Bijlage 3 - Rapportage bescherming persoonsgegevens Gemeenteraad 2023
Tekst van het document
Rapportage bescherming persoonsgegevens Gemeenteraad 2023
Gemaakt door: Goedgekeurd door: V-Classificatie:
FG, 23-04-2024 Nvt Openbaar
Inhoudsopgave 1.
INLEIDING ...............................................................................................................................................3
2.
DOEL, AFBAKENING EN DOELGROEP .......................................................................................................3
3.
MANAGEMENTSAMENVATTING .............................................................................................................3
4.
WERKZAAMHEDEN VAN DE FG VOOR DE RAAD ......................................................................................4
5.
IMPLEMENTATIE AVG DOOR DE RAAD MET SPRONGEN VOORUIT GEGAAN ............................................5 5.1. 5.2. 5.3. 5.4. 5.5. 5.6. 5.7.
BELEID .....................................................................................................................................................6 PROCESSEN ..............................................................................................................................................6 ORGANISATORISCHE INBEDDING ...................................................................................................................7 RECHTEN VAN BETROKKENEN .......................................................................................................................7 SAMENWERKING MET ORGANISATIES .............................................................................................................8 BEVEILIGING .............................................................................................................................................9 VERANTWOORDING ...................................................................................................................................9
6.
ANALYSE DATALEKKEN..........................................................................................................................10
7.
AANBEVELINGEN ..................................................................................................................................10
8.
BIJLAGEN ..............................................................................................................................................11 8.1. 8.2. 8.3. 8.4.
BIJLAGE TOETSVRAGEN BORGING AVG 2023 ................................................................................................11 VERWERKINGSREGISTER ............................................................................................................................16 REGISTER DPIA 2023 ..............................................................................................................................17 BIJLAGE OVERZICHT DATALEKKEN 2023 .......................................................................................................18
1. Inleiding Op grond van de Algemene verordening gegevensbescherming (hierna: AVG) brengt de Functionaris Gegevensbescherming (hierna: FG) jaarlijks een apart verslag uit aan de Gemeenteraad en het College aan de hand van zijn controle in hoeverre de bescherming van persoonsgegevens door de organisatie is geborgd. Sinds 2019 is er jaarlijks een toezichtsrapport aan het College verzonden over de verwerkingen waarvoor het College verantwoordelijk is. De Raad is als zelfstandig bestuursorgaan ook verantwoordelijk voor een aantal verwerkingen van persoonsgegevens. Vanaf 2023 zal de FG voor deze verwerkingen jaarlijks een aparte rapportage maken voor de Raad.
2. Doel, afbakening en doelgroep Het doel van de rapportage van de FG is om een stand van zaken te geven rond de borging van de AVG. Het kan de basis voor de griffie zijn om actiepunten op te nemen in een verbeterplan. De doelgroep voor deze rapportage is de Gemeenteraad, de griffie en medewerkers die direct of indirect gerelateerd zijn aan het onderwerp.
3. Managementsamenvatting Quickscan resultaat 2023 4
6
Deels Ja
19
Nee
De Griffie voert ondersteunende werkzaamheden uit ten behoeve van de gemeenteraad. Hier worden persoonsgegevens verwerkt waardoor deze verwerkingen moeten voldoen aan de Algemene Verordening Gegevensbescherming (AVG). De griffie werkt nauw samen met het College op het gebied van ICT-voorzieningen. Een deel van de te nemen beschermingsmaatregelen worden dan ook door het College uitgevoerd.
