Bijlage 3 - 213a onderzoek implementatie AVG

Ook zijn er in de convenanten onder meer afspraken gemaakt over de verantwoordelijkheid voor en organisatie van gegevensverwerking, over het bewaren van gegevens en over de rechten van betrokkenen.96 Uit de interviews komt naar voren dat het convenant voor het uitvoeringsoverleg Veiligheid en Zorg momenteel wordt geüpdatet omdat deze zijn gesloten voordat de AVG in werking trad. Medewerkers uit het veiligheidsdomein geven aan dat partners van de gemeente goed op de hoogte zijn van de richtlijnen uit de AVG. In de praktijk worden richtlijnen soms wel verschillend geïnterpreteerd. De ene partner kent een stringentere interpretatie van de AVG dan de andere. Dat maakt het soms lastig 96 Convenant aanpak georganiseerde criminaliteit, handhavingsknelpunten en integriteitsbeoorelingen (september 2014);

Convenant aanpak drugscriminaliteit politie-eenheid Den Haag (27 mei 2020); Convenant uitvoeringsoverleg Veiligheid en Zorg Zoetermeer (18 januari 2017); Samenwerkingsconvenant ketenpartners Zorg- en Veiligheidshuis Haaglanden (g.d.).

44

om in de praktijk effectief te kunnen handelen. Over het algemeen wordt mondeling meer informatie verstrekt dan schriftelijk. Het is daarom belangrijk dat medewerkers alert zijn wat er in het kader van de AVG wel of niet mag worden gedeeld. Daarbij is er veel afhankelijk van de eigen inschatting van de betrokken medewerkers. Andere knelpunten in het veiligheidsdomein Net als in het publieksdomein zijn er in de afgelopen jaren verschillende stappen gezet om de gebruikte systemen en applicaties in lijn te brengen met de AVG. Inmiddels blijkt uit de verschillende checks als de verplichte DPIA's dat de meeste systemen inmiddels in lijn zijn met de AVG-richtlijnen. In de praktijk maakt het volgen van de AVG het werk er niet altijd eenvoudiger op, omdat er veel extra checks en tussenstappen zijn ingebouwd voordat gegevens inzichtelijk zijn. Dit terwijl de aard van een casus soms vraagt om snel handelen. Dit laatste knelpunt komt ook veelvuldig voor waar de gemeente afhankelijk is van de informatie van derden. Anders dan in het sociaal domein wordt er in het veiligheidsdomein veel gewerkt met informatie over personen die geen expliciete toestemming hebben gegeven voor inzicht in hun gegevens. Dat geldt met name op het gebied van de samenwerking met politie en het OM, met het oog op het voorkomen van bijvoorbeeld strafbare feiten of met het oog op bescherming van derden.

Trainingen over privacy worden gezien als waardevol Medewerkers in het veiligheidsdomein geven aan veel waarde te hechten aan de verschillende trainingen en workshops die in de afgelopen jaren zijn gegeven over privacy en gegevensbescherming. Enkele medewerkers uit het veiligheidsdomein wiens werk ook het sociaal domein raakt, hebben ook de leertuinen privacy in het sociaal domein gevolgd. Volgens de medewerkers die de leertuinen hebben gevolgd, bood deze veel verheldering in de mogelijkheden om de AVG-richtlijnen in de praktijk invulling te geven. Medewerkers doen een beroep op collega's of de PO Zoals omschreven is er in het veiligheidsdomein veel afhankelijk van de eigen inschatting van betrokken medewerkers. Dat maakt het proces van gegevensdeling soms kwetsbaar. Medewerkers geven aan dat zij daarom vaak een beroep doen op de kennis van directe collega's en niet enkel op eigen inzicht te steunen. Hoewel afdelingshoofden volgens het informatiebeveiligingsbeleid de eerste aanspreekpersoon zijn voor vragen over gegevensdeling, wordt in de praktijk door medewerkers met vragen of twijfels vaak direct contact gezocht met de PO.

3.8. Keuzes en bewustzijn op het gebied van privacy en gegevensbescherming Aandacht voor privacy richt zich nog vooral op compliance Tijdens de gevoerde gesprekken kwam op verschillende momenten naar voren dat er binnen de gemeente aandacht is voor gegevensbescherming. Voor een groot deel is de aandacht echter nog gericht op compliance. Dat wil zeggen dat de tijd en aandacht van de medewerkers in de drie onderzochte domeinen en de medewerkers met een specifieke taak binnen de privacy-organisatie van de gemeente

45

zoals de PO en de CISO, vooral gaat naar het voldoen aan de gestelde eisen en richtlijnen. In gesprekken werd aangegeven dat sommige afdelingen de AVG als een belemmering zien waaraan voldaan moet worden. Zo worden bijvoorbeeld de verwerkingsregisters wel gebruikt voor het registeren van verwerkingsactiviteiten, maar benut de gemeente de verwerkingsregisters niet voor het in kaart brengen van risico's die verbonden zijn aan de verwerkingsactiviteiten en de maatregelen die bij die risico's horen. De verwerkingsregisters zijn hierdoor vooral administratief van aard maar leveren nog geen bijdrage aan de risicoanalyse. Ook werd in gesprekken aangegeven dat de PO relatief veel tijd kwijt is met acute vragen vanuit de organisatie. Hierdoor komt de rolinvulling van de PO niet verder dan het zorgen dat acute vraagstukken worden opgelost en voldoen aan eisen en richtlijnen. Er is daardoor minder aandacht voor toekomstige ontwikkelingen en de mogelijke risico's daarvan. De overwegingen ten aanzien van privacy krijgen te weinig gewicht Samenhangend met de meer compliance- gerichte insteek van de gemeente is de benadering van keuzes ten aanzien van privacy en informatiebeveiliging. De compliance-achtige aanpak binnen de gemeente maakt dat de gemeente zich vooral richt op bijvoorbeeld het invullen van en bijhouden van de verwerkingsregisters of het uitvoeren van de benodigde DPIA's.

Hoewel compliance een belangrijk onderdeel van gegevensbescherming is, is het ook van belang dat er meer fundamentele aandacht komt voor privacy als basiswaarde voor de organisatie. In de gevoerde gesprekken werd bijvoorbeeld aangegeven dat overwegingen in de gemeente ten aanzien van de aankoop van bijvoorbeeld nieuwe software vaak (alleen) technisch of beleidsmatig van aard zijn. Daarin is het voldoen aan de AVG een spreekwoordelijk vinkje dat gezet moet worden. Niet door alle gesprekspartners is dit beeld overigens herkend. De aard van het onderwerp gegevensbescherming vraagt naast compliance ook om een principiële overweging. Daarin is het belangrijk om privacy en gegevensbescherming meer als grondwettelijke basiswaarde van de organisatie te positioneren. Dit heeft als consequentie dat de bescherming van privacy geen argument is dat afgewogen moet worden tegen andere voor- en nadelen, maar een basiswaarde vormt die voorafgaat aan de overweging zelf. Het advies luidt dan ook om in het management een gezamenlijk gedeelde visie op het thema privacy te ontwikkelen.

46

4. Toekomstige ontwikkelingen 4.1. Inleiding In de voorgaande hoofdstukken is vooral aandacht geweest voor de huidige stand van zaken binnen de gemeentelijke organisatie op het gebied van gegevensbescherming. Daarbij is er gekeken naar het beleid en de uitvoering op het gebied van privacy en gegevensbescherming. In dit hoofdstuk zal allereerst ingegaan worden op de belangrijkste toekomstige ontwikkelingen in wet- en regelgeving. Daarna zal naar de bredere ontwikkelingen op het gebied van gegevensbescherming gekeken worden en de mogelijke risico's die daarbij horen.

