Document · PDF

Jaarrapportage privacy 2023

Besluitronde (raadsvergadering) 13 november 2024, gemeente NijmegenBij agendapunt: D14 d.d. 24 september 2024 over Jaarrapportage van de Functionaris Gegevensbescherming9.618 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen · deel 1 van 2

Peter Kluver Functionaris voor de Gegevensbescherming (FG) gemeente Nijmegen Stadscontrol

e-mail: Functionarisgegevensbescherming@nijmegen.nl

Versie 1.1 11/04/24/PK

Map = Brieven en huisstijldocumenten / sjab = Nota, beleids- of projectplan

Inhoudsopgave Inhoudsopgave

Management samenvatting

Inleiding

2. 2.1 2.2 2.3

Stand van zaken privacy binnen de gemeentelijke organisatie Quick scan Privacy Uitkomsten interne audit Privacy m.b.v. systeem Cybermanager Rapportage rekenkameronderzoek informatiebeveiliging en privacy

4 4 6 7

3. 3.1 3.2 3.3. 3.4. 3.5.

Uitvoering Privacy beleid Privacy beleid update Rechten van betrokkenen Incidenten en Datalekmeldingen Afhandeling Klachten Onderzoek door of namens de FG

8 8 8 8 9 9

4. 4.1. 4.2. 4.3. 4.4. 4.5. 4.6.

Check op de naleving op basis van interne controle 2023. Uitvoering van de plannen van aanpak ‘Mijn afdeling privacyproof’ Wpg Audit DPIA als continu bijstuurproces Naleving door de organisatie: Inrichting, uitvoering en resultaten controlplan 2023 Privacy Audits Archivering / vernietiging

10 10 11 11 12 14 14

5. Bewustwording en weerbaarheid 5.1. Vergroting I-bewustzijn 5.2. Privacy Ambassadeurs

15 15 15

Bijlagen

1. 2. 3. 4.

17 23 24 25

Tabel Scores Interne Audit Tabel stand van zaken uitgevoerde DPIA’s Duiding ‘Volwassenheidsniveau 3’ Duiding gebruikte afkortingen

Management samenvatting In 2023 hebben we (‘we’ is in dit kader: de organisatie van de gemeente Nijmegen) goede stappen voorwaarts gezet. Maar ik moet ook constateren dat we er nog zeker niet zijn. En dat dit ook niet vanzelf goed komt. Afgelopen jaar hebben we een aantal substantiële vorderingen gemaakt: met name op het gebied ‘Mijn Afdeling AVG proof’ zijn grote stappen gezet. Let wel: nu zijn pas de voorwaarden om te komen tot een ‘AVG-proof’ organisatie ingevuld. Dat wil nog niet zeggen dat we – volledig – AVG-proof zijn. Ik heb dit, net als vorig jaar, weergegeven in een stoplichten model: rood, geel en groen. Deze kleuring is een eerste stap naar het weergeven van kritische prestatie indicatoren (KPI’s) op het domein van privacy. Waar we langzaam de opzet en bestaan hebben ingevuld, komt het nu aan om het laten zien dat de werking functioneert. Daarmee wordt de lat hoger gelegd en kunnen de kleuren op dát hogere niveau alsnog geel of soms rood geven. We willen toegroeien naar een beheerniveau 3 (uitleg zie bijlage) en daar past deze nieuwe toetsing bij. Dat is een stap voorwaarts in de ontwikkelfase. Ondanks deze stappen in de goede richting, resteert nog steeds een harde constatering: AVG-proof op de volle breedte zijn we nog niet. Problemen, die nog opgelost moeten worden, zijn hardnekkig.

Invoeren van de nieuwe werkwijze - dataminimalisatie is nu het uitgangspunt – wordt vormgegeven. Dit betreft acceptatie en internalisering bij medewerkers, maar ook aanpassen van allerlei processen en procedures. In 2023 zijn hier extra middelen voor vrij gemaakt. Dit vergt - vooral in het sociaal domein - nog een forse inspanning in de organisatie. Het opstellen van een risicoscan (in de vorm van DPIA’s) is nog steeds groeiende. Het naleven van de maatregelen zoals opgenomen in de DPIA’s is nog niet de standaard. Evidenced based aanleveren (aantoonbaar laten zien dat het werkt zoals afgesproken) is óók groeiende (er zijn ‘best practices’), maar is nog geen gemeengoed. Het is wél de lijn die ik uitdraag als FG. In 2023 zijn er 26 DPIA’s opgesteld en voorzien van advies door de FG. We kennen een sluitende procedure voor wat betreft het opstellen van DPIA’s bij nieuwe processen, aanschaf applicaties voor bestaande processen en nieuwe wetgeving. In 2023 is de achterstand op belangrijke processen verder ingelopen: in het sociale domein is een DPIA opgesteld voor de Suite. Het zaaksysteem Corsa kent een DPIA, maar de risico’s die hierin benoemd zijn, zijn nog niet allemaal opgelost. Ook zal de DPIA van het personeelsinformatiesysteem begin 2024 afgerond worden.

We kunnen in 2024 stappen gaan maken op het gebied van privacy protocollen (en de naleving hiervan) gebruikt voor allerlei samenwerkingsverbanden. Het volledige overzicht hierop ontbreekt nog. Tenslotte zijn er stappen gezet om de bewustwording en weerbaarheid in de organisatie te vergroten: medewerkers dienen verplichte leerlijnen privacy en informatiebeveiliging te volgen. Acceptatie en voldoende kennis en kunde blijft echter een grote uitdaging binnen de organisatie van de gemeente Nijmegen.

Peter Kluver Functionaris voor de Gegevensbescherming Nijmegen April 2024

1. Inleiding Deze jaarrapportage maakt onderdeel uit van de wettelijke verantwoordingsplicht vanuit de privacywetgeving. De jaarrapportage is gemaakt door de FG van de gemeente Nijmegen. De meest relevante punten zijn opgenomen in de paragraaf ‘privacy maatregelen’ in het (verplichte) ENSIA verantwoordingstraject. Dit jaarverslag is mede tot stand gekomen door inbreng van de Privacy Officer en de Privacy adviseurs. Daarnaast heb ik dankbaar gebruik gemaakt van andere waardevolle reflecties. Dit jaar heb ik gebruik gemaakt van het format van vorig jaar. Ik kan nu op onderdelen laten zien wat de verschillen zijn tussen 2022 en 2023. Zo ontstaat er langzaam een tijdlijn en na een aantal jaren wellicht een trend. Dit jaarverslag richt zich op de gemeentelijke organisatie. Dat betekent dat de relatie en bereikte resultaten van de FG met (het presidium van) de Raad, het College, de Griffie (eigen traject van AVG-proof) en de Rekenkamer (idem met een goede eigen aanpak) hierin níet opgenomen zijn. De gemeentesecretaris zal als de eindverantwoordelijke binnen de organisatie van de gemeente Nijmegen deze jaarrapportage ontvangen. Tevens wordt de rapportage besproken met de betrokken bestuurders: de portefeuillehouder Digitalisering en de Burgemeester.

Leeswijzer  In het volgende hoofdstuk (H2) ga ik dieper in op de ‘stand van zaken met betrekking tot de privacybescherming’ binnen de organisatie van de gemeente Nijmegen. Dit gebeurt zowel kwalitatief (in de vorm van een quick scan) als kwantitatief (in de vorm van een interne audit). Beiden betreffen een ‘overall view’. Tevens meld ik de vorderingen op de aanbevelingen van het onderzoek dat de Rekenkamer Nijmegen heeft uitgevoerd naar de informatiebeveiliging en privacybescherming binnen de gemeente Nijmegen.  Met hoofdstuk 3 ga ik nóg verder de diepte in en verken ik de (jaarlijkse update van de) stand van zaken van de uitvoering van het privacy beleid. Deze vormt de basis van de jaarlijkse control door de FG op de uitvoering en naleving hiervan.  De resultaten hiervan vinden haar weerslag in hoofdstuk 4: Check op de naleving op basis van interne control 2023.  In detail ga ik vervolgens in op de voortgang van diverse projecten, de uitkomsten van de verplichte audit op de Wpg (Wet politie gegevens), de uitvoering van het instrument DPIA (Data Protection Impact Assesment), naleving verwerkersovereenkomsten, uitvoering privacy protocollen en de maatregelen om het I-bewustzijn binnen de organisatie te vergroten (hoofdstuk 5).

 Tenslotte staan in de bijlagen de (detail)uitkomsten van de interne audit, de stand van de DPIA’s per 31 december 2023, de duiding van het gebruikte ‘Volwassenheidsniveau 3’ als beheerorganisatie en een lijst met gebruikte afkortingen.

