultuur. Gemeente Eindhoven heeft Lex Digitalis opdracht gegeven om op deze punten te adviseren. Het doel van de opdracht is: • de rollen en verantwoordelijkheden van de FG, zoals beschreven in wet- en regelgeving, door te vertalen naar werkafspraken voor de organisatie, zodat helder is voor de organisatie wat de positie van de FG is, welke verantwoordelijkheden de FG heeft en bij welke vraagstukken, op welke momenten en op welke wijze de organisatie de FG kan betrekken en moet betrekken, en • een stappenplan te bieden voor (verdere) inrichting van de privacygovernance en verbetering van het privacybewustzijn, waarmee de organisatie borgt dat zij aantoonbaar voldoet aan privacywetgeving.1 Deze onderwerpen kunnen niet los van elkaar gezien worden. Ten minste zal de privacygovernance – het ‘three lines of defence’-model volgend – ook in moeten gaan op de positionering van de FG.

Ons advies is tot stand gekomen na een analyse van documenten en interviews met medewerkers van de gemeente. Deze rapportage bevat observaties ten aanzien van de huidige situatie, een streefbeeld, een beschrijving van door te voeren verbeteringen om het streefbeeld te realiseren en een planning en stappenplan op hoofdlijnen. Het streefbeeld stellen we samen uit wet- en regelgeving, maatregelen die volgens gangbare privacy frameworks genomen zouden moeten zijn, de best practices uit onze ervaringen en het commentaar van de Autoriteit Persoonsgegevens naar aanleiding van het voorgaande verbeterplan van de gemeente. Deze notitie hebben wij zo goed als mogelijk beperkt in omvang vanwege de wens van de gemeente om een rapportage van maximaal vier pagina’s te ontvangen. Wij leveren geen gespreksverslagen, noch wordt op andere wijze verslag gedaan van uitspraken van afzonderlijke medewerkers die zij doen tijdens de interviews.

2.

Observaties Onze observaties zijn indrukken die wij hebben opgedaan bij het doornemen van de ontvangen documenten en bij de interviews. Wij beperken ons tot observaties die gedragen worden door verschillende waarnemingen. Onze observaties zijn daarmee geen vaststaande feiten noch pretenderen wij een beoordeling. We formuleren onze observaties daarom met voorzichtigheid. Daarnaast kan de informatie die wij ontvingen, met name bij informatie uit interviews, gekleurd zijn door opvattingen en meningen van de geïnterviewden.

1

Voor de leesbaarheid hanteren wij in deze notitie het begrip ‘privacy’, ook waar wij doelen op het – in juridische zin correctere – begrip ‘bescherming van persoonsgegevens’.

Pagina 1 van 13

Wij beperken ons hieronder tot de observaties die naar onze mening relevant zijn in het kader van het streefbeeld dat wij na de observaties uiteenzetten. Sectoren zijn onvoldoende gemotiveerd en in staat zelf het privacyrecht toe te passen • Medewerkers in de sectoren2 lijken zich over het algemeen onvoldoende bewust van de privacy vraagstukken in de uitvoering van hun taak en bij innovaties; • voor zover zij privacy vraagstukken herkennen, wordt veelal – mede door gebrek aan kennis – het belang ervan miskend waardoor er in die gevallen als gevolg onvoldoende motivatie lijkt te zijn de vereiste afwegingen te maken, noodzakelijke maatregelen te nemen en adviezen op te volgen; • de adviezen van de FG lijken in een aantal gevallen niet ten volle te worden begrepen of niet effectief te worden opgevolgd; hoewel de sectoren worden ondersteund door een tweede lijn lijken de sectoren onvoldoende in staat om tot maatregelen te komen waarmee een DPIA of een ander advies wel afgerond kan worden binnen de kaders van het privacyrecht; daarbij kan het advies van de FG over de maatregelen worden ingewonnen; • voorts lijkt de eerste lijn zelf veelal onvoldoende in staat uitvoering te geven aan vereisten op grond van het privacyrecht, zoals het bepalen welke verwerkingen van persoonsgegevens ‘noodzakelijk’ zijn of het maken en (in het kader van de aantoonbaarheid) documenteren van een

belangenafweging, en • in de sectoren lijkt onvoldoende juridische kennis aanwezig voor de toepassing van privacy beginselen en het privacyrecht in het kader van de uitvoering van de taken van de sector (zoals privacy in het kader van de uitvoering van de Jeugdwet en privacy in het kader van de handhaving van de openbare orde). Privacy officers komen niet toe aan hun controlerende en bewakende taak • Privacy officers in de sectoren, waaronder de CIO Office, voeren verschillende operationele werkzaamheden uit, zoals het afhandelen van datalekken, vaststellen of een DPIA uitgevoerd moet worden voor een verwerking, het uitvoeren van DPIA’s, bijhouden van het verwerkingenregister en adviseren bij privacy vraagstukken; • zij komen minder goed toe aan andere werkzaamheden behorend bij hun rol in de tweede lijn: ondersteuning en advisering, het uitvoeren van controles en het bewaken van de naleving; • de samenwerking van de privacy officers in de sectoren met de privacy officer bij het CIO Office betreft met name praktische afstemming en coördinatie; • de privacy officer bij het CIO Office lijkt nauwelijks toe te komen aan sectoroverstijgende vraagstukken of inhoudelijke ondersteuning aan de sectoren; • enkele privacy officers hebben behoefte aan verder gemeentebreed beleid (zoals ten aanzien van de gevallen waarin een DPIA noodzakelijk is de en afwegingen en onderbouwingen in

