Bestuurlijk rapport Informatieveiligheid Rhenen

Over de bescherming van persoonsgegevens in Rhenen Rapport van de Rekenkamer van Rhenen 7513 1.0 mei 2023

Inhoudsopgave 1.

Bevindingen, conclusies en aanbevelingen

2

1.1 1.2 1.3 1.4

Overzicht van de bevindingen Beantwoording onderzoeksvragen Toepassing normenkader Conclusies en aanbevelingen

2 4 6 9

2.

Inleiding

12

2.1 2.2 2.3 2.4 2.5

Aanleiding Centrale probleemstelling Normenkader Werkwijze Indeling rapport

12 12 13 15 15

3.

De uitgangspunten van het privacybeleid

16

3.1 3.2 3.3 3.4 3.5

Het vastgelegde beleid van Rhenen Organisatorische inbedding van het beleid Verwerkersovereenkomsten met samenwerkingspartners Klachtenprocedure Register van verwerkingen en register van incidenten

16 19 20 21 21

4

Gegevensbescherming in de praktijk

22

4.1 De praktijk binnen de organisatie 4.1.1 Algemene bevindingen 4.1.2 Privacy-afwegingen in het fysieke domein 4.1.3 Privacy-afwegingen in het sociale domein 4.2 Dilemma’s en ongewenste neveneffecten 4.3 De praktijk van samenwerking 4.4 Opvattingen in de lokale gemeenschap 4.5 De positie van de gemeenteraad

22 22 26 27 28 29 30 31

Bijlage A

Geïnterviewde personen

33

Bijlage B

Bestudeerde documentatie

34

0

Bestuurlijke Rapportage

1

1.

Bevindingen, conclusies en aanbevelingen

1.1

Overzicht van de bevindingen

Gemeenten beheren veel gegevens van inwoners. Binnen een gemeente vindt de registratie in het bevolkingsregister plaats, melden inwoners zich voor een vergunning, een uitkering, of vragen om zorg of ondersteuning. Inwoners moeten ervan uit kunnen gaan dat hun gegevens bij de gemeente in veilige handen zijn. Gemeenten moeten dat vertrouwen verdienen, zowel in de directe contacten met de burger als in verantwoording achteraf. In 2018 is de Algemene Verordening Gegevensbescherming (AVG) in werking getreden. Deze verordening betreft een uitwerking van Europese regelgeving die bedoeld is om de privacy van alle inwoners (beter) te beschermen. Als gevolg van de AVG lopen gemeenten risico op boetes in het geval zij niet conform de geldende normen de beveiliging van persoonsgegevens op orde hebben. Het maatschappelijk en financieel belang van een adequaat privacybeleid daarvan is al met al groot. Gemeenten hebben niet alleen een goed privacybeleid nodig, maar ook een goede uitvoering daarvan. Daarmee leent het thema zich voor een onderzoek door de rekenkamer, waarbij zowel de inrichting van het beleid als de uitvoering worden beschreven en beoordeeld. Korte Inleiding op de Algemene Verordening Gegevensbescherming (AVG) 1 De AVG heeft tot doel om de privacy van burgers te beschermen.

Onder meer is in de AVG vastgelegd dat informatie van personen alleen mag worden verzameld als daar een belang mee is gemoeid dat opweegt tegen het feit dat de burgers deze informatie over hunzelf afstaan. De instantie die deze gegevens beheert (de gemeente), heeft de verplichting deze adequaat te beschermen. Gemeenten moeten kunnen aantonen dat ze zich aan de wet houden. Om er voor te zorgen dat dit inderdaad het geval is, zijn er voor organisaties als gemeenten verschillende waarborgen, procedures en functionarissen van belang. Deze zijn: Privacy bij Design: Dit houdt in dat al bij het ontwerpen van producten en diensten er wordt gezorgd dat persoonsgegevens goed worden beschermd. Onder meer moet zijn vastgelegd dat gegevens niet langer bewaard worden dan nodig is voor het doel van de verwerking. Functionaris Gegevensbescherming: Gemeenten zijn verplicht een Functionaris Gegevensbescherming (FG) aan te stellen. Deze functionaris houdt toezicht op de toepassing en naleving van de AVG. Data protection Impact assessment: De AVG verplicht gemeenten om een data protection impact assessment (DPIA) uit te voeren. Dat is een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen, mede om vervolgens maatregelen te kunnen nemen ter verkleining en beheersing van de risico’s.

Verwerkingsregisters: Gemeenten zijn verplicht om een verwerkingsregister bij te houden. Dit register bevat informatie over de persoonsgegevens die door de organisatie worden verwerkt. Het register dient tevens informatie te bevatten over de naam en contactgegevens van de organisatie of de vertegenwoordiger van de organisatie, eventuele andere organisaties met gezamenlijk doelen en middelen van de verwerking zijn vastgesteld, de gegevens van de aangestelde FG, eventuele andere organisaties waar persoonsgegevens mee worden gedeeld, de doeleinden waarvoor de persoonsgegevens worden verwerkt, de beschrijving van de categorieën van personen van wie gegevens worden verwerkt, een beschrijving van de categorieën van persoonsgegevens, de bewaartermijn van de gegevens en de categorieën van ontvangers aan wie persoonsgegevens worden verstrekt.

1

Zie voor een uitgebreide uitleg voor diverse begrippen en procedures: notendop_avg.pdf (autoriteitpersoonsgegevens.nl)

2

Een veilige omgang met gegevens is ook zeer gediend met het inrichten en naleven van een gedegen informatiebeveiligingsbeleid. Gemeenten stellen daartoe een Chief Information Security Officer (CISO) aan, die verantwoordelijk is voor dit informatiebeveiligingsbeleid. Dit betreft zowel het implementeren van beleid als het toezicht houden op de uitvoering ervan. Ook het definiëren en ontwerpen van de strategie op het gebied van informatiebeveiliging behoort tot het takenpakket. Gemeenten stellen tevens een Privacy Officer (PO) aan. Een Privacy Officer zorgt ervoor dat de AVG wordt nageleefd binnen een organisatie en ziet erop toe dat de privacy en dataverwerking bij elke medewerker die persoonsgegevens verzamelt, in veilige handen is. Een PO geeft advies en biedt ondersteuning, geeft interne trainingen en heeft een rol bij het melden van datalekken. Burgers hebben verschillende rechten om controle uit te oefenen op de naleving van de AVG. Dit betreft onder meer het recht op inzage. Een gemeente werkt vaak samen met andere organisaties voor het uitvoeren of ondersteunen van taken. Dit kan een bedrijf zijn, een andere gemeente of bijvoorbeeld een gemeenschappelijke regeling. Zo'n andere organisatie heet een verwerker van persoonsgegevens. De gemeente blijft zelf eindverantwoordelijk voor de privacy van de persoonsgegevens van zijn inwoners.

In AVG termen is de gemeente de verwerkingsverantwoordelijke. Wanneer een andere organisatie persoonsgegevens verwerkt moet er altijd een verwerkersovereenkomst worden afgesloten tussen beide partijen. Hierin worden afspraken gemaakt over onder andere het doel van de verwerking, geheimhoudingsplicht, beveiliging, verwijderingstermijnen en auditverplichtingen. De Vereniging van Nederlandse Gemeenten heeft in samenwerking met andere (belangenorganisaties van) overheden de Baseline Informatiebeveiliging Overheid (BIO)2 ingericht. In de BIO is het basisniveau voor informatiebeveiliging beschreven. Er zijn verschillende toetsen en monitoren ontwikkeld waarmee overheden kunnen bepalen of en in welke mate ze voldoen aan de BIO. Dit betreft onder meer de ENSIA. Deze afkorting betreft de ‘Eenduidige Normatiek Single Information Audit’. In 2018, kort na de inwerkingtreding van de AVG, heeft Rhenen de basisuitgangspunten voor een zorgvuldige omgang met (soms gevoelige) informatie van hun inwoners vastgelegd. In diezelfde periode is ook veel aandacht besteed aan het bevorderen van de kennis over dit beleid. Eveneens is geïnvesteerd in een cultuur waarin die zorgvuldige omgang wordt nageleefd. In Corona-tijd spitsten de activiteiten zich met name toe op bewustwording van privacyrisico’s die het thuiswerken met zich meebracht.

