Ter kennisname Privacy jaarverslag 2022

2022

Jaarverslag over 2022 VOOR: HET COLLEGE VAN BURGEMEESTER EN WETHOUDERS VAN: TJERK VROON FUNCTIONARIS GEGEVENSBESCHERMING

Gemeente Nunspeet 5 juli 2023 Versie 1.0

Inhoudsopgave 1.

Management Samenvatting ............................................................................................................. 3

2.

Leeswijzer ........................................................................................................................................ 5

3.

Beleidsdomein ................................................................................................................................. 6

4.

Uitvoeringsdomein .......................................................................................................................... 9

5.

Controle- / Beheerdomein .............................................................................................................. 16

Jaarverslag over 2022 Versie 1.0

pagina 2 van 18

1.

Management Samenvatting Gemeente Nunspeet heeft in het jaar 2022 afscheid genomen van bestuurders en nieuwe bestuurders verwelkomd. Dit betrof niet alleen wethouders en gemeenteraadsleden maar ook de burgemeester. Gedurende het jaar is duidelijk geworden dat ook de gemeenteraad haar eigen verantwoordelijkheid heeft met betrekking tot het verwerken van persoonsgegevens. Gemeente Nunspeet heeft stappen gezet om een aantal verantwoordelijkheden onder te brengen bij de ambtelijke organisatie en daarmee de continuïteit van die verantwoordelijkheden te borgen. Binnen de ambtelijke organisatie groeit de bewustwording dat een juiste omgang met persoonsgegevens belangrijk is. Dit komt onder andere door het beschrijven van processen en het uitvoeren van risico analyses met betrekking tot het gebruik van persoonsgegevens. De teammanagers kunnen daarmee gewogen en onderbouwde keuzes maken over het gebruik van persoonsgegevens. In dit jaarverslag wordt inzicht gegeven in de bevindingen van de Functionaris Gegevensbescherming. De bevindingen zijn onder te verdelen in drie onderzoeksdomeinen, namelijk: het beleidsdomein, het uitvoeringsdomein en het controle- / beheerdomein. Op de volgende pagina is een schematische samenvatting weergegeven met de daarbij behorende score, afgezet tegen de score van het voorgaande jaar..

De gemeente is in beweging om steeds beter om te gaan met persoonsgegevens maar is nog niet klaar. Het analyseren van bestaande processen en het doorvoeren van verbeteringen wordt steeds belangrijker. Vooral omdat van gemeente Nunspeet wordt verwacht dat zij op transparante wijze kan aantonen wat zij met persoonsgegevens doet en welk belang van inwoners daarmee wordt ondersteund. Tjerk Vroon Functionaris Gegevensbescherming

Jaarverslag over 2022 Management Samenvatting Versie 1.0

pagina 3 van 18

Beleidsdomein B.01 Privacybeleid

B.02

Organieke inbedding

B.03

Risicomanagement, Privacy by Design en de DPIA

Volwassenheidsniveau: 1 De gemeente heeft privacybeleid en procedures ontwikkeld en vastgesteld waarin is vastgelegd op welke wijze persoonsgegevens worden verwerkt en invulling wordt gegeven aan de wettelijke beginselen. De verdeling van de taken en verantwoordelijkheden, de benodigde middelen en de rapportagelijnen zijn door de gemeente vastgelegd en vastgesteld De verwerkingsverantwoordelijke draagt zorg voor het beoordelen van de privacyrisico’s, het treffen van passende maatregelen en het kunnen aantonen van het passend zijn van deze maatregelen

