2 Bijlage 1 Rapportage 2023 Functionaris Gegevensbescherming

Rapportage 2023 Functionaris Gegevensbescherming

Cathérine Konijnenbelt

Inleiding In 2023 is het privacybeleid geëvalueerd in de vorm van een 213a-onderzoek, afgerond aan het eind van het jaar. Daarbij is breder gekeken naar de effectiviteit en mate van actualiteit van de privacykaders en andere instrumenten op het gebied van privacy. Het beleid dateert nog van 2018, het jaar dat de AVG werd ingevoerd. Dat dat moet worden geactualiseerd, was al duidelijk en aanleiding het onderzoek te laten uitvoeren. Het advies was om ook een meer samenhangende structuur te brengen in het beleid de andere privacyproducten (formats en andere hulpmiddelen). Tot slot was een advies om helderheid te scheppen in de verdeling van taken, bevoegdheden en verantwoordelijkheden. Het college heeft in een reactie op het onderzoek aangegeven de aanbevelingen ten aanzien van de verschillende privacyproducten op te zullen volgen en de governance voor het hele I-domein vast te leggen. Tijdens dit jaar is er weinig tijd geweest voor ontwikkeling en actualisering van kaders, instrumenten. Dat kwam met name doordat er een groot verloop is geweest in het team van de privacyadviseurs. Twee derde van het team is vernieuwd (twee van de drie adviseurs), wat zijn weerslag had op de voorziene en gehoopte resultaten.

Een stap vooruit was dat de afdelingen MO en SMSR voor hun gezamenlijke kwaliteitsteam extra formatie hebben gevraagd en gekregen (0,8 fte) om een inhaalslag te maken op het gebied privacy en security. Privacy en security staan niet los van het primaire proces maar zijn daar onderdeel van. Dat is waarom er ook in de afdelingen in elk geval basiskennis nodig is, om minimaal te herkennen waar mogelijk privacyrisico’s spelen en wanneer advies van één van de privacyadviseurs nodig is. Door dat te onderkennen, lopen deze afdelingen voorop, zowel in kennis als in uitvoering. In het algemeen blijkt dat afdelingen die kwaliteitsmedewerkers hebben beter in staat zijn dit op te pakken. Een andere positieve ontwikkeling is de aandacht die de directie inmiddels heeft voor het hele Idomein, waar privacy een onderdeel in is.

Versterken kennis en bewustwording Er zijn twee webinars georganiseerd en opgenomen in de e-learnings van de Academie Haarlem & Zandvoort. In het eerste is een algemene uitleg gegeven van waar de AVG over gaat en wat de stappen zijn in de beoordeling of en hoe je persoonsgegevens mag gebruiken. Het tweede webinar was een verdieping van het eerste en ging over het delen van gegevens intern en extern.

Rechten van betrokkene In 2023 heeft Haarlem 18 AVG-verzoeken ontvangen. Twee daarvan bleken ingediend als AVGverzoek maar waren een verzoek op grond van de Wet Basisregistratie Personen. Het is voor bewoners vaak lastig te herkennen wat voor juridisch etiket hun verzoek hoort te hebben. De verzoeken zijn doorgezet naar de juiste afdeling en alsnog afgehandeld. De andere verzoeken worden grotendeels verzoeken om inzage in de persoonsgegevens die de gemeente van verzoeker verwerkt. De gevraagde informatie is aan verzoekers verstrekt. Twee verzoekers maakten bezwaar tegen een bepaalde verwerking. Die zijn beide niet gehonoreerd.

2

Drie verzoeken zijn niet in behandeling genomen, omdat de verzoeker niet voldeed aan het verzoek zich te identificeren en het verzoek nader te specificeren. Specificatie wordt gevraagd om het verzoek naar de betrokken afdeling door te geleiden. Meestal is het verzoek namelijk gericht op een bepaald dossier. Soms is dat niet zo en gaat het om een verzoek naar alle persoonsgegevens die de gemeente verwerkt. Dat is natuurlijk ook mogelijk en zo’n verzoek wordt gewoon in behandeling genomen.

