3 Bijlage 2 Stand van zaken aanbevelingen FG-rapportage 2022

Stand van zaken aanbevelingen FG-rapportage 2022 mei 2025

Nr

Aanbeveling

Reactie college 14/11/2023

Stand van zaken november 2024

Stand van zaken mei 2025

1

Beschrijf bij risicoanalyses expliciet wat de risico's zijn voor bewoners.

Benadruk bij bewustwordingsactiv iteiten en opleidingen wat het werkelijke doel is en dat het middel geen doel is.

3

Schep ruimte in de afdelingen om vanaf de zijlijn kritisch naar werkprocessen te kijken.

Er loopt een onderzoek naar mogelijke oplossingen, er is budget beschikbaar om dit onderzoek te kunnen realiseren. In het eerste kwartaal van 2024 volgt naar verwachting besluitvorming in de directie.

Dit gaat om aandacht, een mindset, die vanzelfsprekend zou moeten zijn maar dat te vaak niet is. Is lastig op één plek te beleggen. Als eerste stap wordt verkend hoe in de beschrijving van de risico’s op het gebied van informatie en digitalisering de risico’s voor bewoners en maatschappij kunnen worden meegenomen. Het I-awarenessprogramma is nog in ontwikkeling. Het systeem van de H&Z Acadamy is erop aangepast en zal binnenkort 'gevuld' worden met verschillende e-learnings, waarbij ook aan dit aspect aandacht zal worden besteed. Voorstel aan DT om verplichte leerlijnen vast te stellen voor verschillende doelgroepen volgt. De eerste stappen zijn gezet door toekennen van 0,8 fte structureel aan kwaliteitsteam SMSR/W&I en door de formatie van de privacyadviseurs in de afdeling Interne Dienstverlening uit te breiden. Vervolgstap zou zijn de verdere versterking in de lijnafdelingen.

In de Programmabegroting 2026-2030 worden bij de risico’s op het gebied van informatie en digitalisering niet alleen financiële risico’s voor de gemeente benoemd maar ook de risico’s voor bewoners en samenleving beschreven.

2

Bij risicoanalyses gaat de aandacht nu vooral uit naar financiële en juridische risico's voor de gemeente. In het eerste kwartaal van 2024 wordt gestart met een verkenning van de mogelijkheden om risico's ook vanuit het perspectief van bewoners te kwantificeren en mee te nemen. In de organisatie loopt een IAwarenessprogramma dat erop gericht is om kennis en bewustzijn m.b.t. de omgang met data & informatie te vergroten. In dit programma zal meer nadruk komen te liggen op het onderscheid doel versus middel.

Het I-awarenessprogramma treedt in werking op 4 juni 2025. De inhoud zal actueel worden gehouden. Er wordt gerapporteerd aan de afdelingshoofden over wie de verplichte learnings wel en niet heeft gevolgd.

In Q3 wordt het DT een voorstel voorgelegd om meer lijnafdelingen te versterken.

4

Stel meer privacyadviseurs aan, 3,5 fte

De feitelijke bezetting privacy-adviseurs eind 2022 was 1,39fte, eind 2023 is dit toegenomen naar 3,17fte. In 2024 komt voor privacy en security samen nog 2,6fte beschikbaar uit het meeadembudget, de verdeling privacy / security moet nog worden vastgesteld. Daarmee komt de beschikbare bezetting privacy-adviseurs in 2024 naar verwachting rond de gevraagde 3,5fte uit.

Toezegging is uitgevoerd. De bezetting zal vanaf oktober 2024 bijna 5 fte behelzen. Dit maakt het mogelijk voor het privacyteam niet alleen bij te springen in de operatie maar om ook tijd te besteden aan ontwikkelingen die nodig zijn voor de langere termijn en te helpen het volwassenheidsniveau van de organisatie te verhogen.

5

Neem voor elke afdeling in de informatieplannen een paragraaf op over privacy en neem daarin op welke DPIA's zullen worden uitgevoerd.

In de informatieplannen die alle afdelingen jaarlijks opstellen is inmiddels een aparte paragraaf over privacyvraagstukken opgenomen. Hierin worden zowel de stand van zaken als de ontwikkelingen m.b.t. privacy beschreven en waar nodig maatregelen afgesproken, waaronder de uit te voeren DPIA's.