2021

2022

Uitvoeringsdomein U.01

Doelbinding gegevensverwerking

U.02

Register van verwerkingsactiviteiten

U.03

Kwaliteitsmanagement

U.04

Beveiliging van de verwerking van persoonsgegevens

U.05

Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens

U.06

Bewaren van persoonsgegevens Doorgifte persoonsgegevens

U.07

De verwerkingsverantwoordelijke heeft van alle verzamelingen en verwerking van persoonsgegevens tijdig, welbepaald en uitdrukkelijk omschreven: De doeleinden, en; De rechtvaardigingsgronden voor: De verdere verwerking op grond van de verenigbaarheid met de oorspronkelijke gerechtvaardigde doeleinden De geautomatiseerde besluitvorming Bijzondere persoonsgegevens De persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten; Het nationaal identificerend nummer; De persoonsgegevens ten behoeve van wetenschappelijk of historisch onderzoek met een statistisch oogmerk en archivering in het algemeen belang De verwerkingsverantwoordelijke en de verwerker hebben hun gegevens over de gegevensverwerkingen in een register vastgelegd, daarbij biedt het register een actueel en samenhangend beeld van de gegevensverwerkingen, processen en technische systemen die betrokken zijn bij het verzamelen, verwerken en doorgeven van persoonsgegevens De verwerkingsverantwoordelijke heeft kwaliteitsmanagement ingericht ten behoeve van de bewaking van de juistheid en nauwkeurigheid van persoonsgegevens. De verwerking is zo ingericht dat de persoonsgegevens kunnen worden gecorrigeerd, gestaakt of overgedragen. Indien dit op verzoek van betrokkene gebeurd wordt deze over de status van de afhandeling geïnformeerd.

De verwerkingsverantwoordelijke en de verwerker treffende technische en organisatorische maatregelen om een verwerking van persoonsgegevens op een passend niveau te beveiligen De verwerkingsverantwoordelijke stelt bij elke verzameling van persoonsgegevens tijdig en op een vastgelegde en vastgestelde wijze informatie aan de betrokkene beschikbaar, zodat de betrokkene, tenzij een uitzondering geldt, toestemming kan geven voor de verwerking. Door het treffen van de nodige maatregelen hanteert de organisatie voor persoonsgegevens een bewaartermijn die niet wordt overschreden. Bij doorgifte aan een andere verwerkingsverantwoordelijke zijn de onderlinge verantwoordelijkheden duidelijk en bij de doorgifte aan een verwerker zijn er afdoende garanties Bij de doorgifte naar buiten de EU: Is er een vertegenwoordiger, en: Is geen sprake van uitzonderingsgronden En: -

Control- / Beheerdomein C.01 Intern toezicht C.02

Toegang gegevensverwerking voor burgers

C.03

Meldplicht datalekken

Jaarverslag over 2022 Management Samenvatting Versie 1.0

Geldt een door de Europese Commissie genomen adequaatheidsbesluit; of Zijn er passende waarborgen; of Geldt een afwijking voor een specifieke situatie

Door of namens de verwerkingsverantwoordelijke vindt evaluatie plaats van de gegevensverwerkingen en is de rechtmatigheid aangetoond De verwerkingsverantwoordelijke biedt de betrokkene informatie over de verwerking van persoonsgegevens en doet dit tijdig en in een passende vorm, zodat de betrokkene zijn rechten kan uitoefenen, tenzij er een specifieke uitzonderingsgrond geldt De verwerkingsverantwoordelijke meldt een datalek binnen de daaraan gestelde termijn aan de AP, documenteert de inbreuk, en informeert de betrokkene, tenzij hiervoor een uitzondering geldt.

pagina 4 van 18

2.

Leeswijzer In de navolgende hoofdstukken is per onderzoeksdomein ingegaan op de verschillende onderwerpen die getoetst zijn. Daarbij zijn het criterium, de doelstelling en het risico overgenomen uit het framework wat is gebruikt voor de toetsing. Dat is de Privacybaseline van het Centrum voor Informatiebeveiliging en Privacy. Binnen de Privacybaseline geldt dat er op verschillende volwassenheidsniveaus beschreven zijn met betrekking tot de omgang met persoonsgegevens, namelijk: “informeel”, “beheerst”, “vastgesteld”, “voorspelbaar” en “geoptimaliseerd”. Voor het opstellen van dit jaarverslag is getoetst aan het niveau “informeel”, wat gezien wordt als laagste niveau. Per te toetsen onderwerp zijn bevindingen genoteerd, waarna aanbevelingen zijn geformuleerd. Naar de toekomst toe is per aanbeveling opgenomen hoe die aanbeveling door de Functionaris Gegevensbescherming getoetst gaat worden.

