Eindrapport Berenschot Gegevensdeling
Tekst van het document
REKENKAMERONDERZOEK
Gegevens bescherming in regionale context Rekenkamer Enschede Uitgevoerd door Berenschot 19 juli 2024
REKENKAMERONDERZOEK
Gegevensbescherming in regionale context Rekenkamer Enschede Uitgevoerd door Berenschot Auteurs: Rebecca Spruijt, Lisa de Graaf, Annelore Beukema en Joost Christians 19 juli 2024
Inhoudsopgave 1.
Inleiding.......................................................................4
1.1
Inleiding........................................................................................................ 4
1.2
De risico’s van gegevensuitwisseling in samenwerkingsverbanden............................................................ 4
1.3
Onderzoeksvragen................................................................................6
1.4
Onderzoeksverantwoording..........................................................6
1.5
Leeswijzer......................................................................................................8
DEEL 1 Conclusie en aanbevelingen....................................... 9 2.
Conclusie en aanbevelingen............................. 10
2.1
Conclusie.....................................................................................................10
2.2 Aanbevelingen........................................................................................ 12
DEEL 2 Onderbouwing van de bevindingen.......................16 3.
Kaders voor gegevensbescherming................17
3.1
Nationale wet- en regelgeving...................................................17
3.2 Schaalkracht in regionale gegevensuitwisseling........18
4.
Gegevensuitwisseling in de praktijk..............26
4.1
Legitimiteit................................................................................................26
4.2 Organisatie................................................................................................29 4.3 Ambitie......................................................................................................... 33
5.
Positie van de raad................................................ 35
5.1
Mogelijkheden tot sturing............................................................ 35
5.2 Positionering van de gemeenteraad...................................36
BIJLAGEN...........................................................................38 B1
Onderzoeksverantwoording.......................................................39
B2 Documenten............................................................................................41 B3 Wettelijk kader.......................................................................................42
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 4
HOOFDSTUK 1
Inleiding
1.1
Inleiding
Grip op verantwoordelijkheden met betrekking tot gegevensbescherming is een belangrijk onderwerp voor de
Uit onderzoek (2022) blijkt dat raadsleden in het algemeen
gemeente Enschede aangezien zij een (centrum)rol vervult
onvoldoende grip ervaren op de regionale samenwerkingen.
in de regio Twente en zij deelneemt aan tal van verschillende
Het gaat hier bijvoorbeeld om de inrichting, governance
samenwerkingsverbanden. Tegen het licht van de bovenstaande
en procedures van de samenwerkingsverbanden. Ook
ontwikkelingen wil de Rekenkamer Enschede inzicht in de
binnen de regio Twente wordt er volop gebruikgemaakt
huidige situatie en de mogelijke risico’s die hierbij ontstaan.
van samenwerkingsverbanden, waar de gemeente Enschede
Om deze reden onderzoekt Berenschot in opdracht van de
bijvoorbeeld deelneemt aan de Veiligheidsregio Twente of aan
Rekenkamer Enschede de omgang van de gemeente Enschede
SamenTwente. Landelijk zien we dat gegevensuitwisseling
met mogelijke risico’s van gegevensuitwisseling door en van
in samenwerkingen een onderwerp van aandacht is.
samenwerkingsverbanden.
1
Zo zijn Nederlandse gemeenten in het Dreigingsbeeld Informatiebeveiliging expliciet benoemd als een van de grootste bedreigingen voor veilige informatie2, benoemt de Autoriteit Persoonsgegevens gegevensuitwisseling in samenwerkingsverbanden een van de focusthema’s van 20243
1.2 De risico’s van gegevensuitwisseling in samenwerkingsverbanden
en heeft de VNG verschillende handreikingen gepubliceerd met betrekking tot de AVG, privacy en gegevensuitwisseling.
Zoals eerder al benoemd is grip op gegevensuitwisseling van en door samenwerkingsverbanden een onderwerp dat niet enkel
Er zijn verschillende typen gegevens die in regionale
bij de gemeente Enschede speelt. Bij veel gemeenten (en ook
samenwerkingsverbanden van Enschede uitgewisseld worden.
hun raadsleden) zien we in de praktijk terug dat de grip op
Denk bijvoorbeeld aan persoonsgegevens maar ook aan
gegevensuitwisseling onvoldoende is en dat het lastig blijkt hier
bedrijfsgevoelige gegevens. In dit onderzoek ligt de nadruk op
wat aan te doen.4
de omgang met persoonsgegevens. Dit is in overleg met de Rekenkamer en de gemeente Enschede bepaald, met daaraan twee voorname redenen ten grondslag. De eerste overweging is dat onzorgvuldige omgang met persoonsgegevens verregaande persoonlijke consequenties heeft voor burgers. In de politiekbestuurlijke context van de gemeente is het belangrijk om te borgen dat dit zorgvuldig plaatsvindt. De tweede overweging is dat er landelijk veel onduidelijkheid bestaat over de omgang met persoonsgegevens. De AVG wordt veelal als beperkend gezien en in combinatie met sectorale wetgeving is het soms een zoektocht wat wel of niet mogelijk is.
4 1 2 3
Decentraal bestuur (2022). Informatiebeveiligingsdienst & VNG (2022). Autoriteit Persoonsgegevens (2023).
Dit is gebaseerd op ervaringen van de onderzoekers en trends die we zien door het land. Daarnaast hebben de onderzoekers voor de concretisering met de Autoriteit Persoonsgegevens en met een aantal FG’s van verschillende gemeenten gesproken. Hierbij is gelet op variatie qua regio en grootte van de gemeenten.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 5
Een gespreksronde met functionarissen gegevensbescherming
Wat zijn persoonsgegevens?
(FG) van verschillende gemeenten levert het volgende beeld op:
Elk gegeven dat betrekking heeft op een natuurlijke persoon (betrokkene) is een persoonsgegeven. Om van
•
Uitvoering op afstand. Door de vaak gecompliceerde
een persoonsgegeven te spreken is het voldoende dat de
governancestructuur tussen een gemeente, andere
betrokkene identificeerbaar is met de binnen de organisatie
deelnemende gemeenten en regionale andere partijen
vastgelegde gegevens. Gegevens waarmee dit rechtstreeks
in een samenwerkingsverband, ontstaat een situatie
kan, zijn bijvoorbeeld de NAW-gegevens, maar het kan ook
waarin colleges op papier wel betrokken zijn bij
via indirecte gegevens zoals een paspoortnummer of een
een samenwerkingsverband maar in de praktijk
IP-adres. Andere voorbeelden van persoonsgegevens zijn:
niet altijd de ruimte hebben om daadwerkelijk te
e-mailadressen, telefoonnummers, geslacht, huwelijkse
sturen. Het is afhankelijk van de gekozen bestuurlijke
staat, familie en beroep.
governance op welke manier een individuele gemeente sturingsmogelijkheden heeft. Daarnaast staat een
Bijzondere en strafrechtelijke gegevens
samenwerkingsverband op afstand van het toezicht in
Een speciale categorie van persoonsgegevens zijn
een gemeente (in dit geval de FG), maar het is niet in
bijzondere persoonsgegevens. Deze zijn extra beschermd.
alle gevallen verplicht om zelf toezicht in te stellen. Dit
Dit zijn bijvoorbeeld medische of gezondheidsgegevens.
resulteert in een situatie waarin er wel gemeentelijke taken
Er geldt een verbod op het verwerken van bijzondere
worden uitgevoerd en hiervoor gegevens worden verwerkt,
persoonsgegevens tenzij daarvoor een zwaarwegend
maar dat hier beperkte sturing en toezicht op (mogelijk) is.
belang of wettelijke grondslag aanwezig is. Een andere speciale categorie zijn strafrechtelijke gegevens. Deze
•
Onduidelijkheid met betrekking tot rollen en verantwoor
worden alleen verwerkt onder toezicht van de overheid of
delijkheden. Ondanks dat verantwoordelijkheden in beleid
als dat uitdrukkelijk in een wet is toegestaan. In Nederland
wel toegewezen zijn, is in de gemeentelijke uitvoering
is dit vastgelegd in de Uitvoeringswet AVG. Het verwerken
vaak weinig kennis van verantwoordelijkheden met
van strafrechtelijke gegevens is toegestaan door en ten
betrekking tot gegevensuitwisseling. Bestuur en directie
behoeve van publiekrechtelijke samenwerkingsverbanden
hebben zelf vaak ook onvoldoende begrip van de rollen
als dat noodzakelijk is voor de uitvoering van hun taak.
en verantwoordelijkheden die bestaan in relatie tot
Voorwaarde daarbij is dat er zodanige waarborgen zijn
gegevensbescherming bij samenwerkingsverbanden. Mede
dat de persoonlijke levenssfeer van de betrokkene niet
hierdoor wordt er beperkt gestuurd op naleving in de
onevenredig wordt geschaad.
uitvoering door het management en de directie. Er wordt vaak naar privacy officers (PO), de Chief Information
Voor deze beide categorieën van persoonsgegevens gelden
Security Officer (CISO) en de FG gekeken. Deze rollen
zwaardere eisen voor de beveiliging van de gegevens. Denk
staan echter op afstand van de uitvoering. Hierdoor
bijvoorbeeld aan het direct verwijderen van deze gegevens
ontstaat het gevaar op een papieren werkelijkheid, waardoor
na uitvoering van de taak waarvoor ze verzameld zijn.
