RA 21 096 Bijlage 2 Bestuurlijke reactie Rekenkameronderzoek Privacy in het Sociaal Domein.pdf

uw kenmerk uw brief van ons kenmerk

21.099371

inlichtingen bij doorkiesnummer

Sociaal Domein Bedrijfsvoering Sociaal Domein

Rekenkamer Rijswijk Postbus 5303 2280 HH RIJSWIJK

Stadhuis, Bogaardplein 15 Postbus 5305, 2280 HH Rijswijk Telefoon 14 070 Fax (070) 326 10 10 stadhuis@rijswijk.nl www.rijswijk.nl iban BNG: NL15BNGH0285007424

betreft

Bestuurlijke reactie rekenkameronderzoek Privacy en Informatieveiligheid in het sociaal domein'

datum bijlage(n)

Geachte leden van de Rekenkamercommissie, De Rekenkamer Rijswijk heeft het college van burgemeester en wethouders uitgenodigd een bestuurlijke reactie te geven op haar rapport 'Privacy en Informatieveiligheid in het sociaal domein'. Het doel van het onderzoek is om inzicht te verkrijgen in de huidige staat van de bescherming van persoonsgegevens bij de gemeente Rijswijk en de gevolgen hiervan, alsmede het formuleren van verbeteracties. U heeft naar aanleiding van de resultaten van het onderzoek vier aanbevelingen gedaan om de gegevensbescherming van inwoners te verbeteren. Het college heeft met belangstelling uw onderzoeksrapport en uw aanbevelingen gelezen. Wij herkennen ons in grote lijnen in het beeld dat u schetst. Uw bevindingen bevestigen ons inzicht dat we zorgvuldig zijn met de bescherming van persoonsgegevens. Ondanks dat het rapport een positief beeld schetst, vraagt de verregaande digitale ontwikkeling dat we hier permanent actief op blijven inzetten. Uw onderzoek bevestigt grotendeels onze ideeën over wat goed gaat en wat beter kan en wat onze aandacht behoeft. Dit beeld kwam ook naar voren uit de aanbevelingen uit de jaarrapportage 2020 van de Functionaris Gegevensbescherming en het informatiebeveiligingsplan van de adviseur informatiebeveiliging.

Wij bedanken de Rekenkamer voor het onderzoek en zien in deze rapportage aanknopingspunten om de aanbevelingen waar nodig en mogelijk met nog meer urgentie op te pakken. Onderstaand gaan wij nader in op uw aanbevelingen. Verschillende aanbevelingen zijn reeds in gang gezet. Wij zijn voornemens om ook aan de overige aanbevelingen gevolg te geven.

Reactie op de aanbevelingen Aanbeveling: Geef meer aandacht aan opleiding en training van (externe) medewerkers in het sociaal domein op het vlak van privacy. S.v.p. bij correspondentie datum en kenmerk van deze brief vermelden

Het stadhuis is te bereiken met tram 17,

en richten aan: Gemeente Rijswijk, SD/BVSD, Postbus 5305, 2280 HH

bus 22, 23, 30, 50 en 51

Rijswijk

pagina 1 van 3

In het sociale domein worden dikwijls gevoelige persoonsgegevens verwerkt. Opleiding en training op het vlak van privacy van medewerkers is essentieel om zorgvuldig met persoonsgegevens om te kunnen gaan, volgens de vereisten die de AVG voorschrijft. Besteed hier (nog) meer aandacht aan en heb daarbij specifiek oog voor externe medewerkers. Reactie: Voor iedere nieuwe medewerkers, zowel intern als extern, is per maart 2021 de training AVG Security Awareness 2021 verplicht gesteld. In het sociaal domein is, meer dan in de rest van de organisatie, behoefte aan extra opleiding en training om de principes van privacy in concrete situaties toe te passen. Hier zal in 2022 aandacht aan besteed worden. Aanbeveling: Monitor als college op welke wijze het lijnmanagement verbeterpunten oppakt. Op dit moment is er onvoldoende zicht op de mate waarin leidinggevenden incidenten en verbeterpunten oppakken, terwijl dit wel van wezenlijk belang is in het kader van leren en verbeteren. We bevelen aan dat de Functionaris Gegevensbescherming (FG) dit als onderdeel van zijn jaarverslag monitort en hierover rapporteert. Reactie: In de jaarrapportage van de Functionaris Gegevensbescherming geeft de FG inzicht in de mate waarin de gemeente Rijswijk aan de AVG voldoet en de belangrijkste resultaten van dat jaar. Ook wordt vooruitgekeken naar de werkzaamheden en uitdagingen voor het volgend jaar.

De rapportage is vertaald naar concrete adviezen en acties die in de teams zijn uitgezet. In de rapportage 2021 zal nader worden ingegaan op de opvolging hiervan. Aanbeveling: Voer op basis van dit onderzoek een aantal verbeterpunten uit om de privacy van inwoners nog beter te borgen. Het college kan met een aantal concrete verbeterpunten de privacy van de inwoners beter borgen. Daarbij gaat het bijvoorbeeld om het schriftelijk vastleggen van (mondelinge) toestemming voor het gebruik van persoonsgegevens, het gebruiksvriendelijk, beveiligd communiceren met burgers en het verbeteren van de organisatie brede functie-autorisatiematrix. Het is aan de Functionaris Gegevensbescherming (FG) en de Chief Information Security Officer (CISO) om te blijven monitoren of dergelijke verbeterpunten opgepakt worden. Reactie: Er is door de privacy jurist een advies opgesteld over de wijze waarop dient te worden omgegaan met het vragen naar en vastleggen van toestemming voor het gebruik van persoonsgegevens. Deze richtlijn wordt in 2022 geïmplementeerd. De adviezen met betrekking tot informatiebeveiliging worden opgenomen in het informatiebeveiligingsplan.

Aanbeveling: Versterk de rol van de raad bij het privacy- en informatiebeveiligingsbeleid. Het college en de raad hebben elkaar nodig om kaders te stellen op het vlak van privacy- en informatiebeveiliging, zodat de raad het college goed kan sturen en controleren. De raad moet hierbij actiever toezien op de borging van deze onderwerpen, in plaats van vooral incidentgericht te reageren. Privacy is immers meer dan alleen een bedrijfsvoeringsaangelegenheid. Hiervoor is het nodig dat het college de raad actief meeneemt in de thema’s privacy en informatieveiligheid, zodat de raad ook daadwerkelijk zijn controlerende en toezichthoudende rol kan vervullen en erop kan toezien dat privacybescherming goed geborgd is. Reactie: Met de gemeenteraad is tot op heden de afspraak gemaakt dat verantwoording over informatiebeveiliging middels de jaarstukken geschiedt. Vanuit de auditcommissie is het verzoek 21.099371

16-12-2021 16:07

pagina 2 van 3

gekomen de commissie en de gemeenteraad te informeren over de ontwikkelingen op het gebied van informatiebeveiliging. Een bijeenkomst hierover is echter als gevolg van de coronamaatregelen uitgesteld. Met de griffie zal naar een nieuwe datum worden gekeken. In deze bijeenkomst kan nader worden ingegaan op de wijze waarop de raad betrokken wil worden bij het thema privacy en informatieveiligheid.

21.099371

Met vriendelijke groet, burgemeester en wethouders, de secretaris,

de burgemeester (wnd),

P.M. Schuit

mr.drs. G.A.A. Verkerk

16-12-2021 16:07

pagina 3 van 3