1.22 Bijlage - Jaarverslag FG (AVG) 2022

Jaarverslag FG 2022 Algemene verordening gegevensbescherming (AVG)

Samenvatting Het jaar 2022 was een interessant en druk jaar met betrekking tot de Algemene Verordening Gegevensbescherming (hierna: AVG). Dit jaar stond volledig in het teken van inzicht krijgen in hetgeen wat al dan niet is gedaan om vervolgens daarmee aan de slag te kunnen gaan. Op dit moment is grotendeels inzichtelijk waar de gemeente Krimpenerwaard staat in het kader van de AVG. Daarnaast is er erg hard gewerkt en zijn er in een korte tijd mooie stappen gemaakt. Echter, moet er nog wel veel gebeuren.

De verantwoordelijkheden voor de gemeente Krimpenerwaard voor het verwerken van persoonsgegevens van burgers liggen in hoofdlijnen bij drie bestuursorganen: de burgemeester, het college van B&W en de gemeenteraad. Het college is verantwoordelijk voor het merendeel van de verwerkingen van persoonsgegevens in onze gemeente. Dit brengt verplichtingen met zich mee. In dit jaarverslag staat beschreven welke acties en maatregelen de gemeente in 2022 heeft genomen om de doelstellingen en beginselen uit de AVG te behalen en te waarborgen. Ook bevat dit document aandachtspunten en actiepunten voor het jaar 2023. Adequaat omgaan met persoonsgegevens is een blijvend proces en zal dan ook aandacht blijven vergen van zowel bestuur, management als medewerkers. Samenvattend heeft de gemeente in 2022, gezien de beperkte capaciteit, veel werk verzet op het gebied van gegevensbescherming in het kader van de AVG. Zo is in ieder geval (grotendeels) inzichtelijke welke stappen er nog genomen moeten worden om aan de AVG te voldoen en daarnaast zijn er diverse documenten opgesteld welke gereed zijn voor vaststelling. Naar verwachting worden deze documenten in het eerste kwartaal van 2023 op juiste wijze vastgesteld. Daarna moeten de stukken nog wel worden geïmplementeerd en worden ingebed in de organisatie.

Zodra dat is gebeurd, ligt er een mooie basis om verder te bouwen om aantoonbaar aan de AVG te voldoen. Daarnaast zijn ook de eerste stappen gezet met betrekking tot de bewustwording in de organisatie. Naast dat er afgelopen jaar veel werk is verzet, moet er nog wel een hoop gebeuren om aantoonbaar aan de AVG te voldoen. De aanbeveling voor 2023 is om de focus te leggen op de volgende zaken: implementatie en inbedding opgestelde stukken, bewustwording, het op juiste wijze vullen van het verwerkingsregister, uitvoeren van DPIA’s en duidelijke functiescheiding Functionaris Gegevensbescherming en Privacy Officer. Daarnaast is het ook belangrijk dat de FG op juiste wijze wordt gepositioneerd in de organisatie.

Inhoudsopgave Samenvatting ........................................................................................................................................... 2 Inleiding ................................................................................................................................................... 4 Leeswijzer ............................................................................................................................................ 4 Deel 1:

Terugblik op 2022 .................................................................................................................... 5

1.

Beleid ........................................................................................................................................... 5

2.

Processen .................................................................................................................................... 6

3.

Organisatorische inbedding ......................................................................................................... 6

4.

Rechten van betrokkenen ............................................................................................................ 8

5.

Samenwerking ............................................................................................................................. 8

6.

Beveiliging ................................................................................................................................... 9

7.

Verantwoording.......................................................................................................................... 10

8.

Conclusie ................................................................................................................................... 10

Deel 2:

Vooruitkijken naar 2023 ......................................................................................................... 12

1.

Bewustwording .......................................................................................................................... 12

2.

Organisatie ................................................................................................................................ 12

3.

Implementatie en inbedding beleid en procedures.................................................................... 13

4.

Verwerkingsregister ................................................................................................................... 13

5.

DPIA’s ........................................................................................................................................ 13

6.

Toezicht FG 2023 en verslaglegging ......................................................................................... 13

Bijlage 1

Overzicht uitgevoerde DPIA’s ........................................................................................... 14

Bijlage 2

Overzicht rechten van betrokkenen .................................................................................. 15

Bijlage 3

Overzicht datalekken ........................................................................................................ 16

