6. Jaarverslag FG 2022 - gemeenteraad.docx
Tekst van het document
bericht
Juridische Zaken Telefoon (038) 498 2173 postbus@zwolle.nl
Jaarverslag functionaris gegevensbescherming 2022 Verslag voor gemeenteraad
Versie Datum
1.2 7 juni 2023
Datum Titel
7 juni 2023 Jaarverslag functionaris gegevensbescherming 2022
Inhoud 1
Inleiding
3
2
Vereisten AVG
4
3 3.1 3.1.1 3.2 3.2.1 3.3 3.3.1 3.4
Gegevensverwerkingen gemeenteraad Verwerking gegevens raadsleden, burgerraadsleden en derden Bijzonderheden en advies Publicatie van stukken op internet Bijzonderheden en advies Streamen, opnemen en beschikbaar houden van beelden vergaderingen Bijzonderheden en advies Rechten betrokkenen en datalekken
4 4 4 5 5 5 6 6
4
Samenvatting jaarverslag FG 2022 college van B&W en burgemeester
6
5
Bijlage: Privacy-ontwikkelingen in 2022/2023
9
2/11
Titel
7 juni 2023 Jaarverslag functionaris gegevensbescherming 2022
1
Inleiding
Datum
De functionaris gegevensbescherming (FG) houdt toezicht op de naleving van wetgeving en beleid met betrekking tot de bescherming van persoonsgegevens. Jaarlijks brengt hij verslag uit aan de verschillende bestuursorganen binnen de gemeente. Elk jaarverslag heeft betrekking op de verwerkingen die onder de verwerkingsverantwoordelijkheid van betreffend bestuursorgaan vallen: •
• •
•
Het college van B&W is verantwoordelijk voor de verwerkingen die worden uitgevoerd in het kader van de gemeentelijke dienstverlening aan inwoners, ondernemers, bezoekers en anderen. Het college is verantwoordelijk voor de verwerking van politiegegevens door boa’s in dienst van de gemeente. De burgemeester heeft voor een aantal verwerkingen een eigen verwerkingsverantwoordelijkheid, bijvoorbeeld voor die verwerkingen die betrekking hebben openbare orde en veiligheid. De gemeenteraad is verwerkingsverantwoordelijke voor een beperkt aantal verwerkingen die met name gaan over het publiceren van stukken en het opnemen van raadsvergaderingen.
Voorliggend jaarverslag heeft betrekking op de verwerkingen waarvoor de gemeenteraad verwerkingsverantwoordelijke is. In hoofdstuk 2 wordt een toelichting gegeven op AVG-vereisten. Daarna volgt een beschrijving van de verwerkingen waarvoor de gemeenteraad verwerkingsverantwoordelijke is, met een toelichting op bijzonderheden in 2022. Tenslotte wordt de bescherming van persoonsgegevens binnen Zwolle in breder perspectief gezet met een samenvatting van het jaarverslag van de functionaris gegevensbescherming 2022 voor college van B&W en burgemeester. Als bijlage bij dit verslag vindt u een overzicht van actuele privacyontwikkelingen binnen de EU.
3/11
Titel
7 juni 2023 Jaarverslag functionaris gegevensbescherming 2022
2
Vereisten AVG
Datum
De gemeenteraad is verwerkingsverantwoordelijke voor verschillende verwerkingen van persoonsgegevens. De gemeenteraad is er daarmee voor verantwoordelijk dat die verwerkingen voldoen aan de vereisten van de AVG: 1) Behoorlijkheid en rechtmatigheid: de verwerking van persoonsgegevens moet een wettelijke grondslag hebben en voor betrokkenen moet helder zijn dat hun persoonsgegevens worden verwerkt (transparantie). 2) Doelbinding: verwerk persoonsgegevens alleen voor welbepaalde, legitieme en specifieke doelen. 3) Dataminimalisatie: verwerk niet meer persoonsgegevens dan noodzakelijk. 4) Juistheid: zorg ervoor dat verwerkte gegevens juist zijn. 5) Opslagbeperking: verwerk persoonsgegevens niet langer dan noodzakelijk. 6) Integriteit en vertrouwelijkheid: tref passende beveiligingsmaatregelen. Een verwerkingsverantwoordelijke moet er ook voor zorgen dat de persoon van wie gegevens worden verwerkt (de betrokkene) een beroep kan doen op zijn privacyrechten: het recht op inzage, rectificatie, verwijdering, beperking van de verwerking en bezwaar. De gemeenteraad is verplicht om een functionaris gegevensbescherming aan te wijzen als intern toezichthouder en adviseur. Op 10 oktober 2022 heeft de gemeenteraad daaraan gevolg gegeven met de aanwijzing van de dhr. D.A. Fikenscher als FG.
