D14. 20251218 RIB Functionaris Gegevensbescherming jaarverslag 2023.pdf

Aan de gemeenteraad datum behandeld door ons kenmerk doorkiesnummer Onderwerp

18 december 2025 H. Targaat 2025-0123136 14 078 FG jaarverslag 2023

Geachte mevrouw, heer, Inleiding Conform artikel 38 van de Algemene verordening gegevensbescherming (AVG) brengt de Functionaris Gegevensbescherming (FG) jaarlijks verslag uit over de uitvoering van zijn toezichtstaak. Met deze brief informeren wij u over de belangrijkste bevindingen uit het FG-jaarverslag gegevensbescherming 2023 en de opvolging hiervan binnen onze organisatie. De FG heeft vertraging opgelopen met het uitbrengen van het jaarverslag 2023 en hij werkt momenteel aan het jaarverslag 2024. Algemeen beeld De FG constateert dat de gemeente Papendrecht belangrijke stappen heeft gezet in de verdere professionalisering van gegevensbescherming en bewustwording onder medewerkers. De basis voor naleving van de AVG is aanwezig en wordt steeds beter geborgd. Tegelijkertijd vraagt een aantal onderdelen om verdere versterking, zoals het structureel actualiseren van registers en privacyverklaringen, het verankeren van verantwoordelijkheden binnen de ambtelijke teams en het meten van het privacyvolwassenheidsniveau. Na afloop van 2023 is de organisatie actief aan de slag gegaan met het verbeteren en versterken van de werkwijze, mede naar aanleiding van de aanbevelingen uit het rekenkamerrapport. Deze aanbevelingen zijn niet blijven liggen, maar hebben geleid tot concrete acties en ingezette verbetermaatregelen.

De in deze raadsinformatiebrief opgenomen conclusies zien daarom niet uitsluitend op de situatie in 2023, maar plaatsen deze nadrukkelijk in het licht van de stappen die daarna zijn gezet. De organisatie werkt sindsdien structureel aan verdere professionalisering en volwassenwording op dit onderwerp. Daarbij is sprake van een doorlopende ontwikkeling, waarin lessen uit het verleden zijn meegenomen en vertaald naar verbeteringen in beleid, processen en uitvoering. Belangrijkste bevindingen van de FG en de reactie hierop 1. Functionaris Gegevensbescherming (FG) De FG adviseert om de betrokkenheid bij privacyvraagstukken eerder en structureler te organiseren. Het college onderschrijft dit en er wordt gewerkt aan een vaste overlegstructuur tussen FG, privacy coördinator, gemeentesecretaris en portefeuillehouder. 2. Privacybeleid en verklaringen Het nieuwe lokale privacybeleid is vastgesteld. In 2024 wordt gewerkt aan het verbeteren en uitbreiden van privacyverklaringen, onder andere voor medewerkers en specifieke processen zoals adresonderzoek en cameratoezicht. Ook wordt een overzicht opgesteld van gemeentelijke websites met de bijbehorende privacy- en cookieverklaringen. 3. Governance en eigenaarschap De privacygovernance is in ontwikkeling.

Proceseigenaren worden nadrukkelijker betrokken bij hun verantwoordelijkheden en privacy wordt periodiek geagendeerd in management en bestuur.

4. DPIA’s en verwerkingenregister Binnen het project Processen op orde wordt per team bekeken voor welke processen een DPIA (Data Protection Impact Assessment) moet worden uitgevoerd of geactualiseerd. Tegelijkertijd wordt het register van verwerkingen in iNavigator geactualiseerd en voorzien van een structureel proces voor beheer en controle. 5. Bewustwording en training Nieuwe medewerkers volgen standaard de verplichte privacy- en informatiebeveiligingstraining. De gemeente stelt een jaarlijks bewustwordingsplan op en onderzoekt aanvullende trainingen voor specifieke doelgroepen, zoals management en teamleiders. 6. Datalekken en rechten van betrokkenen In 2023 zijn vijf datalekken geregistreerd, geen daarvan melding plichtig bij de Autoriteit Persoonsgegevens. De organisatie blijft inzetten op laagdrempelige meldcultuur en het delen van leerpunten. Voor de afhandeling van rechten van betrokkenen wordt het lokale proces verder gestroomlijnd. 7. Samenwerking en nieuwe thema’s De FG wijst op het belang van duidelijke verantwoordelijkheden binnen samenwerkingsverbanden, zoals Bedrijfsvoering Drechtsteden en het Zorg- en Veiligheidshuis. Bij het sluiten van nieuwe samenwerkingsovereenkomsten zal aandacht aan privacy worden geschonken Daarnaast vraagt de opkomst van kunstmatige intelligentie (AI) om zorgvuldige kaders.

De gemeente wil regionaal beleid en kaders ontwikkelen om hier op verantwoorde wijze mee om te gaan. Conclusie De FG concludeert dat de gemeente Papendrecht goed op weg is naar een hoger volwassenheidsniveau van gegevensbescherming. Het college deelt deze conclusie en neemt de in het jaarverslag genoemde aanbevelingen ter harte. De voortgang hiervan wordt betrokken bij het volgende jaarverslag gegevensbescherming over 2024, waarover wij ook een raadsinformatiebrief zullen sturen. Hierbij zal tevens de stand van zaken worden geschetst met betrekking tot de uitvoering van de aanbevelingen van Rekenkamerrapport van december 2024 inzake de bescherming van persoonsgegevens in Papendrecht. Hoogachtend, Burgemeester en wethouders van Papendrecht, de secretaris, de locoburgemeester,

J.M. Ansems

A.M.J.M. Janssen

Bijlage Functionaris Gegevensbescherming Jaarverslag Papendrecht 2023

Gemeente Papendrecht

Jaarverslag Functionaris Gegevensbescherming 2023 juni 2025

Inleiding en belangrijkste adviezen De huidige functionarissen voor gegevensbescherming (FG)1 zijn elk afzonderlijk per 1 juli 2023 aangewezen voor de gemeente Papendrecht, zes andere gemeenten en de omgevingsdienst in de Drechtsteden. Met dit jaarverslag rapporteert de FG rechtstreeks aan de hoogste leidinggevende van de verwerkingsverantwoordelijke over de naleving van de Algemene Verordening Gegevensbescherming (AVG), Uitvoeringswet AVG en het privacybeleid. Voor de Wet politiegegevens volgt een apart verslag. Dit document is bestemd voor de bestuursorganen college van B&W en burgemeester als verwerkingsverantwoordelijken voor de respectievelijke verwerkingen van persoonsgegevens. Voorts wordt dit verslag aangeboden aan de gemeentesecretaris. De inhoud van dit jaarverslag is gebaseerd op een door de privacy coördinator (op basis van informatie uit de organisatie) ingevulde vragenlijst, bestudering van documentatie alsook de eigen ervaringen van de FG. Het jaar 2023 (1 januari t/m 31 december 2023) wordt behandeld, met her en der een blik naar de toekomst. In dit jaarverslag treft de lezer bevindingen aan van de FG over de naleving van privacywetgeving en er worden (concrete) aanbevelingen gegeven voor verbetering. Het FG Jaarverslag 2023 is door verschillende redenen later dan voorzien verschenen.

Dit ligt overigens geenszins aan de (medewerkers van de) ambtelijke organisatie gemeente Papendrecht. De FG benadrukt dat de bescherming van persoonsgegevens een grondrecht is. Het doel is helder: zorgen voor een betrouwbare overheid die zorgvuldig, transparant en verantwoord omgaat met persoonsgegevens – in het belang van goede dienstverlening, het aanpakken van maatschappelijke problemen én het vertrouwen van de burger in ons als overheid. Daar komt bij dat de inwoner niet kan kiezen en is aangewezen op de gemeente waar diegene woont. Gegevensbescherming is geen vrijblijvende aangelegenheid. De AVG gaat niet alleen over wat wel of niet mag met persoonsgegevens, maar zorgt ervoor dat de gemeente persoonsgegevens op een zorgvuldige, veilige en rechtmatige manier kan gebruiken en delen, met respect voor de rechten van inwoners en medewerkers. De AVG stelt duidelijke eisen aan hoe wij als gemeente op een zorgvuldige wijze persoonsgegevens kunnen verwerken. In de gemeente Papendrecht zijn in 2023 stappen gezet om het onderwerp privacy meer vorm te geven, er is ingezet op bestendige privacy advies capaciteit en er is uitvoerig aandacht besteed aan bewustwording. Het in 2024 opgestarte bredere project ‘Processen op orde’ waarbij kritische gemeentelijke processen worden nagelopen mag niet onbenoemd blijven. Inzicht in de persoonsgegevens die de gemeente verwerkt is essentieel.

