Jaarverslag 2025 Functionaris Gegevensbescherming.pdf

JAARVERSLAG 2025 FUNCTIONARIS GEGEVENSBESCHERMING Gemeente Woudenberg

Inhoudsopgave Inhoudsopgave .................................................................................................................................... 2 1. Inleiding en terugblik ........................................................................................................................... 3 2. Aandachtspunten uitvoering AVG ....................................................................................................... 4 3. Rol en taken func onaris voor de gegevensbescherming (FG) ........................................................... 5 4. Uitvoering taken FG ............................................................................................................................. 6 5. Bewustwordingsac viteiten ................................................................................................................ 7 6. Datalekken ........................................................................................................................................... 7 7. Coördina e indienen verzoeken door betrokkenen............................................................................ 8 8. Samenwerking CISO............................................................................................................................. 8 9.

Conclusies en aanbevelingen .............................................................................................................. 8 10. Vooruitblik/speerpunten werkzaamheden FG 2026 ......................................................................... 9

1. Inleiding en terugblik De bescherming van persoonsgegevens vraagt voortdurende aandacht. De complexiteit van nieuwe (ICT)-wetgeving en bestaande wetgeving (AVG/WPG) in combina e met een compacte organisa e zorgt voor con nue uitdagingen om te kunnen voldoen aan de we elijke eisen. Met het jaarverslag van de Func onaris Gegevensbescherming (FG) van de gemeente Woudenberg wordt beoogd verantwoording af te leggen van de taak van de FG zoals vastgelegd in de Algemene Verordening Gegevensbescherming (art. 39 AVG) en daarmee een beeld te scheppen over waar de gemeente Woudenberg staat wanneer het gaat om het verwerken van persoonsgegevens conform de AVG en de WPG. De belangrijkste taak van de FG is dat deze ona ankelijk toezicht en controle houdt op de toepassing en naleving van de Algemene verordening gegevensbescherming en de Wet poli egegevens door de gemeente als organisa e. Het jaar 2025 stond in het teken van het uitvoeren van de reguliere taken. Daarbij moet gelet op de geringe beschikbare capaciteit voortdurend worden gekeken naar “wat moet en “wat kan”. Het ‘privacy-team’ van de gemeente Woudenberg is als volgt ingevuld:   

Chief Informa on & Security Officer (CISO) Func onaris Gegevensbescherming (FG) Privacy Officer (PO)

De rol van CISO is met name zorg voor het waarborgen van de gegevensbeveiliging. Deze rol is ingebed binnen de func e van de Informa emanager. De rol van de FG is die van intern toezichthouder en de advisering op het gebied van privacy. Dit houdt in dat de FG meedenkt met privacyvraagstukken, er geregeld afstemmingsoverleg is met de CISO, mogelijke datalekken worden beoordeeld, en er ac ef wordt bijgedragen aan verplichte audits (SUWI, WPG) waarbij een taak voor de FG is weggelegd. Ook deze rol is ingebed binnen een bestaande func e. (bestuurlijk-juridisch beleidsadviseur) Het aanstellen van een FG is verplicht voor organisa es die verwerkingsverantwoordelijke zijn. De aanstelling van een PO is niet verplicht. Een PO is met name belast met het actualiseren en bewaken van het privacybeleid. Allerlei uitvoerende taken zoals het fungeren als aanspreekpunt voor collega’s, het leveren van een bijdrage aan bewustwording onder medewerkers, opstellen en bijhouden van verwerkersovereenkomsten met externe par jen, actualiseren van het verwerkingsregister, het uitvoeren van Data Protec on Impact Assessment analyses (DPIA), en coördina e van het proces rondom datalekken zijn veelal onderdeel van diens taken. Een DPIA is een instrument om vooraf de privacy risico’s van een gegevensverwerking in kaart te brengen.

Daarin beschrijf je welke mogelijke risico’s zich kunnen voordoen bij de verwerking van gegevens die onder de AVG vallen, en welke maatregelen worden getroffen om die risico’s te beperken. De gemeente blij al jd zelf verantwoordelijk voor de gegevens in haar eigen applica es, ook al worden deze gehost door een externe par j. Omdat er geprioriteerd moet worden in het uitvoeren van werkzaamheden worden er alleen DPIA’s uitgevoerd wanneer wij zelf nieuwe applica es aanschaffen met een hoog privacy risico. Dat wil zeggen dat er veel persoonsgegevens in worden verwerkt. Wanneer er sprake is van het verwerken van gegevens door een derde par j, die niet zelfstandig verwerkingsverantwoordelijk is, dan wordt daarmee een verwerkersovereenkomst afgesloten.