In Q4 wordt naar verwachting een nieuw besluit benomen over de informatieplannen.

Privacy is structureel opgenomen als onderdeel van het format voor informatieplannen. Om de effectiviteit van de sturing te vergroten, zijn de privacydoelstellingen daarnaast geïntegreerd in de cyclus van de bedrijfsvoeringsondersteuning (BVO). Deze aanpak sluit beter aan bij de praktijk, doordat het onderwerp "privacy" in het BVO elk kwartaal wordt besproken, waardoor het een geschikter instrument is om continu aandacht te houden voor het realiseren van de privacydoelen. Zo ontstaat een meer cyclische en doelgerichte benadering van privacy binnen de afdelingen.

6

Help mensen om de informatie te verkrijgen die ze zoeken door duidelijke informatie over de verschillende inzage- en informatierechten die bestaan en waar

Meerdere oplossingen: - De informatie op de website wordt aangepast en verduidelijkt. - Bij het KCC werken contactpersonen die vragenstellers actief kunnen helpen bij het vinden van informatie. - Er wordt verder onderzocht op welke manier informatiezoekers beter geholpen kunnen worden.

In de net vernieuwde privacyverklaring is informatie opgenomen over zowel informatierechten op basis van zowel de AVG, de Wet Politiegegevens als de Wet BRP. Voor het recht op inzage in het eigen dossier in het sociaal domein is ervoor gekozen om informatie te verstrekken op het moment dat iemand een aanvraag doet. Nog bezien wordt wat de beste plek

Geen verandering na november 2024. Voor AVG- Wet politiegegevens, Wet BRP en eigen dossiers in het sociaal domein is de informatie goed te vinden. Het laatste onderdeel (informatie over art. 5.5 WOO) wordt nu opgepakt.

nodig actieve hulp te bieden.

is om informatie te geven over art. 5.5 van de WOO (informatie die de verzoeker betreft dan wel een overleden partner, kind of ouder).

7

Realiseer zo snel mogelijk een centrale meldknop voor dataincidenten

Naar verwachting komt de knop voor het melden van datalekken in het 2e kwartaal van 2024 beschikbaar.

De meldknop is beschikbaar sinds 4 november jl.

8

Zorg dat het register van verwerkingen actueel wordt gehouden

Het register van verwerkingen is actueel. In de informatieplannen van de afdelingen wordt hieraan expliciet aandacht besteed. Door de privacy-adviseurs wordt gecontroleerd op de aanwezigheid van 3/4 een verwerkingsregister en of dat register periodiek, in een tweejaarlijkse cyclus, wordt geactualiseerd.

Het register is nog niet voor alle afdelingen actueel. In de jaarlijkse p&cgesprekken (tussen afdelingshoofd en directeur) is hier aandacht aan besteed. In 2025 zal vanuit het privacyteam opnieuw een uitvraag worden gedaan om het te actualiseren waar dat nog niet is gebeurd.

Ongeveer de helft van de registers is nog niet geactualiseerd. De directie heeft besloten hier actie op te ondernemen en er rechtstreeks op te sturen.

9

Realiseer een publiek register van verwerkingen

Dit onderwerp is onderdeel van de besluitnota 'Gemeentelijke sensoren in de openbare ruimte'. De nota is in concept gereed en zal in het eerste kwartaal 2024 aan de commissie Bestuur worden aangeboden.

Er is formatie om een aantal publieke registers op te bouwen, te vullen en actueel te houden. Daarbij hebben we voorrang gegeven aan het vullen van het landelijke algoritmeregister (eerste zijn ingevuld zomer 2024) en het lokale sensorenregister, dat nog in 2024 wordt gepubliceerd. Als het interne register van verwerkingen op orde is, zal een publieke versie worden ingericht.

Een publiek register kan pas worden ontwikkeld als het interne register op orde is.

