A.1 Memo Beantwoording gestelde vragen 3 december over FG-Jaarrapportage en benoeming FG.pdf

MEMO Aan Cc Van Datum Betreft

: Gemeenteraad : : Functionaris gegevensbescherming : 9 december 2020 : Beantwoording gestelde vragen 3 december over FGJaarrapportage en benoeming FG

Beantwoording vragen die op 3 december zijn gesteld in de informatiemarkt bij het raadsvoorstel Jaarrapportage 2019 Functionaris Gegevensbescherming en benoeming FG. a.

De rapportage gaat over 2019. Is er een korte update mogelijk met name ten aanzien van de voortgang die is geboekt in 2020. De jaarrapportage gaat inderdaad over 2019. In 2021 zal de jaarrapportage over 2020 verschijnen. Daarop vooruitlopend alvast een update: 







  



Het privacybeleid, incl. rol-/taakverderling voor Informatieveiligheid & Privacy (IV&P) is BLNP-breed uitgewerkt en per gemeente vastgesteld (Nijkerk volgt nog). Vervolgstap is verdere uitwerking van bewustwording, deelbeleid, dat is toegespitst op de verschillende vakgebieden/teams en inzet van middelen en mogelijkheden om hieraan uitvoering te kunnen geven. Aanvullend loggingbeleid is opgesteld door de (BLNP) CISO’s, waarop nu advies van FG/privacybeheerders wordt voorbereid. Ook is er aandacht voor aanscherping van autorisatiebeleid voor toegang tot diverse systemen; Geïnvesteerd is in kennis delen en oplossen van vraagstukken vanuit FG’s, CISO’s en privacybeheerders binnen BLNP en hun collega’s binnen de diverse regio’s waarbij de BLNP-gemeenten zijn aangesloten. Dit bevorderd uitwisseling van kennis en ervaring op deze brede en zich snel vernieuwende vakgebieden; Diverse gegevensbeschermingsbeoordelingen (DPIA’s) zijn in BLNP-verband voorbereid of uitgevoerd: camerabewaking (B), zaaksysteem (B), proces vroegsignalering schulden (P), gegevensknooppunt Jeugd (N). Voor Leusden staan geprioriteerd: fraude onderzoek sociale zekerheidswetgeving, nieuw zaak(registratie)systeem, leerlingenvervoer, sociaal wijkteam, cameratoezicht/bewaking gemeentelijke gebouwen/monitoring medewerkers.

Wat van uitgevoerde DPIA’s geleerd wordt, wordt meegenomen in het DPIA proces bij de andere gemeenten. Ook is per gemeente een DPIA plan voor 2021 uitgewerkt; Er is een BLNP-brede analyse uitgevoerd naar wat nog ontbreekt, deze is in overleg met proceseigenaren te vertalen in een (concept) privacy Jaarplan 2021; De registers van verwerkingsactiviteiten zijn (grotendeels) geactualiseerd en worden begin 2021 in de privacyverklaring op de gemeentewebsites geplaatst; Aantal datalekken tot dusver in 2020 in Leusden: 6 totaal, waarvan 4 in de categorie: verwaarloosbaar risico, 2 in de categorie: beperkt risico, waarvan 1 gemeld bij de Autoriteit Persoonsgegevens, n.a.v. het lek zijn maatregelen getroffen, tot dusver is er geen vervolg. Aantal datalekken in 2019: 13 en in 2018: 4 Aantal inzageverzoeken tot dusver: 2. Sinds enige tijd kan het uitoefenen van dit recht in Leusden via DigiD verlopen (veiliger, gebruiksvriendelijker)

 

Lokale vragen en privacyissues: deze zijn zoveel mogelijk opgepakt; Aandachtsgebieden zijn: bewustwording + organisatorisch beter borgen van bescherming van persoonsgegevens a. Hoe verloopt de samenwerking op dit gebied tussen BLNP? Kan je daar meer over uitweiden. Investeren in informatieveiligheid/beschermen persoonsgegevens kost geld en tijd. De mogelijkheden en middelen zijn in deze tijd beperkt. Tussen de BLNP privacybeheerders/FG/CISO’s is de samenwerking goed maar er wordt veel gevraagd van deze relatief kleine groep. Coördinatie van BLNP-brede privacy beheertaken vanuit Leusden is efficiënt gebleken. Samenwerken in BLNP-verband levert zeker resultaat en kostenbesparing op maar kost nog veel tijd. Proces- en projectmatig werken binnen logische en goed gefaciliteerd netwerken (informatieveiligheid/gegevensbescherming) werkt het meest efficiënt maar is nog niet vanzelfsprekend voor de vier organisaties. BLNP-breed en lokaal is de aandacht voor informatieveiligheid/gegevensbescherming meestal incident-gestuurd en dan verloopt de samenwerking met de collega’s in de teams doorgaans goed. Interactie met (beoogde) proceseigenaren/collega’s in teams en met colleges, raden, griffies is ook belangrijk. Daaraan willen de BLNP CISO en ik in 2021 met de privacybeheerders/CISO’s meer aandacht gaan besteden, uiteraard afhankelijk van de mogelijkheden. b.