DPIA’s), kaders en processen en eenduidige gemeentebrede sturing, en • de privacy juridische kennis bij de privacy officers is beperkt, voor de gehele gemeentelijke organisatie is sinds kort één privacyjurist beschikbaar. FG komt onvoldoende toe aan het uitoefenen van de kerntaken van de derde lijn • De adviezen van de FG tonen onzes inziens een grondige kennis van het privacyrecht, die passend is in de derde lijn bij een grote gemeentelijke organisatie, • het gebrek aan kennis in de organisatie zorgt ervoor dat de FG in een positie komt waar zij dit gebrek moet compenseren; zij adviseert de sectoren hierdoor inhoudelijk en gedetailleerd bij verschillende vraagstukken; de FG geeft aan dat de adviezen uitgebreid kunnen zijn omdat er oprecht wordt geprobeerd de organisatie vooruit te helpen door in de adviezen handreikingen voor oplossingen en vervolgstappen te geven en er wordt altijd aangeboden om met elkaar het gesprek aan te gaan om de adviezen te duiden; • doordat de adviezen bovendien een formeel karakter uitstralen en het afwijken van een advies van de FG de toestemming van de directieraad vereist, lijken de adviezen een intimiderende werking op de organisatie te hebben, hetgeen onzes inziens verklaarbaar is door het gebrek aan kennis waardoor de eerste en tweede lijn het advies onvoldoende kunnen duiden; • de organisatie heeft beleid ingevoerd waardoor afwijken van een

advies van de FG uitsluitend mogelijk is door een beslissing daartoe voor te leggen aan de directieraad (als reactie op een voorheen minder nauwgezet opvolgen van de adviezen van de FG), wat als een vrijwel onhaalbare drempel wordt gezien door (de privacy officers in) de sectoren en wat, naar wij begrijpen, leidt tot: - zeer lange doorlooptijden voor de afronding van een DPIA (genoemd zijn voorbeelden van een jaar),

2

Hier wordt gedoeld op alle medewerkers in alle sectoren, met uitzondering van privacy officers en -juristen en de medewerkers van Bureau FG.

Pagina 2 van 13

•

• • • • •

• •

- initiatieven van de sectoren die stranden doordat het advies onuitvoerbaar of althans als een te grote drempel wordt gezien – terecht of onterecht, - het stellen door sectoren dat zij de geadviseerde maatregelen uitgevoerd te hebben, maar deze in werkelijkheid niet of slechts ten dele waren uitgevoerd of niet begrepen waren; er is verschil van inzicht tussen Bureau FG en de privacy officers over de rolverdeling bij het afhandelen van datalekken die aan het licht komen door retour gekomen geopende post; de afhandeling van datalekken is in beginsel een verantwoordelijkheid van de eerste lijn, waarbij geldt dat de FG op de hoogte moet worden gesteld zodra zich een beveiligingsinbreuk of een ander incident voordoet; het beheer van de mailbox meldpuntdatalekken@eindhoven.nl ligt nog bij Bureau FG; ook hier geldt dat de afhandeling van datalekken in beginsel een verantwoordelijkheid van de eerste lijn is; uit documentatie van de gemeente blijkt dat de gemeente onvoldoende de onafhankelijkheid van de FG borgt; de rol die de Autoriteit Persoonsgegevens de FG in het algemeen toebedeelt, brengt met zich mee dat de FG adviezen min of meer gedetailleerd en formeel vastlegt;3 dit geldt ook voor de adviezen die de FG geeft in het traject van het verscherpte toezicht van de Autoriteit Persoonsgegevens; de FG geeft aan dat adviezen altijd worden gegeven na overleg waarin reeds informatie is

gegeven; onder meer uit bovenstaande blijkt dat de FG nog veel tijd besteedt aan operationele problemen in de eerste en tweede lijn, doordat noodzakelijke kennis ontbreekt in de eerste en tweede lijn; het gevolg is dat de FG onvoldoende toekomt aan het uitoefenen van de kerntaken die horen bij een rol in de derde lijn; de adviezen van de FG worden door de sectoren moeizaam opgevolgd doordat er onvoldoende kennis en capaciteit in de organisatie aanwezig is voor de uitvoering van het privacyrecht, en de lange doorlooptijden van DPIA’s waarbij de organisatie wil afwijken van het advies van de FG, initiatieven die stranden op het privacyrecht en het ontwijken door de organisatie van geadviseerde maatregelen maken dat een aantal mensen vindt dat de FG (te) veel invloed heeft op de bedrijfsvoering en de uitvoering van de gemeentelijke taak; dit is onzes inziens ten onrechte doordat het aan het verwerkingsverantwoordelijke management is om keuzes te maken – niet aan de FG.

3.

Streefbeeld

3.1.

Privacygovernance De borging van de naleving van de beginselen uit wet- en regelgeving als de AVG is afhankelijk van goede afspraken in de organisatie, zoals over de toebedeling van verantwoordelijkheden en afgestemde werkprocessen. Het ‘three lines of defence’-model is gericht op de beheersing van risico’s in de naleving van de AVG. De gemeente geeft aan het ‘three lines of defence’-model te willen volgen voor de inrichting van de privacygovernance. We herkennen die behoefte van vele andere organisaties. Het model wordt over het algemeen gezien als een best practice voor de inrichting van privacygovernance. Het oorspronkelijke model, zoals uiteengezet door The Institute of Internal Auditors (IIA)4 moet echter ingericht worden rekening houdend met de vereisten van de AVG (en ander gegevensbeschermingsrecht). We nemen daarom voor de herkenbaarheid de gebruikelijke weergave van het model van het IIA over, maar duiden het model nader rekening houdend met het wettelijk kader.

3

4

Positionering van de FG; Uitgangspunten: rollen, processen en verantwoordelijkheden, p. 2 (https://www.autoriteitpersoonsgegevens.nl/uploads/imported/positionering_van_de_fg.pdf, laatst geraadpleegd 9 december 2023). The IIA’s Three Lines Model, An update of the Three Lines of Defense, juli 2020 (https://www.theiia.org/globalassets/site/content/articles/global-knowledge-brief/2020/july/the-iias-three-linesmodel/glob-three-lines-model-paper_layout-rebuild.pdf, laatst geraadpleegd 9 december 2023).

Pagina 3 van 13

Verwerkingsverantwoordelijke College van B&W, burgemeester, rekenkamer, gemeenteraad

Verantwoorden Rapporteren over de realisatie van doelstellingen

Verslag uitbrengen Informeren en adviseren

Onafhankelijk toezicht en advies

Eerste lijn

Tweede lijn

Derde lijn

Alle medewerkers

Privacy officers en -juristen

FG

Uitvoering taken en nakomen van verantwoordelijkheid

Ondersteunen Expertise bieden Controleren Bewaken

Informeren Adviseren Toezien op de naleving

Extern toezicht

Management Sectorhoofden, afdelingshoofden en andere managers

Vragen Betrekken en vragen om advies

Autoriteit Persoonsgegevens

Sturen Doelen stellen, delegeren, beoordelen

Figuur 1. Three Lines of Defence-model toegepast op privacygovernance. Kenmerkende en voor gemeente Eindhoven relevante uitgangspunten voor de inrichting van het model zijn: •

De verwerkingsverantwoordelijke is zelf onderdeel van de eerste lijn De beslissingen over (en consequenties van) verwerkingen zijn toe te rekenen aan de betreffende verwerkingsverantwoordelijke. Afhankelijk van een betreffende verwerking is bij gemeenten doorgaans sprake van ten minste vier verwerkingsverantwoordelijken: (i) de burgemeester is de verwerkingsverantwoordelijke voor verwerkingen in het kader van de handhaving van de openbare orde, (ii) het college van B&W in het kader van alle andere gemeentelijke taken, (iii) de gemeenteraad en de (iv) rekenkamer zijn verwerkingsverantwoordelijken voor de verwerkingen in het kader van hun wettelijke taak.

