048 FG Rapportage bescherming persoonsgegevens Raad 2025
Tekst van het document
Rapportage bescherming persoonsgegevens Gemeenteraad 2025
Gemaakt door: Goedgekeurd door: V-Classificatie:
FG, 24-02-2026 Nvt Openbaar
Inhoudsopgave 1.
INLEIDING ...............................................................................................................................................3
2.
DOEL, AFBAKENING EN DOELGROEP .......................................................................................................3
3.
MANAGEMENTSAMENVATTING .............................................................................................................3
4.
WERKZAAMHEDEN VAN DE FG VOOR DE RAAD ......................................................................................4
5.
PERSOONSGEGEVENS ZIJN BIJ DE RAAD IN GOEDE HANDEN ...................................................................4 5.1. 5.2. 5.3. 5.4. 5.5. 5.6. 5.7.
BELEID .....................................................................................................................................................5 PROCESSEN ..............................................................................................................................................5 ORGANISATORISCHE INBEDDING ...................................................................................................................6 RECHTEN VAN BETROKKENEN .......................................................................................................................7 SAMENWERKING MET ORGANISATIES .............................................................................................................8 BEVEILIGING .............................................................................................................................................8 VERANTWOORDING ...................................................................................................................................9
6.
ANALYSE DATALEKKEN ...........................................................................................................................9
7.
AANBEVELINGEN ....................................................................................................................................9
8.
BIJLAGEN ..............................................................................................................................................11 8.1. 8.2. 8.3. 8.4.
BIJLAGE TOETSVRAGEN BORGING AVG 2025 ................................................................................................11 VERWERKINGSREGISTER ............................................................................................................................18 REGISTER DPIA 2025 ..............................................................................................................................19 BIJLAGE OVERZICHT DATALEKKEN 2025 .......................................................................................................20
1. Inleiding Op grond van de Algemene verordening gegevensbescherming (hierna: AVG) brengt de Functionaris Gegevensbescherming (hierna: FG) jaarlijks een verslag uit aan de Gemeenteraad en het College aan de hand van zijn controle in hoeverre de bescherming van persoonsgegevens door de organisatie is geborgd. Sinds 2019 is er jaarlijks een toezichtsrapport aan het College verzonden over de verwerkingen waarvoor het College verantwoordelijk is. De Raad is als zelfstandig bestuursorgaan ook verantwoordelijk voor een aantal verwerkingen van persoonsgegevens. Vanaf 2023 maakt de FG voor deze verwerkingen jaarlijks een aparte rapportage voor de Raad.
2. Doel, afbakening en doelgroep Het doel van de rapportage van de FG is om een stand van zaken te geven rond de borging van de AVG. Het kan de basis voor de griffie zijn om actiepunten op te nemen in een verbeterplan. De doelgroep voor deze rapportage is de Gemeenteraad, de griffie en medewerkers die direct of indirect gerelateerd zijn aan het onderwerp.
3. Managementsamenvatting De Griffie voert ondersteunende werkzaamheden uit ten behoeve van de gemeenteraad. Hier worden persoonsgegevens verwerkt waardoor deze verwerkingen moeten voldoen aan de Algemene Verordening Gegevensbescherming (AVG). De griffie werkt nauw samen met het College op het gebied van ICT-voorzieningen. Een deel van de te nemen beschermingsmaatregelen worden dan ook door het College uitgevoerd. Jaarlijks rapporteert de Functionaris Gegevensbescherming (FG) over de naleving van de AVG door de griffie door middel van dit rapport. Hierbij wordt getoetst aan een normenkader opgesteld door de Vereniging Nederlandse Gemeenten (VNG). De griffie is zich zeer bewust van de noodzaak om persoonsgegevens goed te beschermen. In individuele communicatie (mails, brieven) wordt goed aandacht besteed aan voorlichting over wat er met persoonsgegevens gebeurt. Het beeld ten opzichte van 2024 is dan ook weinig veranderd. De actiepunten zijn nagenoeg gelijk gebleven. Er werd afscheid genomen van de Lange Termijn Agenda (LTA), hiervoor was een aparte applicatie in gebruik dat nu is overgegaan naar de applicatie voor het Raadsinformatiesysteem (RIS). De meeste verwerkingen van persoonsgegevens vinden nu plaats in één systeem, hetgeen de bescherming van die persoonsgegevens overzichtelijk maakt. Aanbevelingen zijn opgenomen onder hoofdstuk 7.
