Ter kennisname Bijlage Jaarverslag Privacy over 2023

2023

Jaarverslag over 2023 VOOR: HET COLLEGE VAN BURGEMEESTER EN WETHOUDERS VAN: TJERK VROON FUNCTIONARIS GEGEVENSBESCHERMING

Gemeente Nunspeet 22 augustus 2024 Versie 1.0

Inhoudsopgave 1.

Management Samenvatting ............................................................................................................. 3

2.

Leeswijzer ........................................................................................................................................ 5

3.

Beleidsdomein ................................................................................................................................. 6

4.

Uitvoeringsdomein .......................................................................................................................... 9

5.

Controle- / Beheerdomein .............................................................................................................. 16

Jaarverslag over 2023 Versie 1.0

pagina 2 van 18

1.

Management Samenvatting Tijdens het jaar 2023 heeft gemeente Nunspeet stappen gezet om processen duurzaam te beschrijven en daarop te blijven ontwikkelen. Die ontwikkeling loopt sowieso ook door in 2024, waarbij er ook aandacht is voor het verwerken van persoonsgegevens binnen die processen. In 2023 is binnen de begroting ruimte gevraagd voor het invullen van de rol van privacy officer. Dit heeft het aanstellen van een privacy officer met ingang van 2024 tot resultaat. Op die manier wordt de privacy organisatie binnen de gemeente verstevigd en wordt capaciteit gecreëerd om te blijven ontwikkelen op het gebied van privacy. De implementatie van het datalek protocol zorgt er voor dat het behandelen van datalekken op een meer eenduidige wijze plaatsvindt. Ook zorgt dat er voor dat vanuit datalekken geleerd kan worden, wat er in resulteert dat herhaling van datalekken voorkomen kan worden. Het is belangrijk dat Gemeente Nunspeet blijft leren en ontwikkelen met betrekking tot het verbeteren van processen en de verwerking van persoonsgegevens. Input daarvoor kan ook komen uit klachten, vragen en verzoeken. Tjerk Vroon Functionaris Gegevensbescherming

Jaarverslag over 2023 Management Samenvatting Versie 1.0

pagina 3 van 18

Beleidsdomein B.01 Privacybeleid

Volwassenheidsniveau De gemeente heeft privacybeleid en procedures ontwikkeld en vastgesteld 2022 waarin is vastgelegd op welke wijze persoonsgegevens worden verwerkt en 2023 invulling wordt gegeven aan de wettelijke beginselen.

B.02

De verdeling van de taken en verantwoordelijkheden, de benodigde middelen en de rapportagelijnen zijn door de gemeente vastgelegd en vastgesteld

2022

De verwerkingsverantwoordelijke draagt zorg voor het beoordelen van de privacyrisico’s, het treffen van passende maatregelen en het kunnen aantonen van het passend zijn van deze maatregelen

2022

De verwerkingsverantwoordelijke heeft van alle verzamelingen en verwerking van persoonsgegevens tijdig, welbepaald en uitdrukkelijk omschreven: De doeleinden, en; De rechtvaardigingsgronden voor: De verdere verwerking op grond van de verenigbaarheid met de oorspronkelijke gerechtvaardigde doeleinden De geautomatiseerde besluitvorming Bijzondere persoonsgegevens De persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten; Het nationaal identificerend nummer; De persoonsgegevens ten behoeve van wetenschappelijk of historisch onderzoek met een statistisch oogmerk en archivering in het algemeen belang De verwerkingsverantwoordelijke en de verwerker hebben hun gegevens over de gegevensverwerkingen in een register vastgelegd, daarbij biedt het register een actueel en samenhangend beeld van de gegevensverwerkingen, processen en technische systemen die betrokken zijn bij het verzamelen, verwerken en doorgeven van persoonsgegevens De verwerkingsverantwoordelijke heeft kwaliteitsmanagement ingericht ten behoeve van de bewaking van de juistheid en nauwkeurigheid van persoonsgegevens. De verwerking is zo ingericht dat de persoonsgegevens kunnen worden gecorrigeerd, gestaakt of overgedragen. Indien dit op verzoek van betrokkene gebeurd wordt deze over de status van de afhandeling geïnformeerd.

