64. Bijlage 1. Verklaring accountability 2020 (1862059)

Verklaring van accountability (Declaration of Accountability 2020)

Verantwoording van de gemeente Katwijk aan betrokkenen over het voldoen aan wet- en regelgeving op het gebied van privacy en informatiebeveiliging.

Auteur: Annerine Blufpand Datum: 29 januari 2021 Status: concept

Inhoud Voorwoord

3

1 Inleiding 1.1 Doel Declaration of Accountability 1.2 Gebruik

4 4 4

2 Mededeling college

6

3 Mededeling Functionaris Gegevensbescherming

7

4 Vastleggen persoonsgegevens

9

5 Privacy framework 5.1 Verantwoording 5.2 Beleid

11 11 11

5.3 Awareness / risico-inventarisatie 5.3.1 Awareness 5.3.2 Baselinetoetsen en Gegevensbeschermingseffectbeoordeling 5.3.3 Analyse van datalekken 5.3.4 Onderzoeken 5.3.5 Checklist aanschaf applicatie 5.3.6 Periodieke beveiligings- en penetratietesten 5.3.7 Monitoring 5.3.7.1 Continue monitoring (technische infrastructuur) 5.4 Tools 5.4.1 Privacy- & security-administratie 5.4.2 Meldsysteem incidenten 5.4.3 Applicatie beschrijvingen / applicatie logboek en documentenbeheer 5.4.4 Website

14 14 15

6 Ambitie voor 2021

20

Bijlage 1 Samenvatting Bestuursverslag Bijlage 2 Overzicht Volwassenheidsniveau

21 22

15 16 16 16 17 17 17 18 18 19 19

2

VOORWOORD Gemeenten verwerken in de uitoefening van hun taken veel informatie van hun inwoners en medewerkers. Die informatie komt in verschillende vormen voor; gedrukt of geschreven op papier, per post, elektronisch opgeslagen, of via elektronische media verzonden, op film getoond of mondeling uitgewisseld. Het is belangrijk dat deze informatie goed wordt beschermd tegen misbruik. Voor het omgaan met informatie zijn in verschillende wetten bepalingen opgenomen over privacy en informatiebeveiliging. Denk hierbij onder andere aan de Wet Maatschappelijke Ondersteuning, de Wet gemeentelijke Schuldhulpverlening, de Participatiewet en de Jeugdwet. Naast deze wetten is er ook de Archiefwet en wetgeving om de privacy te beschermen: de Europese Algemene verordening gegevensbescherming (AVG) en de Uitvoeringswet AVG. Bescherming van de persoonsgegevens is een grondrecht. In de AVG zijn 'Accountability' en 'Auditability' de kernbegrippen. De AVG verlangt van de verantwoordelijke (het college, de raad) dat hij of zij kan waarborgen en aantonen dat zodanige technische en organisatorische maatregelen worden getroffen dat de verwerkingen in overeenstemming met de AVG worden uitgevoerd. Hierdoor wordt hij/zij accountable. Door het aantoonbaar documenteren is de verantwoordelijke tevens auditable. Om deze reden worden de volgende administraties bijgehouden: 1. Privacy-administratie 2.

Security-administratie 3. Register van verwerkingen Voor de beveiligingsmaatregelen wordt door de gemeente Katwijk aangesloten bij de Baseline Informatiebeveiliging Overheid (BIO). De gemeente Katwijk vindt het vanzelfsprekend en van groot belang dat goed wordt omgegaan met privacygevoelige gegevens. Daarom is het van belang dat iedere medewerker privacybewust is. Bij het maken van keuzes hanteert de gemeente Katwijk bovendien de volgende regels: • Privacy en gegevensbescherming mag de uitoefening van taken door de gemeente niet in de weg staan (rechtmatigheid versus doelmatigheid); • Evenwicht tussen gebruikersgemak en gegevensbescherming; • Uitgangspunt is vertrouwen in de professionaliteit van de medewerker maar er vindt wel controle plaats; en • Zorgvuldigheid staat voorop maar het helemaal uitsluiten van datalekken is niet mogelijk. Ook in 2020 is de gemeente Katwijk intensief bezig geweest met privacy en informatiebeveiliging. In deze Declaration of accountability (= Verklaring van accountability) vindt een verantwoording van de ondernomen acties over het jaar 2020 plaats.

3

1 Inleiding 1.1 Doel Verklaring van accountability In de ‘Code goed openbaar bestuur’ is opgenomen dat het bestuur verantwoording aflegt over de realisatie van de doelstellingen van de organisatie en het gevoerde beleid. De organisatie moet transparant zijn in haar handelen en de keuzes die worden gemaakt om daar vervolgens verantwoording over af te leggen aan de burgers. Bijna alle besturen van het Rijk, provincies, gemeenten, waterschappen en politie werken via de code goed openbaar bestuur.1 In de Verklaring van accountability legt de gemeente Katwijk verantwoording af aan alle belanghebbenden over de naleving van verplichtingen vanuit wetgeving op het gebied van privacy en informatiebeveiliging. Met de Verklaring van accountability wordt aangegeven in hoeverre een organisatie 'in control' is en hoe de verplichtingen vanuit wetgeving worden nageleefd. Dit gebeurt op basis van al hetgeen is gedocumenteerd in de privacy- en security-administratie. 1.2 Gebruik Privacy en informatiebeveiliging is een onderdeel van de governance en compliance van de gemeente Katwijk. In het onderstaand overzicht worden de stappen rondom privacy en verantwoording beschreven en welke rollen voor de verschillende personen zijn weggelegd.

De Functionaris Gegevensbescherming ziet toe op het privacybeleid van de gemeente Katwijk, daarbij hoort ook advies over de toewijzing van verantwoordelijkheden, bewustmaking, opleiding en het uitvoeren van audits. De eigenaren van applicaties en de clustermanager Informatie en Automatisering zorgen voor een aantoonbare continue effectieve werking van beheer- en beveiligingsmaatregelen met betrekking tot onze applicaties, het organiseren van deze maatregelen en de inrichting van de ICT en processen. Een Verklaring van accountability wordt geschreven door de Functionaris Gegevensbescherming. De Verklaring van accountability is bestemd voor belanghebbenden zoals burgers, medewerkers, leveranciers en andere geïnteresseerden. De controle (op aspecten) van privacy en informatiebeveiliging vinden als onderdeel van de controle op de jaarrekening door de accountant en een IT-auditor plaats. De accountant kan immers de uitkomsten van de Verklaring van accountability meenemen in het vaststellen van zijn controleverklaring. In de 'mededeling van het college’ nemen de leden van het college van burgemeester en wethouders (hierna te noemen: college) de volledige verantwoordelijkheid op zich voor het afleggen van de verantwoording in de Verklaring van accountability. Het college ondertekent de Verklaring van accountability.

