Eindrapport Berenschot Gegevensdeling
Tekst van het document
20
DPIA staat voor Data Protection Impact Assessment. Een DPIA is verplicht op het moment dat het gebruik van persoonsgegevens in een organisatie mogelijk een hoog risico kan opleveren. Het uitvoeren van een DPIA is een verplichting die is opgenomen in de Algemene verordening gegevensbescherming (AVG), de Wet politiegegevens (Wpg) en de Wet justitiële en strafvorderlijke gegevens (Wjsg).
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 21
Wat betekent dat voor de gemeenteraad van Enschede?
3.2.2 Organisatie
Zoals in paragraaf 2.1 al vermeld, kunnen gemeenteraads
Regionaal: Stadsbank Oost Nederland
leden op grond van de AVG hun controlerende rol gebruiken
Het DB is volgens het hiervoor beschreven IB-beleid integraal
om het beleidsplan van de gemeente Enschede te beoor-
verantwoordelijk voor de beveiliging van informatie binnen
delen op rechtmatigheid van de verwerking van persoons
de werkprocessen van de SON. Daartoe stelt het DB de kaders
gegevens. Aangezien de verwerkingsverantwoordelijkheid
voor informatiebeveiliging en gegevensbescherming bestuurlijk
bij het college blijft bij mandatering van taken, is de controle
vast op basis van landelijke en Europese wet- en regelgeving
vraag ‘wie is verantwoordelijk’ van belang. Heeft het college
en normenkaders op het gebied van informatieveiligheid.
dit wel scherp en hoe wordt hier invulling aan gegeven?
Deze verantwoordelijkheid voor informatieveiligheid is overigens niet benoemd in de GR-tekst. Omdat het DB
De plicht onder de AVG om verantwoording af te leggen
een rechtmatigheidsverantwoording moet afleggen over de
over de gekozen maatregelen om persoonsgegevens te
jaarrekening, waaronder over informatiebeveiliging en privacy,
beschermen geldt voor alle Nederlandse organisaties. Elke
komt informatiebeveiligingsbeleid wel regelmatig als onderwerp
organisatie die werkt met persoonsgegevens moet dus
op de agenda van het DB.
een beleidsplan kunnen overleggen waarin maatregelen zijn vastgelegd om die persoonsgegevens te beschermen.
Zoals gebruikelijk hebben het AB, het DB en de voorzitter een
Voor regionale samenwerkingsverbanden kan dat complex
informatieplicht aan de gemeenteraad van elke deelnemende
zijn. Niet elk samenwerkingsverband is immers een
gemeente: alle door de raden verlangde inlichtingen moeten
overheidslichaam met een regio-organisatie, waardoor
worden verstrekt, en gemeenteraden kunnen mondeling of
het niet evident is dat de verantwoordingsplicht onder de
schriftelijk verzoeken tot inlichtingen indienen. Het AB moet
AVG geldt of dat beleid automatisch wordt gedeeld met de
die inlichtingen op korte termijn – binnen een maand –
samenwerkende gemeenten.
verstrekken.
In het geval van de SON (wél een regio-organisatie) zien we
Waarom is dit relevant voor de gemeenteraad van
dat het staande praktijk is dat er in het jaarverslag dat naar
Enschede?
de raden van deelnemende gemeenten wordt gestuurd
De Enschedese raad ontvangt jaarlijks de jaarrekeningen
wordt gerapporteerd over de implementatie van het
en de rechtmatigheidsverantwoording over onderwerpen
informatiebeveiligingsbeleid (IB-beleid), en dus maatregelen
als informatiebeveiliging en privacy van de SON. Deze
ter bescherming van persoonsgegevens. Maar bij het ZVH
informatievoorziening stelt de gemeenteraad van Enschede
– een netwerkorganisatie en geen overheidslichaam – is er
in staat om zijn controlerende taken ten aanzien van de
geen automatische rapportagelijn over de invulling van het
rechtmatigheid en zorgvuldigheid van gegevensuitwisseling
privacy protocol naar de gemeenteraad van de gemeente
binnen de SON te vervullen. Zoals gebruikelijk binnen
Enschede, omdat de gemeente geen zitting heeft in de
GR’s kan de gemeenteraad van Enschede via een
stuurgroep waaraan het jaarverslag wordt overlegd (zie ook
zienswijzeprocedure sturen op verbetering van (de
paragraaf 3.2.2 voor een nadere uitwerking).
uitvoering van) het IB-beleid.
Dat betekent dat de gemeenteraad van de gemeente Enschede niet voor elk samenwerkingsverband waaraan de gemeente deelneemt beschikt over de benodigde informatie om de rechtmatigheid van gegevensuitwisseling te kunnen beoordelen, langs de lijnen van de drie hoofdvragen die onder paragraaf 2.1 genoemd staan. De raad kan op eigen initiatief wel verzoeken om informatie (over de verdeling van verantwoordelijkheden in het verwerken van persoonsgegevens) in specifieke samenwerkingsverbanden. Zeker in samenwerkingsverbanden waaraan geen GR ten grondslag ligt, en die dus geen overheidslichaam zijn, kan de raad zich scherp controlerend opstellen om de rechtmatigheid van gegevensuitwisseling te beoordelen.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 22
Regionaal: Zorg- en Veiligheidshuis Twente
Waarom is dit relevant voor de gemeenteraad van de
In paragraaf 1.4 schetsten we de gelaagdheid van de organisatie
gemeente Enschede?
van het ZVH en de verschillende betrokken gremia. Deze
Vanwege de manier waarop de governance van het ZVH
gelaagdheid heeft consequenties voor de sturingsmogelijkheden
is ingericht, zijn er verschillende mogelijkheden voor de
van de gemeente. Het heeft namelijk als resultaat dat de
gemeenteraad om zowel kaderstellend als controlerend
gemeente Enschede geen directe sturingsmogelijkheden
grip te houden op de kwaliteit van gegevensuitwisseling
heeft op het functioneren van het ZVH, maar dat dit via
en de bescherming van persoonsgegevens binnen dit
de bestuurders van andere gemeenten (de stuurgroep)
samenwerkingsverband:
gaat. Daarnaast is in een in 2023 uitgevoerde risicoanalyse
1. Op de lokale schaal. In de eerste plaats geldt: elke partij
privacy en informatieveiligheid21 geconstateerd dat het van
binnen het ZVH is zelf verantwoordelijk voor rechtmatige
belang is om in de governance duidelijkheid te scheppen
en zorgvuldige gegevensverwerking en -deling. Vanuit zijn
over waar de systeemverantwoordelijkheid voor het ZVH ligt;
controlerende rol zal de raad er dus op moeten toezien dat
bij SamenTwente of bij de Veiligheidsregio Twente? Op het
de gemeente Enschede dat ook doet. Via zogenaamde EN-
moment dat het diffuus is wie waarvoor verantwoordelijk
SIA-rapportages23, begeleidende raadsbrieven en een para-
is, geven partijen onvoldoende invulling aan de
graaf in het financiële jaarverslag legt het bestuur van de
verantwoordelijkheden. Op basis van deze conclusies heeft de
gemeente Enschede verantwoording af aan de raad over
stuurgroep besloten om de volledige IT-infrastructuur voor de
de eigen rolinvulling bij het delen van persoonsgegevens.
verwerking van persoonsgegevens over te hevelen naar VRT. De
Zoals in het kader bij paragraaf 2.1 al werd aangegeven, kan
verantwoordelijkheid voor informatiebeveiliging ligt daarmee
de raad van de gemeente Enschede drie hoofdvragen stel-
bij de VRT. Als onderdeel van deze herziene organisatievorm
len om de rechtmatigheid van de omgang met gegevens-
worden er momenteel een nieuw samenwerkingsconvenant en
uitwisseling door de gemeente te beoordelen.
privacy protocol opgesteld. Deze herziene organisatievorm zal
2. Op de schaal van de VRT. Omdat de systeemverantwoorde-
de spreiding van verantwoordelijkheden verminderen, maar
lijkheid voor gegevensuitwisseling en informatieverwerking
heeft verder geen effect op de sturingsmogelijkheden van de
vanaf 2024 bij de VRT zal komen te liggen, kan de raad van
gemeente.