4. Werkzaamheden van de FG voor de Raad De FG heeft in 2025 (onder meer) de volgende werkzaamheden verricht: - Deelname in de stuurgroep borging AVG (met name gericht op het College); Uitgevoerde onderzoeken door de FG. - Toezicht op het verbeterplan van de griffie De FG neemt deel in: - Stuurgroep AVG De FG heeft voldoende middelen voor scholing en ontwikkeling beschikbaar gesteld door het College. Het huidige budget voor informatiebeveiliging en privacy kan worden ingezet in overleg met de domein directeur dienstverlening en bedrijfsvoering. De FG heeft toegang tot verwerkingen, op verzoek. De FG heeft geen eigen accounts in systemen, zoals het hoort, behoudens uiteraard de eigen systeemtoegang, Officeproducten etc.
5. Persoonsgegevens zijn bij de Raad in goede handen
De uitvoering van de AVG bestrijkt de verwerking van persoonsgegevens van de hele gemeente. Bestuurlijk-juridisch wordt er binnen de gemeente onderscheid gemaakt tussen verschillende bestuursorganen. De Gemeenteraad, de Burgemeester, het College, de Heffingsambtenaar, enzovoorts. Deze bestuursorganen maken gebruik van ITsystemen die beheerd worden door de afdeling Informatie, cluster ICT. Deze bestuursorganen zijn bij de implementatie van de AVG als één geheel behandeld. De ondersteuning op dit gebied werd en wordt door het College verzorgd, doordat de griffie ondersteuning krijgt van de security & privacy officer van het College. Ieder jaar brengt de FG een FG-rapportage uit met betrekking tot de naleving van de AVG door de Raad/griffie. In 2022 heeft de FG samen met de griffie een nulmeting gedaan. Aan de hand hiervan is de griffie aan de slag gegaan met een verbeterplan in 2023 en 2024. De griffie neemt de verwerking van persoonsgegevens heel serieus en legt de nodige geestdrift aan de dag om alles zo goed mogelijk te regelen en raadsleden bewust te maken. In 2025 is er onder andere een AVG-trainingsmiddag voor het voltallige griffieteam georganiseerd.
Voor het opstellen van dit rapport is onder andere gebruik gemaakt van een format dat door VNG Realisatie1 is ontwikkeld met het werkveld. In het format worden op deelgebieden vragen gesteld die met ja/nee en gedeeltelijk kunnen worden beantwoord. Dit leidt dan tot een (redelijk) objectiveerbare score, waardoor het ook mogelijk wordt om jaarlijks te vergelijken. In bijlage 8.1 treft u de vragen en scores aan.
5.1.
Beleid
Wat gaat goed • •
De Raad is ook onderdeel van het algemene privacybeleid dat is vastgesteld door het College. De Raad heeft een eigen gedragscode voor het publiceren van persoonsgegevens op internet vastgesteld.
Wat kan beter •
-
Omdat de Raad een controlerende taak heeft op het College lift de Raad mee op het algemene privacybeleid van de gemeente.
5.2.
