62 FG Rapportage bescherming persoonsgegevens Raad
Tekst van het document
Rapportage bescherming persoonsgegevens Gemeenteraad 2024
Gemaakt door: Goedgekeurd door: V-Classificatie:
FG, 22-01-2025 Nvt Openbaar
Inhoudsopgave 1.
INLEIDING ................................................................................................................................................ 3
2.
DOEL, AFBAKENING EN DOELGROEP ........................................................................................................ 3
3.
MANAGEMENTSAMENVATTING .............................................................................................................. 3
4.
WERKZAAMHEDEN VAN DE FG VOOR DE RAAD ....................................................................................... 4
5.
PERSOONSGEGEVENS ZIJN BIJ DE RAAD IN GOEDE HANDEN ................................................................... 4 5.1. 5.2. 5.3. 5.4. 5.5. 5.6. 5.7.
BELEID .................................................................................................................................................... 5 PROCESSEN .............................................................................................................................................. 5 ORGANISATORISCHE INBEDDING................................................................................................................... 6 RECHTEN VAN BETROKKENEN....................................................................................................................... 7 SAMENWERKING MET ORGANISATIES ............................................................................................................ 8 BEVEILIGING ............................................................................................................................................ 8 VERANTWOORDING ................................................................................................................................... 9
6.
ANALYSE DATALEKKEN ............................................................................................................................ 9
7.
AANBEVELINGEN ................................................................................................................................... 10
8.
BIJLAGEN ............................................................................................................................................... 11 8.1. 8.2. 8.3. 8.4.
BIJLAGE TOETSVRAGEN BORGING AVG 2024 ............................................................................................... 11 VERWERKINGSREGISTER ........................................................................................................................... 17 REGISTER DPIA 2024 ............................................................................................................................. 18 BIJLAGE OVERZICHT DATALEKKEN 2024 ....................................................................................................... 19
1. Inleiding Op grond van de Algemene verordening gegevensbescherming (hierna: AVG) brengt de Functionaris Gegevensbescherming (hierna: FG) jaarlijks een verslag uit aan de Gemeenteraad en het College aan de hand van zijn controle in hoeverre de bescherming van persoonsgegevens door de organisatie is geborgd. Sinds 2019 is er jaarlijks een toezichtsrapport aan het College verzonden over de verwerkingen waarvoor het College verantwoordelijk is. De Raad is als zelfstandig bestuursorgaan ook verantwoordelijk voor een aantal verwerkingen van persoonsgegevens. Vanaf 2023 zal de FG voor deze verwerkingen jaarlijks een aparte rapportage maken voor de Raad.
2. Doel, afbakening en doelgroep Het doel van de rapportage van de FG is om een stand van zaken te geven rond de borging van de AVG. Het kan de basis voor de griffie zijn om actiepunten op te nemen in een verbeterplan. De doelgroep voor deze rapportage is de Gemeenteraad, de griffie en medewerkers die direct of indirect gerelateerd zijn aan het onderwerp.
3. Managementsamenvatting De Griffie voert ondersteunende werkzaamheden uit ten behoeve van de gemeenteraad. Hier worden persoonsgegevens verwerkt waardoor deze verwerkingen moeten voldoen aan de Algemene Verordening Gegevensbescherming (AVG). De griffie werkt nauw samen met het College op het gebied van ICT-voorzieningen. Een deel van de te nemen beschermingsmaatregelen worden dan ook door het College uitgevoerd. Jaarlijks rapporteert de Functionaris Gegevensbescherming (FG) over de naleving van de AVG door de griffie door middel van dit rapport. Hierbij wordt getoetst aan een normenkader opgesteld door de VNG. De griffie is zich zeer bewust van de noodzaak om persoonsgegevens goed te beschermen. In individuele communicatie (mails, brieven) wordt goed aandacht besteed aan voorlichting over wat er met persoonsgegevens gebeurt. In 2022 heeft de griffie samen met de FG een nulmeting gedaan. Op een aantal terreinen kon er nog worden verbeterd. Dit ging dan met name om het vastleggen van (processen van) verwerkingen en het uitvoeren van risico-analyses. Daarnaast kon de gedragscode worden geactualiseerd. In 2023 is de griffie aan de slag gegaan met de verbeterpunten en is er in geslaagd grote stappen te zetten. In 2024 is griffie in dezelfde lijn doorgegaan.
