Db02 College, raadsbrief Jaarverslag FG 2021.pdf

Hillegom

Raadsbrief Raadsbrief Jaarverslag FG 2021 aan:

de raad van de gemeente Hillegom

zaaknummer: Z-22-240265 datum collegevergadering: 26 april 2022 portefeuillehouder: Maak keuze behandelend ambtenaar: Annerine Blufpand emailadres: A.Blufpand@HLTsamen.nl telefoon: 14 0252 embargo: ☐

1. Inleiding: waarom deze mededeling De Functionaris gegevensbescherming (FG) houdt toezicht op de toepassing en naleving van de Algemene verordening gegevensbescherming (AVG) binnen de gemeente en rapporteert jaarlijks over de voortgang op het gebied van privacy en gerelateerde informatiebeveiligingsacties. De FG heeft in haar jaarrapportage gebruik gemaakt van het document ‘Het borgen van de Algemene Verordening Gegevensbescherming in de gemeentelijke organisatie’ van de Informatiebeveiligingsdienst. Hierin zijn criteria ontwikkeld om de AVG te vertalen naar een kwaliteitscyclus voor gegevensbescherming en privacy voor gemeentelijke processen. Het biedt concrete handvatten om een goede omgang met persoonsgegevens binnen de gemeente te waarborgen. 2. Kern van de boodschap Uw raad informeren over de stand van zaken privacy en gegevensbescherming en de achterliggende context. 3. Nadere toelichting In de bijlage het jaarverslag van de FG over 2021. In 2021 is er een bredere basis gelegd voor het borgen van privacy en gegevensbescherming in de organisatie door meer aandacht van het bestuur voor privacy en informatieveiligheid en het structureel uitbreiden van de formatie voor de FG en Privacy Officer en het maken van een start met het inregelen van risicomanagement.

Daarnaast heeft de gemeente in 2021 een kleine vooruitgang geboekt om de AVG verder te implementeren in de systemen en de processen. Geadviseerd wordt in 2022 hier meer aandacht aan te besteden. Met name bij het uitvoeren van Data Protection Impact Assesments. Tenslotte wordt ook geadviseerd aandacht te besteden aan het actualiseren van het register van verwerkingen en een volwassenheidsniveau vast te stellen. Het beeld dat het structureel borgen langzaam verloopt is overigens zichtbaar bij veel gemeenten in Nederland. In de bijlage ook de reactie van het directieteam op het jaarverslag. De FG is eventueel bereid om een toelichting te geven op het jaarverslag en daarbij vragen te beantwoorden.

Bijlagen: 1. 2. 3.

Jaarrapportage Functionaris Gegevensbescherming 2021 Bijlage 1: Criteria borgingsdocument Reactie Directieteam

JAARRAPPORTAGE GEGEVENSBESCHERMING

Ten behoeve van Het college van de gemeente Hillegom

Functionaris Gegevensbescherming 11 februari 2022

Samenvatting In de jaarrapportage 2020 heeft de Functionaris Gegevensbescherming (FG) aangegeven welke acties en maatregelen de gemeente Hillegom heeft genomen om de doelstellingen en beginselen uit de Algemene Verordening Gegevensbescherming (AVG) te behalen en te waarborgen. Ook bevatte de jaarrapportage aandachtspunten en actiepunten voor het jaar 2021. In deze jaarrapportage kijk ik als FG terug hoe de geplande actiepunten uit 2021 zijn opgepakt. Adequaat omgaan met persoonsgegevens is een blijvend proces en zal dan ook aandacht blijven vergen van zowel bestuur, management als medewerkers. Ik maak voor dit jaarverslag gebruik van een ander format. Dit format is overzichtelijker en komt naar verwachting de leesbaarheid ten goede. Het directieteam heeft een reactie gegeven op het jaarverslag 2020 en daarbij benoemd welke acties in 2021 opgepakt gaan worden. In 2021 zou verder gegaan worden met de in 2020 ingeslagen weg. Daarbij zou in de organisatie extra nadruk worden gelegd op de taakvolwassenheid op het gebied van privacy en informatiebeveiliging. Privacy en informatiebeveiliging zouden standaard onderdeel gaan worden van de dagelijkse werkzaamheden. Bovendien waren een aantal specifieke acties benoemd. In 2021 is een groot deel van de specifiek benoemde acties uitgevoerd. De aanpassing van de autorisaties van het zaaksysteem is afgerond.

Het Protocol rond de melding van datalekken is aangescherpt waardoor de rollen en verantwoordelijkheden van de teams beter vastliggen. Binnen Bestuurlijke Besluitvorming heeft een juiste toepassing van de AVG de aandacht. In de Regiegroep voor het beoordelen van college- en raadsvoorstellen en bij het bestuur is meer aandacht voor een juiste toepassing van de AVG waar te nemen. De vakafdeling wordt er regelmatig op gewezen dat er nog privacy advies gevraagd moet worden en de (ongevraagde) adviezen van de Privacy Officer (PO) en FG worden serieus genomen. De capaciteit voor het ondersteunen van datagedreven sturen op privacy gebied is tijdelijk verruimd geweest. Er is verder een (uitgebreide) handleiding gemaakt welke stappen er doorlopen dienen te worden omtrent privacy. In de begroting zijn structureel extra middelen voor privacy en informatieveiligheid vrijgemaakt waardoor in 2022 de formatie voor de PO en FG kan worden verruimd tot 1 Fte FG en 1 Fte PO. De richtlijn voor borging van de FG en de CISO is niet geëvalueerd, maar de positionering wordt meegenomen in organisatieontwikkeling. Tenslotte is er een start gemaakt met het inrichtingen van het risicomanagement en de daarbij behorende rollen op basis van het three lines model.

Ik heb gebruik gemaakt van het document ‘Het borgen van de Algemene Verordening Gegevensbescherming in de gemeentelijke organisatie’ van de Informatiebeveiligingsdienst. Het biedt concrete handvatten om een goede omgang met persoonsgegevens binnen de gemeente Hillegom te waarborgen. Hiermee kan het college de voortgang van de implementatie van de AVG monitoren en waar nodig bijsturen. Naast de hiervoor genoemde specifieke acties die een goede basis leggen voor het breder borgen van privacy en gegevensbescherming in de organisatie heeft de gemeente Hillegom in 2021 een kleine vooruitgang geboekt om de AVG verder te implementeren in de systemen en de processen.

