Bijlage 3 - 213a onderzoek implementatie AVG
Tekst van het document
213a-onderzoek naar de implementatie van de AVG Gemeente Zoetermeer
Colofon: Datum: 13 oktober 2022 Opdrachtgever: Björn Wijman, concerncontroller Gemeente Zoetermeer Onderzoekers: Mr. C.A. (Carin) Schreuder carin@necker.nl Mr. E.J. (Evert Jan) Kruijswijk Jansen evertjan@necker.nl L.M. (Robert) Klaassen MSc robert@necker.nl C. (Christan) Schut MA LLM christan@necker.nl
2
Bestuurlijke samenvatting In 2016 is de gemeente Zoetermeer gestart met de implementatie van de Algemene Verordening Gegevensbescherming (AVG). Sindsdien heeft de gemeente veel stappen gezet om te voldoen aan de eisen van het gegevens(beschermings-)recht. Er zijn verschillende beleidsdocumenten vastgesteld en de nodige functionarissen hebben een positie gekregen binnen de gemeente. Met medewerkers is daarnaast door middel van scholing gewerkt aan de kennis en kunde die nodig is om te werken met de AVG, zoals bij het afhandelen van incidenten of het delen van informatie met derden. Het gemeentelijk beleidskader biedt voldoende waarborgen voor een zorgvuldige gegevensbescherming. In de uitvoering in de praktijk is er echter nog veel ruimte voor verbetering. De gemeente kan veel meer doen om het toezicht op, evaluatie van en rapportage over de wijze waarop de gemeente invulling geeft aan de AVG-richtlijnen te versterken. Zo is er momenteel onvoldoende capaciteit om het onafhankelijke toezicht door de Functionaris Gegevensbescherming goed in te kunnen richten. Werkdruk, capaciteitsproblemen en verloop in de organisatie staan daarnaast in de weg van structurele kennisopbouw bij medewerkers en monitoring binnen de teams.
Ondanks de gegeven trainingen en workshops zien veel medewerkers het werken met de AVG als lastig, en worden de bijbehorende extra processtappen door hen als belemmering ervaren. Doordat er door de aangewezen functionarissen veel tijd en inzet wordt gestoken in het ondersteunen bij acute vraagstukken, is er ten slotte beperkte ruimte voor prioritering en anticipatie op toekomstige ontwikkelingen. Op basis van de conclusies van het onderzoek zijn er verbeterpunten geformuleerd door de onderzoekers. De belangrijkste verbeterpunten zijn:
Stel een gezamenlijke visie op voor de omgang met privacy en de inrichting van de privacy-organisatie.
Actualiseer het beleidskader en vervolledig de waarborgen voor een zorgvuldige gegevensverwerking.
Zorg voor een versterking van de posities van de Functionaris Gegevensbescherming en Privacy Officer. Zorg voor een waarborging van de onafhankelijkheid van de Functionaris Gegevensbescherming.
Ga aan de slag met het cyclisch monitoren en rapporteren over compliance en toezicht.
Blijf regelmatige (verplichte) workshops en trainingen organiseren.
Anticipeer op wettelijke ontwikkelingen en zet waar mogelijk alvast acties op.
3
Inhoudsopgave Colofon: .......................................................................................................................................................................... 2 Bestuurlijke samenvatting .............................................................................................................................................. 3 Onderzoeksverantwoording ........................................................................................................................................... 6 Inleiding en aanleiding ............................................................................................................................................... 6 Doelstelling en focus.................................................................................................................................................. 6 Vraagstelling .............................................................................................................................................................. 7 Werkzaamheden en periode ..................................................................................................................................... 7 Leeswijzer .................................................................................................................................................................. 8 1.
De AVG als kader voor gegevensbescherming...................................................................................................... 9 1.1.
Inleiding ....................................................................................................................................................... 9
1.2. De AVG op hoofdlijnen ................................................................................................................................ 9 1.2.1. Een korte toelichting op de AVG ............................................................................................................ 9 1.2.2. Begrippenkader van de AVG ................................................................................................................... 9 1.3. Relevante richtlijnen voor gemeenten ...................................................................................................... 11 1.3.1. Richtlijnen vanuit de AVG ..................................................................................................................... 11 1.3.2. Richtlijnen vanuit de Baseline Informatiebeveiliging Overheid ............................................................ 13 2.
Invulling van de kaders binnen de gemeente Zoetermeer ................................................................................. 15 2.1.
Inleiding ..................................................................................................................................................... 15
2.2. Privacybeleid ............................................................................................................................................. 15 2.2.1. Toelichting op het privacybeleid .......................................................................................................... 15 2.2.2. Relevante richtlijnen uit het privacybeleid ........................................................................................... 16 2.3. Informatiebeveiligingsbeleid ..................................................................................................................... 17 2.3.1. Toelichting op het informatiebeveiligingsbeleid .................................................................................. 17 2.3.2. Relevante richtlijnen uit het informatiebeveiligingsbeleid .................................................................. 19 3.
Organisatie in beeld ............................................................................................................................................ 22 3.1.
Inleiding ..................................................................................................................................................... 22
3.2. Implementatie van de AVG in Zoetermeer ............................................................................................... 22 3.2.1. Stappen van het implementatieproces ................................................................................................ 22 3.3. Organisatie van gegevensbescherming ..................................................................................................... 24 3.3.1. Rolneming en het Three Lines of Defence-model ................................................................................ 24 3.3.2. Integrale samenwerking tussen informatiebeveiliging, privacy en informatiebeheer ......................... 29 3.4. Kennisborging in de organisatie ................................................................................................................ 30 3.4.1. Kennisniveau onder medewerkers ....................................................................................................... 30 3.4.2. Ondersteuning van medewerkers ........................................................................................................ 32 3.4.3. Datalekken ............................................................................................................................................ 34
4
3.4.4.
Verwerking van persoonsgegevens ...................................................................................................... 35
3.5.
Archieffunctie binnen de gemeente .......................................................................................................... 37
3.6.
Verantwoording en rapportages ............................................................................................................... 38
3.7. Drie domeinen in beeld ............................................................................................................................. 40 3.7.1. Sociaal domein...................................................................................................................................... 40 3.7.2. Publieksplein ......................................................................................................................................... 42 3.7.3. Veiligheidsdomein ................................................................................................................................ 44 3.8. 4.
Keuzes en bewustzijn op het gebied van privacy en gegevensbescherming ............................................ 45
Toekomstige ontwikkelingen .............................................................................................................................. 47 4.1.
Inleiding ..................................................................................................................................................... 47
4.2. Ontwikkelingen in wet- en regelgeving ..................................................................................................... 47 4.2.1. Belangrijkste toekomstige ontwikkelingen in wet- en regelgeving ...................................................... 47 4.3. Toekomstige ontwikkelingen en bijbehorende risico’s voor de gemeente .............................................. 50 4.3.1. Aandachtspunten van de AP voor de toekomt van gegevensbescherming ......................................... 50 4.3.2. De gemeente werkt aan het worden van een Smart City .................................................................... 51 4.3.3. Dreigingsbeeld informatiebeveiliging geeft aan waar belangrijkste risico's liggen .............................. 52 5.
Beantwoording onderzoeksvragen/conclusies en aanbevelingen ..................................................................... 54 5.1. Beantwoording onderzoeksvragen ........................................................................................................... 54 5.1.1. Overkoepelende conclusie ................................................................................................................... 54 5.1.2. Conclusies waarborgen ......................................................................................................................... 54 5.1.3. Conclusies organisatie .......................................................................................................................... 56 5.1.4. Conclusies lessen voor de toekomst ..................................................................................................... 57 5.2.
