2.1 FG-jaarverslag

JAARVERSLAG 2023 GEGEVENSBESCHERMING

Zaaknummer:102487 Opsteller: J. Baas, Functionaris Gegevensbescherming Datum: …

Samenvatting In dit jaarverslag wordt aangegeven op welke wijze het college van B&W van de gemeente IJsselstein in 2023 uitvoering heeft gegeven aan het privacy beleid. Er worden bevindingen beschreven over acties en maatregelen die de gemeente in 2023 heeft genomen om de doelstellingen en beginselen uit de Algemene Verordening Gegevensbescherming (AVG) en de Wet politiegegevens (Wpg) te behalen en te waarborgen. Ook bevat dit document aanbevelingen die zullen worden verwerkt in de jaarplannen 2024 en 2025. Samenvattend heeft de gemeente IJsselstein weer een aantal stappen gezet. Inmiddels is 95% van de AVGonderwerpen opgepakt waarvan 68% volledig is geïmplementeerd. In 2022 was dit 58%. Het volwassenheidsniveau wordt momenteel (op een schaal van 1 tot 5) gescoord op 2,3. In het algemeen wordt aangenomen dat de basis volledig op orde is bij een score van 3,0. Voor een aantal onderdelen liggen de scores op 3,0 of zelfs daarboven. Andere onderdelen scoren onder het gemiddelde van 2,3. Het gaat hierbij vooral om de formele aanpassing van het privacy beleid, het bewustwordingsproces, het ontwerpen van een systeem voor het inzicht krijgen in privacy risico’s door middel van gegevensbeschermingseffectbeoordelingen (DPIA’s)1 en het managen van deze risico’s, als ook het periodiek controleren van een juist gebruik van persoonsgegevens.

Hierin ligt een belangrijke uitdaging voor de teamleiders samen met hun medewerkers en ondersteuning door de PO en CISO. Adequaat omgaan met persoonsgegevens is een blijvend en groeiend proces. Naast het voldoen aan de principes van privacy (op basis van de Algemene Verordening Gegevensbescherming AVG) en van Informatieveiligheid (op basis van de Baseline Informatieveiligheid), is ook een ondersteunend managementsysteem (Plan-Do-Check-Act-cyclus) belangrijk voor een continue aandacht voor de bescherming van persoonsgegevens, Om de basis nog beter op orde te krijgen is in 2023 een impuls gegeven aan de privacy organisatie. De Privacy Officer (PO), Chief Information Security Officer (CISO) en Functionaris Gegevensbescherming hebben gesprekken gehouden met alle teamleiders, Op basis daarvan is door het management extra prioriteit gesteld bij n het actualiseren van het verwerkingenregister, als input voor een gerichter management van privacy risico’s. De PO heeft in 2023 geen prioriteit kunnen geven aan het verwerken van alle verkregen informatie in een actueel verwerkingenregister. De actualisering en nadere risicoanalyse zal nu plaatsvinden in het derde kwartaal van 2024. Ook de aanpassing van het privacy beleid zal in 2024 worden opgepakt, zo mogelijk in afstemming met de gemeenten in de regio Lekstroom.

In 2023 was er nog geen DPIA-plan beschikbaar en zijn er weinig initiatieven geweest vanuit de teams voor het uitvoeren van gegevensbeschermingseffectbeoordeling (DPIA’s). Op basis van de actualisering van het verwerkingenregister wordt op dit moment aan de hand van een risicoanalyse een DPIA-plan opgesteld. Er zijn ook voorbereidingen getroffen voor het uitvoeren van DPIA’s voor het Outreachteam, voor de nieuwe applicatie Zorgned en voor Ondermijning. Daarnaast wordt er een regionale DPIA uitgevoerd voor het lokale werkteam. Kennis, houding en gedrag (awareness) zijn nog steeds de belangrijkste pijlers in de privacybescherming. Ook in 2023 is weer verder uitvoering gegeven aan het bewustwordingsplan. De belangrijkste ingezette middelen zijn: • Sir Askalot (elke twee weken) in het kader van E-learning (gehele jaar) • Phishing test email (december 2023) • Mystery Guest (november 2023) in MT zijn de beelden besproken • Introductiecursus online voor nieuwe medewerkers (gehele jaar) .

1 Data Protection Impact Assessment

2

Wet politiegegevens (Wpg) Het college van burgemeester en wethouders is ook verwerkingsverantwoordelijke voor het verwerken van persoonsgegevens bij handhavingsactiviteiten van boa’s, waarbij opsporing van een strafbaar feit aan de orde is. Het gaat hierbij om het domein: openbare ruimte en leerplicht. De FG is op grond van de Wpg belast met het toezicht en dient jaarlijks een verslag op te stellen van zijn bevindingen. Net zoals in veel gemeenten is vooral gewerkt aan het opstellen en het in uitvoering nemen van de verbeterplannen. Daardoor is over het jaar 2023 nog geen interne audit uitgevoerd. Deze interne audit zal naar verwachting in 2024 alsnog worden uitgevoerd. Ook de verplichte hercontrole van de verbeteringen is niet in 2023 uitgevoerd omdat er geen capaciteit was bij de gecontracteerde externe auditor. Dit zal in 2024 alsnog worden opgepakt. .

3

Inhoudsopgave Inleiding ..........................................................................................................5 Algemene Verordening Gegevensbescherming (AVG) ...........................................................6 1.

Het beleid .................................................................................................7

2.

Processen .................................................................................................9

3.

Organisatorische inbedding ............................................................................ 11

4.

Rechten van betrokkenen .............................................................................. 12

5.

Samenwerking .......................................................................................... 14

6.

Beveiliging .............................................................................................. 15

7.

Verantwoording ........................................................................................ 16

Wet politiegegevens (Wpg) .................................................................................... 18 8.

Belangrijkste conclusies 2023 .......................................................................... 19

4

Inleiding De gemeente is zich bewust van het belang van het beschermen van persoonsgegevens van haar inwoners. Er worden namelijk bij de uitoefening van haar taken veel (gevoelige) gegevens van veel (kwetsbare) inwoners in veel verschillende domeinen verwerkt. In de AVG, de Wet politiegegevens (Wpg) en specifieke materiewetgeving wordt het wettelijk kader beschreven voor het verwerken van persoonsgegevens. Zo dient de gemeente duidelijk te zijn over welke persoonsgegevens zij verwerkt en voor welk doel en met welke grondslag. Tijdens de levensduur van persoonsgegevens moet de gemeente ze goed beveiligen, mogen ze niet zomaar voor een ander doel worden verwerkt en moeten ze worden bewaard conform de geldende bewaartermijn en na afloop worden vernietigd en/of geanonimiseerd. Daarnaast heeft de gemeente ook te maken met tal van privacyregels in sectorspecifieke wetgeving. Dit alles heeft gevolgen voor de inrichting van processen en systemen in en van de gemeente. Onder verantwoordelijkheid van zowel het college van burgemeester en wethouders, de burgemeester, als de gemeenteraad vindt een groot aantal verwerkingen van persoonsgegevens plaats. Daar vindt extern en intern toezicht op plaats. De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacyregels in Nederland.

