2 Bijlage 1 Rapportage Functionaris Gegevensbescherming 2022

Rapportage 2022 Functionaris Gegevensbescherming

Cathérine Konijnenbelt Juli 2023

Inleiding Vijf jaar AVG Vijf jaar na inwerkingtreding van de Algemene verordening gegevensbescherming (AVG) is privacy geen obscuur onderwerp meer. Er is in de media heel geregeld aandacht voor datalekken en hacks en voor het feit dat diensten online vaak betaald worden met persoonsgegevens. Er lijkt in reactie hierop een tweedeling te zijn in hoe men hierop reageert. Er zijn mensen die des te zorgvuldiger tot aan heel fanatiek of zelfs vanuit wantrouwen nadenken over wanneer, met wie en waarvoor ze hun gegevens delen. Daartegenover staat een groep mensen die het inmiddels normaal vindt dan wel erin berust dat veel gegevens over hen bekend zijn. Hoe dat ook zij, de gemeente werkt in de uitvoering van haar taken met heel veel persoonsgegevens en is ervoor verantwoordelijk daar zorgvuldig mee om te gaan. Mensen moeten erop kunnen vertrouwen dat hun gegevens bij de gemeente in veilige handen zijn. Persoonsgegevens worden voor veel verschillende doelen verwerkt; gegevensbescherming en aandacht voor privacy is daardoor verweven met bijna alle onderdelen van het werk dat de gemeentelijke organisatie doet. Het is dus niet een losstaande opgave voor het domein of de wethouder bedrijfsvoering maar een verantwoordelijkheid van allen. Na deze vijf jaar is het ook een goed moment om te evalueren.

Het privacybeleid en de regels die daaromheen inmiddels gelden worden geëvalueerd in het kader van een 213aonderzoek (onderzoek op basis van artikel 213a Gemeentewet). De evaluatie met advies over een goede structuur die leidt tot een effectief en werkbaar beleid zal na de zomer van 2023 worden opgeleverd.

Houd de mensen in beeld De Toeslagenaffaire heeft pijnlijk duidelijk gemaakt hoe enorm ingrijpend de gevolgen kunnen zijn als de overheid fouten maakt bij het gebruik van persoonsgegevens in algoritmes. Fouten in gegevens of vooringenomenheid (bewust of onbewust) in data die een algoritme gebruikt kunnen leiden tot verkeerde besluiten met mogelijk verstrekkende gevolgen. Als een systeem wordt gegijzeld en stilgelegd, zou dit kunnen betekenen dat dienstverlening als het verstrekken van uitkeringen op dat moment niet meer mogelijk is. Ook kleinere incidenten kunnen echter voor de betrokkenen grote gevolgen hebben, als zij bijvoorbeeld slachtoffer worden van identiteitsfraude of hun adres bekend wordt bij anderen die hun niet welgezind zijn. De gemeente is gewend na te denken over risico’s. De aandacht in formele stukken gaat echter vrijwel altijd naar financiële en juridische risico’s voor de gemeente. Er wordt weinig aandacht besteed aan de vraag wat de impact kan zijn op het leven van bewoners. Dat inzicht is wel nodig om goed te kunnen beoordelen of en in welke mate een risico acceptabel is. Kosten zijn voor de gemeente maar als het gaat om gegevensbescherming zijn de materiële gevolgen zijn vaak voor rekening van de bewoner. Die kan bijvoorbeeld slachtoffer worden van identiteitsfraude en daardoor in schulden raken. Om de mogelijke impact op 1

bewoners in dit soort risicoanalyses en ook in bijvoorbeeld de risicoparagraaf in de jaarstukken goed mee te kunnen wegen, zou het helpen om deze risico’s expliciet te benoemen en te beschrijven. De mensen in beeld houden betekent ook de mensen zo goed mogelijk helpen. De gemeente gebruikt daarvoor vaak persoonsgegevens, zeker in het sociaal domein. Enerzijds geldt dat hoe meer gegevens worden verwerkt, hoe groter de kans dat daarmee iets mis gaat en hoe groter de impact op de privacy. Anderzijds kan het ook mis gaan door niet te veel maar te weinig persoonsgegevens te kennen en verwerken. Om de juiste hulp te kunnen bieden aan een persoon of gezin is inzicht nodig in de hele situatie en waar meer problemen spelen ook in de samenhang daartussen. Daarvoor moeten soms gegevens worden gedeeld tussen verschillende betrokken partijen. In AVG-termen draait het steeds om proportionaliteit. Staat de aantasting van privacy die dit onvermijdelijk tot gevolg heeft in verhouding tot dat wat je ermee beoogt te bereiken: goede hulp op maat. Het uitwisselen van gegevens is nu vaak nog lastig te legitimeren. Er is een wet in de maak, de Wet aanpak meervoudige problematiek in het sociaal domein (Wams), die een expliciete wettelijke grondslag hiervoor zal bieden. De Wams treedt naar verwachting in juli 2024 in werking.

