bijlage 2 nr. 77 beantwoording art. 47 vragen - Jaarrapportage Gegevensbescherming 2019
Tekst van het document
JAARRAPPORTAGE GEGEVENSBESCHERMING GEMEENTE LANDSMEER 2019 T.D.V. COLLEGE VAN BURGEMEESTER EN WETHOUDERS en RAAD
Remco Rekoert Functionaris voor Gegevensbescherming 25 juni 2020
Samenvatting Het jaar 2019 was een interessant vervolg op het eerste jaar van de AVG. Ontwikkelingen in rechtspraak en wetgeving hebben enige duidelijkheid geboden bij de vele open normen uit de AVG. Wie is verantwoordelijk, hoe gaan we hiermee om? De verantwoordelijkheden voor de gemeente Landsmeer voor het verwerken van persoonsgegevens van burgers liggen in hoofdlijnen bij drie bestuursorganen: de burgemeester, het college van B&W en de gemeenteraad. Het college is verantwoordelijk voor het merendeel van de verwerkingen van persoonsgegevens in onze gemeente. Dit brengt verplichtingen met zich mee. In deze jaarrapportage staat beschreven welke acties en maatregelen we in 2019 hebben genomen om de doelstellingen en beginselen uit de AVG te behalen en te waarborgen. Ook bevat dit document aandachtspunten en actiepunten voor het jaar 2020. Adequaat omgaan met persoonsgegevens is een blijvend proces en zal dan ook aandacht blijven vergen van zowel bestuur, management als medewerkers. Samenvattend kan worden geconcludeerd dat de gemeente Landsmeer heeft in 2019 een kleine vooruitgang heeft geboekt, maar met een risico waardoor de kwetsbaarheid toeneemt. In het onderliggende verslag wordt dit nader uitgelegd.
Remco Rekoert Functionaris voor Gegevensbescherming 25 juni 2020
1
Inhoud Samenvatting ..................................................................................................................................... 1 Inleiding ................................................................................................................................... 3 Leeswijzer ................................................................................................................................ 4 Deel 1. Terugblik op 2019 .................................................................................................................. 5 1.
Beleid ......................................................................................................................................... 5
2.
Processen ................................................................................................................................... 6
3.
Organisatorische inbedding ....................................................................................................... 6
4.
Rechten van betrokkenen ......................................................................................................... 7
5.
Samenwerking ........................................................................................................................... 8
6.
Beveiliging .................................................................................................................................. 8
7.
Verantwoording ......................................................................................................................... 9
8.
Conclusie .................................................................................................................................. 10
Deel 2. Vooruitkijken naar 2020.......................................................................................................... 11 1.
Beleid ....................................................................................................................................... 11
2.
Processen ................................................................................................................................. 11
3.
Organisatorische inbedding ..................................................................................................... 11
4.
Rechten van betrokkenen ....................................................................................................... 12
5.
Samenwerking ......................................................................................................................... 12
6.
Beveiliging ................................................................................................................................ 12
7.
Verantwoording ....................................................................................................................... 12
8.
Conclusies ................................................................................................................................ 12
Bijlage 1 - Stand van zaken AVG per thema .................................................................................... 14 Bijlage 2 overzicht 2019 in cijfers. ................................................................................................... 16
Remco Rekoert Functionaris voor Gegevensbescherming 25 juni 2020
2
Inleiding De gemeente Landsmeer is zich steeds meer bewust van het belang van het beschermen van persoonsgegevens van haar burgers. We verwerken immers bij de uitoefening van onze taken veel (gevoelige) gegevens van veel (kwetsbare) burgers in veel verschillende domeinen. Daarnaast verwerken wij persoonsgegevens van andere burgers, medewerkers, externen en zakenrelaties. In de AVG wordt het wettelijk kader beschreven voor het verwerken van persoonsgegevens. Zo dienen we transparant te zijn welke persoonsgegevens we verwerken, voor welk doel en welke grondslag. Tijdens de levensduur van persoonsgegevens moeten ze goed worden beveiligd, mogen ze niet zomaar voor een ander doel worden verwerkt en moeten ze na afloop worden vernietigd of geanonimiseerd. Daarnaast hebben we ook te maken met tal van privacyregels in teamspecifieke wetgeving. Dit alles heeft gevolgen voor de inrichting van processen en systemen in en van onze gemeente. Onder de verantwoordelijkheid van zowel het college van B&W als de gemeenteraad vindt een groot aantal verwerkingen van persoonsgegevens plaats. Daar vindt externe en interne toezicht op plaats. De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacyregels in Nederland. Daarnaast dienen we te beschikken over een interne toezichthouder: de Functionaris Gegevensbescherming (FG). De taken van de FG zijn de AVG opgenomen.
