Document · PDF

R - 11 Bijlage Jaarverslag FG 2024 v4

Gemeenteraad 11 september 2025, gemeente SomerenBij agendapunt: Ter informatie7.762 woorden

Open het PDF bij iBabs ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

FG Jaarverslag (AVG en WPG) Gemeente Someren 2024

Doel

Verantwoording afleggen over de genomen maatregelen en de voortgang van gegevensbescherming binnen de organisatie. Inzicht geven in de naleving van de AVG en WPG, inclusief verbeterpunten en aandachtspunten voor de komende periode. Bewustwording creëren binnen de organisatie over het belang van privacy en gegevensbescherming. Risico's en uitdagingen identificeren die van invloed kunnen zijn op de veilige verwerking van persoonsgegevens. Transparantie waarborgen richting het college, de gemeenteraad en andere belanghebbenden over de uitvoering van privacybeleid en informatiebeveiliging.

Dit jaarverslag biedt een evaluatie van de ontwikkelingen en prestaties op het gebied van privacy en gegevensbescherming binnen de gemeente en dient als basis voor verdere verbetering en optimalisatie van de processen in het komende jaar.

Opbouw van het verslag Voorheen bestonden er voor de AVG twee verschillende formats voor het jaarverslag: één gericht op het College van B&W en één voor de gemeenteraad. In de praktijk blijkt echter dat de Functionaris voor de Gegevensbescherming (FG) één verslag opstelt voor de gehele gemeente, waarin zowel de AVG als de WPG worden behandeld. Om de verschillen in wetgeving duidelijk te maken, is ervoor gekozen om het verslag op te splitsen in drie delen: •

• •

Deel A: Algemene Verordening Gegevensbescherming (AVG) - Behandelt de naleving van de AVG, inclusief DPIA’s, het Register van Verwerkingen en incidentbeheer. Deel B: Wet Politiegegevens (WPG) - Beschrijft de naleving van de WPG en de getroffen maatregelen om te voldoen aan de wettelijke eisen. Deel C: Ontwikkelingen en toekomstperspectief - Bespreekt belangrijke externe ontwikkelingen die impact hebben op gegevensbescherming binnen de gemeente, zoals de AI Act.

De WPG vereist expliciet een jaarverslag, terwijl voor de AVG het opstellen van een jaarverslag een best practice is. Door beide onderwerpen in één verslag te combineren, wordt het ambtelijke en bestuurlijke proces efficiënter.

Vergelijking van de wetgeving: Wetgeving AVG Artikel Artikel 38 lid 3 AVG Omschrijving De Functionaris voor Gegevensbescherming brengt rechtstreeks verslag uit aan de hoogste leidinggevende van de verwerkingsverantwoordelijke of de verwerker.

WPG Artikel 34 lid 3 WPG De privacyfunctionaris stelt jaarlijks een verslag op van zijn bevindingen (artikel 36 lid 4 WPG).

Toelichting: De WPG benoemt expliciet de verplichting van een jaarverslag, terwijl voor de AVG het opstellen van een jaarverslag meer als een best practice wordt beschouwd. Het opstellen van een gezamenlijk verslag voor beide wetgevingen versterkt de rol van de FG binnen de organisatie en maakt het proces zowel intern als extern efficiënter.

Inhoudsopgave 1. Doel .................................................................................................................................................. 1 2. Inleiding ........................................................................................................................................... 5 3. Managementsamenvatting .............................................................................................................. 5

Deel A.

AVG ........................................................................................................................ 5

4. Voortgang 2023 – 2024.................................................................................................................... 6 5. Terugblik op 2024 ............................................................................................................................ 7 6. Vooruitblik op 2025 ......................................................................................................................... 8 7. Gegevensbescherming en verantwoording beleid .......................................................................... 9 8. Overzicht per thema en verbeterpunten 2025 .............................................................................. 10 Conclusie en acties voor 2025 ................................................................................................................. 13

Deel B. 9. 10. 11. 12. 13.

Deel C.

WPG ..................................................................................................................... 15

Inleiding ......................................................................................................................................... 15 Dashboard naleving Wet politiegegevens (Wpg) – Gemeente Someren....................................... 15 Taak van de FG ............................................................................................................................... 16 Bevindingen 2024 .......................................................................................................................... 17 Vooruitblik op 2025 – Wet politiegegevens (Wpg) ........................................................................ 19

Ontwikkelingen ................................................................................................ 22

14. Wet- en Regelgeving ...................................................................................................................... 22 15. Dreigingsbeeld IBD ......................................................................................................................... 23 16. Ontwikkelingen in AI en Algoritmes ............................................................................................... 24 Aandachtspunten voor 2025 op het gebied van AI-toepassingen .......................................................... 24

Jaarverslag Gegevensbescherming Gemeente Someren

Datum: 22 april 2025

Functionaris Gegevensbescherming: Natascha Westen

Inleiding

Het doel van dit jaarverslag is om inzicht te geven in de wijze waarop de Gemeente Someren invulling geeft aan haar wettelijke verplichtingen op het gebied van gegevensbescherming en informatiebeveiliging, conform de Algemene Verordening Gegevensbescherming (AVG) en de Wet Politiegegevens (Wpg). Dit verslag dient als verantwoording en als instrument om verbeterpunten te signaleren en prioriteiten te bepalen voor verdere verbetering. Door het verslag op te splitsen in AVG, Wpg en Ontwikkelingen wordt een duidelijke scheiding aangebracht tussen de verschillende aandachtsgebieden en hun impact op de gemeente. 3.

Managementsamenvatting

In 2024 heeft de gemeente Someren enkele stappen gezet richting verbetering van gegevensbescherming, zoals het actualiseren van de privacyverklaring, het opstarten van een DPIA-proces en meer aandacht voor datalekregistratie. Tegelijkertijd blijven er fundamentele uitdagingen bestaan, met name op het gebied van structurele DPIAuitvoering, een actueel verwerkingsregister en lage trainingsdeelname. Belangrijkste bevindingen: • • • • •

AVG-naleving: Het DPIA-proces is gestart, maar structurele toepassing en opvolging van maatregelen ontbreken. Het verwerkingsregister is onvolledig. Datalekbeheer: Inconsistentie in meldingen en opvolging; risico’s worden onvoldoende geëvalueerd. Privacybewustzijn: Wekelijkse quizvragen via Sir Askalot zijn ingevoerd, maar slechts 43% van de medewerkers volgde de training. In 2024 is een externe audit uitgevoerd conform de Regeling audit politiegegevens. De hercontrole is afgerond en het definitieve assurancerapport is inmiddels beschikbaar. Nieuwe wetgeving: De komst van de Wet gegevensuitwisseling sociale domein (WGS) en de Europese AI Act vraagt om voorbereiding, vooral bij inzet van algoritmes.

Deel A. AVG Het AVG-dashboard geeft een overzicht van de voortgang van de gemeente in de naleving van de AVG. Het gebruikt een stoplichtrapportage om te laten zien waar actie vereist is, en waar de gemeente goed presteert. 2023 – 2024

Thema

2023

Toelichting 2023

2024

Toelichting 2024

DPIA’s

🔴 Rood

Datalekkenbeheer

🔴 Rood

Training en Bewustwording

Trainingen 🟠 Oranje beschikbaar, maar deelname en effectiviteit niet gemeten.

Geen enkele DPIA uitgevoerd, ondanks eerdere signalen van risicovolle verwerkingen. Register was onvolledig en niet structureel onderhouden. Incidenten werden niet altijd op tijd gemeld, registraties niet uniform.

Eén DPIA uitgevoerd 🟠 Oranje (leerlingenvervoer), begin gemaakt met standaardaanpak.

🔴 Rood

Onvolledig, geen updatecyclus en geen duidelijke verantwoordelijkheid. Het datalekproces vertoont in 🔴 2024 tekortkomingen. Rood Registratie vindt plaats, maar niet systematisch. Evaluatie en trendanalyse ontbreken, en het huidige register voldoet niet aan de inrichtingseisen van de AVG. Verdere structurering wordt aanbevolen. 43% deelname aan training, 🟠 Oranje geen effectiviteitsmeting, bewustzijn blijft laag.

