Ter kennisname Privacy jaarverslag 2021

2021

Jaarverslag over 2021 VOOR: HET COLLEGE VAN BURGEMEESTER EN WETHOUDERS VAN: TJERK VROON FUNCTIONARIS GEGEVENSBESCHERMING

Gemeente Nunspeet 31 oktober 2022 Versie 1.0

Inhoudsopgave 1.

Management Samenvatting ............................................................................................................. 3

2.

Leeswijzer ........................................................................................................................................ 5

3.

Beleidsdomein ................................................................................................................................. 6

4.

Uitvoeringsdomein .........................................................................................................................11

5.

Controle- / Beheerdomein .............................................................................................................. 23

Jaarverslag over 2021 Versie 1.0

pagina 2 van 25

1.

Management Samenvatting Gemeente Nunspeet is sinds mei 2018 gehouden aan de verplichtingen uit de Algemene Verordening Gegevensbescherming (hierna: "AVG"). Gebleken is dat het voldoen aan de AVG een grotere uitdaging is dan eerst verwacht, maar er worden stappen gemaakt. Om te zorgen dat de gemeente op een volwassen wijze omgaat met persoonsgegevens, is het van belang om structurele vooruitgang te gaan boeken en niet alleen ad-hoc te reageren op incidenten, vragen of andere ontwikkelingen. Het is belangrijk dat we als gemeente een duidelijke richting bepalen waar we heen gaan en hoe we dat gaan realiseren. Dit vraagt van iedereen in de organisatie tijd en inzet. Als gemeente hebben we een voorbeeldfunctie in de maatschappij, zeker nu er steeds meer transparantie van de overheid verlangd wordt. In dit jaarverslag wordt inzicht gegeven in de bevindingen van de Functionaris Gegevensbescherming. De bevindingen zijn onder te verdelen in drie onderzoeksdomeinen, namelijk: het beleidsdomein, het uitvoeringsdomein en het controle- / beheerdomein. Op de volgende pagina is een schematische samenvatting weergegeven met de daarbij behorende score. Om te kunnen groeien naar een hoger volwassenheidsniveau op de verschillende onderwerpen, zijn aanbevelingen geformuleerd. Voor de directie is een separaat overzicht opgesteld waarbij iedere aanbeveling is voorzien van een actiehouder.

Diverse aanbevelingen gaan over het vastleggen van kaders en werkwijzen. Dat geeft handvatten hoe omgaan dient te worden met persoonsgegeven en hoe geacteerd moet worden in specifieke situaties. Uiteindelijk wordt er naar toe gewerkt dat met vertrouwen verklaard kan worden dat gemeente Nunspeet in control is voor wat betreft de wijze waarop binnen de gemeente wordt omgegaan met persoonsgegevens. Een belangrijk onderdeel van in control zijn voor wat betreft de omgang met persoonsgegevens is het pro actief en transparant communiceren. Om dat te bereiken is kennis nodig van de werkprocessen en zal nagedacht moeten worden over vragen als: "waarom doen we dit?" en "hoe kunnen we dit anders doen?" en "hebben we alles wel echt nodig?". De gemeente is in beweging om steeds beter om te gaan met persoonsgegevens maar is nog niet klaar. Het is een continuproces wat niet voor ons wordt gedaan, maar juist voor diegenen over wie persoonsgegevens worden verwerkt. Tjerk Vroon Functionaris Gegevensbescherming

Jaarverslag over 2021 Management Samenvatting Versie 1.0

pagina 3 van 25

Beleidsdomein B.01 Privacybeleid

B.02

Organieke inbedding

B.03

Risicomanagement, Privacy by Design en de DPIA Uitvoeringsdomein U.01 Doelbinding gegevensverwerking

U.02

Register van verwerkingsactiviteiten

U.03

Kwaliteitsmanagement

U.04

Beveiliging van de verwerking van persoonsgegevens Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens Bewaren van persoonsgegevens Doorgifte persoonsgegevens

U.05

U.06 U.07

Volwassenheidsniveau: De gemeente heeft privacybeleid en procedures ontwikkeld en vastgesteld waarin is vastgelegd op welke wijze persoonsgegevens worden verwerkt en invulling wordt gegeven aan de wettelijke beginselen. De verdeling van de taken en verantwoordelijkheden, de benodigde middelen en de rapportagelijnen zijn door de gemeente vastgelegd en vastgesteld De verwerkingsverantwoordelijke draagt zorg voor het beoordelen van de privacyrisico’s, het treffen van passende maatregelen en het kunnen aantonen van het passend zijn van deze maatregelen De verwerkingsverantwoordelijke heeft van alle verzamelingen en verwerking van persoonsgegevens tijdig, welbepaald en uitdrukkelijk omschreven: De doeleinden, en; De rechtvaardigingsgronden voor: De verdere verwerking op grond van de verenigbaarheid met de oorspronkelijke gerechtvaardigde doeleinden De geautomatiseerde besluitvorming Bijzondere persoonsgegevens De persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten; Het nationaal identificerend nummer; De persoonsgegevens ten behoeve van wetenschappelijk of historisch onderzoek met een statistisch oogmerk en archivering in het algemeen belang De verwerkingsverantwoordelijke en de verwerker hebben hun gegevens over de gegevensverwerkingen in een register vastgelegd, daarbij biedt het register een actueel en samenhangend beeld van de gegevensverwerkingen,

processen en technische systemen die betrokken zijn bij het verzamelen, verwerken en doorgeven van persoonsgegevens De verwerkingsverantwoordelijke heeft kwaliteitsmanagement ingericht ten behoeve van de bewaking van de juistheid en nauwkeurigheid van persoonsgegevens. De verwerking is zo ingericht dat de persoonsgegevens kunnen worden gecorrigeerd, gestaakt of overgedragen. Indien dit op verzoek van betrokkene gebeurd wordt deze over de status van de afhandeling geïnformeerd. De verwerkingsverantwoordelijke en de verwerker treffende technische en organisatorische maatregelen om een verwerking van persoonsgegevens op een passend niveau te beveiligen De verwerkingsverantwoordelijke stelt bij elke verzameling van persoonsgegevens tijdig en op een vastgelegde en vastgestelde wijze informatie aan de betrokkene beschikbaar, zodat de betrokkene, tenzij een uitzondering geldt, toestemming kan geven voor de verwerking. Door het treffen van de nodige maatregelen hanteert de organisatie voor persoonsgegevens een bewaartermijn die niet wordt overschreden. Bij doorgifte aan een andere verwerkingsverantwoordelijke zijn de onderlinge verantwoordelijkheden duidelijk en bij de doorgifte aan een verwerker zijn er afdoende garanties Bij de doorgifte naar buiten de EU: Is er een vertegenwoordiger, en: Is geen sprake van uitzonderingsgronden En: -