Een verwerkingsverantwoordelijke kan beslissingen ten aanzien van verwerkingen mandateren aan anderen binnen de organisatie.5 Min of meer gebruikelijk is dat beslissingen genomen worden op een passend niveau, afhankelijk van: (i) de organisatorische reikwijdte waar een beslissing betrekking op heeft (organisatiebreed privacybeleid wordt doorgaans door de verwerkingsverantwoordelijke zelf vastgesteld, afdelingsspecifiek beleid door een afdelingshoofd) en (ii) het risico voor betrokkenen en de organisatie (beslissingen met een groter risico voor betrokkenen of de organisatie, zoals over het melden van een datalek aan betrokkenen of het accepteren van restrisico na het uitvoeren van een DPIA, worden hoger in de organisatie genomen).

•

De verantwoordelijkheid voor de nakoming van verplichtingen ligt in de lijnorganisatie De eerste lijn neemt verantwoordelijkheid voor risico’s die samengaan met het bereiken van de doelstellingen op afdelingsniveau. Daartoe behoort ook de verantwoordelijkheid om maatregelen te nemen tot een aanvaardbaar risico en de acceptatie van het restrisico. Voorbeelden van taken in de eerste lijn zijn: bepalen of gegevens verwerkt kunnen worden (rechtmatigheid, vaststellen van privacybeleid, het beslissen over en de toepassing van technische en organisatorische maategelen, het actueel en volledig houden van het register van verwerkingsactiviteiten, het sluiten van verwerkersovereenkomsten, het afhandelen van datalekken, bepalen voor welke verwerkingen een DPIA uitgevoerd moet worden, het uitvoeren van DPIA’s, het beslissen over de acceptatie van restrisico (na het nemen van maatregelen) van een verwerking, het vooraf informeren van betrokkenen en het afhandelen van inzageverzoeken.

5

Beantwoording van de vraag of ook in bestuursrechtelijke zin sprake is van ‘mandateren’ voert te ver voor dit onderzoek.

Pagina 4 van 13

Randvoorwaardelijk voor een effectief functionerende eerste lijn zijn: (i) kennis en bewustwording breed in de organisatie, (ii) bestuurlijke visie en aandacht voor het belang van de naleving van privacy beginselen, (iii) toegewezen personele capaciteit en (iv) een lijnorganisatie en verantwoordingsstructuur waarin de naleving van privacy wet- en regelgeving ingebed kan worden. In beginsel ligt de verantwoordelijkheid om het privacyrecht na te leven in de eerste lijn. Zij wordt daarbij ondersteund, geadviseerd en gecontroleerd door de tweede lijn. Dit laat onverlet dat ook de derde lijn (de FG) een informerende en adviserende rol heeft over privacy verplichtingen en toezicht houdt op de naleving van privacy wet- en regelgeving. •

Privacy officers en -juristen: specialisten onder aansturing van de verwerkingsverantwoordelijke De tweede lijn staat onder aansturing van het management, de eerste lijn. De tweede lijn bestaat in beginsel uit privacy officers en -juristen en specialisten op het gebied van informatiebeveiliging. De tweede lijn ondersteunt de eerste lijn met specialistische kennis en vaardigheden. Zij voeren daarom taken uit waarvoor specialistische kennis of vaardigheden nodig zijn, zonder de verantwoordelijkheid van de eerste lijn over te nemen. De taken zijn samen te vatten als: (i) ondersteunen, (ii) expertise bieden, (iii) controleren en (iv) bewaken. Ten eerste, de ondersteunende taken betreffen onder andere: (i) verzorgen van activiteiten ter bewustwording van de eerste lijn, (ii) de begeleiding van de uitvoering en afronding van DPIA’s, (iii) de begeleiding en coördinatie bij datalekken, (iv) het voorstellen van algemeen en specifiek privacybeleid, (v) coördineren en begeleiden bij het inzichtelijk en overzichtelijk maken van de verwerkingen binnen de organisatie, (vi) signaleren en voorstellen van noodzakelijke wijzigingen in de privacyverklaring (regie voeren over de privacyverklaring) en (vii) de afhandeling van rechten van de betrokkene.

Ten tweede, het bieden van expertise is een integraal onderdeel van de ondersteuning zoals hiervoor genoemd, maar omvat ook privacyjuridische expertise waar het gaat om de rechtmatigheid van en de te nemen maatregelen bij verwerkingen van persoonsgegevens. Het kan dan bijvoorbeeld gaan om nieuwe structurele (interne) verwerkingen, maar ook om incidentele verstrekkingen van persoonsgegevens aan derden. Het kan daarbij ook gaan om expertise op het gebied van informatiebeveiliging. Ten derde, de controlerende taak omvat periodieke en incidentele controles op onder andere: (i) de rechtmatigheid van verwerkingen, bijvoorbeeld door steekproeven, (ii) de effectiviteit van vastgestelde maatregelen, (iii) autorisaties door periodiek nalopen op afwijkingen van het beleid, (iv) logging door periodiek nagaan of zich ongewenst gedrag voordoet, (v) de inachtneming van vastgestelde bewaartermijnen en (vi) de juistheid, volledigheid en actualiteit van gegevens. Ten vierde, de bewakende taak omvat de bewaking van: (i) het nemen van maatregelen op grond van beleid of waartoe anderszins besloten is, bijvoorbeeld in het kader van DPIA’s en (ii) in hoeverre geïdentificeerde risico’s zich ontwikkelen. Bij de bewakende taak gaat het met name om het houden van overzicht van en inzicht in de status van alle afspraken en de nakoming van afspraken.

