01.a Jaarverslag FG 2023 def.pdf

JAARVERSLAG 2023 FUNCTIONARIS GEGEVENSBESCHERMING Gemeente Woudenberg

Inhoudsopgave 1. Inleiding en terugblik ........................................................................................................................... 3 2. Aandachtspunten uitvoering AVG ....................................................................................................... 3 3. Rol en taken func onaris voor de gegevensbescherming (FG) ........................................................... 4 4. Uitvoering taken FG ............................................................................................................................. 5 5. Bewustwordingsac viteiten ................................................................................................................ 6 6. Datalekken ........................................................................................................................................... 6 7. Coördina e indienen verzoeken door betrokkenen............................................................................ 7 8. Samenwerking CISO............................................................................................................................. 7 9. Conclusies en aanbevelingen .............................................................................................................. 7 10.

Vooruitblik/speerpunten werkzaamheden FG 2024 ......................................................................... 8

1. Inleiding en terugblik Het jaar 2023 is voor de organisa e een jaar geweest waarin hard is gewerkt aan de bestendiging van de forma e. Veel vacatures zijn inmiddels ingevuld. Hybride werken is inmiddels de norm geworden, waar de huidige organisa evorm ook op is ingericht. Er wordt gewerkt met laptops die uitgegeven en beheerd worden door de eigen organisa e. Eind 2023 is ook de telefonie aangepast aan de huidige prak jk. Door MS Teams ook in te ze<en als telefooncentrale is een stap gemaakt naar een verbeterde bereikbaarheid en tegelijker jd meer regie van werknemers over de jden waarop deze bereikbaar zijn voor telefoontjes. In 2023 is met name de focus gelegd op enkele bijzondere we<en (WOO/WPG) die een duidelijke link hebben met de AVG. Er is geïnvesteerd in het aanstellen van een aparte WOO-func onaris zodat er in beginsel door de FG meer jd over blij@ om te besteden aan de onaAankelijke toezichtstaak. Er is samen met een aantal collega’s van Coöpera e De Kleine Schans (uitvoeringsorganisa e Sociaal Domein) deelgenomen aan een cursus AVG/Privacy in het sociaal domein. In het kader van privacy- en informa ebeveiliging awareness wordt iedere week een mail verstuurd naar alle medewerkers met een stelling over een privacy- of informa ebeveiligingsvraag.

De Func onaris Gegevensbescherming hee@ samen met de CISO en collega’s veiligheid bijdragen aan de heraudit in het kader van de WPG. De resultaten van deze hercontrole laten een beeld zien van een organisa e die, binnen de kaders van beschikbare capaciteit, serieus bezig is met informa eveiligheid en de bescherming van persoonsgegevens. In bijgevoegd jaarverslag vindt u op hoofdlijnen de weerslag van de verrich<e werkzaamheden, de bevindingen over het afgelopen jaar en aanbevelingen voor het komende jaar.

2. Aandachtspunten uitvoering AVG Bij de aanschaf van nieuwe applica es wordt getoetst of de leverancier voldoet aan de benodigde beveiligingsvereisten. Dit is echter niet zozeer AVG-gerelateerd, maar meer vanuit richtlijnen zoals de BIO of andere wetgeving over de technische beveiligingseisen van cloudapplica es. Recent uitgevoerde audits op bijvoorbeeld de SUWI-applica e en de applica es van burgerzaken laten zien dat met name procesbeschrijvingen (het niet alleen kunnen vertellen dat een maatregel getroffen is, maar dit ook aantoonbaar op papier hebben staan) nog verbeterd moeten worden. Waar voorheen veel meer de focus lag op het bestaan van applica es en het checken of die voldoen aan de vereisten (Third Party Memorandum) volstaat dit niet meer. We voldoen weliswaar aan de minimale normen om de audits te halen, maar willen in 2024 pro ac ever handelen. De basis daarvoor zijn de aanbevelingen die gegeven zijn in de verschillende auditrapporten. Het afgelopen jaar zijn er vier AVG-verzoeken binnen gekomen. De verzoeken die binnen zijn gekomen zijn vooral inzagevragen op welke wijze wij persoonsgegevens wel/niet registreren. Binnen de daarvoor geldende termijnen worden AVG-verzoeken afgehandeld. Tegen de afgehandelde verzoeken is geen bezwaar gemaakt. De vraag of de organisa e voor een bepaald doel (b.v.