De verwerkingsverantwoordelijke en de verwerker treffende technische en organisatorische maatregelen om een verwerking van persoonsgegevens op een passend niveau te beveiligen

2022

De verwerkingsverantwoordelijke stelt bij elke verzameling van persoonsgegevens tijdig en op een vastgelegde en vastgestelde wijze informatie aan de betrokkene beschikbaar, zodat de betrokkene, tenzij een uitzondering geldt, toestemming kan geven voor de verwerking. Door het treffen van de nodige maatregelen hanteert de organisatie voor persoonsgegevens een bewaartermijn die niet wordt overschreden.

2022

Bij doorgifte aan een andere verwerkingsverantwoordelijke zijn de onderlinge verantwoordelijkheden duidelijk en bij de doorgifte aan een verwerker zijn er afdoende garanties Bij de doorgifte naar buiten de EU: Is er een vertegenwoordiger, en: Is geen sprake van uitzonderingsgronden En: Geldt een door de Europese Commissie genomen adequaatheidsbesluit; of Zijn er passende waarborgen; of Geldt een afwijking voor een specifieke situatie

2022

Door of namens de verwerkingsverantwoordelijke vindt evaluatie plaats van de gegevensverwerkingen en is de rechtmatigheid aangetoond

2022

De verwerkingsverantwoordelijke biedt de betrokkene informatie over de verwerking van persoonsgegevens en doet dit tijdig en in een passende vorm, zodat de betrokkene zijn rechten kan uitoefenen, tenzij er een specifieke uitzonderingsgrond geldt De verwerkingsverantwoordelijke meldt een datalek binnen de daaraan gestelde termijn aan de AP, documenteert de inbreuk, en informeert de betrokkene, tenzij hiervoor een uitzondering geldt.

2022

B.03

Organieke inbedding

Risicomanagement, Privacy by Design en de DPIA

Uitvoeringsdomein U.01 Doelbinding gegevensverwerking

U.02

U.03

U.04

U.05

Register van verwerkingsactiviteiten

Kwaliteitsmanagement

Beveiliging van de verwerking van persoonsgegevens Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens

U.06

Bewaren van persoonsgegevens

U.07

Doorgifte persoonsgegevens

Control- / Beheerdomein C.01 Intern toezicht

C.02

C.03

Toegang gegevensverwerking voor burgers

Meldplicht datalekken

Jaarverslag over 2023 Management Samenvatting Versie 1.0

1

2

3

2023

2023

2023

2022 2023

2022 2023

2022 2023

2023

2022 2023

2023

2023

2023

2022 2023

pagina 4 van 18

2.

Leeswijzer In de navolgende hoofdstukken is per onderzoeksdomein ingegaan op de verschillende onderwerpen die getoetst zijn. Daarbij zijn het criterium, de doelstelling en het risico overgenomen uit het framework wat is gebruikt voor de toetsing. Dat is de Privacybaseline van het Centrum voor Informatiebeveiliging en Privacy. Binnen de Privacybaseline geldt dat er op verschillende volwassenheidsniveaus beschreven zijn met betrekking tot de omgang met persoonsgegevens, namelijk: “informeel” (1), “beheerst” (2), “vastgesteld” (3), “voorspelbaar” (4) en “geoptimaliseerd” (5). Per te toetsen onderwerp zijn bevindingen genoteerd, waarna aanbevelingen zijn geformuleerd. Bij de beoordeling over 2022 is alleen gekeken naar het niveau informeel, terwijl voor de beoordeling over 2023 is gekeken tot en met vastgesteld. De verschillende smileys hebben de volgende betekenis: Voldoende Verdient aandacht Onvoldoende In de hierna volgende hoofdstukken is bij ieder criterium de beoordeling getoond zoals deze ook in de management samenvatting is getoond.

Jaarverslag over 2023 Leeswijzer Versie 1.0

pagina 5 van 18

3.

Beleidsdomein B.01.

