2026-132 JAARVERSLAG FG GOES 2025 DEF

JAARVERSLAG FUNCTIONARIS GEGEVENSBESCHERMING GEMEENTE GOES 2025

Vastgestelde door het college op 21 april 2026

Steller: mr. G.M. van Belzen Functionaris Gegevensbescherming

Inhoudsopgave VOORWOORD .......................................................................................................................................... 3 HOOFDSTUK 1

ALGEMEEN ................................................................................................................ 4

HOOFDSTUK 2

RAPPORTAGE OVER 2025 ......................................................................................... 5

HOOFDSTUK 3

BELEID ....................................................................................................................... 7

HOOFDSTUK 4

PROCESSEN ............................................................................................................... 8

HOOFDSTUK 5

ORGANISATIE .......................................................................................................... 10

HOOFDSTUK 6

RECHTEN VAN BETROKKENEN ................................................................................ 11

HOOFDSTUK 7

SAMENWERKING..................................................................................................... 12

HOOFDSTUK 8

BEVEILIGING ............................................................................................................ 13

HOOFDSTUK 9

VERANTWOORDING ................................................................................................ 14

HOOFDSTUK 10

CONCLUSIES ............................................................................................................. 15

HOOFDSTUK 11

AANBEVELINGEN ..................................................................................................... 18

BIJLAGE 1

PROCEDURE MELDPLICHT DATALEKKEN ................................................................. 19

BIJLAGE 2

OVERZICHT DPIA’S ................................................................................................... 20

BIJLAGE 3

LIJST AP MET BETREKKING TOT VERPLICHTE DPIA’S GEMEENTE GOES .................. 21

BIJLAGE 4

OVERZICHT AANBEVELINGEN DPIA’S....................................................................... 26

2

VOORWOORD In dit jaarverslag van de Functionaris Gegevensbescherming over 2025 staat hoe het is gesteld met de bescherming van persoonsgegevens bij de gemeente Goes. Het oordeel zoals opgenomen in het jaarverslag over de bescherming van persoonsgegevens is gebaseerd op de toets aan het borgingsproduct van de Vereniging van Nederlandse Gemeenten.

3

HOOFDSTUK 1 ALGEMEEN Inleiding De Functionaris Gegevensbescherming (hierna: FG) is de interne toezichthouder voor privacy en de eerste contactpersoon voor de Autoriteit Persoonsgegevens (hierna: AP). De functie van FG is wettelijk verplicht voor overheden op grond van artikel 37 van de Algemene verordening gegevensbescherming (hierna: AVG). De AP is de externe toezichthouder met betrekking tot de AVG.

Leeswijzer Hoofdstuk 2 behandelt de bijzonderheden van 2025. In de hoofdstukken 3 t/m 9 komt de borging van de privacy aan de orde. Hiervoor is het AVG-Borgingsproduct 3.0 van de VNG ingevuld. De volgende onderwerpen komen verder in dit jaarverslag aan de orde: • Beleid • Processen • Organisatorische inbedding • Rechten van betrokkenen • Samenwerking • Beveiliging • Verantwoording Het jaarverslag sluit af met conclusies en aanbevelingen. Het jaarverslag is op 11 maart 2026 behandeld in het MT en is vastgesteld door het college op 21 april 2026.

4

HOOFDSTUK 2 RAPPORTAGE OVER 2025 Aanjaagteam Er is een aanjaagteam voor informatiebeveiliging en privacy. Het bestaat uit drie medewerkers. De Chief Information Security Officer (CISO), de Privacy Officer (PO) en de Functionaris Gegevensbescherming (FG).

Werkgroep Naast het aanjaagteam is er een werkgroep waarin medewerkers zitten van alle afdelingen.

Uitvoeringsplan Voor informatiebeveiliging en privacy wordt ieder jaar een uitvoeringsplan opgesteld.

Activiteiten iBewust In 2025 is gestart met de campagne Digibewust De Bevelanden. Via deze applicatie krijgen medewerkers op diverse manieren informatie over informatiebeveiliging en privacy. Dit op een leuke en laagdrempelige wijze met onder meer een Netflix-achtige serie “The inside man”, informatiefilmpjes en kennistesten. De eerste bevindingen zijn positief. Er wordt door medewerkers veelvuldig gebruik van gemaakt. In 2026 gaat de organisatie hier verder mee.

Datalekken In 2025 waren er 18 beveiligingsincidenten, waarvan 4 datalekken. Dat zijn er minder dan voorgaande jaren. Hiervoor is geen duidelijke verklaring. Het kan betekenen dat er daadwerkelijk minder datalekken waren, maar het kan ook betekenen dat er minder datalekken zijn opgemerkt dan wel zijn gemeld. Alle datalekken zijn afgehandeld volgens het Protocol datalekken (Bijlage 1). De datalekken zijn het gevolg van menselijk handelen.

Beveiligingsincidenten gemeente Goes 25 20 Beveiligingsincident overig

15

Datalek overig 10 Datalek gemeld AP 5 0

2021

2022

2023

2024

2025

5

DPIA De afkorting DPIA staat voor Data Protection Impact Assessment. Een DPIA is een risico-analyse met betrekking tot het verwerken van gevoelige persoonsgegevens. In 2022 zijn er 5 DPIA’s opgesteld en in 2023 waren dit er 10. In 2024 zijn 3 DPIA’s afgerond. In 2025 zijn in concept 17 DPIA’s opgesteld. De organisatie heeft aangegeven dat deze in de eerste helft van 2026 worden afgerond.

Wet politiegegevens In 2022 was de eerste wettelijk verplichte onafhankelijke externe audit uitgevoerd op grond van de Wpg. Deze wettelijke audit dient periodiek uitgevoerd te worden, waardoor in 2025 wederom een externe audit is uitgevoerd. De scores waren onvoldoende. In 2025 is een interne audit en een externe met betrekking tot de Wpg uitgevoerd. De conclusie is dat in de basis onderdelen van de Wpg zijn beschreven en bestaan zoals deze in de opzet staan beschreven. Voor sommige normen bestaat het proces in de praktijk, zonder dat deze in de opzet is beschreven. Dit maakt toetsing lastig en daarmee kan in veel gevallen de werking niet worden vastgesteld. De aanbeveling is gedaan om een verbeterslag te maken zodat kan worden vastgesteld of de processen bestaan en werken. De verwachting is daarom dat het huidige oordeel op korte termijn kan worden verbeterd.