2

Het format voor het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA1) is formeel vastgesteld en er is besloten in 2022 via een pilot het proces en de tijd voor het uitvoeren van een DPIA inzichtelijk te maken. Daarbij gaat bekeken worden of er nog andere bedijfsvoeringsonderdelen kunnen aanhaken. Ook is besloten de uitvoering van DPIA’s in de jaarplannen voor 2022 mee te nemen op basis van de door de PO gemaakte prioriteitenlijst. De opgestelde privacy checklist om de gegevensbeschermingsrisico’s vooraf in beeld te brengen werkt goed, en wordt steeds vaker toegepast. Medewerkers weten de PO en FG steeds beter te vinden. Om het beleid actief uit te dragen zijn door de PO blogs op het intranet geschreven en samen met de FG en Ciso presentaties. gegeven. Het register van verwerkingen is verder compleet gemaakt en het datalekregister wordt goed bijgehouden.

Hillegom, 11 februari 2022 A.M. Blufpand, Functionaris Gegevensbescherming a.i.

1 De gegevensbeschermingseffectbeoordeling wordt ook wel afgekort tot DPIA naar de Engelse term Data Protection Impact

Assessment.

3

Inhoudsopgave

INLEIDING ........................................................................................................................................................ 5 LEESWIJZER ............................................................................................................................................................ 5 1. HET BELEID .................................................................................................................................................... 7 2. PROCESSEN.................................................................................................................................................... 8 3. ORGANISATORISCHE INBEDDING ........................................................................................................................ 9 4. RECHTEN VAN BETROKKENEN .......................................................................................................................... 10 5. SAMENWERKING ........................................................................................................................................... 11 6. BEVEILIGING ................................................................................................................................................ 12 7.

VERANTWOORDING ....................................................................................................................................... 13 8. CONCLUSIE .................................................................................................................................................. 14

4

Inleiding De gemeente Hillegom dient zorgvuldig om te gaan met persoonsgegevens. De gemeente verwerkt immers bij de uitoefening van haar taken veel informatie. Niet alleen persoonlijke informatie van klanten, maar ook van medewerkers, externen en zakenrelaties. In de AVG wordt het wettelijk kader beschreven voor het verwerken van persoonsgegevens. Zo dient de gemeente transparant te zijn welke persoonsgegevens zij verwerkt en voor welk doel. Persoonsgegevens mogen alleen worden verwerkt wanneer dit in overeenstemming is met het doel waarvoor zij zijn verzameld en gegevens mogen niet langer bewaard worden dan strikt noodzakelijk. Bovendien moet de gemeente passende technische en organisatorische beveiligingsmaatregelen treffen om onrechtmatige toegang tot deze persoonsgegevens tegen te gaan en daardoor een onrechtmatig gebruik van deze persoonsgegevens te voorkomen. Daarnaast heeft de gemeente ook te maken met tal van privacyregels in sectorspecifieke wetgeving. Dit alles heeft gevolgen voor de inrichting van processen en systemen in en van de gemeente. De FG ziet erop toe dat de AVG intern wordt nageleefd. De FG brengt jaarlijks een verslag uit aan de verwerkingsverantwoordelijke van haar werkzaamheden en bevindingen en doet zij naar aanleiding daarvan aanbevelingen. Dit jaarverslag is bedoeld voor het college van de gemeente Hillegom.

Leeswijzer De jaarrapportage is opgesteld op basis van het AVG- borgingsproduct van de Informatiebeveiligingsdienst. In dit document worden criteria en maatregelen omschreven die de AVG vertalen naar een kwaliteitscyclus voor gegevensbescherming en privacy voor gemeentelijke processen. In het nieuwe AVG borgingsproduct zijn de controls geactualiseerd om nog meer aan te sluiten bij de gemeentelijke praktijk, uitgebreid met relevante maatregelen uit de Privacy by design instrumenten en ISO277012 en gekoppeld aan privacy volwassenheidsniveaus. Vanaf 2022 zal van dit nieuwe borgingsdocument gebruik worden gemaakt. Voor deze jaarrapportage wordt net als vorig jaar nog gebruik gemaakt van het “ oude” borgingsdocument. Het volwassenheidsmodel is een groeimodel en bestaat uit 5 niveaus: 1 Ad hoc

2 Herhaalbaar

3 Bepaald

              

Geen of onduidelijke privacyrollen en -verantwoordelijkheden Geen of nauwelijks beheersmaatregelen aanwezig Reactief en sturing n.a.v. incidenten Grote afhankelijkheid van één of enkele privacyfunctionarissen Onbewust onbekwaam Privacyrollen en -verantwoordelijkheden toegewezen Beheersmaatregelen zijn aanwezig, maar worden op informele wijze uitgevoerd Standaarden en formats aanwezig: juist en in duidelijke taal Bewust onbekwaam (Privacy)medewerkers tonen eigenaarschap, d.w.z. dat de rollen en verantwoordelijkheden actief worden opgepakt Beheersmaatregelen worden consistent en gestructureerd uitgevoerd en zijn gedocumenteerd Er wordt aantoonbaar aan verplichtingen voldaan Verwerkingsverantwoordelijke bestuursorganen nemen beslissingen mede op grond van risicoanalyses zoals een DPIA.