Processen
Wat gaat goed • • • •
Er loopt (nog steeds) een project Recordmanagement samen met Informatiebeheer om alle stukken juist te archiveren en tijdig te vernietigen De processen over de raadsvergaderingen zijn vastgelegd in het reglement van orde. Processen zijn beschreven in het handboek AVG voor de griffie. De griffie heeft zijn verwerkingen in beeld
Wat kan beter • • •
De (nieuwe) verwerkingen moeten nog worden overgenomen in het centrale verwerkingsregister van de gemeente Vanuit het RIS kunnen de bewaartermijnen geautomatiseerd worden beheerd, dit is echter nog niet in gang gezet. Meer grip op de bewaartermijn creëren voor documenten op netwerkschijven.
Het in beeld hebben van het werkproces is een van de belangrijkste instrumenten om de bescherming van persoonsgegevens te borgen. Vastgestelde werkprocessen zijn immers de manier om eenduidig te werken, het werk makkelijk over te kunnen dragen en het wordt mogelijk om knelpunten te signaleren bij de verwerking van persoonsgegevens. Daarnaast is het beschreven werkproces de manier voor een FG of een auditor om te toetsen of gemaakte afspraken in de praktijk ook werken worden nageleefd. 1 https://www.informatiebeveiligingsdienst.nl/product/avg-borgingsproduct-2-0/
Het beschrijven van elk werkproces moet echter geen doel op zich zijn. De manier van vastleggen van een werkproces kan ook verschillend zijn. Echter in de processen waar gevoelige persoonsgegevens worden verwerkt mag wel worden verwacht dat deze goed zijn beschreven. De regels en processen over de raadsvergaderingen zijn vastgelegd in het reglement van orde. Hierin is ook benoemd dat er beeld- en geluidsopnames gemaakt worden. Daarnaast is het zo dat de verwerkingen van persoonsgegevens voornamelijk plaatsvinden binnen het Raadsinformatiesysteem (RIS). De verwerkingen van de raad zijn in beeld in een los verwerkingsregister en van iedere verwerking is beoordeeld of er eventueel alsnog een DPIA zou moeten worden uitgevoerd. Een aantal verwerkingen moeten nog worden opgenomen in het door het college beheerde verwerkingsregister. Om de juiste bewaartermijnen te kunnen hanteren van de persoonsgegevens die op het RIS worden verwerkt is een geautomatiseerde functie voorhanden. Deze is nog niet in gebruik genomen omdat de juistheid van de werking van deze functie nog wordt onderzocht samen met informatiebeheer (het project Recordmanagement). Dit was in 2025 al gepland maar nog niet gerealiseerd. Het is nu de bedoeling om dit voor de zomer van 2026 te hebben geregeld. (#1) De griffie maakt naast het RIS ook gebruik van netwerkschijven om documenten op te slaan.
Op netwerkschijven is het hanteren van de juiste bewaartermijnen niet gegarandeerd. De griffie zal in het komend jaar deelnemen in door de ICT-afdeling aangekondigde omslag naar Teams, waardoor er een betere grip op deze informatie zal zijn. Dit zou in 2025 gestart zijn, maar dat is niet gelukt. Het staat nu dus voor 2026 op de planning.
5.3.
Organisatorische inbedding
Wat gaat goed • •
De griffie is verantwoordelijk voor de verwerkingen van persoonsgegevens die betrekking hebben op de werkzaamheden van de Raad. Binnen de griffie zijn twee contactpersonen benoemd voor de Security & Privacy Officer en de FG.