Hoe is jouw positie gewaarborgd (in geval van aansprakelijkheid)? Over het waarborgen van de positie van de FG in gemeenten en gemeentelijke samenwerkingsverbanden heeft de VNG de volgende handreiking opgesteld: https://www.informatiebeveiligingsdienst.nl/nieuws/nieuwehandreiking-privacy-positionering-rol-en-taken-fg/

Vanuit de regiegroep BLNP wordt eraan gewerkt om de privacybeheerders en mij als FG juist te positioneren binnen de vier samenwerkende gemeenten. De aansprakelijkheid rond bescherming van persoonsgegevens in het kader van de Algemene Verordening Gegevensbescherming (AVG) ligt bij de verwerkingsverantwoordelijke (degene die doel en middelen van de verwerking vast stelt) en soms bij een ingeschakelde verwerker, b.v. een dienstverlener. Bij gemeenten is het college meestal de verwerkingsverantwoordelijke maar dat kan ook de burgemeester of de raad zijn. In dat laatste geval kan het bijv. gaan om verwerkingen vanuit de raad of griffie, bij voorbeeld voor persoonsgegevens die via de website https://gemeentebestuur.leusden.nl/ waarbij uitsluitend door gebruik van de juiste verwerkingsgrondslag/overige vereisten in de AVG, persoonsgegevens via internet mogen worden gedeeld. De griffie ziet toe op een rechtmatige verwerking van de verwerkingen. De rechtspersoon gemeente (of diens verwerker(s)) kunnen aansprakelijk gehouden worden voor eventuele schade die voortvloeit uit een inbreuk op de AVG (b.v. door identiteitsfraude na een data lek) Dit is geregeld in artikel 82 AVG. In de (publiekrechtelijke) Regeling Zondermeer (RZM) waarop de bedrijfsvoering samenwerking BLNP gebaseerd is staat, voor zover mij

Pagina 2

bekend, geen bepaling opgenomen over schadevergoeding of -verhaal. Als zich een dergelijke situatie voordoet, geldt in principe de “minnelijke regeling” in artikel 13 van de RZM. Aansprakelijkheid van gemeenten vanwege de AVG is momenteel nog nauwelijks aan de orde. Het opleggen van boetes vanuit de Autoriteit Persoonsgegevens vanwege het niet naleven van de AVG kan ook tot financieel nadeel leiden. c. In de rapportage pag. 16 is melding dat het aanschaffen van nieuwe ictmiddelen wel eens buiten FG, eisen gegevensbeheer worden gedaan. Gebeurt dat nu nog steeds? Wie ziet er op toe dat dit niet meer gebeurt? Dat komt nog steeds voor. Het college is als verwerkingsverantwoordelijke verantwoordelijk voor het toepassen van “privacy by design/by default” als genoemd in art. 25 AVG: het in de ontwerpfase al rekening houden met een mogelijke impact op persoonsgegevens en het zorgen voor standaardinstellingen waar mogelijk. Het voorzien in alles wat nodig is voor een verantwoorde aanschaf en toepassing van ict-middelen is een managementverantwoordelijkheid. De FG ziet toe op naleving van de AVG/privacyregelgeving, adviseert het college en helpt het management en de betrokken medewerkers om privacy van design in de praktijk toe te passen. Dit gebeurde o.a. door het houden van een privacy-by-designworkshop in BLNP-verband.

Processen rond de aanschaf en het toepassen van ICT-diensten, systemen en producten moeten verder worden geprofessionaliseerd, waarbij de privacybeheerders in positie moeten worden gebracht binnen het lokale en BLNP-brede Informatie kernteam. Van daaruit kunnen zij de organisaties, met name de proceseigenaren en teams, ondersteunen in hun privacytaken. Waar nodig haakt de FG daarbij aan als adviseur. Verder zag ik bij het terugkijken van de afgelopen raadsvergadering dat in fragment 8 hamerstuk aanwijzen FG/Jaarverslag 2019 https://gemeentebestuur.leusden.nl/Vergaderingen/Raadsvergadering/2020/03-december/ 20:00, dat mevrouw Van Woerdekom namens de fractie van D66 gevraagd heeft wat er in 2020 met de aanbevelingen uit Jaarverslag 2020 is gedaan en of het college in een bericht voor 2021 wil aangeven wat er overgenomen is.

Pagina 3