Bestuurlijk rapport Informatieveiligheid Rhenen

22

IMT en privacy Privacy staat volgens geïnterviewden als apart onderwerp niet regulier op de agenda in het management team (IMT). Het onderwerp komt wel terug in gesprekken die worden gevoerd met teams en individuen. Dit gebeurt op incidentele basis, bij beleidswijzigingen, of bij incidenten. Voorheen vormden de kwartaalgesprekken tussen de domeinmanager en de PO/CISO en de FG een drijvende kracht achter deze agendering in het IMT. Deze overleggen waren bedoeld om “de thermometer erin te steken op het gebied van privacy en te kijken waar verbeteringen nodig zijn”. Mede door personele wisselingen heeft dit periodieke overleg enige tijd niet meer plaatsgevonden. Geïnterviewden geven aan dat ze deze betrokkenheid vanuit de PO/CISO/FG functie gemist hebben. Uitvoerende teams In alle gesprekken is naar voren gekomen dat privacy en gegevensbescherming regelmatig aan de orde komen in de teamoverleggen, met name bij het bespreken van casussen. Het staat niet als apart punt op de agenda. Als casuïstiek wordt besproken, gebeurt dat altijd geanonimiseerd. Voor het inwerken en bijscholen van medewerkers is er een online AVG training beschikbaar in de Rhenen Academy omgeving. Er is geen toegespitste training op de vertaling van de AVG op het privacybeleid in Rhenen. De teams besteden hier zelf aandacht aan in de inwerkdocumentatie en instructies wanneer zij nieuwe medewerkers inwerken.

Op individueel niveau lijkt privacy op dit moment geen structurele aandacht te krijgen in de HR-cyclus. Het onderwerp privacy is, bij weten van de geïnterviewden, geen vast onderdeel van de functionerings- en beoordelingsgesprekken. “De gemeente voert geen standaard functioneringsgesprekken. Het onderwerp komt uiteraard wel terug in gesprekken die worden gevoerd met teams en individuen. Met integriteit zijn we wel heel bewust bezig. En dit staat continu op de agenda binnen de teams. Bij indiensttreding tekenen collega’s een integriteitsverklaring.” De bedoeling uit zicht Sommige geïnterviewden geven aan dat de regelgeving het werk complexer maakt. “Soms moet de gemeente onnodig door hoepels springen op grond van de AVG, terwijl als je op basis van gezond verstand zou handelen er niets mis zou gaan.” Bijvoorbeeld bij de toewijzing van urgentie voor een woning aan een wilsonbekwame aanvrager is er een veelvoud aan toestemmingen nodig. Dit maakt mensen soms juist bang: “Mensen trekken zich terug, scharen zich achter de AVG om dingen niet te delen.” Oneigenlijk gebruik van AVG-rechten door de burger Daarnaast zetten inwoners hun rechten soms strategisch in om besluiten te laten stagneren, of zelfs grote inzageverzoeken te doen in de hoop dat de gemeente een dwangsom moet betalen indien dit niet tijdig genoeg gebeurt.

“Dan komt er een verzoek, dat een groot beslag legt op de capaciteit van de organisatie. Herkenbaar, het gebeurt, maar is geen dagelijkse kost.” Bijkomend dilemma is dat de AVG gemeenten verbiedt om gegevens te delen van personen die op deze wijze misbruik maken van hun rechten voor financieel gewin. “We kunnen elkaar dus niet waarschuwen.” Ongepland werk in pieken In sommige teams geeft men aan dat het voldoen aan de wettelijke verplichtingen rond privacy de organisatie veel capaciteit en geld kost. Op altijd onverwachte momenten kunnen er incidenten plaatsvinden, die dan ook extra aandacht vereisen. Datzelfde geldt voor verzoeken om inzage in informatie.

23

Ook het achteraf controleren en privacyproof maken van reeds lopende processen binnen de gemeente kan veel tijd kosten. “Het liefste wil je betrokken worden op het moment voordat een bepaalde verwerking start.” Gebruikers(on)vriendelijkheid systemen Er zijn binnen Rhenen verschillende applicaties die gebruik maken van persoonsgegevens. Dat betreft om te beginnen het zaaksysteem van de gemeente (Mozard). Er wordt daarnaast gebruik gemaakt van Filecap; een systeem om E-mails veilig te kunnen verzenden. In het sociaal domein wordt gebruik gemaakt van Zorg-ned, een systeem om processen in het sociaal domein te ondersteunen. Niet al deze applicaties worden als gebruikersvriendelijk ervaren. Daarmee ontstaan soms risico’s voor de bescherming en compleetheid van dossiers en bij het uitwisselen van informatie. Tijdens de interviews is aangegeven dat bij vervanging van applicaties hier extra aandacht aan wordt besteed. In sommige domeinen, onder meer als het jeugd betreft, wordt wel gebruik gemaakt van Whatsapp om contact op te nemen met cliënten. Er is binnen Rhenen een richtlijn voor veilig e-mailen, maar er is geen equivalent voor het gebruik van Whatsapp. De gemeente kan zo niet garanderen of daar gegevens worden gedeeld die tot personen herleidbaar zijn, en moet hierin vertrouwen op de integriteit van de individuele medewerkers.

