RA 21 096 Bijlage 1 Nota van Bevindingen Privacy in het sociaal domein Rijswijk.pdf

Een van de verplichte overheidsmaatregelen in de BIO is dat nieuwe medewerkers binnen drie maanden na aanstelling een training moeten doorlopen op dit gebied. 34 Deskundigheidsbevordering en het geven van presentaties is dan ook onderdeel van de borging AVG. 33

21

Ten behoeve van de jaarlijkse DigiD-audit wordt er een pentest uitgevoerd. Daarnaast wordt er in samenwerking met de gemeente Delft jaarlijks een extra audit uitgevoerd op een specifiek onderdeel. In 2020 is aan externe onderzoekers gevraagd om op basis van het scenario van de hack bij de universiteit van Maastricht de beveiligingsmaatregelen bij de GRB Delft-Rijswijk te testen. De bewustwording over privacy binnen de organisatie is een doorlopend en herkenbaar verbeterpunt in Rijswijk. Zo zou er meer bewustwording moeten zijn over (het effect van) datalekken, omdat er nog steeds medewerkers zijn die niet weten wat een datalek is of het niet herkennen. Verder wordt genoemd dat er sprake is van een goed bewustzijnsniveau als het gaat om het herkennen van persoonsgegevens en de bescherming daarvan, maar dat er nog stappen te maken zijn als het gaat om de toepassing van de AVG en de bewustwording in het herkennen en erkennen van grondslagen die van toepassing zijn. Dat gaat over vragen als ‘’wanneer is toestemming nodig?’’. Desondanks worden medewerkers steeds meer bewust en bekwaam, en is er merkbaar progressie bij de gemeente Rijswijk, aldus verschillende gesprekspartners. Bevindingen: - Er sprake van een reeks aan acties, trainingen en opleidingstrajecten om kennis en bewustzijn over het belang van privacy en informatieveiligheid te borgen.

- In het sociaal domein hebben sommigen behoefte aan meer training over de AVG. - Het lijnmanagement is verantwoordelijk voor het aanbieden van trainingen, maar wijst medewerkers onvoldoende op de beschikbaarheid en het nut van trainingen op het gebied van privacy. - Kennis, bewustzijn en training van externe medewerkers is een aandachtspunt.

4.4 Organisatie in het sociaal domein Het sociaal domein bestaat uit de volgende teams: het Financieel Servicepunt (FSP), team Werk, team Inkomen, team Wmo, het Jeugdteam en het Sociaal wijkteam. Sommige teams hebben een teamleider en daarboven staat er een sociaal domein-manager. Aan ieder team is een kwaliteitscoach verbonden die gespecialiseerd is in het werkveld van het team en aandacht besteed aan het opstellen, evalueren en bewaken van de processen.35 De kwaliteitscoach biedt de consulenten begeleiding en deskundigheidsbevordering. Aanvullend is er bij het Sociaal wijkteam en Jeugdteam ook een gedragswetenschapper beschikbaar. Op het moment dat de kwaliteitscoach er niet uitkomt, ruggespraak wil of vindt dat er iets moet gebeuren in het proces, komt de kwaliteitscoach bij de senior adviseur Kwaliteit. Indien nodig en waar mogelijk wordt het proces en/of de instructie dan aangepast. De kwaliteitscoach en senior adviseur Kwaliteit kijken dan samen naar het onderwerp. Daarnaast overleggen zij regelmatig met elkaar over wat er speelt op de werkvloer. Een vraag die regelmatig voorbij komt, is een casuïstiek vraag zoals ‘’mag ik gegevens delen met’’ een andere partij of collega bijvoorbeeld, en zo ja, ‘’hoe moet ik dat doen’’.

35

De kwaliteitscoach is in dienst van de gemeente.

22

In het geval van privacy gerelateerde vragen of dilemma’s kunnen consulenten in eerste instantie terecht bij de kwaliteitscoach of gedragswetenschapper van het team. De kwaliteitscoach is de vraagbaak voor procesmatige vragen. De gedragswetenschapper is er vooral voor casusinhoudelijke vragen en moet betrokken worden bij het maken van kernbesluiten, bijv. de stap naar de Jeugdbeschermingstafel.36 Daarnaast kunnen consulenten ook zelf met privacy vragen terecht bij de senior adviseur Kwaliteit die zich bezighoudt met de AVG. Het Jeugdteam heeft wekelijks overleg met de gedragswetenschapper waarin casussen kunnen worden besproken en vragen kunnen worden gesteld. Het thema privacy komt niet specifiek naar voren in ieder werkoverleg; dat verschilt per team. Vragen of problemen omtrent privacy spelen minder bij het FSP. Wanneer een inwoner een aanvraag doet bij het FSP geeft de inwoner vooraf toestemming dat het FSP bij bijvoorbeeld schuldeisers mag informeren. De consulenten zijn bekend met het privacybeleid en de procedure voor het melden van datalekken. Beiden denken dat de procedure goed werkt en het goed wordt opgepakt door collega’s en leidinggevende. Na een datalek stuurt de leidinggevende een mail met de reminder om goed op te letten en welke stappen nodig zijn om een datalek te voorkomen.