de gemeente Enschede ook via de Veiligheidsregio Twente aansturen op rechtmatige en zorgvuldige informatiedeling
Omdat het ZVH geen rechtspersoonlijkheid heeft, is het
binnen het ZVH. De VRT legt jaarlijks (financiële) verant-
netwerk zelf geen partij in het convenant en het privacy
woording af aan alle gemeenten – inclusief de gemeente
protocol. Om deze reden blijven convenantpartners ieder
Enschede, maar in de jaarverslagen over 2022 en 2023 wordt
zelfstandig verantwoordelijk om te voldoen aan alle wettelijke
niet expliciet gerapporteerd over privacy of rechtmatige
verplichtingen als zij gegevens delen bij de behandeling
gegevensuitwisseling. Dat is niet vreemd, omdat de VRT
van casuïstiek. In andere woorden: elke gemeente en elke
niet dagelijks en direct met persoonsgegevens werkt. De
ketenpartner dient zelf de ‘basis op orde te hebben’ als het
gemeenteraad zou via bijvoorbeeld een zienswijzeprocedu-
gaat om risicobeheersing voor het delen van gegevens met
re over de jaarverslagen, zoals gebruikelijk bij een GR, wel
of via het ZVH. Tot slot dient met de beheerder van de
kunnen verzoeken om jaarlijks te rapporteren over privacy of
ICT-systemen (SamenTwente of de Veiligheidsregio) een
informatieveiligheid. De raad stelt zich zo in staat ook jaarlijks
verwerkersovereenkomst afgesloten te worden.
zijn controlerende rol te kunnen pakken en te monitoren of
22
de VRT de systeemverantwoordelijkheid voor gegevensuitwisseling binnen het ZVH ook pakt en risico’s beheerst. De beoordeling van de informatiebeveiliging van het ZVH ligt bij de stuurgroep. Omdat het college van de gemeente Enschede geen zitting heeft in deze stuurgroep, worden beleidsstukken en andere informatie niet direct gedeeld met de gemeenteraad. Dat maakt het voor de raad moeilijker om 21 22 23
Berenschot (2023b). Zie paragraaf 2.1. ENSIA-rapportages, ook wel Eenduidige Normatiek Single Information Audit, helpen gemeenten om in één keer verantwoording af te leggen over informatieveiligheid gebaseerd op de normen die gelden voor de Nederlandse overheid, de BIO. Met ENSIA sluit de verantwoording over informatieveiligheid aan op de PDCA-cyclus van de gemeente. Hierdoor heeft het gemeentebestuur meer overzicht over de informatieveiligheid van hun gemeente en kan het beter sturen en verantwoording afleggen aan de gemeenteraad. (Bron: https://vng.nl/projecten/ ensia).
kaderstellend of controlerend op te treden als het gaat om de beveiliging van informatie die binnen het ZVH wordt gedeeld. Via de (verantwoording van de) VRT zou de gemeenteraad wel kunnen aansturen op informatievoorziening over het informatiebeveiligingsbeleid van het ZVH.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 23
Lokale schaal: gemeente Enschede
3.2.3 Ambities
De gemeente hanteert de Three Lines of Defence-methodiek24
Regionaal: Stadsbank Oost Nederland
om verantwoordelijkheden te beleggen in de organisatie. Hierin
De SON richt zich in het beleid specifiek op de zwakste schakel
is het lijnmanagement (proceseigenaren) verantwoordelijk voor
in de informatieveiligheidsketen: de mens. Het gedrag van
verwerkingsactiviteiten in het eigen organisatieonderdeel. In de
medewerkers bij de uitvoeringsorganisatie met een relatief
context van dit onderzoek betekent dit ook dat het lijnmanage-
kleine staf wordt gezien als het grootste risico. Het streven is
ment de verantwoordelijkheid heeft om gegevensbescherming
daarom om medewerkers in het kader van informatieveiligheid
in samenwerkingsverbanden te borgen. De Chief Information
daarom bewust bekwaam te maken. Het IB-beleid vormt de
Officer is verantwoordelijk voor concernbrede borging van pri-
basis voor zorgvuldige omgang met gegevensbescherming
vacy en naleving van de AVG; de gemeentesecretaris is ambtelijk
of informatiebeveiliging in de eigen rol en taak van SON-
eindverantwoordelijk voor de borging van privacy en naleving
medewerkers.
van de AVG. De portefeuillehouder blijft bestuurlijk eindverantwoordelijk hiervoor en draagt zorg voor verantwoording naar de
Regionaal: Zorg- en Veiligheidshuis Twente
gemeenteraad.25 Deze verantwoordelijkheden worden op dezelfde
Het ZVH stelt geen eigenstandige ambities over de aard
manier toegepast voor het uitvoeren van DPIA’s (Data Protection
van gegevens die worden gedeeld, de doelstelling van
Impact Assessments) en het actueel houden van het verwerkings-
gegevensuitwisseling of het type casuïstiek dat wel en niet
register (inclusief het sluiten van verwerkersovereenkomsten).
moet worden behandeld aan regionale casustafels. Het ZVH
26
ziet zijn regionale opdracht vooral als faciliterend, regisserend De FG is verantwoordelijk voor het toezicht op de
en signalerend ter ondersteuning van de ketenpartners als
organisatie. Door middel van het jaarverslag rapporteert
die vanuit hun eigen taak, positie en reguliere processen geen
de FG over de stand van zaken en in het toezichtsplan stelt
oplossing kunnen bieden voor bepaalde casuïstiek.
de FG de focusgebieden voor het komende jaar vast. Voor 2024 wordt het weergeven en in kaart brengen van alle
Het ZVH stelt wel – zij het impliciet - ambities voor (aan de
samenwerkingsverbanden waarin de gemeenten Enschede
stuurgroep) over de uitvoering van het werkproces om regie te
deelneemt en de daarbij behorende datastromen expliciet
voeren. Het ZVH geeft daarbij aan dat privacy een belangrijk
benoemd als een van de focusgebieden.
thema is: ‘voor een netwerkorganisatie is het essentieel dat diverse partijen gevoelige persoonsgegevens doelmatig en veilig
Waarom is dit relevant voor de gemeenteraad van de
met elkaar kunnen uitwisselen’.27 De ambities zijn niet nader
gemeente Enschede?
geconcretiseerd, maar de eerder benoemde organisatiewijziging
Zoals eerder aangegeven legt het college van B en W met
heeft ten doel om zo zorgvuldig mogelijk met persoonsgegevens
de bestuurlijke ENSIA-rapportages, de raadsbrief én met een
om te gaan.
aparte paragraaf in het jaarverslag verantwoording af aan de interne toezichthouder (de gemeenteraad) en aan de exter-
Lokale schaal: gemeente Enschede
ne toezichthouders (het Rijk). De gemeenteraad komt door
De gemeente ziet in dat digitale ontwikkeling risico’s met
deze verantwoordings- en informatieplicht in de positie om
zich meebrengt en dat het noodzakelijk is om deze risico’s
te sturen op de rechtmatigheid of veiligheid van gegevens
te beperken. In het strategisch informatiebeveiligings- en
uitwisseling binnen de gemeente en tussen gemeente en
privacybeleid staat de missie beschreven: ‘Wij zijn transparant
partners – veelal partners binnen de gemeente.
over de verwerking van (persoons)gegevens en staan voor
Verdere positionering van de raad voor de invulling van
een rechtmatige en veilige verwerking daarvan.’. De missie
zijn controlerende rol is mogelijk door raadsvragen en, op
geldt voor de gemeente zelf, maar er wordt ook verwacht dat
verzoek, informerende presentaties aan de raad.
partijen waarmee de gemeente Enschede gegevens uitwisselt of die gegevens voor de gemeente Enschede verwerken, hieraan
24
25 26
Het Three Lines of Defence-model heeft als doel om de risicobeheersing in een organisatie vorm te geven. Er worden verschillende functies geïdentificeerd: eerstelijns, tweedelijns en derdelijns. De eerstelijnsfunctie gaat over beheersing in de werkprocessen. Afdelingshoofden/-managers zijn hierbij verantwoordelijk voor het halen van gestelde doelen, het aansturen van medewerkers en het managen van risico’s. De tweedelijnsfunctie is ondersteunend aan de eerste lijn door beleid, kaders en technologie beschikbaar te stellen. Tweedelijnsrollen omvatten specialistische kennis op relevante gebieden, denk aan privacy officers. De derde lijn is de interne toezichtsfunctie. Hier wordt ook de werking van de eerste en tweede lijn getoetst. In dit geval is dat de FG. Gemeente Enschede (2022). Strategisch informatiebeveiligings- en privacybeleid Enschede 2022 tot en met 2025. Gemeente Enschede (2023). Beleid en procedure DPIA’s. Gemeente Enschede (2023). Procedure actueel houden verwerkingsregister.
voldoen. Er wordt verdere invulling aan de missie gegeven volgens een aantal speerpunten.
