1. Raadsinformatiebrief FG jaarrapportage bescherming persoonsgegevens 2021

postadres Postbus 26, 3400 AA IJsselstein

bezoekadres Overtoom 1 3401 BK IJsselstein t 14 030 f 030 6884350 e info@ijsselstein.nl

Gemeenteraad IJsselstein Postbus 26 3400 AA IJSSELSTEIN

betreft

FG jaarrapportage bescherming persoonsgegevens 2021

uw kenmerk uw brief van behandeld door

zaaknummer

J.P.J. Baas

1283164

datum

7 juni 2022

blad 1 van 2 bijlagen

Geachte raadsleden, In deze brief informeren wij u over de bevindingen van de Functionaris Gegevensbescherming (FG) over 2021. Aanleiding Onder verantwoordelijkheid van zowel het college van burgemeester en wethouders, de burgemeester, als de gemeenteraad (griffie) vindt een groot aantal verwerkingen van persoonsgegevens plaats. Daar vindt extern en intern toezicht op plaats. De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacyregels in Nederland. De Functionaris Gegevensbescherming (FG) ziet erop toe dat intern de Algemene verordening gegevensbescherming (AVG) wordt nageleefd. De uitvoerende taken liggen bij de Privacy Officer. De FG brengt jaarlijks een verslag uit van zijn bevindingen en doet hierin aanbevelingen. Bedoeld voor zowel de directie als de drie bestuursorganen van de gemeente. Verder is beschreven welke acties en maatregelen de gemeente in 2021 heeft genomen om de doelstellingen en beginselen uit de AVG te behalen en te waarborgen. Ook worden aandachtspunten en actiepunten voor het jaar 2022 benoemd. Adequaat omgaan met persoonsgegevens is een blijvend proces en zal dan ook aandacht blijven vergen van zowel bestuur, management als medewerkers. Bevindingen over 2021 Het implementeren en uitvoeren van de AVG is een continu proces.

In 2021 is door de organisatie verder geïnvesteerd in capaciteit voor een goede invulling van de functie van Privacy Officer (PO). Hierdoor heeft in 2021 de dagelijkse uitvoering van AVG-verzoeken, het behandelen van datalekken en de advisering over verwerkers-overeenkomsten gewoon door kunnen lopen. Verder is er ook een privacy-actieplan gemaakt voor 2022. Verder is een eerste stap gezet in het houden van gegevensbeschermings-effectbeoordelingen (DPIA’s). Hiermee krijgen we zicht op privacyrisico’s en kunnen aanvullende maatregelen worden getroffen om deze privacyrisico’s te verkleinen

datum ons kenmerk blad 2 van

7 juni 2022 1283164 2

In 2021 is het gemeentelijk informatiebeveiligingsbeleid geüpdatet en is een aantal bewustwordingsacties uitgevoerd, waaronder een escape room en diverse phishing-mail acties. Het bewustwordingsplan is afgerond maar dient nog te worden vastgesteld. Op basis van zijn bevindingen heeft de FG een aantal aandachtpunten voor 2022 geformuleerd. Aanbevelingen voor 2022: 1. De verplichte in- en externe Wpg-audit te laten uitvoeren voor 31 december 2022. 2. In te blijven zetten op het verhogen van het privacy bewustzijn. 3. Het maken van een DPIA-plan voor 2022 ev. 4. Stel een autorisatie- en loggingbeleid vast. 5. De transparantie bij de verwerking van persoonsgegevens in het kader van samenwerkingsrelaties te optimaliseren. 6. Het huidige privacybeleid te evalueren en aan te passen. 7. Een specifieke crisismanagementstructuur en crisiscommunicatiebeleid vaststellen voor beveiligingsincidenten met een hoge impact. Consequenties Wij zullen binnen de bestaande capaciteit op basis van geprioriteerde risico’s uitvoering geven aan de aanbevelingen van de Functionaris Gegevensbescherming Wat betekent dit voor de raad (procedureel) Hierdoor wordt de raad geïnformeerd over de stand van zaken van de bescherming van persoonsgegevens binnen de gemeentelijke organisatie.

Hoogachtend, Het college van IJsselstein,

drs. W.M. van de Werken secretaris

mr. P.J.M. van Domburg burgemeester