Tkn Jaarverslag Privacy over 2024
Tekst van het document
2024
Jaarverslag over 2024 VOOR: HET COLLEGE VAN BURGEMEESTER EN WETHOUDERS VAN: TJERK VROON FUNCTIONARIS GEGEVENSBESCHERMING
(VERTROUWELIJK) Gemeente Nunspeet 27 augustus 2025 Versie 1.0
Inhoudsopgave 1.
Management Samenvatting .............................................................................................................3
2.
Leeswijzer ........................................................................................................................................5
3.
Beleidsdomein ..................................................................................................................................6
4.
Uitvoeringsdomein ...........................................................................................................................9
5.
Controle- / Beheerdomein ...............................................................................................................16
Jaarverslag over 2024 Versie 1.0
pagina 2 van 18
1.
Management Samenvatting De afgelopen periode stond in het teken van evaluatie en heroriëntatie. In een tijd waarin wet- en regelgeving, technologische ontwikkelingen en maatschappelijke verwachtingen rondom privacy en gegevensbescherming voortdurend in beweging zijn, is het essentieel om regelmatig stil te staan bij de effectiviteit van de huidige werkwijze. Deze periode van reflectie heeft geleid tot een herziening van de aanpak. Er is bewust gekozen voor een bredere benadering, waarbij niet alleen is gekeken naar individuele casuïstiek of incidenten, maar juist naar structurele verbeteringen in processen, bewustwording en samenwerking binnen de organisatie. De focus is verschoven van reactief naar proactief: van het oplossen van problemen naar het voorkomen ervan. Hoewel er geen grote zichtbare veranderingen zijn geweest, hebben de ontwikkelingen zich in de breedte voltrokken. Denk hierbij aan het versterken van de interne samenwerking en het verbeteren van de informatievoorziening. Deze verbreding van het perspectief draagt bij aan een stevigere verankering van privacy in de organisatiecultuur. Daarmee is een belangrijke basis gelegd voor verdere professionalisering van gegevensbescherming in de komende jaren. Tjerk Vroon Functionaris Gegevensbescherming
Jaarverslag over 2024 Management Samenvatting Versie 1.0
pagina 3 van 18
Beleidsdomein B.01 Privacybeleid
Volwassenheidsniveau De gemeente heeft privacybeleid en procedures ontwikkeld en vastgesteld 2023 waarin is vastgelegd op welke wijze persoonsgegevens worden verwerkt en 2024 invulling wordt gegeven aan de wettelijke beginselen.
B.02
De verdeling van de taken en verantwoordelijkheden, de benodigde middelen en de rapportagelijnen zijn door de gemeente vastgelegd en vastgesteld
2023
De verwerkingsverantwoordelijke draagt zorg voor het beoordelen van de privacyrisico’s, het treffen van passende maatregelen en het kunnen aantonen van het passend zijn van deze maatregelen
2023
De verwerkingsverantwoordelijke heeft van alle verzamelingen en verwerking van persoonsgegevens tijdig, welbepaald en uitdrukkelijk omschreven: De doeleinden, en; De rechtvaardigingsgronden voor: De verdere verwerking op grond van de verenigbaarheid met de oorspronkelijke gerechtvaardigde doeleinden De geautomatiseerde besluitvorming Bijzondere persoonsgegevens De persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten; Het nationaal identificerend nummer; De persoonsgegevens ten behoeve van wetenschappelijk of historisch onderzoek met een statistisch oogmerk en archivering in het algemeen belang De verwerkingsverantwoordelijke en de verwerker hebben hun gegevens over de gegevensverwerkingen in een register vastgelegd, daarbij biedt het register een actueel en samenhangend beeld van de gegevensverwerkingen, processen en technische systemen die betrokken zijn bij het verzamelen, verwerken en doorgeven van persoonsgegevens De verwerkingsverantwoordelijke heeft kwaliteitsmanagement ingericht ten behoeve van de bewaking van de juistheid en nauwkeurigheid van persoonsgegevens. De verwerking is zo ingericht dat de persoonsgegevens kunnen worden gecorrigeerd, gestaakt of overgedragen. Indien dit op verzoek van betrokkene gebeurd wordt deze over de status van de afhandeling geïnformeerd.
