Bijlage 4 - Rapportage bescherming persoonsgegevens Gemeenteraad 2022
Tekst van het document
Rapportage bescherming persoonsgegevens Gemeenteraad 2022
Versie: Versiedatum Gemaakt door: Goedgekeurd door: V-Classificatie:
0.1 21-03-2023 FG Nvt Openbaar
Inhoudsopgave 1.
INLEIDING.............................................................................................................................................. 3
2.
DOEL, AFBAKENING EN DOELGROEP...................................................................................................... 3
3.
MANAGEMENTSAMENVATTING............................................................................................................ 3
4.
WERKZAAMHEDEN VAN DE FG VOOR DE RAAD......................................................................................4
5.
NULMETING IMPLEMENTATIE AVG DOOR DE RAAD...............................................................................5 5.1. 5.2. 5.3. 5.4. 5.5. 5.6. 5.7.
BELEID.....................................................................................................................................................5 PROCESSEN...............................................................................................................................................6 ORGANISATORISCHE INBEDDING....................................................................................................................6 RECHTEN VAN BETROKKENEN.......................................................................................................................7 SAMENWERKING MET ORGANISATIES.............................................................................................................8 BEVEILIGING.............................................................................................................................................8 VERANTWOORDING....................................................................................................................................9
6.
ANALYSE DATALEKKEN.......................................................................................................................... 9
7.
AANBEVELINGEN................................................................................................................................. 10
8.
BIJLAGEN............................................................................................................................................. 11 8.1. 8.2. 8.3. 8.4.
BIJLAGE TOETSVRAGEN BORGING AVG 2022................................................................................................11 VERWERKINGSREGISTER.............................................................................................................................16 REGISTER DPIA 2022..............................................................................................................................17 BIJLAGE OVERZICHT DATALEKKEN 2022........................................................................................................18
1. Inleiding Op grond van de Algemene verordening gegevensbescherming (hierna: AVG) brengt de Functionaris Gegevensbescherming (hierna: FG) jaarlijks een verslag uit aan de Gemeenteraad en het College aan de hand van zijn controle in hoeverre de bescherming van persoonsgegevens door de organisatie is geborgd. Sinds 2019 is er jaarlijks een toezichtsrapport aan het College verzonden over de verwerkingen waarvoor het College verantwoordelijk is. De Raad is als zelfstandig bestuursorgaan ook verantwoordelijk voor een aantal verwerkingen van persoonsgegevens. Vanaf 2023 zal de FG voor deze verwerkingen driejaarlijks een aparte rapportage maken voor de Raad.
2. Doel, afbakening en doelgroep Het doel van de rapportage van de FG is om een stand van zaken te geven rond de borging van de AVG. Het kan de basis voor de griffie zijn om actiepunten op te nemen in een verbeterplan. De doelgroep voor deze rapportage is de Gemeenteraad, de griffie en medewerkers die direct of indirect gerelateerd zijn aan het onderwerp.
3. Managementsamenvatting Quickscan AVG-griffie
10
11
8
De Griffie voert ondersteunende werkzaamheden uit ten behoeve van de gemeenteraad. Hier worden persoonsgegevens verwerkt waardoor deze verwerkingen moeten voldoen aan de Algemene Verordening Deels Gegevensbescherming (AVG). Ja Nee
De griffie werkt nauw samen met het College op het gebied van ICT-voorzieningen. Een deel van de te nemen beschermingsmaatregelen worden dan ook door het College uitgevoerd.
Eens in de drie jaar rapporteert de Functionaris Gegevensbescherming (FG) op de uitvoering van de AVG door de griffie door middel van dit rapport. Hierbij wordt getoetst aan een normenkader opgesteld door de VNG. De griffie is zich zeer bewust van de noodzaak om persoonsgegevens goed te beschermen. In individuele communicatie (mails, brieven) wordt goed aandacht besteed aan voorlichting over wat er met persoonsgegevens gebeurd. Op een aantal terreinen kan er nog worden verbeterd. Dit gaat dan met name om het vastleggen van (processen van) verwerkingen en het uitvoeren van risico-analyses. Daarnaast kan de gedragscode worden geactualiseerd. De griffie heeft nog een aantal verbeterpunten die hierna worden toegelicht. Aanbevelingen zijn opgenomen onder hoofdstuk 7.