Voor het kunnen bieden van transparantie richting inwoners en medewerkers, maar ook voor het signaleren en mitigeren van risico’s die zich voordoen bij persoonsgegevensverwerkingen. Een register van verwerkingen bijhouden is geen doel op zich, maar een middel om persoonsgegevens op zorgvuldige wijze en in overeenstemming met de AVG te gebruiken.

1 Gelet op de afkortingen of specifieke woorden binnen dit werkveld is in bijlage 1 een verklarende woordenlijst

opgenomen.

2

De belangrijkste aanbevelingen zijn hieronder opgesomd. De eerste drie aanbevelingen komen overeen met het FG Jaarverslag van 2022: • • • • • •

• • •

Actualiseer het register van verwerkingen en richt een proces in om dit register tenminste jaarlijks te actualiseren; Inventariseer voor welke verwerkingen nog DPIA's (privacy risico analyses) moeten worden uitgevoerd, al dan niet herhaald, en stel een planning op voor de uitvoering hiervan; Inventariseer op basis van het register van verwerkingen voor welke verwerkingen nog een verwerkersovereenkomst moet worden afgesloten en sluit deze af; Draag er zorg voor dat de noodzakelijke privacyverklaringen aanwezig zijn en deze in overeenstemming met de vereisten uit de AVG worden gebracht; Stel een overzicht samen van de verschillende samenwerkingen, de uitbestede taken en de verschillende (AVG) rollen. Draag er zorg voor dat periodiek het privacy volwassenheidsniveau van de organisatie wordt gemeten. Om als organisatie te kunnen sturen op continu verbeteren, en risico gebaseerd te prioriteren is het noodzakelijk om het privacy volwassenheidsniveau in beeld te brengen. Betrek de FG vroegtijdig en naar behoren bij privacy aangelegenheden waaronder begrepen strategische onderwerpen die betrekking hebben of raken aan de bescherming van persoonsgegevens. Geef aandacht aan het opstellen van een Privacy by Design beleid en proces passend bij een gemeente. Aanbevolen wordt om de rol van privacy ambassadeur per team te beleggen.

Colette Kersten, Functionaris voor Gegevensbescherming Pascal Nelisse, Functionaris voor Gegevensbescherming

3

Inhoudsopgave Inleiding en belangrijkste adviezen

2

Inhoudsopgave

4

1

5

2

Functionaris voor Gegevensbescherming (FG) 1.1

Aanwijzing FG

5

1.2

Rol en positie FG

5

1.3

Informatiepositie en strategische advisering

5

Beleid 2.1

4

5

7

Privacybeleid

7

Privacyverklaring extern

7

Privacyverklaring medewerkers en sollicitanten

7

Cookieverklaring

8

2.2 3

Bevindingen

7

Aanbevelingen

Privacy inrichting

8 9

3.1

Governance en eigenaarschap

9

3.2

Volwassenheidsniveau

10

3.3

Training en bewustwording

10

3.4

Privacy Coördinator

11

3.5

Adviseurs en toezichthouders regio

11

3.6

Teams

11

Privacy Processen

12

4.1

AVG rollen

12

4.2

DPIA

12

4.3

Register van verwerkingen

14

4.4

Datalekken

15

4.5

Rechten van betrokkenen

16

4.6

Privacy overeenkomsten

16

4.7

Privacy by Design

17

4.8

Sociaal domein

18

Samenwerkingsverbanden en Bedrijfsvoering Drechtsteden

19

5.1

Servicegemeente Dordrecht (per 2025 Bedrijfsvoering Drechtsteden)

19

5.2

Zorg- en Veiligheidshuis Zuid-Holland Zuid

19

5.3

Samenwerkingsverbanden generiek, GR Sociaal en GR DG&J

20

6

Algoritmes en AI

21

7

Informatiebeveiliging

21

Bijlage 1 Verklarende woordenlijst

22

Bijlage 2 Lijst van verwijzingen openbare bronnen

23

4

1 Functionaris voor Gegevensbescherming (FG) In dit hoofdstuk wordt ingegaan op de benoeming van nieuwe FG’s en de positionering van de FG in relatie tot de ambtelijke en bestuurlijke organisatie.

1.1 Aanwijzing FG De nieuwe FG’s (hierna de FG) zijn elk afzonderlijk per 1 juli 2023 aangewezen voor de gemeente Papendrecht.2 De FG heeft op basis van de Algemene Verordening Gegevensbescherming (AVG), Uitvoeringswet AVG (UAVG) en de Wet politiegegevens (Wpg) een aantal taken. Deze zijn beschreven in de genoemde wetten. Te denken valt aan het informeren, gevraagd en ongevraagd adviseren en toezichthouden op de naleving van de AVG.

1.2 Rol en positie FG De FG is aangewezen door de bestuursorganen burgemeester, college van B&W en de gemeenteraad en brengt rechtstreeks verslag uit aan het hoogst leidinggevende niveau over de naleving van de privacywetgeving. De FG is daarmee de adviseur en eveneens toezichthouder van de burgemeester, het college en de gemeenteraad op het gebied van naleving van de privacywetgeving. De FG houdt binnen een gemeentelijke organisatie toezicht op de toepassing en naleving van de privacywetgeving. Dat start bij de gemeentesecretaris en loopt verder door in de hele ‘hark’. De FG krijgt geen instructies en is onafhankelijk in de uitoefening van zijn taken. De FG brengt verslag over die naleving in de ambtelijke organisatie uit aan het college of burgemeester. De FG kan daartoe adviezen geven - gevraagd en ongevraagd - die te maken hebben met de naleving van de privacywetgeving. Daarnaast kan de FG medewerkers uit de ambtelijke organisatie informeren en adviseren over de juiste naleving van privacywetgeving. Deze adviezen zijn vormvrij en niet vrijblijvend. Het is goed om op te merken dat de FG in de uitvoering van zijn taken de belangen van de betrokkenen - de inwoners en medewerkers van de organisatie - voorop heeft staan. De aanpak van de FG is gericht op het adviseren en vroegtijdig meedenken van de gemeente bij het (beter) naleven van de AVG.

Hiervoor is een goede informatiepositie van de FG noodzakelijk.

1.3 Informatiepositie en strategische advisering De FG is agendalid van portefeuillehoudersoverleggen en agendalid van de collegeagenda, zodat er aanhaking is bij de stukkenstroom richting het college van B&W. Dit geeft de FG de gelegenheid om stukken te beoordelen op de bescherming van persoonsgegevens en indien nodig (op het laatste moment) te handelen op basis daarvan. Onverlet de toegang tot stukken rust op de organisatie de verplichting om de FG tijdig en naar behoren te betrekken bij aangelegenheden die verband houden met de bescherming van persoonsgegevens. De FG heeft in het jaar 2023 geen inhoudelijk contact gehad met portefeuillehouder privacy of anderszins leden van het college van B&W of de burgemeester. De FG is niet gevraagd om te adviseren.

2 Gemeenteblad 2023, 405159 (Aanwijzing FG’s).

5

De FG heeft zich in 2023 voorgesteld aan leden van de gemeenteraad en een presentatie gegeven over het werk van de FG.3 Voorts was onderdeel van deze bijeenkomst een informatieve bewustwordingssessie door de privacy coördinatoren met leden van de raad over het onderwerp informatieveiligheid en privacy. De FG heeft in het jaar 2023 kennisgemaakt met de gemeentesecretaris en het FG Jaarverslag 2022 besproken. Voorts heeft de FG een presentatie gegeven bij het Strategisch Afnemers Beraad (alle gemeentesecretarissen) in de regio. Er is geen overleg of gesprek geweest met het DMT/DT. Voorts is de FG niet gevraagd om te adviseren. De organisatie kan nog verbetering boeken door de FG vroegtijdig te betrekken en daardoor gegevensbescherming voor de langere termijn in strategische onderwerpen te borgen. Aanbevelingen: 1. Betrek de FG vroegtijdig en naar behoren bij privacy aangelegenheden waaronder begrepen strategische onderwerpen die betrekking hebben of raken aan de bescherming van persoonsgegevens. 2. Nodig de FG periodiek uit voor overleg met de portefeuillehouder privacy, gemeentesecretaris en DMT/DT.

