Bijlage 1 Rapportage Bescherming van persoonsgegevens Papendrecht - definitieve versie.pdf

De bescherming van persoonsgegevens in Papendrecht Rekenkamer van Papendrecht Definitieve versie 23 december 2024

Inhoudsopgave Bestuurlijke Rapportage

1

1.

Bevindingen, conclusies en aanbevelingen

3

1.1 1.2 1.3 1.4 1.5

Overzicht van de bevindingen Beantwoording onderzoeksvragen Toepassing normenkader Toepassing privacy volwassenheidsmodel Conclusies en aanbevelingen

3 5 10 13 14

Feitenrapportage

16

2.

Inleiding

17

2.1 2.2 2.3 2.4 2.5

Aanleiding Centrale onderzoeksvraag Normenkader Werkwijze Indeling rapport

17 17 18 21 22

3.

De uitgangspunten van het privacybeleid

23

3.1 3.2 3.3 3.4 3.5 3.6

Het beleid van Papendrecht Processen Organisatorische inbedding van het beleid Uitvoering van taken door samenwerkingspartners Klachtenprocedure Register van verwerkingen en register van incidenten

23 28 31 32 36 36

4.

Gegevensbescherming in de praktijk

38

4.1 4.2 4.3

De praktijk binnen de organisatie Wet politiegegevens in de praktijk Sturing en informatievoorziening op gemeenschappelijke regelingen en samenwerkingspartners Rol van de ondernemingsraad Rol en positie van de gemeenteraad

38 43

4.4 4.5

46 47 48

Bijlage A

Geïnterviewde personen

49

Bijlage B

Bestudeerde documentatie

50

Bijlage C

Afkortingen en terminologie

52

0

Bestuurlijke Rapportage

1

1.

Bevindingen, conclusies en aanbevelingen

1.1

Overzicht van de bevindingen

Gemeenten beheren veel gegevens van inwoners. Binnen een gemeente vindt de registratie in het bevolkingsregister plaats, melden inwoners zich voor een vergunning, een uitkering, of vragen om zorg of ondersteuning. Inwoners moeten ervan uit kunnen gaan dat hun gegevens bij de gemeente in veilige handen zijn. Gemeenten moeten dat vertrouwen verdienen, zowel in de directe contacten met de burger als in verantwoording achteraf. In 2018 is de Algemene Verordening Gegevensbescherming (AVG) in werking getreden. Deze verordening betreft een uitwerking van Europese regelgeving die bedoeld is om de privacy van alle inwoners (beter) te beschermen. Als gevolg van de AVG lopen gemeenten risico op boetes in het geval zij niet conform de geldende normen de beveiliging van persoonsgegevens op orde hebben. Het maatschappelijk en financieel belang van een adequaat privacybeleid is daarom al met al groot. Gemeenten hebben bovendien niet alleen een goed privacybeleid nodig, maar ook een goede uitvoering daarvan. Korte Inleiding op de Algemene Verordening Gegevensbescherming (AVG) 1 De AVG heeft tot doel om de privacy van burgers te beschermen. Onder meer is in de AVG vastgelegd dat informatie van personen alleen mag worden verzameld als daar een belang mee is gemoeid dat opweegt tegen het feit dat de burgers deze informatie over hunzelf afstaan.

De instantie die deze gegevens beheert (de gemeente), heeft de verplichting deze adequaat te beschermen. Gemeenten moeten kunnen aantonen dat ze zich aan de wet houden. Om ervoor te zorgen dat dit inderdaad het geval is, zijn er voor organisaties als gemeenten verschillende waarborgen, procedures en functionarissen van belang. Deze zijn:  Privacy bij Design: Dit houdt in dat al bij het ontwerpen van producten en diensten er wordt gezorgd dat persoonsgegevens goed worden beschermd. Onder meer moet zijn vastgelegd dat gegevens niet langer bewaard worden dan nodig is voor het doel van de verwerking.  Functionaris Gegevensbescherming: Gemeenten zijn verplicht een Functionaris Gegevensbescherming (FG) aan te stellen. Deze functionaris houdt toezicht op de toepassing en naleving van de AVG.  Data Protection Impact Assessment: De AVG verplicht gemeenten om een data protection impact assessment (DPIA) uit te voeren wanneer zij persoonsgegevens gaan verwerken. Dat is een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen, mede om vervolgens maatregelen te kunnen nemen ter verkleining en beheersing van de risico’s. Zolang de gegevensverwerking gaande is, moet een DPIA met enige regelmaat geactualiseerd worden.

Hierbij wordt bekeken of er eventueel nieuwe of andere privacyrisico’s zijn, en of de maatregelen die zijn genomen ter bescherming van persoonsgegevens nog voldoende effectief zijn.  Verwerkingsregisters: Gemeenten zijn verplicht om een verwerkingsregister bij te houden. Dit register bevat informatie over de persoonsgegevens die door de organisatie worden verwerkt. Het register moet tevens informatie bevatten over:

1

Zie voor een uitgebreide uitleg voor diverse begrippen en procedures: notendop_avg.pdf (autoriteitpersoonsgegevens.nl)

pagina 3/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

-

de naam en contactgegevens van de organisatie of de vertegenwoordiger van de organisatie,

-

eventuele andere organisaties met gezamenlijke doelen en middelen van de verwerking zijn vastgesteld,

-

de gegevens van de aangestelde FG,

-

eventuele andere organisaties waar persoonsgegevens mee worden gedeeld,

-

de doeleinden waarvoor de persoonsgegevens worden verwerkt,

-

de categorieën van personen van wie gegevens worden verwerkt,

-

de categorieën van persoonsgegevens die worden verwerkt,

-

de bewaartermijn van de persoonsgegevens en

-

de categorieën van ontvangers aan wie persoonsgegevens worden verstrekt.

 Een veilige omgang met gegevens is ook zeer gediend met het inrichten en naleven van een gedegen informatiebeveiligingsbeleid. Gemeenten stellen daartoe vaak een Chief Information Security Officer (CISO) aan, die verantwoordelijk is voor het informatiebeveiligingsbeleid. Dit is niet verplicht volgens de AVG, maar wel te doen gebruikelijk. De CISO houdt zich bezig met het implementeren van het informatiebeveiligingsbeleid, en houdt toezicht op de uitvoering ervan. De CISO is ook verantwoordelijk voor de strategie op het gebied van informatiebeveiliging.  Gemeenten zijn op grond van de AVG verplicht om een Privacy Officer (PO) te hebben. Een PO zorgt ervoor dat de AVG wordt nageleefd binnen een organisatie. Ook ziet een PO erop toe dat de privacy en dataverwerking bij elke medewerker die persoonsgegevens verzamelt of verwerkt in veilige handen is. Een PO geeft advies en biedt ondersteuning binnen zijn organisatie, geeft interne trainingen en heeft een rol bij het melden van datalekken. In Papendrecht wordt voor deze functionaris de titel Privacy Coördinator gebruikt.  Burgers hebben verschillende rechten om controle uit te oefenen op de naleving van de AVG. Dit betreft onder meer het recht op inzage van hun persoonsgegevens.  Een gemeente werkt vaak samen met andere organisaties voor het uitvoeren of ondersteunen van taken.

Dit kan een bedrijf zijn, een andere gemeente of bijvoorbeeld een gemeenschappelijke regeling. Zo'n andere organisatie heet een verwerker van persoonsgegevens. De gemeente blijft in principe zelf eindverantwoordelijk voor de privacy van de persoonsgegevens van zijn inwoners. In AVG termen is de gemeente de verwerkingsverantwoordelijke. Wanneer een andere organisatie persoonsgegevens verwerkt moet er altijd een verwerkersovereenkomst worden afgesloten tussen beide partijen. Hierin worden afspraken gemaakt over zaken als het doel van de verwerking, geheimhoudingsplicht, beveiliging, verwijderingstermijnen en auditverplichtingen. Het kan ook gebeuren dat de organisatie waarmee de gemeente samenwerkt zelf ook verwerkingsverantwoordelijke is. Dat gebeurt wanneer die organisatie zelf kan bepalen welke persoonsgegevens worden verwerkt, hoe deze gegevens worden verzameld en hoe lang ze worden bewaard. In dat geval is er geen verwerkersovereenkomst nodig ten behoeve van de samenwerking. Of een organisatie waarmee de gemeente samenwerkt verwerkingsverantwoordelijke is, wordt bepaald op basis van de feitelijke omstandigheden.  De Vereniging van Nederlandse Gemeenten heeft in samenwerking met andere (belangenorganisaties van) overheden de Baseline Informatiebeveiliging Overheid (BIO) 2 ingericht. In de BIO is het basisniveau voor informatiebeveiliging beschreven.