Mede vanwege de Corona-omstandigheden en verschillende personele wisselingen is er in die periode wisselende aandacht geweest voor dit beleid. Sinds eind 2022 wordt er weer gestructureerd geïnvesteerd in dit beleid. Uit dit rekenkameronderzoek komt naar voren dat veel van de uitgangspunten van dit beleid goed worden nageleefd in de organisatie. Alle geïnterviewde personen geven aan zich zeer bewust te zijn van de vertrouwelijkheid van de persoonsgegevens waar ze mee werken. Dit bewustzijn is niet alleen aanwezig in het sociale domein, waar integriteit een essentieel onderdeel is van de opleiding van de consulenten, maar ook in het fysieke domein wordt zeer zorgvuldig omgegaan met de geregistreerde naam-, adres-, telefoon- en woonplaatsgegevens (NATW). Vanaf 2022 is er meer aandacht voor de uitvoering van het beleid. Bewustwordingsacties worden weer ingezet. Achterstanden in procedures en registraties worden weggewerkt. Een actualisatie van het privacybeleid heeft plaatsgevonden.

2

De voorloper van de BIO was de Baseline Informatiebeveiliging Gemeenten (BIG)

3

De schaal van de organisatie van Rhenen draagt er aan bij dat er veel ruimte is voor informele verhoudingen en samenwerking. Mensen spreken elkaar er op aan als ze het idee hebben dat er sprake is van een onzorgvuldige omgang met privacygevoelige gegevens. Zo worden de uitgangspunten bewaakt, zonder dat deze aan strikte regels en procedures is gebonden. Niet altijd zijn de medewerkers zich bewust van de precieze formulering van de uitgangspunten, regels en procedures waardoor er een praktijk kan ontstaan waarin de medewerkers niet alle mogelijkheden benutten die de regelgeving biedt. Medewerkers zijn soms te terughoudend in het benutten van gevoelige informatie, waardoor mogelijkheden voor gerichte dienstverlening niet volledig worden benut. Enkele onderdelen van de dienstverlening van Rhenen zijn belegd bij andere organisaties. Ook nu geldt dat aan de vereiste uitgangspunten om de omgang met vertrouwelijke informatie goed te regelen, wordt voldaan. Wel blijkt dat Rhenen mogelijkheden mist of onbenut laat om een goed beeld van de dagelijkse uitvoering van dit beleid te verkrijgen. Daardoor kan Rhenen niet weten dat de vertrouwelijke omgang met de gegevens van inwoners van Rhenen in de praktijk goed is geborgd, Rhenen kan daarmee voor verrassingen komen te staan.

In de context van een betrekkelijk informele invulling van het privacybeleid, zowel binnen de organisatie als in de omgang met externe partners, is weinig gerichte sturings- en controle-informatie beschikbaar. De gemeenteraad wordt daardoor louter op een algemeen niveau geïnformeerd over de stand van zaken in dit beleid. Dit beperkt de mogelijkheden van de raad om invulling te geven aan de sturende en controlerende verantwoordelijkheden.

1.2

Beantwoording onderzoeksvragen

Bij aanvang van het onderzoek is een centrale probleemstelling geformuleerd. Deze probleemstelling, en het antwoord daarop zijn als volgt: Centrale probleemstelling Hoe worden de persoonsgegevens van de inwoners van Rhenen beschermd? Wordt hierbij de AVG adequaat toegepast zowel door de gemeente zelf als door derden? Over het algemeen wordt de AVG binnen Rhenen adequaat toegepast, zowel door de gemeente als door derden. Daarmee worden de persoonsgegevens van de inwoners voldoende beschermd. Op onderdelen zijn er wel tekortkomingen gebleken. Aansluitend op deze probleemstelling is een aantal onderzoeksvragen opgesteld. In onderstaand overzicht zijn deze, inclusief de op basis van het onderzoek overkregen antwoorden, opgenomen. Onderzoeksvragen 1

Welke onrechtmatigheden betreffende de bescherming van persoonsgegevens zijn er bij de gemeente en de samenwerkingspartners sinds de invoering van de AVG geweest, hoe is daarmee omgegaan?

Antw.

Incidenteel is er sprake geweest van kleine onrechtmatigheden. Deze zijn conform geldende procedures en afspraken behandeld en gecorrigeerd.

4

Vervolg onderzoeksvragen 2 Antw.

3 Antw.

4

Antw.

5 Antw.

3

Zijn er ongewenste neveneffecten van de AVG? Waar knelt de AVG, waar zitten beperkingen, risico’s? Er zijn inwoners die misbruik maken van hun AVG rechten om besluiten te vertragen of om met opzet aan te sturen op een dwangsom. Soms gebruiken derde partijen de AVG als excuus om geen gegevens te delen. Datalekken en informatieverzoeken zijn zeldzaam, maar komen altijd ongepland en kunnen een groot beslag leggen op de capaciteit van de ambtelijke organisatie. In het sociaal domein knelt de AVG bij de uitwisseling van gegevens ten behoeve van een integrale dienstverlening en vroegsignalering bij cliënten of gezinnen met multiproblematiek. Dit geldt voor het delen van informatie tussen verschillende teams in Rhenen, tussen Rhenen en Veenendaal en met derden. Wanneer inwoners weigeren toestemming te geven kan de gemeente haar taak niet uitvoeren. Gebruikersonvriendelijke systemen maken het de medewerkers soms lastig om “als vanzelf” te handelen volgens de AVG. Wat heeft de FG nodig van de gemeente om haar of zijn werk te kunnen doen? Is dit in Rhenen voldoende geregeld? Op basis van het onderzoek kan geconstateerd worden dat de FG voldoende in staat wordt gesteld om zijn of haar werk te doen.

Weliswaar is er sprake van een beperkte capaciteit, maar de FG krijgt wel alle medewerking uit de organisatie en krijgt bovendien voldoende middelen voor het (laten) uitvoeren van onderzoek e.d. Het feit dat de FG-functie gezamenlijk met meerdere gemeenten wordt ingevuld zorgt voor een kruisbestuiving die gunstig uitpakt voor de gemeente Rhenen, Zijn er verschillen - en zo ja welke - in de beschermingsmaatregelen van persoonsgegevens tussen de gemeente en derden met wie persoonsgegevens worden gedeeld? Hoe monitort/verifieert de gemeente afspraken in verwerkersovereenkomsten 3 met derden? Wat het monitoren en verifiëren van verwerkersovereenkomsten is duidelijk dat Rhenen zich bewust is van het belang van verwerkersovereenkomsten en deze ook in veel gevallen heeft vastgelegd. Het is niet duidelijk geworden of en hoe de gemeenten de vastgelegde afspraken monitort en verifieert. Rhenen heeft weinig invloed op de bescherming van persoonsgegevens bij de uitvoering van beleid dat elders is ondergebracht. Rhenen is voor een correcte bescherming van persoonsgegevens soms sterk afhankelijk van zijn uitvoeringspartners, zonder hier zelf veel controle op te hebben. Hoe vinden inwoners dat hun persoonsgegevens (door derden) worden beschermd? Hoe gaat de gemeente om met klachten? Hier zijn geen generieke uitspraken over te doen.

Zowel vertegenwoordigers van de Adviesraad Sociaal Domein als vertegenwoordigers van de Cliëntenraad stellen nauwelijks inzicht te hebben in de wijze waarop de bescherming van persoonsgegevens door Rhenen is ingericht. De vertegenwoordigers van de Cliëntenraad zien wel aandachtspunten maar noemen dat het gesprek hierover met Rhenen niet plaatsvindt. Aangezien er geen klachten bekend zijn, kunnen geen uitspraken worden gedaan over hoe de gemeente hiermee omgaat.

Als een organisatie zoals een gemeente gegevens deelt met andere organisaties dienen er afspraken te worden gemaakt over de wederzijdse bescherming van die gegevens. Die afspraken worden vastgelegd in zogeheten verwerkersovereenkomsten.

5

Vervolg onderzoeksvragen 6-7

Op welke manier wordt de gemeenteraad geïnformeerd over de uitvoering van het beleid rondom de bescherming van persoonsgegevens? Welke mogelijkheden heeft de raad om te sturen en te controleren? Op welke manier heeft de Raad invloed op het beleid met betrekking tot de bescherming van persoonsgegevens van de gemeente?

