Bijlage 1 Rapportage Bescherming van persoonsgegevens Papendrecht - definitieve versie.pdf

 Privacy-coördinatoren periodiek laten aansluiten bij MT/DT- en teamoverleggen om onderwerpen op het gebied van privacy en gegevensbescherming te bespreken.  Duidelijkere en concrete afspraken met verwerkers en gemeenschappelijke regelingen over periodieke rapportage en incidentmanagement op het gebied van privacy en regulier overleg voeren met deze organisaties langs de privacy- en informatiebeveiligingslijn. Nu wordt er eigenlijk blind op vertrouwd dat dit wel goed zit, dat is wat de medewerkers betreft niet voldoende.

4.1.2

Beveiligingsmaatregelen in (uitvoerende) processen

De gemeente heeft een algemeen overzicht van de processen die binnen de gemeente worden uitgevoerd en een algemeen beeld welke beveiligingsmaatregelen hiervoor genomen zouden moeten worden. Dit overzicht is gebaseerd op een standaardtemplate die voor Nederlandse gemeenten van toepassing is. Op papier geeft dit inzicht in de beveiligingsmaatregelen in (uitvoerende) processen binnen de gemeente. pagina 42/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

In de praktijk is dit beeld echter niet gevalideerd. Dat betekent dat de technische en organisatorische maatregelen die de gemeente ten behoeve van (uitvoerende) processen moet nemen niet daadwerkelijk in de praktijk zijn getoetst en er geen zekerheid is over de risico’s die de gemeente op dit vlak loopt. Het risico hiervan is dat er binnen uitvoerende afdelingen gewerkt wordt op een wijze die onbekende, ongewenste en/of niet-geaccepteerde beveiligingsrisico’s met zich meebrengt, ook op het vlak van persoonsgegevens. De gemeente heeft deze achterstand geconstateerd en is een programma gestart om dit te herstellen (“Processen op orde”), te beginnen bij de kritieke processen. Hierbij moeten niet alleen informatiebeveiligingsaspecten worden meegenomen, maar wordt er ook meteen gekeken naar de bescherming van persoonsgegevens. Het programma is sinds 2023 in uitvoering maar heeft nog niet de gewenste voortgang. In 2024 is er daarom besloten om externe expertise in te huren en op deze manier een impuls aan de voortgang te geven. Ten tijde van dit onderzoek was deze verbeterslag in gang gezet maar was het nog te vroeg om concrete resultaten te rapporteren. Ten aanzien van de aansturing van samenwerkingspartners (specifiek de servicegemeente en GR Sociaal (m.b.t.

de sociale dienst) valt op dat er voor meerdere jaren ENSIA-bevindingen ten aanzien van Suwinet en DigiD zijn die niet opgelost zijn/worden.

4.2

Wet politiegegevens in de praktijk

In het kader van dit onderzoek is een verdiepende mini-DPIA uitgevoerd met betrekking tot de implementatie van de Wet politiegegevens door het boa-team. De Wpg kent dezelfde basisprincipes met betrekking tot gegevensbescherming en privacy als de AVG, maar wijkt hier op een aantal punten vanaf. Zo zijn de verwerkingsverantwoordelijkheid en de bewaartermijnen wettelijk geregeld, en valt er ook op een aantal andere punten minder te kiezen voor de implementerende organisatie. Daarom is het voldoen aan de Wpg in veel grotere mate te automatiseren dan het voldoen aan de AVG. Een gemeente kan aan een flink deel van de eisen van de Wpg voldoen door een Wpg-conform zaaksysteem voor zijn boa’s aan te schaffen en dit correct in te stellen en te gebruiken. Verder kent de Wpg een periodieke auditverplichting voor gemeenten: eens in de vier jaar dient een externe audit te worden uitgevoerd. Eens per jaar moet er een interne audit door de eigen organisatie worden uitgevoerd. In Papendrecht is in 2022 een externe audit uitgevoerd met betrekking tot de implementatie van de Wpg. Deze bevatte forse bevindingen: de uitkomst hiervan was dat de gemeente Papendrecht op slechts 4 van de 36 getoetste punten geheel of gedeeltelijk aan de Wpg voldeed – op de resterende 32 punten was dit dus niet het geval.