Privacybeleid

Criterium Gemeente Nunspeet heeft privacybeleid en procedures ontwikkeld en vastgesteld waarin is vastgelegd op welke wijze persoonsgegevens worden verwerkt en invulling wordt gegeven aan de wettelijke beginselen. Doelstelling Privacybeleid dient ervoor om op organisatie- en strategisch niveau duidelijkheid te geven over de inrichtingskeuzes van privacy en te waarborgen dat de verwerking van gegevens op een rechtmatige wijze plaatsvindt. Risico Het ontbreken van een privacybeleid leidt ertoe dat de organisatie geen duidelijkheid heeft wat precies wordt verwacht, waardoor de kans bestaat dat persoonsgegevens onrechtmatig worden verwerkt (waaronder verzamelen, bewerken, inzien et cetera). Bevinding(en) Op 22 december 2022 heeft de gemeenteraad de privacyverordening van gemeente Nunspeet vastgesteld1. Deze is ingegaan op 1 januari 2023. Het huidige privacybeleidskader is geldig tot en met 2024. 2 Dit betekent dat het beleid in 2024 geëvalueerd en daar waar nodig geactualiseerd dient te worden. Advies Zorg dat bij de evaluatie en de actualisatie van het privacybeleid de juiste interne belanghebbenden betrokken zijn. Zorg tevens dat er aandacht is voor het implementeren van het privacybeleid. Verder is het van belang dat acties die voortkomen uit het privacybeleid toegewezen worden aan een daarvoor verantwoordelijke ambtenaar en dat daar een passende planning bij wordt opgesteld.

1 https://lokaleregelgeving.overheid.nl/CVDR689971/1 2 https://lokaleregelgeving.overheid.nl/CVDR656132/1

Jaarverslag over 2023 Beleidsdomein B.01 Privacybeleid Versie 1.0

pagina 6 van 18

B.02.

Organieke Inbedding

Criterium De verdeling van de taken en verantwoordelijkheden, de benodigde middelen en de rapportagelijnen zijn door de organisatie vastgelegd en vastgesteld. Doelstelling Het doel van een heldere verdeling van taken en bevoegdheden, van middelen en rapportagelijnen is waarborgen dat op de juiste wijze invulling wordt gegeven aan de eisen van het privacybeleid en de AVG. Risico Door het ontbreken van een goede en inzichtelijke taakverdeling en de daarvoor benodigde middelen en rapportagelijnen is niet altijd duidelijk wie wat moet doen, waardoor de eisen van de AVG, de sectorspecifieke wetgeving en het privacybeleid niet effectief worden ingevuld. Bevindingen Niet alle afspraken met betrekking tot taken en verantwoordelijkheden uit het geldende privacybeleid zijn afdoende ingebed in de ambtelijke organisatie. Daardoor ontstaat ruimte om te discussiëren over de reikwijdte van interne verantwoordelijkheden met betrekking tot de verwerking van persoonsgegevens. In het geldende privacybeleid zijn geen performance indicatoren opgenomen met betrekking tot het sturen op de nakoming van de toegewezen taken en verantwoordelijkheden. In de begroting is ruimte gevraagd voor het invullen van de rol van privacy officer. Met ingang van 2024 is die ruimte toegekend.

Advies Zorg bij actualiseren van het privacybeleid dat de taken en verantwoordelijkheden eenduidig worden belegd en dat de interne belanghebbenden geïnformeerd worden over die taken en verantwoordelijkheden. Zorg dat de in het geactualiseerde privacybeleid beschreven taken, verantwoordelijkheden en rapportagelijnen worden vastgelegd in de functieomschrijvingen dan wel taakomschrijving behorend bij de belanghebbende namens de gemeente uitvoert.

Jaarverslag over 2023 Beleidsdomein` B.02 Organieke Inbedding Versie 1.0

pagina 7 van 18

B.03.

Risicomanagement, Privacy by Design en de DPIA

Criterium De verwerkingsverantwoordelijke draagt zorg voor het beoordelen van de privacyrisico's, het treffen van passende maatregelen en het kunnen aantonen van het passend zijn van deze maatregelen. Doelstelling Beoordeling van de privacyrisico's (de kans en hun potentiële omvang/impact) is nodig om te bepalen hoe deze, door het treffen van maatregelen, teruggebracht kunnen worden tot binnen grenzen die de organisatie acceptabel acht. Risico Privacyrisico's worden niet of niet tijdig gesignaleerd, waardoor de verwerking van de persoonsgegevens niet aan de AVG voldoet en een grote(re) kans loopt op inbreuken op de beveiliging; dit kan leiden tot schade voor natuurlijke personen van wie de persoonsgegevens onrechtmatig worden verwerkt. Bevindingen Jaarlijks wordt voor de Eenduidige Normatiek Single Information Audit (hierna: “ENSIA”) door teammanagers vragen ingevuld. Zij beantwoorden onder andere vragen over het uitvoeren van DPIA’s. Uit de beantwoording van die vragen blijkt dat het beoordelen van de privacyrisico’s en het bepalen van de benodigde organisatorische en technische maatregelen aandacht behoeft. De Autoriteit Persoonsgegevens geeft op haar website uitleg over de DPIA. Zij raden aan om, ook als de omstandigheden van een verwerking niet wijzigen, eens per drie jaar een DPIA uit te voeren op de verwerking.