Wat kan beter •
De griffier moet nog worden gemandateerd voor het nemen van besluiten in het kader van de AVG
De organisatorische inbedding gaat over de governancestructuur. De rollen en taken moeten zo worden verdeeld dat duidelijk is wie verantwoordelijk is voor de juiste uitvoering van de bescherming van persoonsgegevens. De governance is geregeld in het beleid bescherming persoonsgegevens dat in 2023 is vastgesteld2. Voor de Raad is de griffier de verantwoordelijke voor het verwerken van persoonsgegevens. Binnen de griffie zijn vanaf 2023 twee vaste contactpersonen benoemd met een taakaccent op privacy en informatiebeveiliging. Er is regelmatig 2 Https://lokaleregelgeving.overheid.nl/CVDR692568
contact met de security & privacy officer en de CISO van het College. In 2025 is een nieuwe CISO gestart op tijdelijke basis voor 14 uur in de week. Er is sindsdien weinig overleg geweest met de griffie. Het is aan te bevelen om in 2026 toch weer een periodiek overleg in te plannen om elkaar op de hoogte te houden omtrent de informatiebeveiliging (#2). De Raad heeft een Functionaris Gegevensbescherming benoemd. De griffier is nog niet gemandateerd voor het nemen van besluiten als bedoeld in de artikelen 12 tot en met 21 en 33 tot en met 36 AVG. In theorie betekent dit bijvoorbeeld dat ingeval van het melden van een datalek de gemeenteraad hierover een besluit zou moeten nemen. Dit is in de praktijk niet werkbaar. (#3)
5.4.
Rechten van betrokkenen
Wat gaat goed • •
De gemeente heeft een werkend inzageproces, daarnaast kunnen betrokkenen rechtstreeks aan de griffie een beroep doen op hun rechten uit de AVG. De Raad is transparant over de verwerking van persoonsgegevens richting betrokkenen
Wat kan beter •
-
Op de website is onder www.waalwijk.nl/privacy duidelijke informatie opgenomen over de rechten van betrokkenen. De informatie is wel nog vrij algemeen en zoomt niet in op de verschillende diensten/producten van de gemeente. Wanneer iemand op zoek gaat naar informatie over de Raad dan zal www.waalwijk.nl/over-de-gemeente/raad de voor de hand liggende ingang zijn. Hier staat inderdaad een compleet beeld over alles aangaande de raad en de werkzaamheden van de griffie. Op https://www.waalwijk.nl/avg-privacy is duidelijke uitleg gegeven over de verwerking van persoonsgegevens door de Raad. Verder zijn er bordjes in de Raadzaal en bij de ingang van de Raadszaal aan het publiek kenbaar te maken dat er beeld- en geluidsopnamen worden gebruikt. Insprekers bij openbare vergaderingen krijgen vooraf uitleg over de verwerking van hun persoonsgegevens (ook de ambtenaren). Overigens is het bijzonder goed dat de burgemeester tijdens de openbare vergaderingen ook steeds (voor insprekers) vermeldt dat er beeld- en geluidsopnamen gemaakt worden en dat iemand de mogelijkheid heeft om hier bezwaar tegen te maken. Als dat het geval is wordt er voor gezorgd dat de inspreker niet wordt opgenomen. Aantallen 2025 De volgende AVG verzoeken in 2025 zijn binnengekomen: Zaaknr
Recht: Geen
Status
Doorlooptijd
Op tijd
Bezwaar
De volgende klachten met privacy gerelateerde onderwerpen zijn binnengekomen :
Zaaknr
5.5.
Omschrijving Geen
Status
Doorlooptijd
Op tijd
Uitkomst
Samenwerking met organisaties
Wat gaat goed •
Er zijn geen samenwerkingspartners, afgezien van de verwerker die zorgt voor het RIS.
Wat kan beter •
Ga jaarlijks na of de leverancier van ICT-diensten de afgesproken beveiligingsmaatregelen nakomt, zie paragraaf 5.6
Het onderwerp samenwerking met organisaties gaat over het inzichtelijk hebben met welke organisaties persoonsgegevens worden gedeeld, dat duidelijk is wat de onderlinge verantwoordelijkheden zijn en dat er afspraken zijn gemaakt over de beveiliging. Tot slot moeten gemaakte afspraken ook worden gecontroleerd. Deze samenwerkingen kunnen inzichtelijk worden gemaakt in het verwerkingsregister. Samenwerken met organisaties kan in zijn algemeenheid worden onderverdeeld in wettelijk verplichte samenwerking, samenwerking rond een bepaalde doelgroep c.q. casusoverleg, contractuele samenwerking en ad hoc gevallen. In de werkzaamheden van de griffie wordt er niet samengewerkt met andere organisaties. Wel is er een leveranciersrelatie met een ICT-dienstverlener waarmee een verwerkersovereenkomst is gesloten. De afspraken rond beveiliging van gegevens vallen onder de paragraaf 5.6. Beveiliging.