Er is een duidelijke samenhang met informatiebeveiliging Bewust bekwaam 5

4 Beheerst

 

  5 Geoptimaliseerd         

De effectiviteit van beheersmaatregelen wordt periodiek geëvalueerd in een PDCA-cyclus Er wordt proactief geïnformeerd door de proceseigenaar over de realisering van de geconstateerde benodigde verbeteringen in een PDCA-cyclus In een jaarlijkse evaluatie blijkt een correcte PDCA-cyclus Bewust bekwaam Toekomstgericht Proactieve houding van het college en het bestuur Het verantwoordelijk management verzoekt aan de FG om hun verantwoording van een oordeel te voorzien. Privacy wordt gezien als een vanzelfsprekendheid Er wordt continu gezocht naar verbetering, zoals in de vorm van (interne of externe) tooling Privacy wordt gezien als een kans of unique selling point (USP) Er wordt verbinding gezocht met andere concerndisciplines Kennis en ervaringen worden actief gedeeld met gemeenten en andere relevante organisaties waardoor best practices in gemeenteland ontstaan Onbewust bekwaam

Niveau 3 voldoet daarmee aan de minimale wettelijke vereisten. Dit is het niveau dat het college minimaal zou moeten nastreven. Op dit moment voldoet gemeente Hillegom nog niet aan alle AVGonderdelen. Deze onderdelen hebben betrekking op verschillende privacy thema’s: 1. Beleid 2. Processen 3. Organisatorische inbedding 4. Rechten van betrokkenen 5. Samenwerking 6. Beveiliging 7. Verantwoording Hieronder licht ik elk privacy thema toe met een korte beschrijving van het thema, de resultaten uit het borgingsdocument AVG, de beschrijving van de activiteiten in 2021 en de aandachtspunten voor 2022 om een hoger niveau te bereiken. Elk thema bevat een cirkeldiagram die de status van de implementatie van de privacy maatregelen weergeeft. De resultaten (ja, nee. onbekend, niet van toepassing, gedeeltelijk) zien op de beantwoording van de vragen uit het specifieke thema. Zie bijlage 1 voor de nadere uitwerking van de thema’s.

6

Privacy in Hillegom 1. Het beleid Het privacybeleid is een kader waarin de gemeente aangeeft aan welke principes zij zich houdt bij de verwerking van persoonsgegevens. Het laat zien hoe de gemeente Hillegom omgaat met persoonsgegevens en welke maatregelen zij treft om te voldoen aan de relevante wet- en regelgeving.

Beschrijving activiteiten 2021 In september 2021 is een door de FG een advies aan de Domeinmanager Bedrijfsvoering uitgebracht met een voorstel voor volwassenheidsniveau voor de privacy, met het verzoek deze te laten vaststellen door het college. Met Maatschappelijke Ontwikkeling is de afspraak gemaakt om 2 maal per jaar een bewustwordingsessie voor de medewerkers te houden, toegespitst op hun werkzaamheden. In september 2021 heeft de eerste sessie plaatsgevonden. In juli 2021 is een bewustwordingssessie informatiebeveiliging en privacy gehouden voor de medewerkers van P&O. Om het beleid actief uit te dragen zijn door de PO tenslotte regelmatig blogs op het intranet geschreven en samen met de Ciso en FG, introductiesessie voor nieuwe medewerkers. Aandachtspunten voor 2022 - Verhogen van het privacy bewustzijn. Gemeente Hillegom kan een hoger volwassenheidsniveau bereiken als structureel aandacht wordt besteed aan de bewustwording van privacy binnen de organisatie. Draag de visie en het privacybeleid actief uit. Zet een bewustwordingscampagne op en herhaal deze. Trek hierin samen op met informatiebeveiliging. Maak een communicatieplan om het beleid actief uit te dragen. Voor 2022 raad ik aan om actiever te sturen op het volgen van de e-learning privacy en informatiebeveiliging .

Ook raad ik aan om voor de domeinen waar veel (gevoelige) persoonsgegevens worden verwerkt, een bewustwordingssessie privacy te houden. - Opstellen van domein specifiek beleid In domein specifiek beleid wordt beschreven hoe het betreffende domein omgaat met de bescherming van persoonsgegevens bij de uitvoering van (sectorspecifieke) wet- en regelgeving. Waar nodig dient domein specifiek beleid opgesteld te worden.

7

2.

Processen

De verwerkingen van persoonsgegevens van gemeente Hillegom dienen te voldoen aan de AVG. Dit houdt in dat de werkprocessen die persoonsgegevens bevatten getoetst en ingericht moeten worden volgens de volgende beginselen: behoorlijkheid, transparantie, doelbinding, dataminimalisatie, opslagbeperking, juistheid, integriteit en vertrouwelijkheid. Daarnaast is gemeente Hillegom in bepaalde gevallen verplicht om een gegevensbeschermingseffectbeoordeling (ook wel DPIA genoemd ) uit te voeren. En actueel gehouden in het Register van Verwerkingen dat verplicht jaarlijks gepubliceerd dient te worden op de website en intern.

Beschrijving activiteiten 2021 Het format voor het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA ) is formeel vastgesteld en er is besloten in 2022 via een pilot het proces en de tijd voor het uitvoeren van een DPIA inzichtelijk te maken. Daarbij gaat bekeken worden of er nog andere bedijfsvoeringsonderdelen kunnen aanhaken. Ook is besloten de uitvoering van DPIA’s in de jaarplannen voor 2022 mee te nemen op basis van de door de PO gemaakte prioriteitenlijst Het format voor het uitvoeren van een DPIA is formeel vastgesteld en er is besloten in 2022 via een pilot het proces en de tijd voor het uitvoeren van een DPIA inzichtelijk te maken. Daarbij gaat bekeken worden of er nog andere bedijfsvoeringsonderdelen kunnen aanhaken. Ook is besloten de uitvoering van DPIA’s in de jaarplannen voor 2022 mee te nemen op basis van de door de PO gemaakte prioriteitenlijst.

2021 Aantal uitgevoerde en geaccordeerde DPIA’s

9

Aandachtspunten voor 2022 - Uitvoeren van DPIA’s. In 2022 dient de prioriteringslijst voor de uitvoering van DPIA’s vastgesteld te worden en dient actief aan de slag gegaan te worden met de uitvoering hiervan. Op die manier krijgt de organisatie zicht op haar grootste risico’s. Bovendien is het uitvoeren van DPIA’s geen eenmalige activiteit. Het is van belang om bij nieuwe processen en systemen alert te zijn op het uitvoeren van DPIA’s, maar er ook op toe te zien dat de aanbevelingen uit DPIA’s worden uitgevoerd. Ook hebben DPIA’s een beperkte houdbaarheid en dienen deze periodiek beoordeeld te worden of aanpassing nodig is. 8