Ook bij het maken van een DPIA (zie pagina 5), het doen van een audit, het bijhouden van het register van verwerkingen en dergelijke gaat het uiteindelijk om het beschermen van rechten van mensen. De administratie ervan in termen van compliancy is niet het doel maar het middel. Het is het doel en daarmee de betrokken mensen die voorop horen te staan. Dat is een aspect om mee te nemen in verdere bewustwordingsactiviteiten. Aanbevelingen: 1. Beschrijf bij risicoanalyses expliciet wat de risico’s zijn voor bewoners. 2. Benadruk bij bewustwordingsactiviteiten en opleidingen wat het werkelijke doel is en dat het middel zelf geen doel is.

Stand van zaken algemeen Volwassenheidsniveau is gelijk gebleven en groeit te weinig De stand van zaken op het gebied van kennis en bewustzijn is eigenlijk ongeveer gelijk gebleven. Dat de AVG geldt, is breed bekend. Het niveau van inhoudelijke kennis is heel wisselend. Veel gaat goed maar het hangt vaak af van toevalligheden. Kennis is in sommige afdelingen aanwezig maar niet overal. Hoe diepgaand de kennis is, is erg wisselend. Privacybescherming is niet een losstaande discipline maar volledig verweven met de primaire processen. Toch is het is een kennisgebied dat medewerkers vaak min of meer toevallig ‘erbij doen’. Waar afdelingen kwaliteitsmedewerkers hebben, gaat het doorgaans beter. Daar is vaak meer tijd maar ook meer ruimte om anders naar het werkproces te kijken. Wie een inhoudelijke taak heeft, heeft vaak minder tijd om naar andere aspecten van het werk te kijken, die wil in de eerste plaats zijn inhoudelijke taak uitvoeren. Om privacyrisico’s te herkennen, helpt het om vanaf de zijkant naar een werkproces te kijken. Idealiter is er de ruimte binnen een afdeling om dit te organiseren maar dat is in de meeste afdelingen niet het geval. Afdelingen onderkennen vaak wel hun verantwoordelijkheid maar hebben ook niet de ruimte om een medewerker echt de ruimte te geven om binnen de afdeling risico’s te herkennen en ook te adviseren over verbeteringen.

Er zijn wel privacyadviseurs beschikbaar die vanuit de afdeling Interne Dienstverlening kunnen adviseren. In 2022 was voor privacyadvisering vanuit de afdeling Interne Dienstverlening iets minder dan 1,5 fte beschikbaar. Inmiddels is dit ongeveer 2,3 fte, wat nog steeds echt minder is dan gemiddeld terwijl de organisatie nog lang niet de gewenste volwassenheid heeft 2

op het gebied van privacy, zoals blijkt uit de self assessments die zijn gedaan. Zie voor een vergelijking met andere gemeenten de rapportage over 2020-2021. Voor Haarlem en Zandvoort zou ongeveer 3,5 fte nodig zijn om op het gemiddelde uit te komen. Aanbevelingen

3. Schep ruimte in de afdelingen om vanaf de zijlijn kritisch naar werkprocessen te kijken. 4. Stel meer privacyadviseurs aan, 3,5 fte.