2. Stand van zaken privacy binnen de gemeentelijke organisatie Allereerst volgt een globaal overzicht van de ‘stand van privacy’ bij de gemeente Nijmegen (§2.1). Dit geschiedt op basis van een ‘Quick Scan privacy’ waar langs het kwadrant van de SWOT analyse (Sterkte, Zwakte, Kansen, en Bedreigingen) in één oogopslag de huidige stand van zaken wordt weergeven. Ons Control systeem ‘Cybermanager’ is inmiddels zo goed als ingericht. Dit is geschiedt op basis van het IBDborgingsproduct 2.0. Dit is een landelijk vastgestelde normering op het gebied van privacy. Voor de tweede keer hebben we een ‘interne audit’ uitgevoerd op de privacy maatregelen die opgenomen zijn in de Cybermanager. Deze audit is in het vierde kwartaal van 2023 uitgevoerd met hulp van de privacy ambassadeurs die binnen de afdelingen werkzaam zijn en aangevuld door het team privacy en het team informatiebeveiliging. Het geeft het inzicht in de aspecten die nog verbetering behoeven binnen de organisatie (§2.2). Tenslotte (§2.3) volgt een korte passage over de voortgang van de maatregelen uit het Rekenkameronderzoek (2022) dat is gehouden naar huidige stand van Informatiebeveiliging en Privacy binnen de gemeentelijke organisatie. Voor de inhoud hiervan verwijs ik naar de rapportage zelf.

2.1

Quick scan Privacy

De quick scan wordt weergegeven langs de vier kwadranten van ‘sterk’, ‘zwak’, ‘kans’ en ‘bedreiging’. Als inkleuring van die begrippen de volgende leidraad:   



Sterk: beschrijving van wat je ziet, ervaart, hoort wat als sterk / positief beschouwd kan worden. Voor sturing vanuit het management betekent dit: draag zorg voor behoudt van deze waarden. Zwak: idem maar dan zwak / negatief. Voor sturing vanuit het management betekent dit: zorg ervoor dat deze acties en handelingen stoppen. Kans: beschrijving van een beweging, richting, koers of trend die als positief of kansrijk ervaren kan worden. Dat hoeft dus niet feitelijk zo te zijn. Het gaat er hier om dat je dit soort bewegingen, signalen of “kansen” ziet en wilt duiden. Voor sturing vanuit het management betekent dit: zet méér energie (inzet mensen en het geven van prioriteit) op deze kansen. Bedreiging: idem maar dan als negatief en bedreigend. Voor sturing vanuit het management betekent dit: bespreek regelmatig deze bedreigingen en onderneem acties daar tegen.

SWOT Privacy Om een snel inzicht te krijgen in de problematiek volgt hieronder een SWOT analyse gebaseerd op aspecten, producten en gremia binnen de wereld van privacy bij de organisatie gemeente Nijmegen. NB. Gebruikte afkortingen worden verklaard in bijlage 2.

SWOT Privacy 2023 Sterk

Zwak



Privacy afspraken: opzet en bestaan



Privacybeleid (is vastgesteld door de Raad in 2023)



Leerlijnen via Studytube



Bewustzijn is nog niet verankerd in de organisatie



Intake procedure: deze geeft een enorm vangnet en is al effectief



Kennis en Kunde. Deze is nog niet goed geland in de organisatie

gebleken



Naleving: deze is matig. De wil is er wel, maar niet elke afdeling



(volledig) op orde.

PvA Mijn afdeling AVG Proof: geeft een goede analyse en aanpak voor vervolg . Vrijwel alle afdelingen hebben dit afgerond.

Privacy afspraken: werking. Hieraan wordt gewerkt maar is niet

lukt het hier mee om te gaan. 

Naleving verwerkersovereenkomsten: 1. Zeer matige score (30%)



Afhandeling van klachten en incidenten

op de naleving van de contracten; 2. Vaak is het contract het einde



Datalekmeldingen

van het contact met de leverancier.



DPIA als instrument: dit wordt steeds meer gemeen goed. Aantal



is hoog gebleven. Is positieve indicatie van bewustzijn.

Risicomanagement: wel in beeld als belangrijk aspect. Niet geoperationaliseerd.



Verwerkersovereenkomsten als instrument



Werking van CORSA op het gebied van privacy.



Privacy Protocollen als instrument



Samenwerkingsverbanden en regietafels: volledig overzicht



Audit Wpg en vervolgafspraken: voor de komende drie jaar is er een vervolg ingezet. Ziet er veel belovend uit.

 

ontbreekt. 

Informeren betrokkenen en een onderliggend communicatieplan

Interventie op CORSA: ‘iedereen lezen’ uitgeschakeld en nieuwe

ontbreken nog (zie uitkomsten zelfevaluatie). We kunnen de

autorisatiematrix is ingevoerd. Autorisaties zijn ingedamd.

informatie naar betrokkenen veel beter vormgeven. Hiertoe moet

De kwaliteit van de beschrijving van de naleving is enorm

een traject opgestart worden.

verbeterd.. Meerdere afdelingen geven uitgebreid en inhoudelijk toelichting hierover. 

Privacybeleid wordt voorzien van KPI’s voor meting



Specifieke aandacht voor privacy in de afdeling. Good practise: VSA team privacy en informatiebeveiliging

Kans

Bedreiging 

Bewustzijnscampagnes werken; inmiddels budget verkregen



Acceptatie: deze groeit door kennis en kunde



Risk Appetite: wordt vaak genoemd maar is nog niet



beschikbaar (= weer kans) 

geoperationaliseerd. Gaat ons helpen.  

Idem: evidenced based accountability. ‘Best practices’ vanuit de

communicatie over nut en noodzaak, tevens voor budget 

traject terwijl een groot deel van de organisatie nog niet de basis heeft gelegd voor een goede aanpak 

Tweede Interne Privacy Audit via Cybermanager: helpt ons in het Privacy ambassadeurs: voor de eerste keer betrokken bij de



Audits op privacy protocollen: zicht hierop ontbreekt nog. Wordt dit jaar voor het eerst uitgevraagd. In 2024 meer focus op

Ethische Digitale Commissie: eerste advies afgegeven over Verbeteraanpak CORSA: stap voor stap verbetering.

Overzicht over de verwerkingsovereenkomsten (uitvraag moet helpen compleet te worden).

interne audit Datawarehouse.

Blijvende naleving van de DPIA’s. Wordt hopelijk vergroot door toetsing op naleving. Moet niet een eenmalige actie worden,

focussen op de risico’s die ertoe doen.



Mijn afdeling AVG Proof: te snelle overdracht en afronding van het

Tafel van 11 als methodiek voor naleving. Kennis en kunde strategie in te zetten.



Acceptatie van verplichte leerlijnen: blijf zorgen voor duidelijke

organisatie van de afdeling IZL. hiervan gaat de organisatie helpen om ‘spontane naleving’ als 

Implementatie in het Sociale Domein: in 2024 extra middelen

samenwerkingsverbanden. 

Externe factoren zoals cybercriminaliteit, datalekken, technische storingen of andere onvolmaaktheden.

2.2

Uitkomsten interne audit Privacy m.b.v. systeem Cybermanager

De inrichting van het registratiesysteem voor informatiebeveiliging en privacy (het systeem Cybermanager) heeft in 2023 een volgend stadium bereikt. Dit door het invoeren van normenkaders voor privacy en het daaraan koppelen van maatregelen om naleving te monitoren. Voor het verkrijgen van inzicht in de risico’s die de organisatie loopt op het vlak van informatiebeveiliging en de status van de te treffen maatregelen is het nu nodig dat de afdelingen zelf aan de slag gaan met de risico analyses en de implementatie van maatregelen. De check op de “in control-maatregelen” (= de onderdelen van het controlplan) vul ik als volgt in:  Via het systeem Cybermanager kan ik zien welke maatregelen getroffen zijn en welke nog niet. Hier kan een actie uit voortkomen. Dit betreft informatie die voorradig is in het systeem (werkwijze: check melding in systeem en opvolging daarvan).  Via gerichte vragen nagaan of ‘naleving’ plaatsvinden oftewel: wordt ook datgene gedaan wat de organisatie afgesproken heeft. Dit gaat met name over houding en gedrag. Dit geschiedt door jaarlijkse uitvoering van het controleplan. Dit jaar is voor de tweede keer een ‘interne audit’ uitgevoerd op de maatregelen die opgenomen zijn in de Cybermanager. Deze audit is gedaan door de privacy ambassadeurs, het team informatiebeveiliging en het team privacy. We zijn nu in staat het verschil met 2022 te laten zien.

