Raadsvoorstel Rekenkameronderzoek Gegevensdeling samenwerkingsverbanden_aangepast

Voorstel Gemeenteraad R Onderwerp

Rekenkameronderzoek Gegevensdeling samenwerkingsverbanden

Portefeuillehouder

Rekenkamer (R)

Organisatieonderdeel

Cluster Raadsgriffie

Stuknummer

Aangeboden aan Raad Corsanummer

20 september 2024 2400026962

(invulling door Griffie)

_______________________________________________________________________________________ Wij stellen u voor te besluiten om: 1. De volgende aanbevelingen uit het Rekenkamerrapport “Gegevensbescherming in regionale context” vast te stellen. Aan de raad: 1. Stuur op rechtmatige gegevensuitwisseling door te vragen naar het ‘wie’, ‘waarom’ en ‘hoe’ van gegevensuitwisseling 2. Vraag voor álle soorten samenwerkingsverbanden om een moment waarop zij beoordeeld kunnen worden op rechtmatigheid van gegevensverwerking 3. Houd samenwerkingsverbanden van de Gemeente Enschede bij oprichting maar ook periodiek tegen het licht Aan het college: 4. Pak als college een meer actieve rol en deel informatie met de raad 5. Bundel voor de raad meerdere onderwerpen in een breed thema ‘goed digitaal bestuur’ 6. Overweeg een aantal praktische werkwijzen door te voeren in de organisatie. 7. Loop voor elk samenwerkingsverband een checklist ‘gemeentelijke verwerkingsverantwoordelijkheid’ door en ga na welke risico’s zich voordoen 8. Blijf aandacht schenken aan regionale samenwerking

Inleiding en voorgeschiedenis De Rekenkamer heeft onderzoek gedaan naar Gegevensdeling in en tussen samenwerkingsverbanden. Het onderzoek is in opdracht van de Rekenkamer uitgevoerd door Berenschot. Op basis van hun eindrapport heeft de Rekenkamer conclusies en aanbevelingen geformuleerd, de aanbevelingen worden ter besluitvorming aan de Gemeenteraad worden voorgelegd. Publieksvriendelijke samenvatting De Rekenkamer heeft onderzoek gedaan naar Gegevensdeling in, tussen en met Samenwerkingsverbanden. Op basis van het onderzoek heeft de Rekenkamer conclusies en aanbevelingen geformuleerd over de werkwijze van de gemeente en samenwerkingsverbanden rondom gegevensuitwisseling, mogelijke risico’s en manieren om verbeteringen door te voeren. De gemeenteraad wordt voorgesteld om de aanbevelingen vast te stellen. Het college krijgt dan opdracht om de aanbevelingen uit te voeren. Een aantal van de aanbevelingen zijn gericht aan de gemeenteraad zelf. Gewenst effect van het besluit in relatie tot de strategische opgaven Het overnemen en vaststellen van de aanbevelingen leidt tot verbeteringen in het beleid en de werkwijze op het gebied van gegevensdeling, privacy, informatieveiligheid enzovoort in Enschede. Dit sluit aan bij de strategische opgave Open Enschede. Argumenten 1.

De conclusies en aanbevelingen van de Rekenkamer zijn gebaseerd op het onderzoek dat in opdracht van de Rekenkamer is uitgevoerd door Berenschot. Op basis van het onderzoek van Berenschot heeft de Rekenkamer eigen conclusies en aanbevelingen geformuleerd. Deze sluiten aan aansluiten bij de praktijk in Enschede en brengen naar mening van de Rekenkamer verbeteringen aan GRF-Cluster Griffie N. van Proosdij