27
Jaarverslag Zorg- en Veiligheidshuis Twente 2023.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 24
Met betrekking tot privacy en het beschermen van persoons
Samenvattend
gegevens zijn de volgende speerpunten relevant vanuit de
• De gemeente Enschede heeft beperkte sturings
gemeente Enschede: •
mogelijkheden om de eigen ambities voor veilige
Wij zetten de betrokkenen en belanghebbenden
gegevensuitwisseling te realiseren binnen het ZVH.
centraal
De gemeente Enschede neemt geen zitting in de Stuur-
Voor de inrichting van onze informatiehuishouding staan
groep Zorg, Veiligheid en Straf waarin langetermijnvisies
de betrokkenen en belanghebbenden centraal. Informatie
en informatiebeveiligingsbeleid bestuurlijk worden be-
wordt op de juiste wijze en rechtmatig verwerkt met
krachtigd door een afvaardiging van de convenantspartij-
daarbij passende beveiliging, zodat wij de betrokkenen
en. Dat maakt het lastiger voor de gemeente om erop toe
en belanghebbenden de beschikbaarheid, integriteit en
te zien dat het ZVH de wet- en regelgeving naleeft die van
vertrouwelijkheid die zij mogen verwachten, kunnen
toepassing is op de gemeente én om het eigen ambitieni-
bieden.
veau voor het voetlicht te brengen bij andere convenantspartijen als referentiekader. Dat zou de gemeente En-
•
Wij beperken risico’s voor betrokkenen en
schede in theorie kunnen doen in het DB/AB van de VRT
belanghebbenden zo veel mogelijk
(waar systeemverantwoordelijkheid in 2024 zal worden
Wij zorgen ervoor dat risico’s voor betrokkenen en
belegd), maar het is onbekend of dienstverleningsover-
belanghebbenden zo laag mogelijk zijn en blijven. Hiervoor voeren wij risicoanalyses en audits uit die in wet- en
eenkomsten aan derden hoog op de agenda staan. • De gemeente Enschede heeft veel sturingsmogelijk
regelgeving staan beschreven. Daarnaast volgen wij actief
heden om (de uitvoering van) het informatieveiligheids
Europese, Nederlandse, lokale en interne ontwikkelingen.
beleid van de SON te monitoren en te verbeteren.
Wij nemen passende organisatorische en technische
De gemeente Enschede heeft wel mogelijkheden om de
maatregelen.
SON verantwoording te laten afleggen over de kwaliteit of de risico’s van gegevensuitwisseling. De gemeente
•
Wij hebben privacy en informatieveiligheid
Enschede is vast lid van het DB van de SON, dat bestuur-
verankerd in de organisatie
lijke verantwoordelijkheid draagt voor de (kwaliteit van)
Informatieveiligheid en privacy zijn op strategisch,
informatieveiligheid en dit onderwerp minstens jaarlijks
tactisch en operationeel niveau onderdeel van (dagelijkse)
agendeert. Dat geeft de gemeente de mogelijkheid om
besluitvorming en uitvoering. Wij passen de Plan-Do-
kritisch – en waar nodig vanuit de eigen gemeentelijke
Check-Act-cyclus toe om te verbeteren door leren en
ambities – de uitvoering van het IB-beleid op het gebied
ervaring. Wij zijn ons bewust van de mogelijke impact op
van informatieveiligheid te beoordelen. Omdat het DB
en het risico voor betrokkenen en belanghebbenden. Wij
ook bestuurlijk vaststeller is van het IB-beleid, kan En-
zijn in staat een bewuste keuze te maken waarbij de normen
schede in theorie ook zelfstandig wijzigingen voorstellen
en uitgangspunten van de BIO en de AVG zijn geborgd. Wij
als die nodig worden geacht.
vinden verantwoord en bewust gedrag van medewerkers van wezenlijk belang voor de borging van de BIO en de AVG. •
Wij zien informatie als één van de belangrijkste bedrijfsmiddelen Beschikbare, integere en vertrouwelijke informatie is de fundering voor onze dienstverlening. Een betrouwbare informatievoorziening is dan ook noodzakelijk voor het goed functioneren van de gemeentelijke organisatie. Informatiebeveiliging en privacy zijn dan ook essentiële bouwstenen voor de verbetering van onze dienstverlening.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 25
Waarom is dit relevant voor de gemeenteraad van Enschede? De ambities die de gemeente Enschede en regionale samenwerkingsverbanden vastleggen vormen de principes waarmee wordt gewerkt om gegevensuitwisseling veilig en rechtmatig te houden. Hoewel ze vaak zijn ingegeven vanuit de geest van landelijke wet- en regelgeving, is er sprake van accentverschillen. De raad van de gemeente Enschede zou – bij de uitoefening van zijn controlerende rol zoals hierboven weergegeven – kunnen aansturen op de aansluiting tussen lokale en regionale ambities. Omdat verantwoordelijkheden voor veilige gegevensuitwisseling zijn verdeeld tussen de gemeente en samenwerkingsverbanden, en er sprake is van wederzijdse afhankelijkheid, is aansluiting belangrijk. Zijn de accenten die de gemeente Enschede legt gelijk aan de principes die de samenwerkingsverbanden naleven als het gaat om gegevensuitwisseling? Zijn regionale samenwerkingsverbanden even ambitieus als de gemeente Enschede als het gaat om gegevensbescherming? Of doet Enschede er goed aan om principes over te nemen van regionale samenwerkingsverbanden waar gegevensuitwisselingsbeleid ‘op orde’ lijkt? Aan de hand van dit type vragen kunnen raadsleden sturen op een logische aansluiting tussen de mate van ambitie en de gekozen accenten.
De samenwerking in de regio kan zo ten dienste staan van het realiseren van lokale (stevige) ambities op het gebied van informatieveiligheid.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 26
HOOFDSTUK 4
Gegevensuitwisseling in de praktijk In het voorgaande hoofdstuk is beschreven hoe de beleidskaders er uitzien. In dit hoofdstuk beschrijven we hoe dit zich uit in de praktijk en waar dit mogelijk resulteert in risico’s. Kortom: wat is het gevolg van het samenspel tussen de verschillende bestuurlijke schalen in de praktijk? We gaan achtereenvolgens in op de onderwerpen legitimiteit, organisatie en ambitie.
4.1 Legitimiteit
Gesprekspartners geven aan dat het per medewerker verschilt in welke mate het beleid leeft in lijnafdelingen en
De nationale, regionale en lokale kaders dragen zorg voor
of medewerkers in de uitvoering bekend zijn met vereisten
het naleven van de geldende wet- en regelgeving en hiermee
van legitieme gegevensuitwisseling (zie ook paragraaf
voor bescherming van persoonsgegevens. In deze paragraaf
4.2). Dit zien we bijvoorbeeld terug in de achterstand
beschrijven we verschillende aspecten die invloed hebben op het
op samenwerkingsverbanden die zijn opgenomen in het
legitieme handelen van de gemeente.
verwerkingsregister en in het aantal risicoanalyses (DPIA’s) voor samenwerkingsverbanden.29 Daarnaast is het onbekend
Bevindingen documentenstudie en gesprekspartners
of er altijd actuele verwerkingsovereenkomsten zijn afgesloten,
Zoals beschreven in paragraaf 3.2.1, is er in 2022 en
geven aan dat een mogelijke oorzaak is dat proceseigenaren
2023 nieuw beleid geformuleerd rondom het thema
beperkt zicht hebben op de aanwezigheid en de actualiteit
gegevensbescherming. Het strategisch informatiebeveiliging-
van verwerkersovereenkomsten en risicoanalyses en dat het
en privacybeleid vormt het overkoepelende beleidskader. De
afsluiten van actuele overeenkomsten hierdoor geen prioriteit
omdat deze niet centraal opgeslagen worden. Gesprekspartners
verantwoordelijkheden zoals beschreven in het beleidskader
heeft. De oorzaak hiervoor kan ook liggen in de afstand tussen
gelden ook voor gegevensverwerkingen met externe partijen.
proceseigenaren (clustermanagers) en de medewerkers die de
Er wordt echter niet gespecificeerd hoe dit wordt geborgd in de
daadwerkelijke uitvoering moeten doen. In het jaarverslag van
governance of hoe de grip op de uitvoering in die context wordt
de FG worden de bovenstaande achterstanden expliciet als
bewaard. Dit wordt ook niet in andere beleidsdocumenten
aandachtspunt benoemd en ook in het toezichtsplan 2024 van
beschreven. Het strategisch informatiebeveiliging- en
de FG wordt hier aandacht aan besteed.30
28
privacybeleid is niet doorvertaald naar tactisch of operationeel niveau voor de verschillende domeinen.
