2 Bijlage 1 FG-rapportage 2024

Rapportage 2024 Functionaris Gegevensbescherming

Cathérine Konijnenbelt

Inleiding In 2024 is op privacygebied de basis op onderdelen versterkt. Tegelijk zijn er ook belangrijke onderdelen nog niet voldoende op orde. Het privacyteam is uitgebreid tot bijna 5 fte en is daarmee op sterkte. De uitbreiding vond plaats in het laatste kwartaal en zal dus vooral vanaf 2025 effect hebben en meer ruimte geven om niet alleen reactief te adviseren maar ook proactief en om meer tijd te besteden aan beleid, hulpmiddelen en versterken van kennis en bewustzijn in de organisatie. Dat laatste heeft ook aandacht nodig. De verschillen tussen afdelingen zijn nog steeds groot. De transparantie is versterkt doordat voor inwoners meer en betere informatie te vinden is over waarvoor de gemeente gegevens over hen verwerkt. Daarvoor is de privacyverklaring vernieuwd, is een start gemaakt met het algoritmeregister en is een sensorregister (cameraregister) gepubliceerd. Intern is de basis met name versterkt door de genoemde uitbreiding van het team privacyadviseurs en ook doordat de werkwijze en formats voor het maken van DPIA’s (privacyrisicoanalyses) zijn herzien. In 2023 is het 213a-onderzoek naar het privacybeleid en privacyinstrumenten afgerond. Naar aanleiding daarvan had het college toegezegd de vier belangrijkste aanbevelingen uit te voeren in 2024: 1. het overkoepelend beleid te actualiseren; 2.

de governance (verdeling taken, bevoegdheden en verantwoordelijkheden) te beschrijven voor het hele I-domein; 3. de privacyverklaring te actualiseren; 4. DPIA-werkwijze vast te leggen en het format aan te passen. De laatste twee punten zijn dus inderdaad uitgevoerd. Het beleid en de governance zijn in 2024 nog niet vernieuwd. Voor de governance was het de bedoeling dat deze voor het hele I-domein zou worden beschreven, inclusief het onderdeel privacy. Dat is nog niet gebeurd. Het voornemen is nu zowel het beleid als de governance in één document te vatten, dat door het college – het college is de verwerkersverantwoordelijke – wordt vastgesteld. Uitvoering van de andere aanbevelingen is voorzien in 2025.

Sectorbeeld overheid door Autoriteit Persoonsgegevens De Autoriteit Persoonsgegevens (AP) heeft de trends en ontwikkelingen op privacygebied in kaart gebracht die spelen bij de overheid. 1 Zij constateert dat er wel vooruitgang is in het naleven van de AVG maar onvoldoende, terwijl er meer persoonsgegevens worden verzameld en gekoppeld dan ooit. Overheden zien de kaders van de AVG niet altijd als een vaststaand feit, maar slechts als onderdeel van een afweging. Overheden gaan dan bewust over de grenzen van de wet. Daarbij noemt de AP als voorbeeld gemeenten die het recht op privacybescherming te makkelijk terzijde schuiven in de strijd tegen (georganiseerde) criminaliteit of om mensen met schulden te helpen. Met goede intenties dus

1 Sectorbeeld Overheid | Autoriteit Persoonsgegevens

2

maar zonder de juiste bescherming te bieden. Gebrek aan kennis lijkt daarbij ook één van de oorzaken. De AP signaleert waar het over gemeenten gaat specifiek dat gemeenten zich soms voor de keuze zien gesteld om óf aan de AVG te voldoen, óf de hulpbehoevende burger te helpen. Deze twee zaken zouden elkaar niet mogen uitsluiten, stelt de AP. De landelijke wetgever moet ervoor zorgen dat wetten en regels hierop afgestemd worden. Zorgen zijn er over het veiligheidsdomein, waar de AVG geregeld vooral als een belemmering wordt gezien. Daarover geeft de AP een nadrukkelijke waarschuwing: ‘De AP zal hard ingrijpen bij gemeenten die bij de bestrijding van criminaliteit in het fysieke domein de privacybelangen van burgers in het digitale domein onrechtmatig schenden. Gemeenten hebben niet alleen als taak de openbare orde in de fysieke ruimte te handhaven, maar dienen ook de belangen van burgers in de digitale ruimte te respecteren.’ De FG verdiept zich in het lopende jaar (2025) verder in het veiligheidsdomein.

