Document · PDF

2 Bijlage 1 213a-rapportage privacybeleid

commissie Bestuur 4 april 2024, gemeente HaarlemBij agendapunt: Artikel 213a-onderzoek naar privacybeleid (ER)22.127 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen · deel 2 van 3

23 Bijvoorbeeld naar het model van de gemeente Zaanstad, zie:

https://lokaleregelgeving.overheid.nl/CVDR645648.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 32

disciplines betrekt, zoals IT, compliance, juridische zaken, bedrijfsvoering en gegevensbescherming. Een visiedocument kan bijvoorbeeld de volgende punten bevatten: o

Inleiding: Een beknopte introductie waarin het belang van privacy en informatieveiligheid wordt benadrukt, evenals de toenemende uitdagingen op dit gebied in het digitale tijdperk.

Visie op privacy en informatieveiligheid: Een scherpe, heldere visie waarin de gewenste situatie wordt beschreven met betrekking tot privacy en informatieveiligheid. Hierbij kan worden ingegaan op de bescherming van persoonsgegevens, het waarborgen van de vertrouwelijkheid en integriteit van informatie, en het minimaliseren van risico's.

Samenhang met datagestuurd werken: Een uitleg over de relatie tussen privacy en informatieveiligheid enerzijds en datagestuurd werken (indien van toepassing) anderzijds. Hierbij kan worden ingegaan op de mogelijkheden en uitdagingen van het gebruik van data voor besluitvorming en verbetering van dienstverlening, met respect voor privacy en informatieveiligheid.

Digitale ambities: Een beschrijving van de digitale ambities van de organisatie en hoe privacy en informatieveiligheid daarin worden meegenomen. Dit kan bijvoorbeeld betrekking hebben op de ontwikkeling van digitale diensten, de implementatie van nieuwe technologieën en de bescherming van persoonsgegevens.

Risico's en dilemma's: Een overzicht van de mogelijke risico's en dilemma's op het gebied van privacy, ethiek en informatieveiligheid, die relevant zijn voor de organisatie. Hierbij kan worden ingegaan op onderwerpen zoals gegevensbescherming, datalekken, toegangsbeheer, en de balans tussen het verzamelen van data en de bescherming van privacy.

Uitgangspunten en principes: Een set van uitgangspunten en principes die worden gehanteerd bij het waarborgen van privacy en informatieveiligheid. Deze kunnen bijvoorbeeld betrekking hebben op transparantie, gegevensminimalisatie, geïnformeerde toestemming, en het implementeren van passende technische en organisatorische maatregelen.

Verantwoordelijkheden: Een beschrijving van de verantwoordelijkheden en rollen binnen de organisatie met betrekking tot privacy en informatieveiligheid. Hierbij kan worden ingegaan op de rol van het management, medewerkers,

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 33

privacyfunctionarissen en de relatie met externe partijen, zoals leveranciers. o

Monitoring en evaluatie: Een beschrijving van de monitoring- en evaluatieprocessen die worden toegepast om de naleving van privacy en informatieveiligheid te bewaken. Dit kan onder andere betrekking hebben op regelmatige audits, risicoanalyses, incidentrespons en het continu verbeteren van beleid en maatregelen (de PDCA-cyclus).

Door het creëren van een apart visiedocument dat de samenhang tussen privacy en informatieveiligheid beschrijft, worden deze thema's beter belicht en krijgen meer afdelingen de mogelijkheid om betrokkenheid te tonen en verantwoordelijkheid te nemen. Dit kan leiden tot een meer integrale en gecoördineerde aanpak van privacy en informatieveiligheid binnen de organisatie. 9. Belangrijk is om haalbare doelen te stellen in het beleid. Wat we zien in beleidsstukken van andere overheden is een overdaad aan zaken die ze gaan regelen voor de betrokkenen maar waar in de praktijk niet veel van terecht gaat komen omdat de capaciteit, inzet en noodzaak uiteindelijk ontbreekt. Ook wringt dit met de inzet van het aantal fte op privacy binnen organisaties.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 34

7. Output interviews privacy adviseurs & informatiemanagers 7.1

Opzet en bevindingen

Deze paragraaf bevat een uitwerking en beantwoording van onderzoeksvraag 1, deelvraag 1, Ad b: In hoeverre zijn de privacyproducten geïmplementeerd in de organisatie? Om deze vraag te beantwoorden zijn gesprekken gevoerd met privacy adviseurs en informatiemanagers van de gemeente om de werking van het beleid en de privacyproducten te onderzoeken. De volgende medewerkers zijn geïnterviewd: -

Rozan Barwari, privacy adviseur;

Nancy Putman, privacy adviseur;

Bram Verrips, informatiemanager;

Tania Mak, privacy adviseur;

Mettien Ibrahim, informatiemanager.

Uit de gevoerde gesprekken met privacy adviseurs en informatiemanagers volgt – samengevat – dat het huidige privacybeleid onvindbaar/onwerkbaar is, geen meerwaarde biedt (althans niet op dit moment) en de afgeleide werkinstructies inhoudelijk niet altijd even goed zijn of consequent worden toegepast of te vinden zijn. Daarnaast bestaat de grote wens om een breder gedragen beleid te krijgen, waarbij duidelijk wordt wie er vanuit privacy verantwoordelijk/betrokken wordt bij het opstellen en actualiseren van het beleid. Daarnaast is er de wens om de directie en afdelingen (managers en teamleiders) te betrekken, zij moeten privacy belangrijk(er) gaan vinden. Hierbij moeten overigens wel de waarden en verschillen van beide gemeenten voldoende tot uitdrukking komen. Met betrekking tot de privacyproducten geldt vrijwel dezelfde wens en gedachte. De producten zijn er wel, maar vaak onvoldoende vindbaar of bekend en er missen kwalitatieve en goed uitgewerkte procesbeschrijvingen. Ook worden privacy adviseurs niet of te laat aangehaakt en heeft nog niet iedere afdeling een privacy contactpersoon. Hiervoor zijn wel verbeterplanne n opgezet en deels uitgevoerd. Een overzicht van terugkerende knelpunten met betrekking tot het privacybeleid en de privacyproducten, samen met aanbevelingen/suggesties zijn opgenomen in bijlage 1.

Losse suggesties en opmerkingen, waaronder ook bijvangst, zijn opgenomen in 10.3.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 35

8. Output interviews business 8.1

Opzet en bevindingen

Deze paragraaf bevat een uitwerking en beantwoording van onderzoeksvraag 1, deelvraag 1, Ad c:24 In hoeverre werkt de organisatie met en binnen het privacybeleid en de AVG? Om deze vraag te beantwoorden zijn medewerkers / privacycontactpersonen van verschillende afdelingen geïnterviewd, mede als steekproef om te controleren in hoeverre er binnen het privacybeleid en de AVG wordt gewerkt. Hierbij wordt wel de kanttekening geplaatst dat de interviews zijn gehouden met maximaal twee medewerkers per afdeling. Controle of toetsing van (uitvoerende) medewerkers van de gemeente is geen onderdeel gewe est van de steekproeven. De volgende medewerkers / privacycontactpersonen zijn op zijn geïnterviewd: -

Angelique van Heusden:

senior juridisch adviseur, afd. Vergunningen, toezicht en handhaving & privacycontactpersoon;

Astrid Suurmond:

teammanager maatschappelijke ondersteuning;

Gerwin Nijland:

kwaliteitsmedewerker en privacycontactpersoon;

Martin van der Plas:

afd. Klantcontactcentrum en privacycontactpersoon;

Renate van den Brun:

senior kwaliteit, afd. Werk en inkomen & privacycontactpersoon voor zowel Werk en Inkomen als Schulden, Minima en Sociale recherche;

Roger Janse:

juridisch adviseur afd. Veiligheid en handhaving;

Sander van den Brant:

opdrachtgever projecten en uitvoering, afd. Beheer en beleid openbare ruimte;

Cilia Krus:

afdelingsmanager Data, Informatie en Analyse;

Heleen Groeneweg:

procesmanager, afd. Data, informatie en analyse.

