B&W 02-02 - bijl.1 - Jaarrapportage gegevensbescherming

JAARRAPPORTAGE GEGEVENSBESCHERMING GEMEENTE SCHIERMONNIKOOG 2024

Sandra van Riet maart 2025

FG Jaarrapportage 2024 Totaaloverzicht van de kaders

2024 Resultaten

Beleid

Processen

Organisatie

Betrokkene

Samenwerking

Gegevensbescherming

Verantwoording

2025 Verwachtingen

Inhoudsopgave INHOUDSOPGAVE ....................................................................................................................................... 3 INLEIDING ........................................................................................................................................................ 4 LEESWIJZER ............................................................................................................................................................ 4 DEEL 1. STATUS PER 31-12-2024 ....................................................................................................................... 5 BELEID................................................................................................................................................................... 5 PROCESSEN ............................................................................................................................................................ 5 ORGANISATIE .......................................................................................................................................................... 5 RECHTEN VAN BETROKKENE .......................................................................................................................................

5 SAMENWERKING ..................................................................................................................................................... 5 GEGEVENBESCHERMING ............................................................................................................................................ 6 VERANTWOORDING ................................................................................................................................................. 6 CONCLUSIE ....................................................................................................................................................... 6 DEEL 2. VOORUITKIJKEN NAAR 2025 EN VERDER ............................................................................................. 7 BELEID................................................................................................................................................................... 7 PROCESSEN ............................................................................................................................................................ 7 ORGANISATIE ..........................................................................................................................................................

7 SAMENWERKING ..................................................................................................................................................... 7 BEVEILIGING ........................................................................................................................................................... 7 VERANTWOORDING ................................................................................................................................................. 7 CONCLUSIE ....................................................................................................................................................... 8 BIJLAGE 1 - STAND VAN ZAKEN AVG PER ONDERWERP .................................................................................... 9

Inleiding De verantwoordelijkheid voor gemeente Schiermonnikoog voor het verwerken van persoonsgegevens van inwoners ligt in hoofdlijnen bij drie bestuursorganen: de burgemeester, het college van B&W en de gemeenteraad. De Functionaris Gegevensbescherming (FG) ziet erop toe dat de gemeente de Algemene Verordening Gegevensbescherming (AVG) naleeft. De FG hoort jaarlijks een verslag uit te brengen van de werkzaamheden, bevindingen en aanbevelingen. Dit is tot op heden nooit eerder uitgevoerd. Gezien het belang van het geven van een update over de stand van zaken, in relatie tot de aandacht die privacy vanaf 2025 gaat krijgen is dit een mooi moment om hiermee te starten. In deze jaarrapportage staat een overzicht van de huidige stand van zaken, opgemaakt in het AVG borgingsproduct van de VNG1. De uitkomsten in dat borgingsproduct is door de aanlevering van bewijsstukken vanuit de contactpersoon voor privacy in gemeente Schiermonnikoog. De resultaten geven helaas een vertekend beeld; er is slechts 1 document als bewijsstuk aangeleverd. Daardoor is voor een groot aantal zaken uit het borgingsproduct niet na te gaan of deze nu wel of niet aanwezig is. Bij de invulling is de FG ervan uitgegaan dat niet aanleveren, betekent niet aanwezig of niet bekend.

Uit deze stand van zaken kunnen actiepunten worden opgemaakt, welke voor het grootste deel bekend zijn en waarop actie is ondernomen door het aannemen van een ondersteunende privacy officer voor alle VAST-eilanden. Deze zal vooral ingezet worden op het op orde krijgen van de algemene basis, daarbij een grote mate van uniformiteit binnen VAST creëren, waardoor het borgen van de basis beter verdeeld en daarmee beter uitvoerbaar wordt.

Leeswijzer Deze jaarrapportage bestaat uit twee onderdelen. In het eerste deel wordt teruggekeken naar 2023. Wat heeft de gemeente bereikt op het gebied van gegevensbescherming? In het tweede deel staan de aanbevelingen om gegevensbescherming en privacy vanaf 2024 naar een hoger niveau te tillen. De thema’s in deze rapport zijn afkomstig uit het AVG borgingsproduct van de VNG: • • • •

Beleid Processen Organisatie Rechten van betrokkenen

• • •

Samenwerking Beveiliging Verantwoording

Het borgingsproduct bevat thema’s, criteria en maatregelen die de AVG vertalen naar een kwaliteitscyclus voor gegevensbescherming en privacy voor gemeentelijke processen. In bijlage 1 staat per thema aangegeven in hoeverre de gemeente de criteria heeft geïmplementeerd, of waarvan niet bekend is dat de gemeente deze heeft geïmplementeerd.