Verbeterpunten ......................................................................................................................................... 58
Bijlage 1.
Bronnen ..................................................................................................................................................... 62
Bijlage 2.
Analysekader ............................................................................................................................................. 63
Bijlage 3.
Digitale Enquête ........................................................................................................................................ 64
Bijlage 4.
Toerusting van medewerkers .................................................................................................................... 71
5
Onderzoeksverantwoording Inleiding en aanleiding De Algemene verordening gegevensbescherming (hierna: AVG) is een Europese verordening met regels voor de verwerking van persoonsgegevens. De AVG is op 24 mei 2016 in werking getreden en sinds 25 mei 2018 zijn alle organisaties in Nederland aanspreekbaar op de naleving van de AVG. Het voldoen aan de richtlijnen en regels uit de AVG bleek voor veel organisaties een forse uitdaging. Gemeenten vormden hier geen uitzondering op. Het zorgen voor een juiste vertaling van de AVG naar de organisatie, met de bijbehorende praktische uitwerking, is voor veel gemeenten geen vanzelfsprekendheid. Uit eerder door Necker van Naem uitgevoerde onderzoeken in diverse gemeenten, weten we bijvoorbeeld dat:
het bewustzijn met betrekking tot privacy en informatiebeveiliging geen gemeengoed is onder medewerkers van gemeenten; medewerkers in de uitvoering vaak eigenstandig een afweging maken rondom het delen van gegevens; betrokkenen vaak slecht op de hoogte worden gesteld van de gemeentelijke omgang met persoonsgegevens.
Gezien ook in de gemeente Zoetermeer de implementatie van de AVG nog niet geheel afgerond is – de vraag is of organisaties dat punt ooit bereiken, er is altijd sprake van doorontwikkeling –, heeft het gemeentebestuur gevraagd of Necker van Naem de implementatie van de AVG in de gemeente wil onderzoeken.
Doelstelling en focus Voor het onderzoek naar de implementatie van de AVG in de gemeente Zoetermeer is de volgende doelstelling geformuleerd: Inzicht geven in de mate waarin de AVG succesvol is geïmplementeerd richting medewerkers, zodanig dat de gegevensbescherming van burgers correct plaatsvindt. De focus in het onderzoek zal daarbij zowel liggen op de technische/procesmatige kant als de organisatorische kant van de implementatie van de AVG. De geformuleerde aanbevelingen op basis van dit onderzoek kunnen daardoor op beide aspecten betrekking hebben. In overleg met de opdrachtgever is gekozen om het onderzoek in het bijzonder te richten op drie domeinen binnen de gemeente: het sociaal domein, het publieksplein en het veiligheidsdomein.
6
Vraagstelling Dit onderzoek is uitgevoerd aan de hand van hoofd- en deelvragen, welke zijn geformuleerd door de opdrachtgever. Door de onderzoekers zijn deze deelvragen onderverdeeld in drie categorieën: waarborgen, organisatie en lessen voor de toekomst. Hoofdvraag In hoeverre is de AVG succesvol geïmplementeerd binnen de gemeente Zoetermeer, zodat burgers volledige gegevensbescherming genieten en de medewerkers van de gemeente kunnen voldoen aan de eisen van de AVG?
Deelvragen Waarborgen: 1. Zijn binnen de organisatie voldoende waarborgen aanwezig die voorzien in een betrouwbare bescherming van persoonsgegevens van betrokkenen, conform de AVG? 2. Is bij incidenten (datalekken) sprake van zorgvuldige afhandeling conform de AVG? Organisatie: 3. Worden de medewerkers bij de uitvoering van hun taken voldoende gefaciliteerd in het efficiënt en effectief werken conform de AVG? 4. Hoe wordt ervoor gezorgd dat binnen de organisatie structureel voldoende kennis en kunde aanwezig is op het gebied van gegevensbescherming? 5. Hoe wordt ervoor gezorgd dat, als vervolg op de Leertuinen privacy voor het Sociaal Domein, medewerkers gegevensbescherming als onderdeel van hun werkzaamheden zien en niet als belemmering? Lessen voor de toekomst: 6. Welke verbeterpunten zijn er ten aanzien van bovenstaande vragen? 7. Is de huidige organisatie voldoende toegerust om de toekomstige ontwikkelingen (zoals aankomende wet- en regelgeving, nieuwe technologieën etc.) aan te kunnen en zijn er eventuele verbeterpunten? Wat is daar eventueel nog voor benodigd (qua organisatie, middelen e.d.)?
Werkzaamheden en periode De onderzoekswerkzaamheden zijn aangevangen met een startgesprek met de stuurgroep op 5 april 2022. Hierna startte de documentanalyse, die is afgerond in mei 2022. In de periode mei - augustus 2022 zijn de interviews gevoerd met de Functionaris gegevensbescherming (FG), Privacy Officer (PO) en Chief
7
Informatie Security Officer (CISO) en verschillende andere betrokkenen uit de organisatie. Een volledig overzicht van geïnterviewde personen is te vinden in de bijlage. In juni 2022 hebben drie groepsgesprekken plaatsgevonden met medewerkers van respectievelijk het sociaal domein, het veiligheidsdomein en het publieksplein. Daarnaast is een enquête uitgevoerd onder medewerkers van de gemeente. Een uitgebreide toelichting op deze enquête is opgenomen in hoofdstuk 3 van deze rapportage. In september 2022 heeft ten slotte een duidingsbijeenkomst plaatsgevonden met leden van de stuurgroep en medewerkers die eerder deelnamen aan de groepsgesprekken. De conceptrapportage is op 19 september 2022 voorgelegd aan de organisatie voor een feitelijke check en op 26 september 2022 in de stuurgroep besproken, waarna de rapportage voor ambtelijk wederhoor gereed gemaakt is. Op 27 september is de rapportage daartoe verstuurd. Daarna is de eindrapportage opgesteld.
Leeswijzer Deze rapportage bestaat uit een vijftal hoofdstukken. Het eerste hoofdstuk richt zich op het uiteenzetten van het kader van de AVG en zet de belangrijkste richtlijnen en begrippen van het gegevensbeschermingsrecht uiteen die relevant zijn voor de gemeente Zoetermeer. Het tweede hoofdstuk gaat in op het beleid van Zoetermeer om invulling te geven aan de verplichtingen uit de AVG. In het derde hoofdstuk zoomt de rapportage in op de gemeentelijke organisatie, waarbij er gekeken wordt naar de drie genoemde domeinen: het sociaal domein, het publieksplein en het veiligheidsdomein. De focus ligt daarbij op de organisatie van gegevensbescherming en informatiebeveiliging. Daarbij wordt onder meer ingegaan op de verdeling van rollen en verantwoordelijkheden. In het vierde hoofdstuk wordt ingegaan op relevante toekomstige ontwikkelingen in wet- en regelgeving en bijbehorende risico's die relevant zijn voor de gemeente. Tot slot richt het vijfde hoofdstuk zich op de beantwoording van de onderzoeksvragen en het formuleren van lessen voor de toekomst. In dit laatste hoofdstuk zijn ook de aanbevelingen opgenomen.
8
1. De AVG als kader voor gegevensbescherming 1.1. Inleiding Het belangrijkste wettelijke kader voor gegevensbescherming is de AVG. De AVG kent verschillende richtlijnen voor de inrichting van gegevensbescherming door organisaties die persoonsgegevens verwerken, waar gemeenten ook onder vallen. In dit hoofdstuk wordt ingegaan op de belangrijkste begrippen en richtlijnen die de AVG met zich meebrengt.
1.2. De AVG op hoofdlijnen 1.2.1. Een korte toelichting op de AVG Op 25 mei 2018 werd de Algemene AVG van toepassing. Na een termijn van twee jaar waarin de AVG al in werking was getreden werden organisaties die persoonsgegevens verwerkten aanspreekbaar op de naleving van de AVG.1 In Nederland zijn de regels naast de AVG ook vastgelegd in de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG). De AVG kent als Europese richtlijn een rechtstreekse werking in Nederland, welke is aangevuld met de UAVG door nationale werkgevers. De AVG en de UAVG vormen daarmee een vervanging van de richtlijn 95/46/EG en de Wet bescherming persoonsgegevens (Wbp). Ook overheden moesten per 25 mei 2018 voldoen aan de eisen van de AVG. Binnen de overheid staan gemeenten het meest direct in contact met de burger, waardoor deze opgave veel impact heeft. Gemeentelijke organisaties hebben de afgelopen zes jaar gewerkt aan het implementeren van de AVG in de organisatie. De meeste gemeenten hebben daar flinke stappen in gezet de laatste jaren, desondanks is er nog een wereld te winnen voor veel gemeenten, getuige een recent onderzoek van Bits of Freedom.2 1.2.2. Begrippenkader van de AVG De AVG is van toepassing op iedere verwerking van persoonsgegevens
1 De verordening trad in mei 2016 in werking, maar organisaties kregen tot 25 mei 2018 de tijd om hun organisatie en/of
bedrijfsvoering met de AVG in overeenstemming te brengen. 2 Bits of Freedom (2022), De staat van privacy bij gemeenten, geraadpleegd via: Bits-of-Freedom-De-staat-van-privacy-bijgemeenten.pdf (bitsoffreedom.nl).
9
Het gegevensbeschermingsrecht van de AVG kent een eigen systematiek en begrippenkader. Om helderheid te geven over dit kader zetten we hier de belangrijkste begrippen uiteen. Belangrijk is allereerst om naar het toepassingsbereik van de AVG te kijken. De AVG is van toepassing op "geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen".3 Dat maakt dat alle vormen van geautomatiseerde verwerking van persoonsgegevens onder de AVG vallen en dat alle verwerkingen van in een bestand opgenomen of voor bestanden bestemde persoonsgegevens onder de AVG vallen.4 Hoewel het toepassingsbereik van de AVG breed is, vallen niet alle gegevens onder de AVG. De AVG heeft betrekking op persoonsgegevens en definieert dit als alle informatie over natuurlijke personen. Dat wil zeggen: alle informatie die over iemand gaat of naar een persoon te herleiden is.5 Gegevens als een identificatienummer of locatiegegevens vallen bijvoorbeeld onder deze noemer. Er moet een grondslag zijn voor verwerking van persoonsgegevens De AVG geeft zes grondslagen voor de verwerking van persoonsgegevens. Voorbeelden van grondslagen zijn toestemming of een wettelijke verplichting. De AVG heeft een aantal persoonsgegevens apart gezet onder de categorie bijzondere persoonsgegevens.
Bijzondere persoonsgegevens krijgen extra bescherming doordat hun verwerking in beginsel verboden is.6 De verwerking van bijzondere persoonsgegevens is alleen mogelijk als er een grondslag voor verwerking is én een van de uitzonderingsgronden uit art. 9 lid 2 AVG van toepassing is. Verschillende van deze uitzonderingsgronden zijn verder uitgewerkt in hoofdstuk 3 van de UAVG. Daarbij kan bijvoorbeeld gedacht worden aan de uitzonderingsgronden voor verwerking van genetische persoonsgegevens zoals onder meer een zwaarwegend geneeskundig belang.7 Een andere belangrijke bepaling om te zien of de AVG van toepassing is, is de vraag of er sprake is van verwerking. Artikel 4 lid 2 AVG beschrijft het begrip verwerking als volgt: "elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens".8 In de praktijk zijn de meest voorkomende manieren van verwerking het opslaan, verzamelen, raadplegen en versturen van persoonsgegevens. Het begrip verwerken moet echter ruim gelezen worden. Ook het structureren of ordenen vallen bijvoorbeeld onder verwerking. De verwerking van persoonsgegevens moet volgens zes beginselen plaatsvinden Op het moment van verwerking van persoonsgegevens is er altijd een verwerkingsverantwoordelijke. De verwerkingsverantwoordelijke is degene die "het doel van en de middelen voor de verwerking van
3 Artikel 2 Algemene Verordening Gegevensbescherming. 4 Voor de reikwijdte van geautomatiseerde verwerking zie: HvJ EU 6 november 2003, C-101/01, NJ 2004/248 (Lindqvist), r.o. 26-
28. 5 Artikel 4 lid 1 Algemene Verordening Gegevensbescherming. 6 Artikel 9 Algemene Verordening Gegevensbescherming. 7 Artikel 28 lid 2 sub a Uitvoeringswet Algemene Verordening Gegevensbescherming. 8 Artikel 4 lid 2 Algemene Verordening Gegevensbescherming.
10
persoonsgegevens vaststelt".9 Naast een verwerkingsverantwoordelijke is er in sommige gevallen ook sprake van een verwerker. De verwerker verwerkt persoonsgegevens ten behoeve van de verwerkingsverantwoordelijke. Voor verwerking dienen beide partijen een verwerkersovereenkomst te sluiten.10 Naast dat er voor de verwerking van persoonsgegevens altijd een grondslag nodig is, moeten bij de verwerking van persoonsgegevens ook altijd de zes beginselen uit artikel 5 van de AVG nageleefd worden. De verwerking van persoonsgegeven moet daardoor rechtmatig, behoorlijk en transparant gebeuren door binnen de wettelijke kaders te blijven en te vermelden welk type gegevens worden verwerkt. Daarnaast is het beginsel van doelbinding van belang. Dit beginsel maakt dat de verwerkingsverantwoordelijke gegevens niet verder mag verwerken dan het aangegeven doel. Verder mogen organisaties niet meer data verzamelen dan noodzakelijk, is de juistheid van gegevens belangrijk en moet er verwijdering van gegevens plaatsvinden als de gegevens niet langer relevant zijn voor het doel. De verwerkingsverantwoordelijke moet ook de vertrouwelijkheid en integriteit van de documenten garanderen voor een gepaste beveiliging. De AVG verplicht tot het melden van datalekken Tot slot verplicht de AVG ook het melden van datalekken in de organisatie.
Volgens Artikel 33 dient er in geval van "een inbreuk in verband met persoonsgegevens" binnen 72 uur na ontdekking van deze inbreuk, melding gemaakt te worden bij de Autoriteit Persoonsgegevens (AP), tenzij het onwaarschijnlijk is dat het datalek grote risico's met zich brengt voor de betrokkenen.11 Met 'betrokkenen' bedoelt de AVG personen van wie de persoonsgegevens worden verwerkt.12
1.3. Relevante richtlijnen voor gemeenten 1.3.1. Richtlijnen vanuit de AVG De AVG benoemt verschillende verplichtingen Bij het verwerken van persoonsgegevens is (de bestuursorganen van) de gemeente in de meeste gevallen de verwerkingsverantwoordelijke.13 Op basis van artikel 5 AVG heeft de verwerkingsverantwoordelijke een verantwoordingsplicht en moet daardoor kunnen aantonen dat de verwerking voldoet aan de eisen van de AVG. Daarnaast geeft de AVG verschillende andere verplichtingen:
het instellen van een register van verwerkingsactiviteiten; het instellen van de functionaris gegevensbescherming; het voorafgaand aan risicovolle verwerkingsactiviteiten een gegevensbeschermingseffectbeoordeling (DPIA) uitvoeren;
9 Artikel 4 lid 7 Algemene Verordening Gegevensbescherming. 10 Artikel 28 lid 3 Algemene Verordening Gegevensbescherming. 11 Artikel 33 Algemene verordening gegevensbescherming. 12 Autoriteit Persoonsgegevens (2022). Rechten van betrokkenen:
https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/algemene-informatie-avg/rechten-van-betrokkenen. 13 Dit zijn bijvoorbeeld de burgemeester, het college van B&W, de gemeenteraad en de rekenkamer.
11
het raadplegen van de Autoriteit Persoonsgegevens voorafgaand aan een nieuwe risicovolle verwerkingsactiviteit; de toepassing van de principes van privacy door ontwerp en standaardinstellingen (‘privacy by design & default’); het nemen van passende beveiligingsmaatregelen met het oog op de bescherming van persoonsgegevens; het onder bepaalde omstandigheden melden van een datalek bij de Autoriteit Persoonsgegevens en het informeren van betrokkenen; het maken van afspraken tussen verwerkingsverantwoordelijke en verwerker; het opstellen van privacybeleid.
De AVG verplicht tot het instellen van een functionaris gegevensbescherming Om aan de AVG te voldoen moeten gemeenten een functionaris gegevensbescherming (hierna: FG) aanstellen. De FG moet erop toezien dat de gemeente de AVG correct toepast en naleeft. De FG treedt hierbij intern op als strategisch adviseur van de organisatie als het gaat om de verwerking van persoonsgegevens. Volgens artikel 38 en overweging 97 van de AVG dient de FG zijn of haar taken binnen een organisatie onafhankelijk te kunnen uitvoeren.14 De Autoriteit Persoonsgegevens licht toe dat dit betekent dat de FG ''in staat moet worden gesteld met voldoende middelen zijn taak uit te voeren, dat hij geen instructies mag krijgen met betrekking tot zijn FG-taken en dat de FG geen andere taken mag uitvoeren die mogelijk tot aantasting van zijn onafhankelijke positie leiden.''15 De Autoriteit Persoonsgegevens geeft daarnaast aan welke uitgangspunten organisaties dienen te hanteren om de positie van de FG te borgen:
De organisatie moet de FG in een vroeg stadium als adviseur betrekken bij de (door)ontwikkeling van producten en diensten, en samen vastleggen wat er met de adviezen van de FG gebeurt. De FG moet goed zichtbaar zijn binnen de organisatie. En direct, zonder tussenkomst van anderen, benaderbaar en aanspreekbaar zijn. Ook voor personen van buiten de organisatie. De FG is de onafhankelijke interne toezichthouder: hij grijpt in als het (mogelijk) fout gaat en hij signaleert risico’s bij (voorgenomen) verwerkingen. De FG spreekt de organisatie hierop aan en moet op het hoogste bestuurlijke niveau zijn zorgen kunnen uiten. De organisatie moet dat faciliteren. De organisatie moet de onafhankelijke positie van de FG waarborgen door deze op de juiste manier organisatorisch in te bedden, hem adequate toegang te geven tot het hoogste bestuurlijke niveau en door hem tijd en middelen te verstrekken om zijn taak uit te voeren. De FG neemt een centrale positie in bij contacten tussen de AP en de organisatie. In die positie moet de FG op de hoogte zijn van de communicatie van de AP met de organisatie. Maar: de FG heeft een onafhankelijke positie en kan dus niet namens de organisatie spreken.16
Het opstellen van een privacybeleid is onderdeel van de verantwoordingsplicht
14 Artikel 38 lid 3 en overweging 97 Algemene Verordening Gegevensbescherming; Autoriteit Persoonsgegevens: richtlijnen FG. 15 Autoriteit Persoonsgegevens (2021). Positionering van de FG, p. 1. 16 Autoriteit Persoonsgegevens (2021). Positionering van de FG, pp. 2-5.
12
De AVG geeft de verwerkingsverantwoordelijke een verantwoordingsplicht om aan te tonen dat de verwerkingsverantwoordelijke voldoet aan de privacyregels.17 Onderdeel van deze verantwoordingsplicht is het opstellen van een privacybeleid (ook wel gegevensbeschermingsbeleid genoemd). In een privacybeleid staat de visie op de wijze van gegevensverwerking beschreven, waardoor zij hierover op een transparante wijze kan communiceren richting de AP en personen wiens persoonsgegevens worden verwerkt. Het is niet voor iedere organisatie verplicht om een privacybeleid vast te stellen. Deze verplichting moet in verhouding staan tot de verwerkingsactiviteiten van de organisatie. Hierbij moet gekeken worden naar de aard, de omvang, de context en het doel van de gegevensverwerking. In deze afweging zullen volgens de AP gemeenten vaak verplicht zijn om een privacybeleid op te stellen. Gezien de omvang van de gemeente Zoetermeer vormt het opstellen van een privacybeleid een verplichting. De AVG stelt geen harde eisen aan de precieze inhoud van het privacybeleid. De Autoriteit Persoonsgegevens heeft wel geformuleerd wat er onder meer in het privacybeleid zou moeten staan, uitgaande van de principes van de AVG. Een privacybeleid moet volgens de Autoriteit Persoonsgegevens een beschrijving van de volgende zaken bevatten:18
de categorieën te verwerken persoonsgegevens; de doeleinden en grondslag voor verwerking; de wijze waarop de voldaan is aan de beginselen uit artikel 5 AVG; de privacyrechten van betrokken en de wijze van uitoefening van de rechten; maatregelen voor de beveiliging van persoonsgegevens; bewaartermijn van persoonsgegevens.
1.3.2. Richtlijnen vanuit de Baseline Informatiebeveiliging Overheid De BIO biedt een normenkader en richtlijnen voor de inrichting van informatiebeveiliging Naast de bepalingen uit de AVG en de UAVG is de Baseline Informatiebeveiliging Overheid (BIO) van belang als het gaat om gegevensbescherming. De BIO vormt als baseline voor overheden een belangrijk kader voor informatiebeveiliging. De BIO is sinds 1 januari 2020 van kracht en zorgt voor één normenkader voor informatiebeveiliging voor gemeenten, waterschappen, provincies en het Rijk. De BIO kan gezien worden als een update van de Baseline Informatiebeveiliging Gemeenten (BIG), met in vergelijking minder maatregelen, het toewijzen van maatregelen aan eindverantwoordelijken en meer nadruk op risicomanagement.19 De BIO vormt voor gemeenten zowel een richtlijn als een hulpmiddel om informatiebeveiliging goed te organiseren. Binnen de BIO wordt onderscheid gemaakt tussen verschillende basisbeveiligingsniveaus (BBN's) waarbij wordt beschreven aan welke controlemaatregelen dient te worden voldaan en hoe 17 Artikel 5 lid 2 Algemene Verordening Gegevensbescherming. 18 Autoriteit Persoonsgegevens (2022). Verantwoordingsplicht AVG:
https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/algemene-informatieavg/verantwoordingsplicht?qa=privacybeleid&scrollto=1. 19 Informatiebeveiligingsdienst (2022). Baseline Informatiebeveiliging Overheid: https://www.informatiebeveiligingsdienst.nl/project/baseline-informatiebeveiliging-overheid/.
13
verantwoording dient te worden afgelegd. De BIO biedt handvatten voor de afwegingen die betrokken medewerkers hierbij maken. De verdeling van verantwoordelijkheid en de mate van verantwoording zijn afhankelijk van het basisbeveiligingsniveau (BBN). In geval van niveau BBN1 is de proceseigenaar volledig verantwoordelijk voor beslissingen en informeert de proceseigenaar de Chief Information Security Officer (CISO) alleen op verzoek over zijn BBN1-informatiesysteem.20 In het geval van niveau BBN2 is er een grotere rol neergelegd voor de CISO doordat de proceseigenaar het informatiesysteem voor ingebruikname ter consultatie moet voorleggen aan de CISO.21 Voor overheden, en dus ook voor de gemeente Zoetermeer, geldt BBN2 als uitgangspunt voor de beveiliging van informatiesystemen.22 In het geval van het hoogste basisbeveiligingsniveau (BBN3) is er toestemming nodig van de secretaris of algemeen directeur van de gemeente. Deze taak kan echter ook aan de CISO worden gemandateerd.23 De BIO verplicht tot het opstellen van informatiebeveiligingsbeleid De BIO geeft aan dat er een informatiebeveiligingsbeleid nodig is en zet uiteen waar dit beleid aan moet voldoen.
Zo dienen bijvoorbeeld de strategische uitgangspunten en randvoorwaarden te worden vastgelegd, dient het beleid inzicht te geven in de verantwoordelijkheidsverdeling op het gebied van informatiebeveiliging en moeten de gemeenschappelijke betrouwbaarheidseisen en normen van de organisatie worden geformuleerd. Daarnaast schrijft de BIO voor dat het informatiebeveiligingsbeleid periodiek moet worden geëvalueerd. De CISO is verantwoordelijk voor het in goede banen leiden van de uitvoering van het informatiebeveiligingsbeleid en de beheersmaatregelen (zoals het opstellen van voortgangsrapportages), zoals benoemd in de BIO.24 Gemeenten kunnen middels verschillende jaarlijkse toetsen en risicoanalyses (waaronder zogeheten GAP-analyses) nagaan in hoeverre zij voldoen aan de BIO.25
20 Baseline Informatiebeveiliging Gemeenten (2020). 21 Baseline Informatiebeveiliging Gemeenten (2020). 22 Baseline Informatiebeveiliging Gemeenten (2020). 23 Baseline Informatiebeveiliging Gemeenten (2020). 24 Baseline Informatiebeveiliging Gemeenten (2020), pp.25-29. 25 Gemeente Zoetermeer (2020). Gemeentelijk informatiebeveiligingsbeleid 2020-2023, p.9.
14
2. Invulling van de kaders binnen de gemeente Zoetermeer 2.1. Inleiding De gemeente Zoetermeer heeft verschillende (beleids-)kaders vastgesteld waarin wordt uitgelegd hoe de gemeente invulling geeft aan de richtlijnen uit de AVG. In dit hoofdstuk wordt ingegaan op deze gemeentelijke kaders, te weten: het privacybeleid en het informatiebeveiligingsbeleid. Hierbij wordt gekeken naar de gemeentelijke normen en richtlijnen, niet naar de invulling hiervan in de praktijk. De praktijkinvulling wordt behandeld in hoofdstuk 3.
2.2. Privacybeleid 2.2.1. Toelichting op het privacybeleid Het privacybeleid van de gemeente voldoet op grote lijnen aan de richtlijnen van de AVG Uit het privacybeleid van de gemeente moet volgens de AP blijken op welke manier de gemeente voldoet aan de verplichtingen uit de AVG. Zoals in paragraaf 1.2.1. beschreven geeft de Autoriteit Persoonsgegevens een aantal handvatten waar een privacybeleid aan moet voldoen om te zorgen dat de gemeente voldoet aan de verantwoordingsplicht. Op 7 mei 2019 heeft het college van de gemeente Zoetermeer het privacybeleid vastgesteld. Met het privacybeleid van de gemeente, wat hieronder verder wordt uitgelegd, voldoet de gemeente op hoofdlijnen aan de relevante richtlijnen voor het opstellen van privacybeleid.26 Op twee punten wijkt het privacybeleid van de gemeente af van wat de Autoriteit Persoonsgegevens van een privacybeleid vraagt. Allereerst kent het privacybeleid geen omschrijving van de categorieën van persoonsgegevens die door de gemeente worden verwerkt. Daarnaast koppelt het gemeentelijke privacybeleid de verwerking van de verschillende categorieën van persoonsgegevens niet aan doeleinden en grondslagen voor verwerking. Dat de gemeente op deze punten afwijkt van wat de AP voorschrijft is te begrijpen gezien de omvang en veranderlijkheid van deze opsommingen.
Het privacybeleid is vastgesteld voor de duur van drie jaar en zou daarna worden geëvalueerd. Gezien de datum van vaststelling (7 mei 2019) zou de evaluatie al plaatsgevonden moeten hebben. De organisatie ziet dit rapport ook mede als evaluatie van het privacybeleid. Het privacybeleid werkt vanuit drie uitgangspunten 26 Autoriteit Persoonsgegevens (2019). Zes aanbevelingen voor privacybeleid:
https://autoriteitpersoonsgegevens.nl/nl/nieuws/zes-aanbevelingen-voor-een-privacybeleid.
15
Het gemeentelijk privacybeleid gaat uit van drie uitgangspunten voor het waarborgen van een juiste gegevensbescherming:
Werkbaar en zorgvuldig: De gemeente verwerkt 1)persoonsgegevens altijd binnen de kaders van de AVG, 2)zorgt dat persoonsgegevens alleen verwerkt worden voor het doel waarvoor ze verzameld zijn, 3) dat er niet meer of minder persoonsgegevens verwerkt worden dan noodzakelijk en 4) dat er altijd een wettelijke grondslag voor verwerking is. Daarbij gebruikt de gemeente zoveel mogelijk bronsystemen (zoals de basisregistraties) zodat juistheid van de gegevens gewaarborgd is. Op die manier moeten burgers kunnen vertrouwen op een zorgvuldige verwerking van hun persoonsgegevens. Het beleid op het gebied van privacy mag niet dusdanig ingewikkeld zijn dat het zorg- en dienstverlening in de weg staat.27
Privacy op de werkvloer: Voor de gemeente is het opstellen van beleid niet voldoende voor een zorgvuldige omgang met persoonsgegevens. Het voldoen aan de eisen van de AVG moet onderdeel zijn van de dagelijkse praktijk van de gemeentelijke organisatie. Daarom zijn er workshops en trainingen georganiseerd en is er een netwerk van privacyambassadeurs voor meer aandacht voor privacybewustzijn. Privacy is daarbij voor de gemeente onderdeel van het integriteitsbeleid. Daarom mag van een goede ambtenaar naleving van de privacyregels verwacht worden.28
Privacy vanaf de start: Een derde uitgangspunt voor de gemeente op het gebied van privacy is het meenemen van de eisen uit de AVG in de ontwikkeling van beleid, regelgeving en nieuwe systemen. Hiermee past de gemeente het principe van privacy by design toe.
2.2.2. Relevante richtlijnen uit het privacybeleid De afdelingshoofden hebben een grote verantwoordelijkheid in het privacybeleid Het privacybeleid schrijft voor dat in de gemeentelijke organisatie de verantwoordelijkheid voor een zorgvuldige verwerking van persoonsgegevens bij de afdelingshoofden belegd is. Daarin is ieder afdelingshoofd dus verantwoordelijk voor zijn of haar afdeling. Als het nodig is kan het afdelingshoofd deze verantwoordelijkheid beleggen in de afdeling. Wanneer er sprake is van verwerking van persoonsgegevens die de afdeling overstijgt, ligt de verantwoordelijkheid bij de proceseigenaar. Het afdelingshoofd is volgens het privacybeleid ook verantwoordelijk voor het bijhouden van het register van verwerkingen. Iedere afdeling moet een overzicht van verwerkingen van persoonsgegevens hebben. Op basis hiervan moet duidelijk zijn wie intern verantwoordelijk is voor de verwerkingen en wie eindverantwoordelijk draagt voor het totaaloverzicht.29 Het privacybeleid verplicht tot het aanstellen van een FG en PO Het privacybeleid schrijft voor dat de gemeente een Functionaris Gegevensbescherming en een Privacy Officer aanstelt. In hoofdstuk 3 wordt verder ingegaan op de posities en de rolinvulling van deze functionarissen.
27 Privacybeleid gemeente Zoetermeer, p.3. 28 Privacybeleid gemeente Zoetermeer, p.3. 29 Privacybeleid gemeente Zoetermeer, p.4.
16
Het privacybeleid zet in op passende maatregelen voor informatiebeveiliging De gemeentelijke organisatie is verantwoordelijk voor het treffen van technische en organisatorische maatregelen voor de verwerking van persoonsgegevens. Bij incidenten zijn er procedures om gevolgen te beperken en herhaling te voorkomen. Incidenten moeten gemeld worden bij de FG, de Privacy Officer en/of de CISO. Deze personen maken, wanneer dat nodig is, melding bij de Autoriteit Persoonsgegevens van incidenten én overleggen met de afdelingsmanager of betrokkenen moeten worden ingelicht.30 Het beleid schrijft het vastleggen van werkprocedures en het sluiten van verwerkersovereenkomsten voor Voor processen waarin persoonsgegevens worden verwerkt en er een hoge mate van herhaling is, moeten er werkprocedures of protocollen worden opgesteld. In deze werkprocedures moet worden opgenomen welke stappen worden doorlopen en hoe met gegevensverwerking moet worden omgegaan. Wanneer de gemeente aan een externe vraagt om namens de gemeente persoonsgegevens te verwerken, moet de gemeente een verwerkersovereenkomst opstellen. Het sluiten van die overeenkomst is volgens het privacybeleid de verantwoordelijkheid van het afdelingshoofd. De FG ziet toe op de naleving van de overeenkomst. In het verwerkingsregister moet door de afdeling tevens worden bijgehouden welke samenwerkings- en verwerkersovereenkomsten er zijn.
Het privacybeleid heeft aandacht voor de positie en rechten van betrokkenen Transparantie over de verwerking van persoonsgegevens is belangrijk voor de gemeente. Met het privacystatement op de gemeentelijke website worden inwoners geïnformeerd over de verwerking van hun gegevens. Verder is via de gemeentelijke website informatie beschikbaar over privacy gerelateerde onderwerpen en kunnen inwoners digitaal of telefonisch om meer informatie vragen. Ook kunnen inwoners via een speciaal mailadres contact zoeken met de FG.31 Naast het privacystatement op de website kent de gemeente ook een privacystatement voor het verwerken van gegevens van medewerkers. Hierin worden medewerkers op dezelfde manier geïnformeerd als inwoners in het overkoepelende privacystatement. Ook medewerkers kunnen contact zoeken met de FG met vragen of opmerkingen over de bescherming van hun gegevens.32
2.3. Informatiebeveiligingsbeleid 2.3.1. Toelichting op het informatiebeveiligingsbeleid De gemeente kent een actueel strategisch beleidskader dat voldoet aan de eisen uit de BIO De BIO verplicht gemeenten tot het vaststellen van een informatiebeveiligingsbeleid en geeft daarbij eisen waar het informatiebeveiligingsbeleid aan moet voldoen. Het door de gemeente Zoetermeer 30 Privacybeleid gemeente Zoetermeer, p.5. 31 Gemeente Zoetermeer, Privacystatement. 32 Gemeente Zoetermeer, privacy statement medewerkers
17
vastgestelde informatiebeveiligingsbeleid is opgesteld aan de hand van de tien principes voor informatiebeveiliging van de Vereniging Nederlandse Gemeenten (VNG).33 De eisen die de BIO stelt aan het informatiebeveiligingsbeleid zijn onderdeel van het vastgestelde beleid. Op 15 december 2020 heeft het college van de gemeente Zoetermeer het gemeentelijk informatiebeveiligingsbeleid 2020-2023 vastgesteld. Dit beleidskader vervangt een eerder beleidskader uit 2018 dat destijds was opgesteld naar aanleiding van de invoering van de AVG. Het informatiebeveiligingsbeleid vormt het kader voor alle maatregelen die de gemeente neemt om ervoor te zorgen dat de gemeente voldoet aan relevante wet- en regelgeving.34 Het gemeentelijk informatiebeveiligingsbeleid is een strategisch document dat voor een langere periode geldt. Op basis hiervan wordt jaarlijks een informatiebeveiligingsplan opgesteld door de CISO, onder verantwoordelijkheid van de directie. De directie is verantwoordelijk voor het uitwerken en uitvoeren van maatregelen die voortkomen uit het beveiligingsbeleid en -beleidsplan.35 De onderzoekers hebben begrepen dat het informatiebeveiligingsbeleid op verschillende punten zal worden geactualiseerd. Het informatiebeveiligingsbeleid kent elf strategische doelstellingen Centraal in het informatiebeveiligingsbeleid staan een elftal strategische doelstellingen.
Deze worden hieronder weergegeven:36
Figuur 1: Elf strategische doelen van het informatiebeveiligingsbeleid van de gemeente Zoetermeer.
33 Gemeente Zoetermeer (2020). Gemeentelijk informatiebeveiligingsbeleid 2020-2023, p. 4.; VNG (2019). Tien bestuurlijke
principes voor informatiebeveiliging, pp. 4-8. 34 Gemeente Zoetermeer (2020). Gemeentelijk informatiebeveiligingsbeleid 2020-2023, p. 4. 35 Gemeente Zoetermeer (2020). Gemeentelijk informatiebeveiligingsbeleid 2020-2023, p. 8. 36 Gemeente Zoetermeer (2020). Gemeentelijk informatiebeveiligingsbeleid 2020-2023, p. 7.
18
In het beleidskader informatiebeveiliging worden de verplichtingen uit de BIO en de AVG samengevat. Op basis van deze verplichtingen zijn in het beleidskader verschillende uitgangspunten geformuleerd voor de borging van informatiebeveiliging in Zoetermeer. De belangrijkste uitgangspunten zijn:37
Het college van burgemeester en wethouders is bestuurlijk eindverantwoordelijk voor de informatiebeveiliging in de gemeente en schept de randvoorwaarden om deze te waarborgen; Uitvoering en handhaving van regels over informatiebeveiliging is een verantwoordelijkheid van het lijnmanagement. Voor alle informatiebronnen en -systemen binnen de gemeente is een interne eigenaar aangewezen die primair verantwoordelijk is voor de bescherming van de betreffende informatie; De Chief Information Security Officer (CISO) ondersteunt vanuit een onafhankelijke positie de organisatie bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening en rapporteert hierover rechtstreeks aan de directie; De afdelingshoofden zijn verantwoordelijk voor de uitvoering van de informatiebeveiliging voor de processen waarvoor zij verantwoordelijk zijn; De beveiligingsmaatregelen worden bepaald op basis van risicomanagement. Afdelingshoofden zijn verantwoordelijk voor het uitvoeren van QuickScans informatiebeveiliging op basis van de BIO om deze risico-afwegingen te kunnen maken. Zij worden hierin ondersteund door de tweede lijn.
2.3.2. Relevante richtlijnen uit het informatiebeveiligingsbeleid Het beleid schrijft een jaarlijks informatiebeveiligingsplan voor Zoals hierboven benoemd moet volgens het informatiebeveiligingsbeleid ieder jaar onder leiding van de CISO een informatiebeveiligingsplan worden opgesteld, met acties en maatregelen voor het betreffende jaar. Welke acties en maatregelen worden uitgevoerd, moet hierbij worden bepaald aan de hand van vier gegevens: een risicoanalyse op het BIO-normenkader, de uitkomsten van de jaarlijkse ENSIArapportage, het Dreigingsbeeld Nederlandse Gemeenten van de Informatiebeveiligingsdienst (IBD) en door afdelingshoofden aangedragen onderwerpen.38 Het informatiebeveiligingsbeleid hanteert het Three Lines of Defence-model In het informatiebeveiligingsbeleid wordt voorgeschreven dat de gemeente Zoetermeer in de organisatie gebruik maakt van het zogeheten Three Lines of Defence-model (3LoD-model). Hierin wordt zoals de naam aangeeft gewerkt met drie 'lijnen' voor de gemeentelijke processen. De eerste lijn bestaat uit het lijnmanagement: de afdelingshoofden, die het managementteam vormen. De eerste lijn moet toezien op alle procedures waarmee invulling wordt gegeven aan informatiebeveiliging. De tweede lijn bestaat uit de CISO en senior adviseurs informatiebeveiliging.
De tweede lijn heeft een ondersteunende, adviserende en coördinerende rol en dient te bewaken in hoeverre het lijnmanagement zijn verantwoordelijkheden neemt. De derde lijn bestaat volgens het beleid uit de Verbijzonderde Interne Controle (VIC). Hieronder wordt dit nader toegelicht.39 De directie is verantwoordelijk voor de aansturing, de afdelingshoofden voor de uitvoering 37 Gemeente Zoetermeer (2020). Gemeentelijk informatiebeveiligingsbeleid 2020-2023, p. 7. 38 Gemeente Zoetermeer (2020). Gemeentelijk informatiebeveiligingsbeleid 2020-2023, p. 9. 39 Gemeente Zoetermeer (2020). Gemeentelijk informatiebeveiligingsbeleid 2020-2023, p. 13.
19
De directie is volgens het 3LoD-model verantwoordelijk voor de aansturing van het informatiebeveiligingsbeleid in Zoetermeer. De directie moet ervoor zorgen dat alle processen en systemen en de daarbij behorende middelen altijd onder de verantwoordelijkheid vallen van een afdelingsmanager. De afdelingshoofden dienen zich te verantwoorden over de uitvoering. De directie dient er verder zorg voor te dragen dat de eindverantwoordelijke portefeuillehouders binnen het college geïnformeerd worden over de uitvoering van informatiebeveiliging. Zo kan het college zich ook verantwoorden naar de raad. Tenslotte heeft de directie de taak om toe te zien op de benodigde procedures en uitvoeringsmaatregelen en deze te autoriseren. De CISO dient de directie hier in bij te staan.40 Afdelingshoofden vormen de eerste lijn in het 3LoD-model en dragen dus verantwoordelijkheid voor de uitvoering. Volgens het beleid kan een afdelingshoofd uitvoeringswerkzaamheden delegeren binnen de afdeling, maar blijft deze eindverantwoordelijkheid dragen voor informatiebeveiliging binnen de afdeling. Het beleid schrijft voor dat jaarlijks minimaal tweemaal in het managementteam wordt afgestemd over de inhoudelijke aanpak van informatiebeveiliging.41 Het informatiebeveiligingsbeleid omschrijft de volgende taken van de afdelingshoofden:42
Het leveren van input voor wijzigingen van beveiligingsmaatregelen en -procedures; Het binnen de eigen afdeling uitdragen van het beveiligingsbeleid en de daaraan gerelateerde procedures; Het vroegtijdig signaleren van de voornaamste bedreigingen waaraan de bedrijfsinformatie is blootgesteld. I&A heeft hierin een mede signalerende rol, aangezien veel van dit soort incidenten via hen worden geconstateerd; Bij overeenkomsten of afspraken met ketenpartners en leveranciers ook aspecten van informatiebeveiliging meenemen en vastleggen; Bespreken van beveiligingsincidenten en de consequenties die dat met zich meebrengt voor het beleid. De voorbereiding en coördinatie van het overleg ligt bij de CISO;'
De tweede lijn ondersteunt de organisatie bij het naleven van het beleid De tweede lijn dient volgens het 3LoD-model de organisatie bij het naleven van het informatiebeveiligingsbeleid te ondersteunen. De tweede lijn bestaat volgens het beleid uit de CISO (ondergebracht bij de afdeling concerncontrol) en de senior adviseurs informatiebeveiliging (onderdeel van de afdeling I&A). De senior adviseurs zijn samen met de CISO verantwoordelijk voor het uitvoeren van een aantal standaard taken, waaronder:43
Het uitvoeren van de risico- en GAP-analyses op basis van de BIO; Het opstellen van het jaarlijks informatiebeveiligingsplan; Het opstellen en aanpassen van het Informatiebeveiligingsbeleid; Het opstellen van onderwerp-specifieke tactische beleidsregels die aanvullend zijn op dit strategisch beleid; Het adviseren over informatiebeveiliging bij grote en kleine projecten, aanbestedingen en inkooptrajecten;
40 Gemeente Zoetermeer (2020). Gemeentelijk informatiebeveiligingsbeleid 2020-2023, p. 13. 41 Gemeente Zoetermeer (2020). Gemeentelijk informatiebeveiligingsbeleid 2020-2023, p. 13. 42 Gemeente Zoetermeer (2020). Gemeentelijk informatiebeveiligingsbeleid 2020-2023, pp. 13-14. 43 Gemeente Zoetermeer (2020). Gemeentelijk informatiebeveiligingsbeleid 2020-2023, pp. 14.
20
Het registreren en afhandelen van incidenten en vragen in Topdesk; Het beheer van de infrastructuur van informatiebeveiliging; Het uitvoeren van zogeheten pentesten en Vulnerability Assessments; Het organiseren van bewustwording over informatiebeveiliging middels onder andere roadshows en workshops voor medewerkers; Het uitvoeren van de audits: ENSIA en EDP;
De CISO dient te fungeren als toezichthouder op alle taken en maatregelen in het kader van informatiebeveiliging. De CISO draagt verantwoordelijkheid voor het opstellen van het informatiebeveiligingsbeleid, het faciliteren van afstemming en overleg binnen de organisatie en het borgen van samenhang tussen alle verschillende maatregelen en processen.44 Controle en verantwoording vindt plaats in de derde lijn Volgens het 3LoD-model controleert de derde lijn, de zogeheten Verbijzonderde Interne Controle (VIC), of het toetsingsproces van informatiebeveiligingsmaatregelen aan het BIO-normenkader correct wordt doorlopen. De gemeente dient zich hierover te verantwoorden door middel van de ENSIA-systematiek. Hiervoor is een ENSIA-coördinator aangewezen, die zorgt dat alle informatie die nodig is voor de jaarlijkse toets wordt opgehaald bij de afdelingshoofden. De ENSIA-verklaring dient ieder jaar terug te komen in het jaarverslag middels de collegeverklaring informatiebeveiliging. Hierin dient te zijn vermeld welke eventuele verbetermaatregelen de gemeente zal treffen. College en raad worden via de ENSIAverantwoording geïnformeerd over de uitvoering.45 Zoals aangegeven zal het informatiebeveiligingsbeleid worden geactualiseerd. Het beleid zal dan (deels) worden aangepast naar de praktijk. De VIC heeft (nog) geen of slechts een beperkte rol als het gaat om informatiebeveiliging.
De derde lijn, het toezicht, wordt ingevuld door de CISO.
44 Gemeente Zoetermeer (2020). Gemeentelijk informatiebeveiligingsbeleid 2020-2023, p. 14. 45 Gemeente Zoetermeer (2020). Gemeentelijk informatiebeveiligingsbeleid 2020-2023, p. 15.
21
3. Organisatie in beeld 3.1. Inleiding Dit hoofdstuk gaat in op de vertaling en toepassing van de AVG in de gemeentelijke organisatie. Om de stand van zaken in de organisatie in kaart te brengen zal geput worden uit de door de gemeente aangeleverde documenten en de interviews met respondenten. Allereerst wordt ingegaan op de implementatie van de AVG-richtlijnen in Zoetermeer en de manier waarop de organisatie van gegevensbescherming is ingericht. Hierna wordt ingegaan op de kennisborging in de organisatie, de inrichting van de archieffunctie en de wijze van verantwoording. Ten slotte worden de bevindingen uit de drie nader onderzochte domeinen gepresenteerd. Naast de documenten en de interviews hebben de onderzoekers een digitale enquête onder de medewerkers van de drie domeinen uitgezet. Op verschillende punten in dit hoofdstuk zal geput worden uit de resultaten van de enquête. De enquête richt zich op het krijgen van een beeld van het kennisniveau van de AVG onder medewerkers en de mate waarin medewerkers ondersteuning vanuit de organisatie ervaren in het werken met de AVG. Er zullen op basis van alleen de uitkomsten van de enquête echter geen harde conclusies getrokken kunnen worden. Daarom wordt ook gekeken naar relevante informatie uit de documenten en de interviews, en in hoeverre deze aansluit bij de uitkomsten van de enquête.
3.2. Implementatie van de AVG in Zoetermeer 3.2.1. Stappen van het implementatieproces De voorbereiding van implementatie is gestart in 2016 Sinds 25 mei 2018 is de gemeente Zoetermeer aanspreekbaar op de naleving van de AVG. In de twee voorafgaande jaren heeft de gemeente de mogelijkheid gehad om de AVG te implementeren in de organisatie. Uit documentatie blijkt dat de gemeente zich sinds het inwerkingtreden van de AVG in mei 2016 al voorbereidde op de implementatie van de AVG in de organisatie.46 In de twee jaren waarin de AVG al in werking was getreden heeft de gemeente in verschillende fasen uitvoering gegeven aan de implementatie van de AVG. Dit proces is grotendeels verlopen aan de hand van het stappenplan van de Autoriteit Persoonsgegevens voor de implementatie van de AVG. De door de gemeente verstrekte documentatie laat zien dat er gedurende de periode van twee jaar in verschillende stappen is gewerkt aan de implementatie. Hierbij zijn medewerkers op het gebied van informatie(beveiliging), securitybeleid, ICT, juridische zaken, financiën en governance betrokken geweest.
46 Gemeente Zoetermeer (2016). Plan van aanpak compliance AVG.
22
De implementatie kreeg in de periode 2017-2018 concreet vorm In februari 2018 is door de privacy officer een uitgebreide rapportage opgesteld over de stand van zaken van de implementatie van de AVG op dat moment. Hieruit komt naar voren dat de gemeente de volgende acties tot dan toe heeft ondernomen:
Een bewustwordingsactie binnen de organisatie, met workshops voor nieuwe medewerkers, een 'roadshow' voor medewerkers en raadsleden langs alle afdelingen en het inzetten van zogeheten privacy-ambassadeurs in de organisatie;47 Het vernieuwen van het privacybeleid en het updaten van een register van verwerkingen; Het aanstellen van een Functionaris voor de Gegevensbescherming (FG) per 5 december 2017; Het instellen van een vaste procedure voor het melden van datalekken bij de Autoriteit Persoonsgegevens;48
Daarnaast is in juni 2018 een interne presentatie gegeven over de stand van zaken op dat moment. Hierin is aangegeven welke acties op dat moment nog niet gereed, gedeeltelijk gereed, voor een belangrijk deel gereed of volledig op orde zijn. Hieruit blijkt dat alleen de Privacy Impact Assessments (PIA's) en het invulling geven aan privacy by design en privacy by default nog niet volledig gereed waren.49 Raad en college zijn actief geïnformeerd bij de implementatie door middel van memo's In de periode oktober 2016 - mei 2018 zijn gemeenteraad en college door de ambtelijke organisatie periodiek geïnformeerd over de voortgang van de implementatie van de AVG. Deze informatievoorziening bestond uit memo's waarin onder andere een toelichting werd gegeven op de belangrijkste ontwikkelingen (zoals bijvoorbeeld het opzetten van een verwerkingsregister en het aanstellen van een FG). Ook werden raad en college middels deze informatiememo's geïnformeerd over de datalekken die zich in de voorgaande maanden voordeden.50 Het stappenplan voor implementatie is doorlopen maar nog niet geheel succesvol In de voor dit onderzoek gevoerde gesprekken is aangegeven dat in 2022 een groot deel van de stappen uit het stappenplan van de Autoriteit Persoonsgegevens is uitgevoerd.
Gesprekspartners geven aan dat volgens huidige stand van zaken de gemeente een heel eind is met de uitvoering van het stappenplan, maar dat er op onderdelen nog verbetermogelijkheden zijn. Zo geven gesprekspartners aan dat de verschillende verwerkingsregisters zijn opgezet, maar dat niet altijd alle relevante processen in die registers zijn opgenomen. Daarnaast worden mogelijk niet altijd alle datalekken als zodanig herkend en gemeld. Verder kan er volgens diverse gesprekspartners actiever worden gewerkt aan structureel
47 Gemeenteraad Zoetermeer (2019). Roadshow informatiebeveiliging en privacy:
https://zoetermeer.bestuurlijkeinformatie.nl/Agenda/Document/8c21252e-3e54-4369-94178baa3a83ca06?documentId=207422a4-28ca-47c7-bee6-ef125e634418&agendaItemId=614e13be-7095-48b0-8dc149f7486803a7. 48 Gemeente Zoetermeer (2018). Stand van zaken implementatie AVG februari 2018. 49 Gemeente Zoetermeer (2018). Interne presentatie stand van zaken AVG. 50 Gemeente Zoetermeer (2016-2018). Memo’s privacy voor raad en college, periode oktober 2016 – mei 2018.
23
bewustzijn en kennisopbouw onder medewerkers. Hieronder wordt per deelonderwerp nader ingegaan op de huidige praktijkinvulling van de AVG-richtlijnen in Zoetermeer.
3.3. Organisatie van gegevensbescherming 3.3.1. Rolneming en het Three Lines of Defence-model Het Three Lines of Defence-model wordt in de praktijk anders ingevuld Zoals beschreven in hoofdstuk 2 beoogt de gemeente Zoetermeer volgens het informatiebeveiligingsbeleid met het Three Lines of Defence-model (3LoD-model) voor inrichting van de privacyorganisatie te werken.51 In de praktijk wordt wel uitgegaan van het 3LoD-model als het gaat om de organisatie van informatiebeveiliging en privacy, maar wordt het model anders ingevuld dan in het informatiebeveiligingsbeleid staat omschreven. De toelichting op het 3LoD-model op het gemeentelijk intranet gaat uit van een andere verdeling van functionarissen over de drie lijnen. In het bijzonder de invulling van de tweede en derde lijn, respectievelijk 'expertise' en 'toezicht.' Gesprekspartners geven ook een verschillende uitleg van het 3LoD-model en hoe dit in de organisatie zou zijn geïmplementeerd. Rollen lijken door elkaar te lopen en verschillend te worden geïnterpreteerd. Sommige gesprekspartners geven aan tot voor kort nog niet van dit model te hebben gehoord. Hieronder wordt een verdere toelichting gegeven op de praktijkinvulling van het 3LoD-model.