10

Geef bij vervanging van Verseon voorrang aan processen en dossiers waarin persoonsgegevens

Eind 4e kwartaal 2023 worden de aanpak van de vervanging van Verseon en de migratiestrategie vastgesteld zodat in 2024 gestart kan worden met de daadwerkelijke vervanging. De vervanging is zeer complex, bij het bepalen van de volgorde van

De migratiestrategie is in juli 2024 vastgesteld.

Volgens de planning gaat de organisatie in 2026 afdeling voor afdeling over op het nieuwe systeem. De volgorde waarin dit gebeurt hangt grotendeels af van praktische afwegingen zoals het aanpassen van werkprocessen en waar nodig maken van

staan

11

Neem zolang Verseon nog niet vervangen is maatregelen om risico's te verkleinen

12

Onderzoek of de vergoeding voor mantelzorgontvanger s op een andere manier, buiten het parkeerproces, kan worden verstrekt

13

Zorg ervoor dat wie inzage heeft in welke kentekens zijn aangemeld geen toegang heeft tot het kentekenregister

werkzaamheden in de migratiestrategie spelen verschillende aspecten, o.a. het garanderen van de continuïteit en de beheersbaarheid van het project zelf. Daarnaast zal zoveel mogelijk rekening worden gehouden met het aspect persoonsgegevens Waar mogelijk zijn al maatregelen genomen. Eind 4e kwartaal 2023 wordt de aanpak van de vervanging van Verseon vastgesteld en wordt bepaald of aanvullende maatregelen noodzakelijk en haalbaar zijn

aansluitingen met andere applicaties. De vraag of er persoonsgegevens dan wel andere vertrouwelijke informatie wordt verwerkt, zal ook meewegen bij het bepalen van de volgorde. Alle inzet wordt geconcentreerd op de vervanging van Verseon. Er zijn de afgelopen jaren geen extra maatregelen getroffen.

Alle inzet wordt geconcentreerd op de vervanging van Verseon. Er zijn de afgelopen jaren geen extra maatregelen getroffen.

In het 1e kwartaal van 2024 wordt deze aanbeveling opgepakt.

Is inmiddels onderzocht en de alternatieven bieden geen betere oplossing uit het oog van privacybescherming dan wel vergen buitenproportioneel grote inspanning en kosten. Een collegebesluit om hierover een brief te sturen aan de AP is in de maak.

De Autoriteit Persoonsgegevens heeft de uitleg geaccepteerd en het onderzoek gesloten.

De gevraagde beperking van toegangsrechten zou tot gevolg hebben dat de dienstverlening m.b.t. bezoekersparkeren slechter wordt omdat het aantal medewerkers dat vragen en reacties van inwoners kan behandelen kleiner wordt waardoor de wachttijden aanzienlijk zullen toenemen. De oplossing wordt gezocht in het optimaliseren van onze zelf ontwikkelde bezoekersapp. Naar verwachting zullen de benodigde aanpassingen worden afgerond in het 3e kwartaal van 2024.

Het team dat ondersteuning biedt bij bezoekersparkeren is klein en heeft ook andere taken waarvoor soms gegevens uit het kentekenregister worden opgevraagd. Het team is te klein om de beide taken in verschillende functies en daardoor bij verschillende personen te beleggen. De aanpak is daarom gezocht in het beperken van het risico. Het risico voor betrokkenen dat wordt opgezocht wie op bezoek is op welk adres laag. Om het risico klein te maken en te houden zijn de volgende maatregelen

De Autoriteit Persoonsgegevens heeft de uitleg geaccepteerd en het onderzoek gesloten.

genomen. 1. De medewerkers hebben duidelijke werkinstructies en weten dat het niet is toegestaan op te zoeken wie op bezoek is bij wie. 2. Er normaal gesproken geen aanleiding op te zoeken wie gebruik maakt van het systeem (de bewoner die een kenteken aanmeldt). Dat gebeurt alleen als een gebruiker zelf hulp vraagt bij bijvoorbeeld het invoeren van wijzigingen of het herstellen van inloggegevens. 3. Aan beide zijden worden raadplegingen op persoonsniveau gelogd, zodat na te gaan is wie een combinatie heeft gemaakt van gegevens van bewoner en bezoeker, als zich dat zou voordoen. Tot slot is het systeem bezoekersparkeren verder ontwikkeld. Doel is ervoor te zorgen dat gebruikers meer zelf kunnen, bijvoorbeeld zelf het wachtwoord herstellen. Daardoor zal nog minder vaak een beroep worden gedaan op de gemeente waarbij gegevens van gebruikers op te zoeken. Dit is gerapporteerd aan de AP, die akkoord is. 14

Zorg dat de geautomatiseerde besluitvorming voldoet aan de eisen van de wet (AVG en AWB)

De ontwikkelde oplossing is 31 oktober 2023 in productie gegaan.