Inleiding De gemeente Krimpenerwaard is zich steeds meer bewust van het belang van het beschermen van persoonsgegevens van haar burgers. We verwerken immers bij de uitoefening van onze taken veel (gevoelige) gegevens van veel (kwetsbare) burgers in veel verschillende domeinen. Daarnaast staan persoonsgegevens van andere burgers, medewerkers, externen en zakenrelaties op de radar. In de AVG wordt het wettelijk kader beschreven voor het verwerken van persoonsgegevens. Zo dienen we transparant te zijn over welke persoonsgegevens we verwerken, voor welk doel en welke grondslag. Tijdens de levensduur van persoonsgegevens moeten ze goed worden beveiligd, mogen ze niet zomaar voor een ander doel worden verwerkt en moeten ze na afloop worden vernietigd of geanonimiseerd. Daarnaast hebben we ook te maken met tal van privacyregels in sectorspecifieke wetgeving. Dit alles heeft gevolgen voor de inrichting van processen en systemen in en van onze gemeente. Onder de verantwoordelijkheid van zowel het college van B&W als de gemeenteraad vindt een groot aantal verwerkingen van persoonsgegevens plaats. Daar vindt externe en interne toezicht op plaats. De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacyregels in Nederland. Daarnaast dient de gemeente te beschikken over een interne onafhankelijke toezichthouder: de Functionaris Gegevensbescherming (FG).

Op 1 april 2022 hebben de bestuursorganen van onze gemeente mevrouw S. van den Broek aangesteld als FG. De FG ziet erop toe dat de AVG intern wordt nageleefd. Het college dient erop toe te zien dat de FG naar behoren en tijdig wordt betrokken bij alle gelegenheden die verband houden met de bescherming van persoonsgegevens. Daarnaast dient de FG ondersteund te worden door haar toegang te verschaffen tot persoonsgegevens en verwerkingen daarvan en haar de benodigde middelen ter beschikking te stellen voor het vervullen van de taak en het in standhouden van haar deskundigheid. De uitvoerende taken liggen bij de Privacy Officer. De FG brengt jaarlijks een verslag uit aan de verwerkingsverantwoordelijke van haar werkzaamheden, bevindingen en aanbevelingen.

Leeswijzer Dit jaarverslag bestaat uit twee onderdelen. In het eerste deel wordt teruggekeken naar het jaar 2022. Wat heeft de gemeente bereikt op het gebied van gegevensbescherming? Welke maatregelen zijn er genomen om te voldoen aan de AVG? In het tweede deel worden aanbevelingen gedaan om gegevensbescherming en privacy in het jaar 2023 naar een hoger niveau te tillen. Hierbij wordt waar nodig tevens aandacht geschonken aan de technische en organisatorische middelen die nodig zijn om dit hogere niveau te bereiken. De thema’s die in dit rapport worden genoemd zijn afkomstig uit het AVG borgingsproduct van de Informatiebeveiligingsdienst (IBD). Er worden zeven thema’s onderscheiden: 1. 2. 3. 4. 5. 6. 7.

Beleid Processen Organisatorische inbedding Rechten van betrokkenen Samenwerking Beveiliging Verantwoording

In bijlage 1 staat per thema aangegeven in hoeverre de gemeente de criteria reeds heeft geïmplementeerd en de verwachtingen voor 2023.

Deel 1:

Terugblik op 2022

Na het vertrek van de vorige FG/Privacy Officer in januari 2022 heeft het toezicht en de uitvoering even stil gelegen. Per 1 april 2022 is de nieuwe FG gestart binnen de gemeente Krimpenerwaard. Op dat moment was er binnen de organisatie nog geen Privacy Officer aanwezig. Hierdoor is de overdracht wat betreft de stand van zaken en de aantoonbaarheid m.b.t. de AVG heel beperkt geweest. Sinds juli 2022 is er ook een interim Privacy Officer gestart. Dat is ook het moment geweest dat beide functies weer waren ingevuld en er weer stappen gemaakt konden worden. Het jaar 2022 stond vooral in het teken van inzicht krijgen in hetgeen in het kader van de AVG al dan niet is gedaan en op basis daarvan aan de slag te gaan. In dit deel van de rapportage zal worden teruggeblikt op hetgeen de gemeente in 2022 heeft bereikt en welke werkzaamheden zijn verricht.

1. Beleid Het privacybeleid is een kader waarin de gemeente Krimpenerwaard aangeeft aan welke principes zij zich houdt bij de verwerking van persoonsgegevens. Het laat zien hoe de gemeente omgaat met persoonsgegevens en welke maatregelen zij treft om te voldoen aan de relevante wet- en regelgeving.

Bevindingen: - Privacybeleid: De gemeente Krimpenerwaard heeft een privacybeleid welke is opgesteld en vastgesteld in 2017. Inmiddels is dit document niet meer actueel en volledig. Daarnaast is het privacybeleid niet algemeen bekend en wordt de inhoud niet actief uitgedragen. -

Privacyverklaringen: Er zijn 3 privacyverklaringen aanwezig:  Privacyverklaring gemeente Krimpenerwaard algemeen  Privacyverklaring gemeente Krimpenerwaard Sociaal Domein  Privacyverklaring werknemers Deze documenten zijn inmiddels niet meer actueel en/of volledig.

-

Cookieverklaring: Op de website van de gemeente Krimpenerwaard wordt aangegeven dat er gebruik wordt gemaakt van cookies en vervolgens wordt er verwezen naar onze privacyverklaring. In de huidige privacyverklaring is echter niets opgenomen over cookies.