Een IT-auditor draagt bij aan de horizontale en verticale verantwoording over security-items2.

1

https://www.rijksoverheid.nl/onderwerpen/kwaliteit-en-integriteit-overheidsinstanties/gedragscode-openbaar-bestuur

2

Bij de ENSIA-verantwoording is een externe IT-auditor betrokken.

4

Governance en Compliance

5

2 Mededeling College Privacy is, net als het recht op de bescherming van persoonsgegevens, een fundamenteel recht. Het is opgenomen in het Europees Verdrag voor de Rechten van de Mens en onze Grondwet. Het recht op de bescherming van persoonsgegevens is bovendien een positief recht. Een belangrijke opdracht is dat we de persoonsgegevens van onze inwoners, organisaties en medewerkers beschermen en er zorgvuldig en veilig mee omgaan. Wij hebben immers dagelijks te maken met het (geautomatiseerd) verwerken van persoonsgegevens. Zorgvuldigheid betrachten doen we niet alleen omdat het een recht is en een wettelijke verplichting, maar ook omdat wij dat zelf erg belangrijk vinden. Onze inwoners, organisaties en medewerkers kunnen ervan uitgaan dat wij hun recht niet schenden en dat wij inderdaad zorgvuldig met hun gegevens omgaan. En dat begint bij bewustwording van medewerkers. Op 22 september 2018 heeft het college zich voorgenomen om als gemeentelijke organisatie per eind 2018 op het volwassenheidsniveau 3 of 4 te zitten en per eind 2019 op niveau 5. Per 1 januari 2020 is het directiemodel ingevoerd met drie directeuren en de gemeentesecretaris. De organisatieontwikkeling wordt organisch vormgegeven. Via bouwstenen wordt de basisstructuur voor de nieuwe organisatie gevormd. Gedurende het jaar 2020 is proefondervindelijk uitgeprobeerd hoe de voorgestelde clusterindeling uitwerkt.

Op 3 februari 2021 heeft de bouwsteen “invoeren directiemodel” haar eindrapport gepresenteerd. Nadien is het directiemodel per 1 januari 2021 definitief ingevoerd. In dit stuk worden de maatregelen beschreven die de gemeente Katwijk in 2020 heeft genomen op het gebied van privacy en informatiebeveiliging. We zijn trots dat wij ondanks de ingezette organisatieontwikkeling en de COVID-19-pandemie, weer een aantal belangrijke stappen vooruit hebben gezet.

Onze ambitie voor 2021 hebben we verwoord in hoofdstuk 6. Katwijk, _______________ Het college van burgemeester en wethouders van Katwijk,

mr. drs. R.T. Jie Sam Foek Secretaris

ir. C.L. Visser Voorzitter

_______________

______________

6

3 Mededeling Functionaris Gegevensbescherming Op het vlak van processen en organisatorische inbedding3 zijn ondanks de organisatieontwikkeling en de COVID-19-pandemie belangrijke stappen gezet. Het register van verwerkingen is met hulp van de clusters en units in 2020 compleet gemaakt en getoetst. Hierdoor zijn de werkprocessen die persoonsgegevens bevatten getoetst en ingericht volgens de volgende beginselen: behoorlijkheid, transparantie, doelbinding, dataminimalisatie, opslagbeperking, juistheid, integriteit en vertrouwelijkheid. Betere en bredere borging Om de informatiebeveiliging en privacy beter en breder te borgen in de organisatie hebben de clusters en units in 2020 voor het eerst zelf de controlelijst privacy ingevuld om zich te verantwoorden over de uitgevoerde acties binnen hun cluster/unit. Bovendien is in het directieoverleg van 17 december 2020 bepaald dat informatiebeveiliging en privacy een standaard onderdeel uitmaken van de planning- en controlcyclus en dat onder meer maandelijks gerapporteerd wordt over het volgen van de e-learning informatiebeveiliging en privacy die alle nieuwe medewerkers binnen 3 maanden na hun indiensttreding dienen te volgen. Inhaalslag uitvoeren DPIA’s In 2020 is er een inhaalslag gemaakt voor het uitvoeren van Data protection impact assessment (DPIA). Bij CMD-besluit van 18 maart 2020 heeft er een prioritering plaatsgevonden.

Voor de systemen van het cluster Informatie en Automatisering met een hoog privacyrisico en verwerkingen van financiële gegevens, gezondheidsgegevens, fraudebestrijding en samenwerkingsverbanden binnen de clusters moesten DPIA’s uitgevoerd worden. Als gevolg hiervan diende met name de clusters Wijkteams, Servicepunt, Vergunningen, Toezicht en Handhaving en Informatie en Automatisering veel DPIA’s uit te voeren. Het cluster Informatie en Automatisering en het cluster Vergunningen, Toezicht en Handhaving hebben alle benodigde DPIA’s uit de prioritering uitgevoerd. De clusters Wijkteams en Servicepunt lopen achter met de uitvoering van DPIA’s. Toch zijn er ook bij de clusters Wijkteams en Servicepunt belangrijke stappen gezet. De gemeente Katwijk heeft samen met een aantal andere gemeenten in november 2020 voor de integrale toegang tot het Sociaal Domein meegedaan met een effectenanalyse van het Wetsvoorstel Aanpak meervoudige problematiek sociaal domein (Wams). Deze effectenanalyse is uitgevoerd door VNG Realisatie. De geanonimiseerde rapportage wordt half maart verwacht. De eerste beelden zijn half februari met de deelnemende gemeenten gedeeld. Katwijk gaat de input meenemen bij de DPIA voor de integrale toegang tot het Sociaal Domein.

Nieuwe planning DPIA’s 2021 In het geactualiseerde register van verwerkingen is opgenomen bij welke overige processen er een DPIA uitgevoerd moet worden. Daar is onder meer te zien dat bij de clusters Externe en Interne Dienstverlening, Servicepunt en Wijkteams en Vergunningen Toezicht en Handhaving nog een groot aantal DPIA’s uitgevoerd moeten worden om volledig in control te komen. Het advies is om in 2021 een nieuwe planning voor de DPIA’s te maken waarin ook deze DPIA’s meegenomen worden. Wel flinke stappen gemaakt, nog niet bij niveau 5 Hoewel de clusters en units flinke stappen hebben gezet op het gebied van privacy en informatiebeveiliging bevonden met name de clusters waar nog veel DPIA’s uitgevoerd moeten worden (Externe en Interne Dienstverlening, Servicepunt en Wijkteams, Vergunningen Toezicht en

3

Organisatorische inbedding betekent het toewijzen van taken, verantwoordelijkheden en bevoegdheden en bewustzijn creëren.