Antw.

Raadsleden worden op een algemeen niveau geïnformeerd over de uitvoering van het beleid rondom de bescherming van persoonsgegevens. Naast informatie in de P&C-cyclus, geven de CISO en FG jaarlijks een presentatie aan de desbetreffende raadscommissie. Raadsleden ontlenen hier naar hun zeggen weinig inzichten aan, die hun ondersteunt in hun sturende en controlerende verantwoordelijkheden.

In het onderzoek is gebleken dat Rhenen de basisuitgangspunten van beleid goed heeft vastgelegd. In jaarplannen is aandacht besteed aan het doorontwikkeling van het beleid. Eveneens is naar voren gekomen dat in de dagelijkse praktijk bij het geven van goede opvolging aan een veilige omgang met informatie binnen de gemeentelijke organisatie veel in vertrouwen gebeurt. Alle betrokkenen weten dat er de nodige uitgangspunten zijn vastgelegd en handelen daarmee in de wetenschap en zekerheid dat ze daarop kunnen terugvallen, zonder overigens dat ze altijd goed bekend zijn met de uitgangspunten.. Zowel binnen de gemeentelijke organisatie als in de relatie met samenwerkingspartners wordt weinig vastgelegd over de gang van zaken in de dagelijkse praktijk. Voor zover bekend wordt niet structureel geregistreerd in hoeverre de bepalingen uit de verwerkersovereenkomsten worden nagekomen. Omdat de registratie over de gang van zaken in de praktijk niet gestructureerd plaatsvindt, is het niet verwonderlijk dat de raad louter op een algemeen niveau wordt geïnformeerd. Verschillende raadsleden geven aan dat zij dat vooralsnog weinig hebben gemist, al zouden ze wel prijs stellen op meer specifieke informatie. Zij realiseren zich tegelijkertijd dat voor gerichte dienstverlening het nuttig en nodig kan zijn om uit verschillende bronnen gegevens van de inwoners te combineren.

Bij hen is niet bekend welke ruimte het beleid daartoe biedt; een nadere verkenning van de mogelijkheden en discussie daarover in de raad zouden zij op prijs stellen.

1.3

Toepassing normenkader

Ten behoeve van het onderzoek is een normenkader opgesteld. Dit normenkader is gebaseerd op algemene kennis van de uitgangspunten en vereisten van verantwoord privacybeleid. De onderbouwing van het normenkader is opgenomen in de derde paragraaf van hoofdstuk 2. Het normenkader wordt benut om de bevindingen mee te waarderen. Onderstaand volgen de resultaten van deze waardering.

6

Beleid De gemeente heeft AVG-conforme beleidskaders, regels en richtlijnen met betrekking tot de (juridische) borging van de privacy van inwoners. Voor specifieke (meer risicovolle) domeinen heeft de gemeente aanvullende regels opgesteld. De algemene uitgangspunten en kaders zijn besproken in en vastgelegd door de gemeenteraad. In de verschillende beleidskaders wordt ingegaan op: • Juridische aspecten op basis van de AVG en de materie wetten • Vertaling naar de beleidskaders privacy. • Organisatie, taken en verantwoordelijkheden Het toezicht op gebruik van persoonsgegevens is vastgelegd in een controleplan. In bestuursrapportages, programmabegroting en programmarekening wordt expliciet aandacht besteed aan de wijze waarop een correcte omgang met persoonsgegevens is gewaarborgd. Daaraan worden conclusies en maatregelen verbonden op basis van uitgevoerde controles. Er is een procedure vastgelegd hoe de gemeente handelt in het geval van geconstateerde ‘datalekken’. Er is vastgelegd hoe de raad wordt geïnformeerd over (de ontwikkelingen in) het privacybeleid.

Beoordeling

Positief

Positief

Positief Neutraal / positief Negatief

Positief Negatief

In hoofdstuk 3 wordt toegelicht dat Rhenen in 2018 beleid heeft vastgelegd, dat in 2020 is geactualiseerd. Dit beleid is conform de gangbare richtlijnen. Er is sprake van een controleplan en er zijn procedures over datalekken vastgelegd. Zowel CISO als FG geven actief invulling aan hun verantwoordelijkheden. Maar door personele wisselingen, druk op de beschikbare capaciteit en door de specifieke ‘corona-omstandigheden’ is er niet altijd volledig opvolging gegeven aan de noodzakelijke activiteiten. Er wordt weinig informatie over de bescherming van persoonsgegevens vastgelegd en dientengevolge ook weinig gerapporteerd. Uitvoering In de praktijk wordt gehandeld conform de wijze waarop de bescherming van de persoonsgegevens is geregeld in de relevante werkprocessen, de toewijzing van verantwoordelijkheden, de inrichting van informatiesystemen, de autorisaties, de afspraken voor de verwerking van gegevens en de afspraken over het informeren van inwoners en het vragen van toestemming. De gemeente heeft een leer- en verbetercyclus waar privacy een apart onderdeel van uitmaakt. Hierin is aandacht voor mogelijke (ongewenste) knelpunten. De gemeente heeft een routine voor het meten en verbeteren van de bescherming persoonsgegevens en legt vast wat de bevindingen en maatregelen zijn.

Deze routine wordt tenminste één keer per jaar uitgevoerd De gemeente informeert de burger op een toegankelijke en begrijpelijke wijze over hun privacy-rechten, zowel schriftelijk als mondeling. De gemeente verschaft aan inwoners schriftelijk en mondeling begrijpelijke informatie over het gebruik van hun persoonsgegevens, zowel in algemene zin als afgestemd op de verschillende fasen in het dienstverleningsproces. Daarbij

7

Beoordeling

Neutraal

Neutraal

Neutraal Neutraal Negatief

wordt aangegeven met welk doel dit gebeurt, wie inzage heeft en wat er vervolgens met de gegevens gebeurt. Als sprake is geweest van een datalek, is conform de vastgelegde procedure gehandeld.

Positief

De raad wordt geïnformeerd op een manier die hem in staat stelt te sturen en te controleren

Negatief

Er zijn in het onderzoek geen aanwijzingen verkregen dat er wezenlijke problemen of misstanden zijn met betrekking tot de omgang met vertrouwelijke gegevens. In essentie functioneren werkprocessen e.d. naar behoren. De rechten van de medewerkers in ICT-systemen zijn conform AVG en taakgerelateerde wetgeving ingericht. Maar veel is afhankelijk van de goede wil van betrokkenen. Er is aandacht voor eventuele tekortkomingen. Die worden besproken en verholpen, maar dat betekent niet dat er sprake is van een structurele leer- en verbetercyclus. Er zijn ook afspraken voor meten en verbeteren, maar geconstateerd is dat daar, om allerlei redenen, niet altijd jaarlijks gevolg aan is gegeven. De informatie die aan inwoners wordt verstrekt is beperkt. Zoals al eerder geconstateerd wordt de raad slechts op een algemeen niveau geïnformeerd. Cultuur De medewerkers van de gemeente zijn bekend met het gemeentelijk beleid m.b.t. de bescherming persoonsgegevens en worden van aanpassingen op de hoogte gehouden. In hun dagelijks functioneren geven de medewerkers er blijk van het gemeentelijk privacybeleid na te leven.

Beoordeling Neutraal / positief Positief

In de relatie met inwoners zijn de medewerkers proactief en transparant over de wijze waarop de gemeente omgaat met hun gegevens

Negatief

In de relatie met ketenpartners bewaken de medewerkers actief dat deze ketenpartners zich conformeren aan de regels, standaarden en procedures van de gemeente.

Negatief

In algemene termen zijn de medewerkers van de gemeente bekend met het gemeentelijk beleid met betrekking tot de bescherming van persoonsgegevens. Maar dat betekent niet dat zij dit beleid tot in detail kennen en daarnaar handelen. Bovendien weten maar weinig medewerkers hoe ze zich op de hoogte kunnen stellen van dat beleid. Maar omdat in de dagelijkse samenwerking uitgangspunten en werkwijzen regelmatig worden besproken en medewerkers elkaar waar nodig corrigeren, is er voldoende aanleiding om te stellen dat de medewerkers het beleid goed naleven. Medewerkers van Rhenen hebben weinig zicht op de manier waarop samenwerkingspartners met de gegevens van inwoners van Rhenen omgaan.

