Eindrapport bescherming persoonsgegevens

Bescherming van persoonsgegevens Een onderzoek van de rekenkamer Hilversum

Rekenkamer Hilversum - juni 2021

Inhoudsopgave 1.

Bestuurlijk rapport

1

1.1 1.2 1.3 1.4 1.5 1.6 1.7 1.8

Aanleiding en context Algemene bevindingen Over het privacybeleid van de gemeente Over de uitwerking van het beleid Over de uitvoeringspraktijk Over de betrokkenheid van de raad Beantwoording onderzoeksvragen Conclusies en aanbevelingen

1 2 3 6 8 9 10 12

2.

Inrichting van het onderzoek

14

3.

Het gemeentelijk beleid

17

4.

Uitwerking van het beleid

21

5.

De praktijk van het beleid

28

5.1 5.2 5.3

De algemene praktijk Smart City binnen Hilversum Participatiewet

28 29 32

6.

De rol van de gemeenteraad

35

Bijlage A

Geïnterviewde personen

37

Bijlage B

Bestudeerde documentatie

39

Bijlage C

Toetsing van de normen

41

Bijlage D

Gebruikte afkortingen

43

1

1.

Bestuurlijk rapport

1.1

Aanleiding en context

Op 25 mei 2018 trad de Algemene Verordening Gegevensbescherming (AVG) in werking. Dit is een Europese Verordening waarin maatregelen en voorschriften zijn opgenomen die betrekking hebben op de bescherming van de persoonsgegevens van alle inwoners van Europa. De Europese verordening heeft directe werking in Nederland. Nu was de verordening zelf al in mei 2016 vastgesteld. Lidstaten hadden dus twee jaar de tijd om de inwerkingtreding voor te bereiden. Ook voor 2016 was het nodige met betrekking tot de bescherming van privacy van burgers in Nederland vastgelegd, zoals bijvoorbeeld in de Wet bescherming persoonsgegevens (Wbp). Alle overheden, waaronder dus ook Hilversum, hadden niet alleen al ervaringen met privacybeleid, zij hadden ook ruim de tijd gehad om zich voor te bereiden op de inwerkingtreding van de AVG. Kernpunten van de AVG De AVG bevat de belangrijkste regels voor de omgang met persoonsgegevens door overheden en bedrijven. Persoonsgegevens mogen alleen worden verwerkt in overeenstemming met de wet en met een gerechtvaardigd doel. Bij het verwerken van persoonsgegevens moet een aantal uitgangspunten in acht worden genomen. Zo moeten overheden en bedrijven zo min mogelijk gegevens verwerken en dat binnen een passend beveiligingsregime doen. Zij zijn verwerkingsverantwoordelijk. Overheidsorganen moeten een interne toezichthouder hebben.

Dit is de functionaris gegevensbescherming (FG). Ook is er een externe toezichthouder. In Nederland is dat de Autoriteit Persoonsgegevens. De inwerkingtreding van de AVG gaf veel overheden aanleiding om hun beleid met betrekking tot de bescherming van de persoonsgegevens kritisch te beschouwen en te actualiseren. In ieder geval moeten zij ervoor zorgen dat het lokale beleid in lijn is met de eisen die in de AVG zijn gesteld, zodat burgers ervan uit kunnen gaan dat de overheid zorgvuldig met hun privacygevoelige gegevens omgaat. Als een instantie in gebreke blijft, loopt deze het risico op boetes of - als er zich met betrekking tot de privacy incidenten zouden voordoen - om schadevergoedingen te moeten betalen. Over de verhouding tussen privacy en de bescherming van persoonsgegevens Begrippen als privacy en gegevensbescherming worden geregeld als synoniemen gebruikt. Privacy is een mensenrecht en is als zodanig vastgelegd in verschillende mensenrechtenverdragen 1 en in de Grondwet. Het is een recht dat beschermt dat mensen onbespied mogen leven en ruimte moeten krijgen om hun eigen identiteit te vormen. Het recht op bescherming van persoonsgegevens ziet erop toe dat op een zorgvuldige manier wordt omgegaan met (digitale) persoonsgegevens. Het is daarmee een specifiek onderdeel van het recht op privacy. Dit wordt ook wel informationele privacy genoemd. Persoonsgegevens mogen niet

1

Art. 8 Europese Verdrag tot bescherming van de rechten van de mens en fundamentele vrijheden (EVRM) en art. 7 en 8 van het Handvest Grondrechten van de EU

1

zomaar door organisaties worden verwerkt. Als organisaties persoonsgegevens mogen verwerken moeten ze dit op een zorgvuldige, correcte en transparante wijze doen. Elke gemeente in Nederland verwerkt veel persoonsgegevens om haar taken te kunnen uitvoeren. Zowel binnen de gemeente als met derden worden persoonsgegevens uitgewisseld, een uit privacyoogpunt altijd kwetsbaar proces. Daarmee lopen gemeenten ook de nodige risico’s. Het voorkomen van aantastingen van de privacy van de inwoners is voor hen van groot belang. Overheden moeten zich tot het uiterste inspannen om de bescherming van de privacy te waarborgen. Deze verantwoordelijkheid is voor de rekenkamer Hilversum aanleiding geweest om het initiatief te nemen voor een onderzoek dat zich richt op de bescherming van persoonsgegevens van de inwoners van Hilversum, de wijze waarop dit in beleid en maatregelen is geregeld en de wijze waarop de gemeente met persoonsgegevens omgaat. De centrale vraag van dit onderzoek is als volgt geformuleerd: Centrale onderzoeksvraag: In hoeverre is de bescherming van persoonsgegevens van inwoners van de gemeente Hilversum gewaarborgd, zowel in beleid als in de uitvoeringspraktijk? Deze centrale vraag is uitgewerkt in de volgende vijf deelvragen: Onderzoeksvragen 1

Welk beleid hanteert de gemeente Hilversum rond de verwerking van persoonsgegevens, om ervoor te zorgen dat privacy van burgers optimaal en in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG) worden beschermd?

2

Hoe is dit beleid uitgewerkt in regels, procedures en werkprocessen?

3

Worden deze regels, procedures en werkprocessen in de dagelijkse uitvoeringspraktijk ook daadwerkelijk gehanteerd en wordt daarmee voldaan aan de voorwaarden en vereisten uit de AVG?

4

Op welke manier wordt de gemeenteraad geïnformeerd over de uitvoering van het beleid rondom de bescherming van persoonsgegevens? Welke mogelijkheden heeft de raad om te sturen en te controleren?

5

Wat moet de gemeente doen om ervoor te zorgen dat privacy van burgers optimaal en in overeenstemming met de AVG wordt beschermd?

Het onderzoek is gestart in het najaar van 2020 en in het voorjaar van 2021 afgerond. In dit eerste hoofdstuk van het rapport, dat geldt als de bestuurlijke rapportage, worden eerst de belangrijkste verkregen inzichten gepresenteerd. Daaraan worden de door de rekenkamer getrokken conclusies verbonden die vervolgens leiden tot de formulering van de aanbevelingen.

1.2

Algemene bevindingen

In het onderzoek is gebleken is dat de uitgangspunten van het privacybeleid van Hilversum voldoen aan de eisen die daar op grond van wet- en regelgeving aan kunnen worden gesteld. Ook heeft de rekenkamer vastgesteld dat dit beleid op een structurele en consequente wijze wordt uitgewerkt in regels en procedures voor de organisatie. 2

In de dagelijkse uitvoeringspraktijk van dit beleid in Hilversum heeft de rekenkamer verschillende tekortkomingen geconstateerd. Er zijn zeker onderdelen van de organisatie waar er veel en goede aandacht is voor privacy; de medewerkers gaan hier bewust mee om. Maar er zijn redenen om aan te nemen dat dit niet voor de volledige organisatie het geval is. In de AVG wordt voorgeschreven om beleidsprocessen regelmatig en systematisch te toetsen op een zorgvuldige omgang met de gegevens van inwoners van de gemeente. Hilversum heeft vooralsnog te weinig gevolg gegeven aan deze verplichting. Raadsleden hebben er behoefte aan om regelmatig over de stand van zaken met betrekking tot privacy geïnformeerd te worden, en daar onderling en met het college van B&W het gesprek over te willen voeren. Het gebruikelijke jaarverslag van de Functionaris Gegevensbescherming zou daarvoor een goede aanleiding kunnen bieden. Tot op heden is de praktijk dat de raad dit verslag louter ter kennisname afdoet. Deze algemene bevindingen worden in de volgende paragrafen verder uitgewerkt. Dit hoofdstuk wordt afgesloten met de conclusies van dit onderzoek. Vervolgens worden daar enkele aanbevelingen mee verbonden Een uitgebreide presentatie en beschrijving van de in het kader van dit onderzoek opgedane inzichten en bevindingen zijn opgenomen in het feitelijk deel van deze rapportage.