4.2. Ontwikkelingen in wet- en regelgeving 4.2.1. Belangrijkste toekomstige ontwikkelingen in wet- en regelgeving Voor de komende jaren staan er verschillende ontwikkelingen op de rol als het gaat om wet- en regelgeving. De al lang op zich laten wachtende ePrivacy verordening lijkt er de komende jaren te komen, er komt met de Wet meervoudige problematiek sociaal domein (Wams) een wijziging van de Wmo 2015 en in 2023 zal de Wet modernisering elektronisch bestuurlijk verkeer (WMEBV) in werking treden.97 Daarnaast ligt de Wet gegevensverwerking voor samenwerkingsverbanden (WGS) in de Eerste Kamer.98 In dat licht is ook de wijziging van de BRP voor het project Landelijke Aanpak Adreskwaliteit relevant.99 Tot slot lag in het voorjaar van 2022 de Verzamelwet gegevensbescherming bij de Raad van State.100 Deze laatste wet heeft vooral consequenties voor het sociaal domein. Hieronder lichten we deze verschillende wetsvoorstellen en de status hiervan nader toe. Wanneer we kijken naar de gevolgen die deze wetsontwikkelingen voor de gemeente met zich zullen brengen, dan geldt dat daarover op dit moment nog veel onduidelijk is. Vaak is het bij dergelijke wetsontwikkelingen pas bij de definitieve vaststelling duidelijk wat de exacte implicaties zijn voor de praktijk in de gemeente. Als gemeente is het daarom belangrijk om niet volledig te koersen op voorlopige wetteksten.

Tegelijkertijd is het van belang om goed voorbereid te zijn op komende veranderingen. Zodra de kaders van nieuwe wet- en regelgeving vaststaan, is het verstandig om te starten met het organiseren van informatiesessies en bijscholing voor de betrokken medewerkers. Met de Leertuinen Privacy heeft de gemeente hiermee ervaring opgedaan. Ten slotte is het de overweging waard om een risicoparagraaf in de begroting op te nemen, waarin wordt ingegaan op mogelijke

97 Zie: https://www.eerstekamer.nl/wetsvoorstel/35261_wet_modernisering;

https://wetgevingskalender.overheid.nl/regeling/WGK010837 . 98 https://wetgevingskalender.overheid.nl/regeling/wgk008727 99 https://wetgevingskalender.overheid.nl/Regeling/WGK009588 100 https://wetgevingskalender.overheid.nl/Regeling/WGK011059

47

wettelijke veranderingen. Dit aangezien het wel zeker is dát er veranderingen zullen komen, maar de concrete gevolgen daarvan nog lastig in te schatten zijn. ePrivacy verordening Hoewel het de bedoeling was dat de Europese ePrivacy verordening er tegelijkertijd met de AVG zou komen, laat deze verordening nog op zich wachten. Ondanks dat de definitieve tekst voor de ePrivacy verordening nog niet is vastgesteld lijkt de grootste implicatie betreffende de werkwijzen van gemeenten betrekking te hebben op de omgang met elektronische communicatie.101 Het uitgangspunt van de ePrivacy verordening is dat zowel communicatie als de metadata van die communicatie vertrouwelijk worden. Beide zijn daarom alleen toegankelijk voor partijen die direct bij de communicatie betrokken zijn. De reikwijdte en exacte implicatie van dit uitgangspunt is door de status van de verordening nog onduidelijk. Wetsvoorstel aanpak meervoudige problematiek in het sociaal domein (Wams) Een wetsvoorstel dat al in een verder stadium is, is dat van de Wams.102 Dit wetsvoorstel vormt een wijziging van de Wet maatschappelijke ondersteuning 2015 (Wmo) en de relevante spiegelbepalingen in de Jeugdwet, Participatiewet en de Wet gemeenschappelijke schuldhulpverlening.

De aanleiding voor deze wetswijziging ligt in de moeilijkheden voor gemeenten bij het bieden van integrale ondersteuning in het sociaal domein en de daarbij benodigde domeinoverstijgende gegevensuitwisseling. Een duidelijke wettelijke basis voor deze uitwisseling van gegevens ontbreekt nu nog. Aangezien deze wetswijziging nog duidelijker de verantwoordelijkheid voor het bieden van een gecoördineerde aanpak bij de gemeenten neerlegt, is deze grondslag nodig. Deze wijziging moet helpen om gegevens uit te wisselen tussen het sociaal domein en de aanpalende domeinen: zorg en ggz, welzijn, onderwijs, wonen, openbare orde en veiligheid, werk en inkomen, inburgering.103 Deze wetswijziging zou de gemeente vooral een extra instrument moeten geven om te werken aan integrale hulpverlening in het sociaal domein. In maart 2020 is het wetsvoorstel van de Wams ter consultatie gelegd.104 De gemeente Zoetermeer heeft bijgedragen aan het wetsvoorstel door met een uitvoerige schriftelijke reactie deel te nemen aan de internetconsultatie en heeft daarin aangegeven blij te zijn met het voorstel dat grondslagen schept om het delen van gegevens bij meervoudige complexe problematiek mogelijk te maken.105 Daarin plaatst de gemeente wel enkele kanttekeningen bij de wettekst en wijst bijvoorbeeld op de toenemende verantwoordelijkheid van de gemeente ten opzichte van externe partijen.

Verder heeft de Raad van State een advies uitgebracht waarin zij onder meer de noodzaak van deskundigheidsbevordering bij professionals benadrukt, waaronder de gemeenten. Hoewel de ontwikkeling van dit wetsvoorstel in een verder stadium is, is het nog lastig te zeggen welke gevolgen het voor de organisatie gaat krijgen. Zo loopt er nog een onderzoek naar de mogelijke opzet van een PrivacyApp voor het gehele sociale domein en er wordt nagedacht over een verdieping van het 101 De stand van het Europese wetgevingsproces is te volgen via: https://eur-lex.europa.eu/legal-

content/NL/HIS/?uri=CELEX:52017PC0010. Na vaststelling van de tekst van de verordening, zullen de lidstaten nog een periode van twee jaar krijgen voordat de regels van toepassing worden. 102 Het Wetsvoorstel aanpak meervoudige problematiek in het sociaal domein (Wams) wordt na de zomer van 2022 naar de tweede kamer verzonden. 103 Concept Wet aanpak samenhangende meervoudige problematiek in het sociaal domein (Wams). 104 VNG (2022). Wetsvoorstel aanpak meervoudige problematiek in het sociaal domein (Wams): https://vng.nl/artikelen/wetsvoorstel-aanpak-meervoudige-problematiek-in-het-sociaal-domein-wams. 105 Gemeente Zoetermeer (2020). Reactie wetsvoorstel aanpak meervoudige problematiek in het sociaal domein (Wams), d.d. 14 mei 2020.

48

wetsvoorstel waarbij er wordt gekeken naar verbindingen met verschillende uitvoeringspraktijken (zoals wijkteams, onderwijs, wonen, werk en inkomen, Wvggz).106 Wet modernisering elektronisch bestuurlijk verkeer (WMEBV) In 2023 zal de Wet modernisering elektronisch bestuurlijk verkeer (WMEBV) in werking treden. De WMEBV brengt een wijziging van wettelijke bepalingen ten aanzien van de elektronisch bestuurlijk verkeer tot stand. Hierdoor worden onder meer verschillende bepalingen uit de Algemene wet bestuursrecht gewijzigd. Deze wijziging heeft betrekking op het elektronisch bestuurlijke verkeer tussen overheden en burgers. Uit deze wijziging volgen twee consequenties voor gemeentelijke bestuursorganen. Allereerst moet er voor ieder elektronisch formeel bericht gericht aan het bestuursorgaan een digitale weg openstaan. Dat betekent dat iedere formele communicatie-uiting ook digitaal moet kunnen plaatsvinden. Daarbij zullen digitale kanalen van het bestuursorgaan moeten voldoen aan de wettelijke eisen op het gebied van toegankelijkheid en de noodzakelijkheid van het vragen van gegevens.107 Digitaal volwassen bestuursorganen, zoals de gemeente Zoetermeer, met al diverse digitale kanalen om elektronische berichten te ontvangen, zullen scherp moeten kijken waar er aanpassingen nodig zijn.