8

1.4

Conclusies en aanbevelingen

De invulling van de probleemstelling, de beantwoording van de onderzoeksvragen en de toepassing van het normenkader resulteren in de volgende conclusies: Conclusies 1

In het algemeen voldoen zowel het beleid van Rhenen met betrekking tot een verantwoorde omgang met de gegevens van hun inwoners als de wijze waarop daar in de praktijk invulling aan wordt gegeven aan de AVG.

2

Op specifieke aspecten van dit beleid zijn in afgelopen jaren achterstanden ontstaan. Dat betreft het naleven van afspraken, het actief blijven bevorderen van aandacht binnen de organisatie voor het belang van een vertrouwelijke omgang met gevoelige informatie. Dat betreft ook de aandacht voor en het inzicht in de wijze waarop externe partners die eveneens gegevens van inwoners van Rhenen beheren, omgaan met die gegevens.

3

Er is weinig sturings- en controle-informatie beschikbaar. Hierdoor wordt de raad louter in algemene zin geïnformeerd. Dit beperkt de sturende en controlerende verantwoordelijkheden van de raad over dit onderwerp.

Op basis van de bevindingen in het onderzoek doet de rekenkamer de volgende aanbevelingen Aanbevelingen aan het college van B&W 1

Benut de actualisatie van het beleid als een mogelijkheid om de aandacht voor het beleid binnen de organisatie een nieuwe impuls te geven; investeer weer in bewustwording- en scholingsactiviteiten rondom de dagelijkse omgang met vertrouwelijke gegevens en zorg ervoor dat inwoners geïnformeerd worden over het gebruik van hun individuele persoonsgegevens, passend bij het betreffende dienstverleningsproces.

2

Inventariseer bij alle relevante samenwerkingsrelaties of de basisafspraken met betrekking tot een goede omgang met privacygevoelige gegevens actueel zijn en worden nageleefd. Maak afspraken over een regelmatige informatievoorziening over de dagelijkse gang van zaken met betrekking tot de naleving van die afspraken.

3

Realiseer dat binnen de organisatie meer gestructureerd inzicht ontstaat in de naleving van de relevante afspraken en procedures.

4

Verzorg een zodanige structurele informatievoorziening over de ontwikkelingen rond privacy aan de raad, dat deze in staat is hierin haar sturende en controlerende verantwoordelijkheden waar te maken.

5

Er worden in de organisatie spanningen ervaren tussen enerzijds het bieden van optimale dienstverlening en maatwerk en anderzijds de vereisten van de AVG. Maak deze spanningen bespreekbaar en neem daarin een expliciete en onderbouwde afweging van de mogelijkheden om met deze spanningen om te gaan mee.

6

Ga in gesprek met de relevante adviesraden over de uitgangspunten en uitvoering van het privacybeleid.

Aan de gemeenteraad zijn er de volgende aanbevelingen:

9

Aanbevelingen aan de gemeenteraad 1

Maak van de aangekondigde actualisatie van het privacybeleid gebruik om de uitgangspunten en ambities tegen elkaar af te wegen tussen enerzijds het waarborgen van de privacy van de inwoners en anderzijds de mogelijkheden voor doelgerichte dienstverlening.

2

Maak afspraken over de informatievoorziening over de stand van zaken in het privacybeleid om zodoende dit beleid te kunnen controleren en eventueel bij te sturen.

10

Feitenrapportage

11

2.

Inleiding

2.1

Aanleiding

Gemeenten beheren veel gegevens van inwoners. Binnen een gemeente vindt de registratie in het bevolkingsregister plaats, melden inwoners zich voor een vergunning, een uitkering, of vragen om zorg of ondersteuning. Inwoners moeten ervan uit kunnen gaan dat hun gegevens bij de gemeente in veilige handen zijn. Gemeenten moeten dat vertrouwen verdienen, zowel in de directe contacten met de burger als in verantwoording achteraf. In 2018 is de Algemene Verordening Gegevensbescherming (AVG) in werking getreden. 4 Deze verordening betreft een uitwerking van Europese regelgeving die bedoeld is om de privacy van alle inwoners (beter) te beschermen. Als gevolg van de AVG lopen gemeenten risico op boetes in het geval zij niet conform de geldende normen de beveiliging van persoonsgegevens op orde hebben. Het maatschappelijk en financieel belang van een adequaat privacybeleid daarvan is al met al groot. Gemeenten hebben niet alleen een goed privacybeleid nodig, maar ook een goede uitvoering daarvan. Daarmee leent het thema zich voor een onderzoek door de rekenkamer, waarbij zowel de inrichting van het beleid als de uitvoering worden beschreven en beoordeeld.

2.2

Centrale probleemstelling

De rekenkamer van de gemeente Rhenen heeft een onderzoek laten verrichten naar de bescherming van persoonsgegevens en de toepassing van de AVG in deze gemeente. Hiertoe heeft de rekenkamer de volgende probleemstelling geformuleerd: Centrale probleemstelling Hoe worden de persoonsgegevens van de inwoners van Rhenen beschermd? Wordt hierbij de AVG adequaat toegepast zowel door de gemeente zelf als door derden? Deze centrale probleemstelling is uitgewerkt in de volgende onderzoeksvragen: Onderzoeksvragen

4

1

Welke onrechtmatigheden betreffende de bescherming van persoonsgegevens zijn er bij de gemeente of bij de samenwerkingspartners sinds de invoering van de AVG in 2018 geweest? Hoe is daarmee omgegaan?

2

Zijn er ongewenste neveneffecten van de AVG? Waar knelt de AVG, waar zitten beperkingen, risico’s?

3

Wat heeft de Functionaris Gegevensbescherming (FG) nodig van de gemeente om haar of zijn werk te kunnen doen? Is dit in Rhenen voldoende geregeld?

4

Zijn er verschillen - en zo ja welke - in de beschermingsmaatregelen van persoonsgegevens tussen de gemeente en derden met wie persoonsgegevens worden gedeeld? Hoe monitort/verifieert de gemeente afspraken in verwerkersovereenkomsten met derden?

5

Hoe vinden inwoners dat hun persoonsgegevens (door derden) wordt beschermd? Hoe gaat de gemeente om met klachten?

Een compacte beschrijving van de essentiële onderdelen van de AVG is opgenomen in de bestuurlijke rapportage.

12

6

Op welke wijze is de raad tot nu toe bij de ontwikkeling van het privacybeleid betrokken geweest?

7

Op welke manier wordt de gemeenteraad geïnformeerd over de uitvoering van het beleid rondom de bescherming van persoonsgegevens? Welke mogelijkheden heeft de raad om te sturen en te controleren? Op welke manier heeft de raad invloed op het beleid met betrekking tot de bescherming van persoonsgegevens van de gemeente?

2.3

Normenkader

Bij onderzoeken van rekenkamers is het gebruikelijk om de bevindingen aan de hand van een normenkader te waarderen. Als het gaat om de bescherming van persoonsgegevens door gemeenten heeft PBLQ ondertussen de nodige ervaring opgedaan. Met gebruikmaking van die ervaringen is in afstemming met de rekenkamer van Rhenen voor dit onderzoek een normenkader opgesteld. Aan het gehanteerde normenkader ligt een aantal overwegingen ten grondslag. Privacy en de correcte omgang met persoonsgegevens binnen gemeenten worden vaak - ten onrechte - als juridische en ICT-technische onderwerpen gezien. Daarmee wordt het al gauw beschouwd als een onderwerp behorend bij het domein van de afdeling Juridische Zaken en de afdeling ICT. In het normenkader is verwerkt dat een zorgvuldige omgang met persoonlijke gegevens idealiter een kernwaarde moet zijn van elke medewerker in een overheidsorganisatie. De menselijke factor en de dagelijkse uitvoeringspraktijk dienen een gemeentebreed aandachtspunt te zijn. Lang niet alle gemeenten hebben de bescherming van persoonsgegevens goed ingebed in hun dienstverlening. Er is doorgaans wel een vastgesteld privacybeleid, maar het ontbreekt geregeld aan praktische uitvoeringskaders; medewerkers zijn zich niet voldoende bewust van wat er op dit gebied van hen gevraagd wordt.