3
Gegevensverwerkingen gemeenteraad De verwerkingen die onder verantwoordelijkheid van de gemeenteraad vallen kunnen als volgt gecategoriseerd worden: 1) Verwerking van gegevens van raadsleden, burgerraadsleden en derden ten behoeve van intern beheer; 2) Publicatie van stukken op internet; 3) Streamen, opnemen en het beschikbaar houden van de beelden van (raads)vergaderingen.
3.1
Verwerking gegevens raadsleden, burgerraadsleden en derden Het betreft hier voornamelijk de verwerking van contactgegevens. Daarnaast ook het bijhouden van een overzicht van nevenfuncties van raadsleden en commissieleden.
3.1.1
Bijzonderheden en advies In de raadsvergadering van 7 maart 2022 heeft de raad besloten om in 2023 een burgerberaad te organiseren. Naar aanleiding daarvan is gestart met het uitvoeren van een voorafgaande privacytoetsing middels een data protection impact assessment (DPIA). De FG heeft geadviseerd over onder meer het proces en over de vereisten die aan een leverancier van IT-ondersteuning gesteld moeten worden.
4/11
Titel
7 juni 2023 Jaarverslag functionaris gegevensbescherming 2022
3.2
Publicatie van stukken op internet
Datum
Uitgangspunt voor publicatie is dat persoonsgegevens niet mogen worden gepubliceerd, tenzij er sprake is van medewerkers die vanuit hun functie in de openbaarheid treden. Dit betekent dat bijvoorbeeld de naam van een gemeenteraadslid of een wethouder wél geopenbaard mag worden, maar de naam van een informant uit de ambtelijke organisatie niet. Voor wat betreft de publicatie van ingekomen brieven en e-mails van inwoner geldt dat anonimisering het uitgangspunt dient te zijn. Het beleid van de gemeenteraad met betrekking tot de publicatie van stukken is als volgt: - Iedereen (zowel inwoners als zakelijke partijen) ontvangt een ontvangstbevestiging van de brief met de melding dat de brief op de lijst van ingekomen stukken komt met een datum van de betreffende vergadering. - Inwoners ontvangen een bevestiging dat de lijst op de website zwolle.bestuurlijkeinformatie.nl te zien is, maar dat er een geanonimiseerde versie van de brief wordt geplaatst (met uitleg wat ‘geanonimiseerd’ inhoudt). Indien een inwoner graag wil dat het document wel openbaar wordt geplaatst zonder anonimisering dan moet hiervoor schriftelijke toestemming verleend worden. - Personen met een zakelijke rol ontvangen uitleg dat de lijst op de website zwolle.bestuurlijkeinformatie.nl te zien is en dat daarmee iedereen de lijst (en de brief) kan bekijken.
Indien een betrokkene bezwaar heeft tegen het inzichtelijk maken van de brief, dan wordt deze op verzoek geanonimiseerd. - Persoonsgegevens van ambtenaren in nota’s, rapportages etc. worden niet geanonimiseerd. 3.2.1
Bijzonderheden en advies Persoonsgegevens van ambtenaren die niet vanuit hun functie in de openbaarheid treden worden op dit moment niet geanonimiseerd. Op dit moment wordt binnen de ambtelijke organisatie onderzocht op welke wijze dit binnen de geautomatiseerde systemen wél mogelijk gemaakt kan worden. De raad wordt geadviseerd om bij de uiteindelijke oplossingsrichting aan te sluiten. Het beleid met betrekking tot anonimisering van stukken is niet op de website van de gemeente gepubliceerd. Het verdient aanbeveling dit in een privacyverklaring op te nemen.
