Onderzoeksrapport privacy & informatieveiligheid.pdf

En, om tevens daarbij te kijken wat de werkdruk is, zodat medewerkers niet in de klem komen met hun dagelijkse werkzaamheden. Medewerkers hebben behoefte om de (volgens hen dikwijls theoretische) eisen die gesteld worden aan privacy en informatiebeveiliging vertaald te zien naar hun dagelijkse werkzaamheden. Verder komt uit enkele interviews naar voren dat niet alle medewerkers helemaal helder voor ogen hebben wat precies de taken zijn van de drie functies: FG, CISO en de PO. Voor alle drie hiervoor aangehaalde onderwerpen geldt zeker ook dat de ‘kracht van herhaling’ helpt om medewerkers nog meer inzicht te geven. Een volgende en belangrijke randvoorwaarde om te groeien naar een hoger volwassenheidsniveau is om meer aandacht te schenken aan én het daadwerkelijk benoemen van proceseigenaren. Deze vervullen een belangrijke rol bij de vereiste wijze van aansturen en uitvoeren van de dagelijkse privacy en informatiebeveiligingswerkzaamheden. Als suggestie geeft de RKC dat het een overweging waard is om inzichtelijk te maken wie welke rol heeft in de werkprocessen. Een kwaliteitsinstrument dat voor dit doel gebruikt kan worden is het RASCI23-model. Dit is een matrix waarin de rollen en verantwoordelijkheden van personen die bij projecten of lijnwerkzaamheden betrokken zijn inzichtelijk worden gemaakt.

Hierbij merkt de RKC op dat het statusdocument Bestuurlijke organisatie privacybescherming al een goede richting geeft aan de rollen en verantwoordelijkheden van betrokken personen. Dit statusdocument dient nog vastgesteld te worden door het college. En, is het vooral van belang dat na vaststelling ook de nodige 22 Met ambtenaren (die zowel beleidsmatig als uitvoerend betrokken zijn bij het privacy beleid en informatiebeveiliging), wethouders, raad-

sleden 23 RASCI staat voor: Responsible: verantwoordelijk voor de uitvoering van een proces of activiteit. Deze persoon legt verantwoording af aan de persoon die accountable is. Accountable: de eindverantwoordelijke die ook goedkeuring moet geven aan het resultaat. Support: de persoon die ondersteuning verleent aan het proces of project en de werkzaamheden uitvoert. Consulted: de persoon die moet worden geraadpleegd, goedkeuring verleent of input levert aan de ‘responsible’ persoon, voorafgaand aan een stap in het proces. Informed: degene die geïnformeerd wordt over de beslissingen, de voortgang en de bereikte resultaten, zodat er een volgende stap kan worden gezet.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 21 van 57

aandacht wordt besteed aan communicatie zodat alle betrokkenen op de hoogte zijn wat van hen wordt verwacht ten aanzien van privacy en daaraan gerelateerde informatieveiligheid. Meerdere malen is door medewerkers benadrukt dat het creëren van een veilige omgeving zeer gewenst is en meer aandacht verdient. Als het gaat om bijvoorbeeld melden van datalekken, dan moet het ‘klip en klaar’ zijn dat dat normaal werk is in de gemeentelijke organisatie, zonder dat dit een dilemma of onveilig gevoel oplevert bij medewerkers. Capaciteit en ruimte vrijmaken om bijvoorbeeld met collega’s over casussen te spreken en te discussiëren, waaronder ook de verschillende gradaties van datalekken zou zeer worden geapprecieerd. Verder zou het zinvol zijn om in het kader van een beheersbare werkdruk, vanwege de gestelde eisen aan privacy en informatiebeveiliging, inzicht te krijgen in de omvang en de daarvoor benodigde arbeidscapaciteit van met name de CISO en de PO. De RKC benadrukt dat gegevensverwerking registers een zeer belangrijke functie hebben bij de dagelijkse privacy en informatiebeveiligingswerkzaamheden. De functie van dergelijke registers kan veel duidelijker, dan nu het geval is, gecommuniceerd worden aan medewerkers. Zorg dat de daarvoor van toepassing zijnde procesbeschrijving beter bekend raakt bij medewerkers, zodat er meer dynamischere registers ontstaan.

Als laatste - maar zeker niet het onbelangrijkste - is dat de gemeente op korte termijn de mogelijkheden onderzoekt om over te gaan op aanschaf van een Information Security System (ISMS) of een Privacy Management Systeem (PMS). Dergelijke systemen maken het beter mogelijk om privacy- en informatiebeveiligingsonderwerpen meer eenduidig en structureel te borgen en op verschillende organisatieniveaus erover te rapporteren. Inmiddels is begonnen met de implementatie van een ISMS, dat nagenoeg door de gehele Equalit-share wordt gebruikt. Een belangrijk algemeen aandachtspunt bij het aanschaffen van dergelijke software is, dat vooral medewerkers die met de software gaan werken vanaf de orientatiefase intensief betrokken worden.

3.2 Enquêteresultaten en analyse De analyse van de enquêteresultaten is op basis van 28 reacties van de in totaal 178,9 FTE die de uitnodiging voor de enquête hebben ontvangen. De RKC constateert dat 16% een lage deelname is. Echter, vormen de respondenten een goede doorsnede van alle teams/afdelingen, verschillende niveaus binnen de organisatie en variatie in dienstjaren. We nemen de uitkomst daarom wel mee in onze bevindingen. Het merendeel (57,1%) geeft aan dat er bij de indiensttreding voldoende aandacht is besteed aan de procedures en werkinstructies binnen hun team/afdeling. Wat betreft de aandacht die is geschonken aan privacy(wetgeving) en informatiebeveiliging – met 28,5% (ruim) voldoende en 32,1% (ruim) onvoldoende – is er ruimte voor verbetering. Daarentegen geeft 100% aan in het afgelopen jaar of de afgelopen drie jaar scholing op dit gebied te hebben ontvangen. Vrijwel iedereen (96,5%) geeft aan dat zij weten wat er verwacht wordt bij het veroorzaken dan wel aantreffen van een datalek binnen de gemeente. In de open antwoorden zien wij terug dat het nog wel onduidelijk is bij wie dit datalek gemeld moet worden (FG, PO, CISO, en/of leidinggevende), waaruit valt af te leiden dat het voor de medewerkers niet volledig duidelijk is wat de verantwoordelijkheden van met name de FG, PO en CISO zijn.

Positief wordt over het algemeen geantwoord op de aandacht die de organisatie heeft voor werken binnen de privacywetgeving (89,3%), het kennen van het privacybeleid van de gemeente Steenbergen (85,7%), het werken binnen de kaders van de relevante wetgeving en procedures (96,5%) en de bekendheid van de CISO (96,4%) en PO (96,5%) binnen de gemeente Steenbergen. Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 22 van 57

In hoge mate (17,9%) en in mindere mate (60,7%) wordt aangegeven gehinderd te worden in zijn/haar werk door privacy- en informatiebeveiligingsmaatregelen die zijn ingericht door de organisatie. Daarentegen ondervindt 21,4% geen enkele hindering. Driekwart van de respondenten (75%) geeft aan voldoende bewustwording in de organisatie te ervaren en zelfs 96,4% geeft aan zich bewust te zijn van de gevoeligheid van data waarmee men dagelijks werkt. Dit zie je ook terug in het de antwoorden over het vergrendelen van computer bij het verlaten van de werkplek en het gebruik van een authenticator app of wachtwoord manager. Men vindt de aandacht voor privacy en informatieveiligheid binnen de eigen afdeling voldoende (78,6% antwoord positief) en ziet datzelfde percentage ook terug in de werkprocessen waarmee zij dagelijks werken. De stelling “een datalek, dat gebeurt ons niet” wordt door 100% met oneens beantwoord. Op de stelling “in onze organisatie is de cultuur: fouten maken mag” zijn de reacties nagenoeg in evenwicht (ja: 53,6% en nee: 46,4%). Desondanks geeft 96,4% aan niet terughoudend te zijn in het melden van een datalek. Hetzelfde percentage weet wie men binnen de organisatie moet benaderen om een casus te toetsen aan de privacywetgeving.

