Document · PDF

2 Bijlage 1 213a-rapportage privacybeleid

commissie Bestuur 4 april 2024, gemeente HaarlemBij agendapunt: Artikel 213a-onderzoek naar privacybeleid (ER)22.127 woorden

Open het PDF bij iBabs ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen · deel 1 van 3

Pagina | 1

Adviesaudit Privacybeleid Gemeenten Haarlem en Zandvoort

Auteur:

EIFFEL B.V.

Datum:

definitief september 2023

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Inhoud 1

Managementsamenvatting

Begrippenlijst en definities

Inleiding

3.1

Aanleiding

3.2

Doelstelling

3.3

Afbakening

3.4

Beoordelingskader doelmatigheid en/of doeltreffendheid

Uitwerking onderzoeksbevindingen

4.1

Uitwerking onderzoeksbevindingen

4.2

Leesbaarheid, begrijpelijkheid en actualiteit privacybeleid

Privacyproducten

5.1

Inleiding

5.2

Privacyverklaring

5.3

Functionaris gegevensbescherming en governance

5.4

Inbreuken in verband met persoonsgegevens (datalekken)

5.5

Gegevensbeschermingseffectbeoordeling (DPIA)

5.6

5.7

Rechten van betrokkenen

5.8

Privacy by default en by design

5.9

Bewustmaking

5.10

Samenwerkingen

Privacybeleid andere gemeenten: wat kan de gemeente daarvan meenemen

6.1

Belangrijkste bevindingen

Output interviews privacy adviseurs & informatiemanagers

7.1

Opzet en bevindingen

Output interviews business

8.1

Opzet en bevindingen

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 2

Conclusie

10.

Bijlagen

10.1

BIJLAGE 1 Output interviews privacy adviseurs

10.2

BIJLAGE 2 Output interviews business

10.3

BIJLAGE 3 Bijvangst, behorend bij bijlage 1&2

10.4

BIJLAGE 4 Ontwikkelingen, trends: jurisprudentie en richtlijnen

10.5

nationale en Europese toezichthouders

BIJLAGE 5 Inventarisatie beleid vergelijkbare gemeenten

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 3

Managementsamenvatting

Dit advies(audit)rapport is geschreven in opdracht van de gemeenten Haarlem en Zandvoort, met als doel om een onderzoek te doen naar het privacybeleid dat sinds 2018 bekend is en hoe dat wordt gehanteerd door de organisaties. Doel van het onderzoek is tweeledig: 1. om te evalueren of met het bestaande beleid door de organisaties voldoende invulling kan worden gegeven aan de doelen van de AVG 2. advies te geven waar mogelijk verbeteringen kunnen worden doorgevoerd (opzet en inhoud) bij het opstellen van vernieuwd beleid. Uit de interviews met de medewerkers blijkt dat het huidige beleid grotendeels onbekend is bij de medewerkers. Dit heeft meerdere oorzaken, zoals: slechte vindbaarheid, niet praktisch en het beleid is op onderdelen verouderd zodat het weinig meerwaarde biedt. Uit de interviews blijkt echter ook dat de organisatie (grotendeels) wel binnen de kaders van de AVG werkt. Dit lijkt een paradox maar het goede eraan is dat de organisatie de AVG wel toepast maar het beleid mogelijk als belastend of belemmerend ervaart. In de interviews is gevraagd aan de medewerkers waar zij behoefte aan hebben als het gaat om privacybeleid. Dit is, volgens hen, beleid dat is toegespitst op de uitvoering in de dagelijkse praktijk op afdelingsniveau. Belangrijk aandachtspunt en eigenlijk onontbeerlijk zijn het commitment van het MT en het bestuur en duidelijke rol- en taakverdeling.

Wat wij constateren uit het beleid en de privacyproducten die de organisatie heeft vastgesteld, is dat de organisatie naast het (verouderde) beleid wel degelijk nieuwe privacyproducten heeft ontwikkeld, die een handvat bieden voor de organisatie bij toepassing van de AVG. Sommige van die producten zijn niet actueel of geactualiseerd naar aanleiding van veranderingen in denkwijze bij de toezichthouders (AP en EDPB), jurisprudentie of andere uitleg van gezaghebbende instanties. Dit heeft er waarschijnlijk ook mee te maken dat de Plan-Do-Check-Act cyclus niet voldoende is ingebed in de organisatie. De conclusie uit het bestaande beleid met als toevoeging de interviews met de medewerkers is volgens ons dat de organisatie behoefte heeft aan een gestructureerd beleid met de daarbij behorende privacyproducten. Deze moeten organisatie breed worden vastgesteld en ingeregeld als de enige manier waarop de organisatie van de gemeenten werkt. Wij hebben geconstateerd dat de taken, bevoegdheden en verantwoordelijkheden van de medewerkers en het bestuur niet -voldoendezijn vastgelegd. Om een privacybeleid en een manier van werken binnen de

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 4

organisatie van onderaf aan neer te zetten, is meer nodig dan een privacybeleid en privacyproducten. Een duidelijke structuur van taken, bevoegdheden en verantwoordelijkheden van iedere actor in de gemeente (governance), draagt bij aan duidelijkheid wie waarvoor verantwoordelijk is. Als dat is vastgesteld is het vervolgens mogelijk om een goede inschatting te maken met welke arbeidscapaciteit (fte) het privacykader / beleid ook daadwerkelijk kan worden neergezet en werkbaar wordt voor de organisatie. Hierbij moet ook rekening worden gehouden met de nabije toekomst, waar bijvoorbeeld het datagedreven / -gestuurd werken en integraal werken steeds meer een vlucht neemt. Uit de interviews kwam naar voren dat het domeingericht werken waarschijnlijk ervoor zal zorgen dat de privacy adviseurs zich bezig moeten houden met gegevensbescherming binnen dat domein en dan niet kunnen werken aan (het neerzetten van) een nieuw privacybeleid voor de organisatie, laat staan dat er uitvoering kan worden gegeven aan de privacyproducten, zoals een DPIA en een actualisering van het register van verwerkingen. In het tweede deel van deze rapportage geven wij aanbevelingen voor de inhoud van een te ontwikkelen beleid en de privacyproducten van de gemeenten Haarlem en Zandvoort. De conclusie die we daaruit trekken is dat er een heleboel mogelijk is om aan te passen, te actualiseren en te verbeteren .

Maar het is met name belangrijk dat dit behapbaar is voor de gemeentelijke organisatie en de privacy organisatie in het bijzonder. Los van alle wet- en regelgeving regelt de organisatie privacy goed in, omdat de betrokkene (de inwoner van de gemeente, de persoon waarmee de gemeente zaken doet, de eigen werknemers en andere betrokkenen) ervan uit mag gaan dat de gemeentelijke organisatie betrouwbaar, vertrouwelijk en veilig omgaat met persoonsgegevens. Bij het verder inrichten van de privacy organisatie en het actualiseren en verbeteren van het beleid en de privacy producten, adviseren wij dat de gemeente aan de betrokkene goed aangeeft wat ze wel en niet doet als het gaat om het verwerken van persoonsgegevens (transparantie naar de betrokkene). Het beleid kan verder nog steeds globaal: leg er niet teveel verplichtingen in vast omdat bij het niet nakomen van die verplichtingen de overheid alsnog als onbetrouwbaar kan overkomen. Zet duidelijk uiteen wat de gemeente nastreeft bij de uitvoering van het beleid en publiceer ook ieder privacyproduct, zodat betrokkenen er kennis van kunnen nemen. Dit is uiteraard ter keuze aan de organisatie maar geven wij in overweging mee.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 5

Het schrijven van een nieuw privacybeleid is geen onderdeel van dit advies geweest. De gemeente is aan zet om te kiezen welke onderdelen van de aanbevelingen zij overneemt en om daarin een prioritering te maken.