3.3
Streamen, opnemen en beschikbaar houden van beelden vergaderingen Het live uitzenden van raadsvergaderingen is gericht op de toegankelijkheid en openbaarheid en transparantie van de gemeenteraad. Dit zijn belangrijke doelen. Tegelijkertijd moet wel de bescherming van persoonsgegevens van betrokkenen in ogenschouw gehouden worden. Het is noodzakelijk is dat betrokkenen vooraf geïnformeerd worden over de opnames en het live uitzenden, bijvoorbeeld middels een bord in de vergaderruimte.
5/11
Datum Titel
7 juni 2023 Jaarverslag functionaris gegevensbescherming 2022
Deze informatievereiste geldt ook voor het opnemen en blijvend online ter beschikking stellen van de beelden. Het is van belang om daarin het beleid te beschrijven, zodat dat duidelijk is waarom gefilmd wordt, waar en hoe lang de beelden toegankelijk zijn en of er mogelijkheden zijn om niet in beeld te komen. Te overwegen is verder om insprekers de mogelijkheid te geven om vooraf kenbaar te maken dat zij niet gefilmd mogen worden 3.3.1
Bijzonderheden en advies De informatie op de website zwolle.nl/gemeenteraad laat niet duidelijk zien op welke wijze omgegaan wordt met de verwerking van persoonsgegevens bij het opnemen en uitzenden van raadsvergaderingen. Het verdient aanbeveling om dit op te nemen in een privacyverklaring op de genoemde website.
3.4
Rechten betrokkenen en datalekken In 2022 zijn er geen verzoeken van betrokkenen ontvangen met een beroep op een privacyrecht onder de AVG, zoals het recht op inzage. Evenmin is sprake geweest van een datalek met betrekking tot een verwerking waarvoor de gemeenteraad verwerkingsverantwoordelijke is.
4
Samenvatting jaarverslag FG 2022 college van B&W en burgemeester Het jaarverslag voor college van B&W en burgemeester en het jaarverslag voor de raad staan feitelijk los van elkaar. Elk verslag betreft in de basis een eigen specifieke set aan gegevensverwerkingen. Het is niet aan de FG om te rapporteren aan de raad over de naleving van wet- en regelgeving waarvoor college en burgemeester verantwoordelijk zijn. Vastgesteld moet echter dat de verwerkingen die onder de verantwoordelijkheid van de raad vallen in aantal en omvang maar zeer beperkt zijn en dat het privacyzwaartepunt binnen de gemeente ligt bij die verwerkingen die onder de verantwoordelijkheid van het college/de burgemeester vallen. Met het verschijnen van een jaarverslag voor het college en de burgemeester is er een mogelijkheid om de raad te informeren over privacyrisico’s en genomen maatregelen in breder gemeentelijk verband. Het college heeft deze mogelijkheid willen benutten door de FG te vragen het samengevatte jaarverslag voor college en burgemeester met de raad te delen. Deze samenvatting vindt u hieronder. Technologische ontwikkelingen volgen elkaar steeds sneller op. De bescherming van persoonsgegevens wordt steeds belangrijker én complexer. Het vertrouwen van de burger in de overheid is kwetsbaar.
