Informatienotitie Raad toezichtjaarverslag FG CISO 2022

INFORMATIENOTITIE RAAD Onderwerp

Toezichtjaarverslag CISO en FG 2022

Zaaknummer

15339-2023

B&W vergadering

28 maart 2023

Portefeuillehouder

Dhr. M.P. (Martijn) Dadema

Behandelend ambtenaar

Hans Scholtheis

Kennis te nemen van Het toezichtjaarverslag CISO en FG 2022

Inleiding De Functionaris Gegevensbescherming (FG) en de Chief Information Security Officer (CISO) van de gemeente Raalte zien erop toe dat de gemeente bij het verwerken van informatie en persoonsgegevens voldoet aan de verplichtingen uit de Algemene Verordening Gegevensbescherming (AVG) en de Baseline Informatiebeveiliging voor Overheden (BIO). De FG en CISO geven hun bevindingen rechtstreeks aan het college van burgemeester en wethouders. Het college legt verantwoording af aan de raad over de privacybeleidsvoering en uitvoering van het informatieveiligheidsbeleid. Het college is ook eindverantwoordelijk voor de naleving van privacywetgeving en informatieveiligheid met de burgemeester als portefeuillehouder.

Kernboodschap In het toezichtjaarverslag geven de FG en de CISO een beeld van de stand van zaken bij de gemeente Raalte als het gaat om het naleven van de AVG en BIO in 2022. De uitvoering van de BIO en de AVG heeft een blijvende grote invloed op bijna alle werkprocessen van gemeenten. Gemeenten moeten werkprocessen waarin informatie en persoonsgegevens worden verwerkt inrichten volgens de uitgangspunten van de BIO en de AVG. Het jaar 2022 stond, evenals voorgaande jaren, vooral in het teken van het bestendigen van de informatieveiligheid- en privacy aanpak. De drie organisaties hebben daarbij stappen gezet in reeds gestarte verbeterplannen en activiteiten ondernomen gericht op de verdere inbedding van het risicomanagement. Bijvoorbeeld het uitvoeren van Data Protection Impact Assessments (DPIA’s) en baselinetoets Basis Beveiligings Niveau (BBN). In 2022 is duidelijk geworden dat voor het verwerken van politiegegevens, die onder de Wet politiegegevens (Wpg) vallen, een ander en strenger regime dient te gelden dan voor gegevens die onder de AVG vallen. Voor de Wpg stond 2022 in het teken van een nulmeting in de vorm van een externe audit. Uit deze audit is gebleken dat de verwerkingen van politiegegevens binnen de drie gemeenten op veel vlakken nog niet aan de Wpg-eisen voldoen.

De gemeenten Deventer, Olst-Wijhe en Raalte hebben in 2022 in beeld gebracht wat de verplichtingen onder de AVG en de Wpg daadwerkelijk met zich meebrengen qua werkzaamheden en de inzet van de Privacy Officer (PO), de FG en de Information Security Officer (ISO). De resultaten van dit onderzoek hebben uiteindelijk voor de budgetten gezorgd die in 2023 tot een capaciteitsuitbreiding bij privacy moeten gaan leiden. Dit betekent wel dat het gebrek aan capaciteit bij privacy in 2022 op veel AVG-aandachtsgebieden invloed gehad, zoals het actualiseren van het verwerkingsregister en het uitvoeren van DPIA’s, en op het daadwerkelijk starten met de implementatie van de Wpg.

Op grond van de bevindingen is een viertal aanbevelingen gedaan: 1. Governance: Verbeter het eigenaarschap over privacy en informatieveiligheid bij het management 2. Risicoanalyses: Voer DPIA’s en Baselinetoetsen uit en registreer de resultaten 3. Overzicht creëren: Actualiseer de drie registers van verwerkingen en pas dataclassificatie toe 4. Bewustwording / Rechten van betrokkenen: Vergroot doormiddel van inwerkprogramma’s en materie specifieke trainingen planmatig het bewustzijn

Vervolg De aanbevelingen vanuit het toezichtjaarverslag zijn vertaald naar concrete activiteiten in het privacy- en informatiebeveiligingsplan 2023.

Communicatie Verdere communicatie is niet nodig.

Bijlage(n) 1.

Toezichtjaarverslag CISO en FG 2022

burgemeester en wethouders van de gemeente Raalte,

de secretaris Monique van Esterik

de burgemeester Martijn Dadema

2