Zo ontwikkelen we langzaam een tijdlijn en wellicht na een aantal jaren een trend. Tabel Scores Interne Audit Stoplichten model (in bijlage uitgebreide toelichting) Label

Maatregel

Score %

Stoplicht

Score %

Stoplicht

2022

2023

NL-20.1.1.

Algemeen privacy beleid

NL-20.1.2.

Lijnmanagement verantwoordelijkheden

NL-20.2.1.

Werkprocessen vaststellen

NL-20.2.2.

Passende instructies omgang persoonsgegevens

NL-20.2.3.

NL-20.2.4.

Uitvoeren DPIA’s

NL-20.2.5.

Bewaartermijnen

NL-20.2.6.

Doorgifte buiten EER

NL-20.2.7.

Privacy eisen wetgeving en contracten

100

NL-20.3.1.

Aanstellen FG

100

NL-20.3.2.

Juridische kennis

NL-20.3.3.

Informeren Ondernemingsraad (OR) en Betrokkenen

100

NL-20.3.4.

Middelen voor privacybescherming

NL-20.4.1.

Processen rechten betrokkenen

NL-20.4.2.

Geautomatiseerde besluitvorming

100

NL-20.4.3.

Informeren Betrokkenen

NL-20.4.4.

Communicatieplan

NL-20.4.5.

Privacy- en cookieverklaring

100

NL-20.4.6.

Toepassing rechten van betrokkenen

NL-20.6.1.

Privacy by Design en Privacy By Default

NL-20.6.2.

Inzicht in privacy incidenten

100

NL-20.6.3.

Privacy specifieke beveiligingseisen

100

2.3

Rapportage rekenkameronderzoek informatiebeveiliging en privacy

In 2022 heeft de Rekenkamer van de gemeente Nijmegen haar rapportage inzake Informatiebeveiliging en Privacy aan de gemeenteraad aangeboden. Voor de volledige inhoud klik hier. In het Rekenkameronderzoek stellen de onderzoekers (pp 14-15): “voor Nijmegen schatten de onderzoekers het volwassenheidsniveau voor privacybescherming hoger: tussen de 2 en 3.” In de reactie op het onderzoek geeft het college aan te streven naar volwassenheidsniveau 3 (op het gebied van privacy) als realistisch doel voor de komende jaren (zie uitleg hiervan: bijlage 3. ). Als FG van de gemeente Nijmegen ondersteun ik dit streven. Vanuit de analyse en stand van de privacy is dat qua inspanning binnen vier jaar (na 2021) een haalbaar doel, met dien verstande dat er de komende jaren écht nog veel geïnvesteerd dient te worden in de organisatie. Dan hebben we het niet alleen over de middelen, maar ook over wil en oriëntatie, prioritering, kennis en kunde en aansturing. In onderstaande tabel omschrijven we kort de aanbevelingen die de Rekenkamer gedaan heeft. Daarbij ook de vanuit de organisatie voorgestelde acties (die mede er toe moeten leiden om binnen vier jaar te komen tot dat volwassenheidsniveau 3), inclusief een inschatting van de planning (op kwartalen gebaseerd) voor het aspect privacy.

1. 2. 3.

Omschrijving aanbeveling rekenkameronderzoek

Voorgestelde actie

Planning

Afspraken tussen gemeenten en IRvN over informatiebeveiliging Gezamenlijk informatiebeveiligingsbeleid in de regio Verhelder Beleid informatiebeveiliging en privacybescherming

CISO

CISO Er is een update van het strategische Privacy beleid gemaakt. Door College en de Raad vastgesteld medio 2023. Middels strategisch privacy beleid Uitgevoerd door externe organisatie (2023) Eerste inventarisatie en opzet voor vervolg Er zijn extra middelen beschikbaar of dat voldoende is, moet nog blijken Niet specifiek bij deze functies belegd; wel bij Stadscontrol ENSIA op gebied van beveiliging Interne audit Privacy Als uitvloeisel en onderdeel van strategisch privacy beleid Doorlopende campagne. Het maakt onderdeel uit van de opgave ‘digitale transformatie’ Griffie Griffie Update strategisch privacy beleid

* Afgerond

4. 5. 6. 7.

Aanvulling ontbrekende onderdelen beleid Organisatie brede risicoscan Risicomanagement tot continue proces Stel voldoende middelen beschikbaar

Geef CISO en FG eigen budget

Afspraak over toetsing en rapportage

10.

Gebruik KPI’s

11.

i-bewustzijn

12. 13. 14.

Meer bestuurlijke aandacht in de gemeente Meer bestuurlijke aandacht in de regio Vaststellen informatiebeveiliging en privacybeleid in de Raad Informeren van Raad door bv CISO en FG of externe deskundigen Vastleggen controlerende rol Accountant IT audit Regionale aanpak als raden

15. 16. 17. 18.

Middels Raadsbrief; Jaarverslag FG wordt aan College en Raad aangeboden (2023) Onderdeel van strategisch privacy beleid Via Stadscontroller, CISO en CIO Keuze Raad

* Items waarbij de verantwoordelijkheid bij anderen is belegd.

Afgerond Afgerond Besluit in 2023; uitvoering 2024 Afgerond Q4 2023 Q4 2023 Invoering 2024 Continue * * Eind Q2 2023 vastgesteld Afgerond; speelt elk jaar Afgerond Q1 2023 *

3. Uitvoering Privacy beleid 3.1

Privacy beleid update

In juli 2023 is het nieuwe privacy beleid vastgesteld. Het oude beleid stamde uit 2018 en was toe aan vervanging, gelet op het feit hoe de rol van het thema ‘privacy’ binnen de gemeente sinds 2018 gegroeid is. Het nieuwe beleid schetst onze visie op het respecteren van de persoonlijke levenssfeer van onze inwoners, de gewenste transparantie naar de inwoner, het belang van het beschermen van persoonsgegevens en de afweging die gemaakt dient te worden tussen dienstverlening enerzijds en het beschermen van persoonsgegevens anderzijds. Daarnaast wordt de ethische kant van privacy belicht. Verder wordt de ambitie uitgesproken om binnen vier jaar het volwassenheidsniveau 3 te bereiken.

3.2

Rechten van betrokkenen

In 2023 zijn er bij de gemeente 72 verzoeken ingediend. Hier zat één verwijderverzoek bij. De rest waren inzageverzoeken. Het aantal van 72 betreft een behoorlijke stijging ten opzichte van het aantal verzoeken in 2022. De stijging is echter te verklaren doordat middels het AVG inzageproces een groot aantal BRP inzageverzoeken zijn ingediend. De BRP kent echter in de vorm van de Wet BRP een eigen wettelijk kader gericht op inzage in de BRP. Deze verzoeken zijn dan ook doorgezet naar de afdeling Publiekszaken. Daarnaast hebben meerdere burgers zich rechtstreeks tot de FG gericht middels de functionele e-mailbox Functionarisgegevensbescherming@nijmegen.nl. Dit betrof veelal vragen om nadere informatie en uitleg over proces en procedures. In 2023 zijn er op deze wijze tien verschillende klachten, verzoeken of andersoortige vragen rechtstreeks aan de FG van de gemeente Nijmegen gestuurd. Alle klachten, vragen en informatieverzoeken zijn door de organisatie van de gemeente Nijmegen naar behoren afgehandeld.

3.3.

Incidenten en Datalekmeldingen

In 2023 zijn er 84 beveiligingsincidenten gemeld. Daarvan waren 64 meldingen intern en 20 meldingen extern. Er waren 22 datalekken. Van de datalekken zijn er 13 bij de Autoriteit Persoonsgegevens (AP) gemeld. Over één melding zijn door de AP aanvullende vragen gesteld. Daarbij ging het om 806 stempassen voor de Tweede Kamerverkiezingen. Deze waren verkeerd verstuurd. Als het gaat om beveiligingsincidenten dan gaat de verkeerd verstuurde mail nog steeds aan kop. De inrichting van de CyberManager komt steeds meer op orde. Hierdoor kunnen we over de meldingen steeds meer informatie verstrekken. De 84 van het afgelopen jaar kunnen we bijvoorbeeld categoriseren naar oorzaak: Privacy of beveiligingsincident:

Verlies / diefstal:

Social engineering:

Storing beschikbaarheid:

Schending privacywetgeving:

Datalekken gemeld bij AP:

3.4.

Afhandeling Klachten

In 2023 zijn er in totaal acht klachten ingediend door burgers en medewerkers betreffende een onrechtmatige verwerking van hun persoonsgegevens. Alle klachten zijn behandeld en naar behoren afgerond.

3.5.