Control- / Beheerdomein C.01 Intern toezicht C.02

C.03

Toegang gegevensverwerking voor burgers Meldplicht datalekken

Jaarverslag over 2021 Management Samenvatting Versie 1.0

1

Geldt een door de Europese Commissie genomen adequaatheidsbesluit; of Zijn er passende waarborgen; of Geldt een afwijking voor een specifieke situatie

Door of namens de verwerkingsverantwoordelijke vindt evaluatie plaats van de gegevensverwerkingen en is de rechtmatigheid aangetoond De verwerkingsverantwoordelijke biedt de betrokkene informatie over de verwerking van persoonsgegevens en doet dit tijdig en in een passende vorm, zodat de betrokkene zijn rechten kan uitoefenen, tenzij er een specifieke uitzonderingsgrond geldt De verwerkingsverantwoordelijke meldt een datalek binnen de daaraan gestelde termijn aan de AP, documenteert de inbreuk, en informeert de betrokkene, tenzij hiervoor een uitzondering geldt.

pagina 4 van 25

2.

Leeswijzer In de navolgende hoofdstukken is per onderzoeksdomein ingegaan op de verschillende onderwerpen die getoetst zijn. Daarbij zijn het criterium, de doelstelling en het risico overgenomen uit het framework wat is gebruikt voor de toetsing. Dat is de Privacybaseline van het Centrum voor Informatiebeveiliging en Privacy. Binnen de Privacybaseline geldt dat er op verschillende volwassenheidsniveaus beschreven zijn met betrekking tot de omgang met persoonsgegevens, namelijk: “informeel”, “beheerst”, “vastgesteld”, “voorspelbaar” en “geoptimaliseerd”. Voor het opstellen van dit jaarverslag is getoetst aan het niveau “informeel”, wat gezien wordt als laagste niveau. Het niveau “vastgesteld” kan zich basaal meten met de eisen uit de AVG. Per te toetsen onderwerp zijn bevindingen genoteerd, waarna aanbevelingen zijn geformuleerd. Naar de toekomst toe is per aanbeveling opgenomen hoe die aanbeveling door de Functionaris Gegevensbescherming getoetst gaat worden. Het opstellen van het jaarverslag heeft meer tijd gekost dan gepland. Reden daarvoor is om te komen tot een zo volledig mogelijke beoordeling op basis waarvan een meerjarenplan opgesteld kan worden.

Jaarverslag over 2021 Leeswijzer Versie 1.0

pagina 5 van 25

3.

Beleidsdomein B.01.

Privacybeleid

Criterium Gemeente Nunspeet heeft privacybeleid en procedures ontwikkeld en vastgesteld waarin is vastgelegd op welke wijze persoonsgegevens worden verwerkt en invulling wordt gegeven aan de wettelijke beginselen. Doelstelling Privacybeleid dient ervoor om op organisatie- en strategisch niveau duidelijkheid te geven over de inrichtingskeuzes van privacy en te waarborgen dat de verwerking van gegevens op een rechtmatige wijze plaatsvindt. Risico Het ontbreken van een privacybeleid leidt ertoe dat de organisatie geen duidelijkheid heeft wat precies wordt verwacht, waardoor de kans bestaat dat persoonsgegevens onrechtmatig worden verwerkt (waaronder verzamelen, bewerken, inzien et cetera). Bevinding(en) In het Privacybeleidskader Gemeente Nunspeet 2020-2024 (hierna: “privacybeleid”)1 is in hoofdstuk 4 een gedragsnorm voor proceseigenaren beschreven. Dit houdt onder meer in dat de proceseigenaar, als integraal verantwoordelijke, de technische en organisatorische maatregelen die (moeten) worden genomen om privacyrisico’s te verkleinen - bijhoudt in een procesplan. Aan de maatregelen liggen een of meerdere DPIA’s2 te grondslag. Ook is de opdracht aan de proceseigenaren en het hogere management geformuleerd om privacy bespreekbaar te maken. Advies Zorg dat er vastgelegd inzicht is in de wijze waarop persoonsgegevens binnen processen worden verwerkt.

Stel daarvoor, voor zover deze niet bestaan, procesbeschrijvingen op. Maak privacy binnen het team bespreekbaar. Zorg dat het onderwerp periodiek op de agenda van het teamoverleg wordt opgenomen. Toekomstig toezichtactiviteit Activiteit Methode 1.1

2.1

Controleren of processen beschreven zijn en indien dat zo is controleren op welke wijze persoonsgegevens binnen het proces worden verwerkt Nagaan op welke wijze invulling is gegeven aan het bespreekbaar maken van privacy.

Documentcontrole en interview Interviews

1 https://lokaleregelgeving.overheid.nl/CVDR656132/1

2 DPIA: data protection impact assessment of gegevensbeschermingseffectbeoordeling

Jaarverslag over 2021 Beleidsdomein B.01 Privacybeleid Versie 1.0

pagina 6 van 25

B.02.

Organieke Inbedding

Criterium De verdeling van de taken en verantwoordelijkheden, de benodigde middelen en de rapportagelijnen zijn door de organisatie vastgelegd en vastgesteld. Doelstelling Het doel van een heldere verdeling van taken en bevoegdheden, van middelen en rapportagelijnen is waarborgen dat op de juiste wijze invulling wordt gegeven aan de eisen van het privacybeleid en de AVG. Risico Door het ontbreken van een goede en inzichtelijke taakverdeling en de daarvoor benodigde middelen en rapportagelijnen is niet altijd duidelijk wie wat moet doen, waardoor de eisen van de AVG, de sectorspecifieke wetgeving en het privacybeleid niet effectief worden ingevuld. Bevindingen Er is door de gemeente een Functionaris Gegevensbescherming aangesteld waaraan een directiebesluit ten grondslag ligt. In hoofdstuk 3 van het privacybeleid is beschreven op welke wijze privacymanagement voor het college van Burgemeester en Wethouders van Gemeente Nunspeet is georganiseerd. In lijn met artikel 9 van het “Organisatiebesluit Gemeente Nunspeet 2021” is in het privacybeleid opgenomen dat de proceseigenaren over de omgang met persoonsgegevens rapporteren aan de directie. De rapportagelijn van de proceseigenaar naar de directie lijkt nog niet geoperationaliseerd.