Op 12 september 2024 is de door de Gemeenteraad een geactualiseerde gedragscode voor de publicatie van persoonsgegevens door de Raad vastgesteld. Daarnaast is de FG (nogmaals) expliciet aangewezen als toezichthouder voor de verwerkingen van persoonsgegevens door de Raad.
Verder is er in 2024 een risico-analyse uitgevoerd op het opnemen en uitzenden van de vergaderingen door de Raad. De griffie heeft nog een klein aantal verbeterpunten die hierna worden toegelicht. Aanbevelingen zijn opgenomen onder hoofdstuk 7.
4. Werkzaamheden van de FG voor de Raad De FG heeft in 2024 (onder meer) de volgende werkzaamheden verricht: - Deelname in de stuurgroep borging AVG (met name gericht op het College); - Advies inzake de DPIA opname en uitzenden raadsvergaderingen. Uitgevoerde onderzoeken door de FG. - Toezicht op het verbeterplan van de griffie De FG neemt deel in: - Stuurgroep AVG De FG heeft voldoende middelen voor scholing en ontwikkeling beschikbaar gesteld door het College. Het huidige budget kan worden ingezet in overleg met de directeur bedrijfsvoering. De FG heeft daardoor geen eigen middelen ter beschikking. Om zijn onafhankelijke taak goed uit te kunnen voeren zou dit wel aan te bevelen zijn. De FG heeft toegang tot verwerkingen, op verzoek. De FG heeft geen eigen accounts in systemen, zoals het hoort, behoudens uiteraard de eigen systeemtoegang, Officeproducten etc.
5. Persoonsgegevens zijn bij de Raad in goede handen
Quickscan AVG-griffie 2023 4
6
Deels Ja
19
Nee
De uitvoering van de AVG bestrijkt de verwerking van persoonsgegevens van de hele gemeente. Bestuurlijk-juridisch wordt er binnen de gemeente onderscheid gemaakt tussen verschillende bestuursorganen. De Gemeenteraad, de Burgemeester, het College, de Heffingsambtenaar enzovoorts. Deze bestuursorganen maken gebruik van ITsystemen die beheerd worden door het team ICT. Deze bestuursorganen zijn bij de implementatie van de AVG als één geheel behandeld.
De ondersteuning op dit gebied werd en wordt door het College verzorgd, doordat de griffie ondersteuning krijgt van de security & privacy officer van het College. Ieder jaar brengt de FG een FG-rapportage uit met betrekking tot de naleving van de AVG door de Raad/griffie. In 2022 heeft de FG samen met de griffie een nulmeting gedaan. Aan de hand hiervan is de griffie aan de slag gegaan met een verbeterplan in 2023 en 2024. De griffie neemt de verwerking van persoonsgegevens heel serieus en legt de nodige geestdrift aan de dag om alles zo goed mogelijk te regelen en raadsleden bewust te maken. Voor het opstellen van dit rapport is onder andere gebruik gemaakt van een format dat door VNG Realisatie1 is ontwikkeld met het werkveld. In het format worden op deelgebieden vragen gesteld die met ja/nee en gedeeltelijk kunnen worden beantwoord. Dit leidt dan tot een (redelijk) objectiveerbare score, waardoor het ook mogelijk wordt om jaarlijks te vergelijken. In bijlage 8.1 treft u de vragen en scores aan.
5.1.
Beleid
Wat gaat goed • •
De Raad is ook onderdeel van het algemene privacybeleid dat is vastgesteld door het College. De Raad heeft een eigen gedragscode voor het publiceren van persoonsgegevens op internet vastgesteld.
Wat kan beter •
-
Omdat de Raad een controlerende taak heeft op het College lift de Raad mee op het algemene privacybeleid van de gemeente. In 2023 is aanbevolen om in de gedragscode duidelijker aan te geven hoe betrokkenen gebruik kunnen maken van hun recht op inzage en de overige rechten uit de AVG. Dit is inmiddels gebeurd en door de Raad vastgesteld 2 op 12 september 2024.
5.2.
Processen
Wat gaat goed • • • •
Er loopt een project Recordmanagement samen met Informatiebeheer om alle stukken juist te archiveren en tijdig te vernietigen De processen over de raadsvergaderingen zijn vastgelegd in het reglement van orde. Processen zijn beschreven in het handboek AVG voor de griffie. De griffie heeft zijn verwerkingen in beeld
Wat kan beter 1
https://www.informatiebeveiligingsdienst.nl/product/avg-borgingsproduct-2-0/
2
https://waalwijk.notubiz.nl/vergadering/1181374, agendapunt 11.
