Collegevoorstel onderzoek anonimiseren

Collegevoorstel

Onderwerp

Onderzoek anonimiseren

Zaaknummer

21337-2022

B&W vergadering

12 april 2022

Integrale advisering

Jeanet van Olst (juridisch advies), Mieke Lammerts van Bueren (bedrijfsvoering)

Portefeuillehouder

Dhr. M.P. (Martijn) Dadema

Voor informatie

Hans Scholtheis

Bestuurssamenvatting Op verzoek van de gemeente Raalte heeft de functionaris gegevensbescherming een onderzoek uitgevoerd naar de wijze waarop de gemeente Raalte documenten publiceert en zij daarin omgaat met het anonimiseren van documenten. Op grond van de aanbevelingen van het onderzoek is een aantal verbeterstappen beoogd in de organisatie van de gemeente Raalte. Het college wordt gevraagd hier kennis van te nemen en het onderzoek inclusief het plan voor opvolging van de aanbevelingen ter kennisgeving aan te bieden aan de gemeenteraad.

Beslispunten 1. 2. 3.

Kennis te nemen van het onderzoek van de functionaris gegevensbescherming naar publicatie van documenten in de gemeente Raalte in het algemeen en het anonimiseren van documenten in het bijzonder; Kennis te nemen van de opvolging van de aanbevelingen van het onderzoek in de vorm van concrete verbeterstappen; De gemeenteraad het onderzoek ter kennisgeving aan te bieden, vergezeld van een toelichtende raadsinformatienotitie waarin de opvolging van de aanbevelingen van het onderzoek staat beschreven.

Besluit

Inleiding Het beschermen van de privacy van onze inwoners is voor ons een belangrijke waarde. Daarom moeten we altijd persoonsgegevens uit stukken halen die wij openbaar maken. Dit noemen we ‘anonimiseren’. Gezien het belang van privacybescherming heeft het college in 2014 twee checklists vastgesteld voor medewerkers die zij moeten gebruiken bij het anonimiseren van stukken. Daarnaast heeft de gemeenteraad in 2018 een ‘Protocol geheimhouding en beslotenheid’ vastgesteld waarin wordt ingegaan op de informatie-uitwisseling tussen college en raad. De afspraken uit dit protocol zijn 1

Collegevoorstel

uitgewerkt in werkinstructies voor medewerkers van de gemeente. Ondanks deze maatregelen is in de afgelopen maanden toch gebleken bij enkele incidenten dat de kans op een fout in het anonimiseringsproces aanwezig is. De gemeente Raalte heeft daarom haar Functionaris voor gegevensbescherming (FG) gevraagd een onderzoek te doen naar deze incidenten en op grond daarvan aanbevelingen te doen aan de organisatie. Dit onderzoek is uitgevoerd (zie bijlage 1) en de aanbevelingen zijn gebruikt om verbeterstappen te zetten in het anonimiseerproces. Deze stappen zijn gericht op het in de toekomst zo veel mogelijk voorkomen van incidenten.

Beoogd effect Bescherming van persoonsgegevens bij het openbaar maken van documenten

Argumenten 1.1 Het onderzoek van de FG geeft een actueel beeld van de situatie van anonimiseren in de gemeente Raalte. Op grond van de Algemene Verordening Gegevensbescherming (AVG) is de gemeente verplicht om persoonsgegevens te beschermen. Het onderzoek toont aan dat risico’s bestaan bij de bescherming op het moment dat documenten openbaar worden gemaakt. Beheersing van deze risico’s vergt maatregelen in de vorm van anonimiseren van documenten. Uit het onderzoek van de FG blijkt dat de interne privacyorganisatie voor het anonimiseren en publiceren van stukken op een aantal onderdelen niet naar behoren functioneert. Geconcludeerd wordt dat werkinstructies nog onvoldoende leven onder medewerkers. Ook missen de in opzet aanwezige waarborgen die moeten leiden tot bijsturing, zoals het doorlopen van de procedure meldplicht datalekken, hun werking bij de publicatie van documenten. De FG acht herhaling van dit type incidenten aannemelijk en benadrukt de noodzaak tot verbetering. De FG adviseert het bewustzijn rondom het handelingsperspectief bij het anonimiseren van stukken te versterken en medewerkers meer bewust te maken van hun verantwoordelijkheden bij het naleven van de procedure voor meldplicht van datalekken.

2.1 De aanbevelingen van het onderzoek geven aanleiding tot het doen van een aantal verbeterstappen in de organisatie van de gemeente Raalte opdat risico’s bij het openbaar maken van gegevens beter worden beheerst. Om aan de aanbevelingen gevolg te geven, zijn de volgende verbeterstappen beoogd: • Verhogen van bewustzijn, eigenaarschap en vaardigheid in anonimiseren in de organisatie bij bestaande medewerkers en bij nieuwe medewerkers; • Creëren van meer bewustwording op het voorkomen van datalekken door bijvoorbeeld te anonimiseren; • Meer aandacht vragen bij medewerkers om datalekken te melden indien deze zich voordoen; Deze stappen maken we concreet door organisatiebreed via intranet uit te leggen, wat de noodzaak van anonimiseren is. Daarin benadrukken we dat iedere medewerker zelf verantwoordelijk is voor het juiste gebruik van persoonsgegevens in zijn of haar werk en het ook moet melden op het moment dat het niet goed is gegaan. Bovendien komt daarin terug, wie in de organisatie de software heeft om documenten anoniem te maken. Daarnaast heeft bescherming van persoonsgegevens aandacht in de nanolearningmethode in Raalte (een periodiek terugkerende mintraining per e-mail voor iedere medewerker) en heeft het een plek in het inwerkprogramma voor nieuwe medewerkers.

Aanvullend op het advies van de FG zijn de volgende extra maatregelen beoogd: • Aanstellen van aanspreekpunten die vaardig zijn in het anonimiseren van documenten en daarvoor de middelen tot hun beschikking hebben. Deze medewerkers krijgen extra instructie over het juiste gebruik van deze software. • Monitoren van de kwaliteit van anonimiseren in de werkprocessen. Een plan voor monitoring wordt in Q2 van 2022 uitgewerkt en daarna uitgevoerd;

2

Collegevoorstel

•

Onderzoeken van mogelijkheden voor automatiseren van het anonimiseerproces. Met de DOWRpartnergemeenten en DOWR-i is in Q1 van 2022 een project opgestart waarin onderzocht wordt, wat de mogelijkheden zijn, waarna een keuze wordt gemaakt in software en aanbesteding en implementatie in 2022 volgt.

3.1 De gemeenteraad heeft een verantwoordelijkheid in het kader van de AVG voor wat betreft verwerking van gegevens. Daarom biedt het college het onderzoek ter kennisgeving aan aan de gemeenteraad.

Duurzaamheid Niet van toepassing

Kanttekeningen Niet van toepassing

Financiën Niet van toepassing

Vervolg De eerste vier verbeterstappen worden op korte termijn uitgevoerd. Voor monitoring wordt in Q2 van 2022 een plan uitgewerkt en daarna uitgevoerd. Het project in DOWR-verband voor anonimiseersoftware is opgestart en bevindt zich in de onderzoeksfase. Implementatie van de daaruit voorkomende softwarekeuze vindt in 2022 plaats.

Communicatie Elke stap die hiervoor is genoemd, vergt zijn eigen communicatievorm en -kanaal. Dit kan organisatiebreed zijn via intranetberichten of e-mail of direct gericht aan specifieke medewerkers.

Bijlagen Bijlage 1. Raadsinformatienotitie Bijlage 2. Onderzoek FG publicatie van documenten

3