Daarnaast dient een gemeente te beschikken over een interne toezichthouder: de Functionaris Gegevensbescherming (FG). De FG ziet erop toe dat intern de AVG en de Wpg worden nageleefd. Het college dient erop toe te zien dat de FG naar behoren en tijdig wordt betrokken bij alle gelegenheden die verband houden met de bescherming van persoonsgegevens. Daarnaast dient de FG ondersteund te worden door hem toegang te verschaffen tot persoonsgegevens en verwerkingen daarvan. De adviserende en uitvoerende taken liggen bij de privacy officer (PO). De FG brengt jaarlijks een verslag uit van zijn bevindingen en doet hij naar aanleiding daarvan aanbevelingen. Dit jaarverslag is bedoeld voor zowel het management als de drie bestuursorganen van de gemeente.

Leeswijzer Dit jaarverslag is opgesteld op basis van het AVG-borgingsproduct 2.0 van de Informatiebeveiligingsdienst gemeenten (IBD). In het borgingsproduct worden thema’s, criteria en maatregelen omschreven die de AVG vertalen naar een kwaliteitscyclus voor gegevensbescherming en privacy voor gemeentelijke processen. Eind 2019 is aan de hand van deze borgingsmethodiek een nulmeting gehouden. In Q4 van 2023 is -volgens planning als onderdeel van de Plan-Do-Check-Act (PDCA)-cyclus- gekeken naar de stand van zaken van de bescherming van persoonsgegevens. De metingen hebben plaatsgevonden vanuit het perspectief of alle vereiste AVGonderwerpen in de organisatie zijn belegd (opzet en bestaan) en nog minder vanuit het kwaliteitsperspectief (werking). Daarnaast heeft de FG voor de bepaling van het volwassenheidsniveau weer een self-assessment uitgevoerd op basis van het CIP2-model. Voor het rapportagegedeelte over de naleving van de Wet politiegegevens heeft de FG mede gebruikgemaakt van auditrapportages van Accoris.

2

Centrum voor Informatieveiligheid en Privacy

5

Algemene Verordening Gegevensbescherming (AVG) Hieronder worden de privacy thema’s toegelicht met een korte beschrijving van het thema, de resultaten uit het borgingsdocument AVG, de beschrijving van de activiteiten in 2023 en de aandachtspunten voor 2024 en verder om een hoger beschermingsniveau te bereiken. Deze aandachtspunten worden verwerkt in de betreffende actieplannen. Voor elk thema is een diagram opgenomen die de huidige status 2023 weergeeft ten opzichte van 2022. Het betreft de volgende privacythema’s: 1. Beleid 2. Processen 3. Organisatorische inbedding 4. Rechten van betrokkenen 5. Samenwerking 6. Beveiliging 7. Verantwoording

De totaalgrafiek van 2023 laat zien dat van alle AVG-onderwerpen: • 68% van de onderwerpen volledig is geïmplementeerd; • 25% van de onderwerpen wel zijn opgepakt maar nog niet geïmplementeerd; • 5% nog niet is opgepakt.

6

1. Het beleid Het privacy beleid is een kader waarin de gemeente aangeeft aan welke principes zij zich houdt bij de verwerking van persoonsgegevens, hoe de gemeente omgaat met persoonsgegevens en welke maatregelen zij treft om te voldoen aan de relevante wet- en regelgeving. Ter uitvoering van het beleid adviseert de Privacy Officer (PO) het bestuur, management en medewerkers over allerlei privacy gerelateerde vraagstukken. De PO heeft daarbij ook een vraagbaakfunctie naar medewerkers toe. De CISO doet dit voor Informatiebeveiliging. De PO en CISO maken jaar- en actieplannen gericht op het bereiken van de geformuleerde doelstellingen.

Vorige FG-aanbevelingen voor 2023 • Aanpassing Privacybeleid Focus op aanpassing van het beleid en vertaal en veranker het beleid in de organisatie met aandacht voor domein specifiek beleid. De FG adviseert om hierbij ook de relatie van de AVG met de Wet basisregistratie personen (BRP), de Archiefwet én met de Wet open overheid te betrekken. • Verhogen van het privacy bewustzijn Privacy bewustzijn blijft een van de belangrijkste pijlers bij de uitvoering van beleid. Het is belangrijk dat de impulsen hiervoor niet alleen van de PO en CISO komen, maar dat ook de directie en de teamleiders hierin hun rol blijven pakken. In ieder geval is het belangrijk dat zich actief bewust zijn van de verantwoordelijkheid van de gemeente in samenwerkingsrelaties. De FG adviseert om een adviseur communicatie te betrekken bij het opzetten van bewustwordingsacties.

Bevindingen 2023 De positieve ontwikkeling ten opzichte van 2022 voor het onderdeel beleid komt vooral door meer aandacht van het management voor gegevensbescherming. Ook is in de organisatie belegd dat bij nieuwe processen of systemen (doorgaans) in een vroegtijdig wordt gekeken naar de effecten voor de bescherming van persoonsgegevens (Privacy by design en Default). Privacy beleid Het huidige privacy beleid is regionaal opgesteld op het moment van inwerkingtreding van de AVG. De praktijk laat zien dat het beleid op sommige onderdelen niet meer geheel past bij de uitdagingen van de organisatie op het gebied van gegevensbescherming. Zo vergt het hybride werken een andersoortig beleid en is er ook behoefte aan specifiek beleid voor een aantal organisatieonderdelen. Net zoals in 2022 is in 2023 heeft de Privacy Officer geen prioriteit kunnen geven aan de wijziging van het privacy beleid. Daarnaast zou een andere gemeente vanuit de Lekstroom het voortouw nemen in het ontwikkelen van een format voor de aanpassing van het beleid, wat helaas niet is gelukt. Inmiddels is in 2024 het initiatief genomen om eigenstandig het beleid aan te gaan passen. De planning is dat uiterlijk het 3e kwartaal 2024 een gewijzigd beleid door het college kan worden vastgesteld.

Sociaal- en veiligheidsdomein Een belangrijk aandachtspunt daarbij is de verdere groei van samenwerkingsrelaties in het sociale- en veiligheidsdomein waarbij integrale gegevensverwerking nodig is en er risico’s zijn voor de bescherming van 7

persoonsgegevens. Een belangrijk onderdeel daarin is de samenwerking met de Gemeenschappelijke Regeling Werk en Inkomen Lekstroom bij de ontwikkeling van het lokale werkteam. Een ander belangrijk onderdeel is de samenwerking in de aanpak van ondermijning. De specifieke wetgeving in het Sociaal Domein is tot op heden niet altijd duidelijk over het kader voor het verwerken (uitwisselen) van persoonsgegevens. Het wetsontwerp aanpak meervoudige problematiek sociaal domein (Wams) is bedoeld om te voorzien in deze lacune. De Wams regelt dat gemeenten de wettelijke mogelijkheid krijgen om tot een gecoördineerde aanpak te komen voor mensen of gezinnen met meerdere problemen. Zo kan die hulp goed op elkaar worden afgestemd. Met dit wetsvoorstel kan ervoor gezorgd worden dat gemeenten en andere betrokken organisaties die deze gezinnen helpen, makkelijker gegevens kunnen uitwisselen. De invoering van de Wams is echter vooralsnog verschoven van 1 januari naar minstens 1 juli 2024. Omdat wettelijke kaders nu nog ontbreken, is het belangrijk om medewerkers en samenwerkingspartners duidelijke kaders mee te geven. Na vaststelling van het nieuwe privacy beleid zit de uitdaging in het vertalen, uitdragen en verankeren van het privacy beleid binnen de organisatie. Ook geldt voor een aantal domeinen voortaan het regime van de Wet politiegegevens dat heel nauw aansluit bij de AVG.