Tot slot wordt de vrije ruimte door een aantal gebruikt om een opmerking te maken over het periodiek onder de aandacht te blijven brengen van privacy(wetgeving) en informatieveiligheid.

3.3 Aandachts- en verbeterpunten Zoals hiervoor in paragraaf 3.1 is beschreven dient de focus te liggen op de onderwerpen (niet uitputtend genoemd): bewustwording, opleidingen en cursussen, rollen en taken van de specifieke privacy en informatiebeveiligingsfuncties, proceseigenaarschap, creëren van een veilige omgeving, arbeidscapaciteit, gegevensverwerking registers en aanschaf van de juiste ICT-tools.

3.4 Samenvatting Uit de resultaten van de afgenomen interviews en enquête, maakt de RKC op dat de gemeente Steenbergen op vele vlakken inspanningen verricht voor het in ‘control’ brengen en houden van alle verplichtingen die privacy en informatiebeveiliging vereist. Tegelijkertijd laten de resultaten van het onderzoek ook duidelijk zien dat er nog veel moet worden gedaan om het gewenste AVG-volwassenheidsniveau van 3 (op een schaal van 5) te behalen. Het is daarom van belang dat de gemeente al het nodige doet om te zorgen dat de aanbevelingen van de FG, zoals die staan weergegeven in bijlage 2, te organiseren binnen de kaders P&C-cyclus en daarbij gebruik maakt van de Plan-Do-Check-Act cyclus. Uiteraard houdt dit ook in dat - indien de gemeente tot de conclusie komt niet te kunnen of te willen voldoen aan bepaalde de verplichtingen - zij dit ook beargumenteerd vastgelegd en hierover communiceert de gemeenteraad en naar alle overige betrokken partijen. Op basis van de afgenomen interviews, gesprekken en enquête, zijn antwoorden geformuleerd op de onderzoeksvragen 4, 5 en 6. Deze staan uitgewerkt in het onderstaand kader 3 (volgende pagina).

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 23 van 57

Vraag 4: Antwoord:

Vraag 5: Antwoord:

Vraag 6: Antwoord:

Voldoet de gemeente Steenbergen op dit moment aan alle relevante wet- en regelgeving t.a.v. informatiebeveiliging en privacy? Met als uitgangspunt dat de gemeente dient te voldoen aan het gestelde volwassenheidsniveau 3 (op een schaal van 5), en zich momenteel bevindt op niveau 1,5, constateert de RKC dat nog niet voldaan wordt aan alle wet- en regelgeving. Op welke wijze wordt aandacht gegeven aan het bewustzijn onder medewerkers van de gemeente Steenbergen t.a.v. informatiebeveiliging en privacy? De gemeente geeft de nodige aandacht in de vorm van het aanbieden van opleidingen en cursussen aan medewerkers. De implementatie van een LeerManagementSysteem - waar medewerkers doormiddel van e-learning meer kennis op kunnen doen over privacy en informatiebeveiliging - is daarvan een goed voorbeeld. Ook brengt de gemeente privacy en informatiebeveiliging ‘in beeld’, door het ophangen van posters en het geven van praktijkvoorbeelden1 op het Intranet. Daarnaast toetst de gemeente regelmatig de bewustwording bij medewerkers door op verschillende tijdstippen zogenoemde phishing e-mails te verzenden. Verder constateert de RKC, op basis van de enquête onder de medewerkers, dat niet iedereen weet waar datalekken gemeld moeten worden. Verder is het nog niet geborgd in dagelijkse processen, en het staat ook nog niet zeer frequent op de agenda van het MT/DT.

Op welke wijze is de gemeenteraad betrokken bij het stellen van kaders en het formuleren van doelen t.a.v. informatiebeveiliging en privacy? En hoe oefent zij haar controlerende functie op dit onderwerp uit? Indien van toepassing, wordt de gemeenteraad geïnformeerd door burgemeester en wethouders in de vorm van raadsmededelingen en auditrapportages. Daarbij constateert de RKC dat de organisatie ver achterliep, bijna een jaar, met de aanlevering van de Privacyrapportage over het jaar 2019. De gemeenteraad zelf neemt ten aanzien van het privacybeleid en informatiebeveiliging nauwelijks een kaderstellende en controlerende rol in. Bij praktische uitvoerings-

Kader 3 Beantwoording onderzoekvragen 4, 5 en 6

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 24 van 57

4. Onderzoeksvragen en normenkader, conclusies en aanbevelingen

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 25 van 57

De resultaten van het onderzoek zijn getoetst aan vooraf gestelde normen ofwel beoordelingscriteria, die voor elk van de zes deelvragen zijn opgesteld. De beoordeling is weergegeven als: goed/neutraal/matig/niet te beoordelen/niet van toepassing. Per deelvraag is een tabel opgesteld, met daarin aangegeven de beoordelingscriteria en korte toelichtingen erop. Van elk van de zes deelvragen zijn eerst de toetsing aan het normenkader en vervolgens de conclusies en aanbevelingen beschreven.

4.1 Beantwoording van de onderzoeksvragen De centrale onderzoeksvraag van dit onderzoek luidt: In hoeverre zijn het privacybeleid en de informatiebeveiliging van de gemeente Steenbergen doeltreffend en doelmatig? Informatiebeveiliging staat al tien jaar op de agenda bij de gemeente Steenbergen en privacybeleid sinds een jaar of drie. Daardoor heeft de gemeente al veel meer energie kunnen stoppen in en voor bewustwording kunnen zorgen in informatieveiligheid, dan in privacybeleid. In welke mate informatieveiligheid en privacybeleid doelmatig zijn, is in het onderzoek niet duidelijk geworden. De RKC constateert op basis van interviews, gevoerde gesprekken en documentonderzoek, dat de bewustwording en het ‘in control’ zijn van informatiebeveiliging beleidsmatig op een hoger niveau ligt. Echter, de praktische implementatie en de structurele borging van het privacybeleid vraagt nog de nodige aandacht. De centrale vraag is uitgewerkt in de volgende zes deelvragen: 1. Welke (wettelijke) kaders, doelstellingen en werkwijzen zijn van toepassing of zijn door de gemeente zelf geformuleerd op het gebied van informatiebeveiliging en privacy? 2. Hoe is de organisatie (ofwel: governance) van het privacybeleid en informatiebeveiliging vormgegeven? 3. In welke mate zijn de gestelde kaders, doelstellingen en werkwijzen geborgd in de dagelijkse uitvoering? 4.

Voldoet de gemeente Steenbergen op dit moment aan alle relevante wet- en regelgeving t.a.v. informatiebeveiliging en privacy? 5. Op welke wijze wordt aandacht gegeven aan het bewustzijn onder medewerkers van de gemeente Steenbergen t.a.v. informatiebeveiliging en privacy? 6. Op welke wijze is de gemeenteraad betrokken bij het stellen van kaders en het formuleren van doelen t.a.v. informatiebeveiliging en privacy? En hoe oefent zij haar controlerende functie op dit onderwerp uit? Beoordeling en beantwoording deelvraag 1 Deelvraag 1: Welke (wettelijke) kaders, doelstellingen en werkwijzen zijn van toepassing of zijn door de gemeente zelf geformuleerd op het gebied van informatiebeveiliging en privacy? Norm/criteria Beoordeling Toelichting Er wordt een overzicht gemaakt van welke kaders, werkwijzen en doelstellingen die gemeente toepast.

Voldoet aan de criteria.