1

Zie het document ‘Criteria borging AVG / Borgingsproduct gegevensbescherming in de gemeentelijke organisatie’, link.

Deel 1. Status per 31-12-2024 Beleid Het privacybeleid is een kader waarin gemeente Schiermonnikoog aangeeft aan welke principes zij zich houdt bij het verwerken van persoonsgegevens. Het laat zien hoe de gemeente omgaat met persoonsgegevens en welke maatregelen zij treft om te voldoen aan de relevante wet- en regelgeving. De gemiddelde score op Beleid in het borgingsproduct is 1%. Hiervan is dus de status niet vast te stellen door het niet aanleveren van bewijsstukken.

Processen Het verwerken van persoonsgegevens van gemeente Schiermonnikoog moet voldoen aan de AVG. Dit houdt in dat de gemeente de werkprocessen, waarbinnen met persoonsgegevens wordt gewerkt, moet inrichten volgens de beginselen vanuit de AVG: behoorlijkheid, transparantie, doelbinding, dataminimalisatie, opslagbeperking, juistheid, integriteit en vertrouwelijkheid. Daarnaast is de gemeente bij risicovolle verwerkingen verplicht om een DPIA2 uit te voeren. De gemiddelde score op Processen in het toetsingsproduct is 14%. Er is een verwerkingsregister aangeleverd, waarin ook bewaartermijnen zijn opgenomen. Of er DPIA’s zijn uitgevoerd en of er bewaarbeleid is vastgesteld, is niet te zeggen.

Organisatie Voor een goede en juiste uitvoering is het van belang dat iedereen binnen de organisatie op de hoogte is van de beginselen van de AVG en het belang van privacy. Organisatorische inbedding betekent het toewijzen van taken, verantwoordelijkheden en bevoegdheden en bewustzijn creëren. De score op Organisatie is 68%. Een redelijke score, die met blijvende aandacht voor privacy kan worden vastgehouden of verder worden verbeterd. Zeker door de toevoeging van een privacy officer die extra inzet garandeert, kunnen hierin grote stappen gezet worden. Daarnaast gaat het vergroten van privacybewustzijn ook veel impact geven.

Rechten van betrokkene Gemeente Schiermonnikoog informeert degene waarover zij de persoonsgegevens verwerkt (de betrokkene) zowel actief als passief over het verwerken, de grondslag en de maatregelen tegen onrechtmatige toegang en verwerking. Daarnaast faciliteert de gemeente de betrokkenen in het uitoefenen van hun rechten op bijvoorbeeld inzage, correctie en verwijderen van hun persoonsgegevens. De score op Rechten van betrokkene is 65%. Dit is een redelijke score die vastgehouden kan worden in 2025.

Samenwerking Als er binnen een gemeente op meerdere beleidsterreinen, in verschillende bedrijfsfuncties, in diverse rollen en hoedanigheden samen wordt gewerkt met (mede) overheden en private organisaties, is er vaak sprake van het verwerken van persoonsgegevens tussen partijen. Het ontvangen, verzenden, maar ook het opslaan en raadplegen van persoonsgegevens valt hieronder. Deze verwerkingen moeten voldoen aan de AVG. De gemeente moet dan ook afspraken vastleggen hierover met deze andere partijen.

2

DPIA staat voor een Data Protectie Impact Assessment. Dit is een onderzoek om de privacy risico’s van gegevensverwerkingen in kaart te brengen. En de maatregelen om deze risico’s en dilemma’s weg te nemen of te verkleinen.

De score op Samenwerking in het toetsingsproduct is 45%; wat resulteert in een oranje score. Dit is vooral omdat het tweede onderdeel, gegevensverstrekking, 0% heeft gehaald. Er is geen documentatie aangeleverd, waardoor de FG geen controle hierop heeft kunnen uitvoeren. Dit zal ongetwijfeld bij een volgende rapportage een andere score opleveren.