Ook hiervoor is een beleidskader gewenst. Bewustwording Kennis, houding en gedrag (awareness) zijn nog steeds de belangrijkste pijlers in de privacybescherming. Ook in 2023 is weer verder uitvoering gegeven aan het bewustwordingsplan. De belangrijkste ingezette middelen zijn: • Sir Askalot (elke twee weken) in het kader van E-learning (gehele jaar) • Phishing test email (december 2023) • Mystery Guest (november 2023) in MT zijn de beelden besproken • Introductiecursus online voor nieuwe medewerkers (gehele jaar) Een van de doelstellingen van AVG is om aantoonbaar de bewustwording in de organisatie te bevorderen. Een van de onderdelen in de bewustwording is het gebruik van de tweewekelijkse vraag van (Sir Askalot). De ervaring leert dat ongeveer 56% van de medewerkers hieraan deelneemt. Het blijft daarom een uitdaging om alle collega’s te bereiken met bewustwordingsacties. Hierbij is het een gegeven dat er collega’s zijn die in hun dagelijks werk niet of nauwelijks persoonsgegevens verwerken. De FG adviseert daarom na te gaan of in het bewustwordingsplan nog een specifiek onderscheid kan worden gemaakt naar de verschillende functies en rollen in de organisatie. Het is waardevol dat de bewustwording voor digitaal veilig werken nu onderdeel is van het on-boardingsproces bij indiensttreding van nieuwe medewerkers.

De FG geeft daarbij in overweging om na te gaan of het volgen van een e-learning module een verplichtend karakter kan krijgen waarbij elke medewerker (gericht op de eigen functie of rol) privacy bewust (digitaal veilig) blijft.

Aanbevelingen 2024 •

Aanpassing Privacybeleid Geef in 2024 prioriteit aan de aanpassing van het privacy beleid.

•

Blijf inzetten op het privacy bewustzijn van de organjsatie Privacy bewustzijn blijft een van de belangrijkste pijlers bij de uitvoering van beleid. Het is belangrijk dat de impulsen hiervoor niet alleen van de PO en CISO komen, maar dat ook de directie en de teamleiders hierin hun rol blijven pakken. In ieder geval is het belangrijk dat zij zich actief bewust blijven van de verantwoordelijkheid van de gemeente in samenwerkingsrelaties. Verder adviseert de FG om na te gaan of in het Bewustwordingsplan binnen de doelgroepen “medewerkers algemeen” wellicht nog een nader onderscheid kan worden gemaakt bij het inzet van tools. Daarnaast zou kunnen worden bekeken op welke wijze e-learning-modules effectiever (al of niet verplicht) kunnen worden ingezet.

8

2. Processen De verwerkingen van persoonsgegevens van de gemeente dienen te voldoen aan de AVG. Dit houdt in dat de werkprocessen die persoonsgegevens bevatten getoetst en ingericht moeten worden volgens de volgende beginselen: behoorlijkheid, transparantie, doelbinding, dataminimalisatie, opslagbeperking, juistheid, integriteit en vertrouwelijkheid. Daarnaast kan de gemeente in gevallen verplicht zijn om een gegevensbeschermingseffectbeoordeling (DPIA) uit te voeren.

Vorige FG-aanbevelingen voor 2023 •

Verder inbedden van Privacy by Design in de gemeentelijke processen. Bij de ontwikkeling van nieuwe systemen of diensten is het belangrijk om privacy al in een vroeg stadium mee te nemen (ook wel Privacy by Design genoemd). Dit gebeurt nu nog te veel ad hoc. De FG raadt daarom aan dat elk team nagaat op welke wijze het privacy beleid invloed heeft op de eigen werkprocessen en of er aanpassingen nodig zijn. Dit komt de kwaliteit van de processen ten goede. Het niet structureel inbedden van de bescherming van persoonsgegevens in de gemeente leidt tot risico’s die een afbreuk kunnen doen aan het vertrouwen van inwoners en medewerkers.

•

DPIA-plan en uitvoering In 2022 is al een start gemaakt met een DPIA op het zaaksysteem Djuma. De FG adviseert om een DPIA-plan te maken voor te totale organisatie en hieraan begeleiding en uitvoering te geven passend bij de prioritering van de risico’s en de beschikbare capaciteit.

•

Toegankelijkheid datalekkenregister en verwerkingenregister Onderzoek de mogelijkheid om het datalekken- en het verwerkingenregister inzichtelijk te maken voor alle medewerkers.

Bevindingen 2023 In 2023 is een proces gestart met het management om te komen tot een beter fundament voor gegevensbescherming. De PO, CISO en FG hebben met alle teamleiders gesprekken gevoerd over de stand van zaken. De doelstelling was om op basis hiervan het verwerkingenregister te actualiseren met de bijbehorende nadere risicoanalyses. De PO heeft in 2023 geen prioriteit kunnen geven aan het verwerken van alle verkregen informatie in een actueel verwerkingenregister. De actualisering en nadere risicoanalyse (opstellen van een DPIA-plan) zal nu plaatsvinden in het derde kwartaal van 2024. Privacy by design bij nieuwe ontwikkelingen Nieuwe processen of applicaties worden voorgelegd aan de I-commissie. De CISO heeft zitting in de I-commissie. Als persoonsgegevens zijn betrokken dan betrekt de CISO de PO hierbij en/of de FG indien nodig. Eerder was al gebleken dat er in Djuma geen centrale opslagmogelijkheid is voor het datalekkenregister en het verwerkingenregister. Er is nog niet gekeken naar andere mogelijkheden. Mogelijkerwijs kunnen deze registers worden ondergebracht in de beschikbare applicatie I-navigator. 9

DPIA’s Een DPIA is een instrument om vooraf de privacy-risico’s van een gegevensverwerking in kaart te brengen en vervolgens maatregelen te kunnen nemen om deze risico’s te verkleinen. Een DPIA is verplicht als een gegevensverwerking waarschijnlijk een hoog privacy-risico oplevert voor de mensen van wie de organisatie gegevens verwerkt. Dat is in ieder geval zo indien een organisatie: • systematisch en uitvoerig persoonlijke aspecten evalueert, waaronder profiling • op grote schaal bijzondere persoonsgegevens verwerkt • op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied (bijvoorbeeld cameratoezicht) In 2023 was er nog geen DPIA-plan beschikbaar en zijn er weinig initiatieven geweest vanuit de teams voor het uitvoeren van gegevensbeschermingseffectbeoordelingen (DPIA’s). Op basis van de actualisering van het verwerkingenregister wordt op dit moment aan de hand van een risicoanalyse een DPIA-plan opgesteld. Er zijn ook voorbereidingen getroffen voor het uitvoeren van DPIA’s voor het Outreachteam, voor de nieuwe applicatie Zorgned en voor Ondermijning. Daarnaast wordt er een regionale DPIA uitgevoerd voor het lokale werkteam.