De verwerkingsverantwoordelijke en de verwerker treffende technische en organisatorische maatregelen om een verwerking van persoonsgegevens op een passend niveau te beveiligen
2023
Informatieverstrekking aan de betrokkene bij verzameling persoonsgegevens Bewaren van persoonsgegevens
De verwerkingsverantwoordelijke stelt bij elke verzameling van persoonsgegevens tijdig en op een vastgelegde en vastgestelde wijze informatie aan de betrokkene beschikbaar, zodat de betrokkene, tenzij een uitzondering geldt, toestemming kan geven voor de verwerking. Door het treffen van de nodige maatregelen hanteert de organisatie voor persoonsgegevens een bewaartermijn die niet wordt overschreden.
2023
Doorgifte persoonsgegevens
Bij doorgifte aan een andere verwerkingsverantwoordelijke zijn de onderlinge verantwoordelijkheden duidelijk en bij de doorgifte aan een verwerker zijn er afdoende garanties Bij de doorgifte naar buiten de EU: Is er een vertegenwoordiger, en: Is geen sprake van uitzonderingsgronden En: Geldt een door de Europese Commissie genomen adequaatheidsbesluit; of Zijn er passende waarborgen; of Geldt een afwijking voor een specifieke situatie
B.03
Organieke Inbedding
Risicomanagement, Privacy by Design en de DPIA
Uitvoeringsdomein U.01 Doelbinding gegevensverwerking
U.02
U.03
U.04
U.05
U.06 U.07
Register van verwerkingsactiviteiten
Kwaliteitsmanagement
Beveiliging van de verwerking van persoonsgegevens
Control- / Beheerdomein C.01 Intern toezicht
C.02
C.03
Toegang gegevensverwerking voor betrokkenen
Meldplicht Datalekken
Jaarverslag over 2024 Management Samenvatting Versie 1.0
1
2
3
2024
2024
2024
2023 2024
2023 2024
2023 2024
2024 2023 2024 2023
2024
Door of namens de verwerkingsverantwoordelijke vindt evaluatie plaats van de gegevensverwerkingen en is de rechtmatigheid aangetoond
2023
De verwerkingsverantwoordelijke biedt de betrokkene informatie over de verwerking van persoonsgegevens en doet dit tijdig en in een passende vorm, zodat de betrokkene zijn rechten kan uitoefenen, tenzij er een specifieke uitzonderingsgrond geldt De verwerkingsverantwoordelijke meldt een datalek binnen de daaraan gestelde termijn aan de AP, documenteert de inbreuk, en informeert de betrokkene, tenzij hiervoor een uitzondering geldt.
2023
2024
2024 2023 2024
pagina 4 van 18
2.
Leeswijzer In de navolgende hoofdstukken is per onderzoeksdomein ingegaan op de verschillende onderwerpen die getoetst zijn. Daarbij zijn het criterium, de doelstelling en het risico overgenomen uit het framework wat is gebruikt voor de toetsing. Dat is de Privacybaseline van het Centrum voor Informatiebeveiliging en Privacy. Binnen de Privacybaseline geldt dat er op verschillende volwassenheidsniveaus beschreven zijn met betrekking tot de omgang met persoonsgegevens, namelijk: “informeel”, “beheerst”, “vastgesteld”, “voorspelbaar” en “geoptimaliseerd”. Voor het opstellen van dit jaarverslag is getoetst aan het niveau “informeel”, wat gezien wordt als laagste niveau. Het niveau “vastgesteld” kan zich basaal meten met de eisen uit de AVG. Per te toetsen onderwerp zijn bevindingen genoteerd, waarna aanbevelingen zijn geformuleerd. De verschillende smileys hebben de volgende betekenis: Voldoende Verdient aandacht Onvoldoende In de hierna volgende hoofdstukken is bij ieder criterium de beoordeling getoond zoals deze ook in de management samenvatting is getoond.
Jaarverslag over 2024 Leeswijzer Versie 1.0
pagina 5 van 18
3.
Beleidsdomein B.01.