De gemeente Zwolle is zich hiervan bewust en werkt aan versterking van de bescherming van persoonsgegevens van inwoners, bezoekers, ondernemers en medewerkers. Dit jaarverslag geeft inzicht in privacyrisico’s en -verbetermogelijkheden bij de verwerkingen van persoonsgegevens die onder de verantwoordelijkheid van het college 6/11
Datum Titel
7 juni 2023 Jaarverslag functionaris gegevensbescherming 2022
van B&W en de burgemeester worden uitgevoerd. Tevens wordt verslag gedaan van de in 2022 uitgevoerde (privacy)activiteiten en wordt beschreven welke acties de organisatie in 2023 (en verder) wil uitvoeren om de gesignaleerde risico’s te mitigeren. Behalve de naleving van de Algemene verordening gegevensbescherming (AVG) komt ook de naleving van de Wet politiegegevens aan bod. Afgehandelde privacyzaken AVG-verzoeken (voornamelijk inzageverzoeken) Bezwaren op besluiten AVG-verzoeken Klachten Datalekken Data protection impact assessments (DPIA’s), een risicobeoordeling bij nieuwe initiatieven
2022 115 4 4 69 16
2021 12 0 0 50 6
Het aantal AVG-verzoeken nam zeer sterk toe. Oorzaken: a) Verdere formalisering van het proces, waardoor verzoeken eerder als AVGverzoek worden herkend; b) Kritischere houding van inwoners ten opzichte van de gemeente, wat ook blijkt uit de toename van complexiteit en gevoeligheid van inzageverzoeken; c) Verstoring Mijn Loket: het formulier waarmee een verzoek kan worden ingediend werd enige tijd getoond aan websitebezoekers die hier niet naar op zoek waren, waarna onbedoeld verzoeken werden ingediend. Ondanks de toename van het aantal inzageverzoeken en de toename van complexiteit is de snelheid van afhandeling verbeterd: 81% is binnen de wettelijke termijn afgehandeld. In 2021 was dit 50%. Het aantal interne datalekmeldingen nam toe. Ook zijn meer datalekken gemeld bij de Autoriteit Persoonsgegevens: van vier in 2021 naar dertien in 2022. Dit duidt niet noodzakelijkerwijs op een verslechtering van de bescherming van persoonsgegevens binnen de gemeente. Het kan evenzeer gezien worden als een indicatie van een versterkt privacybewustzijn. Het aantal uitgevoerde risicobeoordelingen middels een data protection impact assessment (DPIA) is toegenomen. Vier DPIA’s gaven vanwege een hoger risicoprofiel aanleiding tot een formeel FG-advies. Driemaal was dit advies positief, eenmaal negatief.
De specifieke verwerking waar het negatieve advies betrekking op had heeft in de praktijk niet plaatsgevonden. Het proces zal zodanig worden aangepast dat dit ook in de toekomst niet kan gebeuren. Naleving AVG en geplande acties De naleving van privacywetten en -beleid is in de loop van 2022 versterkt, maar verdere verbetering is noodzakelijk. De belangrijkste verbeterpunten:
7/11
Datum Titel
7 juni 2023 Jaarverslag functionaris gegevensbescherming 2022
1) Versterken van de privacyorganisatie Binnen de uitvoerende domeinen neemt het bewustzijn met betrekking tot privacy toe, maar de capaciteit ontbreekt om zelf privacyvraagstukken op te pakken. Het privacyteam binnen het bedrijfsvoeringsdomein heeft een te beperkte omvang om te kunnen voorzien in de ondersteuningsbehoefte vanuit de verschillende uitvoerende domeinen. Binnen de afdeling Informatievoorziening wordt voorzien in de aanstelling van een extra privacy officer. 2) Verbeteren van procesmatig werken De gemeente Zwolle is sterk uitvoerings- en oplossingsgericht. Procesmatig werken en documenteren is minder ontwikkeld. Dit zorgt voor onvoldoende zicht op risico’s en benodigde maatregelen. Het is daarmee moeilijk om op het gebied van privacy aantoonbaar in control te zijn. Binnen de afdeling Informatievoorziening wordt in 2023 gestart met het versterken van procesmatig werken op basis van een plan-do-check-act-cyclus (PDCA). Blijvend managementcommitment is essentieel om dit tot een succes te maken. 3) Beperken van risico’s in de keten De omvang en diversiteit van de gemeentelijke taken wordt binnen Zwolle weerspiegeld in een complex IT-landschap. IT-beheerprocessen zijn deels uitbesteed. Er is een toename van de inzet van software-as-a-service (SaaS).
Deze factoren zorgen ervoor dat de gemeente steeds meer een regiefunctie krijgt, wat vraagt om de ontwikkeling van (nieuwe) competenties binnen de organisatie. Zwolle heeft een spilfunctie binnen de regio en speelt een prominente rol binnen verschillende samenwerkingsverbanden. Zeker als binnen deze samenwerkingsverbanden informatie wordt uitgewisseld leidt dit tot een complexe en daarmee ook risicovolle situatie vanuit het perspectief van privacy. Binnen het sociaal domein wordt gestreefd naar integrale hulpverlening. In dat verband is gegevensdeling essentieel. De juridische basis hiervoor is niet in alle gevallen scherp aan te wijzen. De komst van de Wet aanpak meervoudige problematiek in het sociaal domein (Wams) zorgt voor aanmerkelijke verbeteringen op dit punt. De implementatie hiervan binnen Zwolle wordt projectmatig aangepakt. Voor het beperken van ketenrisico’s worden binnen Zwolle verschillende maatregelen getroffen. Zo zet de afdeling Informatievoorziening in op een versterking van haar grip op uitbestede IT-processen, onder meer door de versterking van contract- en leveranciersmanagement.