Jaarlijks rapporteert de Functionaris Gegevensbescherming (FG) over de naleving van de AVG door de griffie door middel van dit rapport. Hierbij wordt getoetst aan een normenkader opgesteld door de VNG. De griffie is zich zeer bewust van de noodzaak om persoonsgegevens goed te beschermen. In individuele communicatie (mails, brieven) wordt goed aandacht besteed aan voorlichting over wat er met persoonsgegevens gebeurd. In 2022 heeft de griffie samen met de FG een nulmeting gedaan. Op een aantal terreinen kon er nog worden verbeterd. Dit ging dan met name om het vastleggen van (processen van) verwerkingen en het uitvoeren van risico-analyses. Daarnaast kon de gedragscode worden geactualiseerd. In 2023 is de griffie aan de slag gegaan met de verbeterpunten en is er in geslaagd grote stappen te zetten. De griffie heeft nog een aantal verbeterpunten die hierna worden toegelicht. Aanbevelingen zijn opgenomen onder hoofdstuk 7.
4. Werkzaamheden van de FG voor de Raad De FG heeft in 2023 (onder meer) de volgende werkzaamheden verricht: - Deelname in de stuurgroep borging AVG (met name gericht op het College); Uitgevoerde onderzoeken door de FG. - Toezicht op het verbeterplan van de griffie - Aanwijzingen / hulp geboden bij de handreiking AVG voor de griffie De FG neemt deel in: - Stuurgroep AVG - Intervisiegroep FG’s gemeenten De FG heeft voldoende middelen voor scholing en ontwikkeling beschikbaar gesteld door het College. Het huidige budget kan worden ingezet in overleg met de directeur bedrijfsvoering. De FG heeft daardoor geen eigen middelen ter beschikking. Om zijn onafhankelijke taak goed uit te kunnen voeren zou dit wel aan te bevelen zijn. De FG heeft toegang tot verwerkingen, op verzoek. De FG heeft geen eigen accounts in systemen, zoals het hoort, behoudens uiteraard de eigen systeemtoegang, Officeproducten etc.
5. Implementatie AVG door de Raad met sprongen vooruit gegaan Quickscan AVG-griffie 2022
10
11
8
Deels
Quickscan AVG-griffie 2023 4
6
Ja
Ja Nee
Deels
19
Nee
De uitvoering van de AVG bestrijkt de verwerking van persoonsgegevens van de hele gemeente. Bestuurlijk-juridisch wordt er binnen de gemeente onderscheid gemaakt tussen verschillende bestuursorganen. De Gemeenteraad, de Burgemeester, het College, de Heffingsambtenaar enzovoorts. Deze bestuursorganen maken gebruik van ITsystemen die beheerd worden door het team ICT. Deze bestuursorganen zijn bij de implementatie van de AVG als één geheel behandeld. Zo is er een verwerkingsregister opgesteld in 2017 waar ook de verwerkingen van de Raad zijn meegenomen. Er is in dat jaar ook een gedragscode voor de publicatie van persoonsgegevens door de Raad vastgesteld. De ondersteuning op dit gebied werd en wordt door het College verzorgd, doordat de griffie ondersteuning krijgt van de security & privacy officer van het College. Ieder jaar brengt de FG een FG-rapportage uit met betrekking tot de naleving van de AVG door de Raad/griffie. In 2022 heeft de FG samen met de griffie een nulmeting gedaan. Aan de hand hiervan is de griffie met verve aan de slag gegaan met een verbeterplan. Voor het opstellen van dit rapport is onder andere gebruik gemaakt van een format dat door VNG Realisatie1 is ontwikkeld met het werkveld. In het format worden op deelgebieden vragen gesteld die met ja/nee en gedeeltelijk kunnen worden beantwoord.
Dit leidt dan tot een (redelijk) objectiveerbare score, waardoor het ook mogelijk wordt om jaarlijks te vergelijken. In bijlage 8.1 treft u de vragen en scores aan.
1 https://www.informatiebeveiligingsdienst.nl/product/avg-borgingsproduct-2-0/
5.1.
Beleid
Wat gaat goed • •
De Raad is ook onderdeel van het algemene privacybeleid dat is vastgesteld door het College. De Raad heeft een eigen gedragscode voor het publiceren van persoonsgegevens op internet vastgesteld.