7

Handhaving), zich eind 2020 op volwassenheidsniveau 4. De eerste drie zijn ook de clusters waar veel inzet vereist is bij de COVID-pandemie. De ambitie om eind 2020 organisatie breed op volwassenheidsniveau 5 te staan is daardoor niet gehaald. Inschaling FG Op dit moment wordt de functie van FG op inhuurbasis uitgevoerd. In het kader van het terugdringen van de inhuur heeft de directie de wens uitgesproken om op korte termijn een vaste invulling hieraan te geven. Over de waardering van de functie was intern discussie. Op 6 januari 2021 heeft de directie ingestemd met het voorstel om de functie van FG opnieuw te laten waarderen. In deze Verklaring van accountability worden aan de hand van het privacy framework (= een overzicht van onze privacy-organisatie langs de pijlers organisatie, governance en techniek), alle in 2020 ondernomen acties verantwoord. Tenslotte worden eventuele verbeterpunten en de ambitie voor de komende periode benoemd. Katwijk, 29 januari 2021 Annerine Blufpand

8

4

Vastleggen persoonsgegevens

De gemeente Katwijk verwerkt ter uitvoering van de aan haar opgedragen publieke taken persoonsgegevens van haar inwoners, ondernemers en medewerkers in onder meer de volgende organisatieonderdelen: - Dienstverlening; - Leefbaarheid; - Inclusieve Samenleving; - Financiën; - Unit HRM De gemeente Katwijk legt persoonsgegevens van burgers en organisaties vast met de volgende doelen: • Het uitvoeren van publiekrechtelijke taken, zoals het beoordelen van aanvragen voor vergunningen, schuldhulpverlening, jeugdhulp of maatschappelijke ondersteuning; • Het begeleiden van burgers naar werk; • Het afleggen van financiële verantwoording; en • Het uitvoeren van interne en externe controle, de bedrijfsbeveiliging en accountantscontrole.

Daarnaast legt de gemeente Katwijk persoonsgegevens vast voor de volgende doelen: • Het behandelen van personeelszaken; • Het uitvoeren van voor de medewerkers geldende arbeidsvoorwaarden; • Het berekenen, vastleggen en betalen van salarissen, vergoedingen, belastingen, premies, uitkeringen en andere geldsommen en beloningen in natura aan of ten behoeve van medewerkers; • Het berekenen, vastleggen en innen van (pensioen-)premies; • Het kunnen aanbieden van collectieve ziektekostenverzekering; • Het aanvragen van Verklaring Omtrent het Gedrag (VOG); • Het afnemen van assessments bij medewerkers; • Het ontwikkelen van de medewerkers; • Het bieden van bedrijfsmedische zorg aan medewerkers; • Het geven van leiding aan de werkzaamheden van de medewerkers; • Het uitvoeren of toepassen van een (andere) wet; • Het afleggen van financiële verantwoording; • Het regelen van aanspraken op uitkeringen in verband met de beëindiging van een dienstverband; • Het verlenen van ontslag en, indien van toepassing, het regelen van uitkeringen in verband met de beëindiging van een dienstverband; • Het innen van vorderingen, waaronder inbegrepen het in handen van derden stellen van die vorderingen; • Het behandelen van geschillen; • Het uitvoeren van interne en externe controle, de bedrijfsbeveiliging en accountantscontrole; • Het afleggen van verantwoording over nevenfuncties (alleen college en

raad); en • Het publiceren van verstrekkingen aan het college.

9

Naast de gegevens van inwoners, ondernemers en medewerkers administreert de gemeente Katwijk ook gegevens van sollicitanten, cursisten, vrijwilligers, familie en naasten van inwoners, passanten (bij cameratoezicht), contractpartners, uitzendkrachten, ZZP'ers, gedetacheerden en ketenpartners. Van al deze verwerkingen van (persoons-)gegevens zijn de doelen en de specifieke gegevens die verwerkt worden vastgelegd.

10

5

Privacy framework

Het privacy framework is een overzicht van onze privacyhuishouding. Hierin is te zien welke elementen eronder vallen. Aan de hand van het privacy framework beschrijft de gemeente Katwijk wat de stand van zaken is, waar eventuele verbeterpunten liggen en welke ambitie de gemeente Katwijk heeft voor de komende periode. Privacy Framework

Organisatie • Beleid • Privacybeleid • Informatiebeveiligingsplan • Wachtwoordenbeleid en toegangsbeveiliging • Gedragsregels

Governance • Bestuursverslag Declaration of Accountability • Verantwoording • Awareness/risico-inventarisatie • Awareness • Presentaties e-learning • DPIA's • Analyse datalek • Onderzoeken • Periodieke beveiligings- en penetratietesten • Monitoring • Continue monitoring (technisch) infrastructuur audits

Techniek • Tools • Privacy- en securityadministratiesysteem • Meldsysteem incidenten • Systeembeschrijvingen • Applicatielogboek • Applicatie-archief • Documentbeheer voor contracten • Website

5.1 Verantwoording De verantwoording over de stand van zaken op het gebied van privacy en informatiebeveiliging aan alle betrokkenen en toezichthouders doet de gemeente Katwijk op verschillende manieren. In de Verklaring van accountability verantwoordt de gemeente zich uitvoerig over het gevoerde beleid en de ambitie voor de komende periode. Een korte samenvatting van de Verklaring van accountability wordt opgenomen in het bestuursverslag. 5.2 Beleid Het beleid van de gemeente Katwijk is verwoord in verschillende documenten waar een sterke samenhang tussen bestaat. Hieronder is per document het doel en de voortgang omschreven.

11

Privacyreglementen De gemeente Katwijk heeft ter bescherming van de privacy van haar inwoners en ondernemers privacyreglementen gemaakt. De clusters en units beschikken over een volledig overzicht van privacyreglementen voor hun organisatieonderdeel. Unit HRM heeft in 2020 een start gemaakt met het actualiseren van de privacyverklaring voor medewerkers. Dit naar aanleiding van het directiebesluit om in bijzondere situaties, zoals de coronacrisis, medewerkers op hun huisadres een blijk van waardering te kunnen sturen. Voor de uitvoering van de Jeugdwet is in 2015 een privacyprotocol Jeugdhulp Katwijk gemaakt. Dit reglement bevat regels voor de registratie van persoonsgegevens en ook de verwerking daarvan binnen de Jeugdwet. Ook zijn de rechten van betrokkenen met betrekking tot de registratie van de persoonsgegevens opgenomen. Dit reglement is nog niet geactualiseerd aan de nieuwe wet- en regelgeving. In 2019 is een start gemaakt met het actualiseren maar het reglement is nog niet formeel vastgesteld. De reden hiervan is dat dit mogelijk meegenomen gaat worden in het privacyprotocol voor de integrale toegang. Met het anders inrichten van de doorontwikkeling van de toegang tot gemeentelijke hulp- en dienstverlening in een integraal wijkteam is nader onderzocht welke andere privacyreglementen/protocollen er zijn afgesproken met derde partijen.