Legenda

Þ 🔴 (Rood) = Actie vereist/ onvoldoende prestaties Þ 🟠 (Oranje) = Verbetering zichtbaar, maar aandacht nodig Þ 🟢 (Groen) = Op orde/ goed presterend 4.

Voortgang 2023 – 2024

In de periode 2023–2024 zijn binnen de gemeente Someren verschillende stappen gezet op het gebied van AVG-naleving. Tegelijkertijd blijft een structurele verankering van privacyprocessen in veel onderdelen achter. Hieronder worden vier kritieke thema’s toegelicht die bepalend zijn voor de privacyvolwassenheid van de organisatie. DPIA’s (Data Protection Impact Assessments) 2023: In 2023 is er geen enkele DPIA uitgevoerd, ondanks het feit dat diverse verwerkingen als risicovol kunnen worden beschouwd (zoals cameratoezicht of CityControl). Daarmee werd niet voldaan aan de verplichting uit artikel 35 AVG.

2024: In 2024 is een eerste DPIA uitgevoerd op het proces leerlingenvervoer. Dit is een belangrijke stap vooruit, maar het ontbreekt aan een gestandaardiseerde DPIA-aanpak. Opvolging van maatregelen en betrokkenheid van de FG blijven afhankelijk van losse initiatieven. Register van Verwerkingen 2023: Het register van verwerkingen was in 2023 onvolledig en niet up-to-date. Veel gemeentelijke verwerkingen waren niet opgenomen, en er was geen vastgelegd proces voor actualisatie. 2024: In 2024 is de situatie grotendeels onveranderd gebleven. Het register van verwerkingen is fragmentarisch en niet actueel. Er is geen verantwoordelijke per afdeling aangewezen. Daarnaast worden nieuwe of gewijzigde verwerkingen niet systematisch geregistreerd of bijgewerkt. Datalekkenbeheer 2023: In 2023 was er wel een protocol aanwezig voor datalekken, maar dit werd onvoldoende nageleefd. Incidenten werden niet tijdig gemeld, en documentatie over oorzaak en impact was onvolledig. Ook de meldingen aan de Autoriteit Persoonsgegevens waren inconsistent. 2024: Ook in 2024 blijven meldingen ad hoc plaatsvinden. Er is geen gestandaardiseerd registratiesysteem en geen uniforme werkwijze voor beoordeling, opvolging of evaluatie van incidenten. Een structurele analyse van trends ontbreekt volledig.

Training en bewustwording 2023: De gemeente bood trainingen over privacy en gegevensbescherming aan, maar deelname werd niet geregistreerd en de effectiviteit niet geëvalueerd. Privacy was onvoldoende verankerd in het dagelijks werk. 2024: In 2024 heeft 43% van de medewerkers de Sir Askalot-training gevolgd. De deelnamegraad blijft beperkt en toetsing ontbreekt. Hierdoor is er geen zicht op de mate waarin medewerkers de aangeboden kennis hebben begrepen of toegepast. 5.

Terugblik op 2024

De AVG-verplichtingen zijn wettelijk vastgelegd en vereisen een structurele en aantoonbare aanpak. Uit de evaluatie van dit jaar blijkt dat verschillende kernthema’s onvoldoende zijn ontwikkeld of geborgd in de organisatie. Positief is dat er een eerste DPIA is uitgevoerd (leerlingenvervoer), waarmee de gemeente invulling is gaan geven aan artikel 35 AVG. Ook is het privacybeleid formeel vastgesteld en is de privacyverklaring herzien. Toch blijkt uit de praktijk dat deze stappen vaak niet worden vertaald naar concrete uitvoering binnen werkprocessen. Het register van verwerkingen is ook in 2024 niet op orde. De gemeente maakt gebruik van een vooringevuld register, opgesteld in samenwerking met de

Informatiebeveiligingsdienst (IBD), Open State Foundation en Privacy Management Partners. Nieuwe verwerkingen worden niet consequent geregistreerd en er is geen duidelijke toewijzing van verantwoordelijkheden per afdeling. Dit betekent dat de gemeente onvoldoende grip heeft op welke persoonsgegevens worden verwerkt, met welk doel en op basis van welke grondslag. In 2024 zijn meerdere datalekken geregistreerd binnen de gemeente. Drie van deze meldingen zijn volledig afgehandeld, terwijl één datalek op het moment van verslaglegging (31 december 2024) nog in behandeling was. Hoewel registratie plaatsvindt, ontbreekt een uniforme aanpak voor de documentatie, evaluatie en opvolging van incidenten. Dit belemmert het verkrijgen van inzicht in trends en het nemen van preventieve maatregelen. Op het gebied van bewustwording is het trainingsaanbod verbeterd, onder meer via de Sir Askalot-training. Toch blijft de participatie met 43% laag en worden effectiviteit en kennisopbouw niet getoetst. Hierdoor is het privacybewustzijn binnen de organisatie onvoldoende verankerd. Kortom, 2024 laat een beeld zien van gestarte initiatieven zonder volledige implementatie. De gemeente beschikt over beleidsstukken en goede intenties, maar mist de structurele verankering in systemen, processen en gedrag die nodig is om aantoonbaar AVG-compliant te zijn. 6.

Vooruitblik op 2025

Op basis van de bevindingen over 2023 en 2024 adviseert de FG om in 2025 prioriteit te geven aan de volgende onderdelen van de AVG-naleving. Hierbij ligt de nadruk op het versterken van structurele borging, risicobeheersing en aantoonbaarheid van compliance binnen de organisatie. 1. DPIA’s structureel betrekken bij wijzigingen De FG adviseert om DPIA’s in 2025 een vast onderdeel te laten vormen van het wijzigingsproces bij nieuwe of risicovolle verwerkingen. Dit betreft bijvoorbeeld toepassingen zoals cameratoezicht, handhavingssystemen of personeelsmonitoring. De uitvoering en opvolging van deze DPIA’s zou gestandaardiseerd kunnen worden. Vroegtijdige betrokkenheid van de FG en PO wordt aanbevolen. 2. Actualiseren en onderhouden van het verwerkingsregister Het is wenselijk dat het verwerkingsregister in 2025 vollediger en actueler wordt. De FG adviseert om afdelingen verantwoordelijk te maken voor het bijhouden van verwerkingen en een vaste updatecyclus in te richten. 3. Standaardiseren van datalekbeheer Gelet op de signalen uit 2024 is het raadzaam om het proces rondom datalekregistratie en opvolging verder te structureren. De FG adviseert het gebruik van een uniform 8

meldingsformat, registratie van oorzaak en impact, en het jaarlijks analyseren van trends. Dit draagt bij aan verbeterde preventie en risicobeheersing. 4. Versterken van AVG-training en bewustwording Om het privacybewustzijn te verhogen, adviseert de FG om het trainingsaanbod in 2025 uit te breiden en deelname beter te monitoren. Een verplichting voor risicofuncties ligt voor de hand, evenals het meten van effectiviteit via praktijkopdrachten of toetsing. Digitale leermiddelen kunnen hierbij ondersteunend zijn. 5. Toepassen van Privacy by Design en Default De FG adviseert om het principe van Privacy by Design structureel toe te passen bij de start van nieuwe beleidsinitiatieven en systemen. Dit kan onder meer via een vaste checklist en betrokkenheid van de PO en CISO bij relevante projecten. Dit helpt om privacyrisico’s tijdig te onderkennen en passende waarborgen te treffen. Conclusie De gemeente Someren heeft in 2024 enkele verbeteringen ingezet, maar verdere ontwikkeling is noodzakelijk. De FG adviseert om in 2025 de nadruk te leggen op structurele implementatie, afdelingsverantwoordelijkheid en toetsbare processen. Door deze stappen te zetten, wordt toegewerkt naar een meer volwassen en aantoonbaar geborgde gegevensbeschermingspraktijk.