6

HOOFDSTUK 3 BELEID Wat zijn de onderzoeksvragen? 1. Is er een algemeen privacybeleid? 2. Wordt het privacybeleid door het management uitgedragen? 3. Ligt de verantwoordelijkheid bij het management? 4. Betrekt het management de FG vooraf bij ontwikkelingen die de privacy raken? Hieronder worden deze vragen beantwoord. 1 Is er een algemeen privacybeleid? In 2025 is een nieuw privacybeleid door het college vastgesteld. Ook is beleid voor de Wpg vastgesteld. Beide zijn opgesteld overeenkomstig het model van de IBD. De FG is ook bij de AP aangemeld voor de Wpg. 2 Wordt het privacybeleid door het management uitgedragen? In Goes worden informatiebeveiliging en de privacy gezamenlijk opgepakt. De CISO, de PO en de FG behandelen beide onderwerpen in het MT. Het belang van beide onderwerpen wordt door het MT onderkend. Met de gemeentesecretaris, de Concerncontroller, de FG, de CISO en de PO worden, voorafgaand aan de behandeling van onderwerpen in het MT, de onderwerpen gezamenlijk voorbereid. 3 Ligt de verantwoordelijkheid bij het management? Om te bepalen of de verantwoordelijkheid voor de AVG bij het management ligt, wordt het RACImodel over verantwoordelijke toegepast.

RACI staat voor: • responsible (verantwoordelijk) • accountable (aansprakelijk) • consulted (geraadpleegd) • informed (geïnformeerd) In deze situatie zijn de medewerkers verantwoordelijk voor het juist toepassen van de AVG tijdens hun werk. De PO ondersteunt de medewerkers en het management met advies, risico-analyses (DPIA) en het bijhouden van registers zoals het verwerkingsregister. De afdelingshoofden zijn ambtelijk eindverantwoordelijk. Zij zorgen ervoor dat op ambtelijk niveau de juiste beslissingen worden genomen. De FG is de interne onafhankelijke toezichthouder die adviezen en aanbevelingen geeft en periodiek rapporteert over de naleving van de AVG. De portefeuillehouder en het college worden periodiek geïnformeerd en nemen de formele besluiten, voor zover deze niet aan het management zijn gemandateerd. Het college draagt ook de politieke eindverantwoordelijkheid. 4 Betrekt de organisatie de FG vooraf bij ontwikkelingen die de privacy raken? De organisatie betrekt de FG bij ontwikkelingen die de privacy raken. Dit is geen automatisme. Via de campagne Digibewust wordt hier intern aandacht voor gevraagd. Beoordeling beleid: voldoende

7

HOOFDSTUK 4 PROCESSEN Wat zijn de onderzoeksvragen? 1. Zijn er werkprocessen vastgesteld voor de verwerking van persoonsgegevens? 2. Zijn hiervoor instructies en protocollen vastgesteld? 3. Is er een volledig en actueel verwerkingsregister? 4. Wordt voor verwerkingen van persoonsgegevens met een hoog privacy risico een DPIA uitgevoerd? 5. Worden naar aanleiding van de DPIA, verbeteringen doorgevoerd? 6. Worden documenten met persoonsgegevens tijdig verwijderd? Hieronder worden deze vragen beantwoord. 1 Zijn er werkprocessen vastgesteld voor de verwerking van persoonsgegevens? Er zijn voor meerdere functies werkprocessen zijn opgesteld. 2 Zijn hiervoor instructies en protocollen vastgesteld? Er zijn instructies en protocollen vastgesteld voor het werken met gevoelige persoonsgegevens. Voorbeelden zijn: de reglementen Burgerzaken BRP, reisdocumenten en Suwinet. 3 Is er een volledig en actueel verwerkingsregister? Er is aan softwareleverancier VHIC opdracht verstrekt om te ondersteunen bij het vullen van de i-Navigator. Dit systeem wordt toegepast voor informatiemanagement. Als dit gevuld is, kan hiermee een volledig en actueel verwerkingsregister gegenereerd worden. In het tweede kwartaal van 2026 zal er een compleet verwerkingsregister zijn. Het is zaak dit actueel te houden.

4 Wordt voor verwerkingen van persoonsgegevens met een hoog privacy risico een DPIA uitgevoerd? Voor de verwerking van persoonsgegevens met een hoog privacy risico moet vooraf een risicoanalyse zijn uitgevoerd. Zo’n analyse wordt afgekort met de term DPIA, wat staat voor Data Protection Impact Assesment. In 2023 is een overzicht opgesteld van de verplichte DPIA’s voor de gemeente Goes. Dit overzicht is opgenomen als bijlage 3. In 2022 zijn 5 DPIA’s opgesteld. In 2023 waren dit er 10. In 2024 zijn er 3 DPIA’s afgerond en in 2025 zijn 17 concept DPIA’s opgesteld. Er is door de organisatie toegezegd dat deze in de eerste helft van 2026 gereed zijn. 5 Worden naar aanleiding van de DPIA, verbeteringen doorgevoerd? De aanbevelingen uit de DPIA’s worden uitgevoerd. 6 Worden documenten met persoonsgegevens tijdig verwijderd? Documenten met persoonsgegevens moeten tijdig worden verwijderd of gearchiveerd. In het zaaksysteem Join worden door de afdeling Facilitaire Zaken (Hierna: FZ) gearchiveerd en/of verwijderd. FZ doet dit aan de hand van selectielijsten van de VNG. De grondslag hiervoor is de Archiefwet. Join is NEN-waardig zodat in 2029 een aansluiting plaats kan vinden met het E-depot van het Zeeuwse archief. In Join is verwijdering en archivering mogelijk.

Er zijn ook informatiesystemen die eveneens beschikken over een archiveringsmodule maar waarin tot op heden alle persoonsgegevens nog zijn opgeslagen. Tot slot zijn er informatiesystemen die nog niet beschikken over een archiveringsmodule. Daarom is in 2024 een verbeterplan digitaal werken opgesteld. Het doel moet zijn dat uiteindelijk alle informatiesystemen beschikken over een archiveringsmodule.