24 Offerte gemeente Haarlem, adviesaudit privacybeleid, EIFFEL B.V d.d. 26 januari 2023.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 36

Uit de gevoerde gesprekken met medewerkers / privacycontactpersonen volgt – samengevat – dat hoewel het privacybeleid en het privacyreglement grotendeels onbekend zijn (zelfs onder de privacycontactpersonen), er geen directe aanwijzingen zijn dat buiten de AVG wordt gewerkt. De basisbeginselen van de AVG en dan met name verantwoorde omgang met persoonsgegevens en dataminimalisatie lijken goed te zijn geïmplementeerd in de organisatie. Er zijn echter wel knelpunten gesignaleerd. Op de vraag of er behoefte is aan een (nieuw) privacybeleid wordt wisselend geantwoord. Er bestaat vanuit Data, Informatie en Analyse bijvoorbeeld de wens voor een breder beleid, waarbij ook het managen van gegevens aandacht krijgt. Het probleem waar die afdeling tegen aanloopt ligt voornamelijk in de verantwoordelijkheidssfeer: wie heeft welke rol bij een onderzoek en wie is voor welke taak verantwoordelijk. Gerichte ondersteuning en advies vanuit privacy is daarbij wenselijk. Wat bovendien veel terugkomt uit de gesprekken is de wens om een duidelijk en praktisch toepasbaar beleid gericht op de werkzaamheden van de verschillende afdelingen. Kanttekening hierbij is dat een uitgebreid en alomvattend beleid voor álle vraagstukken een lastige opgave is, niet alle vraagstukken met bijbehorende antwoorden zullen op voorhand in een beleid kunnen worden vervat.

Het beleid kan echter nog steeds de richtlijnen bieden waarbinnen het werk moet plaatsvinden. In het beleid kan dan als uitgangspunt worden opgenomen dat er, per afdeling, protocollen en regels worden opgesteld. Voor elke afdeling kan bijvoorbeeld een afgeleide versie van het beleid worden op gesteld (op één pagina), waarin de basisprincipes worden toegepast op de specifieke werkzaamheden van die afdeling, en worden uitgewerkt en uitgelegd. Een overzicht van terugkerende knelpunten met betrekking tot het privacybeleid en de privacyproducten vanuit de privacycontactpersonen / medewerkers, samen met aanbevelingen / suggesties is opgenomen in Bijlage 2. Omdat enkele knelpunten met aanbevelingen ook aan bod komen in de ‘output interviews privacy adviseurs & informatiemanagers’, is er enige overlap . Voor het uitvoeren van de aanbevelingen moet uiteraard wel capaciteit beschikbaar worden gemaakt.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 37

9. Conclusie De algehele conclusie over het privacybeleid van de gemeenten Haarlem en Zandvoort is dat het privacybeleid verouderd is maar dat dat op zich niet leidt / hoeft te leiden tot knelling voor de organisatie. Het privacybeleid is algemeen gesteld, waardoor er veel onder valt en het ook voor velerlei uitleg vatbaar is. De uitvoering en uitwerking van het privacybeleid is echter een ander verhaal. Er wordt door de gemeenten Haarlem en Zandvoort wel gepoogd om te voldoen aan de AVG maar het lijkt alsof iedere afdeling dat op zijn eigen manier kan / mag doen. Dat is wellicht ook een direct gevolg van het feit dat het privacybeleid versnipperd is (algemeen beleid en los daarvan privacyproducten) en er geen duidelijke lijn is vastgelegd. Dit kan worden verbeterd door structuur aan te brengen in het privacybeleid en door duidelijk op te nemen dat aanhangige privacyproducten worden / zijn ontwikkeld. Het verdient aanbeveling deze privacyproducten ook een plek te geven op de website of anderszins te publiceren, zodat ze voor iedere betrokkene kenbaar zijn. De TBV zijn onvoldoende vastgelegd en ieders rol in het proces van gegevensbescherming is (mogelijk) onduidelijk voor de organisatie en ook voor henzelf. De verwerkingsverantwoordelijken (proceseigenaren) moeten hun rol kunnen pakken op de onder hun verantwoordelijkheid vallende processen maar ook op gegevensbescherming.

De te zake kundige adviseurs (privacy adviseurs / FG / ISO / CISO) moeten de proceseigenaren van een advies kunnen voorzien waarmee de proceseigenaar kan beslissen welke maatregelen hij of zij wil doorvoeren in een proces. Dit kan worden vastgelegd in een gemeente brede governance. Omdat het privacybeleid onvoldoende gestructureerd is en in samenhang met een onduidelijke TBV-verdeling loopt de gemeente op dit moment het risico dat zij niet eenduidig de AVG-vereisten uitvoert en nastreeft, dat er gaten vallen in processen en applicaties op het gebied van gegevensbescherming (privacy) en dat niet goed kan worden gegarandeerd dat persoonsgegevens van de inwoners van Haarlem en andere betrokkenen veilig, betrouwbaar en vertrouwd worden verwerkt. Hier staat tegenover dat de gemeenten Haarlem en Zandvoort -voor zover wij weten- niet onder het vergrootglas van de toezichthouder ligt, er geen grote privacyschendingen of incidenten plaatsvinden en dat er een redelijke organisatie is opgetuigd voor het adviseren over privacyvraagstukken.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 38

Maar willen de gemeenten Haarlem en Zandvoort aantoonbaar voldoen aan de AVG dan helpt het om actief privacyproducten te ontwikkelen en constant te verbeteren (PDCA) en helpt het niet om reactief te handelen. Dan gaat de (kostbare) tijd naar het oplossen van telkens nieuwe opkomende problemen en blijft datgene dat de organisatie graag wil: het constant actualiseren en verbeteren van privacyproducten, achterwege. De organisatie loopt dan als het ware telkens achter de feiten aan.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 39

10.

Bijlagen

10.1 BIJLAGE 1 Output interviews privacy adviseurs Pagina | 40

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Knelpunt

Aanbevelingen / suggesties

Bewustwording (Privacy) bewustwording: wordt momenteel te weinig mee gedaan. Er zijn bovendien geen (verplichte) trainingen voor (nieuwe) medewerkers. Dit geldt ook voor bekendheid met het privacybeleid en de naleving ervan.

Organiseer regelmatig trainingen en workshops over privacy en maak dit onderdeel van het inwerkprogramma. Herinner medewerkers regelmatig aan het belang van privacybewustzijn, bijvoorbeeld door nieuwsbrieven te versturen aan de privacy contactpersonen en alle medewerkers te informeren over belangrijk (privacy gerelateerd) nieuws. Maak ook gebruik van onder meer ‘de dag van de privacy’ om de bewustwording te vergroten, bijvoorbeeld door het organiseren van een interne campagne.

Pagina | 41

Zorg ervoor dat bestuur, management en medewerkers betrokken worden bij het opstellen en bijwerken van het privacybeleid, en geef ze trainingen over het beleid en de naleving ervan. Een manier om deze trainingen te verbeteren is door (casus)vragen te stellen, zoals: wanneer en hoe voer ik een DPIA uit? Wie moet ik daarbij betrekken? Welke uitgangspunten moet ik hanteren met betrekking tot privacy binnen mijn afdeling? Wanneer betrek ik een privacy adviseur? Dit kan helpen om de bewustwording van privacy binnen de organisatie te vergroten en de consistentie van het beleid te verbeteren. Draagvlak privacybeleid Er wordt geen draagvlak ondervonden voor het privacybeleid vanuit de directie, naar ervaring van de geïnterviewden. Het is belangrijk dat afdelingsmanagers het beleid gaan ondersteunen en daarvoor input aanleveren.