De belangrijkste bevindingen uit deze audit waren:  De gebruikte ICT-systemen (Twyns en Mozaiek) voldoen niet aan de vereisten die op grond van de Wpg gelden voor de systemen waarmee boa’s politiegegevens horen te verwerken. Zo waren de bewaartermijnen niet ingesteld en werd hier ook niet op gemonitord. Ook bevatten de systemen geen adequate logging met betrekking tot politiegegevens, en voldeden ze niet aan de geldende technische eisen op het gebied van informatie- en toegangsbeveiliging. Er was bovendien nooit een DPIA uitgevoerd op deze systemen.  Er was geen register van verwerkingen waarin de doelbinding, rechtmatigheid en noodzakelijkheid van verwerkingen van politiegegevens werd vastgelegd. Ook werden bijzondere politiegegevens niet als zodanig vastgelegd in een register van verwerkingen.

pagina 43/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

 Ook was er geen bevoegd functionaris aangewezen. Dit moet iemand zijn met kennis van de Wpg, die beslist wie er toegang tot welke gegevens mag hebben en of gegevens verstrekt kunnen worden aan samenwerkingspartners.  Er werd niet gecontroleerd of verwerkingen wel voldeden aan de eisen van doelbinding, rechtmatigheid en noodzakelijkheid. Ook werd er niet gecontroleerd of de verwerkte gegevens wel juist en volledig waren, en of feiten en subjectieve meningen hierbij wel voldoende gescheiden werden. Het vier-ogen principe zoals de Wpg dit vereist met betrekking tot verwerking van politiegegevens werd dus niet correct toegepast.  Het in dienst en uit dienst-proces van de boa’s was niet helder vastgelegd en er was geen autorisatiematrix. Er werd geen periodieke controle uitgevoerd op de autorisaties van de gebruikers van de systemen. Zo was dus niet geborgd dat alleen huidige bevoegde boa’s het systeem konden gebruiken.  De boa’s hadden in de onderzochte periode geen privacy- en securitytraining ontvangen.  Er was geen procedure ingericht voor het voldoen aan de eisen op het gebied rechten van betrokkenen, zoals het recht op inzage en het recht op correctie van onjuiste gegevens. De FG heeft Papendrecht naar aanleiding van deze audit in 2022 dringend geadviseerd om een herstel- en verbeterplan op te stellen.

Er is een verbeterplan met maatregelen opgesteld en er zijn diverse acties uitgevoerd naar aanleiding van deze audit. Er is voor zover wij kunnen nagaan geen besluit op DT-niveau genomen over het verbeterplan of is de voortgang op het plan op DT-niveau gemonitord. De gemeentesecretaris is formeel eindverantwoordelijk voor de implementatie van de AVG en de Wpg. De zittende lijndirecteur heeft geen actieve betrokkenheid gehad bij de audit en het opstellen van het verbeterplan met de vereiste maatregelen. De teamleiders van de boa's en privacy coördinatoren zijn verantwoordelijk voor het uitvoeren van de verbetermaatregelen. Zij zijn meermaals betrokken bij de uitvoering van het plan. De aanbevelingen uit de audit zijn op medewerkersniveau in het privacy- en informatieveiligheidsteam tezamen met de boa-coördinator opgepakt. Veruit de belangrijkste aanbevolen maatregel was het aanschaffen van een Wpg-conform ICTsysteem. Dit is echter verre van soepel verlopen. Er diende eerst een goedgekeurde DPIA te worden gedaan en dit proces duurde om uiteenlopende redenen erg lang, waarbij de complexe convenant structuur met diverse landelijke partijen het extra ingewikkeld maakte. De DPIA is uiteindelijk afgerond en er is overgegaan tot de aanschaf van BRS, een Wpg-conform ICT-systeem.