Voor de integrale toegang is in 2019 een start gemaakt met een privacyprotocol.

Privacy- en informatiebeveiligingsbeleid Op 11 juli 2017 heeft het College het Algemeen privacybeleid Katwijk 2.0 vastgesteld. Dit beleid geeft richting aan de invulling van privacyreglementen en protocollen en de visie en uitgangspunten die de gemeente Katwijk hanteert met betrekking tot privacyvraagstukken. Omdat privacy en informatiebeveiliging nauw met elkaar samenhangen is in het privacybeleid ook verwezen naar het huidige Informatiebeveiligingsplan Katwijk. Het doel van het privacybeleid is om de kaders te stellen voor een behoorlijke en zorgvuldige verwerking van persoonsgegevens die voldoet aan de wettelijke eisen. De volgende protocollen horen bij privacybeleid: • privacyprotocol Jeugd; • privacyverklaring voor externen (op de website); en • procedure afhandeling datalekken. In 2020 zou het privacybeleid aangepast worden aan de definitieve organisatiestructuur. Dit is niet gebeurd omdat de definitieve structuur nog niet is vastgesteld. de aanpassing is daarom verschoven naar 2021. In 2020 is het Informatiebeveiligingsplan door de directie vastgesteld.

In de privacyverklaring voor externen (op de website) wordt aangegeven hoe de gemeente Katwijk omgaat met persoonsgegevens van externen zoals bezoekers op de website en wordt onder andere aandacht besteed aan het gebruik van cookies op de website, opting-in en opting-out voor nieuwsbrieven, het gebruik van bezoekersstatistieken en het gebruik van gegevens van contactformulieren op de website. Naar aanleiding van een onderzoek van een externe partij naar de toegankelijkheid van websites van andere organisaties met oog op het kunnen uitoefenen van het recht op inzage (artikel 15 van de AVG), is gebleken dat de website van de gemeente op een tweetal punten aangepast dient te worden. Deze punten worden in 2021 aangepast. Voor het kentekenparkeren heeft het college op 1 oktober 2020 ingestemd met het privacyreglement kentekenparkeren.

12

In 2019 is een concept gedragscode privacy en gegevensbescherming voor de raad gemaakt die door de griffier in 2020 nader zou worden aangepast. Dit is vanwege andere prioriteiten niet gebeurd en wordt in 2021 opgepakt. Autorisatie en authenticatie beleid Om toegang te kunnen krijgen tot het netwerk van Katwijk moet een inlogprocedure doorlopen worden. Het inloggen gebeurt door: - iets wat je weet, een wachtwoord, - iets wat je hebt, een code en - iets wat je bent, een gebruikersnaam. Binnen de gemeente is er een autorisatieproces, een wachtwoord en toegangsbeleid. Een wachtwoord dient periodiek gewijzigd te worden en moet sterk zijn. Een app genereert een code en deze verandert continu. Op de persoonlijke smartphone is door ICT de app geplaatst. Een onbekende smartphone kan geen toegang krijgen. Bij in- door- en uitstroom van medewerkers geven de leidinggevenden via de managementassistenten, door middel van een e-Formulier aan welke autorisaties de betreffende persoon dienen te krijgen of opgeheven moeten worden. Om het proces van het beheren van autorisaties beter te kunnen managen is in 2018 een autorisatiematrix gemaakt, die met de uitrol van de nieuwe werkplek operationeel is. Het bijpassende beleid is in 2019 geformaliseerd. In 2020 is de autorisatiematrix tot op functieniveau uitgerold om in de toekomst flexibeler te kunnen inspelen op veranderingen in de organisatie.

Gedragsregels Medewerkers in dienst van de gemeente Katwijk dienen de ambtseed af te leggen. Hiermee verklaren de medewerkers integer te handelen en zaken die hem uit hoofde van de functie vertrouwelijk ter kennis komen of waarvan hij het vertrouwelijke karakter moet inzien, geheim houdt voor anderen dan de personen die hij ambtshalve op de hoogte moet stellen. Omdat deze waarden en normen niet zien op het gewenste gedrag ten aanzien van privacy en informatiebeveiliging, zijn er in 2017 privacyregels gemaakt en onder de aandacht gebracht van de medewerkers. Deze privacyregels zijn gebaseerd op de Gouden Regels voor iBewustzijn. In deze regels staat hoe zowel binnen als buiten de gemeente veilig gewerkt kan worden. Aan medewerkers die niet in dienst zijn van de gemeente worden geheimhoudingsverklaringen opgelegd. In 2020 is deze geheimhoudingsverklaring geactualiseerd door de unit HRM. Legal policy framework / Normenkader Binnen de Gemeente Katwijk wordt voor de informatiebeveiliging vanaf 2020 aangesloten bij de Baseline Informatiebeveiliging Overheid (BI0). Voor de verantwoording van de geïmplementeerde BIO maatregelen wordt aangesloten bij de ENSIA (Eenduidige Normatiek Single Information Audit). Binnen de gemeente is er echter nog geen legal policy framework en normenkader gemaakt voor de privacy.

In een dergelijk legal policy framework wordt alle relevante wetgeving op het gebied van privacy en gegevensbescherming in kaart gebracht. In het normenkader wordt aangegeven hoe de Gemeente Katwijk omgaat met specifieke wetgeving en eventuele conflicten tussen deze wetgeving. Zo worden er bijvoorbeeld in verschillende wetten andere eisen gesteld ten aanzien van bewaartermijnen. Met name voor het Sociaal Domein is een Legal policy framework / Normenkader van belang zodat de grondslagen voor verwerking en uitwisseling van gegevens helder zijn. In 2019 zou een begin gemaakt worden met het opstellen van dergelijk beleid. Dit is niet gedaan maar het wordt wel opgepakt via de doorontwikkeling van de toegang tot gemeentelijke hulp- en dienstverlening in een integraal wijkteam. De gemeente maakt voor de voortgang van de privacy-acties gebruik van de door VNG Realisatie ontwikkelde criteria om de AVG te vertalen naar een kwaliteitscyclus voor gegevensbescherming en privacy voor gemeentelijke processen (borgingsdocument). Omdat de gemeente Katwijk werkt met volwassenheidsniveaus en uit het borgingsdocument geen prioritering is af te leiden, is in de lijst een 13

kolom toegevoegd waaruit is af te leiden tot welk volwassenheidsniveau de actie behoort. Op dit moment wordt het borgingsdocument door VNG Realisatie in samenwerking met een 16-tal gemeenten, waaronder de gemeente Katwijk, aangepast en aangevuld met een volwassenheidsniveau. De verwachting is dat het document in maart 2021 gereed is. In 2021 zal de gemeente Katwijk hier ook gebruik van maken.

