1.17 RIB Jaarverslag Functionaris Gegevensbescherming 2023

RAADSINFORMATIEBRIEF

VAN HET COLLEGE VAN B&W VOOR

de gemeenteraad

CC DATUM ONDERWERP

27 augustus 2024 Jaarverslag Functionaris Gegevensbescherming 2023

Geachte gemeenteraad, In deze raadsinformatiebrief informeren wij uw gemeenteraad over het Jaarverslag van de Functionaris Gegevensbescherming 2023. Onderstaand de samenvatting met daarin de belangrijkste uitkomsten van het verslag en daarnaast in de bijlage het volledige verslag. Wij hopen u hiermee voldoende geïnformeerd te hebben. Het verslag is opgesteld door de interim Functionaris Gegevensbescherming (FG) die in 2023 deze rol bekleedde. De FG ziet als onafhankelijke interne toezichthouder toe op naleving van Algemene verordening gegevensbescherming (AVG) en Wet Politiegegevens (Wpg). De conclusie van het jaarverslag is dat de Algemene Verordening Gegevensbescherming (AVG) en de Wet Politiegegevens (WPG) op een juiste wijze binnen de gemeente Krimpenerwaard wordt toegepast. De FG doet 2 aanbevelingen in zijn jaarverslag om de toepassing verder te verbeteren. Aanbeveling 1 Verbeter de primaire datalekkennis over de breedte van de organisatie zodat datalekken vaker worden opgemerkt en intern gemeld. Verbeter ook het vervolgproces van beoordeling en verdere afhandeling van intern gemelde datalekken. Aanbeveling 2 Actualiseer het overzicht van uitgevoerde en nog uit te voeren DPIA’s. Ter informatie, een DPIA (data protection impact assessment) is een analyse van een risicovolle verwerking van persoonsgegevens.

Deze aanbevelingen zijn door de Privacy Officer (PO) en de teammanager Concern Control, waar de PO onderdeel van is, onderschreven en worden in 2024 binnen de organisatie opgepakt door het verbeteren en vergemakkelijken van de verschillende processen, het vergroten van het inzicht in de processen en met name door het bewustzijn van de medewerkers in de organisatie te verhogen door middel van trainingen en workshops.

gemeente Krimpenerwaard Postbus 51 2820 AB Stolwijk www.krimpenerwaard.nl

Bijlage: Jaarverslag FG 2023 Met vriendelijke groet, burgemeester en wethouders van Krimpenerwaard, de secretaris,

de burgemeester,

J. Hennip

ir. J. Beenakker

pag. 2/2

Jaarverslagen AVG en Wpg 2023

Jaarverslagen AVG en Wpg 2023 Auteur: Michiel Wilhelm, functionaris gegevensbescherming Datum: 7 maart 2024 Inhoudsopgave 1

2

3

Overzicht .........................................................................................................................................3 1.1

Inleidend ................................................................................................................................3

1.2

Aanbevelingen .......................................................................................................................3

1.3

Positieve punten ....................................................................................................................3

Jaarverslag AVG 2023 .....................................................................................................................4 2.1

AVG-compliancy .....................................................................................................................4

2.2

AVG-compliancy, het grote plaatje ........................................................................................4

2.3

Privacy-awareness..................................................................................................................5

2.4

Contact directie - FG ..............................................................................................................5

2.5

Actuele ontwikkelingen, chatbots, kunstmatige intelligentie ................................................5

2.6

Actuele ontwikkelingen, NIS2 ................................................................................................6

2.7

Actuele ontwikkelingen, ransomware-aanvallen ...................................................................6

Jaarverslag Wpg 2023 .....................................................................................................................7 3.1

Auditroutine ...........................................................................................................................7

3.2

Aandachtspunt .......................................................................................................................7

2

1

Overzicht

1.1

Inleidend De functionaris gegevensbescherming (FG) ziet als onafhankelijke interne toezichthouder toe op naleving van Algemene verordening gegevensbescherming (AVG) en Wet Politiegegevens (Wpg). Dit FG-jaarverslag wordt via de directie aangeboden aan het college van B&W. Het college is eindverantwoordelijke waar het gaat om de verwerking van de persoonsgegevens in de organisatie. Het college biedt het jaarverslag ter informatie aan de gemeenteraad aan. Ondergetekende is op 1 april 2023 op interim-basis als FG in dienst getreden van gemeente Krimpenerwaard. Op 1 februari 2024 is hij opgevolgd door een in vaste dienst genomen FG.