Als de FG merkt dat de gemeente Landsmeer onzorgvuldig omgaat met haar persoonsgegevens, zal hij intern melden. Mocht dit geen voldoende resultaat bieden, zal hij ondersteuning van de AP vragen. Op 1 mei 2018 hebben de bestuursorganen van onze gemeente Remco Rekoert aangesteld als FG . In eerste instantie voor 8 uur per week op detacheringsbasis met de gemeente Edam-Volendam. Vanwege het vertrek van Remco Rekoert bij de gemeente Edam-Volendam is hij per 15 februari 2019 gevraagd als extern FG. Dit houdt in dat hij 6 uur per maand voor de gemeente Landmeer werkt en zich beperkt tot voornamelijk controle werkzaamheden. Voor het uitoefenen van meer ondersteunende taken, doet hij graag als hiervoor opdracht wordt gegeven. De FG ziet erop toe dat de AVG intern wordt nageleefd. Het college dient erop toe te zien dat de FG naar behoren en tijdig wordt betrokken bij alle gelegenheden die verband houden met de bescherming van persoonsgegevens. Daarnaast dient de FG ondersteund te worden door hem toegang te verschaffen tot persoonsgegevens en verwerkingen daarvan en hem de benodigde middelen ter beschikking te stellen voor het vervullen van de taak en het in standhouden van zijn deskundigheid. De uitvoerende taken liggen bij de privacy officer. De FG brengt jaarlijks een verslag uit aan de verwerkingsverantwoordelijke van zijn werkzaamheden, bevindingen en aanbevelingen.
Dit jaarverslag is bedoeld voor de burgemeester en het college van B&W. De gemeenteraad zal als zelfstandig verwerkingsverantwoordelijke en als controlerend orgaan van het college van B&W separaat een verslag ontvangen.
Remco Rekoert Functionaris voor Gegevensbescherming 25 juni 2020
3
Leeswijzer Deze jaarrapportage bestaat uit twee onderdelen. In het eerste deel wordt teruggekeken naar het jaar 2019. Wat heeft de gemeente bereikt op het gebied van gegevensbescherming? Welke maatregelen zijn er genomen om te voldoen aan de AVG? In het tweede deel worden aanbevelingen gedaan om gegevensbescherming en privacy in het jaar 2019 naar een hoger niveau te tillen. Hierbij wordt waar nodig tevens aandacht geschonken aan de technische en organisatorische middelen die nodig zijn om dit hogere niveau te bereiken. Er worden in deze rapportage zeven thema’s onderscheiden: 1. 2. 3. 4. 5. 6. 7.
Beleid Processen Organisatorische inbedding Rechten van betrokkenen Samenwerking Beveiliging Verantwoording
In bijlage 1 staat per thema aangegeven in hoeverre de gemeente de criteria reeds heeft geïmplementeerd.
