Bijlage 5 FG Verslag 2023

DocuSign Envelope ID: BD0EFBD0-48E4-4FE4-ACAE-6B1B7994517C

FG-verslag 2023 Aan: Van: Betreft: Datum:

Het bestuur van Gemeente Hoeksche Waard De functionaris voor gegevensbescherming Naleving AVG 15 januari 2024

Jaarlijks breng ik verslag uit van de naleving van de Algemene Verordening Gegevensbescherming door Gemeente Hoeksche Waard. Voor u ligt de beoordeling van de aanpak in 2023. De AVG stelt doelen voor behoorlijk bestuur in het digitale tijdperk (AVG-rechtsbescherming). Bestuurlijke borging is dé pijler waar dat op de berust, en is daarmee de geëigende graadmeter voor toetsing van de naleving van de AVG. 1 Die bestuurlijke borging vertoont, na aanvankelijk stijging, toch weer een neergaande lijn. Dat behoeft aandacht, want gelet op het doelen van de AVG, is een neergaande lijn geen optie.

Bestuurlijke ontwikkellijn – de donkerblauwe lijn verbeeldt de AVG-beleidsvoering door Gemeente Hoeksche Waard. De lichtblauwe lijn geeft de trend weer bij andere organisaties waar PMP zicht op heeft. De groene lijn staat voor het sturingsniveau waar in de AVG vanuit wordt gegaan.

1

Naleving artikel 24 AVG of, voor zover van toepassing, artikel 19 EU-richtlijn Justitiegegevens.

1/5

DocuSign Envelope ID: BD0EFBD0-48E4-4FE4-ACAE-6B1B7994517C

Uw beleidsvoering is erop gericht om het kwaliteitsniveau van de AVG te bereiken en te behouden. 2 Dat in de afgelopen periode het tegenovergestelde gebeurde, is verklaarbaar vanwege de organisatie-uitdagingen waarmee u te maken had. Tegelijk betekent bestuurlijke borging nu juist dat er niet zoiets kan bestaan als een neergaande lijn. AVGrechtsbescherming is een continue garantie aan uw inwoners (betrouwbare overheid). De neergaande lijn lag niet aan de inzet van uw team voor privacybescherming en informatiebeveiliging (PIV). In hun werk ontbrak het echter aan inbedding in de organisatie en opdrachtverstrekking vanuit het management. FG-advies voor de komende periode Bij de juiste sturing is het goed te doen om op AVG-niveau te komen. Daarmee zeg ik niet dat Gemeente Hoeksche Waard de AVG dan in alle opzichten naleeft. Maar wel dat u het bestuurlijk eigenaarschap betracht om binnen afzienbare tijd ook op uitvoeringsniveau overal AVG-rechtsbescherming te waarborgen waar dat nodig is. U denkt hierover zelf ook na en neemt ook stappen zoals de invoering van de Three Linesaanpak. De adviezen in dit FG-verslag en het aangehechte beleidsadvies Mens Centraal Digitaal hangen hier nauw mee samen en helpen in de nadere concretisering. Mijn drie belangrijkste adviezen voor de komende periode zijn: 1.

Maak het advies Mens Centraal Digitaal u eigen in 2024, op een manier die past bij Gemeente Hoeksche Waard. 2. Zorg voor een regiegroep voor digitalisering en ketensamenwerking op bestuurlijk/DTniveau, die beschikt over inzicht en overzicht voor het realiseren van AVG-doelen. 3. Maak digitalisering en ketensamenwerking een vast punt op bestuursagenda, voor prioritering, beleidskeuzes en bespreking van de stand van uitvoering. Overige adviezen treft u aan in de rechterkolom op pagina 5.

Sergej Katus fg@gemeentehw.nl

2

AVG-beleidsvoering volgens de besluitenlijst College van B&W van 2 juli 2021, Z/20/079264