Risicoanalyses: DPIA’s en IAMA Data Protection Impact Assessments

Als het verwerken van persoonsgegevens in een proces of systeem waarschijnlijk een hoog risico kan opleveren voor rechten of vrijheden van de betrokken personen, moet een risicoanalyse worden gemaakt: een Data Protection Impact Assessment (DPIA). Een goede analyse maakt het mogelijk gericht maatregelen te nemen om risico’s te verminderen. Het maakt het ook mogelijk een goede afweging te maken van het resterende risico ten opzichte van het beoogde doel: is dat proportioneel? In 2023 zijn vier DPIA’s uitgevoerd, voor de volgende processen: • • • •

het gebruik van bodycams door de havendienst het proces van werving en selectie het 213a-onderzoek naar het minimabeleid gebruik van een anonimiseringstool

Er zijn nog steeds behoorlijke verschillen tussen afdelingen in de mate waarin ze in staat zijn een DPIA zelf uit te voeren. Waar de algemene kennis van privacy minder is, is doorgaans ook minder inzicht in het doel van het doen van een DPIA: het herkennen van mogelijke privacyrisico’s voor betrokkenen, om daarmee een weloverwogen beslissing te kunnen nemen. De DPIA wordt dan wel ervaren als een bureaucratische hindernis. Ook is dan het uitvoeren van de DPIA lastiger, doordat onvoldoende wordt begrepen welke informatie relevant is. Daartegenover staan afdelingen die inmiddels al meer DPIA’s hebben gedaan en weinig begeleiding nodig hebben.

IAMA In 2023 is ook een Impact Assessment Mensenrechten en Algoritmes (IAMA) gedaan. Met een IAMA wordt geanalyseerd wat mogelijke impact op mensenrechten is van het gebruik van een algoritme. Dit type risicoanalyse wordt onder de Europese AI-verordening verplicht bij het gebruik van zogeheten hoog-risico-algoritmes. Het is een bredere analyse op grondrechten dan de DPIA. De IAMA is gedaan voor het gebruik van een geautomatiseerde zoekmachine die internet inclusief het dark web en ook openbare Telegram-groepen kan doorzoeken en verbanden in beeld brengen. Deze zou gebruikt gaan worden voor het maken van een branchescan in het kader van de bestrijding van ondermijning. Het instrument is nog niet veelgebruikt in gemeenteland. De aanpak is deels vergelijkbaar met een DPIA. De conclusie was dat er geen grote risico’s aan verbonden zijn. Tegelijk werd duidelijk dat voor beoordeling van mogelijke privacyrisico’s toch een aparte DPIA nodig was. Deze is in 2023 nog niet afgerond. Er zal zeker verder gezocht worden – niet alleen in Haarlem – naar mogelijkheden om een IAMA en DPIA tegelijk uit te voeren.

3

Datalekken Datalek is een term die bekend is geworden en veel wordt gebruikt. De Algemene verordening gegevensbescherming gebruikt dat woord niet maar spreekt van een ‘inbreuk in verband met persoonsgegevens’ en definieert dat als: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens (art. 4 onder 12 AVG). In het interne ‘datalekkenregister’ worden de meldingen van dergelijke incidenten geregistreerd. Er zijn 40 incidenten gemeld in 2023, net iets meer dan de 38 incidenten in 2022. In 15 gevallen is een melding gedaan bij de Autoriteit Persoonsgegevens (AP). Dat is ongeveer twee keer zoveel als in eerdere jaren. De redenen voor melding zitten in gevoeligheid en of veelheid van de gegevens waar het om gaat. Daarnaast zijn er ook meldingen gedaan op verzoek van betrokkene of voor het geval er vragen zouden worden gesteld. Dat er meer gemeld is aan de AP dan in de voorgaande jaren, is het gevolg van de strengere lijn die inmiddels gevolgd wordt: alles wordt gemeld tenzij het privacyrisico echt verwaarloosbaar is. Relatief veel (mogelijke) datalekken zijn het gevolg van een verloren mobiel apparaat, dat was in 12 meldingen het geval.