Daardoor kan bij de directie de benodigde informatie om de proceseigenaren effectief te kunnen sturen op de juiste verwerking van persoonsgegevens en de bijbehorende verplichtingen, ontbreken. Daardoor kan de directie niet volledig rapporteren aan het college van Burgemeester en Wethouders. In het bevoegdhedenbesluit zijn door het college van B&W en de Burgemeester diverse operationele bevoegdheden met betrekking tot gegevensbescherming gemandateerd aan de Privacy Officer en diens teammanager. Die bevoegdheden hebben betrekking op verplichtingen uit zowel de Algemene Verordening Gegevensbescherming als de Wet politiegegevens.

Jaarverslag over 2021 Beleidsdomein` B.02 Organieke Inbedding Versie 1.0

pagina 7 van 25

Advies Zorg dat de gemeente een vastgelegd en formeel vastgesteld aanwijsbesluit met betrekking tot de aanwijzing van de Functionaris Gegevensbescherming neemt. Deze dient van toepassing te zijn voor ieder bestuursorgaan wat als verwerkingsverantwoordelijke geldt. Stel samen met de proceseigenaren punten vast waarop de proceseigenaren aanspreekbaar zijn en waarop proceseigenaren verantwoording afleggen aan de directie met betrekking tot de omgang met persoonsgegevens. Toekomstige toezichtactiviteit Activiteit 3.1 4.1

Controleren van het proces wat heeft geleidt tot het aanwijsbesluit. Controle van het directiebesluit met betrekking tot de overeengekomen controlepunten en de wijze waarop die controle heeft plaatsgevonden.

Jaarverslag over 2021 Beleidsdomein` B.02 Organieke Inbedding Versie 1.0

Methode Documentcontrole Documentcontrole en interview

pagina 8 van 25

B.03.

Risicomanagement, Privacy by Design en de DPIA

Criterium De verwerkingsverantwoordelijke draagt zorg voor het beoordelen van de privacyrisico's, het treffen van passende maatregelen en het kunnen aantonen van het passend zijn van deze maatregelen. Doelstelling Beoordeling van de privacyrisico's (de kans en hun potentiële omvang/impact) is nodig om te bepalen hoe deze, door het treffen van maatregelen, teruggebracht kunnen worden tot binnen grenzen die de organisatie acceptabel acht. Risico Privacyrisico's worden niet of niet tijdig gesignaleerd, waardoor de verwerking van de persoonsgegevens niet aan de AVG voldoet en een grote(re) kans loopt op inbreuken op de beveiliging; dit kan leiden tot schade voor natuurlijke personen van wie de persoonsgegevens onrechtmatig worden verwerkt. Bevindingen Het afdelingshoofd / De teamleiders (tegenwoordig teammanagers) hebben in juli 2020 - samen met de directie - gezamenlijk de volgende risico inschatting gemaakt voor de hoofdprocessen.

Voor de volgende processen worden DPIA’s uitgevoerd of zijn reeds uitgevoerd: Wmo Processen van P&O (onderdeel van bedrijfsvoering) Werk en Inkomen Vroegsignalering Voorafgaand aan de inwerkingtreding van de Wet inburgering 2021 is het proces geïnventariseerd en is bij de inrichting zo veel mogelijk direct rekening gehouden met eventuele privacyrisico’s. Voor de uitvoering van de DPIA’s en het ontwerpen van een proces met inachtneming van de principes Privacy by Design en Privacy by Default is geen gestandaardiseerde werkwijze gedocumenteerd.

Jaarverslag over 2021 Beleidsdomein B.03 Risicomanagement, Privacy by Design en de DPIA Versie 1.0

pagina 9 van 25

Advies Zorg voor een vastgelegd en formeel vastgestelde procedure met betrekking tot het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA). Zorg dat implementatieplannen van de maatregelen bij de directie bekend zijn. Op die manier kan de directie de voortgang van de implementatie van de maatregelen bewaken en bijsturen waar nodig. Toekomstige toezichtactiviteit Activiteit Methode 5.1

6.1 6.2

Controle van de vastgelegde en formeel vastgestelde procedure met betrekking tot het uitvoeren van een DPIA en de bekendheid daarvan binnen de gemeente. Opvragen van de implementatieplannen en de gevoerde communicatie aan de directie daarover. Tijdens een interview met de directie nagaan op welke wijze de directie sturing heeft gegeven aan het uitvoeren van het implementatieplan van de proceseigenaar.

Jaarverslag over 2021 Beleidsdomein B.03 Risicomanagement, Privacy by Design en de DPIA Versie 1.0

Documentcontrole en interview Documentcontrole Interview

pagina 10 van 25

4.

Uitvoeringsdomein U.01.

Doelbinding gegevensverwerking

Criterium De verwerkingsverantwoordelijke heeft van alle verzamelingen en verwerkingen van persoonsgegevens tijdig, welbepaald en uitdrukkelijk omschreven: De doeleinden, en: De rechtvaardigingsgronden voor: a. De verdere verwerking op grond van de verenigbaarheid met de oorspronkelijke gerechtvaardigde doeleinden; b. De geautomatiseerde besluitvorming; c. De bijzondere categorieën persoonsgegevens; d. De persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten; e. Het nationaal identificerend nummer; f. De persoonsgegevens ten behoeve van wetenschappelijk of historisch onderzoek met een statistisch oogmerk en archivering in het algemeen belang. Doelstelling Het doel van 'Doelbinding gegevensverwerking' is om te waarborgen dat persoonsgegevens alleen worden verzameld en (verder) verwerkt voor gerechtvaardigde doeleinden. Risico Het ongeoorloofd en onrechtmatig verzamelen en (verder) verwerken van persoonsgegevens. Bevindingen In het verwerkingenregister is voor 193 verwerkingen het doel van de verwerking vastgelegd. Voor die verwerkingen is opgenomen wat de rechtvaardigingsgrond van de verwerking is, waarbij niet nader is ingegaan op de rechtvaardigingsgronden voor de punten a tot en met f uit het criterium.