In de organisa e van Woudenberg zijn de rollen van FG/PO met elkaar gecombineerd. Dit is des jds een bewuste keuze geweest omdat de organisa e te klein is om de rollen func oneel van elkaar te scheiden. We zien daarbij de prak jk complexer worden. Van de FG wordt steeds meer verwacht dat deze ook bijdraagt aan het leveren van een bijdrage op regionaal niveau. Bijvoorbeeld wanneer er privacyvraagstukken zijn bij gemeenschappelijke regelingen waarin de gemeente Woudenberg par cipeert. Voor 2026 is het streven om de privacy taken binnen de organisa e anders te gaan beleggen. Dit om meer ruimte te geven voor doorontwikkeling. Daarbij zal ook gekeken moeten worden naar de func escheiding tussen FG en PO. De vraag in hoeverre beide rollen formeel belegd kunnen blijven bij één medewerker is daarbij een gesprekspunt.

2. Aandachtspunten uitvoering AVG Het afgelopen jaar is er 1 AVG-verzoek binnen gekomen. Dit lijkt weinig maar gee een beeld dat enige toelich ng behoe . De AVG is in werking sinds 2018. Daarnaast is sinds 2021 de WOO(Wet Open Overheid) van kracht. In de prak jk zien we een verschuiving in de adressering van informa everzoeken. Inwoners en onderzoekers ze en meer het middel van de WOO in dan van de AVG. In plaats van inzage op grond van de AVG wordt veelal met een WOO-verzoek gevraagd om documenten te openbaren. Bij AVG-verzoeken gaat het meer om de vraag op welke manier de gemeente persoonsgegevens hee verwerkt. Er zijn geen informa everzoeken binnen gekomen op grond van de Wet poli egegevens. (WPG) Sinds 2021 is er een strikt auditregime van kracht op de bescherming van persoonsgegevens die verkregen zijn op basis van de Wet poli egegevens. (WPG) In 2025 is zowel een interne audit (2024) als externe audit (2021-2024) uitgevoerd op de WPG. Hierover wordt momenteel een auditrapportage opgesteld. Deze zal vervolgens worden aangeboden bij het college en in afschri worden verzonden naar de Autoriteit Persoonsgegevens. (we elijke verplich ng) Voor de WPG is in 2025 beleid vastgesteld. Dit beleid hee geen invloed meer op de periode die is geauditeerd (2024) maar is wel een gerealiseerde verbetering die meetelt voor de nog uit te voeren audit over 2025.

In 2026 zal er een nieuwe interne audit volgen over de WPG. Niet uit te sluiten valt dat de bevindingen over 2024 zullen leiden tot een verplich ng om een verbeterplan op te stellen. Hierover zal dan vervolgens ook nog een hercontrole plaats moeten vinden door een externe auditor. Het bovenstaande illustreert hoe las g het is voor kleinere organisa es om te voldoen aan complexe wetgeving (AVG/WOO) en wetgeving waarvoor strikte normenkaders gesteld zijn om gegevens te mogen verwerken. (WPG) Alle gemeente moeten voldoen aan dezelfde eisen, echter de beschikbare capaciteit om daarbij niet alleen aan het minimale te voldoen, maar ook nog te verbeteren, verschilt aanzienlijk bij een kleine gemeente als Woudenberg ten opzichte van een grotere gemeente.

2a. Sturing en monitoring De medewerkers zelf zijn in de eerste plaats verantwoordelijk voor de zorgvuldige verwerking van persoonsgegevens die binnen hun taakveld plaats vinden. De Func onaris Gegevensbescherming (FG) houdt toezicht op de toepassing en naleving van de Algemene Verordening Gegevensbescherming. (AVG) Bij de uitvoering van deze werkzaamheden bekleedt de FG een ona ankelijke posi e en ontvangt deze geen instruc es over de uitvoering van het bijbehorende takenpakket.