•

De derde lijn De derde lijn werkt autonoom en voert zijn taken onafhankelijk uit. In paragraaf 3.2 en 3.3 wordt nader ingegaan op de positie en de taken van de FG, die in de derde lijn actief is. Ook een interne auditafdeling past in de derde lijn. Zij beoordelen of de risico’s afdoende zijn gemitigeerd en controleren of maatregelen op een effectieve en adequate manier zijn ingericht. Hier wordt volstaan met de notie dat, indien de eerste en tweede lijn effectief functioneren, de derde lijn effectief toezicht zou kunnen houden door systeemgericht toezicht in plaats van gedetailleerd inhoudelijk toezicht. Dat laat onverlet dat de FG onverminderd naar behoren en tijdig betrokken moet worden bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. Ook zal de FG onverminderd inhoudelijk moeten blijven informeren en adviseren bij bijvoorbeeld DPIA’s.

•

Horizontale relaties In de figuur van het Three Lines of Defence-model lijkt de nadruk te liggen op de verticale relaties. Dit is voor wat betreft de formele relaties min of meer terecht. Dit geeft echter geen juist beeld van een dagelijks werkbare praktijk. De naleving van het privacyrecht vindt hoofdzakelijk plaats in de lijnorganisatie. Het management is daarvoor ook verantwoordelijk. Dat neemt niet weg dat de naleving van het privacyrecht is toe te rekenen aan de verwerkingsverantwoordelijke. Deze kan ook bevoegdheden hiertoe mandateren aan ondergeschikten. Doordat de naleving grotendeels bepaald wordt door het handelen in de lijnorganisatie en de beslissingen die het management neemt, zijn zij ook de ‘logische’ gesprekspartner voor de tweede en

Pagina 5 van 13

derde lijn. Een vraag om advies bij een DPIA kan daarom vanuit de lijnorganisatie aan de FG gesteld worden. Het is niet noodzakelijk dit langs de formele lijn van de verwerkingsverantwoordelijke te laten verlopen. Dat laat onverlet dat de FG rechtstreeks verslag kan uitbrengen aan de hoogste leidinggevenden binnen de organisatie (zie hieronder in paragraaf 3.2). 3.2.

Positie van de FG Naar behoren en tijdig betrokken bij alle privacy aangelegenheden De verwerkingsverantwoordelijke dient ervoor te zorgen dat de functionaris voor gegevensbescherming naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens (art. 38, lid 1, AVG). Het is van cruciaal belang dat de FG zo vroeg mogelijk betrokken wordt bij alle aangelegenheden die met gegevensbescherming verband houden. Wat betreft DPIA’s, wordt in de AVG expliciet vermeld dat de FG daarbij vroeg moet worden betrokken en gespecificeerd dat de verwerkingsverantwoordelijke bij de uitvoering van dergelijke effectbeoordelingen aan de FG advies moet vragen. Door ervoor te zorgen dat de FG vanaf de start geïnformeerd en geconsulteerd wordt, wordt de naleving van de AVG mogelijk gemaakt en wordt een privacy-aanpak door ontwerp bevorderd, die dan ook de standaardprocedure binnen het bestuur van de organisatie moet worden. Verder is het ook belangrijk dat de FG als een gesprekspartner binnen de organisatie wordt gezien en dat hij/zij deel uitmaakt van de relevante werkgroepen die zich met gegevensverwerking binnen de organisatie bezighouden.

Daartoe moet gemeente Eindhoven ten minste ervoor zorgen dat: • de FG regelmatig wordt uitgenodigd om vergaderingen van het hogere management en het middenkader bij te wonen; • zijn/haar aanwezigheid wordt aanbevolen wanneer beslissingen worden genomen die gevolgen hebben voor de gegevensbescherming. Alle relevante informatie moet tijdig aan de FG worden bezorgd, zodat hij/zij passend advies kan verlenen; • de mening van de FG naar behoren in overweging wordt genomen. Bij onenigheid wordt als goede praktijk aangeraden om de redenen voor het niet volgen van het advies van de FG te documenteren, en • de FG meteen wordt geconsulteerd zodra zich een gegevensinbreuk of een ander incident voordoet. Benodigde middelen De verwerkingsverantwoordelijke ondersteunt de FG bij de vervulling van zijn/haar taken door hem toegang te verschaffen tot persoonsgegevens en verwerkingsactiviteiten en door hem de benodigde middelen ter beschikking te stellen voor het vervullen van deze taken en het in stand houden van zijn deskundigheid (art. 38, lid 2, AVG).

Daartoe moet gemeente Eindhoven ten minste zorgen voor: • actieve ondersteuning van de FG door het hogere management; • voldoende tijd voor de FG om zijn/haar taken te vervullen, waarbij het een goede praktijk is om de benodigde tijd voor de uitvoering van de functie te bepalen, bijvoorbeeld aan de hand van een werkprogramma opgesteld door de FG; • indien een team rond de FG is samengesteld moeten de interne structuur van het team en de taken en verantwoordelijkheden van ieder lid duidelijk worden vastgelegd; • adequate ondersteuning op het vlak van financiële middelen, faciliteiten en personeel waar van toepassing; • doorgaans moeten aan de functionaris voor gegevensbescherming meer middelen ter beschikking worden gesteld naarmate de verwerkingsactiviteiten complexer of gevoeliger zijn; de FG moet over voldoende middelen beschikken in verhouding tot de uitgevoerde gegevensverwerking; • officiële bekendmaking van de aanstelling van de FG aan alle personeelsleden om te verzekeren dat iedereen in de organisatie op de hoogte is van het bestaan van deze functie; • noodzakelijke toegang tot andere functies zoals HR, juridische zaken, IT, beveiliging en dergelijke, zodat de FG van die andere functies de benodigde essentiële ondersteuning, bijstand of informatie kan ontvangen, en • doorlopende opleiding door de FG aan te moedigen deel te nemen aan opleidingen over gegevensbescherming

en aan andere vormen van professionele ontplooiing, zoals deelname aan vakverenigingen en congressen, zodat de FG op de hoogte blijft van nieuwe ontwikkelingen op het vlak van gegevensbescherming en het niveau van deskundigheid van de FG permanent wordt verhoogd. Onafhankelijkheid De verwerkingsverantwoordelijke zorgt ervoor dat de FG geen instructies ontvangt met betrekking tot de uitvoering van zijn of haar taken. De FG wordt door de verwerkingsverantwoordelijke niet ontslagen of