Inzet op bewustwording in plaats van self assessments De self assessments die in 2021 zijn gestart, zijn in 2022 afgerond. Tien afdelingen hebben met begeleiding een assessment gedaan om te beoordelen hoe ze ervoor staan op het gebied van privacy en hoe ze hierin verder kunnen groeien. Het gemiddelde niveau van volwassenheid dat hieruit blijkt ligt nog onder de twee op een schaal van vijf. Om min of meer aan de AVG te voldoen, is niveau drie nodig. Hoewel het aanvankelijk de bedoeling was dat elke afdeling een assessment zou doen, is na afronding van de eerste tien besloten te stoppen met deze aanpak. Het leverde uiteindelijk niet het goede gesprek op. De focus kwam vooral te liggen op de vraag of de vinkjes wel in de goede vakjes stonden en zorgen over de vraag wat de directie er wel niet van zou vinden. Hoe de privacy van bewoners beter zou kunnen worden beschermd raakte als onderwerp zo te veel uit beeld, terwijl het gesprek daarover het hoofddoel was. Daarom is besloten niet verder te gaan met de assessments. In plaats daarvan wordt meer aandacht besteed aan bewustwording en kennis via bijvoorbeeld webinars en gesprekken en presentaties in werkoverleggen. Hier is in 2018 en 2019 toen de AVG nog nieuw was veel aandacht aan besteed maar daarna was de aandacht daarvoor wat weggezakt.

Kennis is daardoor ook weer weggezakt en bovendien zijn er sindsdien een hoop nieuwe medewerkers gestart. Meer inspanning is dus nodig. Daarvoor worden deels externe partijen in de arm genomen maar voor een groot deel wordt ook hiervoor een beroep gedaan op de schaarse privacyadviseurs. Elke afdeling maakt een informatieplan. Door daarin expliciet een paragraaf te wijden aan wat er zal worden gedaan op het gebied van privacy blijven de verbeteringen die nodig zijn wel zichtbaar met concrete plannen. Hierin wordt bijvoorbeeld opgenomen welke DPIA’s zullen worden gedaan en welke actiepunten uit eerdere DPIA’s worden uitgevoerd. De uitkomsten en aanbevolen maatregelen uit de assessments worden overigens wel opgepakt. Aanbeveling: 5. Neem voor elke afdeling in de informatieplannen een paragraaf op over privacy en neem daarin op welke DPIA’s zullen worden uitgevoerd.

Wat gebeurt er in de wereld om ons heen? De gemeente is geen eiland maar staat in verbinding met de rest van de wereld. Een aantal relevante ontwikkelingen in de wereld: -

1

De AP legt tot en met 2023 de focus op drie gebieden: datahandel, digitale overheid en artificiële intelligentie en algoritmes1. Drie van de vier boetes die de AP in 2022 heeft

Zie Focus AP 2022-2023 | Autoriteit Persoonsgegevens

3

-

-

-

-

opgelegd werden aan overheden opgelegd: de Belastingdienst, het ministerie van Buitenlandse zaken en de Politie Rotterdam. De ontwikkelingen in AI en het gebruik van algoritmes gaan hard. De AP krijgt een toezichthoudende rol hierin. In december 2022 is er een landelijk algoritmeregister gelanceerd. Het wordt voor overheden naar alle waarschijnlijkheid verplicht een algoritmeregister bij te houden. Ook is in opdracht van het ministerie van BZK een middel ontwikkeld om risico’s op het schenden van mensenrechten te analyseren: het Impact assessment mensenrechten en algoritmes (IAMA). De EU bereidt diverse wetten voor om de positie van burgers te versterken. De AIverordening is een hele belangrijke. In deze EU-verordening wordt waarschijnlijk ook een risico-analyse op mensenrechten verplicht, ongeveer zoals het hiervoor genoemde IAMA. Er is steeds ook buiten de AI-verordening steeds meer aandacht voor de ethische kanten van digitalisering. Responsible tech, ethische datacommissies, IAMA’s zijn termen die langzamerhand gemeengoed beginnen te worden. Met regelmaat verschijnen artikelen over de macht van de Big Tech. De grote bedrijven gebruiken en verhandelen persoonsgegevens, bepalen welke berichten hun gebruikers wel en niet te zien krijgen op basis van algoritmes en beslissen ook wat ze als nepnieuws beschouwen en verwijderen en wat niet.

Daardoor wordt er geregeld gediscussieerd over de vraag welke platforms en communicatiekanalen de overheid wel of niet zou moeten gebruiken. Daarbij wordt ook gezocht naar mogelijkheden om als overheid een eigen veilig alternatief te creëren.

