23 A14 Bijlage I Jaarrapport Functionaris Gegevensbescherming 2022

Rapportage Functionaris Gegevensbescherming 2022

Inhoud Managementsamenvatting ............................................................................................................................ 2 Inleiding .......................................................................................................................................................... 2 Leeswijzer ....................................................................................................................................................... 3 Stand van zaken AVG-normenkader 2022 ..................................................................................................... 3 Stand van zaken jaarplan informatiebeveiliging en privacy 2022 ................................................................ 4 Rapportage datalekken en beveiligingsincidenten ....................................................................................... 5 Risico’s en aanbevelingen voor 2023 ............................................................................................................. 7 Bijlage 1: Uitgevoerde (pre-)DPIA’s ............................................................................................................... 8 Bijlage 2: Rechten van betrokkenen 2022 ..................................................................................................... 8

Zaak Document

: :

145722 150982

Managementsamenvatting De medewerkers van de gemeente Heumen zijn zich steeds meer bewust van het belang van het beschermen van persoonsgegevens van hun inwoners. De gemeente verwerkt bij de uitoefening van zijn taken veel (gevoelige) gegevens van (kwetsbare) inwoners in veel verschillende domeinen. Naast inwoners, verwerkt de gemeente ook persoonsgegevens van andere burgers, medewerkers en zakelijke relaties. In 2022 zijn er op basis van het jaarplan informatiebeveiliging en privacy verschillende zaken gerealiseerd. Zo zijn de toegangsrechten in Djuma aangescherpt, is het gemeentelijke privacybeleid geactualiseerd, is er een E-learning voor alle medewerkers gemaakt en is er een continuïteitsplan opgesteld voor cybercrises. Kijkend naar het normenkader dat de VNG heeft opgesteld voor de AVG voldoet de gemeente Heumen nu aan 77% van de opgestelde criteria. In 2022 zijn er 14 datalekken intern gemeld en behandeld. Tien datalekken zijn er afgehandeld zonder dat het nodig was om een melding te maken bij de Autoriteit Persoonsgegevens (AP) of de betrokken personen. Drie zijn er gemeld bij de AP en één keer is er ook melding gemaakt bij betrokkenen. Een risico dat de gemeente nu loopt heeft te maken met het mee naar huis nemen van vertrouwelijke informatie, waaronder persoonsgegevens, in dossiervorm op papier. Dit risico is onnodig en niet passend bij een overheidsinstantie.

De aanbeveling wordt aan het college gedaan om dit niet meer toe te staan. Ten slotte zijn er in 2022 drie DPIA’s uitgevoerd (onderzoek naar privacyrisico’s) en is er vijf keer door inwoners een beroep gedaan op de rechten van betrokkenen, zoals recht op inzage in persoonsgegevens.

Inleiding De medewerkers van de gemeente Heumen zijn zich steeds meer bewust van het belang van het beschermen van persoonsgegevens van hun inwoners. De gemeente verwerkt bij de uitoefening van zijn taken veel (gevoelige) gegevens van (kwetsbare) inwoners in veel verschillende domeinen. Naast inwoners, verwerkt de gemeente ook persoonsgegevens van andere burgers, medewerkers en zakelijke relaties. In de Algemene Verordening Gegevensbescherming (AVG) wordt het wettelijk kader beschreven voor het verwerken van persoonsgegevens. Zo dient de gemeente transparant te zijn over het verwerken van persoonsgegevens, de doeleinden en met welke grondslag dit gebeurt. Tijdens de levensduur van persoonsgegevens moeten deze goed worden beveiligd, mogen ze niet zomaar voor een ander doel worden verwerkt en moeten ze na afloop worden vernietigd of geanonimiseerd. Daarnaast hebben we ook te maken met tal van privacyregels in sectorspecifieke wetgeving. Dit alles heeft gevolgen voor de inrichting van processen en systemen in en van onze gemeente. Onder de verantwoordelijkheid van zowel het college van B&W als de gemeenteraad vindt een groot aantal verwerkingen van persoonsgegevens plaats. Daar vindt extern en intern toezicht op plaats. De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacyregels in Nederland.

De functionaris gegevensbescherming (FG) ziet erop toe dat de AVG intern wordt nageleefd. Dat betekent dat het college de FG tijdig betrekt bij alle gelegenheden die verband houden met de bescherming van persoonsgegevens. Daarnaast dient de FG ondersteund te worden door hem toegang te verschaffen tot persoonsgegevens en verwerkingen daarvan en hem de 2

benodigde middelen ter beschikking te stellen voor het vervullen van de taak en het in standhouden van zijn deskundigheid. De FG brengt jaarlijks een verslag uit aan de verwerkingsverantwoordelijke van zijn bevindingen en doet in dat verslag aanbevelingen. Hierbij wordt ook gekeken naar informatiebeveiliging, aangezien gegevensbescherming en informatiebeveiliging elkaar vaak overlappen. Dit jaarverslag is bestemd voor het college van burgemeester en wethouders en wordt ter kennisname toegestuurd aan de gemeenteraad.