8/11
Datum Titel
7 juni 2023 Jaarverslag functionaris gegevensbescherming 2022
In de eerste helft van 2023 zal de functionaris gegevensbescherming in samenwerking met de chief information security officer (CISO) en het team Internal audit onderzoek doen naar en adviseren over inkoop-, contract- en leveranciersmanagement. 4) Beheersen risico’s van nieuwe technologie Nieuwe technologie en de ontwikkelingen van kunstmatige intelligentie bieden veel nieuwe toepassingsmogelijkheden, zeker ook met betrekking tot het meten en verbeteren van leefbaarheid en veiligheid. Dit leidt ook tot privacyrisico’s die altijd goed moeten worden afgewogen voorafgaand aan de inzet van nieuwe middelen. Belangrijk daarbij is om de inzet van middelen tijdig te evalueren en om te voorkomen dat nieuwe mogelijkheden van technologie niet leiden tot toepassingen die aanvankelijk niet werden voorzien. 5) Meer transparantie en verantwoording afleggen Informatie over de verwerking van persoonsgegevens voor inwoners is met name vastgelegd in privacy- en cookieverklaringen. De huidige informatie is onvoldoende om een volledig en goed inzicht te krijgen in de verwerkingen van persoonsgegevens binnen de gemeente Zwolle. De afdeling informatievoorziening heeft voor 2023 een verbetering van deze informatie gepland.
Naast het verbeteren van informatie in privacy- en cookieverklaringen is het ook passend om bijvoorbeeld actief te communiceren over inzet van camera’s, jaarlijks te verantwoorden hoe de gemeente de bescherming van persoonsgegevens verbetert, en evaluaties van gebruikte nieuwe technologie openbaar te maken. Het voornemen om het gebruik van sensoren in de publieke ruimte vast te leggen in een openbaar sensorenregister is een goede eerste stap. Naleving Wet politiegegevens In juli 2022 heeft de externe audit op de Wet politiegegevens plaatsgevonden. De resultaten hiervan zijn gerapporteerd aan het college. Conform wettelijke verplichting is het auditrapport ook met de Autoriteit persoonsgegevens gedeeld. De externe audit heeft geleid tot een verbeterplan. Medio 2023 vindt opnieuw een externe audit plaats om de realisatie van het verbeterplan te meten.
9/11
Titel
7 juni 2023 Jaarverslag functionaris gegevensbescherming 2022
5
Bijlage: Privacy-ontwikkelingen in 2022/2023
Datum
Hieronder geven wij een overzicht van een aantal relevante ontwikkelingen op het gebied van de bescherming van persoonsgegevens. •
De Digitale overheid is één van de focusgebieden van de AP in de periode 2020-2023 (naast Datahandel en Artificiële Intelligentie & algoritmes). Binnen de Digitale overheid herkende de AP een viertal aandachtsgebieden: Databeveiliging, Smart cities, Samenwerkingsverbanden/ongeoorloofd delen en Verkiezingen en microtargeting.1
•
De Europese Commissie heeft in april 2021 een voorstel gedaan voor de Wet op de artificiële intelligentie. Het doel van de wet is om innovatie en de uitrol van AI-technologie binnen de EU te stimuleren, op een veilige wijze en met de volledige eerbiediging van de grondrechten van burgers van de unie. De gezamenlijke EU-privacytoezichthouders hebben in hun opinie hierover nog eens extra benadrukt dat de ontwikkeling van AI ten dienste van de burger moet komen en dat menselijke vaststelling van doelen van AI essentieel blijft.