Pagina | 6

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Begrippenlijst en definities

AP AVG

Autoriteit Persoonsgegevens Algemene Verordening Gegevensbescherming

CISO

Chief Information Security Officer

DPIA

Data Protection Impact Assessment

EDPB

European Data Protection Board (de Europese verenigde toezichthouders) Functionaris Gegevensbescherming

FG Privacy by design

Gegevensbescherming door ontwerp. Bij de inrichting van het proces wordt rekening gehouden met gegevensbescherming, bijvoorbeeld vooraf wordt beoordeeld welke data voor het proces nodig is, dus in het proces wordt niet om meer data gevraagd.

Privacy by default

Gegevensbescherming door standaardinstellingen. Door keuzes in het proces beantwoord vast te leggen, wordt gegevensbescherming gewaarborgd. Bijvoorbeeld voordat je verder kunt klikken moet je aanvinken dat de privacyverklaring is gelezen.

Privacyproducten

De eisen uit de AVG die zijn omgezet in bijvoorbeeld beleid, register van verwerkingen, de DPIA, etc.

TBV:

Taken, bevoegdheden en verantwoordelijkheden van personen.

Betrokkene Degene van wie persoonsgegevens worden verwerkt. Het gaat dan om een geïdentificeerde of identificeerbaar natuurlijk persoon. Deze persoon kan direct (met naam, geboortedatum en adresgegevens) of indirect (via een zaak- of cliëntnummer) herleidbaar zijn. Datalek Een inbreuk op de beveiliging van persoonsgegevens waardoor een onbevoegde mogelijk kennis heeft genomen van persoonsgegevens. DPIA Middels een Data Protection Impact Assessment (gegevensbeschermingseffectbeoordeling) wordt een verwerking systematisch beschreven en geanalyseerd. Deze beschrijving en analyse leidt tot een rapportage waarin de volgende onderdelen terugkomen: 

Een systematische beschrijving van de verwerking



Een beschrijving van de doeleinden en de wettelijke grondslag en waarop de verwerking is toegestaan



Een beoordeling van de noodzaak en proportionaliteit gelet op de doeleinden



Een beoordeling van de risico’s voor betrokkenen

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 7



De beoogde maatregelen om de risico’s aan te pakken



De restrisico’s na de beoogde maatregelen inclusief de beoordeling of risico’s wel of niet acceptabel zijn.

Een DPIA is wettelijk verplicht indien een verwerking waarschijnlijk een hoog risico oplevert voor de betrokkene en moet uitgevoerd zijn voordat de nieuwe of gewijzigde verwerking start. Bij een te hoog restrisico is de organisatie verplicht de AP te consulteren voordat de verwerking mag starten. PDCA-cyclus De PDCA-cyclus is een goed controlemiddel om de kwaliteit van veranderingen en verbeteringen binnen de organisatie te bewaken. De PDCA-cyclus staat voor de afkorting van de vier belangrijkste stappen in de cirkel: Plan, Do, Check en (Re-) Act. Het PDCA-model heeft een cyclisch karakter, waardoor er continu aandacht voor kwaliteitsverbetering is. Persoonsgegeven Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Dit betekent dat informatie ofwel direct over iemand gaat, ofwel anderszins naar deze persoon te herleiden is (indirect herleidbaar). Er zijn veel soorten persoonsgegevens. Voor de hand liggende gegevens zijn iemands naam, adres en woonplaats. Maar ook telefoonnummers en postcodes met huisnummers zijn persoonsgegevens. Andere voorbeelden zijn, BSN, IP-adressen en locatiegegevens. Verwerker Een andere partij of persoon die namens de gemeente (het college) persoonsgegevens verwerkt.

(Verwerkings-)verantwoordelijke Een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. In deze rapportage is dat over het algemeen de gemeente (het college).

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 8

3. Inleiding 3.1

Aanleiding

De gemeenten Haarlem en Zandvoort moeten en willen voldoen aan de AVG, die sinds 2018 van toepassing is, evenals aan de overige privac y wet- en regelgeving. Om richting te geven aan de wijze waarop de gemeenten willen voldoen, is in 2018, in beide gemeenten, het Privacyreglement vastgesteld. Het Privacyreglement vormt het gegevensbeschermingsbeleid dat de Verwerkingsverantwoordelijke (voor de meeste verwerkingen binnen de gemeente: het college van burgemeester en wethouders), op basis van artikel 24 lid 2 AVG, uitvoert. Het Privacyreglement is vormgegeven in een tijd waarin werken volgens privacyrichtlijnen nog nieuw terrein was en er nog niet veel ervaring was op het gebied van gegevensbescherming. Het is indertijd vastgesteld als zijnde het document waarin de gemeente aangeeft hoe zij omgaat met de privacy van inwoners, medewerkers en andere betrokkenen. Maar dat vormt op zichzelf niet alléén de basis voor het veilig, vertrouwd en betrouwbaar omgaan met persoonsgegevens. De gemeentelijke organisatie houdt zich op verschillende manieren aan de normen van de AVG en andere wetgeving waarin gegevensbescherming / de privacy van de betrokkene is geregeld. De gemeenten Haarlem en Zandvoort hebben, als opdrachtgever, gevraagd naar een onderzoek in het kader van artikel 213a Gemeentewet naar het functioneren van het gegevensbeschermingsbeleid en het voldoen aan de privacyregels.

Dit onderzoek is uitgevoerd door Eiffel. De resultaten van het onderzoek zijn vastgelegd in deze rapportage.

3.2

Doelstelling

Doel van het onderzoek,1 is te evalueren of met het bestaande privacybeleid voldoende invulling wordt gegeven aan de doelen van de AVG. Ook vraagt de gemeente om aanbevelingen te geven voor mogelijke opzet en inhoud, voor het opstellen van vernieuwd beleid. Het nieuwe, door de gemeente in de toekomst op te stellen beleid moet zo concreet mogelijke handvatten voor de organisatie geven om zorgvuldig(er) om te gaan met persoonsgegevens.

1 Op grond van artikel 213a Gemeentewet.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 9

3.3

Afbakening

Bij het onderzoek is gebruik gemaakt van verschillende onderzoeksmethoden, waaronder interviews met betrokken medewerkers en medewerkers die veel met persoonsgegevens werken. Zij hebben een zo feitelijk mogelijk e weergave gegeven van gegevensbescherming in Haarlem en Zandvoort. Daarnaast is gebruik gemaakt van (beperkte) observatie en bestudering van vastgestelde stukken. Voor de aanbevelingen voor nieuw op te stellen beleid is gekeken naar het beleid bij andere grote gemeenten, adviezen van de toezichthouders, literatuur en jurisprudentie. Het voorliggende onderzoek is niet gericht op het maken van een beleidsstuk voor de gemeenten Haarlem en Zandvoort. Uit het onderzoek komen aanbevelingen naar voren die de gemeenten zelf kunnen gebruiken bij het opstellen van nieuw beleid of andere privacyproducten.

3.4

Beoordelingskader doelmatigheid en/of doeltreffendheid

De onderzoeksvragen zijn als volgt geformuleerd: Onderzoeksvraag 1: onderzoek de werking van het beleid over de bestaande privacyproducten (hiermee wordt bedoeld de verplichte onderdelen, zoals: privacybeleid, privacyreglement, is een FG aangesteld, register van verwerkingen, beveiligingsincidenten en datalekken, etc.) voor de organisatie en geef hierover een actueel beeld. Onderzoeksvraag 2: geef aanbevelingen en advies voor de opzet van een nieuw beleid.

Deelvragen bij onderzoeksvraag 1:

1. Helpt het reglement om de AVG te vertalen naar de taken en werkzaamheden van de gemeente? In hoeverre verschaft het privacyreglement inzicht en concrete handvatten voor het dagelijks werk? Zijn alle privacyproducten beschreven in het beleid en is de uitwerking ervan werkbaar voor de organisatie? 2. Hoe zit het interne privacybeleid van vergelijkbare gemeenten in elkaar? 3. Zijn er onderdelen in het huidige reglement die niet meer actueel zijn?

