3 Bijlage 2 Reactie college op 213a-onderzoek naar privacybeleid

Reactie college op 213a-onderzoek naar privacybeleid Het college onderzoekt jaarlijks twee beleidsonderwerpen op doelmatig- en doeltreffendheid. In de Programmabegroting 2022-2026 (blz. 42) heeft het college aangegeven een 213a-onderzoek te (laten) doen naar Privacybeleid van de gemeente. De aanvang van het onderzoek is vanwege prioritering verlaat waardoor afronding in 2024 heeft plaatsgevonden. De rapportage van het 213a-onderzoek naar het privacybeleid van de gemeenten schetst een breed beeld van de effectiviteit en mate van actualiteit van de privacykaders en andere instrumenten op het gebied van privacy. Dat het privacybeleid moet worden geactualiseerd, was al duidelijk en aanleiding dit onderzoek te laten uitvoeren. Daarbij is niet alleen het beleid maar zijn ook de andere privacyproducten in samenhang beoordeeld. Het levert per onderdeel nuttige aanbevelingen op en verwijzingen naar goede voorbeelden van andere gemeenten. Het college onderschrijft de noodzaak om het beleid en andere privacyinstrumenten te actualiseren en te verbeteren. Naast de aanbevelingen per product is een belangrijk advies de governance te verduidelijken door de verdeling van taken, bevoegdheden en verantwoordelijkheden te beschrijven en vast te stellen.

Het college onderschrijft dit en wil de governance niet alleen beschrijven voor privacy maar tegelijk en in samenhang ook voor informatiebeveiliging en datamanagement. Het privacybeleid en andere privacyproducten vormen samen de basisinstrumenten voor een zorgvuldige omgang met persoonsgegevens. Het is daarom heel nuttig dat ze in de volle breedte en in samenhang zijn beoordeeld en om ze ook in samenhang waar nodig te kunnen verbeteren. Doordat er veel verschillende aspecten en onderdelen zijn, is het niet mogelijk alles tegelijk aan te pakken. Dit jaar leggen we de basis, door het overkoepelende beleid te vernieuwen en de governance te beschrijven. Daarnaast wordt de privacyverklaring aangepast en wordt het werkproces voor DPIA’s beschreven en het format hiervoor verbeterd. Een van de aanbevelingen is een visiedocument te maken voor privacy en informatieveiligheid. Dit komt terug in verschillende documenten. De hoofdprincipes zijn vastgelegd in de Publieke Datastrategie, die de raad in april 2023 heeft vastgesteld. Dit jaar legt het college de raad ook een Visie op de informatiesamenleving voor, die een nog iets bredere scope heeft. Wat gaan we doen in 2024 In 2024 worden vier punten opgepakt: het privacybeleid wordt herschreven, de governance wordt beschreven en de privacyverklaring en aanpak van DPIA’s worden verbeterd.

Overkoepelend privacybeleid Het overkoepelende privacybeleid wordt herschreven. Het huidige beleid is geschreven en door de raad vastgesteld in 2017, toen de AVG nog niet in werking was getreden. Het is in 2018 uitgewerkt in een reglement dat is vastgesteld door het college, toen de AVG nog maar net in werking was. Sindsdien heeft de gemeente leren werken met de AVG en andere relevante regelgeving. Veel onderwerpen zijn bovendien verdiept door bijvoorbeeld richtlijnen van de Autoriteit

1/5

Persoonsgegevens en door jurisprudentie. Ook is er veel ingekleurd door samenwerking en kennisuitwisseling met andere gemeenten en partners. Met die ervaringen en de aanbevelingen zal een nieuw beleid worden vastgesteld en gepubliceerd. Daarna wordt dit voor elk werkveld geconcretiseerd in werkregels gericht op de diverse werkprocessen. Dit punt raakt ook aan de vast te leggen governance. Governance Een van de aanbevelingen in het rapport is de governance – de verdeling van taken, verantwoordelijkheden en bevoegdheden – vast te leggen. Dat zal het college dit jaar doen en breder dan alleen voor privacy; voor het hele I-domein wordt de governance beschreven. Op dit moment is dit niet helder vastgelegd, waardoor het geregeld gebeurt dat eerste en tweede lijn verwachtingen hebben van elkaar die niet overeenkomen. Ook zijn tweede en derde lijn bij de invoering van de AVG sterk vervlochten geweest, mede doordat er op dat moment maar één privacyadviseur was. Daar is het werk inmiddels al wel meer ontvlochten. Op het gebied van privacy en informatiebeveiliging hebben de afdelingen Werken & Inkomen en Schulden, Minima en Sociale Recherche het voortouw genomen en extra formatie gekregen om de taken op dit gebied goed te kunnen invullen. Die ervaring wordt meegenomen.