28
Strategisch informatiebeveiliging- en privacybeleid, pagina 5.
29 30
Jaarverslag Functionaris Gegevensbescherming 2023 (2024). Jaarverslag Functionaris Gegevensbescherming 2023 (2024). Toezichtsplan Functionaris Gegevensbescherming 2024 (2024).
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 27
Een ander signaal waaruit blijkt dat beleid nog beperkt leeft
Analyse Berenschot
op operationeel niveau, is dat lijnmedewerkers beperkt bewust
Per 2022-2023 heeft een flinke beleidsmatige inhaalslag
zijn van de verantwoordelijkheden die bij hen zijn belegd in het
plaatsgevonden met betrekking tot de omgang met
beleid. Gesprekspartners geven aan dat de verwachting bestaat
persoonsgegevens door de gemeente. Hierdoor is er een kader
dat ‘randvoorwaardelijke’ aspecten, zoals gegevensbescherming,
gecreëerd voor de omgang met persoonsgegevens en hoe de
ingeregeld zijn door de organisatie (lees: privacy officers
gemeente hier grip op beoogt te houden. Dit is echter niet bij
en de FG). Er is beperkt besef dat het borgen van deze
alle medewerkers in het sociaal domein even goed bekend.31
randvoorwaarden onder de eigen verantwoordelijkheid valt.
Hierdoor ontstaat er een gat tussen het strategisch beleid en de
Hierbij benoemen privacy officers en de FG wel dat het besef
operationele invulling hiervan. Dit zien we enerzijds terug in
van het belang van gegevensbescherming toe lijkt te nemen
beperkte kennis van verantwoordelijkheden zoals beschreven
en dat medewerkers ook bereid zijn hiertoe in actie te komen.
in het beleid en anderzijds in onbekendheid met wat er wel
Hierbij geven gesprekspartners aan dat het MT van het sociaal
en niet mag met betrekking tot gegevensuitwisseling (meer
domein zich sterk inzet voor gegevensbescherming, bijvoorbeeld
hierover in paragraaf 4.2). De oorzaak voor het achterblijven
door het programma ‘zorgvuldig werken in het sociaal domein’
van operationele invulling lijkt echter eerder in onbekendheid
op te zetten. Ook dit kan overigens wijzen op een afstand
te liggen dan in onwil.
tussen de proceseigenaren (clustermanagers) en de uitvoerende medewerkers, omdat de operationele invulling achterblijft op
De gemeente Enschede hanteert het Three Lines of Defence-
het uitgesproken commitment. Een kanttekening is dat de inzet
model voor de inrichting van de informatiebeveiligings-
per domein van de gemeente wat betreft gegevensbescherming
en privacyorganisatie. Dit model definieert drie niveaus
verschilt. Andere domeinen hebben hier nog geen invulling aan
waarop de organisatie ingericht kan worden: de eerste lijn
gegeven en maken gebruik van het programma van het sociaal
is verantwoordelijk voor de interne beheersing van privacy
domein. Deze domeinen hebben echter ook minder te maken
en informatiebeveiliging (lijnmanagers), de tweede lijn
met individuele persoonsgegevens dan in het sociaal domein.
ondersteunt de eerste lijn door middel van risicosignalering, het ontwikkelen van beleids- en beheersinstrumenten en
De directie lijkt zich in enige mate bewust te zijn van
adviseert over procesvoering en uitvoering van evaluaties. De
het achterblijven van operationele invulling. Zo worden
derde lijn voorziet de directie van zekerheid over de kwaliteit
bewustwording en kennisdeling in gesprekken als twee
van sturing en beheersing en rapporteert over inconsistenties
belangrijke succesfactoren voor gegevensbescherming gezien.
van de controls. De aanwezigheid van het beleid is een goed
Er worden actief acties gepleegd om deze beide factoren te
begin, maar zonder controle op de uitvoering is het onzeker
vergroten in de organisatie.
of gegevensbescherming geborgd is. In de lijnafdelingen leeft het besef onvoldoende dat de toegewezen verantwoordelijkheid
Tot slot geven gesprekspartners aan dat de ‘check’ op naleving
voor borging van informatieveiligheid en privacy in het eigen
nauwelijks plaatsvindt, waardoor er beperkt op wordt toegezien
organisatieonderdeel dient plaats te vinden. Het betekent
of het beleid ook daadwerkelijk tot uitvoering wordt gebracht.
ook dat hier op gecontroleerd moet worden, maar dat dit
In het strategisch informatiebeveiligings- en privacybeleid
onvoldoende gebeurt. Dit heeft als resultaat dat er een blinde
staat er een verbeterproces (PDCA-cyclus) beschreven om
vlek ontstaat: het is onduidelijk of gegevensbescherming in de
de vertaling van beleid naar uitvoering te controleren en
praktijk tot uitvoering wordt gebracht, en waar de mogelijke
verbeteren. Het is daarnaast de verantwoordelijkheid van de
knelpunten zitten. Er wordt veelal naar de FG gekeken voor
directie om hierop te sturen zodat er verantwoording kan
deze controlefunctie. Dit is zorgelijk, omdat de controlefunctie
plaatsvinden over de naleving van het beleid. Uit gesprekken
in het verbeterproces niet behoort bij de taken van de
blijkt dat ook dit beperkt gebeurt.
derde lijn (de FG) maar tot de eerstelijnsrol en daarmee de verantwoordelijk lijnmanager.32 De controle valt dus buiten de scope van de functie van de FG.
31
32
Vanwege de geselecteerde casussen is enkel het sociaal domein van de gemeente onderzocht. Het is voor de onderzoekers onbekend hoe andere domeinen binnen de gemeente omgaan met persoonsgegevens, aangezien dit buiten de scope van het onderzoek valt. Gemeente Enschede (2022). Strategisch informatiebeveiligings- en privacybeleid 2022 tot en met 2025. Pagina 15.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 28
De bovenstaande beelden lijken voornamelijk voort te vloeien
Relevantie voor de gemeenteraad van de gemeente
uit een mismatch tussen beleid enerzijds en anderzijds de
Enschede
mate waarin dit beleid leeft en bekend is bij de betreffende
Volgens onze analyse zit de gemeente Enschede midden in
ambtenaren. De directie lijkt in enige mate bewust van
een professionaliseringsslag als het gaat om de uitvoering
deze mismatch. Zo worden bewustwording en kennisdeling
van beleid voor gegevensuitwisseling waar de gemeente
door de directie als twee belangrijke succesfactoren voor
zelf aan de lat staat. De raad kan op twee manieren de
gegevensbescherming gezien. Er worden actief acties gepleegd
voortgang van deze professionaliseringsslag volgen en de
om deze beide factoren te vergroten in de organisatie. Het is
uitkomsten beoordelen:
echter wel van belang om te benadrukken dat enkel het plegen
• Binnen de eigen gemeente kunnen raadsleden een
van acties rondom bewustwording en kennisdeling een beperkte
controlerende rol pakken wanneer de raad wordt
impact heeft op bescherming van gegevens, als er vanuit de
geïnformeerd over de stand van zaken door middel van
directie niet actief wordt gestuurd op naleving van het beleid
ENSIA-rapportages, maar de raad kan ook specifieke
en het invullen van de rollen en verantwoordelijkheden die
informatieverzoeken uitvaardigen om de gevolgen op
daarin zijn vastgelegd. Op dit moment is die actie nodig
verschillende beleidsterreinen te duiden.
om als gemeente Enschede meer grip te krijgen op de
- Het Rathenau Instituut heeft een denkkader voor
gegevensuitwisseling in samenwerkingsverbanden.