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 10

Het bestaande beleid wordt getoetst aan de AVG. Deelvraag 1, of de organisatie voldoet aan de AVG is opgesplitst in drie delen:

a. zijn de privacyproducten vanuit de AVG benoemd in het beleid en op welke wijze? b. in hoeverre zijn de privacyproducten geïmplementeerd in de organisatie? c. in hoeverre werkt de organisatie met en binnen het privacybeleid en de AVG? Deelvragen bij onderzoeksvraag 2:

1. Wat kunnen we leren van privacybeleid van andere organisaties en welke elementen zouden een toegevoegde waarde hebben voor het beleid van de gemeente. 2. Zijn voor een nieuw of aangepast beleid meer specifieke handvatten nodig per domein of werkgebied? 3. Zijn er ontwikkelingen geweest of aanstaande die nopen tot toevoeging van onderwerpen aan het reglement? Bijvoorbeeld ontwikkelingen in de techniek, jurisprudentie en richtlijnen vanuit de nationale en Europese toezichthouders?

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 11

4. Uitwerking onderzoeksbevindingen 4.1

Uitwerking onderzoeksbevindingen

Voor het onderzoek naar de werking van het bestaande beleid en overige privacyproducten, binnen de gemeente Haarlem, zijn verschillende methoden gebruikt: 1. Er is een beoordeling gemaakt op de leesbaarheid, begrijpelijkheid en actualiteit van het privacybeleid. 2. Er is beoordeeld of alle privacyproducten, zoals die er op basis van de AVG zouden moeten zijn, aanwezig zijn en actueel zijn. 3. Voor het privacybeleid is een vergelijking gemaakt met andere gemeenten met een gelijkwaardige omvang als Haarlem en Zandvoort. 4. Voor de uitvoering van het privacybeleid en de privacyproducten is beoordeeld in hoeverre deze geactualiseerd kunnen worden aan de hand van jurisprudentie en uitspraken van gezaghebbende instanties als de AP en EDPB. 5. Er zijn interviews gehouden met medewerkers van de interne organisatie.

4.2

Leesbaarheid, begrijpelijkheid en actualiteit privacybeleid

Basis: artikel 24 lid 2 AVG. 2 Het privacybeleid zelf, is vastgelegd in de Nota Privacybeleid, die is vastgesteld door het college van burgemeester en wethouders in 2017. Deze nota is ook op 16 maart 2017 door de gemeenteraad van Haarlem vastgesteld. Vervolgens is ter uitwerking, in een soort raamkader, het Privacyreglement, opgesteld. Samen vormen zij, in de basis, het privacybeleid van Haarlem en Zandvoort. Over deze beleidsstukken merken wij het volgende op. De precieze datum van vaststelling van de nota Privacybeleid en het Privacyreglement hebben wij niet via de officiële publicatiesite kunnen achterhalen. Wij hebben niet kunnen vaststellen dat deze beleidsstukken zijn gepubliceerd op de officiële overheidswebsite die door Haarlem moet worden gebruikt. Op basis van artikel 4:84 Algemene wet bestuursrecht, in combinatie met artikel 6 van de Bekendmakingswet moet beleid gepubliceerd worden op een door de gemeente uitgegeven publicatieblad. Op dat publicatieblad staat dan ook de datum van publicatie en inwerkingtreding. De nota Privacybeleid is overigens wel via een zoekmachine vrij makkelijk te achterhalen, waarbij de vinder terechtkomt op de website van de gemeente Haarlem, waarin een pdf wordt geladen met het privacybeleid. 2 Wanneer zulks in verhouding staat tot de verwerkingsactiviteiten, omvatten de in lid 1 bedoelde maatregelen

een passend gegevensbeschermingsbeleid dat door de verwerkingsverantwoordelijke wordt uitgevoerd.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 12

Het Privacyreglement is niet gemakkelijk te achterhalen via de website. Omdat het beleid niet precies via de wettelijke weg is gepubliceerd kan bediscussieerd worden of het beleid rechtsgeldig is. Het beleid werkt echter met name intern voor de gemeentelijke organisatie en heeft minder directe werking naar de inwoners van Haarlem. De directe werking van het beleid zit meer in de privacyverklaring die op de website van Haarlem is gepubliceerd. Via de website van de gemeente Zandvoort is geen privacybeleid te achterhalen, noch is dat via een zoekmachine te achterhalen. De vaststelling van beleid komt toe, op basis van artikel 4:81 Algemene wet bestuursrecht,3 aan het bestuursorgaan dat de verantwoordelijkheid heeft over de bevoegdheid. De meeste verwerkingen van de gemeente vallen onder de Verwerkingsverantwoordelijkheid van het college van burgemeester en wethouders. Het ligt in de rede om daar dan ook het beleid te laten vaststellen . De raad kan wel goed betrokken worden in de wijze waarop het beleid vorm krijgt, zodat zij als controleur vooraf is aangehaakt bij de wijze waarop het college omgaat met persoonsgegevens. De actualiteit van de nota Privacybeleid en het Privacyreglement zijn enigszins achterhaald, in die zin dat de Wet bescherming persoonsgegevens nog wordt aangehaald. Deze wet is van rechtswege vervallen bij het van toepassing worden van de AVG op 25 mei 2018.

De AVG is inmiddels vijf jaar oud. Ook wordt de Wet openbaarheid van bestuur genoemd, die op 1 mei 2022 is overgegaan in de Wet open overheid. Bij het opstellen van het privacybeleid in 2017 is wel vooruitgekeken naar de teksten van de AVG en de wijze waarop Haarlem wil gaan werken onder de AVG. Daarnaast is het beleid uitgewerkt in stukken (die later zijn vastgesteld of werken voor de gemeente) die voor de organisatie praktischer zijn ingericht en daardoor ook beter bruikbaar. Conclusie privacybeleid -

het privacybeleid is verouderd

het privacybeleid is niet goed gepubliceerd en mede daardoor misschien niet bij iedereen bekend

omdat de privacyproducten later zijn gemaakt mist er samenhang tussen het privacybeleid en de privacyproducten

het privacybeleid is globaal waardoor er mogelijk geen sense of urgency bij de organisatie bestaat om het te actualiseren of om de inhoud na te streven.

3 Een bestuursorgaan kan beleidsregels vaststellen met betrekking tot een hem toekomende of onder zijn

verantwoordelijkheid uitgeoefende, dan wel door hem gedelegeerde bevoegdheid.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 13

het privacybeleid is globaal waardoor veel privacyproducten eronder kunnen worden geschoven

het privacybeleid is bij college en raad langs geweest (los van de wijze van besluitvorming). Dit is ook de juiste weg: het college is voor de meeste verwerkingen verwerkingsverantwoordelijke en heeft daarom ook de voorkeur om daar het beleid vast te stellen. De raad kan als controlerend orgaan worden meegenomen in de wijze waarop privacy wordt nagestreefd door het college.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 14

5. Privacyproducten 5.1

Inleiding

Onder de AVG heeft de gemeente als verwerkingsverantwoordelijke en als verwerker verplichtingen: aantoonbaar voldoen aan de AVG. Deze zijn opgenomen in de AVG en worden in deze audit ‘privacyproducten’ genoemd. Het privacybeleid is ook zo’n product maar is al besproken in het vorige hoofdstuk. De overige privacyproducten die wij hebben onderzocht zijn (in willekeurige volgorde): 1. Privacyverklaring 2. De functionaris gegevensbescherming en governance 3. Inbreuken in verband met persoonsgegevens (datalekken) 4. Gegevensbeschermingseffectbeoordeling (DPIA) 5. Register van de verwerkingsactiviteiten 6. Rechten van betrokkenen 7. Privacy by default en by design 8. Bewustmaking 9. Samenwerkingen

5.2

Privacyverklaring

Basis: artikel 12, 13 en 14 AVG Algemeen De privacyverklaring die wordt gehanteerd op de website van de gemeente Haarlem is verbonden met de meeste privacyproducten en is een van de eerste bronnen die inwoners zullen bekijken als ze vragen hebben over de verwerking van persoonsgegevens door de gemeente.4 Die van de gemeente Zandvoort is beknopter. 5 Een privacyverklaring fungeert daarom als het ware als een eerste linie om betrokkenen helder te informeren over gegevensverwerkingen. Wij merken op dat de privacyverklaring van de gemeente, ook wel ‘online’ privacyverklaring of privacy statement genoemd, niet voldoet aan de minimumeisen die de AVG stelt aan een privacyverklaring.