Privacyverklaring De privacyverklaring op de website is eerder in taal vereenvoudigd maar daarbij is teveel informatie geschrapt. De tekst wordt op dit moment aangepast. Ook wordt gekeken op welke manier naast de algemene informatie meer specifieke informatie kan worden aangeboden voor onderwerpen die voor bewoners van belang zijn. Die was eerder al beschikbaar over bijvoorbeeld de bodycams die handhavers dragen en over afvalinzameling. In de loop van de tijd zullen er steeds meer aanvullingen komen, om bewoners goed te informeren over welke gegevens de gemeente verwerkt voor welke doelen. Data Protection Impact Assessment Een Data Protection Impact Assessment (DPIA) is een privacyrisicoanalyse. Door voor een manier van werken of gebruik van een systeem te analyseren welke impact dit heeft op de privacy van betrokkenen (de personen over wie gegevens worden gebruikt), wordt het mogelijk te beoordelen of het mag en om een goede afweging te maken tussen die impact en het doel dat met de verwerking wordt gediend: is dit proportioneel? Een belangrijk instrument om zorgvuldig om te gaan met persoonsgegevens. De werkwijze en het format dat op dit moment worden gebruikt, worden op dit moment herzien. Doel is een format dat nog steeds volledig is maar wel meer toegankelijk voor wie niet volledig is ingevoerd in het ‘AVG-jargon’.

De aanpak moet duidelijker toeleiden naar de risicoafweging waarvoor hij bedoeld is. Bovendien worden varianten gemaakt waarin ook de regels omtrent geautomatiseerde besluitvorming/algoritmes en de regels van de Wet Politiegegevens worden verwerkt.

2/5

Vervolg Andere punten zullen ook worden opgepakt. Het gaat dan in elk geval om het beschrijven en verbeteren van het proces rond datalekken, het verbeteren van het register van verwerkingen, versterken van kennis en bewustwording en zicht op verwerking van persoonsgegevens in samenwerkingen met andere partijen. Veel daarvan komt op dit moment echter neer op extra werk voor de privacyadviseurs. Het lopende werk van met name advisering, begeleiden van inzageverzoeken en DPIA’s, gaat ook door. Daardoor lukt het niet alles dit jaar volledig uit te werken en schuift een deel door naar 2025. Aan de hand van de beschrijving van de governance, kan bovendien beter worden beoordeeld welke concrete taken bij wie horen te liggen en welke capaciteit daarvoor nodig is.

3/5

Bijlage

Acties naar aanleiding van het 213a-rapport over privacybeleid Beleid Het beleid wordt geactualiseerd, waarbij regels die nu apart zijn vastgelegd erin worden opgenomen. De opzet wordt een centraal deel met als vervolgstap concretiserende uitwerkingingen per werkgebied. Privacyverklaring De privacyverklaring wordt herzien. De opzet wordt een algemeen deel met daaronder meer specifieke verklaringen als aanvulling. Governance De governance wordt beschreven en vastgesteld. Dit gebeurt niet apart voor privacy maar voor het hele I-domein. Datalekken Een datalek houdt kort gezegd in dat persoonsgegevens in verkeerde handen komen of ten onrechte worden vernietigd of veranderd. Bijvoorbeeld doordat een mail of brief aan de verkeerde persoon wordt gestuurd, doordat iemand een telefoon verliest of doordat gegevens ten onrechte worden gepubliceerd. Het werkproces rond melding van een datalek wordt vastgelegd, waarbij ook beschreven wordt hoe nadrukkelijk lering te trekken uit een datalek en uit het totaal aan lekken. Er komt een centrale ‘meldknop’ voor alle typen incidenten rond data. Medewerkers worden gestimuleerd om elk datalek, ongeacht hoe klein, te melden. DPIA’s Het werkproces voor DPIA’s wordt beschrevenen vastgesteld. Het format wordt aangepast en toegankelijker gemaakt. Er wordt een explicietere risicoanalyse in opgenomen.

Voor waar dit relevant is worden vragen opgenomen over geautomatiseerde besluitvorming. Een aangepast format wordt gemaakt voor verwerking van persoonsgegevens die onder de Wet politiegegevens vallen. Register van verwerkingen De opzet van het register van verwerkingen wordt geactualiseerd. Om te zorgen dat het actueel wordt gehouden, wordt dit punt meegenomen in de beschrijving van de governance. Na de actualisatie wordt een openbare versie ingericht die op de website wordt gepubliceerd. Rechten van betrokkenen Het werkproces van behandeling van verzoeken van betrokkenen wordt beschreven en vastgesteld. De regels voor hoe de betrokkene zich kan en moet identificeren worden daarbij ook vastgelegd. In de privacyverklaring wordt duidelijk beschreven welke rechten betrokkenen hebben en hoe ze een verzoek kunnen indienen.

4/5

Bewustwording Er wordt een samenhangend aanbod van e-learnings ontwikkeld vanuit het hele I-domein. Een deel daarvan wordt verplicht voor bepaalde functies. Voor verdere acties wordt een aanpak uitgewerkt. Daarin ook aandacht voor privacy by default en by design. Samenwerkingen Samenwerkingen zullen worden vastgelegd in het vernieuwde register van verwerkingen. Dit geeft overzicht. Waar dit nog niet gebeurd is, zullen privacyafspraken worden vastgelegd.

5/5