Goed privacybeleid heeft aandacht voor alle belangrijke aspecten: de positie van de inwoner, hoe gegevens worden vastgelegd en wie welke gegevens met welk doel mag verwerken of delen met anderen, hoe de kwaliteit van gegevens gewaarborgd wordt en hoe het juridische kader van de AVG wordt vertaald naar werkprocessen en ICTsystemen. Het gedrag van medewerkers bepaalt daarbij in hoge mate of de gemeente risico’s loopt op bovenmatige verzameling, onzorgvuldig gebruik, een datalek, of dat gegevens worden gecombineerd terwijl dat eigenlijk niet toegestaan is; dat gedrag bepaalt dus eveneens of aan de AVG wordt voldaan. Daarom hoort een veilige omgang met data ook een onderwerp te zijn bij functioneringsgesprekken, werkoverleggen en interne communicatie. Gemeenten delen regelmatig (persoons-)gegevens met andere (uitvoerings-)instanties. Met die andere organisaties dienen gezamenlijke afspraken te worden gemaakt over een veilige omgang met die gegevens. Voor het geval er sprake is van zogenaamde datalekken is de externe communicatie van belang. Omdat de gemeente financiële en imago-risico’s loopt, is het cruciaal dat er bij een datalek adequaat wordt gehandeld. Medewerkers moeten weten wat zij moeten doen en escalatielijnen moeten zijn ingeregeld. Ook over de communicatie met de mensen van wie de data is gelekt en met de pers moet vooraf zijn nagedacht.

Deze overwegingen hebben bijgedragen tot het inrichten en toepassen van onderstaand normenkader.

13

Normenkader Beleid

Uitvoering

Cultuur

➢ De gemeente heeft AVG-conforme beleidskaders, regels en richtlijnen met betrekking tot de (juridische) borging van de privacy van inwoners. Voor specifieke (meer risicovolle) domeinen heeft de gemeente aanvullende regels opgesteld. ➢ De algemene uitgangspunten en kaders zijn besproken in en vastgelegd door de gemeenteraad. ➢ In de verschillende beleidskaders wordt ingegaan op: • Juridische aspecten op basis van de AVG en de materie wetten • Vertaling naar de beleidskaders privacy. • Organisatie, taken en verantwoordelijkheden. ➢ Het toezicht op gebruik van persoonsgegevens is vastgelegd in een controleplan. ➢ In bestuursrapportages, programmabegroting en programmarekening wordt expliciet aandacht besteed aan de wijze waarop een correcte omgang met persoonsgegevens is gewaarborgd. Daaraan worden conclusies en maatregelen verbonden op basis van uitgevoerde controles. ➢ Er is een procedure vastgelegd hoe de gemeente handelt in het geval van geconstateerde ‘datalekken’. ➢ Er is vastgelegd hoe de raad wordt geïnformeerd over (de ontwikkelingen in) het privacybeleid.

➢ In de praktijk wordt gehandeld conform de wijze waarop de bescherming van de persoonsgegevens is geregeld in de relevante werkprocessen, de toewijzing van verantwoordelijkheden, de inrichting van informatiesystemen, de autorisaties, de afspraken voor de verwerking van gegevens en de afspraken over het informeren van inwoners en het vragen van toestemming. ➢ De gemeente heeft een leer- en verbetercyclus waar privacy een apart onderdeel van uitmaakt. Hierin is aandacht voor mogelijke (ongewenste) knelpunten. ➢ De gemeente heeft een routine voor het meten en verbeteren van de bescherming persoonsgegevens en legt vast wat de bevindingen en maatregelen zijn. Deze routine wordt tenminste één keer per jaar uitgevoerd. ➢ De gemeente informeert de burger op een toegankelijke en begrijpelijke wijze over hun privacyrechten, zowel schriftelijk als mondeling. ➢ De gemeente verschaft aan inwoners schriftelijk en mondeling begrijpelijke informatie over het gebruik van hun persoonsgegevens, zowel in algemene zin als afgestemd op de verschillende fasen in het dienstverleningsproces. Daarbij wordt aangegeven met welk doel dit gebeurt, wie inzage heeft en wat er vervolgens met de gegevens gebeurt. ➢ Als sprake is geweest van een datalek, is conform de vastgelegde procedure gehandeld. ➢ De raad wordt geïnformeerd op een manier die hem in staat stelt te sturen en te controleren

➢

14

➢ ➢ ➢

De medewerkers van de gemeente zijn bekend met het gemeentelijk beleid bescherming persoonsgegevens en worden van aanpassingen op de hoogte gehouden. In hun dagelijks functioneren geven de medewerkers er blijk van het gemeentelijk privacybeleid na te leven. In de relatie met inwoners zijn de medewerkers proactief en transparant over de wijze waarop de gemeente omgaat met hun gegevens In de relatie met ketenpartners bewaken de medewerkers actief dat deze ketenpartners zich conformeren aan de regels, standaarden en procedures van de gemeente.

2.4

Werkwijze

Na aankondiging van het onderzoek bij de gemeentelijke organisatie zijn de relevante beleidsdocumenten geïnventariseerd en bestudeerd. In aansluiting op deze documentstudie zijn met medewerkers van de organisatie nadere gesprekken gevoerd. 5 In deze interviews is ingegaan op de achtergronden en overwegingen van de verschillende documenten. Tevens is aandacht besteed aan de wijze waarop het in deze documenten vastgelegde beleid in de praktijk wordt gebracht. Om meer inzicht in de dagelijkse uitvoering van het beleid met betrekking tot informatieveiligheid te verkrijgen, zijn bij twee beleidsthema’s 6 zogeheten (mini-) Privacy Impact Assessments (PIA’s) uitgevoerd. Bij een PIA wordt stap voor stap de inrichting van de bescherming van persoonsgevoelige informatie geïnventariseerd en beoordeeld. Voor de goede orde moet benadrukt worden dat in het kader van het rekenkameronderzoek geen volledige PIA is uitgevoerd. Gekozen is voor een beperkte variant (aangeduid als mini-PIA) waarbij met enkele direct bij een beleidsthema betrokken medewerkers gesproken is over de wijze waarop zij in hun dagelijkse praktijk de veiligheid van persoonsgegevens bewaken.

Het verschil tussen deze kleinere variant en een gebruikelijke PIA is dat in het kader van het rekenkameronderzoek het niet nodig was om bij elk afzonderlijk thema tot een afgewogen oordeel te komen of de informatieveiligheid wel voldoende is gewaarborgd. De mini-PIA’s doen daarmee geen uitspraken over de kwaliteit van informatieveiligheid in specifieke domeinen. Zij hebben zich louter gericht op een nadere verkenning van de bestaande uitvoeringspraktijk. Rhenen werkt als het gaat om het beheer van persoonsgegevens op verschillende beleidsdomeinen samen met andere overheden. Zo zijn diverse registraties in het sociaal domein, zoals voor de verlening van bijstand en de leerplicht, ondergebracht bij de gemeente Veenendaal. Vanuit dit gegeven is van belang om te onderzoeken welke waarborgen er in die samenwerking zijn voor de beveiliging van mogelijk gevoelige informatie van inwoners van Rhenen. Hierover hebben zowel met medewerkers van Rhenen als met medewerkers van Veenendaal gesprekken plaatsgevonden. Het onderzoek concentreert zich op de bescherming van de privacy van de persoonsgegevens van inwoners van Rhenen. Dat maakt het interessant en relevant om te inventariseren welke ervaringen en opvattingen inwoners van Rhenen daar zelf over hebben. Er zijn verschillende manieren denkbaar om daar inzicht in te verwerven.

In de context van dit onderzoek zijn deze beperkt gebleven tot gesprekken met vertegenwoordigers van inwoners die in een situatie verkeren waarin zij veel van hun persoonlijke gegevens delen met de gemeente. Het betreft gesprekken met vertegenwoordigers van de adviesraad Sociaal Domein en met vertegenwoordigers van de cliëntenraad in het participatiebeleid. Op basis van de verkregen inzichten heeft in een afrondend stadium van het onderzoek nog een verdiepend gesprek plaatsgevonden met enkele sleutelpersonen 7 in de organisatie.

2.5

Indeling rapport

Dit hoofdstuk vormt samen met de hoofdstukken 3 en 4 het feitenrelaas van dit onderzoek. In het derde hoofdstuk ligt de nadruk in de beschrijving van de bevindingen op het vigerende beleid van Rhenen met betrekking tot de bescherming van persoonsgegevens. In het vierde hoofdstuk gaat de aandacht uit naar de uitvoeringspraktijk.

