Bestuurlijke reactie rekenkameronderzoek informatieveiligheid

Bestuurlijke reactie op het rekenkamerrapport “Over de bescherming van persoonsgegevens in Rhenen”. Geachte rekenkamercommissie, Algemene indruk Het college heeft kennisgenomen van bovengenoemd rapport en herkent zich grotendeels in uw bevindingen en aanbevelingen. Het onderzoek heeft zich op diverse onderdelen en processen in de organisatie gericht en een tweetal zaken nader uitgediept en is zorgvuldig uitgevoerd. Het pleziert het college te lezen dat er wordt geconcludeerd de gemeente Rhenen in het algemeen voldoet aan de AVG. Algemene opmerkingen over uw bevindingen 1. Zoals terecht wordt aangegeven, zijn er achterstanden ontstaan op een aantal aspecten van het beleid. Dit viel samen met het coronatijdperk, waardoor er toch verminderde onderlinge contactmomenten waren en de focus bij het veilig thuiswerken kwam te liggen. Dit was een logisch gevolg, dat toch ook weer tijd vergt om dit te herstellen. 2. Daarnaast is er enige tijd verstreken tussen het afnemen van de interviews, waarmee in de zomer van 2022 werd gestart, en de uiteindelijke rapportage zoals deze nu voorligt. In de tussenliggende periode zijn er uiteraard weer allerlei (verbeter)activiteiten opgepakt. 3. Ons inziens is het onderwerp gegevensbescherming lastig te vertalen in streefwaarden.

Uiteraard is het ultieme streven dat er geen incidenten of klachten voorkomen, echter is het helder dat daar waar gehakt wordt en ook spaanders vallen. Dat is binnen een gemeente niet anders. Ook is het te verwachten dat er binnen een team waar frequent met persoonsgegevens wordt gewerkt er vaker iets voorvalt, dan binnen andere teams waarbij dit minder aan de orde is. Andere factoren, zoals een grote caseload, onderbezetting of veel personele wisselingen kunnen ook leiden tot (meer) incidenten. 4. Het spanningsveld tussen AVG en dienstverlening (uitwisselen van gegevens binnen teams en met de gemeenten Veenendaal/Ede of derden) is bekend. Dit is niet gemakkelijk in beleid te vatten. Een meer passende oplossing is om de functionaris gegevensbescherming of, liever nog, de privacy-officer om advies en tips te vragen. 5. Tot slot; in de huidige bezetting, met slechts 4 uur voor de privacy-officer, is er geen ruimte voor extra activiteiten, om de informatievoorziening zo in te richten dat de Raad wordt ondersteund in hun sturende en controlerende verantwoordelijkheden. Wanneer hier verandering gewenst is, dan dient ook het aantal uren hierop te worden afgestemd. Reactie op beoordelingen Het rapport geeft aan dat voor het grootste deel aan het normenkader wordt voldaan (positief/neutraal).

Om die reden wordt hierna alleen een bestuurlijke reactie gegeven op de bevindingen die als negatief zijn beoordeeld. Beleid 1. In bestuursrapportages, programmabegroting en programmarekening wordt expliciet aandacht besteed aan de wijze waarop een correcte omgang met persoonsgegevens is gewaarborgd. Daaraan worden conclusies en maatregelen verbonden op basis van uitgevoerde controles. Bestuurlijke reactie In het bestuursprogramma is aandacht voor bescherming van persoonsgegevens. Er is binnen Rhenen gekozen voor een andere wijze van rapporteren. Zo komt bescherming van persoonsgegevens aan bod in de P&C-cyclus, bij de halfjaarlijkse risico-inventarisatie, de jaarlijkse meting en rapportage door de functionarissen gegevensbescherming en de 2-jaarlijkse toelichting aan de raadscommissies. 2. Er is vastgelegd hoe de raad wordt geïnformeerd over (de ontwikkelingen in) het privacybeleid Bestuurlijke reactie Het privacybeleid doorloopt dezelfde route als andere beleidsstukken.

Uitvoering 1. De gemeente verschaft aan inwoners schriftelijk en mondeling begrijpelijke informatie over bet over het gebruik van hun persoonsgegevens, zowel in algemene zin als afgestemd op de verschillende fasen in het dienstverleningsproces. Daarbij wordt aangegeven met welk doel dit gebeurt, wie inzage heeft en wat er vervolgens met de gegevens gebeurt. Bestuurlijke reactie Algemene informatie is voor inwoners terug te vinden op de website. In het kader van transparantie zou het inderdaad goed zijn om deze aanbeveling (op termijn) uit te voeren. 2. De raad wordt geïnformeerd op een manier die hem in staat stelt te sturen en te controleren. Bestuurlijke reactie Wij zijn benieuwd op welke onderdelen de raad meer zou willen sturen en/of controleren. Ons uitgangspunt is voldoen aan de geldende wet- en regelgeving op het gebied van privacy en gegevensbescherming. Voor het overige verwijzen wij naar onze reactie onder het kopje ‘Algemene opmerking over uw bevindingen’. Cultuur 1. In de relatie met inwoners zijn de medewerkers proactief en transparant over de wijze waarop de gemeente omgaat met hun gegevens. Bestuurlijke reactie Algemene informatie is terug te vinden op de website. In het kader van transparantie zou het inderdaad goed zijn om deze aanbeveling (op termijn) uit te voeren. 2.

In de relatie met ketenpartners bewaken de medewerkers actief dat deze ketenpartners zich conformeren aan de regels, standaarden en procedures van de gemeente. Bestuurlijke reactie Dit punt behoeft inderdaad nadere aandacht en is nader in te vullen door de betrokken teams. Er is al een start gemaakt, in het bijzonder in de samenwerking met de gemeente Veenendaal. Tot zover onze reactie op de bevindingen met het oordeel negatief van het rekenkamerrapport. Uiteraard is het college benieuwd naar de reactie van de gemeenteraad op uw rapport, de conclusies en de aanbevelingen. Met vriendelijke groet, Het college van Burgemeester en Wethouders van de gemeente Rhenen.