Rekenkameronderzoek Bescherming persoonsgegevens
Plan van aanpak, september 2020
Inleiding
Sinds 25 mei 2018 geldt in de hele EU dezelfde privacywetgeving: de Algemene verordening gege- vensbescherming (AVG). Deze is in de plaats gekomen van een richtlijn die al sinds 1995 bestond.
Grootste veranderingen: boetes en zelf actief aantonen dat persoonsgegevens worden beschermd.
Daarnaast moet ook aandacht worden besteed aan informatiebeveiliging.
Achtergrond en doelen
In het Onderzoeksplan 2020 is opgenomen dat de Rekenkamer Amersfoort onderzoek gaat doen naar de AVG: Is de AVG juist geïmplementeerd en hoe is de werking van het geïmplementeerde? De rekenkamer heeft dit geconcretiseerd in de volgende doelen: het onderzoek moet inzicht bieden in:
- de bescherming door de gemeente Amersfoort van persoonsgegevens van haar inwoners;
- de bescherming van persoonsgegevens door derden aan wie de gemeente de uitvoering van be- leid heeft uitbesteed, of met wie anderszins persoonsgegevens worden gedeeld;
- een adequate toepassing van de AVG, in die zin dat de in deze verordening vastgelegde regels en procedures in het gemeentelijk beleid zijn verwerkt en worden nageleefd.
Opzet onderzoek
Centrale onderzoeksvraag
Hoe wordt de privacy van de Amersfoortse inwoners beschermd en wordt er adequaat gebruik ge- maakt van de AVG, toegespitst op derden aan wie de uitvoering van beleid is uitbesteed, of met wie anderszins persoonsgegevens worden gedeeld?
Deelvragen
1. Hoe biedt de gemeente Amersfoort bescherming aan burgers als het gaat om privacy?
2. Op welke wijze is de raad tot nu toe bij de ontwikkeling van het privacybeleid betrokken ge- weest?
3. Waar knelt de AVG, waar zitten beperkingen, risico’s?
4. Wat heeft de FG (functionaris gegevensbescherming) nodig van de gemeente om zijn werk te kunnen doen? In hoeverre is dit in Amersfoort geregeld?
5. Hoe monitort/verifieert de gemeente afspraken in verwerkersovereenkomsten met derden, waar knelt de AVG, waar zitten beperkingen, risico’s? Denk aan GGD, Veiligheidshuis, sociale wijkteams, werk inkomen en zorg, belastingen, afval, Geldwijzer033, BRP, personeelsadministra- tie, smart city toepassingen?
6. Zijn er verschillen en zo ja welke, in de bescherming van persoonsgegevens door de gemeente en door derden?
7. Wat zijn ongewenste neveneffecten van de AVG: gebeurt het bijvoorbeeld dat informatie niet wordt gedeeld met een (oneigenlijk) beroep op de AVG.
8. Welke privacyschendingen zijn er bij de gemeente en de samenwerkingspartners sinds de invoe- ring van de AVG geweest/gemeld, hoe is de gemeente daarmee omgegaan?
9. Hoe vinden inwoners dat hun privacy (door derden) wordt beschermd? Hoe gaat de gemeente om met klachten? Wat is de aard van eventuele klachten.
10. Op welke manier wordt de gemeenteraad geïnformeerd over de uitvoering van het beleid rondom de bescherming van persoonsgegevens? Welke mogelijkheden heeft de raad om te stu- ren en te controleren?
Visie op de bescherming van persoonsgegevens
Privacy en een correcte omgang met persoonsgegevens binnen gemeenten worden vaak louter als juridische en ICT-technische onderwerpen gezien. De aandacht daarvoor beperkt zich dan tot de af- deling Juridische Zaken en de afdeling ICT. Een zorgvuldige omgang met persoonlijke gegevens be- hoort echter een kernwaarde te zijn van elke medewerker in een overheidsorganisatie. Daarmee is de menselijke factor en de dagelijkse uitvoeringspraktijk een gemeente- en organisatiebreed een be- langrijk aandachtspunt. Het impliceert eveneens dat het beleid aan iedereen bekend moet zijn, om- dat je immers ‘de regels niet kunt naleven als je ze niet kent'.
