E7 Jaarrapportages privacy en informatiebeveiliging 2020.pdf

BIJLAGE: TOELICHTING EN DIAGRAMMEN ...................................................................... 16

2

Inleiding De gemeente Velsen dient zorgvuldig om te gaan met persoonsgegevens. Gemeenten verwerken bij de uitoefening van hun taken veel informatie. Niet alleen persoonlijke informatie van eigen inwoners, maar ook van andere burgers, medewerkers, externen en zakenrelaties. In de Algemene Verordening Gegevensbescherming (AVG) wordt het wettelijk kader beschreven voor het verwerken van persoonsgegevens. Zo dient het college ervoor te zorgen dat verwerkingen van persoonsgegevens transparant zijn, voor welk doel en op welke grondslag. Tijdens de levensduur van persoonsgegevens moeten deze goed worden beveiligd, mogen ze niet zomaar voor een ander doel worden verwerkt en moeten ze na afloop worden vernietigd of geanonimiseerd. Daarnaast zijn er ook tal van privacyregels in sectorspecifieke wetgeving. Dit alles heeft gevolgen voor de inrichting van processen en systemen. Onder de verantwoordelijkheid van zowel het college van B&W als de gemeenteraad vindt een groot aantal verwerkingen van persoonsgegevens plaats. Daar vindt extern en intern toezicht op plaats. De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacyregels in Nederland. Daarnaast is de Functionaris Gegevensbescherming (FG) de interne toezichthouder. Tot september 2020 werden de functies van FG en privacy-officer (PO) door één persoon uitgevoerd.

De PO is verantwoordelijk voor het ontwikkelen van het privacybeleid en biedt tevens ondersteuning bij de uitvoering van dit beleid. De PO fungeert ook als aanspreekpunt voor privacyvraagstukken die spelen in de organisatie. Doordat de PO een belangrijke uitvoerende rol heeft in de organisatie, is ervoor gekozen een onafhankelijke functie voor de FG in te richten. De FG dient te allen tijde de onafhankelijke positie te bewaren en door de combinatie van een FG- en PO-functie stond deze onafhankelijkheid onder druk. Sinds 1 september is een scheiding gemaakt in de uitvoering van deze functies. Bij de inwerkingtreding van de AVG is het ‘Team Informatiebeveiliging & Privacy’ (TIP) opgericht. De vaste kern van het TIP bestaat uit een viertal ambtenaren, een controller van Concerncontrol, de Chief Information Security Officer (CISO), de FG en de PO. De CISO is verantwoordelijk voor het implementeren van informatiebeveiligingsbeleid én het toezicht daarop. De leden van het TIP adviseren, vanuit hun onafhankelijk positie binnen de organisatie gevraagd en ongevraagd de organisatie over informatiebeveiliging en privacy gerelateerde zaken en kaarten indien nodig risico’s en misstanden aan bij de portefeuillehouder Informatiebeveiliging en Privacy.

Het TIP heeft tevens tot doel de noodzakelijke (organisatorische) verbeteringen op het vlak van informatiebeveiliging en privacy te duiden en daarover te adviseren. Daarnaast controleert het TIP ook op naleving van de relevante wet- en regelgeving. Het college dient erop toe te zien dat de FG naar behoren en tijdig wordt betrokken bij alle gelegenheden die verband houden met de bescherming van persoonsgegevens. Daarnaast dient de FG ondersteund te worden door haar toegang te verschaffen tot persoonsgegevens en verwerkingen daarvan en haar de benodigde middelen ter beschikking te stellen voor het vervullen van de taak en het in standhouden van haar deskundigheid. De uitvoerende taken liggen bij de PO, die voor de informatiebeveiliging samenwerkt met de CISO.

Leeswijzer Deze jaarrapportage bestaat uit twee onderdelen: een terugblik naar 2020 en een vooruitblik naar 2021. In het eerste deel wordt teruggekeken naar het jaar 2020. Wat heeft de gemeente bereikt op het vlak van gegevensbescherming? Welke maatregelen zijn genomen om te voldoen aan de AVG? Met dit deel van het jaarrapport legt het college horizontaal verantwoording af aan de gemeenteraad, als controlerend orgaan. Over het verslagjaar 2019 is door omstandigheden (Covid-19/thuiswerken, wijziging invulling 3

functies FG en PO) geen jaarrapportage opgesteld. Vanaf heden wordt weer jaarlijks een rapportage opgemaakt. In het tweede deel, het ‘Werkprogramma 2021: Op weg naar een hoger privacyvolwassenheidsniveau’, zijn de in 2021 ingeplande werkzaamheden beschreven die nodig zijn om gegevensbescherming en privacy naar een hoger niveau te tillen. Hierbij wordt ook aandacht geschonken aan technische en organisatorische middelen die nodig zijn om dit hogere niveau te bereiken.

Ellen Verbeek Functionaris Gegevensbescherming

4

Deel 1. Terugblik op 2020 In dit deel van de rapportage wordt op het niveau van zeven thema’s teruggeblikt op wat de gemeente tot en met het jaar 2020 heeft bereikt en welke werkzaamheden in 2020 zijn verricht. Een thema gaat over een specifiek onderdeel van de AVG. De zeven thema’s zijn: 1. Privacybeleid 2. Organisatorische inbedding 3. Processen 4. Rechten van betrokkenen 5. Samenwerking 6. Beveiliging 7. Verantwoording

1.