4. Werkzaamheden van de FG voor de Raad De FG heeft in 2022 (onder meer) de volgende werkzaamheden verricht: - Deelname in de stuurgroep borging AVG (met name gericht op het College); - Een eerste advies over het aanpassen van de gedragscode Uitgevoerde onderzoeken door de FG. - Onderzoek naar de actualiteit van het beleid bescherming persoonsgegevens van de gemeente Waalwijk De FG neemt deel in: - Stuurgroep AVG De FG heeft voldoende middelen voor scholing en ontwikkeling beschikbaar gesteld door het College. Het huidige budget kan worden ingezet in overleg met de directeur bedrijfsvoering. De FG heeft daardoor geen eigen middelen ter beschikking. Om zijn onafhankelijke taak goed uit te kunnen voeren zou dit wel aan te bevelen zijn. De FG heeft toegang tot verwerkingen, op verzoek. De FG heeft geen eigen accounts in systemen, zoals het hoort, behoudens uiteraard de eigen systeemtoegang, Officeproducten etc. De FG heeft naast zijn eigen taak ook de rol van CISO. In deze functies zit voor een deel een tegengesteld belang ingebakken. De functies voor de FG en de CISO zijn begin 2020 als losse functies vastgelegd in het functiehuis om de scheiding in deze functies beter te beschrijven.
FG en CISO hebben beide een toezichthoudende taak, maar de CISO heeft ook de verantwoordelijkheid om te zorgen dat de organisatie een samenhangend pakket aan maatregelen neemt om tot een optimale informatiebeveiliging te komen. In de Waalwijkse praktijk wordt er voor gezorgd dat de CISO-rol zich beperkt tot een adviserende en toezichthoudende rol. De verantwoordelijkheid voor het nemen van een samenhangend pakket aan maatregelen is belegd bij de stuurgroep AVG.
5. Nulmeting implementatie AVG door de Raad De AVG is sinds mei 2016 van kracht en vanaf 25 mei 2018 ook rechtens afdwingbaar. In deze rapportage ontvangt de gemeenteraad een eerste toezichtsrapportage van de Functionaris Gegevensbescherming die sinds 2016 in dienst van de gemeente Waalwijk is. Is er in de tussentijd dan niks gebeurd? Dat is uiteraard niet het geval. De uitvoering van de AVG bestrijkt de verwerking van persoonsgegevens van de hele gemeente. Bestuurlijk-juridisch wordt er binnen de gemeente onderscheid gemaakt tussen verschillende bestuursorganen. De Gemeenteraad, de Burgemeester, het College, de Heffingsambtenaar enzovoorts. Deze bestuursorganen maken gebruik van ITsystemen die beheerd worden door het team ICT. Deze bestuursorganen zijn bij de implementatie van de AVG als één geheel behandeld. Zo is er een verwerkingsregister opgesteld in 2017 waar ook de verwerkingen van de Raad zijn meegenomen. Er is in dat jaar ook een gedragscode voor de publicatie van persoonsgegevens door de Raad vastgesteld. De ondersteuning op dit gebied werd en wordt door het College verzorgd, doordat de griffie ondersteuning krijgt van de security & privacy officer van het College.