Bij het beschrijven van de processen is aandacht besteed aan het invullen van pre-DPIA’s, waarbij een eerste inschatting wordt gemaakt van het privacy risico voor betrokkene. Het blijkt dat de inschatting van de risico’s bij ondersteunende processen complex is omdat er vanuit diverse andere processen gegevens verwerkt kunnen worden. Advies Zorg dat tegelijk met het actualiseren van het privacybeleid een planning wordt gemaakt voor het uitvoeren van DPIA’s. Bij het opstellen van de planning is het noodzakelijk daarin aandacht te geven aan het eigenaarschap van de DPIA, de benodigde middelen (in ieder geval: informatie, financiën en tijd) en wat in het algemeen de vervolgstappen zijn na het uitvoeren van de DPIA. Zorg bij het beoordelen van de processen dat er ook een inschatting gemaakt wordt met betrekking tot de ondersteunende processen. Voorbeeld In het proces bezwaar en beroep worden persoonsgegevens verwerkt die los staan van de inhoud. De beoordeling dient dan ook daarop gemaakt te worden en niet op de inhoud van het bezwaar of het beroep of het onderwerp waarop bezwaar wordt aangetekend.

Jaarverslag over 2023 Beleidsdomein B.03 Risicomanagement, Privacy by Design en de DPIA Versie 1.0

pagina 8 van 18

4.

Uitvoeringsdomein U.01.

Doelbinding gegevensverwerking

Criterium De verwerkingsverantwoordelijke heeft van alle verzamelingen en verwerkingen van persoonsgegevens tijdig, welbepaald en uitdrukkelijk omschreven: De doeleinden, en: De rechtvaardigingsgronden voor: a. De verdere verwerking op grond van de verenigbaarheid met de oorspronkelijke gerechtvaardigde doeleinden; b. De geautomatiseerde besluitvorming; c. De bijzondere categorieën persoonsgegevens; d. De persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten; e. Het nationaal identificerend nummer; f. De persoonsgegevens ten behoeve van wetenschappelijk of historisch onderzoek met een statistisch oogmerk en archivering in het algemeen belang. Doelstelling Het doel van 'Doelbinding gegevensverwerking' is om te waarborgen dat persoonsgegevens alleen worden verzameld en (verder) verwerkt voor gerechtvaardigde doeleinden. Risico Het ongeoorloofd en onrechtmatig verzamelen en (verder) verwerken van persoonsgegevens. Bevindingen Steeds meer processen zijn beschreven. Daarbij wordt ook aandacht gegeven aan het beschrijven van het doel waarvoor het proces of verwerking wordt uitgevoerd. Het vastleggen van het verwerkingsdoel in het register van gegevensverwerkingen naar aanleiding van de procesbeschrijvingen kan nog aanzienlijk verbeteren, gelet op het lage aantal actualisaties in het register van gegevensverwerkingen in het jaar 2023.

Advies Zorg bij het actualiseren van het register van verwerkingsactiviteiten dat er ook aandacht is voor het actualiseren van de verwerkingsdoelen. Daarbij dient eveneens aandacht te zijn voor de mogelijkheid dat een enkele verwerking meerdere doelen kan dienen, die dan ook allemaal beschreven dienen te worden.

Jaarverslag over 2023 Uitvoeringsdomein U.01 Doelbinding gegevensverwerking Versie 1.0

pagina 9 van 18

U.02.