Het gebruik van een compliance-oplossing kan de gemeente helpen om AVG-processen, zoals het bijhouden van het verwerkingsregister, het uitvoeren van DPIA’s en het beheren van datalekken, beter te structureren en te monitoren. Dit ondersteunt bij het voldoen aan de verantwoordingsplicht uit de AVG. 7.

Gegevensbescherming en verantwoording beleid

Een belangrijke leidraad voor de gemeente Someren is het Borgingsproduct van de VNG. Dit instrument helpt gemeenten bij het inzichtelijk maken van de mate van AVG-naleving en het gericht aanbrengen van structurele verbeteringen. Het model ondersteunt bij het toetsen van processen, het in kaart brengen van risico’s en het opstellen van verbetervoorstellen. Door periodiek de status van onderwerpen zoals het verwerkingsregister, DPIA’s, rechten van betrokkenen en bewustwordingsactiviteiten te evalueren, biedt het borgingsproduct houvast bij het aantoonbaar maken van compliance. Gemeente Someren heeft in het verleden gebruikgemaakt van versie 2.0 van dit borgingsmodel. Deze versie is in 2022 ingevuld en bevat een nulmeting op thema’s zoals processen, organisatorische inbedding, rechten van betrokkenen, samenwerking en beveiliging. In tegenstelling tot latere versies geeft versie 2.0 geen percentages, maar werkt het met volwassenheidsniveaus (1 t/m 5). Deze niveaus geven aan in hoeverre beleid, processen en bewustwording zijn ingericht en structureel geborgd. Een

score 2 betekent bijvoorbeeld dat de basis wel is gelegd, maar dat structurele toepassing en toetsing ontbreken. Hoewel dit jaarverslag betrekking heeft op 2024, is deze versie uit 2022 nog als uitgangspunt gebruikt. Dat komt doordat er sindsdien geen hernieuwde meting is uitgevoerd op basis van de inmiddels beschikbare versie 3.0 van het VNG Borgingsproduct. De versie 3.0 bevat verbeterde normenkaders en aanvullende indicatoren, maar is in Someren nog niet toegepast. Daarom wordt in dit verslag teruggegrepen op de laatst vastgestelde score per thema uit 2022. Deze scores zijn weliswaar niet actueel, maar geven nog steeds een redelijke indicatie van waar de belangrijkste verbeterpunten liggen. In 2025 is het raadzaam om: • • •

Het borgingsproduct opnieuw in te vullen met behulp van versie 3.0; De scores te herijken op basis van recente ontwikkelingen; En de voortgang structureel te monitoren, bijvoorbeeld jaarlijks of via een cyclische privacy-audit.

Met deze aanpak kan de gemeente in de toekomst werken met actuele en meetbare voortgangsinformatie, in lijn met de verantwoordingsvereisten uit de AVG. Op basis van de ingevulde scores uit 2022 is vervolgens beoordeeld in hoeverre de gemeente Someren voldoet aan de AVG en waar verdere versterking noodzakelijk is. 8.

Overzicht per thema en verbeterpunten 2025

Onderstaande indeling is gebaseerd op de hoofdthema’s van het VNG Borgingsproduct 2.0. De scores die worden genoemd (1 t/m 5) komen uit de laatste ingevulde versie uit 2022. Omdat er sinds die tijd op onderdelen voortgang is geboekt, zoals het vaststellen van het privacybeleid en het opstarten van DPIA’s, zijn deze scores in dit verslag gecombineerd met actuele bevindingen uit 2024. Waar nodig is de tekst aangepast aan de huidige situatie, maar de onderliggende scores zijn niet geactualiseerd. In 2025 is het daarom aan te bevelen om deze thema’s opnieuw te scoren op basis van Borgingsproduct 3.0. 1. Processen (Score: 2) In 2024 is gebleken dat veel verwerkingsprocessen onvoldoende zijn vastgelegd en geborgd. Hoewel het privacybeleid is vastgesteld en er één DPIA is uitgevoerd, ontbreekt een structurele aanpak. Het verwerkingsregister is slechts gedeeltelijk ingevuld en wordt niet actief onderhouden. Ook bewaartermijnen zijn onvoldoende gedocumenteerd en worden niet automatisch toegepast. • Werkprocessen zijn slechts beperkt vastgelegd en niet eenduidig getoetst. • Het verwerkingsregister is onvolledig en verouderd. • DPIA’s worden incidenteel uitgevoerd; structurele opvolging ontbreekt. • Er is geen werkend systeem voor geautomatiseerde verwijdering van gegevens. 10

Actiepunten 2025: • Invoeren van een structurele updatecyclus voor het verwerkingsregister. • DPIA-proces standaardiseren en koppelen aan risicovolle wijzigingen. • Opstellen en implementeren van een geautomatiseerd verwijderingsbeleid. 2. Organisatorische inbedding (Score: 2) De formele positie van de FG en Privacy Officer is vastgesteld, maar hun structurele betrokkenheid bij processen en projecten is beperkt. Privacy is nog geen vanzelfsprekend onderdeel van besluitvorming. De bewustwording binnen afdelingen is wisselend, en privacy wordt vaak ad hoc opgepakt. Actiepunten 2025: • Privacy structureel opnemen in projectmethodiek en beleidsontwikkeling. • PO en CISO standaard betrekken bij nieuwe systemen of wijzigingen. • Trainingen verplicht stellen en de effectiviteit hiervan meten. 3. Rechten van betrokkenen (Score: 2) De rechten van betrokkenen zijn opgenomen in de privacyverklaring en DigiD-processen zijn beschikbaar, maar er is geen uniforme werkwijze voor de behandeling van verzoeken. Verzoeken worden niet consequent geregistreerd of geëvalueerd, en de communicatie naar inwoners is beperkt. Actiepunten 2025: • Inrichten van een gestandaardiseerd proces voor inzage-, verwijderings- en bezwaarverzoeken. • Centraal registreren en monitoren van alle binnengekomen verzoeken. • Actief informeren van burgers over hun rechten via gemeentelijke communicatie. 4.

Samenwerking (Score: 2) Samenwerking met externe partijen vindt regelmatig plaats, maar de beheersing hiervan is beperkt. Het overzicht van verwerkersovereenkomsten is onvolledig en controles op naleving vinden niet structureel plaats. Rollen en verantwoordelijkheden binnen samenwerkingsverbanden zijn niet altijd duidelijk belegd. Actiepunten 2025: • Opzetten van een actueel en centraal verwerkersregister. • Jaarlijkse toets op naleving van beveiligingsafspraken door verwerkers. • Verduidelijken en vastleggen van rollen binnen intergemeentelijke samenwerkingen. 5. Gegevensbeveiliging (Score: 2) Er zijn diverse beveiligingsmaatregelen genomen, maar deze zijn beperkt geborgd. Evaluatie van toegangsrechten en encryptie wordt niet periodiek uitgevoerd. De verbinding tussen informatiebeveiliging en privacy is in opbouw, maar nog onvoldoende verankerd in werkprocessen. Actiepunten 2025: • Structurele evaluatie van autorisatiebeheer per systeem.

•

Technische beveiligingsmaatregelen documenteren en toetsen.

Conclusie en aanbevelingen De naleving van de AVG binnen de gemeente Someren is in 2024 op enkele onderdelen verbeterd. Zo is het privacybeleid formeel vastgesteld en is een eerste stap gezet met het uitvoeren van een DPIA. Toch blijven veel onderdelen steken op het niveau van intentie zonder structurele borging of uitvoering. De focus voor 2025 ligt op: 1. Verdere professionalisering van processen en implementatie van het verwerkingsregister. 2. Structurele betrokkenheid van FG, PO en proceseigenaren in beleids- en projectontwikkeling. 3. Verbetering van communicatie en transparantie richting inwoners. 4. Duidelijke afspraken en controles binnen samenwerkingsverbanden. 5. Verankering van privacy by design/default en versterking van informatiebeveiliging. Door deze maatregelen kan de gemeente groeien van minimale naleving naar aantoonbare en structurele borging van privacy en gegevensbescherming in de hele organisatie.