Pagina 6 van 13

gestraft voor de uitvoering van zijn of haar taken. De FG brengt rechtstreeks verslag uit aan de hoogste leidinggevende van de verwerkingsverantwoordelijke (art. 38, lid 3, AVG). Het gaat hier om enkele basiswaarborgen om te helpen verzekeren dat de FG zijn of haar taak voldoende autonoom binnen de organisatie kan vervullen. Dit betekent dat de FG bij het vervullen van zijn of haar taken geen instructies mag ontvangen over onder andere: • hoe een bepaalde aangelegenheid behandeld moet worden, • tot welk resultaat de FG moet komen, • hoe een klacht onderzocht moet worden, • of de FG de Autoriteit Persoonsgegevens moet raadplegen, en • welk standpunt moet worden ingenomen in een aangelegenheid die verband houdt met het privacyrecht, bijvoorbeeld een specifieke interpretatie van de wet. Het autonome karakter van de FG betekent echter niet dat de FG over meer beslissingsbevoegdheid beschikt dan voor de taken van de FG vereist is. De verwerkingsverantwoordelijke blijft verantwoordelijk voor de naleving van het privacyrecht en moet die naleving ook kunnen aantonen. Als de verwerkingsverantwoordelijke beslissingen neemt die niet in de lijn liggen van het privacyrecht en het advies van de FG, dan moet deze laatste de kans krijgen om zijn of haar afwijkende mening duidelijk te maken aan de hoogste leidinggevende en aan diegenen die de beslissingen nemen.

In dat opzicht is in de AVG voorzien dat de FG "rechtstreeks verslag [uitbrengt] aan de hoogste leidinggevende van de verwerkingsverantwoordelijke of de verwerker". Via een dergelijke directe rapportage wordt verzekerd dat het hogere management op de hoogte is van het advies en de aanbevelingen die de FG verstrekt in het kader van zijn missie om de verwerkingsverantwoordelijke te informeren en te adviseren. Een ander voorbeeld van directe rapportage is het uitbrengen van een jaarverslag van de activiteiten van de FG voor de hoogste leidinggevende van de verwerkingsverantwoordelijke. Een FG kan "andere taken en plichten vervullen", maar de organisatie moet er echter voor zorgen dat "deze taken of plichten niet tot een belangenconflict leiden". Het uitblijven van een belangenconflict hangt nauw samen met de vereiste om autonoom te handelen. Aan een FG kunnen uitsluitend andere taken en plichten worden toevertrouwd als deze geen aanleiding geven tot enig belangenconflict. In geen geval kan de FG binnen de organisatie een functie bekleden waarbij de FG de doelstellingen van en de middelen voor de verwerking van persoonsgegevens moet bepalen.

Goede praktijken zijn om: • interne regels te stellen over belangenconflicten, • te verklaren dat de FG geen belangenconflict heeft in zijn functie, als een manier om anderen voor dit vereiste en de positie van de FG te sensibiliseren, en • in het interne reglement waarborgen op te nemen en ervoor te zorgen dat functie van de FG voldoende gepreciseerd en gedetailleerd is om belangenconflicten te vermijden. Het vereiste dat de FG door de verwerkingsverantwoordelijke niet ontslagen of gestraft kan worden voor de uitvoering van de taken van de FG, verstevigt de autonome positie van de FG en helpt te verzekeren dat de FG onafhankelijk handelt en over voldoende bescherming beschikt om zijn of haar taken te vervullen. Het voert te ver voor deze rapportage om hier niet nader op deze vorm van bescherming van de FG in te gaan. 3.3.

De rol van de FG De FG vervult ten minste de volgende taken: • informeren en adviseren over verplichtingen, • toezien op naleving van het privacyrecht en van het privacybeleid, • desgevraagd advies verstrekken met betrekking tot DPIA’s en toezien op de uitvoering daarvan, • met de toezichthoudende autoriteit samenwerken, en • optreden als contactpunt voor de Autoriteit Persoonsgegevens. Hierna worden de taken van de FG met betrekking tot het toezicht en de advisering bij DPIA’s nader toegelicht. Toezien op de naleving De FG heeft de taak toe te zien op naleving van het privacyrecht en van het privacybeleid van de verwerkingsverantwoordelijke, met inbegrip van de toewijzing van verantwoordelijkheden, bewustmaking en opleiding van het bij de verwerking betrokken personeel en de betreffende audits. De FG moet de verwerkingsverantwoordelijke bijstaan bij het toezicht op de interne naleving. In het kader van deze taak moet de FG met name: • informatie verzamelen om verwerkingsactiviteiten te identificeren;

Pagina 7 van 13

• •

de naleving van verwerkingsactiviteiten analyseren en controleren; de verwerkingsverantwoordelijke informeren, adviseren en aanbevelingen doen.

Controle op naleving betekent niet dat de FG (persoonlijk) verantwoordelijk is bij een eventuele nietnaleving. In de AVG staat duidelijk dat het de verwerkingsverantwoordelijke – en niet de FG – is die passende technische en organisatorische maatregelen treft om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met het privacyrecht wordt uitgevoerd. Naleving van het privacyrecht behoort tot verantwoordelijkheid van de verwerkingsverantwoordelijke, niet van de FG. De rol van de FG bij een DPIA De verwerkingsverantwoordelijke – en niet de FG – moet waar nodig een DPIA uitvoeren. De verwerkingsverantwoordelijke moet bij de uitvoering van een DPIA advies inwinnen bij de FG en de FG moet advies verstrekken met betrekking tot de DPIA en toezien op de uitvoering daarvan.

De Autoriteit Persoonsgegevens raadt verwerkingsverantwoordelijken aan advies te vragen aan de FG over onder andere de volgende aangelegenheden: • of er al dan niet een DPIA moet worden uitgevoerd, • welke methodologie bij een DPIA moet worden gevolgd; • of de DPIA intern uitgevoerd of uitbesteed moet worden; • welke waarborgen (waaronder technische en organisatorische maatregelen) moeten worden toegepast om eventuele risico's voor de rechten en belangen van de betrokkenen te beperken; • of de DPIA al dan niet correct is uitgevoerd en of de conclusies (de verwerking al dan niet uitvoeren en welke waarborgen toepassen) al dan niet in overeenstemming zijn met het privacyrecht. De Autoriteit Persoonsgegevens beveelt aan in het DPIA-rapport op te nemen wat het advies van de FG is en wat de verwerkingsverantwoordelijke daarmee heeft gedaan. Als de verwerkingsverantwoordelijke niet met het door de FG verleende advies instemt, moet in de documentatie over de DPIA specifiek en schriftelijk worden gemotiveerd waarom met het advies geen rekening is gehouden. De Autoriteit Persoonsgegevens raadt verwerkingsverantwoordelijken aan om ook in informatie die aan werknemers, management (en andere betrokkenen, indien van toepassing) wordt verstrekt, duidelijk de precieze taken van de FG vast te leggen bij het uitvoeren van een DPIA. 3.4.