Register van verwerkingsactiviteiten

Criterium De verwerkingsverantwoordelijke en de verwerker hebben hun gegevens over de gegevensverwerkingen in een register vastgelegd, daarbij biedt het register een actueel en samenhangend beeld van de gegevensverwerkingen, processen en technische systemen die betrokken zijn bij het verzamelen, verwerken en doorgeven van persoonsgegevens. Doelstelling Het doel van een 'Register van verwerkingsactiviteiten' is inzicht te verstrekken in de verwerkingen en de gegevensstromen binnen de organisatie en bij de partijen die namens de organisatie zorgen voor de verwerking van persoonsgegevens. Risico Het niet hebben van een overzicht van verwerkingen leidt tot een incompleet beeld van de verwerkte categorieën persoonsgegevens en getroffen maatregelen voor de relevante verwerkingen, processen en technische systemen. Bevindingen Er is een register van gegevensverwerkingen wat voor de gehele gemeente bij de inwerkingtreding van de Algemene Verordening Gegevensbescherming is ingevuld. Het register is in de loop der jaren een aantal keer gewijzigd en incidenteel aangevuld. Het register geeft geen inzage in de verwerkingen die de gemeente als verwerker uitvoert. Daardoor kan geconcludeerd worden dat het register niet compleet is. Advies Zorg dat het actualiseren van het register van gegevensverwerkingen geen losstaande activiteit wordt.

Het is een activiteit die als taak bij de proceseigenaren ligt en door hen periodiek geïnitieerd dient te worden. Proceseigenaren hebben de mogelijkheid om de taak te mandateren aan een of meerdere medewerkers binnen hun team.

Jaarverslag over 2023 Uitvoeringsdomein U.02 Register van verwerkingsactiviteiten Versie 1.0

pagina 10 van 18

U.03.

Kwaliteitsmanagement

Criterium De verwerkingsverantwoordelijke heeft kwaliteitsmanagement ingericht ten behoeve van de bewaking van de juistheid en nauwkeurigheid van persoonsgegevens. De verwerking is zo ingericht dat de persoonsgegevens kunnen worden gecorrigeerd, gestaakt of overgedragen. Indien dit gebeurt op verzoek van betrokkene dan wordt deze over de status van de afhandeling geïnformeerd. Doelstelling 'Kwaliteitsmanagement' moet ervoor zorgen dat een gegevensverwerking correct en in overeenstemming met de wens van betrokkenen is. Risico Wanneer de gegevens onjuist of onnauwkeurig zijn ingevoerd of gecorrumpeerd raken, worden verkeerde conclusies over de betrokkene getrokken met negatieve consequenties of naar het oordeel van betrokkene ongewenste verwerking van zijn of haar persoonsgegevens tot gevolg. Bevindingen Vastgelegde en formeel vastgestelde procedures voor het (laten) corrigeren (rectificeren, vervolledigen, wissen) van persoonsgegevens, met uitzondering van de wettelijke procedures zoals voor de Basisregistratie personen, zijn binnen gemeente Nunspeet afwezig. Daarnaast ontbreken vastgelegde en formeel vastgestelde procedures met betrekking tot overdraagbaarheid van persoonsgegevens en het op verzoek van betrokkene staken van een verwerking.

Advies Zorg voor vastgelegde en formeel vastgestelde procedures met betrekking tot het rectificeren, vervolledigen en wissen van persoonsgegevens. Zorg voor vastgelegde en formeel vastgestelde procedures met betrekking tot overdraagbaarheid van persoonsgegevens en het op verzoek van betrokkene staken van een verwerking.

Jaarverslag over 2023 Uitvoeringsdomein U.03 Kwaliteitsmanagement Versie 1.0

pagina 11 van 18

U.04.

Beveiliging van de verwerking van persoonsgegevens

Criterium De verwerkingsverantwoordelijke en de verwerker treffen technische en organisatorische maatregelen voor de verwerking van persoonsgegevens op een passend beveiligingsniveau. Doelstelling Het doel van 'beveiligen van de verwerking van persoonsgegevens' is persoonsgegevens te beschermen tegen verlies, onbeschikbaarheid, corruptie en enige vorm van onrechtmatige of onnodige verzameling en (verdere) verwerking. Risico Het ongewenst openbaar worden, manipulatie, misbruik en niet beschikbaar zijn van gegevens. Bevindingen Op 18 november 2020 heeft het college van burgemeester en wethouders het Strategisch Gemeentelijk Informatiebeveiligingsbeleid Nunspeet 2021 tot 2024 vastgesteld. De looptijd van dit beleid is voorzien tot en met 2024. Voor de uitvoering van het Strategisch Gemeentelijk Informatiebeveiligingsbeleid Nunspeet 2021 tot 2024 wordt jaarlijks door de directie een gemeentelijk Informatiebeveiligingsplan vastgesteld. De doelstelling voor 2023 is niet gehaald en de doelen zijn niet allemaal met een geplande realiseringsdatum opgenomen in een planning. 3 Advies Zorg dat het Strategisch Gemeentelijke Informatiebeveiligingsbeleid Nunspeet 2021 tot 2024 wordt geëvalueerd en daar waar nodig wordt geactualiseerd. Zorg dat de geplande doelen een geplande realisatiedatum krijgen zodat daar naar toe gewerkt kan worden.