Wat kan beter •
De gedragscode mag geactualiseerd worden, want het is in 2017 vastgesteld. In de nieuwe versie moet het gebruik van camera's in raadsvergaderingen worden meegenomen.
Omdat de Raad een controlerende taak heeft op het College lift de Raad mee op het algemene privacybeleid van de gemeente. Het is aan te bevelen om in de gedragscode duidelijker aan te geven hoe betrokkenen gebruik kunnen maken van hun recht op inzage en de overige rechten uit de AVG. Geef in de gedragscode ook aan hoe er wordt omgegaan met camerabeelden die worden gemaakt tijdens de raadsvergaderingen.
5.2.
Processen
Wat gaat goed • • • •
Er loopt een project Recordmanagement samen met Informatiebeheer om alle stukken juist te archiveren en tijdig te vernietigen De processen over de raadsvergaderingen zijn vastgelegd in het reglement van orde. Processen zijn beschreven in het handboek AVG voor de griffie. De griffie heeft zijn verwerkingen in beeld
Wat kan beter • •
De (nieuwe) verwerkingen moeten nog worden overgenomen in het centrale verwerkingsregister van de gemeente Vanuit het RIS kunnen de bewaartermijnen geautomatiseerd worden beheerd, dit is echter nog niet in gang gezet.
Het in beeld hebben van het werkproces is een van de belangrijkste instrumenten om de bescherming van persoonsgegevens te borgen. Vastgestelde werkprocessen zijn immers de manier om eenduidig te werken, het werk makkelijk over te kunnen dragen en het wordt mogelijk om knelpunten te signaleren bij de verwerking van persoonsgegevens. Daarnaast is het beschreven werkproces de manier voor een FG of een auditor om te toetsen of gemaakte afspraken in de praktijk ook worden nageleefd. Het beschrijven van elk werkproces moet echter geen doel op zich zijn. De manier van vastleggen van een werkproces kan ook verschillend zijn. Echter in de processen waar gevoelige persoonsgegevens worden verwerkt mag wel worden verwacht dat deze goed zijn beschreven.
De regels en processen over de raadsvergaderingen zijn vastgelegd in het reglement van orde. Hierin is ook (al) benoemd dat er beeld- en geluidsopnames gemaakt worden. Daarnaast is het zo dat de verwerkingen van persoonsgegevens voornamelijk plaatsvinden binnen het Raadsinformatie Systeem (RIS). Om de juiste bewaartermijnen te kunnen hanteren van de persoonsgegevens die op het RIS worden verwerkt is een geautomatiseerde functie voorhanden. Deze is nog niet in gebruik genomen omdat de juistheid van de werking van deze functie nog wordt onderzocht samen met informatiemanagement (het project Recordmanagement).
5.3.
Organisatorische inbedding
Wat gaat goed • •
De griffie is verantwoordelijk voor de verwerkingen van persoonsgegevens die betrekking hebben op de werkzaamheden van de Raad. Binnen de griffie zijn twee contactpersonen benoemd voor de Security & Privacy Officer en de FG.
Wat kan beter •
-
De organisatorische inbedding gaat over de governancestructuur. De rollen en taken moeten zo worden verdeeld dat duidelijk is wie verantwoordelijk is voor de juiste uitvoering van de bescherming van persoonsgegevens. De governance is geregeld in het beleid bescherming persoonsgegevens. Voor de Raad is de griffier de verantwoordelijke voor het verwerken van persoonsgegevens. Binnen de griffie zijn vanaf 2023 twee vaste contactpersonen benoemd met een taakaccent op privacy en informatiebeveiliging.
5.4.
Rechten van betrokkenen
Wat gaat goed •
De gemeente heeft een werkend inzageproces.