• •
De (nieuwe) verwerkingen moeten nog worden overgenomen in het centrale verwerkingsregister van de gemeente Vanuit het RIS kunnen de bewaartermijnen geautomatiseerd worden beheerd, dit is echter nog niet in gang gezet.
Het in beeld hebben van het werkproces is een van de belangrijkste instrumenten om de bescherming van persoonsgegevens te borgen. Vastgestelde werkprocessen zijn immers de manier om eenduidig te werken, het werk makkelijk over te kunnen dragen en het wordt mogelijk om knelpunten te signaleren bij de verwerking van persoonsgegevens. Daarnaast is het beschreven werkproces de manier voor een FG of een auditor om te toetsen of gemaakte afspraken in de praktijk ook worden nageleefd. Het beschrijven van elk werkproces moet echter geen doel op zich zijn. De manier van vastleggen van een werkproces kan ook verschillend zijn. Echter in de processen waar gevoelige persoonsgegevens worden verwerkt mag wel worden verwacht dat deze goed zijn beschreven. De regels en processen over de raadsvergaderingen zijn vastgelegd in het reglement van orde. Hierin is ook benoemd dat er beeld- en geluidsopnames gemaakt worden. Daarnaast is het zo dat de verwerkingen van persoonsgegevens voornamelijk plaatsvinden binnen het Raadsinformatie Systeem (RIS). De verwerkingen van de raad zijn in beeld in een los verwerkingsregister en van iedere verwerking is beoordeeld of er eventueel alsnog een DPIA zou moeten worden uitgevoerd. Een aantal verwerkingen moeten nog worden opgenomen in het door het college beheerde verwerkingsregister.
Om de juiste bewaartermijnen te kunnen hanteren van de persoonsgegevens die op het RIS worden verwerkt is een geautomatiseerde functie voorhanden. Deze is nog niet in gebruik genomen omdat de juistheid van de werking van deze functie nog wordt onderzocht samen met informatiemanagement (het project Recordmanagement). De griffie maakt naast het RIS ook gebruik van netwerkschijven om documenten op te slaan. Op netwerkschijven is het hanteren van de juiste bewaartermijnen niet gegarandeerd. De griffie zal in het komend jaar deelnemen in de omslag naar Teams waardoor er een betere grip op deze informatie zal zijn.
5.3.
Organisatorische inbedding
Wat gaat goed • •
De griffie is verantwoordelijk voor de verwerkingen van persoonsgegevens die betrekking hebben op de werkzaamheden van de Raad. Binnen de griffie zijn twee contactpersonen benoemd voor de Security & Privacy Officer en de FG.
Wat kan beter •
De griffier moet nog worden gemandateerd voor het nemen van besluiten in het kader van de AVG
De organisatorische inbedding gaat over de governancestructuur. De rollen en taken moeten zo worden verdeeld dat duidelijk is wie verantwoordelijk is voor de juiste uitvoering van de bescherming van persoonsgegevens. De governance is geregeld in het beleid bescherming persoonsgegevens dat in 2023 is vastgesteld3. Voor de Raad is de griffier de verantwoordelijke voor het verwerken van persoonsgegevens. Binnen de griffie zijn vanaf 2023 twee vaste contactpersonen benoemd met een taakaccent op privacy en informatiebeveiliging. Er is regelmatig contact met de security & privacy officer en de CISO van het College. De Raad heeft een Functionaris Gegevensbescherming benoemd. De griffier is nog niet gemandateerd voor het nemen van besluiten als bedoeld in de artikelen 12 tot en met 21 en 33 tot en met 36 AVG. In theorie betekent dit bijvoorbeeld dat ingeval van het melden van een datalek de gemeenteraad hierover een besluit zou moeten nemen. Dit is in de praktijk niet werkbaar.
5.4.