5

Een overzicht van de in het kader van het onderzoek opgenomen functionarissen is opgenomen in bijlage A. De specifieke thema’s waren de uitvoering van de Wmo en de processen rond vergunningverlening en handhaving. 7 Ook deze zijn vermeld in bijlage A. 6

15

3.

De uitgangspunten van het privacybeleid

3.1

Het vastgelegde beleid van Rhenen

In dit hoofdstuk zijn de uitgangspunten van het beleid aan de orde. Aangegeven wordt wat het startpunt vormde voor dat beleid, bij de inwerkingtreding van de AVG in 2018. Vervolgens wordt aangegeven welke documenten nadien door het gemeentebestuur zijn op- en vastgesteld met betrekking tot het privacybeleid. In dit hoofdstuk komen de volgende documenten aan de orde: Document

Status / belang

Privacybeleid Rhenen 2018

Dit document bevat de uitgangspunten voor het verdere beleid.

Privacybeleid Rhenen 2020

In 2020 is het oorspronkelijk beleid uit 2018 geactualiseerd. Als gevolg van de corona-omstandigheden is dit beleidsplan niet in de raad behandeld. Het plan uit 2020 vormt wel de actuele basis van het beleid.

Strategisch Informatiebeveiligingsbeleid 2021-2024

Informatiebeveiliging is een randvoorwaarde voor een veilige omgang met gegevens. Daartoe verschaft dit document de uitgangspunten.

Incidentmanagement en responseprocedure

Uit het algemene beleid volgt dat er een procedure moet zijn als er sprake is van inbreuken op de veiligheid. Dat is uitgewerkt in dit document.

Jaarplannen Privacy en Informatiebeveiliging

In deze documenten wordt jaarlijks het algemene beleid uitgewerkt in concreet te ontwikkelen activiteiten

Interne privacyverklaring

Ook dit is een uitwerking die volgt uit het algemene beleid

De informatieverzameling ten behoeve van dit onderzoek is eind 2022 afgerond. Begin 2023 is nog kennisgenomen van de FG-meting over 2022. Tevens is begin 2023 in het kader van het ambtelijk wederhoor nog informatie verkregen over lopende initiatieven om het beleid te actualiseren. Waar relevant wordt hiervan in het rapport melding gemaakt. Dit derde hoofdstuk concentreert zich daarmee op het vastgestelde beleid. De wijze waarop daar in de praktijk invulling aan wordt gegeven, komt in het vierde hoofdstuk aan de orde. Privacybeleid Rhenen 2018 Niet lang na de inwerkingtreding van de AVG heeft de gemeente Rhenen in 2018 haar privacybeleid vastgesteld. De beleidsregels uit 2018 volgen de hoofdlijnen van de AVG. Er is vastgelegd dat persoonsgegevens zorgvuldig verwerkt moeten worden, dat er gestreefd wordt naar dataminimalisatie en dat gegevens niet langer bewaard worden dan nodig. Tevens wordt er bepaald dat de gemeente de rechten van inwoners op grond van de AVG zal honoreren. Dit alles wordt niet verder uitgewerkt. Daarmee biedt dit beleid voor de uitvoeringspraktijk in essentie niet meer richting of handvaten dan de AVG zelf.

16

Privacybeleid 2020 In 2020 is het beleid geactualiseerd. Dit beleidsplan is opgesteld op basis van het VNG raamwerk voor privacybeleid in het sociaal domein.8 Het privacybeleid gaat uit van dezelfde kernwaarden als het informatiebeveiligingsbeleid, met een privacy-specifieke vertaling.9 In dit beleidsplan is vastgelegd op welke wijze de gemeente voldoet aan de eisen die de AVG stelt aan een organisatie die privacygevoelige gegevens verwerkt, zoals het hebben van een register van verwerkingen, het hebben van technische en organisatorische beveiligingsmaatregelen, het uitvoeren van privacy impact assessments (PIA’s) en data protection impact assessments (DPIA’s), het sluiten van verwerkersovereenkomsten met (keten)partners en het hebben van een register en een protocol voor datalekken. De primaire doelgroep van het beleid zijn de medewerkers van de gemeente Rhenen, inclusief externe inhuurkrachten, maar het concept-beleid is ook van toepassing waar er persoonsgegevens namens de gemeente Rhenen verwerkt worden door externe partijen. In het beleidsplan is vermeld dat de burgemeester als portefeuillehouder verantwoordelijk is voor het onderwerp privacy. Managers zijn ervoor verantwoordelijk dat hun medewerkers het beleid kennen en zich eraan houden. Iedere manager dient het onderwerp privacy onder de aandacht te brengen bij zijn of haar medewerkers.

Teammanagers zijn verantwoordelijk voor de verwerkingen van gegevens die binnen hun team plaatsvinden, en de vastlegging daarvan in het register van verwerkingen. Medewerkers dienen het privacybeleid te kennen en hier bij hun werkzaamheden naar te handelen. Zij behoren te weten in welke situaties zij advies moeten vragen aan de FG, de CISO of de Privacy Officer. De onderlinge rolverdeling tussen deze drie is ook vastgelegd in het beleid. Hierbij is onder meer uitdrukkelijk bepaald dat de FG een rol heeft bij het afhandelen van vragen en klachten. Het beleidsplan geeft op hoofdlijnen aan van hoe wordt gezorgd dat de AVG wordt nageleefd bij de relevante werkprocessen. Deze zijn: Basisregistratie van personen: geen gegevensverstrekking aan particulieren of commerciële partijen, wel aan mede-overheden ter uitoefening van hun taken. Rechten van betrokkenen op het gebied van privacy: omschrijving van de procedure voor het afhandelen van verzoeken van betrokkenen, bijvoorbeeld om inzage of rectificatie.

Melden en afhandelen datalekken; Data Protection Impact Assessments en wanneer en hoe deze moeten worden uitgevoerd; Register van verwerkingsactiviteiten; Verwerkersovereenkomsten, waarbij Rhenen gebruikt maakt van het standaard template hiervoor van de VNG; Gebruik van toestemming: wanneer er geen grondslag is voor het verwerken van gegevens op grond van vervulling van taken in het algemeen belang of het uitvoeren van het openbaar gezag, dan wel op grond van het uitvoeren van een wettelijke taak, mag Rhenen in principe alleen persoonsgegevens verwerken wanneer hiervoor toestemming is gevraagd aan de betrokkenen. Rhenen wil hier zo min mogelijk gebruik van maken, omdat sprake is van een afhankelijkheidsrelatie tussen inwoners en gemeente. Borging van privacy binnen werkprocessen binnen de gemeente waarbij persoonsgegevens worden verwerkt. 8 9

17

https://vng.nl/artikelen/privacybeleid-sociaal-domein Dit betreft het streven naar een Ja-cultuur, het samen verkennen, meer experimenteren, denken in mogelijkheden en waarde toevoegen.

Net als bij het informatiebeveiligingsbeleid wordt ook in het privacybeleid bewustwording bij de medewerkers van groot belang geacht. Iedere medewerker moet zich bewust zijn van het belang van privacy, zodat zij knelpunten kunnen signaleren. Hiertoe dienst privacy regelmatig onder de aandacht te worden gebracht tijdens werkoverleggen, kennissessies en trainingen. Bovendien wordt aangekondigd periodiek bewustwordingsacties te organiseren, zoals het leggen van maandelijkse attenties op de bureaus van de medewerkers. Over beheer en opslag van gegevens meldt het beleidsplan dat het opslaan van gegevens in centrale databases sterk de voorkeur heeft, omdat beschikbaarheid, integriteit en vertrouwelijkheid van data dan beter te borgen zijn. Ook bevat het privacy-beleid de nodige eisen op het gebied van versleuteling en beveiliging van de gegevens. Voor het bewaren van gegevens heeft Rhenen zelf voor de diverse werkprocessen standaard bewaartermijnen vastgesteld, waarbij is uitgegaan van het niet langer dan noodzakelijk bewaren van persoonsgegevens. Strategisch informatiebeveiligingsbeleid 2021-2024 Informatiebeveiligingsbeleid verschaft een belangrijke randvoorwaarde om de bescherming van gegevens van inwoners te kunnen garanderen. Rhenen heeft voor de informatiebeveiliging een beleidskader opgesteld.

