1.1 Jaarrapportage gegevensbescherming IJsselstein 2022

JAARRAPPORTAGE 2022 GEGEVENSBESCHERMING

Zaaknummer:102487 Opsteller: J. Baas, Functionaris Gegevensbescherming Datum: 24 maart 2023

Samenvatting In deze jaarrapportage wordt aangegeven op welke wijze het college van B&W van de gemeente IJsselstein in 2022 uitvoering heeft gegeven aan het privacy beleid. Er worden bevindingen beschreven over acties en maatregelen die de gemeente in 2022 heeft genomen om de doelstellingen en beginselen uit de Algemene Verordening Gegevensbescherming (AVG) en de Wet politiegegevens (Wpg) te behalen en te waarborgen. Ook bevat dit document aandachtspunten voor het jaar 2023 die zullen worden verwerkt in de jaarplannen 2023. In 2022 heeft de gemeente verder geïnvesteerd in de bescherming van persoons-gegevens. Het meest in het oog springende is aan de aandacht voor bewustzijn van omgang met persoonsgegevens. Hierin is in 2022 verder geïnvesteerd door middel van de Sir Askalot e-learning modules. Het is gebleken dat ongeveer 60% van de medewerkers hieraan deelneemt. Het blijft daarom een uitdaging om alle collega’s te bereiken met bewustwordingsacties. In 2022 is ook het nieuwe Bewustwordingsplan vastgesteld en in uitvoering genomen. In 2022 is een start gemaakt met het DPIA-proces door de starten met een DPIA voor het zaaksysteem Djuma. Deze DPIA is uitgevoerd door een externe adviseur (van BMC) met de bedoeling om de organisatie mee te nemen in het proces en kennis aan de organisatie over te dragen. De overdracht van informatie is echter minimaal gebleken.

Dat betekent dat voor het houden van nieuwe DPIA’s de kennis nog niet toereikend is en dat daarin nog extra moet worden geïnvesteerd. Conform de gekozen prioritering was er geen beschikbare capaciteit om het beleid aan te passen in 2022. Dit zal in 2023 worden opgepakt, mede in afstemming met de gemeenten in de regio Lekstroom. Adequaat omgaan met persoonsgegevens is een blijvend proces en zal dan ook aandacht blijven vergen van zowel bestuur, management als medewerkers. Het volwassenheidsniveau wordt momenteel (op een schaal van 1 tot 5) gescoord op 2,3. In het algemeen wordt aangenomen dat de basis volledig op bij een score van 3,0. Voor een aantal onderdelen liggen de scores op 3,0 of zelfs daarboven. Andere onderdelen scoren onder het gemiddelde van 2,3. Het gaat hierbij vooral om de formele aanpassing van het privacy beleid, het bewustwordingsproces, het ontwerpen van een systeem voor het inzicht krijgen in privacy-risico’s door middel van DPIA’s en het managen van deze risico’s, alsmede het periodiek controleren van een juist gebruik van persoonsgegevens. Hierin ligt een belangrijke uitdaging voor de teamleiders samen met hun medewerkers en ondersteuning door de PO en eventueel door de CISO bij onderwerpen over Informatiebeveiliging.

Wet politiegegevens (Wpg) Het college van burgemeester en wethouders is ook verwerkingsverantwoordelijke voor het verwerken van persoonsgegevens bij handhavingsactiviteiten van boa’s, waarbij opsporing van een strafbaar feit aan de orde is. Het gaat hierbij om het domein: openbare ruimte en leerplicht. De FG is op grond van de Wpg belast met het toezicht en dient jaarlijks een verslag op te stellen van zijn bevindingen. In 2022 is voor het eerst een interne nulmeting/Wpg-audit uitgevoerd, gevolgd door een extern auditrapport dat inmiddels is aangeleverd bij de Autoriteit Persoonsgegevens. Op basis van deze auditresultaten is er een aantal verbeterpunten geconstateerd. Dit heeft er mee te maken dat deze verwerkingen voorheen onder de regels van de AVG vielen, maar dat voortaan voor het verwerken van persoonsgegevens die nodig zijn voor opsporing, de regels van de Wpg van toepassing zijn. Onder de Wpg gelden andere bewaartermijnen en eisen bij het onderling delen van gegevens, zo staan in de Wpg concrete bewaartermijnen genoemd en in de AVG niet. Ook bevat de Wpg een verplichting tot logging (de AVG niet). Voor de opvolging van de verbeterpunten wordt een verbeterplan opgesteld dat in de komende jaren uitgevoerd zal worden als opmaat naar de externe Wpg-audit van 2025.

Door het houden van deze audits, zijn de betreffende medewerkers meer bewust geworden van een goede gegevensbescherming. In het algemeen kan worden gesteld dat de boa’s heel betrokken zijn bij hun rol en taak en op een aantal onderdelen praktisch gezien al wel werken in de geest van de Wpg. Maar een adequate verantwoording ontbreekt doorgaans nog.

2

Inhoudsopgave Inleiding ...........................................................................................................1 Wet politiegegevens (Wpg) ..................................................................................2 Algemene Verordening Gegevensbescherming (AVG) ..............................................4 1. Het beleid ....................................................................................................5 2. Processen ....................................................................................................6 3. Organisatorische inbedding ............................................................................7 4. Rechten van betrokkenen ...............................................................................8 5. Samenwerking..............................................................................................9 6. Beveiliging .................................................................................................10 7. Verantwoording ..........................................................................................11 8. Belangrijkste conclusies 2022 .......................................................................12

3

Inleiding De gemeente is zich steeds meer bewust van het belang van het beschermen van persoonsgegevens van haar inwoners. Er worden immers bij de uitoefening van haar taken veel (gevoelige) gegevens van veel (kwetsbare) inwoners in veel verschillende domeinen verwerkt. In de AVG, de Wet politiegegevens (Wpg) en specifieke materiewetgeving wordt het wettelijk kader beschreven voor het verwerken van persoonsgegevens. Zo dient de gemeente duidelijk te zijn over welke persoonsgegevens zij verwerkt en voor welk doel en met welke grondslag. Tijdens de levensduur van persoonsgegevens moet de gemeente ze goed beveiligen, mogen ze niet zomaar voor een ander doel worden verwerkt en moeten ze na afloop worden vernietigd en/of geanonimiseerd. Daarnaast heeft de gemeente ook te maken met tal van privacyregels in sectorspecifieke wetgeving. Dit alles heeft gevolgen voor de inrichting van processen en systemen in en van de gemeente. Onder verantwoordelijkheid van zowel het college van burgemeester en wethouders, de burgemeester, als de gemeenteraad vindt een groot aantal verwerkingen van persoonsgegevens plaats. Daar vindt extern en intern toezicht op plaats. De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacyregels in Nederland. Daarnaast dient een gemeente te beschikken over een interne toezichthouder: de Functionaris Gegevensbescherming (FG).