Deze bevindingen zijn halverwege 2022 geconstateerd. Na deze constatering is er heel erg hard gewerkt om deze zaken op orde te krijgen. Op dit moment liggen de volgende nieuwe of herziene documenten gereed voor vaststelling en implementatie: 1. Privacybeleid 2. Privacyverklaringen: a. Privacyverklaring gemeente Krimpenerwaard algemeen b. Privacyverklaring gemeente Krimpenerwaard Sociaal Domein c. Privacyverklaring werknemers en sollicitanten 3. Cookieverklaring Naar verwachting zullen deze documenten voor het einde van het eerste kwartaal van 2023 op juiste wijze worden vastgesteld. Daarna dienen de documenten nog te worden geïmplementeerd / ingebed in de organisatie.

2. Processen De verwerkingen van persoonsgegevens van de gemeente Krimpenerwaard dienen te voldoen aan de AVG. Dit houdt in dat de werkprocessen die persoonsgegevens bevatten getoetst en ingericht moeten worden volgens de volgende beginselen: behoorlijkheid, transparantie, doelbinding, dataminimalisatie, opslagbeperking, juistheid, integriteit en vertrouwelijkheid. Daarnaast kan de gemeente in gevallen verplicht zijn om een gegevensbeschermingseffectbeoordeling (DPIA) uit te voeren.

Bevindingen: - Werkprocessen: De gemeente heeft deels inzichtelijk welke werkprocessen er plaatsvinden waarbij persoonsgegevens worden verwerkt. De processen die wel inzichtelijk zijn, voldoen nog niet (volledig) aantoonbaar aan de beginselen van de AVG. -

Verwerkingsregister: De gemeente heeft een verwerkingsregister die aan de eisen uit de AVG voldoet. Daarnaast is er afgelopen jaar ook een proces opgesteld voor het beheren van het verwerkingsregister. Dit proces dient nog wel definitief te worden vastgesteld. Halverwege dit jaar voldeed het verwerkingsregister nog niet aan alle vereisten uit de AVG. Op advies van de FG is het register vervolgens aangepast. Het gevolg daarvan is dat de verwerkingen die al eerder waren opgenomen in het register, niet volledig (en of onjuist) zijn. Na aanpassing zijn er ook geen wijzigingen meer doorgevoerd of nieuwe verwerkingen opgenomen in het register.

-

DPIA’s Voor 2022 zijn er geen DPIA’s uitgevoerd. Uit gesprekken is naar voren gekomen dat er wel DPIA’s zouden zijn uitgevoerd, maar de stukken waar vervolgens naar werd verwezen, waren niet juist en/of onvolledig. Op dit moment is er ook geen inzicht voor welke processen er nog een DPIA moet worden uitgevoerd. Voor het uitvoeren DPIA’s zijn er het afgelopen jaar een aantal documenten opgesteld. De volgende documenten zijn gereed, maar moeten nog wel definitief worden vastgesteld en geïmplementeerd:  Instructies uitvoeren DPIA (procedure)  Pre-DPIA  Format DPIA

In bijlage 2 is een overzicht opgenomen van de uitgevoerde DPIA’s voor het jaar 2022.

3. Organisatorische inbedding Voor een goede en juiste uitvoering is het van belang dat eenieder binnen de organisatie op de hoogte is van de beginselen van de AVG en het belang van privacy. Organisatorische inbedding betekent het toewijzen van taken, verantwoordelijkheden en bevoegdheden en bewustzijn creëren. Bevindingen: - FG (benoeming, positie en taken): Benoeming:  In de periode januari 2022 tot en met maart 2022 was er tijdelijk geen FG aanwezig.  Per 1 april 2022 is mevr. S. (Sabina) van den Broek benoemd tot FG (AVG & Wpg) van de gemeente Krimpenerwaard. Positie en taken:  Uit ervaring is gebleken dat zowel voor het management als de collega’s op de werkvloer niet altijd duidelijk is wat de taken en positie van de FG zijn. Afgelopen jaar is daar wel op verschillende manieren aandacht aan besteed (intranet, presentaties en bewustwordingssessies), maar dat heeft nog niet tot het gewenste resultaat geleid.

-

Capaciteit Privacy Officer:  In de periode januari 2022 tot en met juni 2022 was er tijdelijk geen Privacy Officer aanwezig. In juli 2022 is er een Privacy Officer a.i. voor 24 uur (per week) gestart.  De vacature voor een Privacy Officer in vast dienstverband staat nog steeds open voor 36 uur (per week).  Gezien de hoeveelheid werk wat er ligt, is 24 uur per weer veel te weinig. Er moeten iedere keer keuzes worden gemaakt wat er wel of niet opgepakt gaat worden. Daarnaast blijven zaken veel te lang liggen, waardoor andere collega’s niet verder kunnen met hun werk.  In 2022 werd er te vaak een beroep gedaan op de FG i.v.m. met de beperkte aanwezigheid en bereikbaarheid van de Privacy Officer. Het gaat dan vooral om uitvoerende vraagstukken, die gezien de functiescheiding echt bij een Privacy Officer horen. Het is dus niet de bedoeling dat doordat er te weinig capaciteit zit bij de Privacy Officer, deze werkzaamheden voor rekening komen voor de FG.  Advies: de FG heeft al meerdere malen advies uitgebracht om de beschikbare interim capaciteit te verhogen dan wel binnen het team achtervang te regelen. Daar is verder niets mee gedaan i.v.m. het beschikbare budget en werkdruk andere collega’s.  Risico’s: o In geval van een datalek dient er direct gehandeld te worden.