Dit feitelijk deel begint bij hoofdstuk 2.

1.3

Over het privacybeleid van de gemeente

Mede in reactie op de inwerkingtreding van de AVG heeft het college van B en W van Hilversum in maart 2020 het Privacybeleid 2020-20242 vastgesteld. Dit beleid vervangt eerder vastgesteld privacybeleid en het privacyreglement 2018-2022. Ten opzichte van het oude beleid is er meer aandacht voor risico-gestuurd werken, de visie van het gemeentebestuur op privacy in het digitale tijdperk en de verbinding met de planning & control-cyclus. In aansluiting op de AVG worden de wettelijke kaders uitgelicht en wordt ingegaan op de uitgangspunten bij verwerking van persoonsgegevens. Ook worden de verantwoordelijkheden voor de uitvoering van dit beleid toegelicht en wordt beschreven hoe de ondersteuning van medewerkers in de organisatie en controle op de naleving van het beleid plaatsvindt. Bij de gemeente Hilversum zijn er op drie niveaus rollen verdeeld. In het beleid is vastgelegd dat proceseigenaren - dit zijn vaak de lijnmanagers - binnen de gebruikelijke P&C-cyclus periodiek verslag doen over de naleving van het beleid. Dit wordt in de context van het privacybeleid wel de eerste waarborg of verdedigingslinie van dit beleid genoemd (‘first line of defence’). De tweede ‘lijn van verdediging’ bestaat in Hilversum uit het Privacy & Informatieveiligheid Team, afgekort als PIT.

Dit team ondersteunt, adviseert en coördineert alle voor het privacybeleid relevante activiteiten binnen de organisatie. Het PIT bestaat uit een zogeheten privacy officer, security officer, adviseur informatie en de Chief Information Security Officer (CISO). Door hun coördinerende functie kan dit team bewaken dat binnen de organisatie aandacht is voor privacy en bijsturen als de teamleden van mening zijn dat dit onvoldoende is.

2

Gemeente Hilversum, Privacybeleid 2020 - 2024

3

Functie

Functieomschrijving

Privacy officer

De privacy officer is specialist op het gebied van de bescherming van persoonsgegevens, en ondersteunt en adviseert het lijnmanagement vanuit de tweede verdedigingslijn omtrent de bescherming van persoonsgegevens.

Security officer

De security officer is verantwoordelijk voor het vormgeven en bewaken van het informatiebeveiligingsbeleid, en ondersteunt en adviseert het lijnmanagement vanuit de tweede verdedigingslijn/ De SO richt zich op tactische uitwerking van beleid en normen uit de Baseline Informatiebeveiliging Overheid en operationele taken bijvoorbeeld rondom bewustwording binnen de gemeente.

Adviseur informatie

De adviseur Informatie is de kenner op het gebied van de gemeentelijke producten, informatiestromen, processen en informatiesystemen. Hij is de spin in het web en adviseert op vraagstukken die betrekking hebben op de bescherming van persoonsgegevens.

Chief Information Security Officer (CISO)

De CISO heeft een ondersteunende en adviserende rol op het gebied van privacy. Op het gebied van informatiebeveiliging heeft hij een controlerende en toezichthoudende rol.

Teammanager informatiemanagement

De teammanager informatiemanagement, de lijnmanager van de afdeling die zich bezighoudt met gegevensbeheer en gegevensbescherming, maakt eveneens deel uit van het PIT.

In lijn met de AVG heeft het College van B en W een onafhankelijk toezichthouder op de naleving van het privacybeleid aangewezen die op grond van een dienstverleningsovereenkomst zijn werkzaamheden verricht. Dit is de zogeheten Functionaris Gegevensbescherming (FG). In zijn rol als toezichthouder stelt hij vast in hoeverre het privacybeleid van de gemeente voldoet aan de eisen die daar door wet- en regelgeving aan worden gesteld. Taken van de FG De FG: • informeert en adviseert de organisatie over de werking van de AVG, overige wetgeving en het gemeentelijk beleid; • houdt toezicht op de nakoming van het privacy-beleid en achterliggende wettelijke verplichtingen; • helpt privacy-klachten tot een goed einde te brengen (ombudsfunctie); • adviseert bij privacy-incidenten over ernst en omvang; • ziet toe op het beheer van het register van verwerkingen conform artikel 30 AVG; • controleert de naleving van afspraken door de gemeente en ketenpartners, eventueel ook in samenwerking met auditors; • helpt het privacy-beleid uit te dragen en bewustzijn te creëren bij interne en externe doelgroepen; • is het contactpunt voor landelijke toezichthouders – met name de AP.

Zoals bij veel organisaties gebruikelijk is, vormt in Hilversum de FG de derde ‘verdedigingslijn’. Over zijn bevindingen brengt de FG jaarlijks een verslag uit. Binnen de gemeente Hilversum is een zogeheten CIO-office ingericht; dit CIO office bestaat nu ongeveer 2 jaar. Een van de directieleden geeft invulling aan de functie van CIO (Chief Information Officer). Het PIT rapporteert een keer per kwartaal aan de CIO. De CIO informeert vervolgens de wethouder tijdens het PHO middels dezelfde kwartaalrapportage.

4

Voor 2018 was er al privacybeleid binnen de gemeente opgesteld, maar vanwege de AVG moest dit aangepast worden. Met name aan de verplichting om het beleid actief te toetsen en te evalueren, is tot 2020 weinig gevolg gegeven. Met de vaststelling van het Privacybeleid 2020-2024 voldoet de gemeente inmiddels aan de eis uit de AVG3 dat een ‘passend gegevensbeschermingsbeleid’ vereist. Daarmee is er een belangrijke stap gezet in het actualiseren van het beleid. Privacybeleid en informatiebeveiliging Eén van de eisen uit de AVG is dat een verwerkingsverantwoordelijke, in het geval bij de gemeente gaat het dan om het College van B en W, de burgemeester of de Gemeenteraad, zelf passende technische en organisatorische maatregelen treft om persoonsgegevens te beschermen. Daarmee ontstaat een belangrijke relatie tussen informatiebeveiliging en gegevensbescherming. Door deze eis bestaat er overlap tussen het beschermen van persoonsgegevens en informatieveiligheid. Persoonsgegevens van inwoners van de gemeente Hilversum worden verwerkt met behulp van informatiesystemen die moeten voldoen aan deze ‘technische en organisatorische maatregelen’. In het informatiebeveiligingsbeleid wordt aangegeven wat deze maatregelen zijn voor de omgang met informatie. Het informatiebeveiligingsbeleid ziet op de bescherming van alle informatie.

Dus ook op het beschermen van gegevens die geen persoonsgegevens zijn. Informatiebeveiliging Voor een organisatie is de beschikbaarheid, integriteit en vertrouwelijkheid van informatie (zoals persoonsgegevens) van groot belang. Informatiebeveiliging is het proces van het nemen en beheren van passende technische en organisatorische maatregelen om dit te garanderen. Voor Nederlandse overheden is de Baseline Informatiebeveiliging Overheid (BIO) als normenkader van toepassing. In de BIO zijn (verplichte) beheersmaatregelen opgenomen. Verder gaat de BIO uit van risicomanagement op basis van een Plan-Do-Check-Act cyclus om de beveiliging continu bij te stellen en te verbeteren. De gemeente Hilversum heeft een Strategisch Informatiebeveiligingsbeleid 2020-20244 geformuleerd. Het doel van het Strategisch Informatiebeveiligingsbeleid is om de gemeente een strategisch kader te geven dat gebruikt dient te worden bij de invulling van tactisch en operationeel beleid. In een jaarlijks bij te stellen Informatiebeveiligingsplan wordt het strategisch beleid uitgewerkt in concrete maatregelen. Het Strategisch Informatiebeveiligingsbeleid beschrijft de uitgangspunten die aan het beleid ten grondslag liggen. Deze uitgangspunten zijn in lijn met de uitgangspunten van het privacybeleid.