In overleg met de griffie is gemeend dat een periodieke schouw op de verwerking van persoonsgegevens door de Raad noodzakelijk is om vast te stellen of de rechtmatigheid van verwerkingen van persoonsgegevens nog op orde is, en of er voldoende rekening wordt gehouden met mogelijke risico’s voor betrokkenen bij die verwerkingen. De Functionaris Gegevensbescherming brengt daarom iedere drie jaar een toezichtsrapportage specifiek voor de Raad uit. De overige jaren wordt het toezicht meegenomen in het jaarlijkse rapport dat wordt uitgebracht aan het College. Voor het opstellen van dit rapport is onder andere gebruik gemaakt van een format dat door VNG Realisatie1 is ontwikkeld met het werkveld. In het format worden op deelgebieden vragen gesteld die met ja/nee en gedeeltelijk kunnen worden beantwoord. Dit leidt dan tot een (redelijk) objectiveerbare score, waardoor het ook mogelijk wordt om jaarlijks te vergelijken. In bijlage 8.1 treft u de vragen en scores aan.
5.1.
Beleid
Wat gaat goed
De Raad is ook onderdeel van het algemene privacybeleid dat is vastgesteld door het College. De Raad heeft een eigen gedragscode voor het publiceren van persoonsgegevens op internet vastgesteld.
Wat kan beter
De gedragscode mag geactualiseerd worden, want het is in 2017 vastgesteld. In de nieuwe versie moet het gebruik van camera's in raadsvergaderingen worden meegenomen.
In 2018 heeft de Raad een privacybeleid vastgesteld. Dit beleid loopt van 2018 tot en met 2021 en moet daarom in 2022 geëvalueerd worden en opnieuw worden vastgesteld. 1
https://www.informatiebeveiligingsdienst.nl/product/avg-borgingsproduct-2-0/
Inmiddels heeft het College in januari 2023 een nieuw beleid (op basis van het model van de VNG) vastgesteld voor de jaren 2023-2026. Omdat de Raad een controlerende taak heeft op het College lift de Raad mee op het algemene privacybeleid van de gemeente. Het is aan te bevelen om in de gedragscode duidelijker aan te geven hoe betrokkenen gebruik kunnen maken van hun recht op inzage en de overige rechten uit de AVG.
5.2.
Processen
Wat gaat goed
Er loopt een project E-depot samen met Informatiebeheer om alle stukken juist te archiveren en tijdig te vernietigen De processen over de raadsvergaderingen zijn vastgelegd in het reglement van orde.
Wat kan beter
Processen beschrijven, met instructies Het verwerkingsregister updaten
Het in beeld hebben van het werkproces is een van de belangrijkste instrumenten om de bescherming van persoonsgegevens te borgen. Vastgestelde werkprocessen zijn immers de manier om eenduidig te werken, het werk makkelijk over te kunnen dragen en het wordt mogelijk om knelpunten te signaleren bij de verwerking van persoonsgegevens. Daarnaast is het beschreven werkproces de manier voor een FG of een auditor om te toetsen of gemaakte afspraken in de praktijk ook worden nageleefd. Het beschrijven van elk werkproces moet echter geen doel op zich zijn. De manier van vastleggen van een werkproces kan ook verschillend zijn. Echter in de processen waar gevoelige persoonsgegevens worden verwerkt mag wel worden verwacht dat deze goed zijn beschreven. De regels en processen over de raadsvergaderingen zijn vastgelegd in het reglement van orde. Hierin is ook (al) benoemd dat er beeld- en geluidsopnames gemaakt worden. Processen zijn nog niet overal beschreven. Daarnaast is het zo dat de verwerkingen van persoonsgegevens voornamelijk plaatsvinden binnen het Raadsinformatie Systeem (RIS). De AVG vereist dat verwerkingen van persoonsgegevens worden bijgehouden in een verwerkingsregister. Dit register is in 2017 opgesteld en nadien bijgehouden 2. In 2022 is dit register echter niet meer gecontroleerd, zodat dit voor 2023 alsnog moet gebeuren.
5.3.
Organisatorische inbedding
Wat gaat goed
2
De griffie is verantwoordelijk voor de verwerkingen van persoonsgegevens die betrekking hebben op de
Zie bijlage 8.2
werkzaamheden van de Raad. Wat kan beter
Benoem een functionaris die zich bezig houdt met de vereisten uit de AVG, die ook als contactpersoon voor de Security & Privacy Officer en de Functionaris Gegevensbescherming optreedt.