5.6.
Beveiliging
Wat gaat goed • • •
De griffie maakt gebruik van de diensten van het College op het gebied van beveiliging. De overall beveiliging voldoet aan het criterium uit de AVG dat de verantwoordelijke passende technische en organisatorische maatregelen neemt. Voor alle verwerkingen is een risico-analyse gedaan (quickscan)
Wat kan beter • •
Ga jaarlijks na of de gemaakte afspraken in de verwerkersovereenkomst door de leverancier worden nagekomen. Maak afspraken wie er bereikbaar is in geval van een groot incident
De maatregelen om informatie te beveiligen zijn, gemeten aan de hand van de normen uit de Baseline Informatiebeveiliging Overheid, goed te noemen. Technische ICTmaatregelen zijn prima. De beveiliging van de websites van de gemeente Waalwijk voldoen aan de gangbare standaarden3.
3 Zie bijvoorbeeld: https://basisbeveiliging.nl/report/NL/municipality/348
Met de ICT-dienstverleners is een verwerkersovereenkomst gesloten waarin afspraken zijn gemaakt over de beveiliging van de verwerking van persoonsgegevens. In 2024 en 2025 werd niet gecontroleerd of deze afspraken ook door de leverancier zijn nagekomen. Dit is wel aan te bevelen, vraag eventueel advies aan de CISO hoe dit het beste kan worden aangepakt. Binnen de griffie is duidelijk wanneer er sprake is (of kan zijn) van een datalek of beveiligingsincident. Verbeterpunt is nog om expliciet vast te leggen wie wat doet wanneer de gemeente getroffen zou worden door een grootschalig cyberincident of in andere gevallen waarbij de bedrijfscontinuïteit in gevaar is. Dit is binnen het college geregeld maar het zou goed zijn om de griffie hierbij aan te sluiten.
5.7.
Verantwoording
Wat gaat goed • • • •
De griffie heeft haar registers bijgewerkt De griffie heeft bepaald of er DPIA's moeten worden uitgevoerd De griffie heeft een DPIA uitgevoerd op het opnemen en uitzenden van vergaderingen Verantwoording over de naleving gebeurt in samenspraak met de security & privacy officer en de FG
Wat kan beter • -
Onder verantwoording wordt verstaan dat de griffie kan aantonen dat zij haar bescherming van persoonsgegevens in control heeft door het bijhouden van registers, het voorlichten van betrokkenen, het uitvoeren van DPIA’s, het uitvoeren van controles en het publiceren daarover. Deze zaken worden door het griffie jaarlijks uitgevoerd. In 2025 is er een register van uitgevoerde DPIA’s voor de griffie, zie bijlage 8.3.
6. Analyse Datalekken Datalekken
2022
2023
2024
2025
Totaal
0
2
1
0
Waarvan gemeld aan de Autoriteit Persoonsgegevens
1
1
Waarvan gemeld aan de betrokkene
2
0
Overige datalekken met verwaarloosbaar risico / anders Er is geen datalek gemeld in 2025. In bijlage 8.4 is een overzicht van de datalekken opgenomen.