Zo is vastgelegd dat het college van Burgemeester en Wethouders eindverantwoordelijk is voor informatiebeveiliging. De uitvoering van het beleid is een verantwoordelijkheid van de eigenaren van informatiebronnen en -systemen (c.q. de lijnmanagers). Op dezelfde wijze zoals het privacybeleid dat voorschrijft doen zij periodiek verslag via de P&C-cyclus over de naleving van het beleid (eerste lijn van verdediging). Het beleid gaat verder ook in op de rol van medewerkers: zij dienen verantwoord om te gaan met persoonsgegevens en andere informatie, zij moeten getraind worden in het gebruik van beveiligingsprocedures. De organisatie dient erop toe te zien dat medewerkers kennisnemen van de regels en richtlijnen voor informatiebeveiliging.

3 4

Art. 24 AVG lid 2 Gemeente Hilversum, Strategisch Gemeentelijk Informatiebeveiligingsbeleid Hilversum, 2020-2024

5

Net zoals in het privacybeleid wordt ook ingegaan op de tweede lijn van verdediging en de functionarissen in het PIT. Het PIT heeft nu eveneens een ondersteunende, adviserende en coördinerende rol ten aanzien van informatiebeveiliging. De CISO, die ook deelnemer is aan het PIT, heeft een onafhankelijke positie en vult de derde verdedigingslijn in. 5 De CISO rapporteert aan de directie over informatiebeveiliging, in de tijd afgestemd op de P&C-cyclus. Het Strategisch Informatiebeveiligingsbeleid beschrijft ook het proces van controle en verantwoording. De directie is verantwoordelijk voor het gevraagd en ongevraagd rapporteren aan de portefeuillehouder(s).

1.4

Over de uitwerking van het beleid

Procesbeschrijvingen en DPIA’s Verschillende aspecten van het privacybeleid van Hilversum zijn uitgewerkt in regels, procedures en werkprocessen. Een belangrijk aspect van het beleid is dat alle werkprocessen binnen de organisatie worden geïnventariseerd en aangepast op vereisten met betrekking tot privacy en informatiebeveiliging. De coördinatie van deze opdracht wordt ingevuld door het PIT. De verantwoordelijkheid voor het inventariseren van de werkprocessen en daarin aandacht besteden aan het waarborgen van de privacy ligt bij de betrokken lijnmanagers. Vooralsnog zijn er door de FG dertien werkprocessen geïdentificeerd. De FG heeft in 2018 de organisatie geadviseerd om voor deze processen op basis van een zogeheten DPIA een procesplan op te stellen en te implementeren om zo in die werkprocessen vaste afspraken te maken voor een correcte omgang met privacygevoelige gegevens. Uit diverse jaarverslagen van de FG blijkt dat verschillende van de genoemde processen nog niet (aantoonbaar) zijn onderzocht op mogelijke privacyrisico’s.6 Wat is een DPIA? DPIA staat voor Data Protection Impact Assessment. Dit wordt ook wel een Gegevensbeschermingseffectbeoordeling of een Privacy Impact Assessment (PIA) genoemd.

De AVG vereist dat er in verschillende situaties, bijvoorbeeld bij grootschalige verwerking van persoonsgegevens, vooraf aan die verwerking moet worden bepaald wat het effect van de geplande verwerkingsactiviteit is op de bescherming van de persoonsgegevens van een persoon. Met een DPIA wordt hieraan voldaan. Een DPIA geeft inzicht in de impact van de verwerking op de privacy van deze persoon. Op basis van een DPIA kunnen er maatregelen worden genomen om de impact zo nodig te verminderen. Een DPIA wordt altijd uitgevoerd op een verwerking van persoonsgegevens. Verwerkingsregister In aansluiting op artikel 30 van de AVG dient de gemeente een Verwerkingsregister in te richten. In dat artikel in de AVG wordt gespecificeerd dat het gaat om een integraal overzicht van alle verwerkingen van persoonsgegevens die onder verantwoordelijkheid van de gemeente plaatsvinden.

5 6

PIT kwartaalrapportage Q1 2021 Uit in het kader van het onderzoek verkregen informatie blijkt dat er vanaf 2020 vier DPIA’s zijn uitgevoerd, twee zich in het stadium van afronding bevinden en er twee in uitvoering zijn. In 2021 zullen er nog drie worden gestart.

6

In de verslagen van het PIT wordt genoemd dat momenteel (2021) wordt gewerkt aan een verbeterslag en actualisatie van het register. Coördinatie en planning De uitvoering van het privacybeleid wordt gemonitord door de Privacy Officer (PO). Die stelt het jaaren meerjarenplan op. In het Jaarplan 2019-20207 zijn de relevante processen, aanbevelingen van de FG, maatregelen voor organisatorische inbedding, acties voor waarborging van de rechten van betrokkenen, samenwerking met derden, maatregelen t.b.v. beveiliging en op welke manier er verantwoording wordt afgelegd opgenomen. Interne instructies Een andere uitwerking van het beleid vindt plaats door middel van interne instructies. Interne instructies hebben betrekking op de wijze waarop medewerkers en lijnmanagers inhoudelijke ondersteuning kunnen krijgen bij vragen die leven over privacy, over het waarborgen van privacy in thuiswerksituaties en over de wijze waarop informatie veilig gedeeld kan worden. Datalekken Er is een procedure opgesteld die aangeeft wat er moet gebeuren als er sprake is van een zogenaamd datalek. Dit is een situatie waarbij sprake is van vrijgekomen informatie die betrekking heeft op persoonsgegevens en in handen van onbevoegden is gekomen, voor onbevoegden toegankelijk was, of verloren is gegaan.8 Tussen 2018 en 2020 stijgt het aantal gerapporteerde datalekken van 15 naar 24.

Dit wijst volgens geïnterviewden die actief zijn in het PIT niet zozeer op een toenemende onzorgvuldigheid in de omgang met privacygevoelige informatie, maar eerder op een grotere alertheid in de organisatie op mogelijke incidenten. Uitwerking informatieveiligheidsbeleid Het Strategisch Informatiebeveiligingsbeleid krijgt een uitwerking in een jaarlijks informatiebeveiligingsplan. In dit informatiebeveiligingsplan zijn concrete tactische en operationele activiteiten uitgewerkt. In 2020 heeft de gemeente inzichtelijk gemaakt aan welke normen uit de Baseline Informatiebeveiliging Overheid (BIO; zie kader op pagina 4) (nog niet) wordt voldaan. Daarbij is ook in kaart gebracht welke maatregelen genomen moeten worden om wél aan de normen te voldoen. De gemeente besteedt op verschillende manieren aandacht aan het bewustzijn van medewerkers op het gebied van informatiebeveiliging en de veilige omgang met (persoons)gegevens. In 2020 is gestart met een driejarig bewustwordingsprogramma (het iBewustzijn-traject). Naast de bewustwordingscampagne heeft de gemeente ook een e-learning module over informatiebeveiliging. Alle medewerkers dienen deze module te doorlopen en met goed gevolg af te sluiten. Vrijwel iedereen binnen de gemeente heeft deze module inmiddels afgerond. Deze module is echter nog geen vast onderdeel van het standaard inwerktraject van alle medewerkers.

