Bestuurlijke reactie

$ Hilversum Mediastad GEMEENTE HILVERSUM POSTBUS 9900 1201 GM HILVERSUM

Rekenkamer T.a.v. mevr. D. Verloop Postbus 9900 1201 GM Hilversum

BEZOEKADRES: RAADHUIS DUDOKPARK 1 TELEFOONNUMMER: 14 035 WWW.H)LVERSUM.NL

31 augustus 2021 ZAAKNUMMER 1043842 BEHANDELD DOOR W. Groot TELEFOON (035) 629 2247 DATUM

UW KENMERK BIJ LAGEN

BETREFT

Bestuurlijke reactie Rekenkameronderzoek “Bescherming van persoonsgegevens in Hilversum

Geachte leden van de rekenkamer,

Hartelijk dank voor het rapport “Bescherming van persoonsgegevens in Hilversum” met daarin informatie over beleid en maatregelen en de wijze waarop de gemeente Hilversum met persoonsgegevens omgaat. De bijbehorende notitie van de Rekenkamer Hilversum geeft een aantal conclusies en aanbevelingen op basis van het onderzoek. Deze nemen wij graag mee in ons verdere beleid en uitvoering. Wij geven in deze brief een reactie op deze Bestuurlijke nota en het rapport. Wij herkennen ons in uw schrijven dat de gemeente Hilversum er de afgelopen jaren voor heeft gezorgd dat voldaan wordt aan de organisatorische inrichting conform de huidige wet- en regelgeving. Ook kunnen wij ons vinden in de tekortkomingen die de Rekenkamer in de dagelijkse uitvoeringspraktijk heeft geconstateerd en dat we nog niet volledig voldoen aan de gestelde normen. We zien ook dat er verbeterpunten in de komende jaren nodig zijn. We zijn verheugd dat uw onderzoek laat zien dat het privacy beleid in Hilversum op een structurele wijze wordt uitgewerkt in regels en procedures voor de Organisatie. We zijn tevreden dat de toetsing van de normen niet negatief is bevonden. Momenteel zijn we hard bezig om uitvoering te geven aan de Data Protection Impact Assessments (DPIA’s) en worden lijnmanagers verplicht om DP1A’s in hun jaarplan 2022 op te nemen.

Rapportage over de uitvoering en voortgang hiervan wordt vast onderdeel van de periodieke managementrapportage. Ook wordt gewerkt aan verplichte bijscholing van medewerkers over informatiebeveiliging en privacy. Voor eind 2021 moeten alle medewerkers de verplichte training met succes hebben afgerond. Dit leertraject is vanaf 2020 al in gang gezet. Privacy by design en ketenregie behoeft meer aandacht. Momenteel is een vragenlijst privacy by design in ontwikkeling. Deze wordt standaard opgenomen in het programma van eisen bij lopende aan nieuw aanbestedingen voor bed rijfsa ppl icaties.

Daarnaast zien wij op deze onderwerpen conform de uitkomsten in het rapport ruimte voor verbetering. Aandacht voor privacy by design en structureel overleg tussen lijnmanagers en Privacy Informatieveiligheid Team (PIT) zijn belangrijke speerpunten voor het komende jaar als onderdeel van het huidige meerjarenplan. Ook de informatievoorziening aan de gemeenteraad heeft onze aandacht. Deze verbeterpunten worden meegenomen bij de wekelijks PIT-overleg en de management- overleggen. De verantwoording vindt plaats in de jaarrekening. Daarnaast wordt jaarlijks verslag uitgebracht door de Functionaris Gegevensbescherming over de stand van zaken. Hieronder vindt u per conclusie en aanbevelingen onze reactie. Hoogachtend, Burgemeester en wethouders van Hilversum, de gemeentesecretaris, de burgemeester,

Reactie op conclusies en aanbevelingen’ Conclusie 1 Reactie

Het beleid voldoet. Het verheugt ons dat de Rekenkamer concludeert dat het beleid voldoet en we grotendeels voldoen aan de toetsingsnormen. Gewerkt zal worden om de normen die neutraal zijn bevonden, positief worden beoordeeld. Dit wordt in het werkplan AVG 2021-2022 opgenomen en verantwoord in de jaarverslagen.

Conclusie 2 Reactie

De focus ligt sterk op de eigen Organisatie, de raad is minder in beeld. Om de focus ook op de gemeenteraad te leggen, wordt de raad op de volgende manier betrokken: . .

.

•

beleidsvorming op privacy en data-gedreven werken via de raad; verder informeren over de voortgang op inhoud via Raadsinformatiebrieven en Beeldvormende sessies; voorstellen om het FG-verslag ter advisering aan het college te agenderen; in de bedrijfsvoering agenda is privacy onderdeel van de begroting en de jaarrekening.