3 Gemeenteraad Papendrecht, Beeldvormende bijeenkomst FG Drechtsteden presentatie, 5 oktober 2023.

6

2 Beleid De gemeente stelt met een privacybeleid een kader vast voor het verantwoord verwerken van persoonsgegevens en het beschermen van de persoonlijke levenssfeer. Tevens worden taken en verantwoordelijkheden rondom gegevensbescherming duidelijk afgebakend. De AVG legt voorts de nadruk op het informeren van betrokkenen over hoe er met hun persoonsgegevens wordt omgegaan, en welke gegevens er worden verwerkt. Een van de middelen om dit te doen is de privacyverklaring.

2.1 Bevindingen Onderstaand worden per onderwerp de bevindingen beschreven waarna in paragraaf 3.2 aanbevelingen worden gegeven zodat de gemeente tot verbeteringen kan komen.

Privacybeleid De gemeente Papendrecht beschikt in 2023 over het Privacybeleid Drechtsteden 2020 (versie 3.0). Het vorige en toekomstige privacybeleid van de gemeente Papendrecht wordt afgestemd in de Drechtsteden. Het in 2023 geldende privacybeleid is verouderd en in elk geval onjuist op inrichtingspunten voor wat betreft de samenwerkingsvorm in de Drechtsteden, de verantwoordelijkheid voor het afhandelen van datalekken en de inrichting van de positie van de FG. Drechtsteden gemeenten zijn voornemens om in 2024 het privacybeleid te vervangen voor een nieuwe versie.4

Privacyverklaring extern De privacyverklaring van de gemeente op de website (domein papendrecht.nl) en ter inzage beschikbaar op het gemeentehuis voldeed blijkens het FG Jaarverslag 2022 in algemene zin en geeft informatie over wat de gemeente met gegevens van betrokkenen (meestal inwoners) doet. De privacyverklaring geeft in het jaar 2023 onvoldoende inzicht en duidelijkheid bij de lezer over specifiek voor de inwoner relevante aspecten van persoonsgegevensverwerking bij de gemeente. De verklaring voldoet niet op alle punten aan wat de Autoriteit Persoonsgegevens een goede privacyverklaring noemt.5 Het gaat dan onder meer om informatie ‘of de betrokkenen verplicht zijn de persoonsgegevens te verstrekken. En zo ja, waarom’, of de gemeente ‘gebruikmaakt van geautomatiseerde besluitvorming, inclusief profilering’, de categorieën van persoonsgegevens die worden getoond onder bijzondere persoonsgegevens en dat de genoemde doeleinden van de verwerking van persoonsgegevens te generiek zijn. Aangegeven wordt dat regionaal de privacyverklaring regelmatig wordt besproken en indien nodig wordt aangepast. Lokaal lijkt op basis van de informatie geen proces voor wijzigingen aanwezig te zijn. Niet zichtbaar is op welke datum de privacyverklaring laatstelijk is geüpdatet.

Privacyverklaring medewerkers en sollicitanten Er is geen privacyverklaring voor medewerkers beschikbaar. Voor sollicitanten is een privacyverklaring beschikbaar via het domein werkenbijdrechtsteden.nl. Deze versie wordt onderhouden door Bedrijfsvoering Drechtsteden (voorheen SGD). Hier zijn enkele tekortkomingen. Zo is het niet duidelijk op welke wijze een betrokkene zijn toestemming kan intrekken. 4 Op het moment van het uitbrengen van dit jaarverslag is het nieuwe privacybeleid vastgesteld door college van B&W,

burgemeester en gemeenteraad Papendrecht: Privacybeleid Gemeente Papendrecht 2024. 5 Autoriteit Persoonsgegevens, Recht op informatie tabblad ‘Voor organisaties: een goede privacyverklaring’, geraadpleegd mei 2025.

7

Voorts kan het onduidelijk zijn via welke website betrokkene nu exact zijn rechten van betrokkenen onder de AVG kan uitoefenen. Niet zichtbaar is op welke datum de privacyverklaring laatstelijk is geüpdatet.

Cookieverklaring Voor het domein papendrecht.nl is een algemene cookieverklaring aanwezig. Of daarmee op iedere website waar de gemeente verantwoordelijk voor is, is voorzien van een cookieverklaring, is niet bekend.

2.2 Aanbevelingen Er is naar het oordeel van de FG noodzaak om te komen tot verbeteringen zodat de gemeente voldoet aan de vereisten van de AVG en transparantieverplichtingen richting haar inwoners, medewerkers en sollicitanten. Hieronder worden hiertoe enkele aanbevelingen gegeven. Algemeen: 1. Draag er zorg voor dat alle privacyverklaringen in overeenstemming met de vereisten uit de AVG (en de Autoriteit Persoonsgegevens) worden gebracht. 2. Stel een proces/werkinstructie (inclusief verantwoordelijkheden) op over het actueel en compleet houden van (specifieke) interne en externe privacyverklaringen. 3. Benoem specifieke processen (bijv. adresonderzoek, cameratoezicht, sociaal domein, etc.) in aparte privacyverklaringen. Daarmee krijgt de privacyverklaring voor de inwoner (of medewerker) van de gemeente meer waarde.6 4. Stel een lijst op met websites die onder de verantwoordelijkheid van de gemeente Papendrecht actief zijn. Controleer deze lijst periodiek. Om vervolgens onder meer vanuit het oogpunt van de naleving van de AVG de websites te voorzien van waar nodig privacy- en/of cookieverklaringen. Specifiek: 5. Stel een privacyverklaring op voor medewerkers. Geadviseerd wordt om dit in de regio Drechtsteden gezamenlijk op te pakken daar Bedrijfsvoering Drechtsteden een grote rol speelt bij persoonsgegevensverwerkingen van medewerkers. 6.

Verbeter de algemene externe privacyverklaring voor wat betreft duidelijkheid en inzicht voor de inwoner. Door bijvoorbeeld het geven van veelvoorkomende voorbeelden en/of hoog risico verwerkingen te benoemen.

6 Op het moment van schrijven 2025 heeft de gemeente een aparte privacyverklaring voor het onderwerp ondermijning

toegevoegd.

8

3 Privacy inrichting 3.1 Governance en eigenaarschap Om een structurele borging van privacy en gegevensbescherming te borgen, is een gedegen organisatorische inrichting – governance – noodzakelijk. In dit verslag is ingegaan op in hoeverre het management betrokken is bij het borgen van privacy in de organisatie, hoe en hoe vaak er vanuit het management wordt gecommuniceerd over het belang van privacy, of de uitvoerende en coördinerende taken op het gebied van privacy conform het privacy beleid worden uitgevoerd, en of er voorzien is in capaciteit voor deze taken.

Bevindingen Binnen de gemeente Papendrecht is er aandacht vanuit management en procesverantwoordelijken voor het onderdeel privacy, maar de inrichting van de privacy governance is nog niet voldoende ontwikkeld. Het is noodzakelijk dat door management en procesverantwoordelijken verantwoording wordt afgelegd voor wat betreft de naleving van de AVG. Er zijn in 2023 meermaals presentaties gegeven aan proceseigenaren door privacy coördinatoren en zij zijn in het kader van de uitvoering van een specifieke DPIA gewezen op hun verantwoordelijkheid. In 2023 werden er per team processen in kaart gebracht waarbij proceseigenaren gewezen werden op hun verantwoordelijkheden in het kader van de AVG. Voorts is er een document overlegd ‘Overzicht AVG-taken teamleiders’. Over de uitvoering op het gebied van privacy conform het vastgestelde privacybeleid wordt verantwoording afgelegd bij het bestuur en management d.m.v. de P&C cyclus, de FG is hierbij niet betrokken. De portefeuillehouder wordt betrokken bij de WIPI7 en andere bewustwordingssessies. De proceseigenaren zijn verantwoordelijk en aanspreekbaar op het juist uitoefenen van de AVG binnen hun processen.

Dit geldt dan voor zaken als: • Het up-to-date houden van het register van verwerkingen; • Tijdig betrekken van de privacy coördinator voor advies; • Het afsluiten van verwerkersovereenkomsten en overeenkomsten gezamenlijke verantwoordelijkheid; • Tijdig melden, voorkomen en leren van datalekken; • Uitvoeren van DPIA’s. Voor een volledige opsomming wordt verwezen naar het nieuwe Privacybeleid van 2024. In het kader van de privacy governance is van belang dat op genoemde onderwerpen per proces door de proceseigenaar verantwoording wordt afgelegd, zodat tijdig eventuele non-compliance kan worden gesignaleerd. Aanbevelingen: 1. Ga door op de ingeslagen weg door per team in 2024 processen in kaart te brengen en proceseigenaren te wijzen op hun verantwoordelijkheden in het kader van de AVG. 2. Breng het nieuwe privacybeleid aantoonbaar onder de aandacht bij proceseigenaren zodat zij exact weten welke verantwoordelijkheden op hen rusten.