Aanbevelingen •

DPIA-plan en uitvoering De FG adviseert om een DPIA-plan te maken voor de totale organisatie en hieraan begeleiding en uitvoering te geven passend bij de prioritering van de risico’s en de beschikbare capaciteit.

•

Toegankelijkheid datalekkenregister en verwerkingenregister Onderzoek de mogelijkheid om het datalekken- en het verwerkingenregister inzichtelijk te maken voor alle medewerkers.

10

3. Organisatorische inbedding Voor een goede en juiste uitvoering is het van belang dat iedereen binnen de organisatie op de hoogte is van de beginselen van de AVG en het belang van privacy. Organisatorische inbedding betekent het toewijzen van taken, verantwoordelijkheden en bevoegdheden en bewustzijn creëren.

Vorige FG-aanbevelingen •

Inzetten privacy-ambassadeurs Het inzetten van privacy ambassadeurs in de teams kan de privacy-organisatie versterken, waardoor de verantwoordelijkheden beter kunnen worden opgepakt en het privacy bewustzijn kan worden bevorderd. De FG beveelt aan om in 2023 hieraan nadere invulling te gaan geven.

•

Inbedding De FG adviseert de teamleiders om in activiteitenplanning ook aandacht te gaan besteden aan privacy en informatieveiligheid. Denk daarbij aan mogelijke DPIA’s, training en bewustwording.

Bevindingen 2023 De privacy-organisatie is veel breder dan de PO alleen. De PO zou vanuit de adviserende rol per definitie een aanjagende rol moet kunnen pakken. Maar er kon naast de going-concern activiteiten van AVG-verzoeken, de afhandeling van datalekken en de advisering over af te sluiten verwerkers overeenkomsten geen prioriteit worden gegeven aan het oppakken van beleidsmatige zaken. Hierdoor heeft de privacy organisatie zich als geheel in 2023 nauwelijks heeft doorontwikkeld. Inmiddels wordt de rol van privacy officer door 2 medewerkers vervuld waardoor er meer armslag is ontstaan om beleidsonderwerpen te kunnen door ontwikkelen. De FG vindt nog steeds dat het inzetten van privacy aanspreekpunten (privacy ambassadeurs) een boost kan geven aan de bestaande privacy organisatie. Zij kunnen eerste aanspreekpunt (ogen en oren) zijn binnen het team voor privacyvraagstukken en de teamleider in de procesverantwoordelijkheid. Het management heeft tot op heden nog niet voor deze invulling gekozen. De FG wacht af of er in de samenwerking tussen de teams en privacy officer op een spontane manier privacy aanspreekpunten zullen ontstaan. De FG denkt hierbij onder meer aan de functionele beheerders.

Aanbevelingen •

Privacy aanspreekpunten Het inzetten van privacy aanspreekpunten binnen de teams kan de privacy-organisatie versterken, waardoor de verantwoordelijkheden beter kunnen worden opgepakt en het privacy bewustzijn kan worden bevorderd. De FG beveelt aan om in 2024 hieraan alsnog een bepaalde invulling te gaan geven.

•

Inbedding De FG adviseert de teamleiders om in de activiteitenplanning ook aandacht te gaan besteden aan privacy en informatieveiligheid. Denk daarbij aan mogelijke DPIA’s, training en bewustwording.

11

4. Rechten van betrokkenen De gemeente dient degene van wie zij de persoonsgegevens verwerkt (de betrokkene) zowel actief als passief te informeren over het verwerken, de wijze van het verwerken, de grondslag en de maatregelen die zij neemt om onrechtmatige toegang en verwerking te voorkomen. Daarnaast stelt de AVG de betrokkenen in staat om door een aantal rechten controle en invloed uit te oefenen over zijn of haar persoonsgegevens.

Vorige FG-aanbevelingen •

Transparantie De FG adviseert om in het kader van de transparantie een publieksvriendelijke versie van het register van verwerkingsactiviteiten beschikbaar te stellen via de gemeentelijke website.

•

Procedures aanpassen voor de Wpg Ook op basis van de Wpg hebben betrokkenen een aantal rechten. De FG raadt aan hiervoor een procedure te ontwikkelen analoog aan die van de AVG-rechten.

Bevindingen 2023 Op de gemeentelijke website is een privacyverklaring opgenomen. Daarin staat hoe de gemeente omgaat met persoonsgegevens en hoe betrokkenen hun rechten kunnen uitoefenen. Verder is het belangrijk dat betrokkenen van tevoren worden geïnformeerd over de wijze waarop hun persoonsgegevens verwerkt zullen gaan worden. Betrokkenen kunnen daarin sowieso worden gefaciliteerd door de mogelijkheid te creëren dat betrokkenen de publieksvriendelijke versie van het verwerkingenregister kunnen raadplegen. De FG adviseert om in 2024 deze aanbeveling alsnog te realiseren. In 2023 zijn er 5 AVG-verzoeken ingediend waarvan er 2 zijn afgewezen omdat de verzoekers zich niet hebben geïdentificeerd. In Djuma is een voorziening opgenomen zodat op een adequate wijze uitvoering kan worden gegeven aan AVG-verzoeken. Daarnaast is gedurende 2023 gebleken dat voor inwoners en andere betrokkenen de contactgegevens van de FG niet vindbaar waren. Dit is inmiddels aangepast in de privacy verklaring. Ontwikkelingen Artificial Intelligence (AI) en algoritmes De AVG geeft bepaalde rechten aan mensen van wie persoonsgegevens worden verwerkt. Het doel hiervan is dat zij controle houden over hun persoonsgegevens. Deze rechten gelden óók als hun persoonsgegevens worden verwerkt door een algoritmisch systeem. Mensen hebben bijvoorbeeld recht op informatie en op inzage in hun gegevens.

Dit betekent dat medewerkers binnen AI-mogelijkheden geen persoonsgegevens mogen gebruiken omdat die gegevens dan eeuwig aan het internet verbonden zullen zijn en inwoners daardoor geen controle op hun gegevens meer kunnen uitoefenen. De FG vindt het belangrijk dat duidelijke afspraken worden gemaakt over het gebruik van AI en eventuele algoritmes. De FG adviseert hierbij ook de te verwachten onderzoeksresultaten van de gemeentelijke rekenkamer over het onderwerp van algoritmes te betrekken.

12

Daarnaast hebben mensen recht op een menselijke blik bij besluiten. Dat betekent dat een voor hen belangrijke beslissing niet geautomatiseerd mag worden genomen, maar dat een medewerker dit moet doen.