In het Algemeen privacybeleid van de gemeente Steenbergen (in te zien via de website van de gemeente), dat geldt vanaf 1 mei 2017 tot heden, staat beschreven op welke wijze zij invulling geeft aan de wettelijke vereisten, regels en procedures die gelden voor privacy en informatieveiligheid. Naar verwachting wordt het Algemeen privacybeleid geactualiseerd in het 4de kwartaal van 2021.

Tabel 1 Beoordeling en beantwoording deelvraag 1

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 26 van 57

Beoordeling en beantwoording deelvraag 2 Deelvraag 2: Hoe is de organisatie (ofwel: governance) van het privacybeleid en informatiebeveiliging vormgegeven? Norm/criteria Beoordeling Toelichting Wat is het beleid en wie is verantwoordelijk?

Voldoet nog niet helemaal.

In het Algemeen privacybeleid van de gemeente staat beschreven wat verstaan wordt onder governance, en hoe de gemeente daar invulling aangeeft. Echter, de navolgbaarheid van procedures en regels ten aanzien van het privacybeleid die vastgelegd zijn, zijn nog niet voldoende geborgd in de organisatie. Dit geldt niet voor het onderdeel informatiebeveiliging, de daarvoor geldende procedures en regels (BIO) zijn beschikbaar.

Tabel 2 Beoordeling en beantwoording deelvraag 2

Beoordeling en beantwoording deelvraag 3 Deelvraag 3: In welke mate zijn de gestelde kaders, doelstellingen en werkwijzen geborgd in de dagelijkse uitvoering? Norm/criteria Beoordeling Toelichting De doelstellingen op het gebied van privacy zijn inzichtelijk en SMART geformuleerd.

De doelstellingen zijn merendeels inzichtelijk, maar nog niet voldoende SMART geformuleerd.

De doelstellingen en werkVoldoet aan de criteria. wijzen op het gebied van privacy sluiten logisch aan op relevante wetgeving. Tabel 3 Beoordeling en beantwoording deelvraag 3

Doelstellingen in de vorm van vooral aanbevelingen van de FG, zijn in ruime mate aanwezig. De manier waarop deze uitgevoerd worden vereist nog de nodige aandacht de komende jaren. Ook hier geldt dezelfde toelichting als hierboven. De aansluiting is er. De uitvoering in de praktijk dient voor een groot deel nog te gebeuren.

Beoordeling en beantwoording deelvraag 4 Deelvraag 4: Voldoet de gemeente Steenbergen op dit moment aan alle relevante wet- en regelgeving t.a.v. informatiebeveiliging en privacy?

Norm/criteria

Beoordeling

Toelichting

De gemeente is compliant met relevante wetgeving t.a.v. privacy en informatiebeveiliging

Voldoet aan de criteria.

Er is voldoende inzicht en besef van wat verwacht wordt van de gemeente m.b.t. privacy en informatiebeveiliging. De uitvoering ervan in de praktijk vereist nog de nodige inspanningen.

De gemeente heeft een nulmeting op de BIO uitgevoerd, een GAP analyse gemaakt en de noodzakelijke maatregelen geïmplementeerd

Voldoet gedeeltelijk aan de criteria.

Op hoofdlijnen is de gemeente in control, maar de uitwerking van bevindingen en opmerkingen uit verschillende metingen/audits die beschreven zijn in rapportages, is nog niet voldoende.

De systemen met vertrouwelijke informatie voldoen aan het BIO BBN2 beveiligingsniveau

Niet te beoordelen

Niet kunnen beoordelen op basis van documenten of interviews.

Tabel 4 Beoordeling en beantwoording deelvraag 4

Beoordeling en beantwoording deelvraag 5 Deelvraag 5: Op welke wijze wordt aandacht gegeven aan het bewustzijn onder medewerkers van de gemeente Steenbergen t.a.v. informatiebeveiliging en privacy?

Norm/criteria

Beoordeling

Toelichting

Er wordt aandacht besteed aan awareness onder medewerkers d.m.v. trainingen, campagnes en steekproeven

Voldoet aan de criteria.

Uit de interviews komt naar voren dat de aandacht aan de criteria vergroot dient te worden.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 27 van 57

Nieuwe medewerkers worden vroegtijdig meegenomen in de relevante procedures en werkwijzen

Voldoet nog niet volledig aan de criteria.

De ingezette instrumenten Voldoet gedeeltelijk hebben geleid tot het realiseren van meer awareness rondom privacy Tabel 5 Beoordeling en beantwoording deelvraag 5

Uit de interviews komt naar voren dat het geven van informatie aan nieuwe medewerkers over privacy en informatiebeveiliging beter kan. Bijvoorbeeld deze onderwerpen prominenter benadrukken in de introductie informatie. Inmiddels is het prominenter benadrukken wel een stapje verder gebracht door de implementatie van een LeerManagementSysteem, en het daaraan toevoegen van een informatiebeveiliging introductiesessie. De meningen van geïnterviewden (en enquête) zijn niet geheel eensluidend. Een wens ten aanzien van opleidingen is dat deze meer op basis van de dagelijkse praktijk aangeboden wordt.

Beoordeling en beantwoording deelvraag 6 Deelvraag 6: Op welke wijze is de gemeenteraad betrokken bij het stellen van kaders en het formuleren van doelen t.a.v. informatiebeveiliging en privacy? En hoe oefent zij haar controlerende functie op dit onderwerp uit?

Norm/criteria

Beoordeling

Toelichting

De gemeenteraad wordt periodiek – bijv. twee keer per jaar – geïnformeerd door het college

Voldoet aan de criteria

Indien van toepassing wordt de raad voorzien van raadsmededelingen en rapportages van uitgevoerde audits.

De gemeenteraad wordt periodiek – bijv. twee keer per jaar – voorzien van een rapportage waarin is toegelicht in welke mate de ambtelijke organisatie voldoet aan de privacywetgeving.

Voldoet niet aan de criteria.

Uit het onderzoek is op te maken dat privacy en informatiebeveiliging weinig prioriteit heeft van de gemeenteraad. Hierbij laat de raad zich leiden door het college en neemt zelf niet het voortouw. De RKC geeft overigens in dit onderzoek de aanbeveling aan de raad om zich wel periodiek op de hoogte te laten stellen door het college over privacy en informatiebeveiligingsonderwerpen. Daardoor krijgt de raad een middel in handen om daadwerkelijk invulling te geven aan hun controlerende rol.

Tabel 6 Beoordeling en beantwoording deelvraag 6

4.2 Conclusies en aanbevelingen Conclusie 1 Het belang van het op een juridisch juiste wijze realiseren van doelstellingen en werkwijzen ten aanzien van privacy en informatiebeveiliging, wordt volledig herkend en erkend door het college en het MT. In rapportages die door een stagiair en de FG zijn opgesteld, komt heel inzichtelijk naar voren wat de belangrijkste onderwerpen en nog te regelen zaken zijn, op het vlak van privacy en informatiebeveiliging. Om daarvan de voortgang van de uitwerking in de praktijk en in de tijd bezien effectief te volgen, is het van belang dat dat op een inzichtelijke manier gebeurt. Zoals naar voren komt in de rapportage Ist en Soll (2018), zijn de Plan-Do-Check-Act cyclus en de Planning & Control cyclus daarvoor geschikte instrumenten. De RKC heeft in het onderzoek niet kunnen constateren dat de gemeente op een toegankelijke en inzichtelijke manier beide instrumenten inzet om de voortgang van de onderwerpen te volgen. Op basis van onderzoek door de FG, blijkt dat het volwassenheidsniveau van de gemeente 1,5 is (op een schaal van 5). Ervan uitgaand dat de gemeente streeft om op termijn te willen voldoen aan volwassenheidsniveau 3, ligt sturing hierop voor de hand.