Door de beperkte capaciteit van de Privacy Officer, loop je als organisatie het risico dat er niet tijdig wordt gehandeld dan wel er een melding wordt gedaan bij de Autoriteit Persoonsgegevens en de betrokkenen (indien nodig). Het te laat handelen / melden kan boetes, reputatieschade en identiteitsfraude als gevolg hebben. o Doordat vraagstukken lang blijven liggen, loop je het risico dat medewerkers in het vervolg de “privacycheck” vermijden om zo wel snel verder te kunnen gaan waar zij mee bezig zijn. Gezien het feit dat medewerkers zich steeds meer bewust worden van het belang van gegevensbescherming, zou dit heel erg zonde zijn. o Het niet voldoen aan bepalingen uit de AVG levert in z’n algemeen de volgende risico’s op:  Boete: De AP kan organisaties die de AVG overtreden een boete opleggen van maximaal 20 miljoen euro of 4% van de wereldwijde jaaromzet.  Reputatieschade  Identiteitsfraude (mogelijk)

-

Taken en verantwoordelijkheden gegevensbescherming (AVG):  De algemene indruk is dat het onderwerp gegevensbescherming (AVG) als lastig wordt ervaren en het meer het “feestje” en de verantwoordelijkheid is van de Privacy Officer en FG. Uiteindelijk is het college verantwoordelijk voor de uitvoering van de AVG. Het is belangrijk dat medewerkers en het management weten dat zij daar zelf ook een belangrijke rol in spelen. Het is daarbij ook echt van belang dat het managent het belang van gegevensbescherming en hetgeen er in het privacybeleid is opgenomen ook daadwerkelijk uitdraagt. Alleen door het met elkaar te doen en het belang van gegevensbescherming in te zien en daarnaar te handelen, kun je mooie stappen maken.

-

Kennis en bewustzijn:  Begin dit jaar leek de kennis en bewustzijn op het gebied van de AVG op de werkvloer nog ver te zoeken. Naar mate er meer aandacht werd besteed aan dit onderwerp en de Privacy Offcier en FG zichtbaar werden binnen de organisatie, zag je de bewustwording bij een klein deel van de organisatie wat groeien.  Het afgelopen jaar zijn er de eerste stappen gezet om de kennis en bewustzijn op de werkvloer te vergroten: o Er is een awerenesstool aangeschaft waar medewerkers verplicht aan moeten deelnemen. De implementatie en start is in 2023; o Intranetpagina is up to date; o In november en december (2 maal) is er door de FG en Privacy Officer de “Basiscursus Privacy (AVG)” verzorgd. Door de vele aanmeldingen, wordt deze training in 2023 weer meerdere malen aangeboden.

o

Aandacht besteed aan de implementatie van het nieuwe datalekproces.

4. Rechten van betrokkenen De gemeente dient degene van wie zij de persoonsgegevens verwerkt (betrokkene) zowel actief als passief te informeren over het verwerken, de wijze van het verwerken, de grondslag en de maatregelen die zij neemt om onrechtmatige toegang en - verwerking te voorkomen. Daarnaast stelt de AVG betrokkenen in staat om middels een aantal rechten controle en invloed uit te oefenen over zijn of haar persoonsgegevens. Bevindingen: - Procedure rechten van betrokkenen:  Afgelopen jaar is er gewerkt aan het opstellen van een procedure afhandeling rechten van betrokkenen. Dit document is gereed, maar moet nog wel definitief worden vastgesteld en geïmplementeerd.  Er is een register aanwezig waarin alle verzoeken worden geregistreerd. De inhoudelijke behandeling van een verzoek wordt opgenomen in het zaaksysteem.

-

Transparantie verwerking persoonsgegevens:  Op dit moment moeten de nieuwe privacyverklaringen nog worden vastgesteld en vervolgens worden geïmplementeerd. Aangezien veel processen nog niet op de juiste wijze in kaart zijn gebracht, kan niet worden vastgesteld of de betrokkenen juist en tijdig worden geïnformeerd over de verwerking van hun persoonsgegevens.  Op de website wordt in onze (oude) privacyverklaring wel verwezen naar welke rechten de betrokkenen hebben, maar als zij vervolgens een verzoek willen indienen is het niet duidelijk via welke weg dat moet. Ook is de privacyverklaring zelf lastig te vinden op de website.  Aangezien de procedures nog niet volledig aan de beginselen van de AVG voldoen en ons verwerkingsregister nog niet (volledig) gevuld is, kan de gemeente ook niet op een transparante manier aantonen welke gegevens er per proces/verwerking worden verwerkt. Daarom is het van belang dat de processen goed in kaart worden gebracht en daarbij rekening houden met de beginselen uit de AVG. Dan kan vervolgens op de juiste manier het verwerkingsregister worden ingevuld.

