2020 -FG-Jaarrapportage-

JAARRAPPORTAGE BESCHERMING PERSOONSGEGEVENS GEMEENTE LELYSTAD 2020

Functionaris Gegevensbescherming (FG) Pieter Poelstra 30-04-2021

Inhoudsopgave INLEIDING ..............................................................................................................................................3 Samenvatting…………………………………………………………………………………………..………..4 DEEL 1. TERUGBLIK OP 2020..............................................................................................................4 1. 2. 3. 4. 5. 6. 7. 8.

HET PRIVACYBELEID .......................................................................................................................5 PROCESSEN ..................................................................................................................................5 ORGANISATORISCHE INBEDDING .....................................................................................................5 RECHTEN VAN BETROKKENEN .........................................................................................................6 SAMENWERKING ............................................................................................................................6 BEVEILIGING ..................................................................................................................................7 VERANTWOORDING ........................................................................................................................7 CONCLUSIE ...................................................................................................................................7

DEEL 2. VOORUITKIJKEN NAAR 2021 ..............................................................................................10 1. 2. 3. 4. 5. 6. 7.

HET PRIVACYBELEID .....................................................................................................................10 PROCESSEN ................................................................................................................................10 ORGANISATORISCHE INBEDDING ...................................................................................................10 RECHTEN VAN BETROKKENEN .......................................................................................................10 SAMENWERKING ..........................................................................................................................10 BEVEILIGING ................................................................................................................................11 VERANTWOORDING ......................................................................................................................11

Bijlage 1 Bijlage 2 Bijlage 3

Overzicht uitgevoerde DPIA’s en privacyscans in 2020 Rechten van betrokkenen Overzicht datalekken

Inleiding De gemeente Lelystad dient zorgvuldig om te gaan met persoonsgegevens. Onze gemeente verwerkt immers bij de uitoefening van haar taken veel informatie. Niet alleen persoonlijke informatie van eigen inwoners, maar ook van andere burgers, medewerkers, externen en zakenrelaties. In de AVG (Algemene Verordening Gegevensbescherming) wordt het wettelijk kader beschreven voor het verwerken van persoonsgegevens. Zo dient de gemeente inzichtelijk te hebben welke persoonsgegevens zij verwerkt en voor welk doel. Persoonsgegevens mogen alleen worden verwerkt wanneer dit in overeenstemming is met het doel waarvoor zij zijn verzameld en gegevens mogen niet langer bewaard worden dan noodzakelijk. Bovendien moet de gemeente passende technische en organisatorische beveiligingsmaatregelen treffen om onrechtmatige toegang tot deze persoonsgegevens tegen te gaan waarmee onrechtmatig gebruik van deze persoonsgegevens voorkomen wordt. Onder de verantwoordelijkheid van de bestuursorganen van de gemeente Lelystad vindt een groot aantal verwerkingen van persoonsgegevens plaats. Het gaat hierbij om persoonsgegevens zoals van eigen inwoners, inwoners van andere gemeenten, medewerkers en externen. De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacyregels in Nederland.

Daarnaast dient de gemeente Lelystad te beschikken over een interne toezichthouder: de Functionaris voor de Gegevensbescherming (FG). De bestuursorganen van de gemeente Lelystad alsook de lokale rekenkamer hebben Pieter Poelstra aangesteld als FG1. De FG ziet erop toe, vanuit zijn onafhankelijke toezichthoudende rol, dat de AVG intern wordt nageleefd. De dient FG naar behoren en tijdig te worden betrokken bij alle gelegenheden die verband houden met de bescherming van persoonsgegevens. Daarnaast dient de FG ondersteund te worden door hem toegang te verschaffen tot persoonsgegevens en verwerkingen daarvan en hem de benodigde middelen ter beschikking te stellen voor het vervullen van de taak en het in standhouden van zijn deskundigheid. De FG brengt jaarlijks een verslag uit aan de verwerkingsverantwoordelijken van zijn werkzaamheden en bevindingen en doet hij naar aanleiding daarvan aanbevelingen. Deze jaarrapportage is bedoeld voor de burgemeester en het college van B&W. De gemeenteraad zal als zelfstandig verwerkingsverantwoordelijke en als controlerend orgaan van het college van B&W eveneens dit verslag ontvangen. Deze jaarrapportage is gebaseerd op het stramien zoals dat door de VNG ter beschikking is gesteld.