Aanbeveling 1 aan het college Hoewel er verschillende scenario’s mogelijk zijn om gestructureerd en inzichtelijk de groei naar het gewenste volwassenheidsniveau 3 tot stand te brengen, beveelt de RKC aan om hiermee een eerste start

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 28 van 57

te maken op basis van aanbevelingen van de FG. De aanbevelingen staan uitgewerkt in bijlage 2 en omvatten zeven onderdelen: 1. Beleid 2. Processen 3. Organisatorische inbedding 4. Recht van betrokkenen 5. Samenwerking 6. Beveiliging en 7. Verantwoording. Bepaal van elk van de zeven onderdelen de prioritering en betrek daarbij het overzicht van de 5 volwassenheidsniveaus (zie bijlage 1). Stel als MT een prioritering vast, zodat dit voor alle betrokkenen inzichtelijk is. Organiseer vervolgens de uitvoering binnen de teams en borg die in uw Planning & Control cyclus. Rapporteer de voortgang en resultaten met de Plan-Do-Check-Act cyclus aan alle betrokkenen, waaronder uw gemeenteraad. Conclusie 2 Ten aanzien van mogelijke verbeteringen, om in het kader van privacy en informatiebeveiliging door te groeien naar het volwassenheidsniveau 3, zijn samenvattend acht onderwerpen uit het onderzoek naar voren gekomen. 1. Bewustwording 2. Opleidingen en cursussen 3. Rollen en taken van de specifieke privacy- en informatiebeveiligingsfuncties 4. Proceseigenaarschap 5. Veilige omgeving 6. Arbeidscapaciteit 7. Gegevensverwerking registers 8.

Aanschaf van de juiste ICT-tools Aanbeveling 2 aan het college Maak op basis van in de gemeente Steenbergen gehanteerde Plan-do-Check-Act cyclus inzichtelijk hoe u de organisatie met de hiervoor genoemde acht onderwerpen verder wilt ondersteunen en faciliteren. Een suggestie is om daarbij gebruik te maken van het kwaliteitsinstrument: Overheidsontwikkelmodel (OOM)24, dat in de gemeente reeds toegepast wordt. Conclusie 3 In algemene zin lijkt privacy en informatiebeveiliging nog te veel ‘iets’ van de FG, CISO en PO, terwijl de praktische werkzaamheden die daaruit voortvloeien, door andere medewerkers moeten worden uitgevoerd. Aanbeveling 3 aan het college Zorg, mede ook op basis van het hiervoor aangehaalde bewustzijn, dat privacy en informatiebeveiliging integraal onderdeel uitmaakt van de dagelijkse werkzaamheden van medewerkers. Het opgestelde, maar door het college nog vast te stellen document25 Bestuurlijke organisatie privacybescherming, biedt daarvoor goede handvatten. 24

Het Overheidsontwikkelmodel (OOM) is als afgeleide van het EFQM-model te beschouwen, maar meer gericht op overheidsorganisaties. Het OOM-model onderkent tien aandachtsgebieden, waarvan zes organisatie- en vier resultaatgericht. Al de tien gebieden staan in verbinding met elkaar, waarbij de behaalde resultaten aanleiding kunnen geven voor het leren en verbeteren van de kwaliteit in de organisatie. 25 Status document van de Structuurgroep Privacy en Informatieveiligheid.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 29 van 57

Conclusie 4 Ten aanzien van privacy onderwerpen, is ernstig behoefte aan prioritering. Er is nog geen sprake van standaardprocedures en rapportages, die inzicht geven in hoe invulling wordt gegeven aan die onderwerpen. Voor het maken van een prioritering zijn de door een stagiair en FG opgestelde rapportages uitermate geschikt. Pas nadat een prioritering door het managementteam is vastgesteld, kan aan de hand van de Planning & Control cyclus en de Plan-Do-Check-Act cyclus de uitvoering gevolgd en bijgestuurd worden. Ook is een geopperde suggestie om bij collegevoorstellen een onderdeel privacy op te nemen, dit kan zeker leiden tot meer privacy- bewustzijn. De bewustwording en het ‘in control’ zijn van informatiebeveiliging ligt beleidsmatig op een hoger. De praktische implementatie vraagt nog wel de nodige aandacht. Aanbeveling aan de gemeenteraad Ga met uw college in gesprek over de manier waarop en met welke frequentie u geïnformeerd en/of gerapporteerd wenst te worden over het ‘toegroeien’ naar het gewenste volwassenheidsniveau 3, in het kader van de AVG. Hierdoor krijgt uw raad de mogelijkheid om zijn controlerende taak uit te voeren en tijdig inzicht te krijgen in onder meer de resultaten en de kosten.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 30 van 57

Bijlagen

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 31 van 57

Bijlage 1. Volwassenheidsniveaus

2 Herhaalbaar

      

3 Bepaald

  

1 Ad hoc

  

4 Beheerst

   

5 Geoptimaliseerd

          

Geen of onduidelijke privacyrollen en -verantwoordelijkheden Geen of nauwelijks beheersmaatregelen aanwezig Reactief en sturing n.a.v. incidenten Grote afhankelijkheid van één of enkele privacyfunctionarissen Onbewust onbekwaam Privacyrollen en -verantwoordelijkheden toegewezen Beheersmaatregelen zijn aanwezig, maar worden op informele wijze uitgevoerd Standaarden en formats aanwezig: juist en in duidelijke taal Bewust onbekwaam (Privacy)medewerkers tonen eigenaarschap, d.w.z. dat de rollen en verantwoordelijkheden actief worden opgepakt Beheersmaatregelen worden consistent en gestructureerd uitgevoerd en zijn gedocumenteerd Er wordt aantoonbaar aan verplichtingen voldaan Verwerkingsverantwoordelijke bestuursorganen nemen beslissingen mede op grond van risicoanalyses zoals een DPIA. Er is een duidelijke samenhang met informatiebeveiliging Bewust bekwaam De effectiviteit van beheersmaatregelen wordt periodiek geëvalueerd in een PDCA-cyclus Er wordt proactief geïnformeerd door de proceseigenaar over de realisering van de geconstateerde benodigde verbeteringen in een PDCA-cyclus In een jaarlijkse evaluatie blijkt een correcte PDCA-cyclus Bewust bekwaam Toekomstgericht Proactieve houding van het college en het bestuur Het verantwoordelijk management verzoekt aan de FG om hun verantwoording van een oordeel te voorzien.

Privacy wordt gezien als een vanzelfsprekendheid Er wordt continue gezocht naar verbetering, zoals in de vorm van (interne of externe) tooling Privacy wordt gezien als een kans of unique selling point (USP) Er wordt verbinding gezocht met andere concerndisciplines Kennis en ervaringen worden actief gedeeld met gemeenten en andere relevante organisaties waardoor best practices in gemeentenland ontstaan Onbewust bekwaam

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 32 van 57

Bijlage 2. FG-aanbevelingen Onderwerp: Beleid

Processen

Organisatorische inbedding

Aanbevelingen in relatie tot het bereiken van volwassenheidsniveau 3: Actualiseer het privacy beleid, laat dit door het management bekrachtigen en actief uit dragen. Zowel binnen als buiten de organisatie. Zet daarvoor communicatiemiddelen in zoals intranet, lunchbijeenkomsten en cursussen. Stel, indien nodig, hiervoor een communicatieplan op. Het verdient aanbeveling het ambitieniveau t.a.v. het privacy volwassenheidsniveau en de tijd waarin de organisatie dit wil bereiken, op te nemen in dit beleid. Maak het privacy beleid leidend bij ontwerp en ontwikkelingen van (nieuwe) verwerkingen. Toets nieuwe ontwikkelingen, verwerkingen of wijzigingen van verwerkingen voorafgaand aan dit beleid en geldende wet- en regelgeving. Werk het privacy beleid – waar nodig – domein specifiek uit. En zorg dat medewerkers van het domein op de hoogte zijn van de inhoud van deze domein specifieke uitwerking. Denk bv aan sociaal domein en HRM. Leg afspraken en maatregelen vast over de omgang met persoonsgegevens en gegevensbescherming van personen binnen de organisatie. Het gaat hierbij om persoonsgegevens van binnen de gemeentelijke organisatie, zoals de persoonsgegevens van medewerkers, gemeenteraadsleden, externen, etc. Zorg er vervolgens voor dat iedereen binnen de gemeente op de hoogte is van de inhoud van deze afspraken.

