22. Collegebrief inzake Jaarlijks FG-verslag (2023-2024)

GEMEENTE HILVERSUM POSTBUS 9900 1201 GM HILVERSUM BEZOEKADRES: RAADHUIS

Aan de gemeenteraad cc commissieleden cc pers

DUDOKPARK 1 TELEFOONNUMMER: 14 035 WWW.HILVERSUM.NL

23 oktober 2024 ZAAKNUMM ER 1571740 BEHA NDELD DOOR Theo Buijtenweg TELEFOON (035) 629 2123 BIJLAGEN 1 BETREFT Jaarlijks FG-verslag (2023-2024) DATUM

Geachte raadsleden,

Een belangrijke eis die de Algemene verordening gegevensbescherming (AVG) stelt is dat overheidsinstellingen en – organen een Functionaris Gegevensbescherming (FG) moeten aanstellen. De FG is een onafhankelijke toezichthouder die toeziet op naleving van de AVG. De AVG bepaalt dat de FG jaarlijks aan het college verslag uitbrengt over de implementatie van de AVG binnen de gemeente; het jaarverslag brengt het college op de hoogte van bevindingen en aanbevelingen. Het FG jaarverslag biedt een overzicht van de aanbevelingen van de FG over de periode van juli 2023 tot en met juni 2024. Het FG jaarverslag is gebaseerd op gehouden auditgesprekken met een aantal lijnmanagers, directie en de Chief Information Security Officer (CISO). De rapportage geeft een indruk hoe de gemeentelijke organisatie de AVG opneemt in de dienstverlening en bedrijfsvoering en doet aanbevelingen over de aanpak. Wij informeren u met deze brief over het zesde jaarverslag van de FG over de periode 2023-2024 (bijlage 1). Beoordeling Functionaris Gegevensbescherming De FG complimenteert het bestuur met de behaalde resultaten. De naleving van de AVG vertoont een sterk opgaande lijn. De FG geeft aan dat de gemeente Hilversum op de goede weg is om het beschermingsniveau te behalen waar in de AVG vanuit wordt gegaan. De FG schrijft; “Dat niveau bereiken en behouden gaat niet van de ene op de andere dag.

Sterke stijging van de ontwikkellijn is in deze fase meest belangrijk. Hierin bent u geslaagd en dat verdient een compliment.” Na een kleine daling die vorig jaar door de FG werd geconstateerd zijn we verheugd dat de verbeteringen die we naar aanleiding van het vorig jaarverslag zijn gestart nu haar vruchten afwerpen. Wij zetten daar ook in de komende jaren op in om deze ontwikkeling vast te houden.

Hoofdadviezen FG en verbeteringen De FG doet in zijn jaarverslag aanbevelingen aan het bestuur en de organisatie voor verder stijging in de ontwikkellijn. Op basis van de aanbevelingen stellen wij prioriteiten voor de borging van bescherming van persoonsgegevens. Hieronder leest u de drie hoofdadviezen van de FG (in cursief) en de concrete maatregelen die naar aanleiding daarvan zijn genomen, dan wel op korte termijn worden genomen 1) Ga voort op de ingeslagen weg. Veranker de werkwijze in een herzien AVG-beleidskader waarin de koppeling wordt gelegd tussen AVG-rechtsbescherming en realisatie van doelen volgens de gemeentelijke visie, kernwaarden en concernagenda, in het bijzonder het zijn van een betrouwbare overheid. Zoals vorig jaar al aangeven wordt dit jaar nieuw AVG beleid opgesteld wat in januari 2025 aan u ter besluitvorming wordt aangeboden. Moment zijn we bezig met het opstellen het strategisch gegevensbescherming- en informatieveiligheidsbeleid waarin zowel de AVG-beleidskaders, het beleid ten aanzien van de Wet politiegegevens, als de kaders voor de informatiebeveiliging conform de Baseline Informatiebeveiliging Overheid zijn opgenomen. Het beleid sluit aan op het steeds meer informatiegestuurd werken en wordt in lijn gebracht met de nieuwste inzichten ten aanzien van gegevensbescherming en informatiebeveiliging. Hierbij stellen we de mens centraal.