Rechten van betrokkene In 2022 heeft Haarlem tien AVG-verzoeken ontvangen, waarvan zeven inzageverzoeken en drie verwijderingsverzoeken. De verzoeken zijn als volgt afgehandeld: -

Op twee inzageverzoeken zijn in het kader van de AVG persoonsgegevens verstrekt; Bij één inzageverzoek bleken er geen persoonsgegevens te zijn geregistreerd; Eén inzageverzoek is niet in behandeling genomen, omdat verzoeker niet heeft voldaan aan het verzoek zich formeel te identificeren en het verzoek nader te specificeren; Bij één inzageverzoek bleek het niet om een verzoek in de zin van de AVG te gaan maar om een klachtafhandeling; Bij twee inzageverzoeken was sprake van een inzagerecht anders dan op grond van de AVG (in dit geval verzoek op grond van de Participatiewet om stukken in te zien). Dat is afgehandeld volgens de regels van de Participatiewet.

De drie verwijderingsverzoeken heeft Haarlem afgehandeld als volgt: -

Eén verwijderingsverzoek is niet in behandeling genomen, omdat verzoeker niet heeft voldaan aan het verzoek zich formeel te identificeren en het verzoek nader te specificeren; Eén verwijderingsverzoek is afgewezen omdat voor de bedoelde documenten een bewaarplicht geldt op grond van de Archiefwet. Eén verwijderingsverzoek is gehonoreerd, omdat hier een uitzondering mogelijk was op de bewaarplicht op grond van de Archiefwet.

In 2022 zijn er geen AVG-verzoeken meer binnengekomen van personen die enkel uit zijn op het verkrijgen van een dwangsom. De verzoeken zien grotendeels op verwerkingen van de afdeling 4

Maatschappelijke Ondersteuning (5 van de 12) en Werk & Inkomen (3 van de 12). Eén verzoek ziet op de afdeling V&H en één verzoek is niet gespecificeerd en daarom niet aan een afdeling toewijsbaar. In 2022 zijn 3 AVG-zaken (uit voorgaande jaren 2019-2021) in hoger beroep bij de Raad van State behandeld. In alle drie de zaken is de gemeente in het gelijk gesteld.2

Andere inzagerechten De AVG is niet de enige wet die mensen recht geeft op inzage in stukken of gegevens over henzelf. Hiervoor werd bijvoorbeeld al de Participatiewet genoemd, waarin het recht is opgenomen inzage te krijgen in het eigen dossier. Ook op grond van andere wetten, zoals de Wet politiegegevens, de Wet basisregistratie personen en de Wet open overheid zijn er inzagerechten. Verschillende inzagerechten dienen soms verschillende doelen en kennen elk hun eigen proces. Het is begrijpelijk dat dit soms tot verwarring leidt. De gemeente zou hierover duidelijker informatie kunnen verstrekken op de website en actiever helpen om het verzoek te specificeren, om de verzoeker zo goed mogelijk te kunnen helpen. De recent gestarte informatiecommissaris zal hier wellicht een rol in kunnen spelen. Aanbeveling: 6. Help mensen om de informatie te verkrijgen die ze zoeken door duidelijke informatie over de verschillende inzage- en informatierechten die bestaan en waar nodig actieve hulp te bieden.

Data Protection Impact Assessments Als het verwerken van persoonsgegevens in een proces of systeem waarschijnlijk een hoog risico kan opleveren voor rechten of vrijheden van de betrokken personen, moet een risicoanalyse worden gemaakt: een Data Protection Impact Assessment (DPIA). Een goede analyse maakt het mogelijk gericht maatregelen te nemen om risico’s te verminderen. Het maakt het ook mogelijk een goede afweging te maken van het resterende risico ten opzichte van het beoogde doel: is dat proportioneel? In 2022 zijn zes DPIA’s uitgevoerd: voor vier werkprocessen van de sociale recherche, voor de parkeervergunningenapplicatie, het beheersysteem voor contactgegevens, een pilot met een anonimiseringstool, portofoons van de Havendienst en het werkproces van de regionale prostitutiecontroleteams. In vergelijking met de twee jaren hiervoor zijn het ruim twee keer zoveel DPIA’s. De organisatie raakt er steeds meer mee bekend en sommige afdelingen zijn inmiddels in staat helemaal zelf een DPIA te doen. Andere vragen begeleiding door de privacyadviseurs. Een planning van DPIA’s was er niet. De organisatie werkt ernaartoe om in de informatieplannen van elk afdeling expliciet aandacht te 2