Activiteiten van de FG’s De beide FG’s voeren jaarlijks een FG-meting uit, waarbij zij de stand van zaken op het gebied van gegevensbescherming en privacy in de gemeente Rhenen inventariseren en de organisatie adviezen geven over verbeteringen. Ieder jaar ligt hierbij de focus op een ander onderwerp. In 2021 is deze meting door ziekte van één van de toenmalige FG’s niet uitgevoerd over het jaar 2020. De rapportage over het jaar 2019 is bij dit onderzoek betrokken. 12 De resultaten van deze FG-meting waren dat veel onderdelen een update konden gebruiken, zoals de verantwoordelijkheidsverdeling binnen de organisatie, het register van verwerkingen, de implementatie van BIO en de privacyverklaring. Als onvoldoende werden beoordeeld de borging van privacy binnen de werkprocessen, het gebruik van toestemming, het voorafgaand raadplegen van de Autoriteit Persoonsgegevens, het verstrekken van informatie aan betrokkenen en het merendeel van de punten op het gebied van beheer en opslag van gegevens, zoals het wissen van gegevens, het beperken van de toegang en het archiveren. Ook waren de benoeming van de FG en het verstrekken van middelen voor diens werk nog niet goed geregeld. De meeste van deze aanbevelingen uit 2020 zijn inmiddels opgevolgd.

De FG’s hebben toen deze functie net van start ging - meer als adviseur van de gemeente Rhenen gewerkt, nu vervullen zij inmiddels een toezichthoudende rol. De FG’s monitoren en stimuleren de planmatige uitvoering van DPIA’s op alle processen waar mogelijk risico’s optreden op het gebied van bescherming van persoonsgegevens Dit is nog niet voor alle relevante processen gebeurd. De reeds verrichte DPIA’s zijn voor dit onderzoek bestudeerd. 13 De FG’s hebben vorig jaar een informatiepakket samengesteld dat is opgenomen in het onboardingprogramma voor nieuwe medewerkers en externe inhuurkrachten. Ook wordt op de Rhenen Academy, een interne opleidingsvoorziening, een digitale cursus over de AVG aangeboden, maar niet verplicht.

12

13

24

In de context van het ambtelijk wederhoor is ook kennis genomen van de FG-rapportage over 2022. De essentie van de bevindingen, conclusies en aanbevelingen in deze rapportage is dat na coronatijd er weer meer aandacht is voor een gestructureerde aanpak van het relevante beleid. In dat verband is ook kennisgenomen van de daaruit afgeleide aanbevelingen. Deze zijn vanwege hun vertrouwelijke karakter niet in dit rapport van de Rekenkamer opgenomen.

De FG’s hebben naar hun mening voldoende middelen tot hun beschikking. De ervaring is dat als er iets geregeld moet worden er ook middelen beschikbaar gesteld worden door de gemeente, ze ondervinden geen budgettaire beperkingen als er iets nodig is of iets onderzocht moet worden. De organisatie van Rhenen werkt goed mee en de FG krijgt gemakkelijk toegang waar dat nodig is. Ten tijde van het onderzoek werkten de FG’s vooral casus- en projectgericht. Op dat moment was er geen algeheel monitoringssysteem op het gebied van privacy anders dan de jaarlijkse FG-meting. Sinds kort wordt daar nu invulling aan gegeven. Activiteiten van de CISO De CISO handelt volgens een vastgelegde procedure inzage- en verwijderingsverzoeken van inwoners van Rhenen af. Voor inzageverzoeken is een online formulier vastgesteld, dat beschikbaar is via de website van de gemeente Rhenen. Ook is de CISO/PO eerste aanspreekpunt bij datalekken en incidenten, conform de in hoofdstuk 3 beschreven procedure. Uit het onderzoek blijkt dat deze procedure doorgaans ook gevolgd wordt wanneer sprake is van een incident of datalek. De CISO/PO is ook verantwoordelijk voor het organiseren van bewustwordingsactiviteiten voor de medewerkers van de gemeente Rhenen.

Dit werk heeft door een aantal kort opeenvolgende personele wisselingen in deze functie een periode stil gelegen, maar de huidige CISO/PO is hier inmiddels weer mee begonnen. Samenwerking met andere organisaties Veel cruciale, informatierijke processen zijn ondergebracht bij andere gemeenten of uitvoeringsorganisaties, zoals jeugdzorg en bijstand en de registratie van de leerplicht. Er is sprake van een breed vertrouwen dat dit goed is geregeld, maar Rhenen heeft geen inzicht in de dagelijkse uitvoeringspraktijk; er zijn wel incidenten waar Rhenen niet actief over wordt geïnformeerd. Dit is bijvoorbeeld het geval geweest met het incident met de DPS-matrix bij de gemeente Veenendaal. Bovendien lijkt het stelsel van verwerkersovereenkomsten wat Rhenen heeft gesloten niet helemaal dekkend te zijn. Zo zijn er geen verwerkersovereenkomsten met een aantal ICT-bedrijven (Mozard, SociaalPlus) terwijl dit wel als aanbeveling uit door Rhenen uitgevoerde DPIA’s komt. Ook ontbreekt een verwerkersovereenkomst met de gemeente Ede met betrekking tot de inning van gemeentelijke belastingen. De verwerkersovereenkomsten die er zijn, zijn gebaseerd op modellen van de VNG. Deze modellen van de VNG zijn in de loop der tijd aangepast, waardoor de verwerkersovereenkomsten soms onderlinge verschillen kennen. Niet altijd wordt aan alle verplichtingen uit de verwerkersovereenkomsten voldaan.

