Bijlage Rekenkamerrapport Bescherming Persoonsgegevens Noordwijk

pagina 20/32

18 juni 2021

Rekenkameronderzoek Noordwijk

Deelvraag 6. Hoe communiceert de gemeente naar inwoners over de wijze waarop zij omgaat met persoonsgegevens? Antw. De gemeente communiceert op haar website over de wijze waarop zij met persoonsgegevens omgaat in het kader van de AVG en BRP. Ook kunnen inwoners via de balie vragen stellen. Bij het directe contact tussen de gemeente en inwoners worden inwoners indien relevant ook geïnformeerd over hoe de gemeente persoonsgegevens verwerkt.

Risico’s en nieuwe ontwikkelingen

3.5 7. 8.

Deelvragen Welke mogelijke risico’s zijn te onderkennen in de huidige wijze waarop de privacy van inwoners is geborgd binnen de gemeente? Hoe ziet de gemeente erop toe dat de borging van de privacy van een voldoende niveau is en blijft en wordt er geanticipeerd op toekomstige opgaven en juridische ontwikkelingen?

Hieronder volgen risico’s en ontwikkelingen die invloed hebben op het privacybeleid van de gemeente. (Juridische) privacyrisico’s worden niet stelselmatig in kaart gebracht. De AVG schrijft voor dat organisaties regelmatig DPIA’s uitvoeren. Bij de gemeente Noordwijk is nog geen praktijk ontstaan waar dit ook gebeurt. Het uitvoeren van DPIA’s is een organisatiebrede verantwoordelijkheid. Medewerkers zouden zelf moeten kunnen signaleren wanneer het nodig is om een DPIA uit te voeren en zo’n DPIA moeten kunnen uitvoeren, eventueel met ondersteuning van de privacy officer of een FG. Privacy staat niet vast op de agenda bij de overleggen van het team Informatie- en gegevensmanagement. Er is op het moment van het onderzoek in het team Informatie- en gegevensmanagement weinig juridische kennis over privacy aanwezig. Dit maakt het lastig voor de teamleden om juridische ontwikkelingen, bijvoorbeeld nieuwe wetgeving die van invloed kan zijn op de wijze waarop de gemeente persoonsgegevens verwerkt, proactief op te merken. Daarnaast is er weinig capaciteit. De meeste taken liggen bij de CISO. Er wordt op dit moment voornamelijk reactief omgegaan met ontwikkelingen. De gemeente houdt technische ontwikkelingen en risico’s met betrekking tot de informatieveiligheid wel in de gaten.

Dit is mogelijk omdat op het gebied van informatiebeveiliging een strategische visie is opgesteld die ook is geoperationaliseerd. Zowel in het team Informatie- en gegevensmanagement als het team functioneel beheer is aandacht voor risico’s en risicomanagement. In deze teams zijn werknemers werkzaam met kennis en kunde over processen, beveiliging, optimalisering en functioneel beheer. Regelmatig vinden controles plaats op hoe systemen worden gebruikt. Het team functioneel beheer draait maandelijks een overzicht uit waarin staat welke rollen en rechten medewerkers hebben in het systeem. De CISO controleert vervolgens dit overzicht. Dit voorkomt dat personen die geen reden hebben de gegevens in te zien toegang hebben tot die gegevens. Deze controles zijn ook nodig omdat sommige personen zichzelf meer rechten kunnen geven. Dit maakt het extra belangrijk dat de verdeling van rechten regelmatig wordt gecontroleerd. Ook de logging, inzicht in wanneer een pagina 21/32