Het privacybeleid

Privacybeleid verschaft het kader waarin de gemeente aangeeft aan welke principes zij zich houdt bij verwerking van persoonsgegevens. Het laat zien hoe de gemeente omgaat met persoonsgegevens en welke maatregelen zij treft om te voldoen aan de relevante wet- en regelgeving. Voorafgaand aan de inwerkingtreding van de AVG had de gemeente al de beschikking over een privacybeleid. Met de vaststelling in 2016 van het ‘Overkoepelend beleid Privacy & gegevensbescherming’ is een solide basis gelegd voor verdere beleidsvorming ten aanzien van de omgang met persoonsgegevens door de gemeente Velsen. Naast algemene uitgangspunten biedt dit beleidsdocument de feitelijke kapstok waaronder specifiek privacybeleid kan worden gehangen, zoals bijv. het ‘Privacybeleid Sociaal Domein’. In 2018 is het ‘Privacybeleidskader Gemeente Velsen’ vastgesteld. Het verschil met het overkoepelende privacybeleid is gelegen in de nadruk op de organisatorische inbedding van de regelgeving. Dit beleidskader biedt structuur en procesafspraken die bij juiste toepassing in de praktijk ervoor zorgen dat er aantoonbaar in lijn met privacyregelgeving wordt gewerkt. Dit is belangrijk omdat de AVG stelt dat naleving van privacyregelgeving ook organisatorisch aantoonbaar moet zijn geborgd.

2.

Processen

Verwerkingsregister Op grond van de AVG (artikel 30) moet iedere gemeente de beschikking hebben over een overzicht met daarop alle verwerkingen van persoonsgegevens die er binnen de organisatie plaatsvinden, het zgn. ‘verwerkingsregister’. Een ‘verwerking van persoonsgegevens’ is een (werk)proces waarbij of waarin persoonsgegevens worden gebruikt. Naast vermelding van het soort persoonsgegevens moet in het verwerkingsregister o.a. ook zijn vermeld voor welk doel en op basis van welke (juridische) grondslag de persoonsgegevens worden verwerkt. De Informatiebeveiligingsdienst (IBD)1 heeft in 2020 een standaard verwerkingsregister uitgebracht. De aanpassingen uit dit format zijn toegevoegd aan het reeds bestaande verwerkingsregister van Velsen.

1 De IBD is een onderdeel van de Vereniging van Nederlandse Gemeenten en ondersteunt gemeenten op het gebied van

informatiebeveiliging en privacy.

5

Verwerkersovereenkomst Wanneer een organisatie de verwerking van persoonsgegevens uitbesteedt aan een externe partij dan is het vanuit de privacywetgeving verplicht om afspraken te maken over de verwerking van de gegevens. Deze afspraken moeten schriftelijk worden vastgelegd in een verwerkersovereenkomst. De Vereniging van Nederlandse Gemeenten (VNG) heeft een standaard verwerkersovereenkomst uitgebracht om hiermee tot een meer uniforme werkstandaard te kunnen komen. Per 1 januari 2020 heeft de VNG dit model bindend verklaard voor gemeenten. Dit model is inmiddels in de organisatie ingebed. Uitvoeren DPIA’s Alle afzonderlijke verwerkingen van persoonsgegevens van de gemeente dienen te voldoen aan de AVG. Dit houdt in dat de (werk)processen die persoonsgegevens bevatten getoetst en ingericht moeten worden volgens de volgende beginselen: behoorlijkheid, transparantie, doelbinding, dataminimalisatie, opslagbeperking, juistheid, integriteit en vertrouwelijkheid. Indien de verwerking van gegevens naar verwachting een hoog privacy-risico oplevert voor de personen van wie de organisatie gegevens verwerkt, bestaat er een verplichting tot het uitvoeren van een ‘gegevensbeschermingseffectbeoordeling’, oftewel een DPIA2. Een DPIA is een privacy-assessment van een bepaald (werk)proces.

Na de vaststelling van het privacyrisico van een bepaald (werk)proces, wordt beoordeeld of extra maatregen nodig zijn voor correcte naleving van de AVG. In 2020 is voor de beoordeling van DPIA’s een uniforme werkwijze ingevoerd. De DPIA wordt aan de PO en FG ter beoordeling voorgelegd, de FG stelt op basis van de gegevens in de DPIA een advies op en stuurt deze naar de manager van het betreffende domein. De manager beoordeelt de beschreven risico’s en of hij/of zij zich kan vinden in het advies en koppelt dit terug aan de FG. In 2020 zijn voor een aantal privacygevoelige processen bij het domein Samenleving DPIA’s uitgevoerd.

3.

