Collegevoorstel - Jaarrapportages FG Chief Information Security Officer CISO 2021

Collegevoorstel

Onderwerp

Jaarrapportages 2021 FG (Privacy) en CISO (Informatieveiligheid)

Zaaknummer

51179-2022

B&W vergadering

19 juli 2022

Integrale advisering

Hessel Bremer (CISO – informatieveiligheid), Lotte Schieving (FG – privacy)

Portefeuillehouder

Dhr. M.P. (Martijn) Dadema

Voor informatie

Hans Scholtheis

Bestuurssamenvatting Gemeenten verwerken op grote schaal informatie en persoonsgegevens van inwoners. Zonder deze gegevens kunnen zij hun taken niet uitvoeren. Het gaat in de praktijk niet alleen om het verwerken van persoonlijke informatie van inwoners, maar ook om de gegevens van medewerkers en relaties van de gemeente. De Europese Algemene Verordening Gegevensbescherming (AVG) biedt waarborgen voor het beschermen van deze persoonsgegevens. De Baseline Informatiebeveiliging Overheid (BIO) waarborgt de betrouwbaarheid van informatie en geeft organisatorische en technische beheersmaatregelen om de risico's bij het verwerken van informatie te beperken. De Functionaris Gegevensbescherming (FG) en de Chief Information Security Officer (CISO) van de gemeente Raalte zien erop toe dat de gemeente bij het verwerken van informatie en persoonsgegevens voldoet aan de verplichtingen uit de AVG en de BIO. De organisatie is belast met de uitvoering van deze regelgeving. De FG en CISO rapporteren hun bevindingen rechtstreeks aan het college van burgemeester en wethouders. Het college wordt gevraagd de rapportage van de FG en de rapportage van de CISO over het jaar 2021 vast te stellen en aan te bieden aan de gemeenteraad.

Beslispunten 1. 2.

De jaarrapportage over 2021 van de Functionaris Gegevensbescherming en de jaarrapportage over 2021 van de Chief Information Security Officer vast te stellen; De gemeenteraad op de hoogte stellen van de jaarrapportages over 2021 van de Functionaris Gegevensbescherming en van de Chief Information Security Officer middels bijgevoegde informatienotitie

Besluit

1

Collegevoorstel

Inleiding Gemeentes verwerken op grote schaal informatie en persoonsgegevens van inwoners. Zonder deze gegevens kunnen zij hun taken niet uitvoeren. Het gaat in de praktijk niet alleen om het verwerken van persoonlijke informatie van inwoners, maar ook om de gegevens van medewerkers en relaties van de gemeente. De Europese Algemene Verordening Gegevensbescherming (AVG) biedt waarborgen voor het beschermen van deze persoonsgegevens. De Baseline Informatiebeveiliging Overheid (BIO) waarborgt de betrouwbaarheid van informatie en geeft organisatorische en technische beheersmaatregelen om de risico's bij het verwerken van informatie te beperken. De Functionaris Gegevensbescherming (FG) en de Chief Information Security Officer (CISO) van de gemeente Raalte zien erop toe dat de gemeente bij het verwerken van informatie en persoonsgegevens voldoet aan de verplichtingen uit de AVG en de BIO. De organisatie is belast met de uitvoering van deze regelgeving. De FG en CISO rapporteren hun bevindingen rechtstreeks aan het college van burgemeester en wethouders. Bij dit voorstel treft u de rapportage van de FG en de rapportage van de CISO over het jaar 2021 aan.

Beoogd effect Beoogd effect is invulling geven aan de verantwoordelijkheid van het college voor het beschermen van personen (persoonsgegevens) en het mogelijk maken van vrij verkeer van data ( = de doelen van de AVG). Gelet op de aard en omvang van de gegevensverwerking bij de gemeente Raalte is het van groot belang dat dit zorgvuldig gebeurt. De beginselen van de Algemene verordening gegevensbescherming (AVG) en de Baseline Informatiebeveiliging (BIO) moeten daarbij in acht worden genomen.