1.2

Aanbevelingen De verwerking van persoonsgegevens bij gemeente Krimpenerwaard vraagt om structurele verbetering op een tweetal vlakken. Aanbeveling 1 Verbeter de primaire datalekkennis over de breedte van de organisatie. Zodat datalekken vaker worden opgemerkt en intern gemeld. Verbeter ook het vervolgproces van beoordeling en verdere afhandeling van intern gemelde datalekken. Aanbeveling 2 Zorg voor een overzicht van uitgevoerde en nog uit te voeren DPIA’s. Dat overzicht ontbreekt waardoor de verwerkingsverantwoordelijke organisatie, gemeente Krimpenerwaard, de status van te beoordelen risicovolle verwerkingen van persoonsgegevens niet kent. Ter informatie, een DPIA (data protection impact assessment) is een analyse van een risicovolle verwerking van persoonsgegevens.

1.3

Positieve punten •

Beschikbaarheid van de directie voor contact en afspraak met de FG, wezenlijk opdat de FG zijn of haar werk goed kan doen.

•

De organisatie in de loop van 2023 van meerdere toegepaste AVG-trainingen voor de teams Sociaal Domein (uitvoering begin 2024).

•

Met de nieuw in vaste dienst genomen FG en de (al aanwezige) vaste privacy officer zijn twee belangrijke privacy-functies met ingang van het nieuwe jaar 2024 structureel bezet.

3

2

Jaarverslag AVG 2023

2.1

AVG-compliancy De verwerking van persoonsgegevens bij gemeente Krimpenerwaard kent twee AVG-issues.

2.1.1

Datalekken

Een precies aantal datalekken dat jaarlijks intern gemeld zou moeten worden bij een organisatie van de grootte van gemeente Krimpenerwaard (ongeveer 500 medewerkers) is niet bekend. Evengoed, het aantal daadwerkelijk intern over 2023 gemelde datalekken (6 in getal) moet worden gezien als te laag. Dit aantal zal in de praktijk aanmerkelijk hoger hebben gelegen. Dit betekent dat een deel van de voorgevallen datalekken niet is getoetst op noodzaak tot melden aan Autoriteit Persoonsgegevens (AP) en betrokkenen. De FG, ondergetekende, die bij afhandeling van een datalek betrokken zou moeten zijn is in maar 3 van de 6 gevallen van het datalek op de hoogte gebracht. 2023

Datalekken

Aantal intern gemelde datalekken

6

Aantal daarvan bij de Autoriteit Persoonsgegevens gemelde datalekken

1

De AVG geeft richtlijnen voor de afhandeling van datalekken. De AP controleert op het niet melden van meldplichtige datalekken. Bij overtreding kan de AP handhavende maatregelen opleggen. De signalering, interne melding en afhandeling van datalekken behoeft aanmerkelijke verbetering. Dit is aangegeven in een uitgebreid FG-advies met daarbij gevoegd een voorstel voor een aangepast datalekbeleid 2024-27. Verbeterpunten zijn kennis- en awareness rond datalekken, het meldscherm, de interne meldprocedure en het proces van afhandeling. Het is aan de organisatie dit op te pakken en hier keuzes te maken. 2.1.2 DPIA’s

Er is geen overzicht van uitgevoerde en nog uit te voeren DPIA’s. Ook bijbehorende FG-adviezen van voor 2023 zijn niet terug te vinden. Goed is dat DPIA’s worden uitgevoerd, dat signalering en begeleiding van de kant van de privacy officer plaatsvindt. Echter, een overzicht ontbreekt en daarmee een stand van zaken rond uitgevoerde en uit te voeren DPIA’s. Het is nodig dat dit er komt. 2.2

AVG-compliancy, het grote plaatje AVG-compliancy verwijst naar de mate waarin een organisatie de praktijk van het verantwoord omgaan met persoonsgegevens heeft geïmplementeerd en onderhoudt. Het is een maatstaf voor hoe goed een organisatie haar privacybeleid en -procedures heeft ontwikkeld en uitvoert.

2.2.1 AVG-compliancy volgens normenkader

In juli 2023 hebben privacy officer en FG aan de hand van een AVG-normenkader een gapanalyse uitgevoerd. Het resultaat hiervan was een percentage dat aangeeft hoe de organisatie scoort ten opzichte van de ideale situatie van volledige AVG-compliancy. Dit percentage was op dat moment 55%. Dat wil zeggen dat op dat moment bij gemeente Krimpenerwaard een ‘gat’ van 45% bestond ten opzichte van de ideale situatie van volledige AVG-compliancy.