Organisatorische inbedding

Voor een goede en juiste uitvoering is het van belang dat iedereen binnen de organisatie op de hoogte is van de beginselen van de AVG en het belang van privacy. Organisatorische inbedding betekent het toewijzen van taken, verantwoordelijkheden en bevoegdheden en bewustzijn creëren. In februari 2018 is de managementnotitie ‘Grip op privacy’ vastgesteld. Hiermee heeft het management zich verbonden aan een structurele verbetering van de zogenaamde ‘privacyvolwassenheid’ van de gemeentelijke organisatie. Het ‘Privacy-beleidskader Gemeente Velsen 2018’ is hierbij een logische vervolgstap, verschaft een duidelijke structuur en bevat goede procesafspraken. In dit beleidskader is destijds vastgesteld dat afdelingsmanagers ‘proceseigenaar’ zijn van de verwerkingen van persoonsgegevens die plaatsvinden op hun afzonderlijke afdelingen. Het beleidskader verschaft ook de feitelijke invulling van dit proceseigenaarschap; de rechten en plichten die hieraan zijn verbonden. De rol van proceseigenaar is na de organisatieaanpassing integraal overgegaan op de nieuwe managers van de domeinen. Privacy-bewustwording In deze roerige tijden waarin het ene na het andere datalek de pers haalt en steeds vaker serieuze (pogingen tot) hacken worden gedaan bij overheidsorganisaties staat privacy hoog op de maatschappelijke agenda.

Zowel de gemeentelijke organisatie als de inwoners van Velsen zijn zich steeds bewuster van hun privacy-rechten en -plichten. Om de inwoners zo goed mogelijk te informeren over hun rechten is het onderdeel ‘privacy’ op de website www.velsen.nl in december 2020 geactualiseerd. Kennis en kunde van de uitvoeringsaspecten van de AVG van de medewerkers van de gemeente is van essentieel belang. Het voorkomt datalekken en daarmee de kans op een boete. Daarnaast bespaart het veel tijd en kosten die herstel en afhandeling met zich meebrengen. Van belang is dat iedereen zich bewust is van de risico’s en zich vervolgens houdt aan de afspraken. 2 De gegevensbeschermingseffectbeoordeling wordt ook wel afgekort tot DPIA naar de Engelse term Data Protection Impact Assessment.

6

Aangezien het domein Samenleving hoogt scoort op de processen met risicovolle verwerkingen is in 2019 al gestart met het organiseren van privacy workshops bij dit domein. Medewerkers die zich bezighouden met de uitvoering van de Wmo hebben in 2020 een basis workshop AVG gevolgd. Ook is een specifieke training voor de medewerkers van het Sociaal Wijkteam gehouden. De medewerkers van het team Automatisering hebben in december 2020 een digitale workshop gevolgd; eenzelfde training voor de medewerkers van het team Juridische zaken is verplaatst naar januari 2021.

4.

Rechten van betrokkenen

De gemeente dient degene(n) van wie zij de persoonsgegevens verwerkt (de betrokkene) zowel actief als passief te informeren over het verwerken, de wijze van het verwerken, de grondslag en de maatregelen die zij neemt om onrechtmatige toegang en - verwerking te voorkomen. Daarnaast stelt de AVG betrokkenen in staat om door middel van een aantal rechten, controle en invloed uit te oefenen over zijn of haar persoonsgegevens. Betrokkenen worden op de website van de gemeente Velsen uitgebreid geïnformeerd over hun rechten, zoals het verzoek tot inzage, het corrigeren of verwijderen van persoonsgegevens en het bezwaar maken tegen verwerking van de gegevens. Een verzoek kan schriftelijk of digitaal (door middel van DigiD) worden ingediend. Ontvangen verzoeken 2020 Inwoners kunnen datalekken op eenvoudige wijze melden op het e-mailadres datalekken@velsen.nl. In het jaar 2020 is door betrokkenen slechts beperkt gebruik gemaakt van de AVG-rechten tot inzage, informatie, verwijdering en/of bezwaar. Er zijn in deze periode drie verzoeken tot inzage binnengekomen. Deze zijn alle gehonoreerd. Daarnaast is één verzoek tot rectificatie van persoonsgegevens ontvangen. Na controle bleek dat er geen sprake was van onjuiste gegevens bij de gemeente Velsen. Betrokkene is doorverwezen naar de juiste instantie.

5.

Samenwerking

De gemeente werkt op meerdere beleidsterreinen, in diverse rollen en hoedanigheden samen met (mede-)overheden en private organisaties. Vaak is sprake van verwerking van persoonsgegevens tussen partijen: het ontvangen van, het verzenden (delen) van, maar ook het opslaan van en inzien van persoonsgegevens valt onder dit begrip. Deze verwerkingen dienen dan ook te voldoen aan de AVG.

Samenwerking op basis van gelijkwaardigheid Naast situaties waarin taken worden uitbesteed werkt de gemeente Velsen ook veel met andere partijen samen op basis van gelijkwaardigheid. In dergelijke gevallen zijn de betrokken partners krachtens de AVG ieder zelfstandig 'verwerkingsverantwoordelijke’. Een ‘verwerkersovereenkomst’ is hier niet verplicht. Het is gebruikelijk dat de gemeente in dergelijke situaties een privacy-convenant aangaat met de samenwerkingspartners. Gemeenschappelijke regelingen De gemeenschappelijke regelingen (GR) waaraan de gemeente Velsen deelneemt vormen een aparte categorie. Per GR kan de AVG-situatie namelijk verschillen. Afhankelijk van de juridische kaders kan een GR een ‘verwerker’ of een zelfstandig ‘verwerkersverantwoordelijke’ zijn.