De verwachting is dat de volgende afdelingen betrokken zijn moeten worden om op een correcte manier aan de verplichten te voldoen, zodra die helder zijn: juridische zaken, informatie afdeling/ICT afdeling, communicatie-experts, data- en informatiebeveiliging, programmamanagers, front office , de backofficeverwerking en de financiële deskundigen. De investeringskosten voor materiaal zal naar verwachting beperkt zijn, aldus de VNG.108 Wet gegevensverwerking samenwerkingsverbanden (WGS) Een andere aankomende wetswijziging die voor de gemeente relevant is, is die van de Wet gegevensverwerking samenwerkingsverbanden (WGS). Dit voorstel is aangenomen door de Tweede Kamer en ligt nu bij de Eerste Kamer. Deze wet moet een specifieke wettelijke grondslag gaan bieden voor de uitwisseling van persoonsgegevens tussen samenwerkingsverbanden voor de bestrijding van fraude en ondermijnende criminaliteit. Deze wet zal de gemeente vooral van extra instrumentarium voorzien op dit terrein. Daarmee samenhangend ligt er een wijziging van de BRP in de Eerste Kamer in verband met het project Landelijke Aanpak Adreskwaliteit (LAA).109 Deze wijziging van de BRP moet een structurele inbedding bieden voor de werkwijze van het project LAA waarin gemeenten aan een centraal punt melding maken over uitkomsten van onderzoeken naar adreskwaliteit. Deze wijziging geeft daar een grondslag voor.

In de Memorie van Toelichting van het wetsvoorstel LAA staat dat de verwachting is dat de administratieve handeling zal overeenkomen met een regulier adresonderzoek. Daarbij blijft het uitvoeren van een onderzoek naar adreskwaliteit een eigenstandige bevoegdheid van het college en wordt het college niet verplicht om onderzoek uit te voeren op het moment dat er signalen komen van 106 VNG (2022). Wetsvoorstel aanpak meervoudige problematiek in het sociaal domein (Wams):

https://vng.nl/artikelen/wetsvoorstel-aanpak-meervoudige-problematiek-in-het-sociaal-domein-wams. 107 Handreiking implementatie Wet modernisering elektronisch bestuurlijk verkeer. 108 Handreiking implementatie Wet modernisering elektronisch bestuurlijk verkeer (Awb) 2020. Wat betekenen de veranderingen voor uw als bestuursorgaan? https://vng.nl/sites/default/files/2022-03/handreiking-implementatie-wmebv-versie-okt.-2020.aanvullinghf.pdf 109 https://wetgevingskalender.overheid.nl/Regeling/WGK009588

49

de minister.110 Uit een impactanalyse van VNG blijkt echter dat de werkwijze van het project LAA gemeenten wel meer tijd en werk zullen kosten. Tot deze conclusie kwam de VNG door uit te gaan van de financiële gevolgen en uitvoeringlasten die rechtstreeks voortvloeien uit het wetsvoorstel zelf.111 Verzamelwet gegevensbescherming Tot slot lag in het voorjaar van 2022 de Verzamelwet gegevensbescherming bij de Raad van State voor advisering. De Verzamelwet gegevensbescherming brengt – in de huidige conceptversie – onder meer een wijziging van enkele bepalingen uit de UAVG tot stand. Die wijzigingen zijn voor de gemeente met name relevante als het gaat om de uitoefening van de rechten van betrokkenen. Artikel 5 van de UAVG bepaalt dat er voor de verwerking van persoonsgegevens van betrokkenen onder de 16 jaar toestemming nodig is van de wettelijke vertegenwoordiger. Dit blijft ook zo na de wetswijziging. De betrokkene die ouder is dan 12 jaar maar jonger dan 16 jaar krijgt wel het recht om de verleende toestemming in te trekken.112 Daarnaast zal de wetswijziging jongeren van 12 jaar en ouder de mogelijkheid geven om zelfstandig de rechten uit hoofdstuk 3 van de AVG uit te oefenen. Dit betekent bijvoorbeeld dat jongeren vanaf 12 jaar zich zelfstandig op het recht op rectificatie, inzage of vergetelheid kunnen beroepen zonder de instemming van hun wettelijk vertegenwoordiger.

Verder zal rechtspositie van onder curatele staande en onder bewindvoering of mentorschap vallende betrokkene worden versterkt. Ook hier is er – in de huidige conceptversie – sprake van een uitbreiding van het recht om toestemming voor gegevensverwerking in te trekken.113 Bij de samenwerking rondom een specifieke casus zijn de deelnemende partijen verantwoordelijk voor de bevoegdheden en taken.114

4.3. Toekomstige ontwikkelingen en bijbehorende risico’s voor de gemeente 4.3.1. Aandachtspunten van de AP voor de toekomt van gegevensbescherming Voor de periode 2020-2023 heeft de Autoriteit Persoonsgegevens (hierna: AP) drie focusgebieden voor haar toezichthoudende rol geformuleerd. Een van die drie focuspunten is het functioneren van de digitale overheid.115 In haar focus op de digitale overheid heeft de AP onder meer aandacht voor databeveiliging bij overheden, de ontwikkeling van slimme technologieën in bijvoorbeeld Smart Cities en het delen van persoonsgegevens in samenwerkingsverbanden.116

110 VNG (2022). VNG Inbreng plenair debat Wijzigingswet BRP 35.772 over Landelijke Aanpak Adreskwaliteit 3 februari

https://vng.nl/sites/default/files/2022-01/20220128_brief-parlement_VNG-Inbreng-plenair-debat-Wijzigingswet-BRP-35772over-Landelijke-Aanpak-Adreskwaliteit-3-februari.pdf 111 Wijziging van de Wet basisregistratie personen in verband met de invoering van een centrale voorziening ter ondersteuning van de colleges van burgemeester en wethouders bij het onderzoek of een persoon als ingezetene in de basisregistratie personen op een adres in de gemeente dient te worden ingeschreven alsmede naar de juistheid van de gegevens betreffende het adres van een ingezetene in de basisregistratie personen MEMORIE VAN TOELICHTING, pag. 20 (2020-2021) 112 De verankering van dit recht van de betrokkene zal in art. 5lid 3 UAVG worden opgenomen. 113 Zie: https://www.internetconsultatie.nl/verzamelwetgegevensbescherming voor het wijzigingsdocument van de UAVG als gevolg van de Verzamelwet gegevensbescherming. 114 VNG (2020). Gegevensuitwisseling bij samenwerking rond casuïstiek in het zorg- en veiligheidsdomein https://vng.nl/sites/default/files/2020-08/handvat-gegevensuitwisseling-zvh-versie-2.2.pdf, pagina 83 115 De andere twee focusgebieden betreffen de thema’s datahandel en artificiële intelligentie & algoritmen. 116 Focus AP 2020-2023.

50

De beveiliging van persoonsgegevens laat volgens de AP bij overheden vaak nog te wensen over, terwijl overheden juist veel bijzondere en gevoelige persoonsgegevens verwerken. Blijvende aandacht van gemeenten op dit onderwerp is daarom van belang. De AP meldt aan overheden te willen gaan controleren op hun beveiligingsniveau en te willen stimuleren dat overheidsorganisaties aandacht besteden aan privacyrisicomanagement en IT-audits.117 Een tweede punt van aandacht van de AP is de ontwikkeling van "slimme oplossingen voor vraagstukken op het gebied van mobiliteit, energie, veiligheid en huisvesting".118 Door op een slimme manier verschillende databronnen te koppelen of op een geavanceerde manier data te gebruiken kunnen overheden vraagstukken op het gebied van bijvoorbeeld afval of energieverbruik oplossen. Zogenaamde smart cities zijn hier een voorbeeld van. Volgens de AP is het wel nodig dat overheden zich tijdig realiseren wat de risico's in dergelijke manieren van werken zijn en wat er nodig is om daarbij te blijven voldoen aan de eisen van de AVG. Hierin is de AP niet de enige. In een recent rapport noemt ook belangenorganisatie Bits of Freedom het risico van vormen van datagedreven werken door gemeenten.