Dit systeem was ten tijde van dit onderzoek nog niet operationeel en de exacte werking/inrichting was nog niet bekend. Verder is er, ook in regionaal verband, gewerkt aan het scholen van de privacy coördinatoren op gebied van de Wpg en is gewerkt aan het opstellen van Wpg beleid. Daarnaast hebben de boa’s in 2023 een Wpg-training gevolgd. Op dit moment wordt druk gewerkt aan de implementatie van het nieuwe BRS-systeem, waaronder het instellen van rollen en rechten voor gebruikers, het trainen van de boa’s in het gebruik van het nieuwe systeem, en het aanpassen van de werkinstructies van de boa’s aan het nieuwe systeem. De verwachting is dat dit voor het einde van het jaar zal zijn afgerond. Ook is het verwerkingenregister van Papendrecht aangevuld, en zijn de Wpgverwerkingen hier nu ook in terug te vinden.

pagina 44/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

Rond de overgang naar BRS bestaat er echter nog wel een risico wat binnen de onderzoeksperiode niet was opgelost, namelijk wat er gebeurt met de politiegegevens die zijn ingevoerd in Twyns en Mozaiek, de huidige systemen. Sinds het contract met de leverancier van deze systemen is opgezegd reageert deze niet meer op verzoeken om de overdracht van gegevens. Bovendien heeft de leverancier eerder uit zichzelf gegevens uit deze systemen verwijderd die eigenlijk bewaard hadden moeten worden. Het risico bestaat dus dat de politiegegevens die zijn opgeslagen in de huidige systemen geheel of gedeeltelijk verloren gaan bij de overgang naar BRS. Bij de oplevering van dit onderzoek was niet duidelijk in hoeverre dit risico is opgelost, dan wel of het nog steeds bestaat. De boa-coördinator en de privacy coördinatoren hebben zich in de afgelopen jaren enorm ingespannen om het stroeve proces rond de aanschaf van BRS vlot te trekken. De processen met de Servicegemeente rond de aankoop van het nieuwe ICT-systeem verliepen erg traag, mede omdat het aanvankelijk nog de bedoeling was om de implementatie van de Wpg op regionaal niveau op te pakken en er pas in tweede instantie voor een lokale aanschaf is gekozen. Een zeer belangrijke factor was echter ook capaciteits- en kennisgebrek aan de zijde van Papendrecht.

Dit geldt blijkens de interviews zowel voor het uitvoerende team als voor de privacy coördinatoren. In de afgelopen periode is daarom regelmatig de privacy coördinator van een naburige gemeente die hetzelfde ICT-systeem gebruikt en al verder is met de implementatie ervan om advies gevraagd. In de tussentijd heeft Papendrecht in de jaren 2022 en 2023 bewust geen interne Wpg-audits uitgevoerd. Dit zou alleen maar ten koste gaan van de toch al te beperkte capaciteit, en de uitkomst stond bovendien op voorhand vast, want zonder de aanschaf en implementatie van een nieuw ICT-systeem kon Papendrecht onmogelijk aan de eisen vanuit de Wpg voldoen. Al met al heeft Papendrecht dus in de jaren 2021 (het toetsjaar van de audit) tot en met de onderzoeksperiode niet voldaan aan het merendeel van de eisen op het gebied van gegevensbescherming en privacy uit de Wpg. De problemen rond de aanschaf van BRS en de risico’s die hieruit voortvloeiden voor Papendrecht zijn aangekaart bij de verantwoordelijk teamleider. Dit heeft echter niet geleid tot agendering binnen het DT. De benodigde formatie is wel in het DT geagendeerd. Verder heeft de gemeentesecretaris aangegeven te hebben vernomen dat het traject niet soepel verliep.