Er zijn verschillende toetsen en monitoren ontwikkeld waarmee overheden kunnen bepalen of en in 2

De voorloper van de BIO was de Baseline Informatiebeveiliging Gemeenten (BIG)

pagina 4/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

welke mate ze voldoen aan de BIO. Dit betreft onder meer de ENSIA. Deze afkorting betreft de ‘Eenduidige Normatiek Single Information Audit’. Voor de verwerking van persoonsgegevens binnen het ambtelijk apparaat van een gemeente is naast de AVG ook de Wet politiegegevens (Wpg) van belang. Deze wet geldt sinds 2018, op basis van de Europese Richtlijn gegevensbescherming opsporing en vervolging (Richtlijn EU 2016/680). Deze richtlijn verplicht lidstaten tot het creëren van nationale wetgeving voor het verwerken van persoonsgegevens die gaan over voorkoming, onderzoek, opsporing en vervolging van strafbare feiten. Voor zover relevant voor gemeenten gaat het hier in de praktijk om het verwerken van persoonsgegevens door Buitengewoon Opsporingsambtenaren (boa’s). Het gaat hierbij om situaties waarin zij hun bevoegdheden op grond van het strafrecht gebruiken, bijvoorbeeld door een verkeersboete op te leggen. De eisen van de Wpg overlappen inhoudelijk voor een aanzienlijk deel met die van de AVG, bijvoorbeeld waar het gaat om de verplichting een verwerkingenregister bij te houden en een Functionaris Gegevensbescherming aan te stellen. Er zijn echter ook verschillen. Bij de Wet politiegegevens is wettelijk bepaald wie verwerkingsverantwoordelijke is, terwijl dit bij de AVG uit de feitelijke omstandigheden moet blijken.

Ook kent de Wpg wettelijk vastgestelde bewaartermijnen, en verdergaande verplichtingen met betrekking tot gebruikers van politiegegevens, zoals de verplichting om bij te houden wie welke gegevens bekijkt (logging). Bovendien kent de Wpg de verplichting voor gemeenten om elk jaar een interne audit uit te voeren, en eens per vier jaar een externe audit. Vanwege de overlap in verplichtingen tussen AVG en Wpg is het goed mogelijk en vanuit het oogpunt van synergie zelfs voordelig om tegelijkertijd onderzoek te doen naar de implementatie van beide binnen één gemeente.

1.2

Beantwoording onderzoeksvragen

Bij aanvang van het onderzoek is een centrale probleemstelling geformuleerd. Deze probleemstelling, en het antwoord daarop zijn als volgt: Centrale onderzoeksvraag Hoe wordt de privacy van de Papendrechtse inwoners beschermd en wordt er adequaat gebruik gemaakt van de AVG en Wpg, ook gelet op derden aan wie de uitvoering van beleid is uitbesteed, of met wie anderszins persoonsgegevens worden gedeeld? En op welke wijze wordt de gemeenteraad in staat gesteld de privacybescherming periodiek te controleren? Om deze centrale vraag te kunnen beantwoorden, heeft de rekenkamer een aantal deelonderzoeksvragen opgesteld. Deze vragen en de antwoorden daarop zijn opgenomen in onderstaand overzicht. Onderzoeksvragen 1

Hoe biedt de gemeente Papendrecht bescherming aan inwoners als het gaat om privacy?

Antw.

Er staat een actuele privacyverklaring op de website van de gemeente, waarin inwoners kunnen lezen wat hun rechten zijn op grond van de AVG en de Wpg. Papendrecht heeft vastgestelde werkprocessen voor de ambtenaren met betrekking tot de rechten van betrokkenen. Er is bijvoorbeeld een werkproces om verzoeken om inzage in persoonsgegevens af te handelen en een werkproces om persoonsgegevens te corrigeren op verzoek van een inwoner. Inwoners doen echter zelden verzoeken op

pagina 5/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

grond van de AVG of de Wpg. Er zijn bovendien maar twee bekende klachten over de AVG geweest, die beide ongegrond bleken. Het privacybeleid van de gemeente is bovendien conform de AVG waar het gaat om het waarborgen van de rechten van betrokkenen. Er zijn echter wel de nodige bevindingen geconstateerd met betrekking tot de uitvoering van de werkprocessen van de gemeente in de praktijk. De uitvoeringspraktijk in de gemeente voldoet in de praktijk op een aantal punten nog niet of niet geheel aan de eisen die hiervoor gelden op grond van de AVG en de Wpg. Dit komt mede door gebrek aan capaciteit binnen de ambtelijke organisatie. Hierdoor ontstaan mogelijk risico’s voor de bescherming van persoonsgegevens van inwoners van Papendrecht. 2

Wat is de stand van zaken van de uitvoering AVG en Wpg?

Antw.

Voor wat betreft de AVG heeft Papendrecht zijn processen op papier grotendeels in orde, maar schort het op een aantal punten aan uitvoering in de praktijk. Zo is er door gebrek aan capaciteit bij de Privacy Coördinatoren en bij de uitvoerende teams in de afgelopen jaren een flinke achterstand opgebouwd met betrekking tot het uitvoeren van DPIA’s. Dit is al een aantal jaren het geval, en wordt tot op heden niet of nauwelijks ingelopen. Bovendien lijkt het nog geen automatisme binnen de organisatie dat er een DPIA moet worden uitgevoerd bij nieuwe verwerkingen van gegevens. Vaak is de verwerking bovendien al gestart voordat de DPIA is afgerond, en voordat de aanbevolen risicobeperkende maatregelen zijn genomen. Wel is er een standaardaanpak aanwezig voor nieuwe wijzigingen en/of projecten. Ook komt het voor dat de risicobeperkende maatregelen die naar aanleiding van een DPIA worden vastgesteld niet (aantoonbaar) worden genomen. Na afloop van een DPIA wordt niet altijd verslag gedaan aan de FG over de daadwerkelijk genomen risicobeperkende maatregelen, zoals op grond van het door Papendrecht vastgestelde werkproces voor DPIA’s verplicht is. DPIA’s worden ook niet na de in dit werkproces vastgestelde termijn opnieuw bezien. De samenwerking met de FG is sinds het aantreden van de nieuwe FG’s sterk verbeterd, met name op het niveau van de medewerkers en de teamleiders.

Wel is de betrokkenheid van de FG op een aantal punten nog ad hoc en afhankelijk van de goede wil en het eigen initiatief van betrokkenen. Ook hier is bovendien nog sprake van een achterstand, die mede veroorzaakt is door gebrek aan capaciteit en kennis binnen de gemeentelijke organisatie. Zo lijky een aantal maatregelen dat in drie opeenvolgende jaarlijkse FG-adviezen door twee verschillende FG’s werd aanbevolen nog niet genomen, voor zover kon worden vastgesteld op basis van de beschikbare informatie. Ook op het gebied van privacy bewustzijn en kennisborging en -ontwikkeling is er op papier een goede aanpak door middel van een jaarlijkse nascholingsmaand voor de hele organisatie, maar wordt in de praktijk uitgegaan van deelname op basis van vrijwilligheid. Bovendien zijn privacy bewustzijn en kennisborging en -ontwikkeling nog in onvoldoende mate geïntegreerd in de reguliere werkprocessen en overleggen van alle betrokken teams en medewerkers van de gemeente. Het is iets wat medewerkers erbij moeten

pagina 6/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

doen naast hun reguliere taken, terwijl het een integraal onderdeel van de uitvoering van hun reguliere taken zou moeten zijn. Wel is in dit onderzoek tevens geconstateerd dat de gemeente recent een heel aantal verbeteringen in gang heeft gezet op het gebied van gegevensbescherming en privacy, waaronder het inzetten van meer capaciteit. Deze verbeteringen hebben in de afgelopen periode ook tot een aantal concrete resultaten geleid, zoals een verbeterd register van verwerkingen. De capaciteit van de Privacy Coördinatoren is recent versterkt, en op korte termijn zal een projectleider aantreden die belast is met het inlopen van de DPIAachterstand. Of de maatregelen die de gemeente in gang heeft gezet voldoende zijn om in de toekomst wel aan de eisen van de AVG te voldoen kan echter op dit moment niet worden vastgesteld. Voor wat betreft de Wpg is in een externe audit in 2022 al geconstateerd dat Papendrecht op een groot aantal punten niet voldoet aan de eisen die deze wet stelt. Ten tijde van dit onderzoek was dit nog steeds het geval voor een deel van de eisen. De belangrijkste oorzaak hiervoor is de grote vertraging die is ontstaan bij het oppakken van de belangrijkste bevinding uit de audit: het aanschaffen van een nieuw Wpg-conform ICTsysteem. Inmiddels is er een nieuw ICT-systeem aangeschaft, dat zich momenteel in de implementatiefase bevindt.