Andere oorzaken die geregeld voorkomen zijn verkeerd adresseren van brief of mail en het publiceren van niet geanonimiseerde stukken. De centrale ‘meldknop’ op intranet die aanvankelijk was voorzien in 2020 en uitgesteld tot 2022, had in 2023 gereed zullen zijn. De knop is sinds november 2024 beschikbaar. De knop moet het gemakkelijker maken om een melding te doen en introductie ervan biedt ook een moment om aandacht te besteden aan het belang van melden.

Register van verwerkingen De gemeente is verplicht een register van verwerkingen bij te houden. Het doel van het register is dat de gemeente als verantwoordelijke goed documenteert wat ze doet met persoonsgegeven. Dat geeft de gemeente en ook wie erom vraagt overzicht van welke persoonsgegevens worden verwerkt voor welk doel. Elke afdeling heeft zijn eigen deel in het register maar de meeste ervan zijn op dit moment niet actueel. Dat betekent dat de organisatie geen goed overzicht heeft van wat er gebeurt met persoonsgegevens en met welke organisaties gegevens worden uitgewisseld. Daardoor is er ook minder inzicht in mogelijke risico’s. De privacyadviseurs ondersteunen bij het actueel houden van het register en sturen gewoonlijk jaarlijks een reminder aan de afdelingen om het bij te werken. Door verloop in het team van adviseurs is dat in 2023 niet gebeurd.

Wet Politiegegevens Het algemene juridisch kader voor het verwerken van persoonsgegevens is de AVG. Voor persoonsgegevens die worden verwerkt in het kader van opsporing geldt echter een andere wet: de Wet Politiegegevens (Wpg). Ook het werk van boa’s valt hieronder, althans waar het gaat om opsporingstaken. Haarlem heeft boa’s bij de sociale recherche, leerplichtambtenaren en handhavers.

4

Op grond van de Wpg moet eens in de vier jaar een externe audit worden gedaan en de andere drie jaren een interne audit. In 2023 is de hercontrole gedaan naar aanleiding van de externe controle in 2022. Deze is gecombineerd met de interne audit. Dit jaar is volgens afspraak vooral gekeken naar de sociale recherche. Nog niet alles scoort groen maar er is duidelijk verbetering te zien. In 2024 wordt in de interne controle meer nadruk gelegd op de taken bij leerplicht en handhaving. Ook op het niveau van de organisatie zijn verbeteringen nodig. Net als voor de algemene privacytaken is het nodig de governance te beschrijven, om taken en verantwoordelijkheden duidelijk te beleggen. Daarnaast zullen onder meer het format voor DPIA’s en het register van verwerkingen worden uitgebreid met onderdelen voor verwerkingen die onder de Wpg vallen.

Bijzondere onderwerpen Openbaar register camera’s en sensoren Het college heeft besloten tot het instellen van een publiek register met kaart van de camera’s van de gemeente zelf, zodat iedereen kan zien waar je gefilmd kan worden op straat. Doel is als gemeente inzicht te geven in en daarmee ook verantwoording af te leggen over waar en voor welke doelen zij (persoons)gegevens verzamelt in de openbare ruimte. Vooralsnog is dit niet uitgebreid met een meldplicht voor het gebruik van camera’s en andere sensoren in de openbare ruimte voor andere partijen die gegevens verzamelen, omdat dit in de praktijk niet handhaafbaar lijkt.

Regels over kopieën van ID-bewijzen In 2022 zijn de systemen van de gemeente Buren gehackt. Het was criminelen gelukt ransomware te installeren en daarmee diensten en werkprocessen lam te leggen. Ze hadden bovendien heel veel gegevens van bewoners in handen. Terugblikkend constateerde Buren dat de grootste risico’s en problemen zich voordeden waar gewerkt werd met kopieën van ID-bewijzen. Dat zijn namelijk de gegevens die de grootste handelswaarde hebben, omdat je ze kunt misbruiken om bijvoorbeeld een lening te sluiten of op een andere manier schulden te maken op andermans naam. Naar aanleiding van deze bevindingen en de constatering dat ook de eigen organisatie op diverse plekken met kopieën van ID-bewijzen werkt, heeft het DT vastgesteld dat de organisatie tenzij het onontkoombaar is niet meer zal werken met kopieën van ID-bewijzen en tegelijk regels vastgesteld voor hoe dan wel iemands identiteit vast te stellen. Doel is in de eerste plaats betrokkenen te beschermen tegen identiteitsfraude. In de tweede plaats ook om het probleem voor de gemeente zelf te verkleinen in het geval dat er een hack of ander datalek plaatsvindt. Alle afdelingen hebben geïnventariseerd of zij met kopieën van ID-bewijzen werken en waar dat zo is een plan van aanpak gemaakt om waar nodig de werkwijze aan te passen. Het plan wordt beoordeeld door het hoofd CIOoffice.