Datalekken komen volgens de geraadpleegde consulenten niet vaak voor bij het FSP en het Jeugdteam. Zij hebben het over een à twee keer in de jaren dat zij werkzaam zijn bij de gemeente. Verder blijkt uit de gesprekken dat wanneer consulenten vragen hebben over privacy, zij dat vrij gemakkelijk kunnen opzoeken. Zo werkt de gemeente met een kwaliteitshandboek met processen en procesbeschrijvingen dat op intranet staat. Ook hebben alle consulenten toegang tot Schulinck waar ter ondersteuning ook vragen kunnen worden gesteld.37 In Schulinck is ook een onderdeel privacy opgenomen met (landelijk) veel gestelde vragen. Een landelijk veel gestelde vraag is bijv. ‘’mag ik informatie delen met een collega?’’. Verder is het voor de consulenten gebruikelijk om een mail te sturen of te bellen naar de kwaliteitscoach of gedragswetenschapper bij vragen; daar komt over het algemeen snel antwoord op. De consulenten ervaren daar steun aan. Toezicht en controle De kwaliteitscoaches nemen dossiers door en doen de eerstelijns toetsing daarvan. Zodoende kunnen zij verbeterpunten signaleren. Dat gaat niet enkel over de AVG, maar ook over andere vraagstukken. Bij Kwaliteit wordt er ook een tweedelijns toetsing gedaan. Vanuit hun onafhankelijke positie wordt een steekproef gedaan om te kijken of medewerkers hun werk op een goede manier uitvoeren.

Vaak gaat dat over de inhoud – zoals de beoordeling - maar eventuele verbeterpunten kunnen ook gaan over de omgang met privacy(regels). Intervisie en begeleiding voor consulenten De gemeente faciliteert intervisie en inhoudelijke begeleiding voor medewerkers. Intervisie is bedoeld voor (anonieme) bespreking van alle casussen waarin medewerkers dilemma’s ervaren. Een complex

36 37

Dit is hoe de functies van kwaliteitscoach en gedragswetenschapper er binnen het Jeugdteam uitzien. Schulinck is een online, juridische kennisbank die betrekking heeft op onder meer het sociaal domein binnen gemeenten.

23

privacy dilemma kan ook een vraagstuk voor intervisie zijn.38 Zodoende kunnen consulenten op casuïstiek niveau overleggen met een kwaliteitscoach en/of een gedragswetenschapper.

Denk aan een medewerker met beroepsgeheim die tijdens intervisie met collega’s die ook een beroepsgeheim hebben, kan overleggen over hoe dat gaat. 38

24

Samenwerking Afspraken over gegevensverwerking en uitwisseling met derden of uitbesteding van taken dienen in juridische documenten vastgelegd te worden zoals convenanten en verwerkersovereenkomsten. De gemeente maakt daar aantoonbaar gebruik van. De privacyjurist toetst de rechtmatigheid van de documenten. Nog niet alle afspraken zijn vastgelegd. Momenteel wordt er gewerkt aan de samenwerking tussen het Jeugdteam, het FSP en het Sociaal wijkteam waarbij ook gekeken wordt naar hoe dat privacytechnisch goed kan worden ingebouwd.39 Bevindingen - Consulenten kunnen casussen waarin zij privacydilemma’s ervaren anoniem bespreken met een kwaliteitscoach, gedragswetenschapper of de senior adviseur Kwaliteit. Ook kunnen zij deze voorleggen tijdens intervisie. - De ambtelijke organisatie probeert privacy zo veel als mogelijk te borgen in convenanten, overeenkomsten en afspraken.

Daarin wordt onder andere aangegeven dat als er een inwoner - met bijv. een ontruiming - zich meldt bij het Sociaal wijkteam, dat het Sociaal wijkteam dan ook toestemming vraagt om de gegevens van de ontruiming met het FSP te delen. 39

25

5. Communicatie met inwoners De AVG bepaalt dat de gemeente een informatieplicht heeft ten opzichte van haar burgers. Dat betekent dat wanneer burgers om een dienst vragen en de gemeente gegevens verzamelt van hen, de gemeente verplicht is om burgers duidelijk te informeren over wat de gemeente met hun persoonsgegevens doet en waarom. Ook is in sommige gevallen toestemming nodig van burgers om gegevens te mogen delen met derden. Daarom staat de volgende vraag in dit hoofdstuk centraal: ● Hoe communiceert de gemeente naar inwoners over de wijze waarop zij omgaat met persoonsgegevens? Website De AP geeft aan hoe in de praktijk het handigst kan worden voldaan aan de informatieplicht: ‘’In de AVG staat dat u de informatie over uw verwerkingen in principe schriftelijk moet geven. De beste manier om er zeker van te zijn dat uw informatie voor de meeste mensen goed vindbaar is, is het publiceren van een online privacyverklaring’’.40 Veel gemeenten hebben dan ook een privacyverklaring op hun website gepubliceerd.

De website vermeldt wel informatie over ‘privacy’, maar de gemeente duidt dat niet als privacyverklaring.41 Er is een pagina over het toezicht op gegevensbescherming met informatie over de FG en de AP, een pagina waarop de rechten van betrokkenen uiteen worden gezet en wordt uitgelegd hoe inwoners hun rechten kunnen uitoefenen.42 Voorbeelden van ‘’rechten van betrokkenen’’ zijn het recht op informatie, het recht op inzage en het recht van bezwaar.43 Burgers kunnen hun privacyrechten laten gelden met behulp van een digitaal formulier op de website. Het proces van afhandeling van dergelijke verzoeken werkt via DigiD zodat mensen zich digitaal kunnen identificeren. Ook is er een pagina voor het melden van datalekken en bestaat de mogelijkheid voor burgers om de FG te contacteren. Aanvragen voor de FG komen meestal per mail binnen. Dat komt niet veel voor. Afhankelijk van de vraag wordt dat per mail of telefonisch beantwoord. Intakegesprekken De consulenten van het Jeugdteam vragen bij de intake standaard toestemming aan ouders om gegevens op te vragen bij - en te delen met - andere partijen. Die toestemming hebben ze altijd nodig. Het Jeugdteam is transparant naar ouders en geeft hen ook terugkoppeling na opvraag van gegevens. Verder wordt inwoners verteld dat de toestemming weer ingetrokken kan worden.

