6.1 Rapportage bescherming persoonsgegevens 2020
Tekst van het document
Gemeente IJsselstein
JAARRAPPORTAGE 2020 GEGEVENSBESCHERMING
Opgesteld door de Functionaris Gegevensbescherming
Samenvatting De bestuursorganen van de gemeente IJsselstein (voor de leesbaarheid zal in deze rapportage worden gesproken over ‘de gemeente’) zijn verantwoordelijk voor de verwerkingen van persoonsgegevens. Voor het merendeel gaat het om het college van burgemeester en wethouders. De gemeenteraad is verantwoordelijk voor de verwerkingen binnen de gemeenteraad en de griffie. Deze verantwoordelijkheden brengen verplichtingen met zich mee. In deze jaarrapportage staat beschreven welke acties en maatregelen de gemeente in 2020 geeft genomen om de doelstellingen en beginselen uit de AVG te behalen en te waarborgen. Ook bevat dit document aandachtspunten en actiepunten voor het jaar 2021. Adequaat omgaan met persoonsgegevens is een blijvend proces en zal dan ook aandacht blijven vergen van zowel bestuur, management als medewerkers. In 2020 zijn, mede door het inzetten van een stagiair, een aantal stappen gezet op het gebied van gegevensbescherming. Er is een belangrijke basis gelegd voor de komende jaren door onder meer de ‘Procedure voor het melden van beveiligingsincidenten en datalekken’, het actualiseren van het register van verwerkingen en de start met bewustwording. Hierdoor kan de komende jaren structureler worden gecontroleerd op het gebruik van privacygevoelige gegevens binnen de gemeente. Maar nog niet alle AVG-onderdelen zijn geïmplementeerd.
De uitdaging vanaf 2021 zit vooral in de verdere borging van de processen, zoals het upto-date houden van het verwerkingenregister. Ook ontbreekt nog een plan voor de (verplichte) gegevensbeschermingseffectbeoordelingen. Inzicht in processen is daarvoor een belangrijke voorwaarde voor de borging ervan Een dergelijk inzicht geeft namelijk de mogelijkheid om risico’s te verminderen en werkprocessen te optimaliseren. Dit is een belangrijke voorwaarde om “in control” te kunnen zijn. De implementatie van de maatregelen van de nieuwe Baseline Informatieveiligheid Overheid (BIO) geeft een belangrijke kans om met de proceseigenaren het gesprek aan te gaan over hun processen, waardoor zowel kan worden gekeken naar de effecten voor informatieveiligheid én de bescherming van persoonsgegevens. Ten slotte is van belang dat door een wijziging van het Besluit politiegegevens, de burgemeester verwerkingsverantwoordelijke is voor de opsporingstaken die BOA’s verrichten –niet zijnde toezicht- in het kader van de Wet politiegegevens.
JAARRAPPORTAGE GEGEVENSBESCHERMING 2020
Pagina 2 van 13
Inhoudsopgave Inleiding
4
Leeswijzer
4
Deel 1. Terugblik op 2020
5
1. Het privacybeleid
5
2. Processen
5
3. Organisatorische inbedding
6
4. Rechten van betrokkenen
7
5. Samenwerking
7
6. Beveiliging
7
7. Verantwoording
8
8. Conclusie
8
Deel 2. Vooruitkijken naar 2021
9
1. Het privacybeleid
9
2. Processen
9
3. Organisatorische inbedding
9
4. Rechten van betrokkenen
10
5. Samenwerking
10
6. Beveiliging
10
7. Verantwoording
10
8. Conclusies
10
Bijlage 1. Overzicht DPIA’s
11
Bijlage 2. Rechten van betrokkenen
12
Bijlage 3. Overzicht datalekken
13
JAARRAPPORTAGE GEGEVENSBESCHERMING 2020
Pagina 3 van 13
Inleiding De gemeente is zich steeds meer bewust van het belang van het beschermen van persoonsgegevens van haar inwoners. Dat is belangrijk omdat bij de uitoefening van de taken veel (gevoelige) gegevens van veel (kwetsbare) inwoners in veel verschillende domeinen verwerkt. Daarnaast gaat het om persoonsgegevens van andere burgers, medewerkers, externen en zakenrelaties. In de AVG en sectorspecifieke wetgeving wordt het wettelijk kader beschreven voor het verwerken van persoonsgegevens. Zo dient de gemeente transparant te zijn welke persoonsgegevens zij verwerkt en voor welk doel en welke grondslag. Tijdens de levensduur van persoonsgegevens moet de gemeente ze goed beveiligen, mogen ze niet zomaar voor een ander doel worden verwerkt en moeten ze na afloop worden vernietigd en of geanonimiseerd. Dit alles heeft gevolgen voor de inrichting van processen en systemen in en van de gemeente. Onder verantwoordelijkheid van zowel het college van burgemeester en wethouders, de burgemeester, als de gemeenteraad vindt een groot aantal verwerkingen van persoonsgegevens plaats. Daar vindt extern en intern toezicht op plaats. De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacyregels in Nederland. Daarnaast dient een gemeente te beschikken over een interne toezichthouder: de Functionaris Gegevensbescherming (FG).