Aanbevelingen •

Transparantie De FG adviseert om in het kader van de transparantie een publieksvriendelijke versie van het register van verwerkingsactiviteiten beschikbaar te stellen via de gemeentelijke website.

•

Artificial Intellingence (AI) en algoritmes o Betrek de FG tijdig bij voorgenomen gebruik van Artificial Intelligence (AI) en algoritmes waarbij mogelijkerwijs persoonsgegevens gebruikt worden of herleidbaar zijn. o Maak vuistregels voor het gebruik van Artificial Intelligence (AI).

13

5. Samenwerking De gemeentelijke organisatie werkt op meerdere beleidsterreinen, in verschillende bedrijfsfuncties, in diverse rollen en hoedanigheden samen met (mede) overheden en private organisaties. Deze verwerkingen dienen dan ook te voldoen aan de AVG. Om de bestuurlijke verantwoordelijkheid te kunnen waarmaken zijn goede afspraken met ketenpartners en opdrachtnemers over gegevensbeschermingsbeleid en toetsing daarvan belangrijk.

Vorige FG-aanbeveling •

Beheer verwerkersovereenkomsten Maak afspraken in de organisatie over wie het beheer voert op verwerkersovereenkomsten, met andere woorden wie de verwerker aanspreekt op het gevoerde beleid.

Bevindingen 2023 Om inwoners adequaat te kunnen helpen is er met name in het Sociaal Domein steeds vaker behoefte om gegevens te delen tussen ketenpartners. Er is nog geen specifieke wetgeving voor integrale gegevensverwerking in het sociaal- en veiligheidsdomein. Hierdoor ontbreekt vaak een AVG-grondslag om gegevens te kunnen delen. In situaties waarin delen van gegevens toch nodig is om een inwoner te kunnen helpen, is het belangrijk om hierover transparant te zijn. Regionale samenwerking De gemeente werkt veel samen met diverse partijen in de regio. Ook dan kan het college van burgemeester en wethouders verwerkingsverantwoordelijk zijn en op zaken worden aangesproken. Soms wordt ten onrechte aangenomen dat samenwerkende partners al voldoende naar de risico’s voor de bescherming van persoonsgegevens hebben gekeken. Maar dit blijkt echter niet altijd het geval. De FG roept daarom op om niet blindelings op externe advisering te vertrouwen. Het helpt ook om samen met de PO (kritische) vragen te stellen en op die manier alle risico’s te bekijken en waar nodig het college een juiste belangenafweging te laten maken. Verwerkers De gemeente is voor verwerkers de opdrachtgever en de (verwerkings)verantwoordelijk.

Daarom is het belangrijk om vooraf een duidelijk beeld hebben van wat de leverancier met de verstrekte (persoons)gegevens gaat doen en ook door te vragen als dit niet duidelijk is. Een belangrijk punt is de beveiliging van persoonsgegevens. Het is dan ook noodzakelijk om de leverancier te vragen naar de beveiligingsmaatregelen van de gegevens die ze van de gemeente gaan ontvangen. De FG constateert hierin een toenemend bewustzijn. De FG adviseert wel om ook voldoende aandacht te hebben voor het nakomen van de afspraken door de verwerkers (leveranciersmanagement).

Aanbevelingen • Regionale samenwerking Vertrouw bij regionale samenwerking niet blindelings dat de bescherming van persoonsgegevens afdoende is geregeld, maar blijf kritisch!

14

•

•

Transparantie De FG adviseert om de wijze waarop de gemeente participeert in samenwerkingsrelaties op te gaan nemen in de privacyverklaring en daarin aan te geven welke gegevens er mogelijk worden gedeeld met andere partijen. Beheer verwerkersovereenkomsten Maak afspraken in de organisatie over wie het beheer voert op verwerkersovereenkomsten, met andere woorden wie de verwerker aanspreekt op het gevoerde beleid.

6. Beveiliging Vanuit het algemene behoorlijkheidsbeginsel, integriteitsbeginsel en vertrouwelijkheidsbeginsel is het essentieel dat de gemeente passende technische en organisatorische maatregelen neemt ter beveiliging van persoonsgegevens. Daarnaast geldt onder de AVG een meldplicht datalekken. Dit houdt in dat beveiligingsincidenten met persoonsgegevens onder omstandigheden gemeld dienen te worden aan de AP en/of de betrokkene(n).

Vorige FG-aanbevelingen •

• • •

Risicomanagement Organiseer een systeem waarin verantwoording kan worden afgelegd over hoe met privacy risico’s wordt omgegaan. Cyberweerbaarheidsoefening De FG adviseert om de organisatie te oefenen in de weerbaarheid tegen cybercriminaliteit. Loggingsbeleid Maak een goed en handhaafbaar loggingsbeleid. Aandacht voor het melden van datalekken De FG adviseert om het belang van het melden van datalekken te blijven benadrukken.

Bevindingen 2023 Informatiebeveiliging Uitgangspunt van het gemeentelijk informatiebeveiligingsbeleid is om proces- en risicogericht te werken. Het gaat het er uiteindelijk om dat bij het prioriteren van de aanpak steeds wordt gekeken naar die maatregelen die een zo groot mogelijk effect hebben op het mitigeren van risico's. Het gaat er vooral om het “in control” te zijn, zodat altijd kan worden uitgelegd waarom bepaalde keuzes zijn gemaakt. Het verplichte normenkader van de Baseline Informatiebeveiliging Overheid (BIO) helpt het management bij het nemen van verantwoordelijkheid ten aanzien van bescherming van persoonsgegevens. In de BIO zijn op basis van generieke schades en dreigingen voor de overheid standaard basisbeveiligingsniveaus (BBN’s) gedefinieerd met bijbehorende beveiligingseisen die per bedrijfsproces moeten worden bepaald door het lijnmanagement.

15

Relatie informatiebeveiliging en privacy, risicomanagement Het duiden van risico’s voor de bescherming van persoonsgegevens is een continu proces. Omdat een goede informatiebeveiliging een belangrijke voorwaarde is om veilig met persoonsgegevens om te gaan, is het belangrijk om het privacy-risicomanagement in samenhang te bezien met de risico’s van informatiebeveiliging. Loggingbeleid Voor een aantal belangrijke applicaties is logging ingericht, maar er is op dit moment nog geen sprake van een structureel beleidsmatige aanpak. Datalekken In 2023 zijn er slechts 3 incidenten met persoonsgegevens gemeld (zie bijlage 1). De FG vindt gelet op de grootte van de organisatie het aantal meldingen gering en vraagt zich af hoe het zit met de bereidwilligheid om te melden. Het zou ook kunnen zijn dat het voor sommige medewerkers nog onduidelijk is wanneer en hoe ze incidenten met persoonsgegevens moeten melden.

Aanbevelingen •

• •

Risicomanagement Organiseer een systeem waarin verantwoording kan worden afgelegd over hoe met privacy risico’s wordt omgegaan. Loggingsbeleid Maak een goed en handhaafbaar loggingsbeleid. Aandacht voor het melden van datalekken De FG adviseert om het belang van het melden van datalekken te blijven benadrukken.