Wat kan beter • • •
De rechten van betrokkenen kunnen omschreven worden in de gedragscode. Daarnaast is een apart gedeelte op de website van waalwijk/over-de-gemeente/raad aan te bevelen. Hier kan dan ook een directe link worden geplaatst naar het digitale formulier om een inzageverzoek te doen. Zorgen voor meer transparantie over het gebruik van persoonsgegevens op een aantal belangrijke thema's. Aan het transparantiebeginsel van de AVG kan beter worden voldaan door privacyverklaringen te publiceren op deelgebieden waar de gemeente persoonsgegevens verwerkt. Hang bordjes op in de Raadszaal en bij de ingang om mensen er op te wijzen dat er beeld- en geluidopnames gemaakt worden.
Op de website is onder www.waalwijk.nl/privacy duidelijke informatie opgenomen over de rechten van betrokkenen. De informatie is wel nog vrij algemeen en zoomt niet in op de verschillende diensten/producten van de gemeente. Wanneer iemand op zoek gaat naar informatie over de Raad dan zal www.waalwijk.nl/over-de-gemeente/raad de voor de hand liggende ingang zijn. Hier staat inderdaad een compleet beeld over alles aangaande de raad en de werkzaamheden van de griffie. Het zou goed zijn om ook in dit gedeelte een stuk over privacy en de rechten van betrokkenen op te nemen. Daarbij kan een link worden opgenomen naar https://www.waalwijk.nl/rechten-van-burgers. De AVG kent het transparantiebeginsel. Dit houdt in dat betrokkenen het recht hebben om te weten wat en waarom er met zijn persoonsgegevens gebeurd. Dit moet op een begrijpelijke en vindbare manier plaatsvinden. De algemene informatie op https://www.waalwijk.nl/privacy is voldoende. Er is echter geen nadere toelichting over de verwerkingen van persoonsgegevens door de Raad. Op dit punt kan de gemeente Waalwijk nog verbeteren door het opstellen van (een) privacyverklaring(en). Als voorbeeld verwijs ik naar https://raadsinformatie.eindhoven.nl/document/11771602/1.
Een praktisch punt is nog om door middel van bordjes in de Raadzaal en bij de ingang van de Raadszaal aan het publiek kenbaar te maken dat er beeld- en geluidsopnamen worden gebruikt. Overigens is het bijzonder goed dat de burgemeester tijdens de openbare vergaderingen ook steeds (voor insprekers) vermeldt dat er beeld- en geluidsopnamen gemaakt worden en dat iemand de mogelijkheid heeft om hier bezwaar tegen te maken. Als dat het geval is wordt er voor gezorgd dat de inspreker niet wordt opgenomen. Aantallen 2023 De volgende AVG verzoeken in 2023 zijn binnengekomen: Zaaknr
Recht: Geen
Status
Doorlooptijd
Op tijd
Bezwaar
De volgende klachten met privacy gerelateerde onderwerpen zijn binnengekomen : Zaaknr
Omschrijving
Status
Doorlooptijd
Op tijd
Uitkomst
Geen
5.5.
Samenwerking met organisaties
Wat gaat goed •
Er zijn geen samenwerkingspartners, afgezien van verwerkers die zorgen voor het RIS en de Lange Termijn Agenda.
Wat kan beter •
Zie hiervoor paragraaf 5.6
Het onderwerp samenwerking met organisaties gaat over het inzichtelijk hebben met welke organisaties persoonsgegevens worden gedeeld, dat duidelijk is wat de onderlinge verantwoordelijkheden zijn en dat er afspraken zijn gemaakt over de beveiliging. Tot slot moeten gemaakte afspraken ook worden gecontroleerd. Deze samenwerkingen kunnen inzichtelijk worden gemaakt in het verwerkingsregister.
