045-26 Bijlage 2025 FG-rapportage bescherming persoonsgegevens gemeente Ww

Rapportage bescherming persoonsgegevens Gemeente Waalwijk 2025

Inhoud Rapportage bescherming persoonsgegevens gemeente Waalwijk 2025 ......3 1.

Algemeen .....................................................................................................3

2.

Naleving AVG ..............................................................................................3

3.

Naleving Wpg ............................................................................................10

4.

Tot slot .......................................................................................................12

5.

Bijlage: gebruikte afkortingen ...............................................................13

Rapportage bescherming persoonsgegevens gemeente Waalwijk 2025 1. Algemeen Jaarlijks brengt de Functionaris Gegevensbescherming (FG) een rapportage uit over de naleving van de Algemene Verordening Gegevensbescherming (AVG) en de Wet politiegegevens (Wpg). De rapportage is gebaseerd op het AVG-borgingsproduct van de VNG1, de eigen waarnemingen van de FG en voor wat betreft de Wpg is het normenkader van NOREA van toepassing2 en het eigen toezicht door de FG.

2. Naleving AVG Door de jaren heen komt de basis steeds meer op orde, gelet op de onderstaande metingen in de tabel.

Implementatie AVG gerealiseerd (op basis van VNG-norm) 2022

2023

2024

2025

Onderwerp

4-meting 5-meting 6-meting 7-meting

Beleid

75%

84%

87%

88%

Processen

79%

70%

72%

81%

Organisatorische inbedding

75%

79%

83%

89%

Rechten van betrokkenen

50%

77%

85%

85%

Samenwerking3

25%

60%

60%

55%

Beveiliging

50%

85%

86%

92%

Verantwoording

88%

93%

93%

100%

Totaal gewogen norm gerealiseerd

66%

77%

80%

84%

1 VNG Borgingsproduct AVG 3.1 https://www.informatiebeveiligingsdienst.nl/avg-borgingsproduct-3-1/ 2 https://www.norea.nl/nieuws/handreiking-privacy-audit-wet-politiegegevens-wpg-voor-boas

3 De score ten opzichte van 2024 is lager door de nieuwe versie van het format, waarbij twee vragen zijn

gewijzigd.

In de basis is de naleving van de AVG goed op orde mede omdat er een goede stuurgroep is gevormd rond het onderwerp waarin de gemeentesecretaris een leidende rol neemt. De gemeente oefent (cyber)incidenten met het volledige crisisteam waar de bestuurder een leidende rol aanneemt. Van echte incidenten wordt geleerd door deze te evalueren en verbeteringen door te voeren. De gemeente houdt registers goed bij, al heeft het verwerkingsregister een update nodig (zie hierna). Daarnaast worden (individuele) besluiten goed bijgehouden in het zaaksysteem. Er wordt veel gedaan aan bewustwording van medewerkers onder meer door een wekelijkse vraag in de mailbox, berichten op intranet en trainingen en presentaties voor verschillende doelgroepen. De deelname aan deze activiteiten kan wel beter4. Verder wordt kennisuitwisseling met andere gemeenten en organisaties opgezocht. Op een aantal gebieden kan de gemeente nog groeien in de naleving van de AVG. Uiteraard moet het bestuur en directie een afweging maken wat haalbaar is binnen welke periode. Hiervoor wordt jaarlijks een uitvoeringsplan opgesteld waarin prioriteiten worden opgenomen. De FG wordt hier ook bij betrokken. De belangrijkste verbeterkansen zijn: 1. Het verwerkingsregister optimaliseren; • Niet alle verwerkingen staan erin, of de verwerking kan worden aangevuld. 2.

De uitvoering van werkzaamheden in het kader van naleving AVG en Wpg kunnen nog beter in de afdelingen zelf belegd worden; • Hiervoor is een directievoorstel in voorbereiding. 3. Bevraag leveranciers en samenwerkingspartners nog meer op naleving beveiligingsafspraken; • Met name voor geïdentificeerde hoog-risico verwerkingen waarvoor op dit punt nog geen wettelijke audit is voorgeschreven. 4. Zorg voor een goede implementatie van de (toekomstige) Cyberbeveiligingswet • De Rijksinspectie digitale infrastructuur wordt hiervoor de landelijke toezichthouder en die verwacht inzicht in een goed 4 Zo is de deelname aan ‘de wekelijkse vraag’ zo’n 50%.

