3 Bijlage 2 Overzicht stand van zaken aanbevelingen FG-rapportage 2022

Stand van zaken aanbevelingen FG-rapportage 2022 november 2024

Nr

Aanbeveling

Reactie college 14/11/2023

Stand van zaken november 2024

1

Beschrijf bij risicoanalyses expliciet wat de risico's zijn voor bewoners.

Dit gaat om aandacht, een mindset, die vanzelfsprekend zou moeten zijn maar dat te vaak niet is. Is lastig op één plek te beleggen. Als eerste stap wordt verkend hoe in de beschrijving van de risico’s op het gebied van informatie en digitalisering de risico’s voor bewoners en maatschappij kunnen worden meegenomen.

2

Benadruk bij bewustwordingsactivit eiten en opleidingen wat het werkelijke doel is en dat het middel geen doel is. Schep ruimte in de afdelingen om vanaf de zijlijn kritisch naar werkprocessen te kijken.

Bij risicoanalyses gaat de aandacht nu vooral uit naar financiële en juridische risico's voor de gemeente. In het eerste kwartaal van 2024 wordt gestart met een verkenning van de mogelijkheden om risico's ook vanuit het perspectief van bewoners te kwantificeren en mee te nemen. In de organisatie loopt een I-Awarenessprogramma dat erop gericht is om kennis en bewustzijn m.b.t. de omgang met data & informatie te vergroten. In dit programma zal meer nadruk komen te liggen op het onderscheid doel versus middel. Er loopt een onderzoek naar mogelijke oplossingen, er is budget beschikbaar om dit onderzoek te kunnen realiseren. In het eerste kwartaal van 2024 volgt naar verwachting besluitvorming in de directie.

De eerste stappen zijn gezet door toekennen van 0,8 fte structureel aan kwaliteitsteam SMSR/W&I en door de formatie van de privacyadviseurs in de afdeling Interne Dienstverlening uit te breiden. Vervolgstap zou zijn de verdere versterking in de lijnafdelingen.

De feitelijke bezetting privacy-adviseurs eind 2022 was 1,39fte, eind 2023 is dit toegenomen naar 3,17fte. In 2024 komt voor privacy en security samen nog 2,6fte beschikbaar uit het meeadembudget, de verdeling privacy / security moet nog worden vastgesteld. Daarmee komt de beschikbare bezetting privacyadviseurs in 2024 naar verwachting rond de gevraagde 3,5fte uit.

Toezegging is uitgevoerd. De bezetting zal vanaf oktober 2024 bijna 5 fte behelzen. Dit maakt het mogelijk voor het privacyteam niet alleen bij te springen in de operatie maar om ook tijd te besteden aan ontwikkelingen die nodig zijn voor de langere termijn en te helpen het volwassenheidsniveau van de organisatie te verhogen.

3

4

Stel meer privacyadviseurs aan, 3,5 fte

Het I-awarenessprogramma is nog in ontwikkeling. Het systeem van de H&Z Acadamy is erop aangepast en zal binnenkort 'gevuld' worden met verschillende e-learnings, waarbij ook aan dit aspect aandacht zal worden besteed. Voorstel aan DT om verplichte leerlijnen vast te stellen voor verschillende doelgroepen volgt.

5

6

7

8

Neem voor elke afdeling in de informatieplannen een paragraaf op over privacy en neem daarin op welke DPIA's zullen worden uitgevoerd. Help mensen om de informatie te verkrijgen die ze zoeken door duidelijke informatie over de verschillende inzageen informatierechten die bestaan en waar nodig actieve hulp te bieden.

In de informatieplannen die alle afdelingen jaarlijks opstellen is inmiddels een aparte paragraaf over privacyvraagstukken opgenomen. Hierin worden zowel de stand van zaken als de ontwikkelingen m.b.t. privacy beschreven en waar nodig maatregelen afgesproken, waaronder de uit te voeren DPIA's.

In Q1 2025 wordt naar verwachting een nieuw besluit benomen over de informatieplannen.

Meerdere oplossingen: - De informatie op de website wordt aangepast en verduidelijkt. - Bij het KCC werken contactpersonen die vragenstellers actief kunnen helpen bij het vinden van informatie. - Er wordt verder onderzocht op welke manier informatiezoekers beter geholpen kunnen worden.