7

Privacy-samenwerking IJmond gemeenten Op het vlak van AVG/privacy beleidsvorming en advisering wordt nauw samengewerkt met de gemeenten Heemskerk en Beverwijk en de Omgevingsdienst IJmond. Het streven bij deze samenwerking is om vanuit een gezamenlijke visie het privacybeleid uit te voeren. Deze samenwerking heeft in 2020 als concreet resultaat het IJmondiale privacy-convenant Netwerk Woon Zorg opgeleverd.

6.

Beveiliging

Beveiliging maakt onderdeel uit van de verplichtingen in de wet (art AVG 32). De organisatie is verplicht zodanige organisatorische en technische maatregelen te treffen dat de beschikbaarheid, vertrouwelijkheid en integriteit van persoonsgegevens en systemen adequaat beschermd zijn. Daarnaast geldt onder de AVG een meldplicht datalekken. Dit houdt in dat incidenten, waaronder inbreuken op de beveiliging, onder omstandigheden gemeld dienen te worden aan de Autoriteit Persoonsgegevens en/of de betrokkene(n). In 2020 zijn vier datalekken geregistreerd. Aan de hand van de ‘Procedure beveiligingsincidenten en datalekken’ van de gemeente Velsen is afgewogen of een melding bij de Autoriteit Persoonsgegevens moest worden gedaan. Er zijn twee datalekken bij de Autoriteit Persoonsgegevens gemeld. Het is duidelijk dat doorlopende aandacht voor de privacy-bewustwording noodzakelijk is ter beperking van het risico op datalekken. In 2020 is er een opvallend laag aantal datalekken gemeld. Mogelijke oorzaken hiervan kunnen zijn Covid/19 en het thuiswerken. Uiteindelijk moet ook worden vastgesteld dat het risico op datalekken nooit helemaal kan worden weggenomen.

7.

Verantwoording

Op grond van de AVG (artikel 30) moet iedere gemeente een overzicht beschikbaar hebben met daarop alle verwerkingen van persoonsgegevens die er binnen de organisatie plaatsvinden. Eén van de instrumenten om aan te tonen welke persoonsgegevens binnen welke processen worden verwerkt is het verwerkingsregister. De verantwoording wordt in 2020 aangetoond door de verwerkingen in het verwerkingsregister en het workflow-systeem Key2Control up-to-date te houden. Datalekken, DPIA’s en adviezen van de FG worden ook in dit workflowsysteem opgenomen.

Conclusie en aanbevelingen Eind 2017 is in opdracht van de gemeente Velsen een AVG-nulmeting uitgevoerd. Op grond van de nulmeting is in de jaarrapportage over 2018 aangegeven, dat het volwassenheid van de gemeentelijke organisatie op het gebied van privacy zich bevond op niveau 2 ‘Herhaalbaar’ (zie de niveaus in de tabel hieronder). Op dat niveau beschikt de organisatie over beheersmaatregelen die breder toepasbaar zijn. Deze maatregelen zijn echter vaak nog te operationeel, missen consistentie en zijn niet noodzakelijk toereikend. In 2019 zijn maatregelen op het gebied van privacy doorgevoerd. Over dat jaar is geen jaarrapportage uitgebracht en ook geen meting van het volwassenheidsniveau gedaan. Privacyvolwassenheidsniveau 2020 Het jaar 2020 stond in het teken van het bereiken van een hoger volwassenheidsniveau op het gebied van privacy. Echter, 2020 was een jaar als geen ander. Voor de gehele samenleving en voor de (medewerkers van de) gemeente Velsen in het bijzonder. Naast de bedrijfsmatige gevolgen van COVID-19, zoals bijv. 8

het verplicht thuiswerken, werd ook de organisatie-aanpassing een feit. Beide ontwikkelingen hebben ervoor gezorgd dat het verhogen van het privacyvolwassenheidsniveau in de organisatie niet zo snel kon worden gerealiseerd als oorspronkelijk gepland. In 2020 zijn wel de vruchten geplukt van eerder doorgevoerde maatregelen. Door een toename in het privacy-bewustzijn is privacy meer gaan leven. Dit was onder andere te zien aan de toename in het aantal adviesvragen dat binnenkwam bij de PO. Om meer inzicht te krijgen in het volwassenheidsniveau hebben de PO en FG in 2020 met een representatief aantal medewerkers gesproken over diverse privacyaspecten binnen hun domein. Op grond van de uitkomsten van deze gesprekken en de eigen waarnemingen van PO en FG is de conclusie dat het privacyvolwassenheidsniveau van de organisatie, ondanks de doorgevoerde maatregelen, niet dusdanig is verbeterd dat het derde niveau ‘Afgebakend’ is bereikt. Het niveau ‘Herhaalbaar’ wordt dan ook voor 2020 gehandhaafd. V olw assen heid pr ivacybeleidsvoer in g Niveau

Omschrijving

Optim aliser end

5

Organisatiebreed privacybeleid gekenmerkt door vanzelfsprekendheid en natuurlijke samenwerking. Optimalisering van beheersmaatregelen is een continu proces en gebeurt op basis van meetbaarheid, rekenschap, permanente dialoog en anticipatie.