Rechten van betrokkenen
Wat gaat goed • •
De gemeente heeft een werkend inzageproces, daarnaast kunnen betrokkenen rechtstreeks aan de griffie een beroep doen op hun rechten uit de AVG. De Raad is transparant over de verwerking van persoonsgegevens richting betrokkenen
Wat kan beter •
-
Op de website is onder www.waalwijk.nl/privacy duidelijke informatie opgenomen over de rechten van betrokkenen. De informatie is wel nog vrij algemeen en zoomt niet in op de verschillende diensten/producten van de gemeente. Wanneer iemand op zoek gaat naar informatie over de Raad dan zal www.waalwijk.nl/over-de-gemeente/raad de voor de hand liggende ingang zijn. Hier staat inderdaad een compleet beeld over alles aangaande de raad en de werkzaamheden van de griffie. Op https://www.waalwijk.nl/avg-privacy is duidelijke uitleg gegeven over de verwerking van persoonsgegevens door de Raad. Verder zijn er bordjes in de Raadzaal en bij de ingang van de Raadszaal aan het publiek kenbaar te maken dat er beeld- en geluidsopnamen worden gebruikt. Insprekers bij openbare vergaderingen krijgen vooraf uitleg over de verwerking van hun persoonsgegevens (ook de ambtenaren). Overigens is het bijzonder goed dat de burgemeester tijdens de openbare vergaderingen ook steeds (voor insprekers) vermeldt dat er beeld- en geluidsopnamen gemaakt worden en dat iemand de mogelijkheid heeft om hier bezwaar tegen te maken. Als dat het geval is wordt er voor gezorgd dat de inspreker niet wordt opgenomen.
3
https://lokaleregelgeving.overheid.nl/CVDR692568
Aantallen 2024 De volgende AVG verzoeken in 2024 zijn binnengekomen: Zaaknr
Recht: Geen
Status
Doorlooptijd
Op tijd
Bezwaar
De volgende klachten met privacy gerelateerde onderwerpen zijn binnengekomen : Zaaknr
5.5.
Omschrijving Geen
Status
Doorlooptijd
Op tijd
Uitkomst
Samenwerking met organisaties
Wat gaat goed •
Er zijn geen samenwerkingspartners, afgezien van verwerkers die zorgen voor het RIS en de Lange Termijn Agenda.
Wat kan beter •
Zie hiervoor paragraaf 5.6
Het onderwerp samenwerking met organisaties gaat over het inzichtelijk hebben met welke organisaties persoonsgegevens worden gedeeld, dat duidelijk is wat de onderlinge verantwoordelijkheden zijn en dat er afspraken zijn gemaakt over de beveiliging. Tot slot moeten gemaakte afspraken ook worden gecontroleerd. Deze samenwerkingen kunnen inzichtelijk worden gemaakt in het verwerkingsregister. Samenwerken met organisaties kan in zijn algemeenheid worden onderverdeeld in wettelijk verplichte samenwerking, samenwerking rond een bepaalde doelgroep c.q. casusoverleg, contractuele samenwerking en ad hoc gevallen. In de werkzaamheden van de griffie wordt er niet samengewerkt met andere organisaties. Wel zijn er leveranciersrelaties met ict-dienstverleners waarmee verwerkersovereenkomsten zijn gesloten. De afspraken rond beveiliging van gegevens vallen onder de paragraaf 5.6. Beveiliging.
5.6.
Beveiliging
Wat gaat goed • • •
De griffie maakt gebruik van de diensten van het College op het gebied van beveiliging. De overall beveiliging voldoet aan het criterium dat de verantwoordelijke passende technische en organisatorische maatregelen neemt. Voor de belangrijkste (6) verwerkingen is een risico-analyse gedaan (quickscan)
Wat kan beter • •
Ga jaarlijks na of de gemaakte afspraken in verwerkersovereenkomsten door de leverancier worden nagekomen. Maak afspraken wie er bereikbaar is in geval van een groot incident
De maatregelen om informatie te beveiligen zijn, gemeten aan de hand van de normen uit de Baseline Informatiebeveiliging Overheid, goed te noemen. Technische ICTmaatregelen zijn prima. De beveiliging van de websites van de gemeente Waalwijk voldoen aan de gangbare standaarden 4. Met de ICT-dienstverleners is een verwerkersovereenkomst gesloten waarin afspraken zijn gemaakt over de beveiliging van de verwerking van persoonsgegevens. In 2024 werd niet gecontroleerd of deze afspraken ook door de leverancier zijn nagekomen. Dit is wel aan te bevelen. Binnen de griffie is duidelijk wanneer er sprake is (of kan zijn) van een datalek of beveiligingsincident. Verbeterpunt is nog om expliciet vast te leggen wie wat doet wanneer de gemeente getroffen zou worden door een grootschalig cyberincident. Dit is binnen het college geregeld maar het zou goed zijn om de griffie hier bij aan te sluiten.
5.7.
