Onderzoeksrapport privacy & informatieveiligheid.pdf

Rekenkamercommissie Postbus 6 4650 AA STEENBERGEN

Onderzoeksrapport Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau

Inhoudsopgave Rapport in het kort ............................................................................................................................................. 3 Inleiding ................................................................................................................................................................. 3 Doelstelling van het onderzoek ............................................................................................................................. 3 Onderzoeksvragen ................................................................................................................................................. 4 Normenkader ........................................................................................................................................................ 4 Beantwoording van de onderzoeksvragen ............................................................................................................ 4 Conclusies en aanbevelingen ................................................................................................................................ 6 1. Inleiding ..........................................................................................................................................................

9 1.1 Aanleiding ...................................................................................................................................................... 10 1.2 Doel- en vraagstelling van het onderzoek ..................................................................................................... 11 1.3 Werkwijze in vogelvlucht ............................................................................................................................... 11 1.4 Leeswijzer ...................................................................................................................................................... 12 2. Stand van zaken Privacy en informatiebeveiliging ........................................................................................ 13 2.1 Wettelijke kaders........................................................................................................................................... 14 2.2 Analyse organisatie........................................................................................................................................ 14 2.3 Samenvatting ................................................................................................................................................. 18 3.

Resultaten afgenomen interviews en enquête .............................................................................................. 20 3.1 Interviews en analyse .................................................................................................................................... 21 3.2 Enquêteresultaten en analyse ....................................................................................................................... 22 3.3 Aandachts- en verbeterpunten ..................................................................................................................... 23 3.4 Samenvatting ................................................................................................................................................. 23 4. Onderzoeksvragen en normenkader, conclusies en aanbevelingen .............................................................. 25 4.1 Beantwoording van de onderzoeksvragen .................................................................................................... 26 4.2 Conclusies en aanbevelingen......................................................................................................................... 28 Bijlagen ............................................................................................................................................................. 31 Bijlage 1.

Volwassenheidsniveaus ....................................................................................................................... 32 Bijlage 2. FG-aanbevelingen ................................................................................................................................ 33 Bijlage 3. Verantwoording van het onderzoek .................................................................................................... 36 Bijlage 4. Frequent gebruikte afkortingen en termen bij privacy en informatiebeveiliging................................ 39 Bijlage 5. Vragen en antwoorden enquête .......................................................................................................... 41 Bijlage 6. Ambtelijke reactie ................................................................................................................................ 51 Bijlage 7. Reactie op ambtelijk wederhoor .......................................................................................................... 53 Bijlage 8. Bestuurlijke reactie .............................................................................................................................. 55 Bijlage 9. Nawoord RKC ....................................................................................................................................... 57

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 2 van 57

Rapport in het kort Inleiding De continu toenemende digitalisering biedt gemeentelijke organisaties mogelijkheden om hun publieke dienstverlening efficiënter in te richten en uit te voeren. Tegelijkertijd kent die ontwikkeling ook een schaduwkant. Gemeenten zijn organisaties waarbij op grote schaal gewerkt wordt met privacygevoelige informatie(verwerking). Daarnaast krijgen gemeenten te maken met fundamentele gevaren, in de vorm van hackers die cyberaanvallen uitvoeren op ICT-systemen. Dit blijkt onder meer uit incidenten die in de praktijk bij gemeenten zijn voorgevallen en uit de rapportage Dreigingsbeeld Informatiebeveiliging Nederlandse gemeenten 2021/20221. De rapportage geeft onder meer inzicht in een aantal belangrijke handelingsperspectieven voor management en directie:  Voer de regie over risicomanagement  Besef dat de techniek niet de belangrijkste factor is (zwakke schakels kunnen voorkomen in werkprocessen en in de factor mens)  Ontwikkel een veilige organisatie  Bied veilige gereedschappen (bekijk wat de medewerkers nodig hebben en faciliteer die functionele behoefte als werkgever)  Faciliteer dat de basis op orde is  Oefen en wees voorbereid op incidenten Als een gemeente te maken krijgt met een cyberaanval, dan kan dat grote gevolgen hebben voor de continuïteit van de dienstverlening. Het risico bestaat dat persoonsgegevens in verkeerde handen vallen.

Een dergelijke situatie houdt in dat er sprake is van schenden van vertrouwelijkheid van informatie en privacy van burgers en bedrijven, met daarbij imagoschade voor de gemeente en mogelijke juridische, financiële en technische gevolgen. De verantwoordelijkheid van de gemeente Steenbergen voor privacy en informatiebeveiliging is de afgelopen jaren enorm toegenomen. Onder meer door: invoering van wetgeving2, overdracht door de rijksoverheid van taken naar gemeenten3 en samenwerkingsverbanden met andere gemeenten. Om het werken aan en het implementeren van informatiebeveiliging op een juiste manier te ondersteunen beschikt de gemeente Steenbergen over een belangrijk hulpmiddel: de Baseline Informatiebeveiliging Overheid (hierna: BIO). Dit is een voor de gehele overheid geldend basisnormenkader. De BIO omvat een set van organisatorische en technische beveiligingsmaatregelen die in de gemeentelijke organisatie geborgd en beheerd moeten worden. Het voorgaande maakt dat privacy en informatiebeveiliging een zeer relevant thema is voor de gemeente Steenbergen. En daarom een reden is voor de rekenkamercommissie van de Gemeente Steenbergen (hierna: RKC) voor het uitvoeren van een onderzoek naar privacy en informatiebeveiliging binnen de ambtelijke organisatie van de gemeente Steenbergen.

Doelstelling van het onderzoek De RKC beoogt met dit onderzoek de gemeenteraad inzicht te geven in de mate van doeltreffendheid en doelmatigheid van het privacybeleid en de informatiebeveiliging binnen de gemeente Steenbergen.

1 De rapportage is opgesteld door de Informatiebeveiligingsdienst (IBD) en tot stand gekomen op basis van een analyse van incidentrapporta-

ges van gemeenten, meldingen aan de IBD en interviews met gemeentelijke Chiefs Information Security Officers (CISO), Functionarissen Gegevensbescherming (FG), managers en gemeentesecretarissen. IBD is onderdeel van de Vereniging van Nederlandse Gemeenten (VNG). 2 Zoals de Algemene Verordening Gegevensbescherming (AVG). Door het van kracht worden van de AVG, is in de hele Europese Unie dezelfde privacywetgeving van toepassing. 3 Zoals de Jeugdwet en Participatiewet.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 3 van 57

Met het onderzoek wil de RKC mogelijke richtingen van verbetering benoemen. Het onderzoek beoordeelt:  of de gemeentelijke kaders voldoen aan de landelijke wetgeving;  in hoeverre de gemeentelijke kaders verwerkt zijn in de organisatie en werkprocessen;  of de kaders als werkbaar worden ervaren, en  op welke wijze de gemeenteraad betrokken is bij privacy en informatiebeveiliging.

Onderzoeksvragen De centrale vraag van het onderzoek luidt als volgt: In hoeverre zijn het privacybeleid en de informatiebeveiliging van de gemeente Steenbergen doeltreffend en doelmatig?

Normenkader De resultaten van het onderzoek zijn getoetst aan vooraf gestelde normen ofwel beoordelingscriteria, opgesteld voor elk van de zes deelvragen. In hoofdstuk 4.1 is de beoordeling nader uitgewerkt.

Beantwoording van de onderzoeksvragen 

Centrale onderzoeksvraag: In hoeverre zijn het privacybeleid en de informatiebeveiliging van de gemeente Steenbergen doeltreffend en doelmatig?