Naar verwachting zal dit systeem in de tweede helft van 2024 operationeel worden. Tot die tijd is het voor Papendrecht onmogelijk om aan de Wpg te voldoen, omdat de huidige ICT-systemen hiervoor niet toereikend zijn. Belangrijke redenen voor de opgelopen vertraging bij de aanschaf van nieuwe software waren een traag verlopend inkoopproces en het uitvoeren van een DPIA. Bovendien is er sprake van een risico in verband met de overgang naar het nieuwe ICT-systeem, omdat de leverancier van de oude systemen tot nog toe niet meewerkt aan het overdragen van de in de oude systemen opgeslagen gegevens. Dit betekent dat het risico bestaat dat alle politiegegevens die in de oude systemen zijn opgeslagen verloren gaan, als gevolg van de implementatie van het nieuwe systeem. Dit zou een forse inbreuk zijn op de eisen die gelden op grond van de Wpg. 3

Op welke wijze is de raad tot nu toe bij de ontwikkeling van het privacybeleid betrokken geweest?

Antw.

De raad heeft het geldende privacybeleid uit 2020 vastgesteld en heeft recent kennisgemaakt met de nieuwe FG’s, maar is verder beperkt betrokken bij de stand van zaken rond het privacybeleid. De gemeenteraad heeft weinig aandacht voor het onderwerp privacy. Privacy is geen onderwerp van gesprek in de gemeenteraad en beperkt onderwerp van (raads)vragen. Tijdens de raadsbijeenkomst die in het kader van dit onderzoek is georganiseerd hebben de drie aanwezige raadsleden aangegeven dat het onderwerp naar hun weten in de afgelopen twee jaar niet inhoudelijk aan bod is gekomen.

4

Waar knelt de AVG/Wpg, waar zitten beperkingen en risico's?

Antw.

De belangrijkste geconstateerde risico’s met betrekking tot de AVG en de Wpg hebben te maken met het feit dat de gemeente het privacybeleid op papier redelijk op orde lijkt te

pagina 7/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

hebben, maar in de praktijk niet aan alle eisen op grond van de AVG en de Wpg wordt voldaan. Hierdoor ontstaan risico’s op het gebied van de bescherming van persoonsgegevens. Papendrecht heeft op veel punten al wel verbeteringen in gang gezet, maar op dit moment kan niet worden vastgesteld of deze uiteindelijk voldoende zullen zijn om in de praktijk wel helemaal AVG- en Wpg-conform te werken, of per wanneer dit het geval zal zijn. 5

Zijn de verantwoordelijkheden van de bij de uitvoering AVG betrokken functionarissen duidelijk belegd – bestuurlijk en ambtelijk?

Antw.

De bestuurlijke en ambtelijke verantwoordelijkheden van de betrokken functionarissen zijn in het concept voor het nieuwe privacybeleid dat in het kader van dit onderzoek is meegenomen duidelijk belegd. In het geldende privacybeleid is dit veel minder het geval, het beoogde nieuwe beleid vormt op dit gebied een duidelijke verbetering.

6

Wat is de rol van de OR ten aanzien van privacy en is deze duidelijk binnen de organisatie?

Antw.

De OR heeft in het kader van de privacy instemmingsrecht op de verwerking van persoonsgegevens van medewerkers. Ook heeft de OR een adviesrol als het gaat om belangrijke technologische voorzieningen binnen de gemeente. In de praktijk zijn er in de recente geschiedenis echter niet veel privacy-gerelateerde onderwerpen waar de OR instemmings- of adviesrecht heeft gehad. Medewerkers kloppen bij de OR ook aan met vraagstukken of problemen die binnen de organisatie spelen. Dit kunnen allerlei verschillende zaken zijn (waaronder ook zaken met betrekking tot privacy en informatievoorziening). De OR heeft hierbij een werkwijze waarbij de identiteit en persoonsgegevens van medewerkers die zich bij hen melden verborgen worden gehouden, zodat eventuele belangrijke signalen kunnen worden doorgegeven aan de bestuurder zonder dat dit medewerkers potentieel schaadt of blootstelt. Hoewel er geen formeel protocol is vastgelegd over deze gang van zaken, is er wel een vaste praktijk. Medewerkers weten over het algemeen dat zij bij vragen of problemen bij de OR terecht kunnen. Het advies- en instemmingsrecht van de OR met betrekking tot de persoonsgegevens van medewerkers lijkt minder bekend te zijn binnen de rest van de organisatie.

7

Wat zijn ongewenste en onnodige neveneffecten van de AVG: gebeurt het bijvoorbeeld dat informatie niet wordt gedeeld met een (oneigenlijk) beroep op de AVG?

Antw.

Er zijn in het kader van dit onderzoek geen gevallen geconstateerd waarin informatie niet werd gedeeld met een oneigenlijk beroep op de AVG. Wel is een ongewenst neveneffect dat er in de uitvoering vertraging optreedt doordat het lang duurt om aan de op grond van de AVG geldende eisen te voldoen. Dit is bijvoorbeeld gebeurd bij de aanschaf van het nieuwe ICT-systeem ten behoeve van de Wpg, doordat het lang duurde voor hiervoor een DPIA was uitgevoerd en de benodigde maatregelen werden genomen. De belangrijkste oorzaak hiervoor is capaciteits- en kennisgebrek bij de ambtelijke organisatie.

pagina 8/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

8

Op welke manier wordt de gemeenteraad geïnformeerd over de uitvoering van het beleid rondom de bescherming van persoonsgegevens? Welke mogelijkheden heeft de raad om te sturen en te controleren?

Antw.

De enige manier waarop de gemeenteraad in Papendrecht voor zover bij ons bekend wordt geïnformeerd over de uitvoering van het beleid rondom de bescherming van persoonsgegevens is door middel van een korte paragraaf in de jaarrapportage in het hoofdstuk Bedrijfsvoering, en de vertrouwelijke bespreking van de jaarlijkse ENSIArapportage op het gebied van informatiebeveiliging. In de jaarrapportage wordt hoofdzakelijk procesmatig gecommuniceerd over de uitvoering van de AVG en de Wpg, deze bevatte in de onderzochte jaren weinig tot geen inhoudelijke informatie. De raad is daardoor beperkt in de positie om te sturen en te controleren, omdat de raad in onvoldoende mate over de hiervoor benodigde informatie beschikt. Naast deze formele informatievoorziening zijn er ook bijeenkomsten met de raad om hen te informeren over het beleid en de omgang met persoonsgegevens.

9

Hoe monitort/verifieert de gemeente afspraken in verwerkersovereenkomsten met derden, waar knelt de AVG/Wpg, waar zitten beperkingen en risico's? Denk aan GGD, Veiligheidshuis, sociale wijkteams, werk inkomen en zorg, belastingen, afval, BRP, personeelsadministraties, Smart City toepassingen.

Antw.