In de net vernieuwde privacyverklaring is informatie opgenomen over zowel informatierechten op basis van zowel de AVG, de Wet Politiegegevens als de Wet BRP. Voor het recht op inzage in het eigen dossier in het sociaal domein is ervoor gekozen om informatie te verstrekken op het moment dat iemand een aanvraag doet. Nog bezien wordt wat de beste plek is om informatie te geven over art. 5.5 van de WOO (informatie die de verzoeker betreft dan wel een overleden partner, kind of ouder).

Realiseer zo snel mogelijk een centrale meldknop voor dataincidenten

Naar verwachting komt de knop voor het melden van datalekken in het 2e kwartaal van 2024 beschikbaar.

Zorg dat het register van verwerkingen actueel wordt gehouden

Het register van verwerkingen is actueel. In de informatieplannen van de afdelingen wordt hieraan expliciet aandacht besteed. Door de privacy-adviseurs wordt gecontroleerd op de aanwezigheid van 3/4 een verwerkingsregister en of dat register periodiek, in een tweejaarlijkse cyclus, wordt geactualiseerd.

De meldknop is beschikbaar sinds 4 november jl.

Het register is nog niet voor alle afdelingen actueel. In de jaarlijkse p&c-gesprekken (tussen afdelingshoofd en directeur) is hier aandacht aan besteed. In 2025 zal vanuit het privacyteam opnieuw een uitvraag worden gedaan om het te actualiseren waar dat nog niet is gebeurd.

9

Realiseer een publiek register van verwerkingen

Dit onderwerp is onderdeel van de besluitnota 'Gemeentelijke sensoren in de openbare ruimte'. De nota is in concept gereed en zal in het eerste kwartaal 2024 aan de commissie Bestuur worden aangeboden.

Er is formatie om een aantal publieke registers op te bouwen, te vullen en actueel te houden. Daarbij hebben we voorrang gegeven aan het vullen van het landelijke algoritmeregister (eerste zijn ingevuld zomer 2024) en het lokale sensorenregister, dat nog in 2024 wordt gepubliceerd. Als het interne register van verwerkingen op orde is, zal een publieke versie worden ingericht.

10

Geef bij vervanging van Verseon voorrang aan processen en dossiers waarin persoonsgegevens staan

Eind 4e kwartaal 2023 worden de aanpak van de vervanging van Verseon en de migratiestrategie vastgesteld zodat in 2024 gestart kan worden met de daadwerkelijke vervanging. De vervanging is zeer complex, bij het bepalen van de volgorde van werkzaamheden in de migratiestrategie spelen verschillende aspecten, o.a. het garanderen van de continuïteit en de beheersbaarheid van het project zelf. Daarnaast zal zoveel mogelijk rekening worden gehouden met het aspect persoonsgegevens

De migratiestrategie is in juli 2024 vastgesteld.

11

Neem zolang Verseon nog niet vervangen is maatregelen om risico's te verkleinen

Waar mogelijk zijn al maatregelen genomen. Eind 4e kwartaal 2023 wordt de aanpak van de vervanging van Verseon vastgesteld en wordt bepaald of aanvullende maatregelen noodzakelijk en haalbaar zijn

Alle inzet wordt geconcentreerd op de vervanging van Verseon. Er zijn de afgelopen jaren geen extra maatregelen getroffen.

12

Onderzoek of de vergoeding voor mantelzorgontvangers op een andere manier, buiten het parkeerproces, kan worden verstrekt

In het 1e kwartaal van 2024 wordt deze aanbeveling opgepakt.

Is inmiddels onderzocht en de alternatieven bieden geen betere oplossing uit het oog van privacybescherming dan wel vergen buitenproportioneel grote inspanning en kosten. Een collegebesluit om hierover een brief te sturen aan de AP is in de maak.

13

Zorg ervoor dat wie inzage heeft in welke kentekens zijn aangemeld geen toegang heeft tot het kentekenregister

De gevraagde beperking van toegangsrechten zou tot gevolg hebben dat de dienstverlening m.b.t. bezoekersparkeren slechter wordt omdat het aantal medewerkers dat vragen en reacties van inwoners kan behandelen kleiner wordt waardoor de wachttijden aanzienlijk zullen toenemen. De oplossing wordt gezocht in het optimaliseren van onze zelf ontwikkelde bezoekersapp. Naar verwachting zullen de benodigde aanpassingen worden afgerond in het 3e kwartaal van 2024.

Het team dat ondersteuning biedt bij bezoekersparkeren is klein en heeft ook andere taken waarvoor soms gegevens uit het kentekenregister worden opgevraagd. Het team is te klein om de beide taken in verschillende functies en daardoor bij verschillende personen te beleggen. De aanpak is daarom gezocht in het beperken van het risico. Het risico voor betrokkenen dat wordt opgezocht wie op bezoek is op welk adres laag. Om het risico klein te maken en te houden zijn de volgende maatregelen genomen.