De beveiliging en verwerking van (persoons)gegevens dient hierbij de mens, de belanghebbenden, en staan ten dienste aan de taken die we als gemeente uitvoeren. Het beleid is erop gericht om deze belangen naar evenredigheid tegen elkaar af te wegen, terwijl we rekening houden met het algemeen belang dat we als gemeente dienen. 2) Werk programmatisch. Gebruik de Data protection impact assessment (DPIA)-aanpak om processen door te lichten op kwetsbaarheden en om verbeteringen aan te brengen, en let met name op de samenwerkingsverbanden waarin Gemeente Hilversum participeert. Naar aanleiding van het vorige FG jaarverslag is in het werkplan extra aandacht gegeven aan de bewustwording bij proceseigenaren. Samen met het Privacy en Informatiebeveiliging Team (PIT) heeft de directie en Concern Management Team (CMT) actie ondernomen om het uitvoeren van DPIA’s op de meest risicovolle processen beter te borgen. In gesprekken tussen het management en de privacy officer wordt de planning uitgewerkt en opgenomen in de afdelings- en teamplannen. Hierbij wordt ook nadrukkelijk gekeken naar processen die in samenwerkingsverband worden uitgevoerd. 3) Werk met voortgangsrapportages in zowel de eerste als tweede lijn. Durf overdadige administratieve lasten terug te snoeien – wellicht ook in VNG-verband.

De adviseurs van het PIT (tweede lijn) rapporteren vier keer per jaar aan de directie (chief information officer). De leden van het CMT ontvangen twee keer per jaar de rapportage van de interne adviseurs van het PIT, met daarin de voortgang op de onderwerpen uit de tactische jaarplannen, actuele ontwikkelingen en informatie met betrekking tot informatiebeveiliging en gegevensbescherming, informatie over datalekken en informatiebeveiligings-incidenten en de opvolging daarvan. Komende jaar zetten we in op rapportage vanuit de afdelingen (eerste lijn), over de inhoudelijke aanpak van de gegevensbescherming en informatiebeveiliging op te nemen in verslaglegging van de bedrijfsvoering gesprekken. In gesprek over het FG-verslag Vorig jaar hebben wij er voor gekozen om een inhoudelijke informatiesessie te organiseren waarin

ook de FG de gelegenheid krijgt om zijn verslag aan u toe te lichten en vragen te beantwoorden. Daarnaast kunnen wij u dan ook een toelichting geven op de maatregelen die wij binnen organisatie op basis van de adviezen van de FG voortzetten. Wij denken zo op een passende en inhoudelijke wijze met u de inhoud van het jaarverslag te bespreken. Voor deze informatiesessie hebben wij 26 november 2024 gereserveerd. Wij sturen u daarvoor nog een aparte uitnodiging. Wij hopen u hiermee voldoende te hebben geïnformeerd. Hoogachtend, Burgemeester en wethouders van Hilversum, de gemeentesecretaris,

de burgemeester,

mr. C.P. Torres Barrera

dr. ir. G.M. van den Top

Docusign Envelope ID: 83C16490-F509-4791-A452-122DAD60F580

FG-verslag 2023-2024 Aan: Van: Datum:

Het bestuur van de Gemeente Hilversum De functionaris gegevensbescherming 6 september 2024

Jaarlijks breng ik verslag uit van de naleving van de Algemene Verordening Gegevensbescherming door Gemeente Hilversum. Voor u ligt de beoordeling hiervan over de periode tweede helft van 2023 tot en met eerste helft van 2024. De AVG stelt doelen voor behoorlijk bestuur in het digitale tijdperk (AVG-rechtsbescherming). Bestuurlijke borging en regievoering zijn hiervan dé pijlers.1 Logischerwijs vormen deze dan ook de geëigende graadmeter voor beoordeling van de naleving van de AVG door Gemeente Hilversum. Die naleving vertoont een sterk opgaande lijn; u bent op de goede weg om het beschermingsniveau te behalen waar in de AVG vanuit wordt gegaan. Dat niveau bereiken en behouden gaat niet van de ene op de andere dag. Sterke stijging van de ontwikkellijn is in deze fase meest belangrijk. Hierin bent u geslaagd en dat verdient een compliment.