Kennis over de regelgeving, zowel de AVG als de informatieparagrafen in de materiewetten, is ook niet overal voldoende aanwezig. Het schort er vervolgens geregeld aan om de regelgeving te verta- len naar kaders en praktische instructies voor de uitvoering. Bovendien zit de noodzaak om zorgvul- dig met persoonsgegevens om te gaan niet bij alle medewerkers in het DNA.
De bescherming van persoonsgegevens is een belangrijk onderdeel van integere dienstverlening.
Daarvoor moeten medewerkers de regels kennen, de betekenis daarvan hebben geïnternaliseerd, deze weten te vertalen naar processen, organisatie en techniek, en naar de wijze waarop je de bur- ger bejegent. Burgers hebben er recht op dat hun individuele rechten worden gerespecteerd, dat gegevens van hem worden gebruikt voor de doelen waarvoor ze zijn verstrekt of geregistreerd, en dat hij inzicht heeft in het gebruik van zijn persoonsgegevens. Anderzijds heeft de gemeente de rol om taken uit te voeren waarvoor informatie over inwoners nodig is. De gemeente moet dit doen op een wijze waardoor inwoners er vertrouwen in hebben dat hun persoonsgegevens in goede handen zijn. Dit dient ook te gebeuren in beleidsdomeinen waarbij de gemeente informatie uitwisselt met bij de uitvoering van het beleid betrokken externe organisaties.
Vanuit deze visie en de hierboven genoemde onderzoeksvragen, wordt in het onderzoek aandacht besteed aan het gemeentelijk beleid (bescherming van persoonsgegevens op papier), de uitvoering van dit beleid en omgang met persoonsgegevens in de praktijk (cultuur van de organisatie). Daarbij is bijzondere aandacht voor deze facetten aangaande de inwoners van Amersfoort en de bescher- ming van persoonsgegevens bij derden.
Normenkader
Het toetsen van de bevindingen aan het normenkader resulteert in een overzicht waarin wordt aan- gegeven in welke mate in de praktijk aan de normen wordt voldaan. In dit onderzoek hanteren we het navolgende normenkader:
Normenkader
Normen met betrekking tot het gemeentelijk beleid
◥ De gemeente heeft AVG-conforme beleidskaders, regels en richtlijnen met betrekking tot de (juridi- sche) borging van de privacy van inwoners.
◥ In bestuursrapportages, programmabegroting en programmarekening wordt expliciet aandacht be- steed aan de wijze waarop een correcte omgang met persoonsgegevens is gewaarborgd. Daaraan wor- den conclusies en maatregelen verbonden op basis van uitgevoerde controles.
◥ Er is een procedure vastgelegd hoe de gemeente handelt in het geval van geconstateerde ‘datalekken’.
◥ Er is vastgelegd hoe de raad wordt geïnformeerd over (de ontwikkelingen in) het privacybeleid.
Normen met betrekking tot de uitvoering van het gemeentelijk beleid
◥ In de praktijk wordt gehandeld conform de wijze waarop de bescherming van de persoonsgegevens is geregeld in de relevante werkprocessen, de toewijzing van verantwoordelijkheden, de inrichting van informatiesystemen, de autorisaties, de afspraken voor de verwerking van gegevens en de afspraken over het informeren van burgers en het vragen van toestemming.
◥ Afspraken in verwerkersovereenkomsten met derden worden door de gemeente gemonitord en geveri- fieerd.
◥ De gemeente heeft een leer- en verbetercyclus waar privacy een apart onderdeel van uitmaakt. Hierin is aandacht voor mogelijke (ongewenste) knelpunten.
◥ De gemeente heeft een routine voor het meten en verbeteren van de bescherming persoonsgegevens en legt vast wat de bevindingen en maatregelen zijn. Deze routine is al tenminste één keer uitgevoerd.
◥ Indien er sprake is geweest van een datalek, heeft de gemeente conform de vastgelegde procedure ge- handeld.
◥ De gemeente informeert de burger op een toegankelijke en begrijpelijke wijze over hun privacy-rech- ten, zowel schriftelijk als mondeling.
◥ De gemeente verschaft aan burgers schriftelijk en mondeling begrijpelijke informatie over het gebruik van hun persoonsgegevens, zowel in algemene zin als afgestemd op de verschillende fasen in het dienstverleningsproces. Daarbij wordt aangegeven met welk doel dit gebeurt, wie inzage heeft en wat er vervolgens met de gegevens gebeurt.
