Eindrapport bescherming persoonsgegevens

Neutraal

•

De gemeente heeft een leer- en verbetercyclus waar privacy een apart onderdeel van uitmaakt.

Neutraal

•

De gemeente heeft een routine voor het meten en verbeteren van de bescherming van persoonsgegevens en legt vast wat de bevindingen en maatregelen zijn. Deze routine is al tenminste één keer uitgevoerd.

Positief

• • •

Positief

Neutraal

Ook als het gaat om ‘leren en verbeteren’ zijn de oordelen overwegend positief, maar hier is wel sprake van meer nuances. Geconstateerd is dat er geregeld trainingen en bewustwordingscampagnes zijn. Het jaarplan van het PIT doet ook dienst als controleplan. Of het controleplan aansluit op het integriteitsbeleid is niet onderzocht. Het oordeel ‘neutraal’ bij de norm of de medewerkers bekend zijn met het gemeentelijk beleid, alsmede of in de praktijk ook zo gehandeld wordt, wordt ingegeven door de bevinding dat er signalen zijn verkregen dat hier niet over de volle breedte van de organisatie sprake van is. Er is niet geconstateerd dat er sprake is van een expliciete leer- en verbetercyclus. Wel is het zo dat door de werkwijze van het PIT in dat gezelschap ervaringen worden geïnventariseerd en systematisch worden besproken, hetgeen leidt tot aanpassingen in activiteiten of nieuwe activiteiten. Ook de stelselmatige uitvoering van DPIA’s kan gelden als een instrument om van te leren en te verbeteren. Zoals genoemd is er wat de uitvoering van DPIA’s betreft sprake van achterstanden. Echter, de formulering van de laatste norm in dit blok, namelijk dat de routine al tenminste ‘één keer’ is uitgevoerd, leidt uiteindelijk op deze norm tot een positief oordeel. Normen

Beoordeling

Kaderstellende en controlerende rol van de raad (onderzoeksvraag 5) •

In de bestuursrapportages, programmabegroting en programmarekening wordt expliciet aandacht besteed aan de wijze waarop een correcte omgang met persoonsgegevens is gewaarborgd. Daaraan worden conclusies en maatregelen verbonden op basis van uitgevoerde controles.

Neutraal

•

Bij de ontwikkeling van beleid heeft aandacht voor het waarborgen van privacy op de agenda van de raad gestaan.

Neutraal

Geconstateerd is dat de raad structureel wordt geïnformeerd, zowel via de P&C-cyclus als door middel van het jaarverslag van de FG. Deze wijze van informeren leidt zelden tot bespreking en het formuleren van conclusies en aanbevelingen. Weliswaar is de raad ook geïnformeerd over de uitgangspunten van het beleid en vervult hierin een actieve controlerende rol. Naar mening van raadsleden zijn zij te weinig in de positie om daar goede invulling aan te geven.

42

Bijlage D

Gebruikte afkortingen

Afkorting

Betekenis

AVG

Algemene Verordening Gegevensbescherming

AI

Adviseur Informatie

BIO

Baseline Informatiebeveiliging Overheid

BIO-BBN1

Basis Informatiebeveiliging Overheidsdiensten - Basis Beveiligingsniveau 1

BIO-BBN2

Basis Informatiebeveiliging Overheidsdiensten - Basis Beveiligingsniveau 2

CISO

Chief Informatie Security Officer

ENSIA

Eenduidige Normatiek Single Information Audit

FG

Functionaris Gegevensbescherming

ISMS

Information Security Management System

PDCA

Plan-Do-Check-Act

PIT

Privacy en Informatiebeveiliging Team

PO

Privacy Officer

SO

Security Officer

43