Bijlage 1 Rapportage Bescherming van persoonsgegevens Papendrecht - definitieve versie.pdf

8

Website Papendrecht

pagina 23/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

werkprocessen vastgesteld met betrekking tot de rechten van betrokkenen, deze komen in paragraaf 3.2 aan de orde.  De deelnemende gemeenten, waaronder Papendrecht, zijn ieder zelf verantwoordelijk voor de privacy-bewustwording van hun eigen personeel. Zij dienen ervoor te zorgen dat werknemers die werken met persoonsgegevens, weten wat hun verantwoordelijkheid is en hoe zij zorgvuldig om dienen te gaan met persoonsgegevens. Zij moeten in staat zijn om te beoordelen welke gegevens nodig zijn voor het uitvoeren van de werkprocessen. Werknemers worden getraind in privacybewust functioneren door middel van presentaties, workshops en trainingen, leermodules in de elearningomgeving en het altijd voor handen hebben van een interne of externe vraagbaak.  Alle gemeenten moeten een procedure inrichten voor datalekken en incidentbeheer, inclusief het informeren van betrokkenen. Papendrecht heeft deze procedure ingericht (zie paragraaf 3.2).  Alle gemeenten moeten ervoor zorgen dat alle gegevensverwerkingen waarin persoonsgegevens worden verwerkt in beeld zijn gebracht en zijn vastgelegd in het Register van verwerkingen. Waar nodig c.q. vereist dient een DPIA te zijn uitgevoerd, hiervan dient een aantekening te worden vastgelegd in het Register van verwerkingen. Dit is momenteel niet gerealiseerd. Er staat een actualisatie van het Register op de planning voor de tweede helft van 2024.

Dit is belangrijk om te kunnen sturen op actualisatie en het kunnen uitvoeren van maatregelen.  Met verwerkers dienen verwerkersovereenkomsten te worden gesloten. Hierbij moet de modelovereenkomst van VNG als uitgangspunt worden gebruikt. In verwerkersovereenkomsten moeten minimaal afspraken worden gemaakt over: − De doeleinden waarvoor de gegevens mogen worden verwerkt. − Hoe de verwerker met de persoonsgegevens moet omgaan. − Welke beveiligingsmaatregelen moeten worden genomen. − Welke vormen van toezicht de eigenaar mag uitoefenen. − Geheimhoudingsplicht. − Inschakeling van derden en onderaannemers. − Locatie van de data. − Aansprakelijkheid van schade door het niet naleven van regelgeving. − Exit-strategie.  Voor persoonsgegevens waarvoor geen wettelijk vastgestelde bewaartermijnen gelden, moeten alle deelnemende gemeenten zelf besluiten over de bewaartermijn. De bewaartermijnen dienen vermeld te worden in het Register van verwerkingen. Het is op basis van de beschikbare informatie niet duidelijk in hoeverre binnen gemeente Papendrecht persoonsgegevens worden verwerkt waarvoor geen wettelijke bewaartermijn is vastgesteld, en zo ja, of er een eigen besluit over de bewaartermijnen is genomen. De bewaartermijnen zijn vastgelegd in aparte tooling (‘inavigator’), van waaruit de archivaris overzichten kan geven voor vernietiging conform het beleid.

 Op de website van Papendrecht dient een privacyverklaring te zijn opgenomen waarin op hoofdlijnen wordt aangegeven welke persoonsgegevens met welke doeleinden worden verwerkt. Dit is het geval.  Het College van B&W dient de gemeenteraad in het kader van de jaarlijkse planning- en controlcyclus te informeren over de toepassing van het privacybeleid. Deze stukken zijn erg procesmatig en bevatten weinig inhoudelijke punten.  De deelnemende organisaties hebben een gezamenlijke FG. De positie van de FG is door Dordrecht nader vastgelegd in het Reglement Functionaris voor de Gegevensbescherming Drechtsteden 2022. In paragraaf 3.2 zal hier nader op worden ingegaan.  Proceseigenaren zijn verantwoordelijk voor de zorgvuldige verwerking van persoonsgegevens binnen de processen van de eenheid waaraan zij leidinggeven. Zij zijn daarom ook pagina 24/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

verantwoordelijk om te monitoren of persoonsgegevens zorgvuldig worden verwerkt en dit zo nodig bij te sturen. Proceseigenaren zorgen ervoor dat zij kunnen aantonen op welke wijze uitvoering is gegeven aan de privacywetgeving binnen hun werkprocessen. Conform het privacyen het informatiebeveiligingsbeleid is binnen de i-navigator genoteerd dat teamleiders de proceseigenaren voor hun eigen werkprocessen zijn. Hoe de monitoring moet worden uitgevoerd en hoe moet worden aangetoond op welke wijze uitvoering wordt gegeven aan de privacywetgeving met betrekking tot een proces is, voor zover bij ons bekend, niet nader geoperationaliseerd op basis van dit beleid. Concept-privacybeleid gemeente Papendrecht 2024 Inmiddels wordt door Papendrecht gewerkt aan een nieuw privacybeleid. Dit is in conceptvorm beschikbaar en het is de bedoeling om dit beleid in 2024 vast te laten stellen door het college, de burgemeester en de gemeenteraad. Ook dit nieuwe privacybeleid gaat alleen over de AVG. Wat betreft de Wpg wordt in dit conceptbeleid nu verwezen naar een ‘Privacybeleid Wet politiegegevens’, dat ook op de website van de gemeente Papendrecht ter beschikking zal worden gesteld. Ook dit beleid (Privacybeleid Wet politiegegevens) is in conceptversie gereed. We gaan hieronder kort op dit beleid in.

Het concept-privacybeleid van Papendrecht is gebaseerd op het model-privacybeleid van de Informatiebeveiligingsdienst (IBD) van VNG. Waar het beleid aansluit op c.q. overeenkomt met de AVG is het inhoudelijk gelijk aan het geldende beleid. Ten opzichte van het geldende beleid bevat het concept-beleid de volgende aanvullingen c.q. wijzigingen:  Een evaluatiebepaling: het beleid dient minimaal eens per drie jaar te worden beoordeeld en indien nodig herzien.  Het beleid ziet uitdrukkelijk op alle gegevensverwerkingen door of namens de gemeente, ook wanneer deze zijn uitbesteed of op een andere manier zijn georganiseerd, zoals door deelname van de gemeente aan een rechtspersoon die voor de gemeente bepaalde diensten verricht.  Het beleid bevat de verplichting een bewaartermijn vast te stellen voor persoonsgegevens waarop geen wettelijke bewaartermijn van toepassing is.  De gemeente moet bij de ontwikkeling van nieuwe diensten, systemen of processen rekening houden met aspecten van privacy en gegevensbescherming, om zo te komen tot een zo optimaal mogelijke bescherming van Persoonsgegevens (Privacy by Design). De gemeente draagt er zorg voor dat concrete maatregelen zoveel mogelijk doorgevoerd worden in het ontwerp. Daarbij neemt de gemeente Privacy by Default als uitgangspunt: de standaardinstellingen zijn altijd zo privacyvriendelijk mogelijk.

 Uitsluitend geautoriseerde personen hebben toegang tot persoonsgegevens. De gemeente controleert periodiek of bevoegdheden nog correct zijn toebedeeld, en moet gebruik maken van logging (bijhouden wie welke gegevens bekijkt) en andere maatregelen om ongeautoriseerde toegang zo veel mogelijk te voorkomen.  De gemeente werkt samen met andere (overheids)organisaties om een taak van algemeen belang uit te voeren, hierover is een uitgebreidere tekst opgenomen in het concept-beleid. Hierbij kan men bijvoorbeeld denken aan de samenwerking binnen de Gemeenschappelijke regeling Sociaal, waarbinnen de Sociale Dienst Drechtsteden valt, of aan de Gemeenschappelijke regeling Dienst Gezondheid & Jeugd. In die gevallen kan sprake zijn van meerdere verwerkersverantwoordelijken (gezamenlijk of individueel). De gemeente maakt met deze organisaties afspraken over de wijze waarop persoonsgegevens worden verwerkt en wie waarvoor verantwoordelijk is. In paragraaf 3.4 wordt hier nader op ingegaan. pagina 25/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

 Het concept-beleid bevat een nadere vastlegging van rollen en verantwoordelijkheden binnen de gemeentelijke organisatie. Ten opzichte van het VNG-model bevat het concept-beleid van Papendrecht de volgende gemeentespecifieke bepalingen: −

De gemeentesecretaris/algemeen directeur van de gemeentelijke organisatie is operationeel eindverantwoordelijk voor de naleving van de privacywetgeving binnen de organisatie, alsmede voor de uitvoering van het privacybeleid.