8

De overgang naar Team in Microsoft 365 kan ook helpen om stappen in de goede richting te zetten. Bij de overgang kan er eerst geschoond worden. Ook kan daarnaast een opslagperiode wordt afgesproken. Binnen deze periode moeten belangrijke documenten worden gearchiveerd. De overige documenten worden na de opslagperiode automatisch verwijderd. Ook is er bij Teams altijd een beheerder. Beoordeling processen: onvoldoende

9

HOOFDSTUK 5 ORGANISATIE Wat zijn de onderzoeksvragen? 1. Is er een FG met brede juridische kennis en ervaring binnen de gemeente? 2. Worden de aanbevelingen van de FG opgevolgd? 3. Is er een Privacy Officer? 4. Worden informatiebeveiliging en privacy gezamenlijk opgepakt? 5. Wordt er structureel en in teamverband samengewerkt? 6. Worden beide onderwerpen breed in organisatie uitgezet? Hieronder worden deze vragen beantwoord. 1 Is er een FG met brede juridische kennis en ervaring binnen de gemeente? Er is een FG aangewezen. De FG is aangemeld bij de AP, zowel voor de AVG als de WPG. Deze medewerker voldoet aan het functieprofiel voor een FG. De FG combineert de functie van FG met de functie van Gemeentejurist op de afdeling Concern (18/18 uur). Dit is geen onverenigbare combinatie van taken. De FG kan onafhankelijk zijn taken uitvoeren. De FG heeft periodiek overleg met de PO, de CISO, de concerncontroller, de secretaris en de burgemeester. 2 Worden de aanbevelingen van de FG opgevolgd? De aanbevelingen van de FG worden opgevolgd. 3 Is er een Privacy Officer? Er is op de afdeling Concern een medewerker aangewezen als Privacy Officer. De PO combineert de functie met die van beveiligingsfunctionaris van Suwinet. Dit is geen onverenigbare combinatie van taken (20/4 uur).

4 Worden informatiebeveiliging en privacy gezamenlijk opgepakt? Informatiebeveiliging en privacy worden binnen de organisatie gezamenlijk opgepakt. Ieder jaar wordt een uitvoeringsplan voor beide taken opgesteld en uitgevoerd. 5 Wordt er structureel en in teamverband samengewerkt? De CISO, de PO en de FG vormen het aanjaagteam voor informatiebeveiliging en privacy. Periodiek overleggen de CISO en de FG met de Concerncontroller. 6 Worden beide onderwerpen breed in organisatie uitgezet? Periodiek overleggen de CISO, de PO en de FG met een groep vaste collega’s van alle afdelingen in de werkgroep informatiebeveiliging en privacy. Beoordeling organisatie: voldoende

10

HOOFDSTUK 6 RECHTEN VAN BETROKKENEN Wat zijn de onderzoeksvragen? 1. Kan betrokkene informatie vinden over zijn rechten? 2. Kan betrokkene een verzoek indienen met betrekking tot zijn rechten? 3. Kennen medewerkers de rechten en weten zij hoe ze hiermee om moeten gaan? 4. Wordt voorafgaand aan de verwerking betrokkene actief, tijdig en goed geïnformeerd? 5. Staat op de website een privacy- en cookieverklaring? Hieronder worden deze vragen beantwoord. 1 Kan betrokkene informatie vinden over zijn rechten? Betrokkene kan zijn rechten eenvoudig vinden op de website van de gemeente Goes. 2 Kan betrokkene een verzoek indienen met betrekking tot zijn rechten? Betrokkene kan online via de website een verzoek indienen met betrekking tot zijn rechten als bedoeld in de artikelen 15 tot en met 22 van de AVG. 3 Kennen medewerkers de rechten en weten zij hoe ze hiermee om moeten gaan? Er wordt sinds 2025 gebruik gemaakt van ondersteunende software voor het informeren en trainen van medewerkers over informatiebeveiliging en privacy. 4 Wordt voorafgaand aan de verwerking betrokkene actief, tijdig en goed geïnformeerd? Als iemand een aanvraag indient bij de gemeente, worden zijn persoonsgegevens verwerkt bij de registratie van het verzoek in het zaaksysteem Join of in een ander specifiek systeem zoals Fixi en RxMission.

Na registratie in Join ontvangt betrokkene een ontvangstbevestiging met op de achterzijde informatie over zijn of haar rechten, waarin het onderwerp privacy ook aan de orde komt. In bijzondere situaties, bijvoorbeeld als tijdens een bijeenkomst foto’s worden gemaakt, dan worden betrokkenen daarover van tevoren geïnformeerd. 5 Staat op de website een privacy- en cookieverklaring? Onderaan op de startpagina van de website van de gemeente Goes zijn de zoekvragen “privacy” en “cookies en proclaimer” opgenomen. Wie daarop klikt, komt op een pagina met meer informatie over het onderwerp. Beoordeling organisatie: voldoende

11

HOOFDSTUK 7 SAMENWERKING Wat zijn de onderzoeksvragen? 1. Heeft de organisatie inzicht in welke persoonsgegevens externen krijgen, gebruiken en hoe deze zijn beveiligd? 2. Zijn daar waar nodig verwerkersovereenkomsten gesloten? 3. Is er inzicht in welke verwerkersovereenkomsten er zijn? 4. Wordt eenmalige gegevensverstrekking getoetst aan privacywetgeving? Hieronder worden deze vragen beantwoord. 1 Heeft de organisatie inzicht in welke persoonsgegevens externen krijgen, gebruiken en hoe deze zijn beveiligd? Persoonsgegevens waar de gemeente Goes over beschikt en beheert, zoals de Basisregistratie Personen, mogen ook door andere instellingen worden gebruikt. Bijvoorbeeld omdat deze (overheids)organisatie die nodig hebben voor het uitvoeren van hun wettelijke taken, zoals de belastingdienst, waterschappen, pensioenfondsen, CBR, notarissen en de politie. Deze organisaties zijn zelf verantwoordelijk voor naleving van de AVG. Voor de uitvoering van meerdere taken werkt de gemeente samen met andere overheden. Als gekozen wordt voor publiekrechtelijke samenwerking, kan daarvoor een gemeenschappelijke regeling worden ingesteld. Er worden in Zeeland twee verschillende organisatievormen toegepast. Een centrumgemeente voor het Regionaal Bureau Leerplicht Oosterschelderegio (RBL) en negen openbare lichamen (Betho, GGD, GR de Bevelanden, OLAZ, RUD, Sabewa, SWVO, VRZ en ZMS).