AVG-ontwikkellijn – De groene lijn is het AVG-kwaliteitsniveau. De donkerblauwe lijn geeft niveau van Gemeente Hilversum weer op bestuurlijk niveau. De lichtblauwe lijn toont het gemiddelde van organisaties waarvoor PMP het FG-schap invult.

1 Artikel 24 – 29 AVG of, voor zover van toepassing, artikel 19 – 23 EU-richtlijn 2016/680 (‘Wet politiegegevens’).

1/5

Docusign Envelope ID: 83C16490-F509-4791-A452-122DAD60F580

FG-advies voor de komende periode Voor verdere stijging van de ontwikkellijn, zijn mijn drie belangrijkste adviezen: 1. Ga voort op de ingeslagen weg. Veranker de werkwijze in een herzien AVGbeleidskader waarin de koppeling wordt gelegd tussen AVG-rechtsbescherming en realisatie van doelen volgens de gemeentelijke visie, kernwaarden en concernagenda, in het bijzonder het zijn van een betrouwbare overheid. 2. Werk programmatisch. Gebruik de DPIA-aanpak om processen door te lichten op kwetsbaarheden en om verbeteringen aan te brengen, en let met name op de samenwerkingsverbanden waarin Gemeente Hilversum participeert. 3. Werk met voortgangsrapportages in zowel de eerste als tweede lijn. Durf overdadige administratieve lasten terug te snoeien – wellicht ook in VNG-verband.

Overig advies treft u aan in de rechterkolom op pagina 5.

Sergej Katus fg@hilversum.nl

2/5

Docusign Envelope ID: 83C16490-F509-4791-A452-122DAD60F580

Toelichting De Algemene Verordening Gegevensbescherming (AVG) is veel meer dan een privacywet; de AVG beschermt personen tegen de risico’s van digitalisering. De Toeslagenaffaire toont het belang hiervan aan. Ook bij gemeenten kunnen kleine fouten grote gevolgen hebben. De EU reguleert die bescherming van personen inmiddels 30 jaar. Al in 1998 onderkende Nederland dat gegevensbescherming nadere normering betreft van de beginselen van behoorlijk bestuur.2 Sinds 2016 gebeurt dit via de AVG, die centraal staat in de EU-wetgeving over digitalisering; open data, open overheid, en het gebruik van algoritmes en AI. Rechtstreeks of anders via Nederlandse uitvoeringswetgeving, geldt die normering net zozeer voor Gemeente Hilversum. De EU-wetgeving stimuleert ontsluiting van informatie en samenwerking, zoals blijkt uit artikel 1 van de AVG, dat het vrije verkeer van persoonsgegevens waarborgt, en artikel 6, dat de rechtmatigheid onderkent van informatieverwerking voor uitoefening van taken van algemeen belang of openbaar gezag. Maar dan wél met passende waarborgen omkleed, zowel op het niveau van bestuur en uitvoering, als op de onderliggende niveaus van informatiebeheer en ICT. Met het gemeentebestuur en de directie heb ik hierover goede gesprekken gevoerd. Ik bemerk intrinsieke motivatie om de goede dingen te doen en de goede dingen goed te doen.