In dit onderzoek hebben we niet kunnen achterhalen welke afwegingen er zijn gemaakt met betrekking tot agendering in het DT en bij wie er signalen over de risico’s en tekortkomingen zijn neergelegd. De gemeenteraad van Papendrecht is voor zover achterhaald kon worden nooit inhoudelijk geïnformeerd over de slechte resultaten van de Wpg-audit in 2022, de (voortgang van) het verbeterplan en de problemen rond de aanschaf van BRS. De enige informatie aan de raad die wij konden vinden betreft een korte passage in de jaarrapportage van 2022, waarin slechts wordt vermeld dat de externe Wpg-audit is uitgevoerd en is verzonden aan de Autoriteit Persoonsgegevens. De raad geeft geen vragen gesteld over de Wpg-audit of om aanvullende informatie gevraagd.

pagina 45/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

4.3

Sturing en informatievoorziening op gemeenschappelijke regelingen en samenwerkingspartners

Zoals eerder toegelicht is de gemeente voor de uitvoering van primaire taken in sterke mate afhankelijk van gemeenschappelijke regelingen en samenwerkingspartners. Dergelijke constructies vragen om sturing op de bescherming van persoonsgegevens bij deze partijen. Afhankelijk van de verhouding tussen de gemeente en de betreffende partij kan het gaan om een verwerkers-relatie of een eigenstandige verwerkingsverantwoordelijkheid. In alle gevallen is het politiek en bestuurlijk van belang om in enige mate inzicht te hebben in de bescherming van de persoonsgegevens in de praktijk. Op basis van de door ons gevoerde gesprekken blijkt dat er slechts beperkt zicht is op de verwerking van persoonsgegevens door samenwerkingspartners. In het geval van de Servicegemeente Dordrecht (SGD) is dit in het bijzonder door de gesproken functionarissen gesignaleerd. Hierbij gaat het niet alleen om de persoonsgegevens van inwoners, maar ook om de HR-gegevens van het eigen personeel van de gemeente. Er is nauwelijks tot geen inzicht in de risico’s, het tactisch en operationeel beleid, relevante beveiligingsincidenten en de genomen beveiligingsmaatregelen. Veelal zijn voortgangsrapportages beperkt in informatie, waar beveiligingsincidenten en –maatregelen door het SGD worden gemeld en frequentie en is het handelingsperspectief van de gemeente beperkt.

De capaciteit van de SDG lijkt daarnaast beperkt te zijn en er is een focus op een (intern) verbeterprogramma met weinig aandacht voor aanpalende beleidsterreinen. Met de andere samenwerkingspartners met wie Papendrecht een verwerkersrelatie heeft zijn voor zover bekend helemaal geen voortgangsrapportages of evaluatiegesprekken afgesproken: na het sluiten van de verwerkersovereenkomst wordt er behoudens incidenten voor zover bekend niet meer over privacy of gegevensbescherming met deze partijen gesproken. In de afgelopen jaren zijn geen incidenten gemeld. Dat betekent dat Papendrecht voor zover bij ons bekend geen actueel beeld heeft van de stand van zaken met betrekking tot gegevensbescherming bij de samenwerkingspartners, en of hierbij risico’s ontstaan voor de gemeente als verwerkingsverantwoordelijke. De beide gemeenschappelijke regelingen zijn zelfstandig verwerkingsverantwoordelijke. Hiermee ligt de relatie daarom ook anders, en hoeft er geen verwerkersovereenkomst te worden gesloten. Echter, in een situatie waarin meerdere verwerkingsverantwoordelijken samenwerken zoals bij de gemeenschappelijke regelingen het geval is, is de best practice wel dat er uitdrukkelijke afspraken gemaakt worden over de concrete verantwoordelijkheidsverdeling met betrekking tot de AVG.

Zowel bij de GRS als de GR DG&J worden taken in delegatie uitgervoerd en is de verantwoordelijkheidsverdeling duidelijk in de zin dat de gedelegeerde eigenaar concreet als verwerkingsverantwoordelijke optreed. Uitdrukkelijke afspraken zijn voor zover wij kunnen nagaan niet gemaakt.