Informatiebeveiliging staat al tien jaar op de agenda bij de gemeente Steenbergen en privacybeleid sinds een jaar of drie. Daardoor heeft de gemeente al veel meer energie kunnen stoppen in en voor bewustwording kunnen zorgen in informatieveiligheid, dan in privacybeleid. In welke mate informatieveiligheid en privacybeleid doelmatig zijn, is in het onderzoek niet duidelijk geworden. De RKC constateert op basis van de afgenomen interviews, gevoerde gesprekken en documentonderzoek, dat de bewustwording en het ‘in control’ zijn van informatiebeveiliging beleidsmatig op een hoger niveau ligt. Echter, de praktische implementatie en de structurele borging vraagt nog de nodige aandacht.

Alleen zit er wel veel in het hoofd over privacy, dat misschien beter op papier gezet kan worden.

Als het beleid op papier staat, dan werkt het nog niet.

Beantwoording zes deelvragen: 1. Welke (wettelijke) kaders, doelstellingen en werkwijzen zijn van toepassing of zijn door de gemeente zelf geformuleerd op het gebied van informatiebeveiliging en privacy? Formeel beschouwd zijn in het kader van privacy de Europese privacywet AVG4 en de Uitvoeringswet AVG (UAVG) de belangrijkste wetten5. Deze wetten stellen eisen aan de wijze waarop organisaties omgaan met persoonsgegevens. Deze eisen hebben onder meer betrekking op de plicht om datalekken te 4 De Europese privacywet AVG stelt eisen aan de wijze waarop organisaties omgaan met persoonsgegevens. Onder andere: meldplicht data-

lekken, boetes tot 20 miljoen euro, privacy impact analyse, functionaris gegevensbescherming. De AVG, die per 25 mei 2018 van kracht werd, geldt voor alle lidstaten van Europa. De AVG verving de Nederlandse Wet bescherming persoonsgegevens (Wpb). Inhoudelijk is de AVG zowel ruimer van toepassing als strenger ten aanzien van sancties vergeleken met de Wbp. Een belangrijk verschil is dat de AVG meer nadruk legt op de verantwoordelijkheid van organisaties zelf om de wet na te leven en om te kunnen aantonen dat zij zich aan de wet houden. 5 Daarnaast zijn ook nog andere wetten die van belang zijn bij privacy en informatiebeveiliging, zoals: Wet Basisregistratiepersonen, Wet gegevensbescherming en meldplicht cybersecurity, Wet computercriminaliteit III, Wet op de inlichtingen- en veiligheidsdiensten en de Cookiewet.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 4 van 57

melden, om privacy impact analyses uit te voeren en het beschikken over een functionaris gegevensbescherming (hierna: FG). Verder speelt ook de Wet openbaarheid bestuur (Wob) een belangrijke rol. Deze wet garandeert en maakt het mogelijk dat eenieder informatie kan opvragen over bestuurlijke aangelegenheden bij bestuursorganen. Afgeleid van de AVG heeft de gemeente Steenbergen haar eigen algemeen privacybeleid geformuleerd. De BIO6 is één gezamenlijk normenkader voor informatiebeveiliging binnen de gehele overheid, gebaseerd op de internationaal erkende en actuele ISO-normatiek7. 2. Hoe is de organisatie (ofwel: governance) van het privacybeleid en informatiebeveiliging vormgegeven? Het college van burgemeester en wethouders is eindverantwoordelijk voor de informatieveiligheid. Het directieteam is verantwoordelijk voor de inrichting en uitvoering. Aanvullend daarop zijn binnen de gemeente Steenbergen drie specifieke functies georganiseerd om toezicht te houden en uitvoering te geven aan privacybeleid en informatieveiligheid: FG, Privacy Officer (hierna: PO) en Chief Information Security Officer (hierna: CISO). Daarnaast is het directieteam verantwoordelijk voor het faciliteren en het ondersteunen van een goede uitvoering. Teammanagers zijn verantwoordelijk voor hun processen en het aanwijzen van proceseigenaren.

Er wordt naar gestreefd om alle medewerkers zoveel mogelijk mee te nemen in de gestelde eisen aan privacy en informatiebeveiliging, zodat zij daaraan in hun werkzaamheden op een praktische manier invulling kunnen geven. 3. In welke mate zijn de gestelde kaders, doelstellingen en werkwijzen geborgd in de dagelijkse uitvoering? De mate waarin de borging is georganiseerd voldoet nog niet. Er is ernstig behoefte aan prioritering van privacy onderwerpen. Er is nog geen sprake van standaardprocedures en rapportages die inzicht geven in hoe invulling wordt gegeven aan die onderwerpen. Dit geldt niet voor informatiebeveiliging. Ten aanzien van de BIO zijn heel veel standaardprocedures beschikbaar, en gaat veel verder dan de AVG vereist. Voor het maken van een prioritering van privacy onderwerpen zijn de rapportages van de FG uitermate geschikt. Pas nadat een prioritering door het managementteam is vastgesteld, kan aan de hand van de Planning & Control cyclus en de Plan-Do-Check-Act cyclus de uitvoering gevolgd en bijgestuurd worden. Ook is een geopperde suggestie om bij collegevoorstellen een onderdeel privacy op te nemen, dit kan zeker leiden tot meer privacy- bewustzijn. 4. Voldoet de gemeente Steenbergen op dit moment aan alle relevante wet- en regelgeving t.a.v.

informatiebeveiliging en privacy? Met als uitgangspunt dat de gemeente dient te voldoen aan het gestelde volwassenheidsniveau 3 (op een schaal van 5), en zich momenteel bevindt op niveau 1,5, constateert de RKC dat nog niet voldaan wordt aan alle wet- en regelgeving. 5. Op welke wijze wordt aandacht gegeven aan het bewustzijn onder medewerkers van de gemeente Steenbergen t.a.v. informatiebeveiliging en privacy? De gemeente geeft de nodige aandacht in de vorm van het aanbieden van opleidingen en cursussen aan medewerkers. De implementatie van een LeerManagementSysteem - waar medewerkers doormiddel van e-learning meer kennis op kunnen doen over privacy en informatiebeveiliging - is daarvan een goed voorbeeld. Ook brengt de gemeente privacy en informatiebeveiliging ‘in beeld’, door het ophangen van posters en het geven van praktijkvoorbeelden8 op het Intranet. Daarnaast toetst de gemeente 6 Vanaf 1 januari 2020 is de Baseline Informatiebeveiliging Overheid (BIO) van kracht. De BIO vervangt de bestaande baselines informatievei-

ligheid voor Gemeenten, Rijk, Waterschappen en Provincies. Van BIG, BIR, BIR2017, IBI en BIWA naar BIO. Hiermee ontstaat één gezamenlijk normenkader voor informatiebeveiliging binnen de gehele overheid, gebaseerd op de internationaal erkende en actuele ISO-normatiek. Helder, actueel en veilig. 7 ISO 27001 en ISO 27002. De norm ISO 27001 beschrijft hoe procesmatig met het beveiligen van informatie kan worden omgegaan, met als doel om de vertrouwelijkheid, beschikbaarheid en integriteit van informatie binnen een organisatie zeker te stellen. De norm ISO 27002 beschrijft de beheersmaatregelen en biedt een verdiepingsslag op ISO 27001. ISO 27002 geeft in detail aan welke maatregelen een organisatie kan nemen om aan de normeisen van ISO 27001 te voldoen. 8 Van gemeenten waarbij het mis gaat ten aanzien privacy en/of informatiebeveiliging.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 5 van 57