Onderzoek door of namens de FG

Op 13 april 2023 heeft de Autoriteit Persoonsgegevens (AP) bekent gemaakt dat zij voornemens zijn de SVB een boete op te leggen. De AP constateerde dat de SVB een gebrekkige identiteitscontrole uitvoert door de telefonische helpdesk. Uit onderzoek van de AP blijkt dat de SVB te weinig deed om de privacy risico’s van de telefonische dienstverlening in kaart te brengen. In de praktijk schoot het systeem voor het controleren van de identiteit van bellers tekort. Controlevragen gingen vaak over zaken die vrij eenvoudig zijn te achterhalen door buitenstaanders (zoals iemands voornaam, adres en postcode). De SVB ging ook onvoldoende na of servicemedewerkers zich eigenlijk wel aan het controlebeleid hielden. De SVB maakte medewerkers onvoldoende bewust van het belang van een veilig beheer van persoonsgegevens. Deze constatering vanuit de AP richting SVB is voor de FG van de gemeente Nijmegen aanleiding om intern onderzoek te laten doen naar de stand van zaken binnen de gemeentelijke organisatie in het algemeen en het KCC (Publiekszaken) in het bijzonder. Dit onderzoek is uitgevoerd door de Privacy Officer en de Privacy-adviseur. Centrale vraag: In hoeverre heeft het KCC voldoende technische en organisatorische maatregelen genomen om de authenticatie en daarmee de informatieveiligheid van het telefonisch contact met burgers te waarborgen? Deelvragen: 1.

In hoeverre is een risico- inventarisatie opgesteld waarin specifieke risico’s van de verwerking(en) worden geïdentificeerd en gedocumenteerd? Een jaar geleden is een DPIA op het proces van het KCC uitgevoerd. De DPIA heeft een aantal risico’s in beeld gebracht en de voorgestelde maatregelen om de risico’s te mitigeren zijn geïmplementeerd. De komst van het nieuwe KCC-systeem (Tribe) en de bevindingen van de AP zijn aanleiding om de DPIA te actualiseren. 2. In hoeverre zijn passende beveiligingsmaatregelen opgesteld, gericht op de waarschijnlijkheid van risico’s ten aanzien van het telefonisch authentiseren van burgers? Een KCC-medewerker is niet bevoegd om op basis van verificatievragen nieuwe informatie vrij te geven waarover telefonisch niet gesproken is met de burger. De KCC-medewerker is enkel bevoegd om informatie die de burger zelf aangeeft te verifiëren. 3. In hoeverre is er authenticatiebeleid opgesteld met standaard controlevragen en richtlijnen over hoe moet worden omgegaan met situaties waarin twijfel bestaat over de identiteit van de burger? De digitale kennisbank vormt de leidraad voor elk klantcontact dat wordt gevoerd door de medewerkers van het KCC. Per onderwerp staan de voorwaarden gerubriceerd die de KCC-medewerker moet uitvoeren c.q. doorlopen.

Hier staan ook de verplichte verificatievragen beschreven die de KCC-medewerker moet stellen bij persoonsgebonden vragen. Voor alle nieuwe medewerkers geldt een verplicht inwerktraject. Tenslotte geldt de regel dat het raadplegen van een zaaksysteem altijd persoonsgebonden is. En er daarmee dus verificatievragen gesteld moeten worden, ook bij terugbelnotities. 4. In hoeverre worden KCC-medewerkers getraind in het authenticatieproces en I-bewust werken? Alle medewerkers worden getraind (1x per vier weken) aan de hand van gevoerde gesprekken. Aan de hand van een checklist wordt het gesprek besproken met de medewerker en waar nodig van feedback voorzien. Onderdeel van de checklist vormt de juiste toepassing van de verificatievragen. Hierdoor is er doorlopend aandacht voor het stellen van de verificatievragen en is er steekproefsgewijs controle op het verificatieproces.

4. Check op de naleving op basis van interne controle 2023. 4.1.

Uitvoering van de plannen van aanpak ‘Mijn afdeling privacyproof’

Vrijwel alle afdelingen hebben het traject de “Mijn afdeling AVG-proof” (zo goed als) afgerond. De afdeling IZL is nog druk doende het traject af te ronden. Verwachting is dat dit voorjaar 2024 gebeurd zal zijn. Succes in deze staat of valt bij de uitvoering door medewerkers in de organisatie. Inrichting van die organisatie kan soms behulpzaam zijn. Bij de uitvraag ‘hielp’ het dat een aantal afdelingen een staforganisatie of een verbijzonderde stafadviseur kennen. Deze afdelingen reageerden over het algemeen op tijd en kwalitatief goed. Andere afdelingen lijken ‘het erbij’ te doen. Dat is eigenlijk ondoenlijk en op termijn risicovol. Afdeling

2022

2023

Financiën (FA) Inkomen, Zorg en Leerrecht (IZL) Maatschappelijke Ontwikkeling (MO) Personeel, Informatie en Facilitair (PIF) Publiekszaken (PU) Stadsbeheer (SB) Stadsontwikkeling (ST) Stadsrealisatie (SR) Vastgoed, Sport en Accommodaties (VSA) Veiligheid, Juridische Zaken en Bestuursondersteuning (VJB) Toelichting op Tabel Stoplichtenmodel Mijn afdeling Privacyproof Rood: Processen nog niet volledig in beeld, niet alle bureaus aangesloten. Oranje: P.v.A. gereed, processen deels in beeld, eerste risicoscan gemaakt. Groen: processen in beeld, risicoscan gemaakt, alle bureaus afgerond, overdrachtsdocument ingeleverd bij FG.

Afronding van het traject betekent nog niet dat de afdelingen ook daadwerkelijk AVG proof zijn. De eerste stap is gemaakt. In de trits ‘opzet – bestaan – werking’ is de eerste fase afgerond. ‘Opzet’: De processen zijn in beeld, er is duidelijk wat er moet gebeuren en deze acties zijn ingepland. ‘Bestaan’ betekent dat er ook uitvoering aan gegeven wordt. Er zijn medewerkers die zich hiermee bezighouden conform planning. ‘Werking’ betekent dat ‘evidenced based’ de organisatie laat zien op welke wijze ze de acties heeft uitgevoerd en zich gehouden heeft aan de afspraken en normeringen. Om een idee te geven hoe dat eruit ziet, geef ik een overzicht per afdeling op basis van een eerste inschatting van de overdrachtsdocumenten, die de afdelingen hebben gegeven. Afdeling

Opzet

Bestaan

Werking

4.2.

Wpg Audit

In 2022 heeft de (verplichte) externe audit op naleving van de Wet Politiegegevens (Wpg) plaatsgevonden. Voorjaar 2023 hebben we hierop een (externe) hercontrole gehad en najaar 2023 een eerste interne controle. De resultaten van de externe controles zijn verstuurd aan de Autoriteit Persoonsgegevens. In een reactie op de audit 2022 hebben we als organisatie het volgende in de rapportage aan de Autoriteit laten opnemen (par. 3.2.): Wij herkennen ons in het ‘oordeel met beperkingen’, zoals weergegeven in tabel 1.12 voor de drie onderzochte domeinen. Streven voor jaarschijf 2022: Het kalenderjaar-2022- willen we gebruiken om de ‘opzet’ op alle onderdelen aan de norm te laten voldoen (mits dat ook met partners zoals leveranciers geregeld kan worden). In termen van de gehanteerde kleurscore: groen (voldoet aan de norm) of minimaal geel (voldoet deels aan de norm). Daarnaast willen we het ‘bestaan’ (streven score ‘groen’ of in uiterste gevallen minimaal ‘geel’) en de ‘werking’ (minimaal ‘geel’) verbeteren. Uiteindelijk is ons streven om in 2023 zoveel mogelijk ‘aan de norm te voldoen’ (kleurcode groen), voor zover dat mogelijk is vanuit afhankelijkheid van derde partijen. De externe auditeur ‘2-Control B.V.’ stelt in haar rapportage: “Wij hebben vastgesteld dat Gemeente Nijmegen niet (geheel) voldoet aan het bij of krachtens de wet bepaalde.

Inzake de uitvoering van de hercontroles, bevelen wij Gemeente Nijmegen aan om deze door een externe auditor te laten uitvoeren. Wij baseren deze aanbeveling op het feit dat de Gemeente Nijmegen op dit moment nog geen interne auditor heeft en heeft daarmee niet de mogelijkheid om de hercontrole zelf uit te voeren.” Wij zijn voornemens deze aanbeveling over te nemen voor het kalenderjaar 2022. Voor de toekomst (2023 en verder) willen wij met interne auditors gaan werken. In het najaar 2022 willen we de interne audit weer opstarten. Tot die tijd zal actief gestuurd worden op het realiseren van de aanbevelingen met als doel bovengenoemd streven voor 2022 te realiseren.

