Raadsbrief ‘Jaarrapportage privacy 2024’

Postadres Gemeente Nijmegen

Aan de gemeenteraad van Nijmegen

Postbus 9105 6500 HG Nijmegen Bezoekadres Korte Nieuwstraat 6 6511 PP Nijmegen T 14 024 nijmegen.nl

Datum Onderwerp

Contactpersoon gemeente@nijmegen.nl 14 024

30 september 2025 Jaarrapportage privacy 2024

Ons kenmerk E25.002165 Bijlage(n) Bijgevoegd: Jaarrapportage

Geachte leden van de raad,

privacy 2024

Bijgaand ontvangt u de jaarrapportage privacy 2024 en de daarbij horende reactie van het College. Deze op 24 april door de FG uitgebrachte rapportage biedt zoals gebruikelijk scherp inzicht in de stand van zaken rondom gegevensbescherming binnen onze gemeentelijke organisatie. Mede doordat deze rapportage voor het eerst de naleving van verwerkersovereenkomsten heeft opgenomen, lijkt de overall conclusie van dit jaar kritischer te zijn dan in voorgaande jaren. Wij nemen deze kritische bevindingen zeer serieus. Ambitie De ambitie om door te groeien naar volwassenheidsniveau 3 blijft onverminderd van kracht. Deze is verankerd in het door uw Gemeenteraad vastgestelde privacybeleid. De FG onderstreept terecht dat we al veel stappen hebben gezet, maar dat de reis naar een structureel AVG-proof organisatie nog niet voltooid is. Wij onderschrijven dit volledig. Mede om die reden hebben we in het begrotingsproces in beeld gebracht wat we denken nodig te hebben om dit doel te bereiken. Vooruitgang In 2024 is het traject ‘Mijn Afdeling AVG-proof’ volledig afgerond. In dit traject hebben alle afdelingen een opzet – een plan – gemaakt om aan de AVG te gaan voldoen. Daarmee is de eerste fase van de cyclus opzet, bestaan en werking, voor alle afdelingen voltooid. Ook het ‘bestaan’ is inmiddels voor het merendeel van de afdelingen zichtbaar aanwezig.

Dit betekent dat veel van de vastgestelde plannen daadwerkelijk zijn geïmplementeerd. Positief is dat de uitvoering van DPIA’s (Data Protection Impact Assessment) verder is toegenomen; in 2024 zijn er 31 DPIA’s uitgevoerd. Een belangrijk gegeven is dat bij het overgrote deel van de DPIA’s ook aangetoond is dat de gemaakt afspraken ook daadwerkelijk nageleefd zijn en dat er dus bij de DPIA’s ook sprake is van ‘werking’ (zie p.

Gemeente Nijmegen

Pagina 1 van 3

11). Ook de interne audits worden stabieler uitgevoerd, wat helpt om de belangrijkste risico’s in beeld te houden (zie p. 6). Aandachtspunten Tegelijkertijd benadrukt de FG dat de algehele werking van privacymaatregelen nog onvoldoende is aangetoond. Voor het eerst opgenomen in de rapportage is de naleving van verwerkersovereenkomsten: hier scoren we ruim onder het gewenste niveau en liggen er duidelijke knelpunten (zie p. 12). Hoewel veel contractuele afspraken zijn vastgelegd, ontbreekt het aan structurele controle op naleving van deze afspraken bij leveranciers. De toetsing van de FG laat zien dat er flinke nog stappen gezet moeten worden op het naleven van verwerkersovereenkomsten. We slagen er dus nog niet in om de afspraken die we maken ook daadwerkelijk op te volgen. Het is belangrijk dat we, wanneer we verwerkersovereenkomsten afsluiten, ons bewust zijn van de verplichtingen die daarbij komen kijken en daar ook gevolg aan geven. Daarnaast moeten we per verwerkersovereenkomst kritisch blijven kijken of deze echt noodzakelijk is, omdat we constateren dat dit niet bij alle verwerkersovereenkomsten het geval is. Ook blijft de bewustwording nog niet voldoende aantoonbaar (zie p. 8). Terwijl dat juist een cruciaal punt is om de werking tot een hoger niveau te drijven.

De ambtelijke organisatie weet redelijk goed wat gewenst gedrag is op het gebied van privacy, maar vertoont dit nog niet altijd. Dit is het eerste jaar dat effectief kon worden getoetst op werking van de plannen die volgen uit het traject ‘Mijn afdeling AVG-proof’. Dat betekent ook dat de uitvraag van afgelopen jaar voor de ambtelijke organisatie ‘nieuw’ was. We verwachten daarom dat komend jaar bij de uitvraag, de ambtelijke organisatie gerichter te werk kunnen gaan met het aantonen van de werking, onder andere op verwerkersovereenkomsten. Ondanks dat er een verbetering te zien is ten opzichte van vorig jaar, halen we namelijk nog niet de gewenste score op ‘werking’. We onderschrijven dan ook de conclusie van de FG dat de organisatie nog niet AVG-proof is op de volle breedte. Maatregelen Het afgelopen jaar hebben we, naast het reguliere werk, diverse acties ondernomen. We hebben privacy bestuurlijk meer aandacht gegeven. Onder andere door regelmatige communicatie naar uw gemeenteraad, maar ook informatieveiligheid te agenderen in het begrotingsproces; We hebben het bewustzijn op het gebied van privacy vergroot, onder andere door gerichte trainingen te geven bij verschillende afdelingen, door langs te gaan bij alle managementteams met een casusoefening over i-veiligheid en door elearnings voor alle medewerkers.

Wij verwachten dat een groter bewustzijn van de ambtelijke organisatie door zal werken in een hogere score op de ‘werking’. Daarnaast gaan we de komende tijd focussen op een aantal zaken: We gaan een overzicht creëren van alle verwerkersovereenkomsten en privacy protocollen, zodat we scherper hebben wat er op de naleving van deze

Gemeente Nijmegen

Pagina 2 van 3

-

-

overeenkomsten dient te gebeuren. Daarnaast gaan we de kwaliteit van het verwerkingsregister verhogen. We zien regelmatig dat er verwerkersovereenkomsten zijn afgesloten die juridisch gezien niet noodzakelijk zijn. Daarom gaan we erop sturen dat verwerkersovereenkomsten voortaan altijd langs het privacyteam gaan, en specifieke instructies opstellen over wanneer deze overeenkomsten nodig zijn en wanneer niet. Zo voorkomen we dat er onnodige overeenkomsten worden afgesloten. We gaan meer aandacht besteden aan de bewustwording. Onder andere door nog meer gerichte trainingen te organiseren en door de managementteams aan te sporen om het juiste gedrag te stimuleren bij hun medewerkers.

Tot slot

Wij erkennen dat privacybescherming continu onderhoud vergt en geen statisch eindpunt kent. De kritische bevindingen in deze jaarrapportage – met name op het gebied van verwerkersovereenkomsten – vormen een duidelijke oproep tot verscherping van onze aanpak. Met het oog op deze verscherping, wordt bij de begroting in beeld gebracht wat we nodig denken te hebben, om onze ambitie te kunnen bereiken. Wij danken de FG voor zijn scherpe analyse, die ons helpt bij het bepalen waar we de focus op moeten leggen. Hoogachtend, Het college van burgemeester en wethouders van Nijmegen

A.P.W. van de Klift gemeentesecretaris

H.M.F. Bruls burgemeester

Gemeente Nijmegen

Pagina 3 van 3