- Actualisatie van het register van verwerkingen De PO is verantwoordelijk voor het onderhoud en de actualisatie van (onderdelen van) het register. Proceseigenaren weten nog niet dat en aan wie zij wijzigingen van de bestaande verwerkingen of het toevoegen van nieuwe verwerkingen kunnen doorgeven. Hier dient in 2022 meer aandacht gegeven te worden. Het register van verwerkingen is in 2021 op een aantal punten geactualiseerd, maar ook dit is geen eenmalige activiteit. Het register dient jaarlijks geactualiseerd te worden en waar nodig aangevuld om te voldoen aan de AVG. Het register laat zien dat de gemeente in control is over de verwerkingen die in de organisatie plaatsvinden. - Structurele toetsing van (nieuwe) verwerkingen via de privacy checklist Het toetsen van (nieuwe) verwerkingen van persoonsgegevens aan de beginselen van de AVG gebeurt nog op ad hoc basis. Ik raad aan om dit meer in de organisatie in te bedden. Denk aan het (vooraf) verplicht invullen van de privacy checklist bij: nieuwe én bestaande verwerkingen, het opstellen van beleid, een aanbesteding, een nieuwe business case of andere verwerkingen als hier persoonsgegevens bij betrokken zijn. - Opstellen van privacy protocollen. Voor bepaalde verwerkingen adviseer ik een protocol en/of een instructie op te stellen.

Denk aan een protocol hoe om te gaan met privacy en informatiebeveiliging bij het gebruik van telefoons van medewerkers die zowel zakelijk als privé worden gebruikt. Het opstellen van dergelijke protocollen dragen bovendien bij aan de verantwoordings- én informatieplicht die op het college rust. - Tijdig verwijderen of anonimiseren van persoonsgegevens. Het verwijderen of anonimiseren van persoonsgegevens is een belangrijk punt van aandacht. In 2022 wordt een applicatie hiervoor in gebruik genomen. Onduidelijk is of het vernietigen van papieren en digitale informatie tijdig gebeurt. Het niet tijdig vernietigen van persoonsgegevens is in strijd met de AVG. Geadviseerd wordt te onderzoeken hoe en op welke wijze digitale informatie conform de Archiefwet vernietigd wordt.

3. Organisatorische inbedding Voor een goede en juiste uitvoering is het van belang dat eenieder binnen de organisatie op de hoogte is van de beginselen van de AVG en het belang van privacy. Organisatorische inbedding betekent het toewijzen van taken, verantwoordelijkheden en bevoegdheden en bewustzijn creëren.

9

Beschrijving activiteiten 2021 Binnen Bestuurlijke Besluitvorming heeft een juiste toepassing van de AVG de aandacht. In de Regiegroep voor het beoordelen van college- en raadsvoorstellen en bij het bestuur is meer aandacht voor een juiste toepassing van de AVG waar te nemen. De vakafdeling wordt er regelmatig op gewezen dat er nog privacy advies gevraagd moet worden en de (ongevraagde) adviezen van de PO en FG worden serieus genomen. De capaciteit voor het ondersteunen van datagedreven sturen op privacy gebied is tijdelijk verruimd geweest. Er is verder een (uitgebreide) handleiding gemaakt welke stappen er doorlopen dienen te worden omtrent privacy. In de begroting zijn structureel extra middelen voor privacy en informatieveiligheid vrijgemaakt waardoor in 2022 de formatie voor de PO en FG kan worden verruimd tot 1 Fte FG en 1 Fte PO. De richtlijn voor borging van de FG en de CISO is niet geëvalueerd, maar de positionering wordt meegenomen in organisatieontwikkeling. Tenslotte is er een start gemaakt met het inrichtingen van het risicomanagement en de daarbij behorende rollen op basis van het three lines model. Aandachtspunten 2022 - Positionering FG De evaluatie van de positionering van de FG en CISO wordt meegenomen in de nieuwe organisatieontwikkeling. In 2022 moet dit meer vorm gaan krijgen.

4. Rechten van betrokkenen Gemeente Hillegom dient degene van wie zij de persoonsgegevens verwerkt (betrokkene) zowel actief als passief te informeren over: het verwerken, de wijze van het verwerken, de grondslag en de maatregelen die zij neemt om onrechtmatige toegang en - verwerking te voorkomen. Daarnaast stelt de AVG betrokkenen in staat om middels een aantal rechten controle en invloed uit te oefenen over zijn of haar persoonsgegevens.

Beschrijving activiteiten 2021 Binnen de gemeente Hillegom zijn processen ingericht om de rechten van betrokkenen te faciliteren. Deze processen zijn echter nog niet formeel vastgesteld. In de privacyverklaring geeft de gemeente Hillegom aan hoe en waar betrokkenen verzoeken kunnen indienen. Verzoeken kunnen zowel schriftelijk als elektronisch worden ingediend. Intern zijn proceseigenaren verantwoordelijk voor de afhandeling van de verzoeken op grond van de AVG. De coördinatie vindt plaats via de PO. In de praktijk vindt ook de feitelijke afhandeling door de PO plaats. 10

Soms komen ook verzoeken binnen via de FG. Ik zie erop toe dat de proceseigenaren de verzoeken binnen de wettelijke termijn oppakken. Bij de afhandeling van verzoeken wordt ook gebruik gemaakt van de informele aanpak. Indien een inwoner zowel een AVG-verzoek als een klacht indient tegen de gemeente, trekt de PO in overleg met de betrokkene samen met het klachten coördinator op. Ook dit proces is nog niet formeel vastgesteld. In 2021 is er net als in 2020 1 AVG-verzoek ingediend bij de gemeente Hillegom. In 2021 is ook een bezwaarprocedure afgehandeld. Verzoek tot inzage Wissen van persoonsgegevens Verzoek tot rectificatie Totaal

2021 2020 1 1 0 0 0 0 1 1

Aandachtspunten voor 2022 - Verbeteren intern proces van afhandeling van verzoeken Binnen de gemeente Hillegom zijn processen ingericht om de rechten van betrokkenen te faciliteren. Deze processen zijn echter nog niet formeel vastgesteld. Ook het afwegingskader is nog niet beschreven. Niet alle medewerkers weten hierdoor hoe zij een verzoek op grond van de AVG moeten oppakken. Dit kan worden verbeterd door concrete instructies. Denk hierbij aan het opstellen van een concreet stappenplan voor proceseigenaren, zodat zij beter in staat worden gesteld om verzoeken van betrokkenen op te pakken. Geef duidelijk aan dat de beslistermijn korter is dan de reguliere termijn uit de Algemene wet bestuursrecht (vier weken in plaats van zes weken). Hier kan een rol weggelegd zijn voor de PO en de nog aan te stellen contact persoon privacy. Wees ook alert op misbruik van de uitoefening van de AVG-rechten. De rechtspraak laat zien wanneer hiervan sprake is. De AVG bevat mogelijkheden tot schadevergoeding en kan als een nieuwe inkomstenbron worden gezien.

