BL Jaarrapportage 2021 FG

JAARRAPPORTAGE BESCHERMING PERSOONSGEGEVENS GEMEENTE LELYSTAD 2021

Functionaris Gegevensbescherming (FG) Pieter Poelstra 26-04-2022

Inhoudsopgave INLEIDING ..............................................................................................................................................3 Samenvatting…………………………………………………………………………………………..………..4 DEEL 1. TERUGBLIK OP 2021..............................................................................................................4 1. 2. 3. 4. 5. 6. 7. 8.

HET PRIVACYBELEID .......................................................................................................................5 PROCESSEN ..................................................................................................................................5 ORGANISATORISCHE INBEDDING .....................................................................................................5 RECHTEN VAN BETROKKENEN .........................................................................................................6 SAMENWERKING ............................................................................................................................6 BEVEILIGING ..................................................................................................................................7 VERANTWOORDING ........................................................................................................................7 CONCLUSIE ...................................................................................................................................7

DEEL 2. VOORUITKIJKEN NAAR 2022 ..............................................................................................10 1. 2. 3. 4. 5. 6. 7.

HET PRIVACYBELEID .....................................................................................................................10 PROCESSEN ................................................................................................................................10 ORGANISATORISCHE INBEDDING ...................................................................................................10 RECHTEN VAN BETROKKENEN .......................................................................................................10 SAMENWERKING ..........................................................................................................................10 BEVEILIGING ................................................................................................................................11 VERANTWOORDING ......................................................................................................................11

Bijlage 1 Bijlage 2 Bijlage 3

Overzicht uitgevoerde DPIA’s en privacyscans in 2021 Rechten van betrokkenen Overzicht datalekken

Inleiding De gemeente Lelystad dient zorgvuldig om te gaan met persoonsgegevens. Onze gemeente verwerkt immers bij de uitoefening van haar taken veel informatie. Niet alleen persoonlijke informatie van eigen inwoners, maar ook van andere burgers, medewerkers, externen en zakenrelaties. In de AVG (Algemene Verordening Gegevensbescherming) wordt het wettelijk kader beschreven voor het verwerken van persoonsgegevens. Zo dient de gemeente inzichtelijk te hebben welke persoonsgegevens zij verwerkt en voor welk doel. Persoonsgegevens mogen alleen worden verwerkt wanneer dit in overeenstemming is met het doel waarvoor zij zijn verzameld en gegevens mogen niet langer bewaard worden dan noodzakelijk. Bovendien moet de gemeente passende technische en organisatorische beveiligingsmaatregelen treffen om onrechtmatige toegang tot deze persoonsgegevens tegen te gaan waarmee onrechtmatig gebruik van deze persoonsgegevens voorkomen wordt. Onder de verantwoordelijkheid van de bestuursorganen van de gemeente Lelystad vindt een groot aantal verwerkingen van persoonsgegevens plaats. Het gaat hierbij om persoonsgegevens zoals van eigen inwoners, inwoners van andere gemeenten, medewerkers en externen. De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacyregels in Nederland.

Daarnaast dient de gemeente Lelystad te beschikken over een interne toezichthouder: de Functionaris voor de Gegevensbescherming (FG). De bestuursorganen van de gemeente Lelystad alsook de lokale rekenkamer hebben Pieter Poelstra aangesteld als FG1. De FG ziet erop toe, vanuit zijn onafhankelijke toezichthoudende rol, dat de AVG intern wordt nageleefd. De dient FG naar behoren en tijdig te worden betrokken bij alle gelegenheden die verband houden met de bescherming van persoonsgegevens. Daarnaast dient de FG ondersteund te worden door hem toegang te verschaffen tot persoonsgegevens en verwerkingen daarvan en hem de benodigde middelen ter beschikking te stellen voor het vervullen van de taak en het in standhouden van zijn deskundigheid. De FG brengt jaarlijks een verslag uit aan de verwerkingsverantwoordelijken van zijn werkzaamheden en bevindingen en doet hij naar aanleiding daarvan aanbevelingen. Deze jaarrapportage is bedoeld voor de burgemeester en het college van B&W. De gemeenteraad zal als zelfstandig verwerkingsverantwoordelijke en als controlerend orgaan van het college van B&W eveneens dit verslag ontvangen. Deze jaarrapportage is gebaseerd op het stramien zoals dat door de VNG ter beschikking is gesteld.

