Raadsvoorstel Actualisatie Privacybeleid 2023

Raadsvoorstel

Openbaar

Onderwerp Actualisatie privacybeleid gemeente Nijmegen Opsteller Programma Portefeuillehouder

Stijn Verhagen Bestuur & Middelen en Digitalisering H.M.F. Bruls & T.F.A. Van Elferen

Collegebesluit Behandeldatum Raad 12 juli 2023 Status Openbaar

Samenvatting Wij willen ons privacybeleid actualiseren. De huidige versie komt uit 2018, dus is het toe aan vervanging. Daarnaast is er het afgelopen jaar een Rekenkameronderzoek geweest naar privacy en informatiebeveiliging. Daar kwam onder andere uit dat het privacybeleid strategische componenten miste. Bovendien was een aanbeveling uit het onderzoek om het privacybeleid vast te laten stellen door de Raad. Met dit voorstel voldoen wij aan de aanbevelingen uit het rekenkameronderzoek en zorgen we ervoor dat het privacybeleid weer actueel is. Voorstel 1. Het Privacybeleid 2023 vast te stellen, waarin we onder andere vastleggen dat we: de privacy van burgers zoveel mogelijk respecteren; persoonsgegevens goed beschermen en hier zo transparant mogelijk over zijn; rekening houden met dienstverlening; aandacht hebben voor de ethische componenten rondom privacy; ernaar streven om zo snel mogelijk volwassenheidsniveau 3 te bereiken.

Aanleiding Bij invoering van de Algemene verordening gegevensbescherming (verder: AVG) is het Privacybeleid 2018 voor de gemeente Nijmegen vastgesteld. Bij invoering van de AVG was de invloed op onze organisatie nog niet duidelijk. De afgelopen vier jaar hebben we de benodigde kennis opgedaan om te kunnen bepalen wat onze visie is op de wijze waarop we met persoonsgegevens omgaan en hoe wij daarover moeten verantwoorden. De kennis die wij de afgelopen jaren hebben opgedaan, werd niet weergegeven in het Privacybeleid. Het belang van privacybescherming is een steeds belangrijker thema geworden. We zoeken continu naar de optimale balans tussen verschillende publieke waarden, zoals een goede borging van privacy enerzijds en efficiënte en betrouwbare dienstverlening anderzijds. Bovendien is er het afgelopen jaar een Rekenkameronderzoek geweest naar Privacy en Informatiebeveiliging, waarin werd aangegeven dat strategische componenten misten. Met deze actualisatie zorgen wij ervoor dat het privacybeleid weer aansluit bij onze huidige werkwijze, en voegen we componenten zoals visie en ambitie toe. Het is dus niet alleen een actualisatie, maar ook een uitbreiding van het privacybeleid.

Beoogde impact

B&W, Raad / sjab = Raadsvoorstel Opgesteld door Stijn Verhagen, s5.verhagen@nijmegen.nl

Actualisering Privacybeleid gemeente Nijmegen

Raadsvoorstel

Het privacybeleid is afgestemd met de stakeholders binnen de gemeentelijke organisatie. Dit draagt eraan bij dat het privacybeleid gemeentebreed gedragen wordt en dat het een prominent onderdeel wordt onze bedrijfsvoering. Onze stevige ambitie om volwassenheidsniveau 3 te bereiken zal zorgen voor een sterke basis op het gebied van privacybescherming. Relatie met de doelenboom Wij hebben een betrouwbare en omgevingsbewuste uitvoeringsorganisatie. Dit voorstel draagt bij aan het realiseren van een visie op een moderne, digitale en betrouwbare overheid. Door het vastleggen van de hierboven genoemde ambitie zorgen we voor risicobeheersing, bevordering van de reputatie van de organisatie en verbetering van de sturing op verantwoording.

Argumenten 1. Actualisatie van het privacybeleid 1.1. Verantwoordingsplicht De AVG kent een sterke verantwoordingsplicht. De afgelopen jaren is de verantwoordingsplicht verder ingevuld vanuit de jurisprudentie, uitspraken van de Autoriteit Persoonsgegevens en de ontwikkeling van het normenkader. Wij moeten aantoonbaar kunnen maken waarom en op welke wijze wij omgaan met het verwerken van persoonsgegevens. De afspraken hierover moeten expliciet vastgesteld worden in ons beleid. Het opstellen van DPIA’s, privacyprotocollen en werkinstructies zijn voorbeelden van het aantoonbaar maken van de borging van privacy in de organisatie. Met het vastleggen van de uitwerking van de verantwoordingsplicht voldoen wij aan dit vereiste. 1.2 . Voldoen aan de aanbevelingen uit het Rekenkameronderzoek ‘Weten wat je moet weten’ In mei 2022 heeft de Rekenkamer het onderzoek naar Informatiebeveiliging en Privacybescherming ‘Weten wat je moet weten’ gepubliceerd. In dit onderzoek zijn door de Rekenkamer diverse aanbevelingen gedaan. Twee van deze aanbevelingen richtten zich (deels) op een actualisatie van het privacybeleid. In het oude privacybeleid was niet genoeg aandacht voor visie en strategie, zo concludeerde de Rekenkamer. In dit beleid leggen wij deze visie en ambitie vast.