2/5

DocuSign Envelope ID: BD0EFBD0-48E4-4FE4-ACAE-6B1B7994517C

Toelichting De Algemene Verordening Gegevensbescherming is niet de privacywet die velen ervan maken, maar gaat over bescherming van personen in het digitale tijdperk (AVGrechtsbescherming). De Toeslagenaffaire illustreert het maatschappelijk belang. Bij gemeenten kunnen zelfs kleine fouten grote gevolgen hebben. De EU reguleert inmiddels dertig jaar hoe je mensen beschermt. In 1998 onderkende Nederland al dat het hier gaat om nadere normering van de beginselen van behoorlijk bestuur.3 Vanaf 2016 doet de EU dat via de AVG. Of beter gezegd; de AVG vervult een spilfunctie in een pakket van wetten, waaronder regulering van hergebruik van overheidsinformatie (‘open data’), overheidstransparantie, rechtsbescherming in de justitieketen en bij gebruik van algoritmes en kunstmatige intelligentie. Zeven jaar na invoering van de AVG had Mens Centraal Digitaal (MCD) uw tweede natuur moeten zijn, maar dat is het nog niet. Daarvoor ontbreekt het in de gemeenteorganisatie nog te veel aan teamspel in de eerste en tweede lijn. In de eerste lijn zijn bestuur, directie en teamleiders bezig met andere zaken. In de tweede lijn missen ondersteuners goed opdrachtgeverschap vanuit de eerste lijn. Kortom; de beleidsvoering leeft niet. Bijgevolg is er een achterstand ontstaan in het realiseren van AVG-doelen. Zo heeft u de uitvoering van de WMO nog steeds niet gecontroleerd op MCD-kwaliteit.

MCD-kwaliteit is een intrinsieke eigenschap die in álle opzichten aanwezig dient te zijn (resultaatsplicht). Naast maatschappelijke ondersteuning, geldt dat net zozeer voor jeugdzaken, vergunningverlening, belastingheffing, burgerzaken, subsidieverlening, vluchtelingenopvang, publieke gezondheid, personeelszaken, openbare orde en veiligheid, voorzieningen op het gebied van werk en inkomen, enzovoorts. Met dit FG-verslag spoor ik u aan om bij te sturen. Onder de groene lijn van de AVG lopen uw inwoners risico’s. Zonder ingrijpen bent u kwetsbaar voor discussie, aansprakelijkheid en boete.4 Begin 2024 beschikt u weer over een sterk team om de groene lijn te bereiken. Ook het beleidsadvies Mens Centraal Digitaal biedt u handvatten. U zult merken dat de opvolging ervan aansluit bij de organisatieverbeteringen die u nastreeft. Bij de afdoende oplossingsgerichtheid en slagvaardigheid ligt scoring op de groene lijn, zelfs in 2024 binnen handbereik.

3

Kamerstukken TK 1997-1998, 25 892, nr. 3, p. 14. De AVG moderniseert met name het zorgvuldigheidsbeginsel.

4

Artikel 82-83 AVG

3/5

DocuSign Envelope ID: BD0EFBD0-48E4-4FE4-ACAE-6B1B7994517C

Verantwoording Voor de beoordeling van de mate waarin een gemeente aan de AVG voldoet, hanteer ik hierna tien prestatie-indicatoren op bestuurlijk niveau die zijn voorzien van de volgende symbolen:

Afwezig of niet aantoonbaar

In aanzet aanwezig en aantoonbaar

Substantieel aanwezig en aantoonbaar

Grotendeels aanwezig en aantoonbaar

Volledig aanwezig en aantoonbaar

Ze zijn geplaatst in drie kolommen: – Opzet: de aanpak klopt op papier – er is goed over nagedacht. – Bestaan: de aanpak is volgens plan in praktijk gebracht – de gemeente heeft daadwerkelijk in passende gegevensbescherming voorzien. – Werking: de aanpak blijkt ook in de praktijk doelmatig en doeltreffend. Alle symbolen behoren volledig blauw te zijn. Naar AVG-maatstaven doet het gemeentebestuur er dan al het nodige aan om behoorlijk bestuur te betrachten in het digitale tijdperk. Inwoners en andere doelgroepen kunnen rekenen op een mensgerichte aanpak. Het gemeentebestuur waarborgt dan AVG-rechtsbescherming. De beoordeling is kwalitatief, door directe toetsing aan de AVG. Dit in tegenstelling tot indirecte toetsing met behulp van een standaard-auditchecklijst. Directe toetsing aan de AVG is wat je van een FG mag verwachten. Voor meer uitleg zie Hoe ben je FG?. Oordeelsvorming vloeit voort uit gesprekken, documenten, periodiek overleg, adviesaanvragen, zo nodig klachtonderzoek (inspectie) of ander contact. Organisaties verdienen punten via de symbolen, die tegelijk ook percentages verbeelden. Percentages in de opzet-kolom tellen 1 keer, in de bestaan-kolom 2 keer en in de werkingkolom 3 keer. Op deze manier kom ik tot een gewogen gemiddelde, de jaarscore, die ik weergeef als ontwikkellijn. Een 100% score is lastig vol te houden.