Dat geldt net zozeer bij de professionals die ondersteuning bieden (het ‘PIT’) en de managers/proceseigenaren waarmee ik gesproken heb, en die AVG-rechtsbescherming hebben te verdisconteren in hun werkprocessen. Het Centraal Management Team speelt hierin een stimulerende rol. Aan de borging van de werkwijze in een herzien AVG-beleidskader wordt gewerkt.3 Met die borging geeft de gemeente kwaliteit- en continuïteitsgaranties af in het belang van inwoners en andere doelgroepen. Tevens is het gemeentebestuur daarmee in staat om verantwoording af te leggen over beleid en maatregelen. Programmatisch werken houdt in dat de gemeente een werkplan hanteert om intern of extern georganiseerde processen periodiek te onderzoeken op kwetsbaarheden. Het ligt voor de hand het sociaal domein prioriteit te geven. Denk aan het onderzoek dat de Inspectie Gezondheidzorg en Jeugd recent is gestart, en bevindingen van het Sociaal Cultureel Planbureau.

2 Kamerstukken TK 1997-1998, 25 892, nr. 3, p. 14. 3 Ook aan de hand van het beleidsmodel Mens Centraal Digitaal, zoals geadviseerd in het vorige FG-verslag.

3/5

Docusign Envelope ID: 83C16490-F509-4791-A452-122DAD60F580

Verantwoording Voor de beoordeling van de mate waarin een gemeente aan de AVG voldoet, hanteer ik hierna tien prestatie-indicatoren op bestuurlijk niveau die zijn voorzien van de volgende symbolen:

Afwezig of niet aantoonbaar

In aanzet aanwezig en aantoonbaar

Substantieel aanwezig en aantoonbaar

Grotendeels aanwezig en aantoonbaar

Volledig aanwezig en aantoonbaar

Ze zijn geplaatst in drie kolommen: – Opzet: de aanpak klopt op papier – er is goed over nagedacht. – Bestaan: de aanpak is volgens plan in praktijk gebracht – de gemeente heeft daadwerkelijk in passende gegevensbescherming voorzien. – Werking: de aanpak blijkt ook in de praktijk doelmatig en doeltreffend. Alle symbolen behoren volledig blauw te zijn. Naar AVG-maatstaven doet het gemeentebestuur er dan al het nodige aan om behoorlijk bestuur te betrachten in het digitale tijdperk. Inwoners en andere doelgroepen kunnen rekenen op een mensgerichte aanpak. Het gemeentebestuur waarborgt dan AVG-rechtsbescherming. De beoordeling is kwalitatief, door directe toetsing aan de AVG. Dit in tegenstelling tot indirecte toetsing met behulp van een standaard-auditchecklijst. Directe toetsing aan de AVG is wat je van een FG mag verwachten. Voor meer uitleg zie Hoe ben je FG?. Oordeelsvorming vloeit voort uit gesprekken, documenten, periodiek overleg, adviesaanvragen, zo nodig klachtonderzoek (inspectie) of ander contact. Organisaties verdienen punten via de symbolen, die tegelijk ook percentages verbeelden. Percentages in de opzet-kolom tellen 1 keer, in de bestaan-kolom 2 keer en in de werkingkolom 3 keer. Op deze manier kom ik tot een gewogen gemiddelde, de jaarscore, die ik weergeef als ontwikkellijn. Een 100% score is lastig vol te houden.

Bij een score onder de 90% is bijsturing geboden. Status Een functionaris voor gegevensbescherming (FG) is wettelijk toezichthouder naar Europees recht op de interne naleving van de AVG, gerelateerde wet- en regelgeving en de gemeentelijke beleidsvoering. Zolang het gaat om verwerking van persoonsgegevens, gaat FG-toezicht voor op rekenkamertoetsing, audits, rechtsadvies of accountantscontrole. In voorkomende gevallen werkt de FG samen met de Autoriteit Persoonsgegevens. Boven de FG staat de rechter, en uiteindelijk het EU Hof van Justitie.