Samenwerken met organisaties kan in zijn algemeenheid worden onderverdeeld in wettelijk verplichte samenwerking, samenwerking rond een bepaalde doelgroep c.q. casusoverleg, contractuele samenwerking en ad hoc gevallen. In de werkzaamheden van de griffie wordt er niet samengewerkt met andere organisaties. Wel zijn er leveranciersrelaties met ict-dienstverleners waarmee verwerkersovereenkomsten zijn gesloten. Voor de relatie met LTA wordt nog onderzocht of een verwerkersovereenkomst nodig is. De afspraken rond beveiliging van gegevens vallen onder de paragraaf 5.6. Beveiliging.
5.6.
Beveiliging
Wat gaat goed • • • •
De griffie maakt gebruik van de diensten van het College op het gebied van beveiliging. De overall beveiliging voldoet aan het criterium dat de verantwoordelijke passende technische en organisatorische maatregelen neemt. De griffie kan snel en goed handelen in geval van een incident. Voor de belangrijkste (6) verwerkingen is een risico-analyse gedaan (quickscan)
Wat kan beter •
Ga jaarlijks na of de gemaakte afspraken in verwerkersovereenkomsten door de leverancier worden nagekomen.
De maatregelen om informatie te beveiligen zijn, gemeten aan de hand van de normen uit de Baseline Informatiebeveiliging Overheid, goed te noemen. Technische ICTmaatregelen zijn prima, zoals ook blijkt uit een IT-audit van de accountant over 2023. De beveiliging van de websites van de gemeente Waalwijk voldoen aan de gangbare standaarden2. Met de ICT-dienstverleners is een verwerkersovereenkomst gesloten waarin afspraken zijn gemaakt over de beveiliging van de verwerking van persoonsgegevens. In 2023 werd niet gecontroleerd of deze afspraken ook door de leverancier zijn nagekomen. Dit is wel aan te bevelen.
5.7.
Verantwoording
Wat gaat goed • • •
De griffie heeft haar registers bijgewerkt De griffie heeft bepaald of er DPIA's moeten worden uitgevoerd Verantwoording over de naleving gebeurd in samenspraak met de security & privacy officer en de FG
Wat kan beter • Voer een DPIA uit op het verwerken van camerabeelden
Onder verantwoording wordt verstaan dat de gemeente kan aantonen haar bescherming van persoonsgegevens in control heeft door het bijhouden van registers, het voorlichten van betrokkenen, het uitvoeren van DPIA’s, het uitvoeren van controles en het publiceren daarover. 2 Zie bijvoorbeeld: https://basisbeveiliging.nl/report/NL/municipality/348
In 2023 is er een register van uitgevoerde / uit te voeren DPIA’s. In 2023 zijn er op de verwerkingen van de griffie quick-scans uitgevoerd om te bepalen of er een DPIA zouden moeten worden uitgevoerd. Hieruit kwam naar voren dat er nog een DPIA moet worden uitgevoerd op het verwerken en publiceren van camerabeelden, zie bijlage 8.3.
6. Analyse Datalekken Datalekken
2021
2022
Totaal
0
0
2023 2
Waarvan gemeld aan de Autoriteit Persoonsgegevens
1
Waarvan gemeld aan de betrokkene
2
Overige datalekken met verwaarloosbaar risico / anders Er zijn 2 datalekken gemeld in 2023. In bijlage 8.4 is een overzicht van de datalekken opgenomen. Vanaf 2023 is er een aangepast meldformulier van datalekken voor de griffie gemaakt.