4 Te benaderen via: https://haarlem.nl/privacy. 5 Te benaderen via: https://zandvoort.nl/privacy.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 15

De minimumeisen waaraan een privacyverklaring moet voldoen staan beschreven in artikel 12, 13 en 14 van de AVG,6 en zijn als volgt (willekeurige volgorde): -

Beschrijving van welke persoonsgegevens er worden verwerkt;

De verwerkingsdoeleinden;

Wat de grondslag is voor de verwerking;

Hoe lang persoonsgegevens worden bewaard;

De aan de betrokkene toegekende rechten, waaronder het recht op inzage, rectificatie, beperking en wissing;

Informatie over, indien de grondslag toestemming wordt gehanteerd voor een bepaalde verwerking, de mogelijkheid om deze te allen tijde weer in te kunnen trekken;

Of en zo ja met welke organisaties persoonsgegevens worden gedeeld (ontvangers). Worden er persoonsgegevens met organisaties buiten de Europese Economische Ruimte gedeeld, dan moet dat ook als zodanig vermeld zijn;

De herkomst van persoonsgegevens als deze van een andere organisatie zijn verkregen;

De contactgegevens van de FG en van de gemeente;

Informatie over het recht om een klacht in te dienen bij de toezichthoudende autoriteit (de AP);

Informatie over het (al dan niet) bestaan van geautomatiseerde besluitvorming, met inbegrip van profilering, en nuttige informatie over de onderliggende logica en de verwachte gevolgen voor de betrokkene.

Op meerdere punten wordt op dit moment onvoldoende (te summier en/of te algemeen) of geen informatie gegeven. Zo wordt bijvoorbeeld in Haarlem gewezen op de omstandigheid dat sommige besluiten op een aanvraag geautomatiseerd plaatsvinden, maar vervolgens wordt niets gezegd over de onderliggende logica of de mogelijkheid om menselijke tussenkomst te verlangen. Ook wordt onder het kopje ‘Uw rechten’ informatie gegeven over hoe er een inzageverzoek kan worden ingediend met een bijbehorende link. Maar informatie over het uitoefenen van andere, aan de betrokkene toegekende, rechten ontbreekt.

6 De uitgangspunten van de AP voor een goede privacyverklaring zijn hier ook bij betrokken, zie:

https://autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie#voororganisaties-een-goede-privacyverklaring.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 16

Gelaagdheid In het kader van transparantie, heldere communicatie en toegankelijkheid kan het helpen om op de website specifieke privacy verklaringen (op thematisch niveau) te hanteren, naar het voorbeeld van de gemeente Amsterdam 7 en de gemeente Breda.8 Zo wordt een zekere gelaagdheid bereikt die voor inwoners beter is te begrijpen en te doorgronden.9 In de eerste laag wordt dan kort in het algemeen toegelicht/vermeld: de gemeente als verwerkingsverantwoordelijke organisatie, de contactgegevens (ook van de FG), algemene informatie over het verwerken en delen van persoonsgegevens (uitgangspunten), het uitoefenen van de rechten van betrokkenen en informatie over het indienen van een vraag of klacht. In de tweede laag kan, in een specifieke privacyverklaring, op detail of themaniveau worden aangegeven, welke persoonsgegevens voor welk doel worden verwerkt, wat de verwerkingsgrondslag is, de ontvangers en de herkomst van persoonsgegevens en hoe lang persoonsgegevens worden bewaard. Voorbeeld Onder de specifieke kop: ‘bodycams’ gaat de gemeente Haarlem in op de privacyaspecten rondom dit thema. Met onze aanbeveling kan dit thema in een specifieke privacyverklaring (tweede laag) uiteen worden gezet. De verklaring over bodycams kan worden uitgebreid met onder andere: het doel van de verwerking, de verwerkingsgrondslag en de ontvangers van de persoonsgegevens.

Wet politiegegevens (Wpg) In de privacyverklaring wordt opgemerkt dat op een deel van het werk van de buitengewoon opsporingsambtenaren de Wpg van toepassing is. Hoewel buiten scope van de opdracht, merken wij hierover op, dat de aangeboden informatie op de website vrij beperkt is. Om de verschillen tussen de AVG en de Wpg op het gebied van bescherming van persoonsgegevens (waaronder eisen aan de beveiliging en uit de Wpg voorvloeiende bewaartermijnen) kenbaar te maken adviseren wij om bij de processen waar politiegegevens worden verwerkt, de betrokkene specifiek te informeren.10

7 Zie: https://www.amsterdam.nl/privacy/specifieke/. 8 Zie: https://www.breda.nl/privacyverklaringen. 9 Gelaagdheid in de privacyverklaring is overigens geen wettelijke eis maar wordt wel als goed uitgangspunt

gezien door de AP. Zie ook: https://autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/rechtop-informatie#voor-organisaties-een-goede-privacyverklaring. 10 Zie daarvoor bijvoorbeeld: https://www.breda.nl/privacyverklaring-cameratoezicht-openbare-orde-en-

veiligheid.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 17

Conclusie privacyverklaring -

De privacyverklaring is niet actueel en omvat niet alle verplichtingen die uit de AVG voortvloeien.

Een betrokkene kan enigszins achterhalen bij wie hij moet zijn voor vragen over privacy.

5.3

Functionaris gegevensbescherming en governance

Basis: artikel 37 AVG 11 De gemeente heeft een FG aangewezen, die de taken volgens de AVG uitvoert. De FG is bij besluit van 27 maart 2018 door het college van burgemeester en wethouders aangewezen voor de taken, verantwoordelijkheden en bevoegdheden die vanuit de AVG aan de FG zijn toegewezen. Uit een gesprek met de FG blijkt dat dit ook gaat gelden voor de TBV vanuit de Wpg. De FG krijgt van de organisatie de mogelijkheid om de haar toekomende TBV vrijelijk uit te voeren. Om uitvoering te geven aan de TBV is echter ook een goede governance noodzakelijk. Zonder die governance is het met de grootte van de organisatie en de vele verschillende verwerkingen die de organisatie doet, ondoenlijk om op een juiste manier aan de AVG te voldoen maar zeker ook om toezicht te houden. Governance De TBV van de FG en ook van de verwerkingsverantwoordelijke zelf, kunnen niet slechts door de FG worden uitgevoerd. Simpelweg omdat de organisatie te groot is en de uitdagingen op de AVG divers. Een vastgelegde governance op de AVG draagt bij aan het aantoonbaar voldoen aan de AVG. Uit de gesprekken met medewerkers wordt de indruk gewekt dat er in Haarlem een soort gewoonte is ontstaan dat daardoor vaststaat wie waarvoor verantwoordelijk is. Een governance is echter niet formeel uitgewerkt. Onderdeel van een governance zijn onder andere: Het college:

de Verwerkingsverantwoordelijke

11 De verwerkingsverantwoordelijke en de verwerker wijzen een functionaris voor gegevensbescherming aan in

elk geval waarin: de verwerking wordt verricht door een overheidsinstantie of overheidsorgaan, behalve in het geval van gerechten bij de uitoefening van hun rechterlijke taken.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 18

De gemeentesecretaris:

verantwoordelijk voor de bedrijfsvoering

De afdelingsmanagers/ directeuren:

verantwoordelijk voor de uitvoering van taken en processen, waaronder die met persoonsgegevens.