Inmiddels is er een traject gestart om de noodzakelijke verbeteringen in dit traject op te pakken en vorm te geven. In het najaar 2022 is er reeds een interne (tweede) audit geweest op dit domein door een interne auditeur, die hiervoor in de organisatie benoemd is. Hier werden reeds de eerste vorderingen opgemerkt. In het voorjaar 2023 is de verplichte (externe) hercontrole op de eerste audit Wpg uitgevoerd. Ook deze is verzonden aan de AP. De resultaten waren op het eerste oog teleurstellend. In het sociale domein waren wel stappen gezet, in het fysieke domein was sprake van achteruitgang. Inzoomend is dat te verklaren: de opzet was in eerste instantie nog als redelijk bestempeld, en nu als onvoldoende. Oorzaak was dat ten tijde van de hercontrole de gehele opzet vernieuwd werd en dat proces was nog gaande. Bij de interne controle die in het najaar 2023 op het fysieke domein is gehouden, bleek dat dit inmiddels weer hersteld is. De nieuwe opzet is beter dan de oude en ook in het fysieke domein is sprake van een goede vooruitgang ten opzichte van de eerste externe audit.

4.3.

DPIA als continu bijstuurproces

Het instrument DPIA is nog steeds teveel een momentopname van de privacy risico’s die spelen bij een gegevensverwerking. Ook wordt het instrument nog niet voldoende ingezet als monitoring op de implementatie en de borging van de ingezette maatregelen op de langere termijn. Hier schuilt dan ook nog steeds een kwetsbaarheid in. Door de ombuiging van implementatie naar beheer / controle is de DPIA inmiddels een blijvend onderdeel van de (interne) verantwoordingsplicht. In 2023 zijn in totaal 26 DPIA’s uitgevoerd op grote complexe gegevens verwerkingen binnen het fysiek, sociaal en veiligheidsdomein. In de jaarlijkse controle wordt getoetst in hoeverre uitvoering en borging wordt gegeven aan de risico’s en maatregelen zoals opgenomen in de DPIA’s .

4.4.

Naleving door de organisatie: Inrichting, uitvoering en resultaten controlplan 2023

In het najaar 2023 heeft de Functionaris voor de gegevensbescherming, zoals inmiddels gebruikelijk, een interne controle uitgevoerd op naleving van de AVG door de gemeentelijke organisatie. Object van onderzoek was:  Voortgang ‘Mijn afdeling AVG-proof’;  Registraties datalekken, klachten en incidenten zoals opgenomen in de Cybermanager;  Naleving van afspraken gemaakt in de DPIA en in de beoordelingen daarvan;  Naleving van privacy protocollen  Naleving van de afspraken gemaakt in verwerkersovereenkomsten. Ondanks dat er grote stappen zijn gezet op het vergroten van het informatiebewustzijn en het werken conform de AVG zijn er een viertal belangrijke constateringen op te maken:  



Er is voortgang op het traject mijn afdeling AVG-proof. Inmiddels hebben vrijwel alle afdelingen (van de 10) dit traject afgerond. Eén deling nadert de afronding. Naleving van de DPIA’s gaat al beter dan voorgaande jaren. Evidenced based aanleveren (aantoonbaar laten zien dat het werkt zoals afgesproken) is nog geen gemeengoed. Opgemerkt dient te worden dat de kwaliteit van de beschrijving van de naleving enorm verbeterd is. Meerdere afdelingen geven uitgebreid en inhoudelijk toelichting hierover. Dat is een goede stap voorwaarts! De uitvoering van verwerkersovereenkomsten wordt onvoldoende getoetst op naleving bij leveranciers. Bij navraag vanuit de toezichthoudende rol gebeurt dit wél als resultante van de hercontrole, echter als regulier onderdeel van de normale bedrijfsvoering is dit géén gemeengoed. Er is nu een betere inventarisatie van de aanwezigheid van privacy protocollen in de organisatie, maar er is nog geen algeheel overzicht. Naleving staat nog in de kinderschoenen.

Tafel van Elf De resultaten uit het controlplan 2023 geven we weer in onderstaande tabel. Daarbij hebben we gebruik gemaakt van de ‘Tafel van Elf’, ontwikkeld door het ministerie van Justitie en ondersteunt de analyse van nalevingsgedrag. In het domein van privacybescherming is ‘naleving’ één van de cruciale aspecten in houding en gedrag. Naleefgedrag komt immers niet uit de lucht vallen. De mate van naleefgedrag van vastgestelde regels en uitgangspunten (zoals een wet) wordt door een aantal aspecten beïnvloed. Deze aspecten vormen samen de ‘Tafel van Elf’.

Aspecten Tafel van 11

Dimensie

Bekendheid

Duidelijkheid

Aandachtspunten / vervolgacties

Kennis van regels

Laag tot middel

Na opgedane kennis is de acceptatie hoger. Dit is met name merkbaar bij de privacy ambassadeurs. Doel en werking DPIA’s is bekender geworden. Doel en werking verwerkersovereenkomsten is nog steeds te laag. ‘Leren en Ontwikkelen’ is verbeterd door verplicht inzet leerlijnen. Privacy Ambassadeurs worden steeds meer ingezet en hebben dit jaar meegedaan aan de privacy scan. Actie: blijvend verhogen kennis en kunde binnen de organisatie.

Kosten / Baten

Middel

Na kennis: acceptatie hoog. Mogelijke kans op boetes (voorbeelden komen van andere instanties) zorgt voor meer gevoel van urgentie.

Mate van Acceptatie

Middel tot hoog

Middel

Na kennis: acceptatie hoog. Privacy ambassadeurs meer bekend maken ín de afdelingen. Nóg meer gebruik van maken.

Normgetrouwheid doelgroep

Middel tot hoog

Middel

Hier spelen de privacy ambassadeurs een rol. Die kan verder uitgewerkt worden

Niet overheidscontrole: Sociale controle / horizontaal toezicht

Middel

Niet ingezet Sociale controle: afwegen. Impliciet via de privacy ambassadeurs. Horizontaal toezicht: inbedden.

Meldingskans

Laag

Kan voorkomen via externe melding (burger, instantie of AP); (nog) niet voorgekomen.

Controlekans

Laag

Middel, wordt hoger

Deze is verhoogd en geeft effect. Aanlevering is zowel in tijd als kwaliteit beter dan in 2022. Control uitvraag wordt ingepland in P&C cyclus.

Detectiekans

Laag

Laag tot middel

Verwerkersovereenkomsten derde steekproef; In 2024 wordt deze uitgebreid naar álle overeenkomsten. DPIA’s worden allen op naleving getoetst. De detectiekans is dan 100%.

Selectiviteit

Laag

We onderscheiden via stoplichten de mate van naleving. Dit heeft effect. Rood stoplicht zorgt voor urgentie.

Sanctiekans

Laag

(Nog) Niet geoperationaliseerd.

Sanctie ernst

Laag

(Nog) Niet geoperationaliseerd.

Spontane Naleving

Handhaving

Register van Verwerkingen De AVG stelt het verplicht voor organisaties om in een register bij te houden welke persoonsgegevens worden verwerkt, met welk doel en met welke middelen. Het Register van Verwerkingen van de gemeente Nijmegen wordt in het kader van het manifest ‘Open en Weerbaar’ gepubliceerd op de website. Het publiceren van het register van verwerkingen is overigens geen wettelijke verplichting. De naleving van (overeengekomen en vastgelegde) afspraken uit de diverse verwerkersovereenkomsten is teleurstellend te noemen. In 2024 willen we het gehele register laten checken op naleving. We willen álle verwerkingen met mogelijk hoog risico waarin met persoonsgegevens wordt gewerkt, in de komende jaren van een DPIA voorzien. Wij hanteren hierbij het Register van Verwerkingen als basis. Wij realiseren ons dat dit een grote opgave is (en tevens een inhaalslag is).

4.5.

Privacy Audits

Op basis van artikel 31 van het privacy protocol “Zorg- en Veiligheidshuis Gelderland Zuid” is medio 2022 een interne audit uitgevoerd naar de opzet, het bestaan en de werking van het Privacy Protocol Veiligheidshuis Gelderland Zuid (hierna: protocol). De naleving van het protocol behoort door partijen tweejaarlijks te worden getoetst. Op deze wijze kan aantoonbaar worden voldaan aan de verantwoordingsplicht zoals opgenomen in de AVG. Eerste obstakel in deze oordeelsvorming was het ontbreken van een DPIA op de gegevensverwerking. In 2023 is deze DPIA afgerond. Andere maatregelen uit de audit zijn geïmplementeerd.

4.6.

