Intern onderzoek FG (inclusief bijlagen)

Intern onderzoek naar de verwerking van persoonsgegevens bij het publiceren van stukken Aan: het college van burgemeester en wethouders van de gemeente Raalte Van: de Functionaris voor gegevensbescherming Datum: 10 februari 2022 Vooraf De gemeentesecretaris van de gemeente Raalte heeft op 27 januari 2022 de Functionaris gegevensbescherming (FG) gevraagd een oordeel te geven over eventuele overtredingen op het gebied van privacy bij het anonimiseren en publiceren van stukken in de gemeente Raalte. De aanleiding voor dit verzoek was een incident waarbij de namen van 12 medewerkers van de gemeente op verkeerde wijze waren weggelakt (geanonimiseerd). Na de publicatie van de bestuursverslagen op de gemeentewebsite wees een journalist de gemeente erop dat de met balkjes afgeschermde gegevens na het kopiëren daarvan in Word gewoon te lezen waren. Bij het onderzoeken van dit incident bleek dat er ook andere stukken met weggelakte persoonsgegevens online stonden waarbij deze knip- en plak- methode kon worden toegepast. Het ging om publicaties op de raadspagina. Deze stukken bleken in deze vorm door het college bij de griffie te zijn aangeleverd. De gemeente Raalte werd eerder met vergelijkbare incidenten geconfronteerd. Het ging in deze gevallen om het onterecht niet weglakken van persoonsgegevens.

In 2021 werden er bijvoorbeeld bij het anonimiseren van een reactie op een Wob-verzoek namen en contactgegevens van ambtenaren en relaties over het hoofd gezien. De gemeentesecretaris gaf in haar verzoek om onderzoek aan dat zij graag van de FG wilde weten of het anonimiseren en publiceren van stukken in de gemeente Raalte met waarborgen is omkleed, of eventuele werkafspraken, werkbeschrijvingen en/of protocollen vastgesteld en toegankelijk zijn voor medewerkers en of er bij het meest recente incident rondom de publicatie van bestuursverslagen conform deze zorgvuldigheidseisen is gewerkt. Ook wilde zij graag weten of de FG concrete aanbevelingen voor de organisatie had. 1. Inleiding In deze rapportage zijn de bevindingen vastgelegd van het door de FG uitgevoerde onderzoek. Deze rapportage is geschreven door de FG in diens rol als onafhankelijk toezichthouder binnen de gemeente op de naleving van de AVG. De rapportage richt zich tot het college van burgemeester en wethouders van de gemeente Raalte als ‘verwerkingsverantwoordelijke’ in de zin van de AVG. In diens hoedanigheid van intern toezichthouder heeft de FG een eigen bevoegdheid om te bepalen of een intern onderzoek naar verwerkingen van persoonsgegevens wordt ingesteld. Aan het wel of niet starten van en/of rapporteren over een intern onderzoek ligt een risico inschatting van de FG ten grondslag.

In dit geval zijn de omvang en aard van de risico’s voor betrokkenen (de personen over wie de persoonsgegevens gaan) en het vermoeden van het ontbreken van technische en organisatorische maatregelen doorslaggevend geweest. Om iets te kunnen zeggen over de verwerkingen van persoonsgegevens bij het anonimiseren en publiceren van stukken en het college een gedegen inhoudelijk advies te kunnen geven, is door de FG in beeld gebracht of deze verwerkingen rechtmatig plaatsvinden. Hierna volgt daarom eerst een rechtmatigheidsbeoordeling van de FG. Vervolgens zal worden ingegaan op de daarbij geconstateerde gebreken en de aanbevelingen aan het college. 2. Het anonimiseren en publiceren van stukken Bij het anonimiseren en publiceren van stukken worden persoonsgegevens van inwoners, maar ook van medewerkers en relaties verwerkt. Deze handelingen vinden bijvoorbeeld plaats in het kader van Wob-procedures en het verwerken van bestuurlijke stukken. De daarbij verwerkte persoonsgegevens komen uit de domeinen waar de stukken van afkomstig zijn. Het betreft verwerkingen van persoonsgegevens die incidenteel tot wekelijks plaatsvinden. Bij bepaalde stukken betreft het namen 1

van personen die weggelakt moeten worden, maar er zijn ook stukken bij waar bijzondere persoonsgegevens in staan, zoals medische gegevens. Technische en organisatorische maatregelen Uitgangspunt bij de AVG is dat persoonsgegevens niet zomaar gepubliceerd mogen worden. De wet bepaalt wanneer de gemeente verplicht is stukken openbaar te maken. Waar deze verplichting door de privacy van betrokkenen wordt begrensd, moeten stukken vόόr publicatie worden geanonimiseerd. Het anonimiseren van stukken is een methode waarbij identificerende gegevens handmatig of met een programma (Adobe Pro of Bluebeam) definitief worden verwijderd. Het college heeft in 2014 twee checklists vastgesteld die de medewerkers van het toenmalige team Communicatie & Informatie geacht werden te gebruiken bij het anonimiseren van stukken (zie bijlage 1). Dat deze verantwoordelijkheid inmiddels bij zaakeigenaren is komen te liggen kan worden afgeleid uit het Handboek E-suite/Medewerkersportaal aangezien zaakeigenaren daarin verantwoordelijk worden gehouden voor de inhoud van een zaak. De gemeenteraad heeft in 2018 een Protocol geheimhouding en beslotenheid vastgesteld waarin wordt ingegaan op de informatie-uitwisseling tussen college en raad. De afspraken uit dit protocol zijn uitgewerkt in werkinstructies voor medewerkers van de gemeente (zie bijlage 2).

Daarin staat wat het betekent voor stukken in een zaak als deze op enig moment gepubliceerd gaan worden. Zowel de checklists als de werkinstructies staan op Sharepoint en zijn beschikbaar voor de medewerkers van de gemeente Raalte. Over het gebruik van Adobe Pro en Bluebeam bij het anonimiseren van stukken zijn in 2021 twee DOWR-i handleidingen verschenen (zie bijlage 3 en 4). Daarin wordt het anonimiseren van stukken en het definitief verwijderen van persoonsgegevens met behulp van deze tools stap voor stap beschreven. Volgens de door de FG bevraagde functioneel beheerders wordt er naar deze handleidingen verwezen bij vragen van medewerkers. Deze handleidingen staan op een daarvoor ingerichte Sharepoint site waar de medewerkers van de gemeente Raalte bij kunnen. Onduidelijk is echter of deze instructies naar de medewerkers zijn gecommuniceerd. De met medewerkers van de gemeente Raalte gevoerde gesprekken bevestigen dat niet alle personen die stukken moeten anonimiseren ook voldoende op de hoogte zijn van het juiste gebruik van Adobe Pro en Bluebeam voor het verwijderen van persoonsgegevens. Hoe stukken feitelijk geanonimiseerd worden verschilt volgens hen daarnaast per medewerker en per domein. Er zijn geen instructies gevonden die ingaan op het handmatig, doormiddel van een zwarte stift, anonimiseren en vervolgens weer inscannen van stukken.

Het meest recente incident rondom de publicatie van bestuursverslagen bij de gemeente Raalte laat zien dat Bluebeam niet altijd op juiste wijze wordt toegepast. De betreffende medewerker had naar eigen zeggen geen weet van de daarbij verschenen handleiding en heeft naar eer en geweten geprobeerd de gegevens in de bestuursverslagen weg te lakken door over de tekst zwarte balken te plaatsen en er vervolgens in Bluebeam een Pdf-bestand van te maken. Het op deze manier digitaal afschermen van persoonsgegevens maakt echter dat weggelakte gegevens na het toepassen van de knip- en plak- methode in Word te raadplegen zijn. Op basis van intern gevoerde gesprekken en de door de FG opgevraagde documentatie kan worden geconcludeerd dat de gemeente de eisen die zij aan het feitelijke gedrag van haar medewerkers stelt om ervoor te zorgen dat het anonimiseren en publiceren van stukken op zorgvuldige wijze plaatsvindt onvoldoende duidelijk heeft gecommuniceerd. Hierdoor missen deze eisen de beoogde werking. 3. Verbetering van de interne privacyorganisatie Voor het voorkomen van incidenten in de toekomst doet de FG de volgende aanbevelingen: Versterken bewustzijn handelingsperspectief Het bewustzijn van de organisatie over wanneer stukken geanonimiseerd moeten worden en wat de juiste toepassing is van de daarvoor beschikbare programma’s is onvoldoende gebleken.