Gem anaged

4

Organisatiebreed privacybeleid gekenmerkt door hoge awareness en bijsturing van beheersmaatregelen op basis van meetbaarheid, rekenschap en periodieke evaluaties.

Afgebakend

3

Privacybeleid beperkt zich tot processen die als meest risicovol in het oog springen. Deze worden in kaart gebracht en voorzien van passende beheersmaatregelen maar missen borging en zijn daarmee niet bestendig genoeg.

H er haalbaar

2

De organisatie beschikt over beheersmaatregelen die breder toepasbaar zijn. Ze zijn echter vaak nog te operationeel, missen consistentie en zijn niet noodzakelijk toereikend.

Ad hoc

1

Maatregelen staan op zichzelf en ontbreken bij andere aandachtsgebieden. Ze zijn vaak te operationeel, missen consistentie en zijn niet noodzakelijk toereikend.

N alatig

0

Privacy leeft niet. De wet wordt genegeerd. Privacywaarborgen zijn afwezig.

Aanbevelingen Ter verbetering van de privacyvolwassenheid van de gemeentelijke organisatie worden navolgende aanbevelingen gedaan. Daarnaast zullen door privacymanagement de maatregelen zoals in de bijlage benoemd worden opgepakt. Dit tezamen zorgt ervoor dat de organisatie een volgend privacyvolwassenheidniveau kan bereiken. • Het aantoonbaar kunnen voldoen aan de verplichtingen van de AVG vergt een goed contractbeheer. Vastgesteld is dat het contractbeheer op dit moment veelal decentraal plaatsvindt. Per domein/team zijn er duidelijke verschillen in de wijze van dit beheer, alsook de kwaliteit hiervan. Vanuit het oogpunt van privacycompliance is een meer uniforme wijze van beheer gewenst en dient op dit punt een verbeteringsslag plaats te vinden. Dit onderwerp is hoger op de agenda van de directie gekomen en heeft ertoe geleid dat de verbeteringsslag tot project is bestempeld. Het projectteam heeft in 2020 gewerkt aan plannen die tot deze verbetering moeten leiden.

9

• Het aantoonbaar kunnen voldoen aan de verplichtingen van de AVG vergt heldere, actuele en accurate autorisatieoverzichten voor toegang tot privacygevoelige informatie in ICT-systemen. Het verdient dan ook aanbeveling om hier nadere aandacht aan te besteden. • Op grond van de AVG is het verplicht om elk proces waarin sprake is van verwerking van extra privacygevoelige persoonsgegevens eens in de drie jaar aan een DPIA (privacy-assessment) te onderwerpen. Het verdient aanbeveling om hier organisatie breed extra aandacht aan te besteden. In 2020 is een voorzichtige verbeterslag te zien, maar het streven is dat de gehele organisatie hier ruim voldoende op scoort. • Omdat de ontwikkelingen waarin privacy een rol speelt zich in razendsnel tempo uitbreiden, is het voor de PO en de FG niet mogelijk de gewenste situatie te bereiken zonder hulp van de collega’s bij de domeinen. Er wordt aanbevolen om per domein twee privacycontactpersonen te benoemen die aanspreekpunt/vraagbaak zijn voor de medewerkers in het domein en een signaleringsfunctie hebben richting PO en FG. (gerealiseerd in maart 2021)

.

10

Deel 2. Werkprogramma 2021: ‘Op weg naar een hoger privacy volwassenheidsniveau’ Privacymanagement werkt aan een bedrijfsvoering waarbij ‘privacy’ op een natuurlijke manier tot de organisatiecultuur is gaan behoren. Het ligt voor de hand om aansluiting te maken met kernwaarden die veel organisaties hanteren zoals ‘duurzaam’, ‘leefbaar’, ‘veilig’ en ‘klantgericht’, want privacybeleid draagt hieraan bij. Sterker nog; privacybescherming behoort tot de rechten van de mens (grondrecht). In maart 2021 heeft de VNG het Borgingsproduct 2.0 uitgebracht. Hierin is opgenomen dat niveau 3 (‘Bepaald’ in de nieuwe versie) wordt beschouwd als het minimumniveau dat bereikt zou moeten worden. Het is de ambitie van de gemeente Velsen om dit privacyvolwassenheidsniveau te bereiken en te behouden. De navolgende ontwikkelingen spelen een belangrijke rol in het streven naar een hoger privacyvolwassenheidsniveau. Het is van belang te vermelden dat er extra aandacht zal zijn voor naleving van de AVG bij het domein Samenleving, het team Openbare orde en veiligheid van het domein Publiek en bestuur en de risicovolle processen op het gebied van Human Resources.

1.