De organisatorische inbedding gaat over de governancestructuur. De rollen en taken moeten zo worden verdeeld dat duidelijk is wie verantwoordelijk is voor de juiste uitvoering van de bescherming van persoonsgegevens. De governance is geregeld in het beleid bescherming persoonsgegevens dat in 2018 is vastgesteld. Deze komt ook weer terug in het nieuw vastgestelde beleid. De gemeente Waalwijk heeft de wettelijk verplichte FG benoemd. De FG voert naast deze taak ook andere taken uit, waaronder het toezicht op informatiebeveiliging zoals bedoeld in de Baseline Informatiebeveiliging Overheid. Voor de Raad is de griffier de verantwoordelijke voor het verwerken van persoonsgegevens. Binnen de griffie is vanaf 2023 een vast aanspreekpunt benoemd met een taakaccent op privacy en informatiebeveiliging.
5.4.
Rechten van betrokkenen
Wat gaat goed
De gemeente heeft een werkend inzageproces.
Wat kan beter
De rechten van betrokkenen kunnen omschreven worden in de gedragscode. Daarnaast is een apart gedeelte op de website van waalwijk/over-de-gemeente/raad aan te bevelen. Hier kan dan ook een directe link worden geplaatst naar het digitale formulier om een inzageverzoek te doen. Zorgen voor meer transparantie over het gebruik van persoonsgegevens op een aantal belangrijke thema's. Aan het transparantiebeginsel van de AVG kan beter worden voldaan door privacyverklaringen te publiceren op deelgebieden waar de gemeente persoonsgegevens verwerkt.
p de website is onder www.waalwijk.nl/privacy duidelijke informatie opgenomen over de rechten van betrokkenen. De informatie is wel nog vrij algemeen en zoomt niet in op de verschillende diensten/producten van de gemeente. Wanneer iemand op zoek gaat naar informatie over de Raad dan zal www.waalwijk.nl/over-de-gemeente/raad de voor de hand liggende ingang zijn. Hier staat inderdaad een compleet beeld over alles aangaande de raad en de werkzaamheden van de griffie. Het zou goed zijn om ook in dit gedeelte een stuk over privacy en de rechten van betrokkenen op te nemen. Daarbij kan een link worden opgenomen naar https://www.waalwijk.nl/rechten-van-burgers. De AVG kent het transparantiebeginsel. Dit houdt in dat betrokkenen het recht hebben om te weten wat en waarom er met zijn persoonsgegevens gebeurd. Dit moet op een begrijpelijke en vindbare manier plaatsvinden. De algemene informatie op https://www.waalwijk.nl/privacy is voldoende. Er is echter geen nadere toelichting over de verwerkingen van persoonsgegevens door de Raad. Op dit punt kan de gemeente Waalwijk nog verbeteren door het opstellen van (een) privacyverklaring(en). Als voorbeeld verwijs ik naar https://raadsinformatie.eindhoven.nl/document/11771602/1.
Aantallen 2022 De volgende AVG verzoeken in 2022 zijn binnengekomen: Zaaknr
Recht: Geen
Status
Doorlooptijd
Op tijd
Bezwaar
De volgende klachten met privacy gerelateerde onderwerpen zijn binnengekomen : Zaaknr
Omschrijving
Status
Doorlooptijd
Op tijd
Uitkomst
Geen
5.5.
Samenwerking met organisaties
Wat gaat goed
Er zijn geen samenwerkingspartners, afgezien van verwerkers die zorgen voor het RIS en de Lange Termijn Agenda.