−

De teamleiders zijn verantwoordelijk voor de naleving van de privacywetgeving en het privacybeleid binnen het eigen team. Zij zijn als proceseigenaar verantwoordelijk voor het voldoen aan de AVG van de eigen processen, waaronder het uitvoeren van een DPIA waar nodig. Zij zijn verantwoordelijk voor het trainen van hun personeel met betrekking tot privacy, het autoriseren van nieuw personeel, het intrekken van de autorisatie van scheidend personeel, en het bevorderen van een duurzame privacycultuur. Ook dienen zij de privacycoördinator en via deze de FG in een vroeg stadium te betrekken bij nieuwe of gewijzigde verwerkingen van persoonsgegevens.

 Er wordt een aantal interne en regionale overleggen genoemd waar het onderwerp privacy aan de orde dient te komen, te weten: −

Interne werkoverleggen

−

Privacy coördinatoren overleg (PCO)

−

Periodiek overleg met adviseurs informatiebeveiliging

−

Periodiek overleg met informatiemanagers

−

Periodiek overleg met het Juridisch Kenniscentrum (JKC) van de Servicegemeente Dordrecht

−

Periodiek overleg met de Functionaris Gegevensbescherming (FG).

De gemeente werkt in regionaal verband aan de praktische uitwerking van het privacybeleid. Dit wordt gedaan aan de hand van actieplannen waarop acties met betrekking tot privacy en de verdere uitwerking van het beleid worden uitgewerkt. Deze actieplannen worden continue en gedurende het jaar bijgewerkt. Voorbeelden van acties in de actieplannen zijn het opstellen van standaardbrieven voor rechten van betrokkenen, de evaluatie van het datalekkenproces of de afstemming van uit te voeren DPIA’s. Concept Privacybeleid Wet politiegegevens In het concept Privacybeled Wet politiegegevens van de gemeente Papendrecht zijn de verplichtingen uit de Wpg en aanverwante regelgeving9 in beleid vastgelegd. Dit beleid is aanvullend op het privacybeleid, dat toeziet op de AVG maar niet op de Wpg. Het doel van het beleid is om te beschrijven hoe de gemeente binnen de wettelijke kaders (verantwoordelijk) omgaat met persoonsgegevens. In het conceptbeleid staat verder dat onder andere wordt beoogd te bereiken dat boa’s “zich ten volle bewust zijn van de noodzaak om zorgvuldig en op rechtmatige wijze om te gaan met politiegegevens” en “de rechten van betrokkenen respecteren en werken volgens de vastgestelde procedures”10. In het concept Privacybeleid Wet politiegegevens worden onder andere de volgende onderwerpen geadresseerd:

9

Zoals het Besluit politiegegevens (Bpg), het Besluit politiegegevens boa’s en de Regeling periodieke audit politiegegevens. Concept Privacybeleid Wet politiegegevens, pagina 2

10

pagina 26/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

 Het algemene beleidskader voor de Wpg met de belangrijkste verplichtingen zoals het scheiden van op feiten gebaseerde gegevens en op persoonlijk oordeel gebaseerde gegevens, het loggen van invoeren en verwerken van persoonsgegevens (in het informatiesysteem BRS) en de specifieke eisen uit het Besluit politiegegevens.  De rechten van betrokkenen, waarvan de procedures op hoofdlijnen gelijk zijn met hetgeen er in het privacybeleid voor de AVG is opgenomen.  Bewustwording en training van medewerkers die te maken krijgen met politiegegevens en BRS, waaronder een Wpg e-learning voor nieuwe medewerkers en een aanvullende extern belegde training voor Boa’s die al in dienst zijn. Strategisch informatiebeveiligingsbeleid Drechtsteden 2020-2024 Ook het strategisch informatiebeveiligingsbeleid voor de Drechtsteden sluit aan bij het VNG-model wat hiervoor beschikbaar is, alleen dan wel bij een eerdere versie hiervan. Het huidige VNG-model is recenter dan het geldende beleid. Ook het informatiebeveiligingsbeleid wordt momenteel geactualiseerd, de verwachting is dat hiervoor het meest recente model wordt gevolgd.

Het huidige beleid bevat de volgende gemeente specifieke bepalingen ten opzichte van het gehanteerde model:  Als specifieke resultaatgebieden voor de Drechtsteden worden gedefinieerd: − Risicomanagement: de organisaties in staat stellen om een duidelijk beeld te krijgen op informatiebeveiligingsrisico's en hoe de risicobereidheid door maatregelen kunnen worden afgedekt. −

Kennis en kunde: alle verantwoordelijk medewerkers en dan met name de informatiebeveiligingsadviseurs moeten voldoende kennis en kunde hebben om hun taak te kunnen uitvoeren. De CISO en de informatiebeveiligingsadviseurs dragen zorg voor kennisoverdracht en bewustwording binnen de rest van de organisatie.

−

Compliance management: er dient gecontroleerd te worden of systemen en applicaties voldoen aan gestelde eisen en welke risico’s voortkomen uit discrepanties.

−

Klantbeleving: andere medewerkers voelen zich gesteund door informatiebeveiliging en hebben hier een positief oordeel over.

−

Innovatiemanagement: er wordt gezorgd dat Papendrecht toekomstbestendig blijft.

 Leveranciersmanagement: er is een transitie gaande naar inkoop vanuit het transitieplan en de inkoop strategie. Hierdoor is het nodig om op strategisch niveau contacten te hebben en onderhouden met de belangrijke leveranciers. −

Informatiemanagement: zorgen dat er in de beginfase van het voortbrengingsproces al aandacht gevestigd wordt op Privacy by Design en Security by Design. − Ondersteunen bij crisis- en incidentenmanagement. − Gevraagd en ongevraagd advies geven vanuit het CISO-team. − Security governance: het duidelijk neerzetten van een security governance structuur. De organisatie moet eigenaarschap hebben belegd en verantwoordelijkheid nemen op de risico’s die worden gelopen en de maatregelen die worden getroffen.  Specifiek voor gemeente Papendrecht is een rol- en taakverdeling opgenomen die afwijkt van het VNG-model en van de hoofdtekst van het beleid. Samengevat ziet deze er als volgt uit: −

Het college van B&W stelt driejaarlijks het beleid vast;

−

De gemeentesecretaris stelt een informatiebeveiligingsplan vast, en is verantwoordelijk voor het opstellen en uitvoeren van aanvullende tactische beleidsregels en hiermee ook de juiste toepassing van de BIO;

pagina 27/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

−

De lokale informatiebeveiligingsadviseur ondersteunt vanuit een onafhankelijke positie de gemeente en rapporteert rechtstreeks aan de gemeentesecretaris;

−

In de planning- en controldocumenten moet er aandacht zijn voor informatiebeveiliging, risicovolle onderwerpen dienen ook te worden geadresseerd in auditplannen;

−

De proceseigenaren zijn verantwoordelijk voor de informatiebeveiliging van hun processen, inclusief de autorisaties van hun medewerkers;

−

Beveiligingsmaatregelen worden genomen op basis van risicomanagement, hiertoe moet de proceseigenaar een quickscan informatiebeveiliging en privacy uitvoeren o.b.v. BIO;

−

Alle werknemers worden getraind in het gebruik van beveiligingsprocedures en moeten online nascholingsmodules volgen op het gebied van informatiebeveiliging.