Jaarverslag over 2022 Leeswijzer Versie 1.0

pagina 5 van 18

3.

Beleidsdomein B.01.

Privacybeleid

Criterium Gemeente Nunspeet heeft privacybeleid en procedures ontwikkeld en vastgesteld waarin is vastgelegd op welke wijze persoonsgegevens worden verwerkt en invulling wordt gegeven aan de wettelijke beginselen. Doelstelling Privacybeleid dient ervoor om op organisatie- en strategisch niveau duidelijkheid te geven over de inrichtingskeuzes van privacy en te waarborgen dat de verwerking van gegevens op een rechtmatige wijze plaatsvindt. Risico Het ontbreken van een privacybeleid leidt ertoe dat de organisatie geen duidelijkheid heeft wat precies wordt verwacht, waardoor de kans bestaat dat persoonsgegevens onrechtmatig worden verwerkt (waaronder verzamelen, bewerken, inzien et cetera). Bevinding(en) Op 22 december 2022 heeft de gemeenteraad de privacyverordening van gemeente Nunspeet vastgesteld1. Deze is ingegaan op 1 januari 2023. Het huidige privacybeleidskader is geldig tot en met 2024. 2 Advies Zorg dat tijdig middelen beschikbaar zijn om het huidige privacybeleidskader te evalueren en daar waar nodig op basis van de evaluatie aan te passen. Toekomstig toezichtactiviteit Geen toekomstige toezichtactiviteiten gepland.

1 https://lokaleregelgeving.overheid.nl/CVDR689971/1 2 https://lokaleregelgeving.overheid.nl/CVDR656132/1

Jaarverslag over 2022 Beleidsdomein B.01 Privacybeleid Versie 1.0

pagina 6 van 18

B.02.

Organieke Inbedding

Criterium De verdeling van de taken en verantwoordelijkheden, de benodigde middelen en de rapportagelijnen zijn door de organisatie vastgelegd en vastgesteld. Doelstelling Het doel van een heldere verdeling van taken en bevoegdheden, van middelen en rapportagelijnen is waarborgen dat op de juiste wijze invulling wordt gegeven aan de eisen van het privacybeleid en de AVG. Risico Door het ontbreken van een goede en inzichtelijke taakverdeling en de daarvoor benodigde middelen en rapportagelijnen is niet altijd duidelijk wie wat moet doen, waardoor de eisen van de AVG, de sectorspecifieke wetgeving en het privacybeleid niet effectief worden ingevuld. Bevindingen Met de vaststelling van de privacyverordening heeft het college van burgemeester en wethouders mandaten en bevoegdheden gekregen met betrekking tot de verwerking van persoonsgegevens namens de gemeenteraad. Na kennisneming door het college van burgemeester en wethouders is het privacy jaarverslag over 2021 op 8 december 2022 ter kennisname op de lijst ontvangen stukken voor de commissie algemeen bestuur geplaatst. Op 15 november 2022 is door de burgemeester, als bestuursorgaan, en het college van burgemeester en wethouders het Aanwijsbesluit Functionaris Gegevensbescherming van de gemeente Nunspeet vastgesteld3. Daarmee is effectief invulling gegeven aan het tweede advies uit het privacy jaarverslag over 20214.