Het privacybeleid

Met de vaststelling van het ‘Overkoepelend beleid Privacy & gegevensbescherming’ is een solide basis gelegd voor verdere beleidsvorming ten aanzien van de omgang met persoonsgegevens. Naast algemene uitgangspunten biedt dit beleidsdocument de feitelijke kapstok waaronder specifiek privacybeleid kan worden gehangen. Dit betreft momenteel het in 2015 (in het kader van de transities) vastgestelde ‘Privacybeleid Sociaal Domein’. Het streven is dat op termijn ook voor het team Openbare orde & Veiligheid en de risicovolle processen op het gebied Human Resources specifiek privacybeleid wordt ontwikkeld. In 2021 wordt het ‘Privacybeleid Sociaal Domein’ geactualiseerd, omdat dit beleid de einddatum heeft overschreden.

2.

Processen

Zoals eerder in deze rapportage vermeld bestaat er ten aanzien van processen met een hoog risico voor betrokkenen de verplichting tot het uitvoeren van DPIA’s. In 2021 wordt organisatiebreed ingezet op het uitvoeren van DPIA’s bij iedere nieuwe risicovolle gegevensverwerking. Aanvullend worden in 2021 DPIA’s verricht op een nog nader aantal te specificeren privacygevoelige processen van het domein Samenleving. Afhankelijk van de voortgang van de DPIA’s bij het domein Samenleving zal een aanvang worden gemaakt met de uitvoering van DPIA’s op bestaande risicovolle processen op het gebied van Human Resources en Openbare orde en veiligheid.

3.

Organisatorische inbedding

Managers zijn proceseigenaar voor alle op hun eigen domein beschikbare verwerkingen van persoonsgegevens. Om elkaar van de ontwikkelingen op privacygebied op de hoogte te houden hebben PO, FG en het MT van het domein Samenlevering periodiek overleg. Het is de intentie om ook met de managers van de overige domeinen met een zekere regelmaat overleg te gaan voeren. Privacy-contactpersonen De organisatie, zowel ambtelijk als bestuurlijk, heeft gegevensbescherming hoog in het vaandel staan. Dit blijkt onder andere uit het formeel benoemen van privacy-contactpersonen. Deze personen worden in 2021 opgeleid met als doel het privacyvriendelijk werken op hun domein te stimuleren en te coördineren. 11

De privacy-contactpersonen zijn vraagbaak voor privacykwesties. Er worden bijeenkomsten gepland voor casusbesprekingen en het delen van kennis. Privacypagina op Sociaal Intranet Het is van belang dat niet alleen inwoners, maar ook medewerkers zelf goed geïnformeerd worden. In 2021 wordt hiervoor een privacypagina op het Sociaal Intranet ontwikkeld. Op deze pagina, die voor een ieder gemakkelijk te vinden zal zijn, worden onder andere veel gestelde vragen, tools en informatiesheets gedeeld. De verwachting is dat deze pagina een enorme boost zal geven aan het privacy-gericht werken. Om de aandacht van de medewerkers voor privacy vast te houden worden regelmatig berichten, tips en tricks op het Sociaal Intranet geplaatst. Voor 2021 staat een privacy-campagne op het Sociaal Intranet op de planning waarbij op diverse manieren wekelijks informatie wordt gedeeld. Format DPIA In 2020 is een onderzoek gestart naar de meest gebruiksvriendelijke versie van de DPIA. Dit resulteerde in een driedelige set (checklist, DPIA Light en DPIA Full). In samenwerking met een collega van het team Informatie zijn hiervoor unieke Velsens ontwerpen gemaakt. In 2021 worden deze ontwerpen openbaar gemaakt, waardoor er één uniforme werkwijze in Velsen ontstaat.

4.

Rechten van betrokkenen

Velsen heeft een goed werkend proces voor betrokkenen om hun rechten uit te oefenen. Er zijn voor 2021 geen grote wijzigingen hierin te verwachten.

5.

Samenwerking

De vruchtbare samenwerking tussen de IJmondgemeenten (Heemskerk, Beverwijk, Velsen), en met de Omgevingsdienst IJmond en IJmondWerkt! wordt voortgezet. Naast deze samenwerking is Velsen in 2021 aangesloten bij het privacy-overleg Noord Holland Noord. Gemeente Velsen en de privacycollega’s van de gemeenten Haarlem en Haarlemmermeer en de Veiligheidsregio Kennemerland zijn voorts bezig met de ontwikkeling van een nieuwe werkwijze voor interdisciplinaire samenwerkingen in het zorg- en veiligheidsdomein. Eind 2018 is gestart met een verkennend overleg met privacydeskundigen van de bij de Veiligheidsregio Kennemerland (VRK) betrokken gemeenten en de FG van de VRK. Het doel hierbij was om elkaar te leren kennen, elkaar te kunnen vinden en dezelfde privacy gerelateerde vraagstukken m.b.t. de Veiligheidsregio en de betrokken gemeenten in gezamenlijkheid te kunnen bespreken. Dit samenwerkingsverband werkt in 2021 aan de ontwikkeling van een model convenant gegevensverwerking.

6.

Beveiliging

Beveiliging maakt onderdeel uit van de verplichtingen in de wet (art AVG 32). De organisatie is verplicht zodanige organisatorische en technische maatregelen te treffen dat de beschikbaarheid, vertrouwelijkheid en integriteit van gegevens en systemen adequaat beschermd zijn. De medewerkers worden in 2021 opnieuw regelmatig geïnformeerd over het melden van datalekken. Gezien de betere bekendheid met de procedure van het melden is de verwachting is dat het aantal datalekken zal toenemen. In 2020 werd nauw samengewerkt tussen de CISO, PO en FG. De verwachting voor 2021 is dat deze samenwerking zich verder zal uitbreiden. Gezien de overlap die privacy en informatiebeveiliging hebben, worden regelmatig gezamenlijk adviezen opgesteld.