7. Verantwoording De AVG legt de verantwoordelijkheid bij de organisatie zelf om aantoonbaar te maken dat deze voldoet aan de privacyregels. Dit betekent dat de gemeente aan moet kunnen tonen dat de verwerkingen van persoonsgegevens voldoen aan de beginselen van de AVG en aan de relevante wet- en regelgeving. Daarvoor volgt de PO de PDCA-cyclus. De verantwoordingsplicht komt voornamelijk tot uiting in het jaarplan van de PO, het gepubliceerde register van verwerkingen en de openheid die met dit jaarverslag wordt gegeven en in uitgevoerde DPIA’s en (gemelde) datalekken.

Vorige FG-aanbevelingen 2023 Risico’s in beeld Zorg ervoor dat privacy risico’s in beeld komen en blijven. Zorg er in ieder geval voor dat de gewenste DPIA’s worden uitgevoerd, waardoor er meer zicht komt op mogelijke risico’s en vervolgens verantwoording kan worden afgelegd over de inzet van maatregelen voor het voorkomen of beperken van deze risico’s. Controlemomenten Ontwikkel een systeem waarin periodiek aandacht is voor een juist gebruik van persoonsgegevens (rechtmatigheid, autorisatie en logging).

16

Bevindingen 2023 Dit jaarverslag is opgesteld op basis van het AVG-borgingsproduct 2.0 van de Informatiebeveiligingsdienst gemeenten (IBD). In het borgingsproduct worden thema’s, criteria en maatregelen omschreven die de AVG vertalen naar een kwaliteitscyclus voor gegevensbescherming en privacy voor gemeentelijke processen In de vorige FG-rapportage werd ervan uitgegaan dat voor het bepalen van het privacy volwassenheidsniveau gebruik gemaakt zou kunnen worden van een rekentool in een nieuwe VNG-meetlat voor privacy. De IBD heeft er inmiddels echter voor gekozen om niet met een volwassenheidspercentage te gaan werken. Om toch een beeld te kunnen krijgen van het volwassenheidsniveau van de organisatie heeft de FG daarom een assessment uitgevoerd aan de hand van de tool van het CIP 3 De tool kent vijf volwassenheidsniveau’s zoals in het schema hieronder is opgenomen.

In het algemeen wordt aangenomen dat de basis volledig op orde is bij een volwassenheidsniveau van 3,0 (niveau “vastgesteld”). De FG scoort het privacy volwassenheidsniveau op 2,3 (niveau “beheerst”). Dit is een minimale verbetering ten opzichte van 2022 (2,1). Uit het assessment blijkt wel voor een aantal onderdelen de scores op 3,0 of zelfs daarboven liggen. Andere onderdelen scoren echter onder het gemiddelde van 2,3. Het gaat hierbij vooral nog om het organisatie breed inzicht krijgen en houden in privacy risico’s en vervolgens het managen van deze risico’s in de teams door middel van gestructureerde procedures en afspraken. Het resultaat van dit assessment is opgenomen in bijlage 2. Hierbij moet wel worden aangetekend dat het assessment van CIP een algemener perspectief kent dan het VNG-borgingsdocument.

Aanbevelingen Risico’s in beeld PDCA-cyclus Zorg ervoor dat privacy risico’s in beeld komen en blijven. Zorg er in ieder geval voor dat de gewenste DPIA’s worden uitgevoerd, zodat er meer zicht komt op mogelijke risico’s en vervolgens verantwoording kan worden afgelegd over de inzet van maatregelen voor het voorkomen of beperken van deze risico’s. PDCA-cyclus Verbreed de verantwoording door middel van de PDCA-cyclus ook naar de teamleiders. Controlemomenten Zorg ervoor dat er periodiek aandacht is voor een juist gebruik van persoonsgegevens (rechtmatigheid, autorisatie en logging).

3 Centrum Informatiebeveiliging en Privacybescherming

17

Wet politiegegevens (Wpg) Het college van burgemeester en wethouders is ook verwerkingsverantwoordelijke voor het verwerken van persoonsgegevens bij handhavingsactiviteiten van boa’s, waarbij opsporing van een strafbaar feit aan de orde is. Het gaat hierbij om het domein: openbare ruimte en leerplicht. De FG is op grond van de Wpg belast met het toezicht en dient jaarlijks een verslag op te stellen van zijn bevindingen. Audits Jaarlijks dient een interne Wpg-audit te worden uitgevoerd en vierjaarlijks een externe audit. Medio 2022 is voor het eerst een interne Wpg-audit uitgevoerd, gevolgd door een extern auditrapport dat inmiddels is aangeleverd bij de Autoriteit Persoonsgegevens. Hieronder volgen een aantal belangrijke aanbevelingen uit de audits die door Accoris zijn uitgevoerd.

Belangrijkste aanbevelingen van Accoris (externe auditrapport 2022) 1. 2. 3.

4. 5.

Zorg op basis van het controleproces dat de FG de juiste controle-informatie tot zijn beschikking krijgt. Hierdoor kan de FG zijn toezichthoudende taak uitoefenen. Richt een goed autorisatieproces in en draag zorg voor een aantoonbare jaarlijkse controle op de autorisaties. Stel een aanstellingsprocedure op en screen alle medewerkers. Stel een disciplinaire procedure op waarin maatregelen beschreven staan worden indien de geheimhoudingsplicht geschonden wordt. Laat nieuwe medewerkers verplicht een bewustwordingscursus volgen en houd hiervan een registratie bij. Geef daarnaast voldoende aandacht aan bewustwordingsactiviteiten binnen de gemeente Draag zorg voor logging rapportages via de leverancier (in geval van SaaS) en voer de logging controle uit. Houd een registratie bij van nieuwe aangemelde verwerkingen en voer periodiek (tenminste eenmaal per jaar) een controle uit op de volledigheid van het verwerkingenregister.

Verbeterplannen Op basis van de auditresultaten is een verbeterplan opgesteld voor opsporingsactiviteiten in de Openbare Ruimte (Domein I) en een verbeterplan in voorbereiding voor de opsporingsactiviteiten bij Leerplicht (Domein III). In 2025 dient er naast de jaarlijkse interne audit ook weer een externe Wpg-audit te worden gehouden. Dan zal worden onderzocht in hoeverre de verbeteringen zijn opgepakt en gerealiseerd. De verplichte hercontrole van de verbeteringen is niet in 2023 uitgevoerd omdat er geen capaciteit was bij de gecontracteerde externe auditor en hieraan intern te weinig prioriteit is gegeven. . Dit zal in 2024 alsnog worden opgepakt.

Bevindingen van de FG Net zoals in veel gemeenten is vooral gewerkt aan het opstellen en het in uitvoering nemen van de verbeterplannen. Daardoor is over het jaar 2023 ook nog geen interne audit uitgevoerd. Deze interne audit zal naar verwachting eveneens in 2024 alsnog worden uitgevoerd. De FG zal voor de zomer van 2024 toezicht houden op de uitvoering van de verbeterplannen. Zodat indien nodig nog kan worden bijgestuurd voor de verplichte externe audit in 2025.