Daarnaast is het van belang om de voortgang van de doelen te bewaken en bij te sturen waar nodig.

3

Overzicht VDW maatregelen

Jaarverslag over 2023 Uitvoeringsdomein U.04 Beveiliging van de verwerking van persoonsgegevens Versie 1.0

pagina 12 van 18

U.05. Informatieverstrekking aan de betrokkene bij verzameling persoonsgegevens Criterium De verwerkingsverantwoordelijke stelt bij elke verzameling van persoonsgegevens tijdig en op een vastgelegde en vastgestelde wijze informatie aan de betrokkene beschikbaar, zodat de betrokkene, tenzij een uitzondering geldt, toestemming kan geven voor de verwerking. Doelstelling Het doel van 'Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens' is om transparantie aan betrokkene te garanderen over de gegevensverzameling en de verwerking, zodat de betrokkene zijn rechten kan uitoefenen overeenkomstig de beginselen van behoorlijke en transparante verwerking. Risico De organisatie is niet transparant, waardoor de organisatie niet kan verantwoorden dat de gegevensverwerking voldoet aan de beginselen van behoorlijke en transparante verwerking, met mogelijk hoge kosten tot gevolg. Bevindingen Bij verschillende producten waarvoor een inwoner contact kan opnemen met de gemeente worden persoonsgegevens gevraagd aan die inwoner. Bij het uitvragen van die gegevens wordt aan de inwoner niet duidelijk gemaakt voor welk doel al die gegevens gevraagd worden. 4 Daarnaast zijn er opties waarvoor een afspraak gemaakt zou kunnen worden, die functioneel niet mogelijk zijn. De algemene privacy verklaring is sinds 21 mei 2019 niet meer aangepast.

Informatie die wijst op een evaluatie van de algemene privacyverklaring zijn niet aangetroffen. Advies Zorg voor een proces voor het evalueren en actualiseren van de algemene privacy verklaring. In dat proces dient ook aandacht te zijn voor informatie die bij de verschillende gemeentelijke diensten vermeldt dient te worden.

4 https://www.nunspeet.nl/afspraak-maken?tx_windappointments2_appointment[selectProduct]=1

Jaarverslag over 2023 Uitvoeringsdomein U.05 Informatieverstrekking aan de betrokkene bij verzameling persoonsgegevens Versie 1.0

pagina 13 van 18

U.06. Bewaren van persoonsgegevens Criterium Door het treffen van de nodige maatregelen hanteert de organisatie voor persoonsgegevens een bewaartermijn die niet wordt overschreden. Doelstelling Het doel van 'Bewaren persoonsgegevens' is te borgen dat persoonsgegevens niet langer worden bewaard dan noodzakelijk is voor het te bereiken doel. Risico Onnodig bewaarde persoonsgegevens kunnen worden verwerkt voor andere dan de oorspronkelijke doelen. Bevindingen Informatie wordt bewaard op locaties die het opzoeken van die informatie bemoeilijkt. Daardoor is er ook onvoldoende zicht op het tijdig vernietigen van informatie. Dit zijn bijvoorbeeld netwerklocaties en e-mail. Advies Zorg als proceseigenaar dat op procesniveau aandacht gegeven wordt aan het procesgericht werken, waaronder het bewaren en vernietigen van informatie.

Jaarverslag over 2023 Uitvoeringsdomein U.06 Bewaren van persoonsgegevens Versie 1.0

pagina 14 van 18

U.07.