Voor het thema privacy is geen apart budget vastgesteld. Dit betekent dat activiteiten uitgevoerd worden vanuit een ander budget. Advies Zorg voor eenduidige afspraken met betrekking tot een budget voor privacy activiteiten en wat daar onder valt en wat onder bestaande budgetten van proceseigenaren behoort te vallen. Zorg voor voldoende budget voor organisatie brede privacy activiteiten zoals het bewustwordingsprogramma. Toekomstige toezichtactiviteit Geen toekomstige toezichtactiviteiten gepland.

3 https://lokaleregelgeving.overheid.nl/CVDR690788/1 4 Advies uit privacy jaarverslag over 2021

Zorg dat de gemeente een vastgelegd en formeel vastgesteld aanwijsbesluit met betrekking tot de aanwijzing van de Functionaris Gegevensbescherming neemt. Deze dient van toepassing te zijn voor ieder bestuursorgaan wat als verwerkingsverantwoordelijke geldt. Jaarverslag over 2022 Beleidsdomein` B.02 Organieke Inbedding Versie 1.0

pagina 7 van 18

B.03.

Risicomanagement, Privacy by Design en de DPIA

Criterium De verwerkingsverantwoordelijke draagt zorg voor het beoordelen van de privacyrisico's, het treffen van passende maatregelen en het kunnen aantonen van het passend zijn van deze maatregelen. Doelstelling Beoordeling van de privacyrisico's (de kans en hun potentiële omvang/impact) is nodig om te bepalen hoe deze, door het treffen van maatregelen, teruggebracht kunnen worden tot binnen grenzen die de organisatie acceptabel acht. Risico Privacyrisico's worden niet of niet tijdig gesignaleerd, waardoor de verwerking van de persoonsgegevens niet aan de AVG voldoet en een grote(re) kans loopt op inbreuken op de beveiliging; dit kan leiden tot schade voor natuurlijke personen van wie de persoonsgegevens onrechtmatig worden verwerkt. Bevindingen Vanaf mei 2022 is binnen de gemeente ingezet op het duurzaam beschrijven en actueel houden van processen. Dat heeft geresulteerd in 50 processen die initieel beschreven zijn. Bij het beschrijven van die processen is in het vierde kwartaal ook een start gemaakt met het uitvoeren van pré DPIA’s, wat de eerste stap is in de procedure voor het inventariseren van privacy risico’s. Advies Zorg voor een overzicht van de uitgevoerde pré-DPIA’s en DPIA’s waarin is opgenomen welke vervolgstappen uitgevoerd dienen te worden.

Toekomstige toezichtactiviteit Activiteit Methode 4.1 Nagaan in de gekozen applicatie dat de uitgevoerde pré-DPIA’s zijn Documentcontrole uitgevoerd. en interview.

Jaarverslag over 2022 Beleidsdomein B.03 Risicomanagement, Privacy by Design en de DPIA Versie 1.0

pagina 8 van 18

4.

Uitvoeringsdomein U.01.

Doelbinding gegevensverwerking

Criterium De verwerkingsverantwoordelijke heeft van alle verzamelingen en verwerkingen van persoonsgegevens tijdig, welbepaald en uitdrukkelijk omschreven: De doeleinden, en: De rechtvaardigingsgronden voor: a. De verdere verwerking op grond van de verenigbaarheid met de oorspronkelijke gerechtvaardigde doeleinden; b. De geautomatiseerde besluitvorming; c. De bijzondere categorieën persoonsgegevens; d. De persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten; e. Het nationaal identificerend nummer; f. De persoonsgegevens ten behoeve van wetenschappelijk of historisch onderzoek met een statistisch oogmerk en archivering in het algemeen belang. Doelstelling Het doel van 'Doelbinding gegevensverwerking' is om te waarborgen dat persoonsgegevens alleen worden verzameld en (verder) verwerkt voor gerechtvaardigde doeleinden. Risico Het ongeoorloofd en onrechtmatig verzamelen en (verder) verwerken van persoonsgegevens. Bevindingen Vanaf het vierde kwartaal wordt bij het beschrijven van de processen aandacht besteed aan de doelen en de rechtvaardigingsgronden met betrekking tot de verwerking van persoonsgegevens. Advies Zorg dat het geaccordeerde resultaat van de pré-DPIA vastgelegd worden bij de procesbeschrijving.

