23.A14 Raadsmededeling Rapport functionaris gegevensbescherming 2022

RAADSMEDEDELING

Onderwerp: Datum:

Rapport functionaris gegevensbescherming 2022 1 maart 2023

Samenvatting In de commissievergadering van 26 januari 2023 is door de portefeuillehouder toegezegd dat het rapport van de functionaris gegevensbescherming met de gemeenteraad wordt gedeeld. Aanleiding hiervoor was de vraag vanuit de PvdA-fractie over hoe de raad het college kan controleren op naleving van de Algemene Verordening Gegevensbescherming (AVG). Toelichting De gemeenteraad heeft op twee manieren met de AVG te maken. Enerzijds is de gemeenteraad zelf verantwoordelijk voor het verwerken van persoonsgegevens door de raad zelf en de griffier. Anderzijds controleert de raad het college. Op basis van laatstgenoemde wordt het FG-rapport aan u verstrekt. Met het FG-rapport wordt het college (en hiermee ook de raad) geïnformeerd over ontwikkelingen m.b.t. privacy en gegevensbescherming. De FG geeft ook aan welke risico's er in de organisatie zijn en doet aanbevelingen om de naleving van de AVG naar een hoger niveau te tillen. In het rapport wordt aan het college een aanbeveling gedaan om per direct niet meer toe te staan dat werknemers niet openbare informatie in papieren vorm buiten het gemeentehuis brengen. Het toestaan van het gebruik van papieren dossiers stamt nog uit de tijd van de coronamaatregelen, waarbij het thuiswerken ernstig werd belemmerd door het niet kunnen gebruiken van papieren dossiers.

Op een aantal werkterreinen zijn de werkprocessen (nog) niet volledig gedigitaliseerd. Om de dienstverlening onder Coronamaatregelen te kunnen uitvoeren is er destijds een afweging gemaakt om het risico op een datalek te accepteren om onze inwoners te kunnen blijven bedienen. Met de steeds verdere digitalisering van onze werkprocessen en het vervallen van de coronamaatregelen is de grondslag om dit toe te staan komen te vervallen. Samenvatting van het rapport De medewerkers van de gemeente Heumen zijn zich steeds meer bewust van het belang van het beschermen van persoonsgegevens van hun inwoners. De gemeente verwerkt bij de uitoefening van zijn taken veel (gevoelige) gegevens van (kwetsbare) inwoners in veel verschillende domeinen. Naast inwoners, verwerkt de gemeente ook persoonsgegevens van andere burgers, medewerkers en zakelijke relaties. In 2022 zijn er op basis van het jaarplan informatiebeveiliging en privacy verschillende zaken gerealiseerd. Zo zijn de toegangsrechten in Djuma aangescherpt, is het gemeentelijke privacybeleid geactualiseerd, is er een E-learning voor alle medewerkers gemaakt en is er een continuïteitsplan opgesteld voor cybercrises. Kijkend naar het normenkader dat de VNG heeft opgesteld voor de AVG voldoet de gemeente Heumen nu aan 77% van de opgestelde criteria.

Niet elke norm is even belangrijk, maar elke norm telt wel evenveel mee voor het totale percentage. De belangrijkste normen, waar het gaat over de Zaak Document

: :

145722 159016

vereisten die letterlijk in de AVG staan, die hebben wij op orde. Denk hierbij aan het register van datalekken, register van verwerkingen, procedure bij datalekken, privacybeleid en informatiebeveiligingsbeleid. En natuurlijk ook het aanstellen van een FG en zorgen dat inwoners hun rechten kunnen uitoefenen (inzage bijvoorbeeld). In 2022 zijn er 14 datalekken intern gemeld en behandeld. Tien datalekken zijn er afgehandeld zonder dat het nodig was om een melding te maken bij de Autoriteit Persoonsgegevens (AP) of de betrokken personen. Drie zijn er gemeld bij de AP en één keer is er ook melding gemaakt bij betrokkenen. Een risico dat de gemeente nu loopt heeft te maken met het buiten het gemeentehuis brengen van niet openbare informatie met inbegrip van persoonsgegevens, in dossiervorm op papier. Dit risico is onnodig en niet passend bij een overheidsinstantie. De aanbeveling wordt aan het college gedaan om dit niet meer toe te staan. Het College heeft deze aanbeveling overgenomen. Ten slotte zijn er in 2022 drie DPIA’s uitgevoerd (onderzoek naar privacyrisico’s) en is er vijf keer door inwoners een beroep gedaan op de rechten van betrokkenen, zoals recht op inzage in persoonsgegevens. 28 februari 2023 burgemeester en wethouders

mr. J. de Graaf Gemeentesecretaris

mr. J.W.M.S. Minses Burgemeester

Bijlage: • Jaarrapport Functionaris Gegevensbescherming 2022 (145722-150982)