Adobe Pro en Bluebeam zullen tot de introductie van nieuwe anonimiseringstooling binnen het DOWR-project ‘de 5 wetten’ in gebruik blijven. Om het management en de medewerkers (opnieuw) bekend te maken met de eisen rondom het anonimiseren en publiceren van stukken verdient het aanbeveling om de 2

daarbij te gebruiken checklists, werkinstructies en handleidingen doormiddel van NanoLearning bij medewerkers te (her)introduceren. Het is raadzaam om de Privacy Officer te vragen daartoe een minicursus te ontwikkelen die onder de medewerkers van de gemeente Raalte kan worden verspreid. Naleving procedure meldplicht datalekken Een belangrijk vereiste voor het feitelijk zorgvuldig omgaan met persoonsgegevens binnen een organisatie is het tijdig kunnen handelen bij incidenten. Van medewerkers wordt niet verwacht dat zij privacy expert zijn, maar er wordt wel van hen verwacht dat zij weten wat zij moeten doen in het geval van een (vermoedelijk) incident. Het per ongeluk onterecht publiceren van persoonsgegevens levert in alle gevallen een datalek op wat door de Privacy Officer beoordeeld en geregistreerd moet worden. In 2019 is de procedure meldplicht datalekken geactualiseerd en in alle drie de DOWR-gemeentes door de directie vastgesteld (zie bijlage 5). Van de vijf incidenten die zich de afgelopen jaren hebben voorgedaan rondom het publiceren van stukken is er niet één incident waarbij deze procedure op juiste wijze is doorlopen. De FG heeft bijvoorbeeld slechts bij één van deze incidenten een beoordeling van de Privacy Officer terug kunnen vinden.

Voor de andere vier incidenten geldt dat zij helemaal niet terug te vinden zijn in de registratie van datalekken van de gemeente Raalte. Het blijft daardoor onduidelijk op welke manier de gemeente bij die gevallen zorg heeft gedragen voor de privacy van de daarbij betrokken personen. Het publiceren van persoonsgegevens kan immers vervelende gevolgen voor de betrokkenen hebben. Zeker daar waar het om gevoelige informatie of kwetsbare personen gaat. Door het niet registreren van incidenten kan tevens niet worden nagegaan of de gemeente accuraat heeft gehandeld vanaf het moment dat zij zich bewust was van deze onrechtmatige verwerkingen van persoonsgegevens. Het is dan ook raadzaam om het management en de medewerkers (opnieuw) te instrueren over hun verantwoordelijkheden bij het constateren en onderzoeken van incidenten en datalekken. Het advies is om ook hier gebruik te maken van de mogelijkheden van Nanolearning. De Privacy Officer kan de opdracht worden gegeven de minicursus over dit onderwerp die reeds in deze tool klaar staat onder de medewerkers van de gemeente Raalte te verspreiden.

Aangezien het gebruik van Nanolearning slechts een basisniveau van bewustzijn stimuleert is het aan te raden naast het gebruik van dit programma ook op andere manieren het bewustzijn rondom het handelingsperspectief bij anonimiseren en het doorlopen van de procedure meldplicht datalekken te vergroten dan wel te verstevigen. De uitkomsten van het onderzoek van de FG kunnen bijvoorbeeld via intranet met medewerkers worden gedeeld of managers kan gevraagd worden bij een eerstvolgend teamoverleg hier aandacht aan te besteden. Gezien de relatie tussen de door de FG onderzochte incidenten en de verwerkingen die plaatsvinden onder de verantwoordelijkheid van de gemeenteraad wordt geadviseerd de aanbevelingen van de FG met de gemeenteraad te delen. Conclusie De interne privacyorganisatie ten aanzien van het anonimiseren en publiceren van stukken functioneert op een aantal onderdelen niet naar behoren. Werkinstructies leven nog onvoldoende onder medewerkers en de in opzet aanwezige waarborgen die moeten leiden tot bijsturing, zoals het doorlopen van de procedure meldplicht datalekken, missen hun werking. De FG acht herhaling van dit type incidenten aannemelijk en benadrukt de noodzaak tot verbetering.

3

Bijlage 1. Spelregels voor publiceren

GEG EVENS VOO RSTEL

Zaaknummer

Gerelateerde zaak

5874

Notanummer

: geen

Onderwerp: Spelregels voor publiceren van persoonsgegevens op de website

Openbaar

Ja

Auteur

J.K. van Olst

Portefeuillehouder

dhr. P.A. Zoon

)1/vs(Î)

Eenheid: Dienstverlening Team: Advies

d.d.: PROCEDURE TOT BESLUITVORMING COLLEGE (INTEGRALE ADVISERING)

Financieel Juridisch Personeel Communicatie ICT Inkoop Minima-effecten Anders DATUM:

HANDTEKENING:

Portefeuillehouder

~--------

MB Advies OR

Z) mei.

Teammanager

~1/1'

2£!__!__¥--

Eenheidmanager

~ -.____.,.!

Gemeentesecretaris PROCEDURE NA BESLUITVORMING COLLEGE

)

Gemeenteraad Ondernemin sraad

./

ter informatie ter kennisname

ter besluitvorming adviesrecht

instem min srecht

Intranet Staatscourant

Wkpb Geen

BEKENDMAKING

Belanghebbenden Internet ROUTERING

Gemeentepagina Persbericht

./

AKKOORD

BESPREKEN

Burgemeester Zoon Wethouder van Loevezijn Wethouder Hiemstra Wethouder Wagenmans

a Secretaris

l

DOCUMENTEN

Bijlage 1 Bijlage 2 Bijlage 3 Bijlage 4

informatienotitie checklist 'persoonsgegevens' voor het opstellen van bestuurlijke documenten overzicht welke gegevens anonimiseren artikel uit Binnenlands Bestuur en de Kamervragen daarover van D66

I Kopie na besluitvorming:

ZAA KNUM M ER

5874

GERELATEERDE ZAAK

geen

ÄDVIESNOTANUMMER

VOOR INFORMATIE

Jeanet van Olst

ONDERWERP EN BESTUURSSAMENVATTING

)

Spelregels voor publiceren van persoonsgegevens op de website Bij het publiceren van informatie op de website kunnen belangen van openbaarheid en bescherming van privacy conflicteren. Dit maakte het noodzakelijk duidelijkheid te scheppen en spelregels op te stellen. Uitgangspunt is dat Bescherming van privacy prevaleert boven digitale publicatie van gegevens. BESLISPUNTEN

1. 2.

Te besluiten dat documenten uit het bestuurlijke besluitvormingsproces van het college op de gemeentelijke website geanonimiseerd gepubliceerd worden. De raad te informeren door bijgevoegde informatienotitie.

BESLUIT

)

INLEIDING

Toegankelijkheid van informatie draagt bij aan een transparant openbaar bestuur. Het is steeds makkelijker informatie algemeen toegankelijk te maken via internet en documenten integraal (gescand) te plaatsen. Internet is laagdrempelig en wereldwijd 24 uur per dag toegankelijk voor een omvangrijk en divers publiek. Echter, informatie op internet kan ook grote gevolgen hebben voor betrokkenen. Is het niet de informatie zelf, dan kunnen die gevolgen ook een resultaat zijn van het combineren van op internet te vinden gegevens. Toegankelijkheid van gegevens kan bijvoorbeeld identiteitsfraude vergemakkelijken. In de afgelopen tijd is in ieder geval twee keer door personen verzocht persoonsgegevens van de gemeentelijke website te verwijderen. Het onderwerp persoonsgegevens op internet staat op dit moment in de belangstelling. Zowel binnen ons eigen bestuur komt het onderwerp met enige regelmaat ter sprake, maar het speelt ook in andere gemeenten. Zie bijvoorbeeld het artikel in Binnenlands Bestuur over de gemeente Groningen en de Kamervragen die D66 daarover gesteld heeft aan de Minister van BZK (bijgevoegd). Daar waar informatie persoonsgegevens bevat of de persoonlijke levenssfeer raakt is het dan ook nodig zorgvuldig te zijn. Dit maakt dat niet alle informatie, ook al is deze openbaar, geschikt is voor digitale publicatie.