5. Samenwerking De gemeente werkt in diverse rollen en hoedanigheden samen met gemeenten en private organisaties. In veelvoorkomende gevallen zal er sprake zijn van een verwerking van persoonsgegevens tussen partijen: ontvangen van persoonsgegevens, verzenden van persoonsgegevens, maar ook het opslaan van en inzage hebben in persoonsgegevens valt onder dit begrip. Deze verwerkingen dienen dan ook te voldoen aan de AVG. De gemeente dient dan ook afspraken te maken met deze andere partijen. Dit is voor een beperkt deel gebeurd.

11

Beschrijving activiteiten 2021 De gemeente Hillegom dient dan ook afspraken te maken met deze andere partijen. Gemeente Hillegom heeft deels inzichtelijk welke AVG-rol externe partijen innemen (verwerkers, gezamenlijke en zelfstandige verwerkingsverantwoordelijken). De bewustwording onder medewerkers om bij gegevensverwerkingen afspraken te maken groeit, maar dient meer aandacht te krijgen bij het inkoopproces. Er wordt gebruik gemaakt van de standaard verwerkersovereenkomst van de VNG. Eenmalige gegevensverstrekkingen worden ad hoc van tevoren getoetst aan de relevante privacyweten regelgeving. Het opvragen van bewijzen dat verwerkers zich aan verplichtingen uit AVG houden is geborgd in het format voor de standaardverwerkersovereenkomst. Aandachtspunten voor 2022 - Grip krijgen op gegevensverwerkingen door externe partijen Er is niet voldoende grip op de gegevensverwerkingen door externe partijen. Het is niet bekend of bij alle verwerkingen afspraken worden gemaakt conform de AVG. Ik raad aan om dit meer in te bedden in de organisatie. Ook voor wat betreft de inkoop. Het is overigens niet altijd inzichtelijk welke AVG-rol een externe partij inneemt. Dit wordt ook landelijk als een probleem ervaren. De Informatiebeveiligingsdienst heeft een factsheet en een beslisboom ontwikkeld om gemeenten op weg te helpen bij het vaststellen van de privacypositie van externe partijen.

Ook zijn concrete voorbeelden uit de gemeentelijke praktijk uitgewerkt. Het is aan te bevelen medewerkers die in de praktijk veel contracten sluiten, via een workshop op de hoogte te brengen van de factsheet. Hier zou de aan te stellen PO een rol kunnen spelen.

6. Beveiliging Vanuit het algemene behoorlijkheidsbeginsel, het integriteitsbeginsel en het vertrouwelijkheidsbeginsel is het essentieel dat de gemeente passende technische en organisatorische maatregelen neemt ter beveiliging van persoonsgegevens. Daarnaast geldt er onder de AVG een meldplicht datalekken. Dit houdt in dat incidenten – waaronder inbreuken – op de beveiliging onder omstandigheden gemeld dienen te worden aan de Autoriteit Persoonsgegevens (AP) en/of de betrokkene(n). Of een datalek gemeld moet worden aan de AP en/of betrokkene, is afhankelijk van de (potentiële) impact van het datalek op de bescherming van persoonsgegevens en de persoonlijke levenssfeer van betrokkenen.

Beschrijving activiteiten 2021 Het Protocol rond de melding van datalekken is aangescherpt waardoor de rollen en verantwoordelijkheden van de teams beter vastliggen. Eventuele datalekken zijn onderzocht door het datalekteam. De gemeente Hillegom streeft een open cultuur na waarin datalekken actief intern 12

worden gemeld. In 2021 zijn in totaal 3 datalekken intern gemeld. Bij een ernstig datalek moet de gemeente Hillegom het datalek ook aan de Autoriteit Persoonsgegevens melden. Dit is in 1 geval gebeurd. Opvallend is dat de meeste datalekken net als vorig jaar een menselijke oorzaak hebben. De analyse van datalekken heeft geleid tot diverse verbeteringen. Overzicht datalekken Oorzaak

2021

2021

Meldenswaardig

Niet meldenswaardig

Menselijke oorzaak

1

2

Technische oorzaak

0

0

Organisatie

0

0

Totaal aantal datalekken

3

2020 Oorzaak

Meldingswaardig

Menselijke oorzaak Technische oorzaak Organisatie

0 0 0

Totaal

2020 Niet meldingswaardig 1 0 0

1

Aandachtspunten voor 2022 - Privacy by design en Privacy by default. Er wordt nog niet structureel rekening gehouden met privacy by design en privacy by default bij (potentieel) nieuwe verwerkingen. Ook het implementeren van de privacy specifieke beveiligingseisen van het IB-beleid en de IB-procedures vereist meer aandacht. Bij ICT-aanbestedingen is dit geborgd door de eis dat voldaan moet worden aan de GIBIT (betekent voldoen aan AVG en Baseline Informatie Overheid) en door de invoering van het STRategie en Projecten Portfolio (STRaPP). De processen en middelen om privacy by design en privacy by default te borgen reeds zijn opgetogen, maar de borging hiervan behoeft organisatie breed aandacht. - Crisiscommunicatieplan. De hacks bij de gemeenten Hof van Twente en Lochem laten zien dat communicatie naar buiten toe essentieel is voor het herstel van vertrouwen. Ik raad aan om een crisiscommunicatieplan op te stellen voor datalekken met hoge impact. Laat crisiscommunicatie over hacks onderdeel zijn van het crisisplan van de organisatie.