Remco Rekoert Functionaris voor Gegevensbescherming 25 juni 2020
4
Deel 1. Terugblik op 2019 Het eerste kwartaal van 2019 was moeizaam vanwege organisatorische ontwikkelingen. De voortgang van de uitvoer van de AVG lag stil. Ondanks gemaakte afspraken in 2018 en nieuwe afspraken was er geen voortgang en/of verbetering zichtbaar. De FG kreeg een andere invulling qua werkuren. De ondersteunend rol die hij had werd een controlerende rol. Hierbij was het uitgangspunt dat de uitvoerende werkzaamheden in de organisatie werden belegd en dat deze op een hoog niveau worden uitgevoerd. In het tweede kwartaal zijn de eerste positieve veranderingen waargenomen. Het privacybeleid is gereed en er is een privacy officer (PO) aangesteld. Deze rol wordt in combinatie met de rol van chief information security officer (CISO) en adviseur gegevensmanagement uitgevoerd. Het derde kwartaal is een “privacy nulmeting” uitgevoerd en zijn de afspraken gemaakt voor uitvoeren van het privacy strategisch overleg. Tevens zijn er maatregelen getroffen zoals het opzetten van een privacyverklaring en een plan van aanpak. Het vierde kwartaal is tijdens het Teammanager overleg (TMO) de privacybeleid en het plan van aanpak gepresenteerd. Er is een trainee aangenomen en is de zelfevaluatie uitgevoerd. Over het algemeen is geconstateerd dat de gemeente Landsmeer wel kleine stapjes vooruit maakt.
Aan de andere kant is tevens duidelijk dat er nog geen grip op de verwerking van persoonsgegevens is. Maar omdat er wel concrete afspraken zijn gemaakt, waaruit mag worden aangenomen dat dit deze worden uitgevoerd, blijkt dat de gemeente Landsmeer de goede kant uitgaat. De uitgevoerde nulmeting is gericht op eerder genoemde zeven thema’s. In dit rapport worden deze thema’s nader uitgelegd.
1. Beleid Het privacybeleid is een kader waarin de gemeente Landsmeeraangeeft aan welke principes zij zich houdt bij de verwerking van persoonsgegevens. Het laat zien hoe de gemeente omgaat met persoonsgegevens en welke maatregelen zij treft om te voldoen aan de relevante wet- en regelgeving. Het beleid is voor drie jaar beschreven. In 2022 wordt het vernieuwd. Hierbij zijn alle betrokken medewerkers betrokken. Ook de FG is hierbij betrokken geweest. Het is onder een vrij hoge druk herschreven. Bevinding van de FG
Remco Rekoert Functionaris voor Gegevensbescherming 25 juni 2020
5
De bevinding van de FG over het beleid is dat het goed is dat de gemeente Landsmeer nu een privacy beleid heeft en deze door het college is vastgesteld. Een eerder aangeboden beleid is zodanig herschreven, dat er inhoudelijk meerdere aanpassingen uitgevoerd moeten worden. Dit zal in 2022 dat ook moeten gebeuren.
2. Processen De verwerkingen van persoonsgegevens van de gemeente Landsmeer dienen te voldoen aan de AVG. Dit houdt in dat de werkprocessen die persoonsgegevens bevatten getoetst en ingericht moeten worden volgens de volgende beginselen: behoorlijkheid, transparantie, doelbinding, dataminimalisatie, opslagbeperking, juistheid, integriteit en vertrouwelijkheid. Daarnaast kan de gemeente in gevallen verplicht zijn om een gegevensbeschermingseffectbeoordeling/Data Protection Impact Assessment (DPIA ) uit te voeren. Dit is een risicoanalyse waarin uitgezocht wordt of de persoonsgegevens zorgvuldig worden verwerkt. Voordat een DPIA plaats kan vinden moet eerst een goede basis zijn gecreëerd. Deze bestaat uit het in kaart brengen van de processen (hiervoor is een tool aanschaft waarin alle gemeentelijke processen zijn opgenomen) en aanwijzen van Proceseigenaren. De Proceseigenaren moeten aangeven of zij, de aan hun toegewezen processen, daadwerkelijk uitvoeren. Tevens worden zij op de hoogte gesteld welke verantwoordelijkheden aan deze rol vastzitten. De Teammanagers zijn de proceseigenaren. De DPIA’s worden bij nieuwe ontwikkelingen uitgevoerd. Niet alle Teammanagers zijn voldoende ingelicht. Alleen bij nieuwe ontwikkelingen die toevallig bij de Privacy Officer onder ogen komen wordt een DPIA uitgevoerd.