1 Hiermee worden de drie bestuursorganen van de gemeente bedoeld: de burgemeester, het college van

burgemeester en wethouders en de gemeenteraad.

3

Samenvatting De gemeente Lelystad heeft vastgesteld privacybeleid op basis van de AVG (Algemene Verordening Gegevensbescherming) dat dient als kader voor de bescherming van persoonsgegevens. Aanvullend conformeert de gemeente zich aan de BIO (Baseline Informatiebeveiliging Overheid), een voorname voorwaarde voor de bescherming van deze gegevens. Nauwe samenwerking met leden van de CIO-Office zorgt er voor dat nieuwe projecten, applicaties en aanbestedingen in een vroegtijdig stadium over de privacy-component geadviseerd worden. Externe partijen worden voorafgaand aan de samenwerking beoordeeld op hun omgang met persoonsgegevens; indien nodig worden verwerkersovereenkomsten getoetst en afgesloten. Ook in 2021 zijn er zeer veel adviezen op grond van de AVG gegeven. En ook ZIVVER, een instrument dat veilig mailen bevordert, is verder verfijnd in de toepassing. De kans op een verkeerd gestuurde mail, niet zelden een oorzaak van een datalek, wordt hiermee verkleind. De datalekken die in 2021 zijn opgetreden zijn conform procedure afgehandeld en waar nodig zijn er verbeteringen in het proces doorgevoerd. Uiteraard stond ook 2021 in het teken van corona waardoor veel medewerkers noodgedwongen thuis moesten werken. Daarom is in de bewustwording over ‘Veilig werken met informatie’ de nadruk gelegd om ook in de thuissituatie de richtlijnen na te leven.

Audits uitvoeren is een vast onderdeel van de werkzaamheden van de FG (Functionaris Gegevensbescherming), de onafhankelijke toezichthouder op het gebied van persoonsgegevens. Ook in 2022 zullen audits uitgevoerd worden. De nieuwe actiepunten die dit gaat opleveren, zullen op opvolging gemonitord worden.

Deel 1. Terugblik op 2021 In dit deel van de rapportage zal worden teruggeblikt op hetgeen de gemeente in 2021 heeft bereikt en welke werkzaamheden zijn verricht.

1. Het privacybeleid Het privacybeleid is een kader waarin de gemeente Lelystad aangeeft aan welke principes zij zich houdt bij de verwerking van persoonsgegevens. Het laat zien hoe de gemeente omgaat met persoonsgegevens en welke maatregelen zij treft om te voldoen aan de relevante wet- en regelgeving. De gemeente Lelystad heeft het privacybeleid en –reglement (inclusief taken en bevoegdheden van de FG) in maart 2018 vastgesteld. Ook is er een Privacy Statement op de website www.lelystad.nl geplaatst. Hier staat in begrijpelijke bewoordingen de bescherming van persoonsgegevens uitgelegd. En de rechten die betrokkenen hebben, zoals het recht op inzage in hun persoonsgegevens. Er is een voorbeeldbrief opgenomen op die website die de drempel verlaagt om zo’n verzoek in te dienen.