Betrek afdelingsmanagers bij het opstellen van het privacybeleid door een eerste opzet te maken en deze te delen met de afdelingsmanagers om feedback op te halen. Leden van het recent opgerichte privacynetwerk kunnen een begeleidende rol spelen, aangezien ze expertise hebben in de dagelijkse werkzaamheden en de problemen die zich daarbij voordoen. Betrek ook de gemeenteraad en het college bij het opstellen van een nieuw beleid.

Opstellen privacybeleid Benoem alle belangrijke punten en belangen die ons als organisatie kunnen raken in één privacybeleid en gebruik geen losse documenten. Haal input op bij afdelingsmanagers voor het privacybeleid en betrek ze bij het opstellen van het nieuwe privacybeleid.

Wees je bewust dat het privacybeleid van bestuur en organisatie is en niet van de medewerkers gegevensbescherming. Het opstellen van het beleid gaat in een netwerk van adviseurs, waarvan FG, CISO en privacy adviseurs onderdeel zijn maar moet gedragen worden door bestuur en organisatie.

De FG is in de lead bij het opstellen van een nieuw beleid, maar zet er daarnaast een projectleider op om het procesmatig op te pakken.

Benoem de actoren en stakeholders in het opstellen van het privacybeleid en vlieg de realisatie ervan aan als project.

Vindbaarheid privacybeleid Het huidige privacybeleid is moeilijk vindbaar, wat verschillende negatieve gevolgen heeft. Een van deze gevolgen is dat het privacybeleid mogelijk niet consistent wordt toegepast binnen de organisatie.

Maak het privacybeleid gemakkelijk te vinden op de website van de gemeente. Zorg ervoor dat er een duidelijke link naar het beleid, bijvoorbeeld onder een kopje ‘privacy’, op de website staat en dat indien relevant naar het beleid wordt gelinkt vanuit andere delen van de website.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Voor een gestructureerd voorbeeld, zie de openbaar toegankelijke pagina: Informatieveiligheid en privacy (amstelveen.nl) Vindbaarheid privacyproducten De privacyproducten, waaronder formats (o.a. DPIA, standaard verwerkersovereenkomst) en procesbeschrijvingen, zijn niet centraal

Paginavoor | 42alle Maak formats en procesbeschrijvingen toegankelijk medewerkers. Zorg ervoor dat het beleid volgens de regels van de Awb bekend wordt gemaakt, en vervolgens

opgeslagen, waardoor ze moeilijk te vinden zijn en het niet ‘leeft’ in de organisatie. Dit heeft als gevolg dat er verschillende versies in omloop zijn van bijvoorbeeld standaard verwerkersovereenkomsten en DPIA-formats. Hoewel er wel een intranet-pagina is, bevat deze verouderde informatie.

beschikbaar is via een link op bijvoorbeeld het intranet. Zo hebben alle medewerkers er gemakkelijk toegang toe. Maak ook gebruik van duidelijk versiebeheer om te voorkomen dat verschillende (oude) formats in omloop blijven. Hierbij wordt in overweging gegeven om op de centrale locatie een disclaimer op te nemen dat de privacy adviseurs betrokken moeten worden bij de afdelingen. Zo kan de privacy adviseur bijvoorbeeld ondersteunen bij het uitvoeren van een DPIA. Hierdoor kunnen privacy adviseurs tijdig worden ingeschakeld voor ondersteuning en advies wanneer dat nodig is, wat kan bijdragen aan het consistent toepassen van het privacybeleid binnen de gemeente.

Privacy contactpersoon Niet iedere afdeling heeft een privacy contactpersoon, ook is er geen ‘vaste’ privacy adviseur toegekend per afdeling/domein. Dit heeft tot gevolg dat de kennis van privacy versnipperd is.

Hier wordt momenteel aan gewerkt, onder meer door het recent opgerichte privacy-netwerk en het binnenkort toekennen van een vast aanspreekpunt en een privacy adviseur aan verschillende domeinen.

Betrokkenheid privacy adviseurs

Zorg ervoor dat privacy adviseurs en privacy

Doordat het kennisniveau van privacy binnen de verschillende afdelingen verschilt, worden privacy adviseurs niet altijd tijdig of zelfs helemaal niet betrokken bij projecten of adviesvragen. Hierdoor kan het bijvoorbeeld voorkomen dat software wordt aangeschaft zonder dat hiervoor de benodigde DPIA is uitgevoerd.

contactpersonen elkaar regelmatig opzoeken zodat zij over en weer van elkaar op de hoogte zijn wat er speelt qua projecten en welke adviesvragen er in de organisatie liggen. Implementeer (als dat nog niet is gedaan) bovendien het proces van beoordeling of een DPIA nodig is en maak dit breder bekend bij de afdelingen.

Datalekken 1. Het proces van datalekken is wel beschreven in het beleid en uitgewerkt in een werkproces, maar er ontbreken concrete, heldere

1. Dit knelpunt kan op verschillende manieren worden aangevlogen, waarbij onder meer kan worden gedacht aan het verduidelijken en uitbreiden van de

voorbeelden. Hierdoor is het mogelijk dat een datalek niet als zodanig wordt herkend door medewerkers en de vastgelegde procedure niet (of niet consequent) wordt gevolgd.

procedurebeschrijving en dit te combineren met trainingen/workshops om medewerkers te trainen op het voorkomen en herkennen van een datalek. Zo kan de kans op dataverlies of diefstal worden verminderd.

2. Meldingen komen via verschillende kanalen binnen en blijven lang liggen.

2. Herijk het proces rondom datalekken en zorg ervoor dat er één duidelijke weg is om een melding in te dienen, bijvoorbeeld door ze in Topdesk te registreren en af te handelen (terugkoppeling). Stel een duidelijke governance op voor het afhandelen van datalekken.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Veilige communicatie Er zijn voorbeelden dat bij Zorgmail vergeten wordt om extern mailen aan te vinken, waardoor mail onveilig wordt verzonden. Hier mag meer aandacht voor komen.

Zorgmail en het belang van veilig communiceren staat wel benoemd in het nota privacybeleid, maar de informatie is waarschijnlijk verouderd omdat de tekst de suggestie wekt dat Zorgmail nog moet worden geïmplementeerd. Pagina |van 43 Het is bovendien van belang om de nut en noodzaak veilig communiceren breder onder de aandacht te brengen en maatregelen te nemen om te voorkomen dat er onveilig wordt gemaild. Het is van belang dat informatiedeling over en met kwetsbare personen op de meest veilige manier

Toegang tot persoonsgegevens Autorisaties lijken op zich goed ingericht, maar de rollen zijn soms niet passend bij de functie en zouden kunnen worden herijkt bij veel applicaties. Daarnaast vindt er wel logging plaats (bijvoorbeeld in Suite voor het Sociaal Domein), maar wordt dit niet of nauwelijks gemonitord. N.B. Role-based access wordt op dit moment ingericht, maar gaat nog teveel ad-hoc, er bestaat enige wildgroei aan autorisaties.

wordt uitgevoerd. Analyseer de verschillende (gebruikers)rollen per applicatie/systeem en bepaal of ze nog steeds relevant en noodzakelijk zijn en passend bij de functie. Overbodige of dubbele rollen moeten zoveel mogelijk worden beperkt (Role-based access); Stel een duidelijk proces op, bijvoorbeeld wanneer een functie wijzigt of als iemand nieuwe rechten nodig heeft, om toegang van gebruikers tot gevoelige informatie te beperken; Houdt activiteiten van gebruikers in de gaten (monitoren van logging) om eventuele incidenten snel te detecteren, hiervoor kan gebruik worden gemaakt van verschillende systemen om geautomatiseerde waarschuwingen en rapporten te genereren. Betrek ‘toegang tot enkel het noodzakelijke’ in trainingen om het beveiligingsbewustzijn te vergroten en medewerkers kennis te laten nemen van de geldende procedures.