De stelling van Bits of Freedom is daarbij dat gemeenten niet moeten beginnen aan datagedreven werken of andere slimme vormen van datatoepassing wanneer een gemeente de basis voor informatiebeveiliging niet op orde heeft.119 Tot slot heeft de AP aandacht voor de toenemende mate waarin overheden informatie uitwisselen in samenwerkingsverbanden om dienstverlening te verbeteren of criminaliteit op te sporen. Hoewel de intenties vaak goed zijn, kan dit problemen geven met het beginsel van doelbinding.120 In dit kader zijn ook de ontwikkelingen rond de Wet gegevensverwerking door samenwerkingsverbanden relevant. Dit wetvoorstel moet gaan voorzien in een wettelijke grondslag voor het verwerken van gegevens door samenwerkingsverbanden voor de bestrijding van fraude en criminaliteit.121 Daarbij kan bijvoorbeeld gedacht worden aan misbruik van de gemeentelijke voorzieningen of vormen van woonfraude. 4.3.2. De gemeente werkt aan het worden van een Smart City De afgelopen jaren heeft de gemeente op verschillende manieren gewerkt aan de ambitie om een 'smart city' te worden.

De Initiatievenlijst Zoetermeer Smart City geeft een weergave van de 27 initiatieven die de gemeente sinds 2018 heeft ondernemen om een Smart City te worden.122 Zo heeft de gemeente bijvoorbeeld gewerkt aan het inzetten van slimme technieken voor parkeertellingen en de inzet van slimme techniek om het onderhoud aan de openbare ruimte te voorspellen. De AP doet de aanbeveling om beleid voor Smart City-toepassingen vast te stellen Hoewel slimme technieken en de inzet van data de gemeente verder kunnen helpen op allerlei gebieden, brengt de inzet daarvan ook altijd risico's met zich mee. Zoals bovenstaand beschreven, wijzen de AP en het recente rapport van Bits of Freedom beide op de risico's die samenhangen met vormen van datagedreven werken en de toepassing van slimme technologieën. De AP wijst daarbij vooral op risico's en stelt dat het voor gemeenten belangrijk is om de risico's in beeld te brengen. Het rapport van Bits of 117 Focus AP 2020-2023, p.23. 118 Focus AP 2020-2023, p.23. 119 Bits of Freedom, De staat van privacy bij gemeenten (2022), p.11. 120 Focus AP 2020-2023 121 https://wetgevingskalender.overheid.nl/regeling/wgk008727. 122 Initiatievenlijst Zoetermeer smart city.

51

Freedom benadrukt dat het belangrijk is om eerst de basis van gegevensbescherming in de gemeente op orde te hebben voordat een gemeente begint aan vormen van datagedreven werken. Naast de door de AP opgestelde focusgebieden, heeft de AP ook een onderzoeksrapport naar de bescherming van persoonsgegevens in Smart Cities opgesteld.123 Hierin doet de AP verschillende aanbevelingen voor het werken van Smart City-toepassingen. Net zoals het rapport van Bits of Freedom stelt de AP dat het belangrijk is om eerst de basisbeginselen van gegevensbescherming op orde te hebben. Belangrijk daarbij is het vaststellen van de verwerkingsgronden bij de toepassing in een Smart City. Daarnaast geeft de AP aan dat het belangrijk is om tijdig een DPIA uit te voeren op Smart Citytoepassingen en de uitkomsten daarvan vaker te publiceren. Verder doet de AP de aanbeveling om beleid vast te stellen voor de inzet van Smart City-toepassingen. Dit beleid moet concrete handvatten bevatten voor de praktijk. Voor zover de onderzoekers hebben kunnen zien heeft de gemeente geen apart beleid voor de Smart City-toepassingen. 4.3.3.

Dreigingsbeeld informatiebeveiliging geeft aan waar belangrijkste risico's liggen De Informatiebeveiligingsdienst (IBD) stelt ieder jaar een zogeheten Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten op.124 In dit dreigingsbeeld wordt een actueel inzicht geboden in de belangrijkste risico's voor gemeentelijke informatiebeveiliging. Het dreigingsbeeld voor 2021-2022 identificeert ambtelijke, politieke en maatschappelijke risico's. Enkele voorbeelden die genoemd worden zijn:     

Integriteit van gegevens niet gewaarborgd: wanneer verantwoordelijkheden in informatiesystemen niet goed zijn belegd, bestaat het risico dat kwaadwillenden gegevens kunnen wijzigen, wissen of toevoegen; Vertrouwelijke gegevens in verkeerde handen: door e-mails aan een verkeerd e-mailadres of fouten in de toegangsrechten van gebruikte systemen kan vertrouwelijke informatie onder ogen komen van ongeautoriseerde personen - dit zijn de meest voorkomende vormen van datalekken; Imagoschade: wanneer blijkt dat niet zorgvuldig is omgegaan met (vertrouwelijke) informatie, wordt dit het gemeentebestuur aangerekend; dit kan het vertrouwen sterk aantasten; Schade aan democratische processen: inbreuken op de beschikbaarheid, integriteit en vertrouwelijkheid van informatiesystemen kunnen leiden tot aantasting van het democratisch proces, bijvoorbeeld wanneer bij het tellen van stemmen onveilige software wordt gebruikt; Afhankelijkheid van de overheid: wanneer informatie van de overheid in verkeerde handen komt zijn mogelijke gevolgen voor inwoners en ondernemers bijna niet te overzien, bijvoorbeeld bij informatie over ontvangers van jeugdzorg;

Om tegemoet te kunnen komen aan deze risico's verstrekt de IBD verschillende aanbevelingen voor overheden om bescherming van gegevens goed te kunnen borgen: 

Voer regie over risicomanagement: het voorkomen van menselijke of technische fouten of opzettelijk handelen wordt pas mogelijk wanneer zorgvuldig wordt gekeken naar de risico's. Dit is in de eerste plaats een taak voor het management, wat geadviseerd kan worden door de CISO.

123 Smart City, Onderzoeksrapport bescherming van persoonsgegevens in de ontwikkeling van Nederlandse Smart Cities (2021). 124 Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten 2021/2022.

52

  



Zorgvuldig risicomanagement kenmerkt zich door periodiek een cyclus van plannen, uitvoeren, controleren en bijstellen te doorlopen; Techniek is niet de belangrijkste factor: een informatiesysteem kan technisch nog zoveel mogelijkheden bieden; als de rollen en rechten niet goed zijn belegd zijn er nog steeds zwakke schakels. Houd daarom naast de techniek oog voor het werkproces en de menselijke factor; Bied veilige gereedschappen: bekijk wat medewerkers nodig hebben en faciliteer hen om net dat stapje meer te zetten om de veiligheid te waarborgen (leuker kunnen we het niet maken, maar wel veiliger). Zorg voor een open cultuur: medewerkers moeten zich veilig weten wanneer er sprake is van onveilige situaties of wanneer er zich incidenten voordoen. Zorg ervoor dat medewerkers kunnen leren van incidenten door hen te stimuleren om incidenten te melden en hen te belonen wanneer zij veilig werken. Oefen en bereid je voor: zorg als management en directie voor een gedegen incidentenmanagement. Weet wie wanneer nodig is wanneer een incident dreigt of optreedt. Zorg er daarnaast voor dat regelmatig wordt geoefend met een crisisstructuur en gebruik hierbij scenario's die herkenbaar zijn voor de betrokken medewerkers.

53

5. Beantwoording onderzoeksvragen/conclusies en aanbevelingen 5.1. Beantwoording onderzoeksvragen In dit laatste hoofdstuk zal ingegaan worden op de beantwoording van de onderzoeksvragen en trekken we conclusies. Op basis daarvan zal dit hoofdstuk afsluiten met verbeterpunten. Deze verbeterpunten bevatten ook aanbevelingen voor de toekomst. 5.1.1. Overkoepelende conclusie Hoofdvraag: In hoeverre is de AVG succesvol geïmplementeerd binnen de gemeente Zoetermeer, zodat burgers volledige gegevensbescherming genieten en de medewerkers van de gemeente kunnen voldoen aan de eisen van de AVG? De richtlijnen van de AVG zijn geïmplementeerd, maar bij de uitvoering zijn kanttekeningen te maken. De gemeente Zoetermeer heeft veel inspanningen geleverd om de AVG te implementeren in de organisatie; in het beleid, de gehanteerde werkwijzen en de gebruikte systemen. Tegelijkertijd is er nog veel ruimte voor verbetering op het gebied van het toezien op, rapporteren over en evalueren van de wijze waarop de gemeente invulling geeft aan de verplichtingen uit de AVG. Bijzondere aandacht verdient daarbij de verdeling van rollen en verantwoordelijkheden binnen de organisatie en de verantwoordelijkheden die daar liggen op het gebied van toezicht en rapportage. De basiskennis over de AVG onder medewerkers lijkt op basis van de enquête op orde.