De CISO:

verantwoordelijk voor toezicht en beleid op het gebied van Informatieveiligheid.

De ISO:

ondersteunt de afdelingen met adviezen op het gebied van informatieveiligheid.

De CIO:

hoofd informatievoorziening en verantwoordelijk hiervoor.

FG:

toezicht op de uitvoering van de AVG en aanverwante privacywetgeving.

PO 12:

ondersteunt de afdelingen met adviezen op het gebied van privacywet- en regelgeving.

Privacy ambassadeur:13

aanspreekpunt / vooruitgeschoven post op de afdeling die als verbindende factor wordt gezien tussen de lijn en de adviseurs gegevensbescherming.

De AVG schrijft niet voor hoe iedere stakeholder betrokken moet worden. Maar de organisatie moet wel aan kunnen tonen dat zij (en haar medewerkers) voldoet aan de AVG. Het verdient aanbeveling om de governance op papier vast te leggen. Enerzijds geeft dit inzicht in de TBV van iedere stakeholder, anderzijds maakt dit gelijk helder of met de huidige bezetting op iedere positie, de organisatie voldoende inhoudelijke capaciteit heeft, om aantoonbaar te voldoen aan de AVG. 14

12 Voor de ondersteuning van de afdelingen is er een aantal privacy adviseurs in dienst: zo’n 2,25 FTE. Deze

bedienen de organisaties van Haarlem en Zandvoort gezamenlijk (ca 180.000 inwoners) 13 Er is een aantal privacy ambassadeurs benoemd. Zij zorgen voor het contact tussen de afdelingen en de gegevensbeschermingsorganisatie. Bij ongeveer de helft van de afdelingen zijn een of meerdere privacy ambassadeurs actief. 14 Hierbij wordt opgemerkt dat naar onze mening het aantal fte ondersteuning voor een organisatie die 180.000 inwoners bedient, (te) karig is om actief aantoonbaar te voldoen aan de AVG. Een onderzoek naar het aantal fte dat benodigd is voor de organisatie maakt geen onderdeel uit van deze audit.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 19

Conclusie FG -

Er is op dit moment onvoldoende capaciteit voor een goede ondersteuning van de organisatie op privacyvraagstukken.

Er is geen vastgestelde governance, waardoor TBV niet vastliggen.

Bij de teams / afdelingen zijn geen directe aanspreekpunten die k unnen worden benaderd over privacy. Een privacyambassadeur of contactpersoon kan bijdragen aan kennis en adoptie bij de afdeling.

Alleen als er samenhang is tussen het privacybeleid en de privacygovernance kan de organisatie in staat worden geacht om aantoonbaar te voldoen aan de AVG.

5.4

De FG krijgt de ruimte om de TBV op basis van de AVG uit te voeren

Inbreuken in verband met persoonsgegevens (datalekken)

Basis: artikel 4 onder 12 AVG 15 en artikel 33 AVG Het ‘privacyproduct’ beveiligingsincidenten en datalekken is ingegeven door artikel 4 onder 12 AVG en artikel 33 AVG, waarin de verplichting voor verwerkingsverantwoordelijken en verwerkers is opgenomen om een inbreuk in verband met persoonsgegevens uiterlijk binnen 72 uur te melden. Bovendien maakt een beveiligingsincident / datalek inzichtelijk dat de technische en/of organisatorische maatregelen om een het incident te voorkomen mogelijk niet afdoende waren. De registratie van incidenten en het nemen van technische en organisatorische maatregelen naar aanleiding van een incident dragen bij aan bewustmaking en aan een organisatie die aantoonbaar voldoet aan de AVG. Proces Datalekken Er is een ‘Proces Datalekken’ van 16 december 2021. Dit uitgeschreven proces is door ons getoetst aan de huidige wet- en regelgeving. Nieuwe jurisprudentie en/of inzichten zijn bij de toetsing meegenomen. 16 Het Proces Datalekken is een relatief lijvig document waarin zowel aandacht is besteed aan het proces en procedure (wat te doen bij een datalek/beveiligingsincident) als ook aan evaluatie en procesverbetering. Daarnaast zijn de rollen van de privacy-adviseurs, de FG, eventuele externe experts en samenwerking met het securityteam uitgewerkt. Voor de prioritering

15 Een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies,

de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens. 16 Zie ook bijlage 3.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 20

van datalekken is een leidraad opgesteld met heldere kaders en duidelijke reactie- en oplossingstermijnen. Governance / TBV datalekken Volgens artikel 33 AVG is meldt de verwerkingsverantwoordelijke een inbreuk in verband met persoonsgegevens. In het Proces Datalekken lijkt een centrale rol weggelegd voor het privacyteam maar dit is naar de letter van de wet niet de verwerkingsverantwoordelijke. Het Proces Datalekken geeft verdekt aan dat er een zekere verantwoordelijkheid is voor de afdelingsmanager, terwijl naar onze mening de afdelingsmanager centraal zou moeten staan. Het privacyteam ondersteunt de afdelingsmanager, maar hij of zij is verantwoordelijk in het proces. De gedachte hierachter is dat de privacy adviseur en FG geen invloed hebben op het proces, maar slechts kunnen adviseren om in het kader van privacy het proces aan te passen. Zij kunnen ook geen verantwoording nemen voor een datalek omdat dat gebeurt in het proces onder de verantwoordelijkheid van een afdelingsmanager. Zij kunnen wel de afdelingsmanager ondersteunen bij het melden van het incident bij de AP en bij de afwegingen die moeten worden gemaakt omtrent technische en organisatorische maatregelen en het melden van het feit dat een datalek heeft plaatsgevonden aan de betrokkene.

Bewustmaking over beveiligingsincidenten en datalekken Bewustmaking maakt geen onderdeel uit van het onderdeel evaluatie in het proces datalekken. Tijdens de interviews is gevraagd naar bewustwording van de organisatie rondom datalekken en beveiligingsincidenten. Hierbij is het algemene beeld gegeven dat de procedure om een datalek te melden maar belangrijker: de vraag wat een datalek of beveiligingsincident precies inhoudt, niet bij iedereen even goed bekend zijn. Op het gebied van bewustwording (trainingen, oefencasus etc.) kan extra worden ingezet, zodat alle medewerkers worden getraind om een datalek te herkennen. Maar ook om te beoordelen welke technische en organisatorische maatregelen ingezet kunnen worden, zodat een datalek door middel van een juiste procesinrichting kan worden voorkomen. Evaluatie technische en organisatorische maatregelen Het is voor de organisatie van belang dat beveiligingsincidenten en datalekken worden gemeld om ervan te leren en om de organisatie te verbeteren. In het Proces Datalekken wordt hier een korte paragraaf aan gewijd, terwijl dat een van de belangrijkste aspecten is. Wat doet de organisatie (governance: afdelingsmanager) eraan om het beveiligingsincident in de toekomst te voorkomen.

Worden processen aangepast, applicaties opnieuw ingericht, moet het register van verwerkingsactiviteiten worden bijgesteld, wellicht is een DPIA over het proces een keer noodzakelijk, enzovoort.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 21

Conclusie datalekken -

De manager die verantwoordelijk is voor het proces waarin het datalek is ontstaan, zou centraal moeten staan in de oplossing van het datalek en bij de implementatie van de (inrichting van) technische en organisatorische maatregelen.

Het proces datalekken gaat niet in op de TBV van iedere actor / stakeholder in de organisatie (governance).

De communicatie over datalekken (wat is een datalek, wat moet ik doen bij een datalek?) kan scherper. De organisatie mag verwachten dat een datalek wordt gemeld door een medewerker die het heeft veroorzaakt of die een datalek heeft gezien (die moet dus goed weten wat hij of zij moet doen).

De evaluatie van technische en organisatorische maatregelen kan beter worden ingericht waarbij ook de TBV worden vastgelegd en de maatregelen en implementatietermijn worden afgesproken.