Geraadpleegde documenten - AVG-verslag 2024 • FG jaarverslag 2023 - Gemeente Someren • Nulmeting FG Someren - 15 januari 2025 • Privacybeleid 2023–2025 (conceptversie) • Privacyverklaring gemeente Someren 2024 • Borgingsproduct AVG 2.0 - ingevuld op 7 november 2022 • DPIA-register gemeente Someren • Register rechten van betrokkenen • Datalekregister Het Borgingsproduct 2.0 werkt met een schaal van niveau 1 t/m 5 om aan te geven hoever een organisatie is met de implementatie van privacymaatregelen. Hieronder zie je per niveau wat het betekent: Niveau 1 – Startfase 2 – Basis gelegd 3 – Operationeel 4 – Geborgd

Beschrijving Privacy is (nog) geen onderwerp van beleid of bewustzijn. Geen maatregelen of structuur aanwezig. Er zijn eerste stappen gezet (bv. beleid opgesteld, rollen benoemd), maar uitvoering is ad hoc en niet geborgd. Processen zijn ingericht en worden uitgevoerd, maar niet altijd consequent of aantoonbaar. Privacy is geïntegreerd in werkprocessen, verantwoordelijken zijn actief, en er is sprake van monitoring en verbetering.

5 – Continu verbeteren

Privacy is volledig ingebed in beleid, processen en cultuur. Systematische evaluatie en continue verbetering vinden plaats.

Verantwoording werkwijze FG Eind 2024 ben ik aangesteld als Functionaris Gegevensbescherming (FG) binnen de gemeente Someren. Om een goed beeld te krijgen van de stand van zaken rondom privacy en gegevensbescherming, heb ik een nulmeting uitgevoerd. Deze nulmeting is gebaseerd op de verplichtingen vanuit de Algemene Verordening Gegevensbescherming (AVG), evenals op het Borgingsproduct VNG 3.0. Dit biedt een gestructureerde methode om de naleving van de privacywetgeving te beoordelen en te verbeteren. Bij de nulmeting is specifiek gekeken naar de inrichting en werking van processen, zoals vastgelegd in het privacybeleid en het Register van Verwerkingen. Dit sluit aan bij de aanbevelingen uit hoofdstuk 7 van het Borgingsproduct 3.0, waarin wordt geadviseerd om periodiek een gapanalyse uit te voeren. Het doel hiervan is om structurele tekortkomingen te identificeren en verbetermaatregelen te implementeren. Omdat in 2024 geen interne audits zijn uitgevoerd, was het lastig om bepaalde bevindingen zelfstandig te verifiëren. Dit verslag is daarom gebaseerd op een combinatie van documentanalyses, gesprekken met betrokkenen en de registratie van incidenten zoals datalekken. Waar nodig, zijn aanvullende aanbevelingen opgenomen om structurele verbeteringen door te voeren.

Conclusie en acties voor 2025 Uit de nulmeting blijkt dat er nog belangrijke stappen nodig zijn om de naleving van de AVG verder te verbeteren. De volgende actiepunten worden als prioriteit voor 2025 benoemd: 1. DPIA’s uitvoeren en structureel implementeren bij risicovolle verwerkingen, zoals cameratoezicht. 2. Het verwerkingsregister actualiseren en onderhouden door een duidelijke verantwoordingsstructuur per afdeling op te zetten. 3. Training en bewustwording verbeteren, met gerichte deelname en effectiviteitsmetingen. 4. Datalekbeheer versterken, met een proactieve aanpak gericht op preventie, snelle opvolging en correcte meldingen aan de AP. 5. Verwerkersovereenkomsten en bewaartermijnen op orde brengen, inclusief controles op naleving en geautomatiseerde verwijdering van verouderde gegevens. In 2024 is nog gewerkt met het Borgingsproduct 2.0, maar het is raadzaam om in 2025 over te stappen op versie 3.0. Deze nieuwste versie bevat scherpere eisen, laat optionele

maatregelen achterwege, en toetst uitsluitend op wat minimaal nodig is om AVGnaleving te borgen. De rapportage die hieruit voortkomt biedt input voor zowel het college als de FG en is noodzakelijk voor het opstellen van verbeterplannen en het prioriteren van acties. Als FG adviseer ik om dit instrument structureel te gebruiken, zodat de verantwoording over gegevensbescherming aantoonbaar en actueel blijft.

Deel B. WPG 9.

Inleiding

Als Functionaris Gegevensbescherming (FG) binnen de gemeente Someren houdt de FG toezicht op de naleving van de Wet politiegegevens (Wpg). De Wpg stelt strikte eisen aan het verwerken en beschermen van politiegegevens, en het is de verantwoordelijkheid van de gemeente om ervoor te zorgen dat deze regels correct worden toegepast in alle relevante werkprocessen. Het college van burgemeester en wethouders is verplicht erop toe te zien dat de FG tijdig en adequaat wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van politiegegevens. De FG rapporteert jaarlijks over de stand van zaken en de ondernomen acties in een jaarverslag. Dit verslag geeft inzicht in de naleving van de Wpg binnen de gemeente Someren in het afgelopen jaar, inclusief uitgevoerde audits (indien van toepassing), risico’s en verbetermaatregelen. 10.

Dashboard naleving Wet politiegegevens (Wpg) – Gemeente Someren

Thema

Status/ Bevindingen

Borging Wpg

Wpg-verplichtingen onvoldoende structureel geborgd; geen toets- of verbetervoorziening aanwezig Beleid bestaat, maar is niet Wpg-specifiek uitgewerkt of vertaald naar uitvoeringsniveau

Beleid

Bewustwording

Autorisatieproces

Bewaartermijnen

Verstrekken van politiegegevens

Enkele trainingen uitgevoerd (zoals voor BOA’s), maar geen planmatige aanpak of evaluatie Autorisaties niet structureel vastgelegd of periodiek getoetst Bewaartermijnen zijn niet vastgelegd of technisch ingericht in systemen Er is geen procedure of vastlegging van

Actiepunten/ Verbetermaatregelen Ontwikkelen en implementeren van een structurele borgings- en toetsingscyclus

Stoplicht 🔴

Aanvullen van het privacybeleid met Wpgverplichtingen en doorvertaling naar werkprocessen Opstellen van een jaarlijks Wpg-trainingsplan, inclusief monitoring en toetsing

🔴

Vastleggen en formaliseren van autorisatieproces; 2x per jaar toetsing uitvoeren Formuleren van bewaartermijnen en technisch inrichten van automatische verwijdering Opstellen van een verstrekkingprocedure

🔴

🟠

🔴

DPIA (Impact Assessments)

Logging & toezicht

Auditverplichting

Samenwerking externe partijen

verstrekkingen, ondanks incidentele gevallen Enkel DPIA Leerplicht is uitgevoerd; andere risicovolle processen zoals CityControl ontbreken Verwerkingsregister is verouderd en niet Wpgspecifiek; ontbrekende elementen zoals bewaartermijn Logging in CityControl aanwezig, maar beperkt tot raadpleging; geen logging op exportacties Geen interne audit uitgevoerd in 2023; auditverplichting pas opgepakt in 2024 Verwerkersovereenkomsten missen Wpg-specifieke onderdelen zoals logging en auditrechten

inclusief verplicht register en evaluatie Uitvoeren van DPIA’s op CityControl en overige risicovolle processen; standaard DPIA-proces opzetten Herzien en actualiseren van het register; specifiek maken voor Wpg en toewijzen eigenaarschap

🔴

Logging uitbreiden naar alle kritieke acties; loggingproces structureel evalueren

🟠

Jaarlijkse interne audit structureel opnemen in plancyclus; rapportages aan college/AP Herzien van verwerkersovereenkomsten en aanvullen met Wpgspecifieke bepalingen

🔴

Legenda • • •

🔴 (Rood) = Urgente actie nodig; grote tekortkomingen. 🟠 (Oranje) = Verbetering nodig; basis is aanwezig maar niet voldoende geborgd. 🟢 (Groen) = Op orde; geen directe actie vereist.

Analyse van de tabel: • • •

11.

