Bijlage 3 - 213a onderzoek implementatie AVG

De afdelingshoofden zijn verantwoordelijk Waar in het beleid wordt aangegeven dat de eerste lijn gevormd wordt door de afdelingshoofden, komt uit de gevoerde gesprekken naar voren dat 'de afdelingen' verantwoordelijk zijn voor de informatiebeveiliging binnen hun vakdomein. Dit stemt meer overeen met het principe dat de direct betrokken medewerkers in de eerste plaats verantwoordelijk zijn voor de uitvoering. De eerste lijn draagt volgens het beleid echter niet alleen de verantwoordelijkheid voor een goed uitvoeringsproces, maar heeft ook de taak om toe te zien of dit volgens de richtlijnen plaatsvindt (compliance). Dat gebeurt door te werken met het vier ogen principe, casusbesprekingen te organiseren en deelwaarnemingen van de kwaliteitsmedewerkers in de afdeling. In de praktijk is het volgens gesprekspartners onvoldoende duidelijk wat precies de rol van de afdelingshoofden is en wordt hier ook verschillend invulling aan gegeven. Op basis van de gesprekken is het beeld dat de afdelingshoofden momenteel minder aandacht hebben voor het werken met de AVG dan van hen verwacht wordt in het beleidskader. Overlap tussen de tweede en de derde lijn Volgens het 3LoD-model in het huidige informatiebeveiligingsbeleid bestaat de tweede lijn uit de CISO en de senior adviseurs informatiebeveiliging.

De tweede lijn heeft een ondersteunende, adviserende en coördinerende rol en dient te bewaken in hoeverre het lijnmanagement (de eerste lijn) zijn verantwoordelijkheden neemt. De derde lijn heeft als taak te controleren of de uitgevoerde maatregelen in lijn zijn met de (wettelijke) richtlijnen, en dient hierover te rapporteren.52 De gemeente heeft op basis van een handreiking van de Informatiebeveiligingsdienst (IBD) een functieprofiel voor de CISO opgesteld. De Ciso is onafhankelijk gepositioneerd bij concerncontrolling. In 51 Gemeente Zoetermeer (2020). Gemeentelijk informatiebeveiligingsbeleid 2020-2023, p. 13. 52 Gemeente Zoetermeer (2020). Gemeentelijk informatiebeveiligingsbeleid 2020-2023, p. 13.

24

het functieprofiel is opgenomen welke kerntaken de CISO volgens de landelijke richtlijn heeft.53 In het functieprofiel wordt toegelicht dat een groot deel van deze kerntaken niet als zodanig wordt ingevuld door de CISO in Zoetermeer, maar door de senior adviseurs informatiebeveiliging. Uit de gesprekken komt naar voren dat de CISO zich in de praktijk niet alleen als toezichthouder opstelt, maar ook vanuit een meewerkende rol BIO prioriteiten op concern- en managementniveau oppakt en aanjaagt. Ook heeft de gemeente aangegeven dat de positionering van de CISO in het 3LoD-model bij de herziening van het informatiebeveiligingsbeleid zal worden geactualiseerd naar de huidige praktijkinvulling. Uit de gesprekken komt ook naar voren dat de tweede lijn in de praktijk wordt ingevuld door de senior adviseurs informatiebeveiliging en de PO. De CISO kan zich hierdoor meer richten op de derde lijn: het controleren of de genomen maatregelen in lijn zijn met de richtlijnen, en het rapporteren hierover. In de derde lijn is ook een rol weggelegd voor de FG en voor de gemeentearchivaris. Over het beleggen van de archieffunctie in de gemeente wordt een aparte toelichting gegeven in paragraaf 3.5.

In de gevoerde gesprekken kwam naar voren dat er weliswaar ieder jaar een duidelijke prioritering is, maar dat de senior adviseurs informatiebeveiliging vaak bezig zijn met de dagdagelijkse problemen en lopende zaken. De CISO richt zich blijkens de gesprekken meer op beveiligingsmaatregelen die aandacht nodig hebben op concern- en managementniveau, zoals bijvoorbeeld het laten opstellen van continuïteitsplannen en het organiseren van trainingen ten bate van crisisbeheersing. De wens bestaat om in de tweede lijn meer aandacht te hebben voor de prioriteiten die op grotere afstand staan van de dagelijkse praktijk. In gesprekken is aangegeven dat de organisatie nog zoekende is op dit vlak en overweegt om zogeheten domein-ISO's aan te stellen. Deze domein-ISO's zouden net als de privacyambassadeurs een aanspreekpunt kunnen vormen voor hun eigen afdeling of domein, over informatiebeveiliging.

Figuur 2. Praktijkinvulling organisatie 3LoD-model. Bron: Gemeente Zoetermeer (2021). Presentatie DT voortgang IPI, d.d. 4 oktober 2021. Rol van de FG vraagt om meer capaciteit

53 Gemeente Zoetermeer (geen datering). Functieprofiel CISO.

25

De gemeente voldoet sinds 2017 aan de verplichting tot het aanstellen van een FG.54 De FG is een interne onafhankelijke toezichthouder op de naleving van de AVG en de toepassing en implementatie van het privacybeleid. De FG is daardoor gepositioneerd in de derde lijn van het Three lines of defencemodel. De FG heeft de mogelijkheid om maatregelen te treffen in geval van calamiteiten of gebreken en krijgt toegang tot verwerkingsactiviteiten die worden uitgevoerd. Ook maakt de FG melding van datalekken bij het college als dat nodig is. In verschillende voor dit onderzoek gevoerde gesprekken kwam naar voren dat de FG weinig capaciteit (in aantal FTE) heeft om invulling te geven aan de rol van FG. Voor de taak van FG zijn in Zoetermeer op dit moment slechts enkele uren per week beschikbaar. De FG komt hierdoor nauwelijks toe aan het toezien op naleving van het privacybeleid, het uitbrengen van advies over de risico's van bestaande verwerkingen en voorgenomen nieuwe producten en diensten.. Ook voor het uitvoeren van structurele controles die toezien of de AVG door de organisatie goed wordt toegepast is weinig tot geen capaciteit beschikbaar. Een auditplan of controlecyclus is er (nog) niet. Het gebrek aan capaciteit hangt samen met het gegeven dat de FG ook teammanager is en verantwoordelijkheid draagt voor een afdelingsteam.

Voor de toekomst werd daarom genoemd dat het een optie zou zijn om een eigenstandige positie voor de FG in te richten en de FG onderdeel te maken van concerncontrol. Deze suggestie sluit aan bij de handreiking positionering en taken van de FG van de informatiebeveiligingsdienst, waarin de suggestie wordt gedaan om voor de FG functie een staffunctie in te richten zonder enige inbedding in de hiërarchie. Hierbij kan een voorbeeld genomen aan de positionering van de gemeentelijke concerncontroller, die ook onder het hoogste bestuurlijke gezag gepositioneerd is. Op het moment dat de FG meer capaciteit heeft is het ook beter mogelijk om toezicht te houden op de uit te voeren audits en DPIA's en kan ook worden toegekomen aan het zelf uitvoeren van audits. De AVG geeft de gemeente een aantal plichten ten aanzien van de FG. Zo moet de gemeente als verwerkingsverantwoordelijke zorgen dat de FG de tijd en middelen tot zijn beschikking heeft om de taken van een FG te kunnen vervullen en zijn deskundigheid als FG in stand te houden.55 In gemeenten met een vergelijkbare grootte zoals Zwolle, Leiden56, Leeuwarden en Ede is de FG een fulltime functie57 In de gevoerde interviews komt naar voren dat de zeer beperkte beschikbaarheid van de FG een knelpunt is.

De invulling van de rol van FG komt niet overeen met de AVG Door het combineren van de rol van FG met die van teammanager is niet alleen sprake van een gebrek aan tijd, maar ontstaat er ook een positie voor de FG waarbij de onafhankelijkheid in het geding komt. Als het gaat om het combineren van werkzaamheden met de functie van FG stelt de AVG dat de FG andere taken of plichten kan vervullen maar dat deze taken en plichten niet mogen leiden tot een belangenconflict. De Guidelines on Data Protection Officers van de Europese privacytoezichthouders verduidelijkt deze bepaling door aan te geven dat belangenconflicten in ieder geval optreden wanneer de FG voor deze andere verantwoordelijkheden doelstellingen van of middelen voor de verwerking van persoonsgegeven moet bepalen.58 De Handreiking positionering en taken van de FG van de 54 Artikel 37 lid 1, Algemene verordening gegevensbescherming. 55 Artikel 38 lid 2, Algemene verordening gegevensbescherming. 56 De FG van de gemeente Leiden bedient ook drie omringende kleine gemeenten. 57 Zo volgt uit navraag bij deze gemeentes. 58 Guidelines on Data Protection Officers (‘DPOs’), p.16.