Voor de geregistreerde verwerkingen op grond van een taak van algemeen belang of op grond van een wettelijke verplichting wordt in een beperkt aantal gevallen verwezen naar het recht waaruit die taak voortkomt. Voor de geregistreerde verwerkingen op grond van het gerechtvaardigd belang blijkt de belangenafweging onvoldoende uit de gegevens uit het verwerkingenregister. Echter, het opnemen van de belangen afweging in het verwerkingenregister is geen verplichting op grond van de Algemene Verordening Gegevensbescherming. Voor verwerkingen die gemeente Nunspeet op grond van het gerechtvaardigd belang uitvoert, wordt niet in alle gevallen advies dan wel - in voorkomend geval - instemming aan de ondernemingsraad gevraagd.

Jaarverslag over 2021 Uitvoeringsdomein U.01 Doelbinding gegevensverwerking Versie 1.0

pagina 11 van 25

Advies Zorg dat voor iedere verwerking op grond van een taak van algemeen belang of wettelijke verplichting een zo expliciet mogelijke verwijzing naar het recht wordt vastgelegd, rekening houdend met de punten a tot en met f uit het criterium. Bijvoorbeeld het wetsartikel, jurisprudentie of een artikel in een plaatselijke verordening.3 Zorg dat het verwerkingsdoel, voor iedere verwerking op grond van een taak van algemeen belang of wettelijke verplichting, overeenkomt met het gestelde in het recht of daarvan afgeleid wordt. 4 Zorg dat voor iedere verwerking op grond van het gerechtvaardigd belang de belangenafweging wordt vastgelegd en wordt voorzien van advies dan wel - in voorkomend geval - instemming van de Ondernemingsraad. Toekomstige toezichtactiviteit Activiteit 7.1

8.1

9.1

9.2

Steekproefsgewijze controle van de verwijzing naar het recht op basis waarvan de verwerking die op grond van een taak van algemeen belang of wettelijke verplichting wordt uitgevoerd. De controle betreft maximaal 2 willekeurig geselecteerde verwerkingen per team. Steekproefsgewijze controle van het verwerkingsdoel van de verwerking voor verwerkingen die op grond van een taak van algemeen belang of wettelijke verplichting wordt uitgevoerd. De controle betreft maximaal 2 willekeurig geselecteerde verwerkingen per team. Steekproefsgewijze controle van de belangenafwegingen voor die verwerkingen die op basis van het gerechtvaardigd belang worden uitgevoerd Steekproefsgewijze controle met betrekking tot de betrokkenheid van de Ondernemingsraad van Gemeente Nunspeet

Methode Documentcontrole

Documentcontrole

Documentcontrole

Interview

3 Overweging 45 van de AVG

Indien de verwerking wordt verricht omdat de verwerkingsverantwoordelijke hiertoe wettelijk is verplicht of indien de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang dan wel voor een taak in het kader van de uitoefening van het openbaar gezag, dient de verwerking een grondslag te hebben in het Unierecht of het lidstatelijke recht. Deze verordening schrijft niet voor dat voor elke afzonderlijke verwerking specifieke wetgeving vereist is. Er kan worden volstaan met wetgeving die als basis fungeert voor verscheidene verwerkingen op grond van een wettelijke verplichting die op de verwerkingsverantwoordelijke rust, of voor verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang dan wel voor een taak in het kader van de uitoefening van het openbaar gezag. […] 4 Overweging 45 van de AVG […] Het moet ook het Unierecht of het lidstatelijke recht zijn die het doel van de verwerking bepaalt. […] Jaarverslag over 2021 Uitvoeringsdomein U.01 Doelbinding gegevensverwerking Versie 1.0

pagina 12 van 25

U.02.

Register van verwerkingsactiviteiten

Criterium De verwerkingsverantwoordelijke en de verwerker hebben hun gegevens over de gegevensverwerkingen in een register vastgelegd, daarbij biedt het register een actueel en samenhangend beeld van de gegevensverwerkingen, processen en technische systemen die betrokken zijn bij het verzamelen, verwerken en doorgeven van persoonsgegevens. Doelstelling Het doel van een 'Register van verwerkingsactiviteiten' is inzicht te verstrekken in de verwerkingen en de gegevensstromen binnen de organisatie en bij de partijen die namens de organisatie zorgen voor de verwerking van persoonsgegevens. Risico Het niet hebben van een overzicht van verwerkingen leidt tot een incompleet beeld van de verwerkte categorieën persoonsgegevens en getroffen maatregelen voor de relevante verwerkingen, processen en technische systemen. Bevindingen Het register van verwerkingsactiviteiten is in het kalenderjaar 2021 op een aantal kleine onderdelen bijgewerkt. Dit betrof enkel verwerkingen gerelateerd aan schuldhulpverlening, vroegsignalering en inburgering. Het register van verwerkingsactiviteiten bevat enkel verwerkingen die gemeente Nunspeet als verwerkingsverantwoordelijke uitvoert. Dat betekent dat het register incompleet is.5 De verwerkingen die uitgevoerd worden als verwerker, zijn niet opgenomen in het register.

Dat betekent dat niet inzichtelijk is welke verwerkingen namens andere partijen worden uitgevoerd, zoals buurgemeenten. Ditzelfde geldt voor de verwerkingen inzake politiegegevens waarvoor gemeente Nunspeet verwerkingsverantwoordelijke dan wel verwerker is.6 Advies Zorg voor een vastgelegde en formeel vastgestelde procedure die onder meer betrekking heeft op het aanvullen, wijzigen, onderhouden en actualiseren van de verwerkingen in het register van verwerkingsactiviteiten. Zorg voor vastgelegde en formeel vastgestelde formats voor de verschillende registers van verwerkingsactiviteiten, zowel voor de Algemene Verordening Gegevensbescherming als de Wet politiegegevens. Zorg dat de informatie in het register van verwerkingsactiviteiten aantoonbaar een actuele en volledige weergave van de werkelijkheid geeft.