Leeswijzer In deze jaarrapportage wordt teruggekeken op het jaar 2022. Wat heeft de gemeente bereikt op het gebied van gegevensbescherming? Welke maatregelen zijn er genomen om te voldoen aan de AVG? Hierbij wordt gekeken naar de huidige stand van zaken in het normenkader AVG, de resultaten van het jaarplan waarbij er ook aandacht is voor de ontwikkelingen op het gebied van informatiebeveiliging en de incidenten die zich hebben voorgedaan. Daarnaast worden aanbevelingen gedaan om gegevensbescherming en privacy in het jaar 2023 naar een hoger niveau te tillen.

Stand van zaken AVG-normenkader 2022 De VNG heeft een normenkader opgesteld waarmee kan worden getoetst in hoeverre gemeenten voldoen aan de bepalingen uit de AVG. Dit normenkader biedt een richtlijn voor gemeenten om te kunnen bijhouden in hoeverre ze aan de AVG voldoen. In 2022 heeft dit normenkader een actualisatie ondergaan. Concreet houdt dit in dat er substantieel meer maatregelen zijn toegevoegd, waar die voorheen gebundeld waren. Onderstaand schema is de score van de gemeente op hoofdstukniveau met eventuele verbeterpunten om ook aan de overige 23% van het normenkader te kunnen voldoen. Over het algemeen geeft onderstaande score aan dat de gemeente Heumen de goede kant op gaat. In totaal voldoet de gemeente aan 77% van alle gestelde criteria zoals die door de VNG zijn opgesteld. Dit percentage is gebaseerd op het oordeel van de FG per norm uit het VNG kader. Hoofdstuk VNG normenkader 1: Beleid 2: Processen

3: Organisatorische inbedding 4: Rechten van betrokkenen 5: Samenwerking

6: Beveiliging

Hoofdstuk 7: Verantwoording

Oordeel Aan alle normen van dit hoofdstuk wordt voldaan Aan de normen die gaan over periodieke controles door andere functionarissen dan de FG, zoals proceseigenaren en managers, wordt niet voldaan Aan de normen die gaan over het aanwezig zijn van ruime kennis en ervaring op het gebied van gegevensbescherming, naast de FG, wordt niet voldaan Niet al onze systemen faciliteren eenvoudige processen om te voldoen aan bv. inzageverzoeken Niet altijd wordt consequent de juiste volgorde van het proces opgevolgd: bijvoorbeeld pas een verwerkersovereenkomst nadat de samenwerking al gaande is Controle van toegangsrechten, logging en monitoring van bevragingen m.b.t. persoonsgegevens wordt niet systematisch gedaan voor alle systemen waarmee met persoonsgegevens wordt gewerkt Geen opmerkingen

3

Stand van zaken jaarplan informatiebeveiliging en privacy 2022 Jaarlijks wordt er een actielijst opgesteld voor het komende jaar met betrekking tot informatiebeveiliging en privacy. De functionaris gegevensbescherming werkt hierbij samen met de Chief Information Security Officer (CISO) en vormt hiermee het team informatiebeveiliging en privacy. De belangrijkste ontwikkelingen uit dit jaarplan worden hieronder toegelicht. 1. Toegangsrechten in Djuma zijn aangescherpt Er waren verschillende teams in onze organisatie met meer toegang in ons zaaksysteem dan voor de functie noodzakelijk was. Deze rechten zijn in 2022 aangescherpt. Daarmee is de gemeente een stap verder in het veilig en rechtmatig omgaan met persoonsgegevens. 2. E-learning informatiebeveiliging en privacy Voor alle medewerkers is een E-learning gemaakt op het platform Studytube. In de loop van 2023 zal deze E-learning worden uitgerold. Het MT draagt er zorg voor dat alle (nieuwe) medewerkers van de gemeente deze E-learning maken. Zodoende wordt de verplichting, om periodiek personeel te trainen op het gebied van informatiebeveiliging en privacy, geborgd. 3. Actualisering privacybeleid Op 29 november 2022 heeft het college het geactualiseerde privacybeleid vastgesteld. Op 2 februari 2023 is het beleid door de gemeenteraad vastgesteld.