regelmatig de bewustwording bij medewerkers door op verschillende tijdstippen zogenoemde phishing e-mails te verzenden. Verder constateert de RKC op basis van de enquête die is uitgezet onder de medewerkers, dat niet iedereen weet waar datalekken gemeld moeten worden. Verder is het nog niet geborgd in dagelijkse processen, en het staat ook nog niet zeer frequent op de agenda van het MT/DT. 6. Op welke wijze is de gemeenteraad betrokken bij het stellen van kaders en het formuleren van doelen t.a.v. informatiebeveiliging en privacy? En hoe oefent zij haar controlerende functie op dit onderwerp uit? Indien van toepassing, wordt de gemeenteraad geïnformeerd door burgemeester en wethouders in de vorm van raadsmededelingen en auditrapportages. Daarbij constateert de RKC dat de organisatie ver achterliep, bijna een jaar, met de aanlevering van de Privacyrapportage over het jaar 20199. De gemeenteraad zelf neemt ten aanzien van het privacybeleid en informatiebeveiliging nauwelijks een kaderstellende en controlerende rol in. Bij praktische uitvoeringsvragen geeft de griffie waar nodig, in overleg met de PO, ondersteuning aan raadsleden. De antwoorden op de onderzoeksvragen leiden samen met overige onderzoeksresultaten tot de hierna opgetekende conclusies en aanbevelingen.

Conclusies en aanbevelingen Conclusie 1 Het belang van het op een juridisch juiste wijze realiseren van doelstellingen en werkwijzen ten aanzien van privacy en informatiebeveiliging, wordt volledig herkend en erkend door het college en het MT. In rapportages die door een stagiair en de FG zijn opgesteld, komt heel inzichtelijk naar voren wat de belangrijkste onderwerpen en nog te regelen zaken zijn, op het vlak van privacy en informatiebeveiliging. Om daarvan de voortgang van de uitwerking in de praktijk en in de tijd bezien effectief te volgen, is het van belang dat dat op een inzichtelijke manier gebeurt. Zoals naar voren komt in de rapportage Ist en Soll (2018), zijn de Plan-Do-Check-Act cyclus en de Planning & Control cyclus daarvoor geschikte instrumenten. De RKC heeft in het onderzoek niet kunnen constateren dat de gemeente op een toegankelijke en inzichtelijke manier beide instrumenten inzet om de voortgang van de onderwerpen te volgen. Op basis van onderzoek door de FG, blijkt dat het volwassenheidsniveau van de gemeente 1,5 is (op een schaal van 5). Ervan uitgaand dat de gemeente streeft om op termijn te willen voldoen aan volwassenheidsniveau 3, ligt sturing hierop voor de hand.

Aanbeveling 1 aan het college Hoewel er verschillende scenario’s mogelijk zijn om gestructureerd en inzichtelijk de groei naar het gewenste volwassenheidsniveau 3 tot stand te brengen, beveelt de RKC aan om hiermee een eerste start te maken op basis van aanbevelingen van de FG. De aanbevelingen staan uitgewerkt in bijlage 2 en omvatten zeven onderdelen: 1. Beleid 2. Processen 3. Organisatorische inbedding 4. Recht van betrokkenen 5. Samenwerking 6. Beveiliging 7. Verantwoording

9 Jaarrapportage Gegevensbescherming gemeente Steenbergen 2019/2020 en ontwikkeling 2021

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 6 van 57

Bepaal van elk van de zeven onderdelen de prioritering en betrek daarbij het overzicht van de 5 volwassenheidsniveaus (zie bijlage 1). Stel als MT een prioritering vast, zodat dit voor alle betrokkenen inzichtelijk is. Organiseer vervolgens de uitvoering binnen de teams en borg die in uw Planning & Control cyclus. Rapporteer de voortgang en resultaten met de Plan-Do-Check -Act cyclus aan alle betrokkenen, waaronder uw gemeenteraad. Conclusie 2 Ten aanzien van mogelijke verbeteringen, om in het kader van privacy en informatiebeveiliging door te groeien naar het volwassenheidsniveau 3, zijn samenvattend acht onderwerpen uit het onderzoek naar voren gekomen. 1. Bewustwording 2. Opleidingen en cursussen 3. Rollen en taken van de specifieke privacy- en informatiebeveiligingsfuncties 4. Proceseigenaarschap 5. Veilige omgeving 6. Arbeidscapaciteit 7. Gegevensverwerking registers 8. Aanschaf van de juiste ICT-tools Aanbeveling 2 aan het college Maak op basis van in de gemeente Steenbergen gehanteerde Plan-do-Check-Act cyclus inzichtelijk hoe u de organisatie met de hiervoor genoemde acht onderwerpen verder wilt ondersteunen en faciliteren. Een suggestie is om daarbij gebruik te maken van het kwaliteitsinstrument: Overheidsontwikkelmodel (OOM)10, dat in de gemeente reeds toegepast wordt.

Conclusie 3 In algemene zin lijkt privacy en informatiebeveiliging nog te veel ‘iets’ van de FG, CISO en PO, terwijl de praktische werkzaamheden die daaruit voortvloeien, door andere medewerkers moeten worden uitgevoerd. Aanbeveling 3 aan het college Zorg, mede ook op basis van het hiervoor aangehaalde bewustzijn, dat privacy en informatiebeveiliging integraal onderdeel uitmaakt van de dagelijkse werkzaamheden van medewerkers. Het opgestelde, maar door het college nog vast te stellen document11 Bestuurlijke organisatie privacybescherming, biedt daarvoor goede handvatten. Conclusie 4 Ten aanzien van privacy onderwerpen, is ernstig behoefte aan prioritering. Er is nog geen sprake van standaardprocedures en rapportages, die inzicht geven in hoe invulling wordt gegeven aan die onderwerpen. Voor het maken van een prioritering zijn de door een stagiair en FG opgestelde rapportages uitermate geschikt. Pas nadat een prioritering door het managementteam is vastgesteld, kan aan de hand van de Planning & Control cyclus en de Plan-Do-Check-Act cyclus de uitvoering gevolgd en bijgestuurd worden. Ook is een geopperde suggestie om bij collegevoorstellen een onderdeel privacy op te nemen, dit kan zeker leiden tot meer privacy- bewustzijn. De bewustwording en het ‘in control’ zijn van 10

Het Overheidsontwikkelmodel (OOM) is als afgeleide van het EFQM-model te beschouwen, maar meer gericht op overheidsorganisaties. Het OOM-model onderkent tien aandachtsgebieden, waarvan zes organisatie- en vier resultaatgericht. Al de tien gebieden staan in verbinding met elkaar, waarbij de behaalde resultaten aanleiding kunnen geven voor het leren en verbeteren van de kwaliteit in de organisatie. 11 Status document van de Structuurgroep Privacy en Informatieveiligheid.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 7 van 57

informatiebeveiliging beleidsmatig op een hoger niveau ligt. Echter, de praktische implementatie en de structurele borging van het privacybeleid vraagt nog de nodige aandacht. Aanbeveling aan de gemeenteraad Ga met uw college in gesprek over de manier waarop en met welke frequentie u geïnformeerd en/of gerapporteerd wenst te worden over het ‘toegroeien’ naar het gewenste volwassenheidsniveau 3, in het kader van de AVG. Hierdoor krijgt uw raad de mogelijkheid om zijn controlerende taak uit te voeren en tijdig inzicht te krijgen in onder meer de resultaten en de kosten.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 8 van 57