5 Verplichting op grond van artikel 30, tweede lid, van de Algemene Verordening Gegevensbescherming 6 Verplichting op grond van artikel 31d, eerste en tweede lid, van de Wet politiegegevens

Jaarverslag over 2021 Uitvoeringsdomein U.02 Register van verwerkingsactiviteiten Versie 1.0

pagina 13 van 25

Toekomstige toezichtactiviteit Activiteit 10.1

11.1 12.1

Controle van de vastgelegde en formeel vastgestelde procedure met betrekking tot het aanvullen, wijzigen, onderhouden en actualiseren van de verwerkingen in het register van verwerkingsactiviteiten en de bekendheid daarvan binnen de gemeente. Controle van de vastgelegde en formeel vastgestelde formats van de verschillende registers aan de hand van de wettelijke vereisten. Steekproefsgewijze controle van de actualiteit van de verwerkingen in het register van verwerkingsactiviteiten. De controle betreft maximaal 2 willekeurig geselecteerde verwerkingen per team.

Jaarverslag over 2021 Uitvoeringsdomein U.02 Register van verwerkingsactiviteiten Versie 1.0

Methode Documentcontrole en interview

Documentcontrole Documentcontrole en interview

pagina 14 van 25

U.03.

Kwaliteitsmanagement

Criterium De verwerkingsverantwoordelijke heeft kwaliteitsmanagement ingericht ten behoeve van de bewaking van de juistheid en nauwkeurigheid van persoonsgegevens. De verwerking is zo ingericht dat de persoonsgegevens kunnen worden gecorrigeerd, gestaakt of overgedragen. Indien dit gebeurt op verzoek van betrokkene dan wordt deze over de status van de afhandeling geïnformeerd. Doelstelling 'Kwaliteitsmanagement' moet ervoor zorgen dat een gegevensverwerking correct en in overeenstemming met de wens van betrokkenen is. Risico Wanneer de gegevens onjuist of onnauwkeurig zijn ingevoerd of gecorrumpeerd raken, worden verkeerde conclusies over de betrokkene getrokken met negatieve consequenties of naar het oordeel van betrokkene ongewenste verwerking van zijn of haar persoonsgegevens tot gevolg. Bevindingen Beschreven procedures voor het verwerken van verzoeken met betrekking tot het (laten) corrigeren (rectificeren, vervolledigen, wissen) van persoonsgegevens, staken van de verwerking van persoonsgegevens of het overdragen van persoonsgegevens ontbreken. Binnen de gemeente is voor 3 basisregistraties een formulier waarmee een terugmelding gemaakt kan worden. Op die manier wordt geborgd dat correcties op eventuele onjuistheden in een van die basisregistraties kunnen worden doorgegeven.

Persoonsgegevens die niet zijn opgenomen in een basisregistratie en die ontvangen worden voor een specifieke verwerking kunnen mogelijk ongemerkt verouderen.

Jaarverslag over 2021 Uitvoeringsdomein U.03 Kwaliteitsmanagement Versie 1.0

pagina 15 van 25

Advies Zorg voor een vastgelegde en formeel vastgestelde procedure met betrekking tot het behandelen van correctieverzoeken. Deze dient ook operationeel geïmplementeerd te worden. Zorg voor een vastgelegde en formeel vastgestelde procedure met betrekking tot het behandelen van verwijderingsverzoeken. Deze dient ook operationeel geïmplementeerd te worden. Zorg voor een vastgelegde en formeel vastgestelde procedure met betrekking tot het behandelen van stakingsverzoeken. Deze dient ook operationeel geïmplementeerd te worden. Zorg voor een vastgelegde en formeel vastgestelde procedure met betrekking tot het behandelen van verzoeken voor overdracht van persoonsgegevens. Deze dient ook operationeel geïmplementeerd te worden. Toekomstige toezichtactiviteit Activiteit 13.1

14.1

15.1

16.1

Controle van de vastgelegde en formeel vastgestelde procedure met betrekking tot het behandelen van correctieverzoeken en de bekendheid daarvan binnen de gemeente. Controle van de vastgelegde en formeel vastgestelde procedure met betrekking tot het behandelen van verwijderingsverzoeken en de bekendheid daarvan binnen de gemeente. Controle van de vastgelegde en formeel vastgestelde procedure met betrekking tot het behandelen van stakingsverzoeken en de bekendheid daarvan binnen de gemeente. Controle van de vastgelegde en formeel vastgestelde procedure met betrekking tot het behandelen van verzoeken voor overdracht van persoonsgegevens en de bekendheid daarvan binnen de gemeente.

Jaarverslag over 2021 Uitvoeringsdomein U.03 Kwaliteitsmanagement Versie 1.0

Methode Documentcontrole en interview Documentcontrole en interview Documentcontrole en interview Documentcontrole en interview

pagina 16 van 25

U.04.

Beveiliging van de verwerking van persoonsgegevens

Criterium De verwerkingsverantwoordelijke en de verwerker treffen technische en organisatorische maatregelen voor de verwerking van persoonsgegevens op een passend beveiligingsniveau. Doelstelling Het doel van 'beveiligen van de verwerking van persoonsgegevens' is persoonsgegevens te beschermen tegen verlies, onbeschikbaarheid, corruptie en enige vorm van onrechtmatige of onnodige verzameling en (verdere) verwerking. Risico Het ongewenst openbaar worden, manipulatie, misbruik en niet beschikbaar zijn van gegevens. Bevindingen Het college B&W heeft het Informatiebeveiligingsbeleid Nunspeet 2021 tot 2024 vastgesteld.7 De CISO doet separaat verslag van diens bevindingen met betrekking tot de naleving van het informatiebeveiligingsbeleid. Gedurende de periode dat er een risico op misbruik was met betrekking tot de Log4J kwetsbaarheid was, is gebleken dat er geen volledig inzicht is in de wijze waarop applicaties middels koppelingen met de gegevensmakelaar samenhangen in werkprocessen. Mede daardoor is door het bestuur besloten het continuïteitsplan te evalueren en te actualiseren. De aantoonbaarheid van de genomen beveiligingsmaatregelen is onvolledig. Daardoor is voor proceseigenaren lastiger in te schatten welke maatregelen (aanvullend) genomen kunnen worden om het proces wat onder diens verantwoordelijkheid valt verder te beveiligen.