De FG ziet erop toe dat intern de AVG en de Wpg worden nageleefd. Het college dient erop toe te zien dat de FG naar behoren en tijdig wordt betrokken bij alle gelegenheden die verband houden met de bescherming van persoonsgegevens. Daarnaast dient de FG ondersteund te worden door hem toegang te verschaffen tot persoonsgegevens en verwerkingen daarvan. De adviserende en uitvoerende taken liggen bij de privacy officer (PO). De FG brengt jaarlijks een verslag uit van zijn bevindingen en doet hij naar aanleiding daarvan aanbevelingen. Dit jaarverslag is bedoeld voor zowel het management als de drie bestuursorganen van de gemeente.

Leeswijzer De jaarrapportage is opgesteld op basis van het AVG-borgingsproduct van de Informatiebeveiligingsdienst gemeenten (IBD). In het borgingsproduct worden thema’s, criteria en maatregelen omschreven die de AVG vertalen naar een kwaliteitscyclus voor gegevensbescherming en privacy voor gemeentelijke processen. Eind 2019 is aan de hand van deze borgingsmethodiek een nulmeting gehouden. In Q4 van 2021 is -volgens planning als onderdeel van de PDCA-cyclus- opnieuw gekeken naar de stand van zaken van de bescherming van persoonsgegevens. De metingen hebben plaatsgevonden vanuit het perspectief of alle vereiste AVGonderwerpen in de organisatie zijn belegd (kwantiteit) en nog minder vanuit het perspectief in welke mate de onderwerpen zijn opgepakt of uitgevoerd (kwaliteit). Voor het rapportagegedeelte over de naleving van de Wet politiegegevens heeft de FG gebruik gemaakt van de interne- en externe auditrapportage van Accoris.

Wet politiegegevens (Wpg) Het college van burgemeester en wethouders is ook verwerkingsverantwoordelijke voor het verwerken van persoonsgegevens bij handhavingsactiviteiten van boa’s, waarbij opsporing van een strafbaar feit aan de orde is. Het gaat hierbij om het domein: openbare ruimte en leerplicht. De FG is op grond van de Wpg belast met het toezicht en dient jaarlijks een verslag op te stellen van zijn bevindingen. In 2022 is voor het eerst een interne nulmeting/Wpg-audit uitgevoerd, gevolgd door een extern auditrapport dat inmiddels is aangeleverd bij de Autoriteit Persoonsgegevens. Op basis van deze auditresultaten is er een aantal verbeterpunten geconstateerd. Dit heeft er mee te maken dat deze verwerkingen voorheen onder de regels van de AVG vielen, maar dat voortaan voor het verwerken van persoonsgegevens die nodig zijn voor opsporing, de regels van de Wpg van toepassing zijn. Onder de Wpg gelden andere bewaartermijnen en eisen bij het onderling delen van gegevens, zo staan in de Wpg concrete bewaartermijnen genoemd en in de AVG niet. Ook bevat de Wpg een verplichting tot logging (de AVG niet). Voor de opvolging van de verbeterpunten wordt een verbeterplan opgesteld dat in de komende jaren uitgevoerd zal worden als opmaat naar de externe Wpg-audit van 2025. De FG is op grond van de Wpg belast met het toezicht op: 1. het naleven van de Wpg; 2.

het beleid van de verwerkingsverantwoordelijke met betrekking tot de bescherming van persoonsgegevens; 3. de toewijzing van de autorisaties, bedoeld in art 6 Wet politiegegevens ; 4. de bewustmaking en opleiding van de ambtenaren van politie betrokken bij de verwerking van politiegegevens; 5. de audits; 6. de uitvoering van de DPIA's. De FG zal in het FG-jaarplan naast de AVG-toezichtstaken ook bovenstaande Wpg-toezichtstaken opnemen. De FG baseert zich voor deze jaarrapportage 2022 vooralsnog op de nulmeting/interne audit die is gehouden door Accoris.

Algemene conclusie Door het houden van deze audits, zijn de betreffende medewerkers meer bewust geworden van een goede gegevensbescherming. In het algemeen kan worden gesteld dat de boa’s heel betrokken zijn bij hun rol en taak en op een aantal onderdelen praktisch gezien al wel werken in de geest van de Wpg. Maar een adequate verantwoording ontbreekt doorgaans nog. In het algemeen kan worden gesteld dat de Boa’s betrokken zijn bij hun rol en taak en op een aantal onderdelen praktisch gezien al wel werken in de geest van de Wpg. Maar een adequate verantwoording ontbreekt doorgaans nog. Audits Medio 2022 is voor het eerst een interne Wpg-audit uitgevoerd, gevolgd door een extern auditrapport dat inmiddels is aangeleverd bij de Autoriteit Persoonsgegevens. Hieronder volgen een aantal belangrijkste conclusies en aanbevelingen uit de audits die door Accoris zijn uitgevoerd.

Belangrijkste bevindingen Accoris 1. 2. 3.

Er is geen procedure voor toegangsbeveiliging is. Voor BySpy en LBA is geen autorisatiematrix opgesteld; Er zijn geen adequate processtappen beschreven over het toekennen en intrekken van autorisaties ten behoeve van de toegang tot politiegegevens; Er is voor de LBA geen verwerkersovereenkomst afgesloten en er niet wordt gecontroleerd of de contractuele eisen worden nageleefd door de verwerker.

2

4. 5. 6.

Er niet voldoende aandacht wordt besteed aan bewustwordingsactiviteiten gerelateerd aan de Wpg. Er wordt er geen controle uitgevoerd op de logging van de systemen door IJsselstein. Het verwerkingsregister is nog niet aangepast aan de Wpg.

Aanbevelingen 1.

2. 3.

4. 5. 6. 7. 8.

Zorg op basis van het controleproces dat de FG de juiste controle-informatie tot zijn beschikking krijgt. Hierdoor kan de FG zijn toezichthoudende taak uitoefenen en middels een jaarverslag rapporteren aan de verwerkingsverantwoordelijke. De FG dient toezicht te houden op het naleven van de Wpg en dit te verwerken in het jaarverslag. Richt een goed autorisatieproces in. Draag zorg voor een aantoonbare jaarlijkse controle op de autorisaties. Stel een aanstellingsprocedure op en screen alle medewerkers. Stel een disciplinaire procedure op waarin maatregelen beschreven staan worden indien de geheimhoudingsplicht geschonden wordt. Laat nieuwe medewerkers verplicht een bewustwordingscursus volgen en houd hiervan een registratie bij. Geef daarnaast voldoende aandacht aan bewustwordingsactiviteiten binnen de gemeente Formaliseer de overeenkomsten met verwerkers. Draag zorg voor logging rapportages via de leverancier (in geval van SaaS) en voer de logging controle uit. Vul het verwerkingsregister aan met de onderdelen uit artikel 31d Wpg; Houd een registratie bij van nieuwe aangemelde verwerkingen en voer periodiek (ten inste eenmaal per jaar) een controle uit op de volledigheid van het register. Vraag jaarlijks een TPM op bij Pronexus ten aanzien van LBA.

