20220510 - RIB Jaarrapportage bescherming persoonsgegevens 2021.pdf

gemeente

Montfoort

Aan de leden van de gemeenteraad

Uw kenmerk: Zaaknummer: Onderwerp:

Montfoort: 1234512 Jaarrapportage bescherming persoonsgegevens 2021

3 mei 2022

o 3 MEI 2022

Geachte Raadsleden, Onder verantwoordelijkheid van zowel het college van burgemeester en wethouders, de burgemeester, als de gemeenteraad vindt een groot aantal verwerkingen van persoonsgegevens plaats. Daar vindt extern en intern toezicht op plaats. De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacyregels in Nederland. Daarnaast is er een interne toezichthouder: de Functionaris Gegevensbescherming (FG). De FG ziet erop toe dat intern de AVG wordt nageleefd. Het college dient erop toe te zien dat de FG naar behoren en tijdig wordt betrokken bij alle gelegenheden die verband houden met de bescherming van persoonsgegevens. Daarnaast dient de FG ondersteund te worden door hem toegang te verschaffen tot persoonsgegevens en verwerkingen daarvan. De uitvoerende taken liggen bij de Privacy-Officer en de CISO. Door deze raadsinformatiebrief wordt u geïnformeerd over de belangrijkste bevindingen van de FG over de bescherming van de persoonsgegevens in 2021. Samenvatting Samenvattend heeft de gemeente Montfoort in 2021 weer een aantal stappen gezet in de bescherming van persoonsgegevens. Er is veel aandacht geweest voor de bewustwording van medewerkers en het op orde krijgen van het register van verwerkingsactiviteiten en de verwerkersovereenkomsten.

Ook is een start gemaakt met het uitvoeren van gegevensbeschermingseffectbeoordelingen (DPIA’s)'' voor verwerkingen met een hoog privacy risico. Hiermee krijgen we zicht op privacyrisico’s en kunnen aanvullende maatregelen worden getroffen om deze privacyrisico's te verkleinen. In 2021 is het gemeentelijk informatiebeveiligingsbeleid geüpdatet en is informatie met de medewerkers gedeeld over spam, phishing mail en datalekken. Daarnaast zijn er ook een aantal technische maatregelen genomen (inloggen met de passcode en de inrichting van spam-mail-filters) om de gebruikers te helpen bij het veilig werken. Het is opvallend dat in 2021 slechts 1 incident met persoonsgegevens is gemeld dat overigens geen datalek bleek te zijn. Er kan worden geconcludeerd dat de AVG-implementatie nog niet is afgerond. Het gaat vooral om het optimaliseren van processen. Er moeten daarin nog wel een aantal stappen worden gezet voordat de basis geheel op orde is.

^ Data Protection Impact Assessment Gemeente Montfoort | Kasteelplein 5 | 3417 JG Montfoort | Postbus 41 | 3417 ZG Montfoort T 0348-476400 | F 0348-474214 [ info@montfoort.nl

Het is belangrijk dat de gemeente Montfoort blijft bouwen aan het fundament dat als basis dient voor een betrouwbare overheid. Specifieke aandacht zal in 2022 dan ook moeten gaan naar het verdere gestructureerd integreren van de gegevensbescherming in de organisatie. Belangrijkste FG-conclusies over de bescherming van persoonsgegevens 2021 Er is prioriteit gegeven aan de uitvoering van het bewustwordingsplan door invulling van onder andere e-learning modules. De PO heeft jaarlijks minimaal lx afstemming met de procesverantwoordelijken over hun verwerkingen. Op basis daarvan worden eventueel het verwerkingenregister en/of het DPIA-plan aangepast. Daarnaast zijn de PO en CISO in het kader van bewustwording begonnen om teamoverleggen bij te wonen. Het onderwerp van de DPIA’s opgepakt door middel van een inventarisatie van de DPIA’s die uitgevoerd zouden moeten worden. Op basis daarvan is een plan gemaakt dat met de betrokken afdelingsmanagers is geprioriteerd. Voor een aantal verwerkingen wordt nog uitgezocht of en zo ja wanneer een DPIA moet worden uitgevoerd. Het gemeentelijk informatiebeveiligingsbeleid is geüpdatet en er is een uitvoeringsplan vastgesteld. Er is met ICT Gouwe-IJssel een goede afstemming over benodigde maatregelen voor gegevensbescherming.

Er heeft een eerste inventarisatie plaatsgevonden van verwerkingen waarin politiegegevens worden gebruikt en heeft de aanbesteding van de verplichte externe Wpg-audit plaatsgevonden. Er is verder gewerkt aan het updaten van het register van verwerkingen en het verkrijgen van inzicht in wie de verwerkers van de gemeente zijn en met welke partijen er wordt samengewerkt en aan welke partijen taken en bevoegdheden zijn overgedragen zoals SWOM, het Jeugdloket en Fermwerk. Door een aantal casusposities is met name verder ingezoomd op de verwerkingsverantwoordelijkheid van de gemeente Montfoort in de samenwerkingsrelatie met de SWOM. Het ging hier om GGZ in de wijk en Aeolus. Belangrijkste aandachtspunten voor de bescherming van persoonsgegevens in 2022 a. Evalueren van het huidige privacybeleid. b. Blijven inzetten op het verhogen van het privacy bewustzijn c. Aandacht blijven houden voor het leren van incidenten en het melden daarvan. d. De verdere inbedding van AVG-processen in de gemeentelijke organisatie afronden. e. Ontwikkelen en implementeren van een autorisatie- en loggingbeleid. f. Vergroten van de transparantie over gegevensverwerking. g. Het nieuwe AVG-borgingsdocument 2.0 gebruiken voor de verantwoording van de wettelijke privacy-eisen. h. Inrichten van een crisisstructuur voor beveiligingsincidenten met een hoge impact voor betrokkenen.

Wij zullen in 2022 de AVG-implementatie voortzetten en de adviezen van de FG daarbij betrekken. Wij vertrouwen erop u met deze brief voldoende te hebben geïnformeerd. Hoogachtend,

BURGEMEESTER EN WETHOUDERS VAN MONTFOf de secretaris^

de burgemeester

/■

/

Vet ^JThTvc van der Veer

/ mr. P.J.

n Ha

am

e Jong

Gemeente Montfoort | Kasteelplein 5 | 3417 JG Montfoort | Postbus 41 | 3417 ZG Montfoort T 0348-476400 | F 0348-474214 | info@montfoort.nl