Hier komen binnenkort nieuwe openbare lichamen bij, te weten de GR Publiek Vervoer Zeeland en GR Sociaal Domein en Jeugdregio Zeeland. Voor de naleving van de AVG bij RBL is de gemeente Goes verantwoordelijk. Zijn de taken gedelegeerd aan het publiekrechtelijk openbare lichaam, dan is dit openbare lichaam zelf verantwoordelijk. Als de taken niet zijn overgedragen (delegatie), maar zijn opgedragen (mandaat) zoals voor HRM bij GR de Bevelanden en leerlingenvervoer door SWVO dan blijft het college mede verwerkersverantwoordelijk. Is de taak overgedragen dan kan dit betekenen dat we als organisatie deels afhankelijk zijn van een gemeenschappelijke regeling met een openbaar lichaam. Dit is bijvoorbeeld het geval ten aanzien van ICT. Tot slot worden ook persoonsgegevens gedeeld met medewerkers van andere (semi)overheden, zonder dat hiervoor een rechtspersoon is opgericht. Een voorbeeld is het Jeugd Preventie Overleg. Hiervoor is in 2024 een DPIA vastgesteld. 2 Zijn daar waar nodig verwerkersovereenkomsten gesloten? Er zijn meerdere verwerkersovereenkomsten gesloten. In de regel wordt gebruik gemaakt van het model van de IBD. Er is nog geen verwerkersoverkomst gesloten met GR de Bevelanden. Er is toegezegd dat deze in 2026 wordt afgesloten. 3 Is er inzicht in welke verwerkersovereenkomsten er zijn? Er is was totaaloverzicht van alle verwerkingsovereenkomsten.

Dit is niet meer actueel. 4 Wordt eenmalige gegevensverstrekking getoetst aan privacywetgeving? De meest toegepaste gegevens voor eenmalig gebruik zijn gegevens uit de basisregistratie personen. Deze worden alleen door enkele medewerkers van Burgerzaken verstrekt na toetsing aan de daarvoor geldende regels. Beoordeling samenwerking: onvoldoende

12

HOOFDSTUK 8 BEVEILIGING Wat zijn de onderzoeksvragen? 1. Worden bij nieuwe systemen de privacy risico’s vooraf in beeld gebracht en worden de noodzakelijke maatregelen genomen? 2. Worden vooraf de CISO, PO of FG betrokken? 3. Zijn nieuwe systemen beter ingericht m.b.t. privacy? 4. Heeft de organisatie inzicht in privacy incidenten? Hieronder worden deze vragen beantwoord. 1 Worden bij nieuwe systemen de privacy risico’s vooraf in beeld gebracht en worden de noodzakelijke maatregelen genomen? Het besef dat bij de aanschaf van nieuwe systemen ook rekening moet wordt gehouden met informatiebeveiliging en privacy neemt toe. Het helpt dat voor de start van een aanbesteding een inkoopformulier moet worden ingevuld waarin ook vragen staan over informatiebeveiliging en privacy. 2 Worden vooraf de CISO, de PO of de FG betrokken? Door het groeiende bewustzijn en het inkoopformulier worden de CISO, PO of FG vaker vooraf betrokken bij de aanschaf dan wel de verlenging van informatiesystemen. Desondanks is dit nog steeds geen vanzelfsprekendheid. 3 Zijn nieuwe systemen beter ingericht m.b.t. privacy? Vaak wordt gedacht dat een nieuw informatiesysteem beter is ingeregeld voor de aspecten privacy en informatiebeveiliging. Dat is echter niet altijd zo. De gemeente kan te maken krijgen met bedrijven die informatiebeveiliging en privacy nog niet goed hebben geregeld.

Privacy en informatiebeveiliging zijn daarnaast aspecten die afgewogen worden tegen gebruiksvriendelijkheid, toegankelijkheid en de aanschaf- en onderhoudskosten. Bij een aanbesteding wordt er vaak gegund op basis van prijs-kwaliteit. Bij de beoordeling van de inschrijvingen wordt gekeken hoe inschrijver scoort op de selectiecriteria. Informatiebeveiliging en privacy zijn normaliter geen criteria waarvoor een score kan worden toegekend. Daarom is het verstandig bij het opstellen van het PvE te bepalen wat de minimale eisen moeten zijn voor informatiebeveiliging en privacy. Ook is het verstandig vooraf na te denken over de aspecten archivering en overdracht of vernietiging van persoonsgegevens bij beëindiging van het contract. Tot slot moet goed worden beseft dat hoe je systemen inricht en vervolgens laat gebruiken, net zo belangrijk zijn. 4 Heeft de organisatie inzicht in privacy incidenten? In 2025 zijn er vier datalekken gemeld. Voor het melden van datalekken is een protocol opgesteld dat de medewerker ondersteunt bij het afhandelen van het datalek. Ieder incident dat wordt gemeld, wordt opgenomen in het eigen register van datalekken. Ernstige datalekken worden ook gemeld aan de AP. Voor deze afweging zijn criteria opgenomen in genoemd protocol. In 2025 is er geen ernstig datalek bij de AP gemeld. Beoordeling beveiliging: voldoende

13

HOOFDSTUK 9 VERANTWOORDING Wat zijn de onderzoeksvragen? 1. Worden periodiek gegevensverwerkingen geëvalueerd en wordt de naleving van de AVG aangetoond? 2. Is er een actueel overzicht van verwerkingen met een hoog privacy risico en uitgevoerde DPIA’s? 3. Wordt er periodiek gerapporteerd over de verwerking van persoonsgegevens? 4. Wordt er periodiek een analyse uitgevoerd om te kijken waar de organisatie staat met betrekking tot de AVG? Hieronder worden deze vragen beantwoord. 1 Worden periodiek gegevensverwerkingen geëvalueerd en wordt de naleving van de AVG aangetoond? De FG stelt jaarlijks een jaarverslag op en doet hierin aanbevelingen over gegevensverwerkingen. Onder meer via de DPIA’s. Periodiek wordt getoetst of deze zijn uitgevoerd. Er vindt dus een periodieke evaluatie plaats van gegevensverwerkingen. 2 Is er een actueel overzicht van verwerkingen met een hoog privacy risico en uitgevoerde DPIA’s? Er is door de FG in 2023 een overzicht opgesteld van alle verwerkingen waarvan de AP vindt dat hiervoor een DPIA moet zijn opgesteld. Dit overzicht is opgenomen als bijlage 3. 3 Wordt er periodiek gerapporteerd over de verwerking van persoonsgegevens? Er is voor het vierde opeenvolgende jaar door de FG gerapporteerd over de verwerking van persoonsgegevens.

4 Wordt er periodiek een analyse uitgevoerd om te kijken waar de organisatie staat met betrekking tot de AVG? Het jaarverslag is gebaseerd op het Borgingsproduct 3.0 van de VNG. Beoordeling verantwoording: goed

14

HOOFDSTUK 10 CONCLUSIES Resultaat borging privacy Zoals hiervoor is aangegeven is dit jaarverslag over 2025 gebaseerd op Borgingsproduct 3.0 van de VNG. Hierin staan over onderstaande onderwerpen meerdere vragen die zijn ingevuld met betrekking tot de situatie bij de gemeente Goes in 2025. Dit levert het resultaat op van 1 x goed, 4 x voldoende en 2 x onvoldoende.