Rechten van betrokkenen Inzageverzoeken komen binnen primair binnen bij privacy adviseurs, die deze checken op ontvankelijkheid. Vervolgens wordt de afhandeling overgelaten aan de vakafdeling (integraal manager),

Leg het proces ‘rechten van betrokkenen’ vast en benoem taken, bevoegdheden en verantwoordelijkheden. Zorg ervoor dat medewerkers ervan bewust zijn wanneer een inwoner een beroep doet op zijn of haar rechten onder de

die ook de eindverantwoordelijkheid draagt. De privacy adviseur heeft in dat proces een adviserende, ondersteunende en soms coördinerende rol als het verzoek afdelingsoverstijgend is.

AVG en richt het proces strakker in. Zo wordt voorkomen dat een WOO verzoek of een beroep op materiewetgeving wordt geïdentificeerd als een AVG verzoek of vice versa. Maak de informatie op de website specifiek en actueel.

Een procesbeschrijving inzake rechten van betrokkenen is in concept opgesteld, maar nog niet alle rechten die aan betrokkenen toekomen zijn hierin uitgeschreven. Daarnaast is de procesbeschrijving nog niet (formeel) vastgesteld. De tekst op de website met betrekking tot rechten van betrokkenen bevat fouten en het komt ook weleens voor dat verzoeken via het KCC worden doorgespeeld. Bewaren en vernietigen van gegevens Hoewel hier wel een proces voor is ingericht, komt het regelmatig voor dat stukken niet in één enkel systeem staan maar ook in mailboxen en (persoonlijke) schijven.

Geef in het beleid meer aandacht aan het proces rondom het bewaren en vernietigen van gegevens. Stel met de archivaris procesbeschrijvingen op en adviseer om deze door te voeren in systemen en individuele applicaties. Train medewerkers op archiveren en bewaren / vernietigen.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

DPIA -

Er zijn verschillende varianten en formats in omloop. Het is niet altijd duidelijk wanneer er een DPIA moet worden afgenomen, hierdoor bestaat het risico dat er software wordt aangekocht en pas te laat of helemaal geen DPIA wordt uitgevoerd. Het is onduidelijk of altijd opvolging wordt gegeven aan voorgestelde mitigerende maatregelen. De risicoanalyse mag uitgebreider en de terminologie laagdrempeliger/beter uitgelegd.

Herijk het bestaande DPIA proces en de daarbij behorende formats en zorg ervoor dat er één format op een centrale plek staat. Om te controleren of er opvolging wordt gegeven aan in een DPIA gedane bevindingen is het belangrijk om een controlemoment in te plannen en een goede Pagina | 44 opvolgingsstructuur in te bouwen. Benoem de actoren in het proces: degene die verantwoordelijk is voor implementatie en verantwoording en de toetser, zoals een FG, CISO of auditor.

Jaarplan Een jaarplan privacy is in de maak waarin de werkzaamheden van de privacy adviseurs en de FG staan beschreven. Hierin is ook een prioritering op hoofdlijnen opgenomen. Een privacy agenda voor de organisatie ontbreekt echter.

Een privacy jaarplan draagt bij aan een gestructureerde aanpak en helpt bij het prioriteren van maatregelen die moeten worden genomen om bewustwording onder de medewerkers te vergroten en goede omgang met persoonsgegevens te waarborgen. Bovendien creëert een jaarplan duidelijke, transparante kaders over de jaarlijkse inspanningen van de gemeente en stelt het stakeholders in staat om de voortgang en resultaten bij te houden en in te zien.

Register van verwerkingen Is aanwezig, maar wordt niet regelmatig geactualiseerd en er zitten een hoop vervuilingen in. Het register is niet intern en extern gepubliceerd.

Stel jaarlijks een reminder in om met het privacynetwerk per afdeling het verwerkingsregister te controleren zodat fouten en vervuiling eruit wordt gehaald. Een actueel en goed ingevuld verwerkingsregister draagt bovendien bij aan (interne en externe) inzicht en controle over welke persoonsgegevens de gemeente verwerkt. Dit kan het vertrouwen in de gemeente over de veilige omgang met persoonsgegevens vergroten. Een openbare publicatie van het register draagt bij aan de uitvoering van de rechten van betrokkenen. Een betrokkene kan in het register (globaal) teruglezen in welke processen zijn persoonsgegevens worden gebruikt, zodat dat niet via een individueel verzoek hoeft te worden gedaan.

Verwerkersovereenkomsten Het is wel bekend wanneer er verwerkersovereenkomsten moeten worden gesloten, maar er vindt geen controle plaats op de naleving ervan.

Kies (bijvoorbeeld jaarlijks op basis van BIV classificatie) een vijftal verwerkers met een hoog afbreukrisico uit om deze te controleren op de naleving van de in de verwerkersovereenkomst gemaakte afspraken. Richt een centrale plek voor verwerkersovereenkomsten in. Stel een governance op voor de taken, bevoegdheden en verantwoordelijkheden rondom de verwerkersovereenkomst(en).

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

10.2 BIJLAGE 2 Output interviews business

Pagina | 45

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Knelpunt

Aanbevelingen / suggesties

Meerwaarde privacybeleid 1. Op dit moment biedt het privacybeleid weinig

Drie mogelijkheden om dit knelpunt op te lossen: 1. Stel een alomvattend en uitgebreid privacybeleid op, waarbij

meerwaarde. Er is wel behoefte aan een beter privacybeleid, toegespitst op de uitvoering in de dagelijkse praktijk (per afdeling) en commitment van MT en bestuur.

zoveel mogelijk potentiële vraagstukken worden getackeld. Neem bovendien het college (verantwoordelijke!) en de gemeenteraad mee bij het opstellen ervan, beleid moet breed worden gedragen; 2. Herijk het bestaande privacybeleid en haal verouderde informatie eruit. Neem als beleidsuitgangspunt daarbij, dat er per afdeling nadere protocollen en regels worden opgesteld. College en gemeenteraad worden betrokken bij het algemeen kader, de uitwerking vindt plaats op de afdelingen; | 46 3. Stel enkel losse protocollen en regels per afdeling Pagina op zonder betrokkenheid van het college en de gemeenteraad.

2. Er missen ook duidelijke doelstellingen in het privacybeleid en welke afwegingen er moeten worden gemaakt.

Onze voorkeur gaat uit naar optie twee, omdat deze het meest praktisch is en de flexibiliteit biedt om aanpassingen te maken op basis van de behoeften van verschillende afdelingen. Bekendheid privacybeleid Het huidige privacybeleid is moeilijk vindbaar en grotendeels onbekend onder de medewerkers, wat mogelijk verschillende negatieve gevolgen heeft. Een van deze gevolgen is dat het privacybeleid mogelijk niet consistent wordt toegepast binnen de organisatie.

Uit de interviews is desalniettemin naar voren gekomen dat binnen de kaders van de AVG wordt gewerkt, men is bekend met de uitgangspunten en degenen die het privacybeleid wel kennen vinden wat erin staat een open deur en erg ‘hoog-over’.

Gebrek aan werkinstructies Er bestaat een grote behoefte aan duidelijke werkinstructies. Bovendien zijn er mogelijk verouderde werkinstructies in

1. Maak een overzicht van de bestaande werkinstructies om te achterhalen waar deze ontbreken.

omloop.

2. Laat privacy adviseurs meekijken en betrek ze bij het opstellen van werkinstructies (of het herijken ervan) om te controleren of de uitgangspunten (nog) in overeenstemming zijn met de AVG.

Privacy bewustwording Dit knelpunt is ook opgemerkt en gesignaleerd bij de interviews met de privacy adviseurs en informatiemanagers en wordt bevestigd door de medewerkers.