5
de organisatie zich niet bewust is van risico’s in de praktijk. Persoonsgegevens van gevoelige aard
•
5
Gebrek aan overzicht. Gemeenten blijken veelal geen
Verwerkingen van gegevens die kunnen leiden tot
compleet en centraal overzicht te hebben van de samen
discriminatie, identiteitsdiefstal of –fraude, financiële
werkingsverbanden waar zij aan deelnemen. Ook is
verliezen, reputatieschade of enig ander aanzienlijk
er vaak geen inzicht in gegevensstromen van en naar
economisch of maatschappelijk nadeel, en verwerkingen
samenwerkingsverbanden. Hierdoor is het voor FG’s
van persoonsgegevens van kwetsbare natuurlijke personen,
lastig om toezicht te houden op de veilige omgang met
met name van kinderen, behoren tot persoonsgegevens van
persoonsgegevens.
gevoelige aard. Ook deze krijgen specifieke bescherming.
Privacy officers en functionarissen gegevensbescherming hebben beide de verantwoordelijkheid voor de veilige omgang met (persoons)gegevens. Een privacy officer is verantwoordelijk voor het actualiseren en uitvoeren van het beleid rondom privacy en ondersteunt ook in de uitvoering. Een functionaris gegevensbescherming is een interne toezichthouder en ziet toe dat het beleid ook daadwerkelijk wordt uitgevoerd. Een functionaris gegevensbescherming focust op signaleren en rapporteren. De CISO is met name verantwoordelijk voor het informatiebeveilingsbeleid. De CISO is verantwoordelijk voor zowel de implementatie van dit beleid als het toezicht erop.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 6
1.3 Onderzoeksvragen
Stadsbank Oost Nederland De Stadsbank Oost Nederland (hierna: SON) is een
In het onderzoek staan de volgende twee onderzoeksvragen
gemeenschappelijke regeling waarin 21 gemeenten in Twente
centraal:
en de Achterhoek hebben besloten om de uitvoering van
1. Gaat de gemeente Enschede adequaat om met de risico’s
taken op het gebied van schuldhulpverlening deels of volledig
van gegevensuitwisseling in samenwerkingsverbanden?
uit te besteden. In feite neemt de Stadsbank Oost Nederland
2. Is de raad voldoende in positie gebracht om zijn kaderstellende en controlerende rol uit te voeren?
wettelijke taken over van de gemeenten op het gebied van schuldhulpverlening. De Stadsbank Oost Nederland is een gemeentelijke regeling (GR) en kent een rechtspersoonlijkheid
Om tot beantwoording van de hoofdvragen te komen, zijn de
bezittend lichaam dat is gevestigd in Enschede. De Stadsbank
volgende deelvragen opgesteld voor het onderzoek:
presenteert zich aan cliënten als financiële dienstverlener
1. Welke kaders (wetten, regels en besluiten) bestaan
zonder winstoogmerk, gericht op het creëren van duurzame
er voor rechtmatige gegevensuitwisseling in
financiële stabiliteit en financiële gezondheid. Cliënten
samenwerkingsverbanden?
kunnen zich rechtstreeks bij de Stadsbank melden of worden
2. Welk beleid bestaat er momenteel binnen de gemeente
aangedragen door de gemeente: na een intakegesprek, of na een
Enschede en in de regionale samenwerkingsverbanden
gemeentelijke indicatie waarvan de SON alleen de uitvoering
waaraan de gemeente deelneemt met betrekking tot
verzorgt.
gegevensuitwisseling? 3. Hoe vindt gegevensuitwisseling momenteel plaats in samenwerkingsverbanden waarin de gemeente Enschede
Figuur 1.
Verhouding SON en de samenwerkingspartners.
Samenwerkingspartners SON
participeert? 4. Is de raad voldoende in positie gebracht om zijn kaderstellende rol uit te voeren?
22 gemeenten
5. Is de raad voldoende in positie gebracht om zijn controlerende rol uit te voeren?
DB Gemeenschappelijke regeling
IB-beleid
1.4 Onderzoeksverantwoording Het onderzoek betreft een ex-durante-evaluatie van beleid
AB
Stadsbank Oost-Nederland
en de invulling hiervan van de gemeente Enschede. Voor het onderzoek is gebruik gemaakt van een combinatie van een documentenstudie en interviews. Het onderzoek zet daarmee specifiek in op kwalitatieve onderzoeksmethoden en is vooral verkennend van aard. Om te beoordelen in hoeverre de gemeente Enschede stuurt op rechtmatige gegevensuitwisseling
De bestuurlijke verantwoordelijkheid ligt in handen van het
in samenwerkingsverbanden, vergelijken we bij wijze van
algemeen bestuur (AB) en het dagelijks bestuur (DB). Het
steekproef het beleid en de uitvoeringspraktijk met betrekking
AB bestaat uit één collegelid uit elk van de deelnemende
tot twee regionale samenwerkingsverbanden: Stadsbank
gemeenten. Het DB bestaat uit acht leden die door en uit het
Oost Nederland en het Zorg- en Veiligheidshuis Twente. De
AB worden aangewezen. In ieder geval hebben AB-leden uit de
selectie van onze twee casussen is in nauw overleg met de
gemeenten Enschede, Almelo en Hengelo zitting in het DB. De
Rekenkamer tot stand gekomen. De casussen zijn op basis
voorzitter (die het AB in het DB voorzit) is een wethouder uit
van een aantal criteria geselecteerd uit het totaaloverzicht van
de gemeente Enschede.
samenwerkingsverbanden (in totaal 26) waaraan de gemeente Enschede deelneemt6. In bijlage 1 vindt u meer informatie over de onderzoeksverantwoording.
6
RegioAtlas (2024).
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 7
Zorg- en Veiligheidshuis Twente
Figuur 2.
Verhouding tussen de betrokken organisaties van het ZVH.
Het Zorg- en Veiligheidshuis Twente (hierna: ZVH) is een
Samenwerkingspartners ZVH
netwerksamenwerking tussen strafpartners, zorgpartners en
Stuurgroep ZVH
de dertien gemeentelijke partners in de regio Twente.7 Het ZVH komt tot een ketenoverstijgende aanpak van complexe problematiek om ernstige overlast en criminaliteit te bestrijden.
Gemeente
Partners wisselen hierin informatie uit over ‘complexe
VTT
casuïstiek’ op het snijvlak van het sociaal domein en het veiligheidsdomein. Het doel daarvan is het terugdringen van overlast, huiselijk geweld en criminaliteit. Partners signaleren gezamenlijk problemen, stemmen werkprocessen
Politie
GGD
B. Privacyprotocol
A. Samenwerkingsconvenant
en oplossingen af en zorgen dat het handelingsrepertoire van
Etc.
Verwerkersovereenkomst
de strafrecht- en zorgketen elkaar aanvullen. Het ZVH is geen zelfstandige organisatie, maar voert zijn taken uit ten behoeve van alle samenwerkende organisaties. De oprichting geschiedde in een samenwerkingsovereenkomst tussen alle partijen. Het
Veiligheidsregio Twente (VRT)
ZVH heeft geen rechtspersoonlijkheid en wordt daarom door middel van dienstverleningsovereenkomsten gefaciliteerd door
DB AB
Verwerkersovereenkomst
de Veiligheidsregio Twente (GR) en SamenTwente (GR)8. Samen Twente
De (bestuurlijke) verantwoordelijkheden met betrekking tot informatiebeveiliging zijn verdeeld over de Stuurgroep Zorg,
Team ZVH
Veiligheid en Straf (geen rechtspersoonlijkheid en niet bevoegd tot zelfstandig handelen), de VRT en SamenTwente (beide wel een rechtspersoonlijkheid en bevoegd tot zelfstandig handelen). Zie de nevenstaande figuur voor de onderlinge verhoudingen.
