2. Raadsinformatiebrief jaarverslag 2023 bescherming persoonsgegevens

postadres Postbus 26, 3400 AA IJsselstein

bezoekadres Overtoom 1 3401 BK IJsselstein t 14 030 f 030 6884350 e info@ijsselstein.nl

Gemeenteraad IJsselstein Postbus 26 3400 AA IJSSELSTEIN

betreft

Jaarverslag 2023 bescherming persoonsgegevens

uw kenmerk uw brief van behandeld door

zaaknummer

189344

J.P.J. Baas

datum

9 juli 2024

blad 1 van 4 bijlagen

Geachte raadsleden,

In deze brief informeren wij u over de bevindingen van de Functionaris Gegevensbescherming (FG) over 2023. Aanleiding Onder verantwoordelijkheid van zowel het college van burgemeester en wethouders, de burgemeester, als de gemeenteraad (griffie) vindt een groot aantal verwerkingen van persoonsgegevens plaats. Daar vindt extern en intern toezicht op plaats. De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacyregels in Nederland. De Functionaris Gegevensbescherming (FG) ziet erop toe dat intern de Algemene verordening gegevensbescherming (AVG) en de Wet politiegegevens (Wpg) worden nageleefd. De FG brengt jaarlijks een verslag uit van zijn bevindingen en doet hierin aanbevelingen. De gemeenteraad ziet vanwege de controlerende taak tevens toe op de uitvoering van het privacy beleid door het college van burgemeester en wethouders. In het FG-jaarverslag staat beschreven welke acties en maatregelen de gemeente in 2023 heeft genomen om de doelstellingen en beginselen uit de AVG en de Wpg te behalen en te waarborgen. Ook bevat dit document aandachtspunten en aanbevelingen. Adequaat omgaan met persoonsgegevens is een blijvend proces en zal dan ook aandacht blijven vergen van zowel bestuur, management als medewerkers.

Bevindingen over de implementatie van de AVG in 2023 De FG geeft aan dat de gemeente in 2023 verder heeft geïnvesteerd in de bescherming van persoonsgegevens. Alle AVG-onderwerpen zijn in beeld gebracht. De totaalgrafiek van 2023 laat zien dat van alle AVG-onderwerpen: • 68% van de onderwerpen volledig is geïmplementeerd; • 25% van de onderwerpen wel zijn opgepakt maar nog niet geïmplementeerd; • 5% nog niet is opgepakt.

De gemeente IJsselstein gebruikt uw persoonsgegevens uitsluitend voor het doel waarvoor zij zijn verstrekt. Voor meer informatie daarover verwijzen wij u naar www.ijsselstein.nl/privacy.

Bankrelatie BNG NL79BNGH028.50.09.958 Bankrelatie RABO NL83RABO0320.72.82.85

datum ons kenmerk blad 2 van

9 juli 2024 189344 4

Het betreft de volgende privacythema’s: 1. Beleid 2. Processen 3. Organisatorische inbedding 4. Rechten van betrokkenen 5. Samenwerking 6. Beveiliging 7. Verantwoording

Met een gemiddelde score van 2,3 (op een schaal van 1 tot 5) scoort IJsselstein qua volwassenheidsniveau redelijk. Dit was 2,1 in 2022. In het algemeen wordt aangenomen dat de basis volledig op orde is bij een score van 3,0. Voor een aantal onderdelen liggen de scores op 3,0 of zelfs daarboven. Andere onderdelen scoren onder het gemiddelde van 2,3. Verbeterpunten zijn vooral de formele aanpassing van het privacy beleid, het bewustwordingsproces, het ontwerpen van een systeem voor het inzicht krijgen in privacy-risico’s door middel van DPIA’s (een gestructureerde aanpak om vooraf risico’s op het gebied van gegevensbescherming te identificeren) en het managen van deze risico’s en ook het periodiek controleren van een juist gebruik van persoonsgegevens. Hoewel de totaalscore een positieve ontwikkeling laat zien ten opzichte van 2022 is er nog steeds ruimte voor verbetering. De belangrijkste FG aanbevelingen voor 2023 waren de volgende: 1. het huidige privacy beleid aan te passen; 2. in te blijven zetten op het verhogen van het privacy bewustzijn; 3. een DPIA-plan op te stellen; 4. de cyberweerbaarheid van de organisatie te verhogen; 5. de interne audit voor de uitvoering van de Wet politiegegevens te organiseren en een verbeterplan op te stellen en in uitvoering te nemen. Hieronder wordt aangegeven welke acties zijn uitgevoerd naar aanleiding van deze aanbevelingen. •

Het huidige privacy beleid is opgesteld op het moment van inwerkingtreding van de AVG. De praktijk laat zien dat het beleid op sommige onderdelen niet meer geheel past bij de uitdagingen van de organisatie op het gebied van gegevensbescherming. In 2023 heeft de organisatie geen prioriteit kunnen geven aan de aanpassing van het beleid. Er is een voorstel in voorbereiding en de verwachting is dat het aangepaste privacy beleid in 4e kwartaal 2024 kan worden vastgesteld.

