Strategisch Gegevensbescherming en Informatiebeveiligingsbeleid 2025 -2029 - Raadsvoorstel

RAADSVOORSTEL zaaknummer:

1575125

afdelingsnaam:

Interne Dienstverlening

steller:

Theo Buijtenweg

telefoonnummer

035 629 2123

onderwerp:

Strategisch gegevensbescherming en informatiebeveiligingsbeleid

Voorstel 1.

Het Strategisch Gegevensbescherming en Informatiebeveiligingsbeleid 2025 -2029 vast te stellen

Planning Titel Vaststellen van het Strategisch Gegevensbes cherming en Informatiebeveiligingsbeleid 2025 2029

Toelichting Het Strategisch Gegevensbescherming en Informatiebeveiligingsbeleid 2025 -2029 en vervangt het in 2020 vastgestelde ‘Gemeentelijk Informatiebeveiligingsbeleid 2020-2024’ en het ‘Privacybeleid 20202024’.

BEELDVORMING 26 februari 2025

Samenvatting

OORDEELSVORMING 26 februari 2025

BESLUITVORMING 5 maart 2025

Als gemeente is het van belang om onze informatiehuishouding op orde hebben. De (persoons)gegevens die we beheren moeten beschikbaar zijn voor de uitvoering van de dagelijkse taken, maar ook goed beschermd. Inwoners, bezoekers, ondernemers, medewerkers en (keten)partners (belanghebbenden) moeten erop kunnen vertrouwen dat we passende bescherming bieden bij de verwerking van hun (persoons)gegevens. Het beleid is erop gericht om deze belangen naar evenredigheid tegen elkaar af te wegen, terwijl we rekening houden met het algemeen belang dat we als gemeente dienen. De beveiliging en verwerking van (persoons)gegevens dient hierbij de mens en ondersteunt de taken die we als gemeente uitvoeren. Het beleid biedt het bestuur, het management en de organisatie structuur bij de sturing op en het beheer van gegevensverwerkingen en informatiebeveiliging. Concepten zijn ter advies voorgelegd en besproken met het Stadspanel Data en de Functionaris Gegevensbescherming (FG). De besproken adviezen zijn meegenomen in de definitieve versie van het beleid. Beiden hebben positief geadviseerd, de adviezen zijn als bijlage bij de stukken gevoegd.

1

Inleiding

We willen de (persoons)gegevens die we als gemeente beheren optimaal beschermen. Tegelijkertijd willen we veilige en correcte producten en dienstverlening bieden. We voeren wettelijke taken uit; zorgvuldig en naar menselijke maat. Daarbij maken we weloverwogen afwegingen van belangen. We identificeren mogelijke risico’s van het gebruik van (persoons)gegevens. Onze inwoners, ondernemers, bezoekers en medewerkers mogen rekenen op een gemeentelijke organisatie die hun (persoons)gegevens weloverwogen gebruikt, beveiligt en beschermt en er voor zorgt dat deze waar nodig beschikbaar zijn. Dit beleid beschrijft het strategisch Gegevensbescherming- en Informatiebeveiligingsbeleid (G&I beleid) voor de jaren 2025-2029 en vervangt het in 2020 vastgestelde ‘Gemeentelijk Informatiebeveiligingsbeleid 2020-2024’ en het ‘Privacybeleid 2020-2024’. Beveiliging van gegevens en de bescherming van persoonsgegevens zijn in de uitvoering onlosmakelijk met elkaar verbonden. Daarom is ervoor gekozen om het strategische beleid op het gebied van de bescherming van persoonsgegevens te combineren met het beleid rondom informatiebeveiliging. Uit de audit op de verwerking van gegevens onder de Wet politiegegevens (Wpg) is gebleken dat beleid over de verwerking van Wpg gegevens binnen de gemeente nog ontbrak. Daarom is nu ook het Wpg beleid in het gegevensbescherming en informatiebeveiligingsbeleid opgenomen.

Probleemstelling/doel

Dit beleid geeft de kaders voor een zorgvuldige omgang met de gegevens die we als gemeente bij de uitvoering van onze taken verwerken. We zien het als een belangrijke opgave om de bescherming van rechten en vrijheden van personen waarvan we (persoons)gegevens verwerken te borgen. Dit zonder te kort te doen aan de noodzaak om de gegevens waar nodig te kunnen gebruiken en delen als deze nodig zijn voor een effectieve dienstverlening, bescherming van de openbare orde en veiligheid of zorgtaken. Het beleid biedt de kaders voor een zorgvuldige omgang met (persoons)gegevens, waarbij de menselijke maat centraal staat. Het zorgt voor gegevensbescherming op een manier die de beschikbaarheid en kwaliteit van informatie waarborgt en waarbij de (persoons)gegevens verantwoord en ethisch, in overeenstemming met onze kernwaarden kunnen worden gebruikt.