5.3 Awareness / risico-inventarisatie 5.3.1 Awareness De gemeente Katwijk besteedt doorlopend aandacht aan de bewustwording van medewerkers op het onderwerp privacy en informatiebeveiliging. In 2019 hebben er via de Leertuin bewustwordingssessies op het gebied van privacy plaatsgevonden: één hoorcollege voor de bestuurders, één hoorcollege voor de medewerkers en een werkgroep voor medewerkers. In 2020 zijn ook twee werkgroepen voor medewerkers gehouden. Verder is in 2019 een verplicht introductieprogramma voor nieuwe medewerkers opgezet waarbij privacy en informatiebeveiliging een onderdeel is. Het volgen van het introductieprogramma is een verantwoordelijkheid van de clustermanagers en units. Hoewel er in 2020 veel nieuwe medewerkers zijn aangetrokken, moet geconstateerd worden dat in 2020 weinig medewerkers de FG en de CISO hebben benaderd voor het volgen van het onderdeel privacy en informatiebeveiliging. Dit is onder de aandacht gebracht van de clustermanagers en units. In 2020 is wederom elke mogelijkheid aangegrepen om het onderwerp “Privacy en informatiebeveiliging” op de kaart te zetten. Zo is in verband met de dag van de privacy op 28 januari 2020 in die week iedere dag de kennis van de medewerkers getest met een privacyvraag. In verband met het verplicht thuiswerken is aandacht besteed aan veilig samenwerken via MS Teams en veilig (thuis)werken bij de gemeente.

In een thuiswerkjournaal is aandacht besteed aan privacy. Ook is het kennisplein op intranet geactualiseerd. In de laatste twee weken van december heeft er een Kerstquiz op het intranet gestaan. Tenslotte was vanaf januari 2020 iedere vier weken een privacy en informatiebeveiligings overleg met de portefeuillehouder. Hieronder een overzicht van de awareness initiatieven over het jaar 2020. Initiatief frequentie Overleg Privacy en informatiebeveiliging met bestuur Privacy en informatiebeveiliging op de agenda van het de raad Privacy en informatiebeveiliging op de agenda bij het CMD en college Informatiebeveiligingsmaatregelen op de agenda van het college Artikelen in het personeelsblad4 Presentatie aan medewerkers Privacyspreekuur/privacyweek5 E-learning 4 5

Frequentie 2020 Iedere 4 weken met portefeuillehouder 1 1 6 0 3 1 1

Vanwege COVID is het personeelsblad slechts 1x uitgekomen in 2020. De privacyspreekuren werden slecht bezocht en daarom is meer ingezet op artikelen publiceren via het intranet.

14

5.3.2 Baselinetoetsen en Gegevensbeschermingseffectbeoordeling Bij CMD-besluit van 18 maart 2020 heeft er een prioritering plaatsgevonden. Voor de systemen van het cluster Informatie en Automatisering met een hoog privacyrisico en verwerkingen van financiële gegevens, gezondheidsgegevens, fraudebestrijding en samenwerkingsverbanden binnen de clusters moesten DPIA’s uitgevoerd worden. Als gevolg hiervan diende met name de clusters Wijkteams, Servicepunt, Vergunningen, Toezicht en Handhaving en Informatie en Automatisering veel DPIA’s uit te voeren. Het cluster Informatie en Automatisering en het cluster Vergunningen, Toezicht en Handhaving hebben alle benodigde DPIA’s uitgevoerd. De clusters Wijkteams en Servicepunt lopen achter met de uitvoering van DPIA’s. Toch zijn er ook bij de clusters Wijkteams en Servicepunt belangrijke stappen gezet. De gemeente heeft samen met een aantal andere gemeenten in november 2020 voor de integrale toegang tot het Sociaal Domein meegedaan met een effectenanalyse van het Wetsvoorstel Aanpak meervoudige problematiek sociaal domein (Wams). Deze effectenanalyse is uitgevoerd door VNG Realisatie. De input wordt meegenomen bij de DPIA voor de integrale toegang tot het Sociaal Domein. In het kader van de digitalisering van de parkeerketen worden er diverse DPIA’s uitgevoerd. De DPIA voor het scanvoertuig is in 2020 nagenoeg afgerond.

In het geactualiseerde register van verwerkingen is opgenomen bij welke overige processen er een DPIA uitgevoerd moet worden. Daar is onder meer te zien dat bij de domeinen Dienstverlening, Inclusieve samenleving en Leefbaarheid nog een groot aantal DPIA’s uitgevoerd moet gaan moeten worden om volledig in control te komen. Het advies is om in 2021 een nieuwe planning voor de DPIA’s te maken waarin ook deze DPIA’s meegenomen worden.

Aantal baselinetoetsen Aantal uitgevoerde en geaccordeerde DPIA’s

2020 0 13

5.3.3 Analyse van datalekken Eventuele datalekken zijn onderzocht door het datalekteam. De gemeente Katwijk streeft een open cultuur na waarin datalekken laagdrempelig gemeld worden. Het onderzoek van de datalekken is er primair op gericht om ervan te leren. Op basis van het onderzoek geeft de FG een advies aan het bestuur. Het bestuur beslist of een datalek gemeld wordt bij de Autoriteit Persoonsgegevens en/of de betrokkenen. De melding van datalekken vindt plaats door een medewerker van Juridische Zaken. In 2020 zijn in totaal 17 datalekken intern gemeld. Bij een ernstig datalek moet de Gemeente Katwijk het datalek ook aan de Autoriteit Persoonsgegevens melden. Dit is in 7 gevallen gebeurd. Opvallend is dat de meeste datalekken net als vorig jaar een menselijke oorzaak hebben. De analyse van datalekken heeft geleid tot diverse verbeteringen. Zo is bijvoorbeeld besloten om het proces voor het scannen en verzenden van brieven nog meer aan te passen en worden burgermeldingen in Fixi standaard anoniem gedaan.