Toekomstige toezichtactiviteit Activiteit Methode 5.1 Nagaan in de gekozen applicatie dat de uitgevoerde pré-DPIA’s Documentcontrole zijn uitgevoerd. en interview.

Jaarverslag over 2022 Uitvoeringsdomein U.01 Doelbinding gegevensverwerking Versie 1.0

pagina 9 van 18

U.02.

Register van verwerkingsactiviteiten

Criterium De verwerkingsverantwoordelijke en de verwerker hebben hun gegevens over de gegevensverwerkingen in een register vastgelegd, daarbij biedt het register een actueel en samenhangend beeld van de gegevensverwerkingen, processen en technische systemen die betrokken zijn bij het verzamelen, verwerken en doorgeven van persoonsgegevens. Doelstelling Het doel van een 'Register van verwerkingsactiviteiten' is inzicht te verstrekken in de verwerkingen en de gegevensstromen binnen de organisatie en bij de partijen die namens de organisatie zorgen voor de verwerking van persoonsgegevens. Risico Het niet hebben van een overzicht van verwerkingen leidt tot een incompleet beeld van de verwerkte categorieën persoonsgegevens en getroffen maatregelen voor de relevante verwerkingen, processen en technische systemen. Bevindingen In gesprekken met de teamleiders is naar voren gekomen dat zij bevraagd worden over het actueel houden van het register van verwerkingsactiviteiten. In die gesprekken is gebleken dat voor het actueel houden van het register van verwerkingsactiviteiten ontbreekt aan concrete handvatten. Dit sluit aan bij de bevindingen en reeds gegeven adviezen uit het privacy jaarverslag over 2021.

Advies Zorg dat de bevraging over het actueel houden van het register van verwerkingsactiviteiten aan processpecialisten plaatsvindt waarbij de teammanager als proceseigenaar regie houdt op de voortgang. Concreet houdt dat in dat de processpecialist acties formuleert om te verbeteren waarbij teammanager de voortgang daarvan bewaakt. Toekomstige toezichtactiviteit Activiteit 6.1 Inrichtingen van het hulpmiddel ten behoeve van de bevraging rondom het voldoen aan de kaders van de AVG.

Jaarverslag over 2022 Uitvoeringsdomein U.02 Register van verwerkingsactiviteiten Versie 1.0

Methode Inrichting van het hulpmiddel

pagina 10 van 18

U.03.

Kwaliteitsmanagement

Criterium De verwerkingsverantwoordelijke heeft kwaliteitsmanagement ingericht ten behoeve van de bewaking van de juistheid en nauwkeurigheid van persoonsgegevens. De verwerking is zo ingericht dat de persoonsgegevens kunnen worden gecorrigeerd, gestaakt of overgedragen. Indien dit gebeurt op verzoek van betrokkene dan wordt deze over de status van de afhandeling geïnformeerd. Doelstelling 'Kwaliteitsmanagement' moet ervoor zorgen dat een gegevensverwerking correct en in overeenstemming met de wens van betrokkenen is. Risico Wanneer de gegevens onjuist of onnauwkeurig zijn ingevoerd of gecorrumpeerd raken, worden verkeerde conclusies over de betrokkene getrokken met negatieve consequenties of naar het oordeel van betrokkene ongewenste verwerking van zijn of haar persoonsgegevens tot gevolg. Bevindingen In processen wordt binnen de procesbevoegdheid gegevens uitgevraagd. Een klacht over de proportionaliteit van de gevraagde persoonsgegevens heeft geleid tot een informeel advies aan de betreffende afdeling om kritisch de noodzaak en evenredigheid van de gevraagde persoonsgegevens te beoordelen. Een bevoegdheid tot het verwerken van (bijzondere) persoonsgegevens ontslaat de gemeente niet van het kritisch beoordelen van de noodzaak en evenredigheid in relatie tot het doel waarvoor de (bijzondere) persoonsgegevens verwerkt worden.