gesteld voor raadsleden om digitaliseringsvraag stukken te ontrafelen, zonder in de details van
Samenvattend
beleidsuitvoering te hoeven duiken. Dat denkkader en
• Er heeft in 2022-2023 een flinke beleidsmatige inhaalslag
de bijbehorende vragen kunnen ook worden toegepast
plaatsgevonden in bescherming van persoonsgegevens
op de uitvoering van beleid omtrent veilige gegevens
in de gemeente Enschede. Dit is met name op strategisch niveau, er is geen tactische/operationele vertaling naar de
uitwisseling (Rathenau, 2020). • Het overzicht van ‘verbonden partijen’ of samenwerkingsverbanden waar de gemeente Enschede aan deelneemt
verschillende domeinen. • Het beleidskader, inclusief verantwoordelijkheden, is niet
helpt raadsleden om te beoordelen op welke wijze en in
bij alle medewerkers even goed bekend. Dit resulteert
welke reguliere regionale (verantwoordings)procedures
in een gat tussen het strategisch beleid enerzijds en de
zij vragen kunnen stellen of zienswijzen kunnen uiten
operationele invulling hiervan anderzijds.
over veiligheid van gegevensuitwisseling. De rechtsvorm
• De naleving van het beleid wordt beperkt gecontroleerd
van het samenwerkingsverband is daarbij bepalend: de
door het management. Hierdoor is er geen zicht op mo-
jaarlijkse verantwoordingsplicht van gemeenschappelijke
gelijke risico’s.
regelingen nodigt uit om die procedures in werking te laten treden, terwijl de gemeenteraad bij regionale
Risico’s
netwerksamenwerking (zoals in het ZVH, want deze staat
De bovenstaande paragrafen laten een aantal elementen zien
niet in het overzicht van samenwerkingsverbanden)
waarin de praktijk afwijkt van de vastgestelde kaders. Hierdoor
actiever om informatievoorziening over IB-beleid zal
ontstaan risico’s voor onveilige gegevensuitwisseling. In de
moeten verzoeken. Dit geldt ook voor andere samen
volgende tabel weergeven we een aantal geconstateerde risico’s
werkingsvormen zoals bedrijven en stichtingen.
wat betreft legitimiteit. Geconstateerde risico’s
Mogelijke impact
DPIA’s worden niet (tijdig) uitgevoerd voor
De gemeente heeft geen inzicht in mogelijke risico’s en treft geen mitigerende maatregelen.
gegevensstromen naar/in samenwerkingsverbanden
De gemeente voldoet niet aan de wettelijke vereisten van de AVG
Niet voor alle verwerkingen met samenwerkings
Onrechtmatige gegevensverwerking
verbanden is een verwerkingsovereenkomst afgesloten
De gemeente voldoet niet aan de wettelijke vereisten van de AVG
en opgenomen in het verwerkingsregister Er wordt beperkt invulling gegeven aan eerstelijns
Geen zicht op naleving van wet- en regelgeving door de gemeente
verantwoordelijkheden in de gemeentelijke organisatie
Incidenten worden niet gesignaleerd Incidenten worden niet gemeld
Er is beperkt toezicht op operationele invulling van
Risico’s worden niet gesignaleerd
gegevensbescherming in de samenwerkingen met
Incidenten worden niet gesignaleerd
samenwerkingsverbanden
Geen toezicht op de rechtmatigheid van gegevensverwerking
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 29
4.2 Organisatie
Als er veel partners uit verschillende domeinen betrokken zijn, en er daarmee een breder palet is aan mogelijke doelen voor het
In deze paragraaf gaan we in op de invulling van de organisatie
uitwisselen van gegevens, staat de doelbinding33 onder druk.
aan gegevensbescherming. Zijn de gemeente en haar
Het is mogelijk dat er gegevens worden verwerkt terwijl deze
medewerkers in staat invulling te geven aan het beleid en hoe
verwerkingen niet overeenkomen met de grondslag waarvoor
wordt dit georganiseerd? We gaan enerzijds in op de invulling
ze verzameld zijn. Daarnaast kan hiermee niet gegarandeerd
binnen de gemeente (lokaal) maar anderzijds ook op de
worden of de doelbinding van de bewaarde gegevens op de
organisatie vanuit de gemeente binnen de regionale context.
juiste manier wordt gehandhaafd. Deze onzekerheid geldt ook voor de deelnemers van overleggen. Het is niet altijd duidelijk
De bevindingen zijn grofweg op te splitsen in twee aspecten: 1)
of alle deelnemers daadwerkelijk de juiste grondslag hebben
in wat gegevensbescherming in de regionale context is en 2)
om toegang te hebben tot de gedeelde gegevens. Doordat
hoe in de organisatie wordt gestuurd op gegevensbescherming
de gegevensuitwisseling op afstand van de gemeentelijke
in de regionale context. De ‘wat’-vraag heeft een menselijk
organisatie plaatsvindt, is er beperkt zicht op een juiste naleving
aspect: hebben medewerkers de kennis om op een juiste wijze
van de vereisten. Een van de gevolgen van de afstand die
te handelen en hebben ze de middelen om hier invulling aan te
wordt genoemd is dat betrokken beleidsmedewerkers zich in
geven? De ‘hoe’-vraag is vervolgens meer van organisatorische
mindere mate verantwoordelijk voelen voor de praktijk van
aard: zijn de juiste mechanismen in plaats en wordt er gestuurd
gegevensuitwisseling binnen een samenwerkingsverband.
op naleving? Gesprekspartners geven aan dat betrokkenen, door de
Bevindingen documentenstudie en gesprekken
afstand of door beperkte kennis van wat exact wel of niet
Verantwoorde gegevensuitwisseling
mag, dergelijke signaleringen maar beperkt doorgeven in de
Uit gesprekken blijkt dat project- en beleidsmedewerkers
gemeentelijke organisatie. Doordat dergelijke signaleringen
van de gemeente niet altijd weten wat verantwoorde
echter niet worden doorgegeven, worden ze niet opgepakt en
gegevensuitwisseling exact inhoudt. Betrokkenen geven aan dat
staan ze ook niet op de agenda van de directie of het bestuur.
de oorzaak hiervan tweeledig is. Ten eerste zijn er verschillende
Hierdoor doet zich volgens gesprekspartners geen urgente
relevante juridische kaders, waardoor het als onoverzichtelijk
casuïstiek voor die de gemeente ‘wakker zou schudden’ om
wordt ervaren wat de juridische eisen zijn. Daarnaast verschilt
meer of concreter te sturen op verbeteringen in het IB-beleid
het per samenwerkingsverband wat wel/niet mag en wat je
van de samenwerkingsverbanden.
daarvoor geregeld moet hebben (dit ligt veelal aan het wel/ niet hebben van rechtspersoonlijkheid maar ook aan het
Ondersteuning voor het naleven van
beleidsdomein). Hierdoor is het voor betrokkenen onduidelijk
verantwoordelijkheden
wanneer er gegevens gedeeld mogen worden, en wat hiervoor
Naast dat betrokkenen niet altijd weten wat verantwoorde
nodig is (denk bijvoorbeeld aan wettelijke grondslag maar
gegevensuitwisseling exact inhoudt, is het ook van belang
ook aan het sluiten van een verwerkersovereenkomst). Een
dat zij ondersteund worden om er de juiste invulling aan te
voorbeeld hiervan dat in gesprekken naar voren kwam, is dat
kunnen geven. Dit raakt aan de ‘hoe’-vraag: hoe vindt de
er soms vraagtekens worden geplaatst bij het doel van sommige
ondersteuning en borging vanuit de organisatie plaats? Dit kan
overleggen over casussen binnen het ZVH. De overwegingen om
zowel door technologische ondersteuning (denk aan software
gevoelige en soms zelfs bijzondere of strafrechtelijke gegevens
en autorisaties) als door inhoudelijke ondersteuning (denk aan
uit te wisselen aan een tafel met diverse ketenpartners zijn niet
privacy officers).
altijd – voorafgaand aan een overleg - scherp gesteld of niet meer actueel. Omdat het ZVH geen rechtspersoonlijkheid heeft en betrokkenen zelf verwerkingsverantwoordelijke zijn, blijven zij ook zelf verantwoordelijk voor de juiste gegevensuitwisseling (inclusief grondslag).