De FG ziet erop toe dat de AVG intern wordt nageleefd. Het college dient erop toe te zien dat de FG naar behoren en tijdig wordt betrokken bij alle gelegenheden die verband houden met de bescherming van persoonsgegevens. Daarnaast dient de FG ondersteund te worden door hem toegang te verschaffen tot persoonsgegevens en verwerkingen daarvan. De uitvoerende taken liggen bij de privacy-officer (PO). De FG brengt jaarlijks een verslag uit aan de verwerkingsverantwoordelijken van zijn bevindingen en hierin doet hij naar aanleiding daarvan aanbevelingen. Dit jaarverslag is bedoeld voor zowel de directie als de drie bestuursorganen van de gemeente.
Leeswijzer Deze jaarrapportage bestaat uit twee onderdelen. In het eerste deel wordt teruggekeken naar het jaar 2020. Wat heeft de gemeente bereikt op het gebied van gegevensbescherming? Welke maatregelen zijn genomen om te voldoen aan de AVG? In het tweede deel worden aanbevelingen gedaan om gegevensbescherming en privacy in het jaar 2021 naar een hoger niveau te tillen. Hierbij wordt daar waar nodig tevens aandacht geschonken aan de technische en organisatorische middelen die nodig zijn om dit hogere niveau te bereiken. De thema’s die in dit rapport worden genoemd zijn afkomstig uit het AVG borgingsproduct van de Informatiebeveiligingsdienst (IBD)1. In het borgingsproduct worden thema’s, criteria en maatregelen omschreven die de AVG vertalen naar een kwaliteitscyclus voor gegevensbescherming en privacy voor gemeentelijke processen. Eind 2019 is aan de hand van de VNG-borgingsmethodiek een nulmeting gehouden van de stand van zaken van de bescherming van persoonsgegevens binnen de gemeentelijke organisatie van IJsselstein. Volgens planning zal in Q3 van 2021 als onderdeel van de PDCA-cyclus opnieuw worden gekeken naar de stand van zaken van de bescherming van persoonsgegevens aan de hand van de VNG-borgingsmethodiek.
1
Zie het document ‘Criteria borging AVG / Borgingsproduct gegevensbescherming in de gemeentelijke organisatie; link
JAARRAPPORTAGE GEGEVENSBESCHERMING 2020
Pagina 4 van 13
Deel 1. Terugblik op 2020 Het jaar 2020 stond in het teken van verdere implementatie en verbeteringen van de AVG-vereisten. In dit deel van de rapportage wordt teruggeblikt op wat de gemeente in 2019 heeft bereikt en welke werkzaamheden zijn verricht. Het jaar 2020 stond ook nagenoeg in het teken van het bestrijden van de coronacrisis, waarbij thuis- en telewerken nog steeds de standaard vormt. Ogenschijnlijk met belangrijke uitdagingen op het gebied van informatieveiligheid en privacy. De organisatie is flexibel gebleken en alle medewerkers zijn gewend aan de nieuwe situatie.