Gegevensbescherming Vanuit het algemene behoorlijkheids-, het integriteits- en het vertrouwelijkheidsbeginsel is het essentieel dat gemeente Schiermonnikoog passende technische en organisatorische maatregelen neemt ter beveiliging van persoonsgegevens. De score op beveiliging in het toetsingsproduct is 36%. Gemeente Leeuwarden verleent Informatiebeveiliging als een dienst aan gemeente Schiermonnikoog. Momenteel is er nog geen GAP-analyse (nulmeting) aanwezig van Informatiebeveiliging. Gemeente Schiermonnikoog maakt gebruik van de SSC-werkplek, welke gehost wordt door gemeente Leeuwarden. Hierdoor hoeven niet alle normen uit de Baseline Informatiebeveiliging Overheid (BIO) verantwoord te worden. In 2025 zal er een GAP-analyse ten behoeve van Informatiebeveiliging gemaakt worden en zullen de normen, welke betrekking hebben op de SSC-werkplek, gecombineerd worden met de overige normen zodat gemeente Schiermonnikoog goede inzage heeft omtrent het volwassenheidsniveau van Informatiebeveiliging.

Verantwoording De gemeente zelf is verantwoordelijk voor het aantonen dat deze voldoet aan de privacyregels. Door te voldoen aan de verantwoordingsplicht, levert gemeente Schiermonnikoog een belangrijke bijdrage aan de bescherming van betrokkenen op het gebied van privacy. Dit betekent dat het college van B&W, de burgemeester en de gemeenteraad moeten kunnen aantonen dat de verwerkingen van persoonsgegevens voldoen aan de beginselen van de AVG en aan de relevante andere wet- en regelgeving. De score op Verantwoording in het toetsingsproduct is 50%; wederom een oranje score. Dit komt doordat het management geen periodieke controle uitvoert over het naleven van de AVG binnen de eigen processen. Ook de FG heeft tot op heden toezicht niet uitgevoerd, waarmee de naleving van de AVG gecontroleerd kan worden, noch jaarlijks een rapportage opgeleverd.

Conclusie Er zijn zeker aandachtspunten voor de organisatie om aantoonbaar te voldoen aan de AVG. Die zijn via deze rapportage wel duidelijk geworden. Daarbij is de lage score in veel gevallen veroorzaakt door de afwezigheid van bewijslast. Doordat er sinds begin maart 2025 een extra privacy officer is aangetrokken, die de VAST-eilanden gaat ondersteunen bij het op orde krijgen van de basis, is een aantal verbeteringen nu al zichtbaar. De uitdaging gaat liggen in het borgen van de inzet op privacy, waardoor de basis op orde blijft. En er mogelijk ruimte ontstaat voor groei en ontwikkeling.

Deel 2. Vooruitkijken naar 2025 en verder Gegevensbescherming onderdeel laten zijn van de processen en de systemen van de gemeente en daarmee aantoonbaar voldoen aan privacywetgeving, is een continu proces. Het vraagt om structurele borging van dit onderwerp. Dat zal de uitdaging zijn voor niet alleen gemeente Schiermonnikoog, maar voor alle VAST-eilanden. Hieronder is per onderdeel vanuit het borgingsproduct een aantal aanbevelingen aangegeven. Deze kunnen niet allen in 2025 worden verbeterd. Het is aan de organisatie om daarin bewuste keuzes te maken.

Beleid •

Zorg voor het vaststellen van rollen, taken en verantwoordelijkheden op het gebied van privacy en maak dat verder bekend in de organisatie. Dit gaat helpen om privacy tot in de haarvaten van de organisatie te krijgen;

•

Zorg ervoor dat processen en procedures aantoonbaar aangepast zijn aan het privacy beleid.

Processen • • • •

Zorg ervoor dat waar nodig, een DPIA wordt uitgevoerd; Zorg voor het op orde krijgen en houden van het Register van Verwerkingen. Zorg voor kennis over en toepassing van de bewaartermijn en vernietiging van documenten; Zorg dat bij nieuwe projecten (of wijzigingen in projecten) de AVG, Informatiebeveiliging, de Wet open overheid (Woo) en de Archiefwet een vast onderdeel zijn.

Organisatie • •

Zorg voor een bewustzijnsplan voor de gemeente; Zorg voor privacy bewustzijn als onderdeel van onboarding. Zo heeft iedere nieuwe medewerker dezelfde basis op het gebied van privacy en informatiebeveiliging;

Samenwerking •

•

Zorg voor duidelijkheid rondom de inzet en opslag van (verwerkers)overeenkomsten. Het is belangrijk voor het toezicht dat er een centrale plaats is waar alle overeenkomsten worden opgeslagen; Zorg voor een uniforme werkwijze rondom de opslag van deze overeenkomsten en communiceer deze werkwijze bij de betrokken afdelingen en functies.