7. Aanbevelingen In het rapport genoemde aanbevelingen worden hieronder samengevat. Aanbevolen wordt een verbeterplan op te stellen, welke wordt vastgesteld door de griffier. De Functionaris Gegevensbescherming wordt graag op de hoogte gehouden over de voortgang. # 1 2
Aanbeveling Maak gebruik van de archieffunctie binnen het RIS Plan een periodiek overleg in met de CISO over informatiebeveiliging
Vindplaats Paragraaf 5.2 Paragraaf 5.3
3 4 5 6
Mandateer de griffier voor het nemen van besluiten in het kader van de avg Toon de naleving van verwerkersovereenkomsten door de leverancier aan Leg, in overleg met het college, verantwoordelijkheden en bereikbaarheid vast in geval van grootschalige cyberincidenten Stel een verbeterplan op voor de genoemde aanbevelingen
Paragraaf 5.3 Paragraaf 5.6. Paragraaf 5.6 Paragraaf 7
8. Bijlagen
8.1.
Bijlage toetsvragen borging AVG 2025
Model VNG 2.0 Deze rapportage is als aparte bijlage opgenomen in zaak 101690.
Quickscan Thema
1 Beleid
2 Processen
Control
Vraag
Antwoord Antwoord Antwoord Antwoord 2025 2024 2023 2022
1.1 Er is algemeen privacybeleid en uitwerkingen daarvan.
1 Zijn privacybeleidsstukken compleet, vastgesteld, organisatiebreed bekend en makkelijk te begrijpen?
1.2 Verantwoordelijkheden op het niveau van lijnmanagement zijn benoemd, belegd en vastgelegd.
2 Zijn de o Deels verantwoordelijkheden voor de lijnmanagers belegd en pakken zij hun rol met betrekking tot de bescherming van persoonsgegevens actief op?
2.1 Werkprocessen (voor hoge risico 3 Zijn er werkprocessen (voor verwerkingen) waarin hoge risico verwerkingen) persoonsgegevens worden vastgesteld waarin verwerkt zijn vastgesteld. persoonsgegevens worden verwerkt?
o Ja
o Ja
Ja
Deels
Ja
Deels
Deels
Deels
Ja
Ja
Deels
2.2 Er zijn passende instructies en protocollen (voor hoge risico verwerkingen) voor medewerkers over de omgang met persoonsgegevens in werkprocessen.
2.3 De organisatie heeft de verwerkingen waar zijzelf (gezamenlijke) verwerkingsverantwoordelijk of verwerker voor is in een verwerkingsregister opgenomen. 2.3 De organisatie heeft de verwerkingen waar zijzelf (gezamenlijke) verwerkingsverantwoordelijk of verwerker voor is in een verwerkingsregister opgenomen. 2.4 Voor verwerkingen (met hoge privacyrisico’s) worden (pre-) DPIA’s uitgevoerd en de mitigerende maatregelen worden doorgevoerd.
4 Zijn er instructies en p Ja protocollen (voor hoge risico verwerkingen) beschikbaar voor medewerkers over de omgang met persoonsgegevens in werkprocessen en worden ze daarop getraind? 5 Is er een gedocumenteerd o Deels verwerkingsregister die organisatiebreed inzicht geeft in verwerkingen van de gemeente en is het beheer intern belegd?
Ja
Ja
Nee
Deels
Deels
Deels
6 Worden verwerkingen getoetst aan de beginselen uit de AVG en andere relevante wet- en regelgeving?
p Ja
Ja
Ja
Deels
7 Worden DPIA’s structureel uitgevoerd en mitigerende maatregelen doorgevoerd door de proceseigenaren?
p Ja
Ja
Ja
Nee
2.5 Persoonsgegevens die niet meer nodig zijn worden tijdig verwijderd of geanonimiseerd.
8 Worden persoonsgegevens die niet meer nodig zijn tijdig verwijderd of geanonimiseerd?
2.6 Doorgiftes van persoonsgegevens naar buiten de EER zijn bekend.
2.7 Sancties in wetgeving en contracten en contractuele eisen over de bescherming van persoonsgegevens zijn bekend. 3 Organisatorische inbedding 3.1 De gemeente heeft een FG aangesteld en goed gepositioneerd.