7 8

Gemeente Hilversum, Jaarplan 2019-2020; in het kader van het onderzoek is ook inzage gekregen in het jaarplan 2021. Gemeente Hilversum, Procedure datalekken – procedure bij melding van een inbreuk in verband met persoonsgegevens (artikel 33 en 34 AVG), 2020

7

Rapportage en verantwoordingsstructuur Het PIT stelt elk kwartaal een rapportage op waarin wordt ingegaan op de voortgang in de implementatie van het privacybeleid en het informatiebeveiligingsbeleid. Deze rapportage wordt uitgebracht aan de portefeuillehouder. In het beleid is vastgelegd dat de FG jaarlijks een verslag opstelt met betrekking tot de stand van zaken op het gebied van privacy. Dit verslag wordt uitgebracht aan het college van B en W. Korte beschrijving van de inhoud van het (meest recente) jaarverslag van de FG In het jaarverslag toetst de FG de naleving van de AVG op basis van tien kritieke prestatieindicatoren (KPI). Deze zijn: bestuurlijk beleid; regie & support; toezicht; werkprogramma; ketenregie; privacy by design9; verzoeken, klachten en incidenten; communicatie, training en opleiding; informatiebeveiliging en budget. Per KPI beoordeelt de FG de doelmatigheid en doeltreffendheid. Hierbij kijkt de FG naar de opzet (papieren beleid), het bestaan (de maatregelen worden daadwerkelijk in praktijk gebracht) en de werking (de maatregelen blijken in de praktijk voldoende). In het verslag uit 202010 is opgenomen hoe de gemeente op deze tien aandachtspunten scoort. Volgens dit verslag is de score op de indicatoren ‘Toezicht’ en ‘verzoeken, klachten en incidenten’ 100%11. Op aspecten als beleid en werkprogramma digitale duurzaamheid is de score bijna 100%.

Er is nog nauwelijks enige vooruitgang geboekt op het implementeren van Privacy by design en het verbeteren van de ketenregie.

Na bespreking van het jaarverslag van de FG in het college van B en W en besluitvorming over de daarin opgenomen aanbevelingen, verstuurt het college van B en W een informatiebrief aan de raad. In de jaarrekening legt het college van B en W verantwoording af aan de gemeenteraad over de realisatie en de toepassing van het privacybeleid in relatie tot informatiebeveiligingsbeleid. Uitgangspunten bij de communicatie met de burgers De website van Hilversum bevat een privacyverklaring.12 In deze verklaring stelt de gemeente inwoners op de hoogte over welke wetgeving van toepassing is en hoe gemeente deze heeft vertaald naar eigen beleid. Tevens wordt aangegeven op welke wijze de gemeente invulling geeft aan de wijze waarop de gegevens van inwoners worden gebruikt. Ook worden inwoners gewezen op de rol en de verantwoordelijkheid van de FG. Daarna legt de gemeente op hoofdlijnen uit dat zij verschillende soorten persoonsgegevens verwerkt en geeft zij een aantal voorbeelden waarom dit nodig is. Ook verschaft de website informatie over bewaartermijnen van persoonsgegevens. Eveneens wordt genoemd dat de gemeente soms persoonsgegevens deelt met andere organisaties. Daarnaast wordt het informatiebeveiligingsbeleid kort toegelicht. Er wordt aangegeven welke rechten inwoners hebben ten aanzien van hun gegevens en hoe er wordt omgegaan met datalekken.

Tot slot wordt uitgelegd waar inwoners terechtkunnen met vragen of klachten.

1.5

Over de uitvoeringspraktijk

Voor een goede omgang met privacy kan niet louter worden volstaan met het vastleggen en uitwerken van beleid. In de context van verantwoord privacybeleid wordt geregeld benadrukt dat elke 9 10

11 12

De toelichting hierbij is als volgt in het verslag verwoord: “De AVG-verantwoordelijke draagt ervoor zorg dat aantoonbaar passende maatregelen zijn genomen voor doelmatige en doeltreffende beheersing van risico’s.” In het kader van het onderzoek is inzage gekregen in het jaarverslag 2020 dat in de vergadering van het college van B en W van 20 april 2021 is besproken. Het collegebesluit en de daaraan gekoppelde raadsinformatiebrief worden ter informatie aan de raad verzonden. In dit verslag maakt de FG melding van positieve ontwikkelingen ten aanzien van het privacybewustzijn in de organisatie. 100% staat voor ‘Volledig aanwezig en aantoonbaar’ https://www.hilversum.nl/Configuratie/Contact_metde_gemeente/Privacyverklaring_gemeente_Hilversum

8

medewerker zich niet alleen bewust moet zijn van het belang van privacy, maar daar ook, in elke activiteit, naar handelt. Over de manier waarop medewerkers van de gemeente Hilversum in de dagelijkse praktijk omgaan met privacy zijn in het onderzoek verschillende inzichten verkregen. Om te beginnen is al eerder vastgesteld dat de eerste verantwoordelijkheid voor een goede naleving van het privacybeleid en de daarmee verbonden voorschriften en procedures is belegd bij de lijnmanagers. Dit geeft helderheid wie er moet toezien op de uitvoering van het beleid in de praktijk. Als er zich vragen voordoen met betrekking tot privacy waarop niet simpel in het beleid een antwoord is te vinden, kunnen medewerkers of hun lijnmanagers een beroep doen op de medewerkers van het PIT. Deze medewerkers beschikken over een goede kennis van het privacybeleid. Wanneer, zelfs na collectieve bespreking van lastige vragen in het PIT, de kennis en ervaring tekortschieten, kan het PIT een beroep doen op juristen werkzaam bij de gemeente of op de FG. Naast zijn toezichthoudende functie heeft de FG ook een adviserende en coachende rol ten aanzien van de organisatie. Medewerkers kunnen zelfstandig contact leggen met de FG. Als eerder genoemd neemt de FG ook met enige regelmaat deel aan de overleggen van het PIT. In dit overleg worden dan de meer urgente risico’s besproken.

In het onderzoek is vastgesteld dat er binnen Hilversum geen sprake is van regelmatig overleg tussen lijnmanagers en medewerkers van het PIT. Lijnmanagers worden in hun verantwoordingsprocessen niet bevraagd over hoe zij met de bescherming van persoonsgegevens omgaan of met de informatiebeveiliging. Daarmee blijven de contacten beperkt tot ad hoc vragen. Volgens diverse betrokkenen in de uitvoering zijn er niet genoeg handvatten voor alle werknemers om hun voldoende houvast te bieden hoe zij in hun dagelijks werk met persoonsgegevens moeten omgaan. Er zijn voor hen nog weinig procedures voor werkprocessen opgesteld. Wel wordt gemeld dat de medewerkers in de afgelopen jaren steeds bewuster en zorgvuldiger zijn omgegaan met de bescherming van privacygevoelige gegevens, overigens zonder dat in dit onderzoek kan worden vastgesteld of en in welke mate hiervan daadwerkelijk sprake is. In de uitvoering ervaren sommige medewerkers de AVG als belemmerend voor hun werk. Het PIT stuurt erop dat de AVG eerder als een kwaliteitsinstrument wordt gezien dan een beperkende wet. De AVG kan richtlijnen geven die het werk beter en efficiënter kunnen maken. Deze manier van kijken naar de AVG wordt nog niet door iedereen in de organisatie overgenomen. In 2019 is vanwege onvoldoende personele capaciteit door ziekte vertraging opgelopen bij de implementatie van de AVG.

In de loop van 2020 is onder meer door middel van de inzet van externe ondersteuning een begin gemaakt met het inhalen van de ontstane achterstand. Deze is nog niet ingehaald. Er is nog geen praktijk van het uitvoeren van DPIA’s en de beschrijvingen van werkprocessen voor de meeste processen binnen de gemeente missen nog.

1.6

Over de betrokkenheid van de raad

De FG doet conform beleid jaarlijks verslag aan het college van B en W over de stand van zaken met betrekking tot de omgang met privacygevoelige gegevens binnen de gemeente. Het college van B en W verzendt dit verslag ter informatie aan de gemeenteraad. Via de paragraaf bedrijfsvoering in de jaarstukken legt het college van B en W verantwoording af aan de gemeenteraad over de realisatie en de toepassing van het privacybeleid in relatie tot informatiebeveiligingsbeleid.

9

Een deel van de raadsleden ervaart tekortkomingen in de informatievoorziening over het privacybeleid. Volgens verschillende raadsleden wordt in relevante besluiten te weinig aandacht besteed aan privacyaspecten. Ook ervaren raadsleden het als een tekortkoming dat de raad geen overzicht heeft van privacy-incidenten en datalekken die zich hebben voorgedaan binnen de gemeente. De deelnemers geven aan dat zij graag expliciet over de inrichting en uitvoering van het privacybeleid geïnformeerd willen worden. Impliciet geven zij hiermee aan dat de voor de raad beschikbare rapportages daarin naar hun mening onvoldoende voorzien. In ieder geval hebben zij genoemd dat het voor hen niet voldoende is wanneer beleidsinhoudelijke documenten louter een paragraaf over de privacy bevatten. Natuurlijk geeft dat hun wel inzicht over de wijze waarop rond dat thema aandacht wordt besteed aan privacy. Maar de raadsleden zouden ook over de verschillende thema’s heen geïnformeerd willen worden. Het jaarverslag van de FG is daar geschikt voor, maar wordt door de raadsleden niet in dat opzicht herkend en gebruikt.13 Verder hechten raadsleden aan een duidelijke en consistente communicatie over de inrichting van het privacybeleid aan de burgers. Burgers moeten nadrukkelijk worden geïnformeerd over hun rechten en wat de gemeente doet (of juist niet doet) met hun persoonlijke gegevens.