4/5

Docusign Envelope ID: 83C16490-F509-4791-A452-122DAD60F580

Speerpunten 1. Beleid Bestuurlijke borging informationele rechtsbescherming

Opzet

Bestaan

Werking

Advies (1) Stuur naast vaststelling van strategisch beleid ook aan de hand van een werkprogramma (zie hierna); (2) bespreek de doelmatigheid en doeltreffendheid van de aanpak binnen portefeuilles waarin wordt gewerkt met persoonsgegevens; (3) optimaliseer waar nodig of mogelijk (lerende organisatie).

2.

Regie en support Proceseigenaarschap en vakkundige ondersteuning vanuit meerdere disciplines

3.

Toezicht Onafhankelijk toezicht en expertise

(1) Verduidelijk de regievoering op het werkprogramma; (2) draag zorg voor verantwoording door proceseigenaren en aan de raad; (3) bewaak de kwaliteit en beschikbaarheid van 2e lijn-ondersteuning (1) Betrek de FG naar behoren en tijdig bij beleidskwesties met een hoog risicoprofiel, nu ook bezien vanuit de nieuwe EU-wet over gebruik van algoritmes en kunstmatige intelligentie; (2) pas het mandaatbesluit en bevoegdhedenregister aan op de werking van artikel 37-39 AVG en 32-34 EU-Richtlijn 2016/680 (Wpg).

4.

Werkprogramma Mens Centraal Digitaal

(1) Formuleer het werkprogramma door het stellen van concrete doelen voor de middellange termijn en prioriteiten in jaarplannen; (2) bouw hierbij voort op de bestaande aanpak; (3) werk op basis van verantwoording door zowel proceseigenaren als aan de raad.

5.

Binnenshuis Kwaliteit van interne werkprocessen en informatieverwerking op orde

(1) Gebruik de DPIA-aanpak voor het doorlichten op kwetsbaarheden van de interne processen die afhankelijk zijn van persoonsgegevens; (2) hanteer een auditplan voor toetsing op de nakoming van DPIA-afspraken – eventueel AVG-certificering; (3) Let op het ontstaan en beheer van handboeken voor & door proceseigenaren.

6.

Buitenshuis Uitbesteding en deelname in samenwerkingsverbanden op orde (ketenregie)

(1) Gebruik de DPIA-aanpak voor het doorlichten op kwetsbaarheden van extern georganiseerde processen die afhankelijk zijn van persoonsgegevens – met name gemeenschappelijke regelingen; (2) hanteer een auditplan voor toetsing op de nakoming van DPIA-afspraken – eventueel AVG-certificering; (3) let op het ontstaan en beheer van effectieve ketenregieafspraken conform artikel 26 en 28 AVG.

7.

Verzoeken, klachten en incidenten Veerkracht en servicegerichtheid

8.

Communicatie en training/opleiding Cultuur, begrip en draagvlak

9.

Informatieveiligheid Beschikbare, betrouwbare en veilige informatievoorzieningen

10. Budget Financiële middelen voor behoorlijk bestuur in het digitale tijdperk

(1) Bewaak de goede werking van afhandeling van verzoeken, klachten en incidenten; (2) draag zorg voor goede incidentadministratie (niet alleen datalekken). (3) blijf lering trekken uit klachten en incidenten. (1) Draag zorg voor doelgroepgerichte interne en externe communicatie (vgl. IKEA); (2) gebruik DPIA’s voor interne dialoog en burgerparticipatie; (3) waarborg dat personeelswisselingen niet kunnen leiden tot een kennisgat.

(1) Blijf zorgdragen voor professionele bescherming van informatieveiligheid (2) bezie informatieveiligheid als een randvoorwaardelijk uitvoeringsaspect van de AVG (vanzelfsprekend onderdeel van oplossingen volgens punten 5 en 6).

(1) Benader AVG-rechtsbescherming in de gemeentebegroting holistischer; (2) meerdere paragrafen in de gemeentebegroting over bedrijfsvoering sporen met de gestelde doelen in de AVG.

5/5