Het spanningsveld tussen openbaarheid en bescherming van de persoonsgegevens brengt met zich mee dat steeds een afweging plaats moet vinden welk belang in een bepaald geval zwaarder weegt. Als het gaat om publicatie van persoonsgegevens op internet, komen zowel de Wet openbaarheid van bestuur als de Wet bescherming persoonsgegevens in beeld. Beide regelingen geven uitzonderingen

en beperkingen op het openbaar maken van persoonsgegevens. Daarnaast kennen beide regelingen een belangenafweging. Dit betekent kort gezegd dat niet alle openbare informatie, ook geschikt is voor digitale publicatie. Het is echter ook niet zo dat informatie die niet geschikt is voor digitale publicatie, per definitie ook niet openbaar is. Het college kiest uit oogpunt van transparantie voor het digitaal publiceren van zijn (openbare) besluitenlijsten en de daarop vermelde collegevoorstellen en -besluiten, maar zonder alle achterliggende documenten en bijlagen. Dit alles maakt het noodzakelijk duidelijkheid te scheppen en spelregels op te stellen over het publiceren van gegevens in documenten uit het bestuurlijke besluitvormingsproces van het college op de gemeentelijke website (www .raalte.nl). BEOOGD EFFECT

Privacywetgeving correct uitvoeren waardoor misbruik van persoonsgegevens niet wordt bevorderd en het introduceren van een uniforme werkwijze hoe om te gaan met het publiceren van persoonsgegevens op internet. ARGUMENTEN

)

1.1 Volgens het CBP is het op grond van de Wet bescherming persoonsgegevens noodzakelijk persoonsgegevens altijd te anonimiseren. Het College Bescherming Persoonsgegevens houdt toezicht op de naleving en toepassing van wetten die het gebruik van persoonsgegevens regelen. Het CBP heeft ook taken op het gebied van advisering, voorlichting en informatieverstrekking. Het CBP verschaft helderheid over de uitleg van wettelijke normen in de vorm van richtsnoeren of zienswijzen. In dit geval is een tweetal richtsnoeren van belang, te weten "Publicatie van persoonsgegevens op internet" en "Actieve openbaarmaking en eerbiediging van de persoonlijke levenssfeer". Uit deze documenten is te destilleren dat het CBP van mening is dat het belang van openbaarheid niet opweegt tegen het belang van bescherming van persoonsgegevens. Het publiceren van persoonsgegeven is soms mogelijk, maar volgens het CBP, dan alleen met uitdrukkelijke toestemming van de betrokkene. 1.2 Met het sturen van een document naar een bestuursorgaan doet iemand niet automatisch afstand van bescherming van zijn persoonlijke levenssfeer. Personen kunnen zich op verschillende wijzen richten tot het gemeentebestuur. Bijvoorbeeld door het sturen van een brief of e-mail bericht, het doen van een aanvraag, het indienen van een bezwaarschrift of klacht of het indienen van zienswijzen.

Deze documenten bevatten over het algemeen in ieder geval naam en adresgegevens van de afzender en vaak een handtekening.

)

Dat een ieder kennis kan nemen van deze documenten draagt bij aan democratisch bestuur. Het belang van openbaarheid vereist niet dat bijvoorbeeld bekend wordt wie de brief heeft geschreven, waar de persoon woont en hoe de handtekening er uit ziet. Met het sturen van een document naar een bestuursorgaan doet iemand ook niet automatisch afstand van bescherming van zijn persoonsgegevens/ persoonlijke levenssfeer. Ter illustratie, de Raad van State heeft in een uitspraak (ECLl:NL:RVS:2012:BY5071) over een bestemmingplanprocedure geconcludeerd dat indieners van zienswijzen mogelijk kunnen worden geacht te hebben ingestemd met integraal ter inzage leggen van die zienswijze gedurende de bestemmingplanprocedure, maar dat dit niet betekent dat zij hebben ingestemd met het openbaar maken van hun persoonsgegevens. Het indienen van zienswijzen kan niet worden aangemerkt als het instemmen van betrokkene met openbaarmaking van persoonsgegevens. Er is dan ook geen grond voor het oordeel dat de betrokkenen personen volledig afstand hebben gedaan van bescherming van hun persoonlijke levenssfeer. 1.3 Bescherming van privacy prevaleert boven digitale publicatie. Informatie op het wereld wijde web is op veel eenvoudiger manier voor iedereen beschikbaar. Informatie die op het web staat is heel makkelijk te hergebruiken en veel moeilijker te verwijderen en daardoor lang beschikbaar.

Zoekmachines worden steeds geavanceerder en het koppelen van informatie is steeds makkelijker. Om die reden passen bij het digitaal publiceren van gegevens zwaardere voorwaarden. In de eerder genoemde uitspraak van de Raad van State (ECLl:NL:RVS:2012:BY5071) is benadrukt dat het college van B&W van de betreffende gemeente in redelijkheid aan de bescherming van de persoonlijke levenssfeer van de indieners van zienswijzen meer gewicht heeft kunnen toekennen dan aan het belang van openbaarheid. Het belang van openbaarheid was voldoende gediend met het geanonimiseerd publiceren van de zienswijze en de reactie van het college daarop.

De belangenafweging tussen digitale openbaarheid en bescherming van persoonsgegevens zou daarom moeten doorslaan naar bescherming van persoonsgegevens. Ook willen we voorkomen dat mensen terughoudend worden zich te richten tot het gemeentebestuur vanwege de mogelijkheid dat hun gegevens digitaal openbaar worden. Een dergelijke situatie draagt niet bij aan democratisch bestuur.

1.4

Anonimiseren heeft geen inhoudelijk effect op procedures

Het anonimiseren, noch het nalaten van anonimiseren van persoonsgegevens heeft, indien het publiceren van gegevens niet daadwerkelijk noodzakelijk is voor de procedure, inhoudelijk geef effect op procedures. Ter verduidelijking, de Raad van State heeft in een uitspraak (ECLl:NL:RVS:201 0:BO1177) geconcludeerd dat het plaatsen van een niet-geanonimiseerde versie van een zienswijzenota op internet geen gebrek is dat kan leiden tot vernietiging van het bestreden bestemmingsplan, maar dat betrokkenen daarover wel kunnen klagen bij het CBP.

1. 5 Ook Wet openbaarheid van bestuur maakt uitzondering voor persoonsgegevens Er lijkt een schijnbare tegenstelling te zitten tussen de Wet openbaarheid van bestuur (Wob) en de Wet bescherming persoonsgegevens (Wbp). Echter, artikel 1, lid 1 onder e van de Wob stelt dat het verstrekken van informatie in alle gevallen achterwege blijft voor zover het persoonsgegevens betreft als bedoeld in paragraaf 2 van hoofdstuk 2 van de Wbp, tenzij de verstrekking kennelijk geen inbreuk op de persoonlijke levenssfeer maakt. Paragraaf 2 van hoofdstuk 2 van de Wbp bevat bijzondere persoonsgegevens. Bijzondere persoonsgegevens zijn gegevens over: godsdienst, levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, lidmaatschap van een vakvereniging, strafrechtelijke persoonsgegevens, persoonsgegevens over onrechtmatig of hinderlijk gedrag vanwege een opgelegd verbod voor dat gedrag. 2.1

Collegebevoegdheid, raad informeren

Het publiceren van gegevens via de gemeentelijke website is een bevoegdheid van het college op grond van artikel 160 lid 1 onder a van de Gemeentewet. Gelet op de aandacht voor dit onderwerp in de raad(spleinsessie) en de inlichtingenplicht van het college aan de raad op grond van artikel 169 Gemeentewet, stellen wij voor de raad over dit onderwerp te informeren middels bijgevoegde informatienotitie. KANTTEKENINGEN

)