1. Inleiding Door de toegenomen taken van gemeenten, onder meer door de Jeugdwet en Participatiewet, verwerken en beheren zij steeds meer persoonlijke en gevoelige data. Gemeenten zijn daarbij kwetsbaar, zoals blijkt uit datalekken die bij enkele van hen naar boven zijn gekomen. Stel je voor dat persoonlijke informatie van burgers voor iedereen zichtbaar is. Of als door een hack de digitale dienstverlening niet meer functioneert. Veelal betekent dat daardoor het imago en het vertrouwen in gemeenten een ferme deuk oploopt, naast de nog eventuele juridische, financiële en technische gevolgen. Privacy en informatiebeveiliging maken daarom een onlosmakelijk deel uit van zowel het bestuur als de bedrijfsvoering van gemeenten. De wetgever heeft dit erkend en mede onder invloed van Europa dwingende wet- en regelgeving gemaakt. De AVG, ook bekend als General Data Protection Regulation (GDPR), schrijft voor dat passende maatregelen getroffen moeten worden om persoonsgegevens te beveiligen, in het belang van de burger en de gemeente zelf. De gemeente Steenbergen heeft haar algemeen privacybeleid gepubliceerd op haar website. Daarmee ontstaat inzicht in onder meer: de uitgangspunten van het beleid, het wettelijk kader, de Governance, uitwisseling met en (intergemeentelijke) samenwerking met derden, maatregelen en de positie en rechten van de burger.

Privacy en Informatiebeveiliging kent ook een toezichthouder: de Autoriteit Persoonsgegevens (hierna: AP). De taken en bevoegdheden van de AP12 staan in de AVG en zijn verder uitgewerkt in de Uitvoeringswet AVG (UAVG). Een taak is bijvoorbeeld toezicht houden. Een bevoegdheid is bijvoorbeeld onderzoek doen. De AP registreerde landelijk in 2020: 25.590 klachten, 8% minder dan in 2019. Circa 33% van de klachten had te maken met privacy-rechten van burgers. Bijvoorbeeld klachten over organisaties die niet meewerkten als mensen inzage wilden in hun eigen gegevens of die gegevens wilden laten verwijderen. Daarnaast ging 15% van de klachten over het ongewenst doorgeven van persoonsgegevens aan andere organisaties. In 2020 ontving de AP 23.976 datalekmeldingen, een daling van 11% ten opzichte van 2019. Het aantal meldingen naar aanleiding van hacking, malware of phishing-incidenten is daarentegen gestegen met 30% vergeleken met 2019. Het werkpakket van gemeenten is complex en de praktijk is nog in ontwikkeling, met name in het sociaal domein. Informatiebeveiliging wordt soms alleen als een technisch vraagstuk benaderd. De ervaring leert dat een gemeente het technisch nog zo goed voor elkaar kan hebben, maar de cruciale factor in privacy en informatiebeveiliging ligt toch voor een groot deel in houding en gedrag van het bestuur en de medewerkers van de gemeente.

Mede daarom is een belangrijk uitgangspunt dat bestuurders privacy en informatiebeveiliging en het gewenste gedrag erom heen uitdragen en bevorderen. Dit is een zaak van alle medewerkers en niet alleen van de FG, CISO en PO. Anders gezegd: een voor medewerkers ‘veilige organisatie’ en goed geïnformeerde medewerkers zijn randvoorwaarden om risico’s op het gebied van privacy en informatiebeveiliging zo laag als mogelijk te houden.

12 De taken van de AP zijn: toezicht, advisering, voorlichting, informatieverstrekking & verantwoording en internationale taken.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 9 van 57

1.1 Aanleiding De verantwoordelijkheid van de gemeente Steenbergen op het gebied van privacy en informatiebeveiliging is de afgelopen jaren, mede door de komst van aanvullende wetgeving, nieuwe taken en samenwerkingsverbanden met andere gemeenten enorm toegenomen. Figuur 1 toont hoe privacy en informatiebeveiliging met elkaar in verband staan.

Gemeenteraad/college van B&W

Interne toezichthouder: Functionaris Gegevensbescherming

Plan

Chief Information Security Officer

Informatiebeveiliging * ICT * Leveranciersovereenkomsten * Beleid * Bedrijfscontinuïteit * Beveiliging * Bewustwording * Naleving Gegevens en belangen van de gemeente Steenbergen

Privacy Officer

Do

Privacybescherming * Procedures en werkprocessen * Verwerkersovereenkomsten * Register van verwerkingen

Gegevens en rechten van personen

Gemeente Steenbergen: medewerkers, bestuur, software systemen /netwerken, organisatie en processen

Act

Check Algemene Verordening Gegevensbescherming / Privacybeleid gemeente Steenbergen / Baseline Informatiebeveiliging Overheid

Figuur 1: Relatie: wetgeving, informatiebeveiliging en privacybescherming

Sinds 2015 zijn Nederlandse gemeenten verantwoordelijk geworden voor diverse taken binnen het sociale domein zoals de Wet maatschappelijke ontwikkeling (WMO) en de Jeugdwet. Voor deze taken werkt de gemeente Steenbergen onder meer samen met de gemeente Bergen op Zoom en gemeente Woensdrecht. De samenwerking is vastgelegd in Convenant Samenwerking Brabantse Wal en middels de Uitvoeringsagenda Samenwerking Brabantse Wal wordt de voortgang bewaakt. Voor wat betreft aanvullende wetgeving valt te denken aan de AVG per mei 2018 en de BIO per mei 2019. De AP concludeert na onderzoek onder 41 Nederlandse gemeenten13: “De Autoriteit Persoonsgegevens constateert dat gemeenten géén duidelijk beeld hebben van welke gegevens zij in het sociaal domein mogen verwerken, voor welke doelen zij dit mogen en op basis van welke grondslagen. “Binnen de sector openbaar bestuur worden de meeste datalekken gemeld door zelfstandige bestuursorganen

13

https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/toestemmingsrapport_definitief_incl_bijlagen.pdf

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 10 van 57

(38%), gevolgd door gemeenten (33%) en de Rijksoverheid (25%)” 14. Hieruit blijkt dat gemeenten nog zoekende zijn om privacy goed te organiseren. In de jaarrapportage gegevensbescherming van de gemeente (september 2019 en 2020) wordt aangegeven dat de gemeentelijke organisatie niet aan de AVG voldoet. Diverse systemen en werkprocessen zijn daar niet volledig op ingericht en het vergt de nodige tijd om volledig AVG-proof te werken. Verder moet de organisatie een risicoanalyse en optimalisatie van kwetsbare processen uitvoeren. De bevindingen van de AP, de status van de gemeentelijke organisatie t.a.v. de AVG en de nieuwe taken voor kwetsbare inwoners van de gemeente vormde voor de RKC een reden om een onderzoek uit te voeren naar privacy en informatiebeveiliging binnen de gemeente Steenbergen.