Op dit moment wordt door Servicegemeente Dordrecht gewerkt aan een actualisatie van het Strategisch Informatieveiligheidsbeleid Drechtsteden. Dit beleidsstuk zal lokaal worden vastgesteld. . Een vast evaluatiemoment van het beleid of het proces tot vaststelling en actualisatie hiervan is op dit moment niet afgesproken binnen de Drechtsteden. Digitaliseringsagenda Het college werkt aan een nieuwe digitaliseringsagenda. Deze agenda is nog niet vastgesteld maar al wel besproken in het college. De agenda zal meer nadruk leggen op de ethische kant van digitalisering, gebaseerd op waarden zoals betrouwbaarheid. Het doel van de agenda is om meer te sturen op digitaliseringsvraagstukken en fundamenteel na te denken over de betekenis van digitale ontwikkelingen in plaats van alleen de technische kant. De insteek van de agenda is daarnaast om het onderwerp minder ICT-technisch te benaderen en vooral als een politiek en bestuurlijk vraagstuk. De bestuurlijke discussie op basis van de agenda raakt vaak aan privacy en het privacybeleid, omdat dit één van de waarden/thema’s is die aan bod komt bij digitaliseringsvraagstukken. Getracht wordt het nadenken over en werken aan de digitaliseringsagenda vooral ook regionaal vorm te geven en daarmee te anticiperen op de veranderende wet- en regelgeving die gemeenten vanaf 2026 opgelegd wordt vanuit Europa.

3.2

Processen

In dit hoofdstuk wordt bezien of en hoe de werkprocessen binnen de gemeente zijn verankerd, waarbij in het bijzonder wordt gekeken naar de processen op het gebied van gegevensbescherming en privacy. Papendrecht werkt al geruime tijd aan het programma ‘Processen op orde’, dat als doel heeft alle werkprocessen van de gemeente goed vast te leggen, inclusief bijbehorende beveiligingsmaatregelen. In dit onderzoek is geconstateerd dat de volgende werkprocessen zijn vastgelegd op het gebied van gegevensbescherming en privacy: Proces

Titel

Inhoud

Opstellen DPIA

Hoe komt een DPIA tot stand binnen de Drechtsteden

 Wanneer en hoe maak je een DPIA  Rol FG en Privacy Coördinator bij DPIA  Verplichting om uiterlijk 3 maanden na uitvoering DPIA de daadwerkelijk genomen maatregelen te melden aan de FG

pagina 28/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

 Verplichting DPIA te wijzigen als verwerking wijzigt, minstens 1x per 2 jaar moet de DPIA sowieso opnieuw worden beoordeeld en indien nodig herzien (PDCA-cyclus) Datalek afhandelen

Werkwijze bij ingekomen melding: datalekmelding

Beschrijft het werkproces wat wordt gevolgd nadat een medewerker een datalek heeft gemeld door gebruik te maken van de knop ‘melden beveiligingsincident’ op SID (een intern systeem). Het proces omschrijft zowel de informatie die de melder moet leveren als de opvolging van de melding door de Privacy Coördinator.

Overdracht persoonsgegevens op verzoek betrokkene (recht op dataportabiliteit, oftewel het kunnen meenemen van je gegevens naar een andere organisatie)

Werkinstructie Persoonsgegevens verzoek overdracht in gemeenten die niet samenwerken met Dienstverlening Drechtsteden en Zaaktype Persoonsgegevens dataportabliteit verzoek

Beschrijft het proces wat gevolgd wordt nadat een betrokkene via de website van de gemeente een verzoek om de overdracht van zijn persoonsgegevens heeft gedaan. Hiervoor is een formulier op de site beschikbaar. De Privacy Coördinator neemt het voortouw bij de afhandeling.

Verwijderen persoonsgegevens op verzoek betrokkene (recht om vergeten te worden)

Werkinstructie Persoonsgegevens verwijderingsverzoek gemeenten die niet samenwerken met Dienstverlening Drechtsteden en Zaaktype Persoonsgegevens verwijderingsverzoek

Betrokkenen kunnen via een formulier op de site van de gemeente een verzoek tot verwijdering van persoonsgegevens indienen. De Privacy Coördinator neemt het voortouw bij de inhoudelijke afhandeling. Er is daarnaast een ‘Notitie m.b.t. inzageverzoek en verwijderingsverzoek’ die nadere inhoudelijke kaders stelt.

Verzoek tot inzage persoonsgegevens

Werkinstructie Persoonsgegevens inzageverzoek gemeenten die niet samenwerken met Dienstverlening Drechtsteden art 15 AVG

Betrokkenen kunnen via een formulier op de site van de gemeente een verzoek tot inzage van de hun persoonsgegevens indienen. De Privacy Coördinator neemt het voortouw bij de inhoudelijke afhandeling. Er is daarnaast een ‘Notitie m.b.t. inzageverzoek en verwijderingsverzoek’ die nadere inhoudelijke kaders stelt.

Verzoek tot beperken verwerking persoonsgegevens

Werkinstructie Persoonsgegevens verzoek tot beperken verwerking in gemeenten die niet samenwerken met Dienstverlening Drechtsteden art 18 AVG en Zaaktype Persoonsgegevens beperking verwerking verzoek

Betrokkenen kunnen via een formulier op de site van de gemeente een verzoek tot het beperken van de verwerking van de hun persoonsgegevens indienen. De Privacy Coördinator neemt het voortouw bij de inhoudelijke afhandeling.

pagina 29/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

Verzoek tot correctie van persoonsgegevens

Werkinstructie Persoonsgegevens correctieverzoek gemeenten die niet samenwerken met Dienstverlening Drechtsteden art 16 AVG en Zaaktype Persoonsgegevens correctieverzoek

Betrokkenen kunnen via een formulier op de site van de gemeente een verzoek doen tot de correctie van persoonsgegevens. De Privacy Coördinator neemt het voortouw bij de inhoudelijke afhandeling.

Afhandelen bezwaar tegen verwerking van persoonsgegevens

Werkinstructie bezwaar verwerking persoonsgegevens in gemeenten die niet samenwerken met Dienstverlening Drechtsteden art 21 AVG en Zaaktype Persoonsgegevens verwerking bezwaar

Betrokkenen kunnen via een formulier op de site van de gemeente bezwaar maken tegen de verwerking van hun persoonsgegevens. De Privacy Coördinator neemt het voortouw bij de inhoudelijke afhandeling.

Deze processen zijn in regionaal verband opgesteld en het is de verantwoordelijkheid van de privacy coördinator om lokaal te zorgen voor borging proces en het actueel houden op de website. Dit is in het nieuwe privacybeleid expliciet opgenomen. Het is op basis van de aangeleverde informatie niet duidelijk of deze werkprocessen periodiek geëvalueerd worden.

pagina 30/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

3.3

Organisatorische inbedding van het beleid

In deze paragraaf wordt beschreven hoe in Papendrecht het beleid organisatorisch is uitgewerkt. Daarbij is aandacht voor de positionering van enkele sleutelfunctionarissen. Dat betreft de Functionaris Gegevensbescherming (FG), de Chief Information Security Officer (CISO) en de Privacy Coördinator (PC). Gezamenlijke FG binnen de Drechtsteden Gemeente Papendrecht heeft geen eigen Functionaris Gegevensbescherming. Er zijn twee Functionarissen Gegevensbescherming aangesteld die gezamenlijk alle Drechtstedengemeenten bedienen, alsmede de Omgevingsdienst Zuid-Holland Zuid. De Gemeenschappelijke Regeling Sociaal en de GR Dienst Gezondheid en Jeugd hebben ieder een eigen FG. De organisatorische aansturing van de FG’s gebeurt door de gemeente Dordrecht. De huidige Functionarissen Gegevensbescherming zijn in 2023 gestart met hun functie. Voordat zij werden aangesteld heeft de bezetting van deze functie enige tijd gewisseld: in 2022 waren er twee andere tijdelijke FG’s actief, die de in 2021 vertrokken FG’s hebben opgevolgd. In de afgelopen drie jaar heeft de FG-functie dus drie verschillende bezettingen gekend. Uit de interviews en de verdiepingssessie met de organisatie blijkt bovendien dat de FG’s niet allemaal dezelfde taken hadden. In het verleden waren er Adviseurs Gegevensbescherming aangesteld, die oa de wettelijke adviestaken van de FG's uitoefenden.