Deze actualisatie heeft ervoor gezorgd dat het beleid nu meer in lijn is met de dagelijkse praktijk. Ook wordt de verbinding gelegd tussen de AVG en andere wet- en regelgeving op het gebied van gegevensbescherming. Ten slotte is de tekst aangepast zodat het document geschikt is om te publiceren op DROP. 4. Continuïteitsplan cybercrisis De gemeente heeft verschillende werkprocessen die van groot belang zijn voor de continuïteit van onze dienstverlening en onze bedrijfsvoering. In het geval van een grote cybercrisis zullen iRvN en de gemeente Nijmegen het voortouw nemen in het oplossen van de crisis. Echter dient de gemeente voorbereid te zijn om in de tussentijd zo veel als mogelijk door te werken. In 2022 is er een plan opgesteld waar per afdeling de kritische werkprocessen in kaart zijn gebracht, waar toepasbaar zijn er uitwijkmogelijkheden geformuleerd om door te kunnen werken als er een kritische dienst of applicatie niet beschikbaar zou zijn. Voor 2023 is het zaak dat deze uitwijkmogelijkheden ook worden geoefend. 5. Fysiek toegangsbeleid De regels over de fysieke toegang in en rondom het gemeentehuis dateerden uit 2014 en waren niet meer actueel en toepasbaar op de huidige situatie. Op 30 november 2022 heeft het MT een nieuw beleidsstuk vastgesteld. De gemeente heeft nu concrete regels die in lijn zijn met wet- en regelgeving.

De belangrijkste punten uit dit beleid worden gecommuniceerd naar alle medewerkers.

4

Rapportage datalekken en beveiligingsincidenten In 2022 zijn er 26 incidenten geweest, waarvan er 14 te kwalificeren zijn als datalek en 12 incidenten als beveiligingsincident. Datalekken In 2022 zijn er 14 datalekken intern gemeld en behandeld. Tien datalekken zijn er afgehandeld zonder een melding te maken bij de Autoriteit Persoonsgegevens (AP) of de Afgehandeld zonder melding betrokken personen. Drie zijn er gemeld bij de AP en één keer is er een melding gemaakt bij betrokkenen. Bij al deze Gemeld bij de AP datalekken was er sprake van een inbreuk op de Gemeld bij betrokkenen vertrouwelijkheid van persoonsgegevens. Het ging hier 20 bijvoorbeeld om mails, brieven of andere documenten met persoonsgegevens die per ongeluk terecht zijn gekomen bij 10 10 3 1 onbevoegden. In alle 14 gevallen zijn er ook gepaste 0 maatregelen genomen om het lek te dichten, bijvoorbeeld Totaal: 14 door de mail in te trekken of de brieven te laten retourneren. Van de 14 datalekken zijn er drie bij de AP gemeld omdat bij deze lekken sprake was van bijzondere persoonsgegevens (artikel 9 AVG).

Datalekken

Het incident dat als enige in 2022 bij de betrokkenen is gemeld, was ook het grootste datalek dat er dit jaar heeft plaatsgevonden. Het ging hier om een mailing van uitkeringsspecificaties waar een fout is gemaakt waardoor de specificaties dubbelzijdig werden afgedrukt. Zo ontvingen 120 inwoners dus hun eigen specificatie, met op de achterkant van dat document de specificatie van een ander. Bij dit datalek zijn de persoonsgegevens (BSN, IBAN, NAW, uitkeringscategorie, ontvangen bedrag) van 120 inwoners gelekt. Het college en de gemeenteraad zijn over dit incident separaat geïnformeerd. Om een dergelijke fout in de toekomst te voorkomen zijn er zowel technische als organisatorische maatregelen getroffen (zie ook zaak 144237 voor alle informatie over dit incident). Ter vergelijking: in 2021 waren er 12 datalekken gemeld, waarvan er drie keer melding is gemaakt bij de Autoriteit Persoonsgegevens en één keer bij de betrokkenen.

5

Beveiligingsincidenten In 2022 hebben er 12 beveiligingsincidenten plaatsgevonden. Voorbeelden van beveiligingsincidenten zijn kwijtgeraakte of gestolen apparatuur of meldingen van kwetsbaarheden in onze software. Geen van deze incidenten heeft nadelige gevolgen gehad voor onze organisatie en onze inwoners. Op 8 november kwam er een noemenswaardige melding binnen over een grote en ernstige kwetsbaarheid in onze Citrix-software, iRvN heeft op de dag van de melding hiervoor meteen maatregelen getroffen.

Beveiligingsincidenten Laag risico

Medium risico

Hoog risico

15 10

11

5 0

1

0 Totaal: 12

Naast onze eigen registratie van beveiligingsincidenten, heeft het beveiligingsteam van iRvN (CSIRT) ook een eigen registratie. Vanuit de informatiebeveiligingsdienst van de VNG en andere landelijke kanalen krijgt het CSIRT geregeld kwetsbaarheidsmeldingen binnen. Het CSIRT onderzoekt deze en neemt indien nodig maatregelen. De meldingen die implicaties hebben voor onze eigen organisatie worden overgenomen in ons register. Incidentenregister 2022: Elk incident wordt vastgelegd in het incidentenregister met kenmerk 106861-106862.