7. Verantwoording De AVG legt de verantwoordelijkheid bij de organisatie zelf om aantoonbaar te maken dat deze voldoet aan de privacyregels. Door te voldoen aan de verantwoordingsplicht, levert de organisatie een belangrijke bijdrage aan de bescherming van het grondrecht van mensen op privacy. Dit betekent dat het college aan moet kunnen tonen dat de verwerkingen van persoonsgegevens voldoen aan de beginselen van de AVG en aan de relevante wet- en regelgeving. 13

Beschrijving activiteiten in 2021 Als FG geef ik organisatie breed sturing aan de wijze waarop het toezicht op de gegevensbescherming plaatsvindt. Ik gebruik hiervoor het borgingsdocument AVG van de IBD als het privacy normenkader waaraan de organisatie moet voldoen om een bepaald volwassenheidsniveau te bereiken. De FG rapporteert jaarlijks over de gegevensbescherming binnen de gemeente Hillegom. Het openbaar maken van de jaarrapportage draagt bij aan de verantwoordingsplicht van het college van B&W. Het college is transparant naar de inwoners over de stand van zaken rondom gegevensbescherming binnen de gemeente en wil laten zien dat zij stappen zet om een hoger volwassenheidsniveau te bereiken. Ook draagt de FG bij aan de verticale verantwoording in het kader van ENSIA vragen. Aandachtspunten 2022 - Blijf zicht houden op risicovolle processen Gegevensbescherming maakt nog geen structureel onderdeel uit van de risicomanagementaanpak. Voor het uitvoeren van DPIA is weinig tot geen budget of capaciteit beschikbaar, terwijl het juist bijdraagt aan de verbetering van de kwaliteit van de gemeentelijke dienstverlening.

Het analyseren van de gemeentelijke processen en het vinden en mitigeren van de risico’s in deze processen zorgen er uiteindelijk voor dat de gemeente Hillegom gegevensbescherming structureel in de organisatie inbedt en actief bouwt aan het fundament: een betrouwbare overheid. Ik adviseer dat er voor wat betreft privacy en informatiebeveiliging een actueel gehouden overzicht komt van 1) de meest risicovolle processen, 2) de meest risicovolle applicaties en 3) de meest risicovolle maatschappelijke processen en 4) de meest risicovolle verbonden partijen. - Verantwoording op Domeinniveau Nadat een volwassenheidsniveau voor de privacy is vastgesteld kan het college de status van het niveau van gegevensbescherming per Domein volgen en waar nodig bijsturen wanneer de domeinen hierover rapporteren.

8. Conclusie Er is een bredere basis gelegd voor het borgen van privacy en gegevensbescherming in de organisatie door meer aandacht van het bestuur voor privacy en informatieveiligheid en het structureel uitbreiden van de formatie voor de FG en PO en het maken van een start met het inregelen van risicomanagement. Daarnaast heeft de gemeente Hillegom in 2021 een kleine vooruitgang geboekt om de AVG verder te implementeren in de systemen en de processen. Ik adviseer in 2022 hier meer aandacht aan te besteden. Met namen bij het uitvoeren van DPIA’s. Tenslotte adviseer ik ook

14

aandacht te besteden aan het actualiseren van het register van verwerkingen en een volwassenheidsniveau vast te stellen.

15

Borgen gegevensbescherming in de organisatie Organisatie

<invullen>

Datum:

<invullen>

Ja

De afdeling voldoet aan dit criterium

Nee

De afdeling heeft dit criterium nog niet geimplementeerd.

Niet van toepassing

Het criterium is niet van toepassing voor de afdeling.

Onbekend

Het is niet bekend of de gemeente voldoet aan dit criterium

Onderwerp

Criteria

Maatregel

Er is een privacybeleid voor de gehele gemeente waarin wordt uitgelegd hoe de gemeente omgaat met persoonsgegevens en hoe de rollen, taken en verantwoordelijken zijn belegd.

Het privacybeleid is juridisch getoetst en goedgekeurd.

Beleid

1. Er is algemeen privacybeleid

Het privacybeleid is vastgesteld door het verantwoordelijke bestuursorgaan.

Het privacybeleid is door het management bekrachtigd en wordt actief uitgedragen.

Beleid

Beleid

Beleid

Processen

Processen

Processen

Processen

Processen

2. Het privacybeleid is leidend bij Nieuwe ontwikkelingen, verwerkingen of wijzigingen van ontwerp en ontwikkelingen van verwerkingen worden voorafgaand getoetst aan het beleid en geldende wet- en regelgeving. (nieuwe) verwerkingen. Er is - waar nodig - domeinspecifiek privacybeleid waarin wordt beschreven hoe betreffende domein omgaat met (sectorspecifieke) wet- en regelgeving, persoonsgegevens en 3. Het privacybeleid wordt – waar gegevensbescherming. nodig – domein specifiek uitgewerkt. Medewerkers van het domein zijn op de hoogte van de inhoud van de domenspecifieke uitwerking. Communicatiemiddelen worden hiervoor ingezet, zoals intranet, lunchbijeenkomsten en cursussen. 4. Er zijn afspraken en Er zijn afspraken hoe de organisatie omgaat met maatregelen over de omgang met persoonsgegevens van binnen de gemeentelijke organisatie, persoonsgegevens en zoals de persoonsgegevens van medewerkers, gegevensbescherming van gemeenteraadsleden, externen, etc. personen binnen de organisatie. 1. Er zijn werkprocessen Het organisatieonderdeel heeft inzichtelijk welke werkprocessen vastgesteld. zij in huis heeft. Het register bevat ten minste de volgende gegevens: - de naam en de contactgegevens van de verwerkingsverantwoordelijke, eventuele gezamenlijke verwerkinsgverantwoordelijken en van de functionaris voor de gegevensbescherming; 2.