Aanbevelingen van de FG 1. 2. 3. 4. 5. 6. 7.

De interne auditfunctie moet nog worden ingevuld. Organiseer een proces voor de interne Wpg-audit voor 2023. Het Privacy-beleid moet nog worden afgestemd op de Wpg. Zorg ervoor voor dat de werkinstructies/procedures ook daadwerkelijk aantoonbaar worden gevolgd. Zorg ervoor dat het Wpg-systeem periodiek getest en geëvalueerd worden om na te gaan in hoeverre de technische en organisatorische maatregelen doeltreffend zijn. Zorg ervoor dat de politiegegevens conform de wettelijke regels worden bewaard en vernietigd (bestaan). Zorg ervoor dat in het algemene inzage verzoek voor persoonsgegevens op de website ook de Wpg wordt opgenomen. Zorg voor een werkinstructie waarmee de rechten van de betrokkenen (behandelen van verzoeken, taken/verantwoordelijkheden, borgen en tijdigheid) worden geborgd.

De FG adviseert om voldoende capaciteit te organiseren tijd voor de implementatie van de WPGaanbevelingen. De FG raadt aan te starten met het houden van DPIA’s waarbij door het betreffende organisatieonderdeel het eigen proces in kaart wordt gebracht en duidelijk kan worden waar risico’s liggen en welke verbeteringen nodig zijn. Aan de hand daarvan kunnen de WPG-aanbevelingen worden geprioriteerd en kan een verbeterplan worden opgesteld dat in de komende jaren uitgevoerd zal worden als opmaat naar de externe Wpg-audit van 2025.

3

Algemene Verordening Gegevensbescherming (AVG) Mede op basis van de FG-rapportage 2021 zijn er voor 2022 aandachtspunten geformuleerd. Gelet op de beschikbare capaciteit heeft het management de gewenste aandachtspunten geprioriteerd, in het realisme dat wellicht een aantal punten alsnog moeten worden doorgeschoven naar 2023. Hieronder worden de privacy thema’s toegelicht met een korte beschrijving van het thema, de resultaten uit het borgingsdocument AVG, de beschrijving van de activiteiten in 2022 en de aandachtspunten voor 2023 om een hoger niveau te bereiken. Deze aandachtspunten 2023 worden verwerkt in de betreffende actieplannen. Voor elk thema is een diagram opgenomen die de huidige status 2022 weergeeft alsmede de nulmeting van 2019. Het betreft de volgende privacythema’s: 1. Beleid 2. Processen 3. Organisatorische inbedding 4. Rechten van betrokkenen 5. Samenwerking 6. Beveiliging 7. Verantwoording

Totaal

2022

Resultaat 2022

Aantal

Perc

Ja

103 8 0

45% 5% 0%

Nee Onbekend Niet van toepassing Gedeeltelijk

2

1%

63 36% 176 100%

2021

Gedeeltelijk

Gedeeltelijk

36%

1%

36%

Ja

58%

Niet van toepassing

Niet van toepassing

1%

Onbekend

Nee

45%

Nee

15%

3%

5%

De totaalgrafiek van 2022 laat zien dat van alle AVG-onderwerpen: • 58% van de onderwerpen volledig is geïmplementeerd; • 36% van de onderwerpen wel zijn opgepakt maar nog niet volledig zijn geïmplementeerd; • 5% nog niet is opgepakt.

4

Ja

1. Het beleid Het privacybeleid is een kader waarin de gemeente aangeeft aan welke principes zij zich houdt bij de verwerking van persoonsgegevens, hoe de gemeente omgaat met persoonsgegevens en welke maatregelen zij treft om te voldoen aan de relevante wet- en regelgeving. Ter uitvoering van het beleid adviseert de Privacy Officer (PO) het bestuur, management en medewerkers over allerlei privacy gerelateerde vraagstukken. De PO heeft daarbij ook een vraagbaakfunctie naar medewerkers toe. De CISO doet dit voor Informatiebeveiliging. De PO en CISO maken jaar- en actieplannen gericht op het bereiken van de geformuleerde doelstellingen.

Beleid Resultaat 2022

2022 Aantal

Perc.

9 2 0

64% 14% 0%

Nee

0

0%

14%

3 14

22% 100%

Ja Nee Onbekend Niet van toepassing Gedeeltelijk

2021

Gedeeltelijk

22%

Ja

Gedeeltelijk Ja

64%

36%

43%

Nee

21%

Bevindingen 2022 Het huidige privacy beleid is regionaal opgesteld op het moment van inwerkingtreding van de AVG. De praktijk laat zien dat het beleid op sommige onderdelen niet meer geheel past bij de uitdagingen van de organisatie op het gebied van gegevensbescherming. Zo vergt het hybride werken een andersoortig beleid en is er tevens behoefte aan specifiek beleid voor een aantal organisatieonderdelen. Conform de gekozen prioritering was er geen beschikbare capaciteit om het beleid aan te passen in 2022. Dit zal in 2023 worden opgepakt, mede in afstemming met de gemeenten in de regio Lekstroom. Een belangrijk aandachtspunt daarbij is de verdere groei van samenwerkingsrelaties in het sociale- en veiligheidsdomein waarbij integrale gegevensverwerking nodig is en er risico’s zijn voor de bescherming van persoonsgegevens. Een belangrijk onderdeel daarin is de samenwerking met de GR Werk en Inkomen Lekstroom bij de ontwikkeling van het lokale werkteam, als ook de samenwerking in de aanpak van ondermijning. Omdat wettelijke kaders ontbreken, is het belangrijk om de medewerkers een duidelijk kader mee te geven. Na vaststelling van het nieuwe beleid zit de uitdaging vervolgens nog in het vertalen, uitdragen en verankeren van het privacy beleid binnen de organisatie. Ook geldt voor een aantal domeinen voortaan het regime van de Wet politiegegevens dat heel nauw aansluit bij de AVG.

Ook hiervoor is een beleidskader gewenst. Kennis, houding en gedrag (awareness) zijn nog steeds de belangrijkste pijlers in de privacybescherming.. Hierin is in 2022 verder geïnvesteerd door middel van de Sir Askalot e-learning modules. Het is gebleken dat ongeveer de helft van de medewerkers hieraan deelneemt. Het blijft daarom een uitdaging om alle collega’s te bereiken met bewustwordingsacties. In 2022 is ook het nieuwe Bewustwordingsplan vastgesteld dat waaraan in 2023 verder uitvoering zal worden gegeven.

Aanbevelingen • Aanpassing Privacybeleid Focus op aanpassing van het beleid en vertaal en veranker het beleid in de organisatie met aandacht voor domein specifiek beleid. Ten tijde van de UW-samenwerking is specifiek beleid beschreven voor het Sociaal Domein. Het is echter onduidelijk of dit beleid daadwerkelijk is vastgesteld en geïmplementeerd. De FG adviseert om na te gaan wat de actuele status is van het beleidsdocument en zo nodig dit opnieuw te laten vaststellen en te implementeren.