Advies Blijf continu beoordelen of de verwerking van de (bijzondere) persoonsgegevens noodzakelijk is. Indien dat niet zo is, wijzig dan het proces. Toekomstige toezichtactiviteit Activiteit 7.1 Steekproefsgewijze controle of een beoordeling voor het gebruik van (bijzondere) persoonsgegevens heeft plaatsgevonden.

Jaarverslag over 2022 Uitvoeringsdomein U.03 Kwaliteitsmanagement Versie 1.0

Methode Documentcontrole en interview.

pagina 11 van 18

U.04.

Beveiliging van de verwerking van persoonsgegevens

Criterium De verwerkingsverantwoordelijke en de verwerker treffen technische en organisatorische maatregelen voor de verwerking van persoonsgegevens op een passend beveiligingsniveau. Doelstelling Het doel van 'beveiligen van de verwerking van persoonsgegevens' is persoonsgegevens te beschermen tegen verlies, onbeschikbaarheid, corruptie en enige vorm van onrechtmatige of onnodige verzameling en (verdere) verwerking. Risico Het ongewenst openbaar worden, manipulatie, misbruik en niet beschikbaar zijn van gegevens. Bevindingen Geen aanvullende bevindingen ten opzichte van het jaarverslag over 2021.

Jaarverslag over 2022 Uitvoeringsdomein U.04 Beveiliging van de verwerking van persoonsgegevens Versie 1.0

pagina 12 van 18

U.05.

Informatieverstrekking aan de betrokkene bij verzameling persoonsgegevens

Criterium De verwerkingsverantwoordelijke stelt bij elke verzameling van persoonsgegevens tijdig en op een vastgelegde en vastgestelde wijze informatie aan de betrokkene beschikbaar, zodat de betrokkene, tenzij een uitzondering geldt, toestemming kan geven voor de verwerking. Doelstelling Het doel van 'Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens' is om transparantie aan betrokkene te garanderen over de gegevensverzameling en de verwerking, zodat de betrokkene zijn rechten kan uitoefenen overeenkomstig de beginselen van behoorlijke en transparante verwerking. Risico De organisatie is niet transparant, waardoor de organisatie niet kan verantwoorden dat de gegevensverwerking voldoet aan de beginselen van behoorlijke en transparante verwerking, met mogelijk hoge kosten tot gevolg. Bevindingen Een klacht over het verwerken van specifieke persoonsgegevens heeft geleid tot uitgebreide inhoudelijke correspondentie met een inwoner van de gemeente. Ten tijde van de behandeling van de klacht was de feitelijke verwerking reeds beëindigd. Voorafgaand aan de verwerking was niet voldaan aan de transparantievereisten uit de materiewetgeving. Advies Zorg dat voldoende (juridische) kennis van materiewetgeving aanwezig is zodat de vereisten genoemd in die materiewetgeving bekend zijn.

Transparantie is niet alleen belangrijk met betrekking tot de verwerking van persoonsgegevens. Daarnaast kunnen aanvullende eisen gesteld worden aan de transparantie in materiewetgeving. Toekomstige toezichtactiviteit Geen toekomstige toezichtactiviteiten gepland.

Jaarverslag over 2022 Uitvoeringsdomein U.05 Informatieverstrekking aan de betrokkene bij verzameling persoonsgegevens Versie 1.0

pagina 13 van 18

U.06.