12

7.

Verantwoording

Op grond van de AVG (artikel 30) moet iedere gemeente een overzicht beschikbaar hebben met daarop alle verwerkingen van persoonsgegevens die er binnen de organisatie plaatsvinden. Eén van de instrumenten om aan te tonen welke persoonsgegevens binnen welke processen worden

verwerkt is het verwerkingsregister. In 2021 wordt een proces ontwikkeld waarbij domeinen/tams structureel hun verwerkingen kunnen updaten. Dit resulteert in een altijd actueel verwerkingsregister.

Conclusie Op het gebied van privacy en gegevensbescherming valt ook in 2021 winst te behalen. Nu de basis is geïmplementeerd, is de organisatie er klaar voor om een vervolgstap te maken waarbij privacygericht werken, ‘privacy by design’, bekendheid met en de uitvoering van DPIA’s op privacygevoelige (werk)processen dit jaar extra aandacht verdienen. Het is duidelijk dat de aandacht voor privacy nooit ‘klaar’ is. Zolang de gemeente persoonsgerelateerde informatie verwerkt, blijven de privacy-waarborgen nodig. Gemaakte afspraken/maatregelen dienen te worden geëvalueerd en zo nodig bijgesteld. Privacymanagement vergt dan ook permanent aandacht.

13

Bijlage: Toelichting en diagrammen In deze bijlage wordt per thema door middel van een diagram en toelichting hierop aangegeven waar de gemeente Velsen staat wat betreft de implementatie van de AVG. Deze systematiek is afkomstig uit het borgingsdocument van VNG Realisatie. Per thema wordt aangegeven welke maatregelen moeten worden genomen om beter te kunnen voldoen aan de voorwaarden die worden gesteld vanuit de AVG. Daartoe zijn de thema’s nader uitgewerkt in criteria en maatregelen. De criteria geven aan welke resultaten per thema gerealiseerd moeten worden om te voldoen aan de AVG. Om die resultaten te behalen moeten de benodigde maatregelen worden genomen. De diagrammen laten kwantitatief zien in welke mate de benodigde maatregelen per thema zijn genomen. Wanneer ‘niet van toepassing’ is ingevuld betekent het dat deze maatregel niet van toepassing is op de gemeente Velsen. ‘Onbekend’ betekent dat er onvoldoende informatie bekend is, waardoor geen oordeel gegeven kan worden. Onder de diagrammen zijn de maatregelen opgenomen waaraan moet worden voldaan om per thema meer ‘groen’ te kunnen scoren. Onderstaande meting is eind 2020 uitgevoerd. Vermeld dient te worden dat tussen de datum van deze meting en de datum van het opstellen van de jaarrapportage flinke stappen zijn gezet. Hierdoor zal een nieuwe meting een positiever resultaat weergeven.

Beleid Maatregelen op het thema Beleid Maatregelen genomen?

Aantal

Ja

2

Nee Onbekend

10 1

Niet van toepassing

0

Gedeeltelijk

3

Beleid

Ja

Nee

Onbekend

Niet van toepassing

Gedeeltelijk

Maatregelen: • • •

Het privacybeleid Domein Samenleving moet worden geüpdatet en opnieuw worden vastgesteld. Er dient domein-specifiek privacybeleid te worden vastgesteld voor de privacygevoelige processen bij de teams Openbare Orde en Veiligheid en Human Resources. Het Overkoepelend privacybeleid moet periodiek worden getoetst en aangepast indien nodig.

14

Processen Maatregelen op het thema Processen

Processen

Maatregelen genomen?

Aantal

Ja

6

Nee

20

Onbekend

1

Niet van toepassing

0

Gedeeltelijk

8

Ja

Nee

Onbekend

Niet van toepassing

Gedeeltelijk

Maatregelen: • In de organisatie zijn/worden procedures vastgelegd in werkprocessen. Het streven is om álle procedures in werkprocessen te beschrijven. • De gemeente heeft de verplichting een register van verwerkingsactiviteiten bij te houden voor de activiteiten die zij als verwerker uitvoert. Om aan dit punt te kunnen voldoen zal het bestaande register jaarlijks moeten worden geactualiseerd. Dit zal nog in een proces worden geborgd. • Bovenstaande verwerkingsactiviteiten moeten worden gecheckt op de beginselen van de AVG, • Er moet een actueel beeld van bestaande verwerkingen komen die een hoog privacyrisico voor betrokkenen opleveren. Aansluitend kan een plan van aanpak worden gemaakt over de hier uit voortvloeiende uit te voeren DPIA’s. • De procedure van het uitvoeren en actualiseren van DPIA’s moet worden vastgelegd in een proces. • Intern verantwoordelijken dragen er zorg voor dat nieuwe verwerkingen of potentieel nieuwe verwerkingen, welke mogelijk een hoog privacyrisico opleveren voorafgaand worden getoetst middels een DPIA. • De resultaten van de DPIA worden gedeeld en gebruikt om de betrokken afdeling(en) bewust te maken van de privacyrisico’s en het belang van privacymanagement.