5

De FG adviseert om hierbij ook de relatie van de AVG met de Wet basisregistratie personen (BRP), de Archiefwet én met de Wet open overheid te betrekken. • Verhogen van het privacy bewustzijn Privacy bewustzijn blijft een van de belangrijkste pijlers bij de uitvoering van beleid. Het is belangrijk dat de impulsen hiervoor niet alleen van de PO en CISO komen, maar dat ook de directie en de teamleiders hierin hun rol blijven pakken. In ieder geval is het belangrijk dat zich actief bewust zijn van de verantwoordelijkheid van de gemeente in samenwerkingsrelaties. De FG adviseert om een adviseur communicatie te betrekken bij het opzetten van bewustwordingsacties.

2. Processen De verwerkingen van persoonsgegevens van de gemeente dienen te voldoen aan de AVG. Dit houdt in dat de werkprocessen die persoonsgegevens bevatten getoetst en ingericht moeten worden volgens de volgende beginselen: behoorlijkheid, transparantie, doelbinding, dataminimalisatie, opslagbeperking, juistheid, integriteit en vertrouwe-lijkheid. Daarnaast kan de gemeente in gevallen verplicht zijn om een gegevensbeschermingseffectbeoordeling (DPIA) uit te voeren.

Processen Resultaat 2022 Ja Nee Onbekend Niet van toepassing Gedeeltelijk

2022 Aantal

Perc.

16 3 0

46% 8% 0%

0

0%

16 35

46% 100%

2021 Gedeeltelijk

24%

Gedeeltelijk

46%

Ja

46% Nee

Ja

30%

Nee

46%

8%

Bevindingen 2022 De PO hanteert voortaan als proces om minimaal 1x per jaar met de proceseigenaren hun processen door te nemen zodat het verwerkingenregister actueel kan blijven en dat bij nieuwe ontwikkelingen tijdig naar de bescherming van persoonsgegevens kan worden gekeken door middel van de verplichte DPIA’s en door Privacy by Design.

Verwerkingenregister/verwerkersovereenkomsten Het register van verwerkingen vormt het anker van de verwerkingen met persoons-gegevens in de organisatie. Daarin staan alle verwerkingen met de bijbehorende risico’s vermeld. Er is in 2020 een belangrijke stap gezet in de verdere professionalisering en actualisering van het register van verwerkingsactiviteiten. Naar aanleiding hiervan is ook in beeld gebracht voor welke verwerkingen nog overeenkomsten met verwerkers moesten worden gesloten en is het aangaan van deze overeenkomsten opgepakt. In Q3 2022 heeft de PO uitvraag gedaan bij de procesverantwoordelijken over hun gegevensverwerkingen. Aan de hand daarvan wordt het verwerkingenregister in 2023 weer geüpdatet. Er is gebleken dat er in Djuma geen centrale opslagmogelijkheid is voor het datalekkenregister en het verwerkingenregister. Er wordt gekeken naar andere mogelijkheden.

DPIA’s Een DPIA is een instrument om vooraf de privacy-risico’s van een gegevensverwerking in kaart te brengen en vervolgens maatregelen te kunnen nemen om deze risico’s te verkleinen. Organisaties hoeven niet voor elke gegevensverwerking een DPIA uit te voeren. Een DPIA is verplicht als een gegevensverwerking waarschijnlijk een hoog privacy-risico oplevert voor de mensen van wie de organisatie gegevens verwerkt. Dat is in ieder geval zoals een organisatie: • Systematisch en uitvoerig persoonlijke aspecten evalueert, waaronder profiling

6

• •

Op grote schaal bijzondere persoonsgegevens verwerkt Op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied (bijvoorbeeld cameratoezicht)

Er is in de organisatie nog weinig bewustzijn over nut en noodzaak van het instrument gegevensbeschermingseffectbeoordeling (DPIA). In 2022 is een start gemaakt met het DPIA-proces door de starten met een DPIA voor het het zaaksysteem Djuma. Deze DPIA is uitgevoerd door een externe adviseur (van BMC) met de bedoeling om de organisatie mee te nemen in het proces en kennis aan de organisatie over te dragen. De overdracht van informatie is echter minimaal gebleken. Dat betekent dat voor het houden van nieuwe DPIA’s de kennis nog niet helemaal toereikend is en dat daarin nog extra moet worden geïnvesteerd.

Aanbevelingen •

Verder inbedden van Privacy by Design in de gemeentelijke processen. Bij de ontwikkeling van nieuwe systemen of diensten is het belangrijk om privacy al in een vroeg stadium mee te nemen (ook wel Privacy by Design genoemd). Dit gebeurt nu nog te veel ad hoc. De FG raadt daarom aan dat elk team nagaat op welke wijze het privacy beleid invloed heeft op de eigen werkprocessen en of er aanpassingen nodig zijn. Dit komt de kwaliteit van de processen ten goede. Het niet structureel inbedden van de bescherming van persoonsgegevens in de gemeente leidt tot risico’s die een afbreuk kunnen doen aan het vertrouwen van inwoners en medewerkers.

•

DPIA-plan en uitvoering In 2022 is al een start gemaakt met het DPIA-proces door de starten met een DPIA op het zaaksysteem Djuma. De FG adviseert om een DPIA-plan te maken voor te totale organisatie en hieraan begeleiding en uitvoering te geven passend bij de prioritering van de risico’s en de beschikbare capaciteit.

•

Toegankelijkheid datalekkenregister en verwerkingenregister Onderzoek de mogelijkheid om het datalekken- en het verwerkingenregister inzichtelijk te maken voor alle medewerkers.

3. Organisatorische inbedding Voor een goede en juiste uitvoering is het van belang dat eenieder binnen de organisatie op de hoogte is van de beginselen van de AVG en het belang van privacy. Organisatorische inbedding betekent het toewijzen van taken, verantwoordelijkheden en bevoegdheden en bewustzijn creëren.

Organisatorische inbedding Resultaat 2022 Ja Nee Onbekend Niet van toepassing Gedeeltelijk

Aantal

Perc

26 1 0

55% 2% 0%

0

0%

20 47

46% 100%

2022

2021 Ja

Gedeeltelijk

43%

Gedeeltelijk

Ja

55%

46%

35% Nee

19%

Nee

2%

Bevindingen 2022 De privacy-organisatie is veel breder dan de PO alleen. De PO kan als aanjager fungeren maar de teamleiders en andere proceseigenaren zijn verantwoordelijk. In 2022 is het onderwerp van het werken met privacy-ambassadeurs op de agenda gekomen en moet nog vorm en inhoud gaan krijgen. De meerwaarde van de privacy-ambassadeur is het zijn van eerste aanspreekpunt (ogen en oren) binnen de afdeling voor privacyvraagstukken en het kunnen ondersteunen van de teamleider in de procesverantwoordelijkheid.