◥ In de praktijk wordt de raad conform de overeengekomen systematiek geïnformeerd over de ontwikke- lingen in het privacybeleid.
◥ De informatieverstrekking aan de raad biedt de raad voldoende mogelijkheden om de sturende en con- trolerende verantwoordelijkheden waar te maken.
Normen met betrekking tot de cultuur binnen de organisatie m.b.t. privacy
◥ De medewerkers van de gemeente zijn bekend met het gemeentelijk beleid bescherming persoonsge- gevens en worden van aanpassingen op de hoogte gehouden.
◥ In hun dagelijks functioneren geven de medewerkers er blijk van het gemeentelijk privacybeleid na te leven.
◥ In de relatie met inwoners zijn de medewerkers proactief en transparant over de wijze waarop de ge- meente omgaat met hun gegevens
◥ In de relatie met ketenpartners bewaken de medewerkers actief dat deze ketenpartners zich conforme- ren aan de regels, standaarden en procedures van de gemeente.
Scope, tijdvak en afgrenzing
Het onderzoek concentreert zich op het door de gemeente gevoerde beleid in de huidige collegepe- riode. Daar waar uitgangspunten voor het beleid in eerdere collegeperioden zijn vastgelegd, worden deze vanzelfsprekend in het onderzoek betrokken.
Aanpak onderzoek
Het rekenkameronderzoek kent de volgende fasen:
- Fase 1: Aankondiging
Het onderzoek begint met een aankondigingsgesprek bij de portefeuillehouder en het afdelings- hoofd/de contactpersoon voor dit onderzoek. Desgewenst zijn er ook andere ambtelijke betrokke- nen bij dit gesprek. Naast een toelichting op de uitgangspunten van het onderzoek, wordt dit ge- sprek benut om praktische afspraken te maken over het verkrijgen van de relevante informatie, planning van interviews en groepsbijeenkomsten, de keuze voor de beleidsdomeinen en/of casus- sen, en overige zaken.
- Fase 2: Deskresearch
In deze fase wordt door middel van documentenstudie en interviews inzicht verkregen in de uit- gangspunten van het gemeentelijk beleid met betrekking tot de bescherming van persoonsgege- vens. De documenten betreffen (in ieder geval) het door de raad vastgestelde beleid, werkinstruc- ties en procedures. Interviews vinden tenminste plaats met de portefeuillehouder, juridische mede- werkers, de betrokken afdelingshoofden, de gemeentesecretaris, de FG en de CISO.
Conform gebruikelijke werkwijzen zal van elk interview een conceptverslag worden opgesteld. Deze wordt ter verificatie voorgelegd aan de geïnterviewde persoon. Na verwerking van diens opmerkin- gen en aanvulling wordt het verslag definitief en wordt onderdeel van het onderzoeksdossier.
- Fase 3: Verdieping
In de verdiepende fase is aan de orde in hoeverre het vastgelegde beleid in de praktijk wordt inge- vuld en nageleefd, zowel binnen de gemeentelijke organisatie zelf als in de relatie met inwoners en ketenpartners. De verdiepende fase kent daarmee verschillende activiteiten:
• Wij organiseren in twee nader te bepalen (informatie-intensieve) beleidsdomeinen gesprekken met de bij de informatieverwerking betrokken ambtenaren om te doorgronden hoe zij in de prak- tijk en in het contact met inwoners omgaan met privacyvraagstukken;
• Wij analyseren beleidstukken en communicatie van de gemeente met betrekking tot de bescher- ming van persoonsgegevens, alsmede verzoeken om informatie, klachten (o.m. bij de (Nationale) Ombudsman), etc.
• Waar mogelijk spreken wij met vertegenwoordigers van inwoners. In het sociaal domein geldt dat bijvoorbeeld de Cliëntenraad Werk en Inkomen en de Adviesraad Sociaal Domein. Waar mogelijk en relevant doen wij dat ook in andere domeinen. Verder maken wij, indien mogelijk, gebruik van het Amersfoortpanel om rechtstreeks inwoners over dit onderwerp te raadplegen.