Ook het gebruiken van een verwerkingsovereenkomst en privacy convenant valt onder AVG processen. Ook hiermee moet tijdig worden gestart. Dit is ook een arbeidsintensief proces (zie 5. Samenwerking) Bevinding van de FG Om de AVG goed uit te voeren moeten de verantwoordelijken worden geïnformeerd wat er van hun verwacht wordt. Dit gaat door het uitvoeren van bewustwordingsbijeenkomsten. Hieraan is te weinig aandacht aan gegeven. De FG heeft zich zelf vaak aangeboden dit op zich te nemen. Maar tot echt uitvoering hiervan niet gekomen omdat hij hiervoor geen opdracht kreeg. N.B. deze taak heeft hij wel gedaan toen hij 8 uur per week in dienst was.
3. Organisatorische inbedding Voor een goede en juiste uitvoering is het van belang dat eenieder binnen de organisatie op de hoogte is van de beginselen van de AVG en het belang van privacy. Organisatorische inbedding betekent het toewijzen van taken, verantwoordelijkheden en bevoegdheden en bewustzijn creëren.
Remco Rekoert Functionaris voor Gegevensbescherming 25 juni 2020
6
Naast het privacybeleid is er tevens een privacyverklaring. Op intranet worden medewerkers geïnformeerd over nieuwe ontwikkelingen. Om de AVG goed u te voeren moet er tijdig met AVGF gerelateerde werkzaamheden worden gestart. Dit wordt privacy by desing genoemd. In praktijk komt het er op neer dat tijdig een DPIA uitgevoerd moet worden. Maar niet als een systeem al is gekocht, of een beleid is geschreven, of gestart worden met een nieuwe ontwikkeling. Het uitvoeren van een DPIA is een arbeidsintensieve handeling. Deze moet al worden uitgevoerd tijdens de Inkoopprocedure, vóór de besluitvoering en bij HRM gerelateerde werkzaamheden. Eigenlijk bij de tekentafel moet het AVG proces gestart worden. Daarom is goed dat structureel strategisch overleg wordt gehouden. In dit twee maandelijks overleg zitten: • • • • •
de Burgemeester, de gemeentesecretaris, de privacy officer/chief information security officer, de functionaris voor gegevensbescherming en (incidenteel) de teammanager Ondersteuning.
Bevinding van de FG Voor een goede inbedding, privacy by dising, moeten nog een aantal processen in werking worde gesteld. De wetenschap wat er moet gebeuren is aanwezig. Er is helaas te weinig mankracht om het uit te voeren. Het commitment is voelbaar. Afspraken zijn gemaakt. Maar deze moeten ook uitgevoerd worden hetgeen met de huidige bezetting en samenvoeging haast niet uitvoerbaar is. Verder is het van belang de privacy uitvoeringen financieel onafhankelijk te maken. Nu is de privacy officer afhankelijk van andere financiële posten. Hiermee wordt het risico gelopen dat een “potje” op is als hiervan gebruik gemaakt wil worden. Door op de begroting apart een bedrag voor privacy te reserveren toont de gemeente ook aan dat zij dit onderwerp serieus neemt.
4. Rechten van betrokkenen De gemeente dient degene van wie zij de persoonsgegevens verwerkt (betrokkene) zowel actief als passief te informeren over het verwerken, de wijze van het verwerken, de grondslag en de maatregelen die zij neemt om onrechtmatige toegang en - verwerking te voorkomen. Daarnaast stelt de AVG betrokkenen in staat om middels een aantal rechten controle en invloed uit te oefenen over zijn of haar persoonsgegevens. Er zijn documenten aangereikt die beschrijven hoe met de rechten van betrokkene omgegaan moet worden. Deze variëren van een folder tot een checklist en protocollen. Deze moeten nog worden “verlandsmeerd” cq. vastgesteld worden. Bevinding van de FG Deze ontwikkeling gaat niet snel genoeg. De oorzaak hiervan heeft eveneens te maken met het aantal fte dat beschikbaar is.