7

Aanbevelingen •

Inzetten privacy-ambassadeurs Het inzetten van privacy ambassadeurs op de afdelingen kan de privacy-organisatie versterken, waardoor de verantwoordelijkheden beter kunnen worden opgepakt en het privacy bewustzijn kan worden bevorderd. De FG beveelt aan om in 2023 hieraan nadere invulling te gaan geven.

•

Inbedding De FG adviseert de teamleiders om in hun jaarplanning en eventuele actieplannen ook aandacht te gaan besteden aan privacy en informatieveiligheid. Denk daarbij aan mogelijke DPIA’s, training en bewustwording.

4. Rechten van betrokkenen De gemeente dient degene van wie zij de persoonsgegevens verwerkt (de betrokkene) zowel actief als passief te informeren over het verwerken, de wijze van het verwerken, de grondslag en de maatregelen die zij neemt om onrechtmatige toegang en verwerking te voorkomen. Daarnaast stelt de AVG de betrokkenen in staat om door een aantal rechten controle en invloed uit te oefenen over zijn of haar persoonsgegevens.

Rechten van betrokkenen Resultaat 2022 Ja Nee Onbekend Niet van toepassing Gedeeltelijk

Aantal

Perc

20 0 0

61% 0% 0%

2

6%

11 33

33% 100%

2022

2021

Gedeeltelijk

33%

Ja

61%

Niet van toepassing

6%

Bevindingen 2022 Op de gemeentelijke website is een privacyverklaring opgenomen. Daarin staat hoe de gemeente omgaat met persoonsgegevens en hoe betrokkenen hun rechten kunnen uitoefenen. Verder is het belangrijk dat betrokkenen van tevoren worden geïnformeerd over de wijze waarop hun persoonsgegevens verwerkt zullen gaan worden. Betrokkenen kunnen daarin sowieso worden gefaciliteerd door de mogelijkheid te creëren dat betrokkenen de publieksvriendelijke versie van het verwerkingenregister kunnen raadplegen. Daarnaast kunnen betrokkenen nog extra worden geïnformeerd op het moment dat zij een dienst afnemen In 2022 is er 1 AVG-verzoek ingediend. In Djuma is een voorziening opgenomen zodat op een adequate wijze uitvoering kan worden gegeven aan AVG-verzoeken.

Aanbevelingen •

Transparantie De FG adviseert om in het kader van de transparantie een publieksvriendelijke versie van het register van verwerkingsactiviteiten beschikbaar te stellen via de gemeentelijke website.

•

Procedures aanpassen voor de Wpg Ook op basis van de Wpg hebben betrokkenen een aantal rechten. De FG raadt hiervoor procedure te ontwikkelen analoog aan die van de AVG-rechten.

8

5. Samenwerking De gemeentelijke organisatie werkt op meerdere beleidsterreinen, in verschillende bedrijfsfuncties, in diverse rollen en hoedanigheden samen met (mede) overheden en private organisaties. Deze verwerkingen dienen dan ook te voldoen aan de AVG. Om de bestuurlijke verantwoordelijkheid te kunnen waarmaken zijn goede afspraken met ketenpartners en opdrachtnemers over gegevensbeschermingsbeleid en toetsing daarvan belangrijk.

Samenwerking Resultaat 2022 Ja Nee Onbekend Niet van toepassing Gedeeltelijk

2022

Aantal

Perc

15 0 0

79% 0% 0%

0

0%

4 19

21% 100%

2021

Gedeeltelijk

21%

Gedeeltelijk Ja

79%

53%

Ja

47%

Bevindingen 2022 Om inwoners adequaat te kunnen helpen is er in het Sociale Domein steeds vaker behoefte om gegevens te delen tussen ketenpartners. Er is nog geen specifieke wetgeving voor integrale gegevensverwerking in het sociaal- en veiligheidsdomein. Hierdoor ontbreekt vaak een AVG-grondslag om gegevens te kunnen delen. In situaties waarin delen van gegevens toch nodig is om een inwoner te kunnen helpen, is het belangrijk om hierover transparant te zijn. In 2023 zal verder worden ingezoomd op de verwerkingsverantwoordelijkheid van de gemeente IJsselstein en zullen zo nodig aanvullende afspraken met de samenwerkingspartners worden gemaakt. De FG adviseert de wijze waarop de gemeente participeert in samenwerkingsrelaties op te gaan nemen in de privacyverklaring.

Aanbeveling •

Beheer verwerkersovereenkomsten Maak afspraken in de organisatie over wie het beheer voert op verwerkersovereenkomsten, met andere woorden wie de verwerker aanspreekt op het gevoerde beleid.

6. Beveiliging Vanuit het algemene behoorlijkheidsbeginsel, integriteitsbeginsel en vertrouwelijkheids-beginsel is het essentieel dat de gemeente passende technische en organisatorische maatregelen neemt ter beveiliging van persoonsgegevens. Daarnaast geldt onder de AVG een meldplicht datalekken. Dit houdt in dat beveiligingsincidenten met persoonsgegevens onder omstandigheden gemeld dienen te worden aan de AP en/of de betrokkene(n).

9

Beveiliging Resultaat 2022

2022 Aantal

Perc.

14 1 0

67% 5% 0%

Ja Nee Onbekend Niet van toepassing Gedeeltelijk

0

0%

6 21

29% 100%

2021

Gedeeltelijk

28%

Nee

5%

Gedeeltelij k

…

Ja

67%

Ja

62% Nee

5%

Bevindingen 2022 Informatiebeveiliging Uitgangspunt van het gemeentelijk informatiebeveiligingsbeleid is om proces- en risicogericht te werken. Het gaat het er uiteindelijk om dat bij het prioriteren van de aanpak steeds wordt gekeken naar die maatregelen die een zo groot mogelijk effect hebben op het mitigeren van risico's. Het gaat er vooral om het “in control” te zijn, zodat altijd kan worden uitgelegd waarom bepaalde keuzes zijn gemaakt. Het verplichte normenkader van de Baseline Informatiebeveiliging Overheid (BIO) helpt het lijnmanagement bij het nemen van verantwoordelijkheid ten aanzien van bescherming van persoonsgegevens. In de BIO zijn op basis van generieke schades en dreigingen voor de overheid standaard basisbeveiligingsniveaus (BBN’s) gedefinieerd met bijbehorende beveiligingseisen die per bedrijfsproces moeten worden bepaald door het lijnmanagement. Relatie informatiebeveiliging en privacy, risicomanagement Het duiden van risico’s voor de bescherming van persoonsgegevens is een continu proces. Omdat een goede informatiebeveiliging een belangrijke voorwaarde is om veilig met persoonsgegevens om te gaan, is het belangrijk om het privacy-risicomanagement in samenhang te bezien met de risico’s van informatiebeveiliging. Datalekken In 2022 zijn er 3 incidenten met persoonsgegevens gemeld (zie bijlage 1).