1 Hiermee worden de drie bestuursorganen van de gemeente bedoeld: de burgemeester, het college van

burgemeester en wethouders en de gemeenteraad.

3

Samenvatting De gemeente Lelystad heeft vastgesteld privacybeleid op basis van de AVG (Algemene Verordening Gegevensbescherming) dat dient als kader voor de bescherming van persoonsgegevens. Aanvullend conformeert de gemeente zich aan de BIO (Baseline Informatiebeveiliging Overheid), een voorname voorwaarde voor de bescherming van deze gegevens. Nauwe samenwerking met leden van de CIO-Office zorgt er voor dat nieuwe projecten en applicaties in een vroegtijdig stadium over de privacy-component geadviseerd worden. Externe partijen worden voorafgaand aan de samenwerking beoordeeld op hun omgang met persoonsgegevens; indien nodig worden verwerkersovereenkomsten getoetst en afgesloten. Net als in 2019 zijn er in 2020 veel adviezen op grond van de AVG gegeven. Maar ook ZIVVER, een instrument dat veilig mailen bevordert, is geïntroduceerd en verder verfijnd in de toepassing. De kans op een verkeerd gestuurde mail, niet zelden een oorzaak van een datalek, wordt hiermee verkleind. De datalekken die in 2020 zijn opgetreden zijn conform procedure afgehandeld en waar nodig zijn er verbeteringen in het proces doorgevoerd. Uiteraard stond 2020 in het teken van corona waardoor veel medewerkers noodgedwongen thuis moesten werken. Daarom is in de bewustwording betreffende veilig werken met informatie de nadruk gelegd om ook in de thuissituatie de richtlijnen na te leven.

Audits uitvoeren is een vast onderdeel van de werkzaamheden van de FG (Functionaris Gegevensbescherming), de onafhankelijke toezichthouder op het gebied van persoonsgegevens. Ook in 2021 zullen audits uitgevoerd worden. De nieuwe actiepunten die dit gaat opleveren, zullen op opvolging gemonitord worden.

Deel 1. Terugblik op 2020 In dit deel van de rapportage zal worden teruggeblikt op hetgeen de gemeente in 2020 heeft bereikt en welke werkzaamheden zijn verricht.

1. Het privacybeleid Het privacybeleid is een kader waarin de gemeente Lelystad aangeeft aan welke principes zij zich houdt bij de verwerking van persoonsgegevens. Het laat zien hoe de gemeente omgaat met persoonsgegevens en welke maatregelen zij treft om te voldoen aan de relevante wet- en regelgeving. De gemeente Lelystad heeft het privacybeleid en –reglement (inclusief taken en bevoegdheden van de FG) in maart 2018 vastgesteld. Ook is er een Privacy Statement op de website www.lelystad.nl geplaatst. Hier staat in begrijpelijke bewoordingen de bescherming van persoonsgegevens uitgelegd. En de rechten die betrokkenen hebben, zoals het recht op inzage in hun persoonsgegevens. Er is een voorbeeldbrief opgenomen op die website die de drempel verlaagt om zo’n verzoek in te dienen.