3. Rol en taken func onaris voor de gegevensbescherming (FG) Naast func onaris voor de gegevensbescherming (FG) voor de gemeente Woudenberg is de FG van Woudenberg ook formeel aangewezen als FG voor Coöpera e De Kleine Schans. Voor beide func es is de FG ingeschreven bij de toezichthoudende autoriteit, de Autoriteit Persoonsgegevens. De dubbelrol om FG te zijn voor zowel de gemeente als Coöpera e is niet ideaal. De conclusie is daarentegen wel dat dit in de prak jk geen problemen oplevert. Bij datalekken in het Sociaal Domein is het pre g dat de lijnen tussen gemeente en Coöpera e kort zijn, aangezien de bestuurlijke verantwoordelijkheid bij de gemeente ligt als verwerkingsverantwoordelijke. Het meest wenselijk zou uiteraard zijn als de Coöpera e een eigen FG zou aanstellen. Temeer daar er geen ruimte is om specifiek voor de Coöpera e nog apart toezicht te houden. Zij li en vooralsnog mee met het beleid dat de gemeente ontwikkelt. 3a. Rol en taken FG Het takenpakket van de FG omvat onverminderd de volgende onderdelen:       

Het houden van toezicht op de toepassing en naleving van de AVG en het gemeentelijk beleid betreffende de bescherming van persoonsgegevens. De verantwoordelijkheid voor de opstelling en actualisering van het register van gegevensverwerkingen. Het verstrekken van advies, informa e en voorlich ng over de verwerking van persoonsgegevens aan de ambtelijke organisa e en het bestuur. Het fungeren als in- en extern aanspreekpunt over de AVG en de bescherming van de persoonlijke levenssfeer bij vragen, klachten en ingediende verzoeken met daarbij de coördina e van de jdige a andeling hiervan. Het optreden als de gemeentelijk contactpersoon voor de Autoriteit Persoonsgegevens. Het houden van toezicht op en adviseren over de uitvoering van de gegevensbescherming effectbeoordelingen (=Privacy impact analyses). Rapporteren aan direc e en college over het gevoerde beleid, de toepassing en naleving van de AVG en opgetreden incidenten met betrekking tot gegevensverwerkingen.

4. Uitvoering taken FG 4a. Toezicht op toepassing en naleving AVG en het gemeentelijk beleid betreffende de bescherming van persoonsgegevens In de voorgaande paragrafen is al beschreven dat in een kleine organisa e als die van Woudenberg de rollen van FG en PO feitelijk in elkaar overlopen. De FG is voor het college, de Autoriteit Persoonsgegevens en auditor het formele aanspreekpunt als het gaat om privacy. 4b. Register gegevensverwerkingen Het huidige verwerkingsregister dateert uit 2018. Sindsdien is deze niet meer aangepast. Voor het huidige verwerkingsregister geldt dat deze aan een herziening toe is. Hier zijn ook vanuit de WPG-audit vragen over gesteld. Voor 2026 zal dit als ac epunt worden opgenomen. 4c. Verwerkersovereenkomsten Gemeenten zijn op basis van de AVG we elijk verplicht een verwerkersovereenkomst (VWO) af te sluiten met alle opdrachtnemers die namens hen persoonsgegevens verwerken. Tijdens de algemene ledenvergadering van de Vereniging van Nederlandse Gemeenten werd op 5 juni 2019 besloten om de door de Informa ebeveiligingsdienst (IBD) opgestelde standaard verwerkersovereenkomst per 1 januari 2020 verbindend te verklaren voor alle Nederlandse gemeenten. Met de vaststelling van deze standaard VWO hebben alle gemeenten gekozen voor uniforme afspraken over het verwerken van persoonsgegevens.