Ook wordt de effectiviteit van de genomen maatregelen niet geëvalueerd. Er zijn teams waarbij persoonsgegevens op papier worden verwerkt (waaronder bewaard). Daarbij is aandacht voor de fysieke beveiliging van die gegevens, zoals de mogelijkheid tot het fysiek afsluiten van de kasten. Advies Zorg voor de aantoonbaarheid van de genomen beveiligingsmaatregelen en wat het beoogd effect van die maatregelen is.8 Toekomstige toezichtactiviteit Activiteit Methode 17.1

Controle op de vastgelegde beheersmaatregelen in processen en de actualiteit daarvan.

Documentcontrole

7 https://lokaleregelgeving.overheid.nl/CVDR656015 8 Verplichting op grond van artikel 17.1.2 (Informatiebeveiligingscontinuïteit implementeren) van de Baseline

Informatiebeveiliging Overheid De organisatie behoort processen, procedures en beheersmaatregelen vast te stellen, te documenteren, te implementeren en te handhaven om het vereiste niveau van continuïteit voor informatiebeveiliging tijdens een ongunstige situatie te waarborgen. Jaarverslag over 2021 Uitvoeringsdomein U.04 Beveiliging van de verwerking van persoonsgegevens Versie 1.0

pagina 17 van 25

U.05.

Informatieverstrekking aan de betrokkene bij verzameling persoonsgegevens

Criterium De verwerkingsverantwoordelijke stelt bij elke verzameling van persoonsgegevens tijdig en op een vastgelegde en vastgestelde wijze informatie aan de betrokkene beschikbaar, zodat de betrokkene, tenzij een uitzondering geldt, toestemming kan geven voor de verwerking. Doelstelling Het doel van 'Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens' is om transparantie aan betrokkene te garanderen over de gegevensverzameling en de verwerking, zodat de betrokkene zijn rechten kan uitoefenen overeenkomstig de beginselen van behoorlijke en transparante verwerking. Risico De organisatie is niet transparant, waardoor de organisatie niet kan verantwoorden dat de gegevensverwerking voldoet aan de beginselen van behoorlijke en transparante verwerking, met mogelijk hoge kosten tot gevolg. Bevindingen Op de website is een algemene privacyverklaring waaruit voor betrokkenen niet duidelijk wordt welke persoonsgegevens per verwerking noodzakelijk zijn. Op de website heeft de betrokkene de mogelijkheid om meer informatie te krijgen over de verschillende producten en diensten die de gemeente aanbiedt, echter is daarbij niet aangegeven welke persoonsgegevens daarvoor noodzakelijk zijn.

Advies Zorg voor een vastgelegde en formeel vastgestelde procedure met betrekking tot het informeren van betrokkenen over de persoonsgegevens die worden gebruikt in de taakuitvoering van de gemeente. Zorg voor een vastgelegd en formeel vastgesteld format voor de wijze waarop betrokkenen door gemeente Nunspeet worden geïnformeerd over de persoonsgegevens die gemeente Nunspeet over hen verwerkt. Zorg dat aantoonbaar actuele en complete informatie aan de betrokkenen wordt gegeven over de persoonsgegevens die worden verwerkt.9 Toekomstige toezichtactiviteit Activiteit 18.1

19.1

20.1

Controle van de vastgelegde en formeel vastgestelde procedure met betrekking tot het informeren van betrokkenen over de persoonsgegevens die worden gebruikt in de taakuitvoering van de gemeente en de bekendheid daarvan binnen de gemeente. Controle van het vastgelegde en formeel vastgestelde format voor de wijze waarop betrokkenen door gemeente Nunspeet worden geïnformeerd over de persoonsgegevens die gemeente Nunspeet over hen verwerkt. Steekproefsgewijze controle met betrekking tot de actualiteit en compleetheid van informatie die aan betrokkenen wordt gegeven over de persoonsgegevens die worden verwerkt.

Methode Documentcontrole en interview

Documentcontrole

Documentcontrole en interview

9 Verplichting op grond van artikel 13 en 14 van de Algemene Verordening Gegevensbescherming.

Jaarverslag over 2021 Uitvoeringsdomein U.05 Informatieverstrekking aan de betrokkene bij verzameling persoonsgegevens Versie 1.0

pagina 18 van 25

U.06.

Bewaren van persoonsgegevens

Criterium Door het treffen van de nodige maatregelen hanteert de organisatie voor persoonsgegevens een bewaartermijn die niet wordt overschreden. Doelstelling Het doel van 'Bewaren persoonsgegevens' is te borgen dat persoonsgegevens niet langer worden bewaard dan noodzakelijk is voor het te bereiken doel. Risico Onnodig bewaarde persoonsgegevens kunnen worden verwerkt voor andere dan de oorspronkelijke doelen. Bevindingen De gemeenteraad van Gemeente Nunspeet heeft de Archiefverordening gemeente Nunspeet 2021 vastgesteld.10 Daarnaast heeft het college van B&W de Beheerregeling Informatiebeheer gemeente Nunspeet 2021 vastgesteld.11 In de beheerregeling is de archiefbewaarplaats aangewezen door het college van Burgemeester en Wethouders. In de beheerregeling zijn de bevoegdheden van de archivaris benoemd, maar de aanwijzing van de archivaris zelf is daarin niet opgenomen. Voor het kalenderjaar 2021 kan gesteld worden dat Gemeente Nunspeet beheersmaatregelen heeft getroffen met betrekking tot de archivering. In de Selectielijst gemeenten en intergemeentelijke organen 202012, welke van toepassing is op gemeente Nunspeet, zijn geen vernietigingstermijnen opgenomen met betrekking tot de verwerking van politiegegevens, ondanks dat gemeente Nunspeet als werkgever van buitengewoon opsporingsambtenaren politiegegevens verwerkt.