3.2 Er is – naast de FG - ruime (juridische) kennis en ervaring aanwezig over privacy en relevante wet- en regelgeving.
p Deels
Deels
Nee
Nee
9 Zijn doorgiftes van p Ja persoonsgegevens naar derde landen en internationale organisaties en de bijbehorende transfermechanismen bekend respectievelijk getoetst? 10 Zijn sancties in wetgeving en o Ja contracten en contractuele eisen over de bescherming van persoonsgegevens bekend?
Ja
Ja
Nee
Ja
Deels
Nee
11 Zijn de taken van de FG o Ja duidelijk omschreven, de rol goed gepositioneerd in de organisatie en worden de adviezen van de FG opgevolgd, althans gemotiveerd beantwoord? 12 Is er een effectief o Ja privacyteam en wordt nauw samengewerkt met de CISO?
Ja
Ja
Ja
Ja
Ja
Deels
3.4 De Ondernemingsraad (OR) 13 Wordt OR actief wordt geinformeerd en geïnformeerd en betrokken betrokken wanneer het gaat om bij onderwerpen over de de bescherming van bescherming van persoonsgegevens van persoonsgegevens van medewerkers. medewerkers? 3.5 Er zijn voldoende middelen 14 Vinden er organisatiebrede beschikbaar om trainingen plaats voor privacybescherming te medewerkers op het gebied bevorderen in kennis, houding van privacybewustzijn, en gedrag van medewerkers in inclusief het management? de organisatie. 4 Rechten van betrokkenen
o Ja
Ja
Ja
Ja
p Ja
Ja
Deels
Deels
4.1 De 15 Zijn de processen omtrent p Ja verwerkingsverantwoordelijke de rechten van betrokkenen heeft processen ingericht om de en het recht van bezwaar rechten van betrokkenen te vastgesteld, makkelijk te faciliteren. begrijpen en gedocumenteerd? 4.2 De gemeente heeft inzichtelijk 16 Is organisatiebreed bekend p Ja welke besluiten zij neemt op wanneer geautomatiseerde basis van automatisch besluitvorming wordt verwerkte persoonsgegevens. toegepast en worden daarbij Geautomatiseerde passende besluitvorming is omkleed met privacywaarborgen passende waarborgen om de getroffen? privacy van betrokkenen te beschermen.
Ja
Deels
Deels
Ja
Ja
Ja
4.3 Voorafgaand aan de verwerking worden betrokkenen actief, tijdig en adequaat geïnformeerd.
5 Samenwerking
17 Worden betrokkenen tijdig p Ja en adequaat geïnformeerd over verwerkingen van hun persoonsgegevens volgens de transparantieverplichtingen? 4.4 Er is een communicatieplan over 18 Is er een organisatiebreed o Ja privacy gericht op een invulling communicatieplan over te geven aan de AVGprivacy waarin structureel transparantieverplichtingen. rekening wordt gehouden met transparantieverplichtingen? 4.5 Op de gemeentelijke website 19 Zijn de privacy- en p Ja staat een privacy- en cookieverklaring actueel en cookieverklaring met informatie geven ze gemeentebreed over verwerkingen van inzicht in verwerkingen van persoonsgegevens door de persoonsgegevens door de gemeente. gemeente? 4.6 Verdergaande mogelijkheden 20 Worden verdergaande p Ja om invulling te geven aan de mogelijkheden toegepast rechten van betrokkenen om invulling te geven aan de worden toegepast. rechten van betrokkenen?
Ja
Deels
Deels
Ja
Nee
Nee
Ja
Ja
Ja
Ja
Deels
Deels
5.1 De organisatie heeft inzichtelijk welke AVG-rol externe partijen innemen en er worden afspraken gemaakt conform de AVG.