Twee verwerkersovereenkomsten vereisen bijvoorbeeld jaarlijkse rapportages aan de gemeente Rhenen op het gebied van bescherming en beveiliging van persoonsgegevens, deze zijn in het kader van het onderzoek niet aangetroffen. Rhenen laat het afhandelen van klachten met betrekking tot de uitbestede werkzaamheden over aan de andere organisatie. Dit gebeurt in vertrouwen, Rhenen heeft geen manier om te controleren of klachten die er zijn daadwerkelijk worden afgehandeld en doorgegeven aan Rhenen. Binnen de organisatie waargenomen verbeterpunten In het kader van dit rekenkameronderzoek zijn in de interviews verschillende verbeterpunten onderscheiden door medewerkers van de gemeente Rhenen: DPIA’s uitvoeren voor alle processen waar een risico ligt op het gebied van gegevensbescherming en privacy. Dit is nu nog onvoldoende geborgd. Hier is mogelijk extra capaciteit voor nodig om een inhaalslag te maken.

25

Aanscherpen van de PDCA-cyclus14 op het gebied van de lerende organisatie (leren van gemaakte fouten / casussen in de praktijk). Dit gebeurt nu nog met name incidenteel binnen de teams, zonder dat hier organisatiebreed van geleerd wordt of dit goed is geborgd binnen de organisatie. Verbeteren van de gebruiksvriendelijkheid van veel gebruikte interne ICT-systemen. Doordat het adequaat werken op het gebied van privacy en gegevensbescherming in sommige systemen (zoals het zaaksysteem en de applicatie voor veilig mailen) als omslachtig en gebruiksonvriendelijk wordt ervaren, worden medewerkers niet gestimuleerd in het bewaken van de veiligheid.. Meer aandacht besteden aan veilig en AVG-conform WhatsApp gebruik. Betere naleving van de bewaartermijnen van persoonsgegevens. Naast het feit dat dit verplicht is op grond van de AVG levert dit minder werk op voor de CISO/PO bij het afhandelen van inzageverzoeken.

4.1.2 Privacy-afwegingen in het fysieke domein In het fysieke domein worden met name naam-, adres- en telefoongegevens (NAWT) verwerkt. Tijdens de mini-PIA hebben we onder meer aandacht besteed aan het proces van het aanvragen van een evenementenvergunning tot en met het handhaven op de dag zelfs en het eventueel verwerken van klachten achteraf. De uitvoerende taken in het proces van vergunningverlening zijn volledig in Rhenen belegd, maar de registratie van eventuele persoonsgegevens gebeurt enerzijds in systemen die door Rhenen worden beheerd, maar ook deels in systemen van de politie. Zo liggen de verantwoordelijkheden bij de aanvraag van een vergunning, het behandelen van een bezwaar en eventuele klachten bij de gemeente zelf. Ook de daarvoor benodigde ICT-systemen zijn in beheer van de gemeente. Dat is anders bij de handhaving van verleende vergunning en het registeren en opvolgen van meldingen. Weliswaar geldt ook dan dit de uitvoering daarvan onder verantwoordelijkheid van de gemeente gebeurt, maar de daartoe benodigde ICT-systemen worden beheerd door de politie. Er worden persoonsgegevens verwerkt van inwoners die een vergunning aanvragen of juist een klacht indienen of bezwaar maken. In principe worden alle gegevens bewaard in Mozard.

Er worden wel documenten gemaakt in Word, maar nadat deze in Mozard zijn geregistreerd, worden deze verwijderd van de PC van de ambtenaar. Wanneer er onderling gegevens worden gedeeld dan gebeurt dit beveiligd via FileCap. Wanneer de aanvraag wordt gepubliceerd, wordt de aanvrager geanonimiseerd. Bij bezwaarprocedures worden alleen geanonimiseerde pdf’s gedeeld met de bezwaarmakende partij. De handhavers hebben op papier de volledige gegevens van de vergunningsaanvrager en de contactpersoon van het evenement bij de hand. Dit document wordt na afloop versnipperd. Klachten die tijdens het evenement worden gemeld bij de BOA, worden inclusief NAWT gegevens van de burger) geregistreerd in het Citycontrol systeem van de gemeente. De gemeente ontvangt achteraf alleen de aantallen en het soort klachten, geen persoonsgegevens. Klachten die binnenkomen via de gemeentelijke website gaan via Mozard rechtstreeks naar de BOA’s. Het nummer van de dienstdoende BOA is een algemeen nummer (niet het eigen mobiele nummer), dus de privacy van de medewerker is hiermee ook geborgd. 14

Deze afkorting staat voor Plan-Do-Check-Act. Hiermee wordt bedoeld dat het beleid gebaseerd is op een aanpak waarbij sprake is van een goede voorbereiding, goed aandacht voor de uitvoering en de opbrengsten, gevolgd door een evaluatie die onder meer leidt tot aanpassingen in het beleid.