in beleid, uitvoering en organisatie in en van de gemeente Enschede. De aanbevelingen zijn in het dictum van dit raadsvoorstel kort en bondig geformuleerd, zodat ze zelfstandig leesbaar en begrijpelijk zijn. In deze argumentatie worden de aanbevelingen kort toegelicht, uitgebreidere toelichting staat in het eindrapport van de Rekenkamer dat als bijlage bij dit voorstel is gevoegd. Door het vaststellen van de aanbevelingen geeft de Raad aan het college en aan zichzelf een aantal opdrachten mee om beleid, uitvoering en rolinvulling in de toekomst te verbeteren. 2. De aan de Raad voorgestelde aanbevelingen van de Rekenkamer zijn gebaseerd op de volgende conclusies uit het Rekenkamerrapport “Gegevensbescherming in regionale context”. In dit rapport staat een uitgebreidere onderbouwing van deze conclusies: a. Er kunnen voor de gemeente serieuze risico’s verbonden zijn aan het niet op orde hebben van gegevensuitwisseling en -bescherming b. De gemeente Enschede zet zich in voor de bescherming van gegevens (professionaliseringsslag), maar vooral nog op strategisch niveau. c. Ook als de uitvoering van bepaalde taken in regionale samenwerkingsverbanden zijn belegd, blijft de gemeente juridisch verantwoordelijk voor de gegevensuitwisseling en -bescherming. d. De rol van de raad kan worden geïntensiveerd e.

Er zijn veel regionale samenwerkingsverbanden en die verschillen in diverse opzichten sterk van elkaar. Dat maakt een goede controle op gegevensuitwisseling, toedeling van verantwoordelijkheden moeilijke opgave. Toelichting per aanbeveling De voorgestelde aanbevelingen worden als volgt toegelicht. In het eindrapport “Gegevensbescherming in regionale context” van de Rekenkamer staat een nog uitgebreidere toelichting op elk van de aanbevelingen. 1.

Stuur op rechtmatige gegevensuitwisseling door te vragen het ‘wie’, ‘waarom’ en ‘hoe’ van gegevensuitwisseling Het college moet informatie over gegevensuitwisseling en het beleid dat daarvoor is gemaakt delen met de raad, zodat raadsleden kun controlerende rol kunnen invullen. In het rapport van Berenschot staat een aantal bruikbare suggesties. Hiermee kan de raad het college actief vragen hoe zij omgaat met de grootste risico’s van onrechtmatige gegevensuitwisseling in samenwerkingsverbanden. Daarvoor kan de raad de volgende vragen naar het ‘wie’, ‘waarom’ en ‘hoe’ van gegevensuitwisseling stellen: Wie is er verantwoordelijk voor gegevensuitwisseling (verantwoordelijkheidsbesef)? Hoe wordt rechtmatige omgang geborgd (invulling van gegevensuitwisseling)? Zijn inwoners geïnformeerd en op welke manier (transparantie)? 2.

Vraag voor álle soorten samenwerkingsverbanden om een moment waarop zij beoordeeld kunnen worden op rechtmatigheid van gegevensverwerking Gemeenschappelijke regelingen zoals de Omgevingsdienst en de Veiligheidsregio volgen een jaarcyclus en leggen via jaarstukken (jaarrekening en begroting) in april verantwoording af over hun beleid. Gegevensuitwisseling kan daarin meegenomen worden. Netwerksamenwerkingen zonder rechtspersoonlijkheid (zoals het Zorg- en Veiligheidshuis Twente) hebben hiervoor geen vaste werkwijze. De Rekenkamer beveelt aan om ook voor deze samenwerkingsverbanden te vragen om een moment om (bijvoorbeeld rechtmatigheid in) hun werkwijze te beoordelen. Dat zou bijvoorbeeld kunnen door jaarlijks ook in april om een rapportage te vragen. Dat is nodig, want de verantwoordelijkheid voor rechtmatige gegevensverwerking bij deze partijen ligt in vele gevallen (deels) bij de gemeente Enschede. 3.

Houd samenwerkingsverbanden van de Gemeente Enschede bij oprichting maar ook periodiek tegen het licht De aanbevelingen hiervoor gaan over de regionale schaal. De Rekenkamer vindt het verstandig dat de raad zich ook op lokale schaal, dus voor Enschede zelf, beraadt op kaders. In het rapport van Berenschot is op pagina 13 een praktische checklist opgenomen, die per samenwerkingsverband doorlopen kan worden. Dit kan op het moment dat de gemeente toetreedt tot een nieuw samenwerkingsverband of als een governancestructuur van een samenwerkingsverband wijzigt. Uiteraard het is ook mogelijk om de samenwerking en de afspraken periodiek tegen het licht te houden, zonder dat daar een specifieke aanleiding voor is. Op basis van zo’n doorlichting kan de raad het college vragen om nieuwe kaders te stellen. Ook kan de raad vragen om in voortgangsbrieven een paragraaf op te nemen over de punten in deze checklist. Hiermee kan de raad een duidelijker antwoord krijgen op de vraag wie er verantwoordelijk is voor rechtmatige gegevensverwerking en wat de stand van zaken is. GRF-Cluster Griffie N. van Proosdij