Wat kan beter
Zie hiervoor paragraaf 5.6
Het onderwerp samenwerking met organisaties gaat over het inzichtelijk hebben met welke organisaties persoonsgegevens worden gedeeld, dat duidelijk is wat de onderlinge verantwoordelijkheden zijn en dat er afspraken zijn gemaakt over de beveiliging. Tot slot moeten gemaakte afspraken ook worden gecontroleerd. Deze samenwerkingen kunnen inzichtelijk worden gemaakt in het verwerkingsregister. Samenwerken met organisaties kan in zijn algemeenheid worden onderverdeeld in wettelijk verplichte samenwerking, samenwerking rond een bepaalde doelgroep c.q. casusoverleg, contractuele samenwerking en ad hoc gevallen. In de werkzaamheden van de griffie wordt er niet samengewerkt met andere organisaties. Wel zijn er leveranciersrelaties met ict-dienstverleners waarmee verwerkersovereenkomsten zijn gesloten. De afspraken rond beveiliging van gegevens vallen onder de paragraaf 5.6. Beveiliging.
5.6.
Beveiliging
Wat gaat goed
De griffie maakt gebruik van de diensten van het College op het gebied van beveiliging. De overall beveiliging voldoet aan het criterium dat de verantwoordelijke passende technische en organisatorische maatregelen neemt. De griffie kan snel en goed handelen in geval van een incident.
Wat kan beter
Risicomanagement aantoonbaar(der) maken, met een verwerkingsregister en een risico-register Ga jaarlijks na of de gemaakte afspraken in verwerkersovereenkomsten door de leverancier worden nagekomen.
De maatregelen om informatie te beveiligen zijn, gemeten aan de hand van de normen uit de Baseline Informatiebeveiliging Overheid, goed te noemen. Technische ICT-
maatregelen zijn prima, zoals ook blijkt uit een IT-audit van de accountant over 2022. De beveiliging van de websites van de gemeente Waalwijk voldoen aan de gangbare standaarden3. In 2022 had de griffie een verouderd verwerkingsregister, dat niet actief gebruikt werd. Het is zaak om deze in 2023 te actualiseren. De griffie gaat hier ook mee aan de slag en zal daarbij worden ondersteund door de Security & Privacy Officer. Met de ICT-dienstverleners is een verwerkersovereenkomst gesloten waarin afspraken zijn gemaakt over de beveiliging van de verwerking van persoonsgegevens. In 2022 werd niet gecontroleerd of deze afspraken ook door de leverancier zijn nagekomen. Dit is wel aan te bevelen.
5.7.
Verantwoording
Wat gaat goed
Wat kan beter Voer quick-scans uit om te bepalen of er DPIA's moeten worden uitgevoerd.
Onder verantwoording wordt verstaan dat de gemeente kan aantonen haar bescherming van persoonsgegevens in control heeft door het bijhouden van registers, het voorlichten van betrokkenen, het uitvoeren van DPIA’s, het uitvoeren van controles en het publiceren daarover. Deze zaken worden door het College jaarlijks uitgevoerd. Specifiek voor de griffie geldt dat tijdens het actualiseren van het verwerkingsregister moet worden onderzocht of het uitvoeren van een DPIA nodig is. Dit kan door middel van een quickscan-DPIA. Aanbevolen wordt dit in ieder geval te doen op de toepassing van het camerasysteem en de toepassing voor het uitzenden en bewaren van de gemaakte beelden. Daarnaast wordt aanbevolen dit te doen voor het Raadsinformatiesysteem. In 2022 was er nog geen register van uitgevoerde / uit te voeren DPIA’s, zie bijlage 8.3. Thema Cameratoezicht Raadsinformatiesysteem
Status Onderzoeken Onderzoeken
Planning gereed Niet bekend Niet bekend
6. Analyse Datalekken Datalekken Totaal Waarvan gemeld aan de Autoriteit Persoonsgegevens Waarvan gemeld aan de betrokkene Overige datalekken met verwaarloosbaar risico / anders
3
2020 1
Zie bijvoorbeeld: https://basisbeveiliging.nl/#/report/348
2021 0 1 1 0
2022 0
Er zijn geen datalekken gemeld in 2022. In bijlage 8.4 is een overzicht van de datalekken opgenomen. Vanaf 2023 is er een aangepast meldformulier van datalekken voor de griffie gemaakt.