werkende planning & controlcyclus om alle normen aantoonbaar onder controle te hebben. • Zorg voor meer aantoonbare controles op genomen beveiligingsmaatregelen, vooraf en achteraf. 5. Verbeter de communicatie over het verwerken van persoonsgegevens • Het privacybeleid van de gemeente kan verder worden verduidelijkt door het maken van privacyverklaringen per thema. Net als vorig jaar wordt opgemerkt dat de beschikbare tijd (in Fte’s) voor het uitvoeren van taken in het kader van de naleving van de AVG/Wpg krap is en daarmee ook een risico vormt. Geadviseerd wordt om hier meer middelen voor beschikbaar te stellen. Voor de jaren 2025 en 2026 werd extra incidenteel budget beschikbaar gesteld door het College, maar het advies is om te zorgen voor een structurele oplossing. Terugblik op 2025 Een aantal opvallende thema’s uit het afgelopen jaar worden nu uitgelicht. Sociaal Domein Het sociaal domein en de verbinding met het thema veiligheid is al lange tijd een belangrijk thema in de politiek en belangrijke opgave voor de gemeentelijke organisatie. De gemeente moet met minder middelen meer taken uitvoeren. Daarbij is het hoofddoel om zorg te bieden aan inwoners die dat nodig hebben. In een aantal gevallen komt er ook een stuk veiligheid bij kijken. Veiligheid die geboden moet worden aan (verwarde) personen, veiligheid binnen een gezin en veiligheid binnen onze samenleving.

Sinds 2022 werkt de gemeente aan de veranderopgave uit de Koers Sociaal Domein in opdracht van de gemeenteraad. Hiervoor zijn in 2023 ambities en doelen samengesteld en vastgesteld door de gemeenteraad. Op dit moment werkt de gemeente vanuit het in 2024 vastgestelde implementatieplan getiteld Samen Redzaam aan die doelen. Naast organisatorische aanpassingen heeft deze beweging ook gezorgd voor meer duidelijkheid op welke momenten wel of geen gegevens gedeeld worden met partners. Om de samenhang tussen zorg en veiligheid te versterken implementeert de gemeente onder andere het AVE-model5. Deze Aanpak Voorkoming Escalatie zorgt voor een 5 https://vng.nl/artikelen/veel-animo-onder-gemeenten-voor-de-aanpak-ter-voorkoming-van-escalatie-ave

verantwoorde inschatting van een casus. Het kan gaan om een normale situatie waarbij de inwoner zelf de regie heeft over het oplossen van zijn vraag of behoefte tot aan een situatie waarbij er sprake is van een totale escalatie met een dreiging voor maatschappelijke onrust. Dit is een goede ontwikkeling. Structuur en weegmomenten zorgen voor meer controle en regie op gegevensdeling. Concreet doet de gemeente bijvoorbeeld mee aan een proef binnen het Rijksprogramma toekomstscenario kind- en gezinsbescherming6. Daarvoor wordt er op casusniveau samengewerkt met een Multi Expert Team dat bestaat uit verschillende professionals van verschillende organisaties, om zo de inwoner zo goed mogelijk vooruit te kunnen helpen. Algemeen advies binnen het sociaal domein is ook voldoende aandacht te schenken aan de geheimhoudingsplichten van medewerkers als deze worden opgelegd vanuit de wet of vanuit een rol als hulpverlener. Samenwerking met Baanbrekers Een deel van het sociaal domein, namelijk de uitvoering van de Participatiewet en aanverwante regelingen, is gedelegeerd aan uitvoeringsorganisatie Baanbrekers. In de praktijk zie je dat de gemeente en Baanbrekers elkaar nodig hebben om de cliënten goed van dienst te zijn.

Aanbevolen wordt om in 2026 nog eens specifiek in kaart te brengen welke uitwisselingen van gegevens er onderling zijn om te evalueren of voldoende beschermingsmaatregelen zijn getroffen. Een structurele en periodieke controle op de uitwisselingen is noodzakelijk om te controleren of gemaakte afspraken efficiënt zijn en worden nagekomen. Veiligheid Geconstateerd kan worden dat op het gebied van veiligheid in 2025 veel werk is verzet in het updaten van convenanten en het uitvoeren van DPIA’s. Zo werd bijvoorbeeld een privacy protocol ondermijning ingevoerd, is intensief meegewerkt aan de totstandkoming van de DPIA en convenant voor het Zorg- en Veiligheidshuis Midden en West-Brabant, zijn er DPIA’s uitgevoerd voor het samenwerkingsverband Jeugdtafel, het proces Informatiebeeld en is de DPIA voor het Maatschappelijk SteunSysteem (MASS) bijna gereed. Daarnaast heeft de gemeente tijdelijke middelen ontvangen voor de pilot “Analyse van complexe