Privacybeleid
Criterium Gemeente Nunspeet heeft privacybeleid en procedures ontwikkeld en vastgesteld waarin is vastgelegd op welke wijze persoonsgegevens worden verwerkt en invulling wordt gegeven aan de wettelijke beginselen. Doelstelling Privacybeleid dient ervoor om op organisatie- en strategisch niveau duidelijkheid te geven over de inrichtingskeuzes van privacy en te waarborgen dat de verwerking van gegevens op een rechtmatige wijze plaatsvindt. Risico Het ontbreken van een privacybeleid leidt ertoe dat de organisatie geen duidelijkheid heeft wat precies wordt verwacht, waardoor de kans bestaat dat persoonsgegevens onrechtmatig worden verwerkt (waaronder verzamelen, bewerken, inzien et cetera). Bevinding(en) Op 23 december 2024 heeft het college van burgemeester en wethouders het nu geldende privacybeleid vastgesteld. Deze is vanaf 17 januari 2025 van kracht.1 In de AVG en de Wpg zijn een aantal verplichte processen benoemd. Gemeente Nunspeet zal die processen zelf moeten implementeren. Dat betekent dat zij zelf bepaalt hoe die processen uitgevoerd moeten worden en wie voor de uitvoering verantwoordelijk is. Voor het proces rondom het behandelen van datalekken is een protocol beschreven. Voor de andere processen zijn de afspraken nog niet vastgelegd. In het plan van aanpak voor 2025 en verder, is het vastleggen van de afspraken een onderwerp. Advies 1
Zorg dat de protocollen (die nog ontbreken) opgesteld worden. Neem het opstellen van deze protocollen op in de planning en verbindt daar een datum aan waarop die protocollen gereed moeten zijn.
1 https://lokaleregelgeving.overheid.nl/CVDR734254
Jaarverslag over 2024 Beleidsdomein B.01 Privacybeleid Versie 1.0
pagina 6 van 18
B.02.
Organieke Inbedding
Criterium De verdeling van de taken en verantwoordelijkheden, de benodigde middelen en de rapportagelijnen zijn door de organisatie vastgelegd en vastgesteld. Doelstelling Het doel van een heldere verdeling van taken en bevoegdheden, van middelen en rapportagelijnen is waarborgen dat op de juiste wijze invulling wordt gegeven aan de eisen van het privacybeleid en de AVG. Risico Door het ontbreken van een goede en inzichtelijke taakverdeling en de daarvoor benodigde middelen en rapportagelijnen is niet altijd duidelijk wie wat moet doen, waardoor de eisen van de AVG, de sectorspecifieke wetgeving en het privacybeleid niet effectief worden ingevuld. Bevindingen Met de vaststelling van het privacybeleid, heeft het college van burgemeester en wethouders invulling gegeven aan de opdracht van de gemeenteraad, zoals geformuleerd in artikel 2, uitgezonderd het vijfde lid, van de Privacyverordening van gemeente Nunspeet.2 Dat betreft met name over de wijze waarop gerapporteerd wordt door het management en directie richting het college over het onderwerp gegevensbescherming. De functionaris gegevensbescherming is door het college van burgemeester en wethouders aangewezen. Deze aanwijzing geldt ook voor de gemeenteraad. Daarnaast heeft ook de burgemeester de functionaris gegevensbescherming aangewezen.
Met het vertrek van de functionaris gegevensbescherming, zijn de verschillende aanwijzingen met ingang van 1 september 2025 ingetrokken. Voor de verwerking van politiegegevens zijn verschillende buitengewoon opsporingsambtenaren aangewezen. Daarnaast zijn er binnen de organisatie medewerkers die inzage hebben in politiegegevens. Om politiegegevens te mogen verwerken, is het noodzakelijk om een ‘verklaring omtrent gedrag politiegegevens’ te hebben. 3 Het staat niet vast dat voor alle medewerkers die met politiegegevens werken de juiste verklaring in het personeelsdossier is opgenomen. Bij de evaluatie van de aanwijzing toezichthouders (Boa’s) is gebleken dat er nog aanvullende stappen gezet moeten worden om te zorgen dat de juiste aanwijsbesluiten gepubliceerd worden. Dit is reeds in gang gezet en naar verwachting voor het eind van 2025 gerealiseerd. Advies 2 3
Leg afspraken over de frequentie van rapporteren en wat er gerapporteerd moet worden vast. Daarnaast is het van belang de rapportagelijnen formeel te bekrachtigen. Zorg dat, voor het einde van 2025, voor de relevantie functies de juiste verklaring omtrent gedrag aangevraagd wordt.