De FG vindt gelet op de grootte van de organisatie het aantal meldingen gering en vraagt zich af hoe het zit met de bereidwilligheid om te melden. Cyberweerbaarheid Cybercriminaliteit komt steeds vaker voor bij gemeenten. Voorbeelden daarvan zijn de incidenten bij recent de gemeente Buren, de gemeente Hof van Twente en de gemeente Lochem. Cybercriminaliteit heeft vaak te maken hebben met het kapen van persoonsgegevens of het gijzelen van systemen zodat gemeenten niet bij bestanden kunnen komen. De cybercriminelen eisen vaak losgeld om de gegevens vrij te geven. De FG adviseert cyberweerbaarheidsoefeningen te gaan organiseren zodat de gemeente enigszins voorbereid is, zodat na een incident de bedrijfsvoering weer snel operationeel kan zijn.

Aanbevelingen •

Risicomanagement Organiseer een systeem waarin verantwoording kan worden afgelegd over hoe met privacy risico’s wordt omgegaan.

•

Cyberweerbaarheidsoefening De FG adviseert om de organisatie te oefenen in de weerbaarheid tegen cybercriminaliteit.

•

Loggingsbeleid Maak een goed en handhaafbaar loggingsbeleid.

•

Aandacht voor het melden van datalekken De FG adviseert om het belang van het melden van datalekken te blijven benadrukken.

10

7. Verantwoording De AVG legt de verantwoordelijkheid bij de organisatie zelf om aantoonbaar te maken dat deze voldoet aan de privacyregels. Dit betekent dat de gemeente aan moet kunnen tonen dat de verwerkingen van persoonsgegevens voldoen aan de beginselen van de AVG en aan de relevante wet- en regelgeving Daarvoor volgt de PO de PDCA-cyclus. De verantwoordingsplicht komt voornamelijk tot uiting in het jaarplan van de PO, het gepubliceerde register van verwerkingen en de openheid die met dit jaarverslag wordt gegeven in uitgevoerde DPIA’s en (gemelde) datalekken.

Verantwoording Resultaat 2022 Ja Nee Onbekend Niet van toepassing Gedeeltelijk

2022

Aantal

Perc

12 3 0

57% 9% 0%

0

0%

6 21

29% 100%

2021 Gedeeltelijk

10%

Gedeeltelijk

29%

Nee

Onbekend

24%

Ja

57%

14%

Ja

57%

Nee

9%

Bevindingen 2022 Deze jaarrapportage is opgesteld op basis van het AVG-borgingsproduct van de Informatiebeveiligingsdienst gemeenten (IBD). In het borgingsproduct worden thema’s, criteria en maatregelen omschreven die de AVG vertalen naar een kwaliteitscyclus voor gegevensbescherming en privacy voor gemeentelijke processen. Eind 2019 is aan de hand van deze borgingsmethodiek een nulmeting gehouden. In Q4 van 2021 en 2022 is -volgens planning als onderdeel van de PDCA-cyclus- opnieuw gekeken naar de stand van zaken van de bescherming van persoonsgegevens. De metingen hebben plaatsgevonden vanuit het perspectief of alle vereiste AVG-onderwerpen in de organisatie zijn belegd (kwantiteit) en nog minder vanuit het perspectief in welke mate de onderwerpen zijn opgepakt of uitgevoerd (kwaliteit). Het gaat nog vooral om het optimaliseren van processen (36%). Op basis van het huidige AVG-borgingsdocument 1.0 kan niet worden gemeten wat de exacte stand van zaken is van de 36% die moet worden geoptimaliseerd. In de vorige FG-rapportage werd ervan uitgegaan dat voor het bepalen van het privacy volwassenheidsniveau gebruik gemaakt zou kunnen worden van een rekentool bij de VNG-meetlat voor privacy. De IBD is echter nog bezig om deze rekentool te ontwikkelen. De FG heeft daarom een assessment uitgevoerd aan de hand van de tool van het CIP1.

De FG scoort het privacy volwassenheidsniveau op 2,3. In het algemeen wordt aangenomen dat de basis volledig op orde is bij een volwassenheidsniveau van 3,0. Uit het assessment blijkt voor een aantal onderdelen de scores op 3,0 of zelfs daarboven liggen. Andere onderdelen scoren onder het gemiddelde van 2,3. Het gaat hierbij vooral om de formele aanpassing van het privacy beleid, het bewustwordingsproces, het ontwerpen van een systeem voor het inzicht krijgen in privacyrisico’s door middel van DPIA’s en het managen van deze risico’s, alsmede het periodiek controleren van een juist gebruik van persoonsgegevens. Het resultaat van dit assessment is opgenomen in bijlage 2. Hierbij moet wel worden aangetekend dat het assessment van CIP een algemener perspectief kent dan het VNG-borgingsdocument.

1 Centrum Informatiebeveiliging en Privacybescherming

11

Aanbevelingen Risico’s in beeld Zorg ervoor dat privacy risico’s in beeld komen en blijven. Zorg er in ieder geval voor dat de gewenste DPIA’s worden uitgevoerd, waardoor er meer zicht komt op mogelijke risico’s en vervolgens verantwoording kan worden afgelegd over de inzet van maatregelen voor het voorkomen of beperken van deze risico’s. Controlemomenten Ontwikkel een systeem waarin periodiek aandacht is voor een juist gebruik van persoonsgegevens (rechtmatigheid, autorisatie en logging).

8. Belangrijkste conclusies 2022 In 2022 heeft de gemeente verder geïnvesteerd in de bescherming van persoonsgegevens. Conform de gekozen prioritering was er geen beschikbare capaciteit om het beleid aan te passen in 2022. Dit zal in 2023 worden opgepakt, mede in afstemming met de gemeenten in de regio Lekstroom. Er is in de organisatie nog weinig bewustzijn over nut en noodzaak van het instrument gegevensbeschermingseffectbeoordeling (DPIA). In 2022 is een start gemaakt met het DPIA-proces door de starten met een DPIA voor het zaaksysteem Djuma. Deze DPIA is uitgevoerd door een externe adviseur (van BMC) met de bedoeling om de organisatie mee te nemen in het proces en kennis aan de organisatie over te dragen. De overdracht van informatie is echter minimaal gebleken. Dat betekent dat voor het houden van nieuwe DPIA’s de kennis nog niet helemaal toereikend is en dat daarin nog extra moet worden geïnvesteerd. Kennis, houding en gedrag (awareness) zijn nog steeds de belangrijkste pijlers in de privacybescherming. Hierin is in 2022 verder geïnvesteerd door middel van de Sir Askalot e-learning modules. Het is gebleken dat ongeveer 60% van de medewerkers hieraan deelneemt. Het blijft daarom een uitdaging om alle collega’s te bereiken met bewustwordingsacties.

