1. Raadsinformatiebrief Jaarverslag 2024 bescherming persoonsgegevens

postadres Postbus 26, 3400 AA IJsselstein

bezoekadres Overtoom 1 3401 BK IJsselstein t 14 030 f 030 6884350 e info@ijsselstein.nl

Gemeenteraad IJsselstein Postbus 26 3400 AA IJSSELSTEIN

Jaarverslag 2024 bescherming persoonsgegevens

betreft uw kenmerk uw brief van behandeld door

zaaknummer

266512

Jan Baas

datum

8 juli 2025

blad 1 van 3 bijlagen

Geachte raadsleden, In deze brief informeren wij u over de bevindingen van de Functionaris Gegevensbescherming (FG) over 2024. Aanleiding Onder verantwoordelijkheid van zowel het college van burgemeester en wethouders, de burgemeester, als de gemeenteraad (griffie) vindt een groot aantal verwerkingen van persoonsgegevens plaats. Daar vindt extern en intern toezicht op plaats. De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacyregels in Nederland. De Functionaris Gegevensbescherming (FG) ziet erop toe dat intern de Algemene verordening gegevensbescherming (AVG) en de Wet politiegegevens (Wpg) worden nageleefd. De gemeenteraad ziet vanwege de controlerende taak ook toe op de uitvoering van het privacy beleid door het college van burgemeester en wethouders. In het FG-jaarverslag staan bevindingen beschreven over acties en maatregelen de gemeente in 2024 heeft genomen om de doelstellingen en beginselen uit de AVG en de Wpg te behalen en te waarborgen. Ook bevat dit document aandachtspunten en aanbevelingen. Adequaat omgaan met persoonsgegevens is een blijvend proces en zal dan ook aandacht blijven vergen van zowel bestuur, management als medewerkers. Bevindingen over de implementatie van de AVG in 2024 De FG geeft aan dat de gemeente in 2024 verder heeft geïnvesteerd in de bescherming van persoonsgegevens. Alle AVG-onderwerpen zijn in beeld gebracht.

De totaalgrafiek van 2024 laat zien dat van alle AVG-onderwerpen:

• • •

79% van de onderwerpen volledig is geïmplementeerd; 14% van de onderwerpen wel zijn opgepakt maar nog niet geïmplementeerd; 4% nog niet is opgepakt.

De gemeente IJsselstein gebruikt uw persoonsgegevens uitsluitend voor het doel waarvoor zij zijn verstrekt. Voor meer informatie daarover verwijzen wij u naar www.ijsselstein.nl/privacy.

Bankrelatie BNG NL79BNGH028.50.09.958 Bankrelatie RABO NL83RABO0320.72.82.85

datum ons kenmerk blad 2 van

8 juli 2025 266512 3

Het betreft de volgende privacythema’s: 1. Beleid 2. Processen 3. Organisatorische inbedding 4. Rechten van betrokkenen 5. Samenwerking 6. Beveiliging 7. Verantwoording Met een gemiddelde score van 2,5 (op een schaal van 1 tot 5) scoort IJsselstein qua volwassenheidsniveau redelijk. Dit was 2,3 in 2023. In het algemeen wordt aangenomen dat de basis volledig op orde is bij een score van 3,0. Voor een aantal onderdelen liggen de scores op 3,0 of zelfs daarboven. Andere onderdelen scoren onder het gemiddelde van 2,3. Verbeterpunten zijn vooral de formele aanpassing van het privacy beleid, het ontwerpen van een systeem voor het inzicht krijgen in privacy-risico’s, onder andere door middel van Data Protection Impact Assessments (DPIA = gegevensbeschermingseffectbeoordeling), het beleggen en managen van deze risico’s in de teams en ook het periodiek controleren van een juist gebruik van persoonsgegevens. Hoewel de totaalscore een positieve ontwikkeling laat zien ten opzichte van 2023 is er nog steeds ruimte voor verbetering. Het college stelt zich als doel om eind 2026 het privacy volwassenheidsniveau '"3" te kunnen bereiken. De belangrijkste FG-conclusies zijn: • In 2024 is een zorgvuldige voorbereiding gestart voor de aanpassing van het uitgebreide beleidsdocument uit 2018. De verwachting is dat het nieuwe beleid in Q2 van 2025 door het college kan worden vastgesteld.

• De deelname aan het bewustwordingstool van Sir Askalot is substantieel toegenomen na het invoeren van een competitie-element. • De Europese AI-act schrijft voor dat de gemeente voor de toepassing van AI-applicaties ook adequate trainingen (AI-geletterdheid) gaat organiseren. Dit zal worden georganiseerd in afstemming met de toekomstige implementatie van een verantwoorde generatieve AI-tool. • Er is nog onvoldoende zicht op alle privacy risico’s in de organisatie. Voor zover privacy risico’s wel in beeld zijn of komen, bijvoorbeeld via een DPIA, dan is de registratie van maatregelen en de opvolging van deze maatregelen niet geborgd. • Op dit moment loopt er een project voor de implementatie van I-navigator. Hierbij worden de teamprocessen uitgelijnd. Deze input kan vervolgens worden gebruikt voor het bepalen van risico’s op basis van dataclassificatie en worden vertaald in het verwerkingenregister. • In 2024 zijn DPIA’s uitgewerkt voor Zorgned, Datamask en het Lokaal werkteam (Regionaal).

datum ons kenmerk blad 3 van

8 juli 2025 266512 3

De FG geeft onder andere de volgende aanbevelingen: a. blijvend in te zetten op het verhogen van het privacy bewustzijn. b. na te gaan hoe de afspraken met verbonden partijen over gegevensbescherming ambtelijk kunnen worden gemonitord en zo nodig aanpassingen kunnen worden voorgesteld. c. een visie/beleid voor Artificial Intelligence (AI) te ontwikkelen; d. in te zetten op de verdere uitvoering in 2025 van de verbeterplannen om te voldoen aan de Wet politiegegevens. Wij zullen binnen de bestaande capaciteit op basis van geprioriteerde risico’s uitvoering geven aan de aanbevelingen van de Functionaris Gegevensbescherming. Door het volgende FG-jaarverslag zult u worden geïnformeerd over de acties en verbetermaatregelen van het college in 2025. Wat betekent dit voor de raad (procedureel) Door deze rapportage wordt de raad als één van de drie bestuursorganen geïnformeerd over de stand van zaken van de bescherming van persoonsgegevens binnen de gemeentelijke organisatie. De Privacy Office en de FG adviseren ook de griffie over de bescherming van persoonsgegevens. Hoogachtend, Het college van IJsselstein,

Wilma van de Werken secretaris

Agnes Jongerius burgemeester