26

De gesproken personen geven aan, “erg voorzichtig te zijn”, maar desalniettemin “geen last te hebben van de AVG”.

4.1.3 Privacy-afwegingen in het sociale domein In de mini-PIA WMO en in verschillende interviews hebben wij het volgende beeld opgehaald van de privacy afwegingen die spelen binnen de uitvoeringspraktijk van het sociale domein. De gemeente heeft hier een wettelijke verantwoordelijkheid ondersteuning te bieden aan haar inwoners op het gebied van zorg (Wet maatschappelijke ondersteuning (Wmo 2015)), zelfraadzaamheid, inkomen en werk (Participatiewet en Wet gemeentelijke schuldhulpverlening), en jeugdhulp (Jeugdwet) en onderwijs (Leerplichtwet). Bij de uitvoering van deze taken worden veel (bijzondere) persoonsgegevens verwerkt. Op deze verwerkingen is de AVG van toepassing. Ambtenaren hebben in hun dagelijkse werkzaamheden te maken minstens twee wettelijke kaders; bij een gezin met een multiproblematiek soms met alle tegelijk. Zij hebben tevens te maken met een verdeelde uitvoering over Rhenen en Veenendaal, en een landschap met meerdere registratiesystemen. Rhenen is zelf uitvoerder van de Jeugdwet en de Wmo; Veenendaal is beheerder van het voor de uitvoering van deze regelingen essentiële registratiesysteem. Dit betreft Zorg-ned, met modules voor jeugd, WMO en een samenloop van jeugd en WMO. Ook de uitvoering van de Leerplichtwet wordt door Rhenen zelf gedaan, maar het beheer van het registratiesysteem (CAReL) is in Veenendaal belegd.

Zowel de uitvoering van de Participatiewet en de Wet gemeentelijke schuldhulpverlening als het beheer van de onderliggende registratiesystemen zijn belegd in Veenendaal. In de mini-PIA WMO, en verschillende interviews, is ook aandacht besteed aan de dagelijkse praktijk rond Wmo, participatiewet, jeugd en leerplicht. Dit geeft het volgende beeld: De melding van een WMO-aanvraag (naam- en adresgegevens en hulpvraag) komt telefonisch, per post of via de website binnen. De afhandeling wordt vervolgens in Zorg-ned gedaan, een systeem dat alleen toegankelijk is voor de teams Sociaal Domein en Jeugd. Vervolgens volgt een persoonlijk gesprek met de aanvrager om de hulpvraag verder uit te diepen. Hierbij gaat veel informatie over tafel, waaronder ook bijzondere persoonsgegevens, bijvoorbeeld medische. Consulenten wegen hierbij continue af wat wel en niet opgeslagen moet worden voor de aanvraag in Zorg-ned, en in welke vorm: “Mag het wel in het dossier, maar niet in het verslag of andersom? Hou je het bewust kort in de schriftelijke vastlegging, met het risico dat je een volgende keer dezelfde informatie nogmaals uit moet vragen.

Of leg je juist zoveel mogelijk vast, met het risico dat je informatie bewaart die niet relevant is gebleken voor wat je aan hulp verstrekt? Schrijf je informatie op die je niet van cliënt krijgt maar bijvoorbeeld van familie op de gang?” In de teams (jeugd en WMO) binnen het sociale domein wordt casuïstiek anoniem besproken. In het geval casuïstieken in breder verband worden besproken, wordt hier nog een extra slag overheen gemaakt om de herleidbaarheid naar personen zo klein mogelijk te maken. Wanneer informatie wordt gedeeld tussen teams, gebeurt dit op papier via de interne post in een dichte envelop. Het vier ogen principe wordt toegepast om bij verslaglegging over een cliënt inhoud en proces te toetsen. Daarnaast wordt er gebruik gemaakt van FileCap om beveiligd te kunnen e-mailen met elkaar. Binnen het sociale domein wordt gewerkt met de softwareapplicatie, die (strikt gescheiden) ondersteuning biedt voor meerdere processen in het sociaal domein. De WMO aanvraag gaat via desbetreffende module Zorgned, Ook het jeugdteam maakt gebruikt van Zorg-ned, maar in een alleen voor hun toegankelijke module. Wanneer er sprake is van multiproblematiek en zowel het sociaal team als het jeugdteam met 27