Toestemming vragen aan betrokkenen - als grondslag voor het verwerken of delen van gegevens - kan niet zomaar.44 Gemeenteambtenaren bevinden zich in een machtspositie ten opzichte van de inwoner. Toestemming moet vrij en specifiek gegeven kunnen worden. Daar moeten consulenten over nadenken. Transparantie is daarbij belangrijk. Wanneer er gegevens worden gedeeld moet dit altijd besproken worden met de inwoner. Uit de gesprekken is gebleken dat consulenten wel toestemming vragen wanneer het delen van gegevens in het belang van de cliënt is - en de zorgplicht van de zie: https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/algemene-informatie-avg/rechten-van-betrokkenen#is-eenprivacyverklaring-volgens-de-avg-verplicht-6253 41 https://www.rijswijk.nl/over-deze-website 42 De verzoeken in het kader van de rechten van betrokkenen zijn bijgehouden in het jaarverslag van de FG. 43 Zie ook: https://www.rijswijk.nl/uw-recht-op-privacy. 44 In april 2016 publiceerde de Autoriteit Persoonsgegevens (AP) het rapport Verwerking van persoonsgegevens in het sociaal domein: De rol van toestemming. De AP gaf daarin aan dat toestemming in het sociaal domein niet rechtsgeldig zal zijn. Dit vanwege de afhankelijke relatie waarin de cliënt ten opzichte van de gemeente staat. Deze afhankelijke situatie maakt dat toestemming niet in vrijheid gegeven zal zijn. 40

26

gemeente dus een rol speelt - en consulenten goed uitleggen waarvoor het opvragen en delen van informatie nodig is. Soms vragen consulenten toestemming op momenten dat het (mogelijk) niet nodig is. Omdat er in de praktijk soms vragen over bestaan, zal de gemeente in 2021 aandacht besteden aan het onderwerp “toestemming” tijdens de voorlichting van de teams. Werkwijze en navolgbaarheid van toestemming Het FSP werkt met een toestemmingsformulier voor het opvragen van informatie. Het Jeugdteam werkt niet meer met schriftelijke toestemmingsformulieren, maar met mondelinge toestemming of toestemming per mail. Ten behoeve van ‘’rechtmatigheid, behoorlijkheid en transparantie”45 is het van belang dat het besluitvormingsproces navolgbaar is. In het geval van mondelinge toestemming is de toestemming niet navolgbaar. Op het moment dat bijvoorbeeld de GGZ de toestemming schriftelijk wil ontvangen, moet het Jeugdteam dan ook weer achter de schriftelijke toestemming van de ouder(s) aan. Dossierinzage Het Jeugdteam rapporteert over de jeugdige. Enkel mensen uit het Jeugdteam hebben toegang tot het dossier. Ook ouders hebben zelf nog geen toegang tot dossiers. Ouders kunnen een dossieropvraag doen. Dat verloopt via de leidinggevende die een eerste controle doet op welke informatie uit het dossier wel en niet met de ouder kan worden gedeeld.

Informatie waar twijfels over bestaan, controleert de leidinggevende bij de consulent. Dilemma’s De gemeente wil integraal (of domeinoverstijgend) samenwerken, maar integraal gegevens delen – denk aan werken vanuit het principe van één gezin, één plan – is lastig. De grondslag voor het delen van gegevens ontbreekt vaak waardoor de gemeente tegen de grenzen van de privacyregels aanloopt. Uitvoeringsprofessionals stuiten dagelijks op ethische dilemma’s: voldoen aan de AVG of gegevens uitwisselen om mensen te helpen? In afwachting van de Wet aanpak meervoudige problematiek sociaal domein (Wams) worden gegevens vaak gedeeld op basis van toestemming van de betrokkene. Integraal werken brengt tot die tijd mogelijk privacyrisico's met zich mee in de zin van dat er te veel gegevens worden gevraagd, opgeslagen en/of gedeeld. Met name voor inwoners die niet zelfredzaam zijn, moet gekeken worden naar de inrichting van het proces, zodat integraal werken mogelijk wordt. De gemeente besteedt daar aandacht aan door te werken aan beleid, heldere werkprocessen en aan het versterken van kennis en expertise van medewerkers.

Zoals eerder genoemd, gaan de senior adviseur Kwaliteit en de privacy officer vanaf juni 2021 een leergang ‘’organiseren van privacy’’ van de VNG volgen zodat privacy en gegevensdeling bij deze groep cliënten dusdanig kan worden georganiseerd dat consulenten optimaal ondersteund worden bij omgaan met privacy dilemma's. De gesprekspartners schetsen een wisselend beeld van de (intake)gesprekken met burgers. Zo geeft de privacy officer aan dat consulenten tijdens de (soms moeilijke) gesprekken die zij voeren, eigenlijk niet ook nog het AVG verhaal willen aankaarten. Ook de portefeuillehouder sociaal domein denkt dat het soms lastig kan zijn voor consulenten. De wethouder spreekt veel medewerkers in de uitvoering van het sociaal domein en hoort vaak dat de AVG meer tegenwerkt dan dat het medewerkers helpt in de uitvoering. Zo moet er vaak toestemming worden gevraagd voor het delen van gegevens. Voor 45

Zoals een van de AVG-beginselen luidt.