2. Processen De verwerkingen van persoonsgegevens van de gemeente Lelystad dienen te voldoen aan de AVG. Dit houdt in dat de werkprocessen die persoonsgegevens bevatten getoetst en ingericht moeten worden volgens de volgende beginselen: behoorlijkheid, transparantie, doelbinding, dataminimalisatie, opslagbeperking, juistheid, integriteit en vertrouwelijkheid. Daarnaast voert de gemeente in bepaalde gevallen een gegevensbeschermingseffectbeoordeling (DPIA2) uit. In bijlage 1 is een overzicht opgenomen van de uitgevoerde DPIA’s en privacyscans in 2021. Hoewel de FG omwille van zijn onafhankelijke rol geen deel uitmaakt van de CIO-Office (Chief Information Officer), werkt hij wel degelijk nauw samen met de CIO-Office en informatiemanagers. Hierdoor wordt de FG in een vroegtijdig stadium betrokken bij nieuwe initiatieven die een privacycomponent hebben. De FG toets deze initiatieven op de in de 1e alinea genoemde beginselen. De bescherming van persoonsgegevens is zodoende één van de leidende principes van “Lelystad Digitaal 2025”, één van de producten van de CIO-Office. Ook heeft de FG vrijwel dagelijks contact met de CISO (Chief Information Security Officer) over de stand van zaken en trends op het gebied van informatiebeveiliging. Dit onderwerp is uiteraard een noodzakelijke voorwaarde wanneer het aankomt op bescherming van persoonsgegevens.

3. Organisatorische inbedding De FG en de Privacy Officer (PO) zijn de eerste aanspreekpunten als het aankomt op ‘privacy’. De PO adviseert op casusniveau aan medewerkers. De FG is eveneens adviseur en is daarnaast toezichthouder en verricht audits. De werkzaamheden vallen grofweg uiteen in instrueren, adviseren en controleren.

2 De gegevensbeschermingseffectbeoordeling wordt ook wel afgekort tot DPIA naar de Engelse term Data

Protection Impact Assessment.

5

Instrueren In 2019 zijn door FG en PO ruim 40 presentaties gehouden over de (invoering van) AVG en de gevolgen daarvan voor het betreffende team. Deze presentaties zijn in 2021 op verzoek herhaald. Want: voor een goede en juiste uitvoering van de AVG is het van belang dat elke medewerker binnen de organisatie op de hoogte is van de beginselen van de AVG en het belang van bescherming van persoonsgegevens. Daarnaast heeft de PO het veilig mailen instrument ‘ZIVVER’ in 2021 verder verfijnd door maatwerk en instructies te geven. ZIVVER zorgt voor een veilige verbinding met de geadresseerde en attendeert de mailer op een eventueel verkeerd gekozen mailadres. Dit instrument is aangegrepen om andermaal het belang van zorgvuldig omgaan met persoonsgegevens te benadrukken. Standaard wordt een afspraak gemaakt met nieuwe teamleiders en directieleden om hun mee te nemen in hun rol en verantwoordelijkheid betreffende de bescherming van persoonsgegevens Adviseren Tevens zijn er zeer veel adviezen gegeven op de meest uiteenlopende werkterreinen aan medewerkers die vragen hebben over de toepassing van de AVG. Vaak wordt een voorgestelde werkwijze ter toetsing voorgelegd. Soms wordt om advies gevraagd hoe het beste een proces ingericht kan worden gelet op de AVG. Inmiddels kan gesteld worden dat de medewerker het ‘loket privacy’ dat bemand wordt door de FG en PO goed weet te vinden.

De eerder genoemde samenwerking met de CIO-Office en CISO is hier mede debet aan. Standaard wordt een afspraak gemaakt met nieuwe teamleiders en directieleden om hun mee te nemen in de werkwijze rondom en hun rol en verantwoordelijkheid betreffende de bescherming van persoonsgegevens. Controleren Dit onderdeel is voor rekening van de FG die hiermee onder meer zijn toezichthoudende rol mee invult. Aanleiding kan zijn een datalek, ENSIA, periodieke beveiligingsrondes en audits. Bij punt 8 zijn bevindingen vanuit deze controles opgenomen. Organisatorische inbedding betekent tevens het toewijzen van taken, verantwoordelijkheden en bevoegdheden en bewustzijn creëren. In het privacybeleid zijn daarom de verantwoordelijkheden en taken toegewezen. Uitgangspunt is dat eenieder die werkt met persoonsgegevens, de beginselen van de AVG weet toe te toepassen. Tot slot: op grond van artikel 38 lid 3 van de AVG mag de FG geen instructies ontvangen met betrekking tot de uitvoering van zijn taken. In 2021 heeft de FG zonder interventies zijn werk kunnen doen en ondervindt hij geen belemmeringen in de uitvoering van zijn werk.