2. Processen De verwerkingen van persoonsgegevens van de gemeente Lelystad dienen te voldoen aan de AVG. Dit houdt in dat de werkprocessen die persoonsgegevens bevatten getoetst en ingericht moeten worden volgens de volgende beginselen: behoorlijkheid, transparantie, doelbinding, dataminimalisatie, opslagbeperking, juistheid, integriteit en vertrouwelijkheid. Daarnaast voert de gemeente in bepaalde gevallen een gegevensbeschermingseffectbeoordeling (DPIA2) uit. In bijlage 1 is een overzicht opgenomen van de uitgevoerde DPIA’s en privacyscans in 2020. Hoewel de FG omwille van zijn onafhankelijke rol geen deel uitmaakt van de CIO-Office, werkt hij wel degelijk nauw samen met de CIO (Chief Information Officer) en informatiemanagers. Hierdoor wordt de FG in een vroegtijdig stadium betrokken bij nieuwe initiatieven die een privacy-component hebben. De FG toets deze initiatieven op de in de 1e alinea genoemde beginselen. De bescherming van persoonsgegevens is zodoende één van de leidende principes van “Lelystad Digitaal 2023”, één van de producten van de CIO-Office. Ook heeft de FG vrijwel dagelijks contact met de CISO (Chief Information Security Officer) over de stand van zaken en trends op het gebied van informatiebeveiliging. Dit onderwerp is uiteraard een noodzakelijke voorwaarde wanneer het aankomt op bescherming van persoonsgegevens.

3. Organisatorische inbedding De FG en de Privacy Officer (PO) zijn de eerste aanspreekpunten als het aankomt op ‘privacy’. De PO adviseert op casusniveau aan medewerkers. De FG is eveneens adviseur en is daarnaast toezichthouder en verricht audits. De werkzaamheden vallen grofweg uiteen in instrueren, adviseren en controleren.

2 De gegevensbeschermingseffectbeoordeling wordt ook wel afgekort tot DPIA naar de Engelse term Data

Protection Impact Assessment.

5

Instrueren In 2019 zijn door FG en PO ruim 40 presentaties gehouden over de (invoering van) AVG en de gevolgen daarvan voor het betreffende team. Deze presentaties zijn in 2020 op verzoek herhaald. Want: voor een goede en juiste uitvoering van de AVG is het van belang dat elke medewerker binnen de organisatie op de hoogte is van de beginselen van de AVG en het belang van bescherming van persoonsgegevens. Daarnaast heeft de PO in 2019 het veilig mailen instrument ‘ZIVVER’ breed uitgerold in de organisatie en in 2020 verder verfijnd middels maatwerk en instructies te geven. ZIVVER zorgt voor een veilige verbinding met de geadresseerde en attendeert de mailer op een eventueel verkeerd gekozen mailadres. Er zijn cursussen en instructie-bijeenkomsten georganiseerd alsook intranetberichten en roll-up banners geplaatst over deze veilige manier van mailen. Dit instrument is aangegrepen om andermaal organisatiebreed het belang van zorgvuldig omgaan met persoonsgegevens te benadrukken. Adviseren Tevens zijn er zeer veel adviezen gegeven op de meest uiteenlopende werkterreinen aan medewerkers die vragen hebben over de toepassing van de AVG. Vaak wordt een voorgestelde werkwijze ter toetsing voorgelegd. Soms wordt om advies gevraagd hoe het beste een proces ingericht kan worden gelet op de AVG.

Inmiddels kan gesteld worden dat de medewerker het ‘loket privacy’ dat bemand wordt door de FG en PO goed weet te vinden. De eerder genoemde samenwerking met de CIO-Office is hier mede debet aan. Controleren Dit onderdeel is voor rekening van de FG die hiermee onder meer zijn toezichthoudende rol mee invult. Aanleiding kan zijn een datalek, ENSIA, periodieke beveiligingsrondes en audits. Bij punt 8 zijn bevindingen vanuit deze controles opgenomen. Organisatorische inbedding betekent tevens het toewijzen van taken, verantwoordelijkheden en bevoegdheden en bewustzijn creëren. In het privacybeleid zijn daarom de verantwoordelijkheden en taken toegewezen. Uitgangspunt is dat eenieder die werkt met persoonsgegevens, de beginselen van de AVG weet toe te toepassen. Tot slot: op grond van artikel 38 lid 3 van de AVG mag de FG geen instructies ontvangen met betrekking tot de uitvoering van zijn taken. In 2020 heeft de FG zonder interventies zijn werk kunnen doen en ondervindt hij geen belemmeringen in de uitvoering van zijn werk.