1.1 Anonimiseren betekent extra werkzaamheden voor medewerkers van team C&/. Het anonimiseren gebeurt door gegevens te vervangen door neutrale termen, het weergeven van de rol van betrokkene of een algemene omschrijving. Het anonimiseren van documenten betekent extra werkzaamheden voor medewerkers van team C&I. Zij bekijken de documenten en vervangen waar nodig gegevens. In het document is zichtbaar op welke plek gegevens zijn geanonimiseerd. In de bijlage is een checklist van uitgangspunten en een overzicht van al dan niet te anonimiseren gegevens opgenomen. Deze bijlage is opgesteld aan de hand van de richtsnoeren van het CBP en de anonimiseringsrichtlijn uit de rechtspraak. De extra handelingen voor medewerkers van team C&I zijn zoveel mogelijk te beperken als medewerkers bij het opstellen van documenten rekening houden met de uitgangspunten en de richtlijn. De extra handelingen wegen bovendien niet op tegen het belang van bescherming van privacy van personen. FINANCIËN

Dit voorstel heeft geen financiële gevolgen. VERVOLG

Het gaat om interne werkafspraken. Dit voorstel vraagt dan ook geen verdere besluitvorming. COMMUNICATIE

Na een besluit van uw college: 1. de raad informeren middels bijgevoegde informatienotitie; 2. medewerkers informeren over de uitgangspunten en de anonimiseringsrichtlijn. In het Directieoverleg is al besloten dat medewerkers van team C&I documenten uit het besluitvormingsproces van het college anonimiseren. BIJLAGEN

Bijlage 1 Bijlage 2 Bijlage 3 Bijlage 4

informatienotitie checklist 'persoonsgegevens' voor het opstellen van bestuurlijke documenten overzicht welke gegevens anonimiseren artikel uit Binnenlands Bestuur en de Kamervragen daarover van D66

ZAA KNUM M ER

5874

B&W VERGADERING

3juni2014

ONDERWERP

Spelregels publiceren persoonsgegevens op internet

BEHANDELEND AMBTENAAR

Jeanet van Olst telefoon: (0572) 347 622, e-mail: Jeanet.van.Olst@raalte.nl

GERELATEERDE ZAAK

KENNIS TE NEMEN VAN

Kennis nemen van de uitgangspunten van het college voor het publiceren van persoonsgegevens op internet. INLEIDING

Toegankelijkheid van informatie draagt ook bij aan een transparant openbaar bestuur. Het is steeds makkelijker informatie algemeen toegankelijk te maken via internet en documenten integraal (gescand) te plaatsen. Internet is laagdrempelig en wereldwijd 24 uur per dag toegankelijk voor een omvangrijk en divers publiek. Informatie op het wereld wijde web is heel makkelijk te hergebruiken en veel moeilijker te verwijderen en daardoor lang beschikbaar. Zoekmachines worden steeds geavanceerder en het koppelen van informatie is steeds makkelijker. Informatie op internet kan ook grote gevolgen hebben voor betrokkenen. Is het niet de informatie zelf, dan kunnen die gevolgen ook een resultaat zijn van het combineren van op internet te vinden gegevens. Toegankelijkheid van gegevens kan bijvoorbeeld identiteitsfraude vergemakkelijken.

)

Daar waar informatie persoonsgegevens bevat of de persoonlijke levenssfeer raakt is het dan ook nodig zorgvuldig te zijn. Dit maakt dat niet alle informatie, ook als is deze openbaar, geschikt is voor online publicatie. Het spanningsveld tussen openbaarheid bescherming van de persoonsgegevens brengt met zich mee dat steeds een afweging plaats moet vinden welk belang in een bepaald geval zwaarder weegt. Als het gaat om publicatie van persoonsgegevens op internet, komen zowel de Wet openbaarheid van bestuur als de Wet bescherming persoonsgegevens in beeld. Beide regelingen geven uitzonderingen en beperkingen op het openbaar maken van persoonsgegevens. Daarnaast kennen beide regelingen een belangenafweging. Dit betekent kort gezegd dat niet alle openbare informatie, ook geschikt is voor digitale publicatie. Het is echter ook niet zo dat informatie die niet geschikt is voor digitale publicatie, per definitie ook niet openbaar is. Wij kiezen uit oogpunt van transparantie voor het digitaal publiceren van onze (openbare) besluitenlijsten en de daarop vermelde collegevoorstellen en -besluiten, maar zonder alle achterliggende documenten en bijlagen. Bovenstaande maakte het noodzakelijk duidelijkheid te scheppen.

Ons college heeft daarom uitgangspunten en spelregels geformuleerd over de wijze waarop wij documenten uit het ons bestuurlijke besluitvormingsproces op de gemeentelijke website (www.raalte.nl) plaatsen.

Zaaknummer: 5874

Pagina 1 van 3

Wij zijn van mening dat in de afweging tussen het belang van openbaarheid via de website en het belang van bescherming van persoonsgegevens de balans doorslaat naar bescherming van persoonsgegevens.

Wat zijn persoonsgegevens? Het begrip persoonsgegevens is heel ruim. Het gaat over iedere informatie betreffende de geïdentificeerde of identificeerbare natuurlijke persoon. Het kan gaan over kenmerken die iemand direct kan identificeren, maar ook over gegevens die indirect naar iemand leiden. Denk bijvoorbeeld aan fysieke kenmerken, naam, adres en woonplaatsgegevens, geboortedatum, telefoonnummer, emailadres, handtekening en handschrift, voertuigkenteken, maar ook iemands eigenschappen, opvattingen en gedragingen. Ook subjectieve informatie valt onder dit begrip. Naast de hiervoor genoemde persoonsgegevens, zijn er ook bijzondere persoonsgegevens. Voor deze persoonsgegevens geldt een strenger regime voor publicatie. Deze informatie mag alleen worden gepubliceerd met uitdrukkelijke toestemming van de betrokkene. Het gaat dan om gegevens over godsdienst, levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, lidmaatschap van een vakvereniging, strafrechtelijke gegevens en gegevens over onrechtmatig/ hinderlijk gedrag. Opmerking: het verbod om informatie over iemands politieke gezindheid te vermelden geldt niet als die vermelding te maken heeft met het vervullen van functies in bestuursorganen en adviescolleges. Een aparte categorie bijzondere persoonsgegevens zijn identificatienummers, bijvoorbeeld het burgerservicenummer.

Identificatienummers maken het koppelen van bestanden makkelijker en vormen daarmee een extra bedreiging voor de persoonlijke levenssfeer. Het is daarom niet toegestaan iemands identificatienummer op internet te publiceren, ook niet met toestemming van de betrokkene. Geen persoonsgegevens zijn gegevens over bedrijven en instellingen en objecten, tenzij deze gegevens herleidbaar zijn naar een persoon, bijvoorbeeld individuele bestuurders.

)

Uitgangspunten Wij hanteren de volgende uitgangspunten voor publicatie van documenten uit het ons bestuurlijke besluitvormingsproces op de gemeentelijke website: 1. Alles is openbaar, tenzij een uitzondering van toepassing is. 2. We voorkomen onnodige publicatie van persoonsgegevens. 3. We plaatsen alleen persoonsgegevens op internet als sprake is van noodzaak en als betrokkene daartoe toestemming geeft; 4. Bij het actief publiceren van persoonsgegevens op internet houden we rekening met de aard van de gegevens, de mogelijke gevolgen van het publiceren voor betrokkenen en de mate waarin voor de betrokkene wordt voorzien in passende waarborgen; 5. Als de betrokkene zijn toestemming intrekt, verwijderen we gegevens zo snel mogelijk. Bij deze uitgangspunten hebben we rekening gehouden met een tweetal richtsnoeren van het College Bescherming Persoonsgegevens, te weten "Publicatie van persoonsgegevens op internet" en "Actieve openbaarmaking en eerbiediging van de persoonlijke levenssfeer". Het College Bescherming Persoonsgegevens houdt toezicht op de naleving en toepassing van wetten die het gebruik van persoonsgegevens regelen. Het CBP heeft ook taken op het gebied van advisering, voorlichting en informatieverstrekking. Het CBP verschaft helderheid over de uitleg van wettelijke normen in de vorm van richtsnoeren of zienswijzen.