18 juni 2021

Rekenkameronderzoek Noordwijk

medewerker een bepaald systeem heeft geraadpleegd, wordt gecontroleerd. De overzichten worden opgeslagen op een tijdelijke schijf die dagelijks worden geleegd. De CISO zorgt voor een deugdelijke ENSIA rapportage. Om te voldoen aan deze verplichting worden vragenlijsten gebruikt waarin alle relevante informatie voor de rapportage is aangegeven. De CISO vult deze in overleg met de relevante medewerkers in. Bij aanschaf van nieuwe applicaties worden over het algemeen de eisen en wensen vanuit privacyperspectief meegenomen door de CISO. Wat deze eisen zijn is niet altijd duidelijk voor andere personen die moeten werken met deze applicaties. De gemeente is gestart met het in kaart brengen van processen in het algemeen, omdat de controller hiernaar heeft gevraagd. Bij deze inventarisatie is in het bijzonder aandacht voor rechtmatigheid en privacy. Er wordt bij deze inventarisatie ook in kaart gebracht in welke processen precies persoonsgegevens worden verwerkt. Beoordeling normen t.a.v. Uitvoeringspraktijk •

•

De gemeente heeft een leer- en verbetercyclus waar privacy een apart onderdeel van uitmaakt. Hierin is aandacht voor mogelijke (ongewenste) knelpunten.

De gemeente heeft een routine voor het meten en verbeteren van de bescherming persoonsgegevens en legt vast wat de bevindingen en maatregelen zijn. Deze routine is al tenminste één keer uitgevoerd.

Voldoende

Voldoende

Toelichting De CISO monitort ontwikkelingen rondom privacy. De worden besproken in team IGM. De uitkomsten worden aan de raad gecommuniceerd via raadbrieven. Waar nodig wordt beleid herzien. Door gebrek aan capaciteit kunnen niet alle knelpunten worden geconstateerd. Dit proces vindt plaats op het gebied van informatiebeveiliging.

Deelvragen 7. Welke mogelijke risico’s zijn te onderkennen in de huidige wijze waarop de privacy van inwoners is geborgd binnen de gemeente? Antw. Er is op dit moment nog geen organisatiebreed overzicht van alle processen en in hoeverre er in deze processen privacyrisico’s voor inwoners zijn. Wel is de gemeente hiermee gestart. Ook is er (nog) geen praktijk waar er bij veranderingen of nieuwe wetgeving door medewerkers DPIA’s worden uitgevoerd. Daarnaast is er ten tijde van het onderzoek geen onafhankelijke toezichthouder (FG). Dit kan nadelige gevolgen hebben voor inwoners. Hierdoor kunnen er onder andere datalekken plaatsvinden die door maatregelen hadden kunnen worden voorkomen en kunnen er onnodig te veel persoonsgegevens worden verzameld of worden bewaard dan nodig. 8. Hoe ziet de gemeente erop toe dat de borging van de privacy van een voldoende niveau is en blijft en wordt er geanticipeerd op toekomstige opgaven en juridische ontwikkelingen? Antw. Er wordt organisatiebreed (nog) weinig geanticipeerd op toekomstige opgaven en juridische ontwikkelingen. Dit gebeurt wel voor informatiebeveiligingsrisico’s. De gemeente is gestart met het in kaart brengen van processen waar persoonsgegevens worden verwerkt.

pagina 22/32

18 juni 2021

Rekenkameronderzoek Noordwijk

Momenteel wordt er met name ad hoc met nieuwe ontwikkelingen omgegaan. Individuele medewerkers met veel affiniteit met privacy pakken sporadisch op eigen initiatief vraagstukken op.

3.6

De rol van de gemeenteraad 9.

Deelvragen Op welke manier wordt de gemeenteraad geïnformeerd over de uitvoering van het beleid rondom de bescherming van persoonsgegevens? Welke mogelijkheden heeft de raad om te sturen en te controleren?