Remco Rekoert Functionaris voor Gegevensbescherming 25 juni 2020
7
5. Samenwerking De gemeente Landsmeer werkt op meerdere beleidsterreinen, in verschillende bedrijfsfuncties, in diverse rollen en hoedanigheden samen met (mede) overheden en private organisaties. In veelvoorkomende gevallen zal er sprake zijn van een verwerking van persoonsgegevens tussen partijen: ontvangen van persoonsgegevens, verzenden van persoonsgegevens, maar ook het opslaan van en inzage hebben in persoonsgegevens valt onder dit begrip. Deze verwerkingen dienen dan ook te voldoen aan de AVG. De gemeente Landsmeer dient dan ook afspraken te maken met deze andere partijen. Dit gebeurt middels een verwerkingsovereenkomst of een privacy convenant. Deze zijn vastgesteld. Dit moet door verantwoordelijken worden afgesloten met een leverancier. De Privacy Officer kan hierbij ondersteunen. Bij nieuwe ontwikkelingen die de Privacy Officer onder ogen krijgt, gebeurt dit. Of dit altijd gebeurt is niet bekend. Bevinding van de FG Bij dit thema kampt met de nodige beperkingen. Dit komt omdat er weinig is gedaan wordt aan bewustwording. Dit komt weer door een gebrek aan tijd/fte.
6. Beveiliging Vanuit het algemene behoorlijkheidsbeginsel, het integriteitsbeginsel en het vertrouwelijkheidsbeginsel is het essentieel dat de gemeente Landsmeer passende technische en organisatorische maatregelen neemt ter beveiliging van persoonsgegevens. Daarnaast geldt er onder de AVG een meldplicht datalekken. Dit houdt in dat incidenten – waaronder inbreuken – op de beveiliging onder omstandigheden gemeld dienen te worden aan de AP en/of de betrokkene(n). De informatiebeveiliging wordt door de Chief Information Security Officer uitgevoerd. Voor deze rol is een medewerker in 2019 aangesteld. Deze rol wordt gecombineerd met andere rollen. Er is een informatiebeveiligingsbeleid. Ook de ENSIA audit is goed afgerond. Bevinding van de FG Het verbaasd de FG dat door de gemeente Landsmeer geen datalekken zijn gemeld. Ook is niet duidelijk of dit komt omdat de medewerkers van de gemeente Landsmeer nooit gegevens lekken of dat dit ligt aan onwetendheid van de medewerkers.
Remco Rekoert Functionaris voor Gegevensbescherming 25 juni 2020
8
7. Verantwoording De AVG legt de verantwoordelijkheid bij de organisatie zelf om aantoonbaar te maken dat deze voldoet aan de privacyregels. Door te voldoen aan de verantwoordingsplicht, levert de organisatie een belangrijke bijdrage aan de bescherming van het grondrecht van mensen op privacy. Dit betekent dat het college van B&W aan moet kunnen tonen dat de verwerkingen van persoonsgegevens voldoen aan de beginselen van de AVG en aan de relevante wet- en regelgeving. Om dit meetbaar te maken is 31 juli 2019 een nulmeting uitgevoerd. Alle 7 thema’s zijn gemeten. Dit wordt elk jaar herhaald. Dan wordt zichtbaar welke groei er wordt doorstaan. Tevens is 16 december een zelf evaluatie uitgevoerd en opnieuw de nulmeting gedaan. Daar is alleen gekeken naar de verplichte uitvoeringen die in de AVG zijn genoemd. De bevindingen zijn opgemaakt in een rapportage en verspreid. Bevinding van de FG Bij deze de bevindingen van de aantoonbare verplichtingen uit bovenstaand rapport. In het kader van uw ‘aantoonplicht’ moet u de volgende maatregelen nemen: 1
Beheer en houd een register van verwerkingsactiviteiten bij. (verwerkingsregister)
2
Maak een passend privacy beleid.