Hoger beroep Raad van State (februari 2022) in twee zaken betreffende inzage in W&I dossiers: gemeente Haarlem heeft geen verplichting om documenten of dossiers over te leggen maar kon in lijn van de geldende jurisprudentie volstaan met een overzicht van de verwerkingen van persoonsgegevens. Door deze uitspraken lijkt het aantal AVG verzoeken met als doel om beschikking te krijgen over volledige dossiers (die vaak al in het bezit van de betrokkene te zij) sterk te zijn verminderd. Voor het verkrijgen van documenten en dossiers zijn andere informatierechten de geëigende weg bijvoorbeeld de inzagerechten gebaseerd op de materiewetten zoals de Participatiewet en de Wmo 2015. Hoger beroep Raad van State (augustus 2022): gemeente Haarlem is niet verplicht tot betaling dwangsom bij te late afhandeling nu er geen sprake was van een ingebrekestelling en het doel van het inzageverzoek enkel was gelegen in het verkrijgen van een dwangsom (misbruik van recht).

5

besteden aan privacy. Daarin worden dan ook de voorziene DPIA’s opgenomen. Zie aanbeveling 5.

Datalekken Datalek is een term die bekend is geworden en veel wordt gebruikt. De Algemene verordening gegevensbescherming gebruikt dat woord niet maar spreekt van een ‘inbreuk in verband met persoonsgegevens’ en definieert dat als: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens (art. 4 onder 12 AVG). In het interne ‘datalekkenregister’ worden de meldingen van dergelijke incidenten geregistreerd. Er zijn 38 incidenten rond data gemeld. Dat zijn er wederom meer dan de jaren ervoor (25 in 202 en 29 in 2021). Zeven incidenten zijn gemeld aan de Autoriteit Persoonsgegevens (AP) en één incident wordt in 2023 alsnog gemeld, omdat nader onderzoek uitwees dat de groep betrokkenen groter was (58 personen) dan aanvankelijk gedacht. Een melding wordt aan de AP doorgegeven als er waarschijnlijk een hoog risico is voor de betrokken personen. De meeste incidenten betreffen mailberichten of brieven die aan de verkeerde persoon worden gestuurd (10) en het verlies van een telefoon of ander apparaat dat toegang geeft tot mails en soms ook andere informatie (9).

Bij drie incidenten ging het om gevoeliger gegevens dan ‘gewone’ persoonsgegevens, namelijk gegevens over gezondheid, (vermeende) uitkeringsfraude en financiële gegevens. In de rapportage over 2020 en 2021 stond dat het realiseren van een centrale meldknop op intranet voor incidenten met data die aanvankelijk voorzien was in 2020 was uitgesteld tot 2022, waarna een bewustwordingscampagne zou starten. De meldknop zou het melden makkelijker moeten maken en door de zichtbaarheid ook bewustwording hierover versterken. De knop is echter ook in 2022 nog niet gerealiseerd, door interne discussie over de benodigde capaciteit voor de afhandeling van meldingen en het stellen van andere prioriteiten. Meldingen van datalekken geschieden dus nog steeds via de mail aan datalekmelden@haarlem.nl. Het vermoeden is dat nog veel incidenten niet worden herkend als datalek en niet worden gemeld. Een makkelijk te vinden meldknop en meer aandacht voor bewustwording hierover leiden wellicht tot meer meldingen en hopelijk door meer aandacht en leereffect vervolgens tot het juist voorkomen van datalekken. Volgens de nieuwe planning komt de knop gereed in het vierde kwartaal van 2023. Aanbeveling: 7. Realiseer zo snel mogelijk een centrale meldknop voor data-incidenten.