In 2022 is ook het nieuwe Bewustwordingsplan vastgesteld dat waaraan in 2023 verder uitvoering zal worden gegeven 2022 is het nieuwe bewustwordingsplan vastgesteld. Adequaat omgaan met persoonsgegevens is een blijvend en groeiend proces. Het volwassenheidsniveau wordt momenteel (op een schaal van 1 tot 5) gescoord op 2,3. In het algemeen wordt aangenomen dat de basis volledig op bij een score van 3,0. Een aantal onderdelen liggen de scores op 3,0 of zelfs daarboven liggen. Andere onderdelen scoren onder het gemiddelde van 2,3. Het gaat hierbij vooral om de formele aanpassing van het privacy beleid, het bewustwordingsproces, het ontwerpen van een systeem voor het inzicht krijgen in privacy risico’s door middel van DPIA’s en het managen van deze risico’s, alsmede het periodiek controleren van een juist gebruik van persoonsgegevens. Hierin ligt een belangrijke uitdaging voor de afdelingshoofden en teamleiders samen met hun medewerkers en ondersteuning door de PO en CISO.

Wet politiegegevens (Wpg) Het college van burgemeester en wethouders is ook verwerkingsverantwoordelijke voor het verwerken van persoonsgegevens bij handhavingsactiviteiten van boa’s, waarbij opsporing van een strafbaar feit aan de orde is. Het gaat hierbij om het domein: openbare ruimte en leerplicht. In 2022 is voor het eerst een interne nulmeting/Wpg-audit uitgevoerd, gevolgd door een extern auditrapport op grond waarvan een aantal verbeterpunten is geconstateerd. Dit heeft er mee te maken dat deze verwerkingen voorheen onder de regels van de AVG vielen, maar dat voortaan de regels van de Wpg van toepassing zijn. Onder de Wpg gelden andere bewaartermijnen en eisen bij het onderling delen van gegevens, zo staan in de Wpg concrete bewaartermijnen genoemd en in de AVG niet. Ook bevat de Wpg een verplichting tot logging (de AVG niet). Voor de opvolging van de verbeterpunten wordt een verbeterplan opgesteld dat in de komende jaren uitgevoerd zal worden als opmaat naar de externe Wpg-audit van 2025. Door het houden van deze audits, zijn de betreffende medewerkers meer bewust geworden van een goede gegevensbescherming. In het algemeen kan worden gesteld dat de boa’s heel betrokken zijn bij hun rol en taak

12

en op een aantal onderdelen praktisch gezien al wel werken in de geest van de Wpg. Maar een adequate verantwoording ontbreekt doorgaans nog.

13

Bijlage 1. Datalekken 2022

Da tum d a ta le k

23- 12- 21

12- 04- 22

2- 11- 22

Da tum b e ke nd wo rd e n d a ta le k

14- 01- 22

12- 04- 22

2- 11- 22

Me ld ing AP (72 uur)

So o rt d a ta le k

Afha nd e ling

J

Te n b e ho e v e v a n e e n c o m m issie v e rg a d e ring zijn e r st ukke n o p d e we b sit e v a n d e g e m e e nt e g e p la a t st . He t b e t re ft st ukke n v o o r e e n zit t ing v a n d e c o m m issie Ruim t e v a n d e g e m e e nt e ra a d IJsse lst e in. Da a rb ij is e e n ra a d sv o o rst e l m e t b ijla g e n g e p ub lic e e rd . In e e n v a n d e b ijla g e n zijn NA W g e g e v e ns e n ha nd t e ke ning e n v a n e e n a a nt a l p e rso ne n zic ht b a a r g e we e st .

De g e p ub lic e e rd e st ukke n zijn v e rwijd e rd e n g e a no nim ise e rd . De b e t ro kke n we rkne m e rs zijn g e info rm e e rd o v e r hun so rg p lic ht t e rza ke

J

Er is e e n m a il v e rst uurd a a n e e n g ro e p v a n o ng e v e e r 300 p e rso ne n d ie a a ng e g e v e n he b b e n info rm a t ie t e wille n o nt v a ng e n inza ke d e t o e ko m st v isie v a n d e g e m e e nt e IJsse lst e in. A lle e m a ila d re sse n he b b e n in d e BC C g e st a a n. O p 12 a p ril 2022 is e r na a r d ie ze lfd e g ro e p p e rso ne n e e n up d a t e g e st uurd . O m d a t e r g e e n g e b ruik ko n wo rd e n g e m a a kt v a n d e v o rig e m a il ( “ a lle n b e a nt wo o rd e n” v a n d e m a ila d re sse n is nie t m o g e lijk, o m d a t ze a lle m a a l in d e BC C st o nd e n), zijn a lle m a ila d re sse n g e ko p ie e rd e n in e e n nie uwe m a il o nd e r he t ko p je “ A a n” g e p la kt . Pe r a b uis zijn d e b e t re ffe nd e a d re sse n d a a rna nie t v e rp la a t st na a r BC C .

J

V a nuit he t m inist e rie v a n O C W e n d e V NG wo rd t e r e e n e nq uê t e g e ho ud e n o nd e r o ud e rs m e t kind e re n in he t le e rling e nv e rv o e r. Er is m o m e nt e e l v e e l t e d o e n o p he t g e b ie d v a n le e rling e nv e rv o e r e n e r is o nrust . Er is b e ho e ft e a a n e e n o ud e rp e iling . O nd e rzo e ksb ure a u O b e ro n he e ft e e n v ra g e nlijst o p g e st e ld e n d e g e m e e nt e IJsse lst e in he e ft v e rkla a rd m e e t e d o e n a a n d e e nq uê t e . Da a rv o o r he b b e n wij e e n m a ilg ro e p a a ng e m a a kt v a n a lle o ns b e ke nd e m a ila d re sse n in he t le e rling e nv e rv o e r. Er is in d a t ka d e r e e n (t e st )m a il na a r d e m e nse n g e st uurd , zo nd e r g e b ruik t e m a ke n v a n Bc c . Da a rm e e zijn d e e m a ila d re sse n a a n ie d e re e n b e ke nd g e wo rd e n.

14

Da tum a fha nd e ling

Le sso ns Le a rne d

17- 01- 22

Be wust zijn va n d e m o g e lijke a a nwe zig he id va n p e rso o nsg e g e ve ns in (b ijla g e n b ij) stukke n d ie g e p ub lic e e rd wo rd e n

De b e t ro kke ne n zijn g e info rm e e rd o v e r he t d a t a le k m e t he t v e rzo e k o m d e b e t re ffe nd e g e g e v e ns t e v e rwijd e re n. De b e t ro kke n we rkne m e rs zijn g e info rm e e rd o v e r hun zo rg p lic ht t e rza ke

14- 04- 22

Ale rthe id wa a rb o rg e n b ij ve rsture n e - m a il a a n (g ro te ) g ro e p g e a d re sse e rd e n, wa nne e r d it in BCC g e d a a n m o e t wo rd e n

De b e t ro kke ne n zijn g e info rm e e rd o v e r he t d a t a le k m e t he t v e rzo e k o m d e b e t re ffe nd e g e g e v e ns t e v e rwijd e re n. De b e t ro kke n we rkne m e r is g e info rm e e rd o v e r hun zo rg p lic ht t e rza ke .