De stuurgroep Zorg, Veiligheid en Straf (hierna: de stuurgroep) De Veiligheidsregio Twente (hierna: VRT) is een wettelijk
draagt - namens alle gemeenten die deelnemen aan het ZVH-
verplichte GR en heeft rechtspersoonlijkheid. Daarom zijn
netwerk, dus ook namens de gemeente Enschede - bestuurlijke
medewerkers van het ZVH in dienst bij de VRT en verzorgt de
verantwoordelijkheid voor het algehele functioneren van
VRT hr-administratie. De VRT draagt zorg voor informatie
het ZVH (samenwerkingsconvenant 2022), waaronder voor
beveiliging in het ZVH (samenwerkingsconvenant, 2022).
een rechtmatige omgang met persoonsgegevens. Deelnemers
Alle dienstverlening aan het ZVH is vastgelegd in een dienst
zijn bestuurlijke vertegenwoordigers van een aantal van de
verleningsovereenkomst.9 De VRT heeft op zijn beurt een
deelnemende gemeenten en vertegenwoordigers van de directie
dienstverleningsovereenkomst afgesloten met SamenTwente
van de deelnemende partijen. In de huidige praktijk gaat het
(opnieuw een GR met rechtspersoonlijkheid) voor de huisvesting
om een wethouder van de gemeente Almelo en de burgemeester
en de ICT van het ZVH. Dit omdat de VRT zelf niet met
van Rijssen-Holten (2023). De stuurgroep is verantwoordelijk
persoonsgegevens werkt, en SamenTwente dat wel doet. De
voor het opstellen van langetermijnvisies, inhoudelijke/
beveiliging van gegevens is daarom in handen van SamenTwente
financiële jaarplannen en het borgen van de kwaliteit van de
(Privacy protocol (2023)). Dat maakt SamenTwente
samenwerking, waaronder ook de informatiebeveiliging en de
verantwoordelijk voor het in stand houden van procedures om
evaluatie daarvan vallen.
inbreuk op beveiligingsmaatregelen te voorkomen.
7 8 9
Dertien Twentse Gemeenten, Politie, Justitie (OM) en zorgverleners (Veilig Thuis Twente, GGD). Uitvoeringsorganisatie GGD Twente, Veilig Thuis Twente en de Organisatie voor Zorg en Jeugdhulp. Uiteraard geldt bij samenwerkingsverbanden dat het vereiste veiligheidsniveau voor de gegevens verschilt per organisatie en het/(de) type(n) domein(en) waarbinnen de gegevens worden uitgewisseld. Daarbij dient er rekening te worden gehouden met bepaalde waardeafwegingen, zoals de balans tussen veiligheid en vertrouwelijkheid bij bijvoorbeeld kritieke infrastructuren. Dit kan zeker binnen het domein van veiligheid leiden tot andere veiligheidsvereisten vergeleken met bijvoorbeeld het domein leefbaarheid.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 8
Theoretisch kader De gemeente is verantwoordelijk voor het verantwoord en legitiem omgaan met persoonsgegevens. Hierbij moet ‘wat we willen’ (ambitie) altijd in balans zijn met ‘wat we kunnen’ (organisatie) en met ‘wat we mogen en waar we toe bereid zijn’ (legitimiteit). Op het moment dat er sprake is van regionale samenwerking, is de gemeente echter afhankelijk van andere organisaties. In regionale samenwerking interacteren de drie aspecten daarom met elkaar op gemeentelijke en regionale schaal. Risicobeheersing heeft daarom te maken met schaalkracht en wordt vormgegeven door dit samenspel. In dit onderzoek kijken we daarom door de lens van drie aspecten; ambitie, organisatie en legitimiteit. In bijlage 1 vindt u ook een uitgebreidere beschrijving van het theoretisch kader.
1.5 Leeswijzer Deze rapportage is ingedeeld in drie delen.
Deel 1: conclusies en aanbevelingen •
In hoofdstuk 2 beantwoorden we de onderzoeksvragen en schetsen we de algemene conclusies. Daarnaast doen we een aantal aanbevelingen voor de ambtelijke organisatie en de gemeenteraad.
Deel 2: onderbouwing van de bevindingen •
In hoofdstuk 3 beschrijven we de kaders voor gegevensuitwisseling. We gaan in op de nationale wet- en regelgeving die relevant is voor het onderwerp. Nationale wet- en regelgeving moet vertaald worden naar regionaal en lokaal beleid om hier invulling aan te geven. De beschrijving hiervan doen we aan de hand van de thema’s legitimiteit, organisatie en ambitie.
•
In hoofdstuk 4 analyseren we de toepassing van de geschetste kaders in de praktijk. Dit doen we aan de hand van de thema’s legitimiteit, organisatie en ambitie.
•
Hoofdstuk 5 focust op de positionering van de raad ten opzichte van gegevensuitwisseling in samenwerkings verbanden. We analyseren de wijze waarop de raad zijn rollen invult.
Deel 3: bijlagen •
In bijlage 1 vindt u de onderzoeksverantwoording en het theoretisch kader dat we hebben gebruikt voor onze analyse. In bijlage 2 vindt u een weergave van de gebruikte documenten en bijlage 3 bevat een toelichting op het wettelijk kader dat van toepassing is op de onderzochte casussen.
DEEL 1
Conclusie en aanbevelingen In dit deel beantwoorden we de onderzoeksvragen en schetsen we de algemene conclusies. Daarnaast doen we een aantal aanbevelingen voor de ambtelijke organisatie en de gemeenteraad.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 10
HOOFDSTUK 2
Conclusie en aanbevelingen In dit hoofdstuk beantwoorden we de onderzoeksvragen en formuleren we een aantal aanbevelingen voor de ambtelijke organisatie en de raad van de gemeente Enschede.
2.1 Conclusie
In de gemeente Enschede is het besef van de verstrekkende gevolgen van onrechtmatige gegevensuitwisseling groeiende
1.
Gaat de gemeente Enschede adequaat om met de risico’s van gegevensuitwisseling in samenwerkingsverbanden?
en wordt er flink ingezet om de waarborgen hiervoor te versterken. Dit zien we op de lokale schaal enerzijds terug in het sterk geprofessionaliseerde beleidskader omtrent
Bescherming van persoonsgegevens is een grondrecht in
informatiebeveiliging en privacy, en anderzijds in het groeiende
Nederland. De verschillende vereisten vanuit het landelijke
bewustzijn bij medewerkers. We zien echter ook dat de
wet- en regelgevingskader dienen als waarborg hiervoor.
gemeente nog volop bezig is met de ontwikkeling en uitvoering
Burgers moeten ervan op aan kunnen dat persoonsgegevens
van het beleid en er nog niet is. Waar er op strategisch niveau
enkel gebruikt worden waarvoor dit mag en dat de omgang
een solide beleidskader ligt, blijft de tactische vertaling en
hiermee veilig plaatsvindt. Een adequate omgang met
operationele invulling achter. Dit is logisch en maakt deel
gegevensuitwisseling is dus vooral een rechtmatige omgang
uit van de professionaliseringsslag, maar de gemeente is erbij
met gegevensuitwisseling tussen overheidspartijen (en niet-
gebaat om zich hiervan bewust te zijn en extra op in te zetten.
overheidspartijen), en is daarmee essentieel voor de invulling van goed bestuur.