De Raad is afgelopen jaar via een Beeldvormende sessie geïnformeerd over privacy in het sociaal domein. Conclusie 3 Reactie

Er zijn risico’s, maar die zijn beheersbaar. We voldoen aan de minimum vereisten van de AVG. Er is geen negatieve beeldvorming, er zijn geen grote incidenten geweest en boetes van de Autoriteit Persoonsgegevens zijn niet opgelegd. Er wordt continue aandacht gevraagd voor privacy-bewustzijn door diverse campagnes, waaronder de iBewustzijnscampagne en het afleggen van verplichte modules omtrent informatieveiligheid en privacy.

Aanbeveling 1

Blijven sturen op het inlopen van de eerder ontstane achterstanden, waaronder de DP!A’s en actualisatie verwerkingsregister. Op dit moment wordt hard gewerkt aan het inlopen van de ontstane achterstanden. De praktijk leert dat een DPIA niet eenvoudig is af te doen. Het kost tijd om de risico’s en maatregelen van de (beoogde) verwerking zo zorgvuldig mogelijk in beeld te krijgen. Ook wordt hard gewerkt aan bewustzijn rondom nut en noodzaak van DPIA’s in de managementlaag. Hier is ook aandacht voor privacy by design en ketenregie. Alle afdelings-MT’s hebben door middel van een presentatie hier kennis over opgedaan. De lijnmanager is primair verantwoordelijk voor privacy en aan zet om prioritering en invulling hieraan te geven. Het PIT heeft hierbij een ondersteunende en faciliterende rol.

Reactie

Voorts vindt er sinds begin 2021 een actualisatie op het verwerkingsregister plaats. Hier is vanaf begin 2021 tot eind dit jaar een externe trainee voor aangesteld. Naar verwachting zal medio het derde kwartaal van 2021 het register in de nieuwe vorm operationeel zijn. Voor

Samenvatting van hoofdstuk 1.8 Conclusies en aanbevelingen van het rapport

de PDCA-cyclus en het structureel beheer van het register is echter blijvende capaciteit nodig. Uit bestaande (personeels)budgetten wordt de uitvoering op wetgeving van privacy en informatieveiligheid voor burgers, bedrijven en instellingen gefinancierd. Aanbeveling 2 Reactie

In de volle breedte permanent aandacht besteden aan bewustzijn. Aan het bewustzijn om prudent en correct met (gevoelige) informatie om te gaan, wordt hard gewerkt. In 2020 is gestart met een iBewustzijntraject. Vanaf 7 juli 2021 is een verplichte e-learning voor alle medewerkers privacy van start gegaan. In 2022 volgt de derde leercirkel. Ook is privacy een terugkerend onderwerp in het managementoverleg en in het college. Aan het management is de opdracht gegeven dat informatieveiligheid en privacy vaste onderwerpen zijn op de werkoverleggen. Het PIT kan hierbij ondersteunend zijn.

Aanbeveling 3

Benadruk in dat verband de belangrijke rol die lijnmanagers hebben in het bieden van eerste waarborg door: . Privacy expliciet te maken als onderdeel inwerktraject nieuwe medewerkers. . Aandacht zijn voor privacybewustzijn in de periodieke beoordelingscyclus.

Reactie

Momenteel wordt gewerkt aan een inwerktraject voor nieuwe medewerkers. Privacy en e-learning wordt aan het HR inwerkingsprogramma toegevoegd. Bij de verplichte e-learning zal de teammanager volgen of de medewerker de betreffende module met een goed gevolg heeft afgerond. Ook staan in sommige werkoverleggen het onderwerp privacy al op de agenda. Via bijvoorbeeld nieuwsbrieven worden medewerkers geïnformeerd over de omgang met persoonsgegevens. Dit wordt breder getrokken naar de gehele organisatie waarin het management de opdracht heeft gekregen om informatieveiligheid en privacy als vaste agendapunten op het werkoverleg te bespreken. De e learning maakt hier deel van uit.

Aanbeveling 4

Reactie

In gesprek gaan met de raad over de gewenste inrichting van de informatievoorziening ten behoeve van de raad door: . Jaarlijkse themapresentatie (b.v. dag van de privacy) door FG of P0. . Voorstellen om het Jaarverslag FG ter advisering aan B& W te ogen deren. . Beleidsinhoudelijke onderwerpen expliciet aandacht geven aan de positie van privacy, in het bijzonder sociaal domein of Smart City. Op de dag van de privacy (28 januari 2022) zal net als afgelopen jaar extra aandacht uitgaan naar privacy in de gemeentelijke Organisatie. In de aanloop naar de dag van de privacy in 2021 hebben medewerkers door middel van een puzzel verder kennisgemaakt met het begrip DPIA.

Het jaarverslag van de F6 zal niet alleen meer ter informatie, maar juist ter advisering worden opgevoerd. Het is aan de Raad om dit op te nemen in de agendacommissie. Smart City gaat op in het programma data-gestuurd werken waar privacy voldoende wordt gewaarborgd. In februari 2022 komt een uitgangspuntennotie inclusief privacy-eisen in de raad, zoals gevraagd in amendement bij de Kadernota.