Er is een meldproces ingericht dat laagdrempelig is en waarbij de privacy adviseurs, FG en (C)ISO een rol hebben

5.5

Gegevensbeschermingseffectbeoordeling (DPIA)

Basis: artikel 35 AVG 17 De aangeleverde stukken over de gegevensbeschermingseffectbeoordeling (DPIA) zijn: een ‘Spoorboekje DPIA 1.0’, ‘Checklist Privacy Haarlem & DPIA Quickscan’ en het ‘Format Data Protection Impact Assessment Haarlem’. Het spoorboekje (d.d. september 2021) bevat een algemene uitleg over wat een DPIA inhoudt, wanneer het verplicht is om een DPIA uit te voeren, wat het doel is en hoe het proces in elkaar steekt. Buiten scope is de daadwerkelijke uitvoer en opvolging van DPIA’s. 18 Spoorboekje en checklist Het spoorboekje en de checklist zijn qua inhoud actueel en omvatten de belangrijkste uitgangspunten en onderdelen over DPIA’s. Daarnaast is er een onderdeel veelvoorkomende vragen opgenomen in het spoorboekje, waarmee de afdelingen waarschijnlijk voldoende uit de voeten kunnen. 17 Wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën worden

gebruikt, gelet op de aard, de omvang, de context en de doeleinden daarvan waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen voert de verwerkingsverantwoordelijke vóór de verwerking een beoordeling uit van het effect van de beoogde verwerkingsactiviteiten op de bescherming van persoonsgegevens. 18 Hier zijn door ons wel enkele vragen over gesteld tijdens de interviews, zie hiervoor de output van de interviews (hoofdstuk 7 en 8).

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 22

Het strekt ter aanbeveling om (delen van) de tekst van het spoorboekje over te nemen en op intranet te publiceren zodat niet een apart bestand hoeft t e worden gedownload. Vragen die in het spoorboekje worden beantwoord worden hiermee waarschijnlijk sneller aan de voorkant getackeld. Bij een aanpassing van het proces weet de invuller van de DPIA dan bovendien zeker dat hij of zij niet een oudere versie invult. Suggesties ten aanzien van het DPIA format Artikel 35 AVG biedt de ruimte om een eigen format aan te houden, een ‘one size-fits-all’ DPIA-format bestaat niet, zolang maar aan de minimumeisen die in artikel 35 lid 7 worden voorgeschreven wordt voldaan. Ruimte voor verbetering zal daarom altijd blijven bestaan, wat ook past bij het idee van de DPIA als ‘levend instrument’. Risico gestuurde benadering In hoofdstuk 2 van het Spoorboekje wordt goed weergegeven waar de DPIA voor dient. Het uitvoeren van een DPIA is met name bedoeld om risico’s in kaart te brengen en deze te mitigeren. Ter ondervanging van dit uitgangspunt wordt aanbevolen om een risicomatrix onderdeel uit te laten maken van het format DPIA. De risicomatrix is opgebouwd uit de kans x impact = risico waarbij de kans en impact worden bepaald in een range van 1-4. Hoe hoger het risico, des te sneller moet hij goed gemitigeerd worden, zodat een restrisico van onder de 4 blijft bestaan.

Daarmee wordt het ook inzichtelijk welke technische en organisatorische maatregelen de afdelingsmanager (governance) op welke termijn moet nemen, zodat het proces met lagere (dus gemitigeerde) risico’s kan worden voortgezet. De risico’s kunnen voor de FG in een overzicht worden geplaatst om op termijn uit te kunnen vragen bij de afdelingsmanagers of alle risico’s gemitigeerd zijn (dat past in haar toezichthoudende rol). Extra vragen in de DPIA Het DPIA-format bevat de verwachte vragen die gesteld moeten worden om een goed inzicht te krijgen over de verwerking van persoonsgegevens met een hoog risico en de daarop voor te stellen maatregelen. In vergelijking met andere formats 19 ontbreken er vragen die wel van belang kunnen zijn voor het signaleren van risico’s en een grondige analyse. Geadviseerd wordt om vragen met de volgende strekking op te nemen in het DPIA format:

19 Bijvoorbeeld het model van de gemeente Amsterdam en de Model DPIA Rijksdienst (Model DPIA Rijksdienst).

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 23

Profilering: indien er profielen worden opgesteld (al dan niet geanonimiseerd) dan kan dat verschillende risico’s met zich meebrengen, bijvoorbeeld uitsluiting of stigmatisering.

Geautomatiseerde besluitvorming: als er sprake is van geautomatiseerde besluitvorming dan moet daarvoor een grondige toets worden uitgevoerd voordat daarmee kan worden aangevangen. Het ‘juridisch kader geautomatiseerde besluitvorming’ dat door Pels Rijcken voor de gemeente Haarlem is opgesteld kan daarvoor uitkomst bieden.20 Een verwijzing in de DPIA naar dit juridisch kader is nodig.

Het gebruik van algoritmen: het is belangrijk om aandacht te besteden aan het al dan niet gebruiken van een algoritme, bijvoorbeeld voor het maken van een (pre)selectie om aanvragers van levensonderhoud nader te onderzoeken op basis van vooraf vastgestelde criteria.

Dataminimalisatie (bijvoorbeeld, zijn de standaardinstellingen van een applicatie/systeem zo ‘privacyvriendelijk mogelijk’ ingesteld) en subsidiariteit (zijn alternatieven onderzocht die minder ingrijpend zijn of impact hebben op de privacy van de betrokkenen).

Conclusie DPIA -

Het DPIA-format mist nog een duidelijke risicomatrix waarin risico’s worden afgewogen, mitigerende maatregelen worden voorgesteld, wie verantwoordelijk is om die maatregelen te nemen en binnen welke termijn.

Aan het DPIA-format kunnen nog vragen worden toegevoegd die passen in de (nieuwe) manier van werken van de gemeente.

Er is geen duidelijke governance met afspraken wie doet wat in de DPIA, naar aanleiding van de DPIA en de implementatie van de DPIA.

Er wordt gewerkt met een standaard DPIA-format wat zorgt voor eenduidigheid voor de organisatie.

5.6

Basis: artikel 30 AVG Iedere verwerkingsverantwoordelijke houdt een register van de verwerkingsactiviteiten bij. Het register moet in ieder geval voldoen aan de minimale eisen van artikel 30 AVG: 1.

Naam en contactgegevens verwerkingsverantwoordelijke

Naam en contactgegevens functionaris gegevensbescherming

Verwerkingsdoeleinden

20 Handleiding geautomatiseerde besluitvorming, M. van Graafeiland & T. Gillhaus, 12 maart 2020 (Pels Rijkcen).

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 24

beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens

categorieën van ontvangers en aan wie persoonsgegevens zijn of worden verstrekt

Indien van toepassing doorgifte van persoonsgegevens aan een derde land of een internationale organisatie

Indien mogelijk, de termijn waarbinnen persoonsgegevens moeten zijn gewist

Algemene beschrijving van de technische en organisatorische maatregelen.

De gemeenten hebben een register van verwerkingsactiviteiten, waarin meer kolommen zijn opgenomen dan wettelijk verplicht zijn. Het register lijkt een momentopname, althans er is geen duidelijk proces van actualisering / aanpassing van het register, waarin verantwoordelijkheden en rollen duidelijk zijn vastgelegd. Dit kan bij de in te stellen governance meegenomen worden. De privacy adviseurs weten dat er een register is, maar van de verwerkingsverantwoordelijken (lijnverantwoordelijke) zelf is het niet duidelijk of ze het weten dat hun processen met persoonsgegevens moeten worden opgetekend in het register. De hoeveelheid en grootsheid van een gemiddeld register van verwerkingsactiviteiten nodigt mogelijk niet snel uit tot het invullen van het register maar om aantoonbaar te voldoen aan de AVG moet dit wel gebeuren. Wij geven nog dit in overweging mee. In de AVG wordt niet vermeld dat een register openbaar moet worden neergezet. Er zijn echter wel termen aanwezig om dit wel te doen. De gemeente heeft een transparantieverplichting (Wet open overheid) en daarenboven kan een openbaarmaking van het register helpen bij het beantwoorden van de rechten van een betrokkene.