Ja
Ja
Deels
Ja
Deels
Nee
21 Is organisatiebreed p Ja inzichtelijk welke AVG-rollen externe partijen innemen en wordt een uniform toetsingskader gebruikt om deze rollen te bepalen? 5.2 Eenmalige 22 Worden eenmalige p Ja gegevensverstrekkingen worden gegevensverstrekkingen van tevoren getoetst aan
6 Beveiliging
getoetst aan de relevante weten regelgeving.
relevante privacywet- en regelgeving?
6.1 Verwerkingen worden zodanig ingericht dat rekening wordt gehouden met de beginselen van Privacy by Design (PbD) en privacy by default. 6.2 De gemeente heeft inzicht in (potentiële) privacy-incidenten, zoals datalekken.
23 Wordt rekening gehouden met PbD en privacy by default bij (potentieel) nieuwe verwerkingen?
6.3 Het IB-beleid en de IBprocedures houden rekening met privacyspecifieke beveiligingseisen. Deze beveiligingseisen worden geïmplementeerd. 7 Verantwoording
7.1 Periodiek worden gegevensverwerkingen geëvalueerd en is de naleving van de AVG aangetoond 7.2 Er is een actueel overzicht van de verwerkingen met een hoog privacy risico en de uitgevoerde DPIA’s.
p Ja
Ja
Deels
Nee
24 Is incidentbeheer ingericht o Deels met gedocumenteerde procedures voor het behandelen van privacyincidenten en weten medewerkers hoe ze op een incident moeten reageren? 25 Houdt het IB-beleid en de o Ja IB-procedures rekening met privacyspecifieke beveiligingseisen?
Deels
Ja
Ja
Ja
Ja
Ja
26 Is toezicht een structureel o Ja onderdeel van de processen op afdelings- en organisatieniveau? 27 Is er organisatiebreed inzicht o Ja in verwerkingen met (hoge) privacyrisico's en uitgevoerde DPIA’s?
Ja
Ja
Deels
Ja
Ja
Nee
7.3 Periodiek worden interne en externe partijen op de hoogte gehouden over de omgang met persoonsgegevens binnen de gemeente. 7.4 Periodiek wordt een GAPanalyse uitgevoerd om inzichtelijk te maken waar de organisatie staat op het gebied van het beschermen van persoonsgegevens.
28 Worden interne en externe o Ja partijen structureel geïnformeerd over de omgang met hun persoonsgegevens binnen de gemeente? 29 Worden GAP-analyses op de o Ja AVG organisatiebreed periodiek uitgevoerd, bijvoorbeeld aan de hand van dit borgingsproduct?
Ja
Ja
Nee
Ja
Ja
Ja
8.2.
Verwerkingsregister
Verwezen wordt naar zaak 101718 voor het verwerkingsregister tot 1-1-2025. Hierin staat een export uit de applicatie i-Navigator. De verwerkingen van de raad zijn in beeld in een los verwerkingsregister en van iedere verwerking is beoordeeld of er eventueel alsnog een DPIA zou moeten worden uitgevoerd. Een aantal verwerkingen moeten nog worden opgenomen in het door het college beheerde verwerkingsregister.
Het verwerkingsregister wordt bijgehouden door de griffie. Jaarlijks toetst de FG het register. Mutaties moeten door het jaar heen worden gemeld aan de FG.
8.3.
Register DPIA 2025
Thema Griffie: Raadsvergaderingen
Toelichting Inzet camera's en onderzoek naar overige verwerking persoonsgegevens
Zaaknummer 2024-028430
Rapportage bescherming persoonsgegevens Raad 2025
D19-00037419
19
Gereed op 3-12-2024
Planning review 2028
8.4.
Bijlage overzicht datalekken 2025
Er zijn in 2025 geen datalekken gemeld. #
Datum
Omschrijving
Aard van het lek
Personengroep
Soort gegevens
(mogelijke) gevolgen breuk
Rapportage bescherming persoonsgegevens Raad 2025
D19-00037420
20
Maatregelen nav lek
Gemeld ja/nee