2 https://lokaleregelgeving.overheid.nl/CVDR689971/1 3 https://wetten.overheid.nl/BWBR0046821/2025-01-01
Jaarverslag over 2024 Beleidsdomein` B.02 Organieke Inbedding Versie 1.0
pagina 7 van 18
B.03.
Risicomanagement, Privacy by Design en de DPIA
Criterium De verwerkingsverantwoordelijke draagt zorg voor het beoordelen van de privacyrisico's, het treffen van passende maatregelen en het kunnen aantonen van het passend zijn van deze maatregelen. Doelstelling Beoordeling van de privacyrisico's (de kans en hun potentiële omvang/impact) is nodig om te bepalen hoe deze, door het treffen van maatregelen, teruggebracht kunnen worden tot binnen grenzen die de organisatie acceptabel acht. Risico Privacyrisico's worden niet of niet tijdig gesignaleerd, waardoor de verwerking van de persoonsgegevens niet aan de AVG voldoet en een grote(re) kans loopt op inbreuken op de beveiliging; dit kan leiden tot schade voor natuurlijke personen van wie de persoonsgegevens onrechtmatig worden verwerkt. Bevindingen In het privacybeleid is niet vastgelegd op welke wijze het college van burgemeester en wethouders wenst om te gaan met privacyrisico’s. De informatiebeveiligingsdienst heeft eind mei 2025 het de ‘Handreiking risicomanagement voor gemeenten’ gepubliceerd.4 Daarin zijn aanbevelingen opgenomen hoe risicomanagement binnen de gemeente geïmplementeerd kan worden. Er zijn middelen aangevraagd voor 2026 voor de vastlegging van risico’s voor informatiebeveiliging en privacy. Daarnaast zijn er voor 2025 middelen toegekend voor het laten uitvoeren van DPIA’s.
Naar aanleiding daarvan is gestart met het laten uitvoeren van een DPIA door een externe partij. Voor de processen die uitgevoerd worden onder de Wet politiegegevens zijn pré DPIA formulieren ingevuld. Na een steekproef blijkt dat voor de gecontroleerde processen overal gegevens afkomstig van de RDW gebruikt zouden worden. Echter is er twijfel over de juistheid daarvan. Tevens is bij alle gecontroleerde processen bureau Halt als ontvanger genoteerd. Ook daar is twijfel over de juistheid van de ingevulde gegevens omdat een doorverwijzing enkel van toepassing is voor een beperkt aantal feiten. Advies 4 5
Zorg dat er beleid wordt opgesteld met betrekking tot de taken en verantwoordelijkheden met betrekking tot risicomanagement. Zorg dat de beschrijving van de processen die onder de Wpg uitgevoerd worden in overeenstemming zijn met de registratiemogelijkheden in de systemen die daarvoor gebruikt worden. Die systemen dwingen specifieke gegevens in te vullen op basis van feitcoderingen.
4 https://www.informatiebeveiligingsdienst.nl/product/bio-handreiking-risicomanagement-voor-gemeenten/
Jaarverslag over 2024 Beleidsdomein B.03 Risicomanagement, Privacy by Design en de DPIA Versie 1.0
pagina 8 van 18
4.
Uitvoeringsdomein U.01.
Doelbinding gegevensverwerking
Criterium De verwerkingsverantwoordelijke heeft van alle verzamelingen en verwerkingen van persoonsgegevens tijdig, welbepaald en uitdrukkelijk omschreven: De doeleinden, en: De rechtvaardigingsgronden voor: a. De verdere verwerking op grond van de verenigbaarheid met de oorspronkelijke gerechtvaardigde doeleinden; b. De geautomatiseerde besluitvorming; c. De bijzondere categorieën persoonsgegevens; d. De persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten; e. Het nationaal identificerend nummer; f. De persoonsgegevens ten behoeve van wetenschappelijk of historisch onderzoek met een statistisch oogmerk en archivering in het algemeen belang. Doelstelling Het doel van 'Doelbinding gegevensverwerking' is om te waarborgen dat persoonsgegevens alleen worden verzameld en (verder) verwerkt voor gerechtvaardigde doeleinden. Risico Het ongeoorloofd en onrechtmatig verzamelen en (verder) verwerken van persoonsgegevens. Bevindingen Er is voor zowel de verwerkingen op grond van de AVG als de verwerkingen op grond van de Wpg een register opgesteld. In de registers is per geregistreerde verwerking de mogelijkheid om het doel vast te leggen. De verantwoordelijkheid voor het vastleggen van het verwerkingsdoel ligt bij de teammanagers in hun rol als proceseigenaar. Het actualiseren van het verwerkingsdoel kan nog sterk verbeteren.