4. Rechten van betrokkenen In het Privacy Statement staat verwoord hoe de gemeente omgaat met persoonsgegevens. Ook is daar het privacybeleid en –reglement opgenomen. Het stelt betrokkenen in staat om middels een aantal rechten controle en invloed uit te oefenen over zijn of haar persoonsgegevens. Bijvoorbeeld het recht op inzage. Hier is in 2021 beperkt gebruik van gemaakt. In bijlage 2 is een overzicht opgenomen van het aantal verzoeken van betrokkenen in het jaar 2021.

5. Samenwerking De gemeente Lelystad werkt op meerdere beleidsterreinen, in verschillende bedrijfsfuncties, in diverse rollen en hoedanigheden samen met (mede) overheden en private organisaties. In bepaalde gevallen

zal er sprake zijn van een verwerking van persoonsgegevens tussen partijen: ontvangen van persoonsgegevens, verzenden van persoonsgegevens, maar ook het opslaan van en inzage hebben in persoonsgegevens valt onder dit begrip. Deze verwerkingen dienen dan ook te voldoen aan de AVG. De gemeente Lelystad heeft op grote schaal afspraken gemaakt met deze externe partijen. In een zogenaamde verwerkersovereenkomst zijn deze afspraken vastgelegd. De FG houdt het register bij waarin de verwerkersovereenkomsten staan. De gemeente Lelystad heeft als uitgangspunt dat de standaard verwerkersovereenkomst van de VNG leidend is. Van deze standaard is in 2021 een nieuwe versie van de hand van de VNG verschenen die vanaf dat moment ook meteen door de gemeente Lelystad is toegepast. De betrokken teams worden van advies voorzien mocht dat nodig zijn. Bijvoorbeeld als een externe partij wil onderhandelen over de inhoud van de verwerkersovereenkomst. Het register bevat inmiddels ruim 110 verwerkersovereenkomsten.

6. Beveiliging Vanuit het algemene behoorlijkheidsbeginsel, het integriteitsbeginsel en het vertrouwelijkheidsbeginsel is het essentieel dat de gemeente Lelystad passende technische en organisatorische maatregelen neemt ter beveiliging van persoonsgegevens. Daarnaast geldt er onder de AVG een meldplicht datalekken. Dit houdt in dat incidenten – waaronder inbreuken – op de beveiliging onder omstandigheden gemeld dienen te worden aan de AP en/of de betrokkene(n). De datalekken zijn allen afgehandeld conform procedure. De FG is hierbij de spin in het web. Hij onderzoekt bijvoorbeeld of het datalek gemeld moet worden aan betrokkenen en de AP, of de beveiligingsmaatregelen moeten worden aangepast en of een eventuele aanpassing van een beveiligingsmaatregel heeft voldaan. Alle datalekken worden conform procedure gemeld aan de gemeentesecretaris en de betreffende wethouder. In bijlage 3 is een overzicht opgenomen van het aantal datalekken in 2021. De gemeente conformeert zich bovendien aan de BIO (Baseline Informatiebeveiliging Overheid) waarover het zich in de ENSIA-systematiek (Eenduidige Normatiek Single Information Audit) jaarlijks verantwoordt aan gemeenteraad en de nationale toezichthouder. De CISO van de gemeente Lelystad neemt dit onderdeel voor zijn rekening.