1.2 Doel- en vraagstelling van het onderzoek De RKC beoogt met dit onderzoek de gemeenteraad inzicht de geven in de mate van doeltreffendheid en doelmatigheid van het privacybeleid en de informatiebeveiliging binnen de gemeente Steenbergen. Met het onderzoek wil de RKC mogelijke richtingen van verbetering benoemen. Het onderzoek beoordeelt:  of de gemeentelijke kaders voldoen aan de landelijke wetgeving;  in hoeverre de gemeentelijke kaders verwerkt zijn in de organisatie en werkprocessen;  of de kaders als werkbaar worden ervaren, en;  op welke wijze de gemeenteraad betrokken is bij privacy en informatiebeveiliging. Onderzoeksvragen: De centrale vraag van het onderzoek luidt als volgt: In hoeverre zijn het privacybeleid en de informatiebeveiliging van de gemeente Steenbergen doeltreffend en doelmatig? De centrale vraag is uitgewerkt in de volgende zes deelvragen: 1. Welke (wettelijke) kaders, doelstellingen en werkwijzen zijn van toepassing of zijn door de gemeente zelf geformuleerd op het gebied van informatiebeveiliging en privacy? 2. Hoe is de organisatie (ofwel: governance) van het privacybeleid en informatiebeveiliging vormgegeven? 3. In welke mate zijn de gestelde kaders, doelstellingen en werkwijzen geborgd in de dagelijkse uitvoering? 4. Voldoet de gemeente Steenbergen op dit moment aan alle relevante wet- en regelgeving t.a.v. informatiebeveiliging en privacy? 5.

Op welke wijze wordt aandacht gegeven aan het bewustzijn onder medewerkers van de gemeente Steenbergen t.a.v. informatiebeveiliging en privacy? 6. Op welke wijze is de gemeenteraad betrokken bij het stellen van kaders en het formuleren van doelen t.a.v. informatiebeveiliging en privacy? En hoe oefent zij haar controlerende functie op dit onderwerp uit?

1.3 Werkwijze in vogelvlucht Om de onderzoeksvragen te beantwoorden hebben we documenten opgevraagd bij de ambtelijke organisatie en vervolgens geanalyseerd. Een aantal belangrijke documenten daarbij is:  raadsmededeling rapportage privacy gemeente Steenbergen;  jaarrapportage gegevensbescherming gemeente Steenbergen;  raadsmededeling informatieveiligheidsbeleid, en 14

https://www.autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/jaarcijfers_meldplicht_datalekken_2019.pdf

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 11 van 57



register van verwerkingen (diverse afdelingen).

Aansluitend zijn er interviews afgenomen bij (beleid)medewerkers van de gemeente, wethouders, raadsleden en de griffie. Tevens is een enquête uitgezet bij alle medewerkers van de gemeente Steenbergen Op basis van al de verkregen informatie hebben we conclusies getrokken en aanbevelingen geformuleerd. Vervolgens is het conceptonderzoeksrapport voor ambtelijke en bestuurlijke wederhoor aangeboden aan respectievelijk de ambtelijke organisatie en het college. Tot slot is het definitief rapport aangeboden aan de gemeenteraad.

1.4 Leeswijzer Om snel een eerste indruk te krijgen van de inhoud van het rapport, vangt het rapport aan met: ‘rapport in het kort’. Het huidige hoofdstuk bevat de aanleiding van het onderzoek, de doel- en vraagstelling en de werkwijze in vogelvlucht. Hoofdstuk 2 gaat in op de (wettelijke) kaders, doelstellingen en werkwijzen ten aanzien van privacy en informatiebeveiliging alsmede hoe de borging in de gemeentelijke organisatie is vormgegeven. Dit vormt de basis waarmee de RKC de onderzoeksvragen 1, 2 en 3 beantwoordt. Hoofdstuk 3 bespreekt de resultaten van de afgenomen interviews met wethouders, ambtenaren, raadsleden en griffie en de resultaten van de enquête die bij de medewerkers is uitgezet over privacy en informatiebeveiliging. De resultaten leiden tot verbeterpunten en naar voren gebrachte meningen, ideeën en suggesties om het werken aan privacy en informatiebeveiliging te versterken. Zij vormen de basis waarmee de RKC de onderzoeksvragen 4, 5 en 6 beantwoordt. Tot slot gaat hoofdstuk 4 in op de beantwoording van alle onderzoeksvragen, conclusies en aanbevelingen aan college en raad.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 12 van 57

2. Stand van zaken Privacy en informatiebeveiliging

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 13 van 57

Dit hoofdstuk gaat in op de stand van zaken met betrekking tot privacy en informatiebeveiliging binnen de gemeente Steenbergen. Het hoofdstuk is volledig gebaseerd op documentstudie. In paragraaf 2.1 is aandacht voor de wettelijke kaders die van toepassing zijn en in paragraaf 2.2 wordt ingegaan op de stand van zaken binnen de gemeente Steenbergen. Het hoofdstuk sluit in paragraaf 2.3 af met een samenvatting, waaronder de antwoorden op de onderzoeksvragen 1, 2 en 3.

2.1 Wettelijke kaders Om hun (wettelijke) taken goed uit te voeren, verzamelen en gebruiken gemeenten veel persoonsgegevens. Om zaken te regelen of aan te vragen bij hun gemeente zijn inwoners vaak verplicht om hun persoonsgegevens te verstrekken. Daarnaast zoeken gemeenten steeds vaker naar oplossingen waarvoor zij verschillende data nodig hebben, zoals in het sociale domein. Ook speelt dat steeds meer gemeenten zich richten op zogenoemde ‘smart cities’, waarbij gezocht wordt naar slimme toepassingen in de openbare ruimte, zoals bijvoorbeeld het handhaven van veiligheidsregels. Voor die oplossingen maken gemeenten gebruik van kennis van derde partijen en is het van belang om hier extra alert te zijn opdat duidelijk is wie waar verantwoordelijk voor is, en dat persoonsgegevens niet in handen komen van onbevoegden. Dergelijke oplossingen kunnen grote invloed hebben op de privacy van inwoners en vereist een extra verplichting van gemeenten om te zorgen dat inwoners erop kunnen vertrouwen dat zij heel zorgvuldig omgaan met hun persoonsgegevens. Daarbij zijn er drie wetten die bepalen hoe gemeenten persoonsgegevens mogen gebruiken: de AVG, de UAVG en de Wet basisregistratie personen (hierna: Wbp). De AP heeft als taak om te monitoren of gemeenten zich ook daadwerkelijk aan deze wetten houden en indien nodig verzwaart de AP het toezicht op gemeenten.

2.2 Analyse organisatie 2.2.1 Specifieke functies privacy en informatiebeveiliging In Steenbergen zijn drie functies geformeerd die zich specifiek richten op privacy en informatiebeveiliging: de FG, CISO en PO. Volgens de AVG15 zijn gemeenten verplicht om een FG binnen hun organisatie aan te stellen en ook is er de verplichting om een CISO16 aan te stellen. De FG is de interne toezichthouder op de naleving van de AVG en andere privacy wet- en regelgeving. Daar valt ook het toezicht op de interne verdeling van verantwoordelijkheden en de bijbehorende bewustwording of opleiding aan medewerkers onder. De FG adviseert en rapporteert aan het hoogste niveau van de organisatie. Ook heeft de FG een belangrijke rol waar het gaat om het uitvoeren van Data Protection Impact Assessments (hierna: DPIA’s). Het advies van de FG moet daarin meegenomen worden. De CISO is dé spin in het web als het gaat om de beveiliging van informatie van de gemeente en is verantwoordelijk voor het implementeren van, en toezicht houden op het informatiebeveiligingsbeleid. De CISO heeft een centrale rol in het beheren van alle processen die daarmee te maken hebben en moet ervoor zorgen dat de gemeente uitvoering geeft aan het beheren van de in de BIO beschreven organisatorische en technische beveiligingsmaatregelen. De derde functie is die van de PO.