pagina 46/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

4.4

Rol van de ondernemingsraad

De gemeente heeft een eigen en lokale ondernemingsraad (OR). Naast de lokale OR is er een regionaal platform van ondernemingsraden, omdat een deel van zaken waar de OR instemmings- of adviesrecht heeft regionaal tot stand (zijn) (ge)komen. Het regionale platform is in het kader van de regionale samenwerking opgezet, met name voor de overgang van lokaal personeel naar de regionale organisatiestructuur Servicecentrum Drechtsteden (SCD). De OR heeft in het kader van de privacy instemmingsrecht op de verwerking van persoonsgegevens van medewerkers. Ook heeft de OR een adviesrol als het gaat om belangrijke technologische voorzieningen binnen de gemeente. Een voorbeeld van een onderwerp waar de OR een rol heeft is de monitoring- en volgsystemen van bijvoorbeeld bedrijfsauto’s. In de praktijk zijn er in de recente geschiedenis niet veel privacy-gerelateerde onderwerpen waar de OR instemmings- of adviesrecht heeft gehad. Dit komt mede omdat de OR alleen bij de introductie van nieuw personeelsbeleid instemmings- of adviesrecht heeft, en niet bij de actualisatie of (door)ontwikkeling. Voor het gebruik van de elearning "Sir Askalot" is wel geagendeerd in een overleg ter informatie en voor (informele) bespreking..

In grote lijnen ziet een instemmings- of adviestraject bij de OR (ook wanneer het privacy-gerelateerde zaken betreft) er als volgt uit:  Ter voorbereiding is er sprake van een informeel gesprek tussen OR en de bestuurder, waarbij de bestuurder uitleg geeft over de betreffende kwestie. In de voorbereiding wordt er tekst en uitleg gegeven en worden er (eventueel) al achtergrondstukken ontvangen.  De OR kan nadere vragen ter beeldvorming stellen voordat er formeel een aanvraag ontvangen wordt.  Na de voorbereiding ontvangt de OR een aanvraag en wordt er (formeel) gereageerd. Bij de achtergrondstukken van deze aanvraag kan ook sprake zijn van een advies op het gebied van privacy vanuit de ambtelijke organisatie, maar dit is sinds de introductie van de AVG nog niet voorgekomen.  Naast een individueel instemmings- of adviestraject is er ook twee keer per jaar een artikel 24 overleg waarin gekeken wordt naar de ontwikkelingen van de organisatie. Naast het formele instemmings- en adviesrecht van de OR zijn er nog twee andere zaken waarbij privacy een rol speelt binnen de OR. Ten eerste kloppen medewerkers aan bij de OR met vraagstukken of problemen die binnen de organisatie spelen. Dit kunnen ook zaken zijn met betrekking tot privacy, de bescherming van persoonsgegevens en/of de (beveiliging van de) informatievoorziening.

Ten tweede heeft de OR een werkwijze waarbij de identiteit en persoonsgegevens van medewerkers die zich bij hen melden verborgen worden gehouden zodat eventuele belangrijke signalen kunnen worden doorgegeven aan de bestuurder zonder dat dit medewerkers potentieel schaadt of blootstelt. Dit kan discussie/gesprek opleveren met de bestuurder, omdat signalen uit de organisatie op deze manier moeilijker te herleiden zijn naar specifieke organisatieonderdelen. Echter, de OR heeft op dit punt een rol in de bescherming van individuele medewerkers. Hoewel er geen formeel protocol is vastgelegd over deze gang van zaken, is er wel een vaste praktijk.

pagina 47/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

4.5

Rol en positie van de gemeenteraad

De gemeenteraad heeft weinig aandacht voor het onderwerp privacy. Privacy is geen onderwerp van gesprek in de gemeenteraad of onderwerp van (raads)vragen. Tijdens de raadsbijeenkomst die in het kader van dit onderzoek is georganiseerd hebben de drie aanwezige raadsleden aangegeven dat het onderwerp naar hun weten in de afgelopen twee jaar niet aan bod is gekomen (met uitzondering van de FG-presentatie, zie hieronder). De raadsleden waren niet op de hoogte van de stand van zaken met betrekking tot het privacybeleid en de implementatie van de AVG en Wpg (waaronder de Wpgaudit resultaten). Als toelichting hierop wordt aangegeven dat er beperkte affiniteit en interesse is. In het algemeen geeft de raad aan meer geïnformeerd te willen worden over het onderwerp privacy en de bescherming van persoonsgegevens van inwoners. Daarnaast geeft de raad aan het onderwerp wel belangrijk te vinden, maar resulteert een gebrek aan kennis in kleine informatiestroom en interesse. Raadsleden geven ook aan dat ze afhankelijk zijn van de samenwerking met Drechtsteden ten aanzien van privacy. Het is vanuit hun rol moeilijk om zicht en grip te krijgen op de samenwerking en de verwerking van persoonsgegevens buiten de muren van het gemeentehuis. Raadsleden geven aan dat er op dit punt verbeteringen noodzakelijk zijn aangaande hun controlerende rol.