7. Aanbevelingen In het rapport genoemde aanbevelingen worden hieronder samengevat. Aanbevolen wordt een verbeterplan op te stellen. De Functionaris Gegevensbescherming wordt graag op de hoogte gehouden over de voortgang. # 1 2 3 4 5 6 7 8 8
Aanbeveling Stel een geactualiseerde gedragscode publiceren persoonsgegevens vast in 2024 Maak gebruik van de archieffunctie binnen het RIS Communiceer duidelijker over de rechten van betrokkenen in de gedragscode en op de internetpagina. Vaststellen procedures voor de rechten van de burger Zorg voor privacyverklaring(en) over de verwerkingen van de raad/griffie Wijs het publiek ook fysiek (bijvoorbeeld met bordjes) op het opnemen van beeld en geluid tijdens openbare raadsvergaderingen. Naleving van verwerkersovereenkomsten door leverancier aantonen Voer een gegevensbeschermingseffectbeoordeling (DPIA) uit op het verwerken van camerabeelden Stel een verbeterplan op voor de genoemde aanbevelingen
Vindplaats Paragraaf 5.1 Paragraaf 5.2 Paragraaf 5.4 Paragraaf 5.4 Paragraaf 5.4 Paragraaf 5.4 Paragraaf 5.6. Paragraaf 5.7 Paragraaf 7
8. Bijlagen
8.1.
Bijlage toetsvragen borging AVG 2023
Model VNG 2.0 Deze rapportage is als aparte bijlage opgenomen in 2023-049629 (onder documentnummer D2024-01-003871)
Thema
Beleid
Processen
Control
Vraag
Antwoord Antwoord 2023 2022
1.1
Er is algemeen privacybeleid en uitwerkingen daarvan.
1 Zijn privacybeleidsstukken compleet, vastgesteld, organisatiebreed bekend en makkelijk te begrijpen?
o
Ja
Ja
1.2
Verantwoordelijkheden op het niveau van lijnmanagement zijn benoemd, belegd en vastgelegd.
2 Zijn de verantwoordelijkheden voor de lijnmanagers zijn belegd en pakken zij hun rol met betrekking tot de bescherming van persoonsgegevens actief op?
o
Deels
Deels
2.1
Werkprocessen (voor hoge risico verwerkingen) waarin persoonsgegevens worden verwerkt zijn vastgesteld. Er zijn passende instructies en protocollen (voor hoge risico verwerkingen) voor medewerkers over de omgang met persoonsgegevens in werkprocessen.
3 Zijn er werkprocessen (voor hoge risico verwerkingen) vastgesteld waarin persoonsgegevens worden verwerkt?
o
Ja
Deels
4 Zijn er instructies en protocollen (voor hoge risico verwerkingen) beschikbaar voor medewerkers over de omgang met persoonsgegevens in werkprocessen en worden ze daarop getraind?
p
Ja
Nee
2.2
2.3
De organisatie heeft de verwerkingen waar zijzelf (gezamenlijke) verwerkingsverantwoordelijk of verwerker voor is in een verwerkingsregister opgenomen. De organisatie heeft de verwerkingen waar zijzelf (gezamenlijke) verwerkingsverantwoordelijk of verwerker voor is in een verwerkingsregister opgenomen. Voor verwerkingen (met hoge privacyrisico’s) worden (pre-) DPIA’s uitgevoerd en de mitigerende maatregelen worden doorgevoerd.
5 Is er een gedocumenteerd verwerkingsregister die organisatiebreed inzicht geeft in verwerkingen van de gemeente en is het beheer intern belegd?
o
Deels
Deels
6 Worden verwerkingen getoetst aan de beginselen uit de AVG en andere relevante wet- en regelgeving?
p
Ja
Deels
7 Worden DPIA’s structureel uitgevoerd en p mitigerende maatregelen doorgevoerd door de proceseigenaren?
Ja
Nee
2.5
Persoonsgegevens die niet meer nodig zijn worden tijdig verwijderd of geanonimiseerd.
8 Worden persoonsgegevens die niet meer nodig zijn tijdig verwijderd of geanonimiseerd?
Nee
Nee
2.6
Doorgiftes van persoonsgegevens naar buiten de EER zijn bekend.
9 Zijn doorgiftes van persoonsgegevens naar p derde landen en internationale organisaties - en de bijbehorende transfermechanismen bekend respectievelijk getoetst?