Deze standaard is in overleg met landelijke leveranciers ontwikkeld door én voor gemeenten. Met deze overeenkomst wordt uitgesloten dat de andere par j de persoonsgegevens voor eigen doelen mag verwerken. In de verwerkingsovereenkomst worden onderwerp, duur, aard en doel van de verwerking vastgelegd met daarbij de soort persoonsgegevens en de getroffen technische en organisatorische maatregelen om de verwerkingen veilig te stellen en de persoonsgegevens en privacy van betrokkenen te beschermen. Het afgelopen jaar zijn een aantal verwerkersovereenkomsten voorgelegd aan de FG ter beoordeling. Veelal zijn het leveranciers of externe partners die een verwerkersovereenkomst voorbereiden zodra er een dienst wordt afgenomen. De FG checkt of de verwerkersovereenkomst voldoet aan de standaard die de IBD hee opgesteld. Afwijken is mogelijk indien beide par jen hiermee in kunnen stemmen. De FG is verantwoordelijk voor het blijvend verzorgen van awareness bij de medewerkers. Er is een procesbeschrijving aanwezig wanneer er wel/niet een verwerkersovereenkomst opgesteld moet worden. 4d. Advisering, informa everstrekking en voorlich ng over AVG In 2025 is door de FG geadviseerd over een scala aan onderwerpen. Zorgvuldig omgaan met persoonsgegevens beperkt zich niet tot een simpel ja/nee-antwoord op de vraag of iets kan of mag.

Het gaat veel meer om de vraag of medewerker zich bewust zijn van privacy aspecten die een rol spelen bij het vervullen van we elijke taken. We zien dat de toegang tot de CISO en FG laagdrempelig is, wat ervoor zorgt dat er snel antwoord gegeven kan worden op vragen. Het jdig betrekken van het privacy team kan vertraging verder in het proces voorkomen. Bij de aanschaf van nieuwe applica es trekken CISO en FG samen op. Op deze manier wordt zowel de (technische) beveiliging van data gewaarborgd evenals overige privacy aspecten. (b.v. het afsluiten van een verwerkersovereenkomst)

5. Bewustwordingsac viteiten Door de wekelijkse privacy- en informa ebeveiligingsvraag die alle medewerkers krijgen in hun mailbox is aan bewustwording gedaan. Ieder jaar wordt er minimaal 1 phishingmail gestuurd. Dat is voor het laatst in november 2025 gedaan. Het ging om een nep mail om persoonsgegevens ten behoeve van de personeelsadministra e bij te werken. Dat kon door op een link te klikken. Uit de resultaten bleek dat 23% van de medewerkers op de nep mail had geklikt. Daarvan had 8% ook inloggegevens ingevuld. Hier is dus ruimte voor verbetering. Tot slot krijgen ook alle nieuwe vaste medewerkers een verplichte online training waarin zowel privacy als informa ebeveiliging worden behandeld. De wijze waarop AVG bewustwordingsac viteiten worden uitgevoerd is aan de organisa e zelf. Voor wat betre de WPG ligt dit anders. De BOA’s zijn verplicht om geregeld bijscholing te volgen op het gebied van de WPG. Dit is ook vastgelegd in het in 2025 vastgestelde WPG-beleid. In 2026 zal er op worden toegezien dat deze bijscholing ook daadwerkelijk plaats vindt.

6. Datalekken Sinds 1 januari 2016 is de Wet meldplicht datalekken in werking. Een datalek is een inbreuk op de beveiliging waarbij een kans bestaat dat deze inbreuk erns ge gevolgen hee voor de bescherming van de persoonsgegevens. Als er sprake is van een inbreuk op de beveiliging die per ongeluk of op onrechtma ge wijze leidt tot de vernie ging, de wijziging of de ongeoorloofde verstrekking van persoonsgegevens dan wel ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte persoonsgegevens en de persoonlijke levenssfeer van betrokkenen hierdoor is geschaad, moet een dergelijk datalek binnen 72 uur na ontdekking hiervan worden gemeld aan de toezichthoudend autoriteit, de Autoriteit Persoonsgegevens. De FG is verantwoordelijk voor de melding aan de Autoriteit Persoonsgegevens. Bij alle andere datalekken volstaat de melding aan FG. Er is een apart e-mailadres gegevensbescherming@woudenberg.nl waarop inbreuken op de beveiliging gemeld kunnen worden. Dit kan gaan om datalekken, of een melding van vermoeden van een datalek. De CISO/FG hebben vervolgens afstemming over de melding. A ankelijk van de inbreuk en de getroffen/nog te treffen maatregelen bepalen zij of er een (voorlopige) melding van een datalek bij de Autoriteit Persoonsgegevens gedaan moet worden.