Argumenten

1.1 Behoorlijk en betrouwbaar bestuur Met de vaststelling van dit beleid hernieuwt het gemeentebestuur de opdracht tot de naleving van de Baseline Informatiebeveiliging Overheid en de behoorlijke en zorgvuldige verwerking van (persoons)gegevens overeenkomstig de Algemene Verordening Gegevensbescherming en de Wet Politiegegevens. Tevens onderschrijft het gemeentebestuur haar eigen aandeel hierin, dit naar gelang de verantwoordelijkheden naar Europees en Nederlands publiekrecht – of naar de maatstaven van het privaatrecht zoals goed werkgeverschap. 1.2 Waarborgen van de onderlinge samenhang van sturen, beheersen en toezicht Voor de beleidsvoering betekent dit dat de bestuursorganen zijnde het college, de burgemeester en de gemeenteraad sturing geven en eindverantwoordelijk zijn conform ieders taakstelling. Binnen het college is er een portefeuillehouder privacy, informatiebeveiliging en ICT. Daarnaast blijven burgemeester en wethouders volgens ieders eigen portefeuille verantwoordelijk voor de kwaliteit van gemeentelijke taakuitoefening en rechtsbescherming.

Kanttekeningen

1.1 Acceptabel restrisico’s Beleid dekt niet alle risico’s bij het verwerken van gegevens. Het beleid biedt een heldere structuur van hoe de verantwoordelijkheden binnen de gemeente zijn belegd, geeft kaders hoe we met de gegevens omgaan, echter dit betekent niet dat het nooit fout kan gaan. Bij het werken met (persoons)gegevens in de dagelijkse uitvoering van de gemeentelijke taken gaat het soms toch verkeerd. Door ook bij 2

incidenten de oorzaken en risico’s in kaart te brengen leren we hoe deze in de toekomst zijn te voorkomen. 1.2 Wijzigingen wet- en regelgeving Wet- en regelgeving op het gebeid van informatiebeveiliging is, met name vanuit de Europese Unie, nog volop in ontwikkeling. Zoals recent de inwerkingtreding van de Artificial Intelligence Act (AI-act) en de Network and Information Systems Security Directive (NISS2) die ook invloed hebben op processen binnen de gemeente. Dat maakt dat het beleid niet statisch is. Daarom wordt jaarlijks het beleid op actualiteit bezien en worden besproken met de directie.

Financiën, middelen & capaciteit

Het strategisch Gegevensbescherming- en Informatiebeveiligingsbeleid heeft geen financiële gevolgen.

Uitvoering 1. 2. 3. 4. 5.

6. 7. 8. 9.

Het beleid wordt gepubliceerd op het gemeenteblad van officiële bekendmakingen op overheid.nl De directie krijgt opdracht om toe te zien op de uitvoering en handhaving van het beleid Het beleid wordt jaarlijks gereviewd hierbij worden ook de ontwikkelingen vanuit de Europese wet en regelgeving meegenomen. De bevindingen wordt door het Privacy en Informatieveiligheid Team aan de directie gerapporteerd. De verantwoording over de gegevensbescherming en informatiebeveiliging komt in de bedrijfsvoering paragraaf van het gemeentelijk jaarverslag tot uitdrukking. De audit in het kader van de ENSIA-verantwoording (Eenduidige Normatiek Single Information Audit) wordt door de Chief Information Security Officer (CISO) en ENSIA coördinator gebruikt om de stukken voor het college te voorzien van een onafhankelijk oordeel. In de ENSIA collegeverklaring geeft het college van B en W aan in hoeverre de gemeente voldoet aan de gestelde eisen/normen. De verantwoording over de gegevensbescherming komt in het onafhankelijke FG-jaarverslag tot uitdrukking. Daarmee informeert de FG het college over de stand van zaken voor de gemeente Hilversum. Jaarlijks vindt een interne audit plaats op de verwerking van gegevens onder de Wpg, eens in de vier jaar vindt een externe audit plaats die wordt overlegd aan de Autoriteit persoonsgegevens.

Jaarlijks rapporteert de CISO over de informatiebeveiliging en toont in hoeverre de organisatie stappen heeft gemaakt in het verbeteren van de beveiliging. De chief information officer ontvangt deze rapportage. De Concerncontroller actualiseert in samenspraak met de CISO jaarlijks de auditplannen op het gebied van informatieverwerking.

Burgemeester en wethouders van Hilversum, de gemeentesecretaris,

17 december 2024 de burgemeester,

mr. C.P. Torres Barrera

dr. ir. G.M. van den Top

Bijlage(n) 1. 2. 3.

Strategisch Gegevensbescherming- en Informatiebeveiligingsbeleid 2025 - 2029 Advies van de Functionaris Gegevensbescherming Advies Standspanel Data

3