Wel worden AVGrichtlijnen soms nog als een belemmering gezien. Werkdruk, capaciteitsproblemen en verloop in de organisatie staan in de weg aan structurele kennisopbouw en monitoring. Doordat er veel tijd en inzet wordt gestoken in het ondersteunen bij acute vraagstukken, is er daarnaast beperkte ruimte voor prioritering en anticipatie op toekomstige ontwikkelingen. 5.1.2. Conclusies waarborgen Deelvraag 1: Zijn binnen de organisatie voldoende waarborgen aanwezig die voorzien in een betrouwbare bescherming van persoonsgegevens van betrokkenen, conform de AVG? Het beleid biedt voldoende waarborgen, de uitvoering in de praktijk vraagt om meer invulling.

54

Sinds de inwerkingtreding van de AVG in 2016 heeft de gemeente Zoetermeer een groot aantal maatregelen genomen om een betrouwbare gegevensbescherming te waarborgen. Door middel van een implementatieprogramma zijn verschillende beleidskaders opgesteld waarin uiteengezet is hoe taken en verantwoordelijkheden binnen de organisatie zijn verdeeld. Centraal staan het informatiebeveiligingsbeleid en het privacybeleid. Uit deze beleidskaders volgen verschillende vastgestelde procedures en werkwijzen die worden gehanteerd om invulling te geven aan de AVG-taken, waaronder de beveiliging van persoonsgegevens middels digitale infrastructuur, het bijhouden van verwerkingsactiviteiten in een register, het delen van gegevens met derden en de omgang met datalekken. Daarnaast zijn er functionarissen aangesteld om toe te zien op het uitvoeren van de taken die uit de AVG volgen: de Functionaris Gegevensbescherming (FG), de Privacy Officer (PO) en de Chief Information Security Officer (CISO). Hoewel in het beleidskader is aangegeven dat de verantwoordelijkheden binnen de organisatie zijn verdeeld volgens het 3LoD-model, zijn er verschillende knelpunten aan te wijzen in de manier waarop die verantwoordelijkheden in de praktijk tot uitvoering komen.

De verdeling van verantwoordelijkheden volgens het 3LoD-model, zoals in het informatiebeveiligingsbeleid benoemd, wordt in de praktijk op een andere manier ingevuld. In de beantwoording van de volgende deelvragen wordt verder ingegaan op knelpunten ten aanzien van de rolverdeling. Om betrouwbare gegevensbescherming te kunnen waarborgen, is het van belang dat de gehanteerde werkwijzen worden nagevolgd, periodiek worden geëvalueerd en dat hierover ook wordt gerapporteerd. Binnen de gemeente Zoetermeer vinden audits, controles en evaluaties plaats, waaronder de volgens de AVG verplichte DPIA- en ENSIA-controles. Daarnaast wordt door de FG, Privacy Officer en CISO halfjaarlijks mondeling gerapporteerd aan het directieteam over de bevindingen uit de praktijk, op basis waarvan nieuwe doelstellingen voor het komend halfjaar worden bepaald. Een belangrijke schakel die mist binnen de waarborgen die er nodig zijn voor een betrouwbare gegevensbescherming is het onafhankelijke toezicht van de FG. De functiecombinatie van de FG met de functie van teammanager geeft de FG meer betrokkenheid bij de organisatie maar doet af aan de onafhankelijkheid van de FG, en zou in de praktijk tot een belangenconflict kunnen leiden. Daarnaast doet deze combinatie van functies af aan de beschikbare capaciteit voor toezicht.

In vergelijkbare gemeenten is de invulling van de FG qua capaciteit fors omvangrijker dan in Zoetermeer. Tot slot missen ook de onafhankelijke schriftelijke rapportages van de FG aan de gemeentesecretaris. Deze schriftelijke rapportages zouden bestuurlijk inzicht moeten geven in de opvattingen van de FG, de adviezen van de FG aan de organisatie en het besluit van de organisatie om wel of geen gehoor te geven aan dat advies. De rol van onafhankelijk toezichthouder krijgt om bovengenoemde redenen onvoldoende invulling. Deelvraag 2: Is bij incidenten (datalekken) sprake van zorgvuldige afhandeling conform de AVG? Incidenten (datalekken) worden zorgvuldig en conform de AVG afgehandeld. Wanneer er sprake is van een datalek bij de gemeente is het interne proces datalekken van toepassing. Het door de gemeente opgestelde stappenplan in het geval van een datalek is uitvoerig en komt overeen met het stappenplan van de AP. Dit wordt aangevuld door verschillende gemeentelijke handreikingen die medewerkers kunnen raadplegen bij afwegingen omtrent datalekken. Het proces omtrent datalekken is in de gemeente eenduidig toegepast. Na melding vindt er een beoordeling van het risico plaats en beoordeelt de PO of er melding moet worden gemaakt bij de AP. De FG heeft de mogelijkheid

55

om maatregelen te treffen in geval van calamiteiten of gebreken en krijgt toegang tot verwerkingsactiviteiten die worden uitgevoerd. In het geval van datalekken die een grote publieke impact hebben of politiek gevoelig zijn moeten ook de gemeenteraad en het college geïnformeerd worden. De FG maakt hier melding van bij het college. De Privacy Officer rapporteert jaarlijks over de datalekken die zich dat jaar hebben voorgedaan, zodat er overkoepelend inzicht is in de aard en omvang van de datalekken. Op basis van de cijfers lijkt het aantal datalekken van de afgelopen jaren klein in verhouding tot de omvang van de gemeente. Belangrijk is daarom om de kanttekening is te maken dat datalekken door medewerkers mogelijk niet altijd als zodanig herkend worden of niet worden gemeld. Dit is een kwetsbaarheid in het proces, die voortkomt uit de verantwoordelijkheid van direct betrokken medewerkers om een datalek ook als zodanig te herkennen. 5.1.3. Conclusies organisatie Deelvraag 3: Worden de medewerkers bij de uitvoering van hun taken voldoende gefaciliteerd in het efficiënt en effectief werken conform de AVG? Medewerkers hebben een duidelijk aanspreekpunt voor vragen over de AVG. Toch ervaren medewerkers het werken volgens de AVG soms als lastig.

Om een juiste uitvoering van de AVG-taken te waarborgen, heeft de gemeente Zoetermeer verschillende handreikingen, protocollen en werkwijzen opgesteld die medewerkers kunnen hanteren. Zo is in de bestuursvoorstellen het geven van een toelichting ten aanzien informatiebeveiliging, privacy en informatiebeheer een vaste stap geworden. Wanneer er vragen of onduidelijkheden zijn omtrent de AVG-taken, kunnen medewerkers volgens het beleidskader in de eerste plaats terecht bij de afdelingshoofden en in de tweede plaats bij de PO of FG . De praktijk wijst echter uit dat medewerkers bij vragen vaak al in eerste instantie een beroep doen op de PO. Medewerkers ervaren de ondersteuning van de PO als zeer positief en behulpzaam. Hoewel vragen hierdoor snel beantwoording krijgen, legt de hoeveelheid vragen wel beslag op de tijd en capaciteit van de PO. De PO is hierdoor relatief veel tijd kwijt met het oplossen van acute vraagstukken en het voldoen aan eisen en richtlijnen (compliance). Er is daardoor minder aandacht voor evaluatie van privacyvraagstukken en beleidsontwikkeling. Op het terrein van efficiëntie en effectiviteit is derhalve nog winst te boeken. Zowel in de vragenlijst als in de gevoerde gesprekken geven medewerkers aan het soms als lastig te vinden om te werken volgens de AVG.

Die moeilijkheid zit daarbij soms voor medewerkers in de onduidelijkheid over de rolverdeling in de organisatie en soms in de beschikbare (software) programma's waarin medewerkers moeten werken. In sommige gevallen kunnen de medewerkers gegevens inzien waartoe zij eigenlijk geen toegang zouden mogen hebben. Ook is benoemd dat richtlijnen uit de AVG door enkele samenwerkingspartners van de gemeente anders worden geïnterpreteerd en toegepast. Deelvraag 4: Hoe wordt ervoor gezorgd dat binnen de organisatie structureel voldoende kennis en kunde aanwezig is op het gebied van gegevensbescherming? Er is veel inzet op kennis en kunde van medewerkers. De borging van kennis vraagt echter om een meer structurele programmering van (bij)scholing.

