FG-verslag gemeente Zeist 2022-2023

DocuSign Envelope ID: 70662E25-066C-4EEE-AE0E-70EA9A7E5D87

FG-verslag 2022-2023 Aan: Van: Datum:

Het bestuur van de Gemeente Zeist De functionaris gegevensbescherming 22 mei 2023

Graag breng ik verslag uit van de naleving van de Algemene Verordening Gegevensbescherming door Gemeente Zeist. Ik doe dat voor het eerst sinds u mij vorig jaar tot FG hebt aangewezen. Nu ik de gemeente beter heb leren kennen en weet heb van beleid en maatregelen, beoordeel ik – in een rapportcijfer uitgedrukt – uw naleving van de AVG met een 7.

Gemeente Zeist herpakt zich op AVG-gebied (donkerblauwe ontwikkellijn). De lichtblauwe lijn geeft de trend weer bij andere organisaties waar PMP zicht op heeft. De groene lijn verbeeldt het kwaliteitsniveau van de AVG.

Die 7 is een verdienste. Ten opzichte van anderen doet u het goed. Tegelijkertijd bent u er nog niet. FG-advies ‘Naleving van de AVG’ houdt in dat het bestuur van Gemeente Zeist het kwaliteitsniveau van de AVG waarborgt en geen terugval vertoont. We bespraken dat de AVG niet de privacywet is die velen ervan maken, maar gaat over bescherming van publieke waarden en behoorlijk bestuur in het digitale tijdperk (AVG-rechtsbescherming). Landelijk illustreert de toeslagenaffaire het maatschappelijk belang. Maar ook (juist) op gemeentelijk niveau kunnen kleine fouten grote gevolgen hebben.

1/4

DocuSign Envelope ID: 70662E25-066C-4EEE-AE0E-70EA9A7E5D87

U staat op het punt om te besluiten over het waarborgen van AVG-rechtsbescherming. Een 8 of hoger ligt voor u daarom binnen handbereik. 1. Stel het visie- en borgingsdocument Een goed leven in Zeist – ook digitaal vast en formuleer het bijpassende werkprogramma en intern en extern communicatiebeleid. 2. Stel in het jaarplan 2023-2024 prioriteiten, waaronder: a. De realisatie in 2023 van de invoering van het 3-lijnenmodel zoals beschreven in borgingsdocument – waar passend ondersteund door audits; b. Het voorzien in goede, en slagvaardige multidisciplinaire ondersteuning (integrale aanpak) en bijbehorend beleid voor behoud van kennis en vaardigheden. c. De evaluatie en aanpassing van het voorgestelde borgingsdocument voor zover dat de borging van AVG-rechtsbescherming ten goede komt. 3. Leg via de jaarrapportages 2024 bestuurlijk verantwoording af over beleid en maatregelen. De beleidsvoering op orde wil niet zeggen dat het ook in de uitvoering goed gaat. Dat heeft tijd nodig, waarbij incidenten en discussie nooit 100% zijn uit te sluiten. Evengoed schept u de voorwaarden voor een mens centrale organisatiecultuur. Bovendien garandeert u dat de gemeente klaar staat om mensen te helpen in situaties dat iemand onterecht in de problemen komt door digitalisering, gegevensdeling of nieuwe technologie onder verantwoordelijkheid van de gemeente Zeist.

Utrecht, 22 mei 2023

Sergej Katus fg@zeist.nl

2/4

DocuSign Envelope ID: 70662E25-066C-4EEE-AE0E-70EA9A7E5D87

Control & accountability Voor de beoordeling van de mate waarin een gemeente aan de AVG voldoet, hanteer ik hierna tien prestatie-indicatoren op bestuurlijk niveau die zijn voorzien van de volgende symbolen:

Afwezig of niet aantoonbaar

In aanzet aanwezig en aantoonbaar

Substantieel aanwezig en aantoonbaar

Grotendeels aanwezig en aantoonbaar

Volledig aanwezig en aantoonbaar

Ze zijn geplaatst in drie kolommen: – Opzet: de aanpak klopt op papier – er is goed over nagedacht. – Bestaan: de aanpak is volgens plan in praktijk gebracht – de gemeente heeft daadwerkelijk in passende gegevensbescherming voorzien. – Werking: de aanpak blijkt ook in de praktijk doelmatig en doeltreffend. Alle symbolen behoren volledig blauw te zijn. Het gemeentebestuur is dan maximaal in control en in de positie om met vertrouwen verantwoording af te leggen over beleid en maatregelen.

