Informatienotitie Raad anonimiseren

INFORMATIENOTITIE RAAD Onderwerp

Onderzoek anonimiseren van documenten

Zaaknummer

21337-2022

B&W vergadering

12 april 2022

Portefeuillehouder

dhr. M.P. (Martijn) Dadema

Behandelend ambtenaar

Hans Scholtheis

Kennis te nemen van • •

Het onderzoek van de functionaris gegevensbescherming naar de wijze waarop de gemeente Raalte documenten publiceert en zij daarbij omgaat met het anonimiseren van gegevens. De wijze waarop de gemeente Raalte opvolging geeft aan de aanbevelingen uit het onderzoek.

Inleiding Het beschermen van de privacy van onze inwoners is voor ons een belangrijke waarde. Daarom moeten we altijd persoonsgegevens uit stukken halen die wij openbaar maken. Dit noemen we ‘anonimiseren’. Gezien het belang van privacybescherming heeft het college in 2014 twee checklists vastgesteld voor medewerkers die zij moeten gebruiken bij het anonimiseren van stukken. Daarnaast heeft de gemeenteraad in 2018 een ‘Protocol geheimhouding en beslotenheid’ vastgesteld waarin wordt ingegaan op de informatie-uitwisseling tussen college en raad. De afspraken uit dit protocol zijn uitgewerkt in werkinstructies voor medewerkers van de gemeente. Ondanks deze maatregelen is in de afgelopen maanden toch gebleken bij enkele incidenten dat de kans op een fout in het anonimiseringsproces aanwezig is. De gemeente Raalte heeft daarom haar Functionaris gegevensbescherming (FG) gevraagd een onderzoek te doen naar deze incidenten en op grond daarvan aanbevelingen te doen aan de organisatie. Dit onderzoek is uitgevoerd (zie bijlage 1) en de aanbevelingen zijn gebruikt om verbeterstappen te zetten in het anonimiseerproces. Deze stappen zijn gericht op het in de toekomst zo veel mogelijk voorkomen van incidenten. In deze informatienotitie zijn in het kort de bevindingen van het onderzoek weergegeven en zijn de verbeterstappen in dit proces beschreven.

Kernboodschap Uit het onderzoek van de FG blijkt dat de interne privacyorganisatie voor het anonimiseren en publiceren van stukken op een aantal onderdelen niet naar behoren functioneert. Geconcludeerd wordt dat werkinstructies nog onvoldoende leven onder medewerkers. Ook missen de in opzet aanwezige waarborgen die moeten leiden tot bijsturing, zoals het doorlopen van de procedure meldplicht datalekken, hun werking bij de publicatie van documenten. De FG acht herhaling van dit type incidenten aannemelijk en benadrukt de noodzaak tot verbetering. De FG adviseert het bewustzijn rondom het handelingsperspectief bij het anonimiseren van stukken te versterken en medewerkers meer bewust te maken van hun verantwoordelijkheden bij het naleven van de procedure voor meldplicht van datalekken. Het college kiest ervoor om de aanbevelingen van de FG op te volgen door de volgende verbeterstappen te nemen:

-

Verhogen van bewustzijn, eigenaarschap en vaardigheid in anonimiseren in de organisatie bij bestaande medewerkers en bij nieuwe medewerkers (in het inwerkprogramma); - Creëren van meer bewustwording op het voorkomen van datalekken door bijvoorbeeld te anonimiseren; - Meer aandacht vragen bij medewerkers om datalekken te melden indien deze zich voordoen; Deze stappen worden concreet gemaakt door organisatiebreed via intranet uit te leggen, wat de noodzaak van anonimiseren is. Daarin wordt benadrukt dat iedere medewerker zelf verantwoordelijk is voor het juiste gebruik van persoonsgegevens in zijn of haar werk en het ook moet melden op het moment dat het niet goed is gegaan. Bovendien komt daarin terug, wie in de organisatie de software heeft om documenten anoniem te maken. Daarnaast heeft bescherming van persoonsgegevens aandacht in de nanolearningmethode in Raalte (een periodiek terugkerende minitraining per e-mail voor iedere medewerker) en heeft het een plek in het inwerkprogramma voor nieuwe medewerkers. Aanvullend op de aanbevelingen van de FG neemt het college de volgende maatregelen: • Aanstellen van aanspreekpunten die vaardig zijn in het anonimiseren van documenten en daarvoor de middelen tot hun beschikking hebben. Deze medewerkers krijgen extra instructie over het juiste gebruik van deze software. • Monitoren van de kwaliteit van anonimiseren in de werkprocessen.

Een plan voor monitoring wordt in Q2 van 2022 uitgewerkt en daarna uitgevoerd; • Onderzoeken van mogelijkheden voor automatiseren van het anonimiseerproces. Met de DOWRpartnergemeenten en DOWR-i is in Q1 van 2022 een project opgestart waarin onderzocht wordt, wat de mogelijkheden zijn, waarna een keuze wordt gemaakt in software en aanbesteding en implementatie in 2022 volgt.

Kanttekeningen Niet van toepassing.

Vervolg De eerste vier verbeterstappen worden op korte termijn uitgevoerd. Voor monitoring wordt in Q2 van 2022 een plan uitgewerkt en daarna uitgevoerd. Het project in DOWR-verband voor anonimiseersoftware is opgestart en bevindt zich in de onderzoeksfase. Implementatie van de daaruit voorkomende softwarekeuze vindt in 2022 plaats.

Communicatie Elke stap die hiervoor is genoemd, vergt zijn eigen communicatievorm en -kanaal. Dit kan organisatiebreed zijn via intranetberichten of e-mail of direct gericht aan specifieke medewerkers.

Burgemeester en wethouders van Raalte,

de (loco) secretaris Arie Nijman

de burgemeester Martijn Dadema

Bijlage 1. Onderzoek FG publiceren van stukken

2