hetzelfde gezin aan de slag zijn, wordt gebruik gemaakt van een aparte werkstroom binnen Zorg-ned, waarin de consulenten van jeugd en Wmo alleen de gegevens kunnen zien die relevant zijn voor hun proces. Er wordt momenteel niet gelogd wie in welk dossier kijkt, maar dit gaat de softwareleverancier wel inbouwen. “Dan kan je ook instellen dat er meldingen van ongeautoriseerd gebruik gaan komen.” De leerplichtambtenaar registreert langdurig verzuim in CAReL, een systeem waarin de leerplichtambtenaren van Wageningen, Ede en Veenendaal ook werken. Iedere ambtenaar kan echter alleen gegevens van de eigen inwoners zien. Inwoners van Rhenen vragen bijstand en schuldhulpverlening rechtstreeks aan bij de gemeente Veenendaal. Daar vindt de volledige afhandeling plaats.15 Drie klantmanagers specifiek voor de Rhenense cliënten werken nauw samen met het sociaal team van gemeente Rhenen. De samenwerking met het sociaal team gaat vooral over multiprobleemcasussen, van inwoners die niet alleen een bijstandsuitkering hebben maar ook andere problemen. Dan wordt op casusniveau afgestemd over de concrete uitvoering. Geïnterviewden hebben niet gesproken over het digitaal uitwisselen van gegevens naar aanleiding van deze gesprekken. Voor zover daar sprake van is, gebeurt dat louter binnen de uitvoeringsorganisatie van Veenendaal.

4.2 Dilemma’s en ongewenste neveneffecten Privacy afwegen tegen belangen cliënt Er is een systeem om bij overlap de relevante gegevens van cliënten tussen WMO en Jeugd veilig te kunnen delen. Geïnterviewden geven echter aan dat de stap om gegevens te delen in deze aparte werkstroom achteraf gezien vaak te laat is gezet omdat consulenten niet op de hoogte zijn van elkaars betrokkenheid bij een gezin. “Het is continue afwegen wat je registreert in een dossier. Dossiers staan op naam van de cliënt, dus wanneer zowel vader, moeder als kind een hulpvraag hebben lopen in het systeem komen die niet automatisch naar boven.” Meerdere geïnterviewden geven aan dat ze graag zouden zien dat er meer mogelijkheden komen voor het delen van informatie binnen de gehele gemeentelijke organisatie. “Als dit beter wordt vastgelegd en gedocumenteerd zou al meer mogelijk zijn.” Nu wordt de AVG wel als belemmerend ervaren, juist bij de meest complexe hulpvragen, een integrale dienstverlening van de gemeente. Weigering toestemming De burger wordt voor elke wettelijke taak binnen het sociaal domein toestemming gevraagd om gegevens te delen met derden. Wanneer een burger deze niet geeft, kunnen er problemen ontstaan in de integrale hulpverlening. Dit levert wel eens dilemma’s en knelpunten op de werkvloer op. Zeker ook omdat inwoners tegen hun eigen belang in handelen als zij geen toestemming geven.

Geen grondslag voor preventie en vroegsignalering Voorkomen is beter dan genezen, maar in de ontplooiing van preventieve activiteiten worden veel beperkingen ervaren. In de preventie van schooluitval bijvoorbeeld wordt geconstateerd dat scholen, onder het mom van de AVG, niet tijdig verzuiminformatie delen met de gemeente. Ook in het sociaal team komt het regelmatig in casusbesprekingen aan de orde dat “bij vermoedelijke misstanden de gegevens niet met de politie kunnen worden gedeeld, of dat zorgverleners weigeren informatie met de gemeente te delen.” Soms speelt dit ook tussen Veenendaal en Rhenen. Veenendaal krijgt bijvoorbeeld informatie over een cliënt met betrekking tot een oplopende betalingsachterstand, maar mag dat niet zondermeer delen met het sociaal team. Over dit spanningsveld wordt onderling regelmatig overlegd. 15

Natuurlijk worden de uiteindelijk verleende uitkeringen door Rhenen vergoed.

28

4.3 De praktijk van samenwerking In de vorige paragraaf is al melding gemaakt van de samenwerking tussen enerzijds Rhenen en anderzijds activiteiten die bij Veenendaal of andere organisaties zijn belegd. Onderstaand overzicht vat dit samen. Taak

Verantwoordelijkheden Uitvoering beleid

Rhenen

Beheer registratie

Veenendaal

Naam registratie

CAReL

Leerplicht

Verwerkersovereenkomst Uitvoering beleid Jeugdzorg

Ja

Betrokken organisatie (2)

Food Valley

Nee

Rhenen Veenendaal

Food Valley

Zorg-ned

Stuurinformatie Jeugdhulpregio

Verwerkersovereenkomst

n.v.t.

Nee

Uitvoering beleid

Rhenen

Beheer registratie

Veenendaal

Food Valley

Naam/aard registratie

Zorg-ned

Valleihopper (vervoer)

n.v.t.

Ja

Beheer registratie Naam/aard registratie

WMO Verwerkersovereenkomst Uitvoering beleid

Veenendaal

Beheer registratie

Veenendaal

Participatie

Schuldhulpverlening

Betrokken organisaties (1)

Naam/aard registratie

*

Verwerkersovereenkomst

nee

Uitvoering beleid

Veenendaal

Beheer registratie

Veenendaal

Naam/aard registratie

*.