Dit beleidskader bevat de hoofdlijn van het informatiebeveiligingsbeleid van de gemeente. Het is eind 2020 vastgesteld en gedeeld met de eigen medewerkers en relevante externe partijen. De verdere uitwerking van het beleid vindt plaats in Informatiebeveiligingsjaarplannen, één per jaar. In deze plannen wordt het beleid nader uitgewerkt in een serie randvoorwaarden, maatregelen en acties. Hierin worden ook de kosten en planning verwerkt. Om de mate van informatiebeveiliging binnen overheidsorganisaties te bepalen, zijn door de Nederlandse Beroepsvereniging van Accountants en NOREA, de vereniging van IT auditors 10 meetmethoden ontwikkeld waarmee het zogeheten ‘volwassenheidsniveau’ kan worden bepaald. Gegevensbeheer, inclusief gegevensbescherming, is één van de aspecten waarnaar in dit model wordt gekeken. Gezien de uitkomst van de meting in 2020 heeft de gemeente aanleiding gezien om de ambitie vast te leggen door te groeien naar een hoger niveau. Zorgvuldige bescherming van informatie vormt de kern van het beleid om de ambities waar te maken. De ICT speelt hierbij een belangrijke rol. Daarnaast zijn ook houding en gedrag van medewerkers van cruciaal belang zijn: bewustwording is de belangrijkste beveiligingsmaatregel. Een verwante ambitie dan om alle medewerkers goed op te leiden en om in functioneringsgesprekken e.d.

aandacht te besteden aan de wijze waarop de medewerkers omgaan met informatie. Dit leidt tot het voornemen om via regelmatige acties het bewustzijn van de medewerkers op het gebied van informatiebeveiliging aan te scherpen. Het goed beschermen van persoonsgegevens vormt in dit verband een uitdrukkelijk doel. De geformuleerde leidende principes zijn: Ja-cultuur: zoeken naar mogelijkheden binnen de gestelde kaders; Samen verkennen: beleid uitvoeren als één organisatie en samen zorgen voor optimale bescherming; Meer experimenteren: de geldende regelgeving respecteren, maar wel de grenzen durven op te zoeken voor een optimale dienstverlening; Waarde toevoegen: garanderen dat veilig gewerkt wordt, incidenten melden en daarvan leren. Het beleid is van toepassing op de hele gemeentelijke organisatie en tevens op alle (keten)partners en externe partijen met wie de gemeente samenwerkt. Rhenen blijft bij deze samenwerkingen 10

https://www.nba.nl/intern-en-overheidsaccountants/volwassenheidsmodel-informatiebeveiliging/

18

eindverantwoordelijk voor de veiligheid van informatie. Met samenwerkingspartners worden afspraken gemaakt over de onderlinge informatiestromen. Dit gebeurt door middel van zogeheten verwerkersovereenkomsten. Incidentmanagement en response procedure In dit document van de gemeente wordt de procedure omschreven voor het omgaan met beveiligingsincidenten en datalekken. De basis van het proces is het spoedig melden van incidenten en mogelijke lekken door de medewerkers. De CISO is hoofdverantwoordelijk voor het onderzoeken en beoordeling van de meldingen. Deze formuleert maatregelen, die worden voorgelegd en ingezet door de verantwoordelijk manager. Bij datalekken wordt met de FG afgestemd of melding moet worden gedaan aan de Autoriteit Persoonsgegevens. Voor incidenten met middelzware tot zware impact wordt een Incident Response Team ingezet, bestaande uit CISO, FG, communicatieadviseur, gemeentesecretaris en beveiligingsbeheerder ICT. Voor incidenten met grote of organisatieoverstijgende consequenties kan worden opgeschaald naar een regionaal Continuïteitsteam of ICTrecoveryteam. Informatiebeveiliging en privacy in het jaarplan 2021 Dit is het jaarplan ter nadere uitwerking van het Strategisch Informatiebeveiligingsbeleid voor het jaar 2021.11 Hierin worden de ambitie en activiteiten op dit gebied voor het jaar 2021 vastgelegd.

De uitvoering hiervan valt onder verantwoordelijkheid van de CISO, en wordt door deze gecoördineerd. Van de aandachtspunten die hieruit zijn voorgekomen is in het kader van het onderzoek kennisgenomen. Vanwege het vertrouwelijk karakter van deze aanbevelingen zijn deze niet in deze openbare rapportage opgenomen. Een deel van de maatregelen waarvan al bekend was dat ze nodig waren is doorgeschoven naar een volgend jaar, omdat er te weinig capaciteit of middelen voorhanden waren. Het gaat onder meer om het AVG-proof maken van formulieren, het uitvoeren van DPIA’s binnen projecten en het aanpassen van de teksten over privacy op de website van Rhenen. Interne privacyverklaring mei 2021 Dit is de privacyverklaring die alle werknemers en opdrachtnemers van gemeente Rhenen moeten ondertekenen alvorens aan de slag te gaan. Hierin is vastgelegd welke persoonsgegevens de gemeente Rhenen over zijn werknemers en opdrachtgevers verzamelt en waarom, en wat hun rechten hierin zijn.

3.2

Organisatorische inbedding van het beleid

In deze paragraaf wordt beschreven hoe in Rhenen het beleid organisatorisch is uitgewerkt. Daarbij is aandacht voor de positionering van enkele sleutelfunctionarissen. Dat betreft de Functionaris Gegevensbescherming (FG), de Chief Information Security Officer (CISO) en de Privacy Officer (PO).

11

19

In het onderzoek is geen jaarplan voor 2022 aangetroffen.

Gezamenlijke FG met Ede, Wageningen en Rhenen en jaarlijkse FG-metingen Rhenen heeft zelf onvoldoende budgettaire ruimte om een fulltime Functionaris Gegevensbescherming (FG) aan te stellen. Daarom wordt op dit gebied samengewerkt met andere gemeenten. Voor de invulling van de FG-rol werkt Rhenen samen met Ede en Wageningen: er werken twee personen in deze functie voor de drie gemeenten. Voor Rhenen is 12 uur capaciteit per week beschikbaar om de FG-rol in te vullen. Dit wordt door de betrokken FG’s als beperkt, maar werkbaar ervaren, mede dankzij de hoge mate van synergie die inmiddels bereikt is binnen deze samenwerking. De FG’s hebben voor de uitoefening van hun taken voor Rhenen baat bij het werk wat zij voor de andere gemeenten doen en vice versa. CISO en Privacy Officer rol De gemeente Rhenen heeft de CISO- en de Privacy Officer-rol verenigd in één persoon, die daarnaast ook actief is als ENSIA-coördinator. Omdat de huidige CISO/PO in 2022 is gestart in deze functie, is zij ondersteund door een ervaren externe kracht. Vanuit haar rol als Privacy Officer is zij het eerste aanspreekpunt voor medewerkers van Rhenen bij vragen op het gebied van privacy.

3.3

Verwerkersovereenkomsten met samenwerkingspartners

Er dient in het beleid ook aandacht te zijn voor de wijze waarop samenwerkingspartners een veilige omgang met informatie kunnen garanderen. De AVG kent de verplichting dat daartoe verwerkersovereenkomsten opgesteld moeten worden. Verschillende uitvoeringsintensieve taken van de gemeente Rhenen zijn elders ondergebracht of worden in samenwerking met anderen uitgevoerd. Zo voert gemeente Veenendaal voor Rhenen het bijstands- en minimabeleid uit, en wordt de Valeihopper, het vervoer in het kader van de Wet Maatschappelijke Ondersteuning (WMO), mede namens Rhenen uitgevoerd door de Gemeenschappelijke Regeling Food Valley. Met al deze samenwerkingspartners zijn verwerkersovereenkomsten gesloten, die zijn vormgegeven aan de hand van modellen die VNG-realisatie hiervoor ter beschikking heeft gesteld. Er bestaat een verwerkersovereenkomst tussen Rhenen en Veenendaal met betrekking tot de uitvoering van dienstverlening in het sociale domein (2021).