Oorzaak

Menselijke oorzaak Technische oorzaak

2020 2020 Meldens Niet waardig meldens waardig 6 8 1 0 15

Organisatie Totaal aantal datalekken

0

2 17

De Wet meldplicht datalekken verplicht om bij datalekken snel onderzoek te doen en in het geval van ernstige inbreuk op de privacy dit binnen 72 uur te melden aan de Autoriteit Persoonsgegevens/of de betrokkenen. Het is in 2020 gelukt om het onderzoek binnen de 72 uur te doen. Processen en systemen zijn inmiddels bekend bij de melder en medewerkers zijn zich bewust van de urgentie. In 2020 zijn 5 verzoeken om inzage van persoonsgegevens door burgers ingediend. 5.3.4 Onderzoeken In 2020 hebben net als in 2019 twee onderzoeken plaatsgevonden. Eén op basis van social engineering (door een “mystery guest”) en één door een ethisch hacker.

Soort onderzoek

Frequentie 2020

Periodieke beveiligings- en penetratietest Totaal aantal onderzoeken

2 2

5.3.5 Checklist aanschaf applicatie In onze algemene inkoopvoorwaarden staat dat voldaan moet worden de GIBIT-eisen. Onderdeel van deze eisen betreft het voldoen aan de AVG en BIO. Bij de intakeprocedure voor nieuwe applicaties is er bovendien een vragenlijst waarin privacy en informatiebeveiliging aan de orde komt. Bij de aanschaf van een nieuwe applicatie is er dus aandacht voor privacy, maar er bestaat echter nog geen algemene checklist om ervoor te zorgen dat er geen zaken over het hoofd worden gezien en dat de applicatie daadwerkelijk voldoet aan wet- en regelgeving. In 2019 is een checklist ontwikkeld waarin de volgende zaken opgenomen worden: • Het doen van een gegevensbeschermingseffectbeoordeling; • Het afsluiten van een verwerkersovereenkomst; • Check op het voldoen aan de uitgangspunten vanuit het pakket van eisen (welke vooraf opgesteld dient te worden); • Bijhouden van het applicatielogboek; • Doen van periodieke controles op de autorisaties; en • Centrale opslag van contracten, service-level agreements (SLA) en andere afspraken met de leverancier. In 2020 is gebleken dat deze checklist goed werkt.

5.3.6 Periodieke beveiligings- en penetratietesten De Gemeente Katwijk maakt gebruik van externe dienstverleners om applicaties en/of infrastructuur te onderzoeken op beveiligingsissues en kwetsbaarheden. Tweemaal per jaar wordt op basis van een risico-inschatting gekeken welke applicatie en/of infrastructuur onderzocht gaat worden. Het onderzoek kan ook gericht zijn op gedrag of toetsing van procedures, denk bijvoorbeeld aan ‘social engineering’ of ‘mystery guests’. Ook penetratietesten kunnen (in goed overleg) worden uitgevoerd. De Gemeente Katwijk maakt hiervoor elke drie jaar gebruik van een andere dienstverlener. Onderzoeksresultaten worden opgenomen in de privacy- en securityboekhouding. Bevindingen uit

16

deze onderzoeken worden geprioriteerd en voor opvolging als meldingen opgenomen in de helpdesk software. Een projectleider is aangewezen om toe te zien op de opvolging.

17

5.3.7 Monitoring Om goed invulling te geven aan het begrip accountability in de Algemene verordening gegevensbescherming dient de gemeente Katwijk controle op autorisaties te monitoren. Hiervoor dienen periodieke controles uitgevoerd worden door de functioneel beheerders van de applicaties. De controle moet erop zien of de gebruikers in het systeem enerzijds nog een relatie hebben met de gemeente Katwijk en anderzijds of hun rol nog past bij de rechten waarover zij binnen de applicaties beschikken. Niet alleen vanuit functioneel perspectief, maar ook vooral met het oog op privacy en informatiebeveiliging is het van groot belang dat de autorisaties up-to-date zijn. Zoals hiervoor aangegeven bij autorisaties, is in 2020 de autorisatiematrix tot op functieniveau uitgerold om in de toekomst flexibeler te kunnen inspelen op veranderingen in de organisatie. In 2020 is er beleid gemaakt over hoe om te gaan met de back-up van de e-mail en userfolder van een (ex)werknemer. Daardoor is in geval van vragen duidelijk hoe hiermee omgegaan dient te worden. Dit document is aangepast, maar niet naar de directie gegaan omdat het om een aanvulling van het bestaande beleid ging. Het document is wel als definitief opgenomen in het BIO-beleid.

5.3.7.1 Continue monitoring (technische infrastructuur) De gemeente Katwijk maakt gebruik van tooling waarmee de kwetsbaarheden van het interne netwerk en alle actieve netwerkapparatuur worden continu gemonitord. Systeembeheerders rapporteren bevindingen in een dashboard voor systeembeheerders. Ook een geselecteerd aantal websites en toegangsportalen van de gemeente Katwijk worden middels deze tooling continu gemonitord op kwetsbaarheden. De te toetsen onderdelen, bedreigingen en mogelijke kwetsbaarheden worden constant up-to-date gehouden en volgens de laatste trends en ontwikkelingen. Het proces van bewaking en controle van deze tooling, alsmede de opvolging voor het verhelpen van kwetsbaarheden is vastgelegd als onderdeel van de systeembeschrijvingen. Dit proces is belegd bij het cluster Informatie en Automatisering. Bevindingen worden geprioriteerd en voor opvolging als meldingen opgenomen in de helpdesk software. Een projectleider is aangewezen om toe te zien op de opvolging. 5.4 Tools De gemeente Katwijk heeft uit kostenoverwegingen voor het onderwerp privacy en informatiebeveiliging zoveel mogelijk aangesloten bij bestaande tools. Het gevolg is wel dat de informatie over verschillende tools (Verseon, ISMS, Planon) is verspreid.

In 2019 is een nieuwe software aangeschaft (een ISMS-tool en Topdesk) met betrekking tot privacy en informatiebeveiliging mede om te voldoen aan de BIO. In 2020 is de tool voor de BIO ingevuld en in 2021 zal dit voor de privacy gedaan worden.