4. Rechten van betrokkenen In het Privacy Statement staat verwoord hoe de gemeente omgaat met persoonsgegevens. Tevens is daar het privacybeleid en –reglement opgenomen. Het stelt betrokkenen in staat om middels een aantal rechten controle en invloed uit te oefenen over zijn of haar persoonsgegevens. Bijvoorbeeld het recht op inzage. Hier is in 2020 beperkt gebruik van gemaakt. In bijlage 2 is een overzicht opgenomen van het aantal verzoeken van betrokkenen in het jaar 2020.

5. Samenwerking De gemeente Lelystad werkt op meerdere beleidsterreinen, in verschillende bedrijfsfuncties, in diverse rollen en hoedanigheden samen met (mede) overheden en private organisaties. In bepaalde gevallen

zal er sprake zijn van een verwerking van persoonsgegevens tussen partijen: ontvangen van persoonsgegevens, verzenden van persoonsgegevens, maar ook het opslaan van en inzage hebben in persoonsgegevens valt onder dit begrip. Deze verwerkingen dienen dan ook te voldoen aan de AVG. De gemeente Lelystad heeft op grote schaal afspraken gemaakt met deze andere partijen. In een zogenaamde verwerkersovereenkomst zijn deze afspraken vastgelegd. De FG houdt het register bij waarin de verwerkersovereenkomsten staan. De gemeente Lelystad heeft als uitgangspunt dat de standaard verwerkersovereenkomst van de VNG leidend is. Van deze standaard is in 2020 een nieuwe versie verschenen die vanaf dat moment ook meteen door de gemeente Lelystad is toegepast. De betrokken teams worden van advies voorzien mocht dat nodig zijn. Bijvoorbeeld als een externe partij wil onderhandelen over de inhoud van de verwerkersovereenkomst. Het register bevat inmiddels ruim 110 verwerkersovereenkomsten.

6. Beveiliging Vanuit het algemene behoorlijkheidsbeginsel, het integriteitsbeginsel en het vertrouwelijkheidsbeginsel is het essentieel dat de gemeente Lelystad passende technische en organisatorische maatregelen neemt ter beveiliging van persoonsgegevens. Daarnaast geldt er onder de AVG een meldplicht datalekken. Dit houdt in dat incidenten – waaronder inbreuken – op de beveiliging onder omstandigheden gemeld dienen te worden aan de AP en/of de betrokkene(n). De datalekken zijn allen afgehandeld conform procedure. De FG is hierbij de spin in het web. Hij onderzoekt bijvoorbeeld of het datalek gemeld moet worden aan betrokkenen en de AP, of de beveiligingsmaatregelen moeten worden aangepast en of een eventuele aanpassing van een beveiligingsmaatregel heeft voldaan. Alle datalekken worden conform procedure gemeld aan de gemeentesecretaris en de betreffende wethouder. In bijlage 3 is een overzicht opgenomen van het aantal datalekken in 2020. De gemeente conformeert zich bovendien aan de BIO (Baseline Informatiebeveiliging Overheid) waarover het zich in de ENSIA-systematiek (Eenduidige Normatiek Single Information Audit) jaarlijks verantwoordt aan gemeenteraad en de nationale toezichthouder. De CISO van de gemeente Lelystad neemt dit onderdeel voor zijn rekening.