Met de aanschaf van een ondersteunende applicatie wordt hier praktisch invulling aan gegeven. Dit onderwerp behoeft nu en in de toekomst continu aandacht. De informatie wat op grond van de Wpg is opgesteld, bevat informatie die niet overeenkomt met de informatie die is opgenomen in de pre DPIA’s. Daarnaast ontbreekt er informatie in het register. Advies 6
Zorg dat het register van gegevensverwerkingen voor de Wpg opnieuw wordt gecontroleerd zodra de pré DPIA’s zijn gecorrigeerd of aangevuld.
Jaarverslag over 2024 Uitvoeringsdomein U.01 Doelbinding gegevensverwerking Versie 1.0
pagina 9 van 18
U.02.
Register van verwerkingsactiviteiten
Criterium De verwerkingsverantwoordelijke en de verwerker hebben hun gegevens over de gegevensverwerkingen in een register vastgelegd, daarbij biedt het register een actueel en samenhangend beeld van de gegevensverwerkingen, processen en technische systemen die betrokken zijn bij het verzamelen, verwerken en doorgeven van persoonsgegevens. Doelstelling Het doel van een 'Register van verwerkingsactiviteiten' is inzicht te verstrekken in de verwerkingen en de gegevensstromen binnen de organisatie en bij de partijen die namens de organisatie zorgen voor de verwerking van persoonsgegevens. Risico Het niet hebben van een overzicht van verwerkingen leidt tot een incompleet beeld van de verwerkte categorieën persoonsgegevens en getroffen maatregelen voor de relevante verwerkingen, processen en technische systemen. Bevindingen Er is voor zowel de verwerkingen op grond van de AVG als de verwerkingen op grond van de Wpg een register opgesteld. Het actualiseren van het register van gegevensverwerking kan nog sterk verbeteren. Met de aanschaf van een ondersteunende applicatie wordt hier praktisch invulling aan gegeven. Dit onderwerp behoeft nu en in de toekomst continu aandacht. Er is gestart met het overnemen en controleren van de verwerkingen in de ondersteunende applicatie. Op die manier vindt er gelijk een kwaliteitscontrole plaats op de inhoud van het register.
Afspraken hoe het actualiseren van het register van gegevensverwerking binnen de organisatie zijn belegd, zijn niet formeel bekrachtigd. Advies 7
Zorg dat het proces voor het actualiseren van het register van verwerkingsactiviteiten beschreven en geïmplementeerd wordt. Verbind er een datum aan wanneer het proces beschreven moet zijn.
Jaarverslag over 2024 Uitvoeringsdomein U.02 Register van verwerkingsactiviteiten Versie 1.0
pagina 10 van 18
U.03.
Kwaliteitsmanagement
Criterium De verwerkingsverantwoordelijke heeft kwaliteitsmanagement ingericht ten behoeve van de bewaking van de juistheid en nauwkeurigheid van persoonsgegevens. De verwerking is zo ingericht dat de persoonsgegevens kunnen worden gecorrigeerd, gestaakt of overgedragen. Indien dit gebeurt op verzoek van betrokkene dan wordt deze over de status van de afhandeling geïnformeerd. Doelstelling 'Kwaliteitsmanagement' moet ervoor zorgen dat een gegevensverwerking correct en in overeenstemming met de wens van betrokkenen is. Risico Wanneer de gegevens onjuist of onnauwkeurig zijn ingevoerd of gecorrumpeerd raken, worden verkeerde conclusies over de betrokkene getrokken met negatieve consequenties of naar het oordeel van betrokkene ongewenste verwerking van zijn of haar persoonsgegevens tot gevolg. Bevindingen Er is in 2024 één verwijderingsverzoek ingediend.5 Daarop is een informatieve reactie gegeven aan de verzoeker en geen besluit in de zin van de Algemene wet bestuursrecht genomen. Er is in de eerste helft van 2025 één verwijderingsverzoek ingediend. Deze is, op het moment van schrijven van dit verslag, nog in behandeling. Een proces voor het uitvoeren van het verwijderingsproces is niet beschreven of formeel vastgelegd. Bij het beschrijven van het proces dient ook rekening gehouden te worden met verplichtingen uit andere wet- en regelgeving, zoals de archiefwet.