Archivering / vernietiging

In 2022 en ook in 2023 heeft één project expliciete en intensieve aandacht van de FG gehad. Dit betreft het project Corsa AVG-proof. Corsa is het algehele zaaksysteem waarin alle relevante dossiers in verwerkt, opgeslagen en bewaard worden. Waar nodig en noodzakelijk wordt overgegaan tot vernietiging. Probleem met Corsa was dat in principe iedereen die geautoriseerd was en hiermee toegang tot het systeem kreeg, ook alles kon zien. Dit was vanuit privacy overwegingen onaanvaardbaar. Vandaar dat de FG op dit dossier nadrukkelijk heeft geadviseerd. Mede hierdoor heeft het project Corsa AVG-proof in 2022 een extra versnelling gekregen. Een groot privacy probleem in Corsa is (uiteindelijk) verholpen door een andere benadering te kiezen. Besloten is bij iedereen de autorisatie weg te halen, die toegang geeft tot alle documenten en meta-data (uitzetten functie: ‘OallenLezen’). Vervolgens zijn de medewerkers alleen nog geautoriseerd voor dat deel van de taken die noodzakelijk zijn en passend zijn bij de uitvoering van hun werk. Hiervoor is een autorisatiematrix gemaakt doe in 2023 ingevoerd is. Belangrijk te benoemen is dat Corsa met bovenstaande werkwijze nog steeds niet AVG-proof is! Daarvoor moeten nog méér stappen ondernomen worden. Maar het risico op privacy schendingen zijn door deze twee ingrepen wel drastisch verminderd.

Verder ontbreekt door de decentrale opzet nog steeds een generiek beeld van de naleving van bewaartermijn. Dit kwam ook terug uit de bevindingen van de Archiefinspectie (2022) met betrekking tot digitale vernietiging.

5. Bewustwording en weerbaarheid 5.1.

Vergroting I-bewustzijn

Op het gebied van bewustwording heeft in 2019 én in 2022 een ‘mystery visit’ plaatsgevonden. Hier zijn een aantal verbeterpunten uit naar voren gekomen. Die hebben wij in 2020 en 2022 geïmplementeerd. Dit heeft onder andere geleid tot een voorstel tot het benoemen van i-bewustzijn als belangrijk thema voor de Nijmegen School in 2022. In de digitale opleidingsmodule zijn verplichte leerlijnen over Privacy en Informatiebeveiliging opgenomen voor alle medewerkers. De uitkomsten van deze actie worden meegenomen in het opleidingsprogramma. Dit heeft (mede) geleid tot de implementatie van een wachtwoordmanager en mobile device management. In 2023 is het Gedragsteam Nijmegen van Nu opgericht. Dat is een team waarin verschillende expertises (communicatie, gedrag, P&O, privacy, informatiebeveiliging, dienstverlening) samen zijn gebracht. Dit team zorgt voor gecoördineerde interventies, onder andere op het vlak van privacy en informatiebeveiliging. Verder is in 2023 de leerlijn ‘ransomware’ verplicht gesteld aan al onze medewerkers.

5.2.

Privacy Ambassadeurs

In 2023 hebben we twee bijeenkomsten gehad met de groep privacy ambassadeurs. Deze groep is gegroeid. Hadden de afdelingen in 2022 meestal één of twee ambassadeurs, nu heeft bijna elk team / bureau een ambassadeur. In het totaal kent de gemeentelijke organisatie op dit moment 44 ambassadeurs. Afspraak is dat elk bureau in een afdeling minimaal één ambassadeur dient te hebben. Dit betekent dat we hiermee directer een verbinding met de werkprocessen per team kunnen maken. Dit is een enorme vooruitgang. Het is soms nog wel zoeken naar de invulling van de rol van ambassadeur, maar door de bijeenkomsten, die naast voorlichting en kennisdeling met name ook een karakter van intervisie hebben, merken we dat we hierop vooruitgang boeken als organisatie. In november 2023 hebben de privacy ambassadeurs meegedaan met de interne auditing. Voor de meeste ambassadeurs was dit behalve een werksessie ook één grote kennis- en kunde-ervaring. In november 2024 willen we deze auditsessie opnieuw organiseren. De resultaten van deze interne audit zijn meegenomen in de beoordeling, zoals opgenomen in dit jaarverslag.

Bijlagen

1. Tabel Scores Interne Audit 23 november 2023 met privacy ambassadeurs en 4 december 2023 met experts Label

Maatregel

NL-20.1.1.

Algemeen privacy beleid

Audit instructie

Score %

Zijn privacy beleidsstukken compleet,

Verklaring

Stoplicht

2022: Ja, het privacybeleid is vastgesteld door het college

vastgesteld, organisatie breed bekend

van B&W in mei 2018. Ja het beleid is valide want

en makkelijk te begrijpen?

vastgesteld door het college in mei 2018. Het beleid

Is er beleid? Is het beleid vastgesteld?

is wordt geactualiseerd en is daarmee niet volledig

Is het beleid valide en bij de tijd?

actueel. Nee er zijn geen KPI's vastgesteld.

Zijn er KPI's vastgesteld? Is het beleid

Nee het beleid is (nog) niet strategisch.

strategisch (visie) van aard? 2023: 75

Nieuw strategisch privacybeleid is vastgesteld in zomer 2023. KPI’s zijn nog niet vastgesteld. Opzet: 100; Bestaan: 1oo; Werking: 75.

NL-20.1.2.

Lijnmanagement

Zijn de verantwoordelijkheden voor de

2022:

verantwoordelijkheden

lijnmanagers zijn belegd en pakken zij

Verantwoordelijkheden van het lijnmanagement

hun rol met betrekking tot de

zijn beschreven in het informatiebeveiligingsbeleid.

bescherming van

De taken die daar uit voortkomen zijn regelmatig

persoonsgegevens actief op?

onderwerp van gesprek in het GMT omdat ze niet

Zijn verantwoordelijkheden belegd en

automatisch worden opgepakt door het

beschreven?

lijnmanagement. De link tussen de beschreven en belegde verantwoordelijkheden en het actief oppakken van de taken die daar bij horen is nog niet voor iedereen helder. 75

2023 (in samenspraak met privacy ambassadeurs): Nieuwe managers worden niet altijd ingewerkt. Aanspreken op gedrag van de medewerkers door managers is geen gemeengoed, vindt incidenteel plaats. Opzet: 100; Bestaan: 100; Werking: 50.

NL-20.2.1.

Werkprocessen

Zijn er werkprocessen (voor hoge risico

2022:

vaststellen

verwerkingen) vastgesteld waarin

Of er een sluitend totaal beeld is valt niet met 100%

persoonsgegevens worden verwerkt?

zekerheid te zeggen. 80% zekerheid kunnen we wel

Is er een vastgesteld totaal beeld

stellen. Hoog risico verwerkingen zijn er maar heel

betreffende hoog risico verwerkingen?

weinig. Hier zit meer onzekerheid in. Maar over het

Is er een beeld van de hoog risico

algemeen wel.

verwerkingen met een I component in eigen beheer? Is er een beeld van de hoog risico

NL-20.2.2.

Opzet: 100; Bestaan: 100; Werking: 50

verwerkingen met een I component

We hebben al veel in beeld, maar hebben ook nog

welke niet in eigen beheer is? Is er een

achterstand.

beeld van hoog risico verwerkingen in

De afdelingen scoren in de zelfevaluatie zéér

samenwerkingsverbanden?

uiteenlopend: van 100% tot nog geen 50% .

Passende instructies

Zijn er instructies en protocollen (voor

omgang

hoge risico verwerkingen) beschikbaar

persoonsgegevens

2023 (in samenspraak met privacy ambassadeurs): 75

In algemene zin wel, er is een format voor DPIA’s. Deze kunnen medewerkers oproepen binnen de functionaliteit van Word.

Label

Maatregel

Audit instructie

Score %

Verklaring

voor medewerkers over de omgang

Voor specifieke werkprocessen is deze (nog) niet

met persoonsgegevens

volledig ontwikkeld.

in werkprocessen en worden ze daarop

Privacyprotocollen kennen een eigen format.

getraind? Zijn er passende instructies en protocollen voor hoog risicoverwerkingen NL-20.2.3.

Is er een gedocumenteerd

verwerkingen

verwerkingsregister die organisatie

2022: Ja er is een register van verwerkingen.

breed inzicht geeft in verwerkingen

Er ontbreekt een procesbeschrijving met betrekking

van de gemeente en is het beheer

tot het vullen, actualiseren en toezien op

intern belegd?

het register.

Is er een gedocumenteerd register van verwerkingen?

2023 (in samenspraak mt privacy ambassadeurs): Opzet: 100; Bestaan: 100; Werking: 75. Vanuit het perspectief van de afdelingen: De meeste hebben dit op orde. Sommige zijn bezig met een inhaalslag. Dat betekent op het geheel dat we niet zeker weten of we alles in beeld hebben.