33
Wanneer er sprake is van doelbinding bedoelen we daarmee dat een organisatie (persoons)gegevens alleen verzameld en verwerkt met een gerechtvaardigd doel. Gegevens mogen dus bijvoorbeeld onder de AVG niet zomaar verzameld worden.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 30
Het eerste voorbeeld gaat over het borgen van vertrouwelijkheid
Daarnaast is het van belang dat medewerkers inhoudelijk
van gegevens. Medewerkers van de gemeente kunnen twee
ondersteund worden. In het beleid staat beschreven dat privacy
petten op hebben; die van hulpverlener en die van ambtenaar.
officers hier een belangrijke taak in hebben.36 Uit gesprekken
Beide rollen zouden toegang tot andere gegevens moeten
blijkt echter dat medewerkers de privacy officers nog onvoldoende
hebben. Dit komt doordat ambtenaren een andere grondslag
weten te vinden om gebruik te maken van hun ondersteuning en
hebben voor gegevensverwerking dan hulpverleners in de
expertise. Vanuit privacy officers wordt hierover gecommuniceerd,
samenwerkingsverbanden, vanwege de verschillende rollen en
bijvoorbeeld met de ‘infographic privacyvragen’. Maar ook de
bijbehorende geheimhoudingsplicht. In gesprekken werd het
privacy officers geven aan dat het uiteindelijk aan de medewerker
voorbeeld genoemd van zorgverleners die ook de toegeleiding
zelf is om ondersteuning aan te vragen. Een van de oorzaken
doen.35 Toeleiden is een taak van de gemeente, waardoor de
die wordt genoemd voor de achterblijvende ondersteuning met
zorgverlener een ‘ambtenarenpet’ op heeft. Dit resulteert in een
betrekking tot samenwerkingsverbanden is de huidige organisatie-
situatie waar zij al naar gelang de ‘pet’ die zij op dat moment op
inrichting. Privacy officers zijn gebonden aan een beleidsdomein,
hebben, toegang tot andere gegevens mogen hebben. Systemen
zoals Werk en inkomen of Wijkteams. Samenwerkingsverbanden
moeten voldoende technische mogelijkheden hebben om
bevinden zich echter veelal op het snijvlak van meerdere domeinen,
verschillende autorisaties toe te staan, al naar gelang de rol.
denk aan het veiligheidsdomein en het sociaal domein in het
In het systeem voor de uitvoering van de Wmo en jeugdzorg
Zorg- en Veiligheidshuis. Hierdoor hebben privacy officers minder
bleek hier bijvoorbeeld onvoldoende mogelijkheid toe te zijn.
zicht op de activiteiten van samenwerkingsverbanden en kunnen ze
De afbakening van de gegevens op basis van de rollen is niet
beperkt proactieve ondersteuning bieden. Eventuele ondersteuning
scherp genoeg. Wel blijkt uit de gesprekken dat, nadat er een
vanuit de privacy officers blijft hierdoor vraaggericht waardoor er
DPIA was uitgevoerd, deze mogelijkheid als eis is opgenomen
niet altijd een privacy officer wordt betrokken.
34
in de aanbesteding voor een nieuw systeem. Gesprekspartners geven echter ook aan dat het de vraag is of desbetreffende
Sturing op regionale gegevensuitwisseling
medewerkers zich geheel bewust zijn van de verschillende
De bovenstaande bevindingen gingen in op de kennis van
grondslagen tot gegevensverwerking, en wat dit betekent. Om
medewerkers van de gemeente Enschede met verantwoorde
de betreffende medewerkers hierin te ondersteunen, maar ook
gegevensuitwisseling. In de praktijk heeft de medewerker
om veilige gegevensverwerking te waarborgen, is een systeem
echter geen controle over alles, en is het ook van belang
met de juiste autorisaties noodzakelijk. Mede vanwege dit
dat de organisatie van het samenwerkingsverband zelf is
voorbeeld hebben de privacy officers van Werk en inkomen
gericht op verantwoorde gegevensuitwisseling. Zoals eerder
en Wijkteams het programma ‘zorgvuldig werken in het
beschreven, verschilt het per vorm van samenwerking welke
sociaal domein’ opgezet, met ondersteuning en handvaten
mogelijkheden tot sturing de gemeente hierop heeft. Een GR
voor de betreffende lijnafdelingen. In andere domeinen van de
(de zwaarste juridische vorm van samenwerking in een regio)
gemeente bestaan dergelijke programma’s niet, maar wordt,
biedt de mogelijkheid voor gemeenten om via het DB en het
zoals eerder benoemd, wel gebruik gemaakt van dit programma.
AB toe te zien op de juiste uitvoering van overgedragen taken.
Gesprekspartners geven ook aan dat het bewustzijn van de
Deze samenwerkingsverbanden hebben een gezamenlijke
verschillende vereisten wel groeiende is bij medewerkers.
verwerkingsverantwoordelijkheid en zijn daarom verantwoordelijk voor de omgang met persoonsgegevens. De GR heeft hierbij ook een verantwoordingsplicht aan het bestuur, waarbij vanuit de organisatie gekozen kan worden om dit ook actief op het thema organisatieveiligheid in te vullen.37 Een dergelijke organisatievorm van een samenwerkingsverband geeft de gemeente Enschede ruim baan om bestuurlijk aan te sturen op verbetering van (de uitvoering van) het IB-beleid indien dat nodig of wenselijk is. Uit gesprekken blijkt echter, in de context van de SON, dat het
34
35
Een ambtenaar mag gegevens van de burger verzamelen, maar enkel in relatie tot de uit te voeren wettelijke taak (doelbinding). Zorgverleners mogen daarentegen veel breder gegevens verzamelen om de zorgvraag compleet te krijgen. Zorgverleners hebben om deze reden ook een verregaandere zwijgplicht. Een ambtenaar heeft wel geheimhouding, maar bijvoorbeeld ook de zogenaamde ‘klikplicht’ (de verplichting om direct een melding te doen als zij/hij een misdrijf of fraude constateert). Gemeenten en zorgverleners kunnen burgers of patiënten toeleiden naar zorg of begeleiding die past bij de aard van hun problematiek. Toeleiden gebeurt meestal wanneer een zorgverlener of ambtenaar in bijvoorbeeld het sociaal domein signaleert dat iemand hulp nodig heeft en hier zelf (nog) niet de noodzakelijke hulp voor heeft gevraagd.
bestuur van de gemeente Enschede hier (onder andere wat betreft gegevensbescherming) geen gebruik van maakt.
36 37
Strategisch beleidskader Informatiebeveiliging en privacy, pagina 15 (2022). De herziene Wgr schrijft voor dat het DB en het AB een rechtmatigheidsverklaring moeten afleggen over de jaarrekening (en niet, zoals in het verleden, de accountant). Dit dwingt het bestuur om stil te staan bij onderwerpen als informatiebeveiliging.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 31
Op het moment dat een samenwerkingsverband geen eigen
Daarnaast heerst de perceptie binnen de gemeentelijke
rechtspersoon is (zoals bij het ZVH), blijft de gemeente
organisatie dat het samenwerkingsverband de
Enschede verwerkingsverantwoordelijke als convenantpartij.
verantwoordelijkheid heeft om afspraken over gegevens
Deze situatie vraagt om een stevigere aansluiting tussen
uitwisseling te beoordelen en verantwoorden. Dit verschilt
het beleid van de gemeente Enschede en dat van het
per juridische vorm van het samenwerkingsverband,
samenwerkingsverband, om te borgen dat het beleid
maar de eigen verantwoordelijkheden van de gemeente
van de gemeente wordt nageleefd in de uitvoering in het
Enschede - bijvoorbeeld als convenantspartij - staan
samenwerkingsverband. Uit gesprekken blijkt dat hier beperkt
hierbij niet scherp voor de geest. Dit zien we terug in
bewustzijn van is bij de gemeente Enschede – zowel ambtelijk
het gebrek aan verwerkersovereenkomsten tussen het
als bestuurlijk.