onderzoek) (persoons)gegevens mag verzamelen en verwerken komt geregeld terug. Op zich is dit posi ef omdat dit aangee@ dat medewerkers zichzelf in elk geval al die vraag stellen. Met name binnen het sociaal domein speelt deze vraag. In goede samenwerking met de juridisch kwaliteitsmedewerker van Coöpera e De Kleine Schans wordt hier

door de FG antwoord op gegeven. Dit is nu nog casueel, het is de bedoeling om hier in 2024 een richtlijn voor op te stellen die meer rich ng gee@ voor medewerkers die met deze vraag worstelen. Onverkort blij@ het binnen de organisa e wel nodig aandacht te besteden aan het alleen verzamelen en verwerken van persoonsgegevens voor van te voren bestemde doelen. En dit dan alleen voor zolang als dat voor dat doel nodig is. 2a. Sturing en monitoring Doordat de organisa e medio 2023 op papier gekanteld is van een (deels) zelforganiserende organisa e naar een hybride vorm (vakteams ingedeeld in 3 clusters aangestuurd door een manager) hee@ de focus gelegen op de inrich ng van die teams. De medewerkers zelf zijn in de eerste plaats verantwoordelijk voor de zorgvuldige verwerking van persoonsgegevens die binnen hun taakveld plaats vinden. De Func onaris Gegevensbescherming (FG) houdt toezicht op de toepassing en naleving van de Algemene Verordening Gegevensbescherming. (AVG) Bij de uitvoering van deze werkzaamheden bekleedt de FG een onaAankelijke posi e en ontvangt deze geen instruc es over de uitvoering van het bijbehorende takenpakket.

3. Rol en taken func,onaris voor de gegevensbescherming (FG) Naast func onaris voor de gegevensbescherming (FG) voor de gemeente Woudenberg is ondergetekende ook de FG voor Coöpera e De Kleine Schans. Voor beide func es staat ondergetekende ingeschreven bij de toezichthoudende autoriteit, de Autoriteit Persoonsgegevens. De rol en taken van de FG zijn in het afgelopen jaar niet veranderd. 3a. Rol en taken FG Het takenpakket van de FG omvat onverminderd de volgende onderdelen: • • • • • • •

Het houden van toezicht op de toepassing en naleving van de AVG en het gemeentelijk beleid betreffende de bescherming van persoonsgegevens. De verantwoordelijkheid voor de opstelling en actualisering van het register van gegevensverwerkingen. Het verstrekken van advies, informa e en voorlich ng over de verwerking van persoonsgegevens aan de ambtelijke organisa e en het bestuur. Het fungeren als in- en extern aanspreekpunt over de AVG en de bescherming van de persoonlijke levenssfeer bij vragen, klachten en ingediende verzoeken met daarbij de coördina e van de jdige aAandeling hiervan. Het optreden als de gemeentelijk contactpersoon voor de Autoriteit Persoonsgegevens. Het houden van toezicht op en adviseren over de uitvoering van de gegevensbescherming effectbeoordelingen (=Privacy impact analyses). Rapporteren aan direc e en college over het gevoerde beleid, de toepassing en naleving van de AVG en opgetreden incidenten met betrekking tot gegevensverwerkingen.