De gemeenteraad heeft een kaderstellende en controlerende taak. Om deze taak goed te kunnen vervullen moet zij goed en tijdig worden geïnformeerd. Voor dit onderzoek is gekeken naar de wijze waarop de raad wordt geïnformeerd. Ook is geïnventariseerd welke opvattingen raadsleden zelf hebben over de ontwikkelingen rondom het privacybeleid. Hiertoe is een enquête uitgestuurd waar alle fracties op één na aan hebben deelgenomen. De enquête stond open voor zowel raadsleden als commissieleden. In deze paragraaf wordt eerst de wijze waarop de raad wordt geïnformeerd besproken. Vervolgens worden de resultaten van de enquête beschreven. Bij de gemeente Noordwijk wordt de gemeenteraad op verschillende manieren geïnformeerd. Allereerst wordt over privacy en informatiebeveiliging gerapporteerd via een aantal algemene stukken, namelijk: het jaarverslag en de programmabegroting. In deze stukken worden de activiteiten op het gebied van informatiebeveiliging uitgebreider beschreven dan het privacybeleid. Daarnaast wordt de raad jaarlijks via een raadsbrief uitgebreid geïnformeerd over de voortgang op het gebied van informatieveiligheid en op hoofdlijnen over de ontwikkelingen op het gebied van privacy. De informatie over de ontwikkelingen op het gebied van informatiebeveiliging worden systematisch beschreven.

De jaarlijkse raadsbrieven hebben een eenduidige systematiek, waardoor het inzichtelijk is welke voortgang is geboekt. De te nemen maatregelen op het gebied van informatiebeveiliging zijn onderverdeeld in 11 categorieën. In totaal zijn er 303 maatregelen. Per categorie wordt inzichtelijk gemaakt wat er moet gebeuren en wat de voortgang is. Uit de verschillende Raadsinformatiebrieven blijkt een duidelijke vooruitgang bij de implementatie van de maatregelen. De voortang op het gebied van privacy is beknopt beschreven. De raad kan actief vragen stellen over het privacybeleid. Dit gebeurt incidenteel. Zo was er bijvoorbeeld in 2020 een landelijk incident met Citrix, een digitale omgeving die door veel overheden wordt gebruikt. Naar aanleiding van dit incident zijn er door de raad vragen gesteld aan het college van B en W. De raad heeft geen kaders opgesteld ten aanzien van privacy. In het coalitieakkoord wordt geen aandacht besteed aan ICT. Ook wordt hier geen aandacht gegeven aan privacy en informatiebeveiliging. De hierboven beschreven stukken die jaarlijks aan de raad over privacy en informatiebeveiliging worden gestuurd worden doorgaans meegenomen als hamerstukken. De ambtelijke organisatie heeft het voornemen de raad meer te gaan informeren over privacy d.m.v.

een jaarverslag waarin iets uitgebreider wordt gerapporteerd over bijvoorbeeld de controles die de FG heeft uitgevoerd.

pagina 23/32

18 juni 2021

Rekenkameronderzoek Noordwijk

Uit de enquête blijkt dat raadsleden zeer verschillend kijken naar het privacybeleid van de gemeente Noordwijk. De helft van de respondenten geeft aan matig of onvoldoende bekend te zijn met het huidig privacybeleid. Er is een grote verscheidenheid van opvattingen over de huidige informatie die wordt aangeleverd. Deze wordt van ‘uitstekend’ tot ‘onvoldoende’ beoordeeld. Vier deelnemers aan de enquête vonden de informatie onvoldoende, vier matig, vier voldoende, twee goed en maar één uitstekend. Een kwart van de respondenten vindt de huidige wijze waarop het college van B en W de gemeenteraad informeert onvoldoende. De meeste raads- en commissieleden vinden het belangrijk om bij de ontwikkeling van het privacy beleid te worden meegenomen. Hierbij willen de meeste respondenten, meer dan de helft, geïnformeerd worden over de uitgangspunten van het privacybeleid. Voor een derde van de respondenten is het ook belangrijk te worden geïnformeerd over specifieke ontwikkelingen uit domeinen waar veel met persoonsgegevens wordt gewerkt. 40% van de respondenten valt op dat het onderwerp privacy steeds meer aandacht heeft gekregen in de gemeente in de afgelopen drie jaar. 40% vindt dat er nu nog precies hetzelfde met privacy wordt omgegaan als in 2018. Slechts één vindt dat privacy steeds minder aandacht heeft gekregen in de gemeente.