In bijlage 3 is een overzicht opgenomen van het aantal verzoeken van betrokkenen voor het jaar 2022.

5. Samenwerking De gemeente Krimpenerwaard werkt op meerdere beleidsterreinen, in verschillende bedrijfsfuncties, in diverse rollen en hoedanigheden samen met (mede) overheden en private organisaties. In veelvoorkomende gevallen zal er sprake zijn van een verwerking van persoonsgegevens tussen partijen: ontvangen van persoonsgegevens, verzenden van persoonsgegevens, maar ook het opslaan van en inzage hebben in persoonsgegevens valt onder dit begrip. Deze verwerkingen dienen dan ook te voldoen aan de AVG. De gemeente Krimpenerwaard dient dan ook afspraken te maken met deze andere partijen. Bevindingen: - Inzicht externe partijen: De organisatie heeft op dit moment niet inzichtelijk met welke externe partijen er sprake is van het verwerken van persoonsgegevens. Er is geen contractmanagementsysteem of CRMsysteem aanwezig waar alle samenwerkingspartners / contracten op een eenduidige wijze zijn opgenomen. Op dit moment worden contracten opgenomen in het zaaksysteem Djuma. Echter, is er in dat systeem niet goed terug te vinden met welke externe partijen er overeenkomsten zijn gesloten en al helemaal niet welke partijen daarvan persoonsgegevens verwerken. Daarnaast is ook niet alles vastgelegd in Djuma.

In 2022 is er wel een start gemaakt om inzicht te krijgen welke externe partijen er persoonsgegevens verwerken binnen het Sociaal Domein.

-

Afspraken met verwerkers, gezamenlijke verwerkingsverantwoordelijke en zelfstandig verwerkingsverantwoordelijke: Aangezien er op dit moment geen duidelijk overzicht is welke externe partijen er allemaal persoonsgegevens van de gemeente verwerken, is ook niet duidelijk of met al deze partijen duidelijke en juiste afspraken zijn gemaakt in de vorm van een verwerkersovereenkomst dan wel gegevensuitwisselingsovereenkomst. Overeenkomsten: De gemeente moet de VNG standaard verwerkersovereenkomst verplicht gebruiken en er mogen geen wijzigingen in worden aangebracht. Mocht er toch van worden afgeweken, dient dit goed verantwoord te worden en opgenomen te worden in de gemeentelijke jaarrapportage. Sinds 1 april wordt dit model ook standaard door de gemeente Krimpenerwaard gebruikt.

Voor de kwalificatie van een externe partij en om te bepalen welke afspraken daarmee dienen te worden gemaakt, is er afgelopen jaar een “werkinstructie verwerkersovereenkomsten” opgesteld. Dit document is gereed, maar moet nog wel definitief worden vastgesteld en geïmplementeerd. Naar verwachting zal er meer inzicht komen in de externe partijen en de al dan niet gemaakte afspraken met deze partijen zodra de processen goed in kaart zijn gebracht en het verwerkingsregister op juiste wijze wordt ingevuld. Vervolgens kan er ook worden beoordeeld of de al eerder gesloten overeenkomsten nog up to date zijn.

6. Beveiliging Vanuit het algemene behoorlijkheidsbeginsel, het integriteitsbeginsel en het vertrouwelijkheidsbeginsel is het essentieel dat de gemeente Krimpenerwaard passende technische en organisatorische maatregelen neemt ter beveiliging van persoonsgegevens. Daarnaast geldt er onder de AVG een meldplicht datalekken. Dit houdt in dat incidenten – waaronder inbreuken – op de beveiliging onder omstandigheden gemeld dienen te worden aan de AP en/of de betrokkene(n). Bevindingen: - Datalekken:  In oktober 2022 is er een nieuw beleid en procedure (Incidentmanagement en responsebeleid 2022) met betrekking tot datalekken vastgesteld. Hier is ook aandacht aan besteed op het intranet. Daarnaast wordt het onderwerp datalekken (wat is een datalek (voorbeelden) en de procedure) uitvoerig behandeld tijdens de Basiscursus.  Er is een intern datalekregister en de dossiers zelf worden vastgelegd in het zaaksysteem.  Zaken die zijn opgevallen: o In de periode januari 2022 tot augustus 2022 zijn er geen datalekken gemeld. o Voor veel collega’s is niet altijd duidelijk wat precies een datalek is en hoe het proces verloopt. o Diverse collega’s hebben aangegeven bang te zijn om een datalek te melden omdat zij bang zijn voor arbeidsrechtelijke gevolgen of aansprakelijkstelling. -

Informatiebeveiliging:  Uit gesprekken met de Security Officer is gebleken dat de informatiebeveiliging (autorisatie beheer, logging etc.) rondom het Sociaal Domein aardig op orde is. Dit wordt ook periodiek door externe audits gecontroleerd.  De informatiebeveiliging rondom de andere domeinen is voor nu nog niet helemaal inzichtelijk. Dat zal in 2023 nader worden onderzocht.