18

5.4.1 Privacy- en security-administratie Het hart van alle activiteiten rondom privacy en informatiebeveiliging is de privacy- en securityadministratie (PSA). De privacy-administratie bestaat uit: Baselinetoetsen; Convenanten; Geheimhoudingsverklaringen; DPIA’s; Privacyprotocollen; en Verwerkersovereenkomsten. De verantwoordingsdocumenten zijn verspreid: - ENSIA is een zaak in Verseon; - BIG-documenten ook en ISMS; - Datalekken zijn rapportages op M-schijf; - Verder staan er incidenten in Topdesk; - Diverse documenten op het Kennisplein (intranet); en - Onderzoeken staan op de M-schijf. In 2017 heeft de Gemeente Katwijk een aparte module binnen Verseon ontwikkeld. Hierin worden de volgende zaken vastgelegd:  Baselinetoetsen;  Samenwerkingsovereenkomsten/convenanten ;  Verwerkersovereenkomsten; en  Resultaten van een DPIA In 2018 heeft een nadere inrichting plaatsgevonden zodat er ook taken kunnen worden uitgezet en is een signaalfunctie toegevoegd. De inrichting is in 2019 verbeterd. Op dit moment bestaat er een compleet overzicht van verbonden partijen doordat het register van verwerkingen in 2020 verder compleet is gemaakt. Het verwerkingenregister is echter geen eenmalige registratie, maar een organisch proces. Het registreren moet daarom op structurele wijze opgenomen worden in de organisatie. In 2020 is dit verder opgepakt.

In 2019 is deze administratie verder aangevuld. De volgende acties zijn uitgevoerd: • Controle op de volledigheid van alle in gebruik zijnde systemen; • Controle op de volledigheid van de verbonden partijen; en • Koppelen van verwerkingen aan eigenaren en functioneel beheerders. 5.4.2 Meldsysteem incidenten Het melden van incidenten is in de eerste plaats bedoeld om te leren. De inhoudelijke lessen, maar zeker ook het proces van het melden, leiden tot een verbetering van de veiligheid en kwaliteit van een organisatie. Een melding is het startsein voor feedback en dus het proces van verbetering. De gemeente Katwijk beschikte reeds over een goed werkend systeem voor het melden van incidenten (Verseon). In 2017 hebben we dit systeem zo aangepast dat er ook datalekken in gemeld kunnen worden door medewerkers. De gemeente Katwijk beschikte reeds over een goed werkend systeem voor het melden van incidenten (Planon). In 2017 hebben we dit systeem zo aangepast dat er ook datalekken in gemeld kunnen worden door medewerkers. Een aantal sleutelfunctionarissen krijgt een signaal van de melding waarna het datalek onderzocht wordt (het goedgekeurde proces meldplicht datalekken). In 2019 is een nieuw meldsysteem (Top Desk) operationeel geworden. Het systeem werkt goed.

19

5.4.3 Applicatie beschrijvingen / applicatie logboek en documentenbeheer 5.4.3 Applicatie beschrijvingen / applicatie logboek en documentenbeheer Binnen de gemeente Katwijk was veel informatie over alle applicaties beschikbaar, maar niet op een gestructureerde manier. In 2017 is een start gemaakt met het registreren van alle belangrijke mutaties op de applicatie volgens een vast proces (dit is het goedgekeurde Changeproces) en is een changemanager aangesteld. Ook is onderzocht hoe een en ander op een centrale plaats geregistreerd kan worden voor documenten (contracten) en deze eenduidig te gaan vastleggen. Hierin zijn in 2018 en 2019 belangrijke stappen gezet om dit centraal te organiseren. In 2020 is er officieel een contractmanager aangesteld die dit centraal registreert. 5.4.4 Website Op de website draagt de gemeente Katwijk uit dat ze een betrouwbare en voorspelbare partij is op het gebied van privacy en informatiebeveiliging en is gewezen op de rechten van betrokkenen en de mogelijkheid voor vragen / opmerkingen en klachten voor betrokkenen. In 2018 is de informatie over privacy op haar website geactualiseerd en het register van verwerkingen toegevoegd. Deze verklaring van accountability plaatst de gemeente Katwijk daarom vanaf 2019 ook op de website.

20

6

Ambitie voor 2021

In 2020 was het streven om gemeentebreed volwassenheidsniveau 5 te behalen. Vooraf waren er wel zorgen over de beschikbare capaciteit en de mogelijke gevolgen van de ingezette organisatieontwikkeling met verschuiving van verantwoordelijkheden. De COVID-19-pandemie en de hieraan verbonden gevolgen waren op dat moment niet in beeld. Hoewel de clusters en units flinke stappen hebben gezet op het gebied van privacy en informatiebeveiliging, bevonden met name de clusters waar nog veel DPIA’s uitgevoerd moeten worden (Externe en Interne Dienstverlening, Servicepunt en Wijkteams en Vergunningen Toezicht en Handhaving), zich eind 2020 op volwassenheidsniveau 4. De eerste drie zijn ook de clusters waarvan veel gevraagd wordt tijdens de COVID-19-pandemie. Omdat de COVID-19-pandemie ook in 2021 voortduurt en onduidelijk is wat het effect op de organisatie en met name de eerste drie hiervoor genoemde clusters zal zijn, zijn er ook voor het behalen van de ambitie voor 2021 wederom zorgen. Voor 2021 samengevat de volgende doelstellingen worden benoemd:

Omschrijving Acties ambitieniveau 3

Status

Maken legal policy framework en het normenkader voor het Sociaal Domein en te verwerken in beleid en protocollen

Nog niet gestart. Wordt opgepakt via de door ontwikkeling van de Toegang tot gemeentelijke hulp- en dienstverlening in een integraal wijkteam

Actualiseren privacyprotocol Jeugdhulp Privacyprotocol integrale toegang Gedragscode privacy en gegevensbescherming voor de raad Acties ambitieniveau 4 Bewijzen ontvangen dat verwerkers zich aan verplichtingen uit AVG houden Privacyverklaring op de website actualiseren Acties ambitieniveau 5 Vastleggen van de verzoeken van betrokkenen over de uitoefening van hun rechten en hoe de organisatie hiermee om is gegaan. Actualiseren van de privacyverklaring voor medewerkers. Privacybeleid actualiseren Uitvoeren DPIA’s

Gestart Gestart Gestart Incidenteel Nog niet gestart De processen zijn beschreven maar nog niet formeel goedgekeurd Gestart Niet gestart Gestart. Prioritering voor 2020 gemaakt die deels nog uitgevoerd moet worden door Servicepunt en Wijkteams en nieuwe planning voor 2021 voor overige risicovolle processen zoals benoemd in het register van verwerkingen. 21

Bijlage 1 Samenvatting voor Bestuursverslag 2020 De tekst voor het bestuursverslag 2020 is op basis van het voorgaande samengesteld. Gegevensbescherming en informatieveiligheid Informatie, en in het bijzonder persoonsgegevens, komen in verschillende vormen in onze organisatie voor. De kwaliteit van deze informatie is essentieel voor een goede en vlotte dienstverlening. Nieuwe wetgeving op het gebied van privacy en informatieveiligheid verplicht gemeenten hun gegevensbescherming en informatiebeveiliging op orde te hebben. Binnen het informatiebeveiligings- en privacybeleid hebben wij de wettelijke verplichtingen een plaats gegeven. De gemeente Katwijk vindt het vanzelfsprekend en van groot belang dat goed wordt omgegaan met privacygevoelige gegevens. Daarom dient iedere medewerker privacybewust te zijn. Bij het maken van keuzes hanteert de gemeente Katwijk bovendien de volgende regels:  Privacy en gegevensbescherming mag de dienstverlening niet in de weg staan;  Evenwicht tussen gebruikersgemak en gegevensbescherming (rechtmatigheid vs doelmatigheid);  Uitgangspunt is vertrouwen in de professionaliteit van de medewerker maar er vindt wel controle plaats; en  Zorgvuldigheid staat voorop maar het helemaal uitsluiten van datalekken is niet mogelijk.