4. Uitvoering taken FG 4a. Toezicht op toepassing en naleving AVG en het gemeentelijk beleid betreffende de bescherming van persoonsgegevens In een kleine organisa e als die van Woudenberg is de rol van FG veelal uitvoerend van aard. De FG houdt toezicht door middel van het meewerken aan verschillende audits, het aAandelen van AVGverzoeken en het meedenken en adviseren over privacy kwes es. Een verbetering die verder ontwikkeld moet worden is het meer “vooraf” in het proces komen van de CISO/FG. Bij de aanschaf van applica es is het niet standaard dat er ook gekeken wordt vanuit de AVG of er voldaan wordt aan de vereisten. Veeleer zijn andere aspecten leidend zoals de vraag of de applica e past binnen het gewenst applica elandschap. Een toets op de inhoud vooraf (DPIA) is nog niet gebruikelijk. Hier gaat in 2024 nog een verbeterslag op gemaakt worden. 4b. Register gegevensverwerkingen Het huidige verwerkingsregister dateert uit 2018. Sindsdien is deze niet meer aangepast. In 2023 is bij een audit van de WPG geconstateerd dat er geen apart WPG-verwerkingsregister is. Deze is alsnog opgesteld. Voor het huidige verwerkingsregister geldt dat deze aan een herziening toe is. In de prak jk volstaat de huidige versie nog. Werkprocessen zijn echter aan verandering onderhevig, zodat een herziening van dit register voor 2024 op de planning staat. 4c.

Verwerkersovereenkomsten Gemeenten zijn op basis van de AVG we<elijk verplicht een verwerkersovereenkomst (VWO) af te sluiten met alle opdrachtnemers die namens hen persoonsgegevens verwerken. Tijdens de algemene ledenvergadering van de Vereniging van Nederlandse Gemeenten werd op 5 juni 2019 besloten om de door de Informa ebeveiligingsdienst (IBD) opgestelde standaard verwerkersovereenkomst per 1 januari 2020 verbindend te verklaren voor alle Nederlandse gemeenten. Met de vaststelling van deze standaard VWO hebben alle gemeenten gekozen voor uniforme afspraken over het verwerken van persoonsgegevens. Deze standaard is in overleg met landelijke leveranciers ontwikkeld door én voor gemeenten. Met deze overeenkomst wordt uitgesloten dat de andere par j de persoonsgegevens voor eigen doelen mag verwerken. In de verwerkingsovereenkomst worden onderwerp, duur, aard en doel van de verwerking vastgelegd met daarbij de soort persoonsgegevens en de getroffen technische en organisatorische maatregelen om de verwerkingen veilig te stellen en de persoonsgegevens en privacy van betrokkenen te beschermen. Het afgelopen jaar zijn een aantal verwerkersovereenkomsten voorgelegd aan de FG ter beoordeling. Registra e van de aantallen die worden voorgelegd, worden niet bijgehouden. Het aantal jaarlijks afgesloten verwerkersovereenkomsten wisselt sterk.

Veelal zijn het leveranciers of externe partners die een verwerkersovereenkomst voorbereiden zodra er een dienst wordt afgenomen. De FG checkt of de verwerkersovereenkomst voldoet aan de standaard die de IBD hee@ opgesteld. Afwijken is mogelijk indien beide par jen hiermee in kunnen stemmen. De FG is verantwoordelijk voor het blijvend verzorgen van awareness bij de medewerkers. Er is een procesbeschrijving aanwezig wanneer er wel/niet een verwerkersovereenkomst opgesteld moet worden. 4d. Advisering, informa&everstrekking en voorlich&ng over AVG In een kleine organisa e als Woudenberg met veel éénpi<ers is goed bekend wie de FG is waarbij advies kan worden gevraagd. Adviesaanvragen over de verwerking van persoonsgegevens komen van alle beleidsterreinen.

De FG hee@ ook een zelfstandige rol als het gaat om het aAandelen van AVG-verzoeken. Zoals eerder genoemd is aantal AVG-verzoeken (4) in 2023 zeer gering geweest. We zien daarentegen dat het aantal WOO-verzoeken toeneemt waarbij eveneens de AVG toegepast moet worden (anonimiseren van documenten). Met het aantrekken van een aparte WOO-func onaris en het aanschaffen van een nieuwe anonimiseringstool is er dit jaar een stap voorwaarts gezet. Waar voor wat betre@ de AVG stappen te maken zijn, dat is het uitvoeren van DPIA’s. Voor applica es met persoonsgegevens die in beheer zijn bij externe samenwerkingspartners (b.v. een centrumgemeente) wordt vaak een DPIA uitgevoerd door de verwerker. Hier kan meer regie op worden uitgevoerd door de eigen organisa e. Er is een privacybeleid dat dit jaar is aangepast door ook de WPG als een apart onderdeel op te nemen. Het huidige beleid dateert uit 2018 en alhoewel deze nog grotendeels actueel is, staan de ontwikkelingen niet s l. Een update van dit beleid is dan ook wenselijk en zal in 2024 voor besluitvorming aan het college worden voorgelegd.