1. Het privacybeleid Het privacybeleid is het kader waarin de gemeente aangeeft aan welke principes zij zich houdt bij de verwerking van persoonsgegevens. Het laat zien hoe de gemeente omgaat met persoonsgegevens en welke maatregelen zij treft om te voldoen aan de relevante wet- en regelgeving. Het beleid is gepubliceerd en er is een privacyverklaring op de website opgenomen. Vanaf 2020 is een binnen de beperkte capaciteit een eerste start gemaakt met de verdere implementatie van het privacybeleid in de organisatie door nadrukkelijker te adviseren over het gebruik van persoonsgegevens in werkprocessen (PO: vraagbaak, adviseren). Over het algemeen wordt de PO nog te weinig tijdig betrokken bij privacy vraagstukken. Bij het Sociaal Team is er doorgaans wel het bewustzijn om de PO tijdig te informeren en te betrekken. Ter uitwerking van het vastgestelde privacybeleid is in 2020 tevens een bewustwordingsplan uitgewerkt waarin zowel aandacht is voor de informatieveiligheid als ook voor de bescherming van persoonsgegevens. Het plan moet nog worden vastgesteld.
2. Processen De verwerkingen van persoonsgegevens van de gemeente dienen te voldoen aan de AVG. Dit houdt in dat de werkprocessen die persoonsgegevens bevatten getoetst en ingericht moeten worden volgens de volgende beginselen: behoorlijkheid, transparantie, doelbinding, dataminimalisatie, opslagbeperking, juistheid, integriteit en vertrouwelijkheid. Daarnaast kan de gemeente in gevallen verplicht zijn om een gegevensbeschermingseffectbeoordeling (DPIA2) uit te voeren. De uitdaging vanaf 2021 zit vooral in de verdere borging van de processen. Inzicht in processen is daarvoor een belangrijke voorwaarde. Een dergelijk inzicht geeft namelijk de mogelijkheid om risico’s te verminderen en werkprocessen te optimaliseren. Dit is een belangrijke voorwaarde om “in control” te kunnen zijn. De implementatie van de maatregelen van de nieuwe Baseline Informatieveiligheid Overheid (BIO) geeft een belangrijke kans om met de proceseigenaren het gesprek aan te gaan over hun processen, waardoor zowel kan worden gekeken naar de effecten voor informatieveiligheid én de bescherming van persoonsgegevens. Het is aan te bevelen om de BIO-implementatie te ondersteunen door middel van een Information Security Management System (ISMS), waarmee de implementatie en de uitvoering van de BIOmaatregelen en de mate van de bescherming van persoonsgegevens kan worden gemonitord.
Uitgangspunt hierbij is om proces- en risicogericht te werken. Dat betekent dat bij het prioriteren van de aanpak steeds wordt gekeken naar die maatregelen die een zo groot mogelijk effect hebben op het mitigeren van risico's. Het gaat er vooral om “in control” te zijn, zodat altijd kan worden uitgelegd waarom bepaalde keuzen zijn gemaakt
2
Data Protection Impact Assessment
JAARRAPPORTAGE GEGEVENSBESCHERMING 2020
Pagina 5 van 13
Het register van verwerkingen vormt het anker van de verwerkingen met persoonsgegevens in de organisatie. Daarin zouden alle verwerkingen met de bijbehorende risico’s vermeld moeten zijn en tevens aangegeven moeten zijn met welke maatregelen er de risico’s kunnen worden tegen gegaan. Het register is in 2020 door een stagiair (in samenwerking met de PO) in overleg met proceseigenaren zoveel als mogelijk geüpdatet. DPIA’s Er is in de organisatie nog weinig bewustzijn over nut en noodzaak van het instrument gegevensbeschermingseffectbeoordeling (DPIA). Een DPIA is een instrument om vooraf de privacy-risico’s van een gegevensverwerking in kaart te brengen en vervolgens maatregelen te kunnen nemen om deze risico’s te verkleinen. Organisaties hoeven niet voor elke gegevensverwerking een DPIA uit te voeren. Een DPIA is alleen verplicht als een gegevensverwerking waarschijnlijk een hoog privacy-risico oplevert voor de mensen van wie de organisatie gegevens verwerkt. Dat is in ieder geval zo als een organisatie: • Systematisch en uitvoerig persoonlijke aspecten evalueert, waaronder profiling • Op grote schaal bijzondere persoonsgegevens verwerkt • Op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied (bijvoorbeeld cameratoezicht) Het is belangrijk dat er door bewustwording meer aandacht komt voor het belang van DPIA’s.