De ambtelijke organisatie onderschrijft dit beeld en geeft aan dat er weinig tot geen inhoudelijke informatieverstrekking aan de gemeenteraad is op het gebied van gegevensbescherming en privacy. Een uitzondering hierop is het privacybeleid uit 2020 en de hieronder genoemde voorbeelden. Raadsleden ontvangen wel de e-learning “Sir Askalot”. Er zijn een aantal (vaste/ad hoc) momenten waarop het onderwerp privacy en de bescherming van persoonsgegevens toch aan bod komt:  De FG heeft in 2023 ter kennismaking en introductie een presentatie en toelichting gegeven over zijn rol als onafhankelijk toezichthouder voor het bevoegd gezag. De Privacy coördinator heeft eind 2023 aan de hand van dilemma's thema's over privacy en informatieveiligheid met de raadsleden interactief besproken.  Jaarlijks wordt aan de raad(sagendacommissie) voorgesteld een presentatie te geven over informatiebeveiliging en over privacy. Dit heeft ook vaker plaatsgevonden, maar is ook wel wegens te volle raadsagenda’s afgewezen.  Jaarlijks wordt er in het jaarverslag gerapporteerd over bedrijfsvoeringsonderwerpen waaronder privacy en informatiebeveiliging. Deze rapportage was in de onderzochte jaren zeer summier, en op het gebied van privacy volledig procesmatig.

Zo bevatte het jaarverslag van 2022 wel de informatie dat de Wpg-audit was uitgevoerd, maar werd er niets gemeld over de slechte resultaten en de maatregelen die Papendrecht op grond hiervan moest nemen.  De jaarlijkse ENSIA-auditrapportage en collegeverklaring op het gebied van informatiebeveiliging worden vertrouwelijk behandeld in de gemeenteraad. Op het gebied van Suwinet zijn er al meerdere jaren tekortkomingen, maar dit heeft niet geresulteerd in vragen vanuit de gemeenteraad.  Daarentegen heeft een raadsfractie in 2024 wel vragen gesteld over de verwerking van persoonsgegevens (kentekens) in parkeergarages.

pagina 48/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

Bijlage A

Geïnterviewde personen

Datum

Functie

05-04-2024

Functionaris Gegevensbescherming*

27-03-2024

Privacy coördinator/concern jurist*

26-03-2024

Informatiemanager*

26-03-2024

Informatiebeveiligingsadviseur*

27-03-2024

Secretaris Ondernemingsraad*

04-04-2024

Boa coördinator*

04-04-2024

Directielid

05-04-2024

Teamleider financiën*

22-04-2024

Beleidsregisseurs sociaal domein

29-05-2024

Burgemeester

05-06-2024

Gemeentesecretaris

12-07-2024

Wethouder

* Deze personen hebben tevens deelgenomen aan het afrondende verdiepende gesprek.

pagina 49/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

Bijlage B

Bestudeerde documentatie

Visie- en Beleidsdocumenten Documentnaam

Datum

Privacy Beleid Drechtsteden versie 3.0 (def 2020 PPD)

10-12-2020

Reglement Functionaris voor de Gegevensbescherming Drechtsteden 2022

31-05-2022

Privacy beleid 2024 concept PPD

12-03-2024

Strategisch Informatiebeveiligingsbeleid Drechtsteden 1.00 definitief

20-05-2020

Eisen en wensen privacy

11-2023

Bewustwording privacy Concept Wpg privacybeleid Gemeenschappelijke Regeling Sociaal