56

Medewerkers lijken blijkens de enquête en de gevoerde interviews op de hoogte van de basisrichtlijnen uit de AVG en de taken en verantwoordelijkheden die hieruit volgen. De gemeente doet dan ook veel om ervoor te zorgen dat de kennis over de AVG op peil blijft, onder meer door middel van (online) workshops, trainingen, en de leertuinen privacy voor het sociaal domein. In het kader van de implementatie van de AVG hebben daarnaast verschillende bewustwordingsacties binnen de organisatie plaatsgevonden. Onderdelen hiervan waren workshops voor nieuwe medewerkers, een 'roadshow' langs alle afdelingen en het inzetten van privacy-ambassadeurs. Binnen de afdelingen is er daarnaast ruimte voor kennisdeling en overleg over privacydilemma's tijdens voortgangsgesprekken of afdelingsoverleggen, al verschilt de aandacht hiervoor per afdeling. Tegelijkertijd geven verschillende medewerkers aan dat voor hen desondanks niet altijd duidelijk is hoe te handelen in het kader van de AVG. Hiervoor worden redenen gegeven als de hoge mate van verloop in de organisatie, de werkdruk of onduidelijkheid over de onderlinge rol- en taakverdeling.

Deelvraag 5: Hoe wordt ervoor gezorgd dat, als vervolg op de Leertuinen privacy voor het Sociaal Domein, medewerkers gegevensbescherming als onderdeel van hun werkzaamheden zien en niet als belemmering? De leertuinen hebben geholpen in de werkwijzen ten aanzien van de AVG, vervolginzet is nodig De basiskennis van medewerkers ten aanzien van de AVG lijkt op orde, en inmiddels is er binnen de afdelingen veel ervaring opgebouwd in het werken volgens de AVG. De leertuinen privacy voor het sociaal domein worden door medewerkers die hieraan deelnamen gezien als een goed hulpmiddel om kennis en ervaring op te doen met de AVG en vraagstukken die gepaard gaan met het vertalen van de richtlijnen naar de praktijk. Daarnaast wordt het als positief ervaren dat de onderwerpen informatiebeveiliging, privacy en informatiebeheer gezamenlijk terugkomen bij de voortgangsgesprekken met medewerkers. Ondanks de inzet die de gemeente heeft geleverd met de leertuinen blijven veel medewerkers het werken volgens de AVG-richtlijnen als een uitdaging zien, en soms zelfs als een belemmering. Dat laatste geldt voor de samenwerking met externe partners, die verder of juist minder ver zijn in het implementeren van de AVG dan de gemeente, of die andere methoden en processen hanteren dan de gemeente.

Daarnaast vinden veel medewerkers dat het werken volgens de AVG-richtlijnen belemmeringen met zich meebrengt in de vorm van extra stappen die moeten worden doorlopen om gegevens te kunnen achterhalen of te kunnen delen. Gegeven de hoge ervaren werkdruk en het verloop in de organisatie ervaren medewerkers dat zij onvoldoende aandacht kunnen geven aan wat de AVG van hen vraagt. Daar komt bij dat de workshops en trainingen die voor medewerkers worden georganiseerd om hen te faciliteren in kennisopbouw over de AVG niet door alle medewerkers die veel met de AVG werken worden gevolgd. 5.1.4. Conclusies lessen voor de toekomst Deelvraag 6: Welke verbeterpunten zijn er ten aanzien van bovenstaande vragen? De verbeterpunten ten aanzien van de onderzoeksvragen zijn onder 5.2 geformuleerd.

57

Deelvraag 7: Is de huidige organisatie voldoende toegerust om de toekomstige ontwikkelingen (zoals aankomende wet- en regelgeving, nieuwe technologieën etc.) aan te kunnen en zijn er eventuele verbeterpunten? Wat is daar eventueel nog voor benodigd (qua organisatie, middelen e.d.)? Voor het zijn van een toekomstbestendige organisatie is er meer inzet nodig op het gebied van toezicht en het in kaart brengen van risico's Als het gaat om de bestendigheid ten aanzien van de toekomstige ontwikkelingen, is er meer inzet nodig in de organisatie op het gebied van het in kaart van brengen van risico's en het toezicht op de organisatie. Het vaststellen van beleid kan daarin een belangrijke stap zijn. Momenteel richt de organisatie zich nog vooral op het organiseren van de basis van gegevensbescherming zoals het rapporteren van datalekken, het inrichten van verwerkingsregisters en de door medewerkers gehanteerde werkwijzen om te voldoen aan de AVG. Om toekomstbestendig te zijn is er echter meer inzet nodig op het proactief in kaart brengen van risico's die komen kijken bij nieuwe technologieën of werkwijzen. Hier is nu nog weinig aandacht voor in de gemeente. Daarnaast draagt onafhankelijk toezicht op de organisatie bij aan het kunnen opvangen risico's. De onafhankelijke advisering van de FG kan de gemeente behoeden voor het maken van fouten en het opvangen van het risico.

5.2. Verbeterpunten Stel een gezamenlijke visie op voor de omgang met privacy en de inrichting van de privacy-organisatie Er is nog veel ruimte voor verbetering op het gebied van het toezien op, rapporteren over en evalueren van de wijze waarop de gemeente invulling geeft aan de verplichtingen uit de AVG. Een goede omgang met privacy en gegevensbescherming vereist een eenduidige aanpak, die kan rekenen op draagvlak in de organisatie. Momenteel is er wel een beleidskader, maar de invulling in de praktijk verschilt op onderdelen van wat er in dat kader is voorgeschreven. En die praktijkinvulling kent nog diverse knelpunten en dilemma's. De leertuinen privacy waren en zijn een instrument om medewerkers te faciliteren bij het adresseren en oplossen hiervan. In de leertuinen werden de doelen van de AVG sterk benadrukt: iedereen wil dat zijn of haar persoonsgegevens goed worden beschermd, en dat betekent dan ook dat de gemeente hier als overheidsinstelling zorg voor draagt. Als meer vanuit dit uitgangspunt wordt gewerkt met de AVG, in plaats van vanuit het gevoel dat de AVG extra belemmeringen met zich meebrengt, wordt het draagvlak onder medewerkers groter. Aanbevolen wordt om dit uitgangspunt door te trekken naar een gezamenlijke visie op de omgang met privacy en de inrichting van de privacy-organisatie.

Zo'n gedeelde visie kan helderheid bieden over de gezamenlijke doelen en prioriteiten, en kan onduidelijkheden over rolverdeling wegnemen. Neem als management het initiatief voor het opstellen van zo'n visie op privacy, en betrek medewerkers uit de verschillende domeinen hier actief bij. Actualiseer het beleidskader Hoewel de gemeente met het informatiebeveiligings- en privacybeleid een compleet beleidskader heeft voor gegevensbescherming, is dit beleid in de loop der jaren nog niet geëvalueerd. Uit dit onderzoek komen verschillende knel- en verbeterpunten naar voren die meegenomen zouden kunnen worden in het verbeteren en actualiseren van het beleidskader. In het licht van de onderzoeksbevindingen is het

58

vooral van belang dat er helderheid ontstaat over de onderlinge rol- en taakverdeling, en dat medewerkers betrokken worden bij de keuzes die hierin worden gemaakt. Momenteel wordt het 3LoD-model op een andere wijze toegepast dan in het informatiebeveiligingsbeleid is geformuleerd. Actualisatie van het beleidskader door zowel in het informatiebeveiligingsbeleid als het privacybeleid een eenduidige beschrijving van dit model op te nemen die ook voldoet aan de huidige praktijkinvulling is een eerste stap om meer helderheid te bieden. Niet omdat het model een doel op zich is, maar omdat dit een instrument kan zijn aan de hand waarvan begrijpelijk kan worden gemaakt wat er van hen verwacht wordt en welke mogelijkheden er zijn om advies te vragen. Maak de verdeling van verantwoordelijkheden volgens het model kenbaar en zie er ook op toe dat deze op een eenduidige manier wordt toegepast. Ook de positionering van de CISO kan bij de actualisering in lijn met de realiteit worden gebracht, zoals al het voornemen is. Een actievere inzet van het privacynetwerk met privacyambassadeurs, dan wel het werken met domein-ISO's kan medewerkers verder ondersteuning bieden, en zal het takenpakket van de PO verlichten. Het privacybeleid wijkt daarnaast momenteel op twee punten af van wat de Autoriteit Persoonsgegevens van een privacybeleid vraagt.

