64. Collegebesluit Verklaring accountability 2020 (1862059)

Voorstel

Aan

: Burgemeester en Wethouders

Kenmerk

: 1862059

Status

: Openbaar / ter besluitvorming

Datum

: 1 februari 2021

Afdeling

: Concernzaken en Advies

Raad

:Ja

Medewerk(st)er

: A. Blufpand

Telefoonnummer

: 071 406 5676

Or

: Nee

Portefeuillehouder

: C. Visser

Communicatie

: Nee

Bijlage(n)

:2

Evaluatie

: Nee

Onderwerp:

Verklaring accountability 2020

Samenvatting:

Samenvatting: Bij dit voorstel treft u aan een Declaration of accountability (=Verklaring van accountability) over de ondernomen acties op het gebied van privacy en informatiebeveiliging over het jaar 2020. De ambitie voor 2020 was mede gezien alle organisatorische ontwikkelingen, de beperkte capaciteit en de aanbevelingen uit het rekenkameronderzoek, fors. Op het vlak van processen en organisatorische inbedding zijn ondanks de organisatieontwikkeling en de COVID-19-pandemie belangrijke stappen gezet. Tenslotte is er een inhaalslag gemaakt voor het uitvoeren van Data protection impact assessment (DPIA). Hoewel de clusters en units flinke stappen hebben gezet op het gebied van privacy en informatiebeveiliging bevonden met name de clusters waar nog veel DPIA’s uitgevoerd moeten worden (Externe en Interne Dienstverlening, Servicepunt en Wijkteams, Vergunningen Toezicht en Handhaving), zich eind 2020 op volwassenheidsniveau 4. De ambitie om eind 2020 organisatie breed op volwassenheidsniveau 5 te staan is daardoor niet gehaald. Gevraagde beslissing:

1.

Instemmen met de Verklaring van accountability;

Intern advies

CISO, Adviseur directiezaken C&A

Extern advies

nee

Besluit:

Deze versie is met portefeuillehouder afgestemd op:

1 februari 2021

maandag 1 februari 2021

Kenmerk Programma Onderwerp

: 1862059 : Bestuur en ondersteuning : Verklaring accountability 2020

Aanleiding en doel In de Algemene Verordening Gegevensbescherming (AVG) zijn 'Accountability' en 'Auditability' de kernbegrippen. De AVG verlangt van de verantwoordelijke (= het college) dat zij kan waarborgen en aantonen dat zodanige technische en organisatorische maatregelen worden getroffen waardoor de verwerkingen in overeenstemming met de AVG worden uitgevoerd. Hierdoor wordt zij accountable. In de Verklaring van accountability legt de gemeente Katwijk verantwoording af aan alle belanghebbenden over de naleving van verplichtingen vanuit wetgeving op het gebied van privacy en informatiebeveiliging. Met de Verklaring van accountability wordt aangegeven hoe een organisatie 'in control' is en hoe de verplichtingen vanuit wetgeving worden nageleefd.

Indicatoren (facultatief) N.V.T Motivering voorstel 1. Register van verwerkingen is compleet en getoetst Het register van verwerkingen is met hulp van de clusters en units in 2020 compleet gemaakt en getoetst. Hierdoor zijn de werkprocessen die persoonsgegevens bevatten getoetst en ingericht volgens de volgende beginselen: behoorlijkheid, transparantie, doelbinding, dataminimalisatie, opslagbeperking, juistheid, integriteit en vertrouwelijkheid. 2. Informatiebeveiliging en privacy is beter en breder geborgd in de organisatie Om de informatiebeveiliging en privacy beter en breder te borgen in de organisatie hebben de clusters en units in 2020 voor het eerst zelf de controlelijst privacy ingevuld om zich te verantwoorden over de uitgevoerde acties binnen hun cluster/unit. 3. Informatiebeveiliging en privacy ingebed in P&C cyclus In het directieoverleg van 17 december 2020 bepaald dat informatiebeveiliging en privacy een standaard onderdeel uitmaken van de planning- en controlcyclus en dat onder meer maandelijks gerapporteerd wordt over het volgen van de e-learning informatiebeveiliging en privacy die alle nieuwe medewerkers binnen 3 maanden na hun indiensttreding dienen te volgen. 4. Inhaalslag uitvoering DPIA’s In 2020 is er een inhaalslag gemaakt voor het uitvoeren van DPIA’s. Bij CMD-besluit van 18 maart 2020 heeft er een prioritering plaatsgevonden.