1.7

Beantwoording onderzoeksvragen

In het onderzoek is geconstateerd dat Hilversum privacybeleid heeft vastgesteld. Dit is uitgewerkt in regels en procedures. Gebleken is dat er binnen de organisatie ook uitvoering wordt gegeven aan dit beleid, al is die uitvoering niet altijd een direct gevolg van het privacybeleid als zodanig. Het komt soms meer voort uit gewoonten en historie binnen verschillende organisatieonderdelen van de gemeente. Het is lastig een algemeen beeld te schetsen van de gemeente omdat het niveau waarin er uitvoering wordt gegeven aan het beleid sterk verschilt per afdeling en zelfs per team. Het de gevolgen van het privacybeleid voor de zes werkprocessen binnen de gemeente is (nog) vrijwel geheel niet nader uitgewerkt.14 Het ontbreekt in het algemeen binnen de organisatie aan relevante basiskennis over privacy. Tegelijkertijd zijn er ook onderdelen binnen de organisatie waar aantoonbaar wordt geanticipeerd op de uitdagingen die besloten liggen op een verstandige omgang met privacy. Als gekeken wordt naar basisvereisten die voortkomen uit de AVG, dan kan worden vastgesteld dat er sprake is van een onafhankelijke FG, van een verwerkingsregister15 en een gegevensbeschermingsbeleid. In het beleid worden de rechten van betrokkenen16 toegelicht. Ook wordt het beleid op verschillende manieren gecommuniceerd aan inwoners.17 De AVG stelt ook de eis dat er DPIA’s worden uitgevoerd.

18 Geconstateerd is dat Hilversum achterloopt als het gaat om het (goed) in kaart hebben van de aandacht voor en bescherming van privacy in de essentiële (dertien) werkprocessen. Dit blijkt uit de jaarverslagen van de FG en het betrekkelijk geringe aantal DPIA’s dat is uitgevoerd sinds de inwerkingtreding van de AVG. Tegelijkertijd is vanaf 2020 sprake van een 13

14 15 16 17 18

Het jaarverslag van de FG wordt in eerste instantie aangeboden aan het College van B en W. Na bespreking van dit verslag in het college van B en W en daaraan gekoppelde besluitvorming, informeert het College van B en W de raad hierover door middel van een raadsinformatiebrief. De raadsinformatiebrief die betrekking heeft op het jaarverslag over 2019, is in 2020 ter kennisname, zonder inhoudelijke bespreking, aangenomen door de raad. Het gaat hierbij om de domeinen Cultuur en sport, Fraudeonderzoek, Gemeenteraadsprocessen, Lokale economie, Milieu en duurzaamheid en Wonen, ruimte en bereikbaarheid. Art. 30 AVG Hoofdstuk III AVG Art. 12 AVG Art. 35 AVG

10

inhaalslag. Zo heeft het uitvoeren van de DPIA’s nu prioriteit gekregen binnen het privacy-jaarplan. In hoeverre dit daadwerkelijk leidt tot het inhalen van de achterstand op dit aspect van het beleid, kon in dit onderzoek niet worden vastgesteld. Uit het onderzoek komt tevens naar voren dat het privacybeleid nog weinig in de organisatie is geborgd. Zo heeft niet iedereen binnen de gemeente scherp dat privacy een gedeelde verantwoordelijkheid is die het eigen werk of dat van de afdeling overstijgt. Op basis van de gepresenteerde bevindingen kunnen de eerste vier19 van de gestelde onderzoeksvragen nu als volgt worden beantwoord: Beantwoording onderzoeksvragen 20 Vr. Welk beleid hanteert de gemeente Hilversum rond de verwerking van persoonsgegevens, om ervoor te zorgen dat privacy van burgers optimaal en in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG) worden beschermd? Antw. Het beleid van Hilversum met betrekking de privacybescherming van de burgers voldoet aan de (basis)eisen en voorwaarden die daaraan op basis van wet- en regelgeving kunnen worden gesteld. Vr. Hoe is dit beleid uitgewerkt in regels, procedures en werkprocessen? Antw. De uitwerking van het privacybeleid in regels, procedures en werkprocessen is planmatig en systematisch ter hand genomen, nadat aanvankelijk vanwege personele wisselingen enige vertraging was ontstaan.

Deze uitwerking is nog niet voor alle werkprocessen op orde. Vr. Worden deze regels, procedures en werkprocessen in de dagelijkse uitvoeringspraktijk ook daadwerkelijk gehanteerd en wordt daarmee voldaan aan de voorwaarden en vereisten uit de AVG? Antw. De uitvoeringspraktijk sluit aan bij het beleid en volgt daarmee de vereisten uit de AVG. Desalniettemin wordt niet volledig voldaan aan alle voorwaarden en vereisten. Het belang van het besteden van aandacht voor de privacy van de burgers is nog niet volledig geïntegreerd in het dagelijks handelen van de medewerkers. Verder schiet de aandacht voor het verrichten van zogenaamde DPIA’s tekort. Dit maakt dat de gemeente in de praktijk onvoldoende zicht heeft op de risico’s ten aanzien van de bescherming van persoonsgegevens. Vr. Op welke manier wordt de gemeenteraad geïnformeerd over de uitvoering van het beleid rondom de bescherming van persoonsgegevens? Welke mogelijkheden heeft de raad om te sturen en te controleren? Antw. De gemeenteraad wordt geïnformeerd over de uitvoering van het beleid door middel van het jaarverslag van de FG en daarnaast via de P&C-cyclus. Raadsleden zelf hebben de behoefte uitgebreider en gerichter geïnformeerd te worden, en ook meer specifieke informatie te ontvangen, zoals over privacy-incidenten, datalekken en de wijze waarop burgers worden geïnformeerd over privacy.

Ook zouden ze graag zien dat bij relevante beleidsinhoudelijke thema’s expliciet wordt gerapporteerd over de aandacht voor privacy. Met gebruikmaking van de beantwoording van de deelvragen kan ook de centrale vraag worden beantwoord:

Zoals ook bij aanvang is aangegeven, heeft één van de onderzoeksvragen veeleer betrekking op aanbevelingen die uit de constateringen volgen. Deze beantwoording van deze paragraaf komt daarmee in de volgende paragraaf aan de orde. 20 Onderzoeksvraag 5 wordt in 1.7 beantwoord. 19

11

Centrale onderzoeksvraag en - antwoord Vr. In hoeverre is de bescherming van persoonsgegevens van inwoners van de gemeente Hilversum gewaarborgd, zowel in beleid als in de uitvoeringspraktijk? Antw. Geconstateerd is dat de bescherming van persoonsgegevens van inwoners van de gemeente Hilversum in de basis voldoende is gewaarborgd. Het beleid voldoet aan de eisen die vanuit wet- en regelgeving daaraan worden gesteld. Ook wordt het beleid gestructureerd en gecoördineerd uitgewerkt, geïmplementeerd en gemonitord in de organisatie. Wel is tussen 2018-2020 vertraging opgetreden, hetgeen er toe leidt dat er momenteel in de uitvoeringspraktijk sprake is van achterstanden en tekortkomingen.

