de naleving van de AVG.pdf
Een raadslid stelde op 26 januari 2023 schriftelijke vragen aan het college van burgemeester en wethouders van Leusden (4 vragen).
In het kort
4 vragen en wat het college antwoordt
- Hoe is de situatie in Leusden in vergelijking tot andere gemeenten, moeten onze inwoners zich zorgen maken over de verwerking van hun persoonsgegevens? → Antwoord Vanuit informatieveiligheid is de gegevensbeveiliging in Leusden in technische zin -zo goed als mogelijk- op orde is.
- Waar zitten de grootste uitdagingen binnen onze gemeente? → Antwoord De grootste uitdaging is zoals bij de vorige vraag door de FG aangegeven het verder inzetten op de werkorganisatie.
- Welke eventuele extra risico’s loopt Leusden in het kader van het samenwerkingsverband BLNP? → Antwoord De Regeling Zonder Meer is het juridisch construct van de samenwerking bedrijfsvoering BLNP.
- Welke acties worden ondernomen ter preventie van, dan wel het oplossen van mogelijke geconstateerde problemen? → Antwoord Naast de inzet om gegevensuitwisseling in de samenwerking bedrijfsvoering volgens de AVG aan te pakken, wordt op advies van de CISO en de FG momenteel ook BLNP-breed ingezet op een…
Overgenomen uit de brief van het college; hieronder staan de volledige vragen en antwoorden.
Aanleiding
BEANTWOORDING SCHRIFTELIJKE VRAGEN Van Aan Datum Betreft
: Het college : De raad : maandag 10 oktober 2022 : Beantwoording schriftelijke vragen fractie D66 over de naleving van de AVG
In een brief van 10 oktober 2022, stelt de fractie van D66 een aantal vragen over de naleving van de AVG.
Hieronder vindt u de gestelde vragen met de tekst over de aanleiding en de bijbehorende antwoorden.
Aanleiding voor de vragensteller Uit een onlangs gepresenteerd rapport van privacy-organisatie Bits of Freedom waaruit blijkt dat gemeenten zich onvoldoende houden aan de privacywet AVG. Er worden problemen gemeld met betrekking tot de gegevenshuishouding, verwerkingsregisters zouden bijvoorbeeld niet compleet en actueel zijn, en een capaciteitsprobleem bij vrijwel alle gemeenten. Er zou te weinig geld voor beschikbaar gemaakt worden.
Vraag
Vragen en antwoorden
Vraag 1
Hoe is de situatie in Leusden in vergelijking tot andere gemeenten, moeten onze inwoners zich zorgen maken over de verwerking van hun persoonsgegevens?
Antwoord van het college
Antwoord Vanuit informatieveiligheid is de gegevensbeveiliging in Leusden in technische zin -zo goed als mogelijk- op orde is. Zo wordt bijvoorbeeld jaarlijks een zogenaamde ‘pen-test’ gehouden om te kunnen nagaan of applicaties, systemen en netwerken voldoende bescherming bieden tegen hacks en andere inbreuken op de beveiliging. In geval van kwetsbaarheden volgen er beschermende maatregelen. Dit zegt niet alles, ook gemeenten/organisaties die de beveiliging behoorlijk op orde hebben worden getroffen door ingrijpende inbreuken.
Wij hebben onze Functionaris Gegevensbescherming (FG) gevraagd om ook te reageren op de vragen. De FG houdt binnen de organisatie toezicht op de naleving van de AVG. De FG laat weten dat er in organisatorische zin nog veel verbeteringen te treffen zijn. Risico’s rond het verwerken van persoonsgegevens ontstaan vaak van binnenuit of bij partijen waarmee de gemeente samenwerkt, terwijl de verantwoordelijkheid dan vaak wel bij de gemeente ligt.