Onderwerp Beleid Processen Organisatie Rechten Samenwerking Beveiliging Verantwoording

Beoordeling Voldoende Onvoldoende Voldoende Voldoende Onvoldoende Voldoende Goed

15

Resultaat opvolging aanbevelingen vorige jaarverslag In het jaarverslag 2024 zijn onderstaande aanbevelingen gedaan die door het MT en het college zijn overgenomen. In de laatste kolom staat of de maatregel wel of niet is uitgevoerd.

Nr 1 2 3 4 5 6 7 8 9 10 11

12 13 14

Maatregel Beleid Stel een nieuw beleid op voor de AVG & WPG. Processen Zorg voor een blijvend compleet en actueel verwerkingsregister. Sluit met GR de Bevelanden alsnog de verwerkersovereenkomst Voer in het kader van de Wpg een interne audit uit. Stel als organisatie voor nieuwe verwerkingen van persoonsgegevens vooraf een DPIA op. Voer alle aanbevelingen van de uitgevoerde DPIA’s uit. Maak een inhaalslag met de nog uit te voeren DPIA’s. Ga aan de slag met het opschonen en archiveren van alle verwerkingen van persoonsgegevens. Stel hiervoor eerst duidelijke handreikingen op. Maak voor het beheer van informatiemanagement gebruik van iNavigator. Breng alle informatiesystemen met persoonsgegevens in beeld en zorg ervoor dat deze beschikken over een archiveringsmodel die NEN-waardig is. Organisatie Zeg formeel het gemeente Goes-account op van TikTok en verwijder alle filmpjes Rechten van betrokkenen Ga verder met het vergroten van de bewustwording en kennis van medewerkers over informatiebeveiliging en privacy. Laat je hierbij ontzorgen door een speciale applicatie die dit werk uit handen neemt. Samenwerking Ga samen met GR de Bevelanden de DPIA voor HRM afronden. Beveiliging Ga aan de slag met de aanbevelingen van de ethisch hacker, waaronder een keycord van de gemeente Goes met tag, foto, naam en functie.

Ga aan de slag met de aanbevelingen naar aanleiding van de crisisoefening die eind 2024 heeft plaatsgevonden (hack). Herhaalt eens in de 3 jaar de oefening. De actie voor een GR-brede oefening wordt door ICT van GR de Bevelanden opgepakt.

Uitvoering Uitgevoerd In uitvoering In uitvoering Uitgevoerd In uitvoering In uitvoering In uitvoering In uitvoering In uitvoering Uitgevoerd Uitgevoerd

In uitvoering In uitvoering Niet uitgevoerd

16

Volwassenheidsniveau gemeente Goes De VNG werkt met vijf volwassenheidsniveaus voor privacy. Niveau Ad hoc Herhaalbaar

Bepaald Beheerst

Optimaal

Omschrijving De organisatie neemt pas maatregelen als er zich een probleem of dringende aanleiding voordoet. Er is geen samenhang tussen de maatregelen. Er zijn diverse beheersmaatregelen ingesteld, en er is enige mate van samenhang tussen de maatregelen. Hoewel er wel al herhaling optreedt van processen is het management van de maatregelen nauwelijks aanwezig, en ontbreekt een duidelijke controlestructuur. Het privacy management is al gebaseerd op risicoanalyses. Alleen de meest risicovolle processen worden actief gemanaged. De veiligheid van gegevens valt nog steeds niet te garanderen. Vanaf niveau 3 begint de organisatie goed te presteren. Er is steeds meer awareness (bewustzijn) van het onderwerp privacy en informatiebeveiliging. De beheersmaatregelen worden werkelijk gemanaged en geëvalueerd. Het bestuur van de organisatie is goed betrokken. Toch worden procedures nog af en toe vergeten of gepasseerd of wordt beleid niet helemaal volledig opgevolgd. Privacy management wordt organisatie breed en vanzelfsprekend uitgevoerd. Het bestuur heeft de touwtjes goed in handen, en zorgt voor een continue verbetering van privacy en informatiebeveiliging.

De organisatie zit op het niveau bepaald. Het streven is om door te groeien naar het niveau beheerst. Dit is realiseerbaar als de aanbevelingen uit dit jaarverslag worden uitgevoerd.

17

HOOFDSTUK 11 AANBEVELINGEN Ik adviseer op grond van voorgaande hoofdstukken onderstaande maatregelen te nemen. Omdat meerdere aanbevelingen in 2025 niet zijn uitgevoerd, is een deel van de aanbevelingen gelijk aan die van vorig jaar. Nr 1 2 3 4 5 6 7 8 9 10

Maatregel Processen Zorg voor een blijvend compleet en actueel verwerkingsregister. Stel als organisatie een Beheersplan op voor het gebruik en het actueel houden van de iNavigator. Sluit met GR de Bevelanden de verwerkersovereenkomst Voer alle aanbevelingen van de uitgevoerde DPIA’s uit. Maak een inhaalslag met de nog uit te voeren DPIA’s. Ga aan de slag met het opschonen en archiveren van alle verwerkingen van persoonsgegevens. Stel hiervoor eerst duidelijke handreikingen op. Maak voor het beheer van informatiemanagement gebruik van iNavigator. Breng alle informatiesystemen met persoonsgegevens in beeld en zorg ervoor dat deze beschikken over een archiveringsmodel die NEN-waardig is. Wijs een medewerker aan die ambtelijk aanspreekbaar is voor het gebruik van AI in de organisatie. Samenwerking Ga samen met GR de Bevelanden de DPIA voor HRM afronden. Beveiliging Ga aan de slag met de aanbevelingen naar aanleiding van de crisisoefening die eind 2024 heeft plaatsgevonden (hack). Herhaalt eens in de 3 jaar de oefening. De actie voor een GR-brede oefening wordt door ICT van GR de Bevelanden opgepakt.