Beveiliging • •

Zorg voor periodiek overleg met de CISO, waardoor informatiebeveiliging regelmatig wordt besproken; Zorg voor beleid, toezicht en communicatie rondom het aanvaardbaar gebruik van bedrijfsmiddelen;

Verantwoording • •

Zorg voor periodiek overleg met de FG, waardoor privacy regelmatig wordt besproken; Zorg ervoor dat de FG in staat wordt gesteld toezicht uit te voeren.

Conclusie Op het gebied van privacy en gegevensbescherming is er in 2025 flinke winst te behalen. Met name informatiebeveiliging en het gebruiken en bewaren van persoonsgegevens verdient komend jaar extra aandacht. Dit begint vooral bij bewustwording. Weten wat er kan en mag en daarmee ook, wat er niet kan en mag. Daarom zou ook extra ingezet moeten worden op het vergroten van bewustzijn via diverse programma’s. Door ook op het gebied van informatiebeveiliging regelmatig een update te geven, kan er meer grip ontstaan. Dat is ook nodig; de techniek verandert snel en als organisatie heb je de verantwoordelijkheid om de persoonsgegevens van de inwoners zo goed mogelijk te beveiligen. Ten slotte is het goed om een bepaald niveau van privacy volwassenheid te ambiëren. Het Centrum voor Informatiebeveiliging en Privacy heeft een privacy volwassenheidsmodel ontwikkeld, waarbij er 5 verschillende niveaus te behalen zijn. Het niveau om aan de minimale bepalingen vanuit de AVG te voldoen is niveau 3. Gezien de verbeterpunten die er op dit moment zijn op het gebied van informatiebeveiliging, privacy en bewustwording, is het meer dan voldoende om te groeien naar niveau 3. Dat geeft de tijd en ruimte om een aantal zaken goed te borgen.

Bijlage 1 - Stand van zaken AVG per onderwerp Dit is het dashboard dat voortkomt uit het invullen van het Borgingsproduct van de VNG. Het Borgingsproduct beschrijft precies wat geregeld moet zijn om als organisatie aan de AVG te voldoen. Per onderdeel leidt het antwoord op de vragen tot een percentage. Dat percentage geeft vervolgens aan in hoeverre de organisatie voldoet aan dat specifieke onderdeel. Op dit moment wordt de vragenlijst gemeentebreed ingevuld. Om tot een score te komen die inzage geeft in een sector of zelfs een team, zouden de hoofdstukken 2, 4, 5 en 6 door de verschillende managers ingevuld moeten worden. Par 1.

Titel Beleid

1.1

Beleid vaststellen

1.2

Privacybeleid

1.3 2.

Verantwoordelijkheden Processen

2.1

Werkprocessen

2.2

Verwerkingsregister

2.3

Pre-DPIA's

2.4

DPIA's

2.5

Bewaar- en vernietigingsbeleid

3.

Organisatorische inbedding

3.1

Privacyteam

3.2

Aanstelling, positie en taken FG

3.3

Informeren OR

3.4 4.

Bewustwording Rechten van betrokkenen

4.1

Recht op informatie

4.2

Processen rechten van betrokkenen

4.3

Toestemming

4.4

Geautomatiseerde individuele besluitvorming

4.5

Websites en applicaties

4.6 5.

Technische ondersteuning Samenwerking

5.1

AVG rollen

5.2 6.

Gegevensverstrekking Gegevensbescherming

6.1

Risico's

6.2

Gegevensbescherming door ontwerp

6.3

Gegevensbescherming door standaardinstellingen

6.4

Informatiebeveiliging

6.5 7.

Privacyincidenten en datalekken Verantwoording

7.1

Evaluatie naleving AVG

7.2

Evaluatie informatiebeveiliging

7.3

Rapportage

Percentage 1% 0% 0% 4% 14% 0% 28% 0% 5% 29% 68% 13% 89% 100% 30% 65% 60% 75% 0% 35% 67% 100% 45% 71% 0% 36% 0% 88% 75% 53% 17% 50% 33% 100% 0%