Raadsvoorstel Rekenkamerrapport Bescherming Persoonsgegevens Noordwijk

Raadsvoorstel

Onderzoeksrapport “Bescherming Persoonsgegevens in Noordwijk” Van Datum

: :

Zaaknummer

:

Rekenkamer Noordwijk 21 december 2021

Voorgesteld besluit:

II.

Het rapport “Bescherming Persoonsgegevens Noordwijk” met de daarin opgenomen aanbevelingen aan te nemen. De aanbevelingen uit het onderzoeksrapport over te nemen.

III.

Het college op te dragen de uitvoering van de aanbevelingen in gang te zetten.

IV.

De uitvoering van deze aanbevelingen te bewaken.

V.

De raad daarover regulier in de Jaarstukken te rapporteren.

I.

Kern van het voorstel De Rekenkamer Noordwijk heeft onderzoek laten uit voeren naar hoe -in het licht van de verdergaande digitalisering- de privacy van inwoners juridisch en in de dagelijkse beleidspraktijk van de gemeente Noordwijk is geborgd. Eveneens is aan de orde gekomen op welke punte n het beleid aanpassing en verbetering behoeft. Het onderzoek is uitgevoerd door PBLQ, De conclusies van het onderzoek zijn als volgt: Positief is dat de gemeente Noordwijk in de afgelopen jaren op verschillende manieren veel heeft gedaan aan het borgen van de privacy van inwoners. Dit vond plaats terwijl er door de fusie van Noordwijk en Noordwijkerhout ook sprake was van een grote organisatieverandering. De inwerkingtreding van de AVG was een belangrijke aanleiding om het privacybeleid te actualiseren en te versterken. De gemeente Noordwijk borgt de privacy van inwoners in haar privacybeleid en informatiebeveiligingsbeleid. Er worden verschillende eisen gesteld aan gemeenten waarvan de belangrijkste staan in de Algemene Verordening Gegevensbescherming (AV G). De gemeente voldoet grotendeels aan de vereisten. Er is sprake van privacybeleid. Het privacybeleid is naar aanleiding van de inwerkingtreding van de AVG aangepast. In het beleid wordt op hoofdlijnen uitgelegd hoe de gemeente Noordwijk omgaat met perso onsgegevens.

Ook is er een verwerkingsregister en worden datalekken gerapporteerd. Er zijn ook tekortkomingen. Uit het beleid blijkt geen strategische visie op het onderwerp. Die is er wel voor informatiebeveiliging. Het privacybeleid is sinds 2018 weinig geactualiseerd. Weliswaar

wordt er aan inwoners meegedeeld hoe de gemeente omgaat met hun persoonsgegevens, deze informatie is niet meer compleet en actueel. Het informatiebeveiligingsbeleid op de website is verouderd en moet worden geactualiseerd. Weliswaar is aannemelijk dat medewerkers van de gemeente vooral dankzij de e -learningmodules bekend zijn met het thema privacy, dat betekent niet automatisch dat zij (voldoende) bekend zijn met het privacybeleid van de gemeente. De e -learningmodules worden ervaren als nuttig en leerzaam. Sommige medewerkers zijn bovengemiddeld goed bekend met de inhoud en vereisten van het privacybeleid, omdat zij hier zelf de nut en noodzaak van inzien. Dit kwam onder meer naar voren tijdens de mini-Privacy Impact Assesment (mini-PIA) over het Noodfonds. In gangbare overleggen binnen de gemeentelijke organisatie is privacy geen thema dat met regelmaat wordt besproken, of waar de ambtelijke organisatie op wordt aangesproken. Als het ter sprake komt, gebeurt dat met name door mede werkers die vanuit hun kennis en ervaring affiniteit hebben met het onderwerp. Verschillende mensen in de ambtelijke organisatie geven aan dat zij het belangrijk vinden zorgvuldig om te gaan met persoonsgegevens en ze te behandelen zoals zij ook willen dat anderen met hun persoonsgegevens omgaan.

Er zijn binnen de organisatie zeker de nodige kundige en proactieve medewerkers die op eigen initiatief met het onderwerp aan de slag gaan. Maar de organisatie leunt daarbij toch vooral op de toevallige affiniteit van individuele medewerkers. Er zijn binnen elk gemeentelijk team zogeheten teamcoaches, die onder andere aandacht zouden moeten geven aan privacy. Hun precieze rol en verantwoordelijkheid ervaren zij echter niet als duidelijk, waardoor zij geen proactieve houding op dit thema innemen. Privacyrisico’s en (juridische) ontwikkelingen worden niet actief, structureel en overzichtelijk in kaart gebracht of gemonitord. De AVG vereist dat hiervoor Data Protection Impact Assessments (DPIA’s) worden uitgevoerd. Daarvan is nauwelijks sprake. Binnen de ambtelijke organisatie is sprake van onvoldoende bewustzijn over de inzet van dit middel. Binnen de huidige organisatiestructuur (waarin de functies van Chief Information Security Officer (CISO) en de Functionaris Gegev ensbescherming (FG) zijn verenigd in één medewerker), is het lastig voor de CISO hierin een aanjagende rol te spelen. De organisatie mist op het moment van dit onderzoek de capaciteit en juridische kennis om het privacybeleid te professionaliseren. Er wordt organisatiebreed (nog) weinig geanticipeerd op toekomstige opgaven en juridische ontwikkelingen.