-

Privacy by Design & Privacy by Default:  Er is aangegeven de verwerkingen zodanig worden ingericht dat er rekening wordt gehouden met de beginselen van privacy by design en privacy by default. Uit onderzoek blijkt dat dit niet in een beleid of procedure is vastgelegd en ook niet aantoonbaar is.  In het nieuwe privacybeleid (moet nog worden vastgesteld) wordt hier wel aandacht aan besteed.

In bijlage 4 is een overzicht opgenomen van het aantal datalekken in 2022.

7. Verantwoording De AVG legt de verantwoordelijkheid bij de organisatie zelf om aantoonbaar te maken dat deze voldoet aan de privacyregels. Door te voldoen aan de verantwoordingsplicht, levert de organisatie een belangrijke bijdrage aan de bescherming van het grondrecht van mensen op privacy. Dit betekent dat het college van B&W aan moet kunnen tonen dat de verwerkingen van persoonsgegevens voldoen aan de beginselen van de AVG en aan de relevante wet- en regelgeving.

Bevindingen: - Aantoonbaarheid: Na vaststelling van de stand van zaken met betrekking tot de AVG is duidelijk geworden dat de organisatie grotendeels van nul af aan moet beginnen om vervolgens weer te kunnen gaan bouwen. Het privacybeleid en de privacyverklaringen waren verouderd en procedures ontbraken. Daarnaast was er weinig vastgelegd om te voldoen aan de aantoonbaarheid. De focus voor 2022 was vooral om een goede basis vast te leggen. Denk daarbij aan op opstellen van een nieuw privacybeleid, de privacyverklaringen, cookieverklaring en andere relevante procedures en formats. Aangezien deze stukken nog niet zijn vastgesteld en geïmplementeerd, kan de organisatie ook nog niet aan de aantoonbaarheid voldoen. -

Verslaglegging FG: Afgelopen jaar is de FG één keer (oktober) aangeschoven bij het Directie Team om de stand van zaken met betrekking tot de AVG te bespreken.

-

Inzichtelijk stand van zaken AVG: De organisatie heeft grotendeels inzichtelijk van hetgeen er al dan niet moet gebeuren om aan de AVG te voldoen.

8. Conclusie In 2022 heeft de gemeente Krimpenerwaard heel wat werk verzet om de inzichtelijk te krijgen waar de organisatie staat met betrekking tot de AVG en wat er al dan niet nog moet gebeuren. Afgelopen jaar zijn er veel documenten opgesteld en zijn gereed voor vaststelling. Naar verwachting zullen deze documenten in het eerste kwartaal van 2023 op juiste wijze worden vastgesteld. Vervolgens dienen deze stukken nog wel te worden geïmplementeerd en worden ingebed in de organisatie. Deze stukken vormen een goede basis om vanuit daar verder te gaan bouwen om aantoonbaar te kunnen voldoen aan de AVG. Daarnaast zijn er ook goede eerste stappen gezet als het gaat om bewustwording en is er veel vraag naar de “Basistraining Privacy (AVG)”. In het kader van bewustwording is er ook een awerenesstool aangeschaft welke in 2023 verplicht wordt gesteld voor alle medewerkers binnen de organisatie. Naast dat er afgelopen jaar erg hard gewerkt is voor het leggen van een basis, moet toch nog een hoop gebeuren om aantoonbaar te kunnen voldoen aan de AVG. In het tweede deel van de rapportage zullen aanbevelingen worden gedaan om gegevensbescherming daadwerkelijk in te bedden in de organisatie.

Overzicht opgestelde documenten (beleid, processen, instructies, formats etc.) 2022

Document Incidentmanagement en responsebeleid Privacybeleid Privacyverklaringen Cookieverklaring Procedure rechten van betrokkenen Procedure DPIA Model DPIA Model Pre-DPIA Procesbeschrijving beheren verwerkingsregister Proces verwerkersovereenkomsten

Vastgesteld Oktober 2022 Verwachting Q1 2023 Verwachting Q1 2023 Verwachting Q1 2023 Verwachting Q1 2023 Verwachting Q1 2023 Verwachting Q1 2023 Verwachting Q1 2023 Verwachting Q1 2023 Verwachting Q1 2023

Deel 2:

Vooruitkijken naar 2023

Gegevensbescherming onderdeel laten zijn van de processen en systemen van de organisatie, en daarmee aantoonbaar voldoen aan privacywetgeving, is een continu proces. Het vraagt om structurele borging van dit onderwerp. Waar het jaar 2022 in het teken stond van inzicht verkrijgen in de stand van zaken en het beginnen met het leggen van een mooie basis, zal in 2023 met name de implementatie en inbedding van de opgestelde documenten, bewustwording en het vullen van het verwerkingsregister centraal staan. Daarnaast zijn er ook nog wat andere zaken die de nodige aandacht vragen. Hieronder zijn de aanbevelingen voor het jaar 2023 opgenomen.