•
In 2021 hebben de minister van Binnenlandse zaken en de minister voor rechtsbescherming aan het Wetenschappelijk Onderzoek- en Documentatiecentrum gevraagd om onderzoek te doen naar de naleving van de AVG door overheidsorganisaties. De aanleiding hiervoor vormden verschillende situaties waaruit bleek dat de overheid tekortschoot in de bescherming van persoonsgegevens. In februari 2023 verscheen het rapport.2 Het WODC kwam tot de conclusie dat de bescherming van persoonsgegevens sinds 2018 is verbeterd maar nog wel aandacht behoeft. Het gaat hierbij onder meer om de tijdige uitvoering van DPIA’s, versterking van privacyrollen binnen de uitvoerende lijnorganisaties (naast de privacy officer en FG) en het belang van commitment voor privacy bij het management, in gedrag en bij de vaststelling van beleidsdoelen. Ook de rol van de AP komt ter sprake: de AP wordt geadviseerd om zich niet alleen op handhaven, maar vooral ook op meedenken en adviseren te richten.
•
In 2021 trad de AP handhavend op bij de gemeente Enschede vanwege onrechtmatige inzet van wifitracking en legde een boete op van €600.000.3 Het door de gemeente ingediende bezwaar werd in 2022 ongegrond verklaard.
•
In 2022 voerde de AP, samen met andere privacytoezichthouders binnen de EU, onderzoek uit naar het gebruik van clouddiensten door overheden. De resultaten hiervan verschenen in januari 2023.4 De aanbevelingen hadden
Focus AP 2020-2023 | Autoriteit Persoonsgegevens Verkennende analyse: Naleving van de AVG door overheden | Rapport | Rijksoverheid.nl 3 Boete gemeente Enschede om wifitracking | Autoriteit Persoonsgegevens 4 Coordinated Enforcement Action, use of cloud-based services by the public sector | European Data Protection Board (europa.eu) 1 2
10/11
Datum Titel
7 juni 2023 Jaarverslag functionaris gegevensbescherming 2022
onder meer betrekking op het belang van tijdige DPIA’s, duidelijkheid over rolverdeling tussen leverancier en afnemer, samenwerking met andere publieke partijen voor meer slagkracht bij onderhandelingen, aandacht voor internationale doorgifte van persoonsgegevens en goede contractuele vastlegging van afspraken, onder meer met betrekking tot audits. •
Op 7 november 2022 publiceerde de AP een handreiking waarmee gemeenteraadsleden de inzet van technologie en het deelnemen aan samenwerkingverbanden beter kan controleren.5
•
Op 16 november 2022 verscheen een DPIA over het gebruik van Facebookpagina’s door de overheid, die was uitgevoerd in opdracht van de staatssecretaris van Binnenlandse zaken en Koninkrijksrelaties.6 In de begeleidende kamerbrief schreef de staatssecretaris dat de Rijksoverheid zou stoppen met het gebruik van Facebook als Facebook de geconstateerde tekortkomingen niet oplost.7
•
In haar ‘Dreigingsbeeld informatiebeveiliging Nederlandse gemeenten 2023/2024’8 waarschuwde de VNG voor de gevaren van ransomware, kwetsbaarheden in software en voor risico’s in de keten, bij samenwerking en uitbesteding van processen.
•
Vanaf 1 januari 2023 heeft de Autoriteit Persoonsgegevens het toezicht op de ontwikkeling en het gebruik algoritmes als extra taak gekregen.9 Dit vloeit voort uit het coalitieakkoord van 15 december 2021 waarin de instelling van een algoritmetoezichthouder werd beschreven.
•
De AP maakte op 1 maart 2023 bekend de gemeente Eindhoven onder verscherpt toezicht te stellen vanwege onvoldoende naleving van privacywetgeving.10 De geconstateerde tekortkoming hadden betrekking op bewaartermijnen, uitvoering van DPIA’s, melding van datalekken, de positie van de FG en de inrichting van de privacyorganisatie.
AP helpt raadsleden bij controleren inzet technologie en samenwerkingsverbanden in gemeenten | Autoriteit Persoonsgegevens 6 DPIA on government Facebook Pages | Rapport | Rijksoverheid.nl 7 Kamerbrief over onafhankelijk onderzoek naar Facebookpagina's overheid | Kamerstuk | Rijksoverheid.nl 8 IBD_dreigingsbeeld_2023-2024_DEF-versie.pdf (informatiebeveiligingsdienst.nl) 9 Algoritmetoezicht | Autoriteit Persoonsgegevens 10 AP intensiveert toezicht op gemeente Eindhoven | Autoriteit Persoonsgegevens 5
11/11