Allereerst kent het privacybeleid geen omschrijving van de categorieën van persoonsgegevens die door de gemeente worden verwerkt. Daarnaast koppelt het gemeentelijke privacybeleid de verwerking van de verschillende categorieën van persoonsgegevens niet aan doeleinden en grondslagen voor verwerking. Aanbevolen wordt om bij de actualisatie van het privacybeleid deze onderdelen expliciet op te nemen. Een optie is ook om deze transparantie te bieden in een privacyverklaring of privacystatement. Vervolledig de waarborgen voor een zorgvuldige gegevensverwerking Bij het implementatieproces van de AVG zijn er veel stappen gezet om de gemeente te laten voldoen aan de vereisten voor een zorgvuldige gegevensbescherming. Naast actualisatie van het beleidskader zijn er nog enkele specifieke acties die gepleegd kunnen worden om hier een verbeterslag in te maken. Zo wordt aanbevolen om te inventariseren in hoeverre alle relevante processen en verwerkersovereenkomsten in de verwerkingsregisters opgenomen zijn. Ook wordt aanbevolen om maatregelen te nemen die ervoor zorgen dat er meer overzicht komt in hoe informatie wordt beheerd. De gemeentearchivaris heeft hier verschillende suggesties voor gedaan die momenteel nog onvoldoende opvolging hebben gekregen. Een ander knelpunt wat zowel door de gemeentearchivaris als verschillende medewerkers is aangedragen, is het gebruik van applicaties.

Zorg ervoor dat voor de aanschaf van nieuwe applicaties wordt nagegaan in hoeverre deze voldoen aan de eisen van de AVG. En zorg ervoor dat de medewerkers in de zaaksystemen niet meer toegang hebben tot gegevens dan zij nodig hebben. Het projectteam leertuinen privacy heeft verschillende relevante knelpunten gesignaleerd die ook in de interviews zijn bevestigd. Knelpunten die de gemeente mogelijk op korte termijn kan adresseren zijn het creëren van de mogelijkheid om persoonlijke aantekeningen te maken in de gebruikte zaaksystemen, en intern het gesprek voeren over het delen van gegevens met derden (samenwerkingspartners) zodat hier meer duidelijkheid over- en comfort bij ontstaat. Maak van de FG een echt onafhankelijke functionaris Volgens de AVG moet de FG zijn of haar taken vanuit een onafhankelijke rol kunnen uitvoeren. De FG moet immers ook toezicht houden en dan niet 'het eigen vlees' hoeven te keuren. In Zoetermeer is de

59

FG-functie maar enkele uren in de week ingevuld, en wordt deze functie vervuld door de teammanager JaBo. Op dit moment is de FG voornamelijk gericht op compliance en het faciliteren van medewerkers. De FG stelt ook geen eigen rapportages op over de mate waarin de gemeente voldoet aan de AVG-eisen. Aanbevolen wordt om de FG veel meer in positie te brengen en vanuit een onafhankelijke positie onderzoek te laten doen naar de wijze waarop de gemeente invulling geeft aan de AVG-taken, hierover te rapporteren en aanbevelingen te doen. Dat is mogelijk door de FG een functionaris te laten zijn die, anders dan nu het geval is, geen andere taken dan de FG-taken heeft. En die substantieel meer - en bij voorkeur, net zoals in andere gemeenten met een gelijk inwoneraantal, fulltime - ruimte heeft om de vanuit de AVG vereiste taken te vervullen. Daarbij is de aanbeveling om de FG onafhankelijk te positioneren onder concern control. Zorg voor meer capaciteit voor de PO De PO vormt voor veel medewerkers een belangrijk aanspreekpunt als het gaat om vragen over de AVG. Hierdoor is de PO relatief veel tijd kwijt aan het beantwoorden van vragen en is er minder tijd voor de meer beleidsmatige taken. Het verder uitbreiden van het privacynetwerk, zoals het voornemen is, moet zorgen voor meer aanspreekpunten binnen de gemeente als het gaat om vragen over de AVG.

Het uitbreiden en verder implementeren van het privacynetwerk is daarom een goed voornemen. De huidige bezetting van de PO binnen de gemeente is momenteel 35 uur (27 uur en 8 uur). Vergelijking van deze bezetting met de PO omvang in vergelijkbare gemeenten laat zien dat daar meer capaciteit voor de PO beschikbaar is. Zo hebben de gemeenten Leiden, Leeuwarden en Ede respectievelijk 2,3 fte (met streven naar 3 fte), 2 fte (waarvan 1 fte juridisch ingestoken en 1 fte managementgericht) en 0,89 fte aan fte. Hoewel het niet altijd eenvoudig is om deze capaciteit uit te breiden, verdient het aanbeveling om meer capaciteit voor de PO te realiseren. Ga aan de slag met cyclisch monitoren en rapporteren Momenteel wordt in de organisatie vooral gefocust op compliance van de AVG-richtlijnen. Er is een start gemaakt met monitoring en rapportage door het IPI-team die periodiek bevindingen presenteert aan directie en management en prioriteiten voor de komende periode identificeert. Er kan echter meer gedaan worden op het gebied van structurele, cyclische monitoring en rapportage. Op het gebied van informatiebeheer worden al jaarlijkse verslagen met relevante bevindingen en aanbevelingen opgesteld door de gemeentearchivaris. Put hier inspiratie uit voor de domeinen informatiebeveiliging en privacy.

Stel periodiek (bijvoorbeeld ieder halfjaar) schriftelijke rapportages op met relevante bevindingen over waar het goed gaat en waar zich risico's bevinden, en formuleer naar aanleiding daarvan aanbevelingen voor de komende periode. Op basis hiervan kunnen in overleg met directie en management prioriteiten met concrete doelstellingen worden geformuleerd. Zo ontstaat er een programmatische cyclus van plannen, uitvoeren, controleren en bijstellen. Door op deze manier te werken kan er gerichter en zorgvuldiger worden ingegrepen bij risico's. Overweeg hierbij om het IPI-team periodiek langs te laten komen bij afdelings- of teamoverleggen om de bevindingen en aanbevelingen te bespreken en waar mogelijk in gezamenlijkheid met de teams te vertalen in concrete acties. Blijf regelmatig (verplichte) workshops en trainingen organiseren De gemeente Zoetermeer doet al veel op het gebied van training en faciliteren van medewerkers. Tegelijkertijd blijkt uit dit onderzoek dat het structurele kennisniveau over de AVG en de bijbehorende

60

interne procedures punt van aandacht is. Er zijn verschillende acties mogelijk om dit structurele kennisniveau te versterken. Zorg er in de eerste plaats voor dat nieuwe medewerkers zo snel mogelijk de basiskennis van de AVG en relevante interne procedures beheersen en beloon hen wanneer dit het geval is, bijvoorbeeld met een intern AVG-diploma. Ga daarnaast werken met periodiek terugkerende kennistrajecten en 'opfrismomenten' voor medewerkers die al langer met de AVG werken. Door interne leer- en kennistrajecten een verplicht karakter te geven, kan beter worden voorkomen dat kennis vervliegt en zo wordt er een natuurlijk moment gecreëerd waarop kan worden gespard over de AVG en waar vragen kunnen worden gesteld. Het resultaat van zo'n kennissessie zou verwerkt kunnen worden in een Q en A over regelmatig voorkomende dilemma's, die daarna in de organisatie kan worden gedeeld. Overweeg daarnaast om op meerdere momenten in het jaar een datalek of gegevensincident te simuleren aan de hand van scenario's uit de praktijk. Hierdoor kan geoefend worden met opgestelde procedures en werkwijzen en wordt de praktijkkennis van medewerkers vergroot, ook wanneer zij bijvoorbeeld nog niet met een datalek van doen hebben gehad.