De gemeente heeft de - de verwerkingsdoeleinden; verwerkingen waar zijzelf - een beschrijving van de categorieen van betrokkenen en van verwerkingsverantwoordelijk of de categorieen van persoonsgegevens; medeverantwoordelijk voor is, in - de categorieën van ontvangers aan wie de persoonsgegevens een register van zijn of zullen worden verstrekt; verwerkingsactiviteiten - of de gegevens worden doorgegeven aan een derde land of opgenomen. een internationale organisatie; - de beoogde termijnen waarbinnen de verschillende categorieën van gegevens moeten worden gewist; - een beschrijving van de technische en organisatorische beveiligingsmaatregelen. Het register bevat ten minste de volgende gegevens: - de naam en de contactgegevens van de verwerkingsverantwoordelijke, eventuele gezamenlijke verwerkinsgverantwoordelijken en van de functionaris voor de gegevensbescherming; - de verwerkingsdoeleinden; 3. De gemeente heeft een register - een beschrijving van de categorieen van betrokkenen en van van verwerkingsactiviteiten de categorieen van persoonsgegevens; opgesteld voor de verwerkingen - de categorieën van ontvangers aan wie de persoonsgegevens die zij als verwerker uitvoert.

zijn of zullen worden verstrekt; - of de gegevens worden doorgegeven aan een derde land of een internationale organisatie; - de beoogde termijnen waarbinnen de verschillende categorieën van gegevens moeten worden gewist; - een beschrijving van de technische en organisatorische beveiligingsmaatregelen. 4. De verwerkingsactiviteiten Het resultaat van de toetsing aan de AVG beginselen zijn voldoen aan de beginselen van de vastgelegd in het register van verwerkingsactiviteiten. AVG. 8. Er is een proces voor het uitvoeren en actualiseren van DPIA’s

Processen

9. Er is een standaardformat beschikbaar voor de DPIA

Organisatorische inbedding

1. De gemeente heeft een functionaris voor gegevensbescherming aangesteld en gepositioneerd.

De organisatie heeft inzichtelijk wanneer een DPIA uitgevoerd zal worden en op welke wijze dit gebeurd. De organisatie is bekend door welke verantwoordelijken de DPIA uitgevoerd moeten worden. Op directieniveau is één DPIA-format voor de hele organisatie vastgesteld. Het format is beschikbaar voor de gehele organisatie. De FG wordt tijdig en naar behoren betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens.

Onderwerp

Criteria

Organisatorische inbedding

1. De gemeente heeft een functionaris voor gegevensbescherming aangesteld en gepositioneerd.

Organisatorische inbedding

2. Er is – naast de FG - ruime (juridische) kennis over privacy, gegevensbescherming en relevante wet- en regelgeving.

Maatregel De FG ontvangt geen instructies met betrekking tot de uitvoering van zijn taken. Betrokkenen kunnen op eenvoudige en duidelijke wijze contact met de FG opnemen. De FG informeert en adviseert de organisatie gevraagd en ongevraagd. Er is - ten minste - één privacyadviseur/privacyofficer die beschikt over ruime kennis voor wat betreft het toepassen van relevante privacywet- en regelgeving in de praktijk. De privacyadviseur/privacyofficer adviseert de gemeente op casusniveau omtrent de bescherming en de verwerking van persoonsgegevens. Iedere lijnmanager is verantwoordelijk voor privacy binnen zijn/haar domein.

Organisatorische inbedding

3. Verantwoordelijkheden op het niveau van lijnmanagement zijn benoemd, belegd en vastgelegd.

Organisatorische inbedding

4. Op elke afdeling is een privacyambassadeur aangewezen, welke privacygerelateerde vragen en opmerkingen verzamelt en op de hoogte is van de wensen en ontwikkelingen binnen de afdeling.

Organisatorische inbedding

5. Organisatiebreed is bekend welke verantwoordelijkheid de gemeente heeft ten aanzien van gegevensbescherming.

Organisatorische inbedding

6. De algemene privacynormen van de gemeente zijn organisatiebreed bekend.

Bepaal en leg vast wat de verantwoordelijkheden voor de lijnmanagers zijn. Het lijnmanagement betrekt de FG tijdig en naar behoren bij alle aangelegenheden ie verband houden met de bescherming van persoonsgegevens. Het lijnmanagement wint advies in over het alvorens zij gegevens verstrekken aan een externe partij. De privacyambassadeur heeft nauw contact met de FG en de privacyadviseur/privacybeheerder. Alle medewerkers zijn bekend met de privacyambassadeur van hun afdeling. Alle ambassadeurs tezamen vormen met de FG en de privacyadviseur/privacybeheerder het team privacy, welk actief opmerkingen, ontwikkelingen en vragen uit de organisatie ophalen. De verantwoordingsplicht van de gemeente is bekend. Organisatiebreed is eenieder op de hoogte van het bestaan het register van verwerkingsactiviteiten. Medewerkers zijn in grote lijnen op de hoogte van de definitie van een datalek en weten bij wie zij een datalek intern moeten melden. Medewerkers zijn op de hoogte van de omgang met persoonsgegevens door de organisatie Het privacybeleid is bekend gemaakt binnen de organisatie. Middels diverse communicatiekanalen, zoals intranet, cursussen en presentaties, wordt het privacybeleid van de gemeente toegelicht. Actualiteiten en ontwikkelingen die betrekking hebben op de werkwijze van de gemeente worden breed gedeeld en toegelicht.

Organisatorische inbedding

Organisatorische inbedding Organisatorische inbedding

Organisatorische inbedding

8. Medewerkers hebben enkel toegang tot de systemen die zij nodig hebben ter uitvoering van hun werkzaamheden.

Voor alle geautomatiseerde systemen zijn autorisatieschema’s vastgesteld.

Binnen deze systemen hebben zij alleen toegang tot die gegevens die zij nodig hebben ter uitvoering van hun werkzaamheden. 9. Er is een procedure autorisatie Toegangsrechten worden actief aangepast wanneer een en controle toegangsrechten medewerker van functie verandert. 10. Medewerkers zijn op de hoogte van het loggingsbeleid van de gemeente.

Bij het verkrijgen van de autorisatie tot een bepaald systeem, wordt kenbaar gemaakt op welke manier de gemeente het gebruik van de gegevens in het systeem logt.

Op afdelingsniveau zijn – wanneer noodzakelijk - actuele protocollen en procedures beschikbaar over de wijze van 12. Er zijn voldoende middelen omgang met persoonsgegevens. beschikbaar om privacybescherming te bevorderen in kennis, houding en Medewerkers worden actief getraind om de kennis van het privacyrecht en het privacybewustzijn op het specifieke domein gedrag van alle medewerkers in te verhogen de organisatie. De FG wordt om advies en ondersteuning gevraagd bij bewustwording. Alle ambtenaren zijn op de hoogte van de algemene geheimhoudingsplicht voor ambtenaren.

Organisatorische inbedding

Rechten van betrokkenen

13. Alle medewerkers en externen Medewerkers die te maken hebben met bijzondere informatie hebben tevenes een geheimhoudingsverklaring ondertekend. hebben een geheimhoudingsverklaring. Alle externen hebben een integriteits- en geheimhoudingsverklaring ondertekend. 8. Producten, diensten, instellingen en functies in systemen zijn privacyvriendelijk ingericht.