Aanbevelingen van de FG voor 2024 1. 2. 3. 4. 5. 6.

Het Privacybeleid moet nog worden afgestemd op de Wpg. Voer een gegevensbeschermingseffectbeoordeling (DPIA) uit op de processen. Richt een goed autorisatieproces in. Draag zorg voor een aantoonbare jaarlijkse controle op de autorisaties. Stel werkinstructies en protocollen op. Zorg ervoor voor dat de werkinstructies/procedures ook daadwerkelijk aantoonbaar worden gevolgd.

18

8. Belangrijkste conclusies 2023 Samenvattend heeft de gemeente IJsselstein weer een aantal stappen gezet. Inmiddels is 95% van de AVGonderwerpen opgepakt waarvan 68% volledig is geïmplementeerd. In 2022 was dit 58%. Het volwassenheidsniveau wordt momenteel (op een schaal van 1 tot 5) gescoord op 2,3. In het algemeen wordt aangenomen dat de basis volledig op orde is bij een score van 3,0. Voor een aantal onderdelen liggen de scores op 3,0 of zelfs daarboven. Andere onderdelen scoren onder het gemiddelde van 2,3. Het gaat hierbij vooral om de formele aanpassing van het privacy beleid, het bewustwordingsproces, het ontwerpen van een systeem voor het inzicht krijgen in privacy risico’s door middel van gegevensbeschermingseffectbeoordelingen (DPIA’s)4 en het managen van deze risico’s, en ook het periodiek controleren van een juist gebruik van persoonsgegevens. Hierin ligt een belangrijke uitdaging voor de teamleiders samen met hun medewerkers en ondersteuning door de PO en CISO. Adequaat omgaan met persoonsgegevens is een blijvend en groeiend proces.

Naast het voldoen aan de principes van privacy (op basis van de Algemene Verordening Gegevensbescherming AVG) en van Informatieveiligheid (op basis van de Baseline Informatieveiligheid), is ook een ondersteunend managementsysteem (Plan-Do-Check-Act-cyclus) belangrijk voor een continue aandacht voor de bescherming van persoonsgegevens, Om de basis nog beter op orde te krijgen is in 2023 een impuls gegeven aan de privacy organisatie. De Privacy Officer (PO), Chief Information Security Officer (CISO) en Functionaris Gegevensbescherming hebben gesprekken gehouden met alle teamleiders, Op basis daarvan is door het management extra prioriteit gesteld bij n het actualiseren van het verwerkingenregister, als input voor een gerichter management van privacy risico’s. De PO heeft in 2023 geen prioriteit kunnen geven aan het verwerken van alle verkregen informatie in een actueel verwerkingenregister. De actualisering en nadere risicoanalyse zal nu plaatsvinden in het derde kwartaal van 2024. Ook de aanpassing van het privacy beleid zal in 2024 worden opgepakt, zo mogelijk in afstemming met de gemeenten in de regio Lekstroom. In 2023 was er nog geen DPIA-plan beschikbaar en zijn er weinig initiatieven geweest vanuit de teams voor het uitvoeren van gegevensbeschermingseffectbeoordeling (DPIA’s).

Op basis van de actualisering van het verwerkingenregister wordt op dit moment aan de hand van een risicoanalyse een DPIA-plan opgesteld. Er zijn ook voorbereidingen getroffen voor het uitvoeren van DPIA’s voor het Outreachteam, voor de nieuwe applicatie Zorgned en voor Ondermijning. Daarnaast wordt er een regionale DPIA uitgevoerd voor het lokale werkteam. Kennis, houding en gedrag (awareness) zijn nog steeds de belangrijkste pijlers in de privacybescherming. Ook in 2023 is weer verder uitvoering gegeven aan het bewustwordingsplan. De belangrijkste ingezette middelen zijn: • Sir Askalot (elke twee weken) in het kader van E-learning (gehele jaar) • Phishing test email (december 2023) • Mystery Guest (november 2023) in MT zijn de beelden besproken • Introductiecursus online voor nieuwe medewerkers (gehele jaar) Adequaat omgaan met persoonsgegevens is een blijvend en groeiend proces. Het volwassenheidsniveau wordt momenteel (op een schaal van 1 tot 5) gescoord op 2,3. Dit is een minimale verbetering ten opzichte van 2022 (2,1). In het algemeen wordt aangenomen dat de basis volledig op bij een score van 3,0. Een aantal onderdelen liggen de scores op 3,0 of zelfs daarboven liggen. Andere onderdelen scoren onder het gemiddelde van 2,3.

Het gaat hierbij vooral om de formele aanpassing van het privacy beleid, het bewustwordingsproces, het ontwerpen van een systeem voor het inzicht krijgen in privacy risico’s door middel van DPIA’s en het managen van deze risico’s, als ook het periodiek controleren van een juist gebruik van persoonsgegevens. Hierin ligt een belangrijke uitdaging voor teamleiders samen met hun medewerkers en ondersteuning door de PO en CISO.

4 Data Protection Impact Assessment

19

Wet politiegegevens (Wpg) Net zoals in veel gemeenten is vooral gewerkt aan het opstellen en het in uitvoering nemen van de verbeterplannen. Daardoor is over het jaar 2023 nog geen interne audit uitgevoerd. Deze interne audit zal naar verwachting in 2024 alsnog worden uitgevoerd. Ook de verplichte hercontrole van de verbeteringen is niet in 2023 uitgevoerd omdat er geen capaciteit was bij de gecontracteerde externe auditor. Dit zal in 2024 alsnog worden opgepakt.

20

Bijlage 1. Datalekken 2023 Datum datalek

Datum bekend worden datalek

Melding? Soort datalek Zo ja, binnen 72u

Afhandeling

Datum Lessons afhandeling Learned

26-04-23

26-04-23

N

E-mail naar verkeerde zorgaanbieder gestuurd

De betrokken cliënt is per mail geinformeerd en daarna gebeld. Een en ander is opgelost.

26-04-23

Alertheid waarborgen bij versturen e-mail aan zorgverlener

16-05-23

17-05-23

N

Cazas en gemeente IJsselstein zijn in hetzelfde gebouw gevestigd. Medewerker(s) van gemeente IJsselstein hebben per abuis post bestemd voor Cazas geopend.

Contact opgenomen met de teamleider van de betreffende medewerkers en er wordt i.i.g. een werkinstructie gegeven over de behandeling van de ingekomen post, zodat er beter gekeken wordt naar de adressering en de verdeling van de post. Dit is doorgegeven aan de PO van Cazas

17-05-23

Alertheid bij verdeling post van Cazas en gemeente IJsselstein

7-12-23

7-12-23

N

Door een technische aanpassing in het systeem bij Visma zijn onbedoeld persoonsgegevens bij een onbevoegde ontvanger terecht zijn gekomen, te weten het UWV. Daarbij gaat het om gegevens van oudmedewerkers. Het is mogelijk dat zij een brief van het UWV hebben ontvangen.