Een belangrijk aandachtspunt hierbij is dat voor de verdere professionalisering en adequate omgang met de risico’s, het
Gegevensuitwisseling staat altijd ten dienste van het vervullen
van belang is dat de directie en het bestuur zich van de risico’s
van publieke taken. Het inzetten van gegevensuitwisseling als
bewust zijn. Veilige omgang met persoonsgegevens zal niet uit
instrument draagt daarom bij aan het realiseren van publieke
zichzelf goed gaan, hier moet actief op worden gestuurd en
waarde als gemeente. Op het moment dat een dergelijk
toegezien. We hebben geen volledige risicoanalyse uitgevoerd
instrument niet rechtmatig wordt ingezet, ontstaan er risico’s
op het niveau van de gemeente, maar zien wel dat er onder
voor het realiseren van publieke waarde op de opgaven en
beleidsmedewerkers nog onvoldoende bewustzijn is over wat
(wettelijke) taken waarvoor de gemeente verantwoordelijk is.
rechtmatige gegevensuitwisseling wel en niet is, en wat er van hen verwacht wordt om verbeteringen aan te brengen. Als de verantwoordelijkheid voor rechtmatige gegevensuitwisseling alleen op privacy officers wordt afgewend, maakt de gemeente Enschede haar ambities voor rechtmatige gegevensuitwisseling niet waar.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 11
Op de regionale schaal verschilt het in formele
Hierdoor ben je als organisatie juridisch aansprakelijk voor de
zin én in de praktijk in hoeverre de gemeente
juiste invulling van taken, terwijl je maar beperkte controle
Enschede sturingsmogelijkheden heeft en uitoefent.
kunt uitoefenen in de regionale governancestructuur op de
In de casusonderzoeken naar twee regionale
uitvoering van die taken.
samenwerkingsverbanden zagen we formele verschillen in: •
•
de mate waarin de gemeente Enschede gehele
Daarnaast merken we dat er in de praktijk, en door
verwerkingsverantwoordelijkheid heeft (bij een
uitwisseling tussen lokale en regionale functionarissen
netwerksamenwerking) of dit deelt met de regio (bij
gegevensbescherming of privacy officers, ook vertrouwen
mandatering van taken).
ontstaat in de sturing die het samenwerkingsverband voert op
de mogelijkheden die de governancestructuur van het
rechtmatige gegevensuitwisseling en het mitigeren of beperken
samenwerkingsverband aan de gemeente Enschede biedt om
van risico’s. Maar: ook als de gemeentelijke organisatie de
te sturen op rechtmatige gegevensuitwisseling. De gemeente
mening is toegedaan dat het regionale beleid voor gegevens
Enschede komt bijvoorbeeld op afstand te staan van
uitwisseling ‘op orde is’ en goed wordt uitgevoerd door de goede
regionaal beleid ten aanzien van gegevensuitwisseling als
mensen, ontslaat dat de gemeente Enschede niet van haar
de gemeente Enschede niet deelneemt aan een bestuurlijke
formeel-juridische verwerkingsverantwoordelijkheid en dus de
stuurgroep waar jaarverslagen en de voortgang van de
plicht om dit te controleren.
implementatie van privacy protocollen worden besproken.
•
Het risico is dan dat de gemeente Enschede op afstand komt
Bij sommige samenwerkingsverbanden bestaat er om boven
te staan van het regionale beleid voor gegevensuitwisseling.
staande redenen een grotere afstand tussen de regionale
de mate waarin de beschikbare (organisatie-)capaciteit
uitvoeringsverantwoordelijkheid en de lokale verwerkings
was afgestemd op het ambitieniveau voor veilige
verantwoordelijkheid. Ons beeld, gebaseerd op onze casestudies,
gegevensuitwisseling op het niveau van de regio. In
is dat de gemeente Enschede beperkt inzicht heeft op welke
sommige samenwerkingsverbanden ligt er duidelijk
manier dit voor verschillende samenwerkingsverbanden is
strategisch beleid voor rechtmatige gegevensuitwisseling
georganiseerd, en daarmee zorgvuldiger invulling kan geven aan
en wordt er voldoende capaciteit vrijgemaakt voor de
verwerkingsverantwoordelijkheden waar de gemeente lokaal
uitvoering daarvoor: bijvoorbeeld door uitwisseling tussen
voor aansprakelijk blijft.
privacy officers vanuit deelnemende gemeenten of omdat er een privacy officer in dienst is van het openbaar lichaam. Maar soms is er slechts beleid op hoofdlijnen, en lukt het niet om specialistische capaciteit vrij te maken voor de uitvoering.
2.
Is de raad voldoende in positie gebracht om zijn kaderstellende en controlerende rol uit te voeren?
De raad heeft een zeer minimale positie op dit onderwerp ingenomen. Dit geldt zowel voor de kaderstellende als voor
In de praktijk zagen we dat de gemeente Enschede niet optimaal
de controlerende rol. Hiervoor moeten we echter zowel naar
gebruik maakt van de mogelijkheden die er zijn om te sturen op
het college als naar de raad zelf kijken. Enerzijds is het aan
rechtmatige gegevensuitwisseling. Daarbij geldt ook dat de twee
het college om meer informatie over de mechanismen in de
samenwerkingsverbanden die zijn bestudeerd, onderling erg
gemeente te delen met de raad, zodat de raad invulling aan de
verschillen in de beschikbare sturingsmogelijkheden. Bestuurlijk
rollen kan geven.
en binnen de gemeentelijke organisatie heerst bovendien de perceptie dat de verantwoordelijkheid hiervoor bij de
Anderzijds is het ook aan de gemeenteraad zelf om positie in
samenwerkingsverbanden ligt. Toch is dit niet altijd het geval.
te nemen in de rollen. Ook als het gaat om de rechtmatigheid
Ondanks dat de uitvoeringsverantwoordelijkheid inderdaad
van gegevensuitwisseling op regionale schaal. Hoewel het lijkt
(deels) bij het samenwerkingsverband ligt, blijft de juridische
alsof ‘de regio’ zich op afstand bevindt van de inwoners van de
verwerkingsverantwoordelijkheid bij de gemeente. Dit is
gemeente Enschede, zijn het wél Enschedeërs wiens gegevens
bijvoorbeeld het geval bij het mandateren van taken naar GR’s
worden gedeeld met regionale partners om bijvoorbeeld
(ondanks dat deze rechtspersoonlijkheid bezitten), maar ook
diensten te verlenen op het gebied van schuldhulpverlening of
bij samenwerkingsverbanden die geen rechtspersoonlijkheid
om de juiste zorg- en veiligheidsexpertise in te winnen.
bezitten.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 12
Inwoners van Enschede hebben daarom – vanuit het
•
Verantwoordelijkheid beleggen. Maak ook in
voorgenoemde beginsel van goed bestuur – het recht om te
samenwerkingsverbanden expliciet afspraken over rollen en
weten wie er kan worden aangesproken op de verwerking
verantwoordelijkheden met betrekking tot de uitvoering van
van hun persoonsgegevens, met welk doel, en om daarover
beleid. Denk bijvoorbeeld aan het uitvoeren van DPIA’s.10
geïnformeerd te worden.
Maak expliciet wie dit coördineert en leg vast op welk niveau de DPIA vastgesteld moet worden (bijvoorbeeld
De gemeenteraad heeft de mogelijkheid om te sturen op
bestuurlijk). Door dit formeel vast te leggen, zullen
de rechtmatigheid van gegevensuitwisseling. De landelijke
mechanismen om hierop te sturen effectiever zijn.
AVG verplicht gemeentebesturen om hun beleid inzake
•
Digitaal leiderschap. Het belang van rechtmatige
de verwerking van persoonsgegevens te delen met de
gegevensuitwisseling wordt meer doorleeft als de directie
gemeenteraad, en daar ligt dan ook een taak om die te
en het bestuur actief sturen op naleving van beleid,
beoordelen. Het is echter niet realistisch om te verwachten dat
zowel lokaal als regionaal. Maak als directie en bestuur
raadsleden zich specialiseren op het thema gegevensuitwisseling
gebruik van de kennis van bijvoorbeeld de Functionaris
om zo een stevige expertmatige controlerende rol uit
Gegevensbescherming om hier invulling aan te geven.
te oefenen. Ten eerste is er weinig tot geen kennis van
•
Controle. Regel eerstelijns controle in op het niveau
digitalisering aanwezig binnen de raad en ten tweede is het
van de uitvoering. Gebruik dit vervolgens niet om te
onderwerp ook niet politiek gemaakt. Dit resulteert in weinig
‘straffen’ als het niet goed gaat, maar gebruik dit om
aandacht voor het thema. Het is realistischer om dit op een
inzicht te verkrijgen in mogelijkheden tot verbetering.
hoger abstractieniveau te verwachten. Raadsleden kunnen
Op deze manier voorkom je een papieren werkelijkheid
de rechtmatigheid van gegevensuitwisseling – lokaal en in
met aanzienlijke risico’s ten gevolg. Denk er bijvoorbeeld
regionale samenwerkingsverbanden – relatief eenvoudig
aan om afdelingen zelf datalekken te laten melden (en
beoordelen door consequent te vragen naar ‘wie’, ‘waarom’ en
hier ook wel op te controleren) of door lijnmanagers
naar ‘transparantie’ (zijn inwoners geïnformeerd?). Ze wijzen
over betreffende onderwerpen te laten rapporteren via
zo bestuur en organisatie op een adequate omgang met de
managementverantwoording. Op deze manier borg je dat er
complexiteit van verdeelde verwerkingsverantwoordelijkheid,
controle plaatsvindt op de uitvoering en kan je op naleving
doelbinding en het goed informeren van de inwoners in kwestie
sturen.