6 https://www.rijksoverheid.nl/documenten/rapporten/2026/01/27/programma-toekomstscenario-kind-en-

gezinsbescherming

domeinoverstijgende casuïstiek” waarover afspraken zijn gemaakt over gegevensdeling en privacy. Verder werd de capaciteit binnen de afdeling LTH uitgebreid met een extra beleidsmedewerker. Deze komt naast de beleidsmedewerker die een coördinerende en ontwikkelende rol heeft gekregen met gegevensbescherming in het takenpakket. Technologische ontwikkelingen De technologische ontwikkelingen gaan (al jaren) zeer snel. De mogelijkheden op het gebied van Artificial Intelligence, het gebruik van algoritmes ten behoeve van het nemen van (voorgestelde) besluiten en de daarmee samenhangende ethische dillema’s nemen in rap tempo toe. De gemeente Waalwijk doet volop mee aan deze ontwikkelingen, er moet dan ook worden gezorgd dat er aandacht is voor de risico’s van het gebruik van persoonsgegevens voor betrokkenen. De gemeente heeft al in december 2023 een beleid vastgesteld over het gebruik van Kunstmatige Intelligentie, en dit beleid wordt jaarlijks geactualiseerd. Dit is in 2025 ook gebeurd. De VNG publiceerde een handreiking digitale ethiek7. Geadviseerd wordt om AI en de ethische aspecten daarvan op te pakken. De gemeente werkt inmiddels aan een ethisch toetsingskader. Verder komt er een wettelijke verplichting voor overheden om gebruikte algoritmen op te nemen in het algoritmeregister.

De gemeente registreerde vier algoritmen in dit register en er zijn er geen meer bijgekomen8, het is zaak om hier nog aandacht aan te schenken9. Onder de AI-Act10 is de gemeente verplicht om medewerkers kennis te geven over het gebruik van kunstmatige intelligentie. Hiervoor is in 2025 een actieplan AI-geletterdheid vastgesteld en wordt ook al ten uitvoer gebracht. Datagedreven werken De gemeente Waalwijk heeft een datateam om “datagedreven” te kunnen werken. Dit houdt in dat beleidskeuzes beter kunnen worden gepresenteerd op basis van data van de gemeente en bijvoorbeeld ook in combinatie met de gegevens van het CBS.

7 https://vng.nl/sites/default/files/2022-02/handreiking_digitale_ethiek.pdf 8 Https://algoritmes.overheid.nl/nl/algoritme?organisation=Gemeente+Waalwijk 9 https://www.autoriteitpersoonsgegevens.nl/actueel/algoritmeregistratie-in-nederland-moet-beter 10 Regulation - EU - 2024/1689 - NL - EUR-Lex

Daarnaast kan de data worden gebruikt om ook tactische en operationele data te produceren. Dit gaat dan over managementgegevens, bijvoorbeeld aantallen fte per afdeling, ziekteverzuimpercentage etc, en lijstwerk, zoals bijvoorbeeld een lijst met cliënten die een bepaalde WMO-voorziening vergoed moeten krijgen. Deze informatie wordt dus gebruikt met als doel om efficiënter en/of effectiever te werken. De gemeente gebruikt hiervoor een IT-architectuur waarbij ruwe data uit een groot deel van de diensten van de gemeenten worden verzameld om daar vervolgens rapporten van te maken. Binnen deze architectuur is voorzien in een autorisatiestructuur zodat (persoons)gegevens alleen kunnen worden ingezien door bevoegde ambtenaren. In 2025 is een aantal dashboards gemaakt en is de werkwijze rond de aanvraag voor een nieuw dashboard verder geprofessionaliseerd met product-eigenaren. Het advies is om in de werkwijze de medewerkers die adviseren over privacy- en informatiebeveiligingsaspecten meer te betrekken. Vanwege de hoeveelheid (bijzondere) persoonsgegevens die in het geheel van datagedreven werken worden verwerkt moet er in 2026 een DPIA worden uitgevoerd. Voor onderzoek met dergelijke dashboards en onderzoek met behulp van derde partijen zijn tegenwoordig diverse privacy vriendelijke technieken beschikbaar.