4

2.2.2 AVG-compliancy volgens CIP-model

Op basis van het veelgebruikte CIP AVG-volwassenheidsmodel, zie onderstaande de tabel, en de uitkomst van de AVG-gapanalyse, zie de voorgaande paragraaf, kan ook een inschatting worden gemaakt van de mate van AVG-compliancy. AVG-volwassenheid 5 geoptimaliseerd verbeteren van prestaties is onderdeel van de bedrijfsstrategie 4 voorspelbaar

prestaties worden gemeten en bijgestuurd volgens PDCA-methodiek

3 vastgesteld

werkzaamheden worden organisatiebreed op vastgestelde wijze uitgevoerd

2 beheerst

werkzaamheden worden hier en daar afdelingsbreed beheerst uitgevoerd

1 informeel

werkzaamheden worden niet volgens gestandaardiseerde processen uitgevoerd

Het AVG-volwassenheidsniveau van de Krimpenerwaard-organisatie zal zich tussen 2 (beheerst) en 3 (vastgesteld) bevinden. Opmerkt moet worden dat het hoogste niveau (5) in de praktijk niet of nauwelijks voorkomt. Forse weerstand tegen de AVG, niet ongebruikelijk bij een persoonsgegevens verwerkende organisatie, is bij gemeente Krimpenerwaard niet aan de orde. 2.3

Privacy-awareness AVG-compliancy wordt gedragen door de leden van de organisatie. Het is belangrijk dat iedereen ‘privacy-bewust’ is en als een stukje geweten fungeert waar het gaat om de goede omgang met persoonsgegevens. Privacy-awareness moet onderhouden worden, voortdurend onder de aandacht blijven. AVG-kennis dient regelmatig te worden opgefrist.

2.3.1 Privacy-awareness, AVG-trainingen Sociaal Domein

Positief in dat verband is dat in de loop van 2023 vier toegepaste AVG-trainingen voor de teams Sociaal Domein (in totaal 50 medewerkers) zijn voorbereid en georganiseerd. De trainingen vinden begin 2024 plaats. Gekozen is voor een casusgerichte aanpak met inbreng van de leden van de verschillende teams, gefaciliteerd door deskundige trainers. 2.4

Contact directie - FG Het niveau van AVG-compliancy van de gemeentelijke organisatie is erg gediend met een regelmatig en open gesprek tussen directie en FG. Dit opdat de FG zijn of haar toezichthoudende taak goed kan uitvoeren. De directie van gemeente Krimpenerwaard is voor een dergelijk gesprek toegankelijk en beschikbaar gebleken. Weerkerende 3-wekelijkse afspraken in 2023 van de directeur Publiek Domein met de FG waren daarvan een voorbeeld. Aanvullende opmerking hierbij is dat de toezichthoudende en wettelijk beschreven rol van de FG een bijzondere is. De AVG stelt dat een FG geen instructies mag ontvangen met betrekking tot de uitvoering van zijn of haar toezichthoudende taken. Dat kan conflicteren met de dienstbaarheid die de directie van medewerkers (ambtenaren) kan verwachten. Dit vraagt om communicatie en om begrip van beide kanten (directie en FG). Hiervoor bestaat inmiddels een goede basis.

2.5

Actuele ontwikkelingen, chatbots, kunstmatige intelligentie Toepassingen van kunstmatige intelligentie (KI) waaronder chatbots en applicaties die gebruik maken van geavanceerde, lerende algoritmes evolueren razendsnel en bieden de gemeentelijke organisatie 5

mogelijkheden om werkzaamheden efficiënter te laten verlopen. Tegelijkertijd bestaat brede en terechte zorg over de geringe transparantie van de werking van deze algoritmes met potentieel nadelige gevolgen voor de rechten en privacybelangen van personen waaronder burgers en medewerkers. In het jaar 2023 zijn eerste stappen gezet voor het verantwoord aanhaken bij deze ontwikkelingen. 1. Een set aan richtlijnen voor het gebruik van chatbots is opgesteld en begin 2024 op het intranet van de gemeente geplaatst. 2. Een FG-memo over de omgang met geavanceerd algoritimes en kunstmatige intelligentie is opgesteld. 3. Een eerste versie van een gemeentelijk algoritme-register is gemaakt. 2.6

Actuele ontwikkelingen, NIS2 Voorbereidingen voor de inwerkingtreding van de nieuwe Europese cyberbeveiligingsrichtlijn NIS2 en de gevolgen ervan voor de gemeente per oktober 2024 zijn in 2023 van start gegaan. Gemeenten worden beschouwd als ‘essentiële entiteiten’ volgens de NIS2-richtlijn. Deze verplicht om passende maatregelen te nemen om cyberbeveiliging te waarborgen, om risicobeoordelingen uit te voeren, om incidenten te melden, om te voldoen aan beveiligingsnormen.