Op de vraag of de respondenten hun controlerende verantwoordelijkheid op het privacy beleid van de gemeente kunnen uitvoeren werd zeer wisselend geantwoord. Een kwart van de respondenten antwoordt ja, een kwart antwoord soms. Eveneens een kwart antwoordt ‘weet het niet’. Een vijfde van de raadsleden laat weten dat zij niet hun controlerende verantwoordelijkheid kunnen waarmaken. Over het algemeen is er weinig verschil in de resultaten te zien tussen de opvatting van raadsleden en commissieleden. Het enige dat opvalt is dat raadsleden negatiever zijn over of zij de controlerende rol als raadslid kunnen vervullen dan de commissieleden. Beoordeling normen t.a.v. de kaderstellende en controlerende rol van de raad •

•

In de jaarstukken wordt expliciet aandacht besteed aan de wijze waarop een correcte omgang met persoonsgegevens is gewaarborgd. Daaraan worden conclusies en maatregelen verbonden op basis van uitgevoerde controles. Bij de ontwikkeling van beleid heeft aandacht voor het waarborgen van privacy op de agenda van de Raad gestaan.

Voldoende

De onderwerpen privacy en informatiebeveiliging worden benoemd in het jaarverslag en de begroting.

Onvoldoende

Er is voornamelijk ad hoc aandacht voor privacy bij de raad. Het onderwerp is niet opgenomen in het coalitieakkoord opgenomen.

Deelvraag 9. Op welke manier wordt de gemeenteraad geïnformeerd over de uitvoering van het beleid rondom de bescherming van persoonsgegevens? Welke mogelijkheden heeft de raad om te sturen en te controleren? Antw. Het college van BenW informeert de raad met name over vorderingen op het gebied van Informatiebeveiliging. De raad wordt op hoofdlijnen geïnformeerd over de ontwikkelingen op het gebied van privacy. Dit gebeurt in raadsbrieven en in het jaarverslag. pagina 24/32

18 juni 2021

Rekenkameronderzoek Noordwijk

Een groot deel van de raadsleden ervaart de informatie als onvoldoende om te kunnen sturen en controleren.

4.

Conclusies

Er is bij de gemeente Noordwijk in de afgelopen jaren op verschillende manieren gewerkt aan het borgen van de privacy van inwoners. Dit vond plaats terwijl er door de fusie van Noordwijk en Noordwijkerhout ook sprake was van een grote organisatieverandering. De inwerkingtreding van de AVG was een belangrijke aanleiding om het privacybeleid te actualiseren en te versterken. In dit hoofdstuk wordt de centrale onderzoeksvraag beantwoord en worden de conclusies gepresenteerd. De centrale onderzoeksvraag luidt: Hoe is in het licht van de verdergaande digitalisering de privacy van inwoners juridisch en in de praktijk geborgd en op welke punten behoeft dit eventueel aanpassing en verbetering? De gemeente Noordwijk borgt de privacy van inwoners in haar privacybeleid en informatiebeveiligingsbeleid. Er worden wat dit beleid betreft verschillende eisen aan gemeenten gesteld. De belangrijkste eisen komen voort uit de AVG. De gemeente voldoet aan een aantal van deze vereisten. Er is sprake van privacybeleid. Het privacybeleid is naar aanleiding van de inwerkingtreding van de AVG aangepast. Het beleid legt op hoofdlijnen uit hoe de gemeente Noordwijk omgaat met persoonsgegevens. Uit het beleid blijkt echter geen strategische visie op het onderwerp. Daarvan is wel sprake als het gaat om informatiebeveiliging. Het privacybeleid is sinds 2018 weinig geactualiseerd.

