RKC-rapport Privacy en informatieveiligheid nov. 2020

◥ Versterken leer- en verbetercyclus De gemeente werkt volgens een (gemeente-brede) PDCA-cyclus waar ook de bescherming van persoonsgegevens en informatiebeveiliging in zijn opgenomen. De ‘check’ en ‘act’ fase, gericht op het evalueren en bijstellen van beleid kunnen nog gestructureerder en explicieter worden uitgevoerd. De aanbeveling is om dit voor privacy en informatiebeveiliging handen en voeten te geven door de privacy-risico’s die in uitgevoerde PIA’s zijn geïnventariseerd centraal te stellen. Met andere woorden, de gemeente kan de ‘check’ fase invullen door periodiek (bijvoorbeeld jaarlijks) voor de belangrijkste onderkende privacy-uitdagingen te toetsen of de benodigde maatregelen zijn genomen en of er noemenswaardige incidenten zijn voorgevallen.

16

Zoals eerder in het rapport al genoemd wordt binnen het vakgebied van privacy- en informatiebeveiliging zowel gesproken over PIA’s (Privacy Impact Assesment) als DPIA’s. Die laatste afkorting staat voor Data Protection Impact Assessment; het betreft het geregeld doen van controles op de beveiliging van informatiesystemen.

pagina 19/22

20 november 2020

PBLQ - privacy in Pijnacker-Nootdorp

Bijlage A

Geïnterviewde personen

Datum

Naam

Functie

10-6-2020

Carlo Vreugde

Chief Information Security Officer

10-6-2020

Gosse Bouter

Functionaris Gegevensbescherming

12-6-2020

Dorothee Peters

Teamleider Gegevensbeheer en Belastingen

17-6-2020

Jeffrey Mangal

Programmamanager Datagedreven werken

10-6-2020

Frank van Manen

Juridisch beleidsmedewerker/privacy officer

17-6-2020

Monique van Waardenberg

Afdelingshoofd Sociaal Domein

17-6-2020

Odette Langeveld

Teamleider maatschappelijke ondersteuning

pagina 20/22

20 november 2020

PBLQ - privacy in Pijnacker-Nootdorp

Bijlage B

Bestudeerde documentatie

#

Documentnaam

Versie

Datum

1

Concept DPIA Cameratoezicht intern

-

-

2

Concept DPIA Participatie

-

-

3

Concept DPIA WMO

-

-

4

ENSIA collegeverklaring 2018

-

26 februari 2019

5

ENSIA collegeverklaring 2019

-

28 april 2020

6

Informatiebeveiliging Jaarrapportage 2019

-

-

7

Informatiebeveiligingbeleid BIO Pijnacker Nootdorp 2020-2023

0.2

10 december 2019

8

Informatiebeveiligingbeleid PijnackerNootdorp (oud)

1.0

Juli 2018

9

Jaarplan Privacy en Informatieveiligheid 2020 Factsheet

-

-

10

Privacy Folder

-

-

11

Privacy Jaarrapportage 2018

-

-

12

Privacy Jaarrapportage 2019

-

-

13

Privacybeleid Pijnacker-Nootdorp (oud)

-

April 2018

14

Privacybeleid Pijnacker-Nootdorp

-

April 2020

15

Privacyverklaring website

-

20 september 2019

16

Sociaal Domein Informatie- en inzagerecht

-

Februari 2020

17

Sociaal Domein Werkinstructie beeldbellen

-

27 maart 2020

18

Sociaal Domein Werkprocessen Kernteam (concept) 2020

-

April 2020

pagina 21/22

20 november 2020

PBLQ - privacy in Pijnacker-Nootdorp

Bijlage C

Deelnemers Mini-DPIA’s

Mini-DPIA Wvggz - 7 september 2020 Naam Functie Maria Dernee

Medewerker kernteam

Erik Visser

Beleidsadviseur sociaal domein

Frank van Manen

Juridisch beleidsmedewerker / privacy officer

Mini-DPIA Fraude - 16 september 2020 Naam Functie Judith van der Graaf

Afdelingshoofd interne dienstverlening

Monique van Waardenberg

Afdelingshoofd sociaal domein

Sander Hazebroek

Afdelingshoofd bedrijfsvoering

Wanda Bouwmeester

Concerncontroller

pagina 22/22

20 november 2020

PBLQ - privacy in Pijnacker-Nootdorp

adres post telefoon

Voorzitter Rekenkamercommissie Pijnacker-Nootdorp mevr. S.E. Bueving

e-mail internet

Oranjeplein 1, 2641 EZ Pijnacker Postbus 1, 2640 AA Pijnacker 14 015 info@pijnacker-nootdorp.nl www.pijnacker-nootdorp.nl

