3 Bijlage 2 - memo - reactie college op rapportage FG 2022

Memo Reactie college op rapportage FG

Aan

Commissie Bestuur

Datum

14 november 2023

Onderwerp

Rapportage FG

Van

Kees Brouwer

Geachte leden van de commissie Bestuur We hebben met belangstelling kennis genomen van de rapportage van de functionaris gegevensbescherming (FG) over 2022. In de rapportage wordt beschreven wat de algemene stand van zaken is op het gebied van gegevensbescherming en privacy en wat er is gebeurd op verplichte onderdelen uit de Algemene Verordening Gegevensbescherming (AVG) zoals het behandelen van inzagerechten van betrokkenen, data protection impact assessments en datalekken. In het rapport is te lezen dat de organisatie inmiddels goed bekend is met de AVG en dat veel goed gaat. De omgang met gegevensbescherming en privacy is echter nog te weinig structureel verankerd. Er zijn nog geen benchmarks beschikbaar waaruit kan worden afgeleid hoe de situatie in de gemeente Haarlem op het gebied van privacy zich verhoudt tot die in andere gemeenten. Uit rapportages van andere gemeenten blijkt dat de situatie in Haarlem niet in positieve of negatieve zin afwijkt van het gemiddelde. Het is dan ook niet zo dat inwoners van Haarlem een groter risico lopen dan inwoners van andere gemeenten. Desalniettemin blijft continue inzet en alertheid op dit onderwerp geboden. Reactie op aanbevelingen Het college onderkent het belang van gegevensbescherming en privacy. In de rapportage doet de FG een aantal aanbevelingen ter verbetering. Die aanbevelingen nemen wij dan ook ter harte.

De aanbevelingen bieden aanknopingspunten om gegevensbescherming en privacy verder te verbeteren en daarmee heeft de rapportage waarde voor de organisatie en voor de inwoners. Hieronder geven wij per aanbeveling een korte reactie. Aanbeveling 1 Beschrijf bij risicoanalyses expliciet wat de risico's zijn voor bewoners. Bij risicoanalyses gaat de aandacht nu vooral uit naar financiële en juridische risico's voor de gemeente. In het eerste kwartaal van 2024 wordt gestart met een verkenning van de mogelijkheden om risico's ook vanuit het perspectief van bewoners te kwantificeren en mee te nemen. Aanbeveling 2 Benadruk bij bewustwordingsactiviteiten en opleidingen wat het werkelijke doel is en dat het middel

1/4

geen doel is. In de organisatie loopt een i-Awarenessprogramma dat erop gericht is om kennis en bewustzijn m.b.t. de omgang met data & informatie te vergroten. In dit programma zal meer nadruk komen te liggen op het onderscheid doel versus middel. Aanbeveling 3 Schep ruimte in de afdelingen om vanaf de zijlijn kritisch naar werkprocessen te kijken. Er loopt een onderzoek naar mogelijke oplossingen, er is budget beschikbaar om dit onderzoek te kunnen realiseren. In het eerste kwartaal van 2024 volgt naar verwachting besluitvorming in de directie. Aanbeveling 4 Stel meer privacy-adviseurs aan, 3,5 fte. De feitelijke bezetting privacy-adviseurs eind 2022 was 1,39fte, eind 2023 is dit toegenomen naar 3,17fte. In 2024 komt voor privacy en security samen nog 2,6fte beschikbaar uit het meeadembudget, de verdeling privacy / security moet nog worden vastgesteld. Daarmee komt de beschikbare bezetting privacy-adviseurs in 2024 naar verwachting rond de gevraagde 3,5fte uit. Aanbeveling 5 Neem voor elke afdeling in de informatieplannen een paragraaf op over privacy en neem daarin op welke DPIA's zullen worden uitgevoerd. In de informatieplannen die alle afdelingen jaarlijks opstellen is inmiddels een aparte paragraaf over privacyvraagstukken opgenomen. Hierin worden zowel de stand van zaken als de ontwikkelingen m.b.t.

privacy beschreven en waar nodig maatregelen afgesproken, waaronder de uit te voeren DPIA's. Aanbeveling 6 Help mensen om de informatie te verkrijgen die ze zoeken door duidelijke informatie over de verschillende inzage- en informatierechten die bestaan en waar nodig actieve hulp te bieden. De informatie op de website wordt aangepast en verduidelijkt. Bij het KCC werken contactpersonen die vragenstellers actief kunnen helpen bij het vinden van informatie. Er wordt verder onderzocht op welke manier informatiezoekers beter geholpen kunnen worden. Aanbeveling 7 Realiseer zo snel mogelijk een centrale meldknop voor data-incidenten. Naar verwachting komt de knop voor het melden van datalekken in het 2e kwartaal van 2024 beschikbaar. Aanbeveling 8 Zorg dat het register van verwerkingen actueel wordt gehouden. Het register van verwerkingen is actueel. In de informatieplannen van de afdelingen wordt hieraan expliciet aandacht besteed. Door de privacy-adviseurs wordt gecontroleerd op de aanwezigheid van