Als een betrokkene vraagt om inzage in het (achterliggende) proces waarin zijn persoonsgegevens worden verwerkt, kan de gemeente met een eenvoudige verwijzing naar het openbare register van verwerkingsactiviteiten, dit verzoek afdoen, ook in het kader van het schetsen van de context bij een verwerking. Conclusie register van verwerkingsactiviteiten -

Governance omtrent het register van verwerkingsactiviteiten is niet ingeregeld, waardoor verwerkingsverantwoordelijken mogelijk ook niet hun taak en rol hierin herkennen en toepassen.

Er is geen duidelijk proces van actualisering en bijhouden van het register van verwerkingsactiviteiten, waardoor het niet duidelijk is van welk moment / welke datum het register is en of dit dan ook alle processen zijn die moeten zijn opgenomen in het register.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 25

Het register is niet openbaar gepubliceerd maar ook intern is het niet goed vindbaar.

Er is een register van verwerkingsactiviteiten met de verplichtingen uit de AVG en meer kolommen met informatie over de verschillende verwerkingen.

5.7

Rechten van betrokkenen

Basis: Afdeling 2, Informatie en toegang tot persoonsgegevens, artikel 13 tot en met 23 AVG Betrokkenen moeten in staat zijn hun rechten onder de AVG (gemakkelijk) uit te oefenen, zodat zij controle en grip hebben op hun persoonsgegevens. Betrokkenen hebben het recht op duidelijke informatie over wat een organisatie met persoonsgegevens doet en waarom. Concreet betekent dit dat organisaties die persoonsgegevens verwerken een informatiepli cht (artikel 13 en 14 AVG) hebben. Om als organisatie transparant te zijn over de verwerking van persoonsgegevens is het gebruikelijk om een privacyverklaring op te stellen. Zie daarvoor paragraaf 5.2, Privacyverklaring. Naast het recht op informatie hebben betrokkenen de volgende rechten die zij kunnen uitoefenen richting de gemeente: -

Recht op inzage, artikel 15 AVG;

Recht op rectificatie, artikel 16 AVG;

Recht op gegevens wissen, artikel 18 AVG;

Recht op beperking van de verwerking, artikel 18 AVG;

Recht op dataportabiliteit, artikel 20 AVG;

Recht op bezwaar, artikel 21 AVG;

Recht op menselijke blik bij besluiten, artikel 22 AVG.

Om deze rechten gemakkelijk uit te kunnen oefenen als betrokkene is het belangrijk om procedures te implementeren waarmee betrokkenen eenvoudig hun rechten kunnen uitoefenen. De gemeente is vervolgens aan zet om een verzoek tijdig en adequaat af te handelen. Concept procesbeschrijving en interviews De gemeente Haarlem heeft een 'Afhandeling AVG-verzoeken Procesbeschrijving (concept)' (hierna: concept procesbeschrijving) opgesteld, die als basis dient voor de beoordeling van dit specifieke onderdeel van het onderzoek. Tijdens de interviews hebben wij vragen gesteld over de procedure. Daaruit bleek dat verzoeken van betrokkenen mogelijk niet altijd als zodanig worden herkend, waardoor bewustmaking op dat gebied wenselijk is. Bovendien is er behoefte aan een formele vaststelling van de

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 26

procesbeschrijving voor de afhandeling van AVG-verzoeken, inclusief een duidelijke benoeming van TBV (governance). De geïnterviewden merkten tevens op dat de informatie op de gemeentelijke website met betrekking tot AVG-verzoeken verouderd is. In combinatie met wat is opgemerkt in paragraaf 5.2, is het raadzaam om de informatie op de website op verschillende fronten aan te passen. Omdat de concept procesbeschrijving incompleet is kan niet op alle onderdelen een beoordeling worden gemaakt. Ervaring leert echter dat de meest voorkomende verzoeken van inwoners inzageverzoeken betreffen. De informatie, die hierover is opgenomen in de concept procedurebeschrijving, is vrij theoretisch van aard. Het is daarom de vraag of medewerkers hier zonder verdere toelichting mee uit de voeten kunnen. Ook hebben zich verschillende ontwikkelingen voorgedaan die het recht op inzage hebben geconcretiseerd.21 Omdat een aantal van deze ontwikkelingen/uitspraken zich hebben voorgedaan na het opstellen van het concept is het aan te bevelen deze mee te nemen in een nieuwe versie of update. Ten aanzien van het proces merken wij op dat in de procedurebeschrijving wordt vermeld dat de betrokkene zich moet identificeren aan de hand van een identiteitsbewijs, indien het verzoek niet via DigiD heeft plaatsgevonden.

Gelet op de DPG media boete kan dit in voorkomende gevallen als onnodig e drempel worden opgevat.22 Hoewel het mogelijk is om als betrokkene ervoor te kiezen om naar de Publiekshal te gaan om de identiteit te laten controleren, is het verlangen van een kopie ID mogelijk een te vergaande maatregel in het geval betrokkene bijvoorbeeld fysiek niet in staat is om naar de Publiekshal te gaan. Bij een relatief simpel verzoek om inzage kan immers worden volstaan met een combinatie van identificerende factoren om zodoende de betrokkene te identificeren. Dit staat dan meer in verhouding met het doel van de verwerking (proportionaliteit) en is bovendien minder ingrijpend voor de betrokkene. Conclusie rechten van betrokkenen -

Er is een procesbeschrijving maar die is nog niet vastgesteld.

21 Zie voor een overzicht van deze ontwikkelingen bijlage 3. 22 Boete DPG Media i.v.m. onrechtmatig beleid ten aanzien van het identificeren van betrokkenen ten behoeve

van het uitoefenen van de aan hen uit de AVG toegekende rechten (art. 15 tot en met 22 AVG). https://www.autoriteitpersoonsgegevens.nl/actueel/ap-boete-dpg-media-voor-onnodig-opvragenidentiteitsbewijs. Let op, de boete is inmiddels weer van tafel, zie: https://uitspraken.rechtspraak.nl/#!/details?id=ECLI:NL:RBAMS:2023:5074. Het standpunt dat artikel 12 van de AVG is overtreden, blijft echter wel overeind.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 27

Medewerkers zijn zich niet altijd bewust dat een betrokkene een van zijn rechten op basis van de AVG uitoefent.

Het vaststellen van identiteit voor een betrokkene kan eenvoudiger worden ingericht.

De privacyverklaring en andere teksten op de website over de rechten van betrokkenen zijn niet actueel.

5.8

Er is een concept procesbeschrijving rechten van betrokkenen.

Privacy by default en by design

Basis: artikel 25 AVG Privacy door standaardinstellingen en door de inrichting van het proces en de applicatie is ook opgenomen in de AVG. Dit zijn inhoudelijk vage beg rippen maar ze moeten worden bezien in het licht van de inrichting. Hierbij zorgt de organisatie ervoor dat er bijvoorbeeld standaard dataminimalisatie, archivering en vernietiging, autorisaties (wie mag wat zien en bewerken), etc wordt toegepast. Standaardinstellingen moeten zo privacyvriendelijk mogelijk worden gemaakt. Om dit in de organisatie mogelijk te maken is een samenspel nodig tussen onder andere applicatiebeheerders, functioneel beheerders, ICT, informatievoorziening, informatieveiligheid en privacy. Veel organisaties worstelen overigens met dit vraagstuk omdat het zich niet makkelijk laat vangen in algemene regels. Daarom wordt aanbevolen om privacy by default en by design in het DPIAproces te verankeren (wat al grotendeels is gebeurd) en met name in te zetten op bewustmaking bij de betreffende stakeholders. Alleen gezamenlijk kunnen de ICT-producten / werkprocessen by design en by default worden ingericht en nagestreefd. Conclusie privacy by default en by design -

Er is geen specifiek beleid op privacy by default en by design waardoor de organisatie mogelijk ook niet wordt getriggerd om dit toe te passen in systemen en processen.