Indien er een ISMS-systeem operationeel wordt waarmee de proceseigenaren ondersteund gaan worden in hun processen, zullen deze zich eerder van bewust zijn om vroegtijdig te kijken naar risico’s. In bijlage 1 is een overzicht opgenomen van de uitgevoerde DPIA’s in 2020.
3. Organisatorische inbedding Voor een goede en juiste uitvoering is het van belang dat iedereen binnen de organisatie op de hoogte is van de beginselen van de AVG en het belang van privacy. Organisatorische inbedding betekent het toewijzen van taken, verantwoordelijkheden en bevoegdheden en bewustzijn creëren. De implementatie van de AVG is in 2020 verder opgepakt. Vanwege de beperkte capaciteit heeft de PO zich alleen kunnen toeleggen op uitvoeringszaken van datalekken en AVG-verzoeken. Voor de structurele en beleidsmatige onderwerpen is gebruik gemaakt van een stagiair. Deze heeft in overleg met de afdelingen en de PO het verwerkingenregister geactualiseerd en een aanzet gegeven voor een bewustwordingsplan. De beschikbare capaciteit blijft een belangrijk aandachtspunt en beperkende factor om opvolging te kunnen geven aan deze genoemde en andere structurele en beleidsmatige onderwerpen. Binnen IJsselstein stonden de onderwerpen informatieveiligheid en privacy op zichzelf, terwijl deze onlosmakelijk met elkaar zijn verbonden. In Q4 van 2020 is inmiddels, net zoals in de andere Lekstroomgemeenten, een structureel overleg ingevoerd waarin de PO, de CISO en FG onderwerpen met elkaar afstemmen. De FG juicht dit heel erg toe. Dit overleg kan ook een goed en eenduidig afstemmingsplatform vormen voor het management.
In 2020 is met bewustwording een start gemaakt door middel van het organiseren van een escaperoom.
JAARRAPPORTAGE GEGEVENSBESCHERMING 2020
Pagina 6 van 13
4. Rechten van betrokkenen De gemeente dient degene van wie zij de persoonsgegevens verwerkt (de betrokkene) zowel actief als passief te informeren over het verwerken, de wijze van het verwerken, de grondslag en de maatregelen die zij neemt om onrechtmatige toegang en verwerking te voorkomen. Daarnaast stelt de AVG betrokkenen in staat om door een aantal rechten controle en invloed uit te oefenen over zijn of haar persoonsgegevens. Zoals aangegeven is op de website een privacyverklaring opgenomen. In deze verklaring staat hoe de gemeente omgaat met persoonsgegevens en hoe betrokkenen hun rechten kunnen uitoefenen. Er is een proces ingericht waardoor betrokkenen gebruik kunnen maken om hun privacy-rechten in te roepen door middel van Digid. Verder is het belangrijk dat betrokkenen van tevoren worden geïnformeerd over de wijze waarop hun persoonsgegevens verwerkt zullen gaan worden. Betrokkenen kunnen daarin sowieso worden gefaciliteerd door de mogelijkheid te creëren dat betrokkenen de publieksvriendelijke versie van het verwerkingenregister kunnen raadplegen. Daarnaast kunnen betrokkenen nog extra worden geïnformeerd op het moment dat zij een dienst afnemen. In 2021 zal verder worden onderzocht in hoeverre betrokkenen adequaat kunnen worden geïnformeerd. In bijlage 2 is een overzicht opgenomen van de verzoeken van betrokkenen in 2020.