Advies Geen aanvullende adviezen.
5 Zaak 1212650
Jaarverslag over 2024 Uitvoeringsdomein U.03 Kwaliteitsmanagement Versie 1.0
pagina 11 van 18
U.04.
Beveiliging van de verwerking van persoonsgegevens
Criterium De verwerkingsverantwoordelijke en de verwerker treffen technische en organisatorische maatregelen voor de verwerking van persoonsgegevens op een passend beveiligingsniveau. Doelstelling Het doel van 'beveiligen van de verwerking van persoonsgegevens' is persoonsgegevens te beschermen tegen verlies, onbeschikbaarheid, corruptie en enige vorm van onrechtmatige of onnodige verzameling en (verdere) verwerking. Risico Het ongewenst openbaar worden, manipulatie, misbruik en niet beschikbaar zijn van gegevens. Bevindingen In het kalenderjaar 2024 is een start gemaakt met een andere wijze van vastleggen van de maatregelen die voor een goede informatiebeveiliging noodzakelijk zijn. De status daarvan is vastgelegd in het verslag van de chief information security officer (CISO). Recente datalekken hebben laten zien dat grote datalekken veel impact kunnen hebben op de gemoedsrust van betrokkenen. Om die datalekken te voorkomen, is het daarom belangrijk om te zorgen dat de technische en organisatorische maatregelen op pijl zijn. Advies 8
Zorg dat de professionalisering van de organisatie met betrekking tot informatiebeveiliging zodanig ontwikkelt, zodat de organisatie effectief weerbaar wordt bij incidenten.
Jaarverslag over 2024 Uitvoeringsdomein U.04 Beveiliging van de verwerking van persoonsgegevens Versie 1.0
pagina 12 van 18
U.05. Informatieverstrekking aan de betrokkene bij verzameling persoonsgegevens Criterium De verwerkingsverantwoordelijke stelt bij elke verzameling van persoonsgegevens tijdig en op een vastgelegde en vastgestelde wijze informatie aan de betrokkene beschikbaar, zodat de betrokkene, tenzij een uitzondering geldt, toestemming kan geven voor de verwerking. Doelstelling Het doel van 'Informatieverstrekking aan betrokkene bij verzameling persoonsgegevens' is om transparantie aan betrokkene te garanderen over de gegevensverzameling en de verwerking, zodat de betrokkene zijn rechten kan uitoefenen overeenkomstig de beginselen van behoorlijke en transparante verwerking. Risico De organisatie is niet transparant, waardoor de organisatie niet kan verantwoorden dat de gegevensverwerking voldoet aan de beginselen van behoorlijke en transparante verwerking, met mogelijk hoge kosten tot gevolg. Bevindingen Op de website is een algemene privacyverklaring, welke op 1 april 2025 in algemene zin is geactualiseerd, waaruit voor betrokkenen niet duidelijk wordt welke persoonsgegevens per verwerking noodzakelijk zijn. Op de website heeft de betrokkene de mogelijkheid om meer informatie te krijgen over de verschillende producten en diensten die de gemeente aanbiedt, echter is daarbij niet aangegeven welke persoonsgegevens daarvoor noodzakelijk zijn. Advies Geen nieuwe aanbevelingen.