3
5
Maak protocol en documenteer uw gegevensbeschermingseffectbeoordelingen/ PDIA’s. Stel de informatievoorziening aan de betrokkenen op schrift (bijvoorbeeld in de vorm van een privacy statement); Leg vast de wijze waarop u toestemming vraagt.
6
Bewijs dat deze toestemming daadwerkelijk is gegeven voor documenteren.
7
Documenteer dat de toestemming daadwerkelijk is gegeven. (verwerkingsregister)
8
Documenteer uw gerechtvaardigde belang.(incidentenregister)
4
9
Documenteer van uw processen en procedures ter waarborging van de rechten van de betrokkenen. (incidentenregister) 10 Stel verwerkersovereenkomsten conform de eisen uit de Verordening op voor elke inzet van verwerkers; 11 Documenteer de procedures voor de omgang met datalekken. (datalekregister) 12 Registreer de datalekken die zich in uw organisatie hebben voorgedaan bijhouden. (datalekregister) 13 Ontwerp en standaardiseer de maatregelen die u neemt om invulling te geven aan de uitgangspunten van gegevensbescherming. (verwerkingsregister)
Remco Rekoert Functionaris voor Gegevensbescherming 25 juni 2020
9
8. Conclusie Gezien de kleine ontwikkeling in 2019 verwacht de functionaris voor gegevensbescherming een grotere groei in 2020. Deze verwachting stoelt hij op goede afspraken die zijn gemaakt tijdens het strategisch overleg. Hierdoor is commitment ontstaan. Het is duidelijk dat er veel gedaan moet worden. Men moet zich ervan bewust zijn dat de werkdruk op gebied van privacy toe zal nemen Als er geen maatregelen worden getroffen zal de kleine stapjes die nu worden gezet veranderen in stil staan of misschien wel achteruitgang. Dan worden we kwetsbaar. Deze ervaring hebben we al in eind 2018/begin 2019 meegemaakt. Om een goede juiste gefaseerde opbouw te realiseren moeten in 2020 grotere stappen gemaakt worden.
Remco Rekoert Functionaris voor Gegevensbescherming 25 juni 2020
10
Deel 2. Vooruitkijken naar 2020 Gegevensbescherming onderdeel laten zijn van de processen en systemen van het college, en daarmee aantoonbaar voldoen aan privacywetgeving, is een continu proces. Het vraagt om structurele borging van dit onderwerp. Hieronder wordt weergegeven wat er moet gebeuren om meer grip te krijgen op de verwerking van persoonsgegevens.
1. Beleid Het beleid is voor drie jaar vastgesteld. In 2021 zal deze worden vernieuwd. Het beleid moet in bewustwordingsbijeenkomsten verkondigd moeten worden.
2. Processen De uitvoering van processen bestaan uit twee delen. De uitvoering van alle gemeentelijke processen en de uitvoering van AVG gerelateerde processen. Sluit bij de uitvoering van alle gemeentelijke processen aan om vervolgens de AVG gerelateerde processen vorm te geven. Parallel hieraan kunnen wel de processen worden gepresenteerd. Zowel in bewustwordingsbijeenkomsten al op andere wijze (Intranet). Voer sowieso de AGV processen uit bij nieuwe ontwikkelingen.
3. Organisatorische inbedding Het overzicht ontbreekt wanneer nieuwe ontwikkelingen vorm krijgen. Privacy processen zijn arbeidsintensieve processen. Daarom is het van belang dat privacy vroegtijdig bij nieuwe ontwikkelingen te betrekken. Dus bij besluitvoering (in al sprake van), bij inkoop en bij HRM zaken. Ook hiervoor geldt dat dit tijdens bewustwordingsbijeenkomst verantwoordelijken op de hoogte worden gebracht. De processen moeten in de lijn, bij verantwoordelijk, worden neergelegd. Verantwoordelijken (lees: Teammanagers/Proceseigenaren) kunnen ondersteuning krijgen van de privacy officer en de FG. Tenslotte zal op de begroting een post voor privacy moeten worden opgenomen. Al dan niet in combinatie met Informatiebeveiliging.