Deze technieken worden samengevat onder de verzamelnaam Privacy Enhancing Technologies (PET)7. Het advies is om deze technieken zoveel mogelijk toe te passen. Basisregistratie personen (BRP) en uitgifte reisdocumenten Jaarlijks voert de FG toezicht uit op de uitvoering van de BRP en de uitgifte van reisdocumenten in zijn rol als Beveiligingsfunctionaris Reisdocumenten (BR)11. De afdeling voert jaarlijks een verplichte zelfaudit uit die moet worden gerapporteerd aan de Rijksdienst voor Identiteitsgegevens (RvIG) en de Autoriteit Persoonsgegevens. Hier komen nauwelijks verbeterpunten uit. Voor wat betreft de uitgifte van reisdocumenten wordt er ook een zelf-audit uitgevoerd die alleen aan de RvIG wordt gerapporteerd. Ook hier komen weinig verbeterpunten uit. Er moet wel aandacht komen voor voldoende functiescheiding in het aanvraag-uitreikproces. De gemeente heeft hiervoor al een extra controlemaatregel ingevoerd.

11 Zie https://www.rvig.nl/rolverduidelijking-beveiligingsfunctionaris-reisdocumenten

Voor wat betreft de interne verstrekking van BRP-gegevens moet de gemeente zorgen voor betere proactieve controle op het gebruik van deze gegevens. Dit om mogelijke fraude en criminaliteit te voorkomen12. Camerabeleid De gemeente heeft een beleid vastgesteld voor het inzetten van camera’s voor toezicht in het kader van de handhaving van de openbare orde zoals bedoeld is in de gemeentewet. Daarnaast zet de gemeentecamera’s in ter bescherming van eigendommen rondom gebouwen en in publieke ruimten. Voor de inzet van deze camera’s moet er nog een beleid worden vastgesteld. In 2025 heeft gemeente een uitgebreide inventarisatie gedaan van de camera’s die op verschillende locaties worden gebruikt. Beveiliging van persoonsgegevens Gemeenten moeten voldoen aan de Baseline Informatiebeveiliging Overheid. Om dit te meten heeft de gemeente Waalwijk een Chief Information Security Officer (CISO) in dienst met een toezichthoudende en adviserende rol. De FG en CISO trekken bij dit onderwerp samen op. De gemeente Waalwijk voldoet in grote mate aan de gestelde norm maar kan uiteraard ook nog op een aantal zaken verbeteren, zoals hierboven in de tekst en in het ENSIA-rapport is aangegeven. Door de komst van de Cyberbeveiligingswet zal er meer directie betrokkenheid en sturing van het bestuur worden gevraagd. In 2025 constateren we dat de planning & control cyclus moet worden herzien.

Beleidsmatige keuzes in de beveiliging leunen nog op stukken die een paar jaar oud zijn en mogen bij de tijd worden gemaakt en vastgelegd. Verder is het van belang dat op meer plekken in het procescontroles worden ingebouwd om de werking van getroffen maatregelen te toetsen. Datalekken en rechten van betrokkenen De volgende verzoeken en klachten zijn door de jaren heen verwerkt. Uitzonderingen daargelaten werden de verzoeken correct en binnen de gestelde wettelijke termijn afgehandeld. Recht

2022

2023

2024

2025

Inzageverzoeken

7

5

6

12

Correctieverzoeken

-

-

-

2

12 https://nos.nl/artikel/2579273-corrupte-ambtenaar-amsterdam-mogelijk-medeplichtig-aan-explosies

Verwijderverzoeken

-

1

2

2

Bezwaar tegen verwerking

-

-

-

-

Klacht tav naleving

2

4

2

2

Het aantal inzageverzoeken is toegenomen, maar of hier ook een echte trend uit af te leiden is zal nog moeten blijken. Het aantal klachten schommelt tussen de 2 en 4. De klachten gaan meestal over het (on)terecht delen van persoonsgegevens door de gemeente. Alle klachten waren ongegrond. De klachten hebben geleid tot een vaststelling van een aparte procedure voor AVG-klachten. Er zijn 14 datalekken geweest in 2025 waarvan er 4 aan de Autoriteit Persoonsgegevens zijn gemeld. Van deze 4 gevallen is het 4 keer aan betrokkenen gemeld. Van de 10 datalekken die niet aan de AP zijn gemeld, zijn de betrokkenen in 3 gevallen wel op de hoogte gesteld ook al was dit strikt genomen niet noodzakelijk. Datalekken

2022

2023

2024

2025

Totaal

16

23

21

14

Waarvan gemeld aan de Autoriteit Persoonsgegevens

2

5

4

4

Waarvan gemeld aan de betrokkene

8

15

15

7

Overige datalekken met verwaarloosbaar risico / anders

14

18

17

10

3. Naleving Wpg Verwerking van persoonsgegevens op strafrechtelijke grond moet voldoen aan de vereisten van de Wpg. Alle andere verwerkingen – waaronder het toezicht – vallen nog wel onder de AVG. Gemeenten hebben daarmee bij de verwerking van persoonsgegevens bij handhavingstaken te maken met zowel de AVG als de Wpg. Dit betekent dat de gemeente binnen de bedrijfsvoering rekening moet houden met voorschriften en verplichtingen uit beide wettelijke regimes.