1. Organiseer regelmatig trainingen en workshops over gegevensbescherming (privacy en informatieveiligheid) en maak dit onderdeel van het inwerkprogramma. Herinner medewerkers regelmatig aan het belang van privacybewustzijn, bijvoorbeeld door nieuwsbrieven te versturen aan de privacycontactpersonen en alle medewerkers te informeren over belangrijk (privacy gerelateerd)

Aanvulling: Uit meerdere interviews is naar voren gekomen dat er behoefte is aan meer trainingen, ook op het gebied van datalekken (herkennen en acteren). De signalen hierover zijn echter versnipperd, het lijkt erop dat een aantal afdelingen een hogere bewustwording hebben en daar ook naar

nieuws. Maak ook gebruik van onder meer ‘de Europese dag van de privacy’ om de bewustwording te vergroten, bijvoorbeeld door het organiseren van een interne campagne. 2. Zorg ervoor dat bestuur, management en medewerkers betrokken

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

handelen. Dit is waarschijnlijk ingegeven door de werkzaamheden.

worden bij het opstellen en bijwerken van het privacybeleid, en geef hen trainingen over het beleid en de naleving ervan.

Men geeft ook aan dat er wel regelmatig informatie op de lokale intranet pagina wordt gedeeld, maar dat dit geen handig communicatiemiddel is omdat informatie snel wordt ondergesneeuwd.

3. Een manier om deze trainingen te verbeteren is door (casus)vragen te stellen, zoals: wanneer en hoe voer ik een DPIA uit? Pagina Wie moet ik daarbij betrekken? Welke uitgangspunten moet|ik47

Er is bovendien behoefte aan het betrekken van datagedreven werken en datamanagement bij trainingen.

hanteren met betrekking tot privacy binnen mijn afdeling? Wanneer betrek ik een privacy adviseur? Welke afwegingen kan ik mee geconfronteerd worden? Dit kan helpen om de bewustwording en acceptatie van privacy binnen de organisatie te vergroten en de consistentie van het beleid te verbeteren.

Ook is er meer behoefte aan meer uitleg over hoe bepaalde zaken moeten worden afgewogen, actief openbaar maken vanuit de WOO in samenhang met de AVG wordt bijvoorbeeld als lastig ervaren.

Betrokkenheid privacy adviseurs 1. Men weet over het algemeen de privacy adviseur bij adviesvragen goed te vinden en de privacycontactpersoon

1. Zorg ervoor dat privacy adviseurs en privacycontactpersonen elkaar regelmatig opzoeken zodat zij over en weer van elkaar op de hoogte zijn wat er speelt qua projecten en welke adviesvragen er in

voor de wat meer ‘lokale afdelingsvragen’.

de organisatie liggen. Doe dit bijvoorbeeld in maandelijkse sessies van een uur, waarin luchtig actualiteiten uit de privacy hoek (zowel vanuit de interne organisatie als van persberichten en jurisprudentie) de revue passeren.

2. Support wordt echter ook weleens als schaars omschreven, maar dat hangt voornamelijk af van de afdeling. 3. Ad hoc vragen worden niet altijd goed geregistreerd.

2. Leg vast dat er vragen zijn gesteld vanuit de afdeling en welke vervolgacties zijn ingegeven, zodat wordt voorkomen dat er geen opvolging wordt gegeven.

Verantwoordelijkheid

Stel een governance op voor de taken, bevoegdheden en

Het is weleens onduidelijk wie waarvoor verantwoordelijk is. Welke afdeling of team heeft welke rol bij een onderzoek en wat zijn de bijbehorende verantwoordelijkheden? Dit speelt met name bij ad-hoc vraagstukken.

verantwoordelijkheden rondom de verantwoordelijkheid voor projecten.

Datalekken Dit knelpunt is ook opgemerkt en gesignaleerd bij de interviews met de privacy adviseurs en informatiemanagers en wordt bevestigd door de medewerkers. Bovendien is kennis van wat een datalek is versnipperd en wordt het onderwerp

1. Verduidelijk en breidt de procedurebeschrijving uit en combineer dit met het geven van trainingen / workshops om medewerkers te trainen op het voorkomen en herkennen van een datalek. Zo kan de kans op dataverlies of diefstal worden verminderd.

verschillend benaderd.

2. Herijk het proces rondom datalekken en zorg ervoor dat er één duidelijke weg is om een melding in te dienen, bijvoorbeeld door ze in Topdesk te registreren en af te handelen (terugkoppeling). Zet een duidelijke procesbeschrijving op een privacypagina op Intranet.

1. Het proces rondom datalekken is wel beschreven in het privacybeleid en uitgewerkt in een werkproces, maar er ontbreken concrete, heldere voorbeelden. Hierdoor is het mogelijk dat een datalek / beveiligingsincident niet als zodanig wordt herkend door medewerkers en de vastgelegde procedure niet (of niet consequent) wordt gevolgd.

3. Stel een duidelijke governance op voor het afhandelen van datalekken.

2. Meldingen komen via verschillende kanalen binnen en blijven lang liggen.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Veilige communicatie Er zijn voorbeelden dat bij Zorgmail vergeten wordt om extern mailen aan te vinken, waardoor mail onveilig wordt verzonden. Hier mag meer aandacht voor komen. Aanvulling Dit gaat stukken beter dan een aantal jaren geleden, destijds kwam het regelmatig voor dat Excel lijsten met persoonsgegevens onbeveiligd werden rondgemaild.

Naast het breder onder de aandacht brengen van het belang van veilig mailen zou kunnen worden gedacht aan het uitvoeren een steekproef, opgezet in samenwerking met de applicatiebeheerders, om te controleren of Zorgmail actief wordt gebruikt bij afdelingen waar het logisch zou zijn dat men vaak extern mailt met Pagina | 48 persoonsgegevens.

Toegang tot persoonsgegevens Dit knelpunt is ook opgemerkt en gesignaleerd bij de interviews met de privacy adviseurs en informatiemanagers en wordt bevestigd door de medewerkers.

1. Analyseer de verschillende (gebruikers)rollen per applicatie / systeem en bepaal of ze nog steeds relevant en noodzakelijk zijn en passend bij de functie. Overbodige of dubbele rollen moeten zoveel mogelijk worden beperkt (Role-based access).

Autorisaties lijken op zich goed ingericht, maar de rollen zijn soms niet passend bij de functie en zouden kunnen worden herijkt bij veel applicaties. Daarnaast vindt er wel logging plaats (bijvoorbeeld in Suite voor het Sociaal Domein), maar wordt dit niet of nauwelijks gemonitord.

2. Stel een duidelijk proces op, bijvoorbeeld wanneer een functie wijzigt of als iemand nieuwe rechten nodig heeft, om toegang van gebruikers tot gevoelige informatie te beperken.

N.B. Role-based access wordt op dit moment ingericht, maar gaat nog teveel ad hoc, er bestaat enige wildgroei aan autorisaties. Aanvulling: Instroom en uitstroom (identity access management) moet beter worden geregeld, maar dit proces is al in voorbereiding.

Rechten van betrokkenen Dit knelpunt is ook opgemerkt en gesignaleerd bij de interviews met de privacy adviseurs en informatiemanagers en wordt bevestigd door de medewerkers. Aanvulling: Geïnterviewden aangeven weinig te worden geconfronteerd met rechten van betrokkenen. Mógelijk worden verzoeken van betrokkenen niet altijd als zodanig geïdentificeerd. Daarnaast werd aangegeven dat het proces niet centraal is ingericht en een format ontbrak, maar dit lijkt per afdeling te

3. Houdt activiteiten van gebruikers in de gaten (monitoren van logging) om eventuele incidenten snel te detecteren, hiervoor kan gebruik worden gemaakt van verschillende systemen om geautomatiseerde waarschuwingen en rapporten te genereren. 4. Betrek ‘toegang tot enkel het noodzakelijke’ in trainingen om het beveiligingsbewustzijn te vergroten en medewerkers kennis te laten nemen van de geldende procedures.