Ook houden we rekening met het feit dat iemand zich richt tot het gemeentebestuur, dit niet betekent dat iemand daarmee automatisch afstand doet van bescherming van zijn persoonsgegevens. Personen kunnen zich op verschillende wijzen richten tot het gemeentebestuur. Bijvoorbeeld door het sturen van een brief of e-mail bericht, het doen van een aanvraag, het indienen van een bezwaarschrift of klacht of het indienen van zienswijzen. Deze documenten bevatten over het algemeen in ieder geval naam en adresgegevens van de afzender en vaak een handtekening.

Zaaknummer: 5874

Pagina 2 van 3

Dat een ieder kennis kan nemen van deze documenten draagt bij aan democratisch bestuur. Het belang van openbaarheid vereist echter niet dat via de website bijvoorbeeld bekend wordt wie de brief heeft geschreven, waar de persoon woont en hoe de handtekening er uit ziet. Ter illustratie, de Raad van State heeft in een uitspraak (ECLl:NL:RVS:2012:BY5071) over een bestemmingplanprocedure geconcludeerd dat indieners van zienswijzen mogelijk kunnen worden geacht te hebben ingestemd met integraal ter inzage leggen van die zienswijze gedurende de bestemmingplanprocedure, maar dat dit niet betekend dat zij hebben ingestemd met het openbaar maken van hun persoonsgegevens. Het indienen van zienswijzen kan niet worden aangemerkt als het instemmen van betrokkene met openbaarmaking van persoonsgegevens. Er is dan ook geen grond voor het oordeel dat de betrokkenen personen volledig afstand hebben gedaan van bescherming van hun persoonlijke levenssfeer. Als derde hebben we rekening gehouden met het feit dat het anonimiseren, noch het nalaten van anonimiseren van persoonsgegevens inhoudelijk effect heeft op procedures. Voorwaarde is dat het hierbij gaat op gegevens die niet daadwerkelijk noodzakelijk zijn voor de procedure.

De Raad van State heeft in een uitspraak (ECLl:NL:RVS:201 0:BO1177) geconcludeerd dat het plaatsen van een niet-geanonimiseerde versie van een zienswijzenota op internet geen gebrek is dat kan leiden tot vernietiging van het bestreden bestemmingsplan, maar dat betrokkenen daarover wel kunnen klagen bij het CBP.

Wijze van anonimiseren Het anonimiseren gebeurt door gegevens te vervangen door neutrale termen, het weergeven van de rol van betrokkene of een algemene omschrijving. In het document is zichtbaar op welke plek gegevens zijn geanonimiseerd.

KERNBOODSCHAP

Bij het publiceren van informatie op de website kunnen belangen van openbaarheid en bescherming van privacy conflicteren. Dit maakte het wenselijk duidelijkheid te scheppen en spelregels op te stellen. Uitgangspunt is dat Bescherming van privacy prevaleert boven digitale publicatie van gegevens. VERVOLG

Niet van toepassing COMMUNICATIE

Niet van toepassing

) Burgemeester en wethouders van Raalte, de secretaris,

de burgemeester,

P.A. Zoon

Zaaknummer: 5874

Pagina 3 van 3

Checklist 'persoonsgegevens' bij het opstellen van bestuurlijke documenten

Uitgangspunten: 1. 2.

3. 4.

5.

)

Alles is openbaar, tenzij een uitzondering van toepassing is. We voorkomen onnodige publicatie van persoonsgegevens, dus we vermelden geen persoonsgegevens in bestuurlijke documenten, tenzij dit absoluut noodzakelijk is voor de besluitvorming. We plaatsen alleen persoonsgegevens op internet als sprake is van noodzaak en als betrokkene daartoe toestemming geeft; Bij het actief publiceren van persoonsgegevens op internet houden we rekening met de aard van de gegevens, de mogelijke gevolgen van het publiceren voor betrokkenen en de mate waarin voor de betrokkene wordt voorzien in passende waarborgen; Als de betrokkene zijn toestemming intrekt, verwijderen we gegevens zo snel mogelijk.

Vragen die kunnen helpen bij het opstellen van bestuurlijke documenten en het toevoegen van bijlagen zijn: • • • • • •

Komt het document waar ik aan werk of de achterliggende informatie en documenten op internet? Bevatten die documenten persoonsgegevens? Bevat het document gegevens die het mogelijk maken een persoon direct of indirect te identificeren? Is het publiceren van persoonsgegevens op internet noodzakelijk, kan het bestuursorgaan zijn taak niet vervullen als vermelding van de gegevens op internet achterwege blijft? Zijn er andere manieren of middelen om het document te publiceren? Is het mogelijk de informatie te anonimiseren door het gebruik van neutrale termen? Als het noodzakelijk is de persoonsgegevens op internet te publiceren en anonimiseren niet mogelijk is, heeft betrokkene dan expliciet toestemming gegeven voor publicatie?

I. Wanneer is sprake van persoonsgegevens? Persoonsgegevens zijn: elk gegeven waardoor een natuurlijk persoon direct of indirect te identificeren is.

)

Voorbeelden van persoonsgegevens zijn: naam, (e-mail)adres, woonplaats, telefoonnummer, handtekening, handschrift, bankrekeningnummer, burgerservicenummer, kenmerken van fysieke, fysiologische, psychische, economische, culturele of sociale identiteit, godsdienst, levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, lidmaatschap van een vakvereniging, strafrechtelijke persoonsgegevens, voertuigkenteken, foto's, etc.

ll. Houd rekening met het volgende: •

Vermeld geen persoonsgegevens in bestuurlijke voorstellen, tenzij de burgemeester, het college of de raad zijn bestuurlijke taak niet kan vervullen als vermelding van de gegevens achterwege blijft.

•

Probeer persoonsgegevens zoveel mogelijk te anonimiseren door het gebruik neutrale termen of vermeld alleen het hoogst noodzakelijke. Voorkom combinaties van persoonsgegevens, waardoor een persoon te identificeren is. Stel bij zienswijzen, inspraakreacties, meerder aanvragers/ belanghebbenden e.d. een geanonimiseerde nota/ notitie op, of volsta, indien nodig, met alleen de naam, of de locatie, of een ander gegeven specifiek van belang voor de nota of notities. Vervang persoonsgegevens door neutrale termen.

• Vermeld geen persoonsgegevens in het onderwerp, de beslispunten of de bestuurssamenvatting. • Vermeld geen persoonlijke identificatienummers, zoals het burgerservice nummer (BSN). Het is in geen enkel geval toegestaan dergelijke identificatienummers te publiceren, er gelden geen uitzonderingen. • Vermeld geen persoonsgegevens in bestandsnamen van documenten.

-1/3-

Ill. Beoordeling 'Openbaar?' bij het invullen van een procedurebladl bijzondere persoonsgegevens:

Beoordeel of een voorstel, inclusief de achterliggende documenten, openbaar is volgens de Wet openbaarheid van bestuur (Wob). Op deze plaats besteden we alleen aandacht aan de openbaarheid van persoonsgegevens. Kijk voor openbaarheid van andere informatie naar de "Handleiding verzoeken om informatie Wob" op intranet. Niet openbaar Als vermelding van bijzondere persoonsgegevens noodzakelijk is, is het voorstel of een achterliggend document volgens artikel 10, lid 1 onder d van de Wet openbaarheid van bestuur in ieder geval niet openbaar. Bijzondere persoonsgegevens zijn gegevens over: godsdienst, levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, lidmaatschap van een vakvereniging, strafrechtelijke persoonsgegevens, persoonsgegevens over onrechtmatig of hinderlijk gedrag vanwege een opgelegd verbod voor dat gedrag. Publicatie op de website van een niet-openbaar document blijft achterwege. Uitzonderingen Voor bijzondere persoonsgegevens geldt een uitzondering: POLITIEKE GEZINDHEID: persoonsgegevens over politieke gezindheid zijn wel openbaar als deze gegevens te maken hebben met de vervulling van functies in bestuursorganen en adviescolleges. Werkwijze: Is het noodzakelijk in het voorstel bijzondere persoonsgegevens te vermelden, en is de uitzondering niet van toepassing, vermeld dan:

~

Procedureblad Adviesnota 1/3

~V<JOl'Sbel

Q/1dorwerp:

r

Operi,aar ?

omdat:

I

r .1a r Jo, Qedttlbellj( r Jo, na ;,former en betroi<mlen

r. t!<e

l bevat persoonsgogevens als bedoeld in art. 10, id 1 onder d Wob

Is het noodzakelijk bijlagen toe te voegen die bijzondere gegevens bevatten, en is de uitzondering niet van toepassing, vermeld dan:

~I Procedureblad Adviesnota 1/3 -Gege>.-ensvoarst.1-----------------~

~: 0peroaar1

r ;ia r. Jo, g_edeeltelijk r Jo, no !"forme ren betrolclcenei

no,noliik:

i bijlaoe {rr) niet openbo« geiet op art. 10 lid I onder d Wob

r !:!ff

-2/3-

IV. Beoordeling 'overige' persoonsgegevens:

Voorbeelden van 'overige' persoonsgegevens zijn: naam, (e-mail)adres, woonplaats, telefoonnummer, handtekening, handschrift, kenmerken van fysieke, fysiologische, psychische, economische, culturele of sociale identiteit, voertuigkenteken, foto's, etc. Werkwijze: Vermeld geen persoonsgegevens in bestuurlijke documenten of vervang persoonsgegevens door neutrale termen. Vermeld je toch persoonsgegevens in bestuurlijke documenten of staan ze in de daarbij behorende achterliggende documenten, toon dan aan of motiveer dat: • Betrokkene ondubbelzinnig en zonder twijfel toestemming heeft verleend voor publicatie van gegevens op internet; • Publicatie van persoonsgegevens noodzakelijk is voor de uitvoering van een overeenkomst waarbij betrokkene partij is, of voor het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de betrokkene en die noodzakelijk zijn voor het sluiten van een overeenkomst; • Publicatie van persoonsgegevens noodzakelijk is om een wettelijke verplichting na te komen; • Publicatie van persoonsgegevens noodzakelijk is voor de goede vervulling en een publiekrechtelijke taak door het bestuursorgaan; • Publicatie van persoonsgegevens noodzakelijk is voor de behartiging van het gerechtvaardigd belang van het bestuursorgaan, en dit belang prevaleert boven het belang of de fundamentele rechten en vrijheden van betrokkenen (waaronder het recht op

bescherming van de persoonlijke levenssfeer) en het belang niet kan worden gediend met minder ingrijpende middelen. Persoonsgegevens die reden- of richtinggevend zijn voor een document hoeven niet te worden verwijderd . ._.Vermeldde toelichting in je voorstel onder het kopje 'communicatie'. Bevat je voorstel geen toelichting en is het voorstel openbaar, dan zal het voorstel met bijlagen op enig moment geanonimiseerd op de website terechtkomen. Het op deze wijze anonimiseren van documenten komt over het algemeen de leesbaarheid niet ten goede.

-3/3-

Welke gegevens anonimiseren?

NIET anonimiseren:

o Gegevens over (overheids)instanties of ondernemingen die behoren tot rechtspersonen, zoals bv, nv, vereniging, stichting en publiekrechtelijke rechtspersoon, tenzij deze direct herleidbaar zijn tot een natuurlijke persoon. o Gegevens van natuurlijke personen in dienst van een rechtspersoon of bestuursorgaan en handelend in de uitoefening van een specifieke functie, bijvoorbeeld namen van deskundigen, adviseurs, advocaten, gemachtigden, accountant. o Namen/ gegevens van gemeentebestuurders (collegeleden en raadsleden), handelend in de uitoefening van hun functie/ ambt in bestuursorganen.

WEL anonimiseren:

)

o Gegevens van natuurlijke personen (of de combinatie daarvarû=- vervangen door neutrale termen, rol of omschrijving: naam, adres, woonplaats e-mail adres; geboortedatum; bankrekeningnummer; telefoonnummer; kentekennummers; handtekening; handschrift; persoonlijke identificatienummers als burgerservicenummer of nummers van paspoort/ identiteitsbewijs; godsdienst/ levensovertuiging; ras; politieke gezindheid; gezondheid; seksuele leven; lidmaatschap van een vakvereniging; strafrechtelijke persoonsgegevens; persoonsgegevens over onrechtmatig of hinderlijk gedrag vanwege een opgelegd verbod voor dat gedrag. o Gegevens van natuurlijke personen in dienst van een rechtspersoon of bestuursorgaan, bijvoorbeeld namen van medewerkers van die rechtspersoon of dat bestuursorgaan ---+ vervangen door neutrale termen, omschrijving, of naam van de organisatie. o E-mailadressen en telefoonnummers van medewerkers van de gemeente Raalte ---+ vervangen door het algemeen telefoonnummer en het algemeen e-mailadres. Een van de werkafspraken in de organisatie is dat op documenten, berichten en dergelijke die 'naar buiten' gaan geen rechtstreekse telefoonnummers en eigen e-mailadressen genoemd worden, maar het algemeen telefoonnummer (0572-347799) en het algemeen e-mailadres (info@raalte.nl).

o Namen van rechtspersonen als deze naam herleidbaar is tot een natuurlijke persoon ---+ vervangen door neutrale termen, bijvoorbeeld 'bv', 'nv', 'vereniging', 'stichting' of 'adviesbureau'.

-1 /1-

Bijlage 2. Werkinstructie openbare gegevens en geheimhouding

Bijlage 3. Anonimiseren met Acrobat Pro

Anonimiseren met Acrobat PRO Open het document in Acrobat PRO Voorbereiding: Aan de rechterkant staan de gereedschappen, controleer of daar de optie Redigeren (1) bij staat

Als dat niet zo is, ga naar het tabblad Gereedschappen(1), scroll naar beneden en bij de optie Redigeren klik op Toevoegen (2)

Ga naar het tabblad van het document, en klik rechts van het document op de optie Redigeren (1)

Bovenaan het document zie je de opties van Redigeren

Anonimiseren: Klik op de knop Eigenschappen (1) Hier kun je instellen hoe je de gewiste gegevens wilt tonen, als zwart vlak of als wit vlak bv, maar kan ook een andere kleur. Standaard is de kleur zwart. Klik op het gekleurde vlak achter Opvulkleur voor geredigeerd gebied (1), je ziet onderstaand pop-up met alle kleuren. Selecteer de kleur dit je wilt, in deze handleiding kies ik voor wit.

Klik daarna onderaan het scherm op de knop OK (2) om dit op te slaan.

Bovenaan in het menu van Redigeren klik op de optie Markeren voor redactie (1) en kies de optie Tekst en afbeeldingen (2) Je krijgt onderstaande pop-up melding ter informatie, klik op OK

Selecteer in het document de teksten die je wilt verwijderen (1) en (2), door met je cursor een vierkant te maken. Om elke tekst komt een rode lijn te staan. Doe dit totdat je het hele document gereed hebt.

Klik daarna op de knop Toepassen (3) in het menu bovenaan het document. Je krijgt onderstaande pop-up ter informatie, als je wilt doorgaan, klik op OK (1)

Daarna komt deze pop-up voor het verwijderen van verborgen gegevens, klik op Ja (1). Hiermee worden verborgen gegevens, zoals de auteur van het document verwijderd

Alle geselecteerde tekst (1) en (2) wordt nu wit getoond (of zwart of de kleur naar keuze) en aan de rechterkant zie je dat het zoeken naar verborgen gegevens gereed is, klik op de knop Verwijderen (3) Daarna wordt deze pop-up getoond ter informatie, als dit akkoord is, klik op de knop OK (1)

Rechts onderin wordt een melding getoond dat de wijzigingen worden doorgevoerd als u het document opslaat.