Tijdpad Eerste helft 2026 Eerste helft 2026 Eerste helft 2026 Eerste helft 2026 Eerste helft 2026 2026 Eerste helft 2026 Eerste helft 2026 2026 2026

18

BIJLAGE 1 PROCEDURE MELDPLICHT DATALEKKEN

19

BIJLAGE 2 OVERZICHT DPIA’S Uitgevoerd Bodycams toezichthouders Weekrapportage politie voor de burgemeester CArel, informatiesysteem voor Regionaal Bureau Leerplicht Oosterschelderegio Meld Misdaad Anoniem Cameratoezicht stadskantoor Cameratoezicht Openbare Ruimte Camera uitzenden en opnemen openbare gemeenteraadsvergaderingen Cameratoezicht evenement Roze Zaterdag Citycontrol, informatiesysteem voor de toezichthouders Datamask, applicatie voor anonimiseren Jeugd Preventie Overleg Europees Sociaal Fonds OpenAI Chatbot Guus Regionale Energie Strategie Cameratoezicht muziekfeest Grote Markt

In uitvoering WiZter (voorheen MensCentraal) Tracking voertuigen ORU Logging gebruik druppel door medewerkers RX Mission Cameratoezicht parkeergarage centrum Kadastrale gegevens Geoweb Fixi meldingen ORU Samenwerkingsverbanden Mijn HRM Portaal Key2Financien Join zaak & document Join klantcontact I-burgerzaken Vastgoedadministratie O&E Afvalverwijderingsadministratie ORU Opvang vluchtelingen, amv’ers, Oekraïners en derdelanders Key2Begraven Citypermit voor de parkeervergunningen Verhuur sportaccommodaties SAM Notubox Controle kentekenregistratie door camera’s binnen parkeerzones Pilot kabelgoten Kliko Container Management Sitebox/Care Prometheus Safe GPT Oribi Gezichtsvergelijking Cameratoezicht opvanglocaties Oekraniers

20

BIJLAGE 3 LIJST AP MET BETREKKING TOT VERPLICHTE DPIA’S GEMEENTE GOES De nummers 1 t/m 17 zijn afkomstig van de lijst van de AP als bedoeld in artikel 35 lid 4. Nr

Titel

Omschrijving

0

Algemene verplichting op grond van de AVG

Wanneer de verwerking van persoonsgegevens, gelet op de aard, de omvang, de context en de doeleinden daarvan waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen (art. 35 lid 1 AVG).

1

Heimelijk onderzoek

Grootschalige verwerkingen van persoonsgegevens en/of stelselmatige monitoring waarbij informatie wordt verzameld d.m.v. onderzoek zonder de betrokkene daarvan vooraf op de hoogte te stellen (bijvoorbeeld: heimelijk onderzoek door particuliere recherchebureaus, onderzoek in het kader van fraudebestrijding en onderzoek op internet in het kader van bijvoorbeeld online handhaving van auteursrechten). Een DPIA is ook verplicht in geval van heimelijk cameratoezicht door werkgevers in het kader van diefstal- of fraudebestrijding door werknemers (bij deze laatste verwerking dient ook in incidentele gevallen een DPIA te worden uitgevoerd vanwege de ongelijkwaardige machtsverhouding tussen de betrokkene (werknemer) en de verwerkingsverantwoordelijke (werkgever)). [3], [5], [7] Verwerkingen waarbij persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten, gegevens over onrechtmatig of hinderlijk gedrag of gegevens over slecht betalingsgedrag door bedrijven of particulieren worden verwerkt en gedeeld met derden (artikel 33, vierde lid, aanhef en onder c, van de Uitvoeringswet Algemene verordening

2

Zwarte lijst

Goese situatie Van toepassing

Aanwezig

Nog doen

Toelichting

Citycontrol AI Chatbot Guus

Zie bijlage 2, m.u.v. expliciet genoemde DPIA bij de nr 1 t/m 17.

Er is DPIA voor Citycontrol. Dit is het softwaresysteem waarmee de toezichthouders werken. Er wordt gewerkt aan het opstellen van een DPIA voor Mijn HR Portaal. Gemeente Goes en GR de Bevelanden zijn hiervoor gezamenlijk verantwoordelijk.

Deels van toepassing

MMA

Voor Meld Misdaad Anoniem (MMA) is een DPIA opgesteld.

Cameratoezicht volgt bij 9 en 10.

Weekrapportage politie

Voor de weekrapportage van de politie aan de burgemeester is een DPIA opgesteld.

Niet van toepassing

3

Fraudebestrijding

4

Creditscore

5

Financiële situatie

6

Genetische persoonsgegevens

7

Gezondheidsgegevens

gegevensbescherming)(zwarte lijsten of waarschuwingslijsten, zoals deze bijvoorbeeld gebruikt worden door verzekeraars, horecabedrijven, winkelbedrijven, telecomproviders alsook zwarte lijsten die betrekking hebben op onrechtmatig gedrag van werknemers, bijvoorbeeld in de zorg of door uitzendbureaus). [4], [6], [7], [8] Grootschalige verwerkingen van (bijzondere) persoonsgegevens en/of stelselmatige monitoring in het kader van fraudebestrijding (bijvoorbeeld fraudebestrijding door sociale diensten of door fraudeafdelingen van verzekeraars). [3], [4], [5], [9] Grootschalige gegevensverwerkingen en/of stelselmatige monitoring die leiden tot of gebruik maken van inschattingen van de kredietwaardigheid van natuurlijke personen, bijvoorbeeld tot uitdrukking gebracht in een creditscore. [1], [2], [3], [4], [5], [9] Grootschalige verwerkingen en/of stelselmatige monitoring van financiële gegevens waaruit de inkomens- of vermogenspositie of het bestedingspatroon van mensen valt af te leiden (bijvoorbeeld overzichten van bankoverschrijvingen, overzichten van de saldi van iemands bankrekeningen of overzichten van mobiele- of pinbetalingen). [3], [4], [5] Grootschalige verwerkingen en/of stelselmatige monitoring van genetische persoonsgegevens (bijvoorbeeld DNAanalyses ten behoeve van het in kaart brengen van persoonlijke kenmerken, biodatabanken).

[3], [4], [5] Grootschalige verwerkingen van gegevens over gezondheid (bijvoorbeeld door instellingen of voorzieningen voor gezondheidszorg of maatschappelijke dienstverlening, arbodiensten, reïntegratiebedrijven, (speciaal)onderwijsinstellingen, verzekeraars, en onderzoeksinstituten) waaronder ook grootschalige elektronische uitwisseling van gegevens over gezondheid (let wel: individuele artsen en individuele zorgprofessionals

Niet van toepassing

Niet van toepassing

Niet van toepassing

Niet van toepassing Van toepassing

WIZter

Er is samen met de GR (functioneel beheer jeugdhulpapplicatie) gewerkt aan het opstellen van één DPIA voor alle vijf deelnemende gemeenten (in uitvoering, nagenoeg gereed).