5. Samenwerking De gemeente werkt op meerdere beleidsterreinen, in verschillende bedrijfsfuncties, in diverse rollen en hoedanigheden samen met (mede) overheden en private organisaties. In veelvoorkomende gevallen zal sprake zijn van een verwerking van persoonsgegevens tussen partijen: ontvangen van persoonsgegevens, verzenden van persoonsgegevens, maar ook het opslaan van en inzage hebben in persoonsgegevens valt onder dit begrip. Deze verwerkingen dienen dan ook te voldoen aan de AVG. De gemeente dient daarom afspraken te maken met deze andere partijen. Door het updaten van het register van verwerkingen is (meer) inzicht gekomen in lopende samenwerkingen met diverse partijen. Extern: Aandachtspunt Regionale Backoffice Lekstroom (RBL) De taken voor het verwerven van voorzieningen in het kader van de Jeugdwet en de Wmo 2015 zijn door middel van een dienstverleningsovereenkomst en een verwerkersovereenkomst opgedragen aan de Regionale Backoffice Lekstroom (RBL). De RBL heeft geen eigen identiteit en is een organisatieonderdeel van de gemeente Houten. Door de gekozen constructie is de gemeente IJsselstein verwerkingsverantwoordelijke voor de uitvoering van gegevensbeschermingsbeleid dat door de RBL (gemeente Houten). In de verwerkersovereenkomst zijn daarvoor eisen opgenomen.
Voor zover de FG kan nagaan, heeft de gemeente IJsselstein geen periodiek inzicht in hoe de RBL omgaat met de bescherming van de persoonsgegevens. De FG geeft in overweging om nog eens goed te kijken naar de wijze waarop de afspraken over de bescherming van de persoonlijke levenssfeer zijn belegd en hoe deze kunnen worden getoetst. Het college van IJsselstein moet namelijk als verwerkingsverantwoordelijke te allen tijde zijn bestuurlijke verantwoordelijkheid kunnen waarmaken, des te meer omdat de RBL hoofdzakelijk met bijzondere persoonsgegevens werkt.
6. Beveiliging Vanuit het algemene behoorlijkheidsbeginsel, integriteitsbeginsel en vertrouwelijkheidsbeginsel is het essentieel dat de gemeente passende technische en organisatorische maatregelen neemt ter beveiliging van persoonsgegevens. Daarnaast geldt onder de AVG een meldplicht datalekken. Dit houdt in dat beveiligingsincidenten onder omstandigheden gemeld dienen te worden aan de AP en/of de betrokkene(n).
JAARRAPPORTAGE GEGEVENSBESCHERMING 2020
Pagina 7 van 13
De procedure voor het melden van beveiligingsincidenten is herschreven waardoor het voor collega’s ook mogelijk wordt om via een webformulier (opgenomen in de favorieten van intranet) een melding te doen. De FG vindt dat er daarnaast ook een mogelijkheid moet wordt gecreëerd voor burgers of andere betrokkenen om een datalek te melden via de gemeentelijke website. Op 5 februari 2020 is een brief ontvangen van de Autoriteit Persoonsgegevens over een te late melding (buiten de gestelde norm van 72-uur) van een datalek in 2019. De late melding had te maken met het feit dat volgens de gemeente nog onderzoek nodig was naar aard en omvang. De Autoriteit was echter van mening “dat door de inbreuk tijdig aan de toezichthoudende autoriteit te melden, de toezichthoudende autoriteit in de gelegenheid wordt gesteld om snel in te grijpen, bijvoorbeeld, indien de gemeente in melding aangeeft de betrokkenen niet te zullen informeren over de inbreuk, terwijl uit de melding blijkt dat dat wel noodzakelijk is. Of wanneer uit de melding blijkt dat de gemeente onvoldoende maatregelen heeft genomen om de gevolgen van het datalek te beperken, of om nieuwe datalekken te voorkomen”. De PO en CISO zullen bij volgende meldenswaardige datalekken rekening houden met de overwegingen van de Autoriteit. In bijlage 3 is een overzicht opgenomen van het aantal datalekken in 2020.
7. Verantwoording De AVG legt de verantwoordelijkheid bij de organisatie zelf om aantoonbaar te maken dat deze voldoet aan de privacyregels. Door te voldoen aan de verantwoordingsplicht, levert de organisatie een belangrijke bijdrage aan de bescherming van het grondrecht van mensen op privacy. Dit betekent dat de gemeente aan moet kunnen tonen dat de verwerkingen van persoonsgegevens voldoen aan de beginselen van de AVG en aan de relevante wet- en regelgeving. De verantwoordingsplicht komt voornamelijk tot uiting in het gepubliceerde register van verwerkingen en de openheid die met dit jaarverslag wordt gegeven in uitgevoerde DPIA’s en (gemelde) datalekken.