Aanbevelingen rapportage over 2022 In de FG-rapportage over 2022 stonden 18 aanbevelingen, heel verschillend van aard. Het college heeft daarop gereageerd per aanbeveling. In de bijlage staat een overzicht met de huidige stand van zaken. Voor de meeste punten (10)is in elk geval de eerste stap gezet, een behoorlijk aantal punten(7) is afgerond en voor één punt is nog geen actie in gang gezet. Een paar punten verdienen het hier genoemd te worden.

5

•

•

•

Aanbeveling: beschrijf bij risicoanalyses expliciet wat de risico’s zijn voor bewoners. Deze aanbeveling zou wordt opgepakt door een verkenning van de mogelijkheden om risico’s ook vanuit het perspectief van bewoners te kwantificeren en mee te nemen. Dit is niet gebeurd. Het begrijpelijk dat het lastig is om deze aanbeveling met één actie uit te voeren en kwantificeren van privacyrisico’s is ingewikkeld. Het gaat in essentie om aandacht, een mindset, voor het feit dat wat de gemeente doet en besluit altijd direct dan wel indirect gebeurt ten behoeve van de bewoners en vaak ook gevolgen heeft voor hen. Ook die risico’s horen mee te wegen. Aanbeveling: zorg dat het register van verwerkingen actueel wordt gehouden. Het register geeft overzicht per afdeling waar en voor welke doelen persoonsgegevens worden gebruikt. Het is een middel ter verantwoording maar het geeft het ook een eerste inzicht in waar mogelijke risico’s spelen. Daarmee helpt het ook de organisatie zelf om overzicht en controle te houden. Het is op dit moment nog niet op orde. Wel is in alle p&cgesprekken (jaarlijkse gesprekken tussen afdelingshoofden en directie) het onderwerp aan de orde gesteld. Het is goed dat de directie daarmee het belang ervan onderstreept. Aanbeveling: onderzoek of de vergoeding voor mantelzorgontvangers in parkeervergunningsgebieden op een andere manier kan worden verstrekt.

Dit onderzoek zou in het eerste kwartaal van 2024 worden opgepakt. Dit onderwerp maakt deel uit van het onderzoek dat de Autoriteit Persoonsgegevens (AP) in 2019 heeft geopend naar het Haarlemse systeem bezoekersparkeren. Zeer onlangs heeft de AP hierover nog vragen gesteld. Als daarop bevredigende antwoorden worden gegeven, wordt het dossier gesloten.

Conclusie Door het verloop in het team van de adviseurs en het 213a-onderzoek was 2023 een soort tussenjaar. Maar ook had en heeft de directie meer aandacht voor het hele ‘I-domein’, waar privacy een onderdeel van is. Dit kwam onder meer tot uitdrukking in de p&c-gesprekken en doordat de directie sinds eind 2023 elk kwartaal rapportages ontvangt over verschillende onderwerpen binnen het I-domein, waaronder privacy. Hiermee draagt de directie ook het belang uit aan de rest van de organisatie. Het team van adviseurs is inmiddels vergroot en met versterking van kennis in de lijnafdelingen is een eerste stap gezet. Uit het 213a-onderzoek is een heel aantal aanbevelingen voortgevloeid, waar het college begin 2024 op heeft gereageerd met een planning van verbeteracties. Dat zou moeten leiden tot een vernieuwde en stevige basis van beleid en bijbehorende privacyinstrumenten. Daarnaast zijn de meeste acties naar aanleiding van de aanbevelingen uit de vorige rapportage nog niet afgerond. Op dit moment voegen nieuwe aanbevelingen niet veel toe, anders dan de algemene aanbeveling om goed zicht te blijven houden op de uitvoering van de acties en toezeggingen.

6