7 WIPI: Jaarlijkse weken van de Informatiebeveiliging, privacy en integriteit.

9

3. Het is aan te bevelen dat zowel bestuur als DMT/DT aantoonbaar het onderwerp privacy onder de aandacht brengt en het onderwerp periodiek laat terugkomen op de agenda.8 4. Neem privacy op als vast onderdeel van de kwartaal-/halfjaarlijks-/jaarrapportages binnen de organisatie.

3.2 Volwassenheidsniveau Er worden vijf privacy volwassenheidsniveau’s onderscheiden. Dit gaat van geen tot beperkte aandacht voor privacy tot een uitstekende beheersing en benutting van de privacybescherming. Een niveau geeft daarbij aan op welke wijze de organisatie privacy heeft geborgd in zijn algehele organisatie. Op voorhand is volwassenheidsniveau 3 het minimale niveau om aantoonbaar in overeenstemming met de AVG persoonsgegevens te verwerken. Dit is in 2024 bevestigd door de Autoriteit Persoonsgegevens.9 Aanbeveling: 5. Om als organisatie te kunnen sturen op continu verbeteren, en risico gebaseerd te prioriteren is het noodzakelijk om het privacy volwassenheidsniveau in beeld te brengen. Het advies is dan ook om periodiek (1x per jaar) het privacy volwassenheidsniveau van de organisatie te meten middels een daartoe voorhanden methodiek.

3.3 Training en bewustwording De zorgvuldige omgang met persoonsgegevens is een onderdeel van ieders werk. De AVG geeft regels voor de zorgvuldige en rechtmatige verwerking van persoonsgegevens. Het is dan ook essentieel om medewerkers van de organisatie middels training en bewustwording te informeren over deze regels en de impact die deze regels hebben op hun werkzaamheden. Bevindingen: Elke nieuwe medewerker (ook inhuur) krijgt een bewustwordingstraining Informatiebeveiliging en Privacy binnen 3 maanden na start. De duur van de training is 2 uur en participatie wordt gemonitord. De organisatie heeft aangegeven dat alle nieuwe medewerkers van 2023 dat jaar ook de training hebben gevolgd. Er worden regelmatig trainingen georganiseerd, intranet posts geplaatst en interactieve bijeenkomsten georganiseerd zoals een pubquiz onder leiding van een wethouder op de dag van de Privacy. Gemeentesecretaris, management, wethouders, burgemeester worden hier door de privacy coördinator in meegenomen en voor uitgenodigd. Sinds 2023 zijn binnen de Drechtsteden wekelijkse vragen beschikbaar voor medewerkers op het gebied van informatiebeveiliging en privacy. Het gebruikte platform is van Recourse (Sir Askalot). Sinds eind 2023 wordt via hetzelfde platform een e-learning aangeboden. Aanbevelingen: Training en bewustwording wordt naar het oordeel van de FG binnen de gemeente serieus opgepakt.

Ga vooral zo door. Als aanbeveling kan worden gedacht aan het volgende: 6. Stel een jaarplan op voor bewustwording informatiebeveiliging en privacy. Voer na afloop een evaluatie uit om mede op basis daarvan een nieuw jaarplan op te stellen.10 8 WODC, Naleving van de AVG door overheden, 2022 en nieuwe Privacybeleid. Voorts kan worden opgemerkt dat de ‘tone

at the top’ grote invloed heeft op de gedragingen van een organisatie. 9 Autoriteit Persoonsgegevens, Brief aan provincie Zuid-Holland, 2024. 10 Aandachtspunten om te komen tot een goed bewustwordingsprogramma: Nationaal Cyber Security Centrum, Voorbij de e-learning | Wat kun je zelf doen?, geraadpleegd mei 2025.

10

7. Geef training en bewustwording voor specifieke groep medewerkers zoals het management. waarbij aandacht is voor hen relevante onderwerpen (denk bijv. aan de rol van leidinggevende bij de omgang met HR gegevens en verantwoordelijkheden uit het privacybeleid). 8. Geef binnen teams periodiek aandacht aan privacy onderwerpen (in overleg met de privacy coördinator) om zo zorg te dragen voor continu aandacht en bewustwording. Hiermee onderstreept de organisatie voorts aantoonbaar dat de zorgvuldige omgang met persoonsgegevens een onderdeel is van ieders werk.

3.4 Privacy Coördinator De privacy coördinator is een tweedelijns adviseur en het eerste aanspreekpunt, zowel voor de gemeente binnen de organisatie als naar buiten rondom privacygerelateerde vraagstukken. Zij geeft adviezen en sturing om taken van de gemeente binnen de kaders van de AVG uit te voeren. De privacy coördinator heeft een adviserende rol bij het uitvoeren van DPIA’s, beoordelen rechten van betrokkenen en afhandelen van datalekken. De FG onderhoud periodiek overleg met de privacy coördinator. Aanbeveling: 9. Het is belangrijk dat de privacy coördinator tijdig en naar behoren wordt betrokken bij alle privacy gerelateerde vraagstukken binnen de organisatie. Dit dient te worden geborgd. De privacy coördinator fungeert als eerste contactpunt binnen de organisatie en kan daarmee de FG tijdig en naar behoren informeren.

3.5 Adviseurs en toezichthouders regio De FG heeft periodiek overleg met strategisch adviseurs en toezichthouders als de Chief Information Security Officer (CISO), Chief Data Officer (CDO) van de Drechtsteden en de FG’s van de GR Sociaal en de GR Dienst Gezondheid & Jeugd. Sinds 2024 zijn overleggen met de Chief Information Officer (CIO) hier aan toegevoegd.

3.6 Teams Om de privacy organisatie optimaal in te richten is het een best practice om te werken met de rol van privacy ambassadeur per team.11 Dit zijn medewerkers die naast hun reguliere werkzaamheden voor een deel van hun tijd zich bezighouden met privacygerelateerde vraagstukken binnen het eigen team. Afhankelijk van de volwassenheid van de organisatie kan dit zich beperken tot het zijn van de zogenoemde ‘ogen en oren’ van de privacy coördinator. Deze rol is op dit moment niet aanwezig binnen de gemeente. De manager of teamleider is als proceseigenaar verantwoordelijk voor de zorgvuldige verwerking van persoonsgegevens die binnen zijn of haar team plaatsvindt. Zij zijn daarom ook verantwoordelijk om te monitoren of persoonsgegevens zorgvuldig worden verwerkt en dienen dit zo nodig bij te sturen. Dit omvat mede het initiëren van DPIA’s en het uitvoering geven aan de maatregelen die voortvloeien uit deze DPIA’s. Aanbeveling: 10. Het wordt aanbevolen om de rol van privacy ambassadeur per team te beleggen. Zorg daarbij voor voldoende beschikbare tijd en training van de privacy ambassadeurs.

11 WODC, Naleving van de AVG door overheden, 2022.

11

4 Privacy Processen 4.1 AVG rollen De gemeente Papendrecht is in de meeste situaties aan te merken als verwerkingsverantwoordelijke binnen de AVG. De verwerkingsverantwoordelijke bepaalt waarom (het doel) en hoe (de middelen) persoonsgegevens worden verwerkt. Rolbepaling is belangrijk, omdat hieruit op grond van de AVG alle rechten, plichten en risico’s voortvloeien. Een verwerkingsverantwoordelijke kan bij het verwerken van persoonsgegevens leveranciers van diensten en software inzetten, deze partijen kunnen afhankelijk van de feiten en omstandigheden worden gekwalificeerd als verwerker.12 Op het moment dat taken worden gedelegeerd dan is sprake van zelfstandige verwerkingsverantwoordelijkheid bij de delegataris (ontvanger van delegatie), bijvoorbeeld GR DG&J en voor een aantal taken de GR Sociaal.