Organisatiecultuur Maatregelen die genomen kunnen worden ten aanzien van de organisatiecultuur om privacy beter te waarborgen zijn onder andere: •

Het management draagt zichtbaar het belang uit Voor medewerkers moet helder zijn dat privacy een prioriteit is voor de organisatie en dat medewerkers niet alleen staan indien zij dit belang behartigen.

•

Bewustwording en opleiding Zorg ervoor dat medewerkers op de hoogte zijn van het belang van privacy. Bied regelmatige trainingen aan over privacywetgeving, gegevensbescherming en het juiste gebruik van bedrijfsmiddelen.

•

Privacybeleid Stel een duidelijk en begrijpelijk privacybeleid op dat de rechten en verantwoordelijkheden van medewerkers met betrekking tot privacy beschrijft. Communiceer dit beleid effectief binnen de organisatie.

•

Transparantie Wees transparant over hoe persoonsgegevens worden verzameld, gebruikt en opgeslagen. Informeer betrokkenen actief over wijzigingen in het privacybeleid en de redenen daarvoor.

•

Meldplicht datalekken Vestig een cultuur van openheid rondom datalekken. Implementeer een effectief systeem voor het melden van en reageren op datalekken.

•

Inclusieve besluitvorming Betrek medewerkers bij de besluitvorming rondom privacykwesties. Luister naar zorgen en suggesties van medewerkers met betrekking tot privacy.

Pagina 8 van 13

•

4.

Erkennen en belonen Beloon en erken medewerkers die zich actief inzetten voor privacybewustzijn en naleving. Het waarborgen van privacy is een voortdurend proces dat zowel technologische als sociale aspecten omvat. Door een privacycultuur te koesteren, kun je ervoor zorgen dat het respecteren van privacy een integraal onderdeel wordt van de organisatie.

Conclusies en aanbevelingen Naar aanleiding van bovenstaande observaties en het streefbeeld adviseren wij vervolgstappen te zetten. Onze aanbevelingen zijn er met name op gericht om de kern van de problematiek aan te pakken. Voorop staat dat wij aanbevelen het ‘three lines of defence’-model daadwerkelijk te implementeren, waarbij de sectoren de benodigde kennis en middelen beschikbaar krijgen. Het merendeel van de volgende aanbevelingen draagt daaraan bij. 1.

De eerste lijn Onvoldoende privacy bewustzijn en kennis in de eerste lijn is een belangrijke oorzaak voor het niet kunnen en ingeval niet willen voldoen aan de kaders van het privacyrecht. Een beter privacy bewustzijn en meer kennis moeten de eerste lijn beter in staat stellen tot naleving en daarin zelfstandiger maken. Daardoor kan de tweede lijn beter in positie komen om vanuit specialistische kennis en vaardigheden te ondersteunen, expertise te bieden en haar controlerende en bewakende taken uit te voeren. Het management is onderdeel van de eerste lijn. Zij stuurt op de naleving, mede naar aanleiding van door de eerste en tweede lijn aangeleverde stuurinformatie.

Die stuurinformatie moet – zowel voor het hoger management als op andere niveaus, ieder op hun eigen abstractieniveau – ten minste bestaan uit: • inhoudelijke informatie over de belangrijkste risico’s (bijvoorbeeld in de vorm van een risicocontrolmatrix met toelichting); • een overzicht van de meest relevante nog te nemen beslissingen ten aanzien van te behandelen risico’s, zoals informatie over alternatieven, kosten en baten, mate van bijdrage aan de mitigatie van een risico en dergelijke; • aantallen en ratio’s (KPI’s), waar mogelijk afgezet tegen doelstellingen, ten aanzien van mate van actualiteit, juistheid en volledigheid van de verwerkingen in het register, datalekken, DPIA’s, geïdentificeerde risico’s en dergelijke. Stuurinformatie leidt veelal pas tot sturing indien het management ook doelstellingen mee krijgt op genoemde aspecten. Te overwegen is deze sturing specifiek voor privacybeheersing in te richten of in te bedden in een bestaande planning- en controlcyclus. Daarbij verdient het aanbeveling de rapportages onderdeel te maken van bestaande managementoverleggen (MT’s, DR en dergelijke).

Daarnaast zou een meer strategisch privacyoverleg dat op het hoogste niveau richting geeft aan de sturing kunnen bestaan uit: een bestuurlijk portefeuillehouder, de gemeentesecretaris, de meest betrokken sectorhoofden (zoals van de CIO Office en twee andere) en de FG als toehoorder, of althans onafhankelijk toezichthouder en adviseur ten aanzien van de naleving van privacy wet- en regelgeving. We bevelen aan de volgende maatregelen te nemen: • brede verbetering van het privacy bewustzijn en kennis door het verplicht stellen van basistraining op het gebied van privacy voor alle nieuwe medewerkers en jaarlijkse training voor alle medewerkers die met persoonsgegevens werken; • het gebruik maken en opleiden van privacy ambassadeurs binnen de afdelingen, die een behoorlijke kennis van en feeling met privacy moeten hebben en die binnen hun afdeling de privacy officer ondersteunen, • regelmatig terugkerende (structurele) brede campagnes op het gebied van informatieveiligheid en privacy (circa 3 per jaar voor de gehele organisatie), en • training van de eerste lijn door de tweede lijn (zodra de kennis daar op niveau is) op het gebied van de concrete en praktische afspraken binnen de organisatie en de sectoren op het gebied van privacy (zoals rechten van betrokkenen, het verwerkingsregister, DPIA’s en datalekken), ter verdere verzelfstandiging van de eerste lijn.

2.