Als aanvulling op de verantwoordelijkheid van de CISO, om toezicht te houden op het informatiebeveiligingsbeleid. De PO faciliteert in organiseren, registreren en voortgang bewaken. De directie en het management zijn verantwoordelijk voor het actualiseren van het beleid. De functie van de PO is op de praktijk gericht en heeft een meer operationele en uitvoerende rol in 15 Op grond van artikel 37 van de Algemene verordening gegevensbescherming is een FG verplicht voor gemeenten, en zijn in de AVG de posi-

tie, taken en verantwoordelijkheden van de FG vastgelegd in de AVG. 16 Met de invoering van de Baseline Informatiebeveiliging Overheid (BIO) en het verbindend verklaren van dit normenkader voor de hele overheid per 1 januari 2020, is aanstelling van een CISO niet langer vrijblijvend, maar verplicht geworden.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 14 van 57

de gemeente. De PO fungeert ook als aanspreekpunt voor de medewerkers waar het gaat om gegevensbescherming. Daaronder vallen uitvoeringsactiviteiten zoals:  advies geven over werkprocedures  werkprocessen binnen afdelingen  zorgdragen en/of ondersteuning verlenen aan afdelingen bij het afsluiten van verwerkersovereenkomsten met derde partijen  beheren van verwerkingsregisters  coördineren van werkzaamheden die nodig zijn in geval van datalekken en  coördineren bij het uitvoeren van DPIA’s. Ten aanzien van de uitvoeringsactiviteit: werkprocessen binnen afdelingen, wordt opgemerkt dat deze een hulpmiddel zijn. De AVG eist aantoonbaar in control. Het ontbreekt vooral aan die aantoonbaarheid. ‘Comply or explain’ vormt hierbij het uitgangspunt. Te allen tijde is het management verantwoordelijk voor borging van privacy en aansturend op het acteren van de PO. De rol van PO wordt momenteel anders ingevuld. Zoals hiervoor al kort is aangestipt adviseert en rapporteert de FG over privacy en informatiebeveiliging aan het hoogste niveau van de gemeente, zijnde de gemeenteraad en het college van B&W. In het kader van dit onderzoek is de RKC nagegaan aan de hand van rapportages van de FG en van een stagiair, welke ontwikkelingen er plaatsvonden en welke adviezen en aanbevelingen hij heeft gegeven en welke resultaten bereikt zijn. Hiervoor zijn vier rapportages doorgelicht: 1.

Van Ist naar Soll (juni 2018) 2. Jaarrapportage gegevensbescherming (september 2019) 3. Jaarrapportagegegevensbescherming, gemeente Steenbergen 2019/2020 en ontwikkeling 2021 (september 2020) 4. Jaarplan Functionaris Gegevensbescherming 2021 (februari 2021). 1. Van Ist naar Soll (juni 2018) In juni 2018 is door een stagiair (die nu invulling geeft aan de functie van PO) het rapport Van Ist naar Soll (2018) opgesteld. Hierin beschrijft hij het beeld van de organisatie en wat er al is gedaan aan privacy. Daarin is uiteengezet dat de gemeente Steenbergen invulling moet geven aan het beschermen van persoonsgegevens zoals dit is neergelegd in de vanaf 25 mei 2018 van toepassing zijnde GDPR. In Nederland is deze vertaald naar de AVG. Belangrijk in deze nieuwe verordening is dat de gemeente Steenbergen sinds die datum ‘24/7’ moet kunnen aantonen dat er voldaan is aan de eisen die door deze nieuwe verordening op het vlak van het beschermen van persoonsgegevens gesteld worden. De rapportage geeft inzicht in een vooronderzoek dat is uitgevoerd en gaat in op het destijds bestaande gemeentelijke organisatieprofiel. Ook geeft het rapport inzicht in een analyse van wet- en regelgeving (welke wet gaat voor de andere gaat), waaraan de gemeente Steenbergen in het kader van de bescherming van persoonsgegevens moet voldoen c.q. die deel uitmaken van haar ‘Route op weg naar accountability’.

De stagiair constateert dat begin 2017 de gemeente Steenbergen is begonnen met de voorbereidingen op de AVG. Zo zijn er bij de afdeling Juridische zaken medewerkers vrijgesteld voor deze werkzaamheden. Ook is er iemand ingehuurd vanuit BMC als kwartiermaker (onder andere voor het opstellen van de gegevensverwerkingsregisters). De leidraad voor deze aanpak is het 10-stappenplan, opgesteld door de AP. Dit 10-stappenplan is nagenoeg geheel doorgevoerd en daarmee is er een belangrijke stap gezet in de richting van compliancy. De stagiair beschrijft verder dat - om invulling te geven aan de door de AVG gestelde eisen - de gemeente Steenbergen heeft gekozen voor inbedding van de bescherming van persoonsgegevens in de organisatie. Dit gebeurt door het samenstellen van een privacyteam, dat verantwoordelijk is voor het Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 15 van 57

tijdig, volledig en correct uitvoeren van de door de AVG voorgeschreven privacy activiteiten. Het privacyteam wordt aangestuurd door een privacybeheerder en gecontroleerd door de FG. Het realiseren van bedrijfsdoelstellingen vindt doorgaans plaats via een management-cyclus, de Plan-Do-Check en Act cyclus. Om de PDCA-cyclus te borgen is de AVG verdeeld in 13 hoofddoelen17. Welke in totaal 59 activiteiten bevatten. Een deel van deze activiteiten is al opgepakt en ingevoerd. Verder geeft de stagiair aan dat op 29 mei 2018 een Quickscan is uitgevoerd onder de medewerkers van de gemeente Steenbergen. Er waren 27 respondenten. De algemene conclusie is dat het risico binnen de gemeente Steenbergen is te kenmerken als ’verhoogd ‘. Ten aanzien van gegevensverwerkingen licht de stagiair toe dat naast wet- en regelgeving ook de in gebruik zijnde verwerkingen geïdentificeerd zijn. Per geïdentificeerde verwerking is invulling gegeven aan de doelomschrijving, het benoemen van de wettelijke grondslag en de te hanteren bewaartermijnen. Dit heeft geleid tot een overzicht van verwerkingen per afdeling. Deze zijn beschikbaar als bewijsvoering. De borging van de verwerkingen dienen gerealiseerd te worden in het te formeren privacy team, waarbij de kwaliteit getoetst zal toetsen18.

Door het maken van een vergelijking tussen de bestaande situatie en de gewenste situatie (GAP-analyse), beschrijft de stagiair in de rapportage heel uitvoerig en helder de stand van zaken van de hiervoor aangehaalde 13 hoofddoelen. 2. Jaarrapportage gegevensbescherming (BM1905568, september 2019) In de jaarrapportage doet de stagiair verslag over de periode 2018 en 2019. In de Inleiding van het rapport beschrijft hij de context van vijf niveaus met betrekking tot het werken aan privacy: Informeel, Beheerst, Vastgesteld, Voorspelbaar, Geoptimaliseerd. Hij geeft daarbij aan dat de gemeente Steenbergen haar ambitie heeft gesteld op niveau 3 en dat daarvoor een tijdpad van twee jaar is uitgezet. Om dit doel te bereiken is er een Ontwikkelplan per afdeling opgezet. De uitrol hiervan vindt in Q4 2019 plaats. In deel 1 van de rapportage: Een terugblik, geeft de stagiair inhoudelijke inzicht in 13 AVG-onderwerpen19. In deel 2 van de rapportage: Vooruitblik naar de toekomst, geeft hij concreet op alle 13 AVGonderwerpen verschillende aanbevelingen. In de samenvatting is te lezen dat de gemeente in 2018 en 2019 veel werk heeft verzet op het gebied van gegevensbescherming, maar dat algemeen gesteld de gemeentelijke organisatie niet aan de AVG voldoet omdat de diverse systemen en werkprocessen nog niet (volledig) daarop zijn ingericht. 3.