4.2 DPIA De verwerkingen van persoonsgegevens door de gemeente Papendrecht dienen te voldoen aan de AVG. Dit houdt in dat de gemeente de werkprocessen waarin persoonsgegevens verwerkt worden moet toetsen en inrichten volgens de volgende beginselen: behoorlijkheid, transparantie, doelbinding, dataminimalisatie, opslagbeperking, juistheid, integriteit en vertrouwelijkheid. Daarnaast kan de gemeente in bepaalde gevallen (bij hoge risico’s) verplicht zijn om een Data Protection Impact Assessment (DPIA) uit te voeren. Bevindingen: Binnen de gemeente Papendrecht zijn processen en richtlijnen aanwezig om de DPIA’s tijdig uit te voeren. Dit gebeurt echter in 2023 nog onvoldoende. Voor nieuwe risicovolle verwerkingen dient voordat de verwerking van persoonsgegevens start een DPIA te worden uitgevoerd. De FG wordt vooraf, tijdens, en bij de afronding van DPIA’s betrokken. Alhoewel in beleid de proceseigenaren verantwoordelijk zijn voor het uitvoeren van de DPIA’s lijkt dit in de praktijk vaak neer te komen op een trekkende rol van de privacy coördinator. Onvoldoende is het bewustzijn aanwezig bij medewerkers van de vakafdelingen dat zij verantwoordelijk zijn voor het uitvoeren van de DPIA. In de periode eind 2023 en begin 2024 is een nieuwe versie van het DPIA template en PreDPIA template in de Drechtsteden in gebruik genomen in overeenstemming tussen privacy coördinatoren en FG.

Voor wat betreft onderstaande DPIA’s geldt dat enkel de verwerking voor het proces Peutermonitor nog niet is gestart. De overige genoemde verwerkingen daarvan is het proces reeds gestart voordat een DPIA is afgerond. 1 2 3 4 5 6

Onderwerp DPIA Ondermijning Peutermonitor DIFTAR Boa Registratie Systeem (BRS) Meldpunt goed verhuurderschap Leerlingenvervoer

Gestart 2022 2023 2023 2023 2023 2023

Status 31 dec 2023 Loopt Loopt Onbekend Loopt Loopt Loopt

12 Uitgebreide toelichting over dit onderwerp: Autoriteit Persoonsgegevens, Verantwoordelijke en verwerker.

12

Daarnaast geldt dat het ontbreekt aan een overzicht van verwerkingen waarvoor een DPIA moet worden uitgevoerd en wanneer eerder uitgevoerde DPIA's moeten worden geactualiseerd. Aangezien DPIA's moeten worden uitgevoerd voor verwerkingen waarvoor een hoger privacyrisico geldt, is het ontbreken van DPIA's een risico voor de gemeente. Dit risico ziet niet alleen op mogelijke datalekken of onrechtmatige gegevensverwerkingen, maar ook op financiële aspecten. Inwoners kunnen eventuele schade op de gemeente verhalen en de toezichthouder kan voor het niet uitvoeren van een DPIA een hoge boete opleggen. Aanbevelingen: 1. Geef prioriteit aan het opstellen van een planning van DPIA’s die zijn geïdentificeerd tijdens het project ‘Processen op orde’ waarbij kritische gemeentelijke processen worden nagelopen. 2. Geef, in navolging van het actualiseren van het register van verwerkingen, prioriteit aan het identificeren van risicovolle verwerkingen waarvoor een DPIA is voorgeschreven en stel een planning op om tot uitvoering hiertoe over te gaan. Stel hiervoor indien nodig de nodige (financiële) middelen beschikbaar. 3.

Geef prioriteit aan het opstellen dan wel waar nodig actualiseren en vaststellen van een DPIA proces waarbij onder meer aandacht is voor rollen, verantwoordelijkheden, borging van opvolging mitigerende maatregelen, monitoring van mitigerende maatregelen en continue leren en verbeteren. 4. Geef aandacht aan kennis en bewustwording aangaande het DPIA proces. 5. Geef aandacht aan het bepalen welke behoefte de organisatie heeft om DPIA’s tijdig uit te kunnen voeren. Gedacht kan worden aan incidenteel de ondersteuning vanuit privacy coördinator, andere adviseur en/of adviseur Juridisch Kenniscentrum Drechtsteden te intensiveren. 6. Stel een DPIA register op voor alle uitgevoerde en lopende DPIA’s alsmede PreDPIA’s.

Hoog risico verwerkingen, enkele voorbeelden:1 • • •

• • • •

Grootschalige verwerking of stelselmatige monitoring van de financiële situatie; Gezondheidsgegevens; Samenwerkingsverbanden waarbij gevoelige of bijzondere persoonsgegevens worden verwerkt (verslaving, armoede, schulden, sociale problematiek); Cameratoezicht (drones, bodycams, scanauto, beveiliging van pand etc); Volgsystemenpersoneel (black box bedrijfsauto’s); Samenvoegen van verschillende bronnen bij dashboarding; AI persoonsgegevensverwerking (denk aan AI Verordening samenspel met AVG).

1 Autoriteit Persoonsgegevens, Lijst verplichte DPIA, 2019.

13

4.3 Register van verwerkingen Het register van verwerkingen is de plek waar alle werkprocessen van de gemeente Papendrecht waarbij gebruik wordt gemaakt van persoonsgegevens zijn vastgelegd en beschreven. Het register is wettelijk verplicht op grond van artikel 30 van de AVG. Het register komt een belangrijke rol toe in het sturen op AVG-naleving en meer grip te krijgen op de verwerkingen van persoonsgegevens. Door dat overzicht is het makkelijker om te controleren of er op de juiste manier met persoonsgegevens wordt omgegaan en of de verwerkingen rechtmatig zijn. Ook kunnen mogelijke risico’s voor betrokkenen of de organisatie eenvoudiger worden gesignaleerd. Het bijhouden van een register is aldus geen doel op zich, maar een belangrijk instrument om de rechtmatige en zorgvuldige omgang met persoonsgegevens te bewerkstelligen. Voorts kan richting een ieder (inwoner, team, bestuur, toezichthouder) hierover transparantie worden geboden. Bevindingen: De gemeente Papendrecht maakt gebruik van de diensten van de gemeente Dordrecht inzake het bijhouden van het register van verwerkingen. Hiertoe is de softwareapplicatie iNavigator ingericht. Via dit systeem is op basis van gemeentelijke processen een versie van alle gemeentelijke verwerkingen te genereren.

Het register is in 2023 en in het eerste kwartaal van 2024 nog niet up-to-date gebracht ondanks dat dit in het FG Jaarverslag van 2022 een aanbeveling was. Het is niet duidelijk of alle verwerkingen van persoonsgegevens binnen de gemeente Papendrecht zijn opgenomen. In 2023 zijn er geen mutaties doorgevoerd. Hierdoor is er geen volledig en actueel zicht op de verwerkingsactiviteiten van de gemeente. Dit is in strijd met de AVG. Het register kan ook worden gebruikt voor het vaststellen van de verplichte Data Protection Impact Assessments (DPIA’s) voor hoog risico verwerkingen (paragraaf 4.2). Een register van verwerkingen dient te worden overlegd aan de Autoriteit Persoonsgegevens indien daar naar wordt gevraagd. Daarnaast kunnen ook inwoners of andere belangstellenden met een beroep op de Wet open overheid om het register vragen. Voor de FG en privacy coördinator dient het voorts als bron van informatie bij hun werkzaamheden. Op papier zijn de verantwoordelijkheden geregeld. Het is vastgesteld dat elke procesverantwoordelijke (teamleider) nieuwe en gewijzigde verwerkingen moet doorgeven. De privacy coördinator coördineert waar nodig. Aanbevelingen: 7. Geef prioriteit aan het actualiseren en completeren van het register van verwerkingen. Dit is ook nodig om te voldoen aan andere verplichtingen uit de AVG zoals verwerkersovereenkomsten, privacyverklaring en DPIA’s.

Stel hiertoe een plan op wat ondersteund wordt met tijd, capaciteit en middelen door het management. 8. Geef prioriteit aan het opstellen en vaststellen van een proces met rollen en verantwoordelijkheden om het register van verwerkingen volledig en actueel te houden. Koppel dit proces aan het nieuwe privacybeleid. Draag er zorg voor dat er een periodieke controle plaatsvindt naast dat nieuwe en gewijzigde verwerkingen worden opgenomen. 9. Stel proceseigenaren in staat om inzichtelijk te krijgen welke verwerkingen van persoonsgegevens onder hen vallen.

14

10. Aanbevolen wordt om te werken aan een te publiceren versie van het register van verwerkingen. Dit is weliswaar niet wettelijk verplicht vanuit de AVG, maar draagt wel bij aan de transparantie vanuit de organisatie naar betrokkenen en derden toe. Op grond van de Wet open overheid is het overigens denkbaar dat het register (op termijn) actief openbaar moet worden gemaakt.