Veel rode thema’s wijzen op urgente verbeteringen, zoals autorisatiebeheer, DPIA-opvolging en het ontbreken van interne audits. Oranje thema’s zoals beleid en bewaartermijnen laten zien dat er een basis is, maar structurele borging ontbreekt. Geen groen, wat betekent dat er nog geen enkel aspect volledig voldoet aan de Wpg-eisen zonder verbetermaatregelen. Taak van de FG

De Functionaris Gegevensbescherming (FG) heeft een essentiële rol in het toezicht op de naleving van de Wet politiegegevens (Wpg). Artikel 36 van de Wpg schrijft voor dat de FG periodieke controles uitvoert op de naleving van de wettelijke verplichtingen. Dit houdt in

dat de FG niet alleen toetst of de gemeente voldoet aan de eisen van de Wpg, maar ook adviseert over verbetermaatregelen en bewustwording binnen de organisatie stimuleert. De belangrijkste taken van de FG met betrekking tot de Wpg kunnen als volgt worden samengevat: 1. Toezicht houden op de naleving van het gemeentelijk beleid met betrekking tot de Wpg. 2. Controleren of medewerkers voldoende bewust zijn van hun verantwoordelijkheden onder de Wpg. 3. Toetsen van het autorisatieproces voor het verwerken van politiegegevens en de juiste toekenning van toegangsrechten. 4. Bewaken van de kwaliteit en nauwkeurigheid van de vastgelegde politiegegevens. 5. Toezien op de juiste verwerking van politiegegevens conform de wettelijke eisen. 6. Controleren of de bewaartermijnen voor politiegegevens correct worden gehanteerd. 7. Beoordelen van het proces rondom het verstrekken en delen van politiegegevens. 8. Toezien op de informatiebeveiliging en de uitvoering van risicoanalyses met betrekking tot politiegegevens. 9. Controleren van het verplichte register van verwerkingen van politiegegevens. 10. Toezicht houden op de uitvoering van audits en het naleven van de auditverplichtingen onder de Wpg. Door middel van deze taken draagt de FG bij aan de borging van de privacy en veiligheid van politiegegevens binnen de gemeente Someren.

Dit vraagt om structureel toezicht, regelmatige evaluaties en nauwe samenwerking met betrokken afdelingen. 12.

Bevindingen 2024

Scope van verwerking politiegegevens binnen Gemeente Someren Binnen de Gemeente Someren worden politiegegevens uitsluitend verwerkt door: • •

Team Leefbaarheid, Handhaving en Veiligheid, via het systeem City Control (Sigmax), gebruikt door gemeentelijke BOA’s. Team Sociaal Domein (Leerplicht), via het Jeugd Volg Systeem (JVS).

Deze verwerkingen vallen onder de directe verantwoordelijkheid van de gemeente Someren en maken deel uit van de scope van het WPG-assuranceonderzoek. Voor samenwerkingen op het gebied van openbare orde en veiligheid (OOV) met andere gemeenten, zoals Asten, geldt dat de gemeente Someren geen verwerkingsverantwoordelijke is voor eventuele verwerking van politiegegevens. Eventuele verbeteracties binnen deze samenwerkingsverbanden kunnen alleen worden opgepakt via bestuurlijke of ambtelijke afstemming.

In 2024 is een externe audit uitgevoerd op grond van artikel 33 van de Wet politiegegevens. Deze is verricht door de onafhankelijke auditor VanderBeecken Audit & Advies B.V. en heeft geleid tot een definitief assurance-rapport in het eerste kwartaal van 2024. De audit betrof onder meer een toetsing van de naleving binnen het systeem City Control. Daarbij werd vastgesteld dat op meerdere onderdelen de wettelijke verplichtingen uit de Wpg nog onvoldoende waren geborgd. In het rapport is expliciet benoemd dat in de periode 2021 t/m 2023 geen interne Wpgaudits zijn uitgevoerd binnen de gemeente Someren. Daarmee werd destijds niet voldaan aan de verplichting uit artikel 33, tweede lid, van de Wpg. De aanbevelingen uit het externe rapport zijn ten dele opgevolgd. Echter, de structurele inbedding van een jaarlijkse interne auditcyclus ontbreekt op het moment van verslaglegging nog. Aanbeveling 2025: Het is belangrijk dat de gemeente vanaf 2025 een vaste interne auditcyclus instelt voor de Wpg, met jaarlijkse toetsing op uitvoering, logging, autorisatiebeheer en verstrekking. Daarnaast dient opvolging van de aanbevelingen uit het assurance-rapport aantoonbaar te worden gedocumenteerd en gerapporteerd aan het college van B&W en de Autoriteit Persoonsgegevens.

In 2024 zijn belangrijke ontwikkelingen en knelpunten geïdentificeerd op het gebied van gegevensbescherming, Wpg-naleving en privacybewustzijn binnen de gemeente Someren. Hieronder volgen de belangrijkste bevindingen per thema: Thema Borging Wpg

Beleid

Bewustwording

Autorisatieproces

Knelpunten uit het auditrapport - Geen aantoonbare borging van Wpg-verplichtingen binnen werkprocessen. - Geen cyclus van toetsing of verbetering. - Geen vaste eigenaarschap of sturingsinformatie aanwezig. - Privacybeleid is vastgesteld, maar bevat geen aparte paragraaf of uitwerking van de Wpg. - Wpg komt niet terug in werkprocedures of formats. - Alleen incidentele training (BOA’s); geen structureel opleidingsplan. - Nieuwe medewerkers ontvangen geen Wpg-instructie. - Geen evaluatie of toetsing van kennis. - Geen vaste werkwijze voor toekenning en intrekking van toegang.

Bewaartermijnen

Verstrekking van gegevens

DPIA’s

Logging & toezicht

Auditverplichting

Samenwerking externe partijen

13.

- Rollen zijn niet gekoppeld aan Wpg-verantwoordelijkheid. - Geen controle op actualiteit van autorisaties. - In CityControl ontbreken bewaartermijnen. - Geen technische inrichting voor opschoning of vernietiging. - Er is geen overzicht of beleid van bewaartermijnen. - Geen procedure voor verstrekking aan derden. - Geen verplichting of systeem voor het registreren van verstrekkingen. - Geen voorafgaande rechtmatigheidstoetsing. - Alleen DPIA Leerplicht is uitgevoerd. - Geen DPIA voor CityControl of andere risicovolle processen. - Geen standaard DPIA-proces of opvolgingsmechanisme. - Verwerkingsregister bevat verouderde informatie (2018/2019). - Wpg-verwerkingen zijn onvoldoende uitgewerkt of ontbreken. - Geen proces voor bijhouden of actualiseren. - Logging in CityControl beperkt tot raadpleging. - Geen logging op exports of mutaties. - Geen procedure voor periodieke controle van logs. - In 2023 geen interne audit uitgevoerd. - Verantwoordelijkheid voor interne audit niet belegd. - Auditrapport uit 2024 was eerste externe toets. - Verwerkersovereenkomsten bevatten geen Wpgspecifieke bepalingen. - Geen afspraken over logging, controle of auditrechten. - Onvoldoende toezicht op externe verwerkers.