Voor de activiteiten die worden uitgevoerd op grond van de twee belangrijkste Gemeenschappelijke Regelingen waar Papendrecht aan deelneemt (GR Sociaal en GR DG&J), zoals de activiteiten van de GGD, Jeugdzorg, de Sociale Dienst Drechtsteden en Drechtwerk, zijn de gemeenschappelijke regelingen zelf verwerkingsverantwoordelijke. Dit betekent dat Papendrecht geen verwerkersovereenkomst met deze partijen hoeft te sluiten. De beide GR-en hebben een eigen privacybeleid, wat is afgestemd op dat van de deelnemende gemeenten, en een eigen FG. Papendrecht heeft een zetel in het Algemeen Bestuur van deze GR-en. Het bestuurslid namens Papendrecht kan in de gaten houden hoe met de verwerking van persoonsgegevens wordt omgegaan door de uitvoeringsorganisaties die onder de GR-en vallen. Of dit in de praktijk ook daadwerkelijk gebeurt kan op basis van de beschikbare informatie niet worden vastgesteld. Papendrecht heeft daarnaast een zevental verwerkersovereenkomsten met diverse partijen, zoals de Servicegemeente Dordrecht voor (o.a.) ICT, belastingen en personeelsadministratie, een aantal verwerkersovereenkomsten over activiteiten als huisbezoeken en schuldhulpverlening in het kader van Sterk Papendrecht, en een convenant met politie en OM over het delen en verwerken van persoonsgegevens en politiegegevens in het kader van de aanpak van problematische jeugdgroepen.

Deze overeenkomsten zijn in lijn met de daarvoor geldende modellen van VNG, maar nadat ze zijn gesloten is ervoor zover bekend geen sprake van monitoring met betrekking tot de uitvoering in de praktijk. Er zijn geen reguliere overleggen met de verwerkers over het onderwerp privacy, en behoudens datalekken worden er door de verwerkers geen reguliere rapportages aan Papendrecht verstrekt. De verwerkersovereenkomsten worden ook niet periodiek geëvalueerd en indien nodig herzien.

10

pagina 9/51

Zijn er verschillen en zo ja welke, in de bescherming van persoonsgegevens door de gemeente en door derden?

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

Antw.

Op basis van de beschikbare informatie kunnen geen verschillen worden geconstateerd in de bescherming van persoonsgegevens door de gemeente en door derden.

1.3

Toepassing normenkader

Ten behoeve van het onderzoek is een normenkader opgesteld bestaande uit drie onderdelen (beleid, uitvoering en cultuur). De onderbouwing van het normenkader is opgenomen in paragraaf 2.3. Het normenkader wordt gebruikt om de bevindingen mee te waarderen. Per norm wordt aangegeven of de bevindingen uit het onderzoek wel, niet of deels voldoen aan de beschreven norm uit het normenkader. In de onderstaande tabel staat de toelichting bij deze waarderingen: Waardering

Toelichting

Voldoet niet

Voldoet niet (aantoonbaar) aan de beschreven norm.

Voldoet deels

Voldoet deels wel en deels niet (aantoonbaar) aan de beschreven norm.

Voldoet wel

Voldoet aan de beschreven norm.

Bij de waardering van de normen uit het normenkader van dit onderzoek wordt er niet alleen gekeken naar de praktijk zoals dat in interviews wordt toegelicht, maar ook naar de aantoonbaarheid van deze praktijk. Niet alleen het materieel voldoen is van belang, maar ook het aantoonbaar voldoen. Dat komt omdat de AVG en de Wpg ook zo in elkaar zitten: je moet als organisatie niet alleen inhoudelijk aan de vereisten van de AVG en Wpg voldoen, maar ook kunnen aantonen dat dat zo is door middel van documentatie. Dat betekent dat bij de waardering van de normen niet alleen gekeken wordt of er in de praktijk in lijn met de norm gewerkt wordt, maar ook of dit in voldoende mate wordt gedocumenteerd. Zoals verder in dit rapport wordt toegelicht is met name het planmatig en structureel vastleggen van activiteiten gerelateerd aan het privacybeleid een tekortkoming van de gemeente Papendrecht, wat zijn reflectie heeft in de waardering op grond van het normenkader los van de (genuanceerde) beantwoording van de onderzoeksvragen. Onderstaand staat per categorie een waardering van de normen met daaronder een beknopte toelichting van deze waardering. Beleid

Beoordeling

 De gemeente heeft AVG- en Wpg-conforme beleidskaders, regels en richtlijnen met

Voldoet deels

betrekking tot de (juridische) borging van de privacy van inwoners. Voor specifieke (meer risicovolle) domeinen heeft de gemeente aanvullende regels opgesteld.

pagina 10/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

 De algemene uitgangspunten en kaders zijn besproken in en vastgelegd door de gemeenteraad. In het gemeentelijk beleid wordt ingegaan op: −

Juridische aspecten op basis van de AVG en Wpg

−

Vertaling naar de beleidskaders privacy

−

Organisatie, taken en verantwoordelijkheden (met inbegrip van de rol van de OR)

−

Inrichting werkprocessen

−

De toepassing van informatiesystemen en ICT

−

De gegevens- en informatiestromen

−

De positie van en communicatie met de burger

 In de verschillende beleidskaders wordt ingegaan op: −

Juridische aspecten op basis van de AVG, de Wpg en de materie wetten

−

Vertaling naar de beleidskaders privacy.

−

Organisatie, taken en verantwoordelijkheden.

−

Het toezicht op gebruik van persoonsgegevens is vastgelegd in een controleplan.

 In bestuursrapportages, programmabegroting en programmarekening wordt expliciet

Voldoet wel voor AVG, voldoet niet voor Wpg

Voldoet wel voor AVG, voldoet niet voor Wpg

Voldoet niet

aandacht besteed aan de wijze waarop een correcte omgang met persoonsgegevens is gewaarborgd. Daaraan worden conclusies en maatregelen verbonden op basis van uitgevoerde controles.

Papendrecht beschikt over een AVG-conform (vastgesteld) privacybeleid. Voor de Wpg is dit nog niet het geval. Deze is in het geldende privacybeleid niet meegenomen. Er is een Wpg-beleid, maar deze is nog niet vastgesteld en in de praktijk gebracht. Bezien vanuit dit normenkader is het nieuwe concept privacybeleid een duidelijke verbetering ten opzichte van het geldende beleid. Zo bevat het in tegenstelling tot het huidige beleid een duidelijke taak- en rolverdeling met betrekking tot privacy, en is het beter afgestemd op het geldende informatiebeveiligingsbeleid. Het concept Wpg-beleid gaat in op de belangrijkste onderwerpen en is een belangrijke verbetering. Zoals in antwoord op onderzoeksvraag 8 al is geconcludeerd, wordt er in de bestuursrapportages alleen op procesniveau aandacht besteed aan gegevensbescherming en privacy. De rapportages bevatten geen inhoudelijke conclusies en maatregelen op basis van uitgevoerde controles. Uitvoering

Beoordeling

 In de praktijk wordt gehandeld conform de wijze waarop de bescherming van de

Voldoet deels

persoonsgegevens is geregeld in de relevante werkprocessen, de toewijzing van verantwoordelijkheden, de inrichting van informatiesystemen, de autorisaties, de afspraken voor de verwerking van gegevens en de afspraken over het informeren van burgers en het vragen van toestemming.

 De gemeente heeft een leer- en verbetercyclus waar privacy een apart onderdeel

Voldoet deels

van uitmaakt. Hierin is aandacht voor mogelijke (ongewenste) knelpunten.

 De gemeente heeft een routine voor het meten en verbeteren van de bescherming

Voldoet deels

persoonsgegevens en legt vast wat de bevindingen en maatregelen zijn. Deze routine wordt tenminste één keer per jaar uitgevoerd.

pagina 11/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

 De gemeente informeert de burger op een toegankelijke en begrijpelijke wijze over

Voldoet deels

hun privacy-rechten, zowel schriftelijk als mondeling.

 De gemeente verschaft aan burgers schriftelijk en mondeling begrijpelijke informatie

Voldoet deels

over het gebruik van hun persoonsgegevens, zowel in algemene zin als afgestemd op de verschillende fasen in het dienstverleningsproces. Daarbij wordt aangegeven met welk doel dit gebeurt, wie inzage heeft en wat er vervolgens met de gegevens gebeurt.