4.4 Datalekken Het is een verplichting om (mogelijke) datalekken in een intern register bij te houden en in voorkomende gevallen te melden bij de Autoriteit Persoonsgegevens en de betrokkene. Dit brengt met zich mee dat de bewustwording over ‘wat is een datalek’ hoog moet zijn bij de organisatie. Een belangrijk aspect bij datalekken is het leren van fouten zodat deze in de toekomst kunnen worden gemitigeerd of weggenomen. Bevindingen: Het aantal gemelde datalekken binnen de gemeente Papendrecht is met vijf over geheel 2023 beperkt. De datalekken (waarvan geen gemeld zijn bij de AP) geven inhoudelijk geen aanleiding tot het maken van op- of aanmerkingen (meer incidenten met beperkte gevolgen dan structurele fouten). De FG merkt op dat de boordeling van één datalek, waarom het betreffende datalek wel/niet gemeld moet worden verbeterd kan worden door meer onderbouwing te geven. In de training aan nieuwe medewerkers (ook inhuur) komt het onderwerp datalekken terug. Sommige vragen bij het e-learning platform Recourse (Sir Askalot) gaan over datalekken. Voorts wordt binnen de organisatie aandacht besteed aan bewustwording omtrent het signaleren en melden van mogelijke datalekken. De organisatie geeft aan dit te blijven doen in de toekomst. Een belangrijk onderdeel van de AVG is het continu verbeteren en leren van incidenten.

Dit houdt in dat organisaties niet alleen moeten reageren op datalekken, maar ook de oorzaken moeten onderzoeken en maatregelen moeten nemen om herhaling te voorkomen. Door systematisch te evalueren wat er misging en waarom, kunnen organisaties hun beveiligingsmaatregelen versterken en de kans op toekomstige incidenten verkleinen. Naar aanleiding van de datalekken heeft dit plaatsgevonden in de organisatie door bijvoorbeeld in gesprek te treden met teamleiders, het invoeren van vierogen principe en extra check op het e-mailadres bij het versturen van dossiers. Aanbevelingen: 11. Blijf doorgaan met het op een positieve wijze onder de aandacht brengen en houden van het belang om datalekken te melden. Hierbij kan mede gedacht worden aan het onder de aandacht brengen via teamoverleggen. Het is een belangrijk onderdeel om te leren van fouten binnen de organisatie. 12. Geef aandacht aan het aantoonbaar terugkoppelen van datalekken die in de organisatie hebben plaatsgevonden en hoe er indien mogelijk van deze fouten is geleerd. Dit kan bijvoorbeeld in teams worden besproken. 13. Houdt de inhoud van het datalekkenregister tegen het licht en pas de best practices van de Autoriteit Persoonsgegevens hierop toe.13

13 Autoriteit Persoonsgegevens, Handreiking verbeteren datalekregistratie, 2019.

15

4.5 Rechten van betrokkenen De AVG stelt betrokkenen in staat om middels een aantal rechten (bijv. inzage en verwijdering) controle en invloed uit te oefenen over zijn of haar persoonsgegevens. De gemeente heeft de plicht om de betrokkenen te wijzen op deze rechten en om er voor te zorgen dat de betrokkenen deze rechten ook daadwerkelijk kunnen uitvoeren. Bevindingen: Via de gemeentelijke website kan een betrokkene kennis nemen van zijn rechten en deze na inloggen met DigiD digitaal uitoefenen.14 Er zijn procedures inzake het afhandelen van verzoeken om uitoefening van de rechten van betrokkenen ingericht. Er zijn over 2023 geen rechten van betrokkenen verzoeken ingediend. De privacyverklaring van de gemeente Papendrecht bevat afdoende informatie voor betrokkenen over het indienen van een klacht bij de privacy coördinator, de FG of bij de Autoriteit Persoonsgegevens. Er zijn twee klachten ingediend bij de organisatie over de omgang met persoonsgegevens. -

-

Een klacht had betrekking op het ontbreken van toestemming voor het delen van persoonsgegevens door de gemeente. Deze is ongegrond verklaard, omdat het ging om het delen van gegevens in het kader van vroegsignalering op grond van de Wet gemeentelijke schuldhulpverlening. Deze wet vereist dat gemeenten signalen van derden over betalingsachterstanden proactief oppakken en hulp aanbieden aan inwoners. Omdat dit een wettelijke verplichting is, is toestemming zoals klager betoogde niet vereist. Een klacht over het verstrekken van persoonsgegevens door de gemeente aan de kerk. Deze is ongegrond verklaard, omdat de gemeente de persoonsgegevens niet heeft verstrekt.

Aanbeveling: 14. Draag er zorg voor dat procedures en werkprocessen ten aanzien van rechten van betrokkenen waar nodig worden aangepast en toegepast op de lokale situatie. Denk hierbij met name, maar niet enkel, aan het inrichten van een proces binnen de gemeente voor het verzamelen van informatie bij vakafdelingen.

4.6 Privacy overeenkomsten Verwerkersovereenkomsten zijn een belangrijk instrument om de privacy en bescherming van persoonsgegevens te garanderen als een (deel van) een werkproces is uitbesteed. In dit verslag wordt ingegaan of verwerkersovereenkomsten zijn afgesloten, of deze (centraal) opgeslagen en geregistreerd worden, of het inzichtelijk is hoeveel verwerkersovereenkomsten er nog moeten worden afgesloten, en of er verwerkersovereenkomsten zijn afgesloten voor de dienstverlening van of binnen de regio. Uit de beantwoording van de vragen blijkt dat de gemeente deels zicht heeft op afgesloten en af te sluiten verwerkersovereenkomsten. In 2023 zijn twee verwerkersovereenkomsten afgesloten. Deze documenten worden opgeslagen ter archivering, de verantwoordelijkheid voor deze vastlegging ligt bij de proceseigenaar. Er is aangegeven dat er in 2024 een proces wordt opgesteld (inclusief verantwoordelijkheden, actueel houden en wijze van opslaan) met betrekking tot het afsluiten van verwerkers- en andere privacy

14 Gemeente Papendrecht, Rechten van betrokkenen Algemene Verordening Gegevensbescherming (AVG privacywet) -

Gemeente Papendrecht, geraadpleegd mei 2025.

16

overeenkomsten. De privacy coördinator is in elk geval betrokken bij verwerkersovereenkomsten die benodigd zijn voor verwerkingen waarbij een DPIA wordt uitgevoerd. Aangezien het register van verwerkingen geen volledig en actueel beeld geeft van de verwerkingen binnen de gemeente bestaat het risico dat er verwerkingen zijn waarvoor geen verwerkersovereenkomst is afgesloten waar dit wel verplicht is. Het ontbreekt dus aan een volledig en actueel overzicht van de af te sluiten en afgesloten verwerkersovereenkomsten. Aanbevelingen: 15. Geef prioriteit aan het actualiseren van het register van verwerkingen (in iNavigator) waardoor ook een beter overzicht ontstaat inzake de volledigheid rond (benodigde) verwerkersovereenkomsten en overeenkomsten inzake gezamenlijke verantwoordelijkheid. 16. Draag er zorg voor dat de lijst met verwerkers en subverwerkers actueel en volledig is om zo goed mogelijk te kunnen voldoen aan de vereisten uit artikel 28 AVG. Denk hierbij onder meer aan de (sub)verwerkers die worden ingeschakeld door Bedrijfsvoering Drechtsteden.

4.7 Privacy by Design Privacy by Design betekent dat privacy vanaf het begin wordt meegenomen in het ontwerp van systemen en processen. Dit zorgt ervoor dat persoonsgegevens zo goed mogelijk beschermd worden. Het is een proactieve aanpak om privacyrisico’s weg te nemen en minimaliseren. Ook wordt er op deze manier voor gezorgd dat er bijvoorbeeld niet meer persoonsgegevens worden verzameld dan noodzakelijk (dataminimalisatie). Bevindingen: Anders dan met een korte algemene tekst in het nieuwe privacybeleid komt Privacy by Design niet met zoveel woorden terug in documenten ter beschikking van de FG van de gemeente Papendrecht. De privacy coördinator geeft aan dat privacy steeds meer wordt betrokken bij de inkoop en inrichting van nieuwe programma’s en systemen. Voorts worden collega’s doormiddel van bewustwording gestimuleerd om privacy in vroeg stadium te betrekken. De aankoop van systemen loopt via Bedrijfsvoering Drechtsteden waar een standaard programma van eisen voor privacy beschikbaar is.15 Voorts is een toetsingsdocument informatiebeveiliging en privacy aanwezig als de leverancier en applicatie bekend zijn.16 Regionaal is er een portfolioproces waarin alle projecten met een digitaal component wat raakt aan de infrastructuur van Bedrijfsvoering Drechtsteden worden besproken. Voor het jaar 2024 wordt het lokale proces en regionale proces verder uitgelijnd.