7. Aanbevelingen In het rapport genoemde aanbevelingen worden hieronder samengevat. Aanbevolen wordt een verbeterplan op te stellen. De Functionaris Gegevensbescherming wordt graag op de hoogte gehouden over de voortgang. # 1 2 3 4 5 6 7 8 9 10 11 11 1 2
Aanbeveling De FG brengt iedere drie jaar een verslag uit aan de Gemeenteraad Stel een geactualiseerde gedragscode publiceren persoonsgegevens vast in 2023 Zorg voor beschreven processen en instructies Actualiseer het verwerkingsregister en hou deze up-to-date Benoem een functionaris met privacy en informatiebeveiliging als taakaccent (is inmiddels gebeurd in 2023) Communiceer duidelijker over de rechten van betrokkenen in de gedragscode en op de internetpagina. Vaststellen procedures voor de rechten van de burger Zorg voor privacyverklaring(en) over de verwerkingen van de raad/griffie In beeld brengen gegevensuitwisselingen met andere organisaties en vast te leggen in het verwerkingsregister Naleving van verwerkersovereenkomsten door leverancier aantonen Voer quickscan-DPIA's uit voor in ieder geval twee thema's Maak een register voor uit te voeren / uitgevoerde DPIA's (zie bijlage 8.3) Stel een verbeterplan op voor de genoemde aanbevelingen
Hoogachtend,
M. Beckers Functionaris Gegevensbescherming
Vindplaats Paragraaf 5.0 Paragraaf 5.1 Paragraaf 5.2 Paragraaf 5.2 Paragraaf 5.3 Paragraaf 5.4 Paragraaf 5.4 Paragraaf 5.4 Paragraaf 5.5 Paragraaf 5.6. Paragraaf 5.7 Paragraaf 5.7 Paragraaf 7
8. Bijlagen
8.1.
Bijlage toetsvragen borging AVG 2022
Model VNG 2.0 Deze rapportage is als aparte bijlage opgenomen in 2023-015516 (onder documentnummer D2023-03-003107)
1 Beleid
2 Processen
1.1
Er is algemeen privacybeleid en uitwerkingen daarvan.
1 Zijn privacybeleidsstukken compleet, vastgesteld, organisatiebreed bekend en makkelijk te begrijpen?
o
Ja
1.2
Verantwoordelijkheden op het niveau van lijnmanagement zijn benoemd, belegd en vastgelegd.
2 Zijn de verantwoordelijkheden voor de lijnmanagers zijn belegd en pakken zij hun rol met betrekking tot de bescherming van persoonsgegevens actief op?
o
Deels
2.1
Werkprocessen (voor hoge risico verwerkingen) waarin persoonsgegevens worden verwerkt zijn vastgesteld.
3 Zijn er werkprocessen (voor hoge risico verwerkingen) vastgesteld waarin persoonsgegevens worden verwerkt?
o
Deels
2.2
Er zijn passende instructies en protocollen (voor hoge risico verwerkingen) voor medewerkers over de omgang met persoonsgegevens in werkprocessen.
p
Nee
2.3
De organisatie heeft de verwerkingen waar zijzelf (gezamenlijke) verwerkingsverantwoordelijk of verwerker voor is in een verwerkingsregister opgenomen. De organisatie heeft de verwerkingen waar zijzelf (gezamenlijke) verwerkingsverantwoordelijk of verwerker
4 Zijn er instructies en protocollen (voor hoge risico verwerkingen) beschikbaar voor medewerkers over de omgang met persoonsgegevens in werkprocessen en worden ze daarop getraind? 5 Is er een gedocumenteerd verwerkingsregister die organisatiebreed inzicht geeft in verwerkingen van de gemeente en is het beheer intern belegd?
o
Deels
6 Worden verwerkingen getoetst aan de beginselen uit de AVG en andere relevante wet- en regelgeving?
p
Deels
2.3
2.4
2.5
3 Organisatorische inbedding
voor is in een verwerkingsregister opgenomen. Voor verwerkingen (met hoge privacyrisico’s) worden (pre-) DPIA’s uitgevoerd en de mitigerende maatregelen worden doorgevoerd. Persoonsgegevens die niet meer nodig zijn worden tijdig verwijderd of geanonimiseerd.