Jaarverslag over 2024 Uitvoeringsdomein U.05 Informatieverstrekking aan de betrokkene bij verzameling persoonsgegevens Versie 1.0
pagina 13 van 18
U.06. Bewaren van persoonsgegevens Criterium Door het treffen van de nodige maatregelen hanteert de organisatie voor persoonsgegevens een bewaartermijn die niet wordt overschreden. Doelstelling Het doel van 'Bewaren persoonsgegevens' is te borgen dat persoonsgegevens niet langer worden bewaard dan noodzakelijk is voor het te bereiken doel. Risico Onnodig bewaarde persoonsgegevens kunnen worden verwerkt voor andere dan de oorspronkelijke doelen. Bevindingen Voor het vernietigen van persoonsgegevens wordt uitgegaan van de zaken waarin die persoonsgegevens worden verwerkt. In 2022 is er een wijziging geweest op de bewaartermijn voor een specifiek type zaak. Die wijziging heeft er niet toe geleid dat de eerdere zaken van dat type opnieuw zijn beoordeeld om na te gaan of die zaak vernietigd kan worden. Het resultaat is dat er zaken, en daarmee de persoonsgegevens in die zaken, te lang bewaard zijn gebleven. Voor wat betreft de vernietiging van zaken onder de wet politiegegevens kan gesteld worden dat het nog niet mogelijk is. De gemeentelijke boa’s verwerken sinds 1 oktober 2021 pas politiegegevens.6 Voor die gegevens is de termijn waarna de gegevens vernietigd moeten worden nog niet verstreken. Advies 9
Zorg dat in overleg met de archivaris het proces voor vernietigen van persoonsgegevens wordt gestroomlijnd. Daarbij dient ook aandacht te zijn voor wijzigingen die invloed hebben op de vernietigingstermijnen.
6 https://zoek.officielebekendmakingen.nl/stb-2021-446.html
Jaarverslag over 2024 Uitvoeringsdomein U.06 Bewaren van persoonsgegevens Versie 1.0
pagina 14 van 18
U.07.
Doorgifte persoonsgegevens
Criterium Bij doorgifte aan een andere verwerkingsverantwoordelijke zijn de onderlinge verantwoordelijkheden duidelijk en bij de doorgifte aan een verwerker zijn er afdoende garanties. Bij de doorgifte naar buiten de EU: Is er een vertegenwoordiger, en: Is geen sprake van uitzonderingsgronden, en: Geldt een door de Europese Commissie genomen adequaatheidsbesluit, of: Zijn er passende waarborgen, of: Geldt een afwijking voor een specifieke situatie. Doelstelling Het doel van de vereisten bij 'Doorgifte persoonsgegevens' is te waarborgen dat persoonsgegevens op een rechtmatige manier worden doorgegeven, op een juiste manier worden gebruikt en dat de verantwoordelijkheid voor deze rechtmatigheid en juistheid ingeregeld blijft. Risico Als een organisatie niet voldoet aan dit criterium is het niet duidelijk voor de organisatie wat exact wordt verwacht bij het doorgeven van persoonsgegevens waardoor de kans bestaat dat persoonsgegevens onrechtmatig worden doorgegeven en onrechtmatig verder worden verwerkt en gebrek is aan het nemen van verantwoordelijkheid en controle. Bevindingen Geen nieuwe bevindingen ten opzichte van het jaarverslag over 2023.
Jaarverslag over 2024 Uitvoeringsdomein U.07 Doorgifte persoonsgegevens Versie 1.0
pagina 15 van 18
5.
Controle- / Beheerdomein C.01.
Intern toezicht
Criterium Door of namens de verwerkingsverantwoordelijke vindt evaluatie plaats van de gegevensverwerkingen en is de rechtmatigheid aangetoond. Doelstelling Het doel van 'Intern toezicht' is het garanderen van een rechtmatige, behoorlijke en transparantie verwerking van persoonsgegevens, het garanderen van naleving van de AVG en van andere wet- en regelgeving betreffende de gegevensbescherming, en het garanderen en aantoonbaar maken van naleving van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens. Risico Als de verwerking van persoonsgegevens niet voldoet aan de AVG, dan zijn de risico's tweeledig: de betrokkene loopt persoonlijke privacyrisico's en de verwerkingsverantwoordelijke wordt geconfronteerd met politiek-bestuurlijke en/of juridische maatregelen, verlies van vertrouwen en beschadiging van imago als gevolg van communicatieve of handhavende maatregelen van betrokkenen, derden en/of de toezichthoudende autoriteiten. Bevindingen Geen nieuwe bevindingen ten opzichte van het jaarverslag over 2023.
Jaarverslag over 2024 Controle- / Beheerdomein C.01 Intern toezicht Versie 1.0
pagina 16 van 18
C.02.