Rechten van betrokkenen In 2024 heeft Haarlem 16 inzageverzoeken op grond van de AVG ontvangen. Zes daarvan zijn niet in behandeling genomen, omdat de indiener niet reageerde op een verzoek zich te identificeren of om het ingediende verzoek nader te specificeren. Specificatie wordt gevraagd om het verzoek naar de betrokken afdeling door te geleiden. Meestal is het verzoek namelijk gericht op een bepaald dossier. Soms is dat overigens niet zo en gaat het om een verzoek naar alle persoonsgegevens die de gemeente verwerkt. Dat is ook mogelijk en zo’n verzoek wordt gewoon in behandeling genomen. Eén verzoek bleek een verzoek op grond van de Wet Basisregistratie Personen en is intern doorgeleid om alsnog te worden afgehandeld. Op zeven van de overige verzoeken is de gevraagde informatie verstrekt. In de twee andere gevallen was dat niet mogelijk, omdat de gemeente geen gegevens van deze verzoekers had verwerkt.

Data Protection Impact Assessments Als het verwerken van persoonsgegevens in een proces of systeem waarschijnlijk een hoog risico kan opleveren voor rechten of vrijheden van de betrokken personen, moet een risicoanalyse worden gemaakt: een Data Protection Impact Assessment (DPIA). Een goede analyse maakt het mogelijk gericht maatregelen te nemen om risico’s te verminderen. Het maakt het ook mogelijk een goede afweging te maken van het resterende risico ten opzichte van het beoogde doel: is dat proportioneel? In 2024 zijn twee DPIA’s uitgevoerd, voor de volgende processen: • •

het gemeentelijk incidentenregister het regionale dashboard jeugdzorg, gemaakt en beoordeeld met en voor de regiogemeenten

De templates voor het doen van een DPIA zijn vernieuwd. Er is nu een korte algemene uitleg beschikbaar van wat een DPIA is en waar die toe dient, een checklist voor de toets of een DPIA vereist is en een nieuwe template voor de DPIA zelf, die toegankelijker en completer is. Doel is ervoor te zorgen dat steeds meer afdelingen zelf een DPIA kunnen uitvoeren.

3

Datalekken Datalek is een term die bekend is geworden en veel wordt gebruikt. De Algemene verordening gegevensbescherming gebruikt dat woord niet maar spreekt van een ‘inbreuk in verband met persoonsgegevens’ en definieert dat als: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens (art. 4 onder 12 AVG). In het interne ‘datalekkenregister’ worden de meldingen van dergelijke incidenten geregistreerd. De centrale ‘meldknop’ op intranet die aanvankelijk was voorzien in 2020 en uitgesteld tot 2022, had in 2023 gereed zullen zijn. De knop is sinds oktober 2024 beschikbaar. Voorheen werden de meldingen gedaan via een centraal mailadres; de huidige meldknop moet het melden gemakkelijker maken. Direct nadat de meldknop bekend was gemaakt was er een grote toename te zien in het aantal meldingen. Dat is daarna echter weer teruggelopen. Het is daarom aan te raden opnieuw en met regelmaat aandacht te vragen voor de plicht en vooral ook het nut van melden. Er zijn 61 incidenten gemeld in 2024, behoorlijk veel meer dan de 40 incidenten in 2023 en 38 in 2022. Een grote toename was te zien direct nadat de meldknop bekend was gemaakt.