7 Worden DPIA’s structureel uitgevoerd en mitigerende maatregelen doorgevoerd door de proceseigenaren?
p
Nee
8 Worden persoonsgegevens die niet meer nodig zijn tijdig verwijderd of geanonimiseerd? 9 Zijn doorgiftes van persoonsgegevens naar derde landen en internationale organisaties en de bijbehorende transfermechanismen bekend respectievelijk getoetst?
p
Nee
p
Nee
o
Nee
2.6
Doorgiftes van persoonsgegevens naar buiten de EER zijn bekend.
2.7
Sancties in wetgeving en contracten en contractuele eisen over de bescherming van persoonsgegevens zijn bekend.
10 Zijn sancties in wetgeving en contracten en contractuele eisen over de bescherming van persoonsgegevens bekend?
3.1
De gemeente heeft een FG aangesteld en goed gepositioneerd.
11 Zijn de taken van de FG duidelijk omschreven, o de rol goed gepositioneerd in de organisatie en worden de adviezen van de FG opgevolgd, althans gemotiveerd beantwoord?
Ja
3.2
Er is – naast de FG - ruime (juridische) kennis en ervaring aanwezig over privacy en relevante wet- en regelgeving.
12 Is er een effectief privacyteam en wordt nauw o samengewerkt met de CISO?
Deels
3.4
De Ondernemingsraad (OR) wordt 13 Wordt OR actief geïnformeerd en betrokken geinformeerd en betrokken wanneer het gaat bij onderwerpen over de bescherming van om de bescherming van persoonsgegevens persoonsgegevens van medewerkers? van medewerkers.
o
Ja
4 Rechten van betrokkenen
3.5
Er zijn voldoende middelen beschikbaar om privacybescherming te bevorderen in kennis, houding en gedrag van medewerkers in de organisatie.
14 Vinden er organisatiebrede trainingen plaats p voor medewerkers op het gebied van privacybewustzijn, inclusief het management?
Deels
4.1
De verwerkingsverantwoordelijke heeft processen ingericht om de rechten van betrokkenen te faciliteren.
15 Zijn de processen omtrent de rechten van betrokkenen en het recht van bezwaar vastgesteld, makkelijk te begrijpen en gedocumenteerd?
p
Deels
4.2
De gemeente heeft inzichtelijk welke 16 Is organisatiebreed bekend wanneer besluiten zij neemt op basis van automatisch geautomatiseerde besluitvorming wordt verwerkte persoonsgegevens. toegepast en worden daarbij passende Geautomatiseerde besluitvorming is omkleed privacywaarborgen getroffen? met passende waarborgen om de privacy van betrokkenen te beschermen.
p
Ja
4.3
Voorafgaand aan de verwerking worden betrokkenen actief, tijdig en adequaat geïnformeerd.
p
Deels
4.4
Er is een communicatieplan over privacy 18 Is er een organisatiebreed communicatieplan o gericht op een invulling te geven aan de AVGover privacy waarin structureel rekening transparantieverplichtingen. wordt gehouden met transparantieverplichtingen? Op de gemeentelijke website staat een 19 Zijn de privacy- en cookieverklaring actueel en p privacy- en cookieverklaring met informatie geven ze gemeentebreed inzicht in over verwerkingen van persoonsgegevens verwerkingen van persoonsgegevens door de door de gemeente. gemeente?
Nee
Verdergaande mogelijkheden om invulling te geven aan de rechten van betrokkenen worden toegepast.
Deels
4.5
4.6
17 Worden betrokkenen tijdig en adequaat geïnformeerd over verwerkingen van hun persoonsgegevens volgens de transparantieverplichtingen?
20 Worden verdergaande mogelijkheden toegepast om invulling te geven aan de rechten van betrokkenen?
p
Ja
5 Samenwerking
6 Beveiliging
5.1
De organisatie heeft inzichtelijk welke AVGrol externe partijen innemen en er worden afspraken gemaakt conform de AVG.