5. Bewustwordingsac,viteiten De verschuiving van fysiek aanwezig zijn naar een organisa e die hybride werkt maakte dat de aandacht eerst gelegd is op het creëren van een omgeving die borgt dat er informa eveilig gewerkt kan worden. Voor veilig mailen is de tool Zivver in gebruik. De so@ware zorgt er voor dat deze applica e vanzelf wordt ingeschakeld wanneer er gevoelige gegevens in een mail zi<en. Medewerkers kunnen dit handma g weer uitschakelen. In hoeverre hiervan gebruik wordt gemaakt, is onduidelijk. Door de wekelijkse privacy- en informa ebeveilingsvraag die alle medewerkers krijgen in hun mailbox is aan bewustwording gedaan. Ieder jaar wordt er minimaal 1 phishingmail gestuurd. Ook krijgen alle nieuwe vaste medewerkers een verplichte online training waarin zowel privacy als informa ebeveiliging worden behandeld.

6. Datalekken Sinds 1 januari 2016 is de Wet meldplicht datalekken in werking. Een datalek is een inbreuk op de beveiliging waarbij een kans bestaat dat deze inbreuk erns ge gevolgen hee@ voor de bescherming van de persoonsgegevens. Als er sprake is van een inbreuk op de beveiliging die per ongeluk of op onrechtma ge wijze leidt tot de vernie ging, de wijziging of de ongeoorloofde verstrekking van persoonsgegevens dan wel ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte persoonsgegevens en de persoonlijke levenssfeer van betrokkenen hierdoor is geschaad, moet een dergelijk datalek binnen 72 uur na ontdekking hiervan worden gemeld aan de toezichthoudend autoriteit, de Autoriteit Persoonsgegevens. De FG is verantwoordelijk voor de melding aan de Autoriteit Persoonsgegevens. Bij alle andere datalekken volstaat de melding aan FG. Er is een apart e-mailadres gegevensbescherming@woudenberg.nl waarop inbreuken op de beveiliging gemeld kunnen worden. Dit kan gaan om datalekken, of een melding van vermoeden van een datalek. De CISO/FG hebben vervolgens afstemming over de melding. AAankelijk van de inbreuk en de getroffen/nog te treffen maatregelen bepalen zij of er een (voorlopige) melding van een datalek bij de Autoriteit Persoonsgegevens gedaan moet worden.

Er is een procedure incidenten en datalekken vastgesteld die beschrij@ op welke wijze hiermee wordt omgegaan.

Wanneer op basis van de melding wordt geconstateerd dat sprake is van een datalek, documenteert de FG de gemelde incidenten en worden deze met het oog op de op grond van de AVG bestaande verantwoordingsplicht opgenomen in het interne 'register datalekken’ In die situa es waarbij een datalek ontstaat bij een door de gemeente voor de uitvoering van bepaalde werkzaamheden ingeschakelde externe organisa e die als verwerker van persoonsgegevens optreedt, dient deze organisa e een beveiligingsincident zo snel mogelijk te melden aan de betreffende verantwoordelijke binnen de gemeente. Voor de aAandeling hiervan geldt eenzelfde procedure als bij de intern ontstane beveiligingsincidenten/datalekken. De betreffende organisa e dient het datalek zelf te melden aan de Autoriteit Persoonsgegevens. 6a. Register datalekken Sinds 2018 wordt een register datalekken bijgehouden. In het register staat een beschrijving van de inbreuk, de mogelijke gevolgen hiervan, de getroffen corrigerende maatregelen en of hiervan een melding is gedaan aan de Autoriteit Persoonsgegevens en betrokkenen. In 2023 werden 6 (mogelijke) datalekken gemeld. Er zijn geen datalekken gemeld aan de Autoriteit Persoonsgegevens, omdat er of bij nader inzien toch geen sprake was van een datalek, of omdat er met de betrokkenen was afgestemd en de melding adequaat was afgehandeld.