27

burgers is dat ook vervelend. Het is lastig uitleggen waarom gegevensdeling niet zomaar mag en dat burgers veel verschillende formulieren moeten invullen als het gaat over informatieverstrekking aan derden. Mogelijk creëert de gemeente als overheidsorgaan een soort wantrouwen bij burgers die bijvoorbeeld vaker hun verhaal moeten vertellen. Toch geven de consulenten de indruk dat het geen obstakel vormt. Zo lang zij transparant zijn en inwoners zo veel mogelijk meenemen in het proces - ook wat betreft privacy - komen ze een heel eind samen met inwoners. Bevindingen: - De gemeentelijke website bevat informatiepagina’s over privacy, de rechten van betrokkenen, het melden van datalekken etc. De gemeente duidt deze informatie niet als privacyverklaring. - In het zorg- en veiligheidsdomein wordt de AVG soms als beperkend ervaren, bijvoorbeeld bij het delen of ontvangen van informatie in de samenwerking met derden. - Integraal werken brengt privacyrisico’s met zich mee, met name in het geval van inwoners die niet zelfredzaam zijn. - Consulenten zijn transparant naar burgers. Zij zijn zich er bewust van dat ze burgers moeten informeren en meenemen in wat zij doen met hun gegevens. - Bij het Jeugdteam werkt men uitsluitend met mondelinge toestemming, waardoor de registratie daarvan tekortschiet en de toestemming niet navolgbaar is.

- Toestemming vragen is niet altijd nodig en wenselijk. Wanneer consulenten ‘onnodig’ toestemming vragen, kan dat ten koste gaan van de integrale benadering en de dienstverlening.

28

6. Risico’s en borging privacy De gemeente Rijswijk heeft dus procedures, werkinstructies, verschillende registers en zet in op kennis en opleiding. Het werken met persoonsgegevens is echter altijd risicovol, zo geven gesprekspartners aan. Daarom staat dit hoofdstuk in het teken van de risico’s in de huidige werkwijze voor het borgen van privacy: ● Welke mogelijke risico’s zijn te onderkennen in de huidige wijze waarop de privacy van de inwoners is geborgd binnen de gemeente? ● Hoe ziet de gemeente erop toe dat de borging van de privacy van een voldoende niveau is en blijft en wordt er geanticipeerd op toekomstige opgaven en juridische ontwikkelingen? 6.1 Mogelijke risico’s De jaarrapportage van de FG is het resultaat van de zelfevaluatie. Daaruit volgen enkele knelpunten die, op enkele uitzonderingen na, voor alle domeinen gelden: het bevorderen van AVG-kennis en bewustwording over privacy, het tijdig melden en afhandelen van datalekken, het goed administreren van de verwerkersovereenkomsten, het vooraf in kaart brengen van privacyrisico‘s (middels het uitvoeren van DPIA’s), het toepassen van de principes van privacy by design etc.

Het melden van datalekken, het uitvoeren van DPIA’s en het sluiten van verwerkersovereenkomsten zouden dan ook door een deel van de organisatie als procesbelemmerend worden gezien.46 Gesprekspartners geven aan dat datalekken moeilijk beheersbaar zijn. Door mensen op de werkvloer te instrueren en managers te wijzen op het belang van (tijdig) melden, is daar aandacht voor. Zoals eerder genoemd, probeert de gemeente het bewustzijn (onder meer) te testen en mensen alert te houden door het uitvoeren van verschillende tests en simulaties. Door het uitvoeren van een DPIA worden privacyrisico’s vooraf in kaart gebracht. Het uitvoeren van DPIA’s kost extra tijd. Wanneer er sprake is van tijdsdruk, blijkt dat niet iedereen in de organisatie blij is met het moeten uitvoeren van een DPIA. Daarom wordt het soms als procesbelemmerend ervaren. De privacy officer en CISO ondersteunen daar bij en adviseren over de risicobeperkende maatregelen. Zij proberen momenteel het bewustzijn binnen de domeinen te bewerkstelligen. Dat het bewustzijn beter kan, raakt ook aan het ‘’volwassenheidsniveau’’ van het procesmanagement. Dat houdt in dat men weet welke processen hij onder z’n hoede heeft, het besef dat men daarin een rol heeft als proceseigenaar en het begrip wat er van de proceseigenaar verwacht wordt.

Het is van belang dat de proceseigenaar constant een risicoafweging maakt bij het proces.47 Het sluiten van verwerkersovereenkomsten wordt als steeds normaler en logischer gezien. Dat heeft deels te maken met de kennis van leveranciers van applicaties en diensten. Zodoende worden medewerkers er niet meer mee verrast. Bij aanschaf van nieuwe applicaties letten de privacy officer en CISO erop dat de principes van Privacy by Design worden opgenomen. Dat houdt bijvoorbeeld in: het inbedden van de actieve informatieplicht aan burgers in het proces, dat niet meer gegevens worden vastgelegd dan nodig is, Gemeente Rijswijk, jaarrapportage van de FG, 2020. Niet enkel wat betreft privacy en informatiebeveiliging, maar ook wat betreft politieke gevoeligheid, continuïteit, leveranciersafhankelijkheid etc. Daarop moet de proceseigenaar altijd alert zijn op moment dat er iets verandert in het proces. 46 47

29

dat gegevens vernietigd worden na het verloop van de bewaartermijnen en alleen bevoegde personen toegang krijgen tot persoonsgegevens. De aandacht voor Privacy by Design begint ook in het sociaal domein nu te ontstaan. Verbetercyclus Naar aanleiding van het jaarrapport van de FG en de verbeteracties die daaruit voort kwamen, heeft de FG voor het management een (online) presentatie gegeven, zodat de managers de verbeterpunten binnen de teams kunnen verspreiden. Tijdens de sessie is het management in vier groepen verdeeld die werden begeleid door de CISO, de privacy officer, het hoofd JZ en de FG. Als er bepaalde zaken structureel fout gaan bij hetzelfde team, moet de leidinggevende een gesprek gaan voeren met zijn team. Het is immers de verantwoordelijkheid van het lijnmanagement om incidenten zoals datalekken te bespreken in werkoverleggen en in het vervolg te voorkomen. De privacy officer en CISO wijzen de managers daar op en bieden aan om daarover mee te denken. Zij kunnen echter niet goed inschatten of dat daadwerkelijk door managers wordt opgevolgd. De privacy officer en senior adviseur Kwaliteit bespreken af en toe de datalekken zodat zij samen kunnen kijken naar eventuele verbetering en aanpassing van processen.