Gemeente Nunspeet moet kunnen aantonen dat wordt voldaan aan de beginselen inzake verwerking van persoonsgegevens.13 Dit geldt ook voor het beginsel opslagbeperking.14 De methodiek van bewaren, vernietigen en archiveren is op zaakniveau ingericht. Dit heeft tot gevolg dat alle documenten en dus ook de persoonsgegevens in die documenten dezelfde vernietigingstermijn heeft gekregen. Op grond van de selectielijst wordt een curriculum vitae bewaard tot tien jaar na de datum van uitdiensttreding. Echter is een archivering in het algemeen belang voor de persoonsgegevens niet aangetoond waarmee ook de proportionaliteit van die termijn in de selectielijst niet is aangetoond. Zodoende kan niet gesteld worden dat aantoonbaar voldaan wordt aan het beginsel van opslagbeperking voor dit onderwerp. Er is, zoals blijkt uit gesprekken, de mogelijkheid om op individueel niveau af te wijken van de termijnen van de selectielijst. Echter vraagt dat een actief verzoek van de betrokkene en is dat niet in lijn met het beginsel opslagbeperking.

10 https://lokaleregelgeving.overheid.nl/CVDR656008/1 11 https://lokaleregelgeving.overheid.nl/CVDR665547/1

12 https://www.nationaalarchief.nl/sites/default/files/field-file/Selectielijst_20200214.pdf 13 Artikel 5, tweede lid, van de algemene verordening gegevensbescherming

14 Artikel 5, eerste lid, aanheft jo. Artikel 5, eerste lid, onder e, van de algemene verordening gegevensbescherming

Persoonsgegevens moeten: worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is; persoonsgegevens mogen voor langere periode worden opgeslagen voor zover de persoonsgegevens louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze verordening vereiste passende technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkenen te beschermen (“opslagbeperking”) Jaarverslag over 2021 Uitvoeringsdomein U.06 Bewaren van persoonsgegevens Versie 1.0

pagina 19 van 25

Advies Zorg dat, ingeval van een individuele afwijking, eenduidig is op welke wijze is afgeweken van de vernietigingstermijnen uit de selectielijst. Toekomstige toezichtactiviteit Activiteit 21

Controle van de gedocumenteerde gronden die een afwijking rechtvaardigen voor zover die gronden verband houden met persoonsgegevens of de verwerking daarvan.

Jaarverslag over 2021 Uitvoeringsdomein U.06 Bewaren van persoonsgegevens Versie 1.0

Methode Dossiercontrole

pagina 20 van 25

U.07.

Doorgifte persoonsgegevens

Criterium Bij doorgifte aan een andere verwerkingsverantwoordelijke zijn de onderlinge verantwoordelijkheden duidelijk en bij de doorgifte aan een verwerker zijn er afdoende garanties. Bij de doorgifte naar buiten de EU: Is er een vertegenwoordiger, en: Is geen sprake van uitzonderingsgronden, en: Geldt een door de Europese Commissie genomen adequaatheidsbesluit, of: Zijn er passende waarborgen, of: Geldt een afwijking voor een specifieke situatie. Doelstelling Het doel van de vereisten bij 'Doorgifte persoonsgegevens' is te waarborgen dat persoonsgegevens op een rechtmatige manier worden doorgegeven, op een juiste manier worden gebruikt en dat de verantwoordelijkheid voor deze rechtmatigheid en juistheid ingeregeld blijft. Risico Als een organisatie niet voldoet aan dit criterium is het niet duidelijk voor de organisatie wat exact wordt verwacht bij het doorgeven van persoonsgegevens waardoor de kans bestaat dat persoonsgegevens onrechtmatig worden doorgegeven en onrechtmatig verder worden verwerkt en gebrek is aan het nemen van verantwoordelijkheid en controle. Bevindingen In de brief van 8 mei 2019, verzonden door de VNG, is aangekondigd dat vanaf 1 januari 2020 alle gemeenten gebruik maken van de standaard verwerkersovereenkomst voor het vastleggen van afspraken met verwerkers.15 Ook binnen gemeente Nunspeet wordt deze standaard gehanteerd.

Dit betekent dat de inhoud van de verwerkersovereenkomst niet gewijzigd wordt. De wijze waarop nadere invulling gegeven wordt aan de afspraken met verwerkers dienen dan ook in de hoofdovereenkomst afgesproken te worden. Bij het aangaan van overeenkomsten wordt het opstellen en invullen van de verwerkersovereenkomst ervaren als “moetje”. Onderdeel van de verwerkersovereenkomst is het controleren van de gemaakte afspraken. Niet vastgesteld is dat die controle ook daadwerkelijk heeft plaatsgevonden. In het project portfolio overleg wordt gesproken over de aanschaf van applicaties die worden aangemeld bij het team informatie. In dat overleg wordt ook input gevraagd met betrekking tot gegevensbescherming.

15 https://vng.nl/sites/default/files/brieven/2019/08-20190508_ledenbrief_gemeentelijke-verwerkersovereenkomst-

verbindend-per-1-1-2020.pdf Jaarverslag over 2021 Uitvoeringsdomein U.07 Doorgifte persoonsgegevens Versie 1.0

pagina 21 van 25

Advies Zorg dat afspraken over de omgang met persoonsgegevens gemaakt worden voordat de hoofdovereenkomst wordt getekend. Op die manier wordt geborgd dat nadere afspraken die noodzakelijk voor een goede omgang met persoonsgegeven zijn, in de hoofdovereenkomst worden vastgelegd. Betrek de Privacy Officer daarom aan het begin van het proces. Zorg dat de afspraken die zijn overeengekomen in de verwerkersovereenkomst op naleving worden gecontroleerd en leg het resultaat van die controle vast. Zorg voor vastgelegd en formeel vastgesteld beleid met betrekking tot de geoorloofde landen waar ketenpartners en dienstverleners gevestigd mogen zijn. Toekomstige toezichtactiviteit Activiteit 22.1 23.1

24.1

Controle van de betrokkenheid van de Privacy Officer voorafgaand aan het tekenen van de hoofdovereenkomst. Controle op het uitvoeren van de controles op de naleving van de afspraken zoals zijn overeengekomen in de verwerkersovereenkomst. Controle van de vastgelegde en formeel vastgesteld beleid met betrekking tot de vestigingslocatie van ketenpartners.