Status FG’s zijn toezichthouder naar Europees recht op de naleving van de AVG en gerelateerde wet- en regelgeving voor de organisatie die hen heeft aangewezen. Voor goed begrip helpt het om de benaming in de andere officiële talen van de Europese Unie mee te wegen: raadgever, commissaris, ombudsman of inspecteur (auditor). Voor een organisatie in de hoedanigheid van verwerkingsverantwoordelijke, telt enkel de door haar aangewezen FG (niet de FG’s van anderen). FG’s kunnen hun zienswijzen afstemmen maar blijven afzonderlijk verantwoordelijk voor AVG-uitleg en 3e lijn-toezicht. Een en ander op basis van de expert knowledge van EU-gegevensbeschermingswetgeving en de praktijk waarover iedere FG behoort te beschikken. De positie en taken van de FG zijn bij wet geregeld. Zolang het gaat om gegevensbescherming, heeft FG-advies en -toezicht voorrang op rekenkamertoetsing, audits, juridisch advies of accountantscontrole. In voorkomende gevallen werkt de FG samen met de Autoriteit Persoonsgegevens. Boven de FG staat de rechter en uiteindelijk het EU Hof van Justitie.

3/4

DocuSign Envelope ID: 70662E25-066C-4EEE-AE0E-70EA9A7E5D87

Speerpunten 1. Beleid Bestuurlijke borging informationele rechtsbescherming

Opzet

Bestaan

Werking

Advies (1) Stel vernieuwd beleid vast volgens het FG-advies Mens Centraal Digitaal (MCD); (2) Realiseer verwevenheid MCD-beleidsvoering met dienstverlening, handhaving, belastingheffing, gemeentedemocratie en bedrijfsvoering; (3) stuur op doelmatigheid en doeltreffendheid, met name terug snoeiing van administratieve lasten.

2.

Regie en support Proceseigenaarschap en vakkundige ondersteuning vanuit meerdere disciplines

3.

Toezicht Onafhankelijk toezicht en expertise

(1) Voorzie in interne verantwoording door proceseigenaren; (2) Waarborg de kwaliteit en beschikbaarheid van 2e lijn-ondersteuners. (3) Vind met name een oplossing voor MCD-programmamanagement op MT-niveau. (1) Begrijp de FG-functie als een ambt. In geval van aanwijzing van een externe FG zijn aanbestedingsregels buiten de orde. (2) Betrek de FG naar behoren en tijdig bij bestuurlijk-strategische keuzes en verantwoording. (3) Beoordeling van de doelmatigheid en doeltreffendheid van gegevensbeschermingsbeleid (toezicht op naleving) is de verantwoordelijkheid van de FG.

4.

Werkprogramma Mens Centraal Digitaal

(1) Integreer MCD-beleidsvoering in de al gaande cultuuraanpassing; (2) stel prioriteiten in SMART-geformuleerde jaarplannen; (3) stuur op realisatie van doelen, mede aan de hand van ‘GRC-tooling’.

5.

Binnengemeentelijk Kwaliteit van interne werkprocessen en informatieverwerking op orde

6.

Buitengemeentelijk Uitbesteding en deelname in samenwerkingsverbanden op orde (ketenregie)

(1) Maak de DPIA-aanpak aansprekender voor proceseigenaren en afdelingen; (2) hanteer het MCD-auditplan voor efficiënte controles; (3) hanteer begrijpelijke taal in rapportages aan proceseigenaren en hou het bij hoofdzaken. (1) Stuur op MCD-garanties bij uitbesteding van taken, het betrekken van informatiedienstenaanbieders en informatiedeling in samenwerkingsverbanden. (2) Wees vaardig in het herkennen van doelmatige en doeltreffende MCD-oplossingen van anderen; (3) Zorg voor continuïteit- en kwaliteitswaarborgen bij de aansluiting van buitengemeentelijke activiteiten op binnengemeentelijke activiteiten.

7.

Verzoeken, klachten en incidenten Veerkracht en servicegerichtheid

8.

Communicatie en training/opleiding Cultuur, begrip en draagvlak

9.

Informatieveiligheid Beschikbare, betrouwbare en veilige informatievoorzieningen

(1) Bewaak de goede werking van afhandeling van verzoeken, klachten en incidenten. (2) Draag zorg voor goede incidentadministratie (niet alleen datalekken). (3) Blijf lering trekken uit klachten en incidenten. (1) Gebruik DPIA’s voor interne dialoog en burgerparticipatie; (2) Waarborg dat personeelswisselingen niet kunnen leiden tot een ‘kennisgat’; (3) Draag zorg voor doelgroepgerichte interne en externe communicatie (vgl. IKEA)

(1) Herijk naast de AVG-beleidsvoering ook het algemene informatieveiligheidsbeleid. (2) Draag zorg voor organisatieborging volgens dezelfde principes (3 lines). (3) Bevorder ook op het gebied van informatieveiligheid de juiste cultuur en vaardigheden.

10. Budget Financiële middelen MCD

(1) Maak de afspraak dat MCD-maatregelen op uitvoeringsniveau investeringen in kwaliteit zijn door proceseigenaren. (2) Neem MCD-programmavoering en toezicht mee in de gemeentebegroting als onderdeel van Goed Bestuur In Betrokken Samenleving.

4/4