Wel is er sprake van een verwerkingsregister en worden datalekken gerapporteerd. Er wordt aan de inwoners bekend gemaakt hoe de gemeente omgaat met hun persoonsgegevens, maar deze informatie is niet compleet en actueel. Het informatiebeveiligingsbeleid is verouderd en zou moeten worden vervangen voor het nieuwe beleid. Niet alle medewerkers zijn (voldoende) bekend met het privacybeleid van de gemeente. Wel zijn ze bekend met het thema privacy dankzij de e-learningsmodule. Deze module wordt ervaren als nuttig en leerzaam. Sommige medewerkers zijn bovengemiddeld goed op de hoogte op het gebied van privacy, omdat zij hier zelf de nut en noodzaak van inzien. Dit kwam ook naar voren tijdens de mini-PIA over het Noodfonds. In gangbare overleggen binnen de gemeentelijke organisatie is privacy geen thema dat met regelmaat wordt besproken, of waar de ambtelijke organisatie op wordt aangesproken. Als het ter sprake komt, gebeurt dat met name door medewerkers die vanuit hun kennis en ervaring affiniteit hebben met het onderwerp. Verschillende mensen in de ambtelijke organisatie geven aan dat zij het belangrijk vinden zorgvuldig om te gaan met persoonsgegevens en ze te behandelen zoals zij ook willen dat anderen met hun persoonsgegevens omgaan. Er zijn binnen de organisatie zeker de nodige kundige en proactieve medewerkers die op eigen initiatief met het onderwerp aan de slag gaan.

Maar de organisatie leunt daarbij toch vooral op de toevallige affiniteit van individuele medewerkers. Er zijn binnen elk gemeentelijk team zogeheten coaches aangesteld, die aandacht zouden moeten geven aan privacy. Hun precieze rol en verantwoordelijkheid ervaren zij echter niet als duidelijk, waardoor zij geen proactieve houding op dit thema innemen.

pagina 25/32

18 juni 2021

Rekenkameronderzoek Noordwijk

Privacyrisico’s en (juridische) ontwikkelingen worden niet actief, structureel en overzichtelijk in kaart gebracht of gemonitord. De AVG vereist dat hiervoor DPIA’s worden uitgevoerd. Daarvan is nauwelijks sprake. Binnen de ambtelijke organisatie is er sprake van onvoldoende bewustzijn over de inzet van dit middel. Binnen de huidige organisatiestructuur (waarin de functies van CISO en FG zijn verenigd in één medewerker), is het lastig voor de CISO hierin een aanjagende rol te spelen. De organisatie mist op het moment van dit onderzoek de capaciteit en juridische kennis om het privacybeleid te professionaliseren. Er wordt organisatiebreed (nog) weinig geanticipeerd op toekomstige opgaven en juridische ontwikkelingen. De meeste activiteiten die horen te liggen bij een FG en een privacy officer zijn opgepakt door de CISO. De AVG vereist een onafhankelijke FG. De Autoriteit Persoonsgegevens heeft aangegeven dat deze rol niet door de CISO kan worden ingevuld, omdat dit verhindert dat de FG onafhankelijk het beleid kan controleren. De CISO is er zich van bewust dat deze rollen niet kunnen worden gecombineerd en is bezig hier een oplossing voor te zoeken. Niet alleen is met het oog op de eisen die aan beide rollen worden gesteld onhoudbaar om ze samen te nemen, het is ook te veel werk voor één persoon.