Jaarverslag over 2021 Uitvoeringsdomein U.07 Doorgifte persoonsgegevens Versie 1.0

Methode Documentcontrole en interview Documentcontrole en interview Documentcontrole en interview

pagina 22 van 25

5.

Controle- / Beheerdomein C.01.

Intern toezicht

Criterium Door of namens de verwerkingsverantwoordelijke vindt evaluatie plaats van de gegevensverwerkingen en is de rechtmatigheid aangetoond. Doelstelling Het doel van 'Intern toezicht' is het garanderen van een rechtmatige, behoorlijke en transparantie verwerking van persoonsgegevens, het garanderen van naleving van de AVG en van andere wet- en regelgeving betreffende de gegevensbescherming, en het garanderen en aantoonbaar maken van naleving van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens. Risico Als de verwerking van persoonsgegevens niet voldoet aan de AVG, dan zijn de risico's tweeledig: de betrokkene loopt persoonlijke privacyrisico's en de verwerkingsverantwoordelijke wordt geconfronteerd met politiek-bestuurlijke en/of juridische maatregelen, verlies van vertrouwen en beschadiging van imago als gevolg van communicatieve of handhavende maatregelen van betrokkenen, derden en/of de toezichthoudende autoriteiten. Bevindingen Proceseigenaren hebben een integrale verantwoordelijkheid met betrekking tot de processen waarvoor zij verantwoordelijk zijn. Dat betekent dat er ook getoetst dient te worden dat de processen uitgevoerd worden conform de gemaakte afspraken. Van een dergelijke toetsing is geen verslaglegging beschikbaar over het kalenderjaar 2021.

Advies Zorg dat verwerkingen periodiek geëvalueerd en daar waar nodig verbeterd worden daar waar het de verwerking van persoonsgegevens betreft en de rechtmatigheid daarvan. Toekomstige toezichtactiviteit Activiteit 25.1

Steekproefsgewijze controle van het doorlopen van de PDCAcyclus voor de verwerking van persoonsgegevens en de rechtmatigheid van die verwerking.

Jaarverslag over 2021 Controle- / Beheerdomein C.01 Intern toezicht Versie 1.0

Methode Documentcontrole en interview

pagina 23 van 25

C.02.

Toegang gegevensverwerking voor betrokkenen

Criterium De verwerkingsverantwoordelijke biedt de betrokkene informatie over de verwerking van persoonsgegevens en doet dit tijdig en in een passende vorm, zodat de betrokkene zijn rechten kan uitoefenen , tenzij er een specifieke uitzonderingsgrond geldt. Doelstelling Het doel van 'Toegang gegevensverwerking voor betrokkene' is om zo nodig transparantie te bieden over de gegevensverwerking, zodat de betrokkene zijn rechten kan uitoefenen en zo de verantwoordelijke kan aanspreken bij onrechtmatigheid van een gegevensverwerking, opdat deze onrechtmatigheid beëindigd wordt. Risico De organisatie is niet transparant, waardoor het inzicht in de rechtmatigheid van organisaties ontbreekt, waardoor het vertrouwen in een organisatie verloren gaat. Bevindingen In het kalenderjaar 2021 zijn 3 rechtsverzoeken door gemeente Nunspeet behandeld. Daarnaast is voor twee verzoeken het bezwaar op besluit behandeld. Bij de behandeling van de verzoeken is er niet de mogelijkheid geweest om terug te vallen op een beschreven procedure. Advies Zorg voor een vastgelegde en formeel vastgestelde procedure met betrekking tot het behandelen van inzageverzoeken. Deze dient ook operationeel geïmplementeerd te worden. Toekomstige toezichtactiviteit Activiteit 26.1 26.2

Controle van de vastgelegde en formeel vastgestelde procedure met betrekking tot het behandelen van inzageverzoeken. Controle of het proces in lijn met de vastgelegde en formeel vastgestelde procedure met betrekking tot het behandelen van inzageverzoeken is uitgevoerd

Jaarverslag over 2021 Controle- / Beheerdomein C.02 Toegang gegevensverwerking voor betrokkenen Versie 1.0

Methode Documentcontrole en interview Documentcontrole en interview

pagina 24 van 25

C.03.

Meldplicht Datalekken

Criterium De verwerkingsverantwoordelijke meldt een datalek binnen de daaraan gestelde termijn aan de Autoriteit Persoonsgegevens, documenteert de inbreuk, en informeert de betrokkene, tenzij hiervoor een uitzondering geldt. Doelstelling Het doel van 'Meldplicht datalekken' is negatieve consequenties van een datalek te beperken en waar mogelijk te voorkomen. Risico Negatieve consequenties die de persoonlijke levenssfeer van de betrokkene treffen. Bevindingen Op het intranet is beschreven op welke wijze een datalek gemeld zou moeten worden. Het e-mailadres wat daar wordt gecommuniceerd is datalek@nunspeet.nl. Echter blijkt bij controle dat het e-mailadres niet actief is. Daarmee komt de informatie niet overeen met de werkelijkheid. Daardoor kan niet geconcludeerd worden dat gemeente Nunspeet inzicht heeft in alle datalekken. Uit de registratie van beveiligingsincidenten blijkt dat er drie datelekken zijn geregistreerd. Daarvan is in geen van de gevallen een melding gemaakt aan de Autoriteit Persoonsgegevens. In twee gevallen is wel een melding gemaakt aan de betrokkene. Advies Zorg voor een vastgelegde en formeel vastgestelde procedure met betrekking tot het melden en behandelen van datalekken met inachtneming van best practices en de richtsnoeren van de EDPB en de Autoriteit Persoonsgegevens. Zorg dat bij ieder datalek een navolgbaar dossier wordt vastgelegd.

Toekomstige toezichtactiviteit Activiteit 27.1

28.1

Controle van de vastgelegde en formeel vastgestelde procedure met betrekking tot het melden en behandelen van datalekken en de bekendheid daarvan binnen de gemeente. Periodieke controle van datalek dossiers.

Jaarverslag over 2021 Controle- / Beheerdomein C.03 Meldplicht Datalekken Versie 1.0

Methode Documentcontrole en interview Dossiercontrole

pagina 25 van 25