20220927037 1. Rapportage 2020-2021 Functionaris Gegevensbescherming

Informatienota

Onderwerp Rapportage 2020-2021 Functionaris Gegevensbescherming Nummer Portefeuillehouder Programma/beleidsveld Afdeling Auteur Telefoonnummer Email Kernboodschap

2022/927037 Raadt, De, E. 6.2 Gemeentelijk bestuur CC Konijnenbelt, C.M.C. 023-5113064 ckonijnenbelt@haarlem.nl In de rapportage 2020-2021 van de Functionaris Gegevensbescherming is beschreven wat er in de gemeente Haarlem in deze twee jaren gebeurd is op het gebied van privacybescherming. De hoofdconclusie is dat kennis en alertheid zijn toegenomen en daarmee in de veiligheid van de gegevens. Tegelijk is de constatering dat de stijgende lijn nu niet doorzet, waardoor nog teveel afhangt van toeval. Meer inzet is nodig. Daarnaast cijfers over inzageverzoeken, datalekken etc. en een aantal bijzondere privacykwesties die zich voordeden in deze jaren.

Behandelvoorstel voor commissie

Het college stuurt de informatienota ter kennisname naar de commissie Bestuur. De functionaris voor de gegevensbescherming rapporteert over de jaren 2020 en 2021, aan zowel het college als de raad.

Relevante eerdere besluiten Besluit College d.d. 19 juli 2022

Rapportage 2018-2019 Functionaris-Gegevensbescherming 1. Het college stelt de informatienota aan de commissie vast. de secretaris,

de burgemeester,

Inleiding In 2018 werd de Algemene verordening gegevensbescherming van kracht, waarmee de aandacht voor privacy een stevige impuls kreeg. In deze rapportage staat de vraag centraal hoe de gemeente er na vier jaar nu voor staat op dit gebied. Hoe staat het met de kennis en bewustwording op het gebied van privacy en de naleving van de AVG en wat is er gebeurd in de afgelopen twee jaar?

Kenmerk: 2022/927037

1/3

Over 2020 is niet apart gerapporteerd. De huidige rapportage beslaat daarom zowel 2020 als 2021. In de cijfers (aantallen datalekken, inzageverzoeken e.d.) zijn de jaren uitgesplitst. In het algemene beeld en de uitgelichte bijzonderheden is geen expliciet onderscheid gemaakt naar welk jaar. Voor 2020 was een aantal acties aangekondigd. De belangrijkste waren het starten met self assessments en de verdere aanpak om te stoppen met het testen met persoonsgegeven. Beide zijn pas in 2021 echt opgepakt. Ook de andere acties zijn pas later in gang gezet. De jaren 2020 en 2021 zijn twee bijzondere jaren geweest, waarin vanwege corona onder bijzondere omstandigheden moest worden gewerkt. Daarin heeft de organisatie zijn weg moeten zoeken, ook in de manier van samenwerken. Die omstandigheden en het feit dat er relatief weinig capaciteit is voor privacyadvisering, hebben ertoe geleid dat de acties die waren voorzien voor 2020 vrijwel allemaal pas later zijn opgepakt. 2. Kernboodschap De gemeente verwerkt enorm veel persoonsgegevens van met name haar bewoners maar ook van medewerkers en soms van andere personen. Alle betrokkenen moeten erop kunnen rekenen dat hun gegevens bij de overheid in veilige handen zijn. De alsmaar verder groeiende digitalisering zorgt immers niet alleen voor gemak en efficiency maar tegelijk ook voor grotere privacyrisico’s.

Hoe meer gegevens, hoe groter de kans dat er iets mis gaat. Kopiëren en verspreiden van gegevens gaat digitaal bovendien een stuk sneller en gemakkelijker dan op papier. De basisidee in de AVG is dat iedereen zoveel mogelijk zelf de controle houdt over wat er gebeurt met zijn of haar gegevens. Tegelijk ben je voor verschillende zaken verplicht gegevens te verstrekken aan de gemeente. Daarmee is de gemeente verantwoordelijk voor een zorgvuldige omgang met die gegevens. Om die verantwoordelijkheid waar te maken, is het nodig gegevens vertrouwelijk en geordend (vindbaar en correct) te houden en de risico’s te herkennen en zoveel mogelijk weg te nemen. Kennis en alertheid zijn zeker toegenomen en daarmee in de veiligheid van de gegevens. Tegelijk is de constatering dat de stijgende lijn nu niet doorzet en dat kennis en zorgvuldig werken nog te weinig zijn geborgd in voor iedereen toegankelijke kennis en in standaarden. Privacybescherming krijgt niet op alle onderdelen de gewenste prioriteit en er zijn te weinig adviseurs beschikbaar, op centraal niveau en in de meeste lijnafdelingen. Dat remt het in gang zetten van organisatiebrede verbeteringen en versterken van de kennis. De risico’s die hierdoor ontstaan, zijn vooral voor rekening van bewoners en andere betrokkenen. Om te voldoen aan hun terechte verwachtingen en om te voldoen aan de wet is meer inzet nodig. 3.

Consequenties Privacybescherming krijgt niet op alle onderdelen de gewenste prioriteit en er zijn te weinig adviseurs beschikbaar, op centraal niveau en in de meeste lijnafdelingen. Dat remt het in gang zetten van organisatiebrede verbeteringen en versterken van de kennis. De risico’s die hierdoor ontstaan, zijn vooral voor rekening van bewoners en andere betrokkenen. Om te voldoen aan hun terechte verwachtingen en om te voldoen aan de wet is meer inzet nodig.

Kenmerk: 2022/927037

2/3

4. Vervolg In het coalitieakkoord is structureel 200.000 euro bestemd voor informatiebeveiliging en privacy, ten laste van het vaste deel van het budget voor overhead. De invulling hiervan wordt op dit moment nog uitgewerkt. Op dit moment wordt een pilot uitgevoerd om beter uit te werken wat eigenaarschap van mensen (functies), data, processen en applicaties inhoudt en hoe dat op een goede manier kan worden ingevuld in de samenwerking tussen lijnafdelingen en ondersteunende afdelingen. Doel is vaker te rapporteren, zoals eerder al was toegezegd. Bekeken wordt of bredere rapportages mogelijk zijn vanuit verschillende expertisegebieden binnen informatievoorziening. 5. Bijlage Rapportage 2020-2021 Functionaris Gegevensbescherming

Kenmerk: 2022/927037

3/3