De FG richtte zich toen sec op toezichthoudende taken. Daarna is de capaciteit bij de FG's uitgebreid en zijn de adviestaken weer bij de FG belegd. De huidige FG voor Papendrecht heeft daarom meer tijd om proactief te adviseren. Hij is een traject gestart om te zorgen dat hij meer in het voortraject van besluitvorming en de totstandkoming van stukken wordt betrokken. Ook is de samenwerking met de PC door de huidige FG behoorlijk geïntensiveerd.. CISO Gemeente Papendrecht heeft geen eigen CISO, deze functie is ondergebracht bij de Servicegemeente Dordrecht. De servicegemeente voert de CISO-taak uit voor alle aangesloten Drechtstedengemeenten. Binnen de gemeente Papendrecht zijn lokale Informatiebeveiligingsmedewerkers aangesteld. Op grond van het informatiebeveiligingsbeleid rapporteert de lokale IB-medewerker rechtstreeks aan de gemeentesecretaris. Privacy Coördinator De bezetting van de PC-rol is momenteel in transitie. In de afgelopen periode is de PC-rol bij Papendrecht ingevuld door de eigen concernjurist die hier 1 dag per week capaciteit voor ter beschikking had, aangevuld door externe inhuur. De afgelopen jaren is er sprake geweest van een capaciteitstekort: er was onvoldoende capaciteit beschikbaar om alle privacy-taken goed uit te voeren. Papendrecht heeft daarom recent een fulltime interne PC aangenomen, deze wordt op dit moment ingewerkt door de zittende PC’s.

Binnen de Drechtsteden wordt er veel samengewerkt en afgestemd tussen de PC’s van de verschillende gemeenten, met name via het regionale PC-overleg.

pagina 31/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

3.4

Uitvoering van taken door samenwerkingspartners

Papendrecht heeft veel gemeentelijke taken belegd bij andere organisaties, doorgaans op regionaal niveau. In het nieuwe privacybeleid wordt aandacht gegeven aan de wijze waarop samenwerkingspartners een veilige omgang met informatie kunnen garanderen. Dit kan door het afsluiten van verwerkersovereenkomsten, of door te regelen dat de samenwerkingspartner zelf verwerkingsverantwoordelijke is.

3.4.1

Gemeenschappelijke regelingen

Papendrecht heeft veel gemeentelijke taken belegd bij gemeenschappelijke regelingen, samenwerkingsverbanden en andere organisaties. Binnen het sociale domein zijn deze belegd bij twee gemeenschappelijke regelingen: de Gemeenschappelijke Regeling Sociaal (GR Sociaal) en de Gemeenschappelijke Regeling Dienst Gezondheid & Jeugd Zuid-Holland Zuid (GR DG&J). Beide gemeenschappelijke regelingen hebben een eigen privacybeleid vastgesteld. Dit in lijn is met het privacybeleid zoals dat door Papendrecht en de andere Drechtsteden op dit moment wordt gehanteerd. Hierin is vastgelegd dat de beide gemeenschappelijke regelingen zelf verwerkingsverantwoordelijke zijn. De taken van de deelnemende gemeenten zijn aan de gemeenschappelijke regelingen gedelegeerd. Dit betekent dat de gemeenschappelijke regeling zelfstandig bevoegd is om de overgedragen bevoegdheden uit te oefenen, en zelf bestuurlijke verantwoordelijkheid draagt. Of de gemeenschappelijke regeling daadwerkelijk zelf verwerkingsverantwoordelijke is, moet uiteindelijk op grond van de feitelijke situatie worden bepaald. De belangrijkste vraag is in hoeverre de deelnemers door middel van instructies, verordeningen of beleidsregels het doel en de middelen van de verwerking van persoonsgegevens vaststellen.

Als dit feitelijk door de deelnemers wordt bepaald, dan is de gemeenschappelijke regeling toch een verwerker en niet zelf verwerkingsverantwoordelijke. Op basis van de informatie die tot onze beschikking staat concluderen wij dat beide gemeenschappelijke regelingen zelf verwerkingsverantwoordelijke zijn. Wij hebben namelijk geen instructies of beleidsregels van Papendrecht kunnen terugvinden waarin het doel of de middelen van gegevensverwerking door de gemeenschappelijke regelingen worden bepaald. Dit betekent dat de gemeenten die bij deze gemeenschappelijke regelingen zijn aangesloten niet tevens een verwerkersovereenkomst met de gemeenschappelijke regeling hoeven te sluiten met betrekking tot het verwerken van de persoonsgegevens van hun inwoners. Het gaat in dit geval namelijk om een samenwerking tussen meerdere verwerkingsverantwoordelijken, en niet om een verwerkersrelatie. Wel moeten het openbare lichaam van een gemeenschappelijke regeling en de deelnemende bestuursorganen een regeling vaststellen waarin zij hun onderlinge verantwoordelijkheid voor de nakoming van de verplichtingen uit de AVG afstemmen. De desbetreffende regeling is vormvrij. Gesteld zou kunnen worden dat het privacybeleid zoals dat door de diverse organisaties is vastgesteld al grotendeels aan deze eis voldoet.

De diverse beleidsdocumenten zijn duidelijk inhoudelijk op elkaar geïnspireerd en bevatten een aanzet tot een verantwoordelijkheidsverdeling. Deze aanzet zou nog in meer detail kunnen worden uitgewerkt. Dat hoeft niet noodzakelijkerwijs in het (algemene) privacybeleid, maar kan ook per geval worden vastgesteld. Wel is het zinvol om hier goede (proces)afspraken over te maken, om te zorgen dat de verantwoordelijkheidsverdeling tussen alle partijen duidelijk is zodat in concrete gevallen tijdig kan worden bepaald welke partij aan zet is (verantwoordelijk is) voor het uitvoeren van specifieke activiteiten, zoals een DPIA.

pagina 32/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

GR Sociaal De GR Sociaal kent twee uitvoeringsorganisaties:  Sociale Dienst Drechtsteden, waar de taken van Papendrecht op het gebied van de Participatiewet en aanverwante wetten, de Wet maatschappelijke ondersteuning, de Wet op de schuldhulpverlening, de Wet Kinderopvang en de Wet werk en inkomen zijn ondergebracht.  Drechtwerk, waar de taken van Papendrecht op het gebied van de Wet sociale werkvoorziening zijn ondergebracht. De GR Sociaal heeft eigen privacybeleid vastgesteld, en heeft een eigen FG De GR Sociaal wordt bestuurd door een Algemeen Bestuur, waarin alle deelnemende gemeenten door een collegelid vertegenwoordigd zijn. Daarnaast is er een driekoppig dagelijks bestuur. Een gedeelte van de uitvoering van de Wet inburgering is gemandateerd aan de GRS, die de taak uitvoerde als verwerker. GR DG&J Bij de GR DG&J zijn de gemeentelijke taken van Papendrecht op het gebied van de Wet publieke gezondheid, de Leerplichtwet, de Jeugdwet, de Regionale Ambulancevoorziening en Veilig Thuis ondergebracht. Per 1 juli 2024 kent deze GR de volgende uitvoeringsorganisaties:  Leerplicht en Voortijdig Schoolverlaten ZHZ  Serviceorganisatie Jeugd ZHZ  Veilig Thuis  GGD De GR DG&J heeft eigen privacybeleid vastgesteld, dat in lijn is met dat van de deelnemende gemeenten. De GR DG&J heeft een eigen FG.

3.4.2

Verwerkersovereenkomsten met samenwerkingspartners

Naast de deelname aan gemeenschappelijke regelingen heeft Papendrecht met een aantal samenwerkingspartners een verwerkersovereenkomst gesloten. Hierbij hanteert Papendrecht een model-verwerkersovereenkomst, die is geënt op de model-verwerkersovereenkomst van VNG. Het model van VNG bevat geen bepaling met betrekking tot het periodiek evalueren van de verwerkersovereenkomst. Een evaluatiebepaling is ook geen verplichting op grond van de AVG. Wel is het een best practice om verwerkersrelaties en -overeenkomsten periodiek te evalueren. Tegen deze achtergrond zijn wij ook ingegaan op de (afwezigheid van) evaluatiebepalingen in de verwerkersovereenkomsten.11 Bij dit onderzoek zijn zeven geldige verwerkersovereenkomsten aangetroffen. Het is op basis van de beschikbare informatie niet duidelijk of dit alle geldige verwerkersovereenkomsten zijn die gemeente Papendrecht heeft gesloten. Er is een overzicht van gesloten verwerkersovereenkomsten uit 2018, maar deze dient geactualiseerd te worden. In de jaarlijkse FG-adviezen van 2020, 2021 en 2022 wordt steeds aanbevolen om een overzicht van verwerkersovereenkomsten op te stellen. Dit is voor zover wij kunnen vaststellen tot op heden niet gebeurd. Wel zouden de verwerkingen op grond van de verwerkersovereenkomsten inmiddels zijn ondergebracht in het Register van verwerkingen.