Register van verwerkingen In het register van verwerkingen staan voor elke afdeling de processen beschreven waarin persoonsgegevens worden verwerkt. Jaarlijks wordt door de privacyadviseur die het register beheert een uitvraag gedaan bij alle afdelingen om het waar nodig te actualiseren. Het lukt niet altijd om dit voor elke afdeling voor elkaar te krijgen, waardoor niet voor alle onderdelen van het register zeker is of ze accuraat zijn. Het doel van het register is dat de gemeente als verantwoordelijke goed documenteert wat ze doet met persoonsgegeven, daardoor overzicht heeft en zich kan verantwoorden voor wat ze doet. Een belangrijk doel van de AVG is iedereen zoveel mogelijk inzicht in te geven en grip op wat er gebeurt met zijn of haar persoonsgegevens. Het zou daarbij helpen als er een publieksversie van het register zou worden gepubliceerd. Er is echter niet voldoende capaciteit onder de privacyadviseurs om dit te realiseren. 6

Aanbeveling: 8. Zorg dat het register van verwerkingen actueel wordt gehouden. 9. Realiseer een publiek register van verwerkingen.

Wet Politiegegevens Het algemene juridisch kader voor het verwerken van persoonsgegevens is de AVG. Voor persoonsgegevens die worden verwerkt in het kader van opsporing geldt echter een andere wet: de Wet Politiegegevens (Wpg). Ook het werk van boa’s valt hieronder, althans waar het gaat om opsporingstaken. Taken op het gebied van toezicht of bestrijden van incidenten vallen nog steeds onder de AVG. De Wet Politiegegevens stelt deels andere eisen dan de AVG, bijvoorbeeld waar het gaat om bewaartermijnen en om het delen van gegevens. Op grond van die wet moet elke vier jaar een audit worden uitgevoerd door een externe partij en de andere jaren moet een interne audit worden uitgevoerd, de eerste keer zou dat in 2021 moeten gebeuren. De AP heeft de deadline voor de eerste externe audit uitgesteld tot 2022. Die deadline is op de valreep gehaald en is te lezen als een nulmeting. De gemeente heeft boa’s onder de handhavers (afdeling Veiligheid en Handhaving en Havendienst), onder de leerplichtambtenaren en onder de sociaal rechercheurs. Haarlem heeft op initiatief van de afdeling SMSR al een aantal jaren geleden een implementatieplan gemaakt voor de Wpg, zoals ook genoemd in de vorige rapportage. De gemeente lijkt in vergelijking met andere gemeenten het net iets beter te doen dan het gemiddelde – afgaande op de mening van de auditor, die meerdere gemeenten heeft beoordeeld.

Desondanks moet in elke betrokken afdeling en ook op centraal niveau het nodig verbeterd worden.

Bijzonderheden Verseon Voor het document managementsysteem annex archiefsysteem Verseon is begin 2022 een brede privacy-analyse afgerond, waaruit blijkt dat de vertrouwelijkheid van gegevens niet goed wordt geborgd. Vrijwel alle medewerkers gebruiken dit systeem voor het bestuurlijke proces en voor archivering en het wordt ook voor andere processen gebruikt. Verseon staat al een aantal jaren op de lijst om te worden vervangen. Het is echter een complex systeem dat veel verschillende processen en afdelingen ondersteunt. Door die complexiteit is vervanging in de praktijk een bijzonder lastig project, een tekort aan uitvoeringscapaciteit en de grote hoeveelheid andere projecten staat dit keer op keer in de weg. De noodzaak om Verseon te vervangen staat op zichzelf niet ter discussie. De planning is hiermee te starten in 2023. Het zal desondanks nog een aantal jaren duren voor Verseon geheel vervangen is. Tot dan blijft het een groot privacy-risico. Aanbeveling: 10. Geef bij vervanging van verseon voorrang aan processen en dossiers waarin persoonsgegevens staan. 11. Neem zo lang verseon nog niet vervangen is maatregelen om de risico’s te verkleinen.

Onderzoek door Autoriteit Persoonsgegevens naar bezoekersparkeren De Autoriteit Persoonsgegevens (AP) heeft in december 2019 laten weten een onderzoek in te stellen naar de Haarlemse regeling voor bezoekersparkeren, naar aanleiding van twee klachten 7