1. Bewustwording -

-

Bewustwording algemeen: In 2022 zijn er al twee basistrainingen verzorgd, waarbij je ziet dat dat al een positief effect heeft gehad op een kleine groep medewerkers. Voor 2023 is het belangrijk dat er structureel aandacht wordt besteed aan de bewustwording van privacy binnen de organisatie. Een aanbeveling is dat iedere nieuwe medeweker die start binnen de gemeente verplicht de basistraining volgt. Datalekken: In 2022 is er een nieuw beleid en proces vastgesteld m.b.t. datalekken. Je ziet dat mensen die de basistraining hebben gevolgd, daarna in staat zijn om datalekken te herkennen en actie te ondernemen. Voor de overige medewerkers is het nog lastig om een datalek te herkennen en vervolgens de juiste route te bewandelen. Het is belangrijk dat hier in 2023 nog de nodige aandacht aan wordt besteed. Het niet of niet tijdig melden van een datalek brengt namelijk de nodige risico’s met zich mee. Ongeacht de ernst van een datalek, moet deze altijd worden opgenomen in het interne datalekregister.

2. Organisatie -

-

-

-

Visie en meerjarenplan: Het is belangrijk dat je als organisatie een duidelijke visie hebt met betrekking tot gegevensbescherming en het belang daarvan ook wordt uitgedragen door het management. Daarnaast is het verstandig om een meerjarenplan op te stellen om duidelijk aan te geven waar je op het gebied van gegevensbescherming als organisatie naartoe wenst te gaan. Duidelijke functiescheiding Functionaris Gegevensbescherming en Privacy Officer: In de organisatie is het voor de medewerkers vaak niet duidelijk welke taken er onder de FG vallen en welke onder de Privacy Officer. De FG wordt regelmatig benaderd voor vraagstukken die eigenlijk bij de Privacy Officer horen. Daarnaast wordt er ook vaak een beroep gedaan op de FG omdat de Privacy Officer niet bereikbaar is i.v.m. de beperkte beschikbaarheid en er geen achtervang aanwezig is. In het kader van functiescheiding en de onafhankelijke positie van de FG, is dit niet wenselijk. Positionering FG: Op dit moment is de Functionaris Gegevensbescherming ondergebracht in het team Juridische Zaken en valt daarbij onder de aansturing van de Teammanager van dat team. Om de autonomie en onafhankelijkheid van de FG te waarborgen, is dat niet wenselijk. De FG moet binnen de gemeentelijke organisatie gepositioneerd worden op een plaats die de autonomie en onafhankelijkheid van de FG waarborgt.

Het ligt voor de hand om voor de FGfunctie een staffunctie in te richten, zonder enige inbedding in de hiërarchie. Dit betekent dat de FG gepositioneerd kan worden onder het hoogste bestuurlijke gezag. Een voorbeeld kan worden genomen aan de positionering van de gemeentelijke concerncontroller. De aanbeveling om hier in 2023 goed naar te kijken en te zorgen dat de FG op de juiste wijze wordt gepositioneerd in de organisatie. Capaciteit Privacy Officer Op dit moment heeft de organisatie een interim Privacy Officer, die 24 uur in de week werkzaam is. Gezien de stand van zaken op het gebied van gegevensbescherming (AVG), de hoeveelheid werk dat nog verzet moet worden om aantoonbaar aan de AVG te kunnen voldoen en de losse vraagstukken uit de organisatie, is 24 uur per week veel te weinig. Door de beperkte capaciteit, loop je als organisatie het risico dat datalekken niet tijdig worden

opgepakt/gemeld danwel dat je alleen maar bezig bent met het blussen van brandjes en er geen tijd over is om echt te kunnen bouwen. Doordat je bij de medewerkers meer bewustzijn gaat creëren, komt er ook veel meer werk op de Privacy Officer af. Het is niet de bedoeling dat als medewerkers eindelijk de juiste weg weten te bewandelen, vervolgens hier weer vanaf gaan zien omdat vragen niet of niet tijdig opgepakt kunnen worden waardoor zij niet veder kunnen, met alle gevolgen van dien. De aanbeveling om voor de komende jaren is om in ieder geval 36 uur per week beschikbaar te hebben. Daarnaast is het ook belangrijk dat er een achtervang beschikbaar is, mocht er bijvoorbeeld sprake zijn van een datalek en er snel gehandeld moet worden, of indien er sprake is van uitval van de Privacy Officer wegens ziekte.

3. Implementatie en inbedding beleid en procedures -

Afgelopen jaar zijn er veel documenten opgesteld die nog wel op juiste wijze moeten worden vastgesteld en geïmplementeerd. Zorg dat deze documenten zo snel mogelijk worden vastgesteld zodat er een mooie basis ligt en dit verder geïmplementeerd en ingebed kan worden in de organisatie.

4. Verwerkingsregister -

-

Na advies van de FG is er in 2022 een aantal wijzigingen in het verwerkingsregister aangebracht, zodat het “raamwerk” voldoet aan de vereisten uit de AVG. Na wijziging zijn er geen nieuwe processen opgenomen in het verwerkingsregister dan wel eerder opgenomen verwerkingen aangepast. De aanbeveling is om in 2023 de focus te hebben op het orde brengen van het verwerkingsregister. Dat is een hele klus, maar het zou fijn zijn als daar eind 2023 mooie stappen zijn gemaakt in het op orde brengen van het register. Het voordeel bij het op orde brengen van het verwerkingsregister is dat de organisatie ook meer zicht krijgt in de partijen die persoonsgegevens van de gemeente verwerken en of daar al dan niet de juiste afspraken mee zijn gemaakt. Indien nodig kan daar gelijk op worden ingespeeld.

5. DPIA’s -

-

Op dit moment is niet inzichtelijk voor welke bestaande processen er nog een DPIA moet worden uitgevoerd. Aangezien er afgelopen jaren zeer weinig DPIA’s zijn uitgevoerd, is het denkbaar dat dat voor veel verwerkingen/processen nog wel moet gebeuren. Het is belangrijk dat dit inzichtelijk wordt, zodat er vervolgens geprioriteerd kan worden in het oppakken hiervan. Zorg dat bij alle nieuwe verwerkingen die DPIA plichtig zijn, daar voorafgaand een DPIA op wordt uitgevoerd.

6. Toezicht FG 2023 en verslaglegging -

De FG zal voor 2023 een toezichtplan opstellen; De FG zal naast het toezicht ook gevraagd en ongevraagd advies geven; Maandelijks vindt er tussen de FG en Privacy Officer een overleg plaats om de stand van zaken en bijzonderheden te bespreken; De FG zal ieder kwartaal verslag uitbrengen van haar bevindingen aan de gemeentesecretaris en de portefeuillehouder gegevensbescherming (college); Na afloop van het jaar 2023 brengt de FG een jaarverslag uit van haar werkzaamheden, bevindingen en aanbevelingen.

Bijlage 1

Overzicht uitgevoerde DPIA’s

Overzicht uitgevoerde DPIA's 2022 Onderwerp DPIA Djuma Datawarehouse Sociaal Domein DPIA toezicht Wmo en JW (uitvoering gemeente Gouda) Onderzoek Herijking Minimabeleid

Status Afgerond (januari 2022) Afgerond (februari 2022) Afgerond (oktober 2022) Afgerond (december 2022)

Bijlage 2

Overzicht rechten van betrokkenen

Overzicht rechten van betrokkenen 2022 Recht Aantal Opmerking Vergetelheid 1 Dit betrof een verzoek van een niet inwoner van de gemeente Krimpenerwaard die eerst een inzageverzoek in 2021 had ingediend en vervolgens in 2022 een verzoek tot vernietiging van verwerking van persoonsgegevens. Gezien het feit dat de gemeente geen belang had bij het verwerken van deze gegeven is besloten (na akkoord van college en toezichthouder) de gegevens te vernietigen.

Bijlage 3

Overzicht datalekken

In 2022 zijn er binnen de gemeente Krimpenerwaard in totaal 8 datalekken geregistreerd in het interne datalekregister. Aard van de inbreuk: In alle gevallen ging het om persoonsgegevens die (mogelijk) zijn ingezien door onbevoegden. Het is niet in alle gevallen vastgesteld dat dat daadwerkelijk ook is gebeurd. Aard incident: Incident Brief of postpakket met persoonsgegevens verstuurd of afgegeven aan de verkeerde ontvanger(s) E-mail verstuurd met persoonsgegevens met ontvangers in het aanveld of in de cc, in plaats van bcc Persoonsgegevens per ongeluk gepubliceerd E-mail met persoonsgegevens verstuurd aan verkeerde ontvanger(s)

Aantal: 3 2 2 1

Melding Autoriteit Persoonsgegevens / Betrokkenen: Autoriteit Persoonsgegevens: 3 Betrokkenen: 5 Bevinding: Het is opvallend dat er in de periode januari tot augustus 2022 geen datalekken zijn gemeld. De vraag is of er in die periode daadwerkelijk geen datalekken hebben plaatsgevonden of dat dit iets te maken heeft met de bewustwording m.b.t. het herkennen van datalekken en de procedure die gevolgd moet worden.