15 Eisen en Wensen Privacy, versie 1.0 (definitief) november 2023 (intern). 16 Toetsingsdocument Applicaties - Informatiebeveiliging & Privacy, versie 1.3 oktober 2023 (intern).

17

Aanbevelingen: 17. Geef aandacht aan het opstellen van een Privacy by Design beleid en proces passend bij een gemeentelijke organisatie. Maak hierbij o.a. gebruik van de best practices opgesteld in de Handleiding Privacy by Design, Ministerie van Justitie en Veiligheid.17 a. Concreet behelst dit onder meer bijv. het aanstellen van een privacy ambassadeur per team of cluster die de zorgvuldige omgang met persoonsgegevens en naleving van de AVG op de werkvloer waarborgt/ verhoogt en de privacy coördinator vroegtijdig aanhaakt bij privacyvraagstukken. 18. Veranker Privacy by Design & Default bestending in het lokale en regionale inkoopproces, aanbestedingsproces en portfolioproces.

4.8 Sociaal domein In het FG Jaarverslag van 2022 was specifiek aandacht voor het sociaal domein. Blijkens paragraaf 4.2 is er in 2023 geen DPIA op dit terrein gestart of afgerond. Onderstaande aanbeveling is gelijk aan de aanbeveling uit 2022. “De meeste taken voor wat betreft uitvoering van de Participatiewet, Jeugdwet, Wmo2015 en Wet gemeentelijke schuldhulpverlening zijn gedelegeerd (soms geheel en gedeeltelijk gemandateerd) aan de GRS en de DJG. Binnen de gemeente zelf zijn wijkteams aanwezig. Voor de FG’s is het niet duidelijk onder welke juridische voorwaarden qua gegevensverwerking deze zijn ingericht. Voor de duidelijkheid: er kan veel mits goed ingericht. Hier moet duidelijkheid in komen. Een DPIA op dit gebied kan uitkomst bieden.” Aanbeveling: 19. Ga aan de hand van een DPIA na hoe de wijkteams (toegang) binnen het sociaal domein opereren en zorg voor de juist juridische inbedding van deze wijkteams indien nodig.

17

Ministerie van Justitie en Veiligheid, Handleiding privacy by design versie 1.0, 2023 en Ministerie van Justitie en Veiligheid, Aan de slag met Privacy by Design (PbD) en Privacy Enhancing Technologies (PETs) Verdiepingshandleiding, 2024.

18

5 Samenwerkingsverbanden en Bedrijfsvoering Drechtsteden 5.1 Servicegemeente Dordrecht (per 2025 Bedrijfsvoering Drechtsteden) Bedrijfsvoering Drechtsteden voert voor de gemeente Papendrecht een groot aantal taken uit op het gebied van bedrijfsvoering, personeel, organisatie, ICT en belastingen. Bij het aantreden van de FG per 1 juli van het jaar 2023, is hij door de voorgaande FG erop gewezen dat een IT programma genaamd 'ICT Beweegt', bij Bedrijfsvoering Drechtsteden wordt uitgevoerd. Dit programma heeft grote impact op alle klant-gemeenten en ook op het verwerken van persoonsgegevens. De toenmalige en huidige FG hebben het advies gegeven over de betrokkenheid van de FG en Chief Information Security Officer (CISO) bij het programma ICT Beweegt, namelijk om 'structurele betrokkenheid van de FG en CISO in het project ICT Beweegt met hen af te stemmen'. Ondanks dat de FG op eigen initiatief op een gegeven moment betrokken is bij het datamigratietraject naar Teams, kan er naar het oordeel van de FG niet gesproken worden van structurele betrokkenheid over de volle breedte van het programma ICT Beweegt. De verwerkingsverantwoordelijke en de verwerker dragen er zorg voor, zo lezen we in artikel 38 lid 1 AVG, dat de FG naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens.

Met andere woorden er rust een ‘brengplicht’ op de organisatie naar de FG. Die brengplicht is niet ingevuld. Risico: Naar het oordeel van de FG levert de handelswijze van Bedrijfsvoering Drechtsteden als verwerker en de onduidelijkheid in privacy governance (rollen, taken en verantwoordelijkheden) tussen Bedrijfsvoering Drechtsteden en de gemeente Papendrecht een hoog risico op. Zowel voor de gemeente Papendrecht als voor betrokkenen (inwoners, medewerkers en andere natuurlijke personen). Geen inzicht, is geen toezicht. Aanbeveling: 1. Geef met prioriteit invulling aan het FG Advies evaluatie SGD Eindrapport Samen op weg naar zakelijk partnerschap, april 2024.18

5.2 Zorg- en Veiligheidshuis Zuid-Holland Zuid Het Zorg- en Veiligheidshuis Zuid-Holland Zuid (ZVH) is een netwerkorganisatie die, in samenwerking met de partners uit het bestuurlijke, justitiële en zorgdomein, complexe en domein overschrijdende problematiek aanpakt.19 Het ZVH heeft in 2023 niet duidelijk gemaakt op welke wijze de verantwoordelijkheden als bedoeld onder de AVG zijn belegd bij de deelnemende organisaties, waaronder de gemeente Papendrecht. Procesbeschrijving noch DPIA is aangeleverd. De huidige FG heeft evenals de vorige FG geen toezicht kunnen houden op het ZVH in het jaar 2023. Risico: Gelet op de gevoelige aard van de (bijzondere) persoonsgegevens die verwerkt (kunnen) worden binnen het ZVH acht de FG het risico voor inbreuk op de persoonlijke levenssfeer van betrokken inwoner(s) binnen dit proces hoog. Geen inzicht, is geen toezicht.

18 FG Advies wordt als bijlage aan het college van B&W verstrekt. 19 Zie voor meer informatie de website van het Zorg- en Veiligheidshuis Zuid-Holland Zuid: ZVH ZHZ.

19

Aanbeveling: 2. Geef prioriteit aan het voldoen aan de AVG. De gemeente Papendrecht dient samen met andere overheidspartijen te kunnen aantonen en verantwoorden op welke wijze zij voldoen aan de verplichtingen die voortvloeien uit de AVG binnen dit samenwerkingsverband. Per 1 maart 2025 dient elke ZVH te voldoen aan de Wet gegevensverwerking door samenwerkingsverbanden (WGS).20

5.3 Samenwerkingsverbanden generiek, GR Sociaal en GR DG&J Binnen het samenwerkingsverband Drechtsteden maar ook daarbuiten wordt door de gemeente Papendrecht samengewerkt met meerdere partijen en gemeenten. Voor een diepere beschouwing over dit onderwerp wordt verwezen naar ‘Verwerkersovereenkomsten met samenwerkingspartners’ pagina 33-35 van het Rekenkameronderzoek ‘De bescherming van persoonsgegevens’ in Papendrecht december 2024.21 Aanbeveling: 3. Geef bij de uitbesteding van taken in het kader van samenwerkingen aandacht aan de verwerking van persoonsgegevens. Stel een overzicht samen van de verschillende samenwerkingen, de uitbestede taken en de verschillende (AVG) rollen.

20 ‘Per 1 maart 2025 treedt de Wet gegevensverwerking door samenwerkingsverbanden (WGS) in werking. (…) De WGS

zorgt voor duidelijke afspraken over hoe gegevens gezamenlijk worden verwerkt, om te voorkomen dat informatie versnipperd raakt of dat er onduidelijkheid ontstaat over wat te doen. Tegelijkertijd worden er waarborgen ingesteld om ervoor te zorgen dat deze gegevensverwerking zorgvuldig en correct verloopt.’ Rijksoverheid, Inwerkingtreding Wet gegevensverwerking door samenwerkingsverbanden, december 2024. 21 Rekenkamer van Papendrecht (uitgevoerd door PBLQ), De bescherming van persoonsgegevens in Papendrecht, december 2024.