8. Conclusie In 2020 zijn, mede door het inzetten van een stagiair, een aantal stappen gezet op het gebied van gegevensbescherming. Er is een belangrijke basis gelegd voor de komende jaren door onder meer de ‘Procedure voor het melden van beveiligingsincidenten en datalekken’, het actualiseren van het register van verwerkingen en de start met bewustwording. Hierdoor kan de komende jaren structureler worden gecontroleerd op het gebruik van privacygevoelige gegevens binnen de gemeente. Er zijn ook aandachtspunten voor de organisatie om aantoonbaar te kunnen voldoen aan de AVG. In het tweede deel van de rapportage zullen we ingaan op de aanbevelingen om gegevensbescherming (verder) in te bedden in de organisatie.
JAARRAPPORTAGE GEGEVENSBESCHERMING 2020
Pagina 8 van 13
Deel 2. Vooruitkijken naar 2021 Gegevensbescherming onderdeel laten worden van de organisatie, en daarmee aantoonbaar voldoen aan de relevante wet- en regelgeving, is geen afvinklijst maar een continu proces. Het vraagt om structurele borging van dit onderwerp. In 2018 is vooral gebruikt voor het voorbereiden op de AVG en het nemen van de eerste hobbels om uiteindelijk aantoonbaar te kunnen voldoen aan deze wet. Het jaar 2019 en 2020 stonden in het teken van de vervolgstappen op dit gebied evenals het borgen van een aantal structurele zaken in de organisatie. In de vorige rapportage zijn hiervoor diverse aanbevelingen gegeven. Helaas is het door diverse omstandigheden, waaronder de beperkte capaciteit van de PO, niet gelukt om alle gedane aanbevelingen te realiseren. Het jaar 2021 zal dan ook in het teken staan van het verder uitvoeren van de aanbevelingen. Hieronder bespreken we de aanbevelingen per thema.
1. Het privacybeleid Om het privacybeleid goed te kunnen borgen binnen de organisatie is aan te bevelen dit verder mee te nemen in het bewustwordingstraject. Hiermee is een start gemaakt en zal in 2021 worden vervolgd. Het doel is hierbij ook dat de PO tijdig wordt betrokken waardoor hij het bestuur, management en medewerkers over allerlei privacy gerelateerde vraagstukken kan adviseren. Op basis van de PDCA-cyclus worden weliswaar indien nodig uitvoeringsprocedures aangepast, maar het beleid sec wordt niet geëvalueerd. De FG adviseert ook het beleid minimaal 3-jaarlijks te evalueren en daarom een evaluatie te plannen einde 2021. De FG beveelt aan ook een eenduidig beleid voor het Sociaal Domein vast te stellen, Verder dient te worden nagegaan of er binnen IJsselstein, onder verantwoordelijkheid van de burgemeester door BOA’s wordt gewerkt met gegevens die vallen onder de Wet politiegegevens. Als dat het geval is moeten daarvoor aanvullende maatregelen te worden genomen.
2. Processen Het register van verwerkingen is in 2020 geüpdatet. In de praktijk coördineert de privacy-officer het onderhoud en de actualisatie van (onderdelen van) het register van verwerkingsactiviteiten. De FG adviseert om als proces vast te leggen dat de PO en de proces-eigenaren bij voorkeur 2x per jaar met elkaar in gesprek gaan over de verwerkingen en eventuele ontwikkelingen. Hieruit kan dan ook worden afgeleid of gegevensbeschermingseffectbeoordelingen (DPIA’s) nodig zijn en kan hiervoor vervolgens een plan voor 2022 (en zoveel eerder als mogelijk) worden gemaakt. Belangrijk hierbij is ook een eenduidige registratie van de DPIA’s en juiste opvolging daarvan door de proceseigenaren. Daarnaast adviseert de FG een procesmatige aanpak van de implementatie van de verplichte maatregelen van de nieuwe Baseline Informatieveiligheid Overheid (BIO) mogelijkerwijs ondersteund door ondersteuning van een ISMS systeem, waarin bij voorkeur ook een privacymodule is opgenomen. Deze implementatie biedt namelijk een belangrijke kans om met de proceseigenaren het gesprek aan te gaan over hun processen, waardoor zowel kan worden gekeken naar de effecten voor informatieveiligheid én de bescherming van persoonsgegevens. Als bij deze BIO-implementatie moet worden geprioriteerd, adviseert de FG te starten met het proces in- door- en uitstroom van personeel.