Bewaren van persoonsgegevens

Criterium Door het treffen van de nodige maatregelen hanteert de organisatie voor persoonsgegevens een bewaartermijn die niet wordt overschreden. Doelstelling Het doel van 'Bewaren persoonsgegevens' is te borgen dat persoonsgegevens niet langer worden bewaard dan noodzakelijk is voor het te bereiken doel. Risico Onnodig bewaarde persoonsgegevens kunnen worden verwerkt voor andere dan de oorspronkelijke doelen. Bevindingen In het informele regionale overleg tussen de privacy functionarissen is de samenwerking gezocht met de archivaris en de archiefinspecteur. Een doel in die samenwerking is de enkelvoudige controle met betrekking tot de vernietiging van persoonsgegevens. Advies Geen aanvullend advies ten opzichte van het jaarverslag over 2021

Jaarverslag over 2022 Uitvoeringsdomein U.06 Bewaren van persoonsgegevens Versie 1.0

pagina 14 van 18

U.07.

Doorgifte persoonsgegevens

Criterium Bij doorgifte aan een andere verwerkingsverantwoordelijke zijn de onderlinge verantwoordelijkheden duidelijk en bij de doorgifte aan een verwerker zijn er afdoende garanties. Bij de doorgifte naar buiten de EU: Is er een vertegenwoordiger, en: Is geen sprake van uitzonderingsgronden, en: Geldt een door de Europese Commissie genomen adequaatheidsbesluit, of: Zijn er passende waarborgen, of: Geldt een afwijking voor een specifieke situatie. Doelstelling Het doel van de vereisten bij 'Doorgifte persoonsgegevens' is te waarborgen dat persoonsgegevens op een rechtmatige manier worden doorgegeven, op een juiste manier worden gebruikt en dat de verantwoordelijkheid voor deze rechtmatigheid en juistheid ingeregeld blijft. Risico Als een organisatie niet voldoet aan dit criterium is het niet duidelijk voor de organisatie wat exact wordt verwacht bij het doorgeven van persoonsgegevens waardoor de kans bestaat dat persoonsgegevens onrechtmatig worden doorgegeven en onrechtmatig verder worden verwerkt en gebrek is aan het nemen van verantwoordelijkheid en controle. Bevindingen In het nu geldende informatiebeleidsplan is in paragraaf 2.4 de strategie met betrekking tot het gebruik van clouddiensten beschreven. In die beschrijving is geen onderscheid gemaakt tussen het gebruik van cloud binnen de Europese Economische Ruimte en die daarbuiten.

De uitspraak van het Europees Hof5 heeft er voor gezorgd dat het gebruik van clouddiensten van Amerikaanse aanbieders niet zonder meer toegestaan zijn. Advies Leg in het volgende informatiebeleidsplan vast wat het beleid is met betrekking tot de locatie van clouddiensten waarvan gemeente Nunspeet zich wenst te bedienen. Dat standpunt kan geformuleerd zijn als primaire voorkeur, subsidiaire voorkeur, meer subsidiaire voorkeur, etc. Daarbij is het van belang op te nemen welke extra beveiligingsmaatregelen noodzakelijk zijn bij de opslag van specifieke gegevens. Ook is van belang bij de inkoop van applicaties en diensten rekening te houden met het geformuleerde beleid. Toekomstige toezichtactiviteit Activiteit 9.1 Controle hoe dit thema binnen het informatiebeleidsplan gestalte heeft gekregen en hoe dat tot stand is gekomen.

Methode Documentcontrole en interview.

5 https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:62018CJ0311&from=en

Jaarverslag over 2022 Uitvoeringsdomein U.07 Doorgifte persoonsgegevens Versie 1.0

pagina 15 van 18

5.

Controle- / Beheerdomein C.01.