Toegang gegevensverwerking voor betrokkenen
Criterium De verwerkingsverantwoordelijke biedt de betrokkene informatie over de verwerking van persoonsgegevens en doet dit tijdig en in een passende vorm, zodat de betrokkene zijn rechten kan uitoefenen , tenzij er een specifieke uitzonderingsgrond geldt. Doelstelling Het doel van 'Toegang gegevensverwerking voor betrokkene' is om zo nodig transparantie te bieden over de gegevensverwerking, zodat de betrokkene zijn rechten kan uitoefenen en zo de verantwoordelijke kan aanspreken bij onrechtmatigheid van een gegevensverwerking, opdat deze onrechtmatigheid beëindigd wordt. Risico De organisatie is niet transparant, waardoor het inzicht in de rechtmatigheid van organisaties ontbreekt, waardoor het vertrouwen in een organisatie verloren gaat. Bevindingen Er zijn in 2024 twee inzageverzoeken ontvangen. 1. Er is uitsluitsel gegeven of er persoonsgegevens van de betrokkene worden verwerkt. Dat bleek niet het geval te zijn. 2. Het verzoek is buiten behandeling gesteld. De betrokkene is de mogelijkheid geboden om zich te identificeren alvorens het verzoek in behandeling genomen kon worden. De betrokkene heeft daar geen reactie meer op gegeven. Er zijn in 2024 geen inzageverzoeken op basis van de wet politiegegevens ontvangen. In de eerste helft van 2025 zijn geen inzageverzoeken voor zowel de algemene verordening gegevensbescherming als de wet politiegegevens ontvangen.
Advies Geen aanvullende aanbevelingen.
Jaarverslag over 2024 Controle- / Beheerdomein C.02Toegang gegevensverwerking voor betrokkenen Versie 1.0
pagina 17 van 18
C.03.
Meldplicht Datalekken
Criterium De verwerkingsverantwoordelijke meldt een datalek binnen de daaraan gestelde termijn aan de Autoriteit Persoonsgegevens, documenteert de inbreuk, en informeert de betrokkene, tenzij hiervoor een uitzondering geldt. Doelstelling Het doel van 'Meldplicht datalekken' is negatieve consequenties van een datalek te beperken en waar mogelijk te voorkomen. Risico Negatieve consequenties die de persoonlijke levenssfeer van de betrokkene treffen. Bevindingen Gedurende het kalenderjaar 2024 zijn 14 incidenten, waarbij persoonsgegevens betrokken zijn, geregistreerd. Van die registraties zijn twee incidenten (waarvan één niet binnen 72 uur) bij de Autoriteit Persoonsgegevens gemeld. Van het tijdig gemelde incident is de betrokkene dezelfde dag geïnformeerd. Bij het andere incident heeft de betrokkene zelf de melding bij de gemeente gemaakt. Bij vier andere incidenten zijn de betrokkenen, ondanks dat er vanuit de Algemene Verordening Gegevensbescherming daarvoor geen verplichting bestond, vanuit transparantie oogpunt geïnformeerd. Er zijn in 2024 geen datalekken met betrekking tot politiegegevens geregistreerd. Gedurende de eerste helft van 2025 zijn 12 incidenten, waarbij persoonsgegevens betrokken zijn, geregistreerd. Van die registraties zijn vijf incidenten, waarvan twee voorlopig, bij de Autoriteit Persoonsgegevens gemeld.
Van die voorlopige meldingen is er een ook weer ingetrokken omdat daar geen persoonsgegevens bij betrokken zijn geweest. Die laatste is ook niet meegenomen in de genoemde 12 incidenten. Onder de Algemene Verordening Gegevensbescherming bestaat een verplichting om alle incidenten waarbij persoonsgegevens betrokken zijn te registreren. Dit betreft ook de incidenten waarbij er geen risico voor de betrokkene bestaat. Uit gesprekken is naar voren gekomen dat er geen uitsluitsel gegeven kan worden dat de geregistreerde incidenten een volledig beeld geven van de incidenten die hebben plaatsgevonden. Advies 10
Bewaak de termijnen waarbinnen incidenten intern gemeld worden, behandeld worden en indien nodig bij de Autoriteit Persoonsgegevens gemeld wordt worden. Zorg ook voor vervanging in perioden van vakantie, verlof of bijvoorbeeld ziekte van de behandeld ambtenaar.
Jaarverslag over 2024 Controle- / Beheerdomein C.03 Meldplicht Datalekken Versie 1.0
pagina 18 van 18