Dit zien wij inderdaad terug in het register, maar het is op basis van de beschikbare informatie niet mogelijk te constateren of het register op dit punt volledig en actueel is. 11

De afwezigheid van een evaluatiebepaling in de verwerkersovereenkomsten betekent niet noodzakelijkerwijs dat er geen afspraken zijn gemaakt over evaluatie of dat er niet geëvalueerd wordt. In dit onderzoek hebben wij niet kunnen constateren dat dit gebeurt (is).

pagina 33/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

Verwerkersovereenkomst Servicegemeente Dordrecht Servicegemeente Dordrecht voert voor de gemeente Papendrecht een groot aantal taken uit op het gebied van bedrijfsvoering, personeel en organisatie en ICT, waaronder zoals eerder vastgesteld de CISO-taak. Daarnaast voert Servicegemeente Dordrecht taken uit op het gebied van belastingheffing. In de verwerkersovereenkomst zijn alle zaken geregeld die in het kader van de AVG verplicht zijn, zoals het nemen van organisatorische en technische maatregelen ter bescherming van persoonsgegevens en wat er moet gebeuren ingeval van een incident of datalek. Er zijn ten opzichte van de verplichte onderdelen op grond van de AVG geen aanvullende afspreken gemaakt. Ook bevat de verwerkersovereenkomst geen evaluatiebepaling, en ook geen bepaling over reguliere rapportages met betrekking tot de bescherming van persoonsgegevens aan Papendrecht. Verwerkersovereenkomst behorende bij de uitvoeringsovereenkomst Sterk Papendrecht 2019 Deze verwerkersovereenkomst ziet op de taken die Stichting Sociale Basis uitvoert op grond van de uitvoeringsovereenkomst Sterk Papendrecht 2019. In de verwerkersovereenkomst zijn alle zaken geregeld die in het kader van de AVG verplicht zijn, zoals het nemen van organisatorische en technische maatregelen ter bescherming van persoonsgegevens en wat er moet gebeuren in geval van een incident of datalek.

Er zijn ten opzichte van de verplichte onderdelen op grond van de AVG geen aanvullende afspreken gemaakt. Ook bevat de verwerkersovereenkomst geen evaluatiebepaling, en ook geen bepaling over reguliere rapportages met betrekking tot de bescherming van persoonsgegevens aan Papendrecht. Er is een subsidierelatie met de Stichting Sociale Basis en Stichting Jeugdteams. Sterk Papendrecht treed naar buiten voor deze twee stichtingen. Verwerkersovereenkomst behorende bij de subsidiebeschikking 2021 Coördinator vroegsignalering schulden Deze verwerkersovereenkomst ziet op het uitvoeren van vroegsignalering van schulden door de Stichting Sociale Basis. Hiervoor ontvangt de stichting subsidie van uit de gemeente. In de verwerkersovereenkomst zijn alle zaken geregeld die in het kader van de AVG verplicht zijn, zoals het nemen van organisatorische en technische maatregelen ter bescherming van persoonsgegevens en wat er moet gebeuren ingeval van een incident of datalek. Er zijn ten opzichte van de verplichte onderdelen op grond van de AVG geen aanvullende afspreken gemaakt. Ook bevat de verwerkersovereenkomst geen evaluatiebepaling, en ook geen bepaling over reguliere rapportages met betrekking tot de bescherming van persoonsgegevens aan Papendrecht.

Verwerkersovereenkomst Signalerend huisbezoek Sociale Basis – Papendrecht Deze verwerkersovereenkomst ziet op het uitvoeren van signalerende huisbezoeken, waarvoor de Stichting Sociale Basis subsidie ontvangt van de gemeente. In de verwerkersovereenkomst zijn alle zaken geregeld die in het kader van de AVG verplicht zijn, zoals het nemen van organisatorische en technische maatregelen ter bescherming van persoonsgegevens en wat er moet gebeuren ingeval van een incident of datalek. Er zijn ten opzichte van de verplichte onderdelen op grond van de AVG geen aanvullende afspreken gemaakt. Ook bevat de verwerkersovereenkomst geen evaluatiebepaling, en ook geen bepaling over reguliere rapportages met betrekking tot de bescherming van persoonsgegevens aan Papendrecht. Verwerkersovereenkomst GR Sociaal m.b.t. Inburgering Papendrecht heeft haar wettelijke taken op het gebied van inburgering aan de GR Sociaal gemandateerd. Deze verwerkersovereenkomst dekt de uitvoering van deze taken. In de pagina 34/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

verwerkersovereenkomst zijn alle zaken geregeld die in het kader van de AVG verplicht zijn, zoals het nemen van organisatorische en technische maatregelen ter bescherming van persoonsgegevens en wat er moet gebeuren ingeval van een incident of datalek. Er zijn ten opzichte van de verplichte onderdelen op grond van de AVG geen aanvullende afspreken gemaakt. Ook bevat de verwerkersovereenkomst geen evaluatiebepaling, en ook geen bepaling over reguliere rapportages met betrekking tot de bescherming van persoonsgegevens aan Papendrecht. Verwerkersovereenkomst uitvoering woonwagenbeleid en woonwagen locatie onderzoek Deze overeenkomst is gesloten tussen Papendrecht en Companen, een organisatie die het woonwagenbeleid van de gemeente en een woonwagen locatie onderzoek uitvoert. In de verwerkersovereenkomst zijn alle zaken geregeld die in het kader van de AVG verplicht zijn, zoals het nemen van organisatorische en technische maatregelen ter bescherming van persoonsgegevens en wat er moet gebeuren ingeval van een incident of datalek. Er zijn ten opzichte van de verplichte onderdelen op grond van de AVG geen aanvullende afspreken gemaakt. Ook bevat de verwerkersovereenkomst geen evaluatiebepaling, en ook geen bepaling over reguliere rapportages met betrekking tot de bescherming van persoonsgegevens aan Papendrecht.

Convenant jeugdgroepenaanpak Papendrecht Deze overeenkomst is in maart 2024 gesloten tussen de burgemeester van Papendrecht, de Politie Eenheid Rotterdam, jongerenwerk Suppord (een onderdeel van de gemeentelijke organisatie van Papendrecht) en het Openbaar Ministerie. Incidenteel worden de Raad voor de Kinderbescherming en de jeugdreclassering bij overleggen op grond van deze samenwerking betrokken, maar deze partijen hebben het convenant niet medeondertekend en met hen is ook geen aparte verwerkersovereenkomst gesloten. Het convenant is gebaseerd op de AVG en de Wpg, en ziet zowel op het verwerken van persoonsgegevens als op het verwerken van politiegegevens. Doel is het uitvoeren van een jeugdgroepenaanpak, waarbij signalen en informatie over bestaande en nieuwe problematische jeugdgroepen worden uitgewisseld, om te komen tot groepsgerichte maatregelen, gebiedsgerichte maatregelen. Zo kan waar nodig de beslissing worden genomen om bepaalde personen aan te melden bij een lokaal Zorg- of Veiligheidshuis, of kan ondersteuning vanuit het sociaal domein worden geboden. Hiervoor legt een procesregisseur namens de burgemeester als verwerkingsverantwoordelijke een bestand aan van persoonsgegevens van betrokkenen bij problematische jeugdgroepen en hun ouders of wettelijk vertegenwoordigers.