Toets periodiek of verwerkingen in lijn zijn met dit privacy beleid en geldende wet- en regelgeving. Maak wijzigingen in het beleid bekend, zowel intern als extern. Actualiseer de privacy verklaring over de verzameling van persoonsgegevens via de gemeentelijke website. Informeer de bezoekers ook voorafgaand actief of over het gebruik van cookies. Maak inzichtelijk in welke werkprocessen, die de organisatie in huis heeft, persoonsgegevens worden verwerkt en leg deze werkprocessen vast. Het overzicht van deze werkprocessen wordt weergegeven in het register van verwerkingen. Nu zijn alleen een aantal werkprocessen beschikbaar in I-Navigator en het register van verwerkingen is niet compleet. Besteed in deze werkprocessen aandacht aan wat gegevensbescherming en de privacywetgeving concreet betekenen voor het betreffende team en hoe medewerkers om dienen te gaan met persoonsgegevens binnen de taken en werkzaamheden. Deze aandacht maakt privacy in de dagelijkse werkzaamheden toegankelijk en praktisch. Leg van alle verwerkingen binnen de gemeente vast welk doel en grondslag deze hebben en hoe er voldaan wordt aan de beginselen van proportionaliteit, subsidiariteit, integriteit en dataminimalisatie. Leg het resultaat van deze toetsing aan de AVG beginselen vast in het register van verwerkingsactiviteiten. Zorg voor actief beheer van het register van verwerkingsactiviteiten.

Dit is een dynamisch document. De verantwoordelijke voor (onderdelen van) het register behoort te zorgen voor de daadwerkelijke actualisatie. Dit is een lijnmanagement verantwoordelijkheid. De privacy officer beheert het register van verwerkingen op basis van proactieve inpunt van de organisatie. Toets nieuwe verwerkingen of wijzigingen van bestaande verwerkingen structureel aan de beginselen uit de AVG en andere relevante wet- en regelgeving. Ook dit is een management verantwoordelijkheid. Beschrijf processen voor alle rechten van betrokkenen. (inzage, wijziging, beperking, verwijdering) Maak inzichtelijk welke bestaande verwerkingen een hoog privacy risico opleveren, bijvoorbeeld met behulp van het register van verwerkingsactiviteiten. Geef daarbij aan wanneer er voor welke verwerking een DPIA is uitgevoerd. Registreer rapportages van de DPIA’s en maak ze makkelijk vindbaar voor de betrokken medewerkers. Breng bij nieuwe verwerkingen, of bij de aanschaf van nieuwe systemen, voorafgaand in kaart of deze een hoog risico voor de inbreuk op rechten en vrijheden van personen vormen en zo ja, voer een DPIA uit. Leg daarvoor een proces vast voor het uitvoeren en actualiseren van DPIA’s en stel een format vast voor zo’n DPIA dat bruikbaar is voor de hele organisatie. De organisatie heeft zo inzichtelijk wanneer een DPIA uitgevoerd zal worden en op welke wijze dit gebeurt.

Actualiseer DPIA’s periodiek en ten minste om de 3 jaar, of vaker indien nodig. Aanleiding kan een wijziging in bestaande verwerkingen zijn. Houd een overzicht bij van uitvoerdata van de DPIA’s. De FG moet de actualiteit kunnen controleren. Zorg dat het voor de hele organisatie duidelijk is wie de FG is en wat zijn taken zijn. Zorg dat het management de FG tijdig en naar behoren betrekt bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. Vraag de FG advies bij DPIA's, zowel voorafgaand als na afronding. Laat het management proactief advies inwinnen alvorens zij persoonsgegevens verstrekt aan een externe partij, buiten de reguliere processen. Wijs eventueel binnen elke afdeling een privacy ambassadeur aan, die privacy gerelateerde vragen en opmerkingen verzamelt en op de hoogte is van de wensen en ontwikkelingen binnen het team. Deze privacy ambassadeur dient als aanspreekpunt voor het gehele team en heeft nauw contact met de 14 privacy adviseur en de FG. Gezamenlijk vormen zij dan het privacy team. Zorg dat het organisatie breed bekend is welke verantwoordelijkheid de gemeente heeft ten aanzien van gegevensbescherming en welke privacy normen er gelden. Een bewustwordingscampagne zou hiervoor kunnen worden ingezet.

Zorg dat medewerkers bekend zijn met het bestaan van het register van verwerkingen en bij wie zij wijzigingen kunnen doorgeven, zodat het register aangepast kan worden en actueel blijft. Deel actualiteiten en ontwikkelingen die betrekking hebben op de werkwijze van de gemeente en licht deze toe. Zorg dat medewerkers enkel

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 33 van 57

Rechten van betrokkenen

Samenwerking

Beveiliging

toegang hebben tot de systemen die zij nodig hebben ter uitvoering van hun werkzaamheden. Stel voor alle geautomatiseerde systemen autorisatieschema’s vast. Zorg dat bij het verkrijgen van de autorisatie tot een bepaald systeem, kenbaar wordt gemaakt op welke manier de gemeente het gebruik van de gegevens in het systeem logt. De Ondernemingsraad (OR) hoort actief geïnformeerd en betrokken te zijn wanneer het gaat om het verwerken van alsmede de bescherming van de persoonsgegevens van medewerkers. Waar nodig moet toestemming worden verleend. Zorg dat er voldoende middelen beschikbaar komen om privacybescherming te bevorderen in kennis, houding en gedrag van alle medewerkers in de organisatie. Denk daarbij aan het actief trainen van management en medewerkers om de kennis van het privacy recht en het privacy bewustzijn op het specifieke domein te verhogen. Laat de FG adviseren en ondersteunen bij deze bewustwording. Zorg dat medewerkers die te maken hebben met bijzondere persoonsgegevens een specifieke geheimhoudingsverklaring ondertekend hebben die ziet op het verwerken van die bijzondere persoonsgegevens. Een vastgestelde (herziene) governance structuur maakt rollen, taken en verantwoordelijkheden duidelijk en expliciet. De verwerkingsverantwoordelijke behoort processen in te richten om alle rechten van betrokkenen te faciliteren.

Naast recht op inzage betreft het hier: - Het recht op rectificatie en aanvulling. - Het recht op vergetelheid. - Het recht op beperking van de verwerking. - Het recht van data portabiliteit. Het recht om bezwaar te maken tegen de gegevensverwerking. Voorwaarde is dat toe-, dan wel afwijzingscriteria bekend zijn en de processen vastgesteld en intern bekend zijn. Het proces recht van inzage moet nog vastgelegd en vastgesteld te worden. Overige rechten kunnen grotendeels van dit proces worden afgeleid. Zorg dat medewerkers op de hoogte zijn van de rechten die inwoners en betrokkenen hebben in het kader van de AVG en van de procedures die hiervoor zijn ingericht. Hierdoor zijn zij in staat om dergelijke verzoeken te herkennen en ernaar te handelen. Zorg dat de gemeente inzichtelijk heeft welke besluiten zij neemt op basis van automatisch verwerkte persoonsgegevens. (art 22 AVG) Zorg dat de systemen die de besluitvorming automatiseren regelmatig gecontroleerd en getest worden. Maak inzichtelijk of en welke besluiten er genomen worden op basis van automatisch verwerkte persoonsgegevens. Gedacht kan worden aan sollicitatieprocedures. Controleer rechtmatigheid van deze besluitvorming als ook de wijze waarop deze tot stand komt. Zorg dat alle systemen en voorzieningen van de gemeente de rechten van betrokkenen faciliteren.