•

Kennis, houding en gedrag (awareness) zijn nog steeds de belangrijkste pijlers in de privacybescherming. Ook in 2023 is weer verder uitvoering gegeven aan het bewustwordingsplan. De belangrijkste ingezette middelen zijn:

datum ons kenmerk blad 3 van

9 juli 2024 189344 4

o Sir Askalot (elke twee weken) in het kader van E-learning (gehele jaar) o Phishing test email (december 2023) o Mystery Guest (november 2023) in MT zijn de beelden besproken o Introductiecursus online voor nieuwe medewerkers (gehele jaar) Het blijft een uitdaging om met bewustwordingsacties alle collega’s te bereiken. Hierbij geldt natuurlijk wel dat er ook collega’s zijn die in hun dagelijks werk niet of nauwelijks worden persoonsgegevens verwerken. Gelet hierop zal vanaf 2024 in de bewustwordingsactiviteiten meer onderscheid gemaakt naar de typen functies en rollen in de organisatie. •

Op basis van de actualisering van het verwerkingenregister wordt op dit moment aan de hand van een risicoanalyse een DPIA-plan opgesteld. Er zijn ook voorbereidingen getroffen voor het uitvoeren van DPIA’s voor het Outreachteam, voor de nieuwe applicatie Zorgned en voor Ondermijning. Daarnaast wordt er een regionale DPIA uitgevoerd voor het lokale werkteam.

•

Als onderdeel van cyberweerbaarheid is in december 2023 een phishing mail test gedaan en is een Mystery Guest ingezet. De aandachtspunten naar aanleiding hiervan worden opgepakt.

•

De teams Veiligheid en Samenleving hebben verbeterplannen gemaakt waarover inmiddels ook een verplichte hercontrole heeft plaatsgevonden. Het hercontrole rapport is aangeleverd bij de Autoriteit Persoonsgegevens (externe toezichthouder).

Wet politiegegevens Het college van burgemeester en wethouders is ook verwerkingsverantwoordelijke voor het verwerken van persoonsgegevens bij handhavingsactiviteiten van Boa’s, waarbij opsporing van een strafbaar feit aan de orde is. Het gaat hierbij om de volgende domeinen: openbare ruimte en leerplicht. De FG is op grond van de Wpg belast met het toezicht en dient jaarlijks een verslag op te stellen van zijn bevindingen. Op basis van de auditresultaten van 2022 is een verbeterplan opgesteld voor opsporingsactiviteiten in de Openbare Ruimte (Domein I) en een verbeterplan in voorbereiding voor de opsporingsactiviteiten bij Leerplicht (Domein III). Net zoals in veel gemeenten is vooral gewerkt aan het opstellen en het in uitvoering nemen van de verbeterplannen. Daardoor is geen prioriteit gegeven aan het houden van audits over het jaar 2023. Dit zal in 2024 alsnog worden opgepakt. In 2025 dient er weer een verplichte externe Wpg-audit te worden gehouden. Dan zal worden onderzocht in hoeverre de verbeteringen zijn opgepakt en gerealiseerd. FG-aanbevelingen voor 2024 e.v. Het is belangrijk dat de gemeente IJsselstein blijft bouwen aan het fundament dat als basis dient voor een betrouwbare overheid.

Specifieke aandacht zal in 2024 dan ook moeten gaan naar het verder gestructureerd integreren van de gegevensbescherming in de organisatie en het blijvend verhogen van het privacybewustzijn van zowel het bestuur, het management als de medewerkers. De FG heeft daarvoor onder andere de volgende aanbevelingen gedaan. 1. Blijf inzetten op het verhogen van het privacy bewustzijn. 2. Maak een gemeentebrede verantwoordingssystematiek voor de bescherming van persoonsgegevens 3. Zet in op de verdere uitvoering in 2024 van de verbeterplannen om te voldoen aan de Wet politiegegevens.

datum ons kenmerk blad 4 van

9 juli 2024 189344 4

Wij zullen binnen de bestaande capaciteit op basis van geprioriteerde risico’s uitvoering geven aan de aanbevelingen van de Functionaris Gegevensbescherming. Door het volgende FG-jaarverslag zult u worden geïnformeerd over de acties en verbetermaatregelen van het college in 2024. Wat betekent dit voor de raad (procedureel) Door deze rapportage wordt de raad als één van de drie bestuursorganen geïnformeerd over de stand van zaken van de bescherming van persoonsgegevens binnen de gemeentelijke organisatie. De Privacy Officer en de FG adviseren de griffie over de bescherming van persoonsgegevens.

Hoogachtend, Het college van IJsselstein,

drs. W.M. van de Werken secretaris

mr. P.J.M. van Domburg burgemeester