B&W 02-01 - Raadsbrief - Jaarrapportage privacy 2024

Aan de gemeenteraad

Jaarrapportage privacy 2024

Geachte leden van de raad,

In deze brief informeren wij u over de bevindingen van de Functionaris Gegevensbescherming over 2024.

Aanleiding Onder verantwoordelijkheid van zowel het college van burgemeester en wethouders, de burgemeester, als de gemeenteraad (griffie) vindt een groot aantal verwerkingen van persoonsgegevens plaats. Daar vindt extern en intern toezicht op plaats. De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacyregels in Nederland. De Functionaris Gegevensbescherming (FG) ziet erop toe dat intern de Algemene verordening gegevensbescherming (AVG) wordt nageleefd. De uitvoerende taken liggen bij de Privacy Officer (PO). De FG brengt jaarlijks, voor het eerste voor het jaar 2024, een verslag uit van haar bevindingen en doet hierin aanbevelingen. Het jaarverslag is bedoeld voor zowel de directie als de bestuursorganen van de gemeente. In deze jaarrapportage staat beschreven welke acties en maatregelen de gemeente in 2024 heeft genomen om de doelstellingen en beginselen uit de AVG te behalen en te waarborgen. Ook bevat dit document aandachtspunten en actiepunten. Adequaat omgaan met persoonsgegevens is een blijvend proces en zal dan ook aandacht blijven vergen van zowel bestuur, management als medewerkers.

FG-jaarverslag 2024 De Functionaris Gegevensbescherming (FG) doet verslag van haar bevindingen naar aanleiding van het in 2024 uitgevoerde toezicht in het kader van de Algemene Verordening Gegevensbescherming (AVG). Als norm en meetlat fungeert daarbij het AVG-borgingsproduct van de Vereniging Nederlandse Gemeenten (normenkader)1. De FG constateert met tevredenheid dat o.a. de volgende stappen zijn gezet:

1

•

Met behulp van de E-learning ARDA is organisatie breed gewerkt aan het vergroten van het bewustzijn rond informatiebeveiliging en privacy;

•

Een deel van de begrote ondersteuning voor privacy en informatiebeveiliging is gebruikt om een extra privacy officer in te zetten en zo de organisatie te ondersteunen bij het verbeteren van gegevensbescherming.

•

Deze extra privacy officer heeft al een aantal zaken opgepakt, die als aanbeveling waren aangegeven.

Zie het document ‘Criteria borging AVG / Borgingsproduct gegevensbescherming in de gemeentelijke organisatie’, link.

Aanbevelingen De aanbevelingen in het FG-jaarverslag gaan vooral over het bereiken van meer medewerkers met bewustwordingsacties en het optimaliseren van processen en het nog verder inbedden hiervan in de organisatie. Voor 2025 heeft de FG de volgende aanbevelingen gedaan:

• • •

Het huidige privacy beleid aanpassen en taken, rollen en verantwoordelijkheden op het gebied van privacy vaststellen; In blijven zetten op het verhogen van het privacy en informatiebeveiligingsbewustzijn; Aandacht voor het Register van verwerkingen en het uitvoeren en herzien van risico inventarisaties; de DPIA’s (Data Protectie Impact Analyse).

Hieronder wordt aangegeven welke acties het college heeft gedaan naar aanleiding van deze aanbevelingen: • Het huidige privacy beleid aanpassen en governance vaststellen Het huidige privacy beleid is opgesteld op het moment van inwerkingtreding van de AVG. Het beleid past niet meer geheel bij de uitdagingen van de organisatie op het gebied van gegevensbescherming. De verwachting is dat het aangepaste privacy beleid en de governance in het 4e kwartaal van 2025 kan worden vastgesteld.

• Aandacht voor privacy en informatiebeveiligingsbewustzijn Kennis, houding en gedrag (awareness) zijn nog steeds de belangrijkste pijlers in de privacybescherming. Hierin is in 2024 verder geïnvesteerd, onder andere via Arda. Het blijft een uitdaging om alle collega’s te bereiken en ervoor te zorgen dat ook nieuwe medewerkers aangehaakt blijven. Het contract met Arda loopt eind 2025 af; een aanbesteding volgt dan ook voor 2026 en verder. Informatiebeveiliging krijgt ook de aandacht die het verdient, door het contact met de CISO (Chief Information Security Officer) te vergroten en het laten uitvoeren van een GAP-analyse.

• Aandacht voor het Register van verwerkingen en het uitvoeren en herzien van DPIA’s Onder leiding van de tijdelijke privacy officer is het Register van verwerkingen herzien en wordt geactualiseerd. Naast het herzien van het Register wordt beoordeeld voor welke processen nog een DPIA moet worden uitgevoerd. Vervolgens wordt via een plan van aanpak vastgesteld hoe de uitvoering vorm wordt gegeven.

FG-aanbevelingen voor 2025 en verder Het is belangrijk dat gemeente Schiermonnikoog blijft bouwen aan het fundament dat als basis dient voor een betrouwbare overheid. Specifieke aandacht zal dan ook moeten gaan naar het verder integreren van gegevensbescherming in de organisatie en het blijvend verhogen van het privacybewustzijn van zowel het bestuur en management als de medewerkers.

De belangrijkste aanbevelingen van de FG zijn: •

Richt een helder systeem in waardoor de verantwoordelijkheden voor privacy en informatieveiligheid duidelijk zijn belegd en de periodieke monitoring van het juist gebruik van persoonsgegevens wordt toegepast.

•

Blijf aandacht geven aan het vergroten van bewustzijn op het gebied van gegevensbescherming door het aanbieden van verschillende vormen van opleiding.

Opvolging aanbevelingen Wij zullen uitvoering geven aan de aanbevelingen van de Functionaris Gegevensbescherming. Voor een aantal van de aanbevelingen zijn al de nodige acties uitgezet. Via het volgende FG-jaarverslag zult u worden geïnformeerd over de acties en verbetermaatregelen van het college in 2025.

Hoogachtend,

burgemeester en wethouders Gemeente Schiermonnikoog,

burgemeester.

secretaris. {{Signer2}}

*Dit document is rechtsgeldig digitaal ondertekend.