20

6 Algoritmes en AI Nederlandse gemeenten staan voor grote uitdagingen, en AI kan een deel van de oplossing zijn volgens onder meer de VNG. Randvoorwaarde daarbij is wel dat AI en algoritmen op een verantwoorde manier worden ingezet. De FG houdt toezicht voor zover er sprake is van de verwerking van persoonsgegevens bij de inzet van algoritmen en AI. Eind 2023 heeft de Chief Data Officer van de Drechtsteden sessies met een spreker georganiseerd met als titel ‘Zijn we klaar voor de komst van AI?’. Het betrof een bijeenkomst met een evenwichtig verhaal waarbij aandacht was voor kansen, uitdagingen en risico’s bij de inzet van AI. In diezelfde periode is door de Chief Data Officer gestart met de concept Spelregels voor gebruik generatieve AI. Begin 2024 zijn deze spelregels gecommuniceerd. In de uitvraag is naar voren gekomen dat er in het jaar 2023 geen gebruik wordt gemaakt van AI of algoritmen. Voor de FG is dit niet te controleren, omdat het register van verwerkingen en software door de gemeente en verwerker Bedrijfsvoering Drechtsteden niet up-to-date zijn. De gemeente Papendrecht heeft geen algoritmes vermeld staan op de website: https://algoritmes.overheid.nl/. Het behoeft evenwel de aandacht, zeker met de inwerkingtreding van de AI Verordening in 2025.22 Aanbevelingen: 1.

Breng in beeld van welke algoritmen en/of AI gebruik gemaakt wordt door de gemeente en met name, maar niet beperkt tot, door de grootste verwerker Bedrijfsvoering Drechtsteden; 2. Stel in een multidisciplinair team een visie en beleid op voor het gebruik van AI en/of algoritmen; 3. Geef invulling aan AI-geletterdheid. De AI-Verordening verplicht organisaties om een traject te doorlopen voor de AI-geletterdheid van medewerkers, management en bestuur voor zover zij werken met AI-systemen. 4. Het is aan te bevelen om indien er algoritmen in gebruik zijn die raken aan de belangen van inwoners of breder burgers deze te publiceren op de website https://algoritmes.overheid.nl/. Voorts is het aan te bevelen om een intern algoritmeregister op te stellen.

7 Informatiebeveiliging Artikel 32 van de AVG vereist dat de gemeente passende technische en organisatorische maatregelen neemt om een beveiligingsniveau te waarborgen dat is afgestemd op de risico's voor persoonsgegevens. Het begrip 'passend' duidt mede op een proportionaliteit tussen beveiligingsmaatregelen en de aard van de te beschermen gegevens. Voor de sector overheid zijn de specifieke informatiebeveiligingsvereisten neergelegd in Baseline Informatiebeveiliging Overheidsnormen (BIO-normen). Deze normen moeten door overheden worden toegepast. Voor dit onderdeel wordt hier verwezen naar de rapportage van de CISO van de gemeente.

22 Enkele relevante links over de AI-Verordening: Autoriteit Persoonsgegevens, Aan de slag met AI-geletterdheid, 2025,

Rijksoverheid, Digitale Overheid | Overheid verruimt standpunt inzet generatieve AI, 2025 en VNG, Position paper en trendanalyse AI, Algoritmen en Gemeenten, 2025.

21

Bijlage 1 Verklarende woordenlijst AP - Autoriteit Persoonsgegevens Dit is de externe toezichthouder binnen Nederland met betrekking tot de uitvoering van de AVG, Uitvoeringswet AVG en Wet Politiegegevens. Voor meer informatie zie: https://autoriteitpersoonsgegevens.nl/ AVG De Algemene Verordening Gegevensbescherming. In het Engels bekend als GDPR (General Data Protection Regulation). BIO - Baseline Informatiebeveiliging Overheid De Baseline Informatiebeveiliging Overheid is het basisnormenkader voor informatiebeveiliging binnen de overheid. BVD Bedrijfsvoering Drechtsteden onderdeel van de Gemeente Dordrecht GR Sociaal Gemeenschappelijke regeling Sociale Dienst Drechtsteden en Drechtwerk. GR DG&J Gemeenschappelijke regeling Dienst Gezondheid en Jeugd. Met hieronder: Leerplicht en Voortijdig Schoolverlaten ZHZ, Serviceorganisatie Jeugd ZHZ, Veilig Thuis en GGD. Betrokkene(n) De persoon waarvan persoonsgegevens worden verwerkt. Datalek Bij een datalek gaat het om toegang tot persoonsgegevens zonder dat dit mag of zonder dat dit de bedoeling is. Waarbij de oorzaak een inbreuk op de beveiliging van deze gegevens is. Ook het ongewenst vernietigen, verliezen, wijzigen of verstrekken van persoonsgegevens door zo’n inbreuk valt onder een datalek.

23 Afhankelijk van de ernst van het datalek kan het noodzakelijk zijn om binnen 72 uur te melden bij de Autoriteit Persoonsgegevens én bij de persoon/personen wiens persoonsgegevens het betreft. DPIA - Data Protection Impact Assessment Het doel van een Data Protection Impact Assessment (DPIA) is om bij de verwerking van persoonsgegevens een zo goed en duidelijk mogelijk beeld te hebben wat de risico’s zijn bij het verwerken van desbetreffende persoonsgegevens. En welke risico-mitigerende maatregelen genomen worden om die risico’s zoveel mogelijk te verminderen of weg te nemen. De DPIA moet voorafgaand aan een voorgenomen verwerking worden uitgevoerd. FG - Functionaris Gegevensbescherming De FG houdt onafhankelijk toezicht binnen een organisatie op de correcte uitvoering van de verwerking volgens de AVG. Een FG is verplicht bij de overheid. Persoonsgegevens Een persoonsgegeven is alle informatie, op wat voor manier ook, die iets zegt over een persoon. Daar is al snel sprake van: naam, (mail)adres, woonplaats, geboortedatum, geslacht, functie, inhoud van e-mails, surfgedrag, en BSN. Niet alleen tekst, maar ook beeld en/of geluid kunnen persoonsgegevens bevatten. SGD Zie BVD Verwerken/ verwerking Alles wat je met persoonsgegevens kan doen.

Denk aan: verzamelen, vastleggen, ordenen, structureren, opslaan, wijzigen, opvragen, raadplegen, gebruiken, verstrekken, verspreiden, combineren, afschermen of wissen van persoonsgegevens.

23 Autoriteit Persoonsgegevens, Datalekken, geraadpleegd mei 2025.

22

Verwerker De partij die in opdracht van de verwerkingsverantwoordelijke persoonsgegevens verwerkt. Verwerkingsverantwoordelijke De verwerkingsverantwoordelijke bepaalt de doeleinden waarvoor en de middelen waarmee persoonsgegevens worden verwerkt. De gemeente is doorgaans verwerkingsverantwoordelijke.

Bijlage 2 Lijst van verwijzingen openbare bronnen Autoriteit Persoonsgegevens, Lijst verplichte DPIA, 2019 Autoriteit Persoonsgegevens, Handreiking verbeteren datalekregistratie, 2019. Autoriteit Persoonsgegevens, Brief aan provincie Zuid-Holland, 2024. Autoriteit Persoonsgegevens, Datalekken, geraadpleegd mei 2025. Autoriteit Persoonsgegevens, Recht op informatie tabblad ‘Voor organisaties: een goede privacyverklaring’, geraadpleegd mei 2025. Gemeente Papendrecht, Privacybeleid Gemeente Papendrecht 2024, 2024. Gemeente Papendrecht, Rechten van betrokkenen Algemene Verordening Gegevensbescherming (AVG privacywet), geraadpleegd mei 2025. Gemeenteblad van Dordrecht, Gemeenteblad 2023, 405159 (Aanwijzing FG’s), 2023. Gemeenteraad Papendrecht, Beeldvormende bijeenkomst FG Drechtsteden presentatie, 5 oktober 2023. Ministerie van Justitie en Veiligheid, Handleiding privacy by design versie 1.0, 2023. Ministerie van Justitie en Veiligheid, Aan de slag met Privacy by Design (PbD) en Privacy Enhancing Technologies (PETs) Verdiepingshandleiding, 2024. Nationaal Cyber Security Centrum, Voorbij de e-learning | Wat kun je zelf doen?, geraadpleegd mei 2025. Rekenkamer van Papendrecht (uitgevoerd door PBLQ), De bescherming van persoonsgegevens in Papendrecht, 2024. Rijksoverheid, Inwerkingtreding Wet gegevensverwerking door samenwerkingsverbanden, december 2024.