(zie paragraaf 2.2 voor concrete aanbevelingen hiertoe).
•
Bundel de toezichtkracht. Bundel de krachten vanuit de interne toezichtfuncties (denk aan de FG, gemeentearchivaris en controllers maar wellicht ook aan
2.2 Aanbevelingen
adviserende functies zoals de CISO). Een mogelijkheid is om één jaarverslag in te dienen, met verschillende
Aanbevelingen voor het college •
hoofdstukken per onderwerp. Op deze manier benadruk je
Inrichting. De mate van grip en beheersbaarheid op
de verbondenheid van alle digitaliseringsonderwerpen en
gegevensuitwisseling staat of valt vaak bij aan de voorkant
kom je in gezamenlijkheid hoger op de bestuurlijke agenda.
tijdens de inrichting van een samenwerkingsverband al goed na te denken over rollen en verantwoordelijkheden. In de context van samenwerkingsverbanden is een belangrijk aspect de juridische vorm van de samenwerking, aangezien dit bepaalt welke grondslag voor gegevensuitwisseling er bestaat. Door vanaf het begin duidelijke afspraken te maken over rollen en verantwoordelijkheden, weten alle betrokken partijen waar zij voor aan de lat staan. Op deze manier kun je het vanaf het begin al goed inrichten en hoef je niet achteraf pleisters te plakken. Bij samenwerkingsverbanden die al bestaan, is het relevant om de inrichting kritisch tegen het licht te houden. Wat moet er wellicht anders of duidelijker? Het helpt hierbij als er binnen het samenwerkingsverband ook rollen zijn aangewezen om toe te zien op naleving van wet- en regelgeving.
10
DPIA staat voor Data Protection Impact Assessment. Een DPIA is verplicht op het moment dat het gebruik van persoonsgegevens in een organisatie mogelijk een hoog risico kan opleveren. Het uitvoeren van een DPIA is een verplichting die is opgenomen in de Algemene verordening gegevensbescherming (AVG), de Wet politiegegevens (Wpg) en de Wet justitiële en strafvorderlijke gegevens (Wjsg).
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 13
•
Positioneer rechtmatige gegevensuitwisseling
De checklist per samenwerkingsverband zou in onze optiek in
binnen het bredere thema ‘goed digitaal bestuur’.
ieder geval de volgende elementen moeten bevatten:
Het college kan verschillende raadsinformatiebrieven of besluiten binnen dit thema bundelen en op deze manier
1. Verwerkingsverantwoordelijkheid: waar bevindt
de raad meenemen in de omgang van de gemeente met
zich dit na het overdragen van taken? Het is
digitalisering voor het vervullen van de publieke taken.
afhankelijk van de wijze van overdragen van taken of de
Hierdoor kan de raad het kennisniveau verhogen en de
gemeente haar verwerkingsverantwoordelijkheid overdraagt
werking van het bestaande beleid, de governance en de
naar een samenwerkingsverband. In geval van mandatering
processen beter leren kennen. Op deze manier wordt de
blijft de gemeente altijd verantwoordelijk, maar kan
raad gepositioneerd om te controleren of het gemeentelijke
dit wel in gezamenlijkheid gedragen worden als de GR
systeem werkt zoals beoogd, en – nog belangrijker - of die
feitelijk invloed uitoefent. Bij delegatie van bevoegdheden
werking daadwerkelijk bijdraagt aan het realiseren van de
wordt een GR zelfstandig bevoegd gemaakt en is de
gewenste ‘publieke waarde’ voor inwoners, op de opgaven
GR bestuurlijk verantwoordelijk. Toch is de gemeente
die direct raken aan hun belevingswereld.
niet altijd ontheven van verwerkingsverantwoordelijk, bijvoorbeeld als de gemeente door middel van beleid
Een praktisch instrument voor grip op gegevens uitwisseling in samenwerkingsverbanden: checklist gemeentelijke verwerkingsverantwoordelijkheid
het doel van de verwerking vaststelt. In dat geval
Om actief aan de slag te gaan met de bovenstaande
rechtsvorm van de samenwerking hiervoor ook relevant,
aanbevelingen, is het nodig dat de gemeente Enschede
een netwerksamenwerking (geen rechtspersoonlijkheid)
inzicht krijgt in de verwerkingsverantwoordelijkheden per
kan sowieso niet zelfstandig rechtshandelingen verrichten
samenwerkingsverband11. Zoals ons casusonderzoek duidelijk
en kan daarmee nooit verwerkingsverantwoordelijkheid
maakt, verschillen de regionale samenwerkingsverbanden
hebben.
kan er op zijn hoogst sprake zijn van gezamenlijke verwerkingsverantwoordelijkheid. Overigens is de
immers veel in de mate waarin de gemeente Enschede (gedeeltelijk) verantwoordelijkheid heeft voor veilige en
2. Juridische grondslag voor gegevensuitwisseling:
rechtmatige gegevensuitwisseling. De lopende actie om het
hoe zijn verantwoordelijkheden
totaal aan samenwerkingsverbanden waaraan Enschede
verdeeld? Een gemeenschappelijke regeling,
deelneemt in kaart te brengen is een goede eerste stap. We
samenwerkingsconvenant of andere oprichtingsgrondslag
adviseren om vervolgens voor elk samenwerkingsverband
van een samenwerkingsverband kan ook taken,
(denk aan netwerksamenwerkingen, stichtingen, bedrijven
verantwoordelijkheden en bevoegdheden bevatten
en andere mogelijke verbanden) een ‘checklist gemeentelijke
die betrekking hebben op de verdeling van
verwerkingsverantwoordelijkheid’ te doorlopen. Het doel
verantwoordelijkheden rondom de uitwisseling van
van zo’n exercitie is om – vanuit het lokale perspectief
gegevens tussen deelnemende partijen. Dit betekent
– te specificeren in welke mate de gemeente Enschede
echter niet in alle gevallen dat hiermee ook de
verantwoordelijkheden voor rechtmatige gegevensuitwisseling
formele verantwoordelijkheid voor het voldoen aan
behoudt, deelt of overdraagt én welke sturingsmogelijkheden
wet- en regelgeving kan worden overgedragen. De
de gemeente houdt om toe te zien op het veilig delen van
gemeente Enschede heeft er baat bij om deze (formele)
persoonsgegevens in het samenwerkingsverband.
verantwoordelijkheidsverdeling als partij in elk van de samenwerkingsverbanden te kennen, en er vragen over te stellen als er geen melding is gemaakt van (aanvullend beleid om) rollen en verantwoordelijkheden met betrekking tot gegevensuitwisseling.
11
Hiermee bedoelen we zowel samenwerkingsverbanden met rechtspersoonlijkheid als samenwerkingsverbanden zonder rechtspersoonlijkheid (bijvoorbeeld netwerksamenwerkingen).
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 14
3. Ambitieniveau: welke uitwisseling van
5. Toedeling aan (beleids)medewerkers en de
persoonsgegevens dient het belang van
privacy officer: wie kijkt mee in Enschede? Ons
Enschede? De gemeente doet er goed aan om per
advies is om per samenwerkingsverband duo’s te vormen
samenwerkingsverband te beoordelen hoe hoog de lat
van een beleidsmedewerker en een privacy officer die
moet liggen als het gaat om de invulling van de eigen,
toezien op de praktische invulling van de uitkomst
lokale verwerkingsverantwoordelijkheid en de manier
van deze checklist. Zo wordt er ook op tactisch en
waarop het samenwerkingsverband omgaat met de
operationeel niveau (in het three lines of defence-model
verwerkingsverantwoordelijkheid. De gemeente zet een
van de gemeente ) verantwoordelijkheid ervaren voor
standaard voor haar eigen verwerkingsverantwoordelijkheid
het vervullen van verwerkingsverantwoordelijkheden
binnen de samenwerking, maar ook voor die van ‘de regio’.
in samenwerkingsverbanden, en is er bewustzijn van de
De gemeente kan het ambitieniveau bijvoorbeeld uitwerken
risico’s die zich voordoen of zich voor (kunnen) doen als de
aan de hand van:
verdeling van verantwoordelijkheden onduidelijk is of niet
-
wordt nageleefd in de praktijk.