 Als sprake is geweest van een datalek, is conform de vastgelegde procedure

Voldoet wel

gehandeld.

 De gemeente heeft verwerkersovereenkomsten gesloten met derden die

Voldoet deels

persoonsgegevens namens de gemeente verwerken, zoals de Sociale Dienst Drechtsteden. Binnen deze samenwerking wordt de bescherming van persoonsgegevens afdoende gewaarborgd.

 De raad wordt geïnformeerd op een manier die hem in staat stelt te sturen en te

Voldoet niet

controleren.

Er zijn weinig datalekken bekend, gemiddeld 3 tot 5 per jaar, maar de datalekken die er zijn worden conform de daarvoor geldende procedure afgehandeld. De gemeente heeft een AVG- en Wpgconforme privacyverklaring op zijn website, die voldoende toegankelijk en begrijpelijk is voor burgers. In hoeverre het verstrekken van informatie aan burgers op individueel niveau afdoende gebeurt, kan op basis van de beschikbare informatie niet bepaald worden. Dit komt omdat het leeuwendeel van de uitvoerende taken waarbij dit aan de orde is buiten de gemeentelijke organisatie is belegd, hetzij bij één van de gemeenschappelijke regelingen, hetzij bij een verwerker. Er zijn zeven verwerkersovereenkomsten gesloten met derden die persoonsgegevens namens de gemeente verwerken. Maar zoals in antwoord op onderzoeksvraag 9 is gemeld, wordt er na het sluiten van de verwerkersovereenkomst geen aandacht besteed aan het waarborgen van de bescherming van persoonsgegevens in de praktijk. De uitvoering van de overeenkomst wordt niet gemonitord, er vinden geen reguliere overleggen of rapportages over privacy plaats, en de overeenkomsten worden niet periodiek geëvalueerd. De medewerkers van de gemeente zetten zich in om aan AVG en Wpg te voldoen, maar door capaciteits- en kennisgebrek is in de afgelopen jaren een flinke achterstand opgebouwd, bijvoorbeeld met betrekking tot het uitvoeren van DPIA’s.

Er wordt geen jaarlijkse meting van de bescherming van persoonsgegevens uitgevoerd, anders dan het FG-verslag. De aanbevelingen uit de FG-verslagen (2020-2022) zijn niet allemaal opgevolgd. Er is wel een jaarlijks nascholingsprogramma, maar deelname hieraan geschiedt op basis van vrijwilligheid. Er is nog geen sprake van een (aantoonbaar) functionerende Plan-Do-Check-Act-cyclus (PDCA-cyclus) met betrekking tot gegevensbescherming en privacy, in het bijzonder ten aanzien van de ‘check’ fase. Het blijvend leren en verbeteren is onvoldoende ingebed in de reguliere werkprocessen. De gemeenteraad wordt met name op procesniveau geïnformeerd over privacy en gegevensbescherming, en beschikt daardoor over onvoldoende informatie om adequaat te kunnen sturen en controleren. Met betrekking tot informatiebeveiliging beschikt de raad door middel van de ENSIA-rapportages wel over voldoende sturingsinformatie.

pagina 12/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

Cultuur

Beoordeling

 De medewerkers van de gemeente zijn bekend met het gemeentelijk beleid met

Voldoet wel

betrekking tot de bescherming van persoonsgegevens en worden van aanpassingen op de hoogte gehouden.

 In hun dagelijks functioneren geven de medewerkers er blijk van het gemeentelijk

Voldoet wel

privacybeleid na te leven.

 In de relatie met inwoners zijn de medewerkers proactief en transparant over de

Voldoet niet

wijze waarop de gemeente omgaat met hun gegevens

 In de relatie met ketenpartners bewaken de medewerkers actief dat deze

Voldoet niet

ketenpartners zich conformeren aan de regels, standaarden en procedures van de gemeente

Alle medewerkers die hebben deelgenomen aan het onderzoek zijn op de hoogte van het gemeentelijke privacybeleid, de meesten kennen ook het nieuwe concept-beleid al. In hun dagelijks functioneren tonen de medewerkers zich betrokken en verantwoordelijk. Zij zijn zich bewust van de noodzaak privacy-conform te handelen en doen daar ook hun best voor. Het ontbreekt hen echter regelmatig aan capaciteit en kennis om alle op grond van de AVG en de Wpg vereiste maatregelen tijdig uit te voeren. In de relatie met de inwoners is Papendrecht voor zover bekend eerder reactief dan proactief. Er wordt vooral vertrouwd op de informatie die inwoners op de site van de gemeente kunnen vinden, maar er wordt weinig aan actieve informatieverstrekking gedaan. In de relatie met samenwerkingspartners gaat Papendrecht vooral uit van vertrouwen. Er wordt niet actief op gelet dat ook de ketenpartners zich houden aan de gemeentelijke eisen die voortvloeien uit het privacybeleid en de AVG.

1.4

Toepassing privacy volwassenheidsmodel

Op verzoek van de rekenkamer is Papendrecht tevens getoetst aan het Privacy Volwassenheidsmodel van het Centrum voor Informatiebeveiliging en Privacybescherming (CIP) 3, voor zover dit binnen de beantwoording van de onderzoeksvragen past. Dit model sluit inhoudelijk aan bij het Toetsingskader AVG Borging van de Informatie Beveiligingsdienst van VNG. Het model kent vijf volwassenheidsniveaus, namelijk: Niveau

3

Toelichting 1

Informeel: de organisatie werkt alleen situationeel op verwerkingsniveau aan privacy.

2

Beheerst: er zijn door meerdere personen vastgestelde processen, maar conformiteit aan weten regelgeving kan niet altijd worden aangetoond.

3

Gedefinieerd: de organisatie werkt organisatiebreed aan privacy en kan dit aantonen. NB: dit is het vereiste minimumniveau om AVG/Wpg-conform te zijn.

4

Voorspelbaar: er wordt ook actief op wijzigingen in wet- en regelgeving geanticipeerd, de organisatie investeert in continue verbetering van beleid en medewerkers en rapporteert regelmatig over de voortgang.

Privacy Volwassenheidsmodel, CIP

pagina 13/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

5

Geoptimaliseerd: de organisatie heeft een volledig geïntegreerd privacybeleid, dat actueel is en voldoet aan wettelijke eisen en best practices. Er zijn procedures geïmplementeerd om de naleving te garanderen en daar is ook toezicht op, de voortgang en stand van zaken worden voortdurend gemonitord en gerapporteerd aan/door het management. Privacy is een speerpunt op alle niveaus binnen de organisatie geworden en krijgt ook aandacht in communicatie-uitingen naar publiek of klanten.

Papendrecht voldoet op dit moment aan niveau 2 van dit privacy-volwassenheidsmodel. Er zijn vastgestelde processen en het beleid is op papier op orde. In de praktijk wordt echter niet altijd (aantoonbaar) conform de geldende privacyregels en vastgestelde processen gewerkt – of wordt dit niet adequaat vastgelegd. Bovendien is er onvoldoende sprake van een functionerende PDCA-cyclus binnen de gehele organisatie met betrekking tot privacy, en is privacy en gegevensbescherming nog onvoldoende ingebed in de reguliere werkprocessen van de gehele organisatie. Het is van belang om op te merken dat onze beoordeling aan de hand van dit volwassenheidsmodel niet betekent dat alle activiteiten ten aanzien van de bescherming van persoonsgegevens op volwassenheidsniveau 2 worden uitgevoerd: het gaat om een algemene en brede beoordeling.