Neem bij de aanschaf van nieuwe systemen de mogelijkheid voor betrokkenen om hun rechten op 15 grond van de AVG uit te oefenen als criterium mee. Hierbij wordt gedoeld op het makkelijk kunnen verzamelen van de gevraagde persoonsgegevens. Informeer betrokkenen voorafgaand aan de verwerking actief, tijdig en adequaat over doel, grondslag en eventuele de bron van de gegevens als dit niet de betrokkenen zelf is. Vermeld ook bij aanvraagformulieren voor producten of diensten duidelijk welke gegevens worden verwerkt. Vraagt bij de aanvraag van producten en diensten niet meer persoonsgegevens dan noodzakelijk uit (gegevensminimalisatie). In het uitzonderlijke geval waar voor verwerkingen toestemming als grondslag dient, vereist dit een actieve handeling. Welke ook weer kan worden ingetrokken. Opgemerkt wordt dat het verwerkingsregister geen compleet overzicht geeft. De organisatie hoort inzichtelijk te hebben met welke externe partijen er sprake is van het verwerken (uitwisselen) van persoonsgegevens. Inventariseer daarom aan welke partijen persoonsgegevens worden verstrekt en geef daarbij aan welke (categorieën van) persoonsgegevens deze partijen van de gemeente verkrijgen. Inventariseer ook van welke partijen de gemeente persoonsgegevens ontvangt en geef daarbij aan welke (categorieën van) persoonsgegevens de gemeente ontvangt.

Maak inzichtelijk welke partijen zij aanmerkt als verwerker, gezamenlijk verwerkingsverantwoordelijke of zelfstandig verwerkingsverantwoordelijk. Geeft dit bv in het register van verwerkingen aan. Toets voorafgaand aan het inschakelen van externe partijen of er sprake is van het verwerken van persoonsgegevens en wanneer dit het geval is, maak dan voorafgaand aan de inschakeling afspraken over deze verwerking. Zorg ook bij ad hoc verzoeken om persoonsgegevens te delen voor duidelijkheid over de rol van de derde partij. Maak dienovereenkomstig afspraken met de derde partij. In de praktijk blijken de verwerkingsovereenkomsten vaak al getekend te zijn alvorens de privacy aspecten worden afgestemd met de privacy adviseur. Vaak op initiatief of op aandringen van de andere partij. De gemeente Steenbergen dient hier zelf de initiator te zijn en sturend in het totstandkomingsproces, zoveel mogelijk gebruikmakend van de door gemeenten afgesproken verplichte VNG standaard verwerkingsovereenkomst. Stel de procesbeschrijving omtrent incidenten – waaronder inbreuken - in verband met persoonsgegevens vast. Zorg voor een toepasselijk crisiscommunicatieplan opgesteld voor datalekken met een hoge impact. De inrichting van de standaardinstellingen is zo ingesteld, dat de meest privacy vriendelijke instellingen worden aangehouden.

Ook voor systemen die niet onder de DigiD audit vallen behoren de beveiligingsmaatregelen 16 aantoonbaar een passend niveau van beveiliging te hebben, met inbegrip van vertrouwelijkheid, rekening houdend met de stand van de techniek en de uitvoeringskosten afgezet tegen de risico’s en de aard van de te beschermen persoonsgegevens. Test en evalueer de beveiligingsmaatregelen periodiek voor alle systemen. Leg wijze van testen, beoordelen en evalueren vast in beleid. Stel voor alle geautomatiseerde systemen autorisatieschema’s en procedures vast voor het in- en uittreden van medewerkers en het wijzigen van functies. Controleer deze

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 34 van 57

Verantwoording

autorisaties periodiek. Stel een eigen logging beleid vast en maak daarin keuzes. Deze kunnen afwijken van de standaard logging instellingen ingericht door de leverancier. Log vervolgens alle verwerkingen binnen geautomatiseerde systemen en controleer de logging bestanden periodiek. Richt verwerkingen zodanig in dat er rekening wordt gehouden met de beginselen van Privacy by Design (PbD) en Privacy by Default. Leg alle verwerkingen van persoonsgegevens door de organisatie vast in het register van verwerkingsactiviteiten en toets dit periodiek aan het privacy beleid en de relevante wet- en regelgeving. Dit is ook aangegeven bij de onderdelen ‘Processen’ en ‘Organisatorische inbedding’ Zorg voor een actueel overzicht van verwerkingen waar een DPIA voor is uitgevoerd, zoals ook beschreven bij de onderdelen ‘Processen’ en ‘Organisatorische inbedding’ Mocht het voorkomen dat de organisatie afwijkt van het advies van de FG, doet zij dit gemotiveerd en legt dit vast. Een PMS (Privacy Management System) kan hierbij van toegevoegde waarde zijn. Voer periodiek controles uit op de juiste werking van de getroffen beveiligingsmaatregelen, zoal ook beschreven bij het onderdeel ‘Beveiliging’. De rapportages hierover worden beschikbaar gesteld aan de verantwoordelijke, geëvalueerd, en waar nodig worden beveiligingsmaatregelen aangepast.

In het uitzonderlijke geval dat een verwerking plaats kan en mag vinden op grond van toestemming van de betrokkene, behoort de organisatie aan te kunnen tonen dat de betrokkene een volwaardige toestemming heeft gegeven voor de verwerking. In een procedure behoort verkrijgen en vastleggen te worden beschreven. Een register van ontvangen verklaringen van toestemming zorgt voor aanvullende aantoonbaarheid. De gemeente kan de transparantie over de omgang met persoonsgegevens vergroten door o.a. het publiceren van een publieke versie van het privacy beleid en het verstrekken van informatiefolders bij aanvragen van producten en diensten. Voorafgaand aan de verwerking van persoonsgegevens worden betrokkenen zoveel mogelijk geïnformeerd. De gemeente publiceert – bijvoorbeeld op de gemeentelijke website – over de ontwikkelingen van de bescherming van privacy en de omgang met persoonsgegevens binnen de gemeente. De FG doet periodiek verslag aan het verantwoordelijk bestuursorgaan over de omgang met persoonsgegevens binnen de gemeente. Stel naar aanleiding van het verslag van de FG, als verantwoordelijken, vast welke acties en maatregelen de gemeente dient te nemen in een plan van aanpak.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 35 van 57

Bijlage 3. Verantwoording van het onderzoek Het onderzoek is uitgevoerd aan de hand van een document- en dossierstudie, interviews, enquêteren en wederhoor. Document- en dossierstudie Om een goed beeld te kunnen vormen over de wijze waarop de gemeente Steenbergen invulling geeft aan privacy en informatiebeveiliging binnen de organisatie en in samenwerking met partners, heeft de RKC een uitgebreide set met documenten ontvangen en bestudeerd. Daarbij is tijdens de dossierstudie specifiek gekeken naar:  De relatie tussen het voorgenomen beleid en de beoogde wijze waarop het beleid uitvoering dient te krijgen of heeft gekregen in de praktijk;  De wijze waarop aandacht wordt besteed aan communicatie en opleiding om (nieuwe) medewerkers van de gemeente Steenbergen bekend te maken met relevante wet- en regelgeving alsook procedures.  De wijze waarop de gemeenteraad is geïnformeerd over de uitvoering en stand van zaken van het privacy- en informatiebeveiligingsbeleid.

Hieronder volgt een overzicht van privacy- en informatiebeveiligingsonderwerpen waarvan de onderliggende documenten geraadpleegd zijn, met aansluitend de overig geraadpleegde bronnen:  Raadsmededeling rapportage privacy gemeente Steenbergen (BM1905142)  Jaarrapportage gegevensbescherming gemeente Steenbergen (BM1905568)  Raadsmededeling informatieveiligheidsbeleid (BM2006355)  Register van verwerkingen (diverse afdelingen)  Status document: Bestuurlijke organisatie privacybescherming. Een compacte beschrijving van rollen, taken en verantwoordelijkheden ten aanzien van privacy en daaraan gerelateerde informatieveiligheid.