In de ‘Code goed openbaar bestuur’ is opgenomen dat het bestuur verantwoording aflegt over de realisatie van de doelstellingen van de organisatie en het gevoerde beleid. De organisatie moet transparant zijn in haar handelen en de keuzes die worden gemaakt om daar vervolgens verantwoording over af te leggen aan de burgers. Begrippen 'Accountability' en 'Auditability' hebben een centrale plaats gekregen. Hoewel de clusters en units flinke stappen hebben gezet op het gebied van privacy en informatiebeveiliging bevonden met name de clusters waar nog veel DPIA’s uitgevoerd moeten worden (Externe en Interne Dienstverlening, Servicepunt en Wijkteams), zich eind 2020 op volwassenheidsniveau 4. De ambitie om eind 2020 organisatiebreed op volwassenheidsniveau 5 te staan, is daardoor niet gehaald. Hiermee zijn wij transparant. Voor de “Verklaring van accountability 2020 ” verwijzen wij naar onze website.

22

Bijlage 2 Overzicht volwassenheidsniveau Niveau 0: Onbepaald Het volwassenheidsniveau kan nog niet definitief bepaald worden. Niveau 1: Basis Er is een besef omtrent gegevensbescherming. Op hoofdlijnen zijn de grenzen van verantwoordelijkheid en aansprakelijkheid in kaart gebracht en er is een FG aangesteld. Het proces van verinnerlijken is gaande. De verantwoordelijke heeft erkend dat hij maatregelen wil gaan nemen en daartoe de eerste initiatieven ontplooid. Niveau 2: Overzicht en inzicht Op systematische wijze zijn de verwerkingen van persoonsgegevens in kaart gebracht. Wijzigingen worden adequaat beheerd. Onderzoeken worden gepland en uitgevoerd. De uitkomsten worden gerelateerd aan het overzicht en inzicht in de verwerkingen. Niveau 3: Keten-/ management Uitgaande van overzicht en inzicht wordt aan keten, of liever gezegd netwerk-management invulling gegeven. Hierbij gaat de interne controle verder dan de grenzen van de eigen organisatie. Dit met als doel de aansprakelijkheids- en kostenrisico’s (die voort kunnen vloeien uit zowel publiek- als civielrechtelijke complicaties) beheersbaar te maken en te houden. Over de uitkomsten transparant zijn naar het maatschappelijk verkeer en misschien wel belangrijker naar de deelnemers in het netwerk. Niveau 4: Faciliteren van rechten betrokkenen Actieve en passieve rechten van de betrokkene worden gefaciliteerd.

De organisatie (verantwoordelijke of verwerker) kan zich hierover maatschappelijk verantwoorden. Uitgaande van adequaat keten-management worden de verplichtingen van de verantwoordelijke / verwerker georganiseerd. Het complement hiervan zijn de rechten van de betrokkene. Tevens wordt invulling gegeven aan de andere verplichtingen zoals het organiseren van een passend beveiligingsniveau, uitvoeren van DPIA’s, onder voorwaarden toepassen van profiling. Niveau 5: Eerlijke verwerking De betrokkene (klant, medewerker of individu) is “in control” over zijn / haar persoonsgegevens. De organisatie (verantwoordelijke of verwerker) heeft de voorwaarden voor eerlijk zaken doen gecreëerd en houdt die ook in stand. Uitgaande van het adequaat kunnen faciliteren van de rechten van de betrokkene en voldoen van de overige verplichtingen dient de verantwoordelijke / verwerker in te staan voor een eerlijke verwerking van persoonsgegevens met de betrokkene (klant, medewerker, patiënt of individu). Anders gezegd: er moet een grondslag zijn voor de verwerking van persoonsgegevens. De betrokkene is “in control” over zijn / haar persoonsgegevens. De verantwoordelijke / verwerker heeft de noodzakelijke voorwaarden voor een eerlijke verwerking gecreëerd en houdt die ook in stand. Niveau 6: Georganiseerd zijn Gegevensbescherming en privacy zijn “ingebouwd” in de organisatie.

Niet alleen in de informatiesystemen maar ook in de administratieve organisatie en het handelen van medewerkers, leveranciers en klanten. De werking van de getroffen maatregelen en mechanismen kan getoond worden. De organisatie is “accountable”. De organisatie heeft gegevensbescherming zodanig verankerd in de bedrijfsvoering dat gegevensbescherming onderdeel is geworden van het risicomanagement dat een verplicht onderdeel is van de jaarrekening 23

Uitgaande van een eerlijke verwerking van persoonsgegevens worden toekomstbestendige stappen in de informatie-infrastructuur gezet. Gegevensbescherming en privacy zijn “ingebouwd” in de organisatie. Niet alleen in de informatiesystemen maar ook in de administratieve organisatie en handelen van medewerkers, leveranciers en klanten. Het streven is dat de organisatie privacy by design toe past en hiermee zijn de verwerkingen van persoonsgegevens inherent “compliant”. De FG (in welke vorm dan ook) zorgt er voor dat de organisatie in het netwerk “accountable” is. Hiermee ligt de basis voor de toezichthouder, raad van commissarissen / toezicht en interne of externe auditor in de reguliere risicomanagement cyclus te opereren (waaronder de controle van de jaarrekening). Niveau 7: Behoorlijk bestuur Er is sprake van een heldere besluitvormingsstructuur voor beleid, financiering, aanpak en realisatie voor gegevensbescherming, privacy en informatiebeveiliging als onderdeel van het in standhouden van een verantwoorde bedrijfshuishouding. De organisatie kan zich naar het maatschappelijk verkeer en daarmee naar betrokkene en andere organisaties in de keten verantwoorden en er ontstaat een samenspel van het over en weer elkaar decharge verlenen. De keten is transparant naar de toezichthouder en incidenten als zij zich toch voordoen zijn altijd onder controle.

24