Het type persoonsgegevens dat wordt gedeeld in het samenwerkingsverband: gaat het om algemene of
-
-
bijzondere (strafrechtelijke) gegevens en dus casuïstiek
Aanbevelingen voor de raad
die wordt behandeld?
•
Versimpel tot sturing op de rechtmatigheid
Wat is het doel van de gegevensverwerking, en is er
van gegevensuitwisseling: lokaal en regionaal.
sprake van (voldoende) doelbinding?
Zoals in paragraaf 2.1 is aangegeven, hebben raadsleden
De aanwezigheid (of afwezigheid) van
vanuit hun controlerende rol en onder de AVG een
informatiebeveiliging- of privacybeleid van het
verantwoordelijkheid om de rechtmatigheid van het
samenwerkingsverband waarin de verdeling van
gebruik en de verwerking van persoonsgegevens door
verantwoordelijkheden en regionale ambities zijn
de gemeente Enschede te beoordelen. Invulling van
uitgewerkt.
de (wettelijke) verantwoordelijkheid om te sturen op
Zorgen over de praktische invulling van
rechtmatigheid van gegevensuitwisseling behoeft geen
verwerkingsverantwoordelijkheden door het
expertkennis. Hoofdvragen over wie verantwoordelijkheid
samenwerkingsverband of de regio-organisatie,
draagt voor gegevensuitwisseling, hoe rechtmatige omgang
bijvoorbeeld beschikbare ambtelijke capaciteit.
wordt geborgd en of/hoe inwoners geïnformeerd zijn, vormen voldoende beoordelingskader van beleid over het
4. Sturingsmogelijkheden: waar stuurt Enschede bij?
delen van persoonsgegevens. Of dat beleid nu lokaal of
De gemeente Enschede kan vervolgens duiden hoe er kan
regionaal tot stand komt. Raadsleden bevragen op deze
worden gestuurd op de rolverdeling: welke mogelijkheden
manier actief de omgang met de grootste risico’s van
biedt de governance van elk samenwerkingsverband om
onrechtmatige gegevensuitwisseling voor de inwoners
informatiebeveiliging- of privacybeleid te agenderen?
wiens persoonsgegevens worden gedeeld: een gebrek
Hoe verloopt de ambtelijke samenwerking? Is er op
aan verantwoordelijkheidsbesef, onjuiste invulling van
beleidsniveau een gremium dat zich buigt over vraagstukken
gegevensuitwisseling en gebrek aan transparantie richting
omtrent gegevensuitwisseling, of moeten vragen
de inwoners wiens gegevens worden gedeeld.
daarover elders worden ingebracht? Welke bestuurlijke escalatiemogelijkheden biedt dit samenwerkingsverband?
•
Vraag om informatie als dat niet automatisch
Worden thema’s omtrent veilige gegevensuitwisseling
wordt gedeeld. Dit kan bijvoorbeeld door de FG een
periodiek bestuurlijk geagendeerd (bijvoorbeeld als
informerende presentatie te laten geven aan de raad: waar
onderdeel van de jaarcyclus)? Als deze mechanismen
gaat gegevensuitwisseling over, hoe gaat de gemeente
duidelijk in kaart zijn, kunnen ze effectiever worden ingezet.
ermee om en waarom is dit belangrijk? Daarnaast wordt beleid over gegevensuitwisseling (en risicobeheersing) niet automatisch door ieder samenwerkingsverband gedeeld met de gemeenteraad.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 15
Overheidslichamen onder een GR volgen de jaarcyclus
Raadsinformatiebrieven over voortgang of koerswijzigingen
en leggen als onderdeel daarvan verantwoording af over
binnen regionale samenwerkingsverbanden kunnen
hun beleid ten aanzien van gegevensuitwisseling aan
bovendien worden voorzien van een korte paragraaf
deelnemende gemeenten en hun raden, maar zogenaamde
over wijzigingen in de ‘checklist gemeentelijke
netwerksamenwerkingen hebben vaak geen staande
verwerkingsverantwoordelijkheid’. Zo stuurt de raad op
praktijk. Raadsleden kunnen proactief om regionaal
bewustzijn van verwerkingsverantwoordelijkheden van de
beleid ten aanzien van gegevensuitwisseling verzoeken om
gemeente Enschede en een duidelijker, explicieter antwoord
de rechtmatigheid te beoordelen. Dat is nodig, want de
op de hoofdvraag ‘wie is verantwoordelijk voor rechtmatige
verantwoordelijkheid voor rechtmatige gegevensverwerking
gegevensverwerking?’
blijft in vele gevallen (deels) bij de gemeente Enschede. Niet alleen voor deze onderzochte casussen, maar bij samenwerkingsverbanden in het algeheel.
Praktische instrumenten voor de rolinvulling van de raad rondom digitalisering Er zijn veel instrumenten, handvaten en kaders beschikbaar die
•
Ken en gebruik (reguliere) sturingsmogelijkheden
kunnen helpen bij de rolinvulling van raadsleden op het gebied
voor grip op regionale samenwerking. Als
van digitalisering. Deze documenten kunnen raadsleden helpen
raadsleden twijfelen aan de beantwoording van de drie
om grip te krijgen op het thema. Zie hieronder een korte lijst:
hoofdvragen over rechtmatige gegevensuitwisseling in
•
Raad weten met digitalisering: het Rathenau Instituut heeft
samenwerkingsverbanden, zullen zij gebruik moeten
een denkraam ontwikkeld dat raadsleden kan helpen bij het
maken van de controlerende processen en procedures
stellen van vragen over digitaliseringsprojecten. Leer over de
die gangbaar zijn voor het samenwerkingsverband
verschillende knoppen waar een raadslid aan kan draaien.12
in kwestie. Het instrumentarium daarvoor verschilt
•
De rol van de gemeenteraad op het gebied van digitalisering:
per samenwerkingsverband: bij gemeenschappelijke
ook vanuit de VNG wordt er aandacht gegeven aan de rol
regelingen kan er via een zienswijzeprocedure worden
van de gemeenteraad op het gebied van digitalisering. In dit
gestuurd op wijzigingen van het regiobeleid omtrent
artikel wordt helder uiteengezet waarom digitalisering op
gegevensuitwisseling (volgens artikel 35 van de WGR),
meerdere domeinen van belang is, en niet pas onderwerp
maar bij andere vormen van samenwerking zal de raad een
van gesprek moet zijn op het moment dat er iets misgaat.13
portefeuillehouder of DB-lid uit het college van Enschede
•
De DataWijzer: De DataWijzer is een instrument dat
moeten aansturen op dit type wijzigingen. Het helpt
speciaal voor raadsleden is ontwikkeld. Het helpt raadsleden
als raadsleden zich verdiepen in de governance van elk
om tot een goed afgewogen en onderbouwd besluit te
samenwerkingsverband: reguliere sturingsmogelijkheden
komen bij raadsvoorstellen waarin digitale technologie is
kunnen ook worden ingezet voor verbetering van beleid ten
ingezet.14
aanzien van gegevensuitwisseling.
•
De Digitale Raadgever: De Digitale Raadgever is een interactieve tool die gemeenteraadsleden helpt om vragen
•
Stel kaders voor lokale verwerkings
te stellen over de doelgroep, het beleidsdoel en de impact
verantwoordelijkheden in regionale
van een datagerelateerd voorstel. Deze tool kan raadsleden
samenwerkingsverbanden. De raad van de gemeente
helpen om tot een geïnformeerd besluit te komen over het
Enschede vervult zijn controlerende rol met de voorgaande
voorstel.15
aanbevelingen op de regionale schaal. We adviseren
•
Commissie digitale zaken voor de raad en meer: uit onderzoek
daarnaast om op de lokale schaal ook kaderstellend te
blijkt dat er veelal informatieasymmetrie bestaat tussen het
werk te gaan. De raad van de gemeente Enschede kan
college en de raad. De raad voelt zich meestal onzeker door
bijvoorbeeld aansturen op het formuleren van de praktische
het gebrek aan duidelijke informatie en weinig grip op de
checklist ‘gemeentelijke verwerkingsverantwoordelijkheid’,
materie. Het onderzoek biedt handzame aanbevelingen om
die hierboven is gesuggereerd. Bij eventuele toetreding tot
hier mee aan de slag te gaan.16
een nieuw samenwerkingsverband, of een wijziging in de governancestructuur van een samenwerkingsverband, kan de raad aansturen op het (opnieuw) doorlopen van de checklist.