26

informatiebeveiligingsdienst voegt daaraan toe dat een FG ook geen andere taken of plichten mag vervullen waarin er sprake is van een aanzienlijke operationele verantwoordelijkheid voor gegevensverwerkingsprocessen.59 Concreet betekent het dat de FG niet ook verantwoordelijke voor (privacy) compliance mag zijn of mag beslissen over de aanschaf van IT-systemen. De FG is als teammanager JaBo rechtstreeks leidinggevende van de subteams privacy - waar de PO werkzaam is- , inkoop en onderzoek & statistiek. Daarmee lijkt de verantwoordelijkheid van de teammanager bij het bepalen van doelstellingen of middelen voor de verwerking van persoonsgegevens en de operationele verantwoordelijkheid voor gegevensverwerkingsprocessen een feit. Daarmee is per saldo sprake van ongewenste rolvermenging. Tot slot verplicht de AVG de FG tot het uitbrengen van rechtstreeks verslag aan de hoogste leidinggevende van de gemeente.60 Uit de voor dit onderzoek gevoerde gesprekken kwam naar voren dat de FG geen rapportages maakt voor de gemeentesecretaris, maar wel tweemaal per jaar samen met de CISO en gemeentearchivaris aansluit bij het directieteam en een mondeling toelichting geeft op gedane bevindingen. De al eerder genoemde Guidelines on Data Protection Officers plaatst deze plicht van de FG in context.

De guideline stelt dat de rapportages van de FG aan de gemeentesecretaris ook een middel is om het hogere management de opvatting van de FG mede te delen op het moment dat de organisatie beslissingen neemt tegen het advies van de FG in. Om te zorgen dat het verslag van de FG deze functie kan vervullen is het belangrijk om schriftelijk te rapporteren. Concluderend beschikt de FG momenteel over te weinig capaciteit om zowel teammanager als toezichthouder te kunnen zijn. Hierdoor kan de FG cruciale taken op het gebied van toezicht en monitoring niet vervullen. Daarmee voldoet de gemeente niet aan deze verplichting uit de AVG en lopen rollen door elkaar. De PO is veel tijd kwijt aan het adviseren bij acute vraagstukken Naast de FG kent de gemeente een PO (privacy officer). De positie van de PO is niet wettelijk vastgelegd zoals bij de FG en kent daardoor meer vrijheid in de rolinvulling. In de gemeente Zoetermeer voorziet de PO de organisatie van advies in het verwerken van persoonsgegevens. Zo is de PO verantwoordelijk voor de beoordeling van datalekken, is de PO betrokken als adviseur bij de DPIA's die uitgevoerd moeten worden en heeft de PO een faciliterende rol.61 In veel organisaties is de PO daarnaast een belangrijk aanspreekpunt als het gaat om AVG-gerelateerde zaken.

Naarmate een organisatie groter wordt en/of naarmate er meer persoonsgegevens moeten worden verwerkt, zullen er meer vragen ontstaan over de verwerking daarvan. In Zoetermeer is dit niet anders. Dit betekent dat de PO zowel veel taken heeft die zien op het borgen van de privacyrichtlijnen, als op het gebied van advisering en ondersteuning. In de gemeente zijn er twee personen die invulling geven aan de taken van de PO, een voor 27 uur in de week en een voor 8 uur in de week, zo blijkt uit de gevoerde gesprekken. Daarmee heeft de gemeente net iets minder dan 1 fte aan PO capaciteit beschikbaar. Gezien de omvang van de gemeente is dat relatief weinig. Daardoor heeft de PO, net als de FG, een capaciteitsprobleem. Navraag bij de gemeenten Leiden, Leeuwarden en Ede leert dat zij respectievelijk over PO capaciteit beschikken van 2,3 FTE (met streven naar 3 FTE), 2 FTE (waarvan 1 FTE juridisch ingestoken en 1 FTE managementgericht) en 0,89 59 Handreiking Positionering en taken van de FG. 60 Artikel 38 lid 3, Algemene verordening gegevensbescherming. 61 Privacybeleid gemeente Zoetermeer, pp. 4-5.

27

FTE. In de gevoerde gesprekken kwam naar voren dat er relatief weinig tijd is voor de PO om meer beleidsmatige taken voor de middellange termijn op te pakken, en dat de PO vaak druk is met acute (operationele) vraagstukken vanuit de afdelingen. Om te zorgen dat de PO zich meer kan richten op de strategische taken is de PO bezig met het versterken van het privacynetwerk met privacy-ambassadeurs, zo kwam in de gesprekken naar voren. Het privacynetwerk is inmiddels opgezet en heeft als voornaamste doel te fungeren als platform waarin de privacy-ambassadeurs elkaar op de hoogte houden van privacyvraagstukken en actuele ontwikkelingen. Door de privacy-ambassadeurs meer als eerste aanspreekpunt voor hun eigen afdeling te laten fungeren, hoeft de PO pas betrokken te worden bij afdelingsoverstijgende vraagstukken of wanneer er specifiek tweedelijns advies nodig is. Door deze doorontwikkeling van het privacynetwerk zou de PO kunnen worden ontlast. Binnen de gemeente wordt momenteel onderzocht of per afdeling één aanspreekpunt voor alle IPI-gerelateerde onderwerpen kan worden aangewezen. De doorontwikkeling van het privacynetwerk met privacy-ambassadeurs komt momenteel nog niet goed van de grond, zo blijkt uit de gevoerde gesprekken. Dit heeft onder andere te maken met de verschillende invulling die de privacyambassadeurs aan hun rol (willen) geven.

Medewerkers richten zich bij vragen tot de PO, teammanager of een collega In de gevoerde gesprekken kwam naar voren dat de PO een belangrijk eerste aanspreekpunt is voor de organisatie en dat de drempel voor medewerkers richting de PO laag is. Hoewel het fijn is voor de organisatie om een goed aanspreekpunt te hebben voor vragen, staat dit gegeven niet in lijn met het 3LoD-model en de ambitie van de PO om meer tijd te besteden aan beleidsmatige taken. De onder de medewerkers van de drie eerder genoemde domeinen uitgezette enquête laat ook zien dat medewerkers hun vragen relatief vaak stellen aan de PO, de teammanager/unitcoördinator of een directe collega. Daarbij moet opgemerkt worden de privacy-ambassadeurs nog niet in deze vragenlijst als optie zijn meegenomen. Het is daardoor niet duidelijk welke deel van de categorie 'collega' gericht is aan de privacy-ambassadeurs. Opvallend is ook dat medewerkers zich relatief vaak tot de FG richten met vragen.

28

Als ik vragen heb over de verwerking van persoonsgegevens dan ga ik naar (n=23) : Een collega

13%

Mijn teammanager of unitcoördinator

2% 25%

Mijn afdelingshoofd 30% 4%

26%

De Privacy Officer (Carlijn Dohmen) De Functionaris Gegevensbescherming (Angelique Schepers) De CISO (Susan Ligtenberg)

Figuur 3: Resultaten enquête onder medewerkers: vragen over verwerking van persoonsgegevens. Zoals benoemd zijn afdelingshoofden volgens het beleidskader verantwoordelijk voor een zorgvuldige verwerking van persoonsgegevens binnen hun afdeling. Blijkens de enquête en de gevoerde gesprekken gaan medewerkers in het geval van vragen meestal naar de PO, een collega of de teammanager of unitcoördinator. In zowel de gesprekken als de enquête komt naar voren dat de PO relatief vaak (in 30 procent van de gevallen) het eerste aanspreekpunt vormt. Hierdoor is de PO veel tijd kwijt aan het beantwoorden van vragen van medewerkers en blijft er minder tijd over voor een structurele aanpak van privacybescherming. 3.3.2. Integrale samenwerking tussen informatiebeveiliging, privacy en informatiebeheer De gemeente kent een hechte samenwerking in het team IPI Na het doorlopen van het implementatiestappenplan voor de AVG in 2018 heeft de gemeente Zoetermeer niet stilgezeten. Vanaf 2021 is de organisatie begonnen met een meer integrale samenwerking tussen de vakgebieden Informatiebeveiliging, Privacy en Informatiebeheer (hierna: IPI).62 Waar medewerkers informatiebeveiliging en privacy al een langere samenwerking kennen, is ook informatiebeheer sinds het najaar van 2020 betrokken in deze samenwerking.