Verder is het de bedoeling dat privacybescherming een onderdeel wordt van het functionele beoordelingsgesprek voor functies waar privacybescherming een issue kan zijn.48 Toch wordt ook de kanttekening gemaakt dat de gemeente en organisaties in het algemeen - vooral leert van grote incidenten waarbij zij bijvoorbeeld financiële en/of imagoschade lijdt. Auditresultaten In de audit van de accountant (najaar 2020) kwam onder meer naar voren dat de databases voor WMOned, Key2Financiën en Suites voor het sociaal domein niet zijn voorzien van passende wachtwoordeisen. De gemeente werd dan ook geadviseerd de wachtwoordeisen aan te scherpen daar het een verhoogd risico tot ongeautoriseerde toegang oplevert.49 Uit de gesprekken bleek dat wachtwoordvereisten en het regelmatig wijzigen van bijv. wachtwoorden wel als ’’moeilijkheden’’ in de werkbaarheid werden gezien en daardoor een mogelijk risico kan vormen. Denk aan wanneer medewerkers om de regels gaan heen werken. Verder werd aangeraden om twee-factor authenticatie niet alleen voor extern inloggen, maar ook voor intern inloggen bij gemeentelijke kantoren (‘’alle locaties’’) door te voeren zodat het risico op ongeautoriseerde inlogpogingen wordt verlaagd. Daarnaast bleek er geen organisatie brede functie-autorisatiematrix beschikbaar te zijn.

De accountant raadde daarom aan om een functie-autorisatiematrix op te stellen en deze te gebruiken als basis voor de toekenning van autorisaties binnen de verschillende applicaties. Verder ontstaat er daarmee een norm waaraan accounts kunnen worden getoetst. Verschillende gesprekspartners geven aan dat de gemeente inmiddels bezig is met het controleren van autorisaties en autorisatieschema’s.50

Dit wordt wel al gedaan in bijv. de gemeente Amersfoort; zie het recent verschenen rapport van de Rekenkamer Amersfoort over de bescherming van persoonsgegevens, 2021. 49 Baker Tilly, Managementletter gemeente Rijswijk 2020. 50 Baker Tilly, Managementletter gemeente Rijswijk 2020. 48

30

Bevindingen: - De gemeente heeft inzichtelijk welke risico’s er momenteel bestaan. De FG signaleert verbeterpunten in zijn jaarverslag, waarmee de organisatie probeert te leren en verbeteren. - Het bewustzijn over de noodzaak en vanzelfsprekendheid van acties om risico’s zoveel als mogelijk te beperken, is een verbeterpunt. - In het kader van leren en verbeteren is het van belang dat er zicht is op de mate waarin leidinggevenden incidenten en verbeterpunten oppakken. Op dit moment is dat onvoldoende het geval. - Risico’s die de accountant constateert, betreffen de wachtwoordvereisten, twee factorauthenticatie en de functieautorisatiematrix.

6.2 Toekomstige opgaven en juridische ontwikkelingen In het informatiebeleidsplan 2020-2022 (IBP) formuleert de gemeente een visie voor de informatievoorziening bij de gemeente Rijswijk.51 Een van de uitgangspunten van het (strategisch) informatiebeleid is informatieveiligheid en privacy. De gemeente Rijswijk heeft in het kader daarvan aandacht voor (toekomstige) ontwikkelingen als consumerization52 en ATAP-werken53. De grenzen van de gemeentelijke organisatie vervagen en cybercriminaliteit is een risico. De gemeente Rijswijk streeft daarom onder meer naar het aanwijzen van verantwoordelijken voor gegevens en applicatiefuncties, de toegang tot gevoelige gegevens in de applicaties die persoonsgegevens bevatten te loggen en te beoordelen, informatiebeveiliging te borgen in afspraken etc.54 Uit de gesprekken blijkt dat er op dit moment nog niet in alle domeinen verantwoordelijken zijn aangewezen en er onvoldoende capaciteit is om bepaalde verbeterpunten op te pakken zoals het loggen van de toegang tot gegevens. Beveiligd communiceren met inwoners Het beveiligd communiceren met burgers - zoals de beveiligde mail - is niet altijd gebruiksvriendelijk. Het risico is dan ook dat de gebruikersvriendelijkheid van de oplossing belemmerend werkt voor het gebruik daarvan en burgers dus op een onveilige manier hun informatie delen.

Thuiswerken Rijswijk heeft de benodigde techniek voor het thuiswerken op orde en test het systeem regelmatig. De gemeente heeft een jaar voordat het thuiswerken noodzakelijk werd een risicoanalyse gedaan op het telewerken. De gemeente hanteert een protocol telewerken en heeft veel energie gestoken in het bekendmaken van het protocol bij medewerkers. Een belangrijk onderdeel daarvan gaat over gedrag. In dat protocol staat dan ook beschreven hoe verwacht wordt dat mensen met informatie omgaan wanneer ze niet op kantoor zijn. Zo moeten medewerkers ervoor zorgen dat ze in een gecontroleerde omgeving zitten. Dat geldt voor zowel de fysieke als technische omgeving. De technische omgeving