Sla het document op. Let op: Standaard heeft Acrobat de achtervoegsel “_Geredigeerd” aan de bestandsnaam toegevoegd Bron: Gevoelige inhoud verwijderen uit PDF's in Adobe Acrobat DC

FB Kantoorautomatisering, februari 2021

Bijlage 4. Anonimiseren met Bluebeam

Anonimiseren met Bluebeam Open het document in Bluebeam. Sla het document plat met behulp van het hamertje-icoon (1) , zorg ervoor dat het vinkje voor Herstellen uit staat (zie afbeelding onderaan de pagina) Ga naar het tabblad Bewerken (2), klik op het icoon Inhoud (3) en klik op de optie Inhoud wissen (4) Maak met je cursor een vierkant of rechthoek, en de inhoud wordt gewist. Eventueel eerst opslaan onder andere naam en dan bewerken. Nadat de aanpassingen zijn doorgevoerd in het document, klik op het printer icoon (5) en kies voor de printer Microsoft print to PDF (zie afbeelding hieronder), en sla het bestand op.

Stap 1

stap 5

Bron: Erase Content (bluebeam.com)

FB Kantoorautomatisering, februari 2021

Bijlage 5. Procedure meldplicht datalekken DOWR

Procedure meldplicht datalekken DOWR

Uitgave Naam Mail

: versie 4 : L.M. Schieving : l.schieving@deventer.nl

Procedure meldplicht datalekken DOWR - januari 2019

2

Procedure Meldplicht Datalekken Inleiding Sinds 1 januari 2016 geldt de meldplicht datalekken. Deze meldplicht houdt in dat organisaties, zoals gemeentes, die met een ernstig datalek te maken krijgen, dit direct moeten melden bij de Autoriteit Persoonsgegevens. De Autoriteit Persoonsgegevens (AP) ziet als toezichthouder namelijk toe op de naleving van de Algemene verordening gegevensbescherming (AVG), waarin de belangrijkste regels met betrekking tot de omgang met persoonsgegevens zijn vastgelegd. Persoonsgegevens zijn alle gegevens betreffende een geïdentificeerde of identificeerbare natuurlijke persoon. Dit zijn dus niet alleen naam, adres of burgerservicenummer, maar bijvoorbeeld ook e-mailadressen, (pas)foto’s en IP-adressen. In sommige gevallen moeten organisaties bij een ernstig datalek tevens een melding doen bij de mensen van wie de persoonsgegevens zijn gelekt. Als zich een incident heeft voorgedaan waarbij persoonsgegevens verloren zijn gegaan of wanneer onrechtmatige verwerking van die gegevens heeft plaatsgevonden, of wanneer dit niet met zekerheid uitgesloten kan worden, dan spreken we over een datalek. Dit kan veroorzaakt worden door iets van buitenaf, bijvoorbeeld een hacker die de organisatie binnendringt, maar ook bijvoorbeeld door een medewerker die een laptop met daarop persoonsgegevens in de trein laat liggen.

Als een ernstig datalek plaatsvindt, is een gemeente verplicht om hier zonder onnodige vertraging, en binnen 72 uur, een melding van te maken bij de Autoriteit Persoonsgegevens. De ernst van een datalek is afhankelijk van de (potentiële) impact van het datalek op de bescherming van persoonsgegevens en de persoonlijke levenssfeer van betrokkenen. Als het lek nadelige gevolgen kan hebben voor de betrokkenen waarvan persoonsgegevens gelekt zijn, moet een organisatie ook deze betrokkenen informeren. Een datalek kan vervelende situaties opleveren voor zowel de organisatie als voor de betrokkenen. Een organisatie loopt bijvoorbeeld het risico op reputatieschade en op financiële gevolgen, terwijl betrokkenen risico lopen op identiteitsfraude of discriminatie. Vanaf 25 mei 2018 kan de Autoriteit Persoonsgegevens, in geval van een ernstig datalek, organisaties boetes opleggen van maximaal 20 miljoen of 4% van de wereldwijde jaaromzet. Een gemeente is in veel situaties verantwoordelijk voor de verwerking van (bijzondere) persoonsgegevens, waardoor de meldplicht onder de Algemene verordening gegevensbescherming van toepassing is.

Omdat deze wetgeving verlangt dat, wanneer een ernstig datalek geconstateerd is, dit lek zo snel mogelijk, en op correcte wijze, gemeld wordt bij de Autoriteit persoonsgegevens en eventuele betrokkenen is het wenselijk om hier een duidelijke procedure voor te hebben.

Procedure In dit document wordt de procedure beschreven die gevolgd dient te worden in het geval van een incident dat mogelijk een datalek tot gevolg kan hebben. Deze procedure bestaat uit een aantal te doorlopen processtappen die voor elk incident gelijk zijn. Deze procedure is van toepassing op incidenten die in de gemeente Deventer, de gemeente Olst-Wijhe en de gemeente Raalte plaatsvinden. Gezien de samenwerking tussen deze gemeentes, o.a. op het gebied van bedrijfsvoering (DOWR-samenwerking), kiezen de drie gemeentes om dezelfde procedure te volgen als het gaat om de afhandeling van incidenten.

Meldplicht Een aantal zaken zijn van belang om deze procedure goed te laten werken. Het is belangrijk dat de medewerkers van de individuele gemeentes voldoende kennis hebben over waar ze incidenten moeten melden en weten welke acties zij bij een incident moeten ondernemen. Elke medewerker dient alert te zijn op bedreigingen met betrekking tot gegevensbescherming. De medewerkers van de DOWR ICT-servicedesk, het aangewezen centrale meldpunt voor incidentmeldingen, zijn bijvoorbeeld getraind in hoe zij met meldingen over incidenten om moeten gaan. De overige medewerkers zijn geïnstrueerd over waar en wanneer zij een melding van een incident moeten doen.

Melding incident Een melding van een incident komt bij de DOWR ICT-servicedesk terecht doormiddel van het invullen van een meldingsformulier door een medewerker in TOPdesk. Dit formulier is digitaal te vinden onder

Procedure meldplicht datalekken DOWR - januari 2019

3

de knop ‘meldplicht datalekken’. Een centraal meldingspunt is van belang om het meldingsproces zoveel mogelijk te standaardiseren, om versnippering van geregistreerde meldingen te voorkomen en om een totaaloverzicht te behouden van afgehandelde meldingen. De teammanager van de medewerker die de melding bij de servicedesk zou moeten doen, ziet erop toe dat dit formulier bij een incident ook daadwerkelijk wordt ingevuld. Wanneer er een incident bij de servicedesk wordt gemeld, krijgen de Privacy Officer (PO), de privacyadviseur van de gemeente waar het incident betrekking op heeft, de Information Security Officer (ISO) en de Chief Information Security Officer (CISO) een kopie van deze melding binnen. De medewerker van de DOWR ICT-servicedesk wijst de PO van de gemeente waar het incident betrekking op heeft aan als behandelaar. Dit kan de PO van de gemeente Deventer en/of de gemeente Olst-Wijhe en/of de gemeente Raalte zijn.

Onderzoek en impactanalyse De PO heeft een coördinerende rol op het moment dat er zich een incident heeft voorgedaan. De desbetreffende PO neemt contact op met de medewerker die de melding heeft gedaan en probeert zoveel mogelijk informatie over het incident van de medewerker te verkrijgen. De PO maakt aan de hand van deze informatie een inschatting over of er daadwerkelijk sprake is van een datalek en of er direct actie zal moeten worden ondernomen. Wanneer het gaat om een incident, dat is ontstaan door een beveiliginginbreuk, wordt de vraag of er direct actie zal moeten worden ondernomen samen met de Information Security Officer (ISO) beantwoord. Wanneer het tevens een ICT-gerelateerd incident betreft, wordt daarbij ook het Computer Emergency Response Team (CSERT) en de Chief Information Security Officer (CISO) ingeschakeld. Het SCERT is ingesteld om snel en adequaat te kunnen reageren op dit soort incidenten. Het CSERT wordt door de CISO bij elkaar geroepen. Afhandeling van het incident door het CSERT verloopt volgens het incident management proces. De verzoeken die het CSERT uitstuurt richting de gemeentelijke organisatie om inzichtelijk te krijgen wat er precies gebeurt is, en wat kan helpen bij het dichten van het lek, dienen zo spoedig mogelijk door de organisatie opgevolgd te worden.

De medewerkers van de desbetreffende gemeente dienen daarom goed op de hoogte te zijn van het belang en de urgentie van de verzoeken vanuit dit team.