ZVH en de gemeente en de onduidelijkheid over de partij die de verwerkersovereenkomsten zou moeten
Naast bestuurlijke sturing, kan het samenspel tussen
initiëren, maar ook in het beperkte besef dat de gemeente
gemeente en ‘regio’ plaatsvinden aan een ambtelijke tafel of
verwerkingsverantwoordelijke blijft als er taken gemandateerd
overleg. Binnen de SON vindt dit bijvoorbeeld plaats aan een
zijn. De inschatting is dat de risico’s voor gegevensuitwisseling
laagdrempelige beleidstafel, waar vooral de FG’s van de drie
geen bestuurlijk gespreksonderwerp zijn, omdat er geen
grootste gemeenten – waaronder Enschede – regelmatig kennis
concrete problemen en knelpunten worden ervaren, maar ook
en ervaringen met elkaar uitwisselen. De opbrengsten van die
dat het onduidelijk is op welke bestuurlijke tafel deze typen
uitwisseling en de signaleringsfunctie van deze tafel zijn een
problemen zouden moeten landen.
belangrijke bron voor het beleid en de tactische/operationele vertaling hiervan. Het ZVH kent een dergelijke tafel niet voor
Voor een rechtmatige omgang met persoonsgegevens zijn de
overkoepelende beleidsthema’s (waar gegevensbescherming
gemeente Enschede en het samenwerkingsverband wederzijds
onder zou kunnen vallen), waardoor de gemeente Enschede de
afhankelijk van (de kwaliteit en output van) het samenspel
signaleringsfunctie mist voor eventuele risico’s.
tussen betrokken beleidsmedewerkers op het niveau van de regio en het niveau van de gemeente. De regio zal niet worden
Analyse Berenschot
aangestuurd op betere uitvoering van het IB-beleid als de
De juiste omgang van medewerkers met gegevens is essentieel.
gemeentelijke organisatie van de gemeente Enschede niet actief
Als hier onvoldoende afspraken over zijn gemaakt en/of de
risico’s signaleert, bespreekbaar maakt en eventueel aanstuurt
betreffende personen zich onvoldoende bewust zijn van de
op bestuurlijke besluitvorming. Andersom zal de gemeentelijke
situatie waarin zij zich bevinden, vormt dit een groot risico
organisatie eerder handelen of verbeteren als de regio daarop
voor de organisatie. De extra inzet van privacy officers specifiek
aandringt – bijvoorbeeld door urgente casuïstiek van dataleks of
op het sociaal domein laat zien dat de organisatie zich wel
hacks als die zich voordoen.
bewust is van dit risico. Daarnaast worden operationele knelpunten (zoals software) al opgepakt door de organisatie.
Een tafel of overleg hiervoor faciliteert de uitwisseling en
Zoals eerder al kort benoemd, zien we dat, op het moment, de
het samenspel van betrokken beleidsmedewerkers op beide
situatie minder overzichtelijk wordt (bijvoorbeeld door meer
schalen. Dit versterkt de kennispositie en signaleringsfunctie.
betrokkenen of meerdere typen gegevens), de doelbinding voor
Op het moment dat dit niet aanwezig is, kunnen betrokkenen
het verwerken van gegevens snel onder druk komt te staan
geen gebruik maken van uitwisseling met alle (keten)
(bijvoorbeeld in overleggen binnen het ZVH). De context van
partners over bijvoorbeeld risico’s of de invulling van
samenwerkingsverbanden is echter vaak complex door de vele
verwerkingsverantwoordelijkheden. Hierdoor is het voor de
betrokkenen en verschillende domeinen. Zeker op het moment
gemeentelijke organisatie van de gemeente Enschede ook
dat het samenwerkingsverband enkel een netwerk is en geen
lastiger om bestuurlijke aandacht te vragen voor concrete
organisatie die hier zelf verantwoordelijk voor is, resulteert dit
onderdelen in de praktijk van gegevensuitwisseling.
soms in onoverzichtelijke situaties. Mogelijke risico’s worden vervolgens echter niet gesignaleerd richting de gemeentelijke
Risico’s
organisatie. Hierdoor leeft het besef niet in de gemeente dat
De bovenstaande paragrafen laten een aantal elementen zien
hier meer op gestuurd kan of moet worden, enerzijds vanuit de
waarin de praktijk afwijkt van de vastgestelde kaders. Hierdoor
ambtelijke organisatie in de vorm van afspraken en anderzijds
ontstaan risico’s voor onveilige gegevensuitwisseling. In de
vanuit het bestuur richting een stuurgroep of AB/DB.
volgende tabel geven we een aantal geconstateerde risico’s wat betreft de organisatie weer.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 32
Geconstateerd risico
Geschatte impact
Beperkt inzicht in gegevensstromen van en naar samenwerkingsverbanden
Onrechtmatige gegevensverwerking (bijvoorbeeld een gebrek aan grondslag door een onjuiste verwerkersrol, het overtreden van doelbinding, onjuiste toegang of onjuiste opslag)
Als er veel betrokken partijen zijn, ontstaat er een diffuus beeld van
Onrechtmatige gegevensverwerking
doelbinding
De gemeente voldoet niet aan de wettelijke vereisten van de AVG
Onjuiste toegang tot gegevens
Onrechtmatige gegevensverwerking
Onduidelijk waar informatiebeveiliging van samenwerkingsverbanden is
Onveilige omgang met gegevens
belegd, met name op de koppelpunten Afspraken zijn niet altijd actueel of vastgelegd
Onjuiste grondslag gegevensuitwisseling
Uitvoerend medewerkers zijn zich onvoldoende bewust van de vereisten voor
Risico’s worden niet gesignaleerd
legitieme gegevensuitwisseling in de regionale context (denk bijvoorbeeld
Onjuiste omgang met incidenten
aan grondslag en doelbinding) en hoe ze hiermee moeten omgaan
Samenvattend
Waarom is dit van belang voor de gemeenteraad van de
• Ondanks dat bewustzijn van verplichtingen steeds
gemeente Enschede?
meer toeneemt, is het niet bij alle medewerkers bekend
De gemeentelijke organisatie heeft niet altijd grip
wat rechtmatige gegevensverwerking exact inhoudt.
op de eigen, lokale verwerkingsverantwoordelijkheid
Ook worden de privacy officers niet altijd gevonden
bij gegevensuitwisseling in regionale
voor ondersteuning hierin. De organisatie is zich hier
samenwerkingsverbanden. Als het onduidelijk is wie
wel van bewust en zet actief in op bewustwording en
voor welke verwerkingsverantwoordelijkheden aan
ondersteuning.
de lat staat – de regio of de gemeente – levert dat een
• Risico’s bij gegevensuitwisseling zullen eerder ontstaan
rechtmatigheidsvraagstuk op. Het is dan immers niet meer
op het moment dat de situatie minder overzichtelijk
aan de inwoner uit te leggen welke instantie zij kunnen
wordt, denk bijvoorbeeld aan veel betrokkenen of
aanspreken over de verwerking van hun persoonsgegevens.
verschillende typen gegevens. Een manier om risico’s
Als de gemeenteraad van de gemeente Enschede stuurt
te mitigeren, is om de uitwisseling tussen betrokken
op de rechtmatigheid van gegevensuitwisseling in
beleidsmedewerkers op de verschillende schalen
samenwerkingsverbanden (zoals gesuggereerd in paragraaf
te faciliteren. Dit versterkt de kennispositie en de
3.1, vanuit de wettelijke verantwoordelijkheid onder de AVG),
signaleringsfunctie, waardoor het samenspel van de
is het dus ook zaak om aan te sturen op de verheldering van
schalen versterkt wordt.
verwerkingsverantwoordelijkheden tussen de gemeentelijke
• Mechanismen om te sturen op de juiste omgang met
organisatie van Enschede en ‘de regio’. Dat kan door meer
persoonsgegevens verschillen in effectiviteit al naar
informatie te vragen (kan de wethouder de verdeling van
gelang de verschijningsvorm van het samenwerkings
verwerkingsverantwoordelijkheid in samenwerkingsverband
verband. Hoe formeler het samenwerkingsverband, hoe
X verhelderen?) of door kaders te stellen in moties (verzoek
effectiever mechanismen werken. Op het moment dat
het college per samenwerkingsverband aan te geven welke
dit minder formeel of diffuus is vastgelegd, verliezen
verwerkingsverantwoordelijkheden de gemeente Enschede
mechanismen aan kracht. In de praktijk worden ze dan
heeft en hoe die worden ingevuld).