 Website gemeente Steenbergen o Privacyverklaring gemeente Steenbergen; https://www.gemeente-steenbergen.nl/privacy_verklaring/ o Privacybeleid gemeente Steenbergen; https://organisatie.gemeente-steenbergen.nl/overzicht_organisatie/gemeentelijke_regelgeving/algemeen_privacybeleid_gemeente_steenbergen/  Wetgeving: o Wet digitale overheid (WDO); https://www.digitaleoverheid.nl/overzicht-van-alle-onderwerpen/wetgeving/wet-digitale-overheid/ o Wet modernisering elektronisch bestuurlijk verkeer (MEBV); https://www.digitaleoverheid.nl/overzicht-van-alle-onderwerpen/wetgeving/wet-modernisering-elektronisch-bestuurlijk-verkeer/ o Wet basisregistratie personen (BRP); https://wetten.overheid.nl/BWBR0033715/2019-0203 o Algemene verordening gegevensbescherming (AVG); https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX%3A32016R0679 o Uitvoeringswet algemene verordening gegevensbescherming (UAVG); https://wetten.overheid.nl/BWBR0040940/2020-01-01 o Baseline Informatiebeveiliging Overheid (BIO); https://www.informatiebeveiligingsdienst.nl/project/baseline-informatiebeveiliging-overheid/  Autoriteit Persoonsgegevens Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 36 van 57

AP doet handreikingen om registratie datalekken te verbeteren; https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/handreiking_verbeteren_registratie_datalekken.pdf o Verwerking van persoonsgegevens in het sociaal domein: De rol van toestemming; https://autoriteitpersoonsgegevens.nl/sites/default/files/01_rapport_de_rol_van_toestemming_in_het_sociaal_domein.pdf Website Informatiebeveiligingsdienst (onderdeel van de Vereniging van Nederlandse Gemeenten) o Dreigingsbeeld informatiebeveiliging Nederlandse gemeenten 2021/2022. o Handreiking Borgingsproduct AVG 2.0 (Vereniging van Nederlandse Gemeenten/ Informatiebeveiligingsdienst voor gemeenten, licentie onder: CC BY-NC-SA 4.0). o



Interviews In het kader van het onderzoek zijn alleen interne interviews afgenomen met ambtenaren, bestuurders, raadsleden en griffier. Interviewmethode De interviewmethode die is toegepast is semigestructureerd. Hierbij zijn in eerste instantie zoveel als mogelijk dezelfde onderzoeksvragen gesteld en is vervolgens overgegaan - afhankelijk van rol en positie van de geïnterviewde(n) - tot het stellen van open vragen. Het stellen van dezelfde vragen in de afgenomen interviews en de daarvan afgeleide gestelde enquêtevragen, dragen op een positieve manier bij aan de betrouwbaarheid en validiteit van het onderzoek. Tweeledig doel 1. verzamelen van informatie over de stand van zaken m.b.t. het privacy- en informatiebeveiligingsbeleid van de Gemeente Steenbergen 2. evalueren ervan, dus wat gaat goed en wat kan beter? 3. de interviews met raadsleden hadden als doel om te evalueren of de gemeenteraad vindt dat zij de juiste en voldoende informatie ontvangen t.a.v. privacy en informatiebeveiliging om haar kader stellende en controlerende taak uit te voeren Structuur De interviews met ambtenaren van de gemeente Steenbergen zijn uitgevoerd aan de hand van een gespreksleidraad, gebaseerd op een vooraf opgesteld normenkader. In overleg met de geïnterviewden is bepaald welke onderwerpen relevant waren om te bespreken gezien hun functie en of rol in de organisatie.

Tijdspanne De interviews vonden plaats in de periode: april – november 2021. Van alle interviews zijn schriftelijke verslagen opgesteld die voor wederhoor en ter accordering aan de geïnterviewden zijn voorgelegd Geïnterviewden Intern zijn de volgende betrokkenen geïnterviewd:  Ambtelijke vertegenwoordigers, gemeente Steenbergen: o Chief Information Security Officer (CISO) o Functionaris gegevensbescherming (FG) o Personeel & Organisatie o Algemene dienstverlening & Burgerzaken o ICT o WMO en/of Jeugdzorg Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 37 van 57

 



o Directie o Ondernemingsraad o Staf (concerncontroller) o Privacy Officer (PO) Portefeuillehouders o Portefeuillehouder Financiën, Personeel & Organisatie, WMO & Jeugdzorg o Portefeuillehouder Algemene dienstverlening en Burgerzaken, ICT Raadsleden o Fractie PvdA o Fractie Volkspartij Griffie o Plaatsvervangend griffier

Enquête Voor dit onderzoek is bij alle medewerkers van de gemeente Steenbergen ook een enquête uitgezet, met vragen over het onderwerp privacy en informatiebeveiliging. Wederhoor Zoals gebruikelijk bij elk onderzoek van de RKC, is ook dit onderzoek afgesloten met het wederhoortraject. Alle medewerkers van de ambtelijke organisatie hebben de gelegenheid gekregen om hun interviewverslag te controleren. Vervolgens is het conceptonderzoeksrapport voorgelegd voor ambtelijke wederhoor. Daarna is het definitieve rapport inclusief conclusies en aanbevelingen voorgelegd aan het college van burgemeester en wethouders en heeft zijn bestuurlijke reactie gegeven.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 38 van 57

Bijlage 4. Frequent gebruikte afkortingen en termen bij privacy en informatiebeveiliging 2FA 2-staps-verificatie ACIB AP Applicatie Assuranceverklaring AVG/ GDPR BAG BIG BIO BIR BIV BRP BYOD Ceo-mail CERT CIO CISO Cloud CYOD Dongel DPIA ENSIA Equalit FG Firewall GAP GAP-analyse GDPR GBA GR IBabs IBD ICT

Twee factor authenticatie, hiermee wordt twee verschillende manieren gecheckt of degene die inlogt is die hij/zij aangeeft te zijn (zie 2-stapsverificatie). Zie 2FA. Algemeen Contactpersoon Informatiebeveiliging. Deze persoon ontvangt berichten van algemene aard van de Informatiebeveiligingsdienst voor gemeenten (IBD). Autoriteit Persoonsgegevens. Softwareprogramma, zoals bijvoorbeeld de: Neuron BAG Ook wel een beoordelings- of controleverklaring van een accountant. Hiermee voegt de accountant een bepaalde mate van zekerheid toe aan een cijfermatige verantwoording. Algemene Verordening Gegevensbescherming/ De Engelse naam luidt: General Data Protection Regulation. Dit is Europese regelgeving die de privacyregels in de Europese lidstaten harmoniseert. Basisregistratie Adressen en Gebouwen, bevat gegevens van alle adressen en gebouwen in Nederland, zoals bouwjaar, oppervlakte, gebruiksdoel en locatie op de kaart. De BAG is onderdeel van het overheidsstelsel van basisregistraties. Baseline Informatiebeveiliging Gemeenten. Een in 2013 in VNG-verband als standaard afgesproken set van maatregelen voor de informatiebeveiliging. De BIG is per 1 januari 2019 vervangen door de BIO. Baseline Informatiebeveiliging Overheid (de BIG en BIR vallen hier inmiddels hieronder). Baseline Informatiebeveiliging Rijksdienst. De BIR is per 1 januari 2019 vervangen door de BIO.