Gemeente Rijswijk, Informatiebeleidsplan 2020-2022. Rijswijk beschrijft de ontwikkeling van consumerization als volgt: ‘’Mensen zijn steeds meer ervaren IT gebruikers en willen zelf bepalen welke apparatuur en applicaties ze gebruiken. Mobiele telefoons, tablets en notebooks zijn een normaliteit geworden en mensen willen ze graag overal mee naartoe kunnen nemen en gebruiken (Bring Your Own Device). Veel applicaties zijn gratis op Internet beschikbaar en sluiten beter aan bij behoeften dan formele werkplekken’’. 53 ATAP staat voor any time any place. De ontwikkeling van ATAP-werken wordt door Rijswijk beschreven als: ‘’Mensen willen steeds meer werken op het tijdstip en de plaats waarop het hen het beste uitkomt. Dit is een kernonderdeel van Het Nieuwe Werken, waarbij voor verschillende werkzaamheden ook verschillende werkomgevingen worden gebruikt. Dat kan zijn overdag op kantoor, onderweg of ‘s avonds thuis’’. 54 Gemeente Rijswijk, Informatiebeleidsplan Rijswijk 2020-2022. 51 52

31

betreft een beveiligde verbinding die tot stand wordt gebracht met een token waarmee men inlogt in het systeem. Omdat medewerkers dan werken op het systeem van de gemeente, blijft er niets achter op het apparaat. Het wifi netwerk dat medewerkers gebruiken heeft dan ook niet meer zo veel invloed. Er wordt naar medewerkers gecommuniceerd dat ze binnen de gecontroleerde, beveiligde omgeving moeten werken en enkel daarbinnen hun informatie moeten opslaan. Papierloos werken De gemeente werkt nog niet volledig papierloos. Omdat alles dat wordt afgedrukt een extra risico vormt, worden medewerkers gevraagd om zo min mogelijk af te drukken. Nadat uit het werkplekonderzoek bleek dat men soms nog documenten achterliet op de bureaus, werd weer benadrukt dat het niet de bedoeling is. De CISO vermoedt dat nu iedereen thuiswerkt, medewerkers nog meer digitaal werken en dus ook minder documenten printen. Bevindingen - De gemeente heeft een visie als het gaat om toekomstige opgaven voor privacy en informatieveiligheid. - Met het oog op toekomstige ontwikkelingen en opgaven is de beperkte capaciteit een aandachtspunt. - Het beveiligd communiceren met inwoners is een aandachtspunt. - Thuiswerken is goed geregeld. De gemeente focust op het gedrag van medewerkers door een protocol telewerken te communiceren binnen de organisatie.

32

7. Sturing en controle In dit hoofdstuk wordt ingegaan op de wijze waarop de gemeenteraad wordt geïnformeerd over privacy en informatiebeveiliging, en op de mate waarin dit handvatten biedt om invulling te geven aan zijn kaderstellende en controlerende rol. Daarmee wordt een antwoord geformuleerd op de volgende onderzoeksvragen: ● Op welke wijze is de raad tot nu toe bij de ontwikkeling van het privacybeleid en informatieveiligheid in het sociaal domein betrokken geweest? ● Op welke manier kan de gemeenteraad het beleid rondom privacy en informatieveiligheid in het sociaal domein controleren en sturen? Het college heeft het privacybeleid en het privacyreglement vastgesteld. De raad heeft het informatiebeleidsplan 2020-2022 vastgesteld. Privacy en informatieveiligheid wordt in de praktijk gezien als een bedrijfsvoeringskwestie. De wethouder P&O en bedrijfsvoering ontvangt via het GMT informatie over informatiebeveiliging, ICT en de AVG. De portefeuillehouder sociaal domein wordt niet geïnformeerd over specifiek dit thema. Omdat het als bedrijfsvoeringskwestie wordt gezien en de beleidsvrijheid beperkt is, komt het onderwerp maar beperkt aan de orde in het college. Het is aan de ambtelijke organisatie - en meer specifiek aan het GMT - om ervoor te zorgen dat dit thema goed geborgd wordt. Door middel van de jaarrapportage legt de FG verantwoording af aan het GMT.

Het GMT stelt stukken vast en legt de stukken ter instemming voor aan het college. Het college van B&W is politiek verantwoordelijk voor het bewerkstelligen van een passend niveau van informatiebeveiliging en gegevensbescherming.55 Het college legt vanaf 2017 jaarlijks verantwoording af aan de raad via de paragraaf Bedrijfsvoering in de jaarrekening (dus de reguliere P&C-cyclus). Voor de verantwoording over informatieveiligheid is landelijk een eenduidige systematiek ontwikkeld (ENSIA: eenduidige normatiek single information audit). In feite wordt met de ENSIA verantwoording afgelegd over de mate waarin de BIO is geïmplementeerd. De ENSIA begint ieder jaar met een zelfevaluatie waarin ruim 300 vragen beantwoord worden. Aan de hand van de beantwoording van die vragen wordt duidelijk welke maatregelen van de BIO voldoende zijn ingevoerd en welke maatregelen nog om aandacht vragen. Daar stelt het Gemeentelijk Managementteam vervolgens een actieplan voor vast.56 Op basis van de uitkomsten van de ENSIA wordt voor de verantwoording over het gebruik van specifiek Suwinet en de DigiD-aansluitingen jaarlijks een collegeverklaring opgesteld. De gemeenteraad wordt hierover geïnformeerd via een raadsinformatiebrief. Verder wordt de raad ook ingelicht over het aantal datalekken.