Dit gebeurt op basis van een ‘bruto’ lijst van namen van personen die worden gelinkt aan de jeugdgroep op basis van de beschikbare politiegegevens, aangevuld met informatie over deze personen. Deze bruto-lijst wordt op verzoek van de burgemeester geleverd door de politie. Op basis van deze bruto-lijst wordt door de samenwerkende partijen gezamenlijk een netto-lijst vastgesteld, waarbij onder meer rekening gehouden wordt met verhuizing en detentie. Periodiek voeren de samenwerkende partijen overleg aan de hand van deze netto-lijst. Hier wordt bepaald of en welke maatregelen worden genomen. In het convenant zijn alle zaken geregeld die in het kader van de AVG verplicht zijn, zoals het nemen van organisatorische en technische maatregelen ter bescherming van persoonsgegevens en wat er moet gebeuren ingeval van een incident of datalek. Voor deze onderdelen is aangesloten bij de model-verwerkersovereenkomst van Papendrecht. Daarnaast worden er aanvullende afspraken gemaakt over welke persoonsgegevens van de desbetreffende jongeren de procesregisseur vastlegt in het bestand problematische jeugdgroepen. Hieronder vallen ook gevoelige gegevens als omschrijvingen van het problematische gedrag van de jongeren, en politiegegevens die door de politie zijn verstrekt.

Alle jongeren die in dit bestand worden opgenomen en hun wettelijk vertegenwoordigers worden hierover door de procesregisseur per brief geïnformeerd. pagina 35/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

In het convenant wordt geen onderscheid gemaakt tussen het verwerken van politiegegevens en het verwerken van persoonsgegevens op grond van de AVG. In principe kunnen alle verwerkingen die op grond van het convenant plaatsvinden om beide soorten gegevens gaan. Verder valt op dat ervoor zover bij ons bekend is geen DPIA is uitgevoerd met betrekking tot het convenant. Dit zou naar ons oordeel wel moeten voordat met de uitvoering van het convenant begonnen wordt, omdat het leidt tot een potentieel groot aantal verwerkingen van persoonsgegevens en politiegegevens, waarbij mogelijk risico’s optreden. Op basis van de beschikbare informatie stellen wij verder vast dat er geen advies aan de FG of de privacy coördinator gevraagd is over dit convenant.

3.5

Klachtenprocedure

De Gemeente Papendrecht heeft momenteel geen klachtenprocedure specifiek voor de AVG. Dit is ook geen wettelijk vereiste. Er wordt, ook in regionaal verband, onderzocht of op basis van het model van de VNG ‘AVG Klachtenprocedure – IBD-versie 2023’een lokale procedure/werkproces opgesteld kan worden. Uit de beschikbare informatie blijkt wel dat er een feitelijk werkende (algemene) klachtenprocedure bestaat in Papendrecht. Het klachtenoverzicht van de gemeente Papendrecht met betrekking tot de AVG bevat in totaal twee klachten, beide uit 2023:  Een klacht met betrekking tot het delen van privégegevens via de gemeente. Deze is ongegrond verklaard, omdat het ging om het delen van gegevens in het kader van vroegsignalering op grond van de Wet gemeentelijke schuldhulpverlening, en hiervoor een afdoende verwerkingsgrondslag bestond.  Een klacht over het verstrekken van privégegevens door de gemeente aan de kerk. Deze is ongegrond verklaard, omdat de gemeente de desbetreffende gegevens niet bleek te hebben verstrekt. De privacyverklaring van de gemeente Papendrecht bevat bovendien afdoende informatie voor betrokkenen over het indienen van een klacht bij de PC of bij de Autoriteit Persoonsgegevens.

3.6

Register van verwerkingen en register van incidenten

Papendrecht voert zoals conform de AVG vereist is een register van verwerkingen. Dit is voor dit onderzoek ingezien en hierin zijn geen concrete onregelmatigheden of tekortkomingen geconstateerd. Wel bevatte het FG-advies over het jaar 2022 forse bevindingen met betrekking tot het register van verwerkingen. Op basis van de beschikbare informatie kunnen wij niet vaststellen of deze nu allemaal zijn opgelost. Ook houdt Papendrecht een register van incidenten en mogelijke datalekken bij. Voor dit onderzoek is het register voor de jaren 2020 t/m 2022 bekeken. Er is in deze periode geen enkel datalek gemeld wat heeft geleid tot een melding bij de Autoriteit Persoonsgegevens. Het ging in alle gevallen om incidenten waarbij er slechts beperkte risico’s aan de orde waren, zoals een e-mail die per abuis aan te veel personen was geadresseerd of een formulier wat in een printer was blijven liggen. Verder zijn er twee incidenten gemeld met betrekking tot softwareleveranciers: één koppeling tussen twee programma’s die enige tijd voor iedereen open heeft gestaan, maar waarbij geen inbreuk is geconstateerd, en één externe cyberaanval op een leverancier van Papendrecht, waarbij geen persoonsgegevens van Papendrecht zijn buitgemaakt. Bovendien waren er in deze hele periode in pagina 36/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

totaal slechts 11 gemelde incidenten. Op basis van de beschikbare informatie kan niet worden vastgesteld of het lage aantal gemelde datalekken en incidenten veroorzaakt wordt doordat er daadwerkelijk weinig datalekken en incidenten plaatsvinden, of doordat deze zich in de praktijk wel vaker voordoen, maar niet worden gemeld.

pagina 37/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

4.

Gegevensbescherming in de praktijk

4.1

De praktijk binnen de organisatie

Een zorgvuldige omgang met persoonlijke gegevens moet een kernwaarde zijn van elke medewerker in een overheidsorganisatie. Daarmee vormen de menselijke factor en de dagelijkse uitvoeringspraktijk een gemeente- en organisatiebreed aandachtspunt. In de interviews en één verdiepende mini-PIA met betrekking tot de uitvoering van de Wpg is inzicht verkregen over de wijze waarop het privacybeleid van de gemeente in de dagelijkse praktijk tot uitdrukking komt. De dagelijkse uitvoeringspraktijk beperkt zich niet tot de gang van zaken in de ambtelijke organisatie van de gemeente. In het kader van het onderzoek is ook aandacht besteed aan de positie van de raad. Bovendien is kort geïnventariseerd wat de rol en betrokkenheid van de OR is met betrekking tot privacy en bescherming van persoonsgegevens.

4.1.1

Algemene bevindingen

Portefeuilleverdeling en verantwoordelijkheden in het college Hoewel het geen onderdeel is van het privacybeleid an sich, gaan we in deze passage ook kort in op de portefeuilleverdeling in het college. Uit de door ons gevoerde gesprekken blijkt dat het college de bestuurlijke verantwoordelijkheid voor het onderwerp privacy ervaart. De burgemeester is portefeuillehouder van privacy in het algemeen en daar waar het openbare orde en veiligheid betreft. Een wethouder heeft de portefeuille digitalisering en informatieveiligheid. In dit onderzoek zijn geen problemen of vraagstukken naar voren gekomen ten aanzien van de huidige portefeuille- en verantwoordelijkheidsverdeling in het college. Schets organisatiecultuur met betrekking tot privacy Uit de interviews en de bevindingen naar aanleiding van de documentstudie rijst een beeld op van een cultuur van vrijblijvendheid met betrekking tot veel geldend beleid over privacy en gegevensbescherming. Veel van de afspraken en beleidsvoornemens die door Papendrecht op papier zijn gezet en formeel zijn vastgesteld, worden in de praktijk niet of niet altijd nagekomen. Na afloop van een DPIA wordt niet altijd verslag gedaan aan de FG over de daadwerkelijk genomen maatregelen, zoals op grond van het vastgestelde werkproces voor DPIA’s verplicht is.