7. Verantwoording De AVG legt de verantwoordelijkheid bij de organisatie zelf om aantoonbaar te maken dat deze voldoet aan de privacyregels. Door te voldoen aan de verantwoordingsplicht, levert de organisatie een belangrijke bijdrage aan de bescherming persoonsgegevens. De verplichte maatregelen van de AVG waarvoor een verantwoordingsplicht geldt (en waaraan de gemeente Lelystad voldoet) zijn: -

Register van verwerkingsactiviteiten opstellen en bijhouden

-

DPIA’s uitvoeren (zie punt 2 op pagina 5)

-

Register bijhouden van datalekken Aantonen dat betrokkene toestemming geeft voor een verwerking wanneer dat noodzakelijk is. Omdat de gemeente vanuit haar wettelijke en publieke taak veelal geen toestemming hoeft te vragen, is dit onderwerp beperkt tot bijvoorbeeld cookies op de website en nieuwsbrieven. - Aanstellen van een FG. De AP heeft hier op 1 juni 2018 op gecontroleerd. Een manier om de verantwoording vorm te geven en daarmee ook transparantie te bieden is deze jaarrapportage.

7

8. Conclusie Vanaf 2018 heeft de gemeente Lelystad heel wat werk verzet om de AVG te implementeren in de organisatie, de systemen en de processen. Een aantal maatregelen waren zeer effectief, zoals het creëren van bewustzijn (dat onder meer blijkt uit het grote aantal adviesvragen naar aanleiding van de bewustwordingssessies) en het adviseren op casusniveau. Ook zijn er vele verwerkersovereenkomsten afgesloten met externen die met persoonsgegevens werken waar de gemeente Lelystad verantwoordelijk voor blijft. Het zorgt ervoor dat deze partijen zich bewust zijn van hun handelen met betrekking tot deze persoonsgegevens. Ook zijn er organisatiebreed veel persoonsgegevens “opgeruimd” op basis van de bewaartermijnen en is de toegang in bepaalde gevallen beperkt tot de medewerkers die er ook echt mee moeten werken. Maar er zijn ook aandachtspunten voor de organisatie waarin het nog kan groeien. In onderstaande tabel zijn acties benoemd om het omgaan met persoonsgegevens naar een nog hoger plan te tillen.

Thema

Betreft

Actie

Actuele status (april 2022)

Sociaal Domein

Opschonen van persoonsgegevens die niet meer bewaard mogen worden gelet op de bewaartermijn. Betreft de applicaties als Suite4Sociaal Domein, Mens Centraal, WIZ portaal en Stipter

Offertes van opschoonmodules e.d.opgevraagd bij leveranciers. In de Suite4SociaalDomein (Centric) lukt dit pas met een nieuwe release.

De huidige applicaties voorzien niet in het automatisch schonen van dossiers gekoppeld aan bewaartermijnen. In december 2021 heeft de Teamleider van WIZ-BO een actieplan opgesteld op dit onderwerp om in 2022 een inhaalslag te maken. Stakeholders als DT, College en Raad worden door de teamleider SD geïnformeerd. Vindt zijn verdere uitwerking met de ingebruikname van het nieuwe vergunningensysteem VTH.

Prominent benoemen in de aanbesteding front en back office sociaal domein Dienstverlening

Vergunningsgegevens worden bewaard op projecten teamschijf

Documenten gaandeweg in het Document Management Systeem opnemen

DataWareHouse

Verzamelplaats van data uit verschillende systemen

inrichten en Mm moet nog doorgevoerd doorvoeren van de worden in afstemming OTAP-werkwijze met de leverancier (Ontwikkelen, Testen, Accepteren en Productie) de super-users en read-accounts persoonsgebonden maken

MyCorsa (postregistratiesysteem)

Persoonsgegevens in Corsa zichtbaar

GUUS (financieel system)

In de praktijk worden beschreven procedures nog niet altijd gevolgd of zijn de procedures nog niet geïmplementeerd. Het komt zodoende soms voor dat accounts niet tijdig na uitdiensttreding worden afgesloten. -Er is nog geen sprake van beleid omtrent de beheersing en monitoring van generieke (niet persoonsgebonden) accounts en accounts met vergevorderde rechten. -Er is sprake van beperkte logging binnen de systemen en momenteel vindt er nog geen review op logging plaats.

