Brief aan de raad inzake de jaarrapportage van de Functionaris Gegevensbescherming

Postadres Gemeente Nijmegen

Aan de gemeenteraad van Nijmegen

Postbus 9105 6500 HG Nijmegen Bezoekadres Korte Nieuwstraat 6 6511 PP Nijmegen T 14 024 nijmegen.nl

Datum Onderwerp

Contactpersoon Stijn Verhagen s5.verhagen@nijmegen.nl T 06-50154115

24 september 2024 Jaarrapportage privacy 2023

Ons kenmerk D240797550 Bijlage(n) Jaarrapportage Privacy 2023

Geachte leden van de raad, Met deze brief biedt het College u de jaarrapportage privacy 2023 van de Functionaris Gegevensbescherming (FG) aan. Wij willen uw Raad inzicht geven in de stand van zaken in de gemeentelijke organisatie omtrent naleving van de AVG. In deze aanbiedingsbrief geven wij tevens een reflectie op de jaarrapportage. Ambitie De ambitie die we hebben op het gebied van privacy, is om door te groeien naar volwassenheidsniveau 3. Dit is vastgelegd in het privacybeleid, dat uw Raad vorig jaar heeft vastgesteld, mede naar aanleiding van het Rekenkameronderzoek ‘Weten wat je moeten weten’. We onderschrijven de constatering van de FG dat er de afgelopen jaren substantiële stappen zijn gezet, maar dat er ook nog veel werk aan de winkel is, en dat het niet vanzelf goed komt. Tegelijkertijd is het beschermen van persoonsgegevens een belang dat wij continu moeten afwegen tegen andere belangen, zoals veiligheid of een betere dienstverlening. Als College zijn wij voortdurend op zoek naar de balans tussen deze belangen, zodat wij onze taken succesvol kunnen uitvoeren, maar ook zorgen voor een goede gegevensbescherming. Vooruitgang Met name op het gebied van het project ‘Mijn afdeling AVG-proof', zijn veel stappen gezet. Dit is van belang omdat met het afronden van dit project het eerste onderdeel van de cyclus van opzet, bestaan en werking, voltooid is.

Binnen deze cyclus is de opzet het hebben van een gedegen plan om je ambitie te bereiken. Het bestaan gaat over de maatregelen die getroffen zijn en de werking gaat over de aantoonbaarheid van deze maatregelen. We constateren dat de opzet zo goed als af is. Daarnaast krijgt het bestaan steeds beter vorm (zie ook p. 10 van de rapportage). Bovendien constateren we dat er steeds meer aandacht is voor Data Protection Impact Assessments (hierna: DPIA). Tot slot krijgen de interne audits steeds beter een plek, wat noodzakelijk is om onze ambitie te behalen.

Gemeente Nijmegen

Pagina 1 van 3

Vorig jaar heeft uw Raad, in het raadsbesluit op de begroting van 2023, tijdelijk extra budget beschikbaar gesteld ten behoeve van privacy en informatiebeveiliging. Een deel van dit budget wordt momenteel ingezet in de vorm van extra capaciteit bij de afdeling Inkomen, Zorg & Leerrecht, omdat de privacyrisico’s daar het grootst zijn. Aandachtspunten We zien ook dat een aantal zaken, die wel nodig zijn om door te groeien naar volwassenheidsniveau 3, nog achterblijven. De grootste problemen bevinden zich op het aantonen van de werking. Waar ‘opzet’ en ‘bestaan’, onder andere door Mijn afdeling AVGproof, op de meeste plekken wel staan, is dat nog niet zo met de werking. En dat is wel een cruciale stap om niveau 3 te bereiken. Dit is echter wel verklaarbaar. De werking kan namelijk pas aangetoond worden als de opzet en het bestaan al vorm hebben gekregen. Simpel gezegd: we hebben een plan, maar moeten ook kunnen aantonen dat we onszelf daaraan houden. Aangezien de plannen grotendeels dit jaar afgerond zijn, kunnen ze pas volgend jaar getoetst worden. Daarom verwachten we dat er in de jaarrapportage privacy van 2024 een flinke groei te zien zal zijn qua werking. Andere problemen bevinden zich binnen specifieke afdelingen die achterblijven, zoals te zien in de tabel op pagina 10 van de rapportage. Deze afdelingen worden met extra aandacht behandeld vanuit het privacyteam.