1.8

Conclusies en aanbevelingen

- Het beleid voldoet In het onderzoek is vastgesteld dat het privacybeleid van de gemeente Hilversum op hoofdlijnen staat. Deze algemene bevinding is ook getoetst aan het vooraf in het kader van het onderzoek door de rekenkamer opgestelde normenkader. Het overzicht daarvan is opgenomen in bijlage C. Uit deze bijlage blijkt dat Hilversum weliswaar grotendeels, maar niet volledig voldoet aan de gestelde normen. - De focus ligt sterk op de eigen organisatie, de raad is minder in beeld Er is geconstateerd dat momenteel de focus in de organisatie sterk is gericht op het realiseren van een aanvaardbaar niveau van gegevensbescherming in de organisatie. Het belang van het informeren en betrekken van de gemeenteraad bij het beleid is op de achtergrond geraakt. - Er zijn risico’s, maar die zijn beheersbaar Niet alle risico’s met betrekking tot de bescherming van de privacy van de inwoners van Hilversum zijn afgedekt. Dit komt onder meer naar voren uit het gegeven dat nog niet alle essentiële werkprocessen zijn getoetst op een juiste omgang met privacygevoelige aspecten. In de context van het onderzoek is gemeld dat het privacybewustzijn van medewerkers toeneemt, maar dat er toch redenen zijn om aan te nemen dat er in de volle breedte van de organisatie nog onvoldoende sprake is van een goede benadering en dagelijkse omgang met privacy.

Er kan daardoor nog steeds dagelijks sprake zijn van een onzorgvuldige omgang met persoonsgegevens. Concreet zijn er de volgende risico’s: •

Incidenten en gebleken tekortkomingen kunnen ten minste leiden tot negatieve beeldvorming rond het functioneren van de gemeente;

•

Ingrijpende incidenten of tekortkomingen kunnen leiden tot schadeclaims van gedupeerden of boetes vanuit toezichthoudende instanties zoals de AP;

•

Een onzorgvuldige omgang met informatie en het beheer daarvan kan er ook toe leiden dat er op grotere schaal sprake is van datalekken, dat de gemeente kwetsbaar wordt voor diefstal van privacygevoelige gegevens of hacks door externe - meestal kwaadwillende - organisaties.

Het noemen van deze tekortkomingen en risico’s laat toch onverlet dat in het algemeen de gemeente voldoet aan de minimum vereisten van de AVG. De hierboven genoemde risico’s zijn aanwezig, maar er zijn in dit onderzoek geen concrete voorbeelden gevonden van ingrijpende incidenten of een opzettelijke onzorgvuldige omgang van persoonsgegevens. - Aanbevelingen De geconstateerde tekortkomingen vragen om de nodige aanbevelingen vanuit de rekenkamer. De aanbevelingen vormen tevens een antwoord op deelvraag vijf: wat moet de gemeente doen om ervoor te zorgen dat privacy van burgers optimaal en in overeenstemming met de AVG wordt beschermd? 12

De rekenkamer doet de volgende aanbevelingen aan het college van B en W: •

Het is noodzakelijk om te blijven sturen op het inlopen van de eerder ontstane achterstanden. Dit is met name de uitwerking van alle relevante instructies en procedures en de geregelde uitvoering van DPIA’s, en de actualisatie van het verwerkingsregister.

•

Over de volle breedte van de organisatie, c.q. bij elke medewerker, dient permanent aandacht te worden besteed aan het bevorderen van het bewustzijn om in het dagelijks handelen correct en prudent om te gaan met gevoelige informatie van de inwoners.

•

Benadruk in dat verband de belangrijke rol die lijnmanagers hebben in het bieden van een eerste waarborg dat dit gebeurt. Dit kan onder meer gebeuren door privacy expliciet onderdeel te maken van het inwerktraject van nieuwe medewerkers. In de periodieke beoordelingscyclus dient eveneens structureel aandacht te zijn voor de wijze waarop medewerkers blijk geven van privacybewustzijn. Dit kan bijvoorbeeld door in dit gesprek na te gaan of de medewerker (aangeboden) cursussen heeft gevolgd of in te gaan op de mate waarin de medewerker vastgestelde werkprocessen en richtlijnen volgt.

•

Ga in gesprek met de raad over de gewenste inrichting van de informatievoorziening ten behoeve van de raad. Dat betreft zowel het niveau van de informatie als de frequentie waarin de raad geïnformeerd wordt. −

Onder meer zou een jaarlijkse themapresentatie (bijvoorbeeld op de dag van de privacy) kunnen worden overwogen, waarbij de FG of de PO de raad meeneemt in werkwijzen en dilemma’s rond een specifieke casus.

−

Agendeer het jaarverslag van de FG ter bespreking in de raad.

−

Besteed bij beleidsinhoudelijke onderwerpen expliciet aandacht aan de positie van privacy binnen dit onderwerp. Dat is in het bijzonder relevant bij behandeling van onderwerpen in het sociaal domein of in het kader van ‘Smart City’.

Aan de gemeenteraad doet de rekenkamer de volgende aanbeveling: •

Besteed proactief aandacht aan de informatie die nu al beschikbaar is voor de raad. Agendeer en bespreek deze informatie.

13

2.

Inrichting van het onderzoek

In de inwerkingtreding van de Algemene Verordening Gegevensbescherming in mei 2018 hebben veel overheden, het Rijk, provincies, waterschappen en gemeenten, aanleiding gezien om hun privacybeleid te actualiseren. Dit betrof ook Hilversum. Deze ontwikkeling maakt aandacht voor de actuele stand van zaken in het gemeentelijk privacybeleid een relevant thema voor een onderzoek door een (lokale) rekenkamer. Immers, wet- en regelgeving stellen de norm waaraan lokaal beleid moet voldoen. Voor elk rekenkameronderzoek is het dan relevant om daadwerkelijk te onderzoeken of dat het geval is. De bescherming van de persoonsgegevens van inwoners is ook een onderwerp met een groot maatschappelijk belang: privacy is een grondrecht voor alle inwoners. De overheid moet zich daarom tot het uiterste inspannen om de bescherming van de privacy te waarborgen. Dit geldt ook voor gemeenten. Elke gemeente in Nederland beheert en verwerkt veel persoonsgegevens om haar taken te kunnen uitvoeren. Zowel binnen de gemeente als met derden worden persoonsgegevens van haar burgers uitgewisseld, een uit privacy-oogpunt altijd kwetsbaar proces. Daarmee lopen gemeenten ook de nodige risico’s. Het voorkomen van aantastingen van de privacy van de inwoners is voor hen van groot belang.

De rekenkamer Hilversum heeft daarom een onderzoek uitgevoerd dat zich richt op de bescherming van persoonsgegevens van de inwoners van Hilversum, de wijze waarop dit in beleid en maatregelen is geregeld en de wijze waarop de uitvoering met persoonsgegevens omgaat. Het onderzoek betreft de gehele gemeente. Door middel van twee casestudies is nadere aandacht besteed aan het beleid en de uitvoering van de Participatiewet en Smart City. De hoofdvraag van dit onderzoek is als volgt: In hoeverre is de bescherming van persoonsgegevens van inwoners van de gemeente Hilversum gewaarborgd, zowel in beleid als in de uitvoeringspraktijk? Deze centrale vraag is vertaald naar vijf deelvragen: Onderzoeksvragen 1

Welk beleid hanteert de gemeente Hilversum rond de verwerking van persoonsgegevens, om ervoor te zorgen dat privacy van burgers optimaal en in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG) worden beschermd?

2

Hoe is dit beleid uitgewerkt in regels, procedures en werkprocessen?

3

Worden deze regels, procedures en werkprocessen in de dagelijkse uitvoeringspraktijk ook daadwerkelijk gehanteerd en wordt daarmee voldaan aan de voorwaarden en vereisten uit de AVG?

4

Zo nee, wat moet de gemeente doen om ervoor te zorgen dat privacy van burgers optimaal en in overeenstemming met de AVG wordt beschermd?