Remco Rekoert Functionaris voor Gegevensbescherming 25 juni 2020
11
4. Rechten van betrokkenen Naast het vaststellen c.q. “verlandsmeerden” van de al bestaande documentatie, is het van belang deze in de organisatie te verkondigen. Tevens dient er aandacht worden besteed aan de opzet van een toestemmingsformulieren. Maak folders en leg deze bij alle balie/bureaus waar burgers zich kunnen melden. Wees open en helder met processen waar persoonsgegevens een rol spelen.
5. Samenwerking De gemeente Landsmeer is verplicht bij te houden aan wie zij persoonsgegevens verstrekken. Dit wordt in een verwerkingsregister bijgehouden. Deze is aanwezig, maar moet op korte termijn worden uitgebreid daar een volwassen registratie. Hierin staan eveneens of de nodige overeenkomsten zijn uitgewisseld.
6. Beveiliging Men moet zich ervan bewust zijn dat de beveiliging meer is dan alleen de ENSIA audit. Het betreft tevens de autorisaties en hoe men hiermee om gaat. Door goed applicatiebeheer worden persoonsgegeven beschermd. Het applicatiebeheer dient een update te krijgen. Alle applicatiebeheerders moeten worden he opgeleid hoe met autorisaties omgegaan en beheerd moet worden.
7. Verantwoording He doel is voor 2020 is alle rode kruizen en gele “is”- tekens weg te werken zodat dat groene vinkjes worden. Hiermee wordt de grip op privacy realiseerbaar. Van groot belang is te realiseren dat dit het hierna zaak is alles bij te houden. Het is een continu proces!
8. Conclusies Om de verwachtingen voor 2020 te realiseren binnen een acceptabele periode adviseert de FG serieus te investeren in het team privacy en informatiebeveiliging. Dit kan alleen door het team aan te vullen met extra menskracht. De gecombineerde rol van de CISO/PO/medewerker gegevensmanagement is te veelzijdig om tijdig noodzakelijke werkzaamheden voortvloeiend uit de AVG uit te voeren. Eén trainee is dan helaas niet voldoende. Zeker tijdens de opbouw van deze
Remco Rekoert Functionaris voor Gegevensbescherming 25 juni 2020
12
uitvoeringen is uitbreiding noodzakelijk. Zodra er inderdaad grip op privacy aanwezig is, kan dit worden afgebouwd. N.b. de ervaring is dat door de bewustwording van de uitvoerende werkzaamheden de impact in de organisatie en daardoor de het werkaanbod voor het team toeneemt. Als dit niet gebeurt kan de AP dit beoordelen dat de gemeente de AVG niet zorgvuldig uitvoert. Zodra het team is uitgebreid is de kans dat de eerdergenoemde verwachtingen gerealiseerd worden. Als er niets gebeurd zal de voortgang zo blijven of kan er zelfs een achteruitgang ontstaan. De kwetsbaarheid neemt dan weer toe. Dit hoeft geen gevolgen te hebben. Zo lang er niets gebeurt. Maar het risico blijft dat de AP een onderzoek in Landsmeer wordt uitgevoerd. In dat geval zal de gemeente Landsmeer er grote moeite mee hebben zich te verdedigen. Hiernaast zal de publiciteit hieromtrent de gemeente Landsmeer geen goed doen.
Remco Rekoert Functionaris voor Gegevensbescherming 25 juni 2020
13
Bijlage 1 - Stand van zaken AVG per thema
Remco Rekoert Functionaris voor Gegevensbescherming 25 juni 2020
14
Remco Rekoert Functionaris voor Gegevensbescherming 25 juni 2020
15
Bijlage 2 overzicht 2019 in cijfers. In 2019 zijn er: • • • • •
geen DPIA’s uitgevoerd (thema 2). geen verzoeken door betrokkene ingediend (thema 4). 5 verwerkingsovereenkomsten ondertekend (thema 5) 1 privacy convenant ondertekend (thema 5) 3 datalekken geregistreerd. (thema 6)
Remco Rekoert Functionaris voor Gegevensbescherming 25 juni 2020
16