2.7

Actuele ontwikkelingen, ransomware-aanvallen In 2023 hebben gemeenten van alle sectoren het meest te maken gehad met cyberincidenten (37 landelijk geregistreerde cyberincidenten). Hierbij zijn gemeenten in Zuid-Holland en Noord-Brabant het hardst geraakt (11 geregistreerde incidenten). In zijn algemeenheid neemt het aantal cyberincidenten toe. De kans dat gemeente Krimpenerwaard op enig moment te maken krijgt met een cyberincident is reëel. Het is niet meer de vraag of als wel wanneer dit zal gebeuren. De impact van een dergelijk incident op de gemeentelijke organisatie en de dienstverlening voor burgers is onveranderlijk groot. Vanuit een oogpunt van risicomanagement moet de mogelijkheid van een geslaagde cyberaanval worden gezien als een ernstig incident. Bij het optreden van een cyberincident kan de gemeente terugvallen op 24-uurs crisisondersteuning van het computer security incident response team (CERT) van de Informatiebeveiligingsdienst (IBD). Daarnaast valt voorbereiding op het mogelijke optreden van een cyberincident zeer aan te raden. Wat hier de precieze status bij gemeente Krimpenerwaard is enigszins onduidelijk. De indruk bestaat echter dat gemeente Krimpenerwaard hierin verder zou kunnen gaan dan nu het geval is. Een voorbeeld daarvan is het ‘oefenen van een cybercrisis zonder crisis’.

Wat komt er op de gemeente af als computers het door een hack niet doen, en voorlopig niet zullen doen? Wat als dit, zoals gebruikelijk, ’s avonds en/of in het weekend gebeurt? Is een papieren bellijst met de leden van crisisteam bij die leden aanwezig? Dit kan gesimuleerd worden met tabletop-oefeningen (games) zoals de IBD en het Centrum Informatiebeveiliging en Privacybescherming (CIP) deze aanbieden. Het zorgt voor voorbereiding en leren voor als het een keer werkelijk mis gaat.

6

3

Jaarverslag Wpg 2023

3.1

Auditroutine Verwerkingen van persoonsgegevens in het kader van opsporing van strafbare feiten door boa’s vallen onder de Wet Politiegegevens (Wpg), het Besluit Politiegegevens (Bgp) en het Besluit Politiegegevens buitengewoon opsporingsambtenaren (Bpg boa). Ze bevinden zich buiten de reikwijdte van de AVG. De Wpg stelt een jaarlijks door de FG opgesteld jaarverslag verplicht. In 2022 is bij gemeente Krimpenerwaard de eerste voor werkgevers van Boa’s verplichte 4-jaarlijkse externe audit uitgevoerd. Opvolging in 2023, het opstellen van een verbeterplan op basis van de uitkomsten van de externe audit en het vervolgens laten uitvoeren van een hercontrole door een externe partij, heeft niet plaatsgevonden. Een inhaalslag is ingezet aan het begin van 2024. De hercontrole is uitgevoerd, deze is tijdig, voor de verplichte datum 1 maart 2024, bij de Autoriteit Persoonsgegevens aangeleverd. Goede stap in 2023 is geweest de aanschaf van een Wpg-normenkader. Met deze digitale set van normen kan objectief de mate van compliance van de organisatie met de Wpg worden getoetst. Dit geeft inzicht in nodige verbeteringen van het proces. De resultaten van de eerste externe audit (2022) zijn in 2023 in het Wpg-normenkader ingevoerd. Dit kan beschouwd worden als een nulmeting, een benchmark waartegen de komende jaren de mate van Wpg-compliancy en de verdere ontwikkeling daarvan afgezet kan worden.

3.2

Aandachtspunt Dat werkgevers van Boa’s, zoals gemeenten, op gang moeten komen met het implementeren van de auditroutine (een 4-jaarlijks een externe audit, een jaarlijkse interne audit in de tussenliggende jaren) is eerder regel dan uitzondering. Aandachtspunt is evengoed dat een vaste cyclus van het uitvoeren van een jaarlijkse audit bij gemeente Krimpenerwaard beter wordt geagendeerd en vorm krijgt.

7