Vooruitblik op 2025 – Wet politiegegevens (Wpg)

Als FG constateer ik dat de naleving van de Wet politiegegevens (Wpg) binnen de gemeente Someren in 2024 belangrijke tekortkomingen kent. Op basis van de externe audit en mijn eigen toezichtstaak adviseer ik voor 2025 een aantal gerichte verbetermaatregelen. Deze zijn noodzakelijk om te voldoen aan de wettelijke verplichtingen en om risico’s voor betrokkenen te beperken. 1. Wpg-beleid opstellen en verankeren Ik adviseer om in 2025 een specifiek Wpg-beleid vast te stellen waarin de verplichtingen uit de wet duidelijk zijn uitgewerkt. Dit beleid moet vertaald worden naar uitvoerbare werkprocessen en toegesneden zijn op de domeinen waar politiegegevens worden verwerkt, zoals toezicht, handhaving en leerplicht. 19

2. Verwerkersovereenkomsten herzien Verwerkers die namens de gemeente politiegegevens verwerken, moeten beschikken over Wpg-specifieke afspraken. Ik raad aan om alle bestaande verwerkersovereenkomsten in 2025 te herzien en aan te vullen met bepalingen over logging, toezicht, auditrechten en rollenverdeling. 3. Register van verwerkingen actualiseren Er dient een actueel en volledig register te komen voor Wpg-verwerkingen, dat ook bewaartermijnen, verwerkingsdoelen en rechtsgrondslagen bevat. Ik adviseer een duidelijke verantwoordelijkheidsverdeling per afdeling en een jaarlijkse actualisatiecyclus. 4. Autorisatie en logging verbeteren Toegang tot politiegegevens moet zorgvuldig en aantoonbaar zijn geregeld. Als FG adviseer ik om autorisatiematrices te formaliseren en toegang structureel te toetsen. Logging moet alle handelingen dekken (ook export) en regelmatig worden geëvalueerd. 5. DPIA’s uitvoeren bij risicovolle verwerkingen Ik adviseer om in 2025 DPIA’s uit te voeren op alle verwerkingen van politiegegevens met verhoogd risico, zoals in CityControl. Een vast DPIA-proces inclusief opvolging en monitoring is noodzakelijk om risico’s aantoonbaar te beheersen. 6. Bewaartermijnen vastleggen en toepassen Bewaartermijnen voor politiegegevens moeten expliciet worden vastgelegd en technisch worden afgedwongen.

Mijn advies is om systemen zo in te richten dat gegevens automatisch worden verwijderd zodra de bewaartermijn is verstreken. 7. Structurele auditcyclus implementeren De auditverplichting uit Wpg vereist een jaarlijkse interne audit. Ik adviseer deze structureel op te nemen in de plancyclus en de bevindingen te rapporteren aan het college van B&W en indien van toepassing aan de toezichthouder. 8. Bewustwording borgen via training Tot slot adviseer ik om een structureel Wpg-trainingsprogramma in te richten voor alle betrokken medewerkers. Jaarlijkse herhaling en kennisborging via toetsing zijn noodzakelijk voor duurzame bewustwording en naleving. Slotadvies

De externe audit onderstreept de urgentie van structurele verbetermaatregelen. Als FG benadruk ik het belang van bestuurlijke betrokkenheid, duidelijke verantwoordelijkheden en concrete borging van de Wpg-verplichtingen in de lijn. Door deze adviezen in 2025 uit te voeren, zet de gemeente een belangrijke stap richting aantoonbare en rechtmatige verwerking van politiegegevens.

Deel C. Ontwikkelingen In 2024 en de komende jaren worden verschillende nieuwe wet- en regelgevingen van kracht die invloed hebben op de gegevensbescherming en informatieveiligheid binnen de Gemeente Someren. Hieronder volgt een overzicht van de belangrijkste ontwikkelingen en de impact die deze hebben op de gemeentelijke processen. 14.

Wet- en Regelgeving

De volgende nieuwe en aangepaste wetgevingen hebben gevolgen voor de verwerking en beveiliging van persoonsgegevens: 1. NIS2-richtlijn (Netwerk- en Informatiebeveiliging) Ingangsdatum: 17 oktober 2024, nationale wetgeving uiterlijk eind 2025 van kracht. Toelichting: Gemeenten moeten voldoen aan strengere eisen voor cyberbeveiliging en incidentbeheer. Dit betekent dat kritieke infrastructuren geïdentificeerd moeten worden en dat er een formeel incidentbeheerplan moet worden opgesteld. Aanbeveling: Identificeer kritieke systemen en stel een incidentbeheerplan op. 2. AI Act (Europese Wetgeving Kunstmatige Intelligentie) Verwachte goedkeuring: 2024, gefaseerde invoering met volledige impact in 2026. Toelichting: De AI Act stelt regels voor het gebruik van kunstmatige intelligentie, met nadruk op risicovolle toepassingen zoals besluitvorming in jeugdzorg of fraudedetectie. Aanbeveling: Inventariseer AI-toepassingen en voer DPIA's (Data Protection Impact Assessments) uit voor risicovolle systemen. 3. Wet Gegevensverwerking door Samenwerkingsverbanden (WGS) Ingangsdatum: 1 maart 2025. Toelichting: Gemeenten werken vaak samen met andere instanties en delen persoonsgegevens. De WGS stelt strengere eisen aan de uitwisseling van gegevens binnen samenwerkingsverbanden, bijvoorbeeld in jeugdzorg, veiligheid en sociale diensten.

Aanbeveling: Controleer of gegevensuitwisseling voldoet aan de WGS-eisen en implementeer waarborgen voor de bescherming van persoonsgegevens binnen samenwerkingsverbanden.

4. Wet gegevensverwerking persoonsgerichte aanpak radicalisering en terroristische activiteiten Ingangsdatum: 1 januari 2025. Toelichting: Deze wet biedt een juridisch kader voor de gegevensverwerking in de persoonsgerichte aanpak van radicalisering en terroristische activiteiten. Gemeenten krijgen meer mogelijkheden om samen te werken met politie en andere instanties om radicalisering en terrorisme te voorkomen. Aanbeveling: Zorg voor een duidelijke afstemming met betrokken partners en waarborg de privacybescherming binnen casusoverleggen. 5. Wet Digitale Overheid (Wdo) Gefaseerde invoering: Vanaf 1 juli 2023, volledige implementatie en acceptatieplicht naar verwachting in 2025. Toelichting: De Wet Digitale Overheid verplicht gemeenten om veilige en toegankelijke digitale dienstverlening te bieden, waaronder het gebruik van DigiD en eHerkenning voor toegang tot gemeentelijke diensten. Aanbeveling: Evalueer de naleving van DigiD en eHerkenning en werk aan het verbeteren van de digitale toegankelijkheid van gemeentelijke diensten. 6. Baseline Informatiebeveiliging Overheid 2.0 (BIO 2.0) Ingangsdatum: 2025. Toelichting: De BIO 2.0 stelt nieuwe eisen aan de informatiebeveiliging binnen de overheid. Gemeenten moeten hun informatiebeveiliging aanpassen aan de nieuwe standaarden om de veiligheid en privacy van gegevens te waarborgen.

Aanbeveling: Voer een GAP-analyse uit en pas het beveiligingsbeleid aan volgens de nieuwe BIO 2.0-richtlijnen. 15.

Dreigingsbeeld IBD

De Informatiebeveiligingsdienst (IBD) publiceert periodiek een dreigingsbeeld voor gemeenten. In het meest recente Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten 2023-2024 worden de volgende belangrijke trends en aanbevelingen genoemd: Belangrijke trends: •

•

Toename ransomware-aanvallen: Gemeentelijke systemen worden steeds vaker getroffen door geavanceerde aanvallen waarbij criminelen gegevens versleutelen en losgeld eisen. Kwetsbaarheden in software: Steeds meer kritieke softwarefouten, zoals Log4j, kunnen worden misbruikt door criminelen om toegang te krijgen tot systemen.

• •

Onzichtbare risico’s in ketens: Samenwerking met externe partijen vergroot de afhankelijkheid en risico’s op beveiligingsincidenten. Datadiefstal en reputatieschade: Gemeenten lopen risico op datalekken, zoals bij de gemeente Buren, waarbij vertrouwelijke gegevens op het dark web belanden.

Aanbevelingen: • • • • •

16.