De aanleiding voor deze samenwerking lag in de uitdaging met het gemeentelijke werkbedrijf De Binnenbaan. Bij de uitdaging van de gegevensuitwisseling met het werkbedrijf De Binnenbaan hebben de drie vakgebieden nauw samengewerkt. Uit de gesprekken komt naar voren dat de PO, de senior adviseurs informatiebeveiliging, de adviseurs informatiebeheer en de CISO regelmatig met elkaar en met de gemeentearchivaris overleggen. De IPI-samenwerking wordt blijkens de gevoerde gesprekken doorgezet door onder meer het gezamenlijk opzetten van trainingen en maandelijkse workshops voor medewerkers, het inrichten van de 62 Jaarverslag gemeente Zoetermeer 2021, pp. 163-165.

29

online learning zaakgericht werken en het zorg dragen voor de DPIA's. Uit de gesprekken komt naar voren dat IPI als onderwerp ook een vast onderdeel is geworden van de beoordelings- en voortgangsgesprekken ('Op-koers-gesprekken') met medewerkers. Medewerkers worden daardoor getoetst op hun functioneren vanuit de samenhang van de drie vakgebieden. Daarnaast is IPI een vast onderdeel geworden van de collegevoorstellen, door een vaste paragraaf voor IPI op te nemen in de sjablonen die medewerkers kunnen gebruiken bij het opstellen van voorstellen.63 IPI moet nog verder geworteld worden in de afdelingen Hoewel er intensief wordt samengewerkt tussen de vakgebieden van IPI, is er blijkens de gesprekken behoefte aan het sterker onderbrengen van IPI binnen de afdelingen. Lopende dit onderzoek werkt de PO aan het doorontwikkelen van een netwerk met aanspreekpunten voor privacy per afdeling (dit voornemen komt in het beleid terug onder de noemer privacy-ambassadeurs). Overwogen wordt of deze functionarissen ook het aanspreekpunt zouden kunnen zijn voor de vakgebieden informatiebeveiliging en -beheer. Op die manier zou er per afdeling één aanspreekpunt zijn voor IPI. Dit vergt wel uitbreiding van capaciteit of het herschikken van taken. Op het intranet van de gemeente Zoetermeer (Zoetermeer Enzo) is een pagina ingericht waarin een toelichting wordt gegeven op het team IPI.

Hierbij wordt aangegeven dat samenwerking tussen de vakgebieden informatiebeveiliging, privacy en informatiebeheer ertoe moet leiden dat de organisatie sneller en beter kan worden ondersteund. Op de IPI-pagina zijn ook links opgenomen naar de relevante beleidskaders en functionarissen die kunnen worden benaderd. Daarnaast wordt een korte toelichting gegeven op het 3LoD-model. Dit komt overeen met het model zoals weergegeven in figuur 2.

3.4. Kennisborging in de organisatie 3.4.1. Kennisniveau onder medewerkers Toelichting op de enquête onder medewerkers Er is een digitale enquête uitgezet om een beeld te krijgen van het kennisniveau van de AVG onder medewerkers en de mate waarin medewerkers ondersteuning vanuit de organisatie ervaren in het werken met de AVG. De enquête is op 20 mei 2022 uitgezet onder 36 medewerkers uit het sociaal domein, het publieksplein en veiligheidsdomein. Op 31 mei 2022 hebben de medewerkers een reminder ontvangen voor het invullen van de enquête. Daarnaast is er intern in de gemeentelijke organisatie een herinnering verzonden aan medewerkers om de enquête in te vullen. De lijst met gestelde vragen is opgenomen in de bijlage. Dit heeft geleid tot 23 volledig ingevulde vragenlijsten. Daarvan zijn er 5 afkomstig van medewerkers uit het sociaal domein, 8 uit het veiligheidsdomein, 7 van het publieksplein en 3 medewerkers hebben aangegeven op geen van de drie afdelingen te werken. Zoals al bij de inleiding van dit hoofdstuk aangegeven, geeft dit een indicatie van de stand van zaken in de organisatie. Daarom worden de resultaten uit de enquête naast bevindingen uit de documentatie en interviews gepresenteerd. Het niveau van algemene kennis van de AVG onder medewerkers lijkt op orde 63 Jaarverslag gemeente Zoetermeer 2021, pp. 163.

30

In de enquête die is uitgezet onder de medewerkers van het sociaal domein, het publieksplein en het veiligheidsdomein zijn vijf vragen gesteld die gaan over de algemene kennis van de AVG. Zo is er bijvoorbeeld gevraagd of een mailadres een persoonsgegeven is en of een medewerker melding moet maken van het versturen van persoonsgegevens naar een verkeerd mailadres. Bij elk van de vijf vragen was de beantwoording door de medewerkers voor meer dan 80 procent juist.

Algemene kennis van de AVG (n=23) Wanneer ik voor mijn werk een mail verstuur met persoonsgegevens naar een verkeerde ontvanger moet ik dat altijd melden.

96%

4%

Wanneer een inwoner een mail stuurt met het verzoek om al zijn persoonsgegevens te verwijderen, moet hier altijd aan worden voldaan.

87%

9% 4%

De AVG is niet van toepassing wanneer persoonsgegevens via de mail worden uitgewisseld.

91%

9%

Gegevens waaruit iemands ras of etniciteit blijkt is een persoonsgegeven

83%

17%

d.vandijk@neckervannaem.nl is een persoonsgegeven

87%

13%

0% juiste antwoorden

10% 20% 30% 40% 50% 60% 70% 80% 90% 100%

foutieve antwoorden

aangegeven het niet te weten

Figuur 4. Resultaten enquête onder medewerkers: vragen over algemene kennis van de AVG. Werken volgens de regels van de AVG is een uitdaging voor medewerkers Hoewel de kennis van medewerkers ten aanzien van de AVG op orde lijkt te zijn, laten de resultaten van de enquête zien dat het werken volgens de regels van de AVG voor een relatief groot deel van de medewerkers een uitdaging blijft. Van de 23 respondenten geeft ongeveer de helft (12) aan het werken volgens de regels van de AVG te ervaren als ‘lastig’ tot ‘zeer lastig’. In paragraaf 3.7 wordt verder ingegaan op de ervaringen van medewerkers uit de drie onderzochte domeinen.

Werken volgens de regels van de AVG is:

7 0%

Eenvoudig

Neutraal

2

12

2

10% 20% 30% 40% 50% 60% 70% 80% 90% 100%

Lastig

Weet ik niet/geen mening

Figuur 5. Resultaten enquête onder medewerkers: vraag over werken volgens de regels van de AVG.

31

3.4.2. Ondersteuning van medewerkers Medewerkers hebben grotendeels positieve ervaringen met ondersteuning De resultaten van de enquête bieden ook inzicht in de ervaringen van medewerkers ten aanzien van ondersteuning. Het grootste deel van de respondenten (18) geeft aan dat zij voldoende kennis hebben om op de juiste wijze met persoonsgegevens te werken. Datzelfde geldt voor kennis over wie verantwoordelijk is voor de juiste omgang met persoonsgegevens (16). Vrijwel alle respondenten (twee uitgezonderd) geven aan in meer of mindere mate te weten bij wie zij terecht kunnen bij vragen over de verwerking van persoonsgegevens. Bij al deze resultaten moet wel de kanttekening worden gemaakt dat veel respondenten kiezen voor de optie 'beetje eens', in plaats van voor 'eens' of 'helemaal eens.'

Ondersteuning in het werken met de AVG (n=23) Mijn manager heeft voldoende aandacht voor het werken 01 met de AVG.

4

Als ik vragen heb over de verwerking van 01 persoonsgegevens weet ik bij wie ik terecht kan. Als medewerker van de gemeente is het voor mij voldoende duidelijk wie er verantwoordelijk is voor de 01 juiste omgang met persoonsgegevens. Als medewerker van de gemeente heb ik voldoende kennis 0 2 om op de juiste wijze met persoonsgegevens te werken.