14

Zorg dat de geautomatiseerde besluitvorming voldoet

De ontwikkelde oplossing is 31 oktober 2023 in productie gegaan.

1. De medewerkers hebben duidelijke werkinstructies en weten dat het niet is toegestaan op te zoeken wie op bezoek is bij wie. 2. Er normaal gesproken geen aanleiding op te zoeken wie gebruik maakt van het systeem (de bewoner die een kenteken aanmeldt). Dat gebeurt alleen als een gebruiker zelf hulp vraagt bij bijvoorbeeld het invoeren van wijzigingen of het herstellen van inloggegevens. 3. Aan beide zijden worden raadplegingen op persoonsniveau gelogd, zodat na te gaan is wie een combinatie heeft gemaakt van gegevens van bewoner en bezoeker, als zich dat zou voordoen. Tot slot is het systeem bezoekersparkeren verder ontwikkeld. Doel is ervoor te zorgen dat gebruikers meer zelf kunnen, bijvoorbeeld zelf het wachtwoord herstellen. Daardoor zal nog minder vaak een beroep worden gedaan op de gemeente waarbij gegevens van gebruikers op te zoeken. Dit is gerapporteerd aan de AP, die akkoord is. De applicatie is verbeterd, waardoor nu aan de eisen van de wet wordt voldaan.

15

16

17

aan de eisen van de wet (AVG en AWB) Wees transparant over de algoritmes die worden gebruikt door ze in een eigen dan wel landelijk register te beschrijven

Zorg dat bij aanbestedingen voldoende aandacht en kennis is voor privacy en informatiebeveiliging om de juiste eisen te stellen. Zorg dat bij aanbestedingen en andere vormen van verwerving voldoende kennis is om te zorgen dat waar nodig een verwerkersovereenko mst of andere privacyovereenkomst wordt gesloten en houd deze samen met de hoofdovereenkomst bij in een contractenbank.

Dit onderwerp is onderdeel van de besluitnota 'Gemeentelijke sensoren in de openbare ruimte' die in concept gereed is en in het eerste kwartaal 2024 aan de commissie Bestuur zal worden aangeboden.

De aanbevelingen m.b.t inkoop en contractbeheer zijn meegenomen in het lopende verbetertraject rechtmatig en doeltreffend inkopen.

De aanbevelingen m.b.t inkoop en contractbeheer zijn meegenomen in het lopende verbetertraject rechtmatig en doeltreffend inkopen

Er is voor gekozen de algoritmes te publiceren in het landelijke register. In de privacyverklaring op onze eigen site verwijzen we daarnaar. Juli jl. zijn de eerste algoritmes gepubliceerd en er zullen er nog meer aan worden toegevoegd. Als eerste is gekozen is voor algoritmes die rechtstreeks kunnen raken aan rechten van bewoners: de scanauto, bezoekersparkeren en datamask (een anonimiseringstool).

Er zijn standaardeisen opgesteld voor privacy en security en waar nodig wordt privacy- en securityadviseurs om een advies op maat te geven. Dit is voor Europese aanbestedingen de vaste werkwijze. Voor inkoop op andere manieren is geen centraal punt dat overzicht heeft.

De eerste stap is gezet door aanbesteding van een contractbeheerapplicatie. Deze is bijna afgerond. De volgende stap is het inrichten ervan.

18

Bepaal voor welke overeenkomsten een audit op privacy en informatiebeveiliging nodig is en voer die uit

Het overzicht van alle overeenkomsten dat hiervoor nodig is wordt gerealiseerd na implementatie van de nieuwe contractbeheer-applicatie. Voor het daarna beoordelen van overeenkomsten en het uitvoeren van audits is meer capaciteit nodig dan beschikbaar. Voor een deel kan dat worden ingevuld met de capaciteit die wordt gevraagd in aanbeveling 4. Voor een ander deel wordt onderzocht of in samenwerking met andere gemeenten en grote leveranciers afspraken kunnen worden gemaakt over gezamenlijke audits waardoor de benodigde capaciteit per gemeente minder wordt

De aanbesteding van de contractbeheer-applicatie is bijna afgerond. De volgende stap is het inrichten en vullen ervan. Vanuit dat overzicht kan beoordeeld worden waar audits nodig zijn en beoordeeld worden of daar capaciteit voor is of kan en moet worden toegevoegd.