1. Leg het proces ‘rechten van betrokkenen’ formeel vast en benoem taken, bevoegdheden en verantwoordelijkheden (governance). 2. Zorg ervoor dat medewerkers ervan bewust zijn wanneer een inwoner een beroep doet op zijn of haar rechten onder de AVG en richt het proces strakker in, bijvoorbeeld door het aan bod te laten komen tijdens een training. Zo wordt voorkomen dat een WOO verzoek of een beroep op materiewetgeving wordt geïdentificeerd als een AVG verzoek of vice versa.

verschillen.

3. Maak de informatie op de gemeentelijke website specifiek en actueel.

Bewaren en vernietigen van gegevens Dit knelpunt is ook opgemerkt en gesignaleerd bij de interviews met de privacy adviseurs en informatiemanagers en wordt bevestigd door de medewerkers.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Hoewel hier wel een proces voor is ingericht, komt het regelmatig voor dat stukken niet in één enkel systeem staan maar ook in mailboxen en (persoonlijke) schijven. DPIA Dit knelpunt is ook opgemerkt en gesignaleerd bij de interviews met de privacy adviseurs en informatiemanagers en wordt bevestigd door de medewerkers.

1. Herijk het bestaande DPIA proces en de daarbij behorende Paginaplek | 49staat. formats en zorg ervoor dat er één format op een centrale Om te controleren of er opvolging wordt gegeven aan in een DPIA gedane bevindingen is het belangrijk om een controlemoment in te plannen en een goede opvolgingsstructuur in te bouwen.

1. Er zijn verschillende varianten en formats in omloop. 2. Het is niet altijd duidelijk wanneer er een DPIA moet worden afgenomen, hierdoor bestaat het risico dat er software wordt aangekocht en pas te laat of helemaal geen DPIA wordt uitgevoerd.

2. Benoem de actoren in het proces: degene die verantwoordelijk is voor implementatie en verantwoording en de toetser, zoals een FG, CISO of auditor.

3. Het is onduidelijk of altijd opvolging wordt gegeven aan voorgestelde mitigerende maatregelen. 4. De risicoanalyse mag uitgebreider en de terminologie laagdrempeliger / beter uitgelegd. Register van verwerkingen Dit knelpunt is ook opgemerkt en gesignaleerd bij de interviews met de privacy adviseurs en informatiemanagers en wordt bevestigd door de medewerkers. Aanvulling: De bekendheid met het register van verwerkingen onder de geïnterviewden is relatief laag. Men kent het wel, maar geeft

aan dat het niet regelmatig wordt geactualiseerd. Ook lijkt relatief onbekend wie hiervoor het voortouw neemt.

uitvoering van de rechten van betrokkenen. Een betrokkene kan in het register teruglezen in welke processen zijn persoonsgegevens worden gebruikt, zodat dat niet via een individueel verzoek hoeft te worden gedaan.

Verwerkersovereenkomsten Dit knelpunt is ook opgemerkt en gesignaleerd bij de interviews met de privacy adviseurs en informatiemanagers en wordt bevestigd door de medewerkers.

1. Richt een vast proces in met betrekking tot het sluiten van verwerkersovereenkomsten en maak de betrokkenheid van de privacy adviseur (minimaal als ‘final check’) onderdeel van het proces.

Aanvulling: Er zijn verschillende formats in omloop en er worden nog weleens verwerkersovereenkomsten gesloten zonder dat hierbij een privacy adviseur wordt betrokken.

2. Stel een governance op voor de taken, bevoegdheden en verantwoordelijkheden rondom de verwerkersovereenkomst(en).

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

10.3 BIJLAGE 3 Bijvangst, behorend bij bijlage 1&2 Door de privacy adviseurs en informatiemanagers zijn verschillende suggesties gedaan om het privacy beleid te verbeteren en de bewustwording te vergroten. Omdat ze niet allemaal in een knelpunt/aanbeveling structuur zijn te vatten is hieronder een opsomming gegeven. Privacyproducten & beleid: 

Het privacybeleid is verouderd, mist structuur en is teveel vanuit de ivoren toren en theorie geschreven;



Je schaamt je ervoor om het privacybeleid en reglement te delen omdat het zó verouderd is;



Maak het privacybeleid beter leesbaar voor inwoners;



Goed privacybeleid kan als vehikel/kapstok worden gebruikt om trainingen te faciliteren, zo kan over en weer naar het beleid worden verwezen;



Neem bepaalde verplichtingen op in het privacybeleid, bijvoorbeeld verplichte trainingen;



Beleid kan bijdragen aan meer bewustwording, bovendien zullen medewerkers dan betere (advies)vragen stellen aan de privacy adviseurs;



Privacybeleid zou wat meer ruimte kunnen bieden voor wat wél kan en mag, het is nu te zwart/wit opgesteld. Omdat er geen ruimte is vo or andere smaken, ontwijkt men het beleid;



Maak het privacybeleid concreet en deel het op in thema’s;



Het privacybeleid is onvoldoende ingebed in de organisatie;



Het moet mogelijk worden om vanuit het beleid zelf te kunnen adviseren, bij niet-leuk gesprekken wil je erop kunnen terugvallen;



Privacyadvies moet concreter, nu vaak te algemeen geformuleerd;



Betrek ook kwaliteitsmedewerkers;



Het beleid moet niet in beton zijn gegoten, maak het een leefbaar document met ruimte voor afwegingen.

Bewustwording 

Bewustwording staat nog in de kinderschoenen, maar medewerkers zijn wel steeds bewuster bezig om veilig om te gaan met persoonsgegevens;



Kennis van privacy verschilt enorm per afdeling en per collega, maar ook afdelingsmanagers zijn niet altijd goed op de hoogte. Voor het fysiek domein is privacy een ver-van-mijn-bed-show;



Het kennisniveau van privacy bij de afdeling HRM is onder de maat, bij meer dienstverlenende afdelingen is het niveau een stuk hoger;



Verantwoordelijkheidsbesef ontbreekt;



Privacy adviseurs zijn kritisch, maar goed benaderbaar, meedenkend en oplossingsgericht.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 50

10.4 BIJLAGE 4 Ontwikkelingen, trends: jurisprudentie en richtlijnen nationale en Europese toezichthouders Deze bijlage strekt tot beantwoording van onderzoeksvraag 2.2: Pagina | 51

Zijn er ontwikkelingen geweest of aanstaande die nopen tot toevoeging van onderwerpen aan het reglement? Bijvoorbeeld ontwikkelingen in de techniek, jurisprudentie en richtlijnen vanuit de nationale en Europese toezichthouders? Hiertoe is een overzicht gemaakt van de laatste ontwikkelingen en trends, waaronder jurisprudentie, op het gebied van bescherming van persoonsgegevens/AVG. Begrip persoonsgegeven Oud: Begrip persoonsgegevens bevat enkel de door de verwerkingsverantwoordelijke verzamelde en bewaarde gegevens, niet de informatie die voortvloeit uit een verwerking van persoonsgegevens betreffende een geïdentificeerde of identificeerbare persoon. Nieuw: Er wordt een ruime betekenis toegekend aan de definitie van het begrip 'persoonsgegeven'. Het begrip strekt zich uit tot elk soort informatie, zowel objectieve als subjectieve informatie (meningen of beoordelingen) op voorwaarde dat het gaat om informatie die de betrokkene betreft. 25 Rechten van betrokkenen: inzage Oud: Het verstrekken van een overzicht van verwerkte persoonsgegevens zonder onderliggende documenten is (in beginsel) voldoende om aan een inzageverzoek te beantwoorden. Nieuw: Een zuiver algemene beschrijving van de verwerkte gegevens of een verwijzing naar de categorieën persoonsgegevens voldoet niet aa n de definitie 'kopie' van artikel 15 AVG (n.b.