9. De gemeente vraagt geen toestemming wanneer deze niet Rechten van betrokkenen vrijelijk en specifiek kn worden verkregen.

De organisatie vraagt bij de aanvraag van producten en diensten niet meer persoonsgegevens dan noodzakelijk uit. Voor verwerkingen waar toestemming als grondslag dient, vereist dit een actieve handeling. De gemeente heeft inzichtelijk aan welke randvoorwaarden toestemming moet voldoen. De gemeente heeft inzichtelijk wanneer zij toestemming als grondslag voor de verwerking gebruikt. De gemeente vraagt geen toestemming wanneer deze niet vrijelijk kan worden gegeven.

10. Wanneer toestemming geldt als grondslag voor de verwerking De organisatie moet ervoor zorgen dat het intrekken van Rechten van betrokkenen van persoonsgegevens, staat het toestemming door de betrokkene even eenvoudig is als het geven van toestemming. de betrokkene vrij om deze toestemming in te trekken.

Samenwerking

1. De organisatie heeft inzichtelijk met welke externe partijen er sprake is van het verwerken van persoonsgegevens.

Inventariseer welke partijen persoonsgegevens ontvangen en geef daarbij aan welke (categorieën van) persoonsgegevens deze partijen van de gemeente ontvangen. Inventariseer van welke partijen de gemeente persoonsgegevens ontvangt en geef daarbij aan welke (categorieën van) persoonsgegevens de gemeente ontvangt. In het proces worden de afwegingskaders omtrent het al dan niet melden aan de AP en het al dan niet melden aan de betrokkene beschreven.

Beveiliging

1. Er is een proces hoe de organisatie omgaat met incidenten – waaronder inbreuken - in verband met persoonsgegevens.

Onderwerp

Beveiliging

Beveiliging

Beveiliging

Criteria

Maatregel

1. Er is een proces hoe de Het proces is centraal vastgesteld en toegankelijk voor alle organisatie omgaat met medewerkers. incidenten – waaronder inbreuken Er is een verantwoordelijke aangesteld voor meldingen richting - in verband met de AP en de burger. persoonsgegevens. Er is een aanspreekpunt voor (vermoedens van) incidenten in verband met persoonsgegevens. Er is een crisiscommunicatieplan opgesteld voor datelekken met een hoge impact. 4. Voor alle geautomatiseerde Er is een autorisatieprocedure voor het in- en uittreden van systemen zijn medewerkers en het wijzigen van functies. 6. Verwerkingen worden zodanig ingericht dan rekening wordt gehouden met de beginselen van privacy by design en privacy by default.

Voor verwerking gebruikte mechanismen zijn zo ontworpen dat zij zoveel mogelijk rekening houden met de privacy van betrokkenen de beginselen uit de AVG. Er wordt gezorgd voor een minimale gegevensverwerking door niet meer gegevens uit te vragen dan noodzakelijk.

Verantwoording

5. Wanneer de verwerking plaatsvindt op grond van toestemming van de betrokkene, kan de organisatie aantonen dat de betrokkene een volwaardige toestemming heeft gegeven voor

Betrokkenen worden specifiek geïnformeerd waarvoor zij toestemming geven. De organisatie vraagt geen toestemming wanneer deze niet vrijelijk kan worden gegeven. Het intrekken van toestemming is even eenvoudig als het geven van toestemming.

Verantwoording

6. De organisatie is transparant over de verwerking van persoonsgegevens.

De organisatie is transparant over de omgang met persoonsgegevens door het publiceren van privacybeleid en bijvoorbeeld het verstrekken van informatiefolders bij aanvragen van producten en diensten.

HLTsamen Postbus 32 2180 AA Hillegom T 14 02 52 info@hltsamen.nl HLT sa m e n M a na g e m e nt re a ctie J a a r ra p p o rt a g e Ge g e v e n sb e s che rm i ng H LT sa m e n 20 21 2 3 f e b rua ri 202 2

Hillegom, 3 maart 2022 We hebben met veel belangstelling en waardering kennisgenomen van de Jaarrapportages Gegevensbescherming HLTsamen, Lisse, Hillegom en Teylingen 2021 van de Functionaris Gegevensbescherming. De nieuwe opzet geeft overzicht op het geheel en maakt duidelijk waarvoor we nog aan de lat staan. Terugblik 2021 Wij onderschrijven als directie de bevindingen van de functionaris gegevensbescherming. Op organisatieniveau is in den breedte meer aandacht besteed aan privacy en wordt het belang van privacy ook meer vanuit het management onderschreven. In dat opzicht is een groot deel van de voorgenomen acties daadwerkelijk uitgevoerd en wordt het privacybeleid en de adviezen van de Privacy Officer en de FG serieus genomen. Tegelijk hebben we gemerkt dat in de organisatie weinig tijd en ruimte kon worden gevonden om hier concreter mee aan de slag te gaan. De vaker genoemde werkdruk en vele prioriteiten zijn hier debet aan. De opgaven op tactisch niveau en operationeel niveau blijven daarmee groot. Waarbij het doel is om in de bedoeling van de privacy wetgeving zo goed mogelijk onze wettelijke taken uit te kunnen voeren. In plaats van het als een belemmering te zien omdat we als organisatie nog niet altijd goed in de vingers hebben in wat kan en niet kan.

Vooruitblik 2022 Het is onze ambitie om in 2022 een stevige vervolgstap te zetten om de AVG verder te implementeren in de systemen en processen. In ons concernplan voor dit jaar hebben we opgenomen dat we hiervoor met de functionaris gegevensbescherming een actieplan gaan opstellen. Deze acties moeten ertoe leiden dat we toegroeien naar het minimale niveau waarop de risico’s kunnen worden beheerst. Met het HLTbestuur gaat we in 2022 graag nog het gesprek aan over het ambitieniveau (ook wel volwassenheidsniveau genoemd) rondom het werken met privacy. Zodat we ook voor de periode daarna scherpte pakken voor de vervolgopdracht Namens de directie HLTsamen Constance Baauw Voorzitter directie HLTsamen