Verantwoording
Wat gaat goed • • • •
De griffie heeft haar registers bijgewerkt De griffie heeft bepaald of er DPIA's moeten worden uitgevoerd De griffie heeft een DPIA uitgevoerd op het opnemen en uitzenden van vergaderingen Verantwoording over de naleving gebeurd in samenspraak met de security & privacy officer en de FG
Wat kan beter • -
Onder verantwoording wordt verstaan dat de gemeente kan aantonen haar bescherming van persoonsgegevens in control heeft door het bijhouden van registers, het voorlichten van betrokkenen, het uitvoeren van DPIA’s, het uitvoeren van controles en het publiceren daarover. Deze zaken worden door het College jaarlijks uitgevoerd. In 2024 is er een register van uitgevoerde DPIA’s voor de griffie, zie bijlage 8.3.
6. Analyse Datalekken Datalekken
2022
2023
Totaal
0
2
2024 1
Waarvan gemeld aan de Autoriteit Persoonsgegevens
1
1
Waarvan gemeld aan de betrokkene
2
0
Overige datalekken met verwaarloosbaar risico / anders Er is 1 datalek gemeld in 2024. Het betrof een overzicht van resultaten van een enquête over lokale democratie waar een klein aantal persoonsgegevens online zichtbaar waren. Het risico voor de betrokkenen was heel klein, toch is de Autoriteit Persoonsgegevens voor de zorgvuldigheid op de hoogte gebracht door middel van een datalekmelding. In bijlage 8.4 is een overzicht van de datalekken opgenomen.
4 Zie bijvoorbeeld: https://basisbeveiliging.nl/report/NL/municipality/348
7. Aanbevelingen In het rapport genoemde aanbevelingen worden hieronder samengevat. Aanbevolen wordt een verbeterplan op te stellen, welke wordt vastgesteld door de griffier. De Functionaris Gegevensbescherming wordt graag op de hoogte gehouden over de voortgang. # 1 2 3 4 5
Aanbeveling Maak gebruik van de archieffunctie binnen het RIS Madateer de griffier voor het nemen van besluiten in het kader van de avg Naleving van verwerkersovereenkomsten door leverancier aantonen Leg, in overleg met het college, verantwoordelijkheden en bereikbaarheid vast in geval van grootschalige cyberincidenten Stel een verbeterplan op voor de genoemde aanbevelingen
Vindplaats Paragraaf 5.2 Paragraaf 5.3 Paragraaf 5.6. Paragraaf 5.6 Paragraaf 7
8. Bijlagen
8.1.
Bijlage toetsvragen borging AVG 2024
Model VNG 2.0 Deze rapportage is als aparte bijlage opgenomen in 2024-049191 (onder documentnummer D2024-12-001591)
Thema
Beleid
Processen
Control
1.1 Er is algemeen privacybeleid en uitwerkingen daarvan.
Vraag
Antwoord Antwoord Antwoord 2024 2023 2022
1 Zijn privacybeleidsstukken compleet, o Ja vastgesteld, organisatiebreed bekend en makkelijk te begrijpen?
Deels
Ja
1.2 Verantwoordelijkheden op het niveau 2 Zijn de verantwoordelijkheden voor o Deels van lijnmanagement zijn benoemd, de lijnmanagers zijn belegd en pakken belegd en vastgelegd. zij hun rol met betrekking tot de bescherming van persoonsgegevens actief op?
Deels
Deels
2.1 Werkprocessen (voor hoge risico verwerkingen) waarin persoonsgegevens worden verwerkt zijn vastgesteld. 2.2 Er zijn passende instructies en protocollen (voor hoge risico verwerkingen) voor medewerkers over de omgang met persoonsgegevens in werkprocessen.
o Ja
Ja
Deels
p Ja
Ja
Nee
3 Zijn er werkprocessen (voor hoge risico verwerkingen) vastgesteld waarin persoonsgegevens worden verwerkt? 4 Zijn er instructies en protocollen (voor hoge risico verwerkingen) beschikbaar voor medewerkers over de omgang met persoonsgegevens in
werkprocessen en worden ze daarop getraind?
2.3 De organisatie heeft de verwerkingen waar zijzelf (gezamenlijke) verwerkingsverantwoordelijk of verwerker voor is in een verwerkingsregister opgenomen. 2.3 De organisatie heeft de verwerkingen waar zijzelf (gezamenlijke) verwerkingsverantwoordelijk of verwerker voor is in een verwerkingsregister opgenomen. 2.4 Voor verwerkingen (met hoge privacyrisico’s) worden (pre-) DPIA’s uitgevoerd en de mitigerende maatregelen worden doorgevoerd.