7. Coördina,e indienen verzoeken door betrokkenen De FG is het eerste aanspreekpunt bij vragen of klachten en de indiening van verzoeken door betrokkenen over de verwerking van hun persoonsgegevens en de bescherming van de persoonlijke levenssfeer/privacy (conform de ar kelen 15 tot en met 18 en 20 + 21 van de AVG). Bij ontvangst van dergelijke verzoeken beoordeelt de FG welk soort verzoek het betre@, of betrokkene zich gelegi meerd hee@ en diens iden teit kon worden vastgesteld en of aan het verzoek voldaan kan worden. De FG is ook degene die een beslissing op het AVG-verzoek neemt.

8. Samenwerking CISO De CISO en FG werken nauw samen op het gebied van informa eveiligheid. De CISO is verantwoordelijk voor het toezicht op het technisch waarborgen van informa eveiligheid, terwijl de FG meer zit op het toezicht of de organisa e handelt overeenkoms g de AVG. Bij meldingen van (mogelijke) inbreuken op de beveiliging wordt samen overlegd welke vervolgac es noodzakelijk zijn. De CISO en FG zijn beide betrokken bij de uitvoering jaarlijkse audits (SUWI) en self assessments (ENSIA) waarbij ook de AVG een onderdeel is van de vragen die beantwoord moeten worden. Periodiek vindt afstemming plaats over de ac es die in het kader van onder meer bewustwording en verantwoording uitgevoerd moeten worden.

9. Conclusies en aanbevelingen Het privacy- en informa eveiligheidsbewustzijn binnen de organisa e is het afgelopen jaar op een acceptabel niveau gebleven. Het werken met persoonsgegevens is onlosmakelijk verbonden aan het werken voor een overheidsorganisa e. Dit brengt een extra zware verantwoordelijkheid met zich mee. De medewerkers zijn bewust van de noodzaak van bescherming van persoonsgegevens en weten de FG te vinden bij vragen over verwerking van persoonsgegevens.

De organisa e voldoet aan de eisen die de AVG stelt. Tegelijker jd blijven de ontwikkelingen groot op het gebied van technologie, en daarmee gepaard gaande privacy vraagstukken. Het aantrekken van nieuwe medewerkers die nog geen overheidservaring hebben vraagt om een doordenking op welke wijze de aandacht voor privacy vastgehouden wordt. En om uitleg welke privacyregels en procedures er zijn, waar deze te vinden zijn, en hoe je er naar moet handelen. De inbreuken op de beveiliging die zijn gemeld laten geen structureel patroon zien, maar zijn op zichzelf staande incidenten geweest. Per ongeluk een mail sturen naar een verkeerde afzender in de CC, of een brief die verkeerd bezorgd en geopend wordt, zijn weliswaar inbreuken op de beveiliging van persoonsgegevens, maar wel eenmaal en verklaarbaar geweest. Er is geen 100% zekerheid om datalekken te voorkomen. Wel is door preven e (voorlich ng en weten waar je moet zijn voor privacy vragen) het eenvoudiger om snel maatregelen te treffen als een datalek zich voordoet. Op het aantal AVG-verzoeken dat wordt ingediend kan geen invloed worden uitgeoefend. Ook hiervoor geldt dat op dit moment het aantal verzoeken zeer gering is, en er geen patroon in deze verzoeken te zien is.

10. Vooruitblik/speerpunten werkzaamheden FG 2024 Naast de toezichthoudende, adviserende, informerende en voorlichtende rol zijn de speerpunten voor 2024: • • • • •

Actualisa e van het verwerkingenregister Herziening van het privacybeleid Het inventariseren voor welke voor (nieuwe) werkprocessen waarin sprake is van risicovolle verwerkingen van persoonsgegevens het uitvoeren van een DPIA nodig is. Uitvoeren ac es heraudit WPG Nieuwe bewustwordingsac es voor medewerkers opze<en

Woudenberg, 9 januari 2024