Intern toezicht

Criterium Door of namens de verwerkingsverantwoordelijke vindt evaluatie plaats van de gegevensverwerkingen en is de rechtmatigheid aangetoond. Doelstelling Het doel van 'Intern toezicht' is het garanderen van een rechtmatige, behoorlijke en transparantie verwerking van persoonsgegevens, het garanderen van naleving van de AVG en van andere wet- en regelgeving betreffende de gegevensbescherming, en het garanderen en aantoonbaar maken van naleving van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens. Risico Als de verwerking van persoonsgegevens niet voldoet aan de AVG, dan zijn de risico's tweeledig: de betrokkene loopt persoonlijke privacyrisico's en de verwerkingsverantwoordelijke wordt geconfronteerd met politiek-bestuurlijke en/of juridische maatregelen, verlies van vertrouwen en beschadiging van imago als gevolg van communicatieve of handhavende maatregelen van betrokkenen, derden en/of de toezichthoudende autoriteiten. Bevindingen Geen aanvullende bevindingen ten opzichte van het jaarverslag over 2021.

Jaarverslag over 2022 Controle- / Beheerdomein C.01 Intern toezicht Versie 1.0

pagina 16 van 18

C.02.

Toegang gegevensverwerking voor betrokkenen

Criterium De verwerkingsverantwoordelijke biedt de betrokkene informatie over de verwerking van persoonsgegevens en doet dit tijdig en in een passende vorm, zodat de betrokkene zijn rechten kan uitoefenen , tenzij er een specifieke uitzonderingsgrond geldt. Doelstelling Het doel van 'Toegang gegevensverwerking voor betrokkene' is om zo nodig transparantie te bieden over de gegevensverwerking, zodat de betrokkene zijn rechten kan uitoefenen en zo de verantwoordelijke kan aanspreken bij onrechtmatigheid van een gegevensverwerking, opdat deze onrechtmatigheid beëindigd wordt. Risico De organisatie is niet transparant, waardoor het inzicht in de rechtmatigheid van organisaties ontbreekt, waardoor het vertrouwen in een organisatie verloren gaat. Bevindingen Inwoners van de gemeente hebben de mogelijkheid geheimhouding op de gegevens uit de Basisregistratie personen te verzoeken. In reactie op een verzoek van een inwoner is dit ook aan diegene uitgelegd. In het gesprek voorafgaand aan de schriftelijke beantwoording is gebleken dat er behoefte was aan inzicht in de processen waarin de persoonsgegevens van de betrokkene zijn verwerkt. De beantwoording van die behoefte heeft tijdig (binnen de wettelijke termijn) plaatsgevonden. Advies Geen aanvullend advies ten opzichte van het jaarverslag over 2021

Jaarverslag over 2022 Controle- / Beheerdomein C.02 Toegang gegevensverwerking voor betrokkenen Versie 1.0

pagina 17 van 18

C.03.

Meldplicht Datalekken

Criterium De verwerkingsverantwoordelijke meldt een datalek binnen de daaraan gestelde termijn aan de Autoriteit Persoonsgegevens, documenteert de inbreuk, en informeert de betrokkene, tenzij hiervoor een uitzondering geldt. Doelstelling Het doel van 'Meldplicht datalekken' is negatieve consequenties van een datalek te beperken en waar mogelijk te voorkomen. Risico Negatieve consequenties die de persoonlijke levenssfeer van de betrokkene treffen. Bevindingen Op 21 september 2022 is door het college van burgemeester en wethouders het Protocol inzake privacy incidenten gemeente Nunspeet 2022 vastgesteld. 6 Het organisatie breed vastgelegd en formeel vastgelegde protocol draagt bij aan een uniforme afhandeling van datalekken. Het proces daarvoor is opgenomen in de processencatalogus van de gemeente. Advies Geen aanvullend advies ten opzichte van het jaarverslag over 2021.

6 Document 22424 in zaak 20848

https://www.nunspeet.nl/fileadmin/Nunspeet_documenten/Producten/Stukken_college_en_raad/College/Besluitenlijsten_B _W_2022/Collegebesluitenlijst_27-9-2022.pdf (punt 6 van de besluitenlijst). Jaarverslag over 2022 Controle- / Beheerdomein C.03 Meldplicht Datalekken Versie 1.0

pagina 18 van 18