Voor de systemen van het cluster Informatie en Automatisering met een hoog privacyrisico en verwerkingen van financiële gegevens, gezondheidsgegevens, fraudebestrijding en samenwerkingsverbanden binnen de clusters moesten DPIA’s uitgevoerd worden. Als gevolg hiervan diende met name de clusters Wijkteams, Servicepunt, Vergunningen, Toezicht en Handhaving en Informatie en Automatisering veel DPIA’s uit te voeren. Het cluster Informatie en Automatisering en het cluster Vergunningen, Toezicht en Handhaving hebben alle benodigde DPIA’s uit de prioritering uitgevoerd. De 1 februari 2021

clusters Wijkteams en Servicepunt lopen achter met de uitvoering van DPIA’s. Toch zijn er ook bij de clusters Wijkteams en Servicepunt belangrijke stappen gezet. De gemeente Katwijk heeft samen met een aantal andere gemeenten in november 2020 voor de integrale toegang tot het Sociaal Domein meegedaan met een effectenanalyse van het Wetsvoorstel Aanpak meervoudige problematiek sociaal domein (Wams). Deze effectenanalyse is uitgevoerd door VNG Realisatie. De geanonimiseerde rapportage wordt half maart verwacht. De eerste beelden zijn half februari met de deelnemende gemeenten gedeeld. Katwijk gaat de input meenemen bij de DPIA voor de integrale toegang tot het Sociaal Domein. 5. Nieuwe planning DPIA’s 2021 In het geactualiseerde register van verwerkingen is opgenomen bij welke overige processen er een DPIA uitgevoerd moet worden. Daar is onder meer te zien dat bij de clusters Externe en Interne Dienstverlening, Servicepunt en Wijkteams en Vergunningen Toezicht en Handhaving nog een groot aantal DPIA’s uitgevoerd moeten worden om volledig in control te komen. Kanttekeningen 1.

Ambitie privacy over 2020 niet door alle afdelingen gehaald Hoewel de clusters en units flinke stappen hebben gezet op het gebied van privacy en informatiebeveiliging bevonden met name de clusters waar nog veel DPIA’s uitgevoerd moeten worden (Externe en Interne Dienstverlening, Servicepunt en Wijkteams, Vergunningen Toezicht en Handhaving), zich eind 2020 op volwassenheidsniveau 4. De ambitie om eind 2020 organisatie breed op volwassenheidsniveau 5 te staan is daardoor niet gehaald. Een DPIA is feitelijk een risico inventarisatie op privacy en informatiebeveiligingsgebied. Het feit dat bepaalde organisatie onderdelen achterlopen bij de uitvoering ervan, impliceert dat deze organisatieonderdelen hun grootste risico’s niet in beeld hebben en hierdoor niet “control’ zijn. 2. Beperkte capaciteit COVID-19 Zorgpunt is of de clusters Externe en Interne Dienstverlening, Servicepunt en Wijkteams, voldoende capaciteit beschikbaar hebben. Het zijn met name juist die clusters waarvan veel gevraagd wordt tijdens de pandemie. Het advies is om in planning van de DPIA’s hier rekening mee te houden.

Middelen N.V.T. Uitvoering Na instemming door het college de Verklaring accountability aan de raad zenden. Juridisch advies N.V.T. Communicatie

N.V.T.

3

Bijlage(n) 1. 2.

Verklaring van accountability 2020 Korte samenvatting van de voortgang per cluster en unit

4