In grote lijnen geeft de visie weer dat wij de privacy van de burgers zoveel mogelijk respecteren, dat we het belangrijk vinden om persoonsgegevens goed te beschermen en transparant naar de burger te zijn en dat we tegelijkertijd dienstverlening en de ethische component niet uit het oog verliezen. De ambitie houdt grofweg in dat we zo snel mogelijk naar volwassenheidsniveau 3 willen. Centrale factoren die daaraan bijdragen zijn de goede implementatie van privacy by design, de uitvoering van DPIA’s, het maken van passende werkinstructies en het inzetten op privacybewustzijn van medewerkers. Door in te zetten op deze factoren willen wij onze ambitie bereiken. 1.3 Vaststellen normenkader Eén van de maatregelen uit het rekenkameronderzoek betrof het verhogen van het volwassenheidsniveau. Volgens de Rekenkamer scoren we voor privacybescherming ergens tussen twee en drie. In reactie op het Rekenkameronderzoek is door het college aangegeven dat Volwassenheidsniveau 3 qua bescherming passend is en dat we op niveau

Actualiseren privacybeleid verordening gemeente Nijmegen

Raadsvoorstel

3 naast een goede dienstverlening aan de burger, ook zelf efficiënt en effectief onze processen kunnen uitvoeren. Het is tegelijkertijd een stevige ambitie, omdat het de nodige inspanning van de gehele organisatie vraagt om dit niveau te behalen én ook vast te houden. Dit komt bovenop de reguliere werkzaamheden en vraagt dus veel van medewerkers, de met steeds complexere problematiek te maken krijgen. Het te bereiken volwassenheidsniveau is met de actualisatie van het privacybeleid strategisch vertaald.

1.4 Verankering acht strategieën van privacy by design Eén van de punten die centraal staat in onze vernieuwde ambities is de juiste toepassing van privacy by design. In het vernieuwde privacybeleid worden de strategieën die moeten zorgen voor de toepassing privacy by design uiteengezet. Dat zorgt ervoor dat de uitgangspunten omtrent privacy by design gemeentebreed vastgelegd zijn en dat we daar in de komende jaren diverse acties op kunne ondernemen. 1.5 Wet Politiegegevens Sinds 2019 vallen de BOA-taken onder de Wet Politiegegevens (hierna: WPG). Voor persoonsgegevens die vallen onder de WPG, geldt een ander toetsingskader dan de AVG. Daarnaast brengt de WPG een auditplicht met zich mee. Door de WPG mee te nemen in het privacybeleid, creëren we eenduidigheid in de uitvoering van onze WPG-taken. 1.6 Meebewegen met de actualiteit Bij het vaststellen van het Privacybeleid in 2018, was de AVG pas net van kracht. Inmiddels zijn er vijf jaren verstreken, waarin wij waardevolle lessen hebben geleerd. Er is meer duidelijk geworden over de afweging van privacy ten opzichte van andere publieke waarden, zoals dienstverlening en transparantie. Bovendien hebben wij een visie gevormd over hoe deze waarden zich tot elkaar verhouden. Dit beleid geeft die visie weer en maakt duidelijk waar privacy staat ten opzichte van andere publieke waarden.

Bovendien schetst het de actuele kaders die wij hanteren om een goede privacybescherming te garanderen. 1.7 Vaststellen privacybeleid door de raad Aanbeveling drie van het Rekenkameronderzoek betrof het geactualiseerde privacybeleid vast te laten stellen door de Raad. In reactie op de aanbevelingen uit het rekenkameronderzoek alsmede in de brief aan de raad van 10 januari jl. hebben wij aangegeven dat wij deze aanbeveling overnemen. Kanttekeningen Dit voorstel heeft geen kanttekeningen. Financiën Dit voorstel heeft geen directe financiële gevolgen. Mede uit het rekenkameronderzoek blijkt echter dat we nog niet staan waar we willen staan. Om tot volwassenheidsniveau drie te komen, moeten er nog flinke stappen gezet worden. De specifieke acties moeten nog verder geconcretiseerd en geprioriteerd worden. Het is wel duidelijk dat voor deze acties ook middelen beschikbaar gesteld moeten worden. Op dit moment is het nog niet mogelijk om daar concrete onderbouwingen voor te doen. Mogelijk zijn er al voldoende middelen beschikbaar gesteld in het coalitieakkoord, maar mogelijk is er extra budget nodig.

Actualiseren privacybeleid verordening gemeente Nijmegen

Raadsvoorstel

Vervolg Het Privacybeleid 2023 wordt bekendgemaakt op overheid.nl en treedt een dag na bekendmaking in werking. Bijlagen 1. Privacybeleid voor de gemeente Nijmegen 2023

Actualiseren privacybeleid verordening gemeente Nijmegen