22

8

Samenwerkingsverbanden

9

Cameratoezicht

zijn op grond van overweging 91 van de Algemene verordening gegevensbescherming uitgezonderd van de verplichting een DPIA uit te voeren). [4], [5], [7] Het delen van persoonsgegevens in of door samenwerkingsverbanden waarin gemeenten of andere overheden met andere publieke of private partijen bijzondere persoonsgegevens of persoonsgegevens van gevoelige aard (zoals gegevens over gezondheid, verslaving, armoede, problematische schulden, werkloosheid, sociale problematiek, strafrechtelijke gegevens, betrokkenheid van jeugdzorg of maatschappelijk werk) met elkaar uitwisselen, bijvoorbeeld in wijkteams, veiligheidshuizen of informatieknooppunten. [6], [7], [8]

Grootschalige en/of stelselmatige monitoring van openbaar toegankelijke ruimten met behulp van camera’s, webcams of drones. [3], [5]

Van toepassing

RBL JPO ESF RES

GR-en Stichtingen

Van toepassing

Stadskantoor

Parkeergarage Centrum (in uitvoering) Opvanglocatie Oekraïne (in uitvoering) Cameratoezicht autoluwe binnenstad (in uitvoering)

ORU Gemeenteraad

10

Flexibel cameratoezicht

Grootschalig en/of stelselmatig gebruik van flexibel cameratoezicht (camera’s op kleding of helm van brandweer- of ambulancepersoneel, dashcams gebruikt door hulpdiensten). [3], [5]

Van toepassing

11

Controle werknemers

Grootschalige verwerking van persoonsgegevens en-of stelselmatig monitoring van activiteiten van werknemers (bijvoorbeeld controle van e-mail en internetgebruik, GPS-

Van toepassing

Bodycams Roze Zaterdag Muziekfeest

Tracking voertuigen (in uitvoering)

Voor Regionaal Bureau Leerplicht (RBL) is een DPIA opgesteld. RBL is een GR met rechtsvorm centrumgemeente. Goes is centrumgemeente. RBL werkt met het softwaresysteem Carel. Voor het Jongeren Probleem Overleg is een concept DPIA opgesteld. De Arbeidsmarktregio heeft een DPIA opgesteld voor de ESF-subsidies. Ook voor de Regionale Energie Strategie is een DPIA opgesteld. Andere uitwisselingen van persoonsgegevens moeten nog in beeld worden gebracht. Gedacht moet worden aan de 9 andere GR-en en stichtingen zoals SMWO. Er zijn DPIA’s en reglementen opgesteld voor cameratoezicht in en rond het stadskantoor en de twee terreinen van de afd. ORU aan de Troelstralaan en het Geldeloozepad. Er is ook een DPIA en reglement opgesteld voor de camerabeelden van openbare raadsvergaderingen. Voor de parkeergarage Centrum moet nog een DPIA worden opgesteld. Er is een DPIA opgesteld voor het gebruik van bodycams door de toezichthouders. Voor het gebruik van cameratoezicht op het evenement Roze Zaterdag in 2023 en het Muziekfeest in 2025 is een DPIA opgesteld. Afd. ORU maakt gebruik van een trackingsysteem voor de voertuigen van deze afdeling. Hiervoor is nog geen DPIA opgesteld.

23

12

Locatiegegevens

13

Communicatiegegevens

14

Internet of things

15

Profilering

16

Observatie

systemen in (vracht)auto’s van werknemers of cameratoezicht ten behoeve van diefstal- en fraudebestrijding). [3], [5], [7] Grootschalige verwerking en/of stelselmatige monitoring van locatiegegevens van of herleidbaar tot natuurlijke personen (bijvoorbeeld door (scan)auto’s, navigatiesystemen, telefoons, of verwerking van locatiegegevens van reizigers in het openbaar vervoer). [3], [5] Grootschalige verwerking en/of stelselmatige monitoring van communicatiegegevens inclusief metadata herleidbaar tot natuurlijke personen, tenzij en voor zover dit noodzakelijk is ter bescherming van de integriteit en de veiligheid van het netwerk en de dienst van de betrokken aanbieder, of het randapparaat van de eindgebruiker. [3], [5] Grootschalige verwerkingen en/of stelselmatige monitoring van persoonsgegevens die worden gegenereerd door apparaten die verbonden zijn met internet en die via internet of anderszins gegevens kunnen versturen of uitwisselen (‘internet of things’- toepassingen, zoals slimme televisies, slimme huishoudelijke apparaten, connected toys, smart cities, slimme energiemeters, medische hulpmiddelen, et cetera).

[3], [5], [8] Systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen gebaseerd op geautomatiseerde verwerking (profilering), zoals bijvoorbeeld beoordeling van beroepsprestaties, prestaties van leerlingen, economische situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag. [1], [3] Grootschalige verwerkingen van persoonsgegevens waarbij op stelselmatige wijze via geautomatiseerde verwerking gedrag van natuurlijke personen geobserveerd of beïnvloed, dan wel gegevens daarover worden verzameld

Niet van toepassing

Niet van toepassing

Niet van toepassing

Niet van toepassing

Niet van toepassing

24

17

Biometrische gegevens

en/of vastgelegd, inclusief gegevens die voor het doel online behavioural advertising worden verzameld. [1], [5] Grootschalige verwerkingen en/of stelselmatige monitoring van biometrische gegevens met als doel een natuurlijk persoon te identificeren. Op grond van de Algemene verordening gegevensbescherming is de verwerking van biometrische gegevens met als doel de unieke identificatie van een natuurlijk persoon, in beginsel verboden. In Nederland zijn aanvullende voorwaarden gesteld in artikel 29 van de Uitvoeringswet Algemene verordening gegevensbescherming. Enkel als de verwerking strikt noodzakelijk is voor authenticatie of beveiligingsdoeleinden, is de verwerking van biometrische gegevens toegestaan. [3], [5], [8]

Niet van toepassing

Oribi gezichtsvergelijking (in uitvoering)

Voor het ingebruikneming van gezichtsvergelijkscamera’s aan de balie is een DPIA in uitvoering.