hierover. Zie ook eerdere rapportages. De AP heeft in 2021 verzocht om aanvullende informatie en sindsdien is er nog niets vernomen. De problemen die Haarlem naar aanleiding van het gesprek met de AP en uit eigen bevindingen heeft gesignaleerd zijn ook in 2022 niet opgelost. Het gaat om drie punten: 1. Volgens de regeling bezoekersparkeren hebben bewoners die mantelzorg ontvangen recht op extra uren. Daarvoor wordt dus geregistreerd dat iemand mantelzorg ontvangt en dat is een bijzonder persoonsgegevens want het zegt iets over de gezondheid van de betrokkene. Voor het verwerken van bijzondere persoonsgegevens gelden extra strenge regels en er is discussie met de AP over de vraag of daaraan wordt voldaan in dit geval. 2. Een van de klagers is bang dat de gemeente aan de hand van het kenteken kan nagaan wie er op bezoek komt. In de werkprocessen moet daarom worden gewaarborgd dat dat niet zal gebeuren. 3. Een aanvraag om deel te nemen aan de regeling bezoekersparkeren wordt volledig geautomatiseerd behandeld. Dat is niet per se verboden maar er gelden wel bijzondere eisen, zoals transparantie en er moet een menselijke tussenkomst mogelijk zijn. Het laatste punt lijkt in 2023 te worden opgelost door een aanpassing van het systeem.

Dat moet ertoe leiden dat de aanvrager weet dat zijn aanvraag geautomatiseerd wordt beoordeeld, een gemotiveerd besluit krijgt (in plaats van een te gebruiken code dan wel de enkele mededeling “u heeft geen rechten”) en erop wordt gewezen dat het mogelijk is bezwaar te maken. Aanbeveling: 12. Onderzoek of de vergoeding voor mantelzorgontvangers op een andere manier, buiten het parkeerproces kan worden verstrekt, bijvoorbeeld via WMO of Jeugdwet. 13. Zorg ervoor dat wie inzage heeft in welke kentekens zijn aangemeld geen toegang heeft tot het kentekenregister. 14. Zorg dat de geautomatiseerde besluitvorming voldoet aan de eisen van de wet (Avg en Awb).

Algoritmes Algoritmes en artificiële intelligentie staan volop in de belangstelling. Er is op dit moment geen overzicht van waar de gemeente algoritmes gebruikt. Het zal naar alle waarschijnlijkheid voor overheden wel verplicht worden een algoritmeregister bij te houden. De gemeente start met de eerste voorbereidingen. In 2022 is – behalve de geautomatiseerde besluitvorming in het bezoekersparkeren – voor zover bekend twee keer overwogen om een algoritme in te zetten dat mensen kan raken. In beide gevallen gaat het om het gebruik van een geautomatiseerde zoekmachine die internet inclusief het dark web en ook openbare Telegram-groepen kan doorzoeken en verbanden in beeld brengen. Met dit middel worden enorm veel gegevens verzameld. Wat wel en niet mag, of het gebruik proportioneel is en hoe je het dan zorgvuldig gebruikt, zijn vragen die beantwoord moeten worden in een DPIA De inzet is en wordt overwogen in het kader van regionale prostitutiecontroleteams. De FG’s van een aantal betrokken gemeenten volgen dit samen kritisch en hebben aangedrongen op een DPIA. Een pilot met dit zoekinstrument zal waarschijnlijk niet plaatsvinden in Haarlem maar in één van de andere coördinerende gemeenten. De inzet wordt ook overwogen in het kader van bestrijding van ondermijning.

Hiervoor zal in 2023 een DPIA worden gedaan en ook voor Haarlem voor het eerst een impact assessment algoritmes en mensenrechten (IAMA).

8

Aanbeveling: 15. Wees transparant over de algoritmes die worden gebruikt door ze in een eigen dan wel landelijk register te beschrijven.

Inkoop en contractbeheer Bij aanbestedingen wordt niet altijd direct herkend dat al in de eisen moet worden nagedacht over wat nodig of wenselijk is uit oogpunt van privacy en informatiebeveiliging. Aanbestedingen worden ook niet altijd begeleid door een professional; het team inkoop en aanbesteding is zo ingericht dat het alleen Europese aanbestedingen kan ondersteunen. Dat maakt het lastig hierover het goede gesprek te voeren met partijen die meedingen en maakt het soms ook lastig om in de implementatie problemen alsnog op te lossen. Daarnaast wordt niet altijd herkend dat een verwerkersovereenkomst of andere afspraken over het gebruik van persoonsgegevens nodig zijn. Waar dit wel gebeurt, wordt het niet altijd vindbaar geregistreerd. Er bestaat daardoor geen compleet overzicht van de afgesloten verwerkersovereenkomsten en andere privacyovereenkomsten. Aan audits op deze afspraken wordt momenteel zo goed als niets gedaan. Aanbevelingen: 16. Zorg dat bij aanbestedingen voldoende aandacht en kennis is voor privacy en informatiebeveiliging om de juiste eisen te stellen. 17. Zorg dat bij aanbestedingen en andere vormen van verwerving voldoende kennis is om te zorgen dat waar nodig een verwerkersovereenkomst of andere privacyovereenkomst wordt gesloten en houd deze samen met de hoofdovereenkomsten bij in een contactenbank. 18.