Cybersecurity versterken: Monitoring, netwerksegmentatie, MFA en penetratietests uitvoeren om kwetsbaarheden tijdig te verhelpen. Bewustwordingscampagnes: Medewerkers trainen in phishing, social engineering en cyberdreigingen. Samenwerking met IBD en gemeenten: Kennisdeling en gezamenlijke maatregelen om weerbaarheid te verhogen. Betere afspraken met leveranciers: Contractuele afspraken maken over cybersecurity, inclusief audits en nalevingseisen. Oefenen met crisisrespons: Simulaties van cyberaanvallen helpen om snel en effectief te reageren. Ontwikkelingen in AI en Algoritmes

De AI Act, aangenomen in maart 2024, stelt strenge eisen aan het gebruik van AI, vooral voor toepassingen met aanzienlijke impact op burgers, zoals fraudeopsporing en sociale zekerheidsregelingen. De wet verplicht organisaties, waaronder gemeenten, tot transparantie, ethisch gebruik, verantwoording en leveranciersverantwoordelijkheid. AI-systemen die persoonsgegevens verwerken moeten transparant en rechtsgeldig zijn. Gemeenten dienen duidelijk te communiceren over de werking van hun AI-systemen, vooral bij geautomatiseerde besluitvorming. AI-systemen worden op risiconiveau ingedeeld, waarbij hoog-risicosystemen, zoals die in jeugdzorg of fraudecontrole, striktere privacy- en beveiligingsmaatregelen vereisen om discriminatie of onterechte uitsluiting te voorkomen. Gemeenten moeten AI-systemen regelmatig evalueren en auditen om te garanderen dat ze voldoen aan de wettelijke en ethische normen. Daarnaast moeten AI-systemen van externe leveranciers voldoen aan de privacy- en beveiligingseisen van de AI Act, wat om duidelijke verwerkersovereenkomsten en regelmatige controles vraagt. Aandachtspunten voor 2025 op het gebied van AI-toepassingen De onderstaande aandachtspunten vormen samen een integrale aanpak voor het verantwoord inzetten van AI binnen de gemeente. Beleidsvorming (punt 6) is hierbij een randvoorwaarde voor succesvolle implementatie van de overige punten. 1.

Structureel uitvoeren van DPIA’s voor risicovolle AI-systemen Voor alle AI-toepassingen die gepaard gaan met verhoogde privacyrisico’s of geautomatiseerde besluitvorming, moeten in 2025 DPIA’s worden uitgevoerd. De 24

opvolging van aanbevelingen uit deze DPIA’s moet aantoonbaar worden geborgd in beleid en processen. Verhogen van transparantie richting burgers over AI-gebruik De gemeente moet actief en begrijpelijk communiceren over het gebruik van AIsystemen, met specifieke aandacht voor geautomatiseerde besluitvorming. Dit dient opgenomen te worden in privacy verklaringen, informatie op de website en correspondentie met inwoners. Inrichten van een auditcyclus voor AI-systemen Er moet een vaste controlecyclus komen waarmee periodiek wordt getoetst of AIsystemen voldoen aan geldende privacywetgeving (AVG) en ethische uitgangspunten. Deze audit moet zowel intern als richting leveranciers worden georganiseerd. Strikte toetsing en contractuele borging bij AI-leveranciers Alle leveranciers van AI-systemen moeten aantoonbaar voldoen aan de eisen van de AI Act en AVG. In 2025 moeten verwerkersovereenkomsten worden geactualiseerd, inclusief bepalingen over transparantie, uitlegbaarheid en toezicht op algoritmische besluitvorming. Uitbreiden en verplicht stellen van AI-bewustwordingstrainingen Aandachtspunt voor 2025 is het actief bevorderen van bewustwording over het gebruik van AI in gemeentelijke processen. Het is aan het management om te bepalen in hoeverre trainingen daarbij passend zijn.

Aanbevolen wordt om een beleidskader te ontwikkelen voor verantwoord gebruik van AI, met bijzondere aandacht voor toepassingen waarin sprake is van algoritmische besluitvorming. Bewustwordingstrainingen kunnen hierbij worden ingebed in bestaande leerprogramma’s en HR-processen. Ontwikkelen van gemeentelijk AI-beleid in lijn met de AI Act De FG adviseert om in 2025 een beleidskader op te stellen voor het gebruik van AI binnen de gemeente. Dit beleid dient kaders te bieden voor de toepassing van AI en algoritmische besluitvorming, met aandacht voor risico-identificatie, transparantie, uitlegbaarheid en het waarborgen van mensenrechten. Deze beleidsvorming vormt een noodzakelijke basis voor bewustwording, toetsing en verantwoorde inzet van AI in de praktijk.

Bijlagen (4) Bijlage 1 – Overzicht uitgevoerde DPIA’s 2024 Bijlage 2 – Overzicht Datalekken 2024 Bijlage 3 – Overzicht inzage verzoeken 2024 Bijlage 4 – Nulmeting n.a.v. verplichtingen AVG

Bijlage 1 - DPIA Overzicht 2024 – Gemeente Someren DPIA

Beschrijvi ng

Leerplicht toezicht

Verwerkin g persoonsg egevens t.b.v. toezicht op leerplicht

Dat um van Sta rt DPI A 202 4

Verwerkings activiteiten

Soort Gegevens

Betrokke nen

Beoogd Doel van de Verwerki ng

Risico's voor de Privacy van Betrokke nen

Dossieropbou w, raadpleging onderwijsdat a, rapportages

Leerlingge gevens, onderwijsi nformatie

Leerlinge n, ouders/ve rzorgers

Uitvoerin g wettelijke taak leerplicht controle

Inbreuk op vertrouw elijkheid, profiling, inzage door onbevoeg den

Maatre gelen om Risico's te Mitiger en Beperki ng toegang , logging, versleut eling, bewust wording

Bijlage 2 - Overzicht Datalekken 2024 Meldingsnu

Type

Status

mmer

melding

M2407-

Tweede

Afgem

0147

lijns

eld

M2408-

Eerstelij

Afgem

1539

eld

Afgehan

Streefda

Impa

deld

tum

Categorie

8 juli

Indivi

Beveiligingsin

2024

cident

Indivi

Beveiligingsin

augustus

cident

Subcateg

Reactieda

Behandelg

orie

tum

roep

Datalek

1 juli 2024

SOM CISO

12:08

M2411-

Tweede

Afgem

1328

lijns

eld

Datalek

Reactie

1951

lijns

12:35

12:23

N.v.t.

novemb

Nee

augustus 2024

Beveiligingsin

Datalek

cident

Servicedes

novembe

r 2024

13:43 Tweede

Servicedes

2024

er 2024 M2412-

13:46

Indivi

Beveiligingsin

Datalek

ontvan

decemb

cident

gen

er 2024

r 2024

10:32

10:37

SOM CISO

decembe

Bijlage 3 - Overzicht verzoeken rechten van betrokkene Categorie

Recht van

betrokkene

Verzoekdatum

Behandelingstermijn

Status

Acties die

Datum van behandeling

betrokkene

van het

zijn

(bijv. inzage,

verzoek

ondernomen

–

Informatie

FG/PO

over de

betrokken

beslissing

rectificatie, verwijdering, bezwaar) –

–

Bijlage 4 Nulmeting n.a.v. verplichtingen AVG Onderdeel 1. Beleid en procedures

Vragen Is er een formeel en actueel gegevensbeschermings beleid?

Zijn er procedures voor datalekken, DPIA’s en verzoeken van betrokkenen?

2. Gegevensverwerkingen en verwerkingsregister

Is er een volledig en actueel verwerkingsregister?

Welke persoonsgegevens worden verwerkt, en wat is het doel?

3. Toestemming en rechten van betrokkenen

Wordt er op juiste wijze toestemming gevraagd voor gegevensverwerkingen?

Toelichting Het privacybeleid 20232025 is opgesteld, maar niet volledig vastgesteld. Een uitgebreide beschrijving van rollen, taken en verantwoordelijkheden ontbreekt (FGjaarverslag 2023_Someren). Datalekkenprocedure en DPIA-processen zijn gedeeltelijk aanwezig, maar implementatie en documentatie blijven inconsistent (FGjaarverslag 2023_Someren)(verslag FG-bevindingen). Het verwerkingsregister is onvolledig en vereist updates om effectief inzicht te bieden in alle verwerkingen (FGjaarverslag 2023_Someren). Specifieke doelen en gegevens voor personeelsverwerkinge n zijn vastgelegd, maar niet alle gemeentelijke verwerkingen zijn gedocumenteerd (FGjaarverslag 2023_Someren) (verslag FG-bevindingen). Toestemming wordt niet altijd adequaat vastgelegd; verbeterde documentatie van toestemmingsverklarin

Status Het privacybeleid is in oktober vastgesteld. Het document bevindt zich niet langer in conceptstatus, maar moet nog op de website worden geplaatst om publiekelijk beschikbaar te zijn. Gedeeltelijk; verbetering in consistentie en toepassing is nodig.