Jaarrapportagegegevensbescherming, gemeente Steenbergen 2019/2020 en ontwikkeling 2021 (versie 1.1, september 2020)

In de jaarrapportage beschrijft de FG in deel 1 de terugblik op 2019/2020 en in deel 2 het vooruitkijken naar 2021, m.b.t. zeven privacy- en informatiebeveiligingsonderwerpen20. De conclusie van de terugblik 2019/2020: “over het algemeen gesteld kan worden dat de gemeente op de goede weg is om aantoonbaar te voldoen aan de AVG. Het proces dat de gemeente en haar medewerkers hierbij doorlopen, en de voortgang, wijkt niet noemenswaardig af van dat van andere vergelijkbare gemeenten. Er zijn ook aandachtspunten voor de organisatie om aantoonbaar te kunnen voldoen aan de AVG”.

17 De 13 hoofddoelen zijn: Governance, Registerverwerkingen, Training en bewustwording, Privacy beleid, Inbedden bescherming persoons-

gegevens, Informatiebeveiliging, Derde partijen, Privacy verklaringen, Verzoeken en klachtafhandeling, Verwerkingspraktijk, Datalekken, Gegevensverwerkingspraktijk, privacy ontwikkelingen. 18 Inmiddels is uit de afgenomen interviews naar voren gekomen dat het privacy team niet meer operationeel is. 19 Privacybeleid, Organisatorische inbedding, Risicomanagement en DPIA, Risicomanagement en Privacy by design, Intern Toezicht, Rechten van betrokkenen, Meldplicht datalekken, Doelbinding gegevensverwerking, Register van gegevens verwerkingen, Kwaliteitsmanagement, Beveiliging van de verwerking van persoonsgegevens, Informatieverstrekking bij de verzameling van persoonsgegevens, Bewaren van persoonsgegevens. 20 Beleid, Processen, Organisatorische inbedding, Rechten van betrokkenen, Samenwerking, Beveiliging, Verantwoording.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 16 van 57

Ten aanzien van het vooruitkijken naar 2021, in relatie tot het bereiken van het volwassenheidsniveau 3, geeft de FG concrete aanbevelingen ten aanzien van de hiervoor genoemde zeven privacy- en informatiebeveiligingsonderwerpen. In bijlage 1 staan de aanbevelingen weergegeven. De conclusie van de FG, naar het vooruitkijken naar 2021, staat volledig weergegeven in het onderstaande kader 1. Op het gebied van privacy en gegevensbescherming is er in 2021 zeker nog winst te behalen. Gemeten met de Privacy self assessment methode van het Centrum Informatiebeveiliging en Privacybescherming (CIP) haalt de gemeente een score van 1,5 op een schaal van 5. Hierbij betekent niveau 3 dat er in de basis voldaan wordt aan de AVG. Met name het vroegtijdig betrekken van de privacy functionarissen (FG en PO) bij nieuwe initiatieven door zowel college als management gaat deze winst opleveren. Dit zorgt nl. voor een tijdige toetsing van deze initiatieven aan de AVG vereisten. Niet als rem maar als belangrijke randvoorwaarde en toetsingskader. Hiermee wordt voorkomen dat het proces stagneert of kosten gemaakt moeten worden voor het doen van verplichte aanpassingen. In dit verband wordt er aandacht gevraagd voor de samenwerkingsverbanden met andere gemeenten, netwerkorganisatie en overige.

Niet in alle gevallen is de grondslag voor gegevensuitwisseling helder of de onderlinge verhoudingen van de deelnemende partijen en daarmee de afzonderlijke verantwoordelijkheden op het gebied van beheer, toegang, behandelen van verzoeken in het kader van rechten van betrokkenen en het correct omgaan met datalekken. Daarnaast is er zonder een duidelijke doelomschrijving kans op ongewild of ongeoorloofd gebruik van betrokken persoonsgegevens. De Autoriteit Persoonsgegevens heeft samenwerkingsverbanden als aandachtpunt opgenomen in haar focus document 2020-2023. Gemeente Steenbergen is hieromtrent zeker nog niet in control. Bewustwording van privacy aspecten in het dagelijks werk, als ook domein specifiek, verdienen nog de nodige aandacht. Dit kan gaan om dataminimalisatie (niet meer persoonsgegevens vragen dan strikt noodzakelijk), de noodzaak om vooraf afspraken te maken over persoonsgegevens uitwisseling, en het niet langer bewaren van persoonsgegevens dan noodzakelijk of op basis van wettelijke verplichting. Het beheer van persoonlijke netwerk schijven en outlook e-mail bestanden verdient meer aandacht in de vorm van duidelijke werkinstructies. Het optimaliseren en proactief actueel houden van het dynamische register van verwerkingen verdient de nodige aandacht. Dit register kan gezien worden als een van de brondocumenten als het gaat om het aantoonbaar voldoen aan de AVG.

De proceseigenaren (lijnmanagers) hebben een actieve rol en verantwoordelijkheid bij het melden van nieuwe verwerkingen en het aangeven van wijzigingen van verwerkingen. Dit melden gebeurt tot nu onvoldoende. Het DPIA-instrument (Data Protection Impact Assessment) wordt nog niet tot nauwelijks actief en tijdig gebruikt om risico’s van de verschillende verwerkingen van persoonsgegevens in kaart te brengen, adequate beveiligingsmaatregelen te treffen, en dit ook controleerbaar vast te leggen. Hier is de AVG-aantoonbaarheidseis nadrukkelijk van toepassing. De gemeente geeft, door dit instrument wel te gebruiken, aan in control te zijn. Tot slot zal er op korte termijn begonnen moeten worden met het inrichten en gaan gebruiken van een PDCA cyclus om zo periodiek alle AVG vereisten, als onderdeel van de managementcyclus, op een planmatige wijze te toetsen en evt. bij te stellen. Het college en management zullen hun afzonderlijke verantwoordelijkheid moeten nemen en deze invulling geven, als proceseigenaren, om een hoger privacy volwassenheidsniveau te bereiken. Kader 1 Vooruitkijk 2021 van FG

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 17 van 57

4. Jaarplan Functionaris Gegevensbescherming 2021 (versie 1.0, februari 2021) Het doel van dit FG-jaarplan is de gemeente Steenbergen duidelijkheid geven over de activiteiten en aandachtspunten van de FG voor het jaar 2021. Deze activiteiten richten zich op toetsing, advies en het verhogen van de privacy bewustwording en -zijn waar mogelijk afgestemd met het jaarlijkse privacy activiteitenplan. Verder geeft dit jaarplan inzicht in de huidige situatie en nieuwe ontwikkelingen die in 2021 voor de gemeente van toepassing zijn, zoals bijvoorbeeld Wet Open Overheid (WOO) en Wet Digitale Overheid (WDO). Verder is er een programma en een activiteitenplanning uiteengezet. De jaarplanning wordt aangeboden aan de gemeentesecretaris, portefeuillehouder Privacy en PO.