artikel 15 lid 3 AVG geeft de betrokkene niet het recht om een kopie te verkrijgen van de documenten die zijn persoonsgegevens bevatten, maar het recht om een getrouwe reproductie te verkrijgen van de persoonsgegevens die in deze documenten zijn opgenomen). Het inzagerecht moet in veel omstandigheden ruim worden uitgelegd: het moet de betrokkene in staat stellen de rechten die hij aan de AVG ontleent daadwerkelijk uit te kunnen oefenen. Dat kán er in bepaalde gevallen toe leiden dat vaker contextuele informatie of volledige documenten waarin de persoonsgegevens zijn verwerkt moeten worden verstrekt, indien de reactie op een inzageverzoek anders onvolledig en onbegrijpelijk is. Mocht het inzagerecht

25 https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX%3A62021CJ0487.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

botsen met andere belangen (derden, IE-rechten, bedrijfsgeheimen e.d.) dan moet er een belangenafweging plaatsvinden. Die afweging mag er niet toe leiden dat de gegevens volledig achterwege blijven. Context geven over de gegevens kan dus noodzakelijk zijn. 26 Rechten van betrokkenen: inzagerecht/informatie over geautomatiseerde besluitvorming (art. 22 AVG) Oud: Een uitspraak van het Gerechtshof Amsterdam van april 2023 verduidelijkt het een en ander over het recht op inzage/informatie in de situatie waarin een verwerkingsverantwoordelijke een betrokkene onderwerpt aan 'een uitsluitend geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft', artikel 15 lid 1 sub h AVG. Nieuw: Het bezigen van 'betekenisvolle menselijke tussenkomst' betekent niet dat een betrokkene geen recht heeft op informatie over de totstandkoming van het besluit en 'nuttige informatie over de onderliggende logica'.

Zoals de EDPB richtsnoeren (let op, enigszins verouderd, 2017) voorschrijven, moet de verwerkingsverantwoordelijke op de voet van artikel 15 lid 1 sub h AVG de betrokkene algemene informatie verstrekken die van nut is om het besluit aan te vechten, met name informatie over factoren die in het besluitvormingsproces in aanmerking zijn genomen, en hun respectieve ‘weging’ op een geaggregeerd niveau. De verstrekte informatie moet volledig genoeg zijn voor de betrokkene om de redenen van het besluit te kunnen begrijpen. In het arrest van het Hof is tevens betoogd dat de bescherming van bedrijfsgeheimen (art. 15 lid 4 AVG) als uitzonderingsgrond ertoe zou moeten leiden dat er geen inzage hoeft te worden gegeven. Deze uitzonderingsgrond gaat echter niet onverkort op, een volledige afwijzing van een informatieverzoek is namelijk niet in overeenstemming met het in de UAVG (art. 41 lid 1 sub i) opgenomen vereiste van evenredigheid en noodzakelijkheid. Daarnaast mag (zie ook hierboven) een overweging aangaande rechten of vrijheden van anderen er niet toe leiden dat aan betrokkene álle informatie wordt onthouden.

Concreet houdt het een en ander in dat de drempel om informatie 'achter' te houden aangaande geautomatiseerde besluitvorming erg hoog is en daarnaast moet de verwerkingsverantwoordelijk, om daadwerkelijk 'menselijke tussenkomst' te realiseren ervoor zorgen dat het menselijke onderdeel daadwerkelijk betekenisvol en niet louter symbolisch is.27

ECLI:EU:C:2023:369, https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:62021CJ0487;

https://www.dirkzwager.nl/kennis/artikelen/hvjeu-legt-inzagerecht-ruim-uit-ruimer-dan-tot-op-heden-veelal-in-nederlandinclusief-kopie%C3%ABn-van-onderliggende-documenten/. 27 ECLI:NL:GHAMS:2023:796, Gerechtshof Amsterdam, 200.295.747/01 (rechtspraak.nl).

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 52

Log- en monitorbestanden bij inzage Oud: Log- en monitorbestanden zijn vaak onbegrijpelijk/onleesbaar voor betrokkenen. Bij het uitoefenen van het recht op inzage is niet altijd duidelijk in hoeverre log- en monitorbestanden daarin moeten worden betrokken. Nieuw: In de zaak Pankki S (C-579/21, juni 2023) zijn twee gezichtspunten naar voren gebracht met betrekking tot log- en monitoringsbestanden in combinatie met het inzagerecht: Het inzagerecht moet nooit absoluut worden uitgelegd, maar moet wel worden verleend op een manier die ervoor zorgt dat niet alle informatie aan een betrokkene wordt onthouden. Bovendien ziet het inzagerecht niet toe op het achterhalen van de identiteit van degene die een dossier heeft geraadpleegd (als dat is gelogd), maar wel op de doelstellingen, tijd en frequentie van de raadpleging. Een beschrijving en uitleg van waarom gegevens zijn bekeken en voor welk doel, de frequentie en tijdstip of duur waarin een dossier of persoonsgegevens zijn bekeken volstaat dus. 28 Rechten van betrokkenen: identificeren Oud: De invulling van de identificatieplicht ingevolge art. 12 AVG is niet d uidelijk omschreven. N.b. Let op, in het privacyreglement van de gemeente Haarlem staat een andere procedure voorgeschreven dan op de website.

Verzoeken moeten ingevolge het privacyreglement altijd bij de FG worden ingediend per mail, op de website is echter een formulier opengesteld. Nieuw: Het opvragen van een kopie van een ID-bewijs om een betrokkene te identificeren om zijn of haar rechten uit te kunnen oefenen is onrechtmatig omdat het niet proportioneel is en daarnaast hetzelfde doel kan worden bere ikt op een minder ingrijpende wijze. Voor de identificatie van de betrokkene moet rekening worden gehouden met wat evenredig is om aan een verzoek te voldoen, waarbij dataminimalisatie wordt betracht. De AP heeft op haar website enkele voorbeelden geplaatst voor wat betreft het vaststellen van de identiteit, waarbij bijvoorbeeld wordt voorgesteld om na het ontvangen van een verzoek per e-mail te vragen om een bevestiging per sms. Het mobiele nummer moet dan kloppen met de eigen administratie. Zodoende wordt de betrokkene met twee identificerende gegevens geïdentificeerd. 29

28 https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A62021CJ0579. 29

Boete DPG Media i.v.m. onrechtmatig beleid ten aanzien van het identificeren van betrokkenen ten behoeve van het

uitoefenen van de aan hen uit de AVG toegekende rechten (art. 15 tot en met 22 AVG). https://www.autoriteitpersoonsgegevens.nl/actueel/ap-boete-dpg-media-voor-onnodig-opvragen-identiteitsbewijs zie ook de richtsnoeren: https://edpb.europa.eu/system/files/2022-01/edpb_guidelines_012022_right-of-access_0.pdf.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 53

Bewaartermijnen Oud: Bewaartermijn camerabeelden max 28 dagen. Nieuw: Bewaartermijn: zo kort mogelijk. Incident afgehandeld? Dan vernietigen. EDPB gaat ervan uit dat bijvoorbeeld schade binnen twee dagen moet zijn opgemerkt (als het doel is om vandalisme tegen te gaan). Automatische wissing na één à twee dagen is derhalve redelijk. 30 Pseudonimiseren/anonimiseren Oud: Er bestaat onduidelijkheid over wanneer pseudonimisering als feitelijk onomkeerbaar kan worden geacht voor de ontvangende partij. Nieuw: Vanuit de verwerkende partij moet worden beoordeeld of het redelijkerwijs mogelijk is om gepseudonimiseerde gegevens te herleiden tot de persoon. Dat is niet zo indien dat een excessieve inspanning vergt of het bij wet verboden is om de betrokkenen te identificeren. De vraag of de AVG van toepassing is voor de ontvangende partij moet dus niet worden beoordeeld aan de hand van de vraag of de gegevens voor iemand mogelijk identificeerbaar zijn, maar of deze voor de ontvangende, specifieke partij zijn te identificeren. Concluderend moet de mogelijkheid om natuurlijke personen te heridentificeren voor de ontvangende partij binnen handbereik liggen om te constateren dat sprake is van 'persoonsgegevens', dit is conform de Breyer uitspraak.