Argumenten 1.1 De jaarrapportages geven een duidelijk beeld over de bereikte resultaten in 2021 voor wat betreft privacy en informatieveiligheid Het doel van de jaarrapportages is aan te tonen, in hoeverre de gemeente Raalte voldoet aan de verplichtingen uit de AVG en de BIO. De AVG draagt specifiek de FG op, erop toe te zien dat de AVG nageleefd wordt. Als onderdeel van deze verplichting dient de FG volgens de Autoriteit Persoonsgegevens (AP) te analyseren en te controleren in hoeverre verwerkingswerkzaamheden aan de AVG voldoen en de verantwoordelijke(n) te informeren, adviseren of aanbevelingen te geven. Bevindingen FG (privacy) De praktijk heeft aangetoond dat het voor het voldoen aan de privacyverplichtingen cruciaal is dat er voldoende capaciteit beschikbaar is in de vorm van mensen en middelen om de daarbij horende werkzaamheden ook daadwerkelijk te kunnen uitvoeren. Dat blijkt lastig, waardoor werkzaamheden in de tijd uitlopen. Hierdoor kunnen we taken die we hebben afgesproken en moeten doen, niet uitvoeren en hebben we achterstand opgelopen. Bijvoorbeeld als het gaat om het uitvoeren van privacy risicoanalyses (DPIA’s). Dit brengt het risico met zich mee van onbevoegde kennisneming, wijziging of verstrekking van persoonsgegevens.

Aangezien gegevensverwerkingen in het kader van de gemeentelijke praktijk structureel en op grote schaal plaatsvinden, is de kans dat dit risico zich ook daadwerkelijk voordoet bij de huidige stand van zaken aannemelijk te noemen. In 2020 is gestart met een privacyteam in DOWR-verband waarbij de grootte van het team is gebaseerd op de inzichten van dat moment. In de afgelopen twee jaar is gebleken dat de verplichtingen voor de gemeente op grond van de AVG en Wet politiegegevens te groot zijn om met de omvang van het huidige privacyteam aan te kunnen voldoen. Toetsing van de situatie van DOWR aan een referentiesituatie bij een andere gemeente (gemeente Amersfoort) bevestigt dit.

2

Collegevoorstel

Bevindingen CISO (informatieveiligheid) In de jaarrapportage 2021 CISO worden de inhoudelijke ontwikkelingen op het gebied van informatieveiligheid geschetst. Als rode draad kunnen we stellen dat mede ten gevolge van de pandemie (COVID-19) de afhankelijkheid van betrouwbare informatiesystemen ten behoeve van onze dienstverlening is toegenomen. Deze periode heeft geleid tot een explosieve toename van de digitale dreiging in een vorm zoals wij die de afgelopen jaren nog niet eerder gezien hebben. Dit maakt dat informatieveiligheidsrisicoanalyses (BBN-toets BIO) van groot belang zijn om periodiek en tijdig beschermingsmaatregelen te kunnen nemen. Hier zetten we dan ook extra op in.

2.1 Het college legt verantwoording af aan de raad over de privacybeleidsvoering en uitvoering van het informatieveiligheidsbeleid. Het college is eindverantwoordelijk voor de naleving van privacywetgeving en informatieveiligheid met de burgemeester als portefeuillehouder. Het college zorgt ook voor een zodanige documentatie van beleid en maatregelen dat het op ieder moment maatschappelijk en juridisch uitleg kan geven over de deugdelijkheid van de aanpak.

Duurzaamheid Niet van toepassing.

Kanttekeningen Niet van toepassing.

Financiën Het vaststellen van de jaarrapportages 2021 kent geen directe financiële consequenties. Noodzakelijke en/of gewenste maatregelen naar aanleiding van de jaarrapportages maken onderdeel uit van het jaarplan informatieveiligheid en privacy van 2022. Financiële consequenties die voortkomen uit het jaarplan, worden uitgewerkt in een nader voorstel voor de gemeentebegroting van 2023.

Vervolg Eventuele vervolgstappen naar aanleiding van de jaarrapportages komen terug in het jaarplan informatieveiligheid en privacy 2022. Vaststelling van dit jaarplan vindt plaats door de directie van Raalte. Het college van burgemeester en wethouders ontvangt dit jaarplan ter kennisgeving. Als uitwerking op het jaarplan volgt in een voorstel voor de gemeentebegroting van 2023 voor de activiteiten die extra budget vergen en nog geen financiële dekking hebben. Denk daarbij aan extra capaciteit die nodig is om de minimale activiteiten uit te voeren die nodig zijn om te kunnen voldoen aan wetgeving (AVG, Politiewet).

Communicatie Specifieke communicatie naar aanleiding van de hiervoor genoemde besluiten is niet nodig.

Bijlagen Bijlage 1. Bijlage 2. Bijlage 3.

Jaarrapportages 2021 FG (privacy) Jaarrapportage 2021 CISO (informatieveiligheid) Raadsinformatienotitie

3