4. Pak als college een meer actieve rol en deel informatie met de raad Het college kan bijdragen aan de controlerende rol van de raad door informatie met de raad te delen over bijvoorbeeld bepaalde werkwijzen van de gemeente rondom gegevensdeling. Het college kan een aantal onderwerpen binnen dit thema bundelen en daarmee de raad meenemen in de inzet van digitalisering voor het vervullen van publieke taken. De raad kan daardoor zijn kennisniveau verhogen en de werking van beleid, governance en processen beter leren kennen. Dit kan helpen om de raad in zijn controlerende rol te brengen. De gemeentelijke Functionaris Gegevensbescherming kan bijvoorbeeld een informerende presentatie geven aan de raad. Ook zou het college de paragraaf Verbonden partijen in de Gemeentebegroting en Gemeenterekening kunnen gebruiken om de raad te informeren over ICT-beheer en gegevensdeling bij de betreffende Verbonden Partij. 5. Bundel voor de raad meerdere onderwerpen in een breed thema ‘goed digitaal bestuur’ Niet alleen op het gebied van gegevensuitwisseling moet de raad in positie gebracht worden. Dat geldt ook voor het bredere thema ‘goed digitaal bestuur’. Het college zou verschillende onderwerpen kunnen bundelen in zo’n thema ‘goed digitaal bestuur’ en de raad daarover per brief kunnen informeren. Op deze manier kan het college de raad meenemen in het gemeentelijk digitaliseringsbeleid.

Met zo’n gebundelde aanpak is het voor de raad makkelijker om het kennisniveau te verhogen en de werking van bestaand beleid, de governance en de processen beter te leren kennen. De raad is dan beter in positie om te controleren of het gemeentelijk systeem werkt zoals beoogd. 6. Overweeg een aantal praktische werkwijzen door te voeren in de organisatie. Berenschot doet in hun eindrapportage een aantal voorstellen voor de gemeentelijke organisatie. Overweeg deze door te voeren in de organisatie: Maak vooraf duidelijke afspraken over rollen en verantwoordelijkheden van en in samenwerkingsverbanden. Maak in samenwerkingsverbanden expliciete afspraken over rollen en verantwoordelijkheid m.b.t. uitvoering van beleid. Maak duidelijk wie coördineert en leg werkwijzen formeel vast. Zorg dat het onderwerp leeft bij directie en bestuur en dat zij actief sturen op naleving van het beleid. Zet als Functionaris Gegevensbescherming, Functionaris Informatievoorziening (CIO) en Functionaris Informatiebeveiligingsbeleid (CISO) in op goed contact en denk mee. Regel eerstelijns controle op het niveau van de uitvoering. Zo voorkom je een papieren werkelijkheid die ver van de werkvloer af staat. Denk er bijvoorbeeld aan om afdelingen zelf datalekken te laten melden, of door managers zelf te laten rapporteren.

Op deze manier wordt geborgd dat er controle is op uitvoering en kun je op naleving sturen. Bundel de krachten van interne toezichtfuncties en laat hen samen één jaarverslag indienen. Op deze manier benadruk je de verbondenheid van alle onderwerpen binnen het thema ‘goed digitaal bestuur’ en kom je in gezamenlijkheid hoger op de bestuurlijke agenda. Zie ook aanbeveling 5, waarin wordt voorgesteld om ook voor de raad meerdere onderwerpen te bundelen in een breed thema ‘goed digitaal bestuur’. Daarnaast leest de Rekenkamer in de paragraaf Verbonden Partijen (Gemeentebegroting 2024-2027) dat er jaarlijks een risicoscan van de verbonden partijen wordt uitgevoerd. De risico's voor de verbonden partijen worden geïnventariseerd met behulp van een vragenlijst. De Rekenkamer constateert dat thema’s als privacy, gegevensbescherming of AVG hier niet in zijn opgenomen. Overweeg om in de risicoscan een (of meer) vragen op te nemen over gegevensdeling tussen en binnen samenwerkingsverbanden en mogelijke risico’s daarvan. 7.