Maatregelen De PO van de betreffende gemeente is verantwoordelijk voor het ontwerpen van maatregelen die de ontstane schade minimaliseren (herstelmaatregelen) en maatregelen teneinde nieuwe vergelijkbare incidenten te voorkomen (structurele maatregelen). Wanneer het gaat om een beveiligingsincident wordt de vraag welke herstelmaatregelen er moeten worden genomen samen met de ISO beantwoord. Daarbij wordt de CISO geconsulteerd. De teammanager(s) is/zijn verantwoordelijk voor de uitvoering van de herstelmaatregelen en de structurele maatregelen.

Melding datalek Als de PO tot de conclusie komt dat er sprake is van een datalek is de PO van de betreffende gemeente verantwoordelijk voor het ‘onverwijld’ doen van de eerste melding bij de AP via het webformulier op de website van de AP. Ondanks dat deze processtap bij alle drie de gemeentes op gelijke wijze wordt ingevuld, blijft elke gemeente individueel aansprakelijk voor het melden van een datalek bij de AP. Wanneer er bijvoorbeeld sprake is van een incident wat alle drie de gemeentes betreft, en dit incident ook gemeld moet worden, dan doen alle drie de PO’s een melding bij de AP voor hun eigen gemeente. Bij uitbesteding van taken waarbij sprake is van verwerking van persoonsgegevens door verwerkers blijft de desbetreffende gemeente verantwoordelijk voor het melden van een datalek. Er zijn dan ook met alle verwerkers afspraken gemaakt over de gestelde eisen op het gebied van gegevensbescherming en over het onmiddellijk melden van incidenten. In elke verwerkersovereenkomst wordt een vakafdeling van de betreffende gemeente genoemd waar een verwerker incidenten kan doorgegeven. Een medewerker van deze afdeling meldt vervolgens het incident bij de DOWR ICT-servicedesk doormiddel van het hierboven genoemde meldingsformulier. De te doorlopen stappen van de procedure zijn vanaf dat moment niet verschillend van wat hierboven al is beschreven.

Procedure meldplicht datalekken DOWR - januari 2019

4

De PO van de betreffende gemeente doet de melding bij de AP met behulp van de gegevens die door de gemeentelijke organisatie of de verwerker worden aangeleverd. Er wordt gewerkt conform de meldplicht datalekken van de Autoriteit Persoonsgegevens 1. Als het gaat om een datalek, dat is ontstaan door een beveiligingsincident, ICT-gerelateerd of niet, is de I-werkorganisatie verantwoordelijk voor het aanleveren van de informatie die de betreffende PO nodig heeft om een melding te kunnen doen. Als de eerste melding is gedaan, wordt door de desbetreffende PO direct beoordeeld of het nodig is om ook een melding te doen bij betrokkene(n). Wanneer een datalek voor de betrokkene(n) waarschijnlijk ongunstige gevolgen heeft, moet het datalek aan deze betrokkene(n) worden gemeld. Aan de hand van de impact van het datalek en de kans dat die impact optreedt, wordt bepaald of een dergelijke melding nodig is. Daarbij wordt de Functionaris Gegevensbescherming (FG) geraadpleegd. Het kan dus voorkomen dat een datalek wel bij de AP wordt gemeld, maar niet aan betrokkenen, omdat hun persoonsgegevens door bepaalde maatregelen onbegrijpelijk of ontoegankelijk zijn geworden en er dus geen sprake is van ‘waarschijnlijk ongunstige gevolgen’. Het informeren van betrokkene(n) vindt bij voorkeur op dezelfde dag plaats.

Wanneer betrokkenen moeten worden geïnformeerd, stelt de PO de directie, de strategisch communicatieadviseur en de persvoorlichter daarvan op de hoogte. Wanneer er sprake is van een datalek dat is ontstaan door een beveiligingsincident informeert de PO tevens de CISO. De PO van de betreffende gemeente is vervolgens verantwoordelijk voor de follow-up van de melding. Indien de eerste melding aan de AP niet compleet was, wordt deze door de PO aangevuld.

Communicatie en documentatie De berichtgeving aan betrokkene(n) is ter beoordeling van de strategisch communicatieadviseur en de persvoorlichter. De berichtgeving moet wel de wettelijk vereiste informatie bevatten. De PO wordt daarom geconsulteerd bij de vraag hoe en wat er naar betrokkene(n) moet worden gecommuniceerd. De PO verstrekt de voor de communicatie benodigde gegevens. Wanneer er sprake is van een datalek, dat is ontstaan door een ICT-gerelateerd beveiligingsincident, wordt ook de CISO geconsulteerd. De communicatie over een datalek kan worden overgenomen door andere partijen zoals lokale, landelijke of sociale media, eigen medewerkers of ketenpartners. Als gevolg van ruis in de communicatie kan een datalek alsnog onnodig escaleren. Belangrijk is dat de desbetreffende gemeente de regie behoudt over de communicatie van een ernstig datalek dat gemeld is bij het AP en eventueel aan betrokkenen. Bij de uitwerking van de communicatiestrategie door de strategisch communicatieadviseur en de persvoorlichter vindt dan ook afstemming plaats welke doelgroepen of overige partijen worden geïnformeerd over het datalek en op welke wijze. Timing is hierbij van belang. Zeker indien de melding al heeft plaatsgevonden aan betrokkene(n). Via een persbericht stelt de gemeente de media op de hoogte, eventueel aanvullend met een persconferentie voor het stellen van vragen.

Deze werkwijze wordt afgestemd op de grootte van het datalek. Na afsluiting van een incident registreert de PO het incident in de daarvoor ingerichte digitale omgeving, samen met de eventuele ontvangstbevestiging van de melding, en de onderliggende documentatie. Deze registratie is aanvullend op dat wat in de DOWR ICT-servicedesk wordt geregistreerd. In deze servicedesk wordt namelijk vastgelegd wat voor een acties er zijn ondernomen in de periode voor de eventuele vaststelling van een datalek. De PO, of diens vervanger, documenteert daarna in de digitale omgeving de inbreuken in verband met persoonsgegevens, met inbegrip van de feiten omtrent het incident, de gevolgen daarvan, de genomen herstelmaatregelen en de genomen structurele maatregelen. De PO documenteert alleen de voor dit doel noodzakelijke gegevens. Dit is de laatste stap van de procedure en hiermee is het proces afgerond. In de bijlage is een tabel opgenomen met de rollen en verantwoordelijkheden van de personen die bij deze procedure zijn betrokken.

1 https://autoriteitpersoonsgegevens.nl/nl/melden/meldplicht-datalekken

Procedure meldplicht datalekken DOWR - januari 2019

5

Procedure meldplicht datalekken DOWR - januari 2019

6

Bijlage bij Procedure datalekken

Melding incident bij ICT-servicedesk Onderzoek en impactanalyse incident Ontwerp te treffen maatregelen Uitvoering maatregelen Melding datalek (AP/betrokkene(n))

Communicatie

Documentatie

Incidenten met betrekking tot persoonsgegevens handeling  → beveiliging Geen ICT R = teammanager(s)/ medewerker(s) I = PO/ ISO/ CISO R = PO

R = PO

R = ISO/PO

ICT

R = ISO/PO C = CSERT/ CISO

R = ISO/PO C = CISO R = teammanager(s)

R = PO R = PO C = FG C = FG A = B&W A = B&W I = Directie/ strategisch I = Directie/ strategisch communicatieadviseur/ communicatieadviseur/persvoorlichter/CISO persvoorlichter R = Directie R = Directie C = PO C = PO/CISO S = strategisch S = strategisch communicatieadviseur/persvoorlichter communicatieadviseur/per svoorlichter R = PO A = B&W I = gemeenteraad

R (Responsible) De persoon die (feitelijk) verantwoordelijk is voor de uitvoering. Verantwoording wordt afgelegd aan de persoon die accountable is. A (Accountable) De persoon die (eind)verantwoordelijk is. S (Supportive) De persoon die het resultaat ondersteunt. C (Consulted) De persoon die (mede) richting geeft aan het resultaat. Hij/zij wordt voorafgaand aan beslissingen of acties geraadpleegd. I (Informed) De persoon die geïnformeerd wordt over de beslissingen.

Procedure meldplicht datalekken DOWR - januari 2019

7