Bijlage 2 Presentatie Raad Privacy

Bedrijfsvoering: Privacy  Algemene Verordening Gegevensbescherming (AVG)  Wet Politie Gegevens en Besluit Politiegegevens BOA’s (WPG en BpBOA)

Openbare informatiebijeenkomst. 31 oktober 2023

AVG: De verwerking van persoonsgegevens van natuurlijke personen in welke vorm dan ook. WPG/BpBOA De verwerking van strafrechtelijke persoonsgegevens in het kader van opsporing en handhaving. Deze wetten stellen eisen aan de verwerkingen van persoonsgegevens en de rechten van deze personen.

 Het college moet kunnen aantonen dat verwerkingen van persoonsgegevens aan de uitgangspunten van de AVG voldoen. Ook moet het college aantonen dat de juiste technische en organisatorische maatregelen zijn genomen om de persoonsgegevens te beveiligen (Accountability).  Het college is verplicht verantwoording af te leggen over de gegevensverwerkingen wanneer de Autoriteit Persoonsgegevens (AP) daarnaar vraagt. Geen goede verantwoording = Boete!  Dit is ook van toepassing op de Wet Politie Gegevens.

GEZAMENLIJKE VERANTWOORDELIJKHEID 1.College B en W - eindverantwoordelijkheid op basis van de AVG en WPG. Bij misstanden: aangesproken door Autoriteit Persoonsgegevens 2.DirectieTeam (DT) - privacy uitdragen binnen de organisatie - verantwoordelijk voor de ambtelijke organisatie - Proceseigenaren 3.Afdelingshoofden - procesverantwoordelijke voor eigen werkprocessen - Inrichting van de werkprocessen, w.o AVG en WPG (bedrijsvoering) - Bewustwording privacy bevorderen 4.Medewerker - Toepassen van privacy – regels in de uitvoering - handelingsbekwaam.

ANALYSE:  De afgelopen jaren hebben wij ons vooral gericht op “Doen, Doen” voor Kerkrade en haar burgers.  We realiseren ons dat we ook verantwoording moeten kunnen afleggen of we voldoen aan wet en regelgeving, waaronder de AVG en WPG.  Hiervoor is nodig dat wij in (bron)documenten hebben vastgelegd Waarom, met Wie en met name Hoe wij onze taken uitvoeren (Opzet, bestaan en werking).  Op dit moment zijn deze documenten onvoldoende aanwezig en moeten deze alsnog worden opgesteld!  Om te voldoen aan de AVG en WPG moeten alle processen op de juiste wijze vorm worden geven. Denk aan: contract - management, AVG/WPG – vereisten, Informatie beveiliging, financiële – verantwoording, wettelijke kaders, etc.

ANALYSE - vervolg:  Om onze taken en processen op zodanige wijze vast te leggen dat deze kunnen dienen als bron om verantwoording af te leggen is een organisatie breed bedrijfsvoering traject nodig.  Externe ondersteuning (expertise/capaciteit) zal nodig zijn.  Dit bekent een belasting voor de medewerkers. Zij moeten de informatie leveren om vast te leggen in (bron) documenten.  De gehele Organisatie (bestuur/management/medewerkers) dienen te transformeren naar bewust handelen (i.p.v. handelingsonbewust /-onzeker). En ook hiervoor hebben wij ondersteuning nodig.  Nogmaals; Het betreft de totale Organisatie, niemand uitgezonderd! EN…. Dit is geen “appeltje/eitje”. Het is een langdurig traject (de gemeente heeft heel veel taken, processen en persoonsgegevensverwerkingen).

REALISATIE  1ste lijn: De uitvoering is handelingszeker op Privacy-gebied en kan deze toepassen, 2de lijn; De ondersteuning door privacy functionarissen is ingericht en levert!, 3e lijn; Het toezicht op Privacy is zodanig gepositioneerd dat de functionaris gegevensbescherming de taken onafhankelijk en adequaat kan uitvoeren.  Inhuur van externe ondersteuning ter invulling van de noodzakelijke capaciteit, kennis en kunde. Inhuur zowel voor de AVG als de WPG.  WPG: Uitvoeren verplichte audit. Audit rapport met gedetailleerde opsomming van de te nemen maatregelen, welke (bron)documenten ontbreken, etc. NB: Momenteel is gestart met de verplichte WPG – audit.  Het AVG – compliancy traject wordt in de markt gezet middels een Europese aanbesteding. Reden: de kosten zullen – realistische inschatting – de drempel van 215.000,00 euro overschrijden. De Vervolgopdracht WPG wordt meegenomen in deze aanbesteding.  Privacy – formatie (2de lijn en 3e Lijn): Invullen van de in 2022 goedgekeurde formatie 2e lijn (2 fte). De bestaande formatie (privacy-coördinator en FG) wordt aldus uitgebreid naar 4 fte (Feitelijk 3,6 fte). Gerealiseerd per 1 januari 2024.  Privacy – functionarissen; actief laten deelnemen met de externe inhuur.

Doel; Om na vertrek van de externe inhuur zelf de noodzakelijke expertise en ondersteuning in huis te hebben en de basis kunnen onderhouden en uitbouwen ( versterken van de 1e en 2e lijn).

FINANCIEEL  Duidelijk is dat dit veel geld gaat kosten en een langdurig traject. Hoeveel geld in totaal is (nog) onduidelijk.  De WPG audit met gedetailleerde aanbevelingen kost tussen de 70.000,- en 120.000,00. euro (opgave Deloitte). De marge wordt veroorzaakt doordat niet inzichtelijk is wat we gaan tegenkomen. Besluitvorming College en opdrachtverstrekking heeft plaatsgevonden. Het traject is gestart.  Het op basis van de aanbevelingen daadwerkelijk WPG – compliant maken van Kerkrade vergt een extra investering boven op de Audit – kosten. Het betreft “handjes” voor het beschrijven van de (bron)documenten, processen etc. Dit wordt meegenomen in de Europese aanbesteding.  Voor de AVG - compliancy is het duidelijk dat de kosten de Europese drempel van 215.000,00 zal overschrijden. We starten een Europese aanbestedingstraject.  Financiering van de AVG en uitvoeren aanbevelingen WPG wordt meegenomen in de begrotingscyclus.

TOT SLOT Een gemeente die kan aantonen AVG-en WPG compliant te werken! Inzicht in onze bedrijfsprocessen… Informatie die ook kan worden gebruikt voor informatiemanagement, Informatiebeveiliging en Documentaire Informatievoorziening (archief). EN… onze bedrijfsvoering.