Verwerkersovereenkomst

nee

Uitvoering beleid

Ede

Beheer registratie

Ede

Naam/aard registratie

*

Belastingen

Verwerkersovereenkomst

Nee

In de gesprekken is naar voren gekomen dat de dagelijkse gang van zaken in de samenwerking gedurende een jaar regelmatig wordt besproken door medewerkers van Rhenen en door medewerkers van de organisatie waarmee wordt samengewerkt. Het gaat daarbij naar mening van alle betrokkenen om open gesprekken, op basis van een groot wederzijds vertrouwen. In die context 29

is het ook goed mogelijk om zaken aan de orde te stellen waar de samenwerking minder goed functioneert, en om vervolgens afspraken voor verbetering te maken. In de praktijk wordt de samenwerking gewaardeerd. Dit onderzoek heeft zich niet gericht op het beoordelen van de samenwerking. Louter de veilige omgang met de in de samenwerking te delen informatie heeft de aandacht. Betrokkenen geven in dit verband aan dat de verwerkersovereenkomst hun daartoe het benodigde houvast verschaft en dat ze daarmee goed uit de voeten kunnen. Er zijn incidenteel wel signalen dat niet de verlangde zorgvuldigheid in acht is genomen, maar ook die zijn goed bespreekbaar. Waar nodig worden dan afspraken gemaakt om de verlangde zorgvuldigheid weer te herstellen. In de samenwerking is de veilige omgang met de gegevens geen vast agendapunt van overleg. Als gezegd is de wederzijdse aanname dat de verwerkersovereenkomst wordt nageleefd. Louter als er een specifieke aanleiding is, komt de omgang met de gegevens wel aan de orde, met name als er sprake is van klachten. Voor zover bekend zijn er recent geen klachten geweest. Volgens de in verwerkersovereenkomsten vastgelegde afspraken wordt er jaarlijks verslag gedaan van eventuele problemen zoals datalekken of klachten.

4.4 Opvattingen in de lokale gemeenschap In het onderzoek staat de beveiliging van persoonlijke informatie van inwoners van Rhenen centraal. Voor het onderzoek is het daarom nuttig om ook die inwoners zelf daarover te raadplegen. De context van dit rekenkameronderzoek maakt het niet mogelijk om dat op uitgebreide of representatieve schaal te doen. In plaats daarvan zijn personen geraadpleegd die goed bekend zijn met de opvattingen en ervaringen van inwoners die concrete ervaringen hebben met de bescherming van hun persoonlijke gegevens. Het betreft hier allereerst enkele betrokkenen bij de adviesraad sociaal domein. Om in aanmerking te komen voor voorzieningen, dienen inwoners betrekkelijk veel informatie te delen met de gemeente. Vanuit die optiek kan het nuttig en nodig zijn om de wijze waarop dat gebeurt, de rechten en plichten van de betrokken inwoners en de garanties die de gemeente biedt onderling te bespreken. De adviesraad sociaal domein verschaft daar een goed platform voor. Bij raadpleging van enkele betrokkenen bij deze adviesraad stelden deze echter dat een dergelijk gesprek bij hun beste weten niet heeft plaatsgevonden. De geraadpleegde personen hebben in de afgelopen tijd geen signalen bereikt dat er wat de bescherming van persoonsgegevens sprake was van problemen of incidenten.

Zij hebben geen aanleiding gezien om zelf het gesprek daarover met de gemeente te agenderen. Medewerkers van de gemeente geven desgevraagd aan dat zij open staan voor een dergelijk gesprek. De cliëntenraad ‘De Vallei’ komt op voor de belangen van mensen met een gemeentelijke uitkering en in het algemeen voor alle minima in de gemeenten Rhenen, Renswoude en Veenendaal. Binnen deze raad richten enkele leden zich – indien nodig – specifiek op Rhenen. Volgens leden van deze raad zijn er vanuit de Cliëntenraad wel initiatieven geweest om het thema privacybeveiliging te agenderen. Het blijkt echter lastig om dit gesprek met medewerkers van de gemeente Rhenen te voeren, omdat, zoals al eerder belicht in dit rapport, de uitvoering van de bijstand is ondergebracht bij de gemeente Veenendaal. In de praktijk wordt het gesprek daarom vooral gevoerd met vertegenwoordigers van Veenendaal. Het is de vertegenwoordigers van de Cliëntenraad daarmee niet duidelijk of en in welke mate hun opvattingen ook gedeeld worden met Rhenen en of dit dan enige betekenis heeft voor het beleid van deze gemeente. De geraadpleegde vertegenwoordigers van de Cliëntenraad geven aan dat privacy een onderwerp is dat binnen de cliëntenraad sterk de aandacht heeft. Vanaf 2020 probeert deze raad daar het gesprek aan te gaan met betrokken ambtenaren (zoals gezegd betreft dat veelal ambtenaren van de gemeente 30