Doorgifte persoonsgegevens

Criterium Bij doorgifte aan een andere verwerkingsverantwoordelijke zijn de onderlinge verantwoordelijkheden duidelijk en bij de doorgifte aan een verwerker zijn er afdoende garanties. Bij de doorgifte naar buiten de EU: Is er een vertegenwoordiger, en: Is geen sprake van uitzonderingsgronden, en: Geldt een door de Europese Commissie genomen adequaatheidsbesluit, of: Zijn er passende waarborgen, of: Geldt een afwijking voor een specifieke situatie. Doelstelling Het doel van de vereisten bij 'Doorgifte persoonsgegevens' is te waarborgen dat persoonsgegevens op een rechtmatige manier worden doorgegeven, op een juiste manier worden gebruikt en dat de verantwoordelijkheid voor deze rechtmatigheid en juistheid ingeregeld blijft. Risico Als een organisatie niet voldoet aan dit criterium is het niet duidelijk voor de organisatie wat exact wordt verwacht bij het doorgeven van persoonsgegevens waardoor de kans bestaat dat persoonsgegevens onrechtmatig worden doorgegeven en onrechtmatig verder worden verwerkt en gebrek is aan het nemen van verantwoordelijkheid en controle. Bevindingen Verwerkersovereenkomsten worden niet periodiek geëvalueerd en daar waar nodig bijgewerkt. Daardoor kan het voorkomen dat de informatie in de verwerkersovereenkomst niet juist blijkt te zijn en bijvoorbeeld een melding van een datalek door een verwerker niet op de juiste plek binnen de gemeente binnenkomt.

Advies Zorg als proceseigenaar dat afspraken met verwerkers en tussen verwerkingsverantwoordelijken periodiek geëvalueerd worden en daar waar nodig worden geactualiseerd.

Jaarverslag over 2023 Uitvoeringsdomein U.07 Doorgifte persoonsgegevens Versie 1.0

pagina 15 van 18

5.

Controle- / Beheerdomein C.01.

Intern toezicht

Criterium Door of namens de verwerkingsverantwoordelijke vindt evaluatie plaats van de gegevensverwerkingen en is de rechtmatigheid aangetoond. Doelstelling Het doel van 'Intern toezicht' is het garanderen van een rechtmatige, behoorlijke en transparantie verwerking van persoonsgegevens, het garanderen van naleving van de AVG en van andere wet- en regelgeving betreffende de gegevensbescherming, en het garanderen en aantoonbaar maken van naleving van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens. Risico Als de verwerking van persoonsgegevens niet voldoet aan de AVG, dan zijn de risico's tweeledig: de betrokkene loopt persoonlijke privacyrisico's en de verwerkingsverantwoordelijke wordt geconfronteerd met politiek-bestuurlijke en/of juridische maatregelen, verlies van vertrouwen en beschadiging van imago als gevolg van communicatieve of handhavende maatregelen van betrokkenen, derden en/of de toezichthoudende autoriteiten. Bevindingen Het gestructureerd evalueren en verbeteren van processen vindt nog onvoldoende plaats. Dit heeft onder andere te maken met de rollen, taken en verantwoordelijkheden zoals deze binnen de gemeente zijn belegd en zoals deze ervaren worden. In de Baseline Informatiebeveiliging Overheid is aangegeven dat de proceseigenaar een lijnmanager is.

Deze is ook verantwoordelijk voor het evalueren van de processen en voor het aantonen van de rechtmatigheid. Advies Zorg dat de lijnmanagers trainingen krijgen over de taken die zij hebben als proceseigenaar. Als onderdeel van die training kan ook advies gegeven worden aan die proceseigenaren over de wijze waarop zij concreet invulling kunnen geven aan die taken.

Jaarverslag over 2023 Controle- / Beheerdomein C.01 Intern toezicht Versie 1.0

pagina 16 van 18

C.02.