Hierin is het volgende aanvullend vastgelegd ten opzichte van de geldende verplichtingen van zowel verwerkingsverantwoordelijke als de verwerker op grond van de AGV: Basispersoonsgegevens, BSN, financiële en gezondheidsgegevens mogen verwerkt worden alleen ter uitvoering van de dienstverlening in het sociaal domein en alleen overeenkomstig schriftelijke instructies; Veenendaal moet de gegevens adequaat beveiligen, en doet dat door zijn eigen BIO-processen op orde te hebben; Veenendaal mag subverwerkers inschakelen, en doet dat ook, zoals Competensys voor een registratie- en matchingsysteem voor uitkeringsgerechtigden en Internexxt voor het uitvoeren van minimaregelingen. Er staat een lijst van subverwerkers in de bijlage, maar de overeenkomst bevat een generieke toestemming van Rhenen om met andere subverwerkers te werken. Veenendaal moet Rhenen helpen bij eventuele inzage- of verwijderingsverzoeken, en moet meewerken aan door Rhenen uitgevoerde DPIA’s; Veenendaal moet datalekken en incidenten binnen 24 uur melden aan Rhenen en bijdragen aan de afhandeling daarvan; Veenendaal moet meewerken aan audits door Rhenen met betrekking tot het nakomen van de overeenkomst.

20

Voor dit onderzoek zijn verder nog de volgende verwerkersovereenkomsten aan de orde gekomen: Verwerkersovereenkomst tussen Rhenen en Veenendaal (2020) met betrekking tot de IT hosting door Veenendaal. Deze overeenkomst lijkt sterk op de overeenkomst met Veenendaal met betrekking tot de dienstverlening in het sociale domein. De overeenkomst bevat dezelfde waarborgen voor gegevensbescherming. Verwerkersovereenkomst tussen Rhenen en de gemeenschappelijke regeling Food Valley over het gegevensbeheer inzake het uitvoeren van het contractbeheer van de Valleihopper (2018). Deze bevat grosso modo dezelfde waarborgen, zij het in iets andere formuleringen en indeling. Wel is in deze overeenkomst meer uitdrukkelijk geregeld dat de verwerker geen zeggenschap heeft over de gegevens, en wat dit precies betekent. Bovendien bevat deze overeenkomst de verplichting voor Food Valley om jaarlijks aan Rhenen te rapporteren over de opzet en werking van het stelsel van (beveiligings)maatregelen en procedures gericht op naleving van de overeenkomst. Verder is deze overeenkomst strenger op het gebied van het werken met subverwerkers: hier is in dit geval steeds specifieke schriftelijke toestemming van Rhenen voor vereist wanneer er een subverwerker wordt ingeschakeld die niet al in de bijlage staat genoemd.

Verwerkersovereenkomst tussen Rhenen en Veenendaal met betrekking tot de regionale leerplicht en RMC administratie (2017). Deze overeenkomst lijkt qua vorm sterk op de overeenkomst met betrekking tot de Valleihopper met Food Valley. De overeenkomst bevat ook dezelfde wat strengere waarborgen. Daarnaast heeft Rhenen ook bredere dienstverleningsovereenkomsten met andere gemeenten gesloten, waarin bepalingen over gegevensbescherming zijn opgenomen. Dit betreft met name de dienstverleningsovereenkomst tussen gemeente Rhenen en gemeente Ede met betrekking tot het uitvoeren van belastingwerkzaamheden. Ede int de gemeentelijke belastingen voor Rhenen. Een verwerkersovereenkomst voor de gegevensuitwisseling bij deze activiteit is in voorbereiding.

3.4

Klachtenprocedure

Zowel de gemeente Rhenen als haar uitvoeringspartners, van wie Veenendaal op het gebied van bescherming van persoonsgegevens de belangrijkste is, beschikken over een klachtenprocedure. Tussen de gemeentes Rhenen en Veenendaal is afgesproken dat Veenendaal twee maal per jaar een overzicht levert van bezwaar, beroep en klachten. Naar gebleken is in dit onderzoek zijn sedert 2021 geen klachten over de bescherming van persoonsgegevens geregistreerd. Er is alleen een enkele keer bezwaar en beroep ingesteld. De afspraak tussen Rhenen en haar uitvoeringspartners is dat deze zelf klachten afhandelen die van inwoners van Rhenen komen. Bij gemeente Rhenen zijn geen klachten bekend over het functioneren van deze uitvoeringspartners.

3.5

Register van verwerkingen en register van incidenten

Rhenen voert zoals conform de AVG vereist is een register van verwerkingen. Dit is voor dit onderzoek ingezien, hierin zijn geen onregelmatigheden geconstateerd. Ook houdt Rhenen een register van incidenten en mogelijke datalekken bij. Voor dit onderzoek is het register voor de jaren 2020 t/m 2022 bekeken. Er hebben zich in deze periode geen daadwerkelijke datalekken voorgedaan. Bovendien waren er in deze hele periode slechts 8 gemelde incidenten.

21

4 Gegevensbescherming in de praktijk Een zorgvuldige omgang met persoonlijke gegevens moet een kernwaarde zijn van elke medewerker in een overheidsorganisatie. Daarmee vormen de menselijke factor en de dagelijkse uitvoeringspraktijk een gemeente- en organisatiebreed aandachtspunt. In de interviews en twee verdiepende mini-PIA’s is inzicht verkregen over de wijze waarop het privacybeleid van de gemeente in de dagelijkse praktijk in het fysieke en sociale domein tot uitdrukking komt. De dagelijkse uitvoeringspraktijk beperkt zich niet tot de gang van zaken in de gemeentelijke organisatie. In het kader van het onderzoek is ook aandacht besteed aan de positie van de raad. Bovendien is kort geïnventariseerd hoe relevante groepen van inwoners het beleid ervaren.

4.1 De praktijk binnen de organisatie 4.1.1 Algemene bevindingen Informele cultuur De cultuur van de gemeente Rhenen wordt door geïnterviewden gekenschetst als die van een Lerende Organisatie met een sterk informeel karakter. Er zijn procedures en afspraken. De in de gesprekken verkregen inzichten kunnen worden geïllustreerd met een citaat uit één van de interviews: “Met fouten en gebreken op het gebied van privacy wordt in Rhenen niet anders omgegaan dan met andere fouten die gemaakt worden in organisatie. Dus: met elkaar uitzoeken wat er is gebeurd, delen wat er nodig is om het te herstellen en dat uitvoeren.” Beleid op privacybewustzijn Binnen de gecombineerde functie van Privacy Officer (PO) / Chief Information Security Officer (CISO) van Rhenen is er in de afgelopen jaren sprake geweest van een accentverschuiving als het gaat om het aanjagen van privacybewustzijn bij medewerkers. Deels komt dit doordat de functie achtereenvolgens door verschillende personen is ingevuld. Ook de covidpandemie heeft impact gehad. Vóór corona werden er ludieke acties op kantoor georganiseerd. Aan de ruim voor de Coronaperiode uitgedeelde zakjes M&M’s (“Meld het Meteen”) om bewustzijn met betrekking tot datalekken te vergroten, hebben vele medewerkers vandaag de dag nog positieve herinneringen. Met de komst van het verplichte thuiswerken is hier noodgedwongen een andere invulling aan gegeven.

In die tijd is veel gedocumenteerd met betrekking tot privacy en thuiswerken. Dat vormt nu de basis voor het helder maken van de privacy-aspecten in een hybride werksituatie. Ook de acties op kantoor worden weer opgepakt. Tijdens de Coronaperiode bleek het lastig om bij besluiten die toentertijd vanwege de bijzonder omstandigheden onder hoge (tijds)druk genomen moesten worden, voldoende aandacht te besteden aan privacy-aspecten. Om dit te corrigeren zijn achteraf privacytoetsen op de gespreksverslagen van de crisisteams verricht. Geïnterviewden hebben overigens niet de indruk dat het privacybewustzijn onder de medewerkers erg heeft geleden onder de coronatijd: “Er zijn inderdaad geen ludieke acties meer geweest, maar binnen ons team is er geen sprake geweest van verminderde aandacht. Wij zijn ons nog steeds zeer bewust van de gevoeligheid van gegevens.” En als er wel twijfels of vragen zijn, dan geven geïnterviewden aan dat de privacy officer makkelijk te benaderen is. Vanaf eind 2022 worden overigens weer generieke, en soms ook ludieke bewustwordingsactiviteiten uitgevoerd.