Het informatiebeveiligingsbeleid van Noordwijk is dusdanig uitgewerkt dat het medewerkers die er uitvoering aan moeten geven, duidelijke richtlijnen verschaft. In de uitvoering van de beleid is er ook voldoende aandacht voor risicomanagement, door middel van het inrichten van regelmatige controles en de ENSIA rapportage. De gemeenteraad wordt op verschillende manieren geïnformeerd. De raads- en commissieleden antwoorden wisselend over of zij voldoende geïnformeerd worden. Zij vinden het vooral belangrijk om geïnformeerd te worden over de uitgangspunten van het privacybeleid. Een kleinere groep vraagt om specifieke aandacht voor die domeinen waar veel met persoonsgegevens wordt verwerkt. Een belangrijk deel van de raadsleden (circa één op de vijf) is van mening dat zij hun controlerende verantwoordelijkheid niet goed kunnen uitvoeren. In het coalitieakkoord zijn geen kaders op het gebied van ICT en privacy beschreven.

pagina 26/32

18 juni 2021

Rekenkameronderzoek Noordwijk

Bijlage A Geïnterviewde personen Naam

Rol/organisatie

Heleen van Zelst

Adviseur KCC

Annemiek de Bruijn

Adviseur informatie en gegevensmanagement

Ingrid Leemans

Teamcoach BOG, BOC, PCI, IGM

John Meijer

Teamcoach MAS, OSS, DIV

Mark van Oostrum

Projectleider Sociaal Domein

Sonja Wolters-Keijzer

Procesregisseur zorg en veiligheid

René van der Zwan

CISO

Jeanet van Duijn

Adviseur processen informatievoorziening en gegevensbeheer

Wendy Verkleij-Eimers

Burgemeester Noordwijk

Bijlage B Aanwezigen Mini-PIA Noodfonds Naam

Rol/organisatie

John Meijer

Teamcoach MAS, OSS, DIV

Mark van Oostrum

Projectleider Sociaal Domein

Sonja Wolters-Keijzer

Procesregisseur zorg en veiligheid

René van der Zwan

CISO

Sebastiaan van Zaanen

Adviseur Maatschappij

Stan Hermans

Secretaris RKC

Bijlage C Bestudeerde documentatie Documentnaam 140819 Schriftelijke vragen ex art. 46 inzake privacymaatregelen nav 3D D66 190821 - 9312 B&W Voortgang informatieveiligheid en privacy 190821 - 9312 B&W Voortgang informatieveiligheid en privacyVerantwoordingsrapportage-BAG-2018-Noordwijk raad 200514 - Bijlage - Hoe beschermen we maximaal de privacy 201221 - 83638 - B&W - Voortgang informatieveiligheid en privacy 2020 B&W - Privacybeleid- en Privacyreglement C03 171219 Brief college Voortgang informatieveiligheid en privacy C09 181120 Brief college over voortgang informatieveiligheid en privacy 2018 Formulier inspraakreactie privacy (002) Gemeente Noordwijk - Voortgang informatieveiligheid en privacy 2018 Noordwijkerhout Memo Wvg en privacy definitief

pagina 27/32

18 juni 2021

Rekenkameronderzoek Noordwijk

Antwoordbrief op schriftelijke vragen DOEN! ICT beveiliging Noordwijk Antwoordbrief schriftelijke vragen Wifi tracking B_W advies Besluit gegevensverstrekking Gemeentelijke Belastingen Bollenstreek (1) Bijlage 1 bij besluit gegevensverstrekking Gemeentelijke Belastingen Bollenstreek Bijlage 2 bij besluit gegevensverstrekking Gemeentelijke Belastingen Bollenstreek Brief aan de raad voortgang informatieveiligheid en privacy 2019 Brief aan de raad voortgang informatieveiligheid en privacy 2020 Gedragscode raad Noordwijk Handreiking processen optimaliseren v1.0 Privacybeleid gemeente Noordwijk (voor medewerkers) Privacyreglement gemeente Noordwijk (voor inwoners) Proces datalek melden Proces rechten burgers art.