Ja
Nee
2.7
Sancties in wetgeving en contracten en contractuele eisen over de bescherming van persoonsgegevens zijn bekend.
10 Zijn sancties in wetgeving en contracten en o contractuele eisen over de bescherming van persoonsgegevens bekend?
Ja
Nee
3.1
De gemeente heeft een FG aangesteld en goed gepositioneerd.
11 Zijn de taken van de FG duidelijk omschreven, de rol goed gepositioneerd in de organisatie en worden de adviezen van de FG opgevolgd, althans gemotiveerd beantwoord?
Ja
Ja
2.3
2.4
Organisatorische inbedding
p
o
3.2
o
Ja
Deels
13 Wordt OR actief geïnformeerd en betrokken o bij onderwerpen over de bescherming van persoonsgegevens van medewerkers?
Ja
Ja
3.5
Er zijn voldoende middelen beschikbaar 14 Vinden er organisatiebrede trainingen plaats p om privacybescherming te bevorderen voor medewerkers op het gebied van in kennis, houding en gedrag van privacybewustzijn, inclusief het medewerkers in de organisatie. management?
Ja
Deels
4.1
De verwerkingsverantwoordelijke heeft 15 Zijn de processen omtrent de rechten van processen ingericht om de rechten van betrokkenen en het recht van bezwaar betrokkenen te faciliteren. vastgesteld, makkelijk te begrijpen en gedocumenteerd?
p
Deels
Deels
4.2
De gemeente heeft inzichtelijk welke besluiten zij neemt op basis van automatisch verwerkte persoonsgegevens. Geautomatiseerde besluitvorming is omkleed met passende waarborgen om de privacy van betrokkenen te beschermen. Voorafgaand aan de verwerking worden betrokkenen actief, tijdig en adequaat geïnformeerd.
16 Is organisatiebreed bekend wanneer geautomatiseerde besluitvorming wordt toegepast en worden daarbij passende privacywaarborgen getroffen?
p
Ja
Ja
17 Worden betrokkenen tijdig en adequaat geïnformeerd over verwerkingen van hun persoonsgegevens volgens de transparantieverplichtingen?
p
Deels
Deels
3.4
Rechten van betrokkenen
4.3
Er is – naast de FG - ruime (juridische) kennis en ervaring aanwezig over privacy en relevante wet- en regelgeving. De Ondernemingsraad (OR) wordt geinformeerd en betrokken wanneer het gaat om de bescherming van persoonsgegevens van medewerkers.
12 Is er een effectief privacyteam en wordt nauw samengewerkt met de CISO?
Samenwerking
Beveiliging
4.4
Er is een communicatieplan over privacy gericht op een invulling te geven aan de AVGtransparantieverplichtingen.
18 Is er een organisatiebreed communicatieplan over privacy waarin structureel rekening wordt gehouden met transparantieverplichtingen?
o
Nee
Nee
4.5
Op de gemeentelijke website staat een privacy- en cookieverklaring met informatie over verwerkingen van persoonsgegevens door de gemeente.
19 Zijn de privacy- en cookieverklaring actueel en geven ze gemeentebreed inzicht in verwerkingen van persoonsgegevens door de gemeente?
p
Ja
Ja
4.6
Verdergaande mogelijkheden om invulling te geven aan de rechten van betrokkenen worden toegepast.
20 Worden verdergaande mogelijkheden toegepast om invulling te geven aan de rechten van betrokkenen?
p
Deels
Deels
5.1
De organisatie heeft inzichtelijk welke 21 Is organisatiebreed inzichtelijk welke AVGAVG-rol externe partijen innemen en er rollen externe partijen innemen en wordt worden afspraken gemaakt conform de een uniform toetsingskader gebruikt om AVG. deze rollen te bepalen?
p
Ja
Deels
5.2
Eenmalige gegevensverstrekkingen worden getoetst aan de relevante weten regelgeving.