Veenendaal). Naar mening van de cliëntenraad vraagt de uitvoeringsorganisatie om meer persoonsgegevens dan volgens wet- en regelgeving nodig is. Overleggen met de uitvoeringsorganisatie hebben wel geleid tot nadere afspraken, maar naar mening van de Cliëntenraad worden die afspraken niet tot nauwelijks, en in iedere geval traag doorgevoerd. Cliënten worden naar ervaring van deze raad wel geïnformeerd over de wijze waarop de uitvoeringsorganisatie met de informatie omgaat, maar dat gebeurt louter in algemene termen. Daaruit blijkt niet waar de informatie concreet voor wordt gebruikt, wie er toegang toe heeft en hoe lang die informatie wordt bewaard. Medewerkers van de gemeente Rhenen geven aan dat zij de adviesraden in de gelegenheid stellen om hun opvattingen over het privacybeleid en de uitvoering daarvan ter kennisname aan de gemeente te brengen. Binnen de gemeente zijn geen klachten van inwoners bekend over de omgang door de gemeente met hun persoonlijke gegevens. Overigens geldt dat als er klachten zijn in het kader van de bijstand deze klachten, ook als het inwoners van Rhenen betreft, afgehandeld worden door de uitvoeringsorganisatie, in dit geval Veenendaal. Ook volgens deze organisatie zijn er geen klachten met betrekking tot Rhenen bekend.

Medewerkers van Veenendaal geven aan dat er geen sprake is van gestructureerd overleg met medewerkers van Rhenen over de bescherming van persoonsgegevens. Wel worden complexe casuïstieken met enige regelmaat tussen medewerkers van Veenendaal en Rhenen besproken. In dat verband kan het gebeuren dat de mogelijkheden en beperkingen vanwege privacybescherming aan de orde zijn, maar steeds in de context van de specifieke casus. Er is geen platform waar privacy in generieke termen in het overleg tussen Rhenen en Veenendaal aan de orde komt. Verder blijkt uit gegevens van de gemeente dat er in de afgelopen twee jaar geen datalekken hebben plaatsgevonden waarbij de gegevens van inwoners van Rhenen in het geding waren.

4.5 De positie van de gemeenteraad In het onderzoek is tevens aandacht besteed aan de positie van de raad. De raad stelt de kaders van het privacybeleid vast. Vervolgens is het aan de raad om te controleren of het beleid volgens de afspraken plaatsvindt. Om die verantwoordelijkheden waar te maken, is het zaak dat de raad wordt geïnformeerd over de stand van zaken met betrekking tot het waarborgen van de veilige omgang met persoonsgebonden informatie. Eerder in deze rapportage is al genoemd dat binnen Rhenen in 2018 beleid met betrekking tot de omgang met aan personen gerelateerde informatie is vastgelegd. Nadien is er in de raad niet meer expliciet over dit thema gesproken. Momenteel is een actualisatie van het beleid in voorbereiding, hetgeen in de nabije toekomst om discussie en beoordeling in de raad zal vragen. Raadsleden worden jaarlijks, via de Planning- en begrotingscyclus, geïnformeerd over de ontwikkelingen in het privacybeleid. Dat betreft onder meer informatie over datalekken en klachten. Tevens wordt de jaarrapportage van de FG gedeeld met de raad. De CISO en de FG melden dat incidenteel raadsleden aan hun vragen stellen over specifieke aspecten van het beleid. Jaarlijks verzorgen de CISO en FG een presentatie aan de raadscommissie. Zij ervaren dat dit weinig leidt tot vragen of opmerkingen.

De CISO en FG zijn de mening toegedaan dat de informatievoorziening aan de raad geïntensiveerd zou kunnen worden. Om zicht te krijgen op de opvattingen en ervaringen van raadsleden zijn zij uitgenodigd voor een bijeenkomst, die op 30 november jl. heeft plaatsgevonden. De deelnemers zijn aan de hand van een casus uitgedaagd om hun opvattingen over de gewenste inrichting van het privacybeleid in een 31

fictieve gemeente te geven. Vervolgens is met hen besproken welke verschillen zij ervaren tussen deze gewenste inrichting en de praktijk van Rhenen. Vier raadsleden hebben gevolg gegeven aan deze uitnodiging. Daarmee kunnen hun ervaringen en opvattingen niet als representatief voor de raad worden beschouwd. Tegelijkertijd hebben deze raadsleden vrijuit hun opvattingen en ervaringen gedeeld, waarbij geregeld sprake was van consensus tussen de aanwezigen. Deze raadsleden constateren dat naar hun mening de raad van Rhenen weinig wordt geïnformeerd over de stand van zaken rond de bescherming van persoonsgegevens. De jaarlijkse presentatie van de FG en de CISO wordt als algemeen ervaren. Verdere informatiebronnen zijn hun niet bekend. Het is hun onbekend hoe de uitvoering van beleid dat bij andere organisaties, zoals bij Veenendaal, plaatsvindt. Deze raadsleden waren wel benieuwd naar de afwegingen die de organisatie maakt tussen enerzijds de bescherming van de privacy van de inwoners en anderzijds de mogelijkheden die er zijn om, mede met behulp van het combineren van beschikbare gegevens, betere en op maat gesneden dienstverlening te realiseren. In de context van initiatieven voor de intensivering van het armoedebeleid, waren zij al snel tegen beperkingen aangelopen om meer grip te krijgen op de omvang van samenstelling van de doelgroep.