In 17 gevallen is een melding gedaan bij de Autoriteit Persoonsgegevens (AP). Dat is vergelijkbaar met het aantal meldingen vorig jaar (15) dus in verhouding tot het toegenomen aantal meldingen minder. De hele strenge lijn van melden die in 2023 was ingezet – alles melden tenzij het privacyrisico echt verwaarloosbaar is – is verlaten. Een datalek wordt gemeld bij de AP als er sprake is van een serieus privacyrisico. Dit is meer conform de bedoeling van de AVG en de instructie van de AP zelf. De redenen voor melding zitten in gevoeligheid en of veelheid van de gegevens waar het om gaat. Net als in eerdere jaren gaat het in een groot deel van de gevallen – 23 meldingen – om een verloren mobiel apparaat. Deze worden direct na melding op afstand gewist, waardoor de kans op het daadwerkelijk lekken van gegevens klein wordt. De andere incidenten gaan veelal om verkeerde bijlagen bij mails of brieven dan wel verkeerd geadresseerde mails en brieven.

Register van verwerkingen De gemeente is verplicht een register van verwerkingen bij te houden. Het doel van het register is dat de gemeente als verantwoordelijke goed documenteert wat ze doet met persoonsgegeven. Dat geeft de gemeente en ook wie een inzageverzoek doet inzicht in welke persoonsgegevens worden verwerkt voor welk doel. Elke afdeling heeft zijn eigen deel in het register. Bijna de helft is niet actueel, dat wil zeggen langer dan een jaar geleden voor het laatste geactualiseerd, ondanks de reminders die het privacyteam heeft verstuurd aan de betrokken afdelingen en ondanks dat het onderwerp van gesprek was in de p&c-gesprekken. Sommige registers zijn zelfs al meer dan vijf jaar niet meer herzien. Dat betekent dat de organisatie voor die onderdelen geen goed overzicht heeft van wat er gebeurt met persoonsgegevens en met welke organisaties gegevens worden uitgewisseld. Daardoor is er ook minder inzicht in mogelijke privacyrisico’s voor de betrokkenen en of die zo groot zijn dat een nadere analyse en maatregelen nodig zijn. Bovendien is niet te beoordelen of de verwerking rechtmatig is.

4

Het register vormt daarmee de basis voor het op orde hebben van privacybescherming. Actualisering ervan is daarom urgent. De directie heeft inmiddels besloten hier zelf direct op te gaan sturen. Volgens de planning zal de actualisering in het vierder kwartaal van 2025 zijn afgerond.

Wet Politiegegevens Het algemene juridisch kader voor het verwerken van persoonsgegevens is de AVG. Voor persoonsgegevens die worden verwerkt in het kader van opsporing geldt echter een andere wet: de Wet Politiegegevens (Wpg). Ook het werk van boa’s valt hieronder. Haarlem heeft boa’s bij de sociale recherche, leerplichtambtenaren en handhavers. Op grond van de Wpg moet eens in de vier jaar een externe audit worden gedaan en de andere drie jaren een interne audit. In 2024 is de interne audit over het jaar 2023 uitgevoerd. Er was een verdere verbetering te zien maar er waren ook de nodige punten uit de verbeterplannen die nog moeten worden uitgevoerd. Met name het beschrijven van de governance en een daarop gebaseerde toezichtsaanpak zijn nodig. In de loop van 2024 zijn verbeteringen doorgevoerd zoals het benoemen van zogeheten ‘bevoegd functionarissen’, een op de Wpg toegespitste vragenlijst voor DPIA’s en de uitbreiding van het register van verwerkingen met een Wpg-deel. Doorkijk naar 2025: de interne audit over het jaar 2024 is op het moment van schrijven nog niet helemaal afgerond. De Wpg-governance wordt beschreven met daarin ook een stelsel van toezicht. Verbeteringen zijn voor sommige onderdelen in elk geval ook nodig in het beheer van autorisaties.