DPIA’s worden voor zover bij ons bekend ook niet na de hiervoor vastgestelde termijn opnieuw bezien. Het onderwerp privacy komt voor zover bij ons bekend niet periodiek aan de orde bij interne overleggen binnen de gehele gemeentelijke organisatie van Papendrecht (anders dan het reguliere overleg tussen de PC’s en de FG), zoals op grond van het geldende privacybeleid van Papendrecht wel zou moeten gebeuren. Ook het privacybeleid en de werkprocessen rond de AVG en de Wpg zelf worden niet op vaste tijdstippen geëvalueerd en waar nodig herzien. Op basis van de beschikbare informatie kunnen wij niet constateren dat er sprake is van een functionerende PDCA-cyclus. Deelname van nieuw personeel aan activiteiten op het gebied van privacybewustwording is verplicht gesteld. Verder worden in de maand oktober van elk jaar vele bewustwordingsactivitetiten opgezet, waaraan deelname wordt gestimuleerd. Daarnaast is de e-learning betreffende AVG en informatieveiligheid, volgens het informatieveiligheidsbeleid verplicht (10 gouden regels) en is er begin 2024 een nieuwe elearning "Sir Askalot" gestart. Elke medewerker krijgt elke week een paar vragen te beantwoorden. Een uitgebreidere e-learning wordt ontwikkeld en waarschijnlijk verplicht gesteld.

pagina 38/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

Activiteiten van de FG’s De FG’s Drechtsteden voeren jaarlijks een FG-meting uit met betrekking tot de gemeente Papendrecht, waarbij zij de stand van zaken op het gebied van gegevensbescherming en privacy in de gemeente Papendrecht inventariseren en de organisatie adviezen geven over verbeteringen. De FG-adviezen over april 2020- april 2021, april t/m december 2021 en het jaar 2022 zijn bij dit onderzoek betrokken. De rapportage over het jaar 2022 is door de tijdelijke interim-FG’s geschreven, de twee eerdere rapporten door de voorgaande vaste functionarissen. De huidige nieuwe FG komt dit jaar met een FG-advies over het jaar 2023. Een deel van de aanbevelingen die de FG’s in de onderzochte adviezen hebben gedaan is inmiddels opgevolgd. Zo is het Register van verwerkingen aangevuld en verbeterd, en is er bij inkoop van ICT meer ingezet op Privacy by Design vanuit de CISO en de Servicegemeente Dordrecht. Ook is de organisatie beter bij gaan houden hoeveel medewerkers aan welke nascholingsactiviteiten en activiteiten rondom bewustwording hebben deelgenomen.

De belangrijkste nog openstaande aanbevelingen uit de drie onderzochte FG-adviezen (2020 – 2022) zijn:  In de FG-adviezen over alle drie getoetste jaren wordt aanbevolen om een actueel en volledig overzicht te maken van benodigde en afgesloten verwerkersovereenkomsten, alsmede van situaties van gezamenlijke verwerkingsverantwoordelijkheid (zoals bij de gemeenschappelijke regelingen). Ook wordt het advies gegeven om waar nodig aanvullende verwerkersovereenkomsten te sluiten. Deze aanbevelingen zijn tot op heden voor zover bij ons bekend niet opgevolgd. In het register van verwerkingen is weliswaar informatie toegevoegd over verwerkingen die op grond van verwerkersovereenkomsten plaatsvinden, maar op basis hiervan kan niet worden vastgesteld of hiermee alle verwerkersovereenkomsten afgedekt zijn. Mogelijk bestaan er overeenkomsten die niet zijn verwerkt in het Register. Bovendien kan uit het Register niet worden afgeleid hoe lang de desbetreffende overeenkomst al loopt en of er evaluatie c.q. herziening heeft plaatsgevonden. Er staat een actualisatie van het register op de planning voor de tweede helft van 2024, waarbij alle verwerkingen worden doorgelopen met proceseigenaren.  In 2020 heeft de FG geconstateerd dat er een achterstand ingehaald moest worden op gebied van het uitvoeren van DPIA’s.

Deze achterstand bestond blijkens de FG-adviezen over 2021 en 2022 in deze jaren nog steeds. De FG-adviezen refereren aan een plan voor het prioriteren van de nog uit te voeren DPIA’s op basis van risicoanalyse, met daarbij een planning, waarvan de haalbaarheid wordt betwijfeld. De gemeente werkt op dit moment aan het programma ‘Processen op orde’, waarin een afweging wordt gemaakt over het uitvoeren van een DPIA voor kritieke processen. In paragraaf 4.1.2 gaan we verder in op dit programma. Op basis van de beschikbare informatie kan worden vastgesteld dat er nog steeds sprake is van achterstanden en vertragingen met betrekking tot het uitvoeren van DPIA’s. Ook een aantal specifiek door de FG aanbevolen DPIA’s, zoals met betrekking tot het thuiswerken, AFAS en de wijkteams binnen het sociaal domein, zijn nog niet uitgevoerd. Aan een DPIA voor MS Teams wordt in regionaal verband gewerkt. De uitkomsten hiervan zijn ten tijde van de onderzoeksperiode nog niet bekend. Capaciteitsgebrek bij het privacy-office van Papendrecht is hier mede de aanleiding toe geweest. Na constatering door de FG in 2021 zijn er verbeteringen doorgevoerd in het DPIA provces. De processenstappen na advies van de FG op een DPIA zijn aangescherpt. Zo wordt er terug gerapporteerd aan de FG over de genomen maatregelen en wordt er een besluit tot risicoacceptatie genomen.

De nauwere banden met de FG hebben daar een positieve invloed op. Wel wordt een DPIA nog zeker niet in alle gevallen adequaat opgevolgd (in termen van te nemen maatregelen), en voor zover wij kunnen vaststellen zijn deze nog niet periodiek herbezien.  Alle drie de FG-adviezen bevatten aanbevelingen met betrekking tot het regelmatig uitnodigen van de FG bij vergaderingen van het midden- en hogere management en het vroegtijdig betrekken van pagina 39/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

de FG wanneer beslissingen met gevolgen voor gegevensbescherming zullen worden genomen. Met betrekking tot het vroegtijdig betrekken van de FG kan in het recente verleden zeker een verbetering worden geconstateerd. De huidige FG geeft aan steeds vaker vroegtijdig te worden betrokken door de ambtelijke organisatie (bijvoorbeeld door middel van een pre-DPIA).  De FG heeft aangegeven in het algemeen minder betrokkenheid te hebben op hoger managementniveau (managementniveau boven teamleiders). Dit contrasteert in negatieve zin met zijn steeds betere betrokkenheid op het niveau van de medewerkers en de teamleiders.  De FG heeft in alle drie getoetste jaren geadviseerd het Register van verwerkingen op de website van de gemeente te publiceren. Dit is niet verplicht op grond van de AVG, maar heeft wel een positief effect op de positie van betrokkenen. Deze aanbeveling wordt bij de actualisering in 2024 opgevolgd.  In 2022 is een externe audit uitgevoerd op grond van de Wpg. Deze bevatte een grote hoeveelheid verbeterpunten. Daarom meldde de FG in zijn advies over 2022 dat een herstelplan en plan van aanpak moesten worden opgesteld. Er is een verbeterplan met maatregelen opgesteld en er zijn diverse acties uitgevoerd naar aanleiding van deze audit. In paragraaf 4.1.2 wordt hier nader op ingegaan.

 De FG heeft in 2022 aanbevolen om het trainingsprogramma dat wordt uitgevoerd ter verhoging van het privacy bewustzijn onder de medewerkers van Papendrecht te evalueren. Dit programma is meerdere keren aangepast en verbeterd. Het FG verslag over 2023 was tijdens de onderzoeksperiode nog niet beschikbaar. Uit de interviews blijkt dat met de aanstelling van de huidige FG’s een positieve ontwikkeling op het gebied van de betrokkenheid van en samenwerking met de FG’s in gang is gezet, met name op het niveau van de medewerkers en de teamleiders. De huidige FG’s worden gewaardeerd om hun proactieve houding en benaderbaarheid. Uit de interviews blijkt ook dat de betrokkenheid van de FG’s bij initiatieven waarbij er iets speelt op het gebied van privacy en gegevensbescherming niet altijd is gegarandeerd. De FG voor Papendrecht is wel agendalid van portefeuillehoudersoverleg, zodat hij is aangehaakt bij de stukkenstroom richting het college van B&W. Dit geeft hem de gelegenheid om stukken te beoordelen op privacy en de bescherming van persoonsgegevens en indien nodig te handelen op basis daarvan. Dit laatste is een aantal keer voorgekomen. De FG geeft aan in de toekomst toe te willen werken naar een situatie waarin hij zich iets meer terug kan trekken en er binnen de organisatie geborgd is dat hij tijdig betrokken wordt wanneer dit nodig is.