NL-20.2.4.

Uitvoeren DPIA’s

Worden DPIA’s structureel uitgevoerd

2022:

en mitigerende maatregelen

Ja, er worden voor nieuwe wetten, nieuwe

doorgevoerd door de

processen en nieuwe systemen DPIA’s uitgevoerd.

proceseigenaren?

Maatregelen vanuit die DPIA’s worden uitgevoerd

Worden DPIA’s structureel uitgevoerd

en doorgevoerd. Hierop wordt eens per jaar

en mitigerende maatregelen

getoetst. Nog niet voor alle bestaande

doorgevoerd

processenenen en de daarbij bijpassende systemen is een DPIA uitgevoerd. In 2022 is en start gemaakt deze achterstand in te halen. 2023 (in samenspraak met privacy ambassadeurs): Opzet: 100; Bestaan: 100; Werking: 75. Privacy ambassadeurs geven aan dat ze wel bekend zijn met DPIA’s op de afdeling. Graag willen zij hierover meer informatie ontvangen. Het aantal DPIA’s dat gemaat wordt is ng steeds stijgende. De Raad heeft het aantal beoordeelde DPIA’s als KPI opgenomen.

NL-20.2.5.

Bewaartermijnen

Worden persoonsgegevens die niet

2022:

meer nodig zijn tijdig verwijderd of

Dit gebeurt nog niet voldoende. Is wel onderdeel

geanonimiseerd?

van vele projecten (Corsa, digitalisering etc), maar

Worden persoonsgegevens tijdig

nog niet structureel ingebed.

vernietigd?

Overzicht ontbreekt waar dit wél en níet gebeurd. 75

2023 (in samenspraak met privacy ambassadeurs): Opzet 100; Bestaan: 100; Werking: 50 Organisatie is bezig met een grote inhaalslag. Suite wordt opgeschoond. Dit geldt ook voor Corsa. Ook in andere processen wordt hier aan gewerkt.

Stoplicht

Label

Maatregel

Audit instructie

Score %

Verklaring

Stoplicht

In generieke zin is er meer aandacht middels de verplichte leerlijnen die gevolgd moeten worden. NL-20.2.6.

Doorgifte buiten EER

Zijn doorgiftes van persoonsgegevens

2022:

naar derde landen en internationale

De werkwijze rondom het opslaan van data buiten

organisaties - en de bijbehorende

de EER zijn bekend bij alle specialisten, maar allicht

transfermechanismen -

niet gemeente breed. Er is altijd aandacht voor in

bekend respectievelijk getoetst?

DPIA's en intakes waar de data wordt opgeslagen.

Verwerkingen met doorgifte buiten de

Daarnaast hebben we een stroomschema opgesteld

EER zijn in beeld?

waarin onze uitgangspunten met betrekking tot het kiezen van de locatie waar we onze data opslaan hebben vastgelegd. Als er een passend alternatief is om data op te slaan binnen de EER in plaats van er buiten, pakken we die. Als dat niet zo is, voldoen we aan de aanvullende maatregelen die vereist zijn. 2023: Geen aanpassingen

NL-20.2.7.

Privacy eisen wetgeving

Zijn sancties in wetgeving en

en contracten

contracten en contractuele eisen over

100

2022: Er zijn twee templates verwerkers-overeenkomsten.

de bescherming van

In het IBD model VwO zijn geen sanctiemaatregelen

persoonsgegevens bekend?

opgenomen. Dit model vormt het uitgangspunt bij het vastleggen van een verwerking tussen de verantwoordelijke en de verwerker (pas toe of leg uit). Daarnaast is er een eigen gemeentelijk model voor het geval er geen voorwaarden of

Zijn sancties zoals opgenomen in

hoofdovereenkomst van toepassing is.

verwerkersovereenkomsten en

Hierin zijn wel sanctiemaatregelen

vastgesteld door de Autoriteit

opgenomen. Sancties en de sanctiematrix van de

inzichtelijk

AP zijn bij AmvB vastgesteld. 2023: Geen aanpassingen

NL-20.3.1.

Aanstellen FG

Zijn de taken van de FG duidelijk

100

2022:

omschreven, de rol goed

Ja, de rol van FG is door het college vastgesteld.

gepositioneerd in de organisatie en

Ja, de adviezen worden opgevolgd door het college.

worden de adviezen van de FG

De positie ligt vast bij een derde lijn afdeling. De

opgevolgd, althans gemotiveerd

onafhankelijkheid is geborgd middels een

beantwoord?

addendum op de aanstelling.

Is er een FG aangesteld en is deze goed gepositioneerd in de organisatie?

2023: Geen wijzigingen.

Worden de adviezen van de FG opgevolgd? Zo niet, worden de adviezen van een gemotiveerd antwoord voorzien. NL-20.3.2.

Juridische kennis

Is er voldoende kennis en kunde

2022:

aanwezig binnen de organisatie op het

Bij de specialisten is voldoende vakinhoudelijke

gebied van Privacy?

kennis aanwezig. Dit is geborgd in het kenniscluster privacy en Informatieveiligheid. Binnen de vakafdelingen wordt kennis en kunde gemeten met

Label

Maatregel

Audit instructie

Score %

Verklaring

Is er een effectief privacy team en

enquêtes. Daarnaast maakt een verplichte

samenwerking met de CISO?

elearning onderdeel uit van het creëren van bewustwording. Ja, dit is aantoonbaar geborgd in

Vinden er organisatie brede trainingen

het kenniscluster Privacy en Informatie-veiligheid

plaats op het gebied van privacy en

Ja, er is een verplichte elearning op het gebied van

beveiliging?

privacy en Informatie-veiligheid. 2023 (in samenspraak met privacy ambassadeurs): Kennis is beschikbaar bij specialisten. Privacy ambassadeurs hebben globale kennis. Organisatie heeft verplichte curssussen via Online learning moeten doen. Dit heeft de awareness vergroot. De Raad heeft de mate van kennis door de medewerkers ook als KPI vastgesteld. Wellicht in 2024 meten.

NL-20.3.3.

Informeren OR en

Wordt OR actief geïnformeerd en

100

2022:

Betrokkenen

betrokken bij onderwerpen over de

Als een verwerking van persoonsgegevens

bescherming van persoonsgegevens

instemmingsplichtig is wordt contact gelegd met de

van medewerkers?

OR. Of wordt de vakafdeling geadviseerd om contact op te nemen met de OR.

Wordt de OR betrokken en

Ja, indien van toepassing op een verwerking van

geïnformeerd

persoonsgegevens. Dit is echter wel een verantwoordelijkheid van de betreffende vakafdeling. 2023: Geen aanpassingen

NL-20.3.4.

Middelen voor

Vinden er organisatie brede trainingen

privacybescherming

plaats voor medewerkers op het

2022: Ja, er vinden Organisatie brede trainingen plaats in

gebied van privacy bewustzijn,

de vorm van verplichte elearnings op het gebied

inclusief het management?

van privacy en informatieveiligheid. Er zijn geen voldoende en geen structurele

Zijn er voldoende middelen

middelen beschikbaar op het gebied van privacy. Er

beschikbaar op het gebied van

zijn geen formele aanstellingen op de rollen

privacy?

beschikbaar (op de FG na) en daardoor kwetsbaar. 75

2023 (in samenspraak met privacy ambassadeurs): Er zijn gemeentebrede trainingen die online worden aangeboden. Deelname percentage liggen rond 80%. Daarnaast zijn er specifieke trainingen op afdelingsniveau gegeven (zoals bij IZL). Er zijn meer middelen beschikbaar gesteld door de Raad, maar nog niet structureel .

NL-20.4.1.

Processen rechten

Zijn de processen omtrent de rechten

betrokkenen

van betrokkenen en het recht van

2022: Ja, deze processen zijn vastgesteld en

bezwaar vastgesteld, makkelijk te

gedocumenteerd. De mogelijkheid van bezwaar valt

begrijpen en gedocumenteerd?

onder het reguliere proces van bezwaar en beroep volgens de Awb. Via onze privacyverklaring geven

Stoplicht

Label

Maatregel

Audit instructie

Score %

Verklaring

Stoplicht

wij uitleg over het gebruikmaken van de Rechten van Betrokkenen. Dit document is in B1 taalniveau opgesteld. Zijn er processen ingericht om de

Ja, er is een privacyportal beschikbaar via de

rechten van betrokkenen te

website van de gemeente Nijmegen. Dit portal is

faciliteren? Verdergaande

gekoppeld aan bovengenoemde procedure.

mogelijkheden om invulling te geven

Verdergaande mogelijkheden om invulling te geven

aan de rechten van betrokkenen

aan de rechten van betrokkenen worden toegepast.

worden toegepast?