Vertrouwelijkheden Jjk Gereed toekennen aan Vertrouwelijkheden zijn aangepast. Er wordt documenten. Actief monitoren. Van de periodiek een controle 3.863 gecontroleerde gedaan op naleving. DIA neemt een poststukken hebben er 37 onterecht niet actievere rol aan in het het label monitoren en geeft vertrouwelijk nadere instructies aan toegewezen teams / gekregen. accountmanager DIA waar nodig. Opschonen Follow audit up volgt in accounts, naleven 2022 procedures en doorvoeren logging en er op controleren.

Onderdelen die in 2021 succesvol zijn afgerond nadat ze eerder op bovenstaande actielijst stonden, waren onder meer: • • •

Opschonen openstaande werkprocessen Wmo en BRP-meldingen Wmo Opschonen en afsluiten Inburgeringsdossiers waarbij geen actie van de gemeente meer vereist was; In de Suite4Sociaal Domein zijn circa 37.500 openstaande BRP-meldingen opgeschoond

•

Datawarehouse: beoordelen loggings, bewaartermijnen toekennen en opschonen

•

GUUS: afsluiten openstaande accounts medewerkers uit dienst, sturen op SLA met de leverancier (Unit4), opstellen autorisatiematrix (bevoegdheden per rol).

9

Deel 2. Vooruitkijken naar 2022 Gegevensbescherming onderdeel laten worden van de organisatie, en daarmee aantoonbaar voldoen aan de relevante wet- en regelgeving, is geen afvinklijst, maar een continu proces. Het vraagt om structurele borging van dit onderwerp. Waar het jaar 2018 in het teken stond van voorbereiden op de AVG en het nemen van de eerste hobbels om uiteindelijk aantoonbaar te kunnen voldoen aan deze wet, stond 2019 in het teken staan van het continueren en verstevigen van dit proces. En het uitvoeren van audits om te toetsen of de regels worden nageleefd. In 2021 zal deze lijn worden doorgetrokken, Daarnaast zal ook aan bewustwording blijvend aandacht geschonken worden en zullen er adviezen/richtlijnen gegeven worden op casus-niveau. In 2021 is namelijk een Cybersecurity Cultuurscan van start gegaan. Met behulp van een vragenlijst wordt een beeld gevormd van hoe veilig werken met informatie binnen onze organisatie gaat. En waar in de organisatie welke bijsturing nodig is. Hiermee wordt de cyclus instrueren, adviseren en controleren blijvend doorlopen.

1. Het privacybeleid Actie: geen. Slechts wanneer er aanleiding toe bestaat, zal het beleid aangepast worden.

2. Processen Acties (zie punt 8 van Deel 1 voor nadere toelichting): •

actief verwijderen persoonsgegevens Sociaal Domein en Dienstverlening.

•

Daarnaast zullen audits minimaal in het GUUS (financieel systeem), MyCorsa (postregistratiesysteem), de ICT-beheersomgeving, TOPdesk (meldingensysteem) en op fysieke dossiers (gemeentebreed) worden uitgevoerd. Tevens zullen logging-bestanden van applicaties met veel persoonsgegevens worden gecontroleerd (interne controle Sociaal Domein). Naast de audits die al vanuit ENSIA worden uitgevoerd en die ook privacyaspecten in zich hebben zoals BRP (Basis Registratie Personen), DigiD, SuwiNet (Structuur Uitvoering Werk en Inkomen). Ook zal naar aanleiding van de Wet Politiegegevens een audit worden gedaan bij de teams die op basis van deze wetgeving met persoonsgegevens werken.