Bepaal voor welke overeenkomsten een audit op privacy en informatiebeveiliging nodig is en voer die uit.

Conclusie Dat het gebruik van persoonsgegevens zorgvuldigheid vraagt en daarom aan regels is gebonden, is het bestuur en de organisatie zeer bekend. Op veel plekken ontbreekt echter voldoende kennis om echt te borgen dat dit goed gaat. Het volwassenheidsniveau ligt onder de twee op een schaal van vijf, waar drie toch echt wel nodig is om naleving van de AVG de kunnen verzekeren. Er zijn in vergelijking met andere gemeenten weinig privacyadviseurs, helemaal als de ambitie is om daadwerkelijk door te groeien naar een volwassenheidsniveau drie. Kennis en tijd om aandacht te besteden aan privacyaspecten van primaire processen is in de lijnafdelingen te vaak niet geborgd.

Gegevensbescherming en aandacht voor privacy is verweven met bijna alle onderdelen van het werk dat de gemeentelijke organisatie doet. Het is dus niet een losstaande opgave voor het domein of de wethouder bedrijfsvoering maar een verantwoordelijkheid van allen. Om bewustzijn en betrokkenheid te vergroten zou het helpen om in formele stukken waarin risico’s worden beschreven niet alleen naar het risico voor de gemeente te kijken maar nadrukkelijk ook de risico’s voor de betrokken personen te benoemen, om de potentiële impact mee te wegen.

9

Aanbevelingen De aanbevelingen nog eens opgesomd: 1. Beschrijf bij risicoanalyses expliciet wat de risico’s zijn voor bewoners. 2. Benadruk bij bewustwordingsactiviteiten en opleidingen wat het werkelijke doel is en dat het middel zelf geen doel is. 3. Schep ruimte in de afdelingen om vanaf de zijlijn kritisch naar werkprocessen te kijken. 4. Stel meer privacyadviseurs aan, 3,5 fte. 5. Neem voor elke afdeling in de informatieplannen een paragraaf op over privacy en neem daarin op welke DPIA’s zullen worden uitgevoerd. 6. Help mensen om de informatie te verkrijgen die ze zoeken door duidelijke informatie over de verschillende inzage- en informatierechten die bestaan en waar nodig actieve hulp te bieden. 7. Realiseer zo snel mogelijk een centrale meldknop voor data-incidenten. 8. Zorg dat het register van verwerkingen actueel wordt gehouden. 9. Realiseer een publiek register van verwerkingen. 10. Geef bij vervanging van verseon voorrang aan processen en dossiers waarin persoonsgegevens staan. 11. Neem zo lang verseon nog niet vervangen is maatregelen om de risico’s te verkleinen. 12. Onderzoek of de vergoeding voor mantelzorgontvangers op een andere manier, buiten het parkeerproces kan worden verstrekt, bijvoorbeeld via WMO of Jeugdwet. 13. Zorg ervoor dat wie inzage heeft in welke kentekens zijn aangemeld geen toegang heeft tot het kentekenregister. 14.

Zorg dat de geautomatiseerde besluitvorming voldoet aan de eisen van de wet (Avg en Awb). 15. Wees transparant over de algoritmes die worden gebruikt door ze in een eigen dan wel landelijk register te beschrijven. 16. Zorg dat bij aanbestedingen voldoende aandacht en kennis is voor privacy en informatiebeveiliging om de juiste eisen te stellen. 17. Zorg dat bij aanbestedingen en andere vormen van verwerving voldoende kennis is om te zorgen dat waar nodig een verwerkersovereenkomst of andere privacyovereenkomst wordt gesloten en houd deze samen met de hoofdovereenkomsten bij in een contractenbank. 18. Bepaal voor welke overeenkomsten een audit op privacy en informatiebeveiliging nodig is en voer die uit.

10