Naast de jaarlijkse verantwoording heeft de CISO eerder een bijeenkomst georganiseerd voor de auditcommissie waarvoor ook alle andere raadsleden waren uitgenodigd.57 Tijdens de bijeenkomst heeft de CISO het informatieveiligheidsbeleid en het informatiebeveiligingsplan toegelicht en uitgelegd hoe er wordt gerapporteerd in de jaarrekening. De auditcommissie wordt eigenlijk gebruikt Gemeente Rijswijk, Informatiebeveiligingsbeleid 2020. Gemeente Rijswijk, Informatiebeveiligingsbeleid 2020. 57 De auditcommissie bestaat uit enkele raadsleden en adviseert over en bereidt de besluitvorming in de raad voor op het gebied van de kaderstelling en controle inzake de gemeentefinanciën. 55 56

33

als voorportaal van de gemeenteraad, zo blijkt uit de gesprekken. De afspraak met de auditcommissie is dat er aan de bel wordt getrokken, wanneer dat nodig is. Het thema privacy en gegevensbescherming leeft met name bij de raad wanneer er een grote verandering of (elders in Nederland) een incident heeft plaatsgevonden. In de periode 2018 tot april 2021 zijn er slechts een aantal momenten aan te wijzen dat er raadsvragen werden gesteld of er aandacht werd gevraagd voor dit thema.58 Denk aan het moment dat de AVG net in werking trad in 2018 en toen er begin 2021 sprake was van een groot datalek bij de GGD. Uit de gesprekken blijkt dat het college de raad meer zou moeten meenemen in het thema privacy en informatieveiligheid. Het college en de raad hebben elkaar nodig om kaders te stellen, zodat de raad het college goed kan sturen en controleren. En dat gebeurt momenteel weinig. Bevindingen: - De raad is betrokken geweest bij de ontwikkeling van het informatiebeleidsplan 2020-2022, maar de rol van de raad bij de ontwikkeling van het privacy- en informatiebeveiligingsbeleid is beperkt. - Het borgen van privacy en informatieveiligheid wordt gezien als een bedrijfsvoeringskwestie. Enerzijds mag de raad verwachten dat het college de borging goed organiseert.

Anderzijds dient de raad hier ook op toe te zien - Het college neemt de raad weinig mee in het thema privacy en informatieveiligheid. Mede daardoor wordt de raad niet in staat gesteld om te sturen en controleren op dit thema.

Zie bijv. de vragen van respectievelijk Groenlinks en D66: ‘’Verzoek om informatie ex artikel 42 van het Reglement van Orde’’, 1 maart 2018; en ‘’ICT-en privacyproblemen bij de GGD Haaglanden’’, 2 februari 2021. 58

34

Bijlage 1. Geraadpleegde personen ▪ Remon Klop, manager bedrijfsvoering sociaal domein ▪ Marleen de Bie, senior adviseur kwaliteit en bedrijfsvoering ▪ Alex Tilli, functionaris gegevensbescherming ▪ Piera Cherchi, privacy officer ▪ Peter van de Vaate, CISO ▪ Sandy Westenbroek, jeugdconsulent ▪ Mendy Wijsman, senior consulent bij het financieel servicepunt (FSP) ▪ Larissa Bentvelzen, wethouder sociaal domein

35

Bijlage 2. Stand van zaken AVG per onderwerp59 In het document ‘Het borgen van de Algemene Verordening Gegevensbescherming in de gemeentelijke organisatie’ van de Informatiebeveiligingsdienst worden per onderdeel vragen gesteld of bepaalde taken (deels) zijn gerealiseerd. De cirkeldiagrammen geven per onderwerp op thema een beeld weer van in hoeverre de gemeente deze criteria heeft geïmplementeerd.

Toelichting De vereiste beleidsproducten voor de implementatie van de AVG zijn gerealiseerd. Het is zaak om bij de domeinspecifieke werkprocessen ook rekening te houden met de privacyregels uit de sectorwetgeving.

Toelichting In principe zijn de verwerkingen van persoonsgegevens waar onze organisatie verwerkingsverantwoordelijk of medeverantwoordelijk voor is, in het register van verwerkingsactiviteiten opgenomen. In de zomer 2019 zijn deze verwerkingen getoetst op volledigheid en actualiteit. Geconcludeerd is dat deze toets niet naar behoren uitgevoerd kon worden omdat de organisatie niet inzichtelijk heeft welke werkprocessen zij in huis heeft. In 2020 was dit ook het geval. Als de gegevensverwerking een hoog privacyrisico oplevert voor de betrokken, dan wordt een DPIA uitgevoerd. Niet in alle werkprocessen is aandacht besteed aan wat gegevensbescherming en de privacywetgeving concreet betekenen voor de betreffende organisatieonderdeel en hoe 59

Bron van de diagrammen en de bijbehorende toelichting is de jaarrapportage van de FG.

36

medewerkers om dienen te gaan met persoonsgegevens binnen hun taken en werkzaamheden.

Toelichting Om de AVG in de organisatie te borgen heeft het college van B&W een functionaris gegevensbescherming aangesteld. Deze opereert onafhankelijk van de lijnorganisatie in het team concerncontrol samen met de CISO en de privacy officer. Binnen het team Juridische Zaken is en een privacy jurist aangetrokken. Het lijnmanagement is bekend met zijn verantwoordelijkheid voor het naleven van de AVG binnen het eigen domein maar betrekt de FG niet altijd tijdig bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. Autorisatieschema’s voor geautomatiseerde systemen zijn niet overal in de organisatie aanwezig. Actuele protocollen en procedures over de wijze van omgang met persoonsgegevens zijn niet op alle organisatieonderdelen aanwezig en het is niet bekend of medewerkers die te maken hebben met bijzondere persoonsgegevens een specifieke geheimhoudingsverklaring ondertekenen, die ziet op het verwerken van die bijzondere persoonsgegevens.

Toelichting Betrokkenen worden duidelijk geïnformeerd over hun rechten en hoe zij een AVG-verzoek kunnen indienen. En de gemeente heeft de processen ingericht om de rechten van betrokkenen te faciliteren. Niet alle geautomatiseerde systemen kunnen in de uitoefening van deze rechten eenvoudig voorzien en het is niet bekend of bij de aanschaf van nieuwe systemen rekening wordt gehouden met dit criterium.

37

Toelichting Afspraken over verwerkingen van persoonsgegevens die ontstaan binnen samenwerkingsvormen, uitbesteding van taken aan andere overheden, ketenpartners of private organisaties, worden vastgelegd in diverse juridische documenten zoals verwerkersovereenkomsten, convenanten en overeenkomsten van zorgvuldige verwerking. Het is niet bekend of al deze overeenkomsten inzichtelijk zijn. Een systematische registratie van de verwerkersovereenkomsten en de overeenkomst van opdracht verdient meer aandacht.