2

5

5

4

4

5

10

6

7

3

2

6

10

1

3

4

2

4

0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% helemaal oneens (-3)

oneens (-2)

beetje oneens (-1)

neutraal (0)

beetje eens (1)

eens (2)

helemaal eens (3)

Weet ik niet geen mening

Figuur 6. Resultaten enquête onder medewerkers: vragen over ondersteuning in het werken met de AVG. Zoals eerder benoemd zijn de afdelingshoofden in de eerste lijn verantwoordelijk voor het toezien op het werken met de AVG. De enquête lijkt een knelpunt aan te geven in de aandacht van managers voor het werken met de AVG. Vijf respondenten zijn het oneens met de stelling dat hun manager voldoende aandacht heeft voor het werken met de AVG. Uit de gesprekken komt ook naar voren dat de managers in de praktijk in wisselende mate de ruimte hebben om structureel aandacht te schenken aan de AVGtaken. Er zijn voor medewerkers uitgebreide handreikingen en protocollen beschikbaar

32

De gemeente Zoetermeer kent een groot aantal handreikingen, protocollen en instructies die medewerkers bij het verwerken van gegevens kunnen raadplegen64. Er zijn zowel overkoepelende documenten die voor de gehele organisatie zijn opgesteld: zo is er een stroomschema opgesteld wat medewerkers kunnen hanteren bij het afwegen of en in hoeverre gegevens worden gebruikt en verstrekt aan derden. In deze handreiking wordt schematisch weergegeven welk stappenplan medewerkers moeten doorlopen om conform de AVG informatie te delen met ketenpartners, en in hoeverre betrokken personen van wie gegevens worden gedeeld hierover moeten worden geïnformeerd:65

Figuur 7: Stroomschema voor het informeren van betrokken personen over het delen van persoonsgegevens.66 Ook zijn er, zoals eerder benoemd, protocollen beschikbaar voor het uitvoeren van DPIA's. Daarnaast kent de gemeente verschillende werkinstructies en protocollen die voor een specifiek domein of een specifieke afdeling zijn opgesteld. Op deze laatste categorie wordt ingegaan in paragraaf 3.7. Medewerkers worden gefaciliteerd middels workshops en trainingen Naast de ondersteuning door onder meer de PO en de verschillende handreikingen en protocollen, worden periodiek workshops en trainingen georganiseerd om medewerkers te ondersteunen. Het doel van deze workshops of trainingen is tweeledig: het borgen van structurele kennis over de AVG en de implementatie hiervan in de organisatie, en het faciliteren van een plek waar medewerkers vragen kunnen stellen en met elkaar sparren over de praktijkinvulling van de AVG-richtlijnen. Het faciliteren van dergelijke workshops is in lijn met de BIO-norm om bewustzijn, opleiding en training over informatiebeveiliging te organiseren.67

64 Een overzicht van de instructies en protocollen die in het kader van dit onderzoek ontvangen zijn, is opgenomen in bijlage 5. 65 Gemeente Zoetermeer (g.d.). Stroomschema delen informatie met derden. 66 Gemeente Zoetermeer (g.d.). Stroomschema delen informatie met derden. 67 Baseline Informatiebeveiliging Overheid, norm 7.2.2.

33

In het kader van de implementatie van de AVG in de periode 2016-2018 is onder meer een bewustwordingsactie voor medewerkers georganiseerd, evenals verschillende workshops. Blijkens de gesprekken wordt er iedere maand een workshop informatiebeveiliging en privacy georganiseerd voor nieuwe medewerkers. Deze workshop wordt gegeven door de PO en een senior adviseur informatiebeveiliging. Daarnaast is er volgens de gesprekken een online e-learning zaakgericht werken beschikbaar op intranet. Deze e-learning gaat onder meer in op het werken met het gemeentelijk zaaksysteem volgens de AVG. In paragraaf 3.7 wordt verder ingegaan op de leertuinen privacy in het sociaal domein. 3.4.3. Datalekken De verwerkingsverantwoordelijke moet een datalek melden Zoals beschreven is in hoofdstuk 1 stelt de AVG het melden van datalekken verplicht, tenzij het onwaarschijnlijk is dat het datalek een risico inhoudt voor de rechten en vrijheden van natuurlijke personen.68 De betekent dat de verwerkingsverantwoordelijke in het geval een datalek een inschatting moet maken van de effecten.

De Guideline meldplicht datalekken geeft de criteria voor de beoordeling van de ernst van een datalek.69 Daarnaast heeft de Autoriteit Persoonsgegevens een stappenplan gegeven voor de stappen die gezet moeten worden in het geval van een datalek.70 Het grootste deel van de datalekken ontstaat door onjuiste adressering De PO van de gemeente Zoetermeer maakt ieder jaar een overzicht van alle datalekken.71 Op basis daarvan kan worden geconstateerd dat er in de gemeente Zoetermeer in de jaren 2020 en 2021 in totaal 68 intern gemelde datalekken zijn geweest. 57 procent van deze datalekken is ontstaan door het versturen van gegevens naar een verkeerde ontvanger.72 In 14 van de 68 gevallen is er naast een interne melding ook een melding bij de Autoriteit Persoonsgegevens gedaan.

In de rapportage over de datalekken van 2020 en 2021 maakt de gemeente de aantekening dat er mogelijk meer datalekken in de gemeentelijke organisatie zijn maar dat medewerkers geen melding maken van deze datalekken of het lek niet als dusdanig herkennen.73 Door middel van informatievoorziening via intranet en handreikingen wordt getracht dit zo veel mogelijk te voorkomen.74 Wanneer er sprake is van een datalek bij de gemeente is het interne proces datalekken van toepassing.75 Het door de gemeente opgestelde stappenplan in het geval van een datalek is uitvoerig en komt overeen met het stappenplan van de Autoriteit Persoonsgegevens. Medewerkers die een datalek willen melden kunnen dat doen via drie wegen: in Topdesk, via datalekken@zoetermeer.nl of via een lid van het datalekkenteam (de PO, adviseurs inormatiebeveiliging, FG en CISO). Na melding vindt er een beoordeling van het risico plaats en beoordeelt de PO of er melding moet worden gemaakt bij de Autoriteit Persoonsgegevens.

68 Artikel 33 Algemene verordening gegevensbescherming. 69 Richtsnoeren voor de melding van inbreuken in verband met persoonsgegevens krachtens Verordening 2016/679. 70 Stappenplan: kom in actie bij een datalek. 71 Datalekken Gemeente Zoetermeer in 2020 (infographic); Datalekken Gemeente Zoetermeer in 2021 (infographic). 72 Datalekken 2020 en 2021. 73 Datalekken 2020 en 2021. 74 Beschrijving proces datalekken. 75 Beschrijving proces datalekken.

34

De beoordeling van de vraag of datalekken ook gemeld moeten worden aan de Autoriteit Persoonsgegevens is in de gemeente Zoetermeer neergelegd bij de PO. In het geval van datalekken die een grote publieke impact hebben of politiek gevoelig zijn moeten ook de gemeenteraad en het college geïnformeerd worden. In de praktijk wordt hier ook de FG bij betrokken, zo blijkt uit de gevoerde gesprekken. Voor het melden van datalekken aan het college en de raad zijn de afdelingen verantwoordelijk. In gesprekken werd aangegeven dat het voor medewerkers niet altijd eenvoudig is om in te schatten in hoeverre een datalek politiek gevoelig is of al dan niet een grote publieke impact heeft. Daarom stemt de FG hierover af met de betrokken bestuurder. Medewerkers geven aan dat het duidelijk is wat ze moeten doen in het geval van een datalek Het grootste deel van de respondenten van de enquête (20) geeft aan te weten wat ze moeten doen in het geval van een datalek. Dit gegeven kan op verschillende manieren worden geduid. Het feit dat medewerkers weten wat ze moeten doen kan enerzijds komen door kennis van het protocol, maar dat kan anderzijds ook komen door een meervoudige ervaring met datalekken. In paragraaf 3.7 wordt verder ingegaan op het melden van datalekken binnen de drie onderzochte domeinen.