1.5

Conclusies en aanbevelingen

De invulling van de probleemstelling, de beantwoording van de onderzoeksvragen en de toepassing van het normenkader resulteren in de onderstaande conclusies. Het privacybeleid van de gemeente Papendrecht voldoet niet op alle punten aan de eisen uit de AVG en de Wpg. Hoewel het beleid op papier in grote mate voldoet (voor de AVG) wordt er in de praktijk niet altijd aantoonbaar gewerkt volgens dit beleid. Ook zijn er achterstanden in de uitvoering van het beleid, in het bijzonder ten aanzien van DPIA’s. Als laatste worden verbetermaatregelen, bijvoorbeeld op basis van het FG-verslag, niet of pas na langere tijd opgevolgd. Kortom, de gemeente moet nog belangrijke verbeteringen doorvoeren in de uitvoering van het beleid. De grootste tekortkomingen zijn er ten aanzien van de Wpg, zoals vastgesteld in de Wpg audit uit 2022. Voor deze tekortkomingen is er beperkte aandacht en sturing geweest vanuit directie, College en gemeenteraad. De gemeente heeft de nodige verbeteringen in gang gezet om tijdens de volgende audit wel te voldoen, waarvan de belangrijkste een nieuw informatiesysteem en het Wpg-beleid zijn. Als laatste concluderen we dat er beperkte betrokkenheid is van de gemeenteraad bij het onderwerp. De gemeenteraad wordt met name op procesniveau geïnformeerd over privacy en gegevensbescherming en beschikt over onvoldoende informatie om adequaat te kunnen sturen en controleren.

Op basis van de bevindingen in het onderzoek doet de rekenkamer de volgende aanbevelingen Aanbevelingen aan de gemeenteraad 1

Neem een pro-actievere (kaderstellende) rol aan ten aanzien van de bescherming van persoonsgegevens en het privacy- en Wpg-beleid en besluit mee over strategische uitgangspunten en ambitieniveaus.

2

Zorg voor een betere informatiepositie door het beleid en de verbeteringen van de gemeente periodiek te beoordelen.

pagina 14/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

3

Spreek minimaal jaarlijks over privacy (AVG én Wpg).

Aan het College van B&W zijn er de volgende aanbevelingen: Aanbevelingen aan het College van B&W 1

Zet de reeds ingezette verbeteringen, waaronder het nieuwe privacy- en Wpg-beleid en het uitvoeren van DPIA’s, onverminderd door. Zorg daarbij voor voldoende capaciteit.

2

Zorg voor een periodieke rapportage over de voortgang met betrekking tot het privacy- en Wpg-beleid, de uitvoering van DPIA’s en het opvolgen van FG-adviezen, en stuur bij waar nodig.

3

Beoordeel en evalueer het privacy- en Wpg-beleid jaarlijks en leg de resultaten hiervan vast.

4

Besteed meer aandacht aan de bescherming van persoonsgegevens bij gemeenschappelijke regelingen, samenwerkingspartners of verwerkers in de praktijk door afspraken en waarborgen uit verwerkersovereenkomsten periodiek te toetsen door middel van rapportage of onderzoeken.

pagina 15/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

Feitenrapportage

pagina 16/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

2.

Inleiding

2.1

Aanleiding

Gemeenten beheren veel gegevens van inwoners. Binnen een gemeente vindt de registratie in het bevolkingsregister plaats, melden inwoners zich voor een vergunning of een uitkering, of vragen zij om zorg of ondersteuning. Inwoners moeten ervan uit kunnen gaan dat hun gegevens bij de gemeente in veilige handen zijn. Gemeenten moeten dat vertrouwen verdienen, zowel in de directe contacten met de burger als in verantwoording achteraf. Het is voor gemeenten lastig zich in het veld van privacy en informatiebeveiliging te begeven, gezien de snelle veranderingen en de samenwerkingsverbanden op regionaal niveau die vaak aan de orde zijn. De bescherming van (persoons)gegevens wordt steeds belangrijker en het niet op orde hebben van de informatiebeveiliging en privacy kan grote gevolgen hebben, waaronder bestuurlijke sancties. In 2018 is de Algemene Verordening Gegevensbescherming (AVG) in werking getreden. 4 De verordening is bedoeld om de persoonsgegevens van betrokkenen (beter) te beschermen. De Autoriteit Persoonsgegevens houdt toezicht op de uitvoering van de AVG in Nederland. Wanneer gemeenten de bescherming van persoonsgegevens niet op orde hebben, riskeren zij een boete van de Autoriteit Persoonsgegevens. Het maatschappelijk en financieel belang van een adequaat privacybeleid daarvan is al met al groot.

Gemeenten hebben niet alleen een goed privacybeleid nodig, maar ook een goede uitvoering daarvan. Beide zijn verplicht op grond van de AVG. Bij dit onderzoek zijn daarom zowel de inrichting van het beleid als de uitvoering ervan beschreven en beoordeeld. Voor de verwerking van persoonsgegevens binnen het ambtelijk apparaat van een gemeente is naast de AVG ook de Wet politiegegevens (Wpg) van belang. Deze wet geldt sinds 2018, op basis van de Europese Richtlijn gegevensbescherming opsporing en vervolging (Richtlijn EU 2016/680). Deze richtlijn verplicht lidstaten van de EU tot het creëren van nationale wetgeving voor het verwerken van persoonsgegevens die gaan over voorkoming, onderzoek, opsporing en vervolging van strafbare feiten. Voor gemeenten gaat het in de praktijk om het verwerken van persoonsgegevens door Buitengewoon Opsporingsambtenaren (boa’s). Dit geldt in situaties waar zij hun bevoegdheden gebruiken en politiegegevens verwerken, bijvoorbeeld bij het opleggen van een verkeersboete. De eisen van de Wpg overlappen voor een aanzienlijk deel met die van de AVG, bijvoorbeeld waar het gaat om de verplichting een verwerkingenregister bij te houden en een Functionaris Gegevensbescherming aan te stellen. Er zijn echter ook verschillen, zoals op het gebied van bewaartermijnen en verplichte logging van o.a. het bijhouden welke personen in welke gegevens kijken.

Bovendien kent de Wpg de verplichting voor gemeenten om elk jaar een interne audit uit te voeren, en eens per vier jaar een externe audit. Vanwege de overlap in verplichtingen tussen AVG en Wpg is het goed mogelijk en vanuit het oogpunt van synergie zelfs voordelig om tegelijkertijd onderzoek te doen naar de implementatie van beide binnen één gemeente.

2.2

Centrale onderzoeksvraag

De rekenkamer van de gemeente Papendrecht heeft een onderzoek laten verrichten naar de bescherming van persoonsgegevens en de toepassing van de AVG en de Wpg in deze gemeente. Hiertoe heeft de rekenkamer de volgende probleemstelling geformuleerd:

4

Een compacte beschrijving van de essentiële onderdelen van de AVG en de Wpg is opgenomen in de bestuurlijke rapportage.

pagina 17/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

Centrale onderzoeksvraag Hoe wordt de privacy van de Papendrechtse inwoners beschermd en wordt er adequaat gebruik gemaakt van de AVG en Wpg, ook gelet op derden aan wie de uitvoering van beleid is uitbesteed, of met wie anderszins persoonsgegevens worden gedeeld? En op welke wijze wordt de gemeenteraad in staat gesteld de privacybescherming periodiek te controleren? Deze centrale vraag is uitgewerkt in de volgende onderzoeksvragen: Onderzoeksvragen 1

Hoe biedt de gemeente Papendrecht bescherming aan inwoners als het gaat om privacy?

2

Wat is de stand van zaken van de uitvoering AVG en Wpg?

3

Op welke wijze is de raad tot nu toe bij de ontwikkeling van het privacybeleid betrokken geweest?

4

Waar knelt de AVG/Wpg, waar zitten beperkingen en risico's?

5

Zijn de verantwoordelijkheden van de bij de uitvoering AVG betrokken functionarissen duidelijk belegd – bestuurlijk en ambtelijk?

6

Wat is de rol van de OR ten aanzien van privacy en is deze duidelijk binnen de organisatie?

7

Wat zijn ongewenste en onnodige neveneffecten van de AVG: gebeurt het bijvoorbeeld dat informatie niet wordt gedeeld met een (oneigenlijk) beroep op de AVG?

8

Op welke manier wordt de gemeenteraad geïnformeerd over de uitvoering van het beleid rondom de bescherming van persoonsgegevens? Welke mogelijkheden heeft de raad om te sturen en te controleren?

9

Hoe monitort/verifieert de gemeente afspraken in verwerkersovereenkomsten met derden, waar knelt de AVG/Wpg, waar zitten beperkingen en risico's? Denk aan GGD, Veiligheidshuis, sociale wijkteams, werk inkomen en zorg, belastingen, afval, BRP, personeelsadministraties, Smart City toepassingen.