5

Op welke manier wordt de gemeenteraad geïnformeerd over de uitvoering van het beleid rondom de bescherming van persoonsgegevens? Welke mogelijkheden heeft de raad om te sturen en te controleren? 14

In onderzoeken van rekenkamers is het gebruikelijk om te werken met een normenkader. Dit biedt de mogelijkheid om de bevindingen mee te beoordelen. Zo’n normenkader wordt opgesteld aan de hand van bestaande inzichten en eerdere studies over wat verantwoord is rond dit specifieke onderwerp. Dit heeft geresulteerd in het volgende normenkader. In bijlage C wordt verslag gedaan van de toetsing van de bevindingen aan de opgestelde normen. Normen Gemeentelijk beleid (onderzoeksvragen 1, 2 en 3) Het gemeentelijk beleid voldoet tenminste aan de eisen die in wet- en regelgeving worden gesteld: generiek aan de AVG, en specifiek voor de genoemde materiewetten. • In het gemeentelijk beleid wordt ingegaan op: − Juridische aspecten op basis van de AVG en de materiewetten. − Vertaling naar de beleidskaders privacy. − Organisatie, taken en verantwoordelijkheden. − Inrichting werkprocessen. − De toepassing van informatiesystemen en ICT. − De gegevens- en informatiestromen. − De positie van en communicatie met de burger. • De gemeente hanteert landelijke standaarden, zoals de Baseline Informatiebeveiliging Overheid (BIO). • In de procesbeschrijvingen en instructies is duidelijk welke functionaris welke gegevens in welke processtap mag verwerken, en onder welke condities dat mag. • De gemeente heeft beleid voor incidenten waarbij sprake is van schending van de privacy van inwoners.

Dit beleid voldoet aan de wettelijke vereisten. • De gemeente verschaft aan burgers schriftelijk en mondeling begrijpelijke informatie over het gebruik van hun persoonsgegevens, zowel in algemene zin als afgestemd op de verschillende fasen in het dienstverleningsproces. Daarbij wordt aangegeven met welk doel dit gebeurt, wie inzage heeft en wat er vervolgens met de gegevens gebeurt. • De gemeente informeert de burger op een toegankelijke en begrijpelijke wijze over hun privacy-rechten, zowel schriftelijk als mondeling. Leren en verbeteren (onderzoeksvraag 4) •

De gemeente heeft vastgelegd hoe en wanneer medewerkers worden getraind in/ er aandacht besteed wordt aan het onderwerp privacy. • Het toezicht op gebruik van persoonsgegevens is vastgelegd in een controleplan, waarin onder meer staat: hoe dit proces verloopt, de periodiciteit van de controles, wie daarbij betrokken zijn (functienamen en persoonsnamen), wie controles uitvoert, aan wie wordt gerapporteerd, hoe de resultaten worden vastgelegd, wat de criteria zijn voor vervolgstappen, welke de vervolgstappen kunnen zijn en wie die neemt. • Het controleplan sluit aan op het gemeentelijk beveiligingsplan en op het Integriteitsbeleid. • De medewerkers zijn bekend met het gemeentelijk beleid bescherming persoonsgegevens. • In de praktijk wordt gehandeld conform de wijze waarop de bescherming van de persoonsgegevens is geregeld in de relevante werkprocessen, de toewijzing van verantwoordelijkheden, de inrichting van informatiesystemen, de autorisaties, de afspraken voor de verwerking van gegevens en de afspraken over het informeren van burgers en het vragen van toestemming. • De gemeente heeft een leer- en verbetercyclus waar privacy een apart onderdeel van uitmaakt. • De gemeente heeft een routine voor het meten en verbeteren van de bescherming van persoonsgegevens en legt vast wat de bevindingen en maatregelen zijn. Deze routine is al tenminste één keer uitgevoerd.

Kaderstellende en controlerende rol van de raad (onderzoeksvraag 5) •

• •

In de bestuursrapportages, programmabegroting en programmarekening wordt expliciet aandacht besteed aan de wijze waarop een correcte omgang met persoonsgegevens is gewaarborgd. Daaraan worden conclusies en maatregelen verbonden op basis van uitgevoerde controles. Bij de ontwikkeling van beleid heeft aandacht voor het waarborgen van privacy op de agenda van de raad gestaan.

15

Het onderzoek is begonnen met een startbijeenkomst met de direct betrokken ambtenaren. In deze bijeenkomst is ingegaan op de inrichting van het onderzoek en zijn afspraken gemaakt over het verkrijgen van de relevante documenten en het interviewen van de relevante functionarissen. Om inzicht te krijgen in het beleid is kennisgenomen van de relevante beleidsdocumenten van de gemeente. Deze documentenanalyse is aangevuld met een aantal gesprekken met functionarissen binnen de gemeente die betrokken zijn bij het opstellen van de relevante beleidsdocumenten en het doorvoeren van de aanpassingen. Een overzicht van de geïnterviewde personen is opgenomen in Bijlage A. Om meer inzicht te krijgen in zowel de heersende organisatiecultuur met betrekking tot privacy als in de dagelijkse uitvoeringspraktijk zijn twee korte casestudies uitgevoerd. Eén over Hilversum als ‘Smart City’ en één over de rol van privacy bij de Participatiewet. In deze casussen is de omgang met vertrouwelijke gegevens binnen een proces of werkgebied (met de betrokken functionarissen) geïnventariseerd en beoordeeld. In deze twee casestudies is nader onderzocht hoe privacy geborgd wordt, zowel binnen de eigen organisatie als in de relatie met de inwoners. De navolgende feitelijke hoofdstukken 3, 4, 5 en 6 sluiten steeds aan bij de verschillende relevante onderzoeksvragen.

Aan onderzoeksvraag 4 is geen feitenhoofdstuk verbonden, omdat deze vraag betrekking heeft op de aanbevelingen die uit het onderzoek volgen.

16

3.

Het gemeentelijk beleid

Mede in reactie op de inwerkingtreding van de AVG heeft de gemeente Hilversum in maart 2020 het Privacybeleid 2020-202421 vastgesteld. Dit beleid vervangt het eerdere privacybeleid en reglement 2018-2022. Ten opzichte van het oude beleid is er meer aandacht voor risico-gestuurd werken, de visie van het gemeentebestuur in het digitale tijdperk en de verbinding met de planning & controlcyclus. Het privacybeleid is opgesteld door het college van Burgemeester en Wethouders. In het Privacybeleid wordt expliciet gesteld dat de verantwoordelijkheid om de uitvoering van het beleid te controleren berust bij de gemeenteraad. In aansluiting op de AVG worden de wettelijke kaders uitgelicht en wordt ingegaan op de uitgangspunten bij verwerking van persoonsgegevens. Ook worden de verantwoordelijkheden voor de uitvoering van dit beleid toegelicht en wordt beschreven hoe de ondersteuning van medewerkers in de organisatie en controle op de naleving van het beleid plaatsvindt. Gesteld wordt dat het college van B en W integraal verantwoordelijk is voor de zorgvuldigheid van verwerking van persoonsgegevens. De uitvoeringsverantwoordelijkheid voor gegevensbescherming ligt bij de gemeentesecretaris. De algemeen directeur is samen met de directie verantwoordelijk voor de uitvoering van het aan het privacybeleid verbonden meerjarenplan.

Kernpunten in het privacybeleid zijn een juiste uitvoering van privacybeleid en het sturen op risico’s. De zorgvuldige omgang van verwerkingen, oftewel hoe persoonsgegevens worden opgeslagen, uitgewisseld en verwijderd, vallen onder de lijnmanagers (proceseigenaar) binnen de verschillende vakafdelingen. Medewerkers zijn er elk voor verantwoordelijk dat zorgvuldig wordt omgegaan met persoonsgegevens. In het beleid is eveneens vastgelegd dat proceseigenaren - dit zijn vaak de lijnmanagers - binnen de gemeentelijke vastgestelde P&C-cyclus periodiek verslag doen over de naleving van het beleid. Dit wordt in de context van het privacy-beleid wel de eerste waarborg of verdedigingslinie van dit beleid genoemd (‘first line of defence’). Op deze wijze wordt de gemeenteraad geïnformeerd en kan zo nodig ook invulling geven aan de controlerende verantwoordelijkheid van de gemeenteraad. De tweede ‘lijn van verdediging’ bestaat in Hilversum uit het zogeheten Privacy & Informatieveiligheid Team, afgekort als PIT. Dit team ondersteunt, adviseert en coördineert alle voor het privacybeleid relevante activiteiten binnen de organisatie. Het PIT bestaat een zogeheten Privacy Officer, Security Officer, Adviseur Informatie en de Chief Information Security Officer (CISO).

Door hun coördinerende functie kan dit team bewaken dat binnen de organisatie aandacht is voor privacy en bijsturen als de teamleden van mening zijn dat dit onvoldoende is.