2/4

een verwerkingsregister en of dat register periodiek, in een tweejaarlijkse cyclus, wordt geactualiseerd. Aanbeveling 9 Realiseer een publiek register van verwerkingen. Dit onderwerp is onderdeel van de besluitnota 'Gemeentelijke sensoren in de openbare ruimte'. De nota is in concept gereed en zal in het eerste kwartaal 2024 aan de commissie Bestuur worden aangeboden. Aanbeveling 10 Geef bij vervanging van Verseon voorrang aan processen en dossiers waarin persoonsgegevens staan. Eind 4e kwartaal 2023 worden de aanpak van de vervanging van Verseon en de migratiestrategie vastgesteld zodat in 2024 gestart kan worden met de daadwerkelijke vervanging. De vervanging is zeer complex, bij het bepalen van de volgorde van werkzaamheden in de migratiestrategie spelen verschillende aspecten, o.a. het garanderen van de continuïteit en de beheersbaarheid van het project zelf. Daarnaast zal zoveel mogelijk rekening worden gehouden met het aspect persoonsgegevens. Aanbeveling 11 Neem zolang Verseon nog niet vervangen is maatregelen om de risico's te verkleinen. Waar mogelijk zijn al maatregelen genomen. Eind 4e kwartaal 2023 wordt de aanpak van de vervanging van Verseon vastgesteld en wordt bepaald of aanvullende maatregelen noodzakelijk en haalbaar zijn.

Aanbeveling 12 Onderzoek of de vergoeding voor mantelzorgontvangers op een andere manier, buiten het parkeerproces kan worden verstrekt, bijvoorbeeld via WMO of Jeugdwet. In het 1e kwartaal 2024 wordt deze aanbeveling opgepakt. Aanbeveling 13 Zorg ervoor dat wie inzage heeft in welke kentekens zijn aangemeld geen toegang heeft tot het kentekenregister. De gevraagde beperking van toegangsrechten zou tot gevolg hebben dat de dienstverlening m.b.t. bezoekersparkeren slechter wordt omdat het aantal medewerkers dat vragen en reacties van inwoners kan behandelen kleiner wordt waardoor de wachttijden aanzienlijk zullen toenemen. De oplossing wordt gezocht in het optimaliseren van onze zelf ontwikkelde bezoekersapp. Naar verwachting zullen de benodigde aanpassingen worden afgerond in het 3e kwartaal van 2024. Aanbeveling 14 Zorg dat de geautomatiseerde besluitvorming voldoet aan de eisen van de wet (AVG en AWB). De ontwikkelde oplossing is 31 oktober 2023 in productie gegaan.

3/4

Aanbeveling 15 Wees transparant over de algoritmes die worden gebruikt door ze in een eigen dan wel landelijk register te beschrijven. Dit onderwerp is onderdeel van de besluitnota 'Gemeentelijke sensoren in de openbare ruimte' die in concept gereed is en in het eerste kwartaal 2024 aan de commissie Bestuur zal worden aangeboden. Aanbeveling 16 Zorg dat bij aanbestedingen voldoende aandacht en kennis is voor privacy en informatiebeveiliging om de juiste eisen te stellen. De aanbevelingen m.b.t inkoop en contractbeheer zijn meegenomen in het lopende verbetertraject rechtmatig en doeltreffend inkopen. Aanbeveling 17 Zorg dat bij aanbestedingen en andere vormen van verwerving voldoende kennis is om te zorgen dat waar nodig een verwerkersovereenkomst of andere privacy-overeenkomst wordt gesloten en houd deze samen met de hoofdovereenkomst bij in een contractenbank. De aanbevelingen m.b.t inkoop en contractbeheer zijn meegenomen in het lopende verbetertraject rechtmatig en doeltreffend inkopen. Aanbeveling 18 Bepaal voor welke overeenkomsten een audit op privacy en informatiebeveiliging nodig is en voer die uit. Het overzicht van alle overeenkomsten dat hiervoor nodig is wordt gerealiseerd na implementatie van de nieuwe contractbeheer-applicatie. Voor het daarna beoordelen van overeenkomsten en het uitvoeren van audits is meer capaciteit nodig dan beschikbaar.

Voor een deel kan dat worden ingevuld met de capaciteit die wordt gevraagd in aanbeveling 4. Voor een ander deel wordt onderzocht of in samenwerking met andere gemeenten en grote leveranciers afspraken kunnen worden gemaakt over gezamenlijke audits waardoor de benodigde capaciteit per gemeente minder wordt.

4/4