De aanwezige raadsleden geven aan behoefte te hebben aan discussie waarin de opbrengsten van het combineren van gegevens zouden worden afgewogen tegen de risico’s die daarmee gepaard gaan. In het verlengde daarvan zouden zij er prijs op stellen als de uitgangspunten van het privacybeleid in de raad zouden worden besproken en zo nodig zouden worden geactualiseerd. Als gezegd vinden er in de organisatie al voorbereidingen daartoe plaats, hetgeen bekend was bij deze raadsleden.

32

Bijlage A

Geïnterviewde personen

Functie CISO* FG* Manager Bedrijfsvoering / Manager buitendienst Strategisch Adviseur Jeugd Portefeuillehouder Leerplichtambtenaar Senior-regisseur Sociaal Team* Manager Sociaal Domein • • •

Accounthouder Dienstverlening Consulent bijstand Consulent Beveiliging, Privacy, Databeheer, Archivering en Security Officer bij de afdeling Werk en Inkomen Leden van de Adviesraad Sociaal Domein Leden van de cliëntenraad Werk en Inkomen Deelnemers DPIA Zorg: zorgmakelaar sociaal team en administratief medewerker WMO Deelnemers DPIA Fysiek Domein: Vergunningverlener APV & Bijzondere Wetten, BOA en medewerker buitendienst

Organisatie Rhenen Rhenen, Wageningen, Ede Rhenen Rhenen Rhenen Rhenen Rhenen Rhenen Veenendaal

Rhenen Rhenen, Veenendaal en Renswoude Rhenen Rhenen

* Deze personen hebben tevens deelgenomen aan het afrondende verdiepende gesprek.

Aan de bijeenkomst voor de raad hebben vier raadsleden deelgenomen.

33

Bijlage B

Bestudeerde documentatie

Visie- en Beleidsdocumenten Documentnaam

Datum

Samen bouwen aan een duurzame toekomst. Coalitie akkoord Gemeente Rhenen 2022-2026

onbekend

Extern Privacy beleid 2020

September 2020

Informatiebeveiliging en privacy. Jaarplan 2021. Versie 3.0

Januari 2021

Strategisch informatiebeveiligingsbeleid. Versie 3.0

September 2020

DPIA’s Documentnaam

Datum

Geconstateerde risico’s – Teams.xls

6 augustus 2021

Geconstateerde risico’s – Mozard.xls

7 augustus 2021

Data-analyses PowerBI.xlsx

4 mei 2021

Bevindingen en pva 0-meting WPG BOA gemeente Rhenen.xls

2021

2021-06-22 DPIA vragenlijst analyse jeugdhulp en onderwijsdata.docx

22 juni 2021

"Vragenlijst Onderwerp: DPIA Wmo2015 gemeente Rhenen"

24 oktober 2019

Risico-analyse Privacy/ PIA. Risicoanalyse Wmo 2015 nov 2019

November 2019

DPIA Camera’s in het Huis van de Gemeente

29 november 2019

Data Protection Impact Assessment. Tijdelijk Huisverbod. Gemeente Rhenen 2019

April 2019

"Data Protection Impact Assessment. Bijzondere opnemingen psychiatrische ziekenhuizen. Gemeente Rhenen 2019"

April 2019

Inzetten SociaalPlus voor KCC verbetering

16 maart 2022

Inzet SD gegevens ESRI voor kaartweergave WMO-ondersteuning en Jeugdhulp.

21 februari 2022

Verwerkers- en dienstverleningsovereenkomsten Documentnaam

Datum

Verwerkersovereenkomst uitvoering IT-hosting door Gemeente Veenendaal ten behoeve van Gemeente Rhenen

16 september 2022

Verwerkersovereenkomst regionale leerplicht en RMC administratie Gemeente Veenendaal. v0.1

14 december 2017

Dienstverleningsovereenkomst Gemeente Rhenen Gemeente Ede Inzake uitvoeren Belastingwerkzaamheden Gemeente Rhenen

1 januari 2022

Verwerkersovereenkomst van de gemeente Rhenen met Gemeenschappelijke regeling Regio Foodvalley, de verwerker

25 mei 2018

Verwerkersovereenkomst: dienstverlening sociale zaken en werkgelegenheid

5 april 2019

34

Registers en Procedures Documentnaam

Datum

Procedure verzoeken van betrokkenen

2 september 2022

Interne privacyverklaring. Voor werknemers, collega’s en opdrachtnemers. Versie 1.0

17 mei 2021

Incidentmanagement en response procedure

onbekend

Register van verwerkingen 2022 v.0.9

2022

Register datalekken en incidenten 2021-2022

September 2022

Inzageverzoeken - screenshot

September 2022

Rapportages Documentnaam

Datum

ENSIA 2020 voor de gemeenteraad

23 maart 2021

Presentatie gemeenteraad Accountancy kantoor Astrium

12 september 2021

Rapport Mysteryguest Onderzoek “Social Engineering”

21 september 2021

Rapport FG-meting 2019

3 juli 2019

35