Aanbiedingsbrief Raad rekenkamer Informatieveiligheid Rhenen

Raad van de gemeente Rhenen Postbus 201 3910 AE Rhenen

Afschrift aan leden college van burgemeester en wethouders Rhenen, 5 september 2023

Geachte leden van de raad,

Bijgaand ontvangt u het rapport ‘Over de bescherming van persoonsgegevens in Rhenen’. De Rekenkamer heeft dit rapport laten opstellen omdat de bescherming van persoonsgegevens een steeds belangrijker onderwerp wordt voor organisaties, ook voor de gemeente Rhenen. De rekenkamer heeft eerst een kort vooronderzoek gedaan, op basis waarvan een centrale probleemstelling en onderzoeksvragen zijn opgesteld. Op basis van een aanbesteding is vervolgens bureau PBLQ gekozen om dit onderzoek uit te voeren. Bureau PBLQ heeft dit onderzoek uitgevoerd en heeft een rapport opgesteld waarin het onderzoek is beschreven en aanbevelingen zijn aangegeven. Deze aanbevelingen worden door de Rekenkamer overgenomen. Het rapport is vervolgens aan het college aangeboden voor bestuurlijk wederhoor. Het college heeft op 23 augustus haar bestuurlijke reactie op het rapport en de aanbevelingen gegeven. Deze reactie is ook bij deze brief gevoegd.

Reikwijdte van het onderzoek

Centrale probleemstelling Hoe worden de persoonsgegevens van de inwoners van Rhenen beschermd? Wordt hierbij de AVG adequaat toegepast zowel door de gemeente zelf als door derden? Uit uitwerking van de centrale probleemstelling is vooraf een normenkader opgesteld, dat gebruikt is om de onderzoeksuitkomsten aan te toetsen. Dit heeft geleid tot de volgende conclusies en vervolgens aanbevelingen.

Conclusies In het algemeen voldoen zowel het beleid van Rhenen met betrekking tot een verantwoorde omgang met de gegevens van hun inwoners als de wijze waarop daar in de praktijk invulling aan wordt gegeven aan de AVG. Op specifieke aspecten van dit beleid zijn in afgelopen jaren achterstanden ontstaan. Dat betreft het naleven van afspraken, het actief blijven bevorderen van aandacht binnen de organisatie voor het

belang van een vertrouwelijke omgang met gevoelige informatie. Dat betreft ook de aandacht voor en het inzicht in de wijze waarop externe partners die eveneens gegevens van inwoners van Rhenen beheren, omgaan met die gegevens. Er is weinig sturings- en controle-informatie beschikbaar. Hierdoor wordt de raad louter in algemene zin geïnformeerd. Dit beperkt de sturende en controlerende verantwoordelijkheden van de raad over dit onderwerp.

Aanbevelingen Op basis van de bevindingen in het onderzoek doet de rekenkamer de volgende aanbevelingen, onderverdeeld in aanbevelingen aan B&W en aan de raad.

Aanbevelingen aan het college van B&W 1. Benut de actualisatie van het beleid als een mogelijkheid om de aandacht voor het beleid binnen de organisatie een nieuwe impuls te geven; investeer weer in bewustwording- en scholingsactiviteiten rondom de dagelijkse omgang met vertrouwelijke gegevens. 2. Inventariseer bij alle relevante samenwerkingsrelaties of de basisafspraken met betrekking tot een goede omgang met privacygevoelige gegevens actueel zijn en worden nageleefd. Maak afspraken over een regelmatige informatievoorziening over de dagelijkse gang van zaken met betrekking tot de naleving van die afspraken. 3. Realiseer dat binnen de organisatie meer gestructureerd inzicht ontstaat in de naleving van de relevante afspraken en procedures. 4. Verzorg een zodanige structurele informatievoorziening over de ontwikkelingen rond privacy aan de raad, dat deze in staat is hierin haar sturende en controlerende verantwoordelijkheden waar te maken. 5. Er worden in de organisatie spanningen ervaren tussen enerzijds het bieden van optimale dienstverlening en maatwerk en anderzijds de vereisten van de AVG. Maak deze spanningen bespreekbaar en neem daarin een expliciete en onderbouwde afweging van de mogelijkheden om met deze spanningen om te gaan mee. 6. Ga in gesprek met de relevante adviesraden over de uitgangspunten en uitvoering van het privacybeleid.

Aanbevelingen aan de raad 1. Maak van de aangekondigde actualisatie van het privacybeleid gebruik om de uitgangspunten en ambities tegen elkaar af te wegen tussen enerzijds het waarborgen van de privacy van de inwoners en anderzijds de mogelijkheden voor doelgerichte dienstverlening. 2. Maak afspraken over de informatievoorziening over de stand van zaken in het privacybeleid om zodoende dit beleid te kunnen controleren en eventueel bij te sturen.

Namens de rekenkamer, Bert Lokhorst, voorzitter

Bijlage: Rekenkamerrapport ‘Over bescherming van persoonsgegevens in Rhenen mei 2023 Bestuurlijke reactie van college van B&W 23 augustus 2023