Met betrekking tot de betrokkenheid van de FG in verschillende overleggen, hebben we bevonden dat de FG regulier overleg heeft met de gemeentesecretaris naar aanleiding van de jaarstukken en het FG verslag. Ook is er periodiek overleg tussen de FG en de privacy coördinatoren. Ten tijde van de onderzoeksperiode was de FG (nog) niet aanwezig geweest bij het MT van de gemeente en was er (nog) geen overleg geweest met de concerncontroller, hoewel de aanwezigheid van de FG bij dergelijke overleggen wel een meerwaarde kan hebben. Activiteiten van de Privacy Coördinatoren Uit de gehouden interviews en de FG-adviezen van de afgelopen jaren blijkt duidelijk dat de achterstand die Papendrecht heeft opgelopen op het gebied van gegevensbescherming en privacy mede te wijten is aan capaciteitsgebrek bij de Privacy Coördinatoren. Papendrecht heeft er daarom voor gekozen om in 2023 een fulltime Privacy Coördinator in vaste dienst aan te stellen. De effecten hiervan blijken nog niet uit dit onderzoek, waarschijnlijk omdat deze persoon op dit moment nog wordt ingewerkt door de huidige coördinatoren. Uit de interviews blijkt dat de Privacy Coördinatoren de pagina 40/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

nodige plannen hebben om verbeterpunten aan te pakken, zoals het periodiek en gestructureerd aan de orde laten komen van privacy bij diverse overleggen binnen de organisatie. Verder willen ze de achterstanden op het gebied van DPIA’s inlopen, maar door het voormelde capaciteitsgebrek is het nog niet tot daadwerkelijke uitvoering van deze plannen gekomen. Per juli 2024 is een tijdelijke projectleider voor het project "Processen op orde" gestart, die de meest relevante processen in beeld zal brengen, waarvan procesbeschrijvingen gemaakt worden. Daarnaast wordt dan per proces ingezoomd op relevante wetgeving, waaronder de AVG en wordt gekeken naar de vereiste DPIA'S en verwerkersovereenkomsten. Op basis van de interviews kan worden geconstateerd dat er met betrekking tot de activiteiten van de Privacy Coördinatoren nog sprake is van een transitiefase. Niet alle medewerkers weten de privacy coördinatoren even goed te vinden, bovendien voelen zij zich ook niet in alle gevallen adequaat ondersteund. Het is naar wij kunnen vaststellen in de onderzochte periode zelfs meerdere keren voorgekomen dat medewerkers van Papendrecht advies en ondersteuning vroegen aan de Privacy Coördinator van een andere Drechtsteden-gemeente in plaats van aan de eigen coördinatoren.

Activiteiten op het gebied van het vergroten van het privacy bewustzijn en (na)scholing Papendrecht heeft een privacybewustwordingsplan/nascholingsplan voor de medewerkers op het gebied van privacy. Voor nieuwe medewerkers staan de trainingen per jaar ingepland en in de maand oktober vindt altijd de WIPI plaats. De activiteiten op het gebied van het vergroten van het privacy bewustzijn en nascholing van de medewerkers van de gemeente Papendrecht bestaan uit:  Uitvoeren van een e-learningmodule op het gebied van informatiebeveiliging en privacy (Sir AskA-Lot). Dit wordt vanuit het CISO-team geïnitieerd. Ook raadsleden krijgen vragen vanuit deze module op hun Papendrecht-mailaccount.  Training voor alle nieuwe medewerkers op het gebied van gegevensbescherming en privacy.  Jaarlijkse weken van de Informatiebeveiliging, privacy en integriteit (WIPI). Deze worden vanuit de Privacy Coördinatoren, informatieveiligheidsadviseurs en het CISO-team georganiseerd. Gedurende deze maand wordt een aantal lunchbijeenkomsten georganiseerd over actuele onderwerpen met betrekking tot onder meer privacy en gegevensbescherming, en wordt er ook op andere manieren aandacht aan deze onderwerpen besteed. Medewerkers worden door de gemeentesecretaris uitgenodigd om hier actief aan deel te nemen en de deelname wordt ook bijgehouden, maar dit is niet verplicht.

Uitvoerende teams De teamleiders van de uitvoerende teams zijn ervoor verantwoordelijk dat binnen hun team aan de AVG en (voor zover van toepassing) de Wpg wordt voldaan. Uit de interviews blijkt dat deze verantwoordelijkheid ook echt gevoeld wordt, en er sprake is van een hoge mate van betrokkenheid. Door capaciteits- en kennisgebrek binnen de teams is het echter niet altijd gemakkelijk om hier ook daadwerkelijk uitvoering aan te geven. Hierdoor ontstaan achterstanden op het gebied van gegevensbescherming en privacy. DPIA’s blijven soms te lang liggen of worden niet tijdig afgerond of opgevolgd. Complicerende factor hierbij is dat veel taken op regionaal niveau zijn belegd, maar hier in de afgelopen jaren ook het nodige in is gewijzigd. Daarom is het niet altijd duidelijk voor alle betrokken organisaties of een DPIA op regionaal of lokaal niveau moet worden opgepakt, of loopt dit proces stroef. Zo is de DPIA met betrekking tot signalerende huisbezoeken ouderen door de welzijnsorganisaties met drie gemeenten gezamenlijk uitgevoerd. Omdat elke gemeente toch weer net een ander proces volgt, kostte dit veel tijd en viel de meerwaarde van de samenwerking grotendeels weg. Iedere gemeente heeft uiteindelijk het concept aangevuld met de couleur locale en de DPIA vastgesteld.

pagina 41/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

Verder valt op dat er op het gebied van privacy en gegevensbescherming weinig tot geen specifieke kennis- of bewustwordingsactiviteiten binnen de teams plaatsvinden, met uitzondering van Wpgspecifieke training voor de boa’s. Er worden bijvoorbeeld geen casussen besproken, en het onderwerp komt ook niet regelmatig aan de orde tijdens teamoverleggen. Bovendien wordt er geen gebruik gemaakt van de mogelijkheid om binnen ieder team een medewerker als privacyambassadeur in te zetten, die een aanjaag- en signaleringsfunctie binnen het team vervult. Binnen de organisatie waargenomen verbeterpunten In het kader van dit rekenkameronderzoek zijn in de interviews de volgende verbeterpunten genoemd door medewerkers van de gemeente Papendrecht:  Project ‘Processen op Orde’ verder uitrollen en afmaken, en hier voldoende capaciteit en prioriteit voor vrijmaken.  DPIA’s uitvoeren voor alle processen waar een risico ligt op het gebied van gegevensbescherming en privacy. Dit is nu nog onvoldoende geborgd, en er is in de afgelopen jaren een flinke achterstand opgelopen op dit gebied. Per 1 juli 2024 is een projectleider aangetrokken om dit project vlot te trekken en structureler in beeld te krijgen bij welke processen er nog DPIA’s uitgevoerd moeten worden, en hier een concreet plan van aanpak voor te maken.

Het inlopen van de achterstand op het gebied van DPIA’s zal echter ook bij de uitvoerende teams capaciteit kosten. Hier is mogelijk extra capaciteit nodig om deze inhaalslag te kunnen maken.  In de organisatie processen beter borgen dat beperkende maatregelen op grond van DPIA’s daadwerkelijk genomen worden, dat hierover aan de FG terug wordt gerapporteerd, en dat eventueel restrisico worden geaccepteerd. Zorgen dat geëscaleerd wordt naar managementniveau wanneer dit niet goed verloopt.  Vaker raadssessies organiseren over privacy en gegevensbescherming, bijvoorbeeld met een frequentie van twee keer per jaar. De geplande raadsessies worden ook geannuleerd vanwege volle raadsagenda’s. Dit heeft te maken met de nieuwe vergadercyclus van de raad.  Aanscherpen van de PDCA-cyclus op het gebied van de lerende organisatie (leren van gemaakte fouten/casussen in de praktijk). Meer leren van elkaar, meer ruimte voor het bespreken van eventuele fouten en incidenten, en regelmatig casussen onder de medewerkers bespreken, en zorgen dat hier niet alleen binnen de teams maar ook organisatiebreed van geleerd wordt.  Structurele afspraken met de FG maken over aanhaken bij reguliere overleggen, met name op management/DT-niveau, en betrokkenheid bij de stukkenstroom.