10

Zijn er verschillen en zo ja welke, in de bescherming van persoonsgegevens door de gemeente en door derden?

2.3

Normenkader

Bij onderzoeken van rekenkamers is het gebruikelijk om de bevindingen aan de hand van een normenkader te waarderen. Als het gaat om de bescherming van persoonsgegevens door gemeenten heeft PBLQ ondertussen de nodige ervaring opgedaan. Met gebruikmaking van die ervaringen is in afstemming met de rekenkamer van Papendrecht voor dit onderzoek een normenkader opgesteld. Aan het gehanteerde normenkader liggen een aantal overwegingen ten grondslag.  Privacy en de correcte omgang met persoonsgegevens binnen gemeenten worden vaak - ten onrechte - als juridische en ICT-technische onderwerpen gezien. Daarmee wordt het al gauw beschouwd als een onderwerp behorend bij het domein van de afdeling Juridische Zaken en de afdeling ICT. In het normenkader is verwerkt dat een zorgvuldige omgang met persoonlijke gegevens idealiter een kernwaarde moet zijn van elke medewerker in een overheidsorganisatie. De menselijke factor en de dagelijkse uitvoeringspraktijk horen een organisatiebreed aandachtspunt te zijn.

pagina 18/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

 Lang niet alle gemeenten hebben de bescherming van persoonsgegevens goed ingebed in hun dienstverlening. Er is doorgaans wel een vastgesteld privacybeleid, maar het ontbreekt geregeld aan praktische uitvoeringskaders. Medewerkers zijn zich niet altijd voldoende bewust van wat er op dit gebied van hen gevraagd wordt. Goed privacybeleid heeft aandacht voor alle belangrijke aspecten: de positie van de inwoner, hoe gegevens worden vastgelegd en wie welke gegevens met welk doel mag verwerken of delen met anderen, hoe de kwaliteit van gegevens gewaarborgd wordt en hoe het juridische kader van de AVG en de Wpg wordt vertaald naar werkprocessen en ICT-systemen.  Het gedrag van medewerkers in de praktijk bepaalt daarbij in hoge mate of de gemeente risico’s loopt op bovenmatige verzameling of onzorgvuldig gebruik van persoonsgegevens, een datalek, of het combineren van gegevens terwijl dat eigenlijk niet is toegestaan. Dit gedrag bepaalt dus eveneens of aan de AVG en de Wpg wordt voldaan. Daarom hoort het juist omgaan met persoonsgegevens ook een onderwerp te zijn bij functioneringsgesprekken, werkoverleggen en interne communicatie.  Gemeenten delen regelmatig (persoons-)gegevens met andere (uitvoerings-)instanties. Met die andere organisaties moeten gezamenlijke afspraken worden gemaakt over een veilige omgang met die gegevens.

 Voor het geval er sprake is van zogenaamde datalekken is de externe communicatie van belang. Omdat de gemeente financiële en imago-risico’s loopt, is het cruciaal dat er bij een datalek adequaat wordt gehandeld. Medewerkers moeten weten wat zij moeten doen en escalatielijnen moeten zijn ingeregeld. Ook over de communicatie met de mensen van wie de data is gelekt en met de pers moet vooraf zijn nagedacht. Deze overwegingen hebben bijgedragen tot het inrichten en toepassen van onderstaande normenkader:

Gemeentelijk beleid  De gemeente heeft AVG- en Wpg-conforme beleidskaders, regels en richtlijnen met betrekking tot de (juridische) borging van de privacy van inwoners. Voor specifieke (meer risicovolle) domeinen heeft de gemeente aanvullende regels opgesteld.

 De algemene uitgangspunten en kaders zijn besproken in en vastgelegd door de gemeenteraad. In het gemeentelijk beleid wordt ingegaan op: −

Juridische aspecten op basis van de AVG en Wpg

−

Vertaling naar de beleidskaders privacy

−

Organisatie, taken en verantwoordelijkheden (met inbegrip van de rol van de OR)

−

Inrichting werkprocessen

−

De toepassing van informatiesystemen en ICT

−

De gegevens- en informatiestromen

−

De positie van en communicatie met de burger

 In de verschillende beleidskaders wordt ingegaan op: −

Juridische aspecten op basis van de AVG, de Wpg en de materie wetten

−

Vertaling naar de beleidskaders privacy.

−

Organisatie, taken en verantwoordelijkheden.

−

Het toezicht op gebruik van persoonsgegevens is vastgelegd in een controleplan.

pagina 19/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

 In bestuursrapportages, programmabegroting en programmarekening wordt expliciet aandacht besteed aan de wijze waarop een correcte omgang met persoonsgegevens is gewaarborgd. Daaraan worden conclusies en maatregelen verbonden op basis van uitgevoerde controles.

Uitvoeringspraktijk  In de praktijk wordt gehandeld conform de wijze waarop de bescherming van de persoonsgegevens is geregeld in de relevante werkprocessen, de toewijzing van verantwoordelijkheden, de inrichting van informatiesystemen, de autorisaties, de afspraken voor de verwerking van gegevens en de afspraken over het informeren van burgers en het vragen van toestemming.

 De gemeente heeft een leer- en verbetercyclus waar privacy een apart onderdeel van uitmaakt. Hierin is aandacht voor mogelijke (ongewenste) knelpunten.

 De gemeente heeft een routine voor het meten en verbeteren van de bescherming persoonsgegevens en legt vast wat de bevindingen en maatregelen zijn. Deze routine wordt tenminste één keer per jaar uitgevoerd.

 De gemeente informeert de burger op een toegankelijke en begrijpelijke wijze over hun privacy-rechten, zowel schriftelijk als mondeling.

 De gemeente verschaft aan burgers schriftelijk en mondeling begrijpelijke informatie over het gebruik van hun persoonsgegevens, zowel in algemene zin als afgestemd op de verschillende fasen in het dienstverleningsproces. Daarbij wordt aangegeven met welk doel dit gebeurt, wie inzage heeft en wat er vervolgens met de gegevens gebeurt.

 Als sprake is geweest van een datalek, is conform de vastgelegde procedure gehandeld.  De gemeente heeft verwerkersovereenkomsten gesloten met derden die persoonsgegevens namens de gemeente verwerken, zoals de Sociale Dienst Drechtsteden. Binnen deze samenwerking wordt de bescherming van persoonsgegevens afdoende gewaarborgd.

 De raad wordt geïnformeerd op een manier die hem in staat stelt te sturen en te controleren.

Cultuur van de organisatie met betrekking tot privacy  De medewerkers van de gemeente zijn bekend met het gemeentelijk beleid met betrekking tot de bescherming van persoonsgegevens en worden van aanpassingen op de hoogte gehouden.

 In hun dagelijks functioneren geven de medewerkers er blijk van het gemeentelijk privacybeleid na te leven.

 In de relatie met inwoners zijn de medewerkers proactief en transparant over de wijze waarop de gemeente omgaat met hun gegevens.

 In de relatie met ketenpartners bewaken de medewerkers actief dat deze ketenpartners zich conformeren aan de regels, standaarden en procedures van de gemeente.

Daarnaast is Papendrecht op verzoek van de rekenkamer getoetst aan het Privacy Volwassenheidsmodel van het Centrum voor Informatiebeveiliging en Privacybescherming (CIP) 5, voor zover dit binnen de beantwoording van de onderzoeksvragen past. Dit model sluit inhoudelijk aan bij het Toetsingskader AVG Borging van de Informatie Beveiligingsdienst van VNG. Waar nodig wordt de uitvoering van de AVG en de Wpg apart beoordeeld. Dit model kent vijf volwassenheidsniveaus, 1 t/m 5. Deze niveaus behelzen het volgende:

5

Niveau

Toelichting

1

Informeel: de organisatie werkt alleen situationeel op verwerkingsniveau aan privacy.

Privacy Volwassenheidsmodel, CIP

pagina 20/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

2

Beheerst: er zijn door meerdere personen vastgestelde processen, maar conformiteit aan wet- en regelgeving kan niet altijd worden aangetoond.