Waar mogelijk worden applicaties privacy by design ingericht. Hier maakt de borging van de rechten van betrokkenen onderdeel van uit. 2023: Procedure is efficiënter ingericht Opzet 100; Bestaan 100; Werking 75 Het proces werkt, maar we kunnen nog niet 100% garanderen dat alles gaat zoals het bedoeld is. Ook deze indicator is door de Raad als KPI aangewezen.

NL-20.4.2.

Geautomatiseerde

Is organisatie breed bekend wanneer

besluitvorming

geautomatiseerde besluitvorming

100

2022: Ja, dit om te voorkomen dat de menselijke

wordt toegepast en worden daarbij

tussenkomst wordt overgeslagen. Dit conform het

passende privacy waarborgen

door de raad vastgestelde Manifest

getroffen?

Open en Weerbaar Nijmegen uit 2017. Er worden geen besluiten genomen zonder

Is er inzichtelijk welke besluiten

tussenkomst van een ambtenaar.

genomen zijn op basis van automatisch verwerkte

2023: Geen aanpassingen

persoonsgegevens? NL-20.4.3.

Informeren

Worden betrokkenen tijdig en

Betrokkenen

adequaat geïnformeerd over

2022: Nee, we doen dit alleen globaal via de

verwerkingen van hun

privacyverklaring.Betrokkenen worden actief, tijdig

persoonsgegevens volgens de

en adequaat geïnformeerd.

transparantieverplichtingen?

Nee, alleen globaal via de privacyverklaring op de

Worden betrokkenen actief, tijdig en

website van de gemeente Nijmegen.

adequaat geïnformeerd? 2023: geen aanpassingen. In 2024 wordt bekeken of er meer actief gecommuniceerd kan worden bij het starten van een proces / procedure. NL-20.4.4.

Communicatieplan

Is er een organisatie breed

2022:

communicatieplan over privacy waarin

Het communicatieplan gaat niet op het borgen van

structureel rekening wordt gehouden

transparantie-verplichtingen.

met transparantieverplichtingen?

Nee er is geen communicatieplan op specifieke

Is er een communicatieplan over

gegevensverwerkingen waar

privacy gericht op een invulling aan de

transparantieverplichtingen op van toepassing zijn.

AVG-transparantieverplichtingen? 2023:

Label

Maatregel

Audit instructie

Score %

Verklaring We communiceren over privacy middels onze privacyverklaring. Wat we beter zouden kunnen doen is om bij bijvoorbeeld een aanvraagformulier het verwerkingsdoel van de gegevens aangeven. Daarnaast wordt ‘Mijn Nijmegen’ doorontwikkeld en dat geeft ook meer inzichten. Opzet 50; Bestaan 50; Werking: 25

NL-20.4.5.

Privacy- en

Zijn de privacy- en cookieverklaring

100

2022:

cookieverklaring

actueel en geven ze gemeente breed

Ja, de privacyverklaring is actueel. De verklaring

inzicht in verwerkingen van

verwijst naar het register waar inzicht kan worden

persoonsgegevens door de gemeente?

verkregen over alle verwerkingen. De verklaring geeft alleen op hoofdlijnen uitleg.

Staat op de gemeentelijke website een

Op de gemeentelijke website staat een privacy- en

privacy- en cookieverklaring met

cookieverklaring met informatie over verwerkingen

informatie over verwerkingen van

van persoonsgegevens door de gemeente.

persoonsgegevens door de gemeente? 2023: Geactualiseerd. NL-20.4.6.

Toepassing rechten van

Worden verdergaande mogelijkheden

betrokkenen

toegepast om invulling te geven aan de

rechten van betrokkenen? NL-20.6.1.

2022: Zie vraag rechten van betrokkenen. 2023: zie 20.4.3.

Privacy by Design en

Wordt rekening gehouden met PbD en

Privacy By Default

privacy by default bij (potentieel)

2022: Ja, hier wordt rekening mee gehouden via het

nieuwe verwerkingen?

intake en inkooproces. Echter er is geen borging met betrekking tot het structureel borgen van de

Worden verwerkingen zodanig

uitvraag en werking van Privacy by Design.

ingericht dat rekening wordt gehouden

Ja, waar mogelijk. Alleen is dit niet consequent

met de acht beginselen van Privacy by

geborgd en vastgelegd.

Design (PbD) en privacy by default? 75

2023 (in samenspraak met privacy ambassadeurs): Privacy ambassadeurs geven aan dat bij de aanbestedingen rekening gehouden wordt met principe van Privacy by Design. Privacy by Default is verschillend per afdeling. Dit vormt wel het uitgangspunt. Opzet 100; Bestaan 100; Werking 50

NL-20.6.2.

Inzicht in privacy

Is incidentbeheer ingericht met

100

2022:

incidenten

gedocumenteerde procedures voor het

Ja, er is een gemeentelijke procedure. Deze is

behandelen van privacy-incidenten en

echter niet vastgesteld in het college. Het maakt

weten medewerkers hoe ze op een

onderdeel uit van de elearning op privacy en

incident moeten reageren?

informatieveiligheid. Het maakt tevens onderdeel uit van het inwerkprogramma. Ja, hiervoor wordt

Heeft de gemeente inzicht in

een register bijgehouden.

(potentiële) privacy-incidenten, zoals datalekken?

2023 (in samenspraak met privacy ambassadeurs): Opzet: 100; Bestaan: 100; Werking: 75. Privacy ambassadeurs geven aan dat er andacht is voor datalekken en incidenten. Op een paar afdelingen is dit minder. Score Volledigheid

Stoplicht

Label

Maatregel

Audit instructie

Score %

Verklaring

Stoplicht

Score Juistheid NL-20.6.3.

Privacy specifieke

Houdt het IB-beleid en de IB-

100

Ja, de privacyspecifieke beveiligingseisen maken

beveiligingseisen

procedures rekening met privacy

nadrukkelijk onderdeel uit van het IB beleid.

specifieke beveiligingseisen?

Ja, er is een nadrukkelijke koppeling met het privacybeleid. Daarnaast maakt privacy onderdeel

Houdt het IB-beleid rekening met

uit van de jaarlijkse ENSIA rapportage.

privacy specifieke beveiligingseisen? 2023: Geen aanpassingen

2. Tabel stand van zaken uitgevoerde DPIA’s Stand van zaken DPIA's per 31/12/23 afgerond 2018 2019 2020 2021 2022 2023

3 10 3 6 23 26

Totaal afgerond

Onder behandeling per 31/12/23

Totaal

104

3. Duiding ‘Volwassenheidsniveau 3’ Uit bijlage Rekenkamerrapport “Weten wat je moet weten”. Op basis van de geanalyseerde documenten en gevoerde gesprekken hebben de externe onderzoekers een inschatting gemaakt van het volwassenheidsniveau van de gemeenten en iRvN per aandachtsgebied (informatiebeveiliging) en thema (privacybescherming). Volwassenheidsniveau 1 is het laagste en volwassenheidsniveau 5 het hoogste niveau. De onderscheiden niveaus zijn in onderstaande tabel toegelicht. Niveau

Omschrijving

Indicatieve criteria

Beheersmaatregelen zijn niet of

• Geen of beperkte beheersmaatregelen

gedeeltelijk gedefinieerd en/of

geïmplementeerd

worden op inconsistente wijze

• Niet of ad-hoc uitgevoerd

uitgevoerd. Grote afhankelijkheid

• Niet/deels gedocumenteerd

van individuen.

• Wijze van uitvoering afhankelijk van individu

Beheermaatregelen zijn aanwezig en

• Beheersmaatregelen zijn geïmplementeerd

worden op consistente en

• Uitvoering is consistent en standaard

gestructureerde, maar op informele

• Ad-hoc en grotendeels gedocumenteerd

Ad Hoc

Beheerst

wijze uitgevoerd. 3.

Vastgesteld

Beheersmaatregelen zijn

• Beheersmaatregel gedefinieerd op basis van risico

gedocumenteerd en worden op

assessment

gestructureerde en geformaliseerde

• Gedocumenteerd en geformaliseerd

wijze uitgevoerd. De uitvoering is

• Verantwoordelijkheden en taken eenduidig

aantoonbaar en wordt getoetst.

toegewezen • Opzet, bestaan en effectieve werking aantoonbaar • Rapportage van uitvoering van beheersmaatregelen aan management • Effectieve werking van beheersmaatregelen wordt periodiek getoetst, gebaseerd op het risicoprofiel van de organisatie • De toetsing toont aan dat de beheersmaatregel effectief is

Volgend deel →

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=Nijmegen&id=01b111cb-91dc-4e41-a358-6042fa7f353f