3. Organisatorische inbedding Acties: opnieuw verzorgen van presentaties aan teams op uitnodiging om bewustzijn van omgang met persoonsgegevens op de agenda te houden. Het doel hierbij is om laagdrempelig vragen om advies in ontvangst te kunnen nemen. Waarop maatwerk qua advies gegeven kan worden. De filosofie van de FG en PO is en blijft dat er pragmatisch en oplossingsgericht geadviseerd wordt. Daarbij wordt de inhoudelijke AVG-kennis gekoppeld aan de organisatiekennis.

4. Rechten van betrokkenen Acties: geen. Conform procedure zullen betrokkenen antwoord krijgen.

5. Samenwerking Actie: Het register met verwerkersovereenkomsten onderbrengen in het ISMS (Information Security Management System) zodra dat in werking treedt.

6. Beveiliging Informatiebeveiliging zorgt ervoor dat persoonsgegevens goed beveiligd zijn. In paragraaf 6 op pagina 7 van deze rapportage staat toegelicht volgens welke systematiek dat gebeurt. De jaarlijkse toetsing levert actiepunten op. Acties: er wordt verwezen naar de actiepunten zoals die in de ENSIA-verantwoordingsrapportages benoemd zijn door de CISO. Deze ENSIA-verantwoordingsrapportages worden aan College en Raad aangeboden.

7. Verantwoording Actie: aan de bestuursorganen zal de stand van zaken gerapporteerd worden. Daarnaast zal de FG vanuit zijn toezichthoudende rol weer een jaarrapportage schrijven.

11

BIJLAGE 1 OVERZICHT UITGEVOERDE DPIA’S en privacyscans in 2021 1. 2. 3. 4. 5. 6.

Belastingapplicatie Stedelijk Integraal Team Inburgering Subsidies Leerlingenvervoer Bodycams

De DPIA’s zijn door de FG en/of PO uitgevoerd/beoordeeld tezamen met een medewerker die inhoudelijk betrokken is bij het onderwerp. Een DPIA wordt alleen uitgevoerd wanneer de aard van verwerking verandert en/of de verwerking van gegevens een hoog privacy risico met zich mee brengt. Een privacyscan maakt inzichtelijk of en hoe er met persoonsgegevens gewerkt gaat worden in de beoogde applicatie.

BIJLAGE 2 OVERZICHT RECHTEN VAN BETROKKENEN In 2021 was er 1 verzoek om inzage in persoonsgegevens, specifiek betrekking hebbende op het Sociaal Domein. In 2021 waren er 2 verzoeken om inzage van inwoners in alle persoonsgegevens die bij de gemeente worden verwerkt (dus niet beperkt tot louter het Sociaal Domein). Alle verzoeken tot inzage in persoonsgegevens zijn naar tevredenheid afgehandeld.

13

BIJLAGE 3 OVERZICHT DATALEKKEN In 2021 zijn er 9 datalekken gemeld aan de FG. Die zijn conform procedure afgehandeld. In de gevallen waarin dat nodig was (ernstige nadelige gevolgen voor de betrokkene) is het gemeld aan de AP en betrokkenen. Bij elk datalek wordt nagegaan of de onderliggende werkwijze aanpassing behoeft waardoor herhaling voorkomen kan worden. Het betrof de volgende datalekken: -

Mail naar verkeerde geadresseerde gestuurd gestuurd BSN naar huisadvocaat verstuurd hoewel NAW had volstaan Rechten op SharePoint stonden bij WIZ-BO niet goed: meer medewerkers hadden in theorie toegang dan noodzakelijk Beschikking abusievelijk aan de verkeerde geadresseerde gestuurd 2 brieven met verschillende NAW in 1 envelop BRP-uittreksel aan de verkeerde persoon gestuurd (2x) Melding openbare ruimte + telefoonnummer aan de verkeerde persoon gemaild Panelleden enquête in cc in plaats van bcc gemaild