3

Gedefinieerd: de organisatie werkt organisatiebreed aan privacy en kan dit aantonen. NB: dit is het vereiste minimumniveau om AVG/Wpg-conform te zijn.

4

Voorspelbaar: er wordt ook actief op wijzigingen in wet- en regelgeving geanticipeerd, de organisatie investeert in continue verbetering van beleid en medewerkers en rapporteert regelmatig over de voortgang.

5

Geoptimaliseerd: de organisatie heeft een volledig geïntegreerd privacybeleid, dat actueel is en voldoet aan wettelijke eisen en best practices. Er zijn procedures geïmplementeerd om de naleving te garanderen en daar is ook toezicht op, de voortgang en stand van zaken worden voortdurend gemonitord en gerapporteerd aan/door het management. Privacy is een speerpunt op alle niveaus binnen de organisatie geworden en krijgt ook aandacht in communicatie-uitingen naar publiek of klanten.

2.4

Werkwijze

Ten behoeve van dit onderzoek hebben we de volgende onderzoeksactiviteiten uitgevoerd:  Het onderzoek is aangekondigd bij de gemeentelijke organisatie. Hierna is een startbijeenkomst gehouden om een algemene toelichting op het onderzoek te geven, de te interviewen functionarissen vast te stellen en de te bestuderen documentatie door te spreken.  Er is een bureaustudie uitgevoerd naar de relevante beleidsdocumenten die door de gemeentelijke organisatie in delen zijn toegestuurd. Waar relevant heeft het onderzoeksteam om aanvullende documentatie gevraagd gedurende de looptijd van het onderzoek. Een overzicht van de bestudeerde documentatie is opgenomen in Bijlage B.  Bij verschillende functionarissen zijn er interviews afgenomen, waarop is ingegaan op de achtergrond en overwegingen van het privacybeleid van de gemeente. Ook is er gesproken over hoe het beleid in de praktijk uitpakt en uitgevoerd wordt. In Bijlage A is een overzicht opgenomen van de geïnterviewde personen.  Om meer inzicht in de dagelijkse uitvoeringspraktijk met betrekking tot (de bescherming van) persoonsgegevens te krijgen, is er een mini-Privacy Impact Assessment6 uitgevoerd voor het thema Wpg met betrekking tot de verwerking van persoonsgegevens en het gebruik van (nieuwe) informatievoorziening door boa’s van de gemeente. −

6

Het was bij de aanvang van dit onderzoek de bedoeling om een tweede mini-PIA uit te voeren met betrekking tot het sociaal domein en het thema AVG. In de startbijeenkomst van dit onderzoek is besloten dat deze mini-PIA betrekking zou hebben op (de samenwerking met) Sterk Papendrecht. Het is niet gelukt om binnen de voor dit onderzoek beschikbare tijd deze tweede mini-PIA te organiseren. In overleg met de rekenkamer is besloten om deze achterwege te laten en in plaats daarvan een aanvullend interview te houden. Dit was wel mogelijk binnen de afgesproken planning voor dit onderzoek. De verwachting was bovendien dat dit meer relevante informatie voor de uitkomsten van dit onderzoek zou opleveren.

Bij een PIA wordt stap voor stap de inrichting van de bescherming van persoonsgevoelige informatie geïnventariseerd en beoordeeld. Voor de goede orde moet benadrukt worden dat in het kader van het rekenkameronderzoek geen volledige PIA is uitgevoerd. Gekozen is voor een beperkte variant (aangeduid als mini-PIA) waarbij met enkele direct bij de uitvoeringspraktijk van de boa’s betrokken medewerkers gesproken is over de wijze waarop zij in hun dagelijkse praktijk de veiligheid van persoonsgegevens bewaken.

pagina 21/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

 De gemeenteraad is bij het onderzoek betrokken in een raadssessie. Het doel van deze raadssessie was om inzicht te krijgen in de rol en positie van de gemeenteraad. Dit is uitgevoerd aan de hand van een fictieve casus die de aanwezige raadsleden heeft doen reflecteren op hun eigen rol en positie..  Op basis van de inzichten die in de bovenstaande onderzoeksactiviteiten zijn opgedaan, is er een gesprek gevoerd met een vertegenwoordiging van de ambtelijke organisatie 7 in een convergentiesessie. Het doel van deze sessie was om de beelden en interpretaties van de onderzoekers te bespreken met de ambtelijke organisatie en te toetsen en zo nodig in een vroeg stadium aan te scherpen.  Het onderzoeksteam heeft op basis van de verzamelde informatie een feitenrapportage opgesteld (voorliggend).

2.5

Indeling rapport

Dit hoofdstuk vormt samen met de hoofdstukken 3 en 4 het feitenrelaas van dit onderzoek. In het derde hoofdstuk ligt de nadruk in de beschrijving van de bevindingen op het geldende beleid van Papendrecht met betrekking tot de bescherming van persoonsgegevens. In het vierde hoofdstuk gaat de aandacht uit naar de uitvoeringspraktijk.

7

Ook deze functionarissen zijn vermeld in Bijlage A.

pagina 22/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

3.

De uitgangspunten van het privacybeleid

3.1

Het beleid van Papendrecht

In dit hoofdstuk zijn de uitgangspunten van het beleid aan de orde. Aangegeven wordt wat het startpunt vormde voor dat beleid, bij de inwerkingtreding van de AVG in 2018. Vervolgens wordt aangegeven welke documenten nadien door het gemeentebestuur zijn op- en vastgesteld met betrekking tot het privacybeleid. In dit hoofdstuk komen de volgende documenten aan de orde: Document

Status / belang

Privacybeleid Drechtsteden 2020

Dit is het geldende privacybeleid van de gemeente Papendrecht, zoals dat door de gemeenteraad, het college en de burgemeester van Papendrecht is vastgesteld.

Concept-privacybeleid gemeente Papendrecht 2024

Papendrecht heeft een nieuwe versie van het privacybeleid in concept gereed. Deze is nog niet vastgesteld en dus nog niet geldend.

Strategisch informatiebeveiligingsbeleid Drechtsteden 2020-2024

Informatiebeveiliging is een randvoorwaarde voor een veilige omgang met gegevens. Daartoe verschaft dit document de uitgangspunten.

Privacybeleid Drechtsteden 2020 Dit beleid is op dit moment het geldende privacybeleid voor de gemeente Papendrecht. Het is een geactualiseerde versie van het beleid zoals dat kort na inwerkingtreding van de AVG in 2018 is vastgesteld. Dit geldende beleid uit 2020 volgt de hoofdlijnen van de AVG en bevat op een aantal punten een nadere concretisering voor de Drechtsteden, waaronder de gemeente Papendrecht. Het beleid geeft aan hoe de Drechtsteden voornemens zijn aan de AVG te voldoen. De uitvoering van de Wpg is geen onderdeel van dit beleid. Hier is nog geen separaat beleid voor vastgesteld binnen de gemeente Papendrecht, een concept is wel gereed. Het geldende privacybeleid ziet er op hoofdlijnen als volgt uit:  In paragraaf 2.4 van het privacybeleid wordt gesteld dat alle maatregelen die het privacybeleid bevat cyclisch zijn, en dat het de bedoeling is om op de verschillende verantwoordelijke niveaus binnen de organisatie steeds een PDCA-cyclus te doorlopen. Ook is het de bedoeling dat het onderwerp privacy periodiek aan de orde komt door het vast op de agenda’s van de verantwoordelijken in de regio te plaatsen. Binnen de gemeente Papendrecht is deze maatregel voor zover bij ons bekend niet nader geoperationaliseerd: er zijn ons geen vastgelegde afspraken bekend om het onderwerp privacy periodiek bij (werk)overleggen binnen de gemeente Papendrecht te agenderen.

 Alle deelnemende gemeenten dienen op hun website helder aan te geven hoe van de rechten voor betrokken personen op grond van de AVG gebruik kan worden gemaakt. De gemeente Papendrecht heeft dit ook opgenomen op haar website 8. De rechten van betrokkenen zijn samengevat weergegeven in het privacybeleid. Voor de gemeente Papendrecht zijn