Risico’s rond de gegevensverwerking (inclusief gemaakte of juist nog ontbrekende afspraken, gebruikte systemen, processen en procedures) zijn nog niet goed in beeld gebracht. De gemeente heeft de verwerking van persoonsgegevens in veel situaties nog niet onderzocht/ in lijn met de AVG gebracht. Medewerkers/ partijen die met de gemeente samenwerken weten door het ontbreken van instructies van de kant van de gemeente niet precies wat er van hen wordt verwacht voor wat betreft het verwerken/ beveiligen van persoonsgegevens. Dit geeft kans op datalekken. Gevolgen van datalekken kunnen zijn: identiteitsfraude, discriminatie, buitensluiting, financiële schade of andere schade.
Wij onderschrijven dat we aan de organisatorische kant nog veel werk te doen hebben.
Helaas heeft het ons aan capaciteit ontbroken. U bent daarover in kennis gesteld in de memo ‘gevolgen vluchtelingencrisis op de organisatie’ d.d. 14 juni 2022.
Vraag
Vraag 2
Waar zitten de grootste uitdagingen binnen onze gemeente?
Antwoord van het college
Antwoord De grootste uitdaging is zoals bij de vorige vraag door de FG aangegeven het verder inzetten op de werkorganisatie. Het betreft het verder op orde brengen van de taken en rollen rond Informatiebeveiliging en Bescherming van persoonsgegevens/ privacy (IB&P). En het verder uitwerken en implementeren van het IB&P beleid.
Onze FG onderschrijft dit. Zij geeft aan dat in de BLNP gemeenten tot dusver sprake is van een ad-hoc aanpak van persoonsgegevens-/ privacyvraagstukken. Tot dusver is te weinig tijd en zijn te weinig middelen beschikbaar voor de taken. De privacybeheerders, CISO’s en de FG weten elkaar goed te vinden en werken goed samen met de verschillende teams. De proceseigenaren zijn minder in beeld. Inzet van mensen en middelen vraagt over de volle breedte aandacht. Zo is het register van verwerkingsactiviteiten niet actueel en wordt onvoldoende ingezet op privacy by design (rekening houden met privacy bij ontwerp van systemen en processen) en privacy by default (gebruik van standaard privacyvriendelijke instellingen). Privacy by design en privacy by default vragen een multidisciplinaire aanpak en een systeem dat ondersteunend is aan het kunnen beleggen van IB&Pverantwoordelijkheden.
Tot slot worden de verplichte gegevensbescherming effectbeoordelingen (DPIA) nog onvoldoende gehouden. DPIA’s die nog niet georganiseerd zijn, zijn onder meer: zaaksysteem Djuma, het personeelssysteem Youforce, samenwerking Leusden/ Amersfoort/ Stadsring en het cameratoezicht op de Biezenkamp. Bij dit laatste wordt nog gewacht op goedkeuring vanuit het OM. Daarna zal het DPIA advies volgen.
Vraag
Vraag 3
Welke eventuele extra risico’s loopt Leusden in het kader van het samenwerkingsverband BLNP?
Antwoord van het college
Antwoord De Regeling Zonder Meer is het juridisch construct van de samenwerking bedrijfsvoering BLNP. De Regeling Zonder Meer is de lichtste vorm van een Gemeenschappelijke Regeling en heeft geen rechtspersoonlijkheid. Daardoor biedt de RZM geen mogelijkheid om, anders dan door middel van detachering, taken over te dragen vanuit de ene naar de andere gemeente. Aan deze detachering is tot dusver nog geen gevolg gegeven. Daardoor wordt nog niet voldaan aan de vereisten die de AVG voorschrijft, evenals aan de voorloper daarvan, de Wet bescherming persoonsgegevens.