• Wij inventariseren welke afspraken er door de gemeente worden gemaakt met ketenpartners over de wijze waarop de ketenpartners de privacy waarborgen.
in op mogelijke knelpunten in de praktijk die het gevolg zijn van de regelgeving (of de interpreta- tie daarvan) en de mogelijke oplossingen daarvoor. Een dergelijke sessie versterkt inzicht en sa- menhang in het rapport en ons onderzoek, en bevordert het draagvlak en de acceptatie.
• Wij organiseren aan de hand van een fictieve casus een sessie met fractiewoordvoerder waarin we ingaan op de rol van de raad (controlerend, sturend, kaderstellend) ten aanzien van de be- scherming van persoonsgegevens.
- Fase 4: Analyse en rapportage
In deze fase worden de uitkomsten van het onderzoek geanalyseerd om te komen tot de beant- woording van de onderzoeksvragen. Wij zijn ons er van bewust dat de bevindingen beoordeeld moe- ten worden binnen de lokaal-specifieke context van Amersfoort, waarin ervaringen uit het verleden, politieke verhoudingen en de bestaande omgangsvormen tussen gemeenteraad, college van B&W en de ambtelijke organisatie mede van belang zijn.
In de wijze van rapportage maakt PBLQ altijd een duidelijk onderscheid tussen de beschrijving van de bevindingen (feitenrappportage) en de beoordeling van die bevindingen in een bestuurlijk deel.
In de bestuurlijke rapportage streven we naar een compacte en goed toegankelijke, waar mogelijk visueel ondersteunde vorm. Door her zelfstandig leesbare karakter van dit (compacte) bestuurlijke rapport wordt de gemeenteraad gefaciliteerd in het voeren van een inhoudelijk gesprek over de voorgestelde conclusies en aanbevelingen.
Het feitenrapport wordt door de rekenkamer voor technisch wederhoor naar de betrokkenen ge- stuurd. PBLQ heeft goede ervaringen met een mondelinge bespreking (overigens met schriftelijke verslaglegging) van de ambtelijke reacties. Deze werkwijze draagt bij aan het versterken van het in- zicht in de opvattingen over de gepresenteerde feiten en biedt meer ruimte voor nuances. In overleg met de rekenkamer en de organisatie zal tijdens de uitvoering worden bepaald of voor het ambtelijk wederhoor gekozen wordt voor deze werkwijze.
Vervolgens wordt, na eventuele aanpassingen uit het technisch wederhoor, de bestuurlijke rappor- tage opgesteld. Deze bevat onder meer de conclusies en aanbevelingen.
Bureau, team en planning
Bureau en team
De rekenkamer van Amersfoort laat het onderzoek uitvoeren door PBLQ. Eerste aanspreekpunt bij PBLQ is dr. Peter Castenmiller (p.castenmiller@pblq.nl / 06 25007922). De overige teamleden zijn Peter Seignette, Judith Blijden en Tom Adriaanse.
In bijlage 1 van dit plan van aanpak zijn de cv’s van deze onderzoekers opgenomen. Tevens is daar aangegeven wat ieders specifieke bijdrage aan de uitvoering van het onderzoek is.
Planning
De uitvoering van het onderzoek zal ongeveer vijf maanden in beslag nemen. In het onderstaande figuur staat dit per fase/activiteit in de tijd uitgezet:
Om de rekenkamer in staat te stellen om op de hoogte te blijven van de voortgang van de opdracht, en om daarmee de kwaliteit van de uitvoering mede te bewaken en zo nodig bij te sturen, zijn er de volgende overlegmomenten:
• Bij de kick-off om afspraken te maken over de invulling van het onderzoek.
• Zodra stap 2 is afgerond. Onder meer willen wij dit overleg gebruiken om de vervolgstappen te bespreken, waaronder de verdiepende activiteiten en de groepsbijeenkomsten.
• Bij het bespreken van de conceptrapportage en het voorstel voor de conclusies en aanbevelin- gen.
• Gedurende het ambtelijke en bestuurlijke wederhoor.
In bijlage 2 zijn de met de uitvoering van deze activiteiten gemoeide tijdsinvestering en daaruit vol- gende kosten gespecificeerd.
Bijlage 1: CV’s onderzoekers
Het onderzoeksteam bestaat Peter Castenmiller, Peter Seignette, Judith Blijden en Tom Adriaanse van PBLQ. Peter Castenmiller is opdrachtverantwoordelijke en eerste aanspreekpunt voor de op- drachtgever en voor de gemeentelijke organisatie.