15,16,17 AVG Raadsbesluit FG Raad Strategisch Gemeentelijk Informatiebeveiligingbeleid Noordwijk 2020-2023 Trainingen sociaal domein Uitnodiging E-learning informatieveiligheid en privacy SEP mei 2019 Uitnodiging E-learning privacy Nexttech mei 2018 Uitnodiging E-learning privacy SEP december 2020 Voorbeeld beslissing inzageverzoek 17022021 Concept Intentieverklaring privacy sociaal domein Duin- en Bollenstreek Agenda projectgroep Beveiliging 18-03-2021 Change proces TopDesk CISO FG DPIA Meld een Vermoeden Overzicht datalekken en AVG verzoeken 20202 Verwerkersovereenkomst DataMask Wachtwoordbeleid gemeente Noordwijk Bijlage HR pptx intake start proces optimaliseren v0.2 Format proces beschrijven v1.1 Handreiking processen optimaliseren v1.0 Processen in beeld voortgang Coalitieakkoord 2019-2022 gemeente Noordwijk Jaarstukken gemeente Noordwijk 2019 organisatieplaatje tbv OF rapport deel 2

pagina 28/32

18 juni 2021

Rekenkameronderzoek Noordwijk

Bijlage D Definitielijst Begrip Datalek Informatiebeveiliging Persoonsgegeven Privacy Verwerking

Verwerkingsverantwoordelijke

Verwerker

pagina 29/32

Definitie toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie, zonder dat dit de bedoeling is van deze organisatie net nemen van passende technische en organisatorische maatregelen nemen om informatie veilig te houden alle gegevens die betrekking hebben op een geïdentificeerde of identificeerbare levende natuurlijke persoon eerbiediging van de persoonlijke levenssfeer elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedures, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerk

18 juni 2021

Rekenkameronderzoek Noordwijk

Bijlage E Afkortingslijst Afkorting

Betekenis

AP

Autoriteit Persoonsgegevens

AVG

Algemene Verordening Gegevensbescherming

BIO

Baseline Informatiebeveiliging

BRP

Basisregistratie personen

BSN

Burgerservicenummer

CISO

Chief Information en Security Officer

DPIA

Data Protection Impact Assessment

ENSIA

Eenduidige Normatiek Single Information Audit

FG

Functionaris Gegevensbescherming

PIA

Privacy Impact Assessment

Wbp

Wet bescherming persoonsgegevens

Wob

Wet openbaarheid van bestuur

VNG

Vereniging Nederlandse Gemeenten

Bijlage F Organisatiestructuur gemeente Noordwijk

pagina 30/32

18 juni 2021

Rekenkameronderzoek Noordwijk

Bijlage G Bestuurlijk wederhoor

pagina 31/32

18 juni 2021

Rekenkameronderzoek Noordwijk

Bijlage H

Nawoord Rekenkamer

De Rekenkamer heeft met genoegen kennis genomen van de volledige instemming van het College van B&W met de resultaten en adviezen van haar onderzoek naar de borging – zowel juridisch als in de dagelijkse praktijk – van de privacy van de inwoners van de gemeente Noordwijk. Te meer, daar de adviezen die de Rekenkamer aan de gemeenteraad doet een uiteenlopend karakter hebben. Een deel van onze adviezen zal immers naar verhouding relatief snel geïmplementeerd kunnen worden, terwijl andere adviezen toch wellicht een wat langere organisationele adem vergen. Het zal hierbij vooral gaan om het een gedurende langere termijn verlenen en uitdragen van prioriteit en werk maken van de culturele inbedding in de organisatie. Zaken die gesteund kunnen worden actieve overname van de meer beleidsmatige en structurele adviezen (quick wins). De Rekenkamer is gezien het verkregen brede draagvlak hoopvol dat haar adviezen tot een betere borging van privacy zullen bijdragen en zal dan ook met veel interesse de verdere implementatie van haar adviezen volgen, voor zover deze vanzelfsprekend ook door de Gemeenteraad omarmd worden.

Mevr. Mr. Drs. V. Tsjebanova Drs. W.G. Wever Drs. A.W. Spitsbaard

pagina 32/32

18 juni 2021

Rekenkameronderzoek Noordwijk