We onderschrijven de constateringen van de FG dat er nog stappen gezet moeten worden op het gebied van bewustzijn van medewerkers en leidinggevenden en dat dataminimalisatie nog onvoldoende als uitgangspunt wordt genomen. Bij de interne audit (zie p. 6) zijn er ook nog een aantal punten die achter blijven, zoals het correct informeren van betrokkenen en hebben van een communicatieplan over privacy om te voldoen aan transparantieverplichtingen. Twee punten uit de interne audit die extra aandacht verdienen, zijn ‘uitvoeren DPIA’s’ en ‘privacy eisen wetgeving en contracten’, die door uw Raad zijn gekozen als KPI’s om extra op te sturen. Bij beide punten kan de werking nog niet voldoende aangetoond worden, zoals eerder genoemd in de brief over de voortgang op privacy en informatiebeveiliging die uw Raad op 5 maart jl. heeft ontvangen. Maatregelen We ondersteunen de ambitie om binnen deze beleidscyclus door te groeien naar volwassenheidsniveau 3. Dit doel is haalbaar, gelet op het gegeven dat we in het eerdergenoemde rekenkameronderzoek tussen de 2 en 2,5 scoorden op gebied van privacy.

Er zijn wel een aantal zaken nodig om deze doelstelling te bereiken, en daarom hebben we het afgelopen jaar en dit jaar in ieder geval ingezet op een aantal zaken; • Het aantonen van de werking; o Bij de plannen die volgen uit het project ‘Mijn afdeling AVG-proof'; o Van alle afspraken die zijn vastgelegd in verwerkersovereenkomsten; o Van alle maatregelen die volgen uit DPIA's; • het vergroten van het bewustzijn van medewerkers, door een herhaaltraining aan te bieden op het gebied van privacy, informatiebeveiliging en informatiebeheer;

Gemeente Nijmegen

Pagina 2 van 3

•

• •

het verankeren van dataminimalisatie als uitgangspunt, door specifieke processen langs te lopen en te beoordelen op dataminimalisatie. Dit gebeurt onder andere in de context van de implementatie van ID-wallets, maar ook in DPIA's; het creëren van een overzicht omtrent privacyprotocollen of andere convenanten met een privacycomponent binnen samenwerkingsverbanden; het afronden van een aantal cruciale DPIA's, zoals de DPIA over het personeelsinformatieysteem, Microsoft365 en Suite voor Sociaal Domein.

Tot slot We werken continu aan het op de juiste manier beschermen van persoonsgegevens. In 2023 heeft uw Raad ons beleid vastgesteld met als doel om volwassenheidsniveau 3 te bereiken. We zien dat er al substantiële stappen in de goede richting gezet zijn. We realiseren ons echter ook dat er nog veel werk aan de winkel is en dat het goed verankeren van privacy binnen onze gemeente een proces is van de lange adem, waarbij privacy continu afgewogen dient te worden tegen andere belangen die we nastreven. Wij danken de FG voor het schrijven van de jaarrapportage, die goed weergeeft waar de kwetsbaarheden op privacygebied liggen in onze organisatie. Het helpt ons erbij om te focussen op de plekken waar dat het meest nodig is.

Hoogachtend, Het College van burgemeester en wethouders van Nijmegen

A.P.W. van de Klift gemeentesecretaris

H.M.F. Bruls burgemeester

Gemeente Nijmegen

Pagina 3 van 3