In dit proces zitten namelijk veel belangrijke issues zoals autorisatie en toegangsbeheer.
3. Organisatorische inbedding In 2021 zal door de organisatie verder worden geïnvesteerd in bewustwording door het inzetten van e-learning modules en de escaperoom voor nieuwe medewerker. Voor een goede inbedding van privacy en informatieveiligheid binnen de teams is niet alleen aanbevolen om het bewustwordingstraject op te starten. De FG beveelt ook aan de
JAARRAPPORTAGE GEGEVENSBESCHERMING 2020
Pagina 9 van 13
mogelijkheid na te gaan om met privacy-ambassadeur te kunnen gaan werken. Deze personen kunnen dan de oren en ogen vormen voor de PO, CISO en FG. Hierdoor kan de PO worden ondersteund en enigszins worden ontlast.
4. Rechten van betrokkenen De aanbevolen procedure voor de afhandeling van alle rechten van betrokkenen is opgesteld. In 2020 is de procedure opgenomen in Mozard. Verder is het belangrijk dat betrokkenen van tevoren worden geïnformeerd over de wijze waarop hun persoonsgegevens verwerkt zullen gaan worden. Betrokkenen kunnen daarin sowieso worden gefaciliteerd door de mogelijkheid te creëren dat betrokkenen de publieksvriendelijke versie van het verwerkingenregister kunnen raadplegen. Daarnaast kunnen betrokkenen nog extra worden geïnformeerd op het moment dat zij een dienst afnemen. In 2021 zal verder worden onderzocht in hoeverre betrokkenen adequaat worden geïnformeerd.
5. Samenwerking Door het updaten van het register van verwerkingen is inzicht verkregen in wie de verwerkers zijn en met welke partijen de gemeente samenwerkt. In 2021 wordt de laatste hand gelegd aan het inventariseren van afspraken die hierbij zijn of moeten worden gemaakt.
6. Beveiliging Zoals gezegd is de ‘Procedure voor het melden van beveiligingsincidenten en datalekken’ opgesteld en intern gepubliceerd. In 2021 wordt verder gekeken naar gemaakte en te maken afspraken omtrent (het controleren van) autorisaties en logging. Door de ICT-transitie naar Gouwe-IJssel zullen alle software en applicaties worden geüpdatet en bijgewerkt zodat zij weer voldoen aan de meest recente beveiligingseisen. De CISO zal met de CISO van ICT Gouwe IJssel in 2021 nader afstemmen over de inrichting van technische maatregelen, zodat de technische, de organisatorische en mensgerichte maatregelen met elkaar in overeenstemming blijven.
7. Verantwoording In 2021 zal in samenspraak met de andere Lekstroomgemeenten worden gekeken op welke wijze inwoners en andere betrokkenen nog meer bij de uitvoering van het Privacybeleid kan worden betrokken en hierover kunnen worden geïnformeerd.
8. Conclusies In 2020 zijn een aantal stappen gezet op het gebied van privacy en gegevensbescherming, maar dit moet in 2021 worden vervolgd. Vooral de bewustwording van medewerkers en het op orde krijgen van processen zoals DPIA’s, autorisaties en logging verdient komend jaar extra aandacht. Verder zijn goede afspraken qua informatieveiligheid met ICT Gouwe IJssel van belang. Ook dient in 2020 de analyse van de BOAtaken in verband met de gewijzigde Wet politiegegevens te worden afgerond.