De tweede lijn De kennis en vaardigheden in de tweede lijn zijn onvoldoende om de eerste lijn adequaat te adviseren. Met name ontbreekt het in capaciteit aan grondige privacycjuridische kennis, (i) om de eerste lijn inhoudelijk degelijk te kunnen adviseren, (ii) de adviezen van de FG te duiden en in uitvoerbare opties om te zetten en (iii) waarop ook de privacy officers terug kunnen vallen. Het is van belang om privacyjuridische kennis aan te trekken, gericht op de gemeentelijke taken. met name in het sociaal

Pagina 9 van 13

domein, werk en inkomen, het ruimtelijk domein (vanwege onder andere smartcity-toepassingen) en veiligheid en openbare orde.6 We bevelen aan: • opschalen van grondige privacyjuridische kennis (wij denken aan circa 2 fte structureel extra, totaal voor de organisatie als geheel), • herzien van het proces met betrekking tot DPIA’s door daarin expliciet te benoemen dat door de sectoren gepoogd moet worden het advies van de FG om te zetten in voor hen praktisch werkbare opties en daarop het advies van de FG hernieuwd in te winnen, voordat via de directieraad wordt gevraagd om te mogen afwijken van het advies; • bepalen van een top 5 relevante periodieke (bijvoorbeeld halfjaarlijkse) controles per sector (zoals ten aanzien van de effectuering van de bewaartermijnen van een bepaalde verwerking), invoeren van die periodieke controles, de verslaglegging daarvan en de rapportage over de opvolging van afwijkingen aan het management; jaarlijks wordt door het sectorhoofd op voorstel van de privacy officer vastgesteld of dezelfde periodieke controles moeten blijven plaatsvinden of nieuwe uitgevoerd moeten worden, groeiend naar circa 15 relevante periodieke controles per sector over 3 jaar tijd; • het verschil van inzicht tussen Bureau FG en de privacy officers over de rolverdeling en verantwoordelijkheid bij het afhandelen van datalekken die aan het licht komen door retour gekomen geopende

post moet opgelost worden, waar nodig onder begeleiding van een sponsor uit het hogere management; in beginsel ligt de verantwoordelijkheid voor het afhandelen van datalekken bij de eerste lijn, die daarbij ondersteund kan worden door de tweede lijn; • hetzelfde geldt voor de afhandeling van meldingen van beveiligingsinbreuken en andere incidenten op het mailadres meldpuntdatalekken@eindhoven.nl, waarbij van belang is dat betrokkenen kunnen rekenen op vertrouwelijkheid bij het doorzetten van meldingen naar de sectoren, zodat mensen zich vrij voelen om incidenten te melden, hetgeen niet wegneemt dat ook de FG benaderbaar is, maar geen uitvoerende rol zou moeten hebben bij de afhandeling van datalekken; • inrichten van een proces ter periodieke actualisatie van het verwerkingenregister door de eerste lijn, de rapportage daarover aan het management en het aanspreken van het management op de voortgang daarvan, en • invoeren van de structurele bewaking per sector van een totaaloverzicht van te bewaken risico’s en uit te voeren maatregelen, de status daarvan, de rapportage daarover aan het management en het aanspreken van het management op de voortgang ervan. 3.

Kerntaken FG in de derde lijn De FG lijkt onvoldoende toe te komen aan het uitoefenen van de kerntaken in de derde lijn, omdat nog te veel tijd wordt besteed aan operationele problemen in de eerste en tweede lijn, doordat noodzakelijke kennis ontbreekt in de eerste en tweede lijn. Het is echter onverstandig indien de FG op dit moment de overstap naar een zuivere derdelijnrol zou maken. Deze stap moet uitgesteld worden totdat de eerste en tweede lijn effectief functioneren. Daartoe is wel nodig dat de eerste en tweede lijn zo spoedig mogelijk op niveau komen. De FG heeft een proactieve rol. Volgens de Autoriteit Persoonsgegevens hoort de organisatie de FG in een vroeg stadium te betrekken bij de (door-) ontwikkeling van producten en diensten. De FG adviseert over de naleving van het privacyrecht, waaronder hoe verwerkingen rechtmatig, behoorlijk en transparant kunnen plaatsvinden volgens de principes van privacy by design. Het toezicht van de FG kan (en ingeval moet) zich richten op de eerste en tweede lijn, maar wanneer de eerste en tweede lijn effectief functioneren kan het toezicht door FG verschuiven richting meer systeemgericht toezicht.7 Om de FG naar behoren en tijdig betrokken bij alle privacy aangelegenheden moet gemeente Eindhoven ten minste ervoor zorgen dat: • de FG regelmatig wordt uitgenodigd om vergaderingen van directieraad en sector-overleggen bij te wonen;

6

7

Onzes inziens zijn dit belangrijke taakgebieden voor wat betreft de naleving van privacy wet- en regelgeving voor iedere Nederlandse gemeente, hetgeen niet betekent dat andere taakgebieden bij gemeente Eindhoven tevens de nodige aandacht vergen. Klassiek toezicht houdt zich bezig met de vraag of vastgestelde normen niet zijn overschreden, of er aan voorschriften is voldaan en of er een minimaal kwaliteitsniveau is bereikt. Systeemtoezicht concentreert zich op de bedrijfsprocessen en strategieën die tot die uitkomsten leiden en de interne procedures die de naleving van regels en normen bewaken. Systeemtoezicht houdt zich dan ook meer bezig met de vraag of de eerste en tweede lijn effectief functioneren.

Pagina 10 van 13

• • •

zijn/haar aanwezigheid wordt aanbevolen wanneer beslissingen worden genomen die gevolgen hebben voor de gegevensbescherming. Alle relevante informatie moet tijdig aan de FG worden bezorgd, zodat hij/zij passend advies kan verlenen; de mening van de FG naar behoren in overweging wordt genomen. Bij onenigheid wordt als goede praktijk aangeraden om de redenen voor het niet volgen van het advies van de FG te documenteren, en de FG meteen wordt geconsulteerd zodra zich een gegevensinbreuk of een ander incident voordoet.

Om de FG te ondersteunen bij de vervulling van zijn/haar taken moet gemeente Eindhoven ten minste zorgen voor: • actieve ondersteuning van de FG door het hogere management; • voldoende tijd voor de FG om zijn/haar taken te vervullen; • duidelijke vastlegging van de interne structuur van het team rond de FG, waaronder de taken en verantwoordelijkheden van ieder lid; • adequate ondersteuning op het vlak van financiële middelen, faciliteiten en personeel; • officiële bekendmaking van de aanstelling van de FG aan alle personeelsleden; • noodzakelijke toegang tot andere functies zoals HR, juridische zaken, IT, beveiliging en dergelijke, en • doorlopende opleiding door de FG. 4.