4- 11- 22

Ale rthe id wa a rb o rg e n b ij ve rsture n e - m a il a a n (g ro te ) g ro e p g e a d re sse e rd e n, wa nne e r d it in BCC g e d a a n m o e t wo rd e n

Bijlage 2. Resultaten CIP Privacy Selfassessment Uw volwassenheidscore is (gemiddeld)

2,3

Op niveau wilt u uw doelstellingen realiseren? (Bedenk: Het niveau mag niet hoger liggen dan het ambitieniveau waarop u de vragen heeft beantwoord.) Tip voor een realistisch en bereikbaar advies: als uw volwassenheidscore meer dan 1 niveau lager ligt dan uw ambitieniveau, kies dan een doelstellingenniveau dat niet meer dan 1 niveau hoger ligt; maar kies ten minste niveau 3 voor een advies dat zich basaal kan meten met de AVG.

15

Niveau 1 Niveau 2 Niveau 3 Niveau 4 Niveau 5

Nog te realiseren doelstellingen Hieronder staan de doelstellingen per onderdeel vermeld die nog gerealiseerd moeten worden om het gewenste volwassenheidsniveau 3 te bereiken. (Voor het bereiken van niveau 4 en 5 zijn er andere specifiekere doelstellingen die bereikt moeten worden). B.01 Privacybeleid • Het beleid en de procedures worden op organisatieniveau eenduidig vastgelegd en formeel vastgesteld en organisatiebreed gebruikt. •

Beleidsbeslissingen over het toepassen van de wettelijke beginselen worden gebaseerd op het privacybeleid op organisatie-niveau, volgens de procedures die op organisatieniveau beschikbaar zijn. De beslissingen worden op organisatieniveau formeel vastgesteld.

•

De juistheid en de eenduidigheid van de beleidsbeslissingen wordt in een procedure organisatiebreed formeel bewaakt.

B.02 Organieke Inbedding • De planning van de benodigde middelen zijn gekoppeld aan het privacybeleid en meegenomen in de planningscyclus van de organisatie. •

De rapportagelijnen worden organisatiebreed vastgelegd en formeel vastgesteld.

B.03 Risicomanagement, Privacy by Design en de GEB • De GEB-en worden organisatiebreed periodiek uitgevoerd, organisatiebreed qua betekenis van de uitkomsten onderling vergeleken en op organisatieniveau vastgesteld. •

De opzet van de GEB-en wordt organisatiebreed op elkaar afgestemd en gestandaardiseerd.

•

Op een organisatiebreed eenduidig vastgelegde en bewaakte wijze wordt ervoor zorggedragen dat (voor nieuwe verwerkingen en bij grote wijzigingen) de principes van Privacy by Design worden toegepast. Hiertoe worden principes van Privacy by Design organisatiebreed vastgesteld.

•

Het toepassen van Privacy by Design in de ontwerpstappen wordt organisatiebreed op elkaar afgestemd en gestandaardiseerd.

•

Er wordt een risicomanagementaanpak als standaard vastgesteld en toegepast, waarbij de privacyrisico’s formeel worden bepaald en het mitigeren ervan als plan wordt vastgesteld en uitgevoerd

•

De GEB wordt onderdeel van een formeel vastgestelde risicomanagement aanpak.

•

De plannen voor het mitigeren van de risico’s worden meegenomen in de plan- en control cyclus van de organisatie.

U.01 Doelbinding gegevensverwerking • Organisatiebreed worden de rechtvaardigingsgronden van de verwerking van de persoonsgegevens op een uniforme wijze bepaald en formeel vastgesteld. •

Organisatiebreed wordt bewaakt en afgedwongen dat er dataminimalisatie wordt.

16

U.02 Register van verwerkingsactiviteiten • Er wordt organisatiebreed een actueel en compleet beeld van de verwerkingsactiviteiten van verwerkers vastgelegd en vastgesteld. •

De vastgelegde informatie geeft inzicht in de complete samenhang tussen de gegevens, verwerkingen, processen, organisatie en technische systemen.

U.03 Kwaliteitsmanagement • Er wordt organisatiebreed een actueel en compleet beeld van de verwerkingsactiviteiten van verwerkers vastgelegd en vastgesteld. •

De vastgelegde informatie geeft inzicht in de complete samenhang tussen de gegevens, verwerkingen, processen, organisatie en technische systemen.

U.04 Beveiligen van de verwerking van persoonsgegevens • Op een organisatiebrede formeel vastgestelde wijze voert de verwerkingsverantwoordelijke periodiek beveiligingsrisico-analyses uit en neemt mitigerende maatregelen. U.05 Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens • Op een organisatiebreed eenduidig vastgelegde en bewaakte wijze wordt bepaald hoe de betrokkene geïnformeerd wordt bij de verzameling van persoonsgegevens. •

Organisatiebreed wordt, op een eenduidig vastgelegde en bewaakte wijze, bepaald welke informatie de betrokkene ontvangt bij de verzameling van persoonsgegevens.

U.06 Bewaren van persoonsgegevens • Geen U.07 Doorgifte persoonsgegevens • Organisatiebreed wordt, op een eenduidig vastgelegde en bewaakte wijze, de onderlinge afspraken met andere verwerkingsverantwoordelijken en de afdoende garanties met verwerkers gemaakt. •

Organisatiebreed wordt op een eenduidig vastgelegde en bewaakte wijze bepaald of gegevens worden doorgegeven aan een andere verwerkingsverantwoordelijke of verwerker buiten de EU.

•

Op een organisatiebreed eenduidig vastgelegde en bewaakte wijze vindt vastlegging van doorgiften plaats.

•

Er wordt blijvend bewaakt of de doorgiften aan de vereisten voldoen.

K.01 Intern toezicht • Op een organisatiebreed eenduidig vastgelegde en bewaakte wijze wordt gerapporteerd over de rechtmatigheid van de gegevensverwerkingen. •

Op een organisatiebreed eenduidig vastgelegde en bewaakte wijze wordt gereageerd op afwijkingen in de rechtmatigheid van de gegevensverwerkingen.

K.02 Toegang gegevensverwerking voor betrokkenen • Op een organisatiebreed eenduidig vastgelegde en bewaakte wijze wordt bepaald of en hoe de betrokkene geïnformeerd wordt over de verwerking van de persoonsgegevens. •

Op een organisatiebreed eenduidig vastgelegde en bewaakte wijze wordt bepaald tot welke informatie de betrokkene toegang krijgt.

17

K.03 Meldplicht Datalekken • Organisatiebreed wordt, op een formeel vastgestelde wijze, kennis, ervaring, voorzieningen en processen gedeeld om een datalek te onderzoeken. •

Organisatiebreed wordt samengewerkt om te komen tot formeel vastgestelde eenduidige richtlijnen voor het voorkomen van datalekken.

18