7. Verantwoording De AVG legt de verantwoordelijkheid bij de organisatie zelf om aantoonbaar te maken dat deze voldoet aan de privacyregels. Door te voldoen aan de verantwoordingsplicht, levert de organisatie een belangrijke bijdrage aan de bescherming persoonsgegevens. De verplichte maatregelen van de AVG waarvoor een verantwoordingsplicht geldt (en waaraan de gemeente Lelystad voldoet) zijn: -

Register van verwerkingsactiviteiten opstellen en bijhouden

-

DPIA’s uitvoeren (zie punt 2 op de pagina 5)

-

Register bijhouden van datalekken Aantonen dat betrokkene toestemming geeft voor een verwerking wanneer dat noodzakelijk is. Omdat de gemeente vanuit haar wettelijke en publieke taak veelal geen toestemming hoeft te vragen, is dit onderwerp beperkt tot bijvoorbeeld cookies op de website en nieuwsbrieven. - Aanstellen van een FG. De AP heeft hier op 1 juni 2018 op gecontroleerd. Een manier om de verantwoording vorm te geven en daarmee ook transparantie te bieden is deze jaarrapportage.

7

8. Conclusie Vanaf 2018 heeft de gemeente Lelystad heel wat werk verzet om de AVG te implementeren in de organisatie, de systemen en de processen. Een aantal maatregelen waren zeer effectief, zoals het creëren van bewustzijn (dat onder meer blijkt uit het grote aantal adviesvragen naar aanleiding van de bewustwordingssessies) en het adviseren op casusniveau. Tevens zijn er vele verwerkersovereenkomsten afgesloten met externen die met persoonsgegevens werken waar de gemeente Lelystad verantwoordelijk voor blijft. Het zorgt ervoor dat deze partijen zich bewust zijn van hun handelen met betrekking tot deze persoonsgegevens. Ook zijn er organisatiebreed veel persoonsgegevens “opgeruimd” op basis van de bewaartermijnen en is de toegang in bepaalde gevallen beperkt tot de medewerkers die er ook echt mee moeten werken. Maar er zijn ook aandachtspunten voor de organisatie waarin het nog kan groeien. In onderstaande tabel zijn acties benoemd om het omgaan met persoonsgegevens naar een nog hoger plan te tillen. Thema

Betreft

Actie

Actuele status (april 2021)

Sociaal Domein

Verwijderen persoonsgegevens die niet meer bewaard mogen worden gelet op de bewaartermijn. Plus verwijderen van accounts. Suite4Sociaal Domein

Eerst testen dan verwijderen van persoonsgegevens op de onderdelen Jeugdwet, Participatiewet en WMO.

In de Suite staan nog 2500 BRP meldingen open staan die opgeschoond moeten worden. Dit waren er ruim 40.000. Opschonen van de Wmo dossiers, uit te voeren door interne controle van Sociaal Domein

WIZ-portaal

Dienstverlening

MyCorsa (postregistratiesysteem)

Openstaande oude Inburgeringsdossiers, Participatiedossiers en Hercontroledossiers afsluiten in Suite4Sociaal Domein opkNog niet gereed, is inmiddels onderhanden werk bij Interne Controle van het Sociaal Domein

Lijst met gebruikers niet actueel, niet persoonsgebonden accounts, geen actuele procedure voor gebruikersbeheer Vergunningsgegevens worden bewaard op projecten teamschijf

Opschonen accounts en opstellen procedures

Persoonsgegevens in Corsa zichtbaar

VertrouwelijkhedenJjk Gereed toekennen aan Vertrouwelijkheden zijn aangepast. Er wordt documenten. Actief

Documenten gaandeweg in het Document Management Systeem opnemen

Vindt zijn verdere uitwerking met de ingebruikname van het nieuwe vergunningensysteem. Bevindt zich in de aanbestedingsfase.

DDS (Data Distributie Systeem)

GUUS (financieel system)

Over de totale breedte van DDS worden niet alle loggings beoordeeld, frequent opgeschoond en bewaartermijnen bepaald. 10 medewerkers uit dienst hadden nog een actief account. 1 nietpersoonsgebonden account. Wachtwoord voldoet net aan de richtlijnen. Geen actuele procedure voor accountbeheer.

monitoren. Van de periodiek een controle 8.599 poststukken gedaan op naleving. DIA hebben er 116 neemt een actievere rol onterecht niet het aan in het monitoren en label vertrouwelijk geeft nadere instructies toegewezen aan teams waar nodig. gekregen. Procedure opstellen, Nn Niet gereed, to do. uitvoeren en rapporteren aan leidinggevende Opschonen accounts, opstellen procedure en wachtwoordinstelling aanpassen.