Cultuuraspecten Het verscherpt toezicht door de Autoriteit Persoonsgegevens heeft geleid tot aandacht voor de naleving van het privacyrecht bij de gemeente. Wij hebben geen onderzoek gedaan naar de gronden voor het verscherpt toezicht en willen dan ook niets afdoen aan deze inzet van de Autoriteit Persoonsgegevens, maar we constateren dat het in de huidige situatie ook zorgt voor druk op de verhoudingen tussen mensen en voor druk op mensen. De rol die de Autoriteit Persoonsgegevens aan de FG toebedeelt, noodzaakt de FG tot min of meer gedetailleerde en formele vastlegging van adviezen.8 De visie van de Autoriteit Persoonsgegevens in dezen is onzes inziens een goed richtpunt voor sterk intern toezicht. De sectoren hebben moeite om de inhoud van de adviezen van de FG te duiden en op te volgen. De min of meer formele vastlegging doet de adviezen door de sectoren nog zwaarder voelen. Dit zorgt er echter op zich nog niet voor dat verhoudingen tussen mensen onder druk komen te staan. In de gevallen waarin dit wel gebeurt is het onzes inziens met name een gevolg van onmacht (en daarmee soms de frustratie) van mensen die betrokken zijn bij de uitvoering van de AVG, vanwege het gebrek aan kennis en capaciteit.

Voor de samenwerking tussen de centrale privacy officer en de privacy officers in de sectoren geldt dat onder de huidige tijdsdruk verwachtingen niet in alle gevallen waargemaakt worden. Ook daardoor komen persoonlijke verhoudingen onder druk te staan. Onze inschatting is dat nog meer druk of een aanhoudende druk averechts zal gaan werken, mogelijk leidend tot uitval van medewerkers. We nemen aan dat het verscherpt toezicht nog enige tijd zal blijven en dat er voorlopig nog veel voortgang te boeken is. Het lijkt ons daarom nodig dat actief wordt gestuurd op een verbetering van de verhoudingen in de organisatie. We bevelen daartoe enkele initiatieven aan: • het bestuur en het voltallig hoger management dient breed zichtbaar en uitdrukkelijk het belang van gegevensbescherming te dragen; dit voorkomt dat mensen alleen komen te staan in hun opvattingen over gegevensbescherming; • er moeten gemeenschappelijke en reële doelen worden gesteld; daardoor komen mensen minder tegenover elkaar te staan • doelen moeten worden weggezet in de tijd, bijvoorbeeld in de vorm van een fasering of routekaart; dit voorkomt dat doelen ongrijpbaar en onhaalbaar op medewerkers drukken, en • het management geeft het voorbeeld: de inhoud staat ter discussie, niet de persoon; medewerkers moeten zich zichtbaar gesteund voelen.

We hopen u met dit rapport een vertrekpunt te bieden voor een verbeterproces waarin de rol en onafhankelijke positie van de FG geborgd worden en de (verdere) inrichting van de privacygovernance vorm krijgt.

8

Positionering van de FG; Uitgangspunten: rollen, processen en verantwoordelijkheden, p. 2 (https://www.autoriteitpersoonsgegevens.nl/uploads/imported/positionering_van_de_fg.pdf, laatst geraadpleegd: 8 december 2023).

Pagina 11 van 13

Bijlage A. Interviews met betrokken medewerkers • • • • • • • • • • • • • • • •

5.1.2e 5.1.2e 5.1.2e 5.1.2e

5.1.2e

Martijn Groenewegen – CIO 5.1.2e 5.1.2e 5.1.2e 5.1.2e 5.1.2e 5.1.2e

Aline Zwierstra – Gemeentesecretaris Jeroen Dijsselbloem – Burgemeester Mieke Verhees – Wethouder, portefeuillehouder privacy 5.1.2e

Pagina 12 van 13

Bijlage B. Ontvangen documentatie • • • • • • • • • • • • • • • • • • • • • • • •

Plan van Aanpak Verbeterplan AVG 2.0 (17 november 2023) Verbeterplan AVG 2.0 Gemeente Eindhoven (concept van 16 november 2023) Notitie van de Functionaris Gegevensbescherming (FG) naar aanleiding van de eerste bijeenkomst van het kernteam Verbeterplan AVG 2.0 d.d. 18 oktober 2023 (25 oktober 2023) Memo van Bureau FG, betreft: FG advies bij de Data Protection Impact Assessment (DPIA) Budgetcoaching (30 augustus 2023) Format Sectorplan 2024 Gemeente Eindhoven (28 augustus 2023) Brief AP aan het College van B&W, betreft: Reactie op ingediende stukken in verband met geïntensiveerd toezicht (4 juli 2023) DPIA Budgetcoaching, Sector sociaal domein, afdeling Schulden en Armoede (juli 2023) Memo van Bureau FG, betreft: Advies ex artikel 35 AVG van de Functionaris Gegevensbescherming (FG) bij de Data Protection Impact Assessment (DPIA) Werk en Inkomen van Sociaal Domein (23 juni 2023) Memo van Bureau FG, betreft: Advies ex artikel 35 AVG van de Functionaris Gegevensbescherming (FG) bij de Data Protection Impact Assessment (DPIA) Uitbesteden post, van sector Sociaal Domein (12 mei 2023) Cultuurscan 0-meting Gemeente Eindhoven, Awareways (10 mei 2023) Brief AP aan het College van B&W, betreft: Intensivering AP-toezicht (1 maart 2023) Strategisch privacybeleid Gemeente Eindhoven (februari 2023) Procesbeschrijving Vastellen DPIA (13 januari 2023) Uitvoeren en evalueren maatregelen en

FG-adviezen (13 januari 2023) Adviseren, Bureau FG (13 januari 2023) Opstellen concept DPIA rapport (13 januari 2023) Memo van Bureau FG, betreft: reflectie op verbeterplan Algemene Verordening Gegevensbescherming (AVG) (31 oktober 2022) Brief FG aan de burgemeester, betreft: reflectie op verbeterplan Algemene Verordening Gegevensbescherming (22 oktober 2022) Advies van de Functionaris Gegevensbescherming bij het strategisch privacy beleid van de gemeente Eindhoven (11 januari 2022) Verbeterplan AVG Gemeente Eindhoven (26 oktober 2022) FG, Toezichtplan 2022-2023 Privacybeleid Gemeente Eindhoven 2020-2023 (juni 2021) Organisatievisie Richting Eindhoven (juli 2020) Advies van de FG, betreft: Voornemen overgang bureau Functionaris Gegevensbescherming van sector Veiligheid en Bestuur naar ConcernControl per 1 januari 2020 / positionering centrale privacy officer bij CIO Office (13 november 2019)

Pagina 13 van 13

Legenda toegepaste uitzonderingsgrondslagen In dit document zijn gegevens geanonimiseerd op grond van: Wet

Artikel

Omschrijving

Pagina's

Wet open overheid

Art. 5.1 lid 2 sub e

De eerbiediging van de persoonlijke levenssfeer

1, 12