Bijzondere onderwerpen Autorisaties en logging Uit de interne audit op grond van de Wet politiegegevens blijkt dat de autorisaties soms veel te ruim zijn en ook niet overal goed actueel worden gehouden. Verbeteringen in het beheer van toegangsrechten zijn niet alleen nodig voor politiegegevens maar ook voor andere persoonsgegevens. Het verschilt nu per afdeling en per gegevensverzameling of applicatie hoe goed en actief de toegangsrechten worden beheerd. Er loopt een project Identity en Access Management (IAM) om hier goede organisatiebrede afspraken en bijbehorende automatisering voor in te richten. Dit project is pas over een paar jaar afgerond en neemt de functieprofielen van de medewerkers als basis om te bepalen wie welke toegangsrechten nodig heeft. Omdat het nog een tijd duurt voordat dit gerealiseerd is, zou het goed zijn tot dan voor die gegevensverzamelingen die het gevoeligst zijn – en waar dit nog niet is gebeurd – de autorisaties goed in te richten en het beheer expliciet te beleggen. Een goede vervolgstap zou zijn om loggingsbeleid vast te stellen, waarin wordt vastgelegd voor welke soorten gegevensverzamelingen welk type logging nodig is en hoe actief die logging vervolgens wordt gecontroleerd. Openbaar register camera’s en sensoren Het sensorregister Haarlem is gepubliceerd.

Hierop is te zien waar gemeentelijke camera’s hangen die gericht zijn op de openbare ruimte. Het doel is inzicht te geven in en verantwoording af te leggen over waar en voor welke doelen de gemeente persoonsgegevens verzamelt in de openbare ruimte. 5

Het is een mooie eerste stap maar het register is nog vrij lastig te vinden en zou bovendien ook kunnen worden verbeterd ten behoeve van lezen en gebruiken door inwoners en bezoekers van de stad. Zij zijn tenslotte de eerste doelgroep van dit register.

Algoritmen en AI Artificiële Intelligentie (AI) en zeker generatieve AI zijn alomtegenwoordig in het nieuws, zowel positief als negatief. Hoewel AI al lang bestaat, is het voor gemeenten een relatief nieuw onderwerp, zeker de ontwikkeling van generatieve AI. In mei 2024 heeft de Europese Raad de AI-verordening goedgekeurd. De verordening gaat gefaseerd in en zal op 2 augustus 2027 geheel van kracht zijn. De verordening bevat vooral regels gericht op wie AI ontwikkelt maar stelt ook eisen aan gebruikers. Doel is enerzijds het bevorderen van de ontwikkeling van veilige en betrouwbare AI-systemen en anderzijds om de grondrechten van burgers te beschermen. Zo moeten bijvoorbeeld eerst de gevolgen voor grondrechten van mensen worden beoordeeld, voordat een AI-systeem met een hoog risico wordt ingevoerd. Een dergelijk beoordeling (impact assessment mensenrechten en algoritmes, IAMA) is in 2023 gedaan – overigens niet voor AI met een hoog-risico – om er ervaring mee op te doen. Zie de FG-rapportage over 2023. Dit heeft geen vervolg gekregen; er worden ook geen hoog-risicosystemen gebruikt. Landelijk wordt wel gezocht naar mogelijkheden om DPIA’s en IAMA’s tegelijk uit te voeren. Dit heeft nog geen concrete resultaten opgeleverd. Bij veel organisaties worden privacyadviseurs nu min of meer vanzelfsprekend ook AI-adviseur.

Er is ook zeker een verwantschap tussen beide velden in de risicobenadering en de bescherming van grondrechten. Toch vraagt advisering over AI een heel eigen en specifieke kennis. Het is raadzaam die taak apart te benoemen en invulling te geven. Er is intern inmiddels AI-coördinator aangewezen en ook is er specifiek voor het gebruik van generatieve AI intern beleid vastgesteld, uitgaand van ‘streven naar innovatie en efficiëntie met behoud van privacy, veiligheid, ethiek en de menselijke maat’. Ook is zoals eerder genoemd een start gemaakt met het algoritmeregister. Er is voor gekozen geen apart register te bouwen maar gebruik te maken van het landelijke register. Waar sommige gemeenten ervoor hebben gekozen zo compleet mogelijk de gebruikte algoritmes op te nemen maar met onvolledige informatie, heeft Haarlem gekozen voor een start met maar een paar algoritmes maar daarover dan wel de complete informatie. De eerste aandacht is gericht op algoritmes die (kunnen) raken aan de rechten en levens van mensen en dan wordt privacybescherming het snelst geraakt. De eerste drie algoritmes die beschreven zijn, worden gebruikt bij de scanauto, bij de tool om stukken te anonimiseren (datamask) en bij de aanvraag parkeervergunning bezoekers. Er is al een aantal andere algoritmes geïdentificeerd die ook in het register moeten worden opgenomen maar dat is nog niet gebeurd.