25

BIJLAGE 4 OVERZICHT AANBEVELINGEN DPIA’S DPIA Bodycams toezichthouders Geen aanbevelingen. DPIA Weekrapportage politie voor de burgemeester 1. Beveiligd e-mailen door politie; 2. Intern privacyreglement opstellen voor weekrapportage (waarom doen we dit, op grond waarvan, hoe doen we het, aan wie wordt het allemaal verstrekt, wanneer verwijderen). Dit kan dan ook verstrekt worden aan nieuwe medewerkers en bestuurders; 3. Screening nieuwe medewerkers die hiermee inhoudelijk werken. Aanbevelingen 1 en 2 zijn nog niet uitgevoerd. Aanbeveling 3 is uitgevoerd. DPIA RBL Oosterschelderegio Zorg voor het zo veilig mogelijk versturen en ontvangen van documenten en houdt het vertrekken van rechten (autorisaties) voor de benodigde applicaties actueel. Aanbevelingen zijn uitgevoerd. DPIA Meld Misdaad Anoniem Geen aanbevelingen. DPIA Cameratoezicht stadskantoor 1. De camerabeelden in de bodekamer zijn niet afgeschermd en zijn voor iedereen zichtbaar in de bodekamer. Ook gaat het scherm niet uit als er niemand in de bodekamer aanwezig is. Ook kan iedereen door de ruiten in de deuren en ramen meekijken wat niet mag. Dit is niet toegestaan en moet aangepast worden. 2. De FG moet voortaan betrokken worden bij het verstrekken van camerabeelden voor opsporingsdoeleinden. 3. Het huidige Privacyreglement moet gelet op het vorenstaande geactualiseerd en aangepast worden.

Deze moet, met advies van de FG, opnieuw worden vastgesteld door het college. Dit na instemming van de OR. Aanbevelingen zijn uitgevoerd. DPIA Cameratoezicht openbare ruimte 1. De FG moet voortaan betrokken worden bij het verstrekken van camerabeelden voor opsporingsdoeleinden. 2. Het huidige Privacyreglement moet gelet op het vorenstaande geactualiseerd en aangepast worden. Deze moet, met advies van de FG, opnieuw worden vastgesteld door het college. Dit na instemming van de OR. 3. Daarnaast wordt aanbevolen om de bewaartermijn van de camerabeelden gelijk te trekken met de bewaartermijn van de camerabeelden die in en rondom het Stadskantoor van de gemeente Goes worden gemaakt. Deze bewaartermijn is vier weken ofwel 28 dagen. Aanbevelingen zijn uitgevoerd. DPIA uitzenden en opnemen beeld raadsvergaderingen 1. Zorg dat de cameraopnames van de gemeenteraad op termijn worden gearchiveerd in een edepot. Wacht hiermee niet tot dit wettelijk verplicht is (1 januari 2028). 2. Stel een reglement op en laat dit vaststellen door de gemeenteraad.

3.

Bespreek het reglement vooraf met de OR en het MT vanwege de aanwezigheid en actieve deelname van medewerkers in de beeldvormende en oordeelsvormende gemeenteraadsvergaderingen. Aanbeveling 2 is uitgesteld tot 2029. Er wordt in 2029 aangesloten op het e-Depot. Dat is een weloverwogen besluit omdat er veel voorbereidingen aan vooraf gaan en op het moment dat wij gaan aansluiten kosten in rekening worden gebracht. Aanbevelingen 2 en 3 zijn uitgevoerd. DPIA Cameratoezicht evenement Roze Zaterdag 1. Check vooraf of de beveiligd verbinding goed werkt. 2. Bepaal vooraf wie toegang hebben tot de Centrale Post. 3. Laat geen onbevoegden in de Centrale Post toe. 4. Spreek vooraf expliciet met iedereen af dat er geen foto’s of filmmateriaal wordt gemaakt van de beelden die in de Centrale Post te zien zijn. Aanbevelingen zijn uitgevoerd. DPIA Softwareprogramma Citycontrol voor toezichthouders 1. Voor inloggen op de backoffice omgeving van Citycontrol van Sigmax geldt dat geen IP-whitelisting mogelijk is. Hierdoor is het systeem ook buiten de VDI-omgeving toegankelijk. Spreek daarom met de gebruikers af dat iedereen het systeem alleen via de VDI-omgeving gebruikt. 2. Tweefactor authenticatie is mogelijk en verplicht vanuit beleid en BIO. Deze is niet actief. Ga over tot het gebruik van tweefactor authenticatie op de back-office applicatie. 3.

Controleer periodiek (2x per jaar) aantoonbaar de actualiteit van de autorisaties binnen de applicatie (conform beveiligingsbeleid en plan) en informeer leidinggevende hierover. Borg dit in werkproces beheerder. Informeer CISO over uitkomsten. 4. De handhelds zelf zijn onvoldoende beveiligd qua toegang (pincode, wachtwoord of biometrisch). Onduidelijk is wie deze beheert en of de Mobile Device Management (MDM) actief is en in welke mate. Verbeter de beveiliging en stel een beheersplan op en implementeer dit. Aanbevelingen 1 t/m 3 zijn uitgevoerd. Aanbeveling 4 niet. DPIA Anonimiseringssoftwareprogramma Datamask Geen aanbevelingen. DPIA JPO Geen aanbevelingen. DPIA ESF 1. Wijs een beheerder aan voor de map waarin de verwerking van de ESF-subsidies plaatsvindt; 2. Stel een autorisatiematrix op voor medewerkers die werken met ESF-subsidies; 3. Beperk aan de hand van de autorisatiematrix de toegang tot de G-schijf waarop de verwerking van persoonsgegevens voor de ESF-subsidies plaatsvindt; 4. Stop met het werken met een USB-stick. Als dit echt niet anders kan, werk dan met een beveiligde USB-stick; 5. Blijf partners wijzen op het beveiligd mailen van persoonsgegevens. 6. Voer deze maatregelen door in de eerste helft van 2025. Aanbevelingen zijn uitgevoerd.

27

DPIA OpenAI Chatbot Guus Maak met de leverancier afspraken in een allonge op de overeenkomst over het maandelijks verwijderen van de vragen en antwoorden op het Obibotplatform en het ontwikkelen van een tool die persoonsgegevens scant om deze vervolgens te verwijderen. Aanbevelingen zijn uitgevoerd. DPIA RES Geen aanbevelingen. DPIA Cameratoezicht Muziekfeest Grote Markt 1. Check vooraf of de beveiligd verbinding goed werkt. 2. Bepaal vooraf wie toegang hebben tot de Centrale Post. 3. Laat geen onbevoegden in de Centrale Post toe. 4. Spreek vooraf expliciet met iedereen af dat er geen foto’s of filmmateriaal wordt gemaakt van de beelden die in de Centrale Post te zien zijn. Aanbevelingen zijn uitgevoerd.

28