21

Gemeente Hilversum, Privacybeleid 2020 - 2024

17

Functies binnen het Privacy en Informatieveiligheid Team Functie

Functieomschrijving

Privacy Officer

De Privacy Officer is specialist op het gebied van de bescherming van persoonsgegevens, en ondersteunt en adviseert het lijnmanagement vanuit de tweede verdedigingslijn omtrent de bescherming van persoonsgegevens. De privacy Officer adviseert de organisatie bij vragen op het gebied van bescherming van persoonsgegevens.

Security Officer

De Security Officer is verantwoordelijk voor het vormgeven en bewaken van het informatiebeveiligingsbeleid, en ondersteunt en adviseert het lijnmanagement vanuit de tweede verdedigingslijn. De Security Officer richt zich op de tactische uitwerking van beleid en normen uit de Baseline Informatiebeveiliging Overheid en operationele taken bijvoorbeeld rondom bewustwording binnen de gemeente.

Adviseur Informatie

De Adviseur Informatie is de kenner op het gebied van de gemeentelijke producten, informatiestromen, processen en informatiesystemen. Hij is de spin in het web en adviseert op vraagstukken die betrekking hebben op de bescherming van persoonsgegevens.

Chief Information Security Officer (CISO)

De CISO heeft een ondersteunende en adviserende rol op het gebied van privacy. Op het gebied van informatiebeveiliging heeft hij een controlerende en toezichthoudende rol.

Teammanager Informatiemanagement

De Teammanager Informatiemanagement, de lijnmanager van het team dat zich bezighoudt met gegevensbeheer en gegevensbescherming, maakt eveneens deel uit van het PIT.

Binnen de gemeente is sinds twee jaar een zogeheten CIO-office ingericht. CIO is de afkorting voor Chief Information Officer. Hiermee wordt een functionaris bedoeld die op directieniveau verantwoordelijk is voor het informatiebeleid. Hiertoe behoren zowel het privacybeleid als het informatiebeveiligingsbeleid. Het PIT rapporteert een keer per kwartaal aan de CIO. In lijn met de AVG heeft het college van B en W een onafhankelijk toezichthouder op de naleving van het privacybeleid aangewezen, die op grond van een dienstverleningsovereenkomst zijn werkzaamheden verricht. Dit is de zogeheten Functionaris Gegevensbescherming (FG). In zijn rol als toezichthouder stelt hij vast in hoeverre het privacybeleid van de gemeente voldoet aan de eisen die daar door wet- en regelgeving aan worden gesteld.

Taken van de FG De FG: • informeert en adviseert de organisatie over de werking van de AVG, overige wetgeving en het gemeentelijk beleid; • houdt toezicht op de nakoming van het privacy beleid en achterliggende wettelijke verplichtingen; • helpt privacy-klachten tot een goed einde te brengen (ombudsfunctie); • adviseert bij privacy-incidenten over ernst en omvang; • ziet toe op het beheer van het register van verwerkingen conform artikel 30 AVG; • controleert de naleving van afspraken door de gemeente en ketenpartners, eventueel ook in samenwerking met auditors; • helpt het privacy beleid uit te dragen en bewustzijn te creëren bij interne en externe doelgroepen; • is het contactpunt voor landelijke toezichthouders – met name de AP.

18

De FG vormt in Hilversum de derde ‘verdedigingslijn’. Over zijn bevindingen brengt de FG jaarlijks een verslag uit. De totstandkoming van het privacybeleid is, in overleg met de betrokken portefeuillehouders, voorbereid door een ambtelijke werkgroep. Het functioneren van deze werkgroep is kort na aanvang beperkt door de uitval van de privacy officer. Eerst is afgewacht op welke termijn deze functionaris mogelijk weer actief zou worden. Al met al hebben de voorbereidingen op de actualisatie van het gemeentelijk privacybeleid daarmee langere tijd in beslag genomen dan oorspronkelijk voorzien. Voor 2018 was er al privacybeleid binnen de gemeente opgesteld, maar in het jaarverslag over 2018 heeft de FG aangedrongen op actualisering van dit beleid. Dit heeft tot 2020 vertraging opgelopen door de personele uitval, met name daar waar het gaat om de verplichting vanuit de AVG om het beleid actief te toetsen en te evalueren. Met de vaststelling van het Privacybeleid 2020-2024 voldoet de gemeente aan de eis uit de AVG 22 dat een ‘passend gegevensbeschermingsbeleid’ vereist en is er een belangrijke stap gezet in het actualiseren van het beleid. Dit nieuwe beleid wordt actief gemonitord door het PIT dat waar nodig extra maatregelen neemt t.a.v. privacy en informatiebeveiliging.

Privacybeleid en informatiebeveiliging Eén van de eisen uit de AVG is dat het verwerkingsverantwoordelijke bestuursorgaan (in het geval van de gemeente kan dat het College van B&W zijn of de gemeenteraad) passende technische en organisatorische maatregelen treft om persoonsgegevens te beschermen. Daarmee ontstaat een belangrijke relatie tussen informatiebeveiliging en gegevensbescherming. Door deze eis bestaat er overlap tussen het beschermen van persoonsgegevens en informatieveiligheid. Persoonsgegevens van inwoners van de gemeente Hilversum worden verwerkt met behulp van informatiesystemen die moeten voldoen aan deze ‘technische en organisatorische maatregelen’. In het informatiebeveiligingsbeleid wordt aangegeven wat deze maatregelen zijn voor de omgang met informatie. Het informatiebeveiligingsbeleid ziet op de bescherming van alle informatie. Dus ook op het beschermen van gegevens die geen persoonsgegevens zijn. Informatiebeveiliging Voor een organisatie is de beschikbaarheid, integriteit en vertrouwelijkheid van informatie (zoals persoonsgegevens) van groot belang. Informatiebeveiliging is het proces van het nemen en beheren van passende technische en organisatorische maatregelen om dit te garanderen. Voor Nederlandse overheden is de Baseline Informatiebeveiliging Overheid (BIO) als normenkader van toepassing. In de BIO zijn (verplichte) beheersmaatregelen opgenomen.

Verder gaat de BIO uit van risicomanagement op basis van een Plan-Do-Check-Act cyclus om de beveiliging continu bij te stellen en te verbeteren. De gemeente Hilversum heeft een Strategisch Informatiebeveiligingsbeleid 2020-202423 geformuleerd. Dit beleidsdocument vervangt het Informatiebeveiligingsbeleid 2015-2018. Het doel van het Strategisch Informatiebeveiligingsbeleid is om de gemeente een strategisch kader te geven dat gebruikt dient te worden bij de invulling van tactisch en operationeel beleid. In een jaarlijks bij te stellen Informatiebeveiligingsplan wordt het strategisch beleid uitgewerkt in concrete maatregelen. 22 23

Art. 24 AVG lid 2 Gemeente Hilversum, Strategisch Gemeentelijk Informatiebeveiligingsbeleid Hilversum, 2020-2024. Vastgesteld door het College van Burgermeester en Wethouders op 17 maart 2020.

19

Het Strategisch Informatiebeveiligingsbeleid beschrijft de uitgangspunten die aan het beleid ten grondslag liggen. Deze uitgangspunten zijn in lijn met de uitgangspunten van het privacybeleid. Zo is vastgelegd dat het college van Burgemeester en Wethouders eindverantwoordelijk is voor informatiebeveiliging. De uitvoering van het beleid is een verantwoordelijkheid van de eigenaren van informatiebronnen en -systemen (een lijnmanager). Op dezelfde wijze zoals het privacybeleid dat voorschrijft doen zij periodiek verslag via de P&C-cyclus over de naleving van het beleid (eerste lijn van verdediging). Het beleid gaat verder ook in op de rol van medewerkers: zij moeten verantwoord om te gaan met persoonsgegevens en andere informatie, zij moeten getraind worden in het gebruik van beveiligingsprocedures en de organisatie ziet er op toe dat medewerkers kennisnemen van de regels en richtlijnen voor informatiebeveiliging. Het beleid is verder in lijn met de AVG. Net zoals in het privacybeleid wordt ook ingegaan op de tweede lijn van verdediging en de functionarissen in het PIT. Het PIT heeft nu eveneens een ondersteunende, adviserende en coördinerende rol ten aanzien van informatiebeveiliging. De CISO, ook onderdeel van het PIT, heeft een onafhankelijke positie en vult de derde verdedigingslijn in.