minder tot uitvoer gebracht. • Hoe ‘zwaarder’ de (juridische) governance van een samenwerkingsverband, hoe meer mogelijkheden de gemeente Enschede heeft om te sturen op veilige gegevensuitwisseling. De gemeente Enschede maakt echter nauwelijks tot geen gebruik van deze mogelijkheden. De inschatting is dat gegevensuitwisseling en de risico’s hiervan geen bestuurlijk gespreksonderwerp zijn. Ook bij de raad leeft het onderwerp gegevensuitwisseling niet (net als digitalisering in brede zin). Om de controlerende rol van de raad te versterken, is met name een versterking van de kennispositie gewenst.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 33
4.3 Ambitie De gemeente Enschede heeft de ambitie gesteld om
Analyse Berenschot
verantwoord en veilig om te gaan met (persoons)gegevens. In
Er zijn verschillende (organisatorische) mechanismen
deze paragraaf analyseren we of deze ambitie (wat de gemeente
ingeregeld om invulling te geven aan de ambities van de
wil) aansluit op de ambities van de regio. De gemeente kan
gemeente, zowel in de gemeentelijke organisatie zelf als in de
immers beïnvloed worden door regionale sturing. We zetten dit
regionale samenwerkingen. Zoals eerder beschreven werken
af tegen de capaciteit van de organisatie en de legitieme kaders
deze mechanismen beter in samenwerkingsverbanden waar
waarbinnen zij kan handelen.
dergelijke mechanismen formeel zijn vastgelegd, bijvoorbeeld omdat het samenwerkingsverband een rechtspersoonlijkheid
Bevindingen uit documenten en gesprekken
heeft en hier zelf invulling geeft. Verantwoordelijkheden zijn
Uit documenten blijkt dat de gemeente Enschede de ambitie
bijvoorbeeld expliciet belegd en worden hierdoor ook in de
heeft gesteld om zich in te zetten voor rechtmatige en
praktijk gebracht. Als er echter veel verschillende partijen aan
veilige verwerking van (persoons)gegevens.38 Hierbij stelt de
de lat staan om de ambities in de praktijk te brengen, zoals
gemeente de betrokkenen en belanghebbenden centraal en
in een netwerksamenwerking, zien we dat deze aan kracht
stelt zij dat de risico’s zo laag mogelijk moeten zijn. Er zijn
verliezen en minder goed tot realisatie komen. De gemeente
verschillende beleidsmatige mechanismen om deze ambitie te
loopt het risico dat gestelde ambities in de praktijk niet worden
borgen. In de gemeentelijke organisatie is dit bijvoorbeeld de
nageleefd wanneer verantwoordelijkheden niet expliciet
PDCA-cyclus , die bewerkstelligt dat medewerkers bijsturen
zijn belegd. Deze risico’s vloeien vooral voort uit menselijk
op de informatieveiligheid en privacy door ervaringen en
handelen en de beperkte naleving van organisatorische
leerprocessen. Op regionale schaal wordt de ambitie geborgd
mechanismen.
39
door bijvoorbeeld de stuurgroepoverleggen en de overleggen die plaatsvinden tussen de beleidsmedewerkers vanuit de gemeente
Daarnaast kan de aansluiting tussen ambities op de
en het samenwerkingsverband. Op die momenten is er een
gemeentelijke schaal en de regionale schaal beperkt zijn. Als
mogelijkheid om te sturen op veiligheid en verantwoording. Het
een deelnemende gemeente hier niet actief op stuurt, kan
is echter onbekend tot in hoeverre dit plaatsvindt.
het voorkomen dat de uitvoering op regionale schaal niet overeenkomt met de in de gemeente gestelde ambities. Dat
In gesprekken wordt ook aangegeven dat de ambitie met name
is lastig, want elke gemeente is wel afhankelijk van de regio
is dat er aan de voorkant wordt voorkomen dat er incidenten
voor het naleven van haar eigen ambities voor rechtmatige
plaatsvinden, in plaats van een reactieve houding aan te nemen
gegevensuitwisseling. Hierbij geldt ook: hoe meer capaciteit
en te handelen als deze incidenten al hebben plaatsgevonden. De
op beide schaalniveaus aanwezig is, hoe meer bewustzijn er
nadruk ligt hierbij op het organisatorische vlak: zo goed mogelijk
(bestuurlijk) zal zijn voor de effecten van lokale ambities op de
borgen dat er processen ingericht zijn en er een governance is
schaal van de regio en andersom. Dit risico heeft consequenties
opgetuigd die bijdraagt aan een goede omgang met gegevens.
voor de beoogde publieke waarde voor de opgaven waarvoor
Hierbij wordt benoemd dat de grootste risico’s niet in de
de gemeente aan de lat staat. Gegevensuitwisseling is immers
technische, juridische en organisatorische inregeling zitten, maar
enkel een instrument om andere taken van de gemeente
voornamelijk voorkomen in het menselijk handelen. De ambitie
uit te voeren. Op het moment dat gegevensuitwisseling niet
is dan ook dat bewustwording van de risico’s en maatregelen
rechtmatig en veilig plaatsvindt, kan de uitvoering van alle
rondom gegevensuitwisseling op peil zijn.
taken in het gedrang komen. Risico’s De bovenstaande paragrafen laten een aantal elementen zien waarin de praktijk afwijkt van de vastgestelde kaders. Hierdoor ontstaan risico’s voor onveilige gegevensuitwisseling. In de
38
39
Gemeente Enschede (2023). Procedure voor het actueel houden van het verwerkingsregister; Gemeente Enschede (2023). Toezichtsplan Functionaris Gegevensbescherming 2024; Gemeente Enschede (2023). Beleid en procedure voor het uitvoeren van DPIA’s. PDCA-cyclus: Plan-Do-Check-Act cyclus. Deze cyclus beschrijft vier stappen die elkaar cyclisch opvolgen om zo verbetering in een organisatie door te voeren. De stappen zijn als volgt: een plan opstellen (plan), het plan uitvoeren (do), controleren of het plan is uitgevoerd zoals bedacht (check), het plan wijzigen en aanpassen en weer uitvoeren (act). Vervolgens start de cirkel opnieuw door een vervolg te plannen.
volgende tabel geven we een aantal geconstateerde risico’s wat betreft ambitie weer.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 34
Waarom is dit van belang voor de gemeenteraad van de
Samenvattend
gemeente Enschede?
• De ambities die door de gemeente zijn gesteld met be-
We zien dat het behalen van de ambitie van de gemeente
trekking tot informatieveiligheid, moeten in de regionale
Enschede om het uitwisselen van persoonsgegevens
schaal tot uitvoering worden gebracht. Deze afstand
rechtmatig te laten verlopen vooral valt of staat bij
resulteert automatisch in een afhankelijkheid van samen-
het creëren van bewustzijn over de risico’s van en
werkingsverbanden en -partners. Door de afhankelijkheid
passende maatregelen voor gegevensuitwisseling in
van de regionale schaal, is het van belang dat de gemeen-
samenwerkingsverbanden. De raad heeft een (wettelijke,
te actief stuurt in de regionale schaal op het realiseren
want dit is vastgelegd in de AVG) rol om lokaal beleid ten aanzien van gegevensuitwisseling te toetsen op die
van haar ambities. Dit gebeurt echter beperkt. • In de praktijk blijkt menselijk handelen, namelijk de nale-
rechtmatigheid. De drie vragen ‘wie, met welk doel en hoe
ving van mechanismen zoals de PDCA-cyclus, de voor-
zijn inwoners geïnformeerd’ (zie het kader onder paragraaf
naamste zwakte te zijn voor de realisatie van de ambities.
3.1) helpen om te beoordelen of het beleid van de gemeente
• Op het moment dat gegevensuitwisseling niet rechtma-
Enschede voldoende invulling geeft aan de ambitie van
tig en veilig plaatsvindt, kan dit van invloed zijn op alle
rechtmatige gegevensuitwisseling.
taken die de gemeente uitvoert. Gegevensuitwisseling is immers een instrument voor de uitvoering van andere
Relevantie voor de raad
taken.
We zien dat het behalen van de ambitie van de gemeente Enschede vooral valt of staat bij het creëren van bewustzijn over de risico’s van en passende maatregelen voor gegevensuitwisseling in samenwerkingsverbanden. Bovendien is het behulpzaam om te weten welke afspraken formeel belegd zijn binnen de samenwerkingsverbanden. De raad kan als volgt beoordelen of de ambitie wel of niet gehaald wordt: • Controleer of er gezamenlijke, concrete opgestelde kaders zijn, zodat de raad weet waarop gecontroleerd dient te worden. • Bestudeer wat de afwegingen zijn geweest om voor bepaalde gegevensuitwisselingen wel of niet maatregelen in te richten. Zet dat af tegen de visie van de gemeente op dit onderwerp. Geconstateerd risico