5 Is er een gedocumenteerd verwerkingsregister die organisatiebreed inzicht geeft in verwerkingen van de gemeente en is het beheer intern belegd? 6 Worden verwerkingen getoetst aan de beginselen uit de AVG en andere relevante wet- en regelgeving?
o Deels
Deels
Deels
p Ja
Ja
Deels
7 Worden DPIA’s structureel uitgevoerd p Ja en mitigerende maatregelen doorgevoerd door de proceseigenaren?
Ja
Nee
2.5 Persoonsgegevens die niet meer nodig zijn worden tijdig verwijderd of geanonimiseerd.
8 Worden persoonsgegevens die niet meer nodig zijn tijdig verwijderd of geanonimiseerd?
Nee
Nee
2.6 Doorgiftes van persoonsgegevens naar buiten de EER zijn bekend.
9 Zijn doorgiftes van persoonsgegevens p Ja naar derde landen en internationale organisaties - en de bijbehorende transfermechanismen - bekend respectievelijk getoetst? 10 Zijn sancties in wetgeving en o Ja contracten en contractuele eisen over de bescherming van persoonsgegevens bekend?
Ja
Nee
Deels
Nee
2.7 Sancties in wetgeving en contracten en contractuele eisen over de bescherming van persoonsgegevens zijn bekend.
p Deels
Organisatorische inbedding 3.1 De gemeente heeft een FG aangesteld en goed gepositioneerd.
11 Zijn de taken van de FG duidelijk omschreven, de rol goed gepositioneerd in de organisatie en worden de adviezen van de FG opgevolgd, althans gemotiveerd beantwoord? 3.2 Er is – naast de FG - ruime (juridische) 12 Is er een effectief privacyteam en kennis en ervaring aanwezig over wordt nauw samengewerkt met de privacy en relevante wet- en CISO? regelgeving. 3.4 De Ondernemingsraad (OR) wordt 13 Wordt OR actief geïnformeerd en geinformeerd en betrokken wanneer betrokken bij onderwerpen over de het gaat om de bescherming van bescherming van persoonsgegevens persoonsgegevens van medewerkers. van medewerkers?
Rechten van betrokkenen
o Ja
Ja
Ja
o Ja
Ja
Deels
o Ja
Ja
Ja
3.5 Er zijn voldoende middelen beschikbaar om privacybescherming te bevorderen in kennis, houding en gedrag van medewerkers in de organisatie.
14 Vinden er organisatiebrede trainingen p Ja plaats voor medewerkers op het gebied van privacybewustzijn, inclusief het management?
Deels
Deels
4.1 De verwerkingsverantwoordelijke heeft processen ingericht om de rechten van betrokkenen te faciliteren.
15 Zijn de processen omtrent de rechten p Ja van betrokkenen en het recht van bezwaar vastgesteld, makkelijk te begrijpen en gedocumenteerd?
Deels
Deels
4.2 De gemeente heeft inzichtelijk welke besluiten zij neemt op basis van automatisch verwerkte persoonsgegevens. Geautomatiseerde besluitvorming is omkleed met passende waarborgen
16 Is organisatiebreed bekend wanneer geautomatiseerde besluitvorming wordt toegepast en worden daarbij passende privacywaarborgen getroffen?
Ja
Ja
p Ja
om de privacy van betrokkenen te beschermen.
4.3 Voorafgaand aan de verwerking worden betrokkenen actief, tijdig en adequaat geïnformeerd.
17 Worden betrokkenen tijdig en adequaat geïnformeerd over verwerkingen van hun persoonsgegevens volgens de transparantieverplichtingen?
p Ja
Deels
Deels
18 Is er een organisatiebreed o Ja communicatieplan over privacy waarin structureel rekening wordt gehouden met transparantieverplichtingen? 4.5 Op de gemeentelijke website staat 19 Zijn de privacy- en cookieverklaring p Ja een privacy- en cookieverklaring met actueel en geven ze gemeentebreed informatie over verwerkingen van inzicht in verwerkingen van persoonsgegevens door de persoonsgegevens door de gemeente. gemeente? 4.6 Verdergaande mogelijkheden om 20 Worden verdergaande mogelijkheden p Ja invulling te geven aan de rechten van toegepast om invulling te geven aan betrokkenen worden toegepast. de rechten van betrokkenen?