Een van de verplichtingen is het uitvoeren van interne en externe audits De verplichting tot het uitvoeren van een audit komt voort uit art 33 lid 5 van de Wpg welke verder is uitgewerkt in het Bpg (art 6.5). Op verschillende momenten heeft de FG toezicht gehouden op het verwerken van politiegegevens door de gemeente Waalwijk. Deze vinden plaats bij team LTH in domein 1 en 3. De bevindingen zijn aan de leidinggevende toegezonden. In zijn algemeenheid is de aanbeveling om te zorgen dat het verwerkingsregister compleet is, dat de periodieke controletaken goed worden belegd in het team en dat er goede instructies worden vastgesteld. In 2025 heeft ook de wettelijk verplichte externe audit plaatsgevonden. De auditor gaf een goedkeurend oordeel, met beperkingen. Dit wil zeggen dat de gemeente nog een aantal verbeterpunten heeft, kijkend naar de periode 2022 tot en met 2024. Hiervoor wordt een verbeterplan opgesteld. Norm Naleving WPG - Doelbinding - Rechtmatig - Juistheid - Oordeel feiten/persoonlijk - Verwerkingsregister - Rechten van betrokkenen Beleid bescherming persoonsgegevens wpg Toewijzing autorisaties Awareness

Audits

Domein I

Domein III

Voldaan Voldaan Voldaan Voldaan Deels voldaan Voorzien, maar kwam niet voor in 2025 Voldaan

Voldaan Voldaan Voldaan Voldaan Deels voldaan Er is 1 inzageverzoek geweest Voldaan

Rapportages 2025 nog niet alle gereed Er is een algehele opleiding geweest voor het nieuwe systeem. BOA’s komen net van school en hebben vijf jaar vrijstelling van extra opleidingen. Algemene awareness via intranet en Recourse. Nieuwe medewerkers moeten binnen 3 maanden een bewustwordingscursus volgen. Externe audit over 2024 is uitgevoerd. In 2025 wordt een verbeterplan uitgevoerd. De interne audit over 2025 loopt.

Voldaan Jaarlijks worden modules gevolgd die worden extern geëxamineerd om de BOA-benoeming te kunnen behouden. Algemene awareness via intranet en Recourse. Nieuwe medewerkers moeten binnen 3 maanden een bewustwordingscursus volgen. Externe audit over 2024 is uitgevoerd. In 2025 wordt een verbeterplan uitgevoerd. De interne audit over 2025 loopt.

Uitvoering DPIA

Herstelplan 2025

DPIA moet nog worden geactualiseerd na de invoering van het nieuw ingevoerde systeem. Deze volgt nog na de audit over 2024

Voldaan

Deze volgt nog na de audit over 2024

4. Tot slot Deze rapportage ziet er anders uit dan voorgaande jaren. De insteek is vooral het College en de Gemeenteraad te informeren. Daarom wordt op hoofdlijnen aangegeven wat er goed gaat en waar de gemeente verder kan verbeteren. Ik concludeer, op basis van de VNG-norm dat de gemeente de naleving van de AVG en Wpg goed op orde heeft. Zoals aangegeven zijn er ook nog genoeg verbeterpunten. De prioriteit zou moeten liggen op het nog beter verankeren van de kennis en vaardigheden in de afdelingen. Daarnaast verdient de implementatie van de cyberbeveiligingswet prioriteit, zorg met name voor de aantoonbaarheid van genomen beveiligingsmaatregelen en een goed werkende plan-do-check-act cyclus. Het is aan het College om, op voorstel van het directieteam, te beslissen over welke verbeteracties worden ingezet.

5. Bijlage: gebruikte afkortingen AI-Act

Artificial Intelligence Act

AVE-model Aanpak Voorkoming Escalatie AVG

Algemene verordening gegevensbescherming

Boa

Bijzondere opsporingsambtenaar

Bpg

Besluit politiegegevens

CBS

Centraal Bureau Statistiek

CISO

Chief Information Security Officer

DPIA

Data Protection Impact Assessment

FG

Functionaris voor Gegevensbescherming

ISMS/PMS

Information Security Management System / Privacy Management System

NOREA

Nederlandse Orde van Register EDP-Auditors

VNG

Vereniging van Nederlandse Gemeenten

Wpg

Wet politiegegevens