5.9

Er mist een duidelijke governance voor privacy by default en by design.

Bewustmaking

Basis: artikel 39 lid 1 onder b AVG Er is door de jaren heen, versplinterd, aandacht gegeven aan bewustmaking van de organisatie op het gebied van privacy en informatieveiligheid. Dit is

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 28

echter niet op een gestructureerde manier uitgevoerd, waardoor niet te peilen / gepeild is wat de stand van bewustzijn van de organisatie is. Het grote voordeel van een bewuste organisatie is dat er actief en vooraf wordt gehandeld in plaats van reactief. Wat we dan vaak zien is dat er achteraf heel veel tijd wordt gestoken in het oplossen van het probleem, waardoor er geen tijd overblijft om vooraf te handelen. Als deze cyclus zich herhaalt, dan blijft de organisatie zaken repareren, terwijl het veel beter zou zijn om zaken te actualiseren en in te richten. Dit hangt ook samen met het volwassenheidsniveau dat de organisatie nastreeft en de inrichting van de governance met de daarbij behorende fte. Aanbevolen wordt om een structureel bewustwordingsprogramma via elearning, aan te schaffen, waarmee het bewustzijn van de organisatie ook kan worden gemeten. Daarnaast helpen ‘live’ trainingen van specialisten de medewerkers om meer inzicht te krijgen in het vertrouwd en veilig handelen met persoonsgegevens. De gemeente kent uiteenlopende producten met uiteenlopende problematieken en uitdagingen op het gebied van persoonsgegevens. Specialistische trainingen, gericht op de verschillende doelgroepen, helpen om het bewustzijn te vergroten. Conclusie bewustmaking -

Bewustmaking maakt geen structureel onderdeel uit van het opleidingsprogramma van de medewerkers

Er zijn in het verleden bewustmakingstrainingen gegeven.

5.10 Samenwerkingen De gemeenten Haarlem en Zandvoort gaan net als alle andere gemeenten op verschillende manieren samenwerkingen aan met andere gemeenten, overheden, instellingen, bedrijven, etc. Hierbij wordt niet altijd acht geslagen op het verwerken van persoonsgegevens binnen die samenwerkingen. Voor een samenwerking binnen een gemeenschappelijke regeling (hierna: GR) geldt vaak dat de GR zelf verwerkingsverantwoordelijke is. Maar dat ligt ook aan de afspraken die binnen die GR zijn gemaakt. Bij afspraken in ander verband, zoals een ‘gewone’ samenwerking met een andere overheid, is het maar de vraag of er iets is geregeld over het verwerken van persoonsgegevens binnen die samenwerking. Wij hebben geen generieke documentatie over afspraken over gegevensbescherming binnen samenwerkingen gekregen maar geven als aanbeveling mee dat voor alle samenwerkingen een (specifiek) privacybeleid

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 29

en een basisset aan afspraken leidt tot eenduidige afspraken met de samenwerkingspartners van de gemeenten Haarlem en Zandvoort.

Pagina | 30

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

6. Privacybeleid andere gemeenten: wat kan de gemeente daarvan meenemen Voor dit onderdeel is privacybeleid van andere gemeenten met gelijkwaardige omvang geanalyseerd om aanbevelingen te doen voor een nieuw privacybeleid. Omdat niet altijd mogelijk is gebleken om een privacybeleid van een gemeente van gelijkwaardige grootte of omvang te vinden, of omdat het beleidsstuk sterk verouderd bleek, is ervoor gekozen om te onderzoeken of er gemeenten zijn die recentelijk het privacybeleid hebben geactualiseerd en of hierin bepaalde keuzes zijn gemaakt die interessant zouden kunnen zijn voor de gemeenten Haarlem en Zandvoort. Dit heeft geresulteerd in analyse van de volgende gemeenten: -

Gemeente Amstelveen-Aalsmeer

Gemeente Amersfoort

Gemeente Alphen aan den Rijn

Gemeente Breda

Gemeente Zaanstad

Gemeente Zoetermeer

Voor de leesbaarheid is ervoor gekozen om de inventarisatie en aanbevelingen (wat er kan worden geleerd of meegenomen van een privacybeleid van een andere gemeente) op te nemen in een tabel, zie daarvoor bijlage 4. Omdat beleidsstukken qua inhoud regelmatig gelijkenissen tonen is getracht de meest unieke overwegingen te analyseren om aan de hand daarvan aanbevelingen te kunnen geven.

6.1

Belangrijkste bevindingen 1. Besteed in het privacybeleid aandacht aan belangrijke uitgangspunten van de gemeente, waarbij nadruk kan worden gelegd op bijvoorbeeld privacy by design zodat kenbaar wordt gemaakt dat bij het inrichten van nieuwe processen en systemen privacyoverwegingen vanaf het begin van de ontwikkeling worden meegenomen. 2. Belangrijk uitgangspunt voor de overheid als een betrouwbare verwerkingsverantwoordelijke is de transparantie naar de inwoners en andere betrokkene. Wees duidelijk wat je doet met persoonsgegevens, hoe je dat doet en hoe je de betrokkene daarover informeert.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 31

3. Leg in het privacybeleid een terugkerend evaluatie- en actualisatiemoment op het beleid vast zodat tijdig wordt stilgestaan bij relevante ontwikkelingen zodat deze zo nodig kunnen worden verwerkt. 4. Betrek het college én de raad actief bij het opstellen en herzien van het privacybeleid. Door het direct betrokken van het college en de raad bij het ontwikkelen van het privacybeleid en de daarbij beoogde uitsplitsing in protocollen ontstaat een breder begrip van privacykwesties en dit vergroot ook de kans op een effectief beleid dat voldoet aan de behoeften van zowel het college als de betrokken afdelingen. 5. Het benoemen van de TBV voor iedere stakeholder in het proces, maakt dat privacy niet alleen van de privacy adviseurs of het college is, maar ook van de afdelingsmanagers en medewerkers zelf. Op deze wijze beleg je de TBV op de plek waar men het dichtst bij het vuur staat en kan verantwoording worden afgelegd per afdeling. 6. Beschrijf de noodzaak van bewustwording en welke terugkerende stappen worden gezet om de bewustwording te vergroten. Denk hierbij aan bewustwordingscampagnes, trainingen (bij onboarding en daarna) en bijvoorbeeld een interne nieuwsbrief met relevante gemeentelijke ontwikkelingen en actualiteiten. 7. Leg duidelijk de volgordelijkheid vast inzake de DPIA-verplichting en het proces.

Neem daarnaast duidelijke organisatie brede uitgangspunten op met betrekking tot privacy by design en by default en hoe dat nader wordt ingevuld en eventueel getoetst. 8. Een ‘visiedocument’23 waarin de samenhang tussen privacy en informatieveiligheid wordt beschreven en de relevante uitgangspunten hiervoor worden opgenomen, kan bijdragen aan een betere visie op deze thema's. Het visiedocument kan bijvoorbeeld specifiek ingaan op de relatie tussen datagestuurd /gedreven werken, digitale ambities en de risico's en dilemma's op het gebied van privacy, ethiek en informatieveiligheid. Door deze aspecten op te nemen in een apart document in plaats van alleen in een privacybeleid, kunnen afdelingen zich meer betrokken en verantwoordelijk voelen bij het onderwerp en daardoor ook beter aangesproken worden. Het visiedocument kan dienen als een overkoepelend kader dat verschillende afdelingen en

Volgend deel →

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij iBabs is leidend. Bron: https://api.notubiz.nl/document/13967587/1