Toegang gegevensverwerking voor betrokkenen

Criterium De verwerkingsverantwoordelijke biedt de betrokkene informatie over de verwerking van persoonsgegevens en doet dit tijdig en in een passende vorm, zodat de betrokkene zijn rechten kan uitoefenen , tenzij er een specifieke uitzonderingsgrond geldt. Doelstelling Het doel van 'Toegang gegevensverwerking voor betrokkene' is om zo nodig transparantie te bieden over de gegevensverwerking, zodat de betrokkene zijn rechten kan uitoefenen en zo de verantwoordelijke kan aanspreken bij onrechtmatigheid van een gegevensverwerking, opdat deze onrechtmatigheid beëindigd wordt. Risico De organisatie is niet transparant, waardoor het inzicht in de rechtmatigheid van organisaties ontbreekt, waardoor het vertrouwen in een organisatie verloren gaat. Bevindingen Er is één verzoek van een betrokkene ontvangen met betrekking tot het verkrijgen van inzicht in de persoonsgegevens betreffende die betrokkene. Bij beoordeling blijkt het college van burgemeester en wethouders van gemeente Nunspeet niet de verwerkingsverantwoordelijke te zijn. Daarom is het verzoek, zoals bepaald in de Algemene wet bestuursrecht, doorgestuurd aan de juiste verwerkingsverantwoordelijke, een collega gemeente. Het college van burgemeester en wethouders van gemeente Nunspeet was in deze zaak wel verwerker namens de collega gemeente en om die reden is medewerking verleend bij het opvolgen van het inzageverzoek.

Bij een ander inzageverzoek is na gesprek met de betrokkene gebleken dat het gaat om een inzageverzoek op basis van de Basisregistratie personen. Om die te kunnen behandelen is het noodzakelijk dat de betrokkene ingeschreven staat in de gemeente. Bij dit verzoek bleek dat niet het feit te zijn, waarna de betrokkene naar de juiste instantie is verwezen. Het ontbreken van een beschreven procedure zorgt er voor dat bij iedere behandeling van een inzageverzoek opnieuw nagedacht moet worden over de te volgen stappen. Op het moment dat er stappen vergeten of overgeslagen worden, bestaat het risico van een onjuiste conclusie. De Europese toezichthoudende autoriteiten, verenigd in de European Data Protection Board (EDPB) hebben aangekondigd het recht om inzage te gaan onderzoeken. 5 Advies Zorg voor een beschreven procedure (en implementeer deze ook) voor het behandelen van verzoeken op basis van het recht op inzage. Houdt daarbij rekening met de verplichtingen op basis van de Algemene wet bestuursrecht; en de Uitvoeringswet algemene verordening gegevensbescherming; en de Wet basisregistratie personen Guidelines 01/2022 on data subject rights – Right of acces (version 2.0) Jurisprudentie met betrekking tot dit onderwerp

5 https://autoriteitpersoonsgegevens.nl/actueel/europese-privacytoezichthouders-gaan-recht-op-inzage-onderzoeken

Jaarverslag over 2023 Controle- / Beheerdomein C.02Toegang gegevensverwerking voor betrokkenen Versie 1.0

pagina 17 van 18

C.03.

Meldplicht Datalekken

Criterium De verwerkingsverantwoordelijke meldt een datalek binnen de daaraan gestelde termijn aan de Autoriteit Persoonsgegevens, documenteert de inbreuk, en informeert de betrokkene, tenzij hiervoor een uitzondering geldt. Doelstelling Het doel van 'Meldplicht datalekken' is negatieve consequenties van een datalek te beperken en waar mogelijk te voorkomen. Risico Negatieve consequenties die de persoonlijke levenssfeer van de betrokkene treffen. Bevindingen Gedurende 2023 zijn twaalf privacy incidenten geregistreerd. Eén incident betrof gegevens van een overledene. In dat geval betreft het geen persoonsgegevens in de zin van de Algemene Verordening Gegevensbescherming. Eén incident is eerst voorlopig gemeld aan de Autoriteit Persoonsgegevens waarna de melding, op basis van resultaten van het onderzoek bij de verwerker, is ingetrokken. Eén incident is zowel aan de Autoriteit als aan de betrokkenen gemeld. Bij de beoordeling van de verschillende incidenten is duidelijk geworden dat het grootste deel van de incidenten heeft kunnen gebeuren door onjuist menselijk handelen. De maatregel, om herhaling te voorkomen, die daarvoor is genoemd, is het volgen van een training met betrekking tot privacy incidenten. Advies Zorg dat incidenten geanalyseerd worden zodat daaruit geleerd kan worden.

Daarbij kan gekeken worden naar overeenkomsten in de incidenten, de wijze waarop de incidenten hebben plaatsgevonden of andere onderdelen waarop gefilterd kan worden.

Jaarverslag over 2023 Controle- / Beheerdomein C.03 Meldplicht Datalekken Versie 1.0

pagina 18 van 18