Advies is dit wel te doen.

Wet gegevensverwerking door samenwerkingsverbanden In juni is de Wet gegevensverwerking door samenwerkingsverbanden aangenomen, die op 1 maart 2025 in werking is getreden. De wet vormt het wettelijk kader voor het verwerken van persoonsgegevens voor vier in de wet genoemde samenwerkingsverbanden, die tot doel hebben fraude, criminaliteit of ondermijning tegen te gaan. De gemeente neemt deel in twee daarvan: het RIEC (regionaal expertisecentrum) en het Zorg- en veiligheidshuis. De samenwerkingsverbanden hebben geen rechtspersoonlijkheid en deelden persoonsgegevens op basis van convenanten. De wet moet een steviger juridische basis bieden voor zowel het delen van informatie als voor de rechten van betrokkenen. Voor het RIEC zijn de FG en de CISO van Haarlem aangewezen als coördinerend FG 6

resp. coördinerend CISO. Dit zijn nieuwe rollen. Voor de invulling ervan wordt landelijk samenwerking gezocht. Voor het Zorg- en veiligheidshuis Kennemerland is de FG van de VRK aangewezen als coördinerend FG. Er is hier geen coördinerend CISO aangewezen, dat is ook niet wettelijk verplicht. Het zogeheten ‘contactpunt’ is belegd bij de burgemeester van Haarlem. Het gaat dan vooral om het informeren van betrokkenen dat er een onderzoek naar hen is (geweest) en om het behandelen van AVG-verzoeken.

Stand van zaken aanbevelingen rapportage over 2022 In de FG-rapportage over 2022 stonden 18 aanbevelingen, die ten tijde van de rapportage over 2023 nog niet allemaal waren uitgevoerd. Om die reden en omdat ook de aanbevelingen en toezeggingen naar aanleiding van het 213a-onderzoek nog niet waren uitgevoerd, zijn in de rapportage daarna, over 2023, geen nieuwe aanbevelingen opgenomen. In de bijlage is de stand van zaken omtrent de aanbevelingen uit de rapportage over 2022 opgenomen. Negen van de veertien aanbevelingen zijn uitgevoerd. De andere aanbevelingen zijn in elk geval opgepakt of kunnen pas worden uitgevoerd als eerst uitvoering van een andere aanbeveling is afgerond. Dat geeft ruimte voor nieuwe aanbevelingen. Hieronder staan vier aanbevelingen als toevoeging aan de nog openstaande aanbevelingen.

Conclusie en aanbevelingen De basis is in 2024 deels versterkt en het feit dat het team adviseurs inmiddels op sterkte is, betekent dat verdere verbetering voor de hele organisatie nu beter te bereiken moet zijn. Dat is een positieve ontwikkeling. Tegelijk is een aantal basiselementen nog niet in orde. Met name de registers van verwerkingen en het actualiseren van het beleid, inclusief vastleggen van de governance. Dit is inmiddels wel in voorbereiding. Het versterken van kennis en bewustzijn wordt aangepakt in samenhang met de andere disciplines in het I-domein, zie de bijlage. Concrete aanbevelingen: Documentatie en transparantie 1. Vul het algoritmeregister aan met in elk geval de algoritmes waarvan al bekend is dat ze kunnen raken aan rechten en levens van mensen. 2. Zorg dat het sensorregister beter te vinden en te lezen is voor inwoners. Waarborgen vertrouwelijkhheid 3. Neem vooruitlopend op het afronden van het IAM-project al maatregelen door voor de gevoeligste gegevensverzamelingen de autorisaties goed in te richten en te beheren. 4. Stel loggingsbeleid vast om te bepalen voor welke soorten gegevensverzamelingen welk type logging nodig is en hoe actief die logging wordt gecontroleerd.

7