Contact opgenomen met de betreffende partners (Visma en UWV). Ook zijn de betrokken medewerkers ingelicht.

7-12-23

Gaat om een technische verandering in een systeem van een partner. Weinig tot geen invloed op.

21

Bijlage 2. Resultaten CIP Privacy Selfassessment 2023 De CIP Privacy Self Assessment geeft adviezen op basis van het gekozen ambitieniveau. In het algemeen wordt aangenomen dat de basis volledig op orde is bij een volwassenheidsniveau van 3,0. Uw volwassenheidscore is (gemiddeld)

2,3

Op niveau wilt u uw doelstellingen realiseren? (Bedenk: Het niveau mag niet hoger liggen dan het ambitieniveau waarop u de vragen heeft beantwoord.)

Tip voor een realistisch en bereikbaar advies: als uw volwassenheidscore meer dan 1 niveau lager ligt dan uw ambitieniveau, kies dan een doelstellingenniveau dat niet meer dan 1 niveau hoger ligt; maar kies ten minste niveau 3 voor een advies dat zich basaal kan meten met de AVG.

22

Niveau 1 Niveau 2 Niveau 3 Niveau 4 Niveau 5

Nog te realiseren doelstellingen Hieronder staan de doelstellingen per onderdeel vermeld die nog gerealiseerd moeten worden om het gewenste volwassenheidsniveau 3 te bereiken. (Voor het bereiken van niveau 4 en 5 zijn er andere specifiekere doelstellingen die bereikt moeten worden). B.01 Privacybeleid • Het beleid en de procedures worden op organisatieniveau eenduidig vastgelegd en formeel vastgesteld en organisatiebreed gebruikt. •

Beleidsbeslissingen over het toepassen van de wettelijke beginselen worden gebaseerd op het privacy beleid op organisatieniveau, volgens de procedures die op organisatieniveau beschikbaar zijn. De beslissingen worden op organisatieniveau formeel vastgesteld.

•

De juistheid en de eenduidigheid van de beleidsbeslissingen wordt in een procedure organisatie breed formeel bewaakt.

B.02 Organieke Inbedding • De planning van de benodigde middelen zijn gekoppeld aan het privacy beleid en meegenomen in de planningscyclus van de organisatie. •

De rapportagelijnen worden organisatie breed vastgelegd en formeel vastgesteld.

B.03 Risicomanagement, Privacy by Design en de GEB • De GEB-en worden organisatie breed periodiek uitgevoerd, organisatie breed qua betekenis van de uitkomsten onderling vergeleken en op organisatieniveau vastgesteld. •

De opzet van de GEB-en wordt organisatie breed op elkaar afgestemd en gestandaardiseerd.

•

Op een organisatie breed eenduidig vastgelegde en bewaakte wijze wordt ervoor zorggedragen dat (voor nieuwe verwerkingen en bij grote wijzigingen) de principes van Privacy by Design worden toegepast. Hiertoe worden principes van Privacy by Design organisatie breed vastgesteld.

•

Het toepassen van Privacy by Design in de ontwerpstappen wordt organisatie breed op elkaar afgestemd en gestandaardiseerd.

•

Er wordt een risicomanagementaanpak als standaard vastgesteld en toegepast, waarbij de privacy risico’s formeel worden bepaald en het mitigeren ervan als plan wordt vastgesteld en uitgevoerd

•

De GEB wordt onderdeel van een formeel vastgestelde risicomanagement aanpak.

•

De plannen voor het mitigeren van de risico’s worden meegenomen in de plan- en control cyclus van de organisatie.

U.01 Doelbinding gegevensverwerking • Organisatie breed worden de rechtvaardigingsgronden van de verwerking van de persoonsgegevens op een uniforme wijze bepaald en formeel vastgesteld. •

Organisatie breed wordt bewaakt en afgedwongen dat er dataminimalisatie wordt.

23

U.02 Register van verwerkingsactiviteiten • Er wordt organisatie breed een actueel en compleet beeld van de verwerkingsactiviteiten van verwerkers vastgelegd en vastgesteld. •

De vastgelegde informatie geeft inzicht in de complete samenhang tussen de gegevens, verwerkingen, processen, organisatie en technische systemen.

U.03 Kwaliteitsmanagement • Er wordt organisatie breed een actueel en compleet beeld van de verwerkingsactiviteiten van verwerkers vastgelegd en vastgesteld. •

De vastgelegde informatie geeft inzicht in de complete samenhang tussen de gegevens, verwerkingen, processen, organisatie en technische systemen.

U.04 Beveiligen van de verwerking van persoonsgegevens • Op een organisatie brede formeel vastgestelde wijze voert de verwerkingsverantwoordelijke periodiek beveiligingsrisico-analyses uit en neemt mitigerende maatregelen. U.05 Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens • Op een organisatie breed eenduidig vastgelegde en bewaakte wijze wordt bepaald hoe de betrokkene geïnformeerd wordt bij de verzameling van persoonsgegevens. •

Organisatie breed wordt, op een eenduidig vastgelegde en bewaakte wijze, bepaald welke informatie de betrokkene ontvangt bij de verzameling van persoonsgegevens.

U.06 Bewaren van persoonsgegevens • Geen U.07 Doorgifte persoonsgegevens • Organisatie breed wordt, op een eenduidig vastgelegde en bewaakte wijze, de onderlinge afspraken met andere verwerkingsverantwoordelijken en de afdoende garanties met verwerkers gemaakt. •

Organisatie breed wordt op een eenduidig vastgelegde en bewaakte wijze bepaald of gegevens worden doorgegeven aan een andere verwerkingsverantwoordelijke of verwerker buiten de EU.

•

Op een organisatie breed eenduidig vastgelegde en bewaakte wijze vindt vastlegging van doorgiften plaats.

•

Er wordt blijvend bewaakt of de doorgiften aan de vereisten voldoen.

K.01 Intern toezicht • Op een organisatie breed eenduidig vastgelegde en bewaakte wijze wordt gerapporteerd over de rechtmatigheid van de gegevensverwerkingen. •

Op een organisatie breed eenduidig vastgelegde en bewaakte wijze wordt gereageerd op afwijkingen in de rechtmatigheid van de gegevensverwerkingen.

K.02 Toegang gegevensverwerking voor betrokkenen • Op een organisatie breed eenduidig vastgelegde en bewaakte wijze wordt bepaald of en hoe de betrokkene geïnformeerd wordt over de verwerking van de persoonsgegevens. •

Op een organisatie breed eenduidig vastgelegde en bewaakte wijze wordt bepaald tot welke informatie de betrokkene toegang krijgt.

24

K.03 Meldplicht Datalekken • Organisatie breed wordt, op een formeel vastgestelde wijze, kennis, ervaring, voorzieningen en processen gedeeld om een datalek te onderzoeken. •

Organisatie breed wordt samengewerkt om te komen tot formeel vastgestelde eenduidige richtlijnen voor het voorkomen van datalekken.

25