Gereed

Onderdelen die in 2020 succesvol zijn afgerond nadat ze eerder op bovenstaande actielijst stonden, waren onder meer: 

Lokale schijf mediabureau – een keur aan oude adressenbestanden zijn definitief verwijderd.



Sociaal domein, team Aanvragen - Alle bankafschriften van een periode van 2 maanden werden zonder uitzondering gekopieerd en bewaard bij aanvraag inkomensvoorziening. Nu alleen nog de eerste en laatste pagina conform de voorschriften



In de Suite4Sociaal Domein zijn circa 39.000 openstaande BRP-meldingen opgeschoond



Transfer-schijf waarop in sommige gevallen grote bestanden met persoonsgegevens werden geplaatst ten behoeve van het mediabureau. Deze persoonsgegevens waren gemeentebreed raadpleegbaar maar nu niet meer.



Key2Belastingen De personen zonder doelbinding zijn zowel uit de test- als de productieomgeving verwijderd van Key2Belastingen. Medio juni 2020 zijn circa 56.500 personen verwijderd uit Key2Belastingen van wie ooit met doelbinding gegevens zijn verzameld.



SharePoint – onbedoeld stonden bij circa 20 medewerkers documenten open die voor de hele organisatie zichtbaar waren. Na reclamatie is dat ongedaan gemaakt

9

Deel 2. Vooruitkijken naar 2021 Gegevensbescherming onderdeel laten worden van de organisatie, en daarmee aantoonbaar voldoen aan de relevante wet- en regelgeving, is geen afvinklijst, maar een continu proces. Het vraagt om structurele borging van dit onderwerp. Waar het jaar 2018 in het teken stond van voorbereiden op de AVG en het nemen van de eerste hobbels om uiteindelijk aantoonbaar te kunnen voldoen aan deze wet, stond 2019 in het teken staan van het continueren en verstevigen van dit proces. En het uitvoeren van audits om te toetsen of de regels worden nageleefd. In 2021 zal deze lijn worden doorgetrokken, Daarnaast zal ook aan bewustwording blijvend aandacht geschonken worden en zullen er adviezen/richtlijnen gegeven worden op casus-niveau. In 2021 is namelijk een Cybersecurity Cultuurscan van start gegaan. Met behulp van een vragenlijst wordt een beeld gevormd van hoe veilig werken met informatie binnen onze organisatie gaat. En waar in de organisatie welke bijsturing nodig is. Hiermee wordt de cyclus instrueren, adviseren en controleren blijvend doorlopen.

1. Het privacybeleid Actie: geen. Slechts wanneer er aanleiding toe bestaat, zal het beleid aangepast worden.

2. Processen Acties (zie punt 8 van Deel 1 voor nadere toelichting): 

actief verwijderen persoonsgegevens Sociaal Domein en Dienstverlening.



Daarnaast zullen audits minimaal in het Sociaal Domein, Dienstverlening, ICTbeheersomgeving en op fysieke dossiers (gemeentebreed) worden uitgevoerd. Tevens zullen logging-bestanden van applicaties met veel persoonsgegevens worden gecontroleerd. Naast de audits die al vanuit ENSIA worden uitgevoerd en die ook privacyaspecten in zich hebben zoals BRP (Basis Registratie Personen), DigiD, SuwiNet (Structuur Uitvoering Werk en Inkomen).

3. Organisatorische inbedding Acties: opnieuw verzorgen van presentaties aan teams op uitnodiging om bewustzijn van omgang met persoonsgegevens op de agenda te houden. Het doel hierbij is om laagdrempelig vragen om advies in ontvangst te kunnen nemen. Waarop maatwerk qua advies gegeven kan worden. De filosofie van de FG en PO is en blijft dat er pragmatisch en oplossingsgericht geadviseerd wordt. Daarbij wordt de inhoudelijke AVG-kennis gekoppeld aan de organisatiekennis.