12 13 14 15 16
Rathenau Instituut (2020). VNG (2021). Data School, Universiteit Utrecht (2021). Datawerkplaats, Universiteit Utrecht (2022). Universiteit Utrecht (2022).
DEEL 2
Onderbouwing van de bevindingen Dit deel bevat de uitgebreide beschrijvingen van onze bevindingen. We beginnen met een uitleg van de relevante wet- en regelgeving en de bestuurlijke schalen die van toepassing zijn op de casussen. Vervolgens leggen we onze bevindingen en analyse van de gemeente voor. We sluiten af met een analyse van de positionering van de raad.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 17
HOOFDSTUK 3
Kaders voor gegevens bescherming In dit hoofdstuk beschrijven we de kaders voor gegevensbescherming. Op welke manier wordt door de gemeente Enschede geborgd dat gegevensuitwisseling op een veilige manier plaatsvindt? Dit dient als vertrekpunt om vervolgens in hoofdstuk 4 inzichtelijk te maken op welke manier er in de praktijk mogelijk risico’s ontstaan.
Eerst schetsen we de juridische kaders voor gegevensuitwisseling
In beginsel dient al het handelen van de gemeente hieraan te
in de context van regionale samenwerking. Vervolgens
voldoen.17
beschrijven we hoe op de regionale en lokale schaal invulling wordt gegeven aan gegevensbescherming. Dit doen we aan de
Daarnaast zijn er per domein materiële wetten (algemeen
hand van legitimiteit (de vertaling van wet- en regelgeving naar
bindende voorschriften) die invloed hebben, zoals de
beleid), organisatie (de wijze waarop de organisatie invulling
Wet gemeenschappelijke schuldhulpverlening, de Wet
geeft aan beleid) en ambities (regionale/lokale accenten).
maatschappelijke ondersteuning, de Jeugdwet en de Participatiewet. In bijlage 3 staat een uitgebreidere beschrijving
3.1 Nationale wet- en regelgeving
van de verschillende wetten. In de materiële wetten worden de doelen, taken, bevoegdheden en verantwoordelijkheden van bestuursorganen nader uitgewerkt. Zij zijn in dit opzicht
In deze paragraaf beschrijven we hoe het juridisch kader
bepalend voor de wijze waarop de algemene kaders toegepast
met betrekking tot gegevensuitwisseling in samenwerkings
dienen te worden. Materiewetten vormen hiermee de verdere
verbanden eruitziet. De relevante wettelijke kaders kunnen in
uitwerking van de formele nationale kaders (zie figuur 3).
algemene zin opgesplitst worden in twee typen. Ten eerste zijn er algemene (Europese en nationale) wettelijke kaders waarin verschillende (algemene) beginselen rondom de uitwisseling van gegevens zijn vastgelegd. De belangrijkste algemene kaders zijn de Algemene verordening gegevensbescherming (hierna: de AVG), de Uitvoeringswet AVG (hierna: de UAVG), de Wet politiegegevens en de Algemene wet bestuursrecht (hierna: Awb).
17
In juni 2024 is de Wet gegevensuitwisseling samenwerkingsverbanden (Wgs) aangenomen. Deze wet is relevant voor bijvoorbeeld het Zorg- en Veiligheidshuis Twente en biedt de juridische basis voor verwerking van persoonsgegevens binnen het samenwerkingsverband. In de wet en de nog nader uit te werken maatregelen van bestuur worden nadere regels bepaald over de wijze waarop gegevensuitwisseling kan plaatsvinden. Dit zal impact hebben op de wijze waarop de gemeente Enschede deze taken uitvoert. Alhoewel deze wet ten tijde van dit rapport nog niet van kracht is, en daarom niet meegenomen kan worden in de juridische analyse, zal deze na inwerkingtreding wel van invloed zijn.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 18
Figuur 3.
Verhouding tussen formele en materiële wetgeving. Algemene wet bestuursrecht Algemene verordening gegevens-
Algemene wettelijke bescherming (AVG) kaders: beginselen rondom uitwisseling Uitvoeringswet AVG van gegevens
Wet politiegegevens
Participatiewet
Uitwerking van doelen, taken, bevoegdheden en verantwoordelijkheden in materiewetten
Wet gemeentelijke schuldhulpverlening
Wat betekent dat voor de gemeenteraad van Enschede? Bescherming van persoonsgegevens is een grondrecht voor alle inwoners van Nederland. Dat grondrecht vraagt bescherming. Op grond van de AVG zijn gemeenten verplicht om verantwoording af te leggen over de verwerking van persoonsgegevens. Over maatregelen die een gemeente neemt om gegevens van inwoners te beschermen zal het college van B en W dus proactief moeten rapporteren aan de gemeenteraad. De koers die de gemeente kiest – of de principes die worden gehanteerd bij de keuze van de hiervoor bedoelde
Wet maatschappelijke ondersteuning
maatregelen – legt het college vaak vast in een beleidsplan. In dit geval is dat het ‘Strategisch informatiebeveiligings- en
Jeugdwet
privacybeleid”.
Bij de uitwisseling van (persoons-)gegevens tussen de gemeente
Het beleidsplan wordt ter goedkeuring voorgelegd aan de
Enschede en andere deelnemers binnen een samenwerkings
gemeenteraad, zodat raadsleden vanuit hun controlerende
verband zal de impact, afhankelijk van het beleidsonderwerp
rol kunnen toezien op het naleven van de bescherming
en de gekozen samenwerkingsvorm, verschillen. Dit ontstaat
van persoonsgegevens – en dus de bescherming
onder meer doordat de wet- en regelgeving per beleidsterrein
van een belangrijk grondrecht. Volgens de Autoriteit
verschilt. Het samenspel van de algemene juridische kaders
Persoonsgegevens kunnen raadsleden aan de hand van drie
met sectorale juridische kaders heeft als gevolg dat er per sector
eenvoudige vragen een beleidsplan beoordelen:
een ander juridisch kader bestaat. De wettelijke grondslagen
• Wie is verantwoordelijk? Volgens de AVG moet een
18
voor het uitwisselen van gegevens staan dus beschreven in
gemeente vastleggen wie ‘verwerkingsverantwoordelijk-
verschillende wetten waar diverse organisaties en professionals
heid’ draagt als er gebruik wordt gemaakt van persoons-
in de samenwerkingsverbanden mee te maken hebben bij de
gegevens. Is dat de gemeente, of een uitvoerende orga-
juiste uitvoering van hun taken en bevoegdheden.
nisatie? Het moet voor inwoners glashelder zijn waar zij terecht kunnen met vragen over hun persoonsgegevens.
3.2 Schaalkracht in regionale gegevensuitwisseling
• Waarom is het noodzakelijk? De gemeente zal moeten aantonen waarom en met welke aanleiding er persoonsgegevens worden verwerkt. Het college moet in het beleidsplan aantonen op basis van welke ‘materiewetten’
Nationale wet- en regelgeving wordt op regionale en lokale
op specifieke beleidsterreinen er sprake mag zijn van
schaal vertaald in beleid. In dit beleid geven organisaties
gegevensuitwisseling door en in de gemeente. Inwoners
invulling aan gegevensbescherming. In deze paragraaf
moeten erop kunnen vertrouwen dat hun gegevens wor-
beschrijven we hoe er op regionale en lokale schaal invulling wordt gegeven aan gegevensbescherming. We gaan voor beide
den verwerkt om een doel te behalen dat hen óók dient. • Hoe zijn inwoners geïnformeerd? Transparantie over
cases en voor de lokale situatie van de gemeente Enschede
het gebruik van persoonsgegevens door de gemeente
achtereenvolgens in op de volgende onderwerpen:
vraagt om proactieve communicatie. Het beleidsplan
•
Legitimiteit. Welk beleid is vastgesteld om
voor de AVG zal melding moeten maken van maatregelen
gegevensuitwisseling rechtmatig te laten plaatsvinden?
om inwoners in begrijpelijke taal voor te lichten over de
Organisatie. Hoe is de organisatie ingericht om op
manier waarop hun persoonsgegevens worden gebruikt
legitimiteit rondom gegevensuitwisseling te sturen?
en beschermd.
• •
Ambitie. Welke ambities hebben de organisaties gesteld met betrekking tot gegevensbescherming?