De meeste activiteiten die horen te liggen bij een FG en een privacy officer zijn opgepakt door de CISO. De AVG vereist een onafhankelijke FG. De Aut oriteit Persoonsgegevens heeft aangegeven dat deze rol niet door de CISO kan worden ingevuld, omdat dit verhindert dat de FG onafhankelijk het beleid kan controleren. De CISO is zich ervan bewust dat deze rollen niet kunnen worden gecombineerd en is bezig hier een oplossing voor te zoeken. Niet alleen is het, met het oog op de eisen die aan beide rollen worden gesteld, onhoudbaar om ze samen te nemen, het is ook te veel werk voor één persoon. Het informatiebeveiligingsbeleid van Noordwijk is dusdanig uit gewerkt dat het medewerkers die er uitvoering aan moeten geven, duidelijke richtlijnen verschaft. In de uitvoering van het beleid is er ook voldoende aandacht voor risicomanagement, door middel van het inrichten van regelmatige controles en de Eenduidige Normatiek Single Information Audit (ENSIA) rapportage. De gemeenteraad wordt op verschillende manieren geïnformeerd. De raads - en commissieleden antwoorden wisselend over of zij voldoende geïnformeerd worden. Zij vinden het vooral belangrijk om geïnformeerd te worden over de uitgangspunten van het privacybelei d. Een kleinere groep vraagt om specifieke aandacht voor die domeinen waar veel met persoonsgegevens wordt verwerkt. Een

Pagina 2 van 4

belangrijk deel van de raadsleden (circa één op de vijf) is van mening dat zij hun controlerende verantwoordelijkheid niet goed kunnen uitvoeren. In het coalitieakkoord zijn geen kaders op het gebied van ICT en privacy beschreven. Probleemstelling- en doelstelling/oplossingen/effecten Uit het onderzoek blijkt dat de gemeente – college en ambtelijk apparaat- een aantal tekortkomingen kent in haar Privacybeleid. Daarnaast kan de raad ook zelf meer doen om beleid en uitvoering te verbeteren en meer in lijn te brengen met de wet - en regelgeving op dit terrein. Aanbevelingen Rekenkamer Aanbevelingen aan het College van B&W De rekenkamer doet op basis van het privacyonderzoek de volgende aanbevelingen aan het college met betrekking tot de omgang met persoonsgegevens: •

Geef prioriteit aan het aanwijzen van een onafhankelijk FG en een privacy officer.

•

Vraag aan de onafhankelijke FG ieder jaar ve rslag te doen over het privacybeleid.

•

Werk het privacybeleid op strategisch, tactisch en operationeel niveau verder uit, zoals nu ook al wordt gedaan voor het informatiebeveiligingsbeleid.

•

In de uitwerking van het privacybeleid moet het belang van de inb edding van privacy in de structuur en cultuur van de organisatie mee worden genomen. Bij deze uitwerking zou tenminste duidelijk moeten worden wat precies de rollen, verantwoordelijkheden, en taken t.a.v. privacy zijn van de directie, teamcoaches, de FG, d e CISO, de privacy officer en medewerkers.

•

Monitor de uitvoering van het privacybeleid overzichtelijk en consequent in de vorm van kwartaalrapportages.

•

Bespreek de uitgangspunten van het (nieuwe) privacybeleid met de raad voordat deze worden vastgesteld.

Aanbevelingen aan de gemeenteraad De rekenkamercommissie heeft de volgende aanbeveling aan de gemeenteraad: •

Agendeer het privacybeleid de eerst volgende gelegenheid in een raadbespreking en bespreek de uitgangspunten van het toekomstig beleid.

•

Nodig de (nieuwe) FG uit om zijn jaarverslag in de eerstvolgende jaren mondeling toe te lichten.

Betrokken partijen/participatie Onderzoeksbureau PBLQ

Communicatie De Rekenkamercommissie communiceert zelfstandig met de pers.

Pagina 3 van 4

Verdere procedure en planning Aan de raad wordt voorgesteld om het college opdracht te geven om de aanbevelingen van de rekenkamer uit te voeren. Wanneer de raad dit besluit, heeft het college tot taak om het raadsbesluit uit te voeren en de raad kan controleren of dit daadwerkelijk wo rdt gedaan.

Bestuurlijk kader Bijlage(n) Aanbiedingsbrief Rapport bescherming persoonsgegevens in Noordwijk

Hoogachtend,

G.M.L.M. Wever Voorzitter rekenkamer Noordwijk

Pagina 4 van 4