2.2.2 Beschouwing rapportages Functionaris Gegevensbescherming In de hiervoor besproken FG-rapportages komt inzichtelijk naar voren wat de belangrijkste onderwerpen en nog te regelen zaken zijn, op het vlak van privacy en informatiebeveiliging. Om de voortgang daarvan in de praktijk en in de tijd te kunnen volgen, is het van belang dat dat op een inzichtelijke manier gebeurt. Zoals in de rapportage Ist en Soll (2018) al naar voren werd gebracht, zijn de Plan-Do-Check-Act cyclus en de Planning & Control cyclus daarvoor geschikte instrumenten. De RKC heeft in het onderzoek niet kunnen constateren dat de gemeente op een toegankelijke en inzichtelijke manier beide instrumenten inzet om de voortgang van de onderwerpen te volgen. Wat de RKC is opgevallen dat er in veel gevallen de belangrijke documenten geen formele status hebben gekregen vanuit het MT.

2.3 Samenvatting Uit de bestudeerde FG-rapportages maakt de RKC op dat de gemeente Steenbergen op veel vlakken inspanningen verricht om het ‘in control’ brengen en houden van alle verplichtingen die privacy en informatiebeveiliging vereist. Tegelijkertijd is ook duidelijk dat er nog veel moet worden gedaan. Het is daarom van belang dat de gemeente al het nodige doet om zorg te dragen dat de aanbevelingen van de FG, zoals die staan weergegeven in bijlage 1, te organiseren binnen de kaders van de PDCA- en P&Ccyclus. Uiteraard houdt dit ook in dat - indien de gemeente aangeeft niet te kunnen of te willen voldoen aan bepaalde de verplichtingen - zij dit ook beargumenteerd vastlegt en hierover communiceert naar alle betrokken partijen. Op basis van de ontvangen en onderzochte documenten zijn antwoorden geformuleerd op de onderzoeksvragen 1, 2 en 3. Deze staan uitgewerkt in het onderstaande kader 2 (volgende pagina).

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 18 van 57

Vraag 1: Antwoord:

Vraag 2: Antwoord:

Vraag 3: Antwoord:

Welke (wettelijke) kaders, doelstellingen en werkwijzen zijn van toepassing of zijn door de gemeente zelf geformuleerd op het gebied van informatiebeveiliging en privacy? Formeel beschouwd zijn in het kader van privacy de Europese privacywet AVG en de UAVG de belangrijkste wetten. Deze wetten stellen eisen aan de wijze waarop organisaties omgaan met persoonsgegevens. Deze eisen hebben onder meer betrekking op de plicht om datalekken te melden, om privacy impact analyses uit te voeren en het beschikken over een FG. Verder speelt ook de Wob een belangrijke rol. Deze wet garandeert en maakt het mogelijk dat eenieder informatie kan opvragen over bestuurlijke aangelegenheden bij bestuursorganen. Afgeleid van de AVG heeft de gemeente Steenbergen haar eigen algemeen privacybeleid geformuleerd. De BIO is één gezamenlijk normenkader voor informatiebeveiliging binnen de gehele overheid, gebaseerd op de internationaal erkende en actuele ISO-normatiek21 (ISO 27001, ISO 27002). Hoe is de organisatie (ofwel: governance) van het privacybeleid en informatiebeveiliging vormgegeven? Het college van burgemeester en wethouders is eindverantwoordelijk voor de informatieveiligheid. Het directieteam is verantwoordelijk voor de inrichting en uitvoering.

Aanvullend daarop zijn binnen de gemeente Steenbergen drie specifieke functies georganiseerd om toezicht te houden en uitvoering te geven aan privacybeleid en informatieveiligheid: FG, PO en CISO. Daarnaast is het directieteam verantwoordelijk voor het faciliteren en het ondersteunen van een goede uitvoering. Teammanagers zijn verantwoordelijk voor hun processen en het aanwijzen van proceseigenaren. Er wordt naar gestreefd om alle medewerkers zoveel mogelijk mee te nemen in de gestelde eisen aan privacy en informatiebeveiliging, zodat zij daaraan in hun werkzaamheden op een praktische manier invulling kunnen geven. In welke mate zijn de gestelde kaders, doelstellingen en werkwijzen geborgd in de dagelijkse uitvoering? De mate waarin de borging is georganiseerd voldoet nog niet. Er is ernstig behoefte aan prioritering van privacy onderwerpen. Er is nog geen sprake van standaardprocedures en rapportages die inzicht geven in hoe invulling wordt gegeven aan die onderwerpen. Dit geldt niet voor informatiebeveiliging. Ten aanzien van de BIO zijn heel veel standaardprocedures beschikbaar, en gaat veel verder dan de AVG vereist. Voor het maken van een prioritering van privacy onderwerpen zijn de rapportages van de FG uitermate geschikt.

Pas nadat een prioritering door het managementteam is vastgesteld, kan aan de hand van de Planning & Control cyclus en de Plan-Do-Check-Act cyclus de uitvoering gevolgd en bijgestuurd worden. Ook is een geopperde suggestie om bij collegevoorstellen een onderdeel privacy op te nemen, dit kan zeker leiden tot meer privacy- bewustzijn.

Kader 2 Beantwoording onderzoeksvragen 1, 2 en 321

21 ISO 27001 en ISO 27002. De norm ISO 27001 beschrijft hoe procesmatig met het beveiligen van informatie kan worden omgegaan, met als

doel om de vertrouwelijkheid, beschikbaarheid en integriteit van informatie binnen een organisatie zeker te stellen. De norm ISO 27002 beschrijft de beheersmaatregelen en biedt een verdiepingsslag op ISO 27001. ISO 27002 geeft in detail aan welke maatregelen een organisatie kan nemen om aan de normeisen van ISO 27001 te voldoen.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 19 van 57

3. Resultaten afgenomen interviews en enquête

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 20 van 57

In dit hoofdstuk staan de resultaten en analyse van de afgenomen interviews22 en de enquête die is uitgezet bij de medewerkers van de gemeente Steenbergen. Deze zijn achtereenvolgens toegelicht in de paragrafen 3.1 en 3.2. De hieruit volgende aandachts- en verbeterpunten staan in paragraaf 3.3. Tot slot sluit dit hoofdstuk in paragraaf 3.4 af met een samenvatting, waaronder de antwoorden op de onderzoeksvragen 4, 5 en 6.

3.1 Interviews en analyse De interviews geven inzicht in de werkwijzen en mogelijke aanscherpingen en verbeteringen met betrekking tot het werken aan privacy een informatiebeveiliging, in de gemeentelijke organisatie. Hiervoor is door de geïnterviewden een veelvoud aan relevante onderwerpen naar voren gebracht. De onderwerpen (niet uitputtend genoemd) hebben betrekking op: bewustwording, opleidingen en cursussen, rollen en taken van de specifieke privacy en informatiebeveiligingsfuncties, proceseigenaarschap, creeren van een veilige omgeving, arbeidscapaciteit, gegevensverwerking registers en aanschaf van de juiste ICT-tools. De mate waarin medewerkers zich bewust zijn van de noodzaak om alert om te gaan met Privacy- en informatiebeveiliging is in de tijd bezien positief geëvolueerd. Dit geldt in meerdere mate voor informatiebeveiliging. Toch geven medewerkers aan om als organisatie continu aandacht te blijven besteden aan privacy en informatiebeveiliging. Die continue aandacht geldt ook voor opleidingen en cursussen, niet eenmalig maar op regelmatige basis aanbieden van opleidingen. Dit mede door steeds verdergaande ontwikkelingen op het gebied van privacy en informatiebeveiliging. Met de opmerking dat een aantal geïnterviewden de wens uitspreekt om toch vooral te proberen om ‘meer op maat’ opleidingen beschikbaar te stellen.