De applicatie is verbeterd, waardoor nu aan de eisen van de wet wordt voldaan.

15

Wees transparant over de algoritmes die worden gebruikt door ze in een eigen dan wel landelijk register te beschrijven

Dit onderwerp is onderdeel van de besluitnota 'Gemeentelijke sensoren in de openbare ruimte' die in concept gereed is en in het eerste kwartaal 2024 aan de commissie Bestuur zal worden aangeboden.

Er is voor gekozen de algoritmes te publiceren in het landelijke register. In de privacyverklaring op onze eigen site verwijzen we daarnaar. Juli jl. zijn de eerste algoritmes gepubliceerd en er zullen er nog meer aan worden toegevoegd. Als eerste is gekozen is voor algoritmes die rechtstreeks kunnen raken aan rechten van bewoners: de scanauto, bezoekersparkeren en datamask (een anonimiseringstool).

16

Zorg dat bij aanbestedingen voldoende aandacht en kennis is voor privacy en informatiebeveiliging om de juiste eisen te stellen.

De aanbevelingen m.b.t inkoop en contractbeheer zijn meegenomen in het lopende verbetertraject rechtmatig en doeltreffend inkopen.

Er zijn standaardeisen opgesteld voor privacy en security en waar nodig wordt privacy- en securityadviseurs om een advies op maat te geven. Dit is voor Europese aanbestedingen de vaste werkwijze. Voor inkoop op andere manieren is geen centraal punt dat overzicht heeft.

17

Zorg dat bij aanbestedingen en andere vormen van verwerving voldoende kennis is om te zorgen dat waar nodig een verwerkersovereenk omst of andere privacyovereenkomst wordt gesloten en houd deze samen met de hoofdovereenkomst bij in een

De aanbevelingen m.b.t inkoop en contractbeheer zijn meegenomen in het lopende verbetertraject rechtmatig en doeltreffend inkopen

De eerste stap is gezet door aanbesteding van een contractbeheer-applicatie. Deze is bijna afgerond. De volgende stap is het inrichten ervan.

De contractbeheer-applicatie wordt op dit moment ingericht. Daarbij wordt de mogelijkheid geboden om verwerkersovereenkomsten en andere privacyovereenkomsten bij de hoofdovereenkomst te registreren. Naast het afronden van de laatste inrichtingsvraagstukken wordt de migratiestrategie uitgewerkt. Het doel is om in Q3 en Q4 de afdelingen (stapsgewijs), met mogelijke uitloop naar Q1 2026, over te zetten naar de nieuwe applicatie.

contractenbank. 18

Bepaal voor welke overeenkomsten een audit op privacy en informatiebeveiliging nodig is en voer die uit

Het overzicht van alle overeenkomsten dat hiervoor nodig is wordt gerealiseerd na implementatie van de nieuwe contractbeheer-applicatie. Voor het daarna beoordelen van overeenkomsten en het uitvoeren van audits is meer capaciteit nodig dan beschikbaar. Voor een deel kan dat worden ingevuld met de capaciteit die wordt gevraagd in aanbeveling 4. Voor een ander deel wordt onderzocht of in samenwerking met andere gemeenten en grote leveranciers afspraken kunnen worden gemaakt over gezamenlijke audits waardoor de benodigde capaciteit per gemeente minder wordt.

De aanbesteding van de contractbeheerapplicatie is bijna afgerond. De volgende stap is het inrichten en vullen ervan. Vanuit dat overzicht kan beoordeeld worden waar audits nodig zijn en beoordeeld worden of daar capaciteit voor is of kan en moet worden toegevoegd.

Dit punt kan pas worden opgepakt als de contractenbank op orde is.