Cc: dhr. J. van der Haas, ambtelijk secretaris van de Rekenkamercommissie

onderwerp nadere informatie

Bestuurlijke reactie op de Quickscan Privacy en Informatieveiligheid G. Bouter

verzenddatum zaaknummer

1203643

briefnummer

1083278

uw brief van

12 oktober 2020

uw kenmerk

Geachte mevrouw Bueving, Allereerst danken wij u hartelijk voor uw verrichte onderzoek. Graag maken wij gebruik van de geboden mogelijkheid om op de Quickscan Privacy en Informatieveiligheid te reageren. Het onderzoek heeft als doel om inzicht te krijgen in de wijze waarop invulling is gegeven aan de aanbevelingen uit de rapportage van de rekenkamercommissie uit 2018 betreffende de beveiliging en bescherming van persoonsgegevens. In de rapportage uit 2018 concludeerde u dat wij goed op weg waren om de privacy van inwoners juridisch en in de praktijk te borgen, maar dat dit op enkele punten nog verder geïmplementeerd kon worden. De afgelopen twee jaar hebben wij op het gebied van privacy en informatieveiligheid verschillende maatregelen getroffen om een zorgvuldige omgang met persoonsgegevens te blijven waarborgen. Uw beoordeling en conclusie in deze Quickscan sterken ons in de gedachte dat wij in 2018 op de juiste weg waren en dit twee jaar later nog steeds zijn. Wij zijn ons er terdege van bewust dat privacy en informatieveiligheid onverminderd van belang blijft en continue aandacht vereist binnen een steeds verder digitaliserende overheid. Wij zijn dan ook blij met uw aanbevelingen om de borging van de privacy te verbeteren en nemen deze van harte over. Hieronder gaan wij in op uw aanbevelingen.

Inwerktraject U doet de aanbeveling om het toelichten en benadrukken van privacy en informatieveiligheid nadrukkelijker onderdeel te laten zijn van het inwerkprogramma van nieuwe medewerkers. Aandacht voor privacy en informatieveiligheid is altijd van belang. Dat is een van de redenen dat tijdens introductiebijeenkomsten voor nieuwe medewerkers ook aandacht wordt besteed aan dit onderwerp.

pagina

1/2

Daarnaast worden nieuwe medewerkers vanaf hun eerste werkdag meegenomen in de reguliere activiteiten, zoals de vragen van ’Sir Ask A Lot’, om de bewustwording onder medewerkers te vergroten. Uiteraard is gedurende de abrupte overgang van werken op kantoor naar een thuiswerkplek aandacht gevraagd voor en advies gegeven over ‘veilig’ thuiswerken en zullen wij dit blijven doen. Ondanks de reeds bestaande communicatie over privacy en informatieveiligheid is deze periode waarin wij digitale middelen veelvuldiger zijn gaan gebruiken en meer op afstand zijn gaan werken een goed moment om te onderzoeken of, en zo ja, hoe privacy- en informatieveiligheid beter geborgd kan worden in het inwerkprogramma. Communicatie naar inwoners U concludeert dat vooruitgang is geboekt op het gebied van onze communicatie richting inwoners en dat er tegelijkertijd nog ruimte is voor verbetering. Door onze ambities op dit vlak te verwezenlijken, die u ook onderschrijft, hopen wij onze inwoners nog beter te bereiken en een excellente dienstverlening te bieden. Hoe wij hierbij onze communicatie nog beter af kunnen stemmen op de wensen en behoeften van onze inwoners zullen wij onderzoeken. In gesprek gaan met vertegenwoordigers van inwoners is daarin een goede suggestie.

Uitvoeren van DPIA’s en Versterken leer- en verbetercyclus De aanbevelingen met betrekking tot de PIA’s en de PDCA-cyclus worden herkend en wij zijn voornemens deze op te volgen. Wij zien de meerwaarde van het centraal stellen van mogelijke privacyrisico’s in de PDCA-cyclus en gaan hiermee aan de slag. Hierbij zullen wij oog houden voor de samenhang tussen de verschillende onderdelen waarop in wordt gezet om privacy en informatieveiligheid te borgen. Tot Slot Wij vertrouwen erop dat met bovenstaande reactie aan uw verzoek is voldaan. Hoogachtend, het college van Pijnacker-Nootdorp,

J.P.R. Woudstra secretaris (plv.)

pagina

2/2

mw. F. Ravestein burgemeester