21 Is organisatiebreed inzichtelijk welke AVGp rollen externe partijen innemen en wordt een uniform toetsingskader gebruikt om deze rollen te bepalen?
Deels
5.2
Eenmalige gegevensverstrekkingen worden getoetst aan de relevante wet- en regelgeving.
22 Worden eenmalige gegevensverstrekkingen van tevoren getoetst aan relevante privacywet- en regelgeving?
p
Nee
6.1
Verwerkingen worden zodanig ingericht dat rekening wordt gehouden met de beginselen van Privacy by Design (PbD) en privacy by default. De gemeente heeft inzicht in (potentiële) privacy-incidenten, zoals datalekken.
23 Wordt rekening gehouden met PbD en privacy by default bij (potentieel) nieuwe verwerkingen?
p
Nee
24 Is incidentbeheer ingericht met o gedocumenteerde procedures voor het behandelen van privacy-incidenten en weten medewerkers hoe ze op een incident moeten reageren?
Ja
6.3
Het IB-beleid en de IB-procedures houden rekening met privacyspecifieke beveiligingseisen. Deze beveiligingseisen worden geïmplementeerd.
25 Houdt het IB-beleid en de IB-procedures rekening met privacyspecifieke beveiligingseisen?
Ja
7.1
Periodiek worden gegevensverwerkingen geëvalueerd en is de naleving van de AVG aangetoond
26 Is toezicht een structureel onderdeel van de o processen op afdelings- en organisatieniveau?
Deels
7.2
Er is een actueel overzicht van de verwerkingen met een hoog privacy risico en de uitgevoerde DPIA’s.
27 Is er organisatiebreed inzicht in verwerkingen o met (hoge) privacyrisico's en uitgevoerde DPIA’s?
Nee
7.3
Periodiek worden interne en externe partijen op de hoogte gehouden over de omgang met persoonsgegevens binnen de gemeente.
28 Worden interne en externe partijen structureel geïnformeerd over de omgang met hun persoonsgegevens binnen de
Nee
6.2
7 Verantwoording
o
o
7.4
Periodiek wordt een GAP-analyse uitgevoerd om inzichtelijk te maken waar de organisatie staat op het gebied van het beschermen van persoonsgegevens.
gemeente? 29 Worden GAP-analyses op de AVG organisatiebreed periodiek uitgevoerd, bijvoorbeeld aan de hand van dit borgingsproduct?
o
Ja
8.2.
Verwerkingsregister
Verwezen wordt naar doc. nr. 2022-003855 voor het verwerkingsregister tot 1-1-2023. Voor het jaar 2023 is doc. nr. 2023-003932 gemaakt. Het verwerkingsregister wordt bijgehouden door de griffie. Jaarlijks toetst de FG het register. Mutaties moeten door het jaar heen worden gemeld aan de FG.
8.3.
Register DPIA 2022
Er was in 2022 nog geen DPIA-register voor de Raad. Voor 2023 bestaat deze mogelijk uit: Thema Cameratoezicht raadsvergaderingen Raadsinfomatiesysteem
Toelichting Het gebruik van camera's om de inbreng van personen tijdens een openbare raadsvergadering op te nemen en te publiceren moet veilig en met voldoende waarborgen plaatsvinden Het verwerken van persoonsgegevens in agenda's, verslagen en brieven moet veilig en met voldoende waarborgen plaatsvinden.
Rapportage bescherming persoonsgegevens Raad 2022
D19-00037417
Gereed op Eerst quick-scan uitvoeren Eerst Quick-scan uitvoeren
17
Planning review
8.4.
Bijlage overzicht datalekken 2022
Datum
Omschrijving
Aard van het lek
Personengroep
Soort gegevens
(mogelijke) gevolgen breuk
Maatregelen nav lek
Geen
Rapportage bescherming persoonsgegevens Raad 2022
D19-00037418
1 8
Gemeld ja/nee