Beschikbaarheid-Integriteit-Vertrouwelijkheid. Drie termen waarop beveiligingsrisico’s van informatie en applicaties gegrond zijn. Basisregistratie Personen, een softwareprogramma waar gemeenten gebruik van maken. Bring Your Own Device, wil zeggen dat medewerkers hun eigen laptop, tablet en telefoon mogen gebruiken voor hun werk. Criminelen sturen uit naam van de Chief Executive Officer van een organisatie een mail naar een medewerker financiën van die organisatie, met het dringende verzoek om per direct geld naar een bepaalde rekening over te maken. Computer Emergency Response Team, multidisciplinair samengesteld team dat acteert op incidenten en crises. Chief Information Officer. Chief Information Security Officer. Cloud staat voor een netwerk van computers die een soort van ‘wolk van computers’ vormt. Hierbij zijn eindgebruikers niet op de hoogte op welke of op hoeveel computers van die wolk zij actief zijn, of waar precies die computers zich bevinden. Choose Your Own Device, wil zeggen dat medewerkers uit een bepaald assortiment laptops, tablets en telefoons kunnen kiezen, waarop veiligheidsvoorzieningen zijn aangebracht. Een Universal Serial Bus (USB)-modem waarmee beveiligde toegang tot internet verkregen kan worden. Data Protection Impact Assessment, analyse op risico’s in verband met privacy en informatiebeveiliging bij verwerkingsprocessen.

Onder de AVG verplicht bij persoonsgegevensverwerking met een hoog privacy risico. Eenduidige Normatiek Single Information Audit, eenmalige informatieverstrekking en eenmalige Informatietechnologie-audit voor de horizontale (richting gemeenteraad als toezichthouder) en verticale verantwoording (richting landelijk toezichthouders). Een ICT-samenwerkingsverband van en voor lokale overheden. In 2005 gestart als samenwerking tussen de gemeente Oosterhout en Oisterwijk. Functionaris Gegevensbescherming. Dit is een systeem dat een netwerk of computers kan beschermen tegen misbruik van buitenaf. Engelse term voor ‘kloof’. Dit houdt in dat er een verschil is tussen een bestaande en een gewenste situatie. Controle of en in welke mate de maatregelen uit de BIO geïmplementeerd zijn. General Data Protection Regulation (zie AVG). Gemeentelijke Basisadministratie. Gemeentelijke regeling. Vergader softwareprogramma, veelal gebruikt door gemeenteraden en vervanger van het met papier vergaderen. Informatiebeveiligingsdienst voor gemeenten en onderdeel van de VNG. Informatie- en communicatietechnologie.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 39 van 57

IP-adres (IPv4) IPv6 ISMS/PMS ISO KING OWASP P&C cyclus PDCA cyclus Phishing mail PKI-certificaat PO Privacy by default Privacy by design RASCI-matrix RIVG SSO Spoofing Token TPM UAVG Url USB VCIB Verwerkingsregister VNG Realisatie Wbp Wdo Wob Woo

Internetprotocol adres. Dit bestaat uit een aantal cijfers waarmee elke computer die aangesloten is op het internet getraceerd kan worden. Opvolger van het IP-adres (IPv4), omdat de IPv4 adressen op raakte. Information Security Management System/Privacy Management System. International Organization for Standardization. Kwaliteitsinstituut Nederlandse Gemeenten, heet tegenwoordig: VNG-realisatie. Open Web Application Security Project. Planning & Control cyclus Plan-Do-Check- Act cyclus E-mails waarmee criminelen via internet proberen om inlog of persoonsgegevens te bemachtigen en daarmee fraude willen plegen. Public Key Infrastructure. Een PKI (overheid)- certificaat is een internationale standaard voor de digitale ondertekening bij het versturen van gegevens en berichten. Privacy Officer Onderdeel van privacy by design, waarbij de standaardinstellingen zo privacy-vriendelijk mogelijk ingesteld zijn. Dit houdt in dat bij het ontwerp van producten en diensten over privacy onderwerpen hierin worden meegenomen. Responsible, Accountable, Support, Consulting, Informed. Het RASCI-model voor procesverbetering bestaat uit een matrix die de rollen en verantwoordelijkheden weergeeft van alle personen die bij een project, proces of lijnwerkzaamheden zijn betrokken. Rijksdienst voor identiteitsgegevens.

Singel Sign On, op een werkplek via een aanmelding toegang krijgen tot alle applicaaties waar de gebruiker voor geautoriseerd is. Het verzenden van e-mails waarbij het e-mailadres van de afzender vervalst is. Een fysiek apparaat waarmee toegang verkregen wordt tot een elektronisch beveiligede bron of netwerk. Third Party Memorandum, een verklaring dat de derde partij die gegevens voor een gemeente bewerkt voldoet aan de geldenede richtlijnen van informatiebeveiliging. Uitvoeringswet Algemene Verordening Gegevensbescherming. Geeft in Nederland uitvoering aan de Algemene Verordening Gegevensbescherming. Uniform Resource Locator. Verwijst naar een uniek adres waarmee de locatie van een webpagina of een e-mailadres op internet wordt aangegeven. Universal Serial Bus. Vertrouwd Contactpersoon Informatiebeveiliging. Deze ontvangt berichten van vertrouwelijke aard van de Informatiebeveiligingsdienst voor gemeenten (IBD). Register waarin de gemeente bijhoudt welke persoonsgegevens de gemeente en de verwerkers die zij eventueel inschakelt verwerkt. Vereniging Van Nederlandse Gemeenten Realisatie, voorheen KING. Wet bescherming persoonsgegevens, sinds de invoering van de AVG, geldt deze niet meer. Wet digitale overheid, regelt dat Nederlandse burgers en bedrijven veilig en betrouwbaar kunnen inloggen bij de (semi-)overheid. Wet openbaarheid van bestuur.

Wet Open Overheid, is bedoeld om overheden transparanter te maken en moet ervoor zorgen dat overheidsinformatie beter vindbaar, uitwisselbaar, eenvoudig te ontsluiten en goed te archiveren is.

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 40 van 57

Bijlage 5. Vragen en antwoorden enquête Vragen (inhoudelijk en demografisch) en beantwoording van de enquête privacy die is uitgezet onder alle medewerkers van de gemeentelijke organisatie. Hierop zijn 28 reacties ontvangen. Inhoudelijk

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 41 van 57

Kunt u het proces van het veroorzaken dan wel aantreffen van een datalek - in uw eigen woorden kort beschrijven? 28 antwoorden

Melden PO en CISO Melden PO Melden leidinggevende, PO, FG en CISO Melden leidinggevende en PO Melden leidinggevende en FG Melden leidinggevende en CISO Melden FG en PO Melden FG Melden CISO Melden Anders Nee Overig 0

1

2

3

4

5

6

7

8

9

Privacy & Informatiebeveiliging in de gemeente Steenbergen, bewust en beschermd naar een volgend niveau Rekenkamercommissie gemeente Steenbergen Pagina 42 van 57

Volledige open antwoorden:             

              

Melden bij de privacy officer Direct contact opnemen met leidinggevende en CISO Privacygevoelige gegevens aan anderen ter beschikking stellen in wat voor vorm dan ook zonder dat daar een grondslag voor is (doelbinding). Datalek melden bij privavcyofficer, FG, CISO en leidinggevende melden bij Autoriteit personeelsgegevens Melden bij leidinggevende en privacybeheerder (bij foutieve mail, contact zoeken met ontvanger en vragen deze mail te verwijderen) dit melden bij onze privacy officer en eventueel onze ciso. Bij phisingmails dit melden bij valse-email@equalit De situatie direct melden bij de CISO Datalek > helder hebben wat er precies gebeurt is en wie er bij betrokken zijn > Informatie melden bij het meldpunt van de gemeente (privacy@gemeente-steenbergen.nl) of telefonisch. Melding maken van de (mogelijke) datalek telefonisch of via e-mail. Melden bij Privacy Officer, of bij afwezigheid bij FG of CISO direct melden bij de functionaris gegevensbescherming met de juiste toedracht. Mochten er per ongeluk gegevens worden verstuurd naar niet bevoegden of ergens documenten onbeheerd liggen dan schakel ik de aangewezen persoon in van de gemeente die verdere stappen onderneemt. Melding maken bij medewerkers privacy. Deze zetten het verder in gang. Bij tegenkomen van bijv.