JAARRAPPORTAGE GEGEVENSBESCHERMING 2020
Pagina 10 van 13
Bijlage 1. Overzicht DPIA’s In 2020 is een DPIA uitgevoerd voor de Persoonsgerichte aanpak (PGA).
JAARRAPPORTAGE GEGEVENSBESCHERMING 2020
Pagina 11 van 13
Bijlage 2. Rechten van betrokkenen
Recht op inzage In 2020 is één verzoek ingekomen omtrent inzage in verstrekking van persoonsgegevens. De gemeente wilde de identiteit vast te stellen en de verzoeker is uitgenodigd om binnen een gestelde termijn op het stadhuis te komen voor identificatie. Daar heeft hij geen gebruik van gemaakt.
JAARRAPPORTAGE GEGEVENSBESCHERMING 2020
Pagina 12 van 13
Bijlage 3. Overzicht datalekken In 2020 zijn 4 gemelde beveiligingsincidenten gekwalificeerd als een datalek: 1. De griffie heeft een raadsinformatiebrief van de burgemeester met update ontwikkelingen coronavirus raads- en commissieleden toegezonden met bijlagen. In een van de bijlagen is het aantal overleden personen opgenomen over de afgelopen 10 jaar om te zien welke impact Corona heeft gehad. Verzending heeft alleen aan de raads- en commissieleden plaatsgevonden, er is niet extern gemaild of op sites geplaatst. Gegevens: BSN, naam, geboortedatum, datum overlijden, naam overlijdensplaats, land en leeftijd. Incident is niet gemeld aan de AP en ook niet aan betrokkenen omdat het informatie betreft van overleden personen. Maatregel: de griffier heeft verzocht om de betreffende bijlage te verwijderen. 2. Er zijn openbare stukken verzonden naar een verkeerde contactpersoon. Schriftelijke artikel 35 vragen worden altijd meteen na het stellen op de website / raadsdeel: NotuBiz gepubliceerd en zijn open/ voor iedereen raadpleegbaar. Gegevens: Persoonsgegevens (algemeen). Incident is niet gemeld aan de AP. Maatregel: betrokkenen (ontvanger) verzocht om voor vernietiging van de betreffende mail zorg te dragen en dit te bevestigen aan de gemeente. 3.
Er zijn gedingstukken inzake een bezwaar, dienende bij de commissie bezwaarschriften van de gemeente IJsselstein, verstuurd aan betrokken partijen. Bij het inscannen van de diverse documenten is abusievelijk een brief betreffende noodkreet woonruimte , alsmede een interne aantekening waar de brief gearchiveerd diende te worden, meegenomen in het te scannen pakket. Gegevens: Persoonsgegevens (algemeen). Het incident is gemeld bij de AP. Er is tevens een mail en een brief gestuurd aan de betrokkene, waarin een en ander is uitgelegd en waarin is aangegeven welke maatregelen zijn genomen. Maatregel: Betrokkenen (ontvangers) verzocht om voor vernietiging van de betreffende brief zorg te dragen en dit te bevestigen aan de gemeente. Medewerkers die verantwoordelijk zijn voor de postverzending zijn gewezen op het zorgvuldig omgaan met persoonsgegevens, zodat een dergelijke fout niet meer kan voorkomen. 4. Een WMO aanvraag met daarin een gespreksverslag is verstuurd naar een cliënt. Deze heeft de aanvraag ontvangen en na akkoord heeft een familielid het in de brievenbus op het gemeentehuis retour gebracht. De aanvraag hierna nooit bij de betreffende behandelende ambtenaar terug gekomen. Er is vastgesteld dat de aanvraag door de cliënt is teruggebracht maar niet waar de aanvraag zich binnen de organisatie bevindt.
Gegevens: persoonsgegevens (algemeen) en gezondheidsgegevens van de aanvrager. Incident is gemeld aan de AP. De betrokkene is geïnformeerd. Maatregel: het gaat om een incidenteel datalek. De afspraak is gemaakt om scherper te melden, zodat het proces eventueel verbeterd kan worden als dit vaker voorkomt.
JAARRAPPORTAGE GEGEVENSBESCHERMING 2020
Pagina 13 van 13