Onvolledig; bijwerken vereist.

Onvolledig; correct verwerkingsregister ontbreekt en opzet vereist.

Gebrek aan consistentie in toestemmingsprocess en. Proces in oprichting door de PO.

4. Datalekken en incidentmanagement

Is er een formeel protocol voor het melden en afhandelen van datalekken?

5. Data Protection Impact Assessments (DPIA's)

Worden DPIA’s uitgevoerd voor verwerkingen met hoog risico?

gen nodig (Privacyreglement). Een formeel datalekkenprotocol is aanwezig, maar naleving en tijdige melding aan de Autoriteit Persoonsgegevens zijn inconsistent (FGjaarverslag 2023_Someren)

Er zijn in 2023 geen DPIA’s uitgevoerd, ondanks aanwezige risicovolle verwerkingen (FG-jaarverslag 2023_Someren) (verslag FG-bevindingen).

Er is een formeel protocol aanwezig voor het melden en afhandelen van datalekken. De implementatie en naleving van dit protocol zijn inconsistent. Tijdige meldingen aan de Autoriteit Persoonsgegevens (AP) worden niet altijd gegarandeerd, zoals blijkt uit het FGjaarverslag 2023. Actuele ontwikkelingen: De Privacy Officer (PO) werkt momenteel aan het herzien en verbeteren van het protocol om consistentie en tijdige melding te waarborgen. Dit omvat duidelijke verantwoordelijkhede n en een gestroomlijnd proces voor alle betrokken partijen. Status: Protocol aanwezig, maar implementatie is inconsistent. PO (PO) is bezig met aanpassingen. DPIA’s niet uitgevoerd zoals vereist. Eén DPIA dit jaar (leerlingenvervoer).

6. Toegang en autorisatiebeheer

Is er een procedure voor het uitvoeren en beoordelen van DPIA’s?

Een standaard DPIAprocedure ontbreekt; DPIA’s worden ad hoc uitgevoerd (FGjaarverslag 2023_Someren).

Wordt er gewerkt met rol gebaseerde toegang tot persoonsgegevens?

Toegang tot gegevens is beperkt volgens een autorisatiematrix, maar evaluatie van toegangsniveaus ontbreekt (Privacyreglement) (verslag FGbevindingen).

Huidige situatie: Er is geen gestandaardiseerde procedure voor het uitvoeren en beoordelen van DPIA’s. Momenteel worden DPIA’s ad hoc uitgevoerd, wat leidt tot een gebrek aan consistentie en structurele aanpak (zoals vermeld in het FG jaarverslag 2023). Actuele ontwikkelingen: De Privacy Officer (PO) is bezig met het inregelen van een DPIA-proces binnen het inkoopproces. Dit omvat het opnemen van DPIA-vereisten in het inkoopprotocol Geen consistent DPIAproces. PO is bezig met het inregelen in het inkoopproces en het inkoopprotocol. Onvolledig toegepast. Niet bekend bij PO. Ciso: Het is onbekend of de versleuteling effectief is geïmplementeerd. De Trusted Platform Module (TPM) wordt gebruikt en staat op groen, wat aangeeft dat deze operationeel is. Verdere verificatie is nodig om zeker te stellen dat de encryptie correct en volledig wordt

7. Beveiliging van persoonsgegevens

8. Verwerkersovereenkom sten en derde partijen

Worden persoonsgegevens versleuteld, zowel in rust als tijdens overdracht?

Specifieke informatie over implementatie van gegevensversleuteling ontbreekt (FGjaarverslag 2023_Someren).

Worden back-ups veilig beheerd en opgeslagen?

Specifieke procedures voor back-ups worden niet beschreven, maar basisregels voor beveiliging zijn toegepast (Privacyreglement) (verslag FGbevindingen).

Zijn er verwerkersovereenkoms ten met derde partijen?

Het overzicht van verwerkersovereenkom sten is niet actueel, en naleving wordt niet

toegepast in alle relevante processen. Onbekend of versleuteling effectief is geïmplementeerd. Ciso: Het is onbekend of de versleuteling effectief is geïmplementeerd. Er wordt gewerkt met versleuteling volgens de TPM, waarvan de status op groen staat. Verdere verificatie is noodzakelijk om te bevestigen dat de encryptie volledig functioneert zoals vereist. Hoewel basisregels voor backupbeveiliging aanwezig lijken te zijn, zijn er hiaten in de documentatie en uitvoering van de backupbeheerprocedure. Het is essentieel om de procedure volledig te documenteren, encryptie en beveiliging van backups te waarborgen, en regelmatig controles en hersteltests uit te voeren. Door deze stappen te volgen, wordt de veiligheid en betrouwbaarheid van back-ups aanzienlijk verbeterd. Overzicht onvolledig; bijwerking en naleving vereist. Controle en invulling lopen via PO.

9. Bewaartermijnen en geautomatiseerde verwijdering

Worden er duidelijke bewaartermijnen gehanteerd?

10. Training en bewustwording

Krijgen medewerkers training over gegevensbescherming?

11. Informatievoorziening aan burgers

Worden burgers geïnformeerd over gegevensverwerking?

12. Privacy by Design en Privacy by Default

Wordt privacy by design toegepast bij nieuwe processen en systemen?

systematisch gecontroleerd (FGjaarverslag 2023_Someren) (verslag FG-bevindingen). Bewaartermijnen zijn niet volledig gedocumenteerd; geen geautomatiseerd systeem voor verwijdering van gegevens (FGjaarverslag 2023_Someren). Medewerkers ontvangen bewustwordingstrainin g, maar de effectiviteit wordt niet periodiek geëvalueerd (Rapport_200455992) (FG-jaarverslag 2023_Someren). Privacyverklaring is openbaar beschikbaar; er zijn verbeterpunten in transparantie over burgerrechten (FGjaarverslag 2023_Someren). Privacy by design wordt niet structureel toegepast in gemeentelijke processen en wordt aanbevolen als verbeterpunt (FGjaarverslag 2023_Someren) (Rapport__200455992).

Onvolledig; documentatie en automatisering vereist. Geen acties langs PO geweest.

Training aanwezig, maar evaluatie ontbreekt.

Basale informatievoorziening aanwezig, verdere transparantie gewenst.

Privacy by design onvolledig geïmplementeerd. Ciso: Privacy by Design is onvolledig geïmplementeerd. De CISO wordt niet altijd betrokken bij het inkoopproces, en Privacy by Design wordt niet consequent toegepast in alle fasen van projecten of processen. Verdere stappen zijn nodig om

13. Verwerkingsverantwoor delijke en verwerker

Is duidelijk wie verwerkingsverantwoor delijke of verwerker is?

14. Transparantie en documentatieplicht

Is de documentatie over gegevensverwerking transparant en volledig?

15. Internationale gegevensoverdracht

Worden gegevens internationaal overgedragen en hoe wordt dit beheerd?

Er is niet altijd duidelijk welke partij de verwerkingsverantwoor delijke of verwerker is, wat het maken van juiste privacy afspraken bemoeilijkt (FGjaarverslag 2023_Someren). Documentatie van verwerkingen en rollen is incompleet; het verwerkingsregister is niet actueel (verslag FGbevindingen). Er zijn geen duidelijke richtlijnen over internationale gegevensoverdracht opgenomen in de huidige documenten (FG-jaarverslag 2023_Someren).

dit structureel te verbeteren. Onvolledig; rolbepaling en afspraken zijn niet altijd duidelijk.

Documentatie onvolledig; bijwerken vereist.

Onbekend of richtlijnen voor internationale overdracht zijn geïmplementeerd. DPIA’s ontbreken bij verwerkersovereenko msten.

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij iBabs is leidend. Bron: https://api.notubiz.nl/document/15916395/1