Nee
Nee
Ja
Ja
Deels
Deels
5.1 De organisatie heeft inzichtelijk welke 21 Is organisatiebreed inzichtelijk welke p Ja AVG-rol externe partijen innemen en AVG-rollen externe partijen innemen er worden afspraken gemaakt en wordt een uniform toetsingskader conform de AVG. gebruikt om deze rollen te bepalen?
Ja
Deels
4.4 Er is een communicatieplan over privacy gericht op een invulling te geven aan de AVGtransparantieverplichtingen.
Samenwerking
5.2 Eenmalige gegevensverstrekkingen worden getoetst aan de relevante wet- en regelgeving.
Beveiliging
Verantwoording
22 Worden eenmalige p Ja gegevensverstrekkingen van tevoren getoetst aan relevante privacywet- en regelgeving?
Deels
Nee
6.1 Verwerkingen worden zodanig 23 Wordt rekening gehouden met PbD ingericht dat rekening wordt en privacy by default bij (potentieel) gehouden met de beginselen van nieuwe verwerkingen? Privacy by Design (PbD) en privacy by default. 6.2 De gemeente heeft inzicht in 24 Is incidentbeheer ingericht met (potentiële) privacy-incidenten, zoals gedocumenteerde procedures voor datalekken. het behandelen van privacyincidenten en weten medewerkers hoe ze op een incident moeten reageren? 6.3 Het IB-beleid en de IB-procedures 25 Houdt het IB-beleid en de IBhouden rekening met procedures rekening met privacyspecifieke beveiligingseisen. privacyspecifieke beveiligingseisen? Deze beveiligingseisen worden geïmplementeerd.
p Ja
Deels
Nee
o Deels
Ja
Ja
o Ja
Ja
Ja
7.1 Periodiek worden gegevensverwerkingen geëvalueerd en is de naleving van de AVG aangetoond 7.2 Er is een actueel overzicht van de verwerkingen met een hoog privacy risico en de uitgevoerde DPIA’s.
o Ja
Ja
Deels
27 Is er organisatiebreed inzicht in o Ja verwerkingen met (hoge) privacyrisico's en uitgevoerde DPIA’s?
Ja
Nee
26 Is toezicht een structureel onderdeel van de processen op afdelings- en organisatieniveau?
7.3 Periodiek worden interne en externe 28 Worden interne en externe partijen partijen op de hoogte gehouden over structureel geïnformeerd over de de omgang met persoonsgegevens omgang met hun persoonsgegevens binnen de gemeente. binnen de gemeente? 7.4 Periodiek wordt een GAP-analyse uitgevoerd om inzichtelijk te maken waar de organisatie staat op het gebied van het beschermen van persoonsgegevens.
o Ja
Ja
Nee
29 Worden GAP-analyses op de AVG o Ja organisatiebreed periodiek uitgevoerd, bijvoorbeeld aan de hand van dit borgingsproduct?
Ja
Ja
8.2.
Verwerkingsregister
Verwezen wordt naar doc. nr. 2023-003932 voor het verwerkingsregister tot 1-1-2024. Voor het jaar 2024 is doc. nr. 2024-001243 gemaakt. Het verwerkingsregister wordt overgezet naar een vakapplicatie (iNavigator). Het verwerkingsregister wordt bijgehouden door de griffie. Jaarlijks toetst de FG het register. Mutaties moeten door het jaar heen worden gemeld aan de FG.
8.3.
Register DPIA 2024
Thema Griffie: Raadsvergaderingen
Toelichting Inzet camera's en onderzoek naar overige verwerking persoonsgegevens
Zaaknummer 2024-028430
Rapportage bescherming persoonsgegevens Raad 2024
D19-0 003 7418
18
Gereed op 3-12-2024
Planning review 2028
8.4.
Bijlage overzicht datalekken 2024
#
Datum
Omschrijving
Aard van het lek
Personengroep
Soort gegevens
(mogelijke) gevolgen breuk
Maatregelen nav lek
Gemeld ja/nee
1
3-5-24
Resultaten quickscan democratie enquête
Pg per ongeluk gepubliceerd
Respondenten
Telefoonnummer
Beperkt
Geanonimiseerd
JA AP NEE BT
Rapportage bescherming persoonsgegevens Raad 2024
D19-0 003 7419
19