01-01-2023

Privacybeleid Gemeenschappelijke Regeling Sociaal

09-2022

Gemeenschappelijke Regeling Dienst Gezondheid & Jeugd Zuid-Holland Zuid

15-03-2023

Privacybeleid Dienst Gezondheid & Jeugd Zuid-Holland Zuid

24-05-2018

DPIA’s Documentnaam

Datum

GRD huisbezoek ouderen v.23 Papendrecht

15-09-2021

Vroegsignalering schulden v 2.1

19-11-2021

Wet Inburgering 2021 v 2.1

12-2021

Hoe komt een DPIA tot stand binnen de Drechtsteden Overzicht DPIA’s vanaf 2020 DPIA BRS v 1.0

04-12-2020

Verwerkers- en dienstverleningsovereenkomsten Documentnaam

Datum

19022024 Standaard Verwerkersovereenkomst v 2.5

15-02-2024

Ondertek VWO vroegsignalering Sterk Papendrecht

02-02-2021

Woonwagenbeleid en woonwagenlocatie onderzoek

07-11-2023

Convenant jeugdgroepenaanpak Papendrecht

03-2024

Papendrecht en GR Sociaal inzake uitvoering Wet Inburgering

18-01-2022

Gemeente Dordrecht (servicegemeente) – gemeente Papendrecht

01-01-2022

VWO MODEL V2.4.2 2023 Papendrecht – Sociale Basis

14-09-2021

Registers en Procedures Documentnaam

Datum

Handleiding Datalekken register

01-09-2023

Procesbeschrijving datalekken gemeente Papendrecht pagina 50/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

Register 2023 november GPD AVG klachtenprocedure IBD versie 2023

09-11-2023

Info zaaktype Persoonsgegevens beperking verwerking verzoek Info zaaktype Persoonsgegevens correctieverzoek Info zaaktype Persoonsgegevens dataportabliteit verzoek Info zaaktype Persoonsgegevens verwerking bewaar Info zaaktype Persoonsgegevens verwijderingsverzoek doc Isabel Werkinstructie correctieverzoek Werkinstructie bezwaar verwerking Persoonsgegevens

04-09-2020

Werkinstructie Persoonsgegevens beperkingsverzoek

04-09-2020

Werkinstructie persoonsgegevens inzake verzoek niet

26-05-2020

Werkinstructie Persoonsgegevens verwijderingsverzoek

04-09-2020

Werkinstructie Persoonsgegevens verzoek overdracht

04-09-2020

Werkwijze behandelen beveiligingsincident DATALEKKEN 2023 Collegeverklaring 2021 t/m 2023 [vertrouwelijk] ENSIA rapportage 2021 t/m 2023 [vertrouwelijk] Assurance rapport 2021 [vertrouwelijk]

Rapportages Documentnaam

Datum

Jaarrapportage Privacy Papendrecht – definitief

01-07-2020

FG rapportage Papendrecht 2021 Definitieve rapportage FG april – december Papendrecht Privacy rapportage versie 1.2 Presentatie FG’s Drechtsteden bij de Raad Jaarstukken 2020 gemeente Papendrecht Jaarstukken 2021 gemeente Papendrecht Jaarstukken 2022 gemeente Papendrecht

pagina 51/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens

Bijlage C

Afkortingen en terminologie

Afkorting

Betekenis

AVG

Algemene Verordening Gegevensbescherming

BIG

Baseline Informatiebeveiliging Gemeenten

BIO

Baseline Informatiebeveiliging Overheid

BRP

Basis Registratie Personen

CISO

Chief Informatie Security Officer

DPIA

Data Protection Impact Assesment

ENSIA

Eenduidige Normatiek Single Information Audit

FG

Functionaris Gegevensbescherming

IBD

Informatiebeveiligingsdienst

PC

Privacy coördinator

PDCA

Plan-Do-Check-Act

Wpg

Wet politiegegevens

pagina 52/51

Rekenkamer Papendrecht – Over de bescherming van persoonsgegevens