31 Gebruik van persoonsgegevens voor testdoeleinden Oud: Het gebruik van 'echte' persoonsgegevens is onder bepaalde omstandigheden toegestaan, maar duidelijke kaders ontbreken. Nieuw: Indien persoonsgegevens (ook) voor testdoeleinden worden verzameld en gebruikt, moet dit kenbaar worden gemaakt aan de betrokkene. Daarbij moet ook aan de betrokkene(n) worden vermeld waarom het gerechtvaardigd is om persoonsgegevens te verwerken voor dat doeleinde. Om te beoordelen of het gerechtvaardigd is om persoonsgegevens te gebruiken voor testdoeleinden, is het noodzakelijk om een gerechtvaardigd belang-toets te doorlopen, waarbij sprake moet zijn van een gerechtvaardigd belang, aangetoond wordt dat het gebruik van persoonsgegevens noodzakelijk is (proportionaliteit en subsidiariteit) en laatstelijk een belangenafweging plaatsvindt tussen het belang van de organisatie en dat van de betrokkene. Mocht het verzameldoel (of één van de verzameldoelen) van de verwerking

30 EDPB, Guidelines 3/2019

https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_en_0.pdf. 31

https://curia.europa.eu/juris/document/document.jsf?pageIndex=0&docid=272910&doclang=NL&text=&cid=3963072 .

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 54

overigens niet zijn het testen met persoonsgegevens, dan is het noodzakelijk om een verenigbaarheidstoets uit te voeren. 32 DPIA Oud: Een DPIA moet in ieder geval worden uitgevoerd als de voorgenomen gegevensverwerking waarschijnlijk een hoog privacyrisico oplevert voor de betrokkenen. Nieuw: Er is duidelijkere invulling gegeven aan welke omstandigheden/criteria kunnen worden meegewogen om te bepalen of een DPIA noodzakelijk is, deze komen voort uit de AVG, de lijst van de AP en 'de negen criteria voor een DPIA' die de Europese toezichthouders hebben opgesteld. 33 Smart cities Oud: Geen specifiek beleid en/of aanbevelingen ten aanzien van het gebruik van sensoren in de openbare ruimte en/of andere smart city-toepassingen. Nieuw: In de openbare ruimte moet men zich ongedwongen over straat kunnen bewegen, zonder daarbij te worden gemonitord. De juridische en ethische bezwaren tegen monitoring van natuurlijke personen (bijvoorbeeld om bezoekersaantallen te meten of veiligheid op drukke plekken te waarborgen) in de openbare ruimte moet daarom telkens vooraf worden afgewogen. De AP heeft hierop aanbevelingen gegeven die kunnen helpen om de privacy van inwoners te borgen.

34 EU-VS gegevensoverdracht Oud: Het afsluiten van standard contractual clauses (SCC's) is in de meeste gevallen voldoende om veilige gegevensoverdracht naar landen die niet onder het adequaatheidsbesluit vallen te garanderen. Nieuw: Het afsluiten van SCC's om daarmee gegevensoverdracht mogelijk te maken naar derde landen is niet voldoende om een equivalent beschermingsniveau te waarborgen, het kan noodzakelijk zijn om aanvullende technische (zoals het versleutelen van de data met een private key), organisatorische en contractuele maatregelen te nemen om daarmee het risico op toegang tot persoonsgegevens door Amerikaanse inlichtingendiensten te verkleinen. Bij een voorgenomen gegevensoverdracht kan het uitvoeren van

32 https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:62021CJ0077. 33 Data protection impact assessment (DPIA) | Autoriteit Persoonsgegevens Zie ook de negen criteria van de Europese toezichthouders.

Lijst AP: https://autoriteitpersoonsgegevens.nl/documenten/besluit-lijst-verplichte-dpia. 34 https://autoriteitpersoonsgegevens.nl/actueel/ap-publiceert-aanbevelingen-voor-smart-cities.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 55

een risicoanalyse (Data Transfer Impact Assessment, DTIA) helpen bij het in kaart brengen van de risico's. 35 Inmiddels is per 11 juli 2023 een adequaatheidsbesluit genomen door de Europese Commissie, het EU-US Data Privacy Framework is hiermee van kracht geworden.36 Hoewel een DTIA voor gegevensoverdracht naar de VS hiermee in beginsel niet meer nodig is, 37 is de verwachting dat het Europese Hof van Justitie het Framework, net als Safe Harbour en het Privacy Shield, op soortgelijke gronden ongeldig zal verklaren. Google Analytics Oud: Gebruik van Google Analytics, mits 'privacy vriendelijk ingesteld' is toegestaan. Nieuw: Hoewel de Autoriteit Persoonsgegevens (AP) nog geen uitsluitsel heeft gegeven over het gebruik van Google Analytics, zijn er voldoende aanwijzingen van andere toezichthouders dat het gebruik ervan mogelijk in strijd is met de AVG i.v.m. Schrems II. Daarom wordt aanbevolen Europese alternatieven (mits noodzakelijk) te gebruiken. 38 Begrip 'schade' in de AVG (art. 82 AVG) Oud: Onduidelijkheid over artikel 82 van de AVG, met name of de enkele schending van de AVG al maakt dat een betrokkene recht heeft op schadevergoeding. Nieuw: De enkele schending van de AVG levert geen schade op.

Voor de toekenning van schadevergoeding op grond van de AVG zijn drie cumulatieve voorwaarden geformuleerd: een inbreuk op de AVG, daadwerkelijk geleden schade en een causaal verband tussen de schade en de inbreuk. Het is verder aan de nationale rechtsorde om de schadevergoeding vast te stellen. T.a.v. immateriële schade geldt bovendien dat er niet een bepaalde mate van 'ernst' hoeft te worden bereikt om voor vergoeding in aanmerking te komen. 39

35 https://edpb.europa.eu/system/files/2023-05/edpb_bindingdecision_202301_ie_sa_facebooktransfers_en.pdf. 36

https://ec.europa.eu/commission/presscorner/detail/en/ip_23_3721.

37 Controleer altijd of een leverancier gecertificeerd is onder het framework: https://www.dataprivacyframework.gov/s/participant-

search. 38 https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies-solutions-pour-les-outils-de-mesure-daudience. 39

https://curia.europa.eu/juris/document/document.jsf?mode=DOC&pageIndex=0&docid=273284&part=1&doclang=NL&text=& dir=&occ=first&cid=3196333.

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

Pagina | 56

Algoritme(register) Per 2023 is de AP tevens 'algoritmetoezichthouder', met als doel verantwoorde inzet van algoritmen, versterking bestaand toezicht en bevordering van transparantie te bevorderen. Hoewel het nog niet verplicht is om een algoritmeregister bij te houden, is het wel verstandig om algoritmen/toepassing van (deels) geautomatiseerde besluitvorming in kaart te brengen en de daarbijbehorende achterliggende logica (zie artikel 13 lid 2 sub f en artikel 15 lid 1 sub h AVG). 40 Nieuwe guidelines van de EDPB over datalekken Oud: Vorige guidelines stammen uit 2017, van de van de WP29. De nieuwe guidelines bevatten duidelijke voorbeelden van de toepassing van wet - en regelgeving op allerhande situaties en hoe daarop te acteren. Nieuw: In de guidelines zijn niet zozeer vernieuwingen of andere (relevante) inzichten die breken met het verleden opgenomen, maar wel de nodige verduidelijkingen. Bijvoorbeeld over wanneer van een verwerkingsverantwoordelijke mag worden verwacht dat hij 'kennis heeft genomen' (conform artikel 33 lid 1 AVG) van een inbreuk in verband met persoonsgegevens.41

https://autoriteitpersoonsgegevens.nl/themas/algoritmes-ai/algoritmetoezicht.

41 edpb_guidelines_202209_personal_data_breach_notification_v2.0_en.pdf (europa.eu).

Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023

← Vorig deel Volgend deel →

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api.notubiz.nl/document/13967587/1