Korte CV’s van de teamleden zijn de volgende.
Peter Castenmiller:
Peter heeft een jarenlange onderzoeks- en advieservaring in het open- baar bestuur. Hij is verbonden geweest aan het Sociaal en Cultureel Plan- bureau, VNG/SGBO, Zenc en PBLQ. In die functies heeft hij zich met vele facetten van het functioneren van het openbaar bestuur beziggehouden, met een nadruk op het lokaal bestuur. In 2001 is hij gepromoveerd op een studie naar de betrokkenheid van burgers bij het gemeentebestuur.
Sinds 2009 verricht PBLQ jaarlijks verschillende onderzoeken in opdracht van lokale rekenkamers (of rekenkamercommissies). Peter Castenmiller is bij al die onderzoeken betrokken geweest.
Als opdrachtverantwoordelijke is Peter betrokken bij alle onderdelen van het voorgenomen onder- zoek. Dat betekent dat hij een actieve rol heeft in het documentenonderzoek, de interviews en de diverse groepsbijeenkomsten. Verder zal hij de eindredactie verzorgen op de rapportage.
Ervaringen en expertises
2018 - heden Voorzitter van de rekenkamer van de gemeente Delft 2017 – heden Docent politicologie aan de Universiteit Leiden 2013 – heden Lid van de Kiesraad
2005 - 2016 Lid/voorzitter van de Rekenkamer van de Provincie Zeeland
2001 – 2014 Lid van de redactie van het wetenschappelijk tijdschrift Openbaar Bestuur 2007 – 2012 Lector aan Fontys Bestuursacademie
2005 – 2011 Secretaris van de NKWP, de beroepsvereniging van de Nederlandse politicologen
Opleiding
2001 Gepromoveerd in de politieke wetenschappen 1979 – 1985 Politicologie aan de Universiteit van Amsterdam 1973 – 1979 Gymnasium B, St. Stanislascollege, Delft
Judith Blijden
Judith Blijden is in 2019 gestart als adviseur bij PBLQ. Zij richt zich op complexe vraagstukken met zowel een juridisch, bestuurlijk als techno- logisch component. Zij heeft affiniteit met het aanbrengen van struc- tuur en duidelijkheid bij vraagstukken die op het eerste gezicht ingewik- keld lijken en kan nieuwe onderwerpen zich snel eigen maken. In haar werk voor PBLQ richt zij zich op gegevensbescherming, het recht op pri- vacy en publieke waarden.
Hiervoor werkte zij als adviseur en projectleider bij Kennisland, denk- tank voor maatschappelijke vernieuwing, waar zij zich richtte op het ver- beteren van toegang tot en (her)gebruik van cultuur en informatie.
Als inhoudelijk deskundige zal Judith vooral een rol spelen in de documentenanalyse en in de voor- bereiding en uitvoering van de groepsbijeenkomsten. Daarnaast zal zij een bijdrage leveren aan de rapportage.
Werkervaring
Functie Adviseur
Organisatie PBLQ
Periode Vanaf januari 2019
Werkzaamheden Diverse adviesopdrachten op het gebied van privacy, democratie en digitale overheid.
Functie Adviseur Auteursrecht en Digitale Cultuur Organisatie Kennisland
Periode September 2016 - December 2018
Werkzaamheden Diverse advies- en onderzoeksopdrachten op het gebied van intellectueel eigendom en open (data) beleid in de publieke sector.
Functie Adviseur
Organisatie Permanente Vertegenwoordiging van het Koninkrijk der Nederlanden bij de Verenigde Naties
Periode Augustus - December 2015
Werkzaamheden Rapporteren over ontwikkelingen in de Veiligheidsraad en de Algemene Vergaderin- gen, uitvoeren van data-analyses, assisteren van het campagneteam voor een niet- permanente zetel in de Veiligheidsraad.
Functie Publieksmedewerker / Educatief medewerker Organisatie Carnegie Stichting / Vredespaleis
Periode 2013 - 2014
Werkzaamheden Verzorgen van educatieve rondleidingen over de werking van het Permanente Hof voor Arbitrage en het Internationaal Gerechtshof.