Loop voor elk samenwerkingsverband een checklist ‘gemeentelijke verwerkingsverantwoordelijkheid’ door en ga na welke risico’s zich voordoen Berenschot doet op pagina 13 van hun eindrapport een voorzet voor een checklist, waarmee kan worden gespecificeerd in welke mate de gemeente verantwoordelijkheid voor rechtmatige gegevensuitwisseling behoudt, deelt of overdraagt en welke sturingsmogelijkheden de gemeente houdt om toe te zien op veilige deling van persoonsgegevens in het samenwerkingsverband. Berenschot geeft op pagina 28 en verder een overzicht van mogelijke risico’s die zich kunnen voordoen als de gemeente niet zou handelen. Het is verstandig om voor de samenwerkingsverbanden expliciet na te lopen of dergelijke risico’s zich voordoen en welke acties ondernomen kunnen worden. 8.

Blijf aandacht schenken aan regionale samenwerking

GRF-Cluster Griffie N. van Proosdij

In het onderzoek ‘Bestuurlijke Regionale Ecosystemen’ van Berenschot staat een in de ogen van de Rekenkamer zinnige algemene aanbeveling over regionale samenwerking: blijf het onder de aandacht brengen bij volksvertegenwoordigers, organiseer onderlinge ontmoetingen, richt het gesprek op de voorliggende opgaven en oplossingsrichtingen, deel resultaten, zoek steeds de koppeling tussen het regionale en het lokale en wees vooral eerlijk over de beïnvloedingsruimte die zij hebben. In hetzelfde rapport is het advies aan volksvertegenwoordigers: het regionale schaalniveau is een blijvende realiteit, dus verdiep je erin, stel vragen en daag jezelf uit om zowel vanuit het lokale als het regionale perspectief te denken, want het geheel is meer dan de som der delen. Risico’s Het vaststellen van de aanbevelingen brengt geen risico’s met zich mee. Wanneer (een deel van) de aanbevelingen niet worden overgenomen, worden mogelijk kansen voor verbetering gemist. Kosten en financiële dekking van het voorstel Het onderzoek is gefinancierd uit het onderzoeksbudget van de Rekenkamer. Dit voorstel op zichzelf brengt geen kosten met zich mee. Afweging en alternatieven Wanneer de conclusies en aanbevelingen niet worden vastgesteld en uitgevoerd, worden kansen voor verbetering in beleid en uitvoering gemist.

Het staat de raad vrij om middels een amendement de aanbevelingen zoals de Rekenkamer die voorstelt, te wijzigen. Participatie Inwoners en betrokkenen worden via de website van de Rekenkamer (www.enschede.nl/rekenkamer) geïnformeerd over dit onderzoek en het werk van de Rekenkamer. Raad, college, pers en betrokken ambtenaren hebben de publicatie van de Rekenkamer via de mail ontvangen. Communicatie Het raadsvoorstel, de eindrapporten van de onderzoekers en de Rekenkamer zijn beschikbaar op de website van de Rekenkamer. Op moment van publicatie van dit onderzoek is ook een persbericht uitgegaan. Vervolg Wanneer de Raad de aanbevelingen vaststelt, geeft de Raad het College opdracht om deze aanbevelingen uit te voeren. De Rekenkamer gaat enige jaren na afronding van een onderzoek na of en in welke mate en op welke manier de aanbevelingen doorwerking hebben gekregen. Bijlagen - Eindrapport Rekenkamer: Gegevensbescherming in regionale context, Rekenkameronderzoek naar gegevensdeling in samenwerkingsverbanden - Eindrapport Berenschot: Gegevensbescherming in regionale context

Rekenkamer Enschede, _______________ de Secretaris, N. van Proosdij

GRF-Cluster Griffie N. van Proosdij

de Voorzitter, H.F. de Boer