Bij een score onder de 90% is bijsturing geboden. Status Een functionaris voor gegevensbescherming (FG) is wettelijk toezichthouder naar Europees recht op de interne naleving van de AVG, gerelateerde wet- en regelgeving de gemeentelijke beleidsvoering. Zolang het gaat om verwerking van persoonsgegevens, gaat FG-toezicht voor op rekenkamertoetsing, audits, rechtsadvies of accountantscontrole. In voorkomende gevallen werkt de FG samen met de Autoriteit Persoonsgegevens. Boven de FG staat de rechter, en uiteindelijk het EU Hof van Justitie.

4/5

DocuSign Envelope ID: BD0EFBD0-48E4-4FE4-ACAE-6B1B7994517C

Speerpunten 1. Beleid Bestuurlijke borging informationele rechtsbescherming

Opzet

Bestaan

Werking

Advies (1) Realiseer verwevenheid MCD-beleidsvoering met dienstverlening, handhaving, belastingheffing, gemeentedemocratie en bedrijfsvoering; (2) stuur op doelmatigheid en doeltreffendheid door middel van een integrale aanpak. (3) Maak FGverslagen (3e lijn beleidsadvies) onderdeel van de horizontale verantwoording.

2.

Regie en support Proceseigenaarschap en vakkundige ondersteuning vanuit meerdere disciplines

3.

Toezicht Onafhankelijk toezicht en expertise

(1) Voorzie in regie op digitalisering op DT-niveau; (2) Schep ruimte voor proceseigenaren om goed eigenaarschap te betrachten, ook volgens de planning & control-cyclus. (3) Bewerkstellig multidisciplinaire 2e lijn support; (1) Betrek de FG als raadgever in de regievoering op digitalisering; (2) bij uitbesteding van taken of inschakeling van dienstverleners; (3) bij deelname in samenwerkingsverbanden.

4.

Werkprogramma Mens Centraal Digitaal

(1) Stel bestuurlijk prioriteiten op basis van visie en missie; (2) Stel op bestuursniveau SMART-geformuleerde doelen vast voor de korte en middellange termijn; (3) draag zorg voor een integrale aanpak volgens het 3 lines-model.

5.

Binnengemeentelijk Kwaliteit van interne werkprocessen en informatieverwerking op orde

6.

Buitengemeentelijk Uitbesteding en deelname in samenwerkingsverbanden op orde (ketenregie)

(1) Hanteer een DPIA-aanpak volgens het MCD-beleidsadvies; (2) hanteer een bijbehorend auditplan voor controle op de realisatie van DPIA-afspraken; (3) maak proceseigenaren opdrachtgever van DPIA’s volgens het jaarplan. (1) Idem dito als bij punt 5 maar nu toegepast op de complexiteit van ketensamenwerking en deelname in samenwerkingsverbanden; (2) zorg voor continuïteit- en kwaliteitswaarborgen in de aansluiting van buitengemeentelijke activiteiten op binnengemeentelijke activiteiten; (3) e.e.a. ook volgens het FGadvies SVHW.

7.

Verzoeken, klachten en incidenten Veerkracht en servicegerichtheid

8.

Communicatie en training/opleiding Cultuur, begrip en draagvlak

9.

Informatieveiligheid Beschikbare, betrouwbare en veilige informatievoorzieningen

(1) Bewaak de goede werking van afhandeling van verzoeken, klachten en incidenten. (2) Draag zorg voor goede incidentadministratie (niet alleen datalekken). (3) Blijf lering trekken uit klachten en incidenten. (1) Gebruik DPIA’s voor interne dialoog en burgerparticipatie; (2) Waarborg dat personeelswisselingen niet kunnen leiden tot een ‘kennisgat’; (3) Draag zorg voor doelgroepgerichte interne en externe communicatie (vgl. IKEA)

(1) Draag zorg voor zowel kwalitatief goede informatievoorzieningen als veilig gebruik ervan; (2) integratie van informatieveiligheid in de MCD-beleidsvoering; en (3) doorvertaling van behoeften op dit vlak in service level-afspraken bij uitbesteding en ketensamenwerking volgens punt 6.

10. Budget Financiële middelen MCD

(1) Stel de programmabegroting 2024-2027 in het licht van digitalisering en ketensamenwerking; (2) beschouw dit als een bestuurlijke opgave/kans; (3) streef intrinsieke taakvolwassenheid na op basis van kwaliteit en veerkracht (lerende organisatie) volgens het 3 lines-model in het MCD-beleidsadvies.

5/5