Peter Seignette
Peter Seignette heeft als informatiekundige een grote interesse in technolo- gische, organisatorische, bestuurlijke en sociale vraagstukken. Sinds zijn studie heeft hij altijd in of voor de publieke sector gewerkt; eerst als informatieanalist bij Wigo4it, nu als adviseur bij PBLQ, waar hij vanaf februari 2015 al werkte als Jonge informatieprofessional. In maart 2017 heeft hij tevens de master Public Information Management als onderdeel van het traineeship bij PBLQ afgerond.
Hij is afgestudeerd op het onderwerp identiteitsfraude in de informatiesamenle- ving.
De afgelopen jaren heeft hij bij PBLQ ervaring opgedaan met (informatie)vraagstukken bij allerlei overheden: ministeries, agentschappen en gemeenten. Daarbij heeft hij zich onder andere verdiept in informatiebeveiliging en gegevensbescherming, bij het Ministerie van Economische Zaken en als CISO a.i. bij het Ministerie van Volksgezondheid, Welzijn en Sport. Daar was hij verantwoordelijk voor de coördinatie van informatiebeveiligingsactiviteiten binnen het gehele departement en het adviseren van de departementale leiding daarover.
Als inhoudelijk deskundige zal Peter een rol spelen in de documentenanalyse, de interviews en in de voorbereiding en uitvoering van de groepsbijeenkomsten. Daarnaast zal hij een bijdrage leveren aan de rapportage.
Werkervaring
Functie Adviseur
Organisatie PBLQ
Periode augustus 2017 – heden Werkzaamheden Uitgelichte opdrachten:
◥ Business developer bij gemeentelijk samenwerkingsverband in het inkomensdo- mein (GBI)
◥ Ontwerpen van sturingsstructuur/governance voor afspraken kwaliteitsinforma- tie verpleeghuiszorg
◥ Chief information security officer (CISO) van het Ministerie van VWS
◥ Security officer CoronaMelder app en Programma Realisatie Digitale ondersteu- ning (Ministerie van VWS)
◥ Onderzoek keuze backofficesysteem zorg voor Wigo4it
◥ DPIA’s en rekenkameronderzoeken voor o.a. gemeente Den Haag, Zaltbommel en Pijnacker-Nootdorp
Opleidingen
2015 - 2017 Master of Public Information Management, MSc, Erasmus Universiteit Rotterdam 2008 - 2011 Master Information Sciences, MSc, Universiteit Utrecht
2005 - 2008 Bachelor Informatiekunde, BSc, Universiteit Utrecht
Tom Adriaanse
In zijn eerdere baan als recruiter vroeg de krapte op de arbeidsmarkt creativiteit om de juiste kandidaten te vinden voor openstaande vacatures. Deze creativiteit uitte zich dan in het veranderen van processen waarmee kandidaten gevonden worden, het creëren van de juiste content om kandidaten te enthousiasmeren of juist het organiseren van evenementen.
Vanuit zijn studie Bestuurskunde en Public Management is zijn fascinatie met in- formatiemanagement ontstaan. De uitdaging die de afstemming tussen verschil- lende afdelingen/organisaties met zich meebrengt, in combinatie met de inhou- delijke relevantie van informatiemanagement, is iets waar hij zich ij PBLQ in be- geeft en ontwikkelt.
Tom is betrokken bij de documentstudie, de interviews en de groepsbijeenkomsten.
werkervaring
Organisatie Periode
PBLQ 1 mei 2020 - heden
USG People, Almere 2017 - 2020 Pepperminds, Rotterdam 2015-2017
Opleidingen
periode Opleiding
2014 – 2018 MSc Public Administration, track Public Management, Universiteit Leiden (Campus Den Haag)
Scriptie geschreven over het gebruik en succes van coproductie in Nederlandse milieuprojecten binnen de kaders van
de participatiesamenleving.
2010 - 2014 BSc – Bestuurskunde, Erasmus Universiteit Rotterdam Scriptie geschreven over het effect van doelgroepsgerichte communicatie vanuit Rijkswaterstaat op het vertrouwen van stakeholders in Rijkswaterstaat. De aanbevelingen die in de scriptie zijn geformuleerd zijn reeds gepresenteerd en Rijkswaterstaat gaat deze resultaten, gedeeltelijk, implementeren.