4. Rechten van betrokkenen Acties: geen. Conform procedure zullen betrokkenen antwoord krijgen.

5. Samenwerking Actie: Het register met verwerkersovereenkomsten onderbrengen in het ISMS (Information Security Management System) zodra dat in werking treedt.

6. Beveiliging Informatiebeveiliging zorgt ervoor dat persoonsgegevens goed beveiligd zijn. In paragraaf 6 op pagina 7 van deze rapportage staat toegelicht volgens welke systematiek dat gebeurt. De jaarlijkse toetsing levert actiepunten op. Acties: er wordt verwezen naar de actiepunten zoals die in de ENSIA-verantwoordingsrapportages benoemd zijn door de CISO. Deze ENSIA-verantwoordingsrapportages worden aan College en Raad aangeboden.

7. Verantwoording Actie: aan de bestuursorganen zal de stand van zaken gerapporteerd worden. Daarnaast zal de FG vanuit zijn toezichthoudende rol weer een jaarrapportage schrijven.

11

BIJLAGE 1 OVERZICHT UITGEVOERDE DPIA’S en privacyscans in 2020 1. Burgerzaken applicatie 2. Ondersteuning sekswerkers 3. Zetacom (telefonie) 4. Zorgweb – Voorzieningenwijzer 5. ISMS (Informatiebeveiliging management systeem) 6. Belastingsysteem + WOZ 7. Validsign (digitale handtekening) 8. Key2Vergunningen 9. PostNL (aanleveren ingescande post) 10. UIPath (robotiseringssoftware) 11. Seneca (fomulieren-generator) De DPIA’s zijn door de FG en/of PO uitgevoerd/beoordeeld tezamen met een medewerker die inhoudelijk betrokken is bij het onderwerp. Een DPIA wordt alleen uitgevoerd wanneer de aard van verwerking verandert en/of de verwerking van gegevens een hoog privacy risico met zich mee brengt. Een privacyscan maakt inzichtelijk of en hoe er met persoonsgegevens gewerkt gaat worden in de beoogde applicatie.

BIJLAGE 2 OVERZICHT RECHTEN VAN BETROKKENEN In 2020 waren er 4 verzoeken om inzage in persoonsgegevens, specifiek betrekking hebbende op het Sociaal Domein. In 2020 waren er 3 verzoeken om inzage van een inwoner in alle persoonsgegevens die bij de gemeente worden verwerkt (dus niet beperkt tot louter het Sociaal Domein). Alle verzoeken tot inzage in persoonsgegevens zijn naar tevredenheid afgehandeld.

13

BIJLAGE 3 OVERZICHT DATALEKKEN In 2020 zijn er 10 datalekken gemeld aan de FG. Die zijn conform procedure afgehandeld. In de gevallen waarin dat nodig was (ernstige nadelige gevolgen voor de betrokkene) is het gemeld aan de AP en betrokkenen. Bij elk datalek wordt nagegaan of de onderliggende werkwijze aanpassing behoeft waardoor herhaling voorkomen kan worden. Het betrof de volgende datalekken: -

2 WOZ-beschikkingen voor verschillende personen naar eenzelfde adres gestuurd 2 brieven van Belastingen voor verschillende personen naar eenzelfde adres gestuurd Indieners bezwaarschriften hebben elkaars NAW te zien gekregen Brief Jeugdwet naar het verkeerde adres gestuurd Cliëntervaringsonderzoek Jeugd naar verkeerde adressen gestuurd (63 stuks) Hack Hotmail fractie-assistent iBabs korte tijd openbaar raadpleegbaar geweest mail Omgevingsvisie naar 20 gegadigden gestuurd in cc waardoor mailadressen zichtbaar waren uittreksels BRP abusievelijk verstuurd aan advocatenkantoor TOZO: 2 cliënten aanvragen zijn aan de verkeerde persoon gekoppeld