2.5.6 Privacy

Self assessment 
Ingevolge de Algemene verordening gegevensbescherming (art. 5, lid 2 AVG) moet de gemeente aantoonbaar in control zijn ten aanzien van de verwerking van persoonsgegevens. Sinds 2020 wordt het borgingsdocument privacy van de Informatiebeveiligingsdienst (IBD)/VNG ingevuld. Dit document geeft steeds meer inzage in de mate waarin de gemeente grip heeft op de verwerking van persoonsgegevens van haar inwoners.

Gemeten met de Privacy self assessment methode van VNG IBD haalt de gemeente eind 2022 een score van 2,7 op een schaal van 5. In 2020 was dit 1,8. En in 2021 2,5. Hierbij betekent niveau 3 dat er in de basis voldaan wordt aan de AVG. Niveau 4 betekent dat er een structurele periodieke evaluatie van alle AVG vereisten is ingericht en wordt uitgevoerd.

In maart 2021 zijn door het MT de volgende prioriteiten benoemd op basis van de toen voorliggende FG rapportage:

• Uitvoeren van DPIA’s (data protection assessments)

• HRM

• Implementatie van MS Office 365

Deze onderwerpen hadden ook in 2022 de prioriteit.

Data protection impact assessments (DPIA= privacy risico analyse)
In een DPIA worden privacy risico’s in beeld gebracht. Er worden ook aanbevelingen gegeven om deze risico’s te verminderen of nog beter weg te nemen. Vervolgens is het aan de organisatie om de aanbevelingen op te volgen of te accepteren. In 2021 is een prioritering gemaakt van de te houden DPIA’s en zijn de te houden DPIA’s in de teamplannen opgenomen. In 2022 zijn drie DPIA’s afgerond. Drie DPIA’s lopen door in 2023.

De privacy coördinator en de FG zijn betrokken geweest het opstellen van  het  governance document als onderdeel van de daadwerkelijke inrichting van MS Office 365. Een duidelijke, en vastgelegde governance van alle relevante Microsoft onderdelen zal de noodzakelijke transparantie en toets baarheid bieden.

Verplichte WPG -audits
De Boa’s van de gemeente Halderberge verwerken persoonsgegevens bij de uitoefening van hun politietaak opsporing en vervolging van strafbare feiten. Het betreft in Halderberge de domeinen leerplicht en openbare ruimte. De werkgever van de Boa’s is ingevolge de Wet politiegegevens eraan gehouden 1 keer in de vier jaar een externe audit uit te laten vervoeren op de verwerking van die persoonsgegevens. Bovendien dient jaarlijks een interne audit uitgevoerd te worden.

De externe audit is in 2022 uitgevoerd. Het auditverslag is conform de wettelijke verplichting binnen de gestelde termijn bij de Autoriteit persoonsgegevens aangeboden. De aanbevelingen uit het verslag zullen in 2023 uitgewerkt worden.

Rechten van betrokkenen
De AVG heeft aan betrokkenen rechten toegekend die zij kunnen uitoefenen met als doel meer grip op hun persoonsgegevens te verkrijgen. Deze rechten zijn: Recht op informatie, op inzage, op rectificatie, op vergetelheid, op dataportabiliteit en op bezwaar. In 2022 zijn vier verzoeken om inzage in persoonsgegevens ontvangen. Twee verzoeken zijn toegekend. Twee verzoeken om inzage waren onvoldoende gespecificeerd. Betrokkenen zijn in de gelegenheid gesteld hun verzoek nader te specificeren.  Hieraan is niet voldaan. Vandaar dat besloten is geen gevolg te geven aan de verzoeken om inzage. