1.22 Bijlage - Jaarverslag FG (Wpg) 2022

Jaarverslag FG 2022 Wet politiegegevens (Wpg)

Maart 2023 1

Samenvatting Het jaar 2022 was een interessant en druk jaar met betrekking tot de Wpg. Dit jaar stond volledig in het teken van inzicht krijgen en de externe audit. Daarnaast is er door de medewerkers heel erg hard gewerkt en zijn er mooie stappen gemaakt. De organisatie is goed op weg, maar er moet nog wel het een en ander gebeuren om volledig te voldoen aan Wpg. De verantwoordelijkheden voor de gemeente Krimpenerwaard voor het verwerken van persoonsgegevens van burgers liggen in hoofdlijnen bij drie bestuursorganen: de burgemeester, het college van B&W en de gemeenteraad. Het college is verantwoordelijk voor het merendeel van de verwerkingen van persoonsgegevens in onze gemeente. Dit brengt verplichtingen met zich mee. In dit jaarverslag staat beschreven welke acties en maatregelen we in 2022 hebben genomen om de doelstellingen en beginselen uit de Wpg te behalen en te waarborgen. Ook bevat dit document aandachtspunten en actiepunten voor het jaar 2023. Adequaat omgaan met persoonsgegevens is een blijvend proces en zal dan ook aandacht blijven vergen van zowel bestuur, management als medewerkers. Samenvattend heeft de gemeente in 2022 veel werk verzet op het gebied van gegevensbescherming in het kader van de Wpg.

Zo is er onder andere een duidelijk beeld welke stappen er nog genomen moeten worden en zijn er diverse documenten/procedures opgesteld welke gereed zijn voor vaststelling. Naar verwachting zullen deze stukken het eerste kwartaal van 2023 worden vastgesteld. De medewerkers voeren met passie hun werk uit, weten wat zij doen en gaan naar eer en geweten zorgvuldig om met persoonsgegevens. Ook weten zij goed onderscheid te maken wanneer er sprake is van de AVG of Wpg. In de praktijk lijkt het allemaal wel goed te gaan. Echter, zit heel veel kennis in de hoofden van de medewerkers en moet er nog heel veel worden vastgelegd en verantwoord. Dat geldt voor de processen, maar ook voor het systeem BySpy. Indien dit niet goed is vastgelegd, loop je als organisatie het risico dat bij het wegvallen van bepaalde medewerkers, er een hoop kennis verloren gaat. Dat zou zonde zijn. Daarom is het van belang dat de focus in 2023 komt te liggen op het in kaart brengen van processen (werkprocessen, logging, controle etc.) en het vastleggen daarvan. Daarnaast waar nodig het uitvoeren van DPIA’s en het op juiste wijze invullen van het verwerkingsregister.

2

Inhoudsopgave Samenvatting ....................................................................................................................................2 Inhoudsopgave .................................................................................................................................3 Inleiding .............................................................................................................................................4 Deel 1:

Terugblik op 2022 ..............................................................................................................5

1.1

Algemeen ............................................................................................................................5

1.2

Externe audit (2019-2021) ...................................................................................................5

1.3

Toezicht FG 2022 ................................................................................................................7

1.3.1

Algemeen toezicht ...........................................................................................................7

1.3.2

Verwerkingsregister .........................................................................................................7

1.3.3

Data protection impact assessment (DPIA) ......................................................................7

1.3.4

Privacybeleid & Privacyverklaring.....................................................................................8

1.3.5

Verplichte audits ..............................................................................................................8

1.3.6

Meldingen datalekken ......................................................................................................8

1.3.7

Rechten van betrokkenen ................................................................................................8

1.4

Conclusie ............................................................................................................................9

Deel 2:

Vooruitkijken 2023 en aanbevelingen ............................................................................. 10

2.1

Algemeen .......................................................................................................................... 10

2.2

Toezicht FG 2023 .............................................................................................................. 10

2.3

Aanbevelingen ................................................................................................................... 10

2.3.1

Procedures in kaart brengen en opstellen ...................................................................... 10

2.3.2

Data protection impact assessment (DPIA) .................................................................... 10

2.3.3

Verwerkingsregister ....................................................................................................... 10

2.3.4

Interne audit & interne auditor ........................................................................................ 10

2.3.5

Opstellen verbeterrapport en uitvoeren hercontrole tekortkomingen ............................... 11

2.3.6

Opslag Wpg gegevens en controle autorisaties .............................................................. 11

2.3.7

Autorisatie niet-boa’s ..................................................................................................... 11

2.3.8

Logging en controle ....................................................................................................... 11

2.3.9

Controle bewaartermijnen en vernietiging....................................................................... 11

2.3.10

Verstrekkingen ........................................................................................................... 11

2.3.11

Verwerker en verwerkersovereenkomst...................................................................... 12

2.3.12 Specifieke aandachtspunten externe audit m.b.t. technische en organisatorische maatregelen ............................................................................................................................... 12

3

Inleiding De gemeente Krimpenerwaard is zich steeds meer bewust van het belang van het beschermen van persoonsgegevens van haar burgers. Op 1 januari 2019 is de Wet politiegegevens (Wpg) in werking getreden. De Wpg ziet op het verwerken van persoonsgegevens door een boa die verband houden met het uitoefenen van de opsporingstaken voor strafbare feiten. Het verwerken van persoonsgegevens in verband met het uitoefenen van toezichthoudende taken valt onder de Algemene Verordening Gegevensbescherming (AVG). Bij het verwerken van persoonsgegevens moet de gemeente Krimpenerwaard dus niet alleen voldoen aan de AVG, maar ook aan de Wpg. Voor gegevens die onder de Wpg worden verwerkt (voor opsporing dus), gelden net weer andere (strengere) regels dan onder de AVG het geval zou zijn geweest. Bijvoorbeeld andere bewaartermijnen, doelen of andere eisen die gelden bij het onderling delen van gegevens. Het betreft namelijk zeer gevoelige informatie, dus het is van belang dat de gemeente Krimpenerwaard heel zorgvuldig met deze gegevens omgaat. Toezicht Onder de verantwoordelijkheid van zowel het college van B&W als de gemeenteraad vindt een groot aantal verwerkingen van persoonsgegevens in het kader van de Wpg, aangevuld met het Besluit politiegegevens buitengewoon opsporingsambtenaren (Bpgboa), plaats. Daar vindt externe en interne toezicht op plaats.

De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacyregels in Nederland. Daarnaast dienen we te beschikken over een interne toezichthouder: de Functionaris Gegevensbescherming (FG). Op 1 april 2022 hebben de bestuursorganen van onze gemeente mevrouw S. van den Broek aangesteld als FG. De FG ziet erop toe dat de Wpg intern wordt nageleefd. Het college dient erop toe te zien dat de FG naar behoren en tijdig wordt betrokken bij alle gelegenheden die verband houden met de bescherming van persoonsgegevens. Daarnaast dient de FG ondersteund te worden door haar toegang te verschaffen tot persoonsgegevens en verwerkingen daarvan en haar de benodigde middelen ter beschikking te stellen voor het vervullen van de taak en het in standhouden van haar deskundigheid. De uitvoerende taken liggen bij de privacy officer. De FG brengt jaarlijks een verslag uit aan de verwerkingsverantwoordelijke van haar werkzaamheden, bevindingen en aanbevelingen.

4

Deel 1: 1.1

Terugblik op 2022

Algemeen

Op grond van de Wpg dient de FG jaarlijks verslag uit te brengen aan de verwerkingsverantwoordelijke omtrent haar werkzaamheden, bevindingen en aanbevelingen. Na het vertrek van de vorige FG/Privacy officer in januari 2022 is er per 1 april 2022 een nieuwe FG gestart binnen de gemeente Krimpenerwaard. Op dat moment had de gemeente nog geen Privacy Officer en is de kennisoverdracht van de vorige FG met betrekking tot de Wpg beperkt geweest. Sinds juli 2022 is er ook een interim Privacy Officer gestart. Aangezien de Wpg pas in 2019 in werking is getreden en net weer andere (strengere) regels gelden dan onder de AVG, is het voor de organisatie zoekende geweest wat er allemaal precies moest gebeuren om aan deze wetgeving te voldoen. Naar aanleiding daarvan alsmede in het kader van de externe Wpg audit die voor eind 2022 moest worden uitgevoerd, heeft de FG zich in 2022 met name gefocust op hetgeen wat er in het kader van de Wpg van de organisatie wordt verwacht en wat er al dan niet al is gedaan. Nadat er meer inzicht is gecreëerd, heeft de FG geadviseerd om vooruitlopend op de externe audit met bepaalde zaken aan de slag te gaan.

In dit deel van het jaarverslag wordt er teruggekeken op het jaar 2022. Dit jaar is er door de medewerkers van de gemeente Krimpenerwaard heel erg hard gewerkt om de eerste stappen te zetten om te voldoen aan de Wpg. In september 2022 heeft er de verplichte externe Wpg-audit plaatsgevonden. Aangezien er voorheen geen audits zijn gedaan, kan deze externe audit worden gezien als 0-meting met betrekking tot de stand van zaken om te voldoen aan de Wpg. De externe audit ziet op de periode 2019 tot en met 2021. Naast inzicht creëren heeft de FG aanvullend toezicht gehouden over het jaar 2022. De resultaten van de externe audit en bevindingen van de FG worden hieronder nader besproken.

1.2

Externe audit (2019-2021)

Conform de Wpg dient er binnen twee jaar na inwerkingtreding van de wet een externe privacy audit te worden uitgevoerd binnen de gemeente Krimpenerwaard. Daarna moet dat elke 4 jaar gebeuren. In eerste instantie zou de eerste audit in 2021 worden uitgevoerd. De AP heeft besloten dat organisaties een jaar extra de tijd kregen om de auditrapportage aan te leveren. Op 29 september 2022 heeft de externe audit plaatsgevonden. Van deze audit heeft de gemeente Krimpenerwaard op 9 december 2022 de rapportage en aanbevelingen ontvangen. Deze audit is uitgevoerd door 2-Control. Hieronder is een korte samenvatting van de audit weergeven.

Resultaat externe audit: De externe audit is uitgevoerd door 2-Control, een onafhankelijke auditor die bevoegd is deze audit uit te voeren. De scope van het onderzoek bestond uit de verwerkingen van politiegegevens uit domein 1, opsporing van strafbare feiten openbare ruimte. Bij de audit is gebruik gemaakt van de illustratieve beheersmaatregelen uit de NOREA Handreiking Privacy audit Wpg (boa). De (generieke) algehele beheersingsdoelstelling voor de privacy audit Wpg voor boa’s is het voorzien in de borging van de wettelijke eisen met betrekking tot de verwerking van politiegegevens door boa’s. Hiertoe heeft de gemeente Krimpenerwaard beheersingsmaatregelen getroffen die in opzet, bestaan en werking door de IT-auditor worden getoetst. De IT-auditor maakt bij deze toetsing gebruik van de volgende criteria:

5

Opzet

Bestaan Werking

De organisatie heeft de beheersingsmaatregen beschreven die, indien deze werken zoals beschreven, een redelijke mate van zekerheid bieden dat voorzien is aan de borging van de wettelijke eisen met betrekking tot de verwerking van politiegegevens door boa’s. De organisatie heeft de beheersingsmaatregelen overeenkomstig de opzet daadwerkelijk geïmplementeerd en toegepast. De organisatie heeft de beheersingsmaatregelen gedurende de verslaggevingsperiode volgens de opzet toegepast, ingeval van handmatige beheersingsmaatregelen zijn deze toegepast door competente en bevoegde personen.

Toelichting gebruikte kleuren: G Groen - Voldoet aan de norm. O Oranje - Voldoet deels aan de norm. Om geheel aan de norm te voldoen dien(t)(en) de aanbeveling(en) te worden opgevolgd. R Rood - Voldoet niet aan de norm. G Grijs – Niet onderzocht (niet van toepassing)

Werking

Bestaan

Conclusie

Opzet

Onderwerpen

1. Reikwijdte 2. Doelbinding 3. Noodzakelijkheid en rechtmatigheid, vermelding herkomst 4. Juistheid en volledigheid politiegegevens 5. Onderscheid feiten en oordeel 6. Gegevensbescherming door beveiliging en ontwerp 7. Gegevensbescherming door standaardinstellingen 8. Gegevensbeschermingseffectbeoordeling/ Data protection impact assessment (DPIA) 9. Bijzondere categorieën van politiegegevens 10. Autorisaties en toegang tot politiegegevens 11. Autorisaties: aanwijzen functionarissen 12. Onderscheid tussen verschillende categorieën van betrokkenen 13. Verwerker en Verwerkersovereenkomst 14. Geheimhoudingsplicht 15. Geautomatiseerde individuele besluitvorming 16. Uitvoering van de dagelijkse politietaak 17. Ter beschikking stellen van politie-gegevens binnen het WPG-domein 18. Geautomatiseerd vergelijken en in combinatie zoeken 19. Ondersteunende taken 20. Bewaartermijnen, verwijderen en vernietigen 21. Verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee 22. Doorgiften aan derde landen 23. Verstrekking aan derden structureel voor samenwerkingsverbanden 24. Rechtstreekse verstrekking 25. Informatie aan de betrokkene, recht op inzage, rectificatie en verwijdering 26. Register 27. Documentatie 28. Logging 29. Audits 30. Melding datalekken 31. Functionaris voor gegevensbescherming

6

1. 2. 3.

Wijzigingenbeheer Logische toegangsbeveiliging Beheer van kwetsbaarheden (patchmanagement)

4. 5.

Cryptografie Vulnerability scans en Penetratietesten

1.3

Werking

Bestaan

Conclusie

Opzet

Technische en organisatorische maatregelen

Toezicht FG 2022

1.3.1 Algemeen toezicht Per 1 april 2022 is er een nieuwe FG aangesteld binnen de gemeente Krimpenerwaard. Daarnaast is de FG ook aangemeld bij de Autoriteit Persoonsgegevens. De FG houdt toezicht op het volgende: - Naleven van de Wpg; - Het beleid van de gemeente Krimpenerwaard met betrekking tot de bescherming van persoonsgegevens; - De toewijzing van autorisaties; - De bewustmaking en opleiding van de ambtenaren die betrokken zijn bij de verwerking van politiegegevens; - De audits; - De uitvoering van de DPIA’s. Afgelopen jaar heeft met name in het teken gestaan om inzicht te krijgen in hoeverre de gemeente Krimpenerwaard al aan de Wpg voldoet en wat er nog moet gebeuren. Om beter voorbereid te zijn op de externe audit, heeft dit onderzoek voorafgaand plaatsgevonden. Aangezien er daardoor al veel inzichtelijk was, kon op deze manier de beschikbare zaken ook makkelijker worden aangeleverd bij de externe auditor. Daarnaast heeft de FG in 2022 nog specifiek op een aantal onderwerpen toezicht gehouden. De bevindingen hiervan zijn hieronder uiteengezet.

1.3.2 Verwerkingsregister Op grond van de Wpg dient er een verwerkingsregister te zijn opgesteld. Daarin moet de volgende informatie worden vastgelegd: de verwerkingsgrondslag, welke categorieën van betrokkenen en categorieën van gegevens het betreft, de verwijdertermijnen, wie er toegang hebben en welke technische en organisatorische maatregelen, zoals logging, zijn genomen voor de beveiliging van de gegevens. In het kader van de externe audit is er een verwerkingsregister opgesteld aan de hand van het model die door de VNG is opgesteld. De invulling daarvan is op basis van een model en niet aan de hand van de huidige verwerkingen en de daaraan gekoppelde opgestelde procedures. De FG heeft het register daarom ook nog niet inhoudelijk kunnen beoordelen en de werking daarvan kunnen vaststellen. Daarnaast dienen de opgestelde procedures te worden gecontroleerd op juistheid en volledigheid, waar nodig te worden aangepast en een DPIA te worden uitgevoerd. Voor verwerkingen waarbij het proces nog niet in kaart is gebracht, dienen deze nog te worden opgesteld.

1.3.3 Data protection impact assessment (DPIA) Indien een verwerking waarschijnlijk een hoog risico voor de rechten en vrijheden van personen oplevert, dienen binnen de organisatie de risico’s systematisch geïdentificeerd, beoordeeld en aangepakt te worden door middel van een DPIA, welke ten minste voldoet aan de gestelde eisen uit 7

de wet. Naar alle waarschijnlijkheid dienen voor de meeste processen waarbij er sprake is van het verwerken van politiegegevens of systemen waar politiegegevens in zijn opgeslagen een DPIA te worden uitgevoerd. Er is vastgesteld dat er met betrekking tot het verwerken van politiegegevens nog geen DPIA’s zijn uitgevoerd. Procedure: Tijdens de externe audit is vastgesteld dat er met betrekking tot het uitvoeren van DPIA’s nog geen procedure is opgesteld en daarnaast ook geen duidelijke template is voor een pre-DPIA, waarmee eenvoudig kan worden vastgesteld of een DPIA noodzakelijk is. De volgende documenten zijn gereed voor vaststelling: - Instructies uitvoeren DPIA gemeente Krimpenerwaard (procedure) - Template Pre-DPIA - Format DPIA rapportage gemeente Krimpenerwaard

1.3.4 Privacybeleid & Privacyverklaring Het huidige privacybeleid was verouderd en in de privacyverklaring was nog geen rekening gehouden met de Wpg. Het afgelopen jaar is er hard gewerkt om deze stukken te herzien. Daarnaast is het onderwerp Privacy by Design / Privacy by Default ook opgenomen in het nieuwe beleid. Deze documenten zijn gereed voor vaststelling.

1.3.5 Verplichte audits De gemeente Krimpenerwaard dient periodiek zowel interne als externe audits uit te (laten) voeren. • Interne audit: ieder jaar dient er een interne audit te worden uitgevoerd. De interne audit is te vergelijk met een zelfevaluatie ter voorbereiding op de externe audit. • Externe audit: twee jaar na inwerkingtreding van de wet dient er een externe privacy audit te worden uitgevoerd. Daarna moet dat elke 4 jaar gebeuren. In eerste instantie zou de eerste audit in 2021 te worden uitgevoerd. De AP heeft besloten dat organisaties een jaar extra de kregen om de auditrapportage aan te leveren. De externe audit heeft plaatsgevonden op 29 september 2022. Op 9 december 2022 is de rapportage aangeleverd. De afgelopen jaren heeft er geen interne audit plaatsgevonden.

1.3.6 Meldingen datalekken Nieuw beleid Na het vertrek van de vorige FG/Privacy officer was de procedure rondom datalekken niet meer actueel. In oktober 2022 is er een nieuw beleid en procedure (Incidentmanagement en responsebeleid 2022) met betrekking tot datalekken vastgesteld. Aantal datalekken 2022: In 2022 hebben er binnen de gemeente Krimpenerwaard geen datalekken plaatsgevonden in het kader van de Wpg.

1.3.7

Rechten van betrokkenen

Procedure rechten van betrokkenen en registratie Er is geconstateerd dat er nog geen procedure was met betrekking tot het afhandelen van verzoeken van betrokkenen. Afgelopen jaar is er hard gewerkt aan deze procedure, waarbij ook rekening wordt gehouden met de Wpg. De procedure is gereed voor vaststelling. Daarnaast is er wel een register aanwezig waar alle verzoeken in worden opgenomen.

8

Aantal verzoeken In 2022 heeft de gemeente Krimpenerwaard geen verzoeken van betrokkenen ontvangen in het kader van de Wpg.

1.4 Conclusie Het afgelopen jaar is er door de medewerkers heel erg hard gewerkt om grote stappen te maken om aan de Wpg te voldoen. De documenten die inmiddels gereed zijn, zullen naar verwachting het eerste kwartaal van 2023 worden vastgesteld. De medewerkers voeren met passie hun werk uit, weten zij wat zij doen en gaan naar eer en geweten zorgvuldig om met persoonsgegevens. Ook weten zij goed onderscheid te maken wanneer er sprake is van de AVG of Wpg. In de praktijk lijkt het allemaal wel goed te gaan. Echter, zit heel veel kennis in de hoofden van de medewerkers en moet er nog heel veel worden vastgelegd en verantwoord. Dat geldt voor de processen, maar ook voor het systeem BySpy. Indien dit niet goed is vastgelegd, loop je als organisatie het risico dat bij het wegvallen van bepaalde medewerkers, er een hoop kennis verloren gaat. Dat zou zonde zijn. Daarom is het van belang dat de focus in 2023 komt te liggen op het in kaart brengen van processen (werkprocessen, logging etc.), het vastleggen daarvan. Daarnaast waar nodig het uitvoeren van DPIA’s en vullen van het verwerkingsregister.

9

Deel 2: 2.1

Vooruitkijken 2023 en aanbevelingen

Algemeen

In 2022 is er hard gewerkt en zijn er al goede stappen gezet om te voldoen aan de Wpg. Echter, zijn we er nog niet. Voor de organisatie is op dit moment duidelijk welke stappen er nog genomen moeten worden. Het jaar 2023 staat daarom ook in het teken van verder bouwen, processen inzichtelijk krijgen en vastleggen.

2.2

Toezicht FG 2023

Nu duidelijk is waar de gemeente op dit moment staat en wat er allemaal nog moet gebeuren, ligt de focus van de FG in 2023 geheel op toezichthouden. De FG zal daarvoor een toezichtplan opstellen en daar periodiek (per kwartaal) over rapporteren aan de gemeentesecretaris en de portefeuillehouder gegevensbescherming (college). De raad zal aan het einde van het jaar het jaarverslag ontvangen.

2.3

Aanbevelingen

Naar aanleiding van de bevindingen van de FG en de resultaten (en aanbevelingen) van de externe audit, zijn hieronder aanbevelingen opgenomen om in 2023 mee aan de slag te gaan.

2.3.1 Procedures in kaart brengen en opstellen In het huidige verwerkingsregister zijn er een aantal processen opgenomen welke onder de Wpg vallen, maar op dit moment is het niet duidelijk of deze processen de lading dekken of dat er nog meer processen zijn. Zorg dat in kaart wordt gebracht welke processen er allemaal onder de Wpg vallen. Daarnaast is het belangrijk dat de opgestelde procedures/werkinstructies worden doorgenomen met inachtneming van de Wpg en waar nodig worden herzien. Processen waar nog geen procedure voor aanwezig is, zorg dat deze wordt opgesteld. Het is overigens niet de bedoeling dat er zonder grondslag bijzondere persoonsgegevens worden verwerkt. Dit moet ook duidelijk naar voren komen in de procedures/werkinstructies.

2.3.2 Data protection impact assessment (DPIA) Op dit moment zijn er nog geen DPIA’s uitgevoerd als het gaat om verwerkingen in het kader van de Wpg. Voor de meeste verwerkingen (processen) zou dat wel moeten gebeuren. Breng alle verwerkingen in het kader van de Wpg in kaart en bepaal aan de hand van de pre-DPIA voor welke processen er al dan niet een DPIA dient te worden uitgevoerd en leg de uitkomst daarvan vast. Wanneer de uitkomst is dat er een DPIA moet worden uitgevoerd, ga daar dan vervolgens mee aan de slag.

2.3.3 Verwerkingsregister Het huidige verwerkingsregister is opgesteld aan de hand van het ingevulde model van de VNG. Daarbij is globaal gekeken naar welke Wpg verwerkingen er binnen de gemeente Krimpenerwaard plaatsvinden. Het is niet duidelijk of daadwerkelijk alle verwerkingen in het register zijn opgenomen. Ook is er niet naar het onderliggende proces gekeken en waar nodig zijn er ook nog geen DPIA’s uitgevoerd. De aanbeveling om eerst alle verwerkingen (processen) in kaart de brengen en te beoordelen waar (nog) een DPIA uitgevoerd dient te worden. Zodra dat allemaal inzichtelijk is, kan aan de hand daarvan het verwerkingsregister op juiste wijze worden ingevuld.

2.3.4 Interne audit & interne auditor Ter voorbereiding op de externe audit, dient er jaarlijks een interne audit te worden uitgevoerd. De aanbeveling om een medewerker beschikbaar te stellen die deze interne audits gaat uitvoeren. De Wpg stelt daarbij wel een aantal eisen met betrekking tot de competenties van de interne auditor. Denk daarbij aan kennis en ervaring met het uitvoeren van audits, kennis van de organisatie, Wpgprocessen en systemen, kennis van relevante wet- en regelgeving, in het bijzonder de Wpg, besluit politiegegevens, AVG en UAVG. Daarnaast dient de interne auditor zich onafhankelijk op te stellen. 10

Mocht er binnen de organisatie geen capaciteit zijn of geen medewerker die aan de wettelijke vereisten voldoet, is het ook mogelijk om de interne audit extern te beleggen.

2.3.5 Opstellen verbeterrapport en uitvoeren hercontrole tekortkomingen Naar aanleiding van de externe audit, dient er binnen 3 maanden een verbeterrapport te worden opgesteld. Op basis van het verbeterrapport vindt binnen een jaar de hercontrole plaats. De hercontrole heeft betrekking op het onderdeel of de onderdelen van de wet ten aanzien waarvan tekortkomingen zijn geconstateerd. De externe auditor heeft aanbevolen om de hercontrole uit te laten voeren door een externe auditor. Deze aanbeveling is gebaseerd op het feit dat de gemeente Krimpenerwaard in 2022 nog geen auditor heeft en daarbij niet de mogelijkheid om deze hercontrole zelf uit te voeren. Om deze reden is het ook raadzaam een interne auditor te hebben. Na afronding van de hercontrole wordt de rapportage onverwijld aangeboden aan de verwerkingsverantwoordelijke. De verwerkingsverantwoordelijke zendt een afschrift van de controleresultaten van de privacy audits aan de Autoriteit persoonsgegevens.

2.3.6 Opslag Wpg gegevens en controle autorisaties Politiegegevens worden op verschillende locaties opgeslagen, zowel in Byspy, Djuma en op de netwerkschijf. Djuma is op dit moment (nog) niet zo ingericht dat het voldoet aan de vereisten uit de Wpg. De aanbeveling is om politiegegevens op één plek (BySpy) op te slaan. BySpy is met name gemaakt voor het opslaan van politiegegevens, waardoor het systeem ook aan de eisen van de Wpg voldoet. Zorg daarbij ook dat er een autorisatiematrix is opgesteld. Indien er bij het verwerken van politiegegevens gebruik gemaakt blijft worden van Djuma, zorg dan dat het systeem op juiste wijze wordt ingericht zodat deze aan de vereisten uit de Wpg voldoet. Daarnaast dient er een procedure te worden opgesteld voor periodieke controle van toegangsrechten in BySpy. Zorg dat zowel de rechten per functie/rol, als de functies/rollen per persoon worden gecontroleerd ten opzichte van de vastgestelde autorisatiematrix. Voer deze controle minimaal halfjaarlijks uit (door een medewerker die niet is betrokken bij het beheer) en breng verslag uit aan de proceseigenaar.

2.3.7 Autorisatie niet-boa’s Naast Boa’s hebben ook andere medewerkers binnen de gemeente Krimpenerwaard toegang tot politiegegevens. Deze medewerkers dienen hiertoe expliciet te worden aangewezen. Dit geldt ook voor de medewerkers van DIV die inzicht hebben in politiegegevens.

2.3.8 Logging en controle Er dient een procedure te worden opgesteld voor de controle van logbestanden. Zorg ervoor dat deze controle minimaal halfjaarlijks wordt uitgevoerd en de bevindingen gerapporteerd worden aan de verwerkingsverantwoordelijke.

2.3.9 Controle bewaartermijnen en vernietiging Bij het verwerken bij politiegegevens hebben we te maken met bewaartermijnen. Daarbij is het belangrijk dat er een proces wordt opgesteld voor de controle op bewaartermijnen, tijdige archivering dan wel vernietiging van persoonsgegevens. Vervolgens dient hierover gerapporteerd te worden aan de verwerkingsverantwoordelijke.

2.3.10 Verstrekkingen Stel een duidelijke richtlijn op voor (mogelijke) verstrekkingen. Op dit moment wordt er een standaardvoorbeeld gebruikt, maar de aanbeveling om deze specifiek te maken voor de gemeente Krimpenerwaard. Neem in de verstrekkingenwijzer ook de contactpersonen op en hoe deze gegevens gecorrigeerd dienen te worden indien deze niet correct blijken te zijn en hoe de ontvanger is gewezen op de geheimhoudingsplicht. Voor de inzichtelijkheid van de verstrekkingen dient er een register te worden bijgehouden.

11

2.3.11 Verwerker en verwerkersovereenkomst Inmiddels zijn met alle (SaaS) leveranciers verwerkersovereenkomsten afgesloten. Het is belangrijk dat de afspraken die met leveranciers worden gemaakt worden bewaakt en aantoonbaar worden gecontroleerd. Dit kan bijvoorbeeld door te vragen naar een assurance verklaring (TPM) over de afgesproken maatregelen en/of het uitvoeren van self-assessments.

2.3.12 Specifieke aandachtspunten externe audit m.b.t. technische en organisatorische maatregelen Wijzigingen beheer Zorg voor een procedure voor het wijzigen/updaten van software, maar ook voor systeem (infrastructuur) wijzigingen. Wijzigingen dienen alleen geautoriseerd (proceseigenaar) en getest te worden doorgevoerd. Zorg dat deze procedure aantoonbaar wordt gevolgd. Logische toegangsbeveiliging Denk bij logische toegangsbeveiliging vooral aan back-end toegang voor systeembeheerders en leveranciers. Beheer van kwetsbaarheden Bij beheer van kwetsbaarheden kun je denken aan de applicatiesoftware zelf, maar ook aan middleware en operating systemen2. Zorg dat de systeembeheerder via verschillende bronnen op de hoogte blijft van mogelijk kwetsbaarheden. Een goede Configuration Management Database (CMDB) is hier onmisbaar om inzicht te houden in welke systemen in beheer zijn. Cryptografie Zorg voor een beleid voor cryptografie / versleuteling van data in transit en in rest. Zorg dat alle applicaties geclassificeerd worden en conform het beleid worden beveiligd. In het geval van SaaS applicaties, maak afspraken met de leverancier over het vereiste beveiligingsniveau. Vulnerability scans en penetration testing Stel een beleid op voor het uitvoeren van vulnerability scans en penetration testing.

Het uitgangspunt is dat de frequentie en scope risk based wordt uitgevoerd, waarbij het uitgangspunt is dat de vulnerability scans minimaal vier keer per jaar en de penetration tests minimaal één keer per jaar worden uitgevoerd.

12