Anticipeer op wettelijke ontwikkelingen en zet waar mogelijk alvast acties op Eerder in deze rapportage is ingegaan op de verschillende toekomstige wetten en andere ontwikkelingen die relevant zijn voor gegevensbescherming en privacy. Er is bij veel van deze ontwikkelingen nog veel onduidelijk. Bij de wetsvoorstellen is vaak pas bij de definitieve vaststelling duidelijk wat de implicaties voor Zoetermeer zullen zijn. Tegelijkertijd kan de gemeente alvast anticiperen op deze wettelijke ontwikkelingen door de behandeling van de wetsvoorstellen te monitoren en om, zoals bij het wetsvoorstel Wams, een bijdrage te leveren aan de maatschappelijke discussie hierover. Zodra de kaders van nieuwe wet- en regelgeving daadwerkelijk vaststaan, is het verstandig om te starten met het organiseren van informatiesessies en bijscholing voor de betrokken medewerkers. Het is daarnaast de overweging waard om een risicoparagraaf in de begroting op te nemen, waarin wordt ingegaan op mogelijke wettelijke veranderingen. Bij enkele toekomstige ontwikkelingen kan de gemeente wel alvast van start gaan met enkele concrete (voorbereidende) acties. Schroom ook niet om partijen als de AP of de Informatiebeveiligingsdienst te vragen de gemeente hierbij van advies te voorzien.

In lijn met de aankondiging van de AP dat gemeenten meer aandacht moeten hebben voor risicomanagement met privacy kan de gemeente vast voorbereidende werkzaamheden verrichten in het ontwikkelen van cyclisch risicomanagement, zoals de Informatiebeveiligingsdienst adviseert. Zoals eerder genoemd werkt de gemeente daarnaast sinds enkele jaren met verschillende slimme technieken en heeft de ambitie om een Smart City te worden. Het advies van de AP is om speciaal voor deze ambitie een beleid vast te stellen. Dit beleid moet handvatten bieden voor het werken met Smart City-toepassingen. Door als gemeente tijdig beleid vast te stellen kan er een betere borging van het fundamentele belang van privacy worden vormgegeven waarin de kaders voor de praktijk duidelijk zijn.

61

Bijlage 1. Bronnen Tabel 1: Lijst met geïnterviewden

Functie

Datum

Gemeentesecretaris

1-07-2022

CISO

26-04-2022

Privacy Officer

28-04-2022

Concerncontroller

4-07-2022

Functionaris gegevensbescherming

26-04-2022

Gemeentearchivaris

28-04-2022

Adviseur informatiebeveiliging

27-06-2022

Adviseur informatiebeveiliging

27-06-2022

Afdelingshoofd inkomen en sociale zekerheid

7-07-2022

Afdelingshoofd zorg, jeugd en gezinshulp

7-07-2022

Teammanager openbare orde en veiligheid

7-07-2022

Afdelingshoofd publieksplein

7-07-2022

Voor de geraadpleegde schriftelijke bronnen verwijzen wij naar de voetnoten in de rapportage.

62

Bijlage 2. Analysekader Voor het beantwoorden van de onderzoeksvragen wordt gebruik gemaakt van een analysekader. Dit analysekader is gebaseerd op de Privacy Baseline CIP125 en op eerdere analysekaders bij onderzoeken naar de implementatie van de AVG.

125 Centrum Informatiebeveiliging en Privacybescherming (2020). De Privacy Baseline: https://www.cip-

overheid.nl/productcategorie%C3%ABn-en-worshops/producten/privacy-bescherming/.

63

Bijlage 3. Digitale Enquête Introductievraag: Ik werk voor de afdeling: (vier opties) • • • •

Sociaal domein Veiligheidsdomein Burgerzaken Geen van allen

--KENNIS VAN DE AVG De volgende vragen gaan over de AVG Vraag 1: d.vandijk@neckervannaem.nl is een persoonsgegeven Kies één van de volgende opties Drie opties: Waar, niet waar of weet ik niet

--Vraag 2: Gegevens waaruit iemands ras of etniciteit blijkt is een persoonsgegeven Kies één van de volgende opties Drie opties: Waar, niet waar of weet ik niet

--Vraag 3: De AVG is niet van toepassing wanneer persoonsgegevens via de mail worden uitgewisseld. Kies één van de volgende opties Drie opties: Waar, niet waar of weet ik niet

---

64

Vraag 4: Wanneer een inwoner een mail stuurt met het verzoek om al zijn persoonsgegevens te verwijderen, moet hier altijd aan worden voldaan. Kies één van de volgende opties Drie opties: Waar, niet waar of weet ik niet

--Vraag 5: Wanneer ik voor mijn werk een mail verstuur met persoonsgegevens naar een verkeerde ontvanger moet ik dat altijd melden. Kies één van de volgende opties Drie opties: Waar, niet waar of weet ik niet

--TOERUSTING AVG Vraag 6: Als medewerker van de gemeente heb ik voldoende kennis om op de juiste wijze met persoonsgegevens te werken. Kies op de schuifbalk de positie die het best bij uw mening past.

o o o o o o o

helemaal oneens

o

weet ik niet/ geen mening

helemaal eens

--Vraag 7: Als medewerker van de gemeente is het voor mij voldoende duidelijk wie er verantwoordelijk is voor de juiste omgang met persoonsgegevens Kies op de schuifbalk de positie die het best bij uw mening past.

o o o o

helemaal oneens

65

o o o

helemaal eens

o

weet ik niet/ geen mening

--Vraag 8: Als ik vragen heb over de verwerking van persoonsgegevens weet ik bij wie ik terecht kan. Kies op de schuifbalk de positie die het best bij uw mening past.

o o o o o o o

helemaal oneens

o

weet ik niet/ geen mening

helemaal eens

--Vraag 9: Als medewerker van de gemeente verwerk ik persoonsgegevens zonder dat ik weet of dat wel mag Kies op de schuifbalk de positie die het best bij uw mening past.

o o o o o o o

Heel vaak

o

weet ik niet/ geen mening

helemaal nooit

--Vraag 10a: Mijn manager heeft voldoende aandacht voor het werken met de AVG Kies op de schuifbalk de positie die het best bij uw mening past.

o o o o

helemaal oneens

66

o o o

helemaal eens

o

weet ik niet/ geen mening

--Vraag 10b: Wilt u uw antwoord toelichten?

[tekstvak] --Vraag 11: Werken volgens de regels van de AVG is Kies op de schuifbalk de positie die het best bij uw mening past.

o o o o o o o

Zeer lastig

o

weet ik niet/ geen mening

Zeer eenvoudig

UITVOERING --Vraag 12: Als ik vragen heb over de verwerking van persoonsgegevens dan ga ik naar: een collega, mijn teammanager/unitcoördinator, mijn afdelingshoofd, de Privacy Officer (Carlijn Dohmen), de Functionaris Gegevensbescherming (Angelique Schepers) of de CISO (Susan Ligtenberg) Kies één of meerdere van de opties

6 opties: (niet mutually exclusive) een collega; mijn teammanager of unitcoördinator; mijn afdelingshoofd; de Privacy Officer (Carlijn Dohmen); de Functionaris Gegevensbescherming (Angelique Schepers) of de CISO (Susan Ligtenberg)

---

67

Vraag 13: Als medewerker van de gemeente weet ik wat ik moet doen op het moment dat er mogelijk sprake is van een datalek Kies op de schuifbalk de positie die het best bij uw mening past.

o o o o o o o

helemaal oneens

o

weet ik niet/ geen mening

helemaal eens

--Vraag 14a: Wat de gemeente van mij als medewerker aan inzet vraagt als het gaat om werken met de AVG is haalbaar Kies op de schuifbalk de positie die het best bij uw mening past.

o o o o o o o

helemaal oneens

o

weet ik niet/ geen mening

helemaal eens

--Vraag 14b: Wilt u uw antwoord toelichten?

[tekstvak] --Vraag 15a: De huidige applicaties en programma’s maken het werken volgens de AVG: Kies op de schuifbalk de positie die het best bij uw mening past.