Doordat een wettelijke grondslag voor de verwerking van persoonsgegevens nu nog ontbreekt, evenals het voldoen aan een aantal andere vereisten in de AVG (zie de opmerkingen hieronder van de FG), is de gegevensuitwisseling tussen de vier gemeenten nog niet rechtmatig. We zijn ons bewust van de ernst van deze situatie en willen deze verbeteren. Dit is niet eenvoudig omdat dit fundamentele keuzes en aanpassingen vraagt
Pagina 2
over de wijze van voortzetten van de samenwerking. Er is inmiddels uitgezocht wat juridisch een oplossing kan zijn voor de korte termijn: het werken met individuele detacheringsovereenkomsten en gegevensverwerkingsovereenkomsten voor gezamenlijke verwerkingsverantwoordelijken. Daarop wordt momenteel een DPIA voorbereid, die ook zal ingaan op technische en organisatorische aspecten. Nadat de uitkomsten van de DPIA bekend zijn, zal blijken of deze oplossing inderdaad voldoende waarborgen biedt voor gegevensbescherming.
Voor de langere termijn wordt, zoals is aangegeven tijdens de raadsledenbijeenkomst van 17 mei 2022, gekeken naar een structurele oplossing van de problematiek met mogelijk een ander juridisch construct tot gevolg. Ook dat onderzoek loopt nog.
Vanuit de FG is aangegeven dat de huidige situatie onwenselijk en juridisch niet houdbaar is. Er dient een grondslag te zijn voor het ‘rechtmatig, behoorlijk en transparant’ verwerken van persoonsgegevens voor ‘welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden’ (doelbinding). Verder verlangt de AVG een ‘minimale gegevensverwerking en opslagbeperking’ (niet meer verwerken dan nodig is). Ten slotte moeten de persoonsgegevens ‘juist zijn, en integer en vertrouwelijk behandeld worden’. Het is belangrijk dat een gemeente, een overheidsorganisatie met een voorbeeldfunctie, zich goed aan deze beginselen houdt. Wanneer de gegevensverwerkingen vanuit of binnen de BLNPsamenwerking niet verder in lijn gebracht wordt met de AVG kan dit leiden tot eventuele terechte klachten van de kant van betrokkene(n) of tot de onderaan punt 1 door de FG genoemde nadelige gevolgen voor betrokkene(n) door eventuele datalekken.
Ook kan de Autoriteit Persoonsgegevens de gemeente diverse sancties opleggen bij overtreding van de AVG. Daarnaast loopt de gemeente imagorisico’s vanwege het schenden van de Algemene beginselen van behoorlijk bestuur vanwege het niet naleven van de AVG en aanverwante regelgeving. Door het uitvoeren van de DPIA komen eventuele ‘gaps’ op het gebied van de gegevensbescherming in beeld. Door het treffen van eventueel noodzakelijke (aanvullende) juridische, technische en/ of organisatorische maatregelen dienen de restrisico’s effectief te kunnen worden afgewend. Als dat niet mogelijk is dan dient hierover afstemming met de Autoriteit Persoonsgegevens plaats te vinden.
Vraag
Vraag 4
Welke acties worden ondernomen ter preventie van, dan wel het oplossen van mogelijke geconstateerde problemen?
Antwoord van het college
Antwoord Naast de inzet om gegevensuitwisseling in de samenwerking bedrijfsvoering volgens de AVG aan te pakken, wordt op advies van de CISO en de FG momenteel ook BLNP-breed ingezet op een IB&P audit binnen het sociaal domein en burgerzaken. De audit geeft inzicht in de stand van zaken om eventuele handreikingen te krijgen om de meest noodzakelijke stappen te kunnen zetten om de gemeentelijke verantwoordelijkheden rond informatieveiligheid en privacy op orde te krijgen. Met de handreikingen maken we een plan van aanpak. Daarmee wordt het concreet en kunnen we op deze punten (sociaal domein en burgerzaken) inschatten hoeveel tijd en capaciteit nodig is voor de aanpak en de verdere implementatie van AVG/ privacy in organisatie.
De FG ziet toe op beide onderzoeken.
Pagina 3
Bekijk de brief: 20-10-2022 Beantwoording schriftelijke vragen D66 over de naleving van de AVG.pdf
Bron: raadsinformatie van de gemeente Leusden (Open Raadsinformatie). De vragen en antwoorden zijn automatisch uit de brief gelezen; het origineel is leidend.