18
Daarnaast komt er, met name vanuit de Europese Unie, steeds meer nieuwe wet- en regelgeving bij die mogelijk impact heeft voor de gemeente Enschede.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 19
3.2.1 Legitimiteit Regionaal: Stadsbank Oost Nederland
Regionaal: Zorg- en Veiligheidshuis Twente
Ook voor de SON geldt dat er meerdere wettelijke kaders van
Naast het juridische kader, beschreven in paragraaf 3.1,
toepassing zijn: naast de AVG heeft de SON te maken met
heeft het ZVH te maken met de Wet geneeskundige
de Wet gemeentelijke schuldhulpverlening, de Wet op het
behandelovereenkomst (WGBO), de Jeugdwet, de Wet
consumentenkrediet (Wck), de Wet financiering decentrale
politiegegevens (Wpg), de Wet justitiële en strafvorderlijke
overheden, de Participatiewet en de Faillissementswet (zie
gegevens (Wjsg) en de Reclasseringsregeling 1995.19 Het
bijlage 3 voor een beschrijving van de wetten).
ZVH heeft geen zelfstandige wettelijke taak en heeft daarom geen wettelijke basis om gegevens te verwerken. Hierdoor
De wet gemeentelijke schuldhulpverlening bepaalt in
blijven de verschillende deelnemers allemaal zelfstandig
artikel 3a dat het college door middel van mandatering
verwerkingsverantwoordelijk. Het ZVH verwerkt geen
taken op het gebied van schuldhulpverlening door derden
gegevens uit eigen naam, maar ten behoeve van de partijen
kan laten verrichten. Bij mandatering van taken blijft de
in de samenwerking. Dit betekent dat deelnemers aan de
verwerkingsverantwoordelijkheid bij het college liggen, dit
samenwerking hun eigen verantwoordelijkheid behouden met
kan niet worden overgedragen. Er is wel sprake van (deels)
betrekking tot het delen van gegevens en dat ze hierdoor soms
gezamenlijke verwerkingsverantwoordelijkheid omdat de
een gezamenlijke verwerkingsverantwoordelijkheid hebben.
SON feitelijk invloed uitoefent en mede bepaalt welke
Hiervoor moeten de partijen gezamenlijk afspraken hebben
persoonsgegevens worden verwerkt en voor welk doel. De
gemaakt. Het gaat dan bijvoorbeeld om afspraken rondom
SON heeft bij bestuurlijk besluit bepaald dat voor de feitelijke
het te gebruiken informatieverwerkingssysteem, de werkwijze
uitvoering van de taken, de SON de verantwoordelijkheid
voor verwerkingen en verstrekkingen van persoonsgegevens
draagt. Daarmee ligt de uitvoeringsverantwoordelijkheid bij de
(inclusief de bijbehorende geheimhoudingsplichten voor
SON terwijl de juridische verantwoordelijkheid gezamenlijk
personeel van het ZVH) en protocollen voor bewaren,
door de partijen wordt gedragen.
vernietigen, beveiliging en het tegengaan van datalekken.
De SON is een openbaar lichaam met een zelfstandige
SamenTwente kwalificeert zichzelf als ‘verwerker’ van gegevens
rechtspersoonlijkheid. De SON moet als overheidslichaam
van de partijen uit het convenant. Het privacy protocol geeft
daarom voldoen aan de bepalingen in de Baseline
aan dat bij het uitbesteden van verwerkingshandelingen buiten
Informatiebeveiliging Overheid (BIO) en de AVG. In het
de partijen van het convenant, schriftelijke goedkeuring van de
informatieveiligheidsbeleid (IB-beleid) is beschreven op welke
stuurgroep nodig is voor verwerkingsovereenkomsten.
manier de SON veilige omgang met persoonsgegevens borgt. Er is in het IB-beleid onder andere vastgelegd voor welke
De (juridische) verankering van de omgang met wettelijke
doelen en met welke partijen de SON gegevens uitwisselt,
vereisten in beleid vindt plaats in een samenwerkingsconvenant
en welke afspraken er daarvoor gelden. Bijvoorbeeld: voor
en een privacy protocol. De inwerkingtreding van deze
de opslag van persoonsgegevens wordt gewerkt met derden,
documenten is echter op het moment van dit onderzoek
die als gegevensverwerkers worden aangemerkt en waarmee
nog onduidelijk. Beide zijn in 2023 geüpdatet – met een
verwerkersovereenkomsten worden gesloten. Of: er is sprake
governancewijziging (zie de volgende paragraaf) en door
van kleinschalige verwerkingen van persoonsgegevens door
een externe jurist - en zouden in 2024 bestuurlijk worden
deurwaarders en bewindvoerders die gegevens van de SON
bekrachtigd, aldus het jaarverslag ZVH 2023. We hebben in
verstrekt krijgen, waarbij de vertrouwelijkheid in het onderlinge
dit onderzoek echter geen getekende versies aangetroffen van
contact en in het contact en de cliënten wordt benadrukt.
het herziene convenant en het privacy protocol. Dat verklaart mogelijk ook dat er nog geen verwerkingsovereenkomst is gesloten met het ZVH die door de stuurgroep is goedgekeurd, zoals zou passen bij de rol van het ZVH als verwerker.
19
Zie bijlage 3 voor een uitgebreide beschrijving van het wettelijk kader.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 20
Lokale schaal: gemeente Enschede
Samenvattend
De gemeente Enschede is verwerkingsverantwoordelijk voor de
• De gemeente Enschede blijft eindverantwoordelijk voor
(wettelijke) taken die aan de gemeente zijn toebedeeld. Voor de
zorgvuldige gegevensverwerking binnen het ZVH.
uitvoering van die taken werkt de gemeente vaak niet alleen,
De verwerkingsverantwoordelijkheid blijft bij het college
maar met partners. Voor elke verwerking waarbij partners
liggen daar waar het de gemeente Enschede aangaat,
betrokken zijn – die opereren binnen de gemeentegrenzen maar
mede omdat het ZVH als netwerkorganisatie geen ver-
ook daarbuiten – schrijft de landelijke wet- en regelgeving voor
werkingsverantwoordelijkheid kan hebben. Elke partij zal
dat er afspraken gemaakt worden over bijvoorbeeld het al dan
er daarom op moeten toezien dat de geldende wetten en
niet in stand blijven van de verwerkingsverantwoordelijkheid.
regelgeving (uit het privacy protocol, en verder) worden
Zo behoudt, zoals hierboven beschreven, bij mandatering van
toegepast in het ZVH. De uitvoeringsverantwoordelijkheid
taken het college de verwerkingsverantwoordelijkheid.
voor gegevensverwerking in het ZVH is echter versnipperd in de huidige organisatiestructuur, waardoor er geen
De nationale wet- en regelgeving is in de gemeente Enschede
organisatie is die de volledige verantwoordelijkheid voelt
verankerd in het strategisch informatiebeveiliging- en
of neemt.
privacybeleid. Uitwerkingen van specifieke onderwerpen,
• De gemeente Enschede heeft een gezamenlijke verwer
zoals risicoanalyses (DPIA’s) en het verwerkingsregister, zijn
kingsverantwoordelijkheid met de SON.
vastgelegd in onderliggend beleid.
Ondanks dat de gemeente vanwege mandatering de ver-
20
werkingsverantwoordelijkheid behoud, is de gemeente afhankelijk van de SON voor rechtmatige invulling hiervan omdat de gemeente Enschede alle gemeentelijke taken omtrent wettelijke schuldhulpverlening heeft overgedragen. Het IB-beleid van de SON legt helder vast dat er vooral sprake is van een verdeling van verwerkingsverantwoordelijkheden tussen de SON en enkele derde partijen waarmee de SON samenwerkt voor de uitvoering van taken. Omdat de SON ook verantwoordelijkheid neemt voor het verkrijgen van persoonsgegevens – de overdracht van casuïstiek vanuit de 21 deelnemende gemeenten – ontstaat er een duidelijke knip met de verantwoordelijkheden en het beleid van deelnemende gemeenten om te voldoen aan landelijke wet- en regelgeving rondom gegevensuitwisseling. Zo ook voor de gemeente Enschede. Dat brengt een zekere afhankelijkheid van (de kwaliteit van de uitvoering van) het IB-beleid van de SON met zich mee voor de gemeente Enschede: er kan door middel van het eigen gemeentelijk beleid geen grip meer worden uitgeoefend op de kwaliteit van gegevensuitwisseling terwijl het daar wel juridisch verantwoordelijk voor is.