Nee
Nee
6.1
Verwerkingen worden zodanig 23 Wordt rekening gehouden met PbD en ingericht dat rekening wordt gehouden privacy by default bij (potentieel) nieuwe met de beginselen van Privacy by verwerkingen? Design (PbD) en privacy by default.
p
Nee
Nee
6.2
De gemeente heeft inzicht in (potentiële) privacy-incidenten, zoals datalekken.
o
Ja
Ja
22 Worden eenmalige gegevensverstrekkingen p van tevoren getoetst aan relevante privacywet- en regelgeving?
24 Is incidentbeheer ingericht met gedocumenteerde procedures voor het behandelen van privacy-incidenten en weten medewerkers hoe ze op een incident moeten reageren?
Verantwoording
6.3
Het IB-beleid en de IB-procedures 25 Houdt het IB-beleid en de IB-procedures houden rekening met privacyspecifieke rekening met privacyspecifieke beveiligingseisen. Deze beveiligingseisen? beveiligingseisen worden geïmplementeerd.
7.1
Periodiek worden gegevensverwerkingen geëvalueerd en is de naleving van de AVG aangetoond
7.2
o
Ja
Ja
26 Is toezicht een structureel onderdeel van de o processen op afdelings- en organisatieniveau?
Deels
Deels
Er is een actueel overzicht van de verwerkingen met een hoog privacy risico en de uitgevoerde DPIA’s.
27 Is er organisatiebreed inzicht in verwerkingen met (hoge) privacyrisico's en uitgevoerde DPIA’s?
o
Ja
Nee
7.3
Periodiek worden interne en externe partijen op de hoogte gehouden over de omgang met persoonsgegevens binnen de gemeente.
28 Worden interne en externe partijen structureel geïnformeerd over de omgang met hun persoonsgegevens binnen de gemeente?
o
Ja
Nee
7.4
Periodiek wordt een GAP-analyse 29 Worden GAP-analyses op de AVG uitgevoerd om inzichtelijk te maken organisatiebreed periodiek uitgevoerd, waar de organisatie staat op het gebied bijvoorbeeld aan de hand van dit van het beschermen van borgingsproduct? persoonsgegevens.
o
Ja
Ja
8.2.
Verwerkingsregister
Verwezen wordt naar doc. nr. 2023-003932 voor het verwerkingsregister tot 1-1-2024. Voor het jaar 2024 is doc. nr. 2024-001243 gemaakt. Het verwerkingsregister wordt overgezet naar een vakapplicatie (iNavigator). Het verwerkingsregister wordt bijgehouden door de griffie. Jaarlijks toetst de FG het register. Mutaties moeten door het jaar heen worden gemeld aan de FG.
8.3.
Register DPIA 2023
In 2023 zijn quick-scans uitgevoerd op de processen van de griffie. Hieruit is gebleken dat er een DPIA moet worden uitgevoerd op het verwerken en publiceren van camerabeelden. Thema
Toelichting
Publiceren opnames raadsvergaderingen
Het publiceren van camerabeelden waarbij bezoekers of insprekers van een raadsvergadering in beeld komen moet veilig en met voldoende waarborgen plaatsvinden
Gereed op
Rapportage bescherming persoonsgegevens Raad 2023
D19-00037417
Planning review
17
8.4.
Bijlage overzicht datalekken 2023
#
Datum
Omschrijving
Aard van het lek
Personengroep
Soort gegevens
(mogelijke) gevolgen breuk
Maatregelen nav lek
Gemeld ja/nee
1
2-1-23
NAW op RIS
2 inwoners
NAW
Verwaarloosbaar
Bewustwording
2
20-1123
Naam op het RIS
Pg per abuis gepubliceerd Pg per abuis gepubliceerd
1 inwoner
Naam
Beperkt
Bewustwording
NEE AP JA BT JA AP JA BT
Rapportage bescherming persoonsgegevens Raad 2023
D19-00037418
18