Organisatorische inbedding Maatregelen op het thema Organisatorische inbedding Maatregelen genomen?

Aantal

Ja

24

Nee

7

Onbekend Niet van toepassing

6

Gedeeltelijk

6

Organisatorische inbedding

4 Ja

Nee

Onbekend

Niet van toepassing

Gedeeltelijk

Maatregelen: • Op ieder domein worden één of twee privacycontactpersoon aangewezen die privacygerelateerde vragen en opmerkingen verzamelen en op de hoogte zijn van de wensen en ontwikkelingen binnen het betreffende domein. 15

• Medewerkers hebben enkel toegang tot de systemen die zij nodig hebben ter uitvoering van hun werkzaamheden (autorisatieprocedures in de gehele organisatie sluitend). • Er zijn organisatiebreed procedures voor autorisatie en controle toegangsrechten en deze worden ook geüpdatet en nageleefd.

Rechten van betrokkenen Maatregelen op het thema Rechten van betrokkenen Maatregelen genomen?

Rechten van betrokkenen

Aantal

Ja

25

Nee

2

Onbekend

4

Niet van toepassing

0

Gedeeltelijk

1

Ja

Nee

Onbekend

Niet van toepassing

Gedeeltelijk

Maatregelen •

De systemen en voorzieningen van de gemeente faciliteren de rechten van betrokkenen. Het heeft de voorkeur om met één druk op de knop alle domeinen met verwerkingen van een betrokkene overzichtelijk te krijgen. • Medewerkers herkennen AVG-verzoeken en weten wat zij hiermee moeten doen. • Er valt een grote winst te behalen als ‘privacy by design’ standaard wordt toegepast. Producten, diensten, instellingen en functies in systemen worden hierbij aan de voorkant privacyvriendelijk ingericht.

Samenwerking Maatregelen op het thema Samenwerking Resultaat

Aantal

Ja

7

Nee

4

Onbekend

5

Niet van toepassing

0

Gedeeltelijk

3

Samenwerking

Ja

Nee

Onbekend

Niet van toepassing

Gedeeltelijk

Maatregelen: • De organisatie heeft inzichtelijk met welke externe partijen er sprake is van het verwerken van persoonsgegevens. Per domein kunnen deze gegevens opgevraagd worden. Zolang dit niet inzichtelijk is, kan niet worden gecontroleerd of met alle verwerkers de juiste afspraken gemaakt zijn en hiermee aan de wetgeving wordt voldaan.

16

• De organisatie heeft inzichtelijk welke partijen zij aanmerkt als verwerker, gezamenlijk verwerkingsverantwoordelijke of zelfstandig verwerkingsverantwoordelijk. Per domein kunnen deze gegevens opgevraagd worden. Er is veel winst te behalen in het centraal beheren van deze gegevens. • Bij het inschakelen van externe partijen wordt voorafgaand getoetst of er sprake is van het verwerken van persoonsgegevens en wanneer dit het geval is, worden voorafgaand aan de inschakeling afspraken gemaakt over de verwerking. De bewustheid hierover wordt steeds groter. Het streven is naar een standaardwerkwijze waarbij deze procedure in alle gevallen wordt uitgevoerd. Dit voorkomt veel herstelwerkzaamheden achteraf en de kans op risico’s neemt hiermee af.

Beveiliging Maatregelen op het thema Beveiliging Resultaat

Beveiliging

Aantal

Ja

8

Nee

1

Onbekend

11

Niet van toepassing

1

Gedeeltelijk

0

Ja

Nee

Onbekend

Niet van toepassing

Gedeeltelijk

Maatregelen: • Voor alle geautomatiseerde systemen zijn autorisatieschema’s vastgesteld. • Er is loggingsbeleid. Dit beleid wordt nageleefd en geactualiseerd indien nodig. • Verwerkingen worden organisatiebreed zodanig ingericht dan rekening wordt gehouden met de beginselen van ‘privacy by design’ en ‘privacy by default’. • Het proces hoe de organisatie omgaat met incidenten – waaronder inbreuken - in verband met persoonsgegevens moet worden geüpdatet.

Verantwoording Maatregelen op het thema Verantwoording

Resultaat

Verantwoording

Aantal

Ja

8

Nee

5

Onbekend

6

Niet van toepassing

0

Gedeeltelijk

2

Ja

Nee

17

Onbekend

Niet van toepassing

Gedeeltelijk

Maatregelen: • De verwerkingen van de organisatie zijn vastgelegd in het register van verwerkingsactiviteiten. Het register zal jaarlijks moeten worden geüpdatet. Aanvullend moeten de verwerkingen worden getoetst aan het privacy beleid en de relevante wet- en regelgeving. • Wanneer de verwerking plaatsvindt op grond van toestemming van de betrokkene, kan de organisatie aantonen dat de betrokkene een volwaardige toestemming heeft gegeven voor de verwerking. In de praktijk blijkt hier verschillend mee omgegaan te worden. Het streven is om hier één lijn in te trekken.

18