6

Risico’s en aanbevelingen voor 2023 Op 15 november 2022 hebben de adviseurs Informatiebeheer en informatiemanagement samen met de FG het MT geadviseerd om papieren dossiers niet meer mee naar huis te laten nemen. De aanleiding hiervoor was een besluit van het MT van 15 maart 2020. Vanwege de beperkende coronamaatregelen is er toen besloten dat papieren en fysieke dossiers mee naar huis mochten worden genomen. De coronamaatregelen die een beperking opleverden voor de continuïteit van de bedrijfsvoering zijn inmiddels geruime tijd niet meer van toepassing. Daarmee vervalt ook de grondslag voor het meenemen van fysieke dossiers naar huis. Het MT heeft besloten het voorlopig nog toe te staan dat fysieke dossiers mee naar huis worden genomen. Met als argument dat het hybride werken nog niet volledig ondersteund wordt en nog niet alle werkzaamheden digitaal plaats kunnen vinden. Het MT kiest ervoor om een agenda op te stellen voor wat betreft de verdere digitalisering en wil collega’s bewust maken van de correcte omgang met gevoelige informatie. De gemeente loopt met het in stand houden van deze praktijk een onnodig risico, maar handelt ook in strijd met wet- en regelgeving. Risico op datalekken Het vervoeren van en naar huis (en andere locaties) van dit soort dossiers, met inbegrip van persoonsgegevens, brengt een risico op datalekken met zich mee.

Daarnaast is het in de woning hebben van dit soort informatie, waar die niet afdoende kan worden beveiligd tegen inzage van onbevoegden, te beschouwen als een sluimerend en continu datalek. Risico met compliance Conform artikel 32 lid 1 van de Algemene Verordening Gegevensbescherming dient een organisatie persoonsgegevens passend technisch en organisatorisch te beveiligen. Voor BSN’s en o.a. gegevens over gezondheid, financiën en schulden geldt dat hier de strengste beveiliging van toepassing is. Het in de woning hebben van dit soort informatie op papier, voldoet hier per definitie niet aan. Ook stelt de Baseline Informatiebeveiliging Overheid (BIO 13.2.1.1) eisen aan de omgang met fysieke informatie. Deze mag namelijk uitsluitend van de werkplek c.q. gemeentehuis worden meegenomen als dit noodzakelijk is voor de uitvoering van de functie. De gemeente Heumen wil als werkgever uiteraard collega’s de mogelijkheid geven tot hybride en flexibel werken, maar dit kan nooit prevaleren ten opzichte van onze plicht om vertrouwelijke informatie, met inbegrip van persoonsgegevens, passend te beveiligen. Aanbeveling 1. Te besluiten dat niet openbare informatie, met inbegrip van persoonsgegevens, per direct, niet meer in papieren vorm buiten het gemeentehuis gebracht mag worden.

7

Bijlage 1: Uitgevoerde (pre-)DPIA’s Kenmerk 77151

Omschrijving Pre-DPIA checklist om te bepalen of een DPIA benodigd is voor het boaregistratiesysteem Citycontrol.

Status Afgerond

103331

Inzet van cameratoezicht t.b.v. openbare orde en veiligheid. In samenwerking met het Regionale Toezichtcentrum Nijmegen en de Politie.

Afgerond

122876

Pre-DPIA checklist om te bepalen of een DPIA benodigd is voor de verwerkingen van persoonsgegevens in het Jeugdvolgsysteem.

Afgerond

Bijlage 2: Rechten van betrokkenen 2022 Kenmerk 109995

127645

128919

130881

141964

Omschrijving Verzoek inzage persoonsgegevens: dossier leerplicht Verzoek inzage persoonsgegevens m.b.t. gegevens van de belastingdienst

Resultaat/Besluit Afgebroken

Toelichting

Buiten behandeling gesteld

Verzoek inzage persoonsgegevens: dossier Jeugdwet/Wmo Verzoek inzage persoonsgegevens: Gegevens over betalingsachterstand bij zorgverzekeraar Verzoek inzage persoonsgegevens: dossier leerplicht

Dossier is verstrekt

Het verzoek was niet conform de bepalingen uit de AVG voor recht op inzage. Van de geboden hersteltermijn is geen gebruik gemaakt Conform artikel 15 AVG en 7.3.10 Jeugdwet

Gegevens zijn verstrekt

Conform artikel 15 AVG.

Dossier is verstrekt

Conform artikel 15 AVG

8