Toelichting Gemeente Rijswijk heeft een proces en een procedure voor het omgaan met incidenten in verband met persoonsgegevens (datalekken). Toegang tot informatiesystemen is in principe beperkt tot bevoegde medewerkers door middel van autorisaties. De autorisatieschema’s zijn niet altijd vastgesteld en het is niet bekend of de autorisatie regelmatig gecontroleerd worden. Bij de inrichting van nieuwe systemen wordt niet altijd rekening gehouden met de beginselen van Privacy by Design en Privacy by Default (dataminimalisatie en privacy-vriendelijke instellingen als standaard). Er is geen algemeen loggingbeleid en niet alle geautomatiseerde systemen zijn voorzien van logging. Dit is geen standaard functionaliteit en voor de realisatie hiervan zijn wij afhankelijk van het ontwikkeltempo van de leveranciers. Dit aandachtspunt wordt bij de implementatie van de BIO opgepakt.

38

Toelichting De verwerkingen van persoonsgegevens zijn vastgelegd in het register van verwerkingsactiviteiten. Het register kan ter beschikking gesteld worden aan de AP. De organisatie is transparant over de verwerking van persoonsgegevens door het publiceren van privacybeleid en bijvoorbeeld het verstrekken van informatie op formulieren bij aanvragen van producten en diensten. Voorafgaand aan de verwerking van persoonsgegevens worden betrokkenen zoveel mogelijk geïnformeerd. Vanaf 2020 wordt het college geïnformeerd over de naleving van de AVG via dit verslag. Het is niet bekend of de organisatie, wanneer de verwerking plaatsvindt op grond van toestemming van de betrokkene, kan aantonen dat de betrokkene een volwaardige toestemming heeft gegeven voor de verwerking.

39

Bijlage 3. Privacy volwassenheidsniveaus 1 Ad hoc

2 Herhaalbaar

3 Bepaald

● ● ● ● ● ● ● ● ● ● ● ● ●

4 Beheerst

● ● ● ●

5 Geoptimaliseer d

● ● ● ● ● ● ● ● ● ●

●

Geen of onduidelijke privacyrollen en -verantwoordelijkheden Geen of nauwelijks beheersmaatregelen aanwezig Reactief en sturing n.a.v. incidenten Grote afhankelijkheid van één of enkele privacyfunctionarissen Onbewust onbekwaam Privacyrollen en -verantwoordelijkheden toegewezen Beheersmaatregelen zijn aanwezig, maar worden op informele wijze uitgevoerd Standaarden en formats aanwezig: juist en in duidelijke taal Bewust onbekwaam (Privacy)medewerkers tonen eigenaarschap, d.w.z. dat de rollen en verantwoordelijkheden actief worden opgepakt Beheersmaatregelen worden consistent en gestructureerd uitgevoerd en zijn gedocumenteerd Er wordt aantoonbaar aan verplichtingen voldaan Verwerkingsverantwoordelijke bestuursorganen nemen beslissingen mede op grond van risicoanalyses zoals een DPIA. Er is een duidelijke samenhang met informatiebeveiliging Bewust bekwaam De effectiviteit van beheersmaatregelen wordt periodiek geëvalueerd in een PDCA-cyclus Er wordt proactief geïnformeerd door de proceseigenaar over de realisering van de geconstateerde benodigde verbeteringen in een PDCA-cyclus In een jaarlijkse evaluatie blijkt een correcte PDCA-cyclus Bewust bekwaam Toekomstgericht Proactieve houding van het college en het bestuur Het verantwoordelijk management verzoekt aan de FG om hun verantwoording van een oordeel te voorzien.

Privacy wordt gezien als een vanzelfsprekendheid Er wordt continue gezocht naar verbetering, zoals in de vorm van (interne of externe) tooling Privacy wordt gezien als een kans of unique selling point (USP) Er wordt verbinding gezocht met andere concerndisciplines Kennis en ervaringen worden actief gedeeld met gemeenten en andere relevante organisaties waardoor best practices in gemeenteland ontstaan Onbewust bekwaam

‘’De volgende overwegingen zijn van belang bij deze privacyvolwassenheidsniveaus: ● De proceseigenaren zijn verantwoordelijk voor de uitvoering van de controls en maatregelen en het niveau kan worden bepaald door het management. Het college of een door hen gemandateerde kan het niveau vaststellen. 40

●

●

● ●

60

Niveau 3 wordt beschouwd als het minimumniveau dat bereikt zou moeten worden. Hiermee is niet gezegd dat de gemeente volledig compliant aan de AVG als bij alle controls niveau 3 is bereikt, omdat de maatregelen bij een control niet uitputtend zijn. Niveau 5 is het hoogst haalbare streefniveau. Sommige zaken spelen ook pas een rol als de basis goed op orde is, zoals het gebruik van tooling ter ondersteuning van bepaalde processen. Verder kunnen onderdelen van dit niveau dienen ter inspiratie in de vorige niveaus. Denk bij andere concerndisciplines (niveau 5) bijvoorbeeld aan informatiebeveiliging, informatiebeheer en risicomanagement. De maatregelen of delen van volwassenheidsniveaus kunnen een rol spelen bij een andere lagere niveaus. Zo wordt in niveau 5 een proactieve houding van het college en bestuur gevraagd. Het is natuurlijk mogelijk dat één of beide organen al een proactieve houding hebben, terwijl de gemeente ‘slechts’ bij niveau 2 is’’.60

Informatiebeveiligingsdienst en VNG, Handreiking AVG Borgingsproduct 2.0, 8 maart 2021.

41