Er is een procedure incidenten en datalekken vastgesteld die beschrij op welke wijze hiermee wordt omgegaan. Wanneer op basis van de melding wordt geconstateerd dat sprake is van een datalek, documenteert de FG de gemelde incidenten en worden deze met het oog op de op grond van de AVG bestaande verantwoordingsplicht opgenomen in het interne 'register datalekken’ In die situa es waarbij een datalek ontstaat bij een door de gemeente voor de uitvoering van bepaalde werkzaamheden ingeschakelde externe organisa e die als verwerker van persoonsgegevens optreedt, dient deze organisa e een beveiligingsincident zo snel mogelijk te melden aan de betreffende verantwoordelijke binnen de gemeente. Voor de a andeling hiervan geldt eenzelfde procedure als bij de intern ontstane beveiligingsincidenten/datalekken. De betreffende organisa e dient het datalek zelf te melden aan de Autoriteit Persoonsgegevens. 6a. Register datalekken Sinds 2018 wordt een register datalekken bijgehouden. In het register staat een beschrijving van de inbreuk, de mogelijke gevolgen hiervan, de getroffen corrigerende maatregelen en of hiervan een melding is gedaan aan de Autoriteit Persoonsgegevens en betrokkenen. In 2025 zijn geen datalekken gemeld.

7. Coördina e indienen verzoeken door betrokkenen De FG is het eerste aanspreekpunt bij vragen of klachten en de indiening van verzoeken door betrokkenen over de verwerking van hun persoonsgegevens en de bescherming van de persoonlijke levenssfeer/privacy (conform de ar kelen 15 tot en met 18 en 20 + 21 van de AVG). Bij ontvangst van dergelijke verzoeken beoordeelt de FG welk soort verzoek het betre , of betrokkene zich gelegi meerd hee en diens iden teit kon worden vastgesteld en of aan het verzoek voldaan kan worden. De FG is ook degene die een beslissing op het AVG-verzoek neemt.

8. Samenwerking CISO De CISO en FG werken nauw samen op het gebied van informa eveiligheid. De CISO is verantwoordelijk voor het toezicht op het technisch waarborgen van informa eveiligheid, terwijl de FG meer zit op het toezicht of de organisa e handelt overeenkoms g de AVG. Bij meldingen van (mogelijke) inbreuken op de beveiliging wordt samen overlegd welke vervolgac es noodzakelijk zijn. De CISO en FG zijn beide betrokken bij de uitvoering jaarlijkse audits (SUWI) en self assessments (ENSIA) waarbij ook de AVG een onderdeel is van de vragen die beantwoord moeten worden. Periodiek vindt afstemming plaats over de ac es die in het kader van onder meer bewustwording en verantwoording uitgevoerd moeten worden.

9. Conclusies en aanbevelingen De aandacht voor privacy op zowel het gebied van gegevensbescherming als gegevensbeveiliging neemt steeds verder toe. Voor een kleine organisa e als Woudenberg betekent dit dat met de huidige capaciteit de we elijke taken (zoals de SUWI-audit en WPG-audit) kunnen worden ingevuld maar doorontwikkeling op het gebied van privacy las g is. Grotere gemeenten hebben meer capaciteit en kunnen daardoor ook de rollen van FG/PO apart invullen. Woudenberg kan dit niet, en dit wordt ook zichtbaar in de bijdrage die geleverd kan worden aan allerlei regionale overleggen. Telkens moet daarbij een keuze gemaakt worden tussen “wat moet” en waar nog ruimte is om nieuwe zaken op te pakken. De organisa e voldoet aan de eisen die de AVG stelt. Tegelijker jd blijven de ontwikkelingen groot op het gebied van technologie, en daarmee gepaard gaande privacy vraagstukken. De structurele bewustwordingsac viteiten kunnen nog verbeterd worden. Op het aantal AVG-verzoeken dat wordt ingediend kan geen invloed worden uitgeoefend. Het aantal verzoeken is zeer gering, en er is geen patroon in deze verzoeken te zien is.

10. Vooruitblik/speerpunten werkzaamheden FG 2026 Naast de toezichthoudende, adviserende, informerende en voorlichtende rol zijn de speerpunten voor 2026:   

Actualisa e van het verwerkingenregister Herziening van het privacybeleid Uitvoeren ac es interne audit WPG

Woudenberg, 2 december 2025