Stelling: als medewerker van de gemeente weet ik wat ik moet doen op het moment dat er mogelijk sprake is van een 0 1 1 datalek 0%

2

12

6

1

10% 20% 30% 40% 50% 60% 70% 80% 90% 100%

helemaal oneens (-3)

oneens (-2)

beetje oneens (-1)

neutraal (0)

beetje eens (1)

eens (2)

helemaal eens (3)

weet ik niet/geen mening

Figuur 8. Resultaten enquête onder medewerkers: vragen over handelingen bij een datalek. De Basisregistratie Personen kent een eigen procedure voor onjuiste gegevensverstrekkingen en incidenten De regels en richtlijnen uit de AVG gelden ook voor het werken met de Basisregistratie Personen (BRP) in de gemeente. Het publieksplein, waar de BRP in beheer is, heeft een eigen procedure voor misstanden. Op het moment dat er sprake van onjuist verstrekte gegevens uit de basisregistratie dan moet er melding gemaakt worden bij een BRP-specialist, de functioneel beheerder BRP of de manager publieksplein. Via de beoordeling van de consequenties wordt in overleg met de melder afgewogen hoe er wordt omgegaan met de misstand. Onderdeel van deze afweging is de vraag of het nodig is om melding te maken van een datalek. Over de incidenten met betrekking tot de BRP wordt jaarlijks gerapporteerd aan het managementteam Publieksplein.76 3.4.4. Verwerking van persoonsgegevens De gemeente houdt actief verwerkingsregisters bij

76 Gemeente Zoetermeer (2021). Procedure incidentenmelding BRP; ibid. (2021). Procedure onjuiste verstrekkingen

35

Op basis van de AVG is de gemeente verplicht om verwerkingsregisters bij te houden van alle persoonsgegevens die zij verwerkt. Hierin moeten de volgende onderdelen zijn opgenomen: 

     

De naam en contactgegevens van: de gemeente of de vertegenwoordiger van de gemeente; eventuele andere organisaties met wie gezamenlijke doelen en middelen van de verwerking zijn vastgesteld; de FG en eventuele internationale organisaties waarmee persoonsgegevens worden gedeeld; De doelen waarvoor de persoonsgegevens worden verwerkt. Een beschrijving van de categorieën van personen van wie gegevens worden verwerkt, bijvoorbeeld uitkeringsgerechtigden, klanten of patiënten. Een beschrijving van de categorieën van persoonsgegevens, zoals het BSN, NAW-gegevens, telefoonnummers, camerabeelden of IP-adressen. Bewaartermijn: de datum waarop de gegevens moeten worden gewist (indien bekend). De categorieën van ontvangers aan wie persoonsgegevens worden verstrekt. Een algemene beschrijving van de technische en organisatorische maatregelen die zijn genomen om de persoonsgegevens die worden verwerkt te beveiligen.77

Voor dit onderzoek hebben de onderzoekers de verwerkingsregisters in kunnen zien van het sociaal domein, het publieksplein en het veiligheidsdomein. Deze registers bevatten de categorieën aan informatie die de registers volgens de AVG zouden moeten bevatten.78 In het implementatieproces van de AVG in de gemeente Zoetermeer hebben zich blijkens de gesprekken verschillende knelpunten voorgedaan met betrekking tot de verwerkingsregisters. Iedere afdeling binnen de gemeente is verantwoordelijk voor het opstellen van een eigen register. In de praktijk werden de registers niet altijd tijdig voorzien van de correcte informatie, of waren de registers onvolledig. Doordat de verantwoordelijkheid voor het invullen van de verwerkingsregisters relatief laag in de organisatie ligt, kan het voorkomen dat informatie niet klopt, niet volledig is of niet actueel is. Uit de gesprekken kwam het voorbeeld naar voren dat het handhavingsproces van de boa's niet is verwerkt in het verwerkingsregister van het veiligheidsdomein. Momenteel worden de verwerkingsregisters volgens gesprekspartners voornamelijk gebruikt voor registratie, en minder voor het in beeld brengen van mogelijke risico's van verwerking op de lange termijn. Binnen de afdeling informatiebeheer wordt lopende dit onderzoek overwogen om een Inavigator in te zetten die hier zorg voor zou kunnen dragen.

De gemeente kent geen actueel overzicht van verwerkersovereenkomsten Om te zorgen voor een juiste verwerking van persoonsgegevens is het nodig om verwerkersovereenkomsten te sluiten tussen de verwerkingsverantwoordelijke en de verwerker. Hierin is de gemeente meestal de verwerkingsverantwoordelijke. In de praktijk verwerkt de gemeente de verwerkersovereenkomsten in de hoofdovereenkomst die de gemeente sluit met een externe partij.

77 Autoriteit Persoonsgegevens (2022). Verantwoordingsplicht, vereisten voor verwerkingsregisters:

https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/algemene-informatie-avg/verantwoordingsplicht#wat-moet-er-in-hetverwerkingsregister-staan-7193. 78 Gemeente Zoetermeer: verwerkingsregisters publieksplein, sociaal domein en veiligheid, vergunningen en handhaving.

36

Voor het opstellen van aparte verwerkersovereenkomsten is een VNG-model aanwezig dat medewerkers als basis kunnen hanteren.79 Een actueel overzicht van alle verwerkersovereenkomsten die de gemeente heeft gesloten is blijkens de gesprekken niet aanwezig, mede doordat afspraken over verwerking van gegevens met derden vaak niet zijn opgenomen in een aparte overeenkomst. Volgens het privacybeleid dient de FG toe te zien op de naleving van verwerkersovereenkomsten en moet in het verwerkingsregister worden bijgehouden welke verwerkersovereenkomsten er zijn gesloten. Momenteel voldoet de gemeente Zoetermeer dus niet aan deze richtlijn in het gemeentelijk kader.80 Privacy by design of privacy by default? In het privacybeleid vormen privacy by design en default uitgangspunten voor de gemeente in de uitvoering en naleving van de AVG. Deze principes zijn onderdeel van de ontwikkeling van nieuwe diensten of de inkoop nieuwe software. In de gesprekken werd aangegeven dat privacy en informatiebeheer een vaste plaats hebben in het proces van ontwikkeling of aankoop van nieuwe software. In de praktijk worden privacy en informatiebeheer hierbij echter niet altijd betrokken, zo blijkt uit de gevoerde interviews. In aanbestedingstrajecten zijn de betreffende afdelingen wel altijd betrokken.

Daarnaast werd aangegeven dat het niet altijd eenvoudig is om de juiste technische kennis in huis te halen om deze twee uitgangspunten in de praktijk te brengen.

3.5. Archieffunctie binnen de gemeente De gemeentearchivaris ziet toe op het informatiebeheer De gemeentearchivaris heeft binnen de gemeente een toezichthoudende rol op het archief- en informatiebeheer door de organisatie. Op basis van de gemeentelijke Archiefverordening 2020 legt de gemeentearchivaris ieder jaar verantwoording af aan het college aan de hand van een KPI-verslag. Het KPI-verslag van het jaar 2020 was beschikbaar. De gemeentearchivaris werkt lopende dit onderzoek nog aan het KPI-verslag over 2021. Hieronder wordt ingegaan op enkele relevante bevindingen van de gemeentearchivaris en bevindingen van de onderzoekers ten aanzien van het gemeentelijk informatiebeheer. De lokale regelingen zijn actueel Doordat de gemeentearchivaris in een eerder stadium constateerde dat de Archiefverordening en het Besluit Informatiebeheer verouderd waren, zijn deze documenten in 2020 beide vervangen en opnieuw vastgesteld. Daarnaast is er in 2020 gewerkt aan het vastleggen van de verantwoordelijkheden op het gebied van archief- en informatiebeheer van het nieuwe gemeentelijk werkbedrijf De Binnenbaan. Die verantwoordelijkheden zijn vastgelegd in een dienstverleningsovereenkomst.81 De gemeentearchivaris vraagt om aandacht voor de archieffunctie

79 Gemeente Zoetermeer (geen datering). Model verwerkersovereenkomst. 80 Gemeente Zoetermeer (2021). Privacybeleid, p. 5. 81 Ambtelijke stuurgroep Zoetermeer – Binnenbaan (2021). Memo Eindadvies verzelfstandiging informatievoorziening

Binnenbaan.

37

Uit de voor dit onderzoek gevoerde gesprekken komt naar voren dat er binnen de gemeentelijke organisatie nog onvoldoende zicht is op waar informatie is opgeslagen. Er staat in digitale structuren op meerdere plekken informatie waarvan niet duidelijk is of het om het originele document gaat of om een kopie. Door dit gebrek aan overzicht is het niet mogelijk om de wettelijke bewaartermijnen na te leven en blijven er persoonsgegevens in de gemeentelijke archieven staan waarvan de bewaartermijn is verlopen. Er vindt namelijk nog nauwelijks vernietiging van digitale informatie plaats. Daarbij is het ook de vraag of wel alle informatie in het zaaksysteem terechtkomt. Een verbetering in dit proces is het nieuwe zaaksysteem dat er sinds 1 januari 2022 is in de gemeente. In tegenstelling tot het oude zaaksysteem is er in dit systeem wel een mogelijkheid om gegevens te koppelen aan een bewaartermijn. De gemeente werkt echter ook met andere applicaties die geen beheermogelijkheden hebben als het gaat om de bewaartermijn. Het blijkt binnen de organisatie niet helemaal duidelijk te zijn welke applicaties over de juiste beheermogelijkheden beschikken. Bij de aankoop van nieuwe applicaties worden sinds 2021 informatiebeheer en privacy betrokken om te checken of de applicaties aan de eisen voldoen. Dit gebeurt echter nog niet altijd en soms pas achteraf.

De archieffunctie vraagt om nieuwe competenties Het KPI- verslag van de gemeentearchivaris over 2020 beschrijft een gat tussen de gewenste- en de beschikbare kennis en competenties als het gaat om het team informatiebeheer. De laatste jaren heeft zich in de archieffunctie een ontwikkeling voorgedaan van papier naar digitaal. Deze ontwikkeling vraagt andere competenties van medewerkers. Het ordenen en sorteren van dozen met papieren archiefbescheiden is iets anders dan het beheren van digitale systemen en het uitvoeren van advieswerkzaamheden voor de organisatie. In 2016 is daarom ingezet op een strategische personeelsplanning om de juiste competenties aan boord te halen. In 2020 is de constatering echter dat medewerkers weliswaar een andere functie hebben gekregen maar in grote lijnen nog dezelfde werkzaamheden uitvoeren. Vanaf 2020 heeft de gemeente echt ingezet op de transitie naar nieuwe werkzaamheden die zich richten op digitaal informatiebeheer. Het advies van de gemeentearchivaris luidt desondanks dat het nodig is om structureel extra middelen beschikbaar te stellen voor het team en de komende jaren externe medewerkers in te huren met het vereiste niveau.82 De gemeente is blijkens gesprekken momenteel bezig met het werven van nieuwe medewerkers die hieraan voldoen.

3.6. Verantwoording en rapportages Verantwoording aan de gemeenteraad neemt toe maar is op hoofdlijnen De verantwoording richting de gemeenteraad ten aanzien van gegevensbescherming verloopt via de P&C-cyclus. In het jaarverslag legt het gemeentebestuur verantwoording af over het gevoerde privacybeleid, stelt de raad op de hoogte van ontwikkelingen en maakt melding van eventuele bijzonderheden zoals een inbreuk of het verlies van persoonsgegevens en bij incidenten. In de jaarverslagen van 2018 tot en met 202183 is te zien dat er een steeds uitgebreidere behandeling op het onderwerp privacy is. Het jaarverslag 2021 bevat een uitgebreide toelichting op de onderwerpen informatiebeveiliging, privacy en informatievoorziening. Daarnaast wordt er onder meer ingegaan op de

82 KPI-verslag 2020, p.9. 83 Gemeente Zoetermeer (2018-2021). Jaarverslagen periode 2018-2021.

38

ENSIA-rapportages, de privacyleertuinen en de hoeveelheid datalekken (inclusief het aantal datalekken dat gemeld is bij de Autoriteit Persoonsgegevens) per jaar.84 Zoals eerder benoemd, is de gemeenteraad in de periode 2016 - 2018 periodiek geïnformeerd over de voortgang van de implementatie van de AVG door de organisatie. Uit de ontvangen documenten blijkt niet dat deze vorm van informatievoorziening sinds 2018 is voortgezet. De FG stelt geen rapportages op over gegevensbescherming In veel Nederlandse gemeenten speelt de FG een belangrijke rol in de verantwoording en rapportage over gegevensbescherming. De Autoriteit Persoonsgegevens geeft aan dat intern toezicht houden op gegevensbescherming een belangrijke taak is van de FG. De FG kan hieraan invulling geven door informatie te verzamelen over gegevensverwerking binnen de organisatie, dit te analyseren en te toetsen aan de wettelijke vereisten, en hierover ''informatie, adviezen en aanbevelingen [te] geven.''85 Binnen de gemeente Zoetermeer brengt de FG geen schriftelijke rapportage uit aan de gemeentesecretaris of het college. Wel is er een paragraaf in het jaarverslag opgenomen. Ook vindt er tweemaal per jaar een toelichting plaats in het directieteam in de vorm van een presentatie door het IPIteam (de FG, de CISO, de PO en de gemeentearchivaris).

Tijdens deze toelichting worden de belangrijkste bevindingen op het gebied van gegevensbescherming gedeeld en waar mogelijk vertaald naar doelstellingen voor het komende halfjaar.86 Uit de interviews komt naar voren dat op basis van de bevindingen van onder meer de FG, de paragraaf informatiebeveiliging, privacy en informatiebeheer (IPI) sinds begin 2022 als standaard onderwerp is opgenomen in de collegevoorstellen. Jaarlijks wordt verantwoording afgelegd in de ENSIA-rapportages In paragraaf 2.3 is al een toelichting gegeven op de ENSIA-systematiek. Jaarlijks wordt de ENSIArapportage opgeleverd voor de audit van DigiD en SUWInet (digitale infrastructuur die overheden hanteren voor het uitwisselen van gegevens). In de collegeverklaring ENSIA geeft het college jaarlijks aan dat bij de gemeente de beheersingsmaatregelen voor het voorgaande jaar voldoen aan de geselecteerde normen voor DigiD en SUWInet. Ook wordt, indien van toepassing, in de collegeverklaring aangegeven welke onderdelen van de uitvoering niet aan de normen voldoen en welke eventuele verbetermaatregelen de gemeente gaat treffen. De collegeverklaring wordt jaarlijks getoetst door een auditor die verifieert of de door de gemeente gesignaleerde bevindingen uit de ENSIA-rapportage ook een vervolg krijgen door een verbeterplan met actiepunten.

Die moeten vervolgens expliciet zijn belegd in en gemonitord door de organisatie.87 Vooraf aan risicovolle verwerkingen wordt een DPIA uitgevoerd Eén van de verplichte handelingen die uit de AVG voortkomen is het uitvoeren van zogeheten DPIA's88 voorafgaand aan risicovolle verwerkingsactiviteiten. Door het uitvoeren van een DPIA wordt beoordeeld wat de mogelijke effecten van een verwerking zijn op de bescherming van persoonsgegevens. Het

84 Gemeente Zoetermeer (2022). Jaarstukken 2021, pp. 164-165. 85 Autoriteit Persoonsgegevens: Functionaris Gegevensbescherming (FG):

https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/algemene-informatie-avg/functionaris-gegevensbeschermingfg#:~:text=Overheden%20en%20publieke%20organisaties,om%20bijvoorbeeld%20zorg%2D%20en%20onderwijsinstellingen. 86 Gemeente Zoetermeer (2021). Presentatie DT voortgang IPI, d.d. 4 oktober 2021. 87 Gemeente Zoetermeer (2021). Verslag auditor assurance ENSIA 2021. 88 DPIA staat voor Dataprotection impact assessment.

39

uitvoeren van DPIA's is als vaste stap opgenomen in het stappenplan voor de implementatie van de AVG, dat door de PO is opgesteld. Voor medewerkers is er een (via intranet beschikbaar) document opgesteld waarin wordt toegelicht wanneer een DPIA moet worden uitgevoerd. Tevens is er een format voor een DPIA-rapportage beschikbaar, dat medewerkers kunnen gebruiken. In dit format zijn alle stappen opgenomen die moeten worden doorlopen bij het uitvoeren van een DPIA, met de verschillende afwegingen die hierbij in het kader van de AVG moeten worden gemaakt.89 Uit de gevoerde interviews komt naar voren dat de PO de organisatie adviseert over de noodzaak van het uitvoeren van DPIA's, en waar nodig medewerkers bij het uitvoeren van een DPIA ondersteunt. Uit de interviews blijkt echter ook dat niet voor iedere medewerker duidelijk is wanneer een DPIA moet worden uitgevoerd.

3.7. Drie domeinen in beeld 3.7.1. Sociaal domein Met de leertuinen privacy kregen medewerkers inzicht in de werking van de AVG Om medewerkers te helpen meer (praktijk)kennis te vergaren heeft de gemeente Zoetermeer het initiatief genomen om zogeheten leertuinen privacy in het sociaal domein te organiseren. Deze leertuinen bestonden uit hoorcolleges en trainingen waarbij medewerkers wegwijs werden gemaakt in de richtlijnen van de AVG en de wijze waarop deze in het sociaal domein worden toegepast. In 2019 is het besluit genomen om te starten met de leertuinen privacy onder de begeleiding van het Innovatiecentrum Zorg en Veiligheid Coöperatie U.A.. De insteek van de leertuinen privacy was om de AVG niet als een belemmering te zien voor werkzaamheden maar juist als een manier om gegevensdeling mogelijk te maken voor een integrale aanpak.90 Als gevolg van het coronavirus heeft dit traject vertraging opgelopen. Daardoor konden de geplande hoorcolleges, trainingen en action learning sessies pas in 2021 van start gaan. Voorafgaand daaraan zijn de bestuurders, managers, unit-coördinatoren en andere relevante betrokkenen binnen het sociaal domein op de hoogte gesteld van de inhoud van de leertuinen en hun rol in het traject. Vervolgens hebben er in totaal 270 medewerkers van de gemeente en 16 medewerkers van werkbedrijf De Binnenbaan deelgenomen aan de bijeenkomsten.

In de hoorcolleges hebben de medewerkers aan de hand van methoden en stroomschema’s onder meer uitleg gekregen over wanneer het is toegestaan om gegevens te delen en of wanneer betrokkenen daarover geïnformeerd moeten worden. De beginselen en principes zoals een gerechtvaardigd doel, subsidiariteit, proportionaliteit en doelmatigheid kregen daarbij aandacht.91 Het traject van de leertuinen begon met de hoorcolleges en de training, op een later moment werden ook action learning sessies onderdeel van het traject. In deze sessies is met de medewerkers teruggekeken op hun ervaring met het werken volgens de geleerde methode. Dit werd mede gedaan aan de hand van dossiers die door FG steekproef waren geselecteerde. Op basis van deze sessies zijn er door

89 Gemeente Zoetermeer (g.d.). Format voor DPIA; moet ik een DPIA uitvoeren? 90 Memo stavaza leertuinen privacy, d.d. 24 maart 2022 91 Stroomschema Leertuin.

40

het projectteam leertuinen privacy verschillende knelpunten geformuleerd voor het werken met de AVG in het sociaal domein:      



Het hanteren van onnodige toestemmingsformulieren: Binnen de organisatie waren er verschillende onnodige toestemmingsformulieren in gebruik. Het advies op basis van het traject van de leertuinen was om te stoppen met deze formulieren. De onmogelijkheid om persoonlijke aantekening te maken in het zaaksysteem: Het was in de systemen niet mogelijk voor medewerkers om persoonlijke werkaantekeningen te maken die buiten een inzageverzoek kunnen worden gehouden. Ondersteuning van medewerkers: niet alle medewerkers voelden zich voldoende gefaciliteerd in het werken met AVG. De ketenpartners hebben andere werkwijzen: Medewerkers van de gemeente gaven aan dat ketenpartners andere werkwijzen hanteerden en dat dit samenwerking in de keten bemoeilijkte. Er is behoefte aan een bredere kring van medewerkers die kunnen ondersteunen: Een van de knelpunten die naar voren kwam uit de leertuinen was dat de kring van medewerkers met kennis van de AVG en de mogelijkheid om ondersteuning te bieden niet groot genoeg is. Het opstellen van een beleid voor gegevensuitwisseling: Om zowel intern als extern duidelijk te maken op welke wijze de gemeente omgaat met gegevensuitwisseling is het wenselijk om een beleidskader op te stellen waarin duidelijk omgeschreven wat de visie van de gemeente is op gegevensdeling.

De medewerkers ervaren de leertuinen als vrijblijvend: Ondanks dat het bijwonen van de bijeenkomsten verplicht was waren er regelmatig medewerkers die niet deelgenomen hebben aan de trainingen.92

De leertuinen hebben het beeld van medewerkers over de AVG veranderd In de gehouden interviews gaven de gesprekspartners aan de leertuinen privacy als behulpzaam te hebben ervaren. Toen de AVG net in werking was getreden en werd geïmplementeerd in de organisatie leefde de gedachte binnen de organisatie dat het bijna niet meer mogelijk zou zijn om gegevens te delen. De initiatieven die binnen de gemeente zijn ondernomen om het kennisniveau omhoog te brengen en methoden aan te reiken voor de praktijk hebben dat beeld kunnen kantelen, zo gaven de gesprekspartners aan. In de enquête die is uitgezet onder medewerkers van het sociaal-, het veiligheidsdomein en het publieksplein, gaven de medewerkers uit het sociaal domein een positief antwoord op de vraag of de leertuinen privacy hebben geholpen bij het werken met de AVG. Een enkeling noemde de leertuinen zelfs een eyeopener. Er bestaan nog knelpunten ten aanzien van het delen van gegevens In de gevoerde gesprekken kwamen echter enkele van de aan de hand van het traject leertuinen geformuleerde knelpunten opnieuw naar voren. Zo gaven medewerkers aan nog aan te lopen tegen de andere werkwijzen die ketenpartners hanteren. Hierbij kwam vooral het voorbeeld van de gehanteerde toestemmingsformulieren naar voren. Waar de ketenpartners nog met deze formulieren werken is de gemeente gestopt deze te gebruiken.

De gemeente hanteert inmiddels een nieuwe werkwijze voor informatiedeling in het sociaal domein, waarbij gewerkt wordt vanuit het principe van transparantie. Dit houdt in dat samen met de betrokken inwoner wordt bepaald welk doel de hulp- of dienstverlening 92 Memo stavaza leertuinen privacy, d.d. 24 maart 2022

41

heeft, en welke informatieverwerking hierbij nodig is. De betrokken inwoner wordt hier mondeling of schriftelijk over geïnformeerd, en wordt niet gevraagd om een toestemmingsformulier te tekenen.93 Dit is soms lastig voor medewerkers in de samenwerking met externe partijen, omdat voor medewerkers niet duidelijk is hoe ze met deze discrepantie van werkwijzen moeten omgaan. Ook kwam het eerdergenoemde knelpunt over de onmogelijkheid om persoonlijke aantekening te maken in het zaaksysteem terug. De noodzaak tot eenduidig beleid over gegevensuitwisseling werd ook opnieuw genoemd. De medewerkers gaven aan dat het soms ontbreekt aan duidelijkheid als het gaat om het delen van gegevens en dat het gevolg daarvan is dat medewerkers besluiten om vooral geen gegevens te delen. Dit levert soms moeilijk werkbare situaties op. Er vinden verschillende periodieke controles plaats Uit de gesprekken komt naar voren dat er binnen het sociaal domein veel (periodieke) controles plaatsvinden om te toetsen of aan de AVG wordt voldaan. In het kader van de implementatie van de AVG zijn verschillende DPIA-controles uitgevoerd. Medewerkers geven aan dat het uitvoeren van een DPIA een moeizaam proces is, ook al is duidelijk welke procedures hiervoor gehanteerd moeten worden.

Nu de AVG inmiddels is geïmplementeerd worden er blijkens de gesprekken in ieder geval binnen de afdelingen Jeugd en Participatie regelmatig kwaliteitscontroles uitgevoerd. In de praktijk betekent dit dat van iedere medewerker een willekeurig dossier wordt doorgenomen dat hij of zij in behandeling heeft. Hierbij wordt gekeken of de juiste stappen zijn doorlopen conform de wettelijke en gemeentelijke regelgeving. Deze kwaliteitscontroles vinden ieder kwartaal plaats. Ondersteuning medewerkers kan worden versterkt Binnen het sociaal domein wordt volgens gesprekspartners een hoge werkdruk ervaren. Er is sprake van een hoog personeelsverloop, waardoor eenmaal opgedane AVG-kennis de organisatie relatief snel weer verlaat. Daarom is het te meer van belang dat nieuwe medewerkers vanaf de start worden meegenomen in het werken met de AVG en actief worden gewezen op de verplichting om binnen drie maanden de hiervoor beschikbare cursus te volgen. Dat gebeurt nu niet altijd. Gesprekspartners die al langer binnen het Sociaal Domein werkzaam zijn geven aan meer behoefte te hebben aan structurele kennis-updates, bijvoorbeeld via fysieke 'bijspijkermomenten' eens per zes maanden. Het actiever inzetten van privacyambassadeurs als aanjagers van kennis en bewustzijn over de AVG en/of uitbreiding van de capaciteit van de PO zou volgens medewerkers ook nadrukkelijk in een behoefte voorzien. 3.7.2.

Publieksplein Medewerkers publieksplein kunnen gebruikmaken van aparte werkinstructies Medewerkers publieksplein werken veel met de Basisregistratie Persoonsgegevens (BRP). De Wet BRP schrijft voor dat de gemeente regelgeving (een verordening BRP) moet opstellen voor de verstrekking van gegevens aan gemeentelijke organen. Daarnaast dient de verstrekking aan derden in de verordening 93 Het document Nieuwe werkwijze informatiedeling gemeente Zoetermeer (g.d.) benoemt dit als volgt: ‘’ De nieuwe werkwijze

voldoet volledig aan de eisen van de AVG, maar ziet er misschien iets anders uit dan u gewend bent. Dat komt doordat we binnen het sociaal domein niet kunnen werken vanuit ‘toestemming’. Er is namelijk geen sprake van vrije toestemming in de zin van de AVG; als mensen geen toestemming geven voor het verwerken van hun persoonsgegevens dan kan dat gevolgen hebben voor de gewenste voorziening.’’

42

geregeld te worden. Het college van burgemeester en wethouders is verantwoordelijk voor de uitvoering van de Wet BRP. Uit de gevoerde interviews komt naar voren dat bij de implementatie van de AVG aanvankelijk onduidelijk was hoe deze zich verhield tot het BRP. Volgens de Autoriteit Persoonsgegevens zijn aanvullende plichten over persoonsgegevens die niet in het BRP zijn opgenomen: het bijhouden van een register van verwerkingen, het melden van datalekken en het aanwijzen van een FG.94 Binnen de gemeente Zoetermeer zijn er verschillende werkinstructies, protocollen en procedures opgesteld om een goed verloop van de BRP-taken te kunnen waarborgen. Het gaat hier onder meer over het verwijderen van gegevens en het melden van incidenten als datalekken of onjuiste verstrekkingen. De gemeente kent verder een apart informatiebeveiligingsplan voor de BRP-taken met beleidsdoelstellingen en bijbehorende maatregelen die moeten worden uitgevoerd.95 Medewerkers zijn alert op de wettelijke verplichtingen Medewerkers publieksplein hebben gegeven de aard van hun werk in de praktijk veel te maken met richtlijnen uit de AVG en de wet BRP. Uit de gevoerde interviews komt naar voren dat er bij de betrokken medewerkers daarom doorlopend aandacht is voor de bescherming van persoonsgegevens.

Alle medewerkers die werken met de BRP tekenen jaarlijks een convenant voor inzage in de BRP, en nieuwe medewerkers worden actief voorgelicht over de verplichtingen die de relevante wet- en regelgeving met zich meebrengt. De aandacht voor het onderwerp wordt tevens gefaciliteerd door dit periodiek te bespreken in teamoverleggen en de voortgangsgesprekken met individuele medewerkers. Tijdens deze overleggen is het ook mogelijk om te sparren en dilemma's te delen. Knelpunten in het zaaksysteem Medewerkers ervaren als belangrijk knelpunt in hun werk dat het gebruikte zaaksysteem voor contact met inwoners nog niet geoptimaliseerd is in het kader van de AVG. Sinds de inwerkingtreding van de AVG zijn er wel stappen gezet om het zaaksysteem in lijn te brengen met regelgeving, maar er moet nog meer worden gedaan om bescherming van persoonsgegevens te optimaliseren. Dat heeft met name te maken met de inzage die medewerkers hebben in bepaalde zaakgegevens. Deze gegevens zijn momenteel niet altijd even goed beschermd, waardoor meer medewerkers deze kunnen inzien dan de bedoeling is. Lopende dit onderzoek wordt er in samenwerking met de FG onder andere gewerkt aan het wegnemen van knelpunten hierbij. Een aandachtspunt is het onderscheid tussen informatie die ''need to know'' is en informatie die ''nice to know'' is.

Medewerkers kunnen terecht bij de PO en FG voor vragen Uit de interviews komt naar voren dat medewerkers publieksplein over het algemeen goed op de hoogte zijn van de richtlijnen uit de AVG. De vele werkinstructies, protocollen, periodieke workshops en de beschikbaarheid van online trainingen op intranet maken dat het informatieniveau bij medewerkers op peil blijft. Toch is ook aangegeven dat er regelmatig privacy kwesties 'op gevoel' in plaats van op basis 94 Autoriteit Persoonsgegevens (2022). Basisregistratie Personen:

https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/overheid/basisregistratie-personen-brp#faq 95 Gemeente Zoetermeer (2022). BRP-reglement; ibid. (2021). Informatiebeveiligingsplan BRP; ibid. (g.d.). Inzage en protocollering BRP; ibid. (2021). Procedure incidentenmelding BRP; ibid. (2021). Procedure onjuiste verstrekkingen; ibid. (2019). Privacy- en beheerregeling BRP.

43

van kennis worden opgelost. Wanneer er vragen zijn of er twijfel rijst, kunnen medewerkers conform het beleidskader in eerste instantie terecht bij de afdelingshoofden of teammanagers. Wanneer die het antwoord op een vraag niet weten, kan worden doorgeschakeld naar de PO of de FG. Vaak komt het echter voor dat medewerkers direct contact zoeken met de PO of de FG wanneer zij vragen hebben. Er worden veel controles en checks uitgevoerd Binnen het publieksplein worden veel checks en zelfevaluaties uitgevoerd ten aanzien van bescherming van persoonsgegevens. In het informatiebeveiligingsplan BRP is opgenomen welke zelfevaluatie en controles in het kader van de BRP jaarlijks moeten worden uitgevoerd. Daar hoort onder meer het controleren van de lijsten met persoonsgegevens door een kwaliteitsmedewerker bij. Daarnaast wordt jaarlijks een extra risicoanalyse uitgevoerd van de gebruikte systemen en applicaties. Uit die risicoanalyse volgt een score met bijbehorende aandachtspunten. Hieruit is onder meer het eerder behandelde knelpunt van inzichtelijkheid van gegevens naar voren gekomen. Zoals in paragraaf 2.2.3. over datalekken toegelicht, werkt de BRP met een aparte procedure voor het melden van datalekken. Wanneer zich een datalek voordoet, wordt dit gemeld bij de teammanagers en de PO.

De PO maakt de afweging of datalekken al dan niet gemeld moeten worden bij de Autoriteit Persoonsgegevens. 3.7.3. Veiligheidsdomein In het veiligheidsdomein worden veel gegevens gedeeld Binnen het veiligheidsdomein wordt veel gewerkt met persoonsgegevens. De gemeente Zoetermeer kent een scala aan samenwerkingspartners met wie persoonsgegevens worden gedeeld. Dat maakt het noodzakelijk om hierover met deze samenwerkingspartners afspraken te maken. De gemeente Zoetermeer heeft dan ook verschillende samenwerkingsovereenkomsten en convenanten gesloten met veiligheidspartners op zowel regionaal als lokaal niveau, onder andere met de politie, het Openbaar Ministerie (OM), het Landelijk en Regionaal Informatie en Expertise Centrum, het Zorg- en Veiligheidshuis Haaglanden en de Raad voor de Kinderbescherming. In de verschillende convenanten met deze partners wordt verwezen naar de richtlijnen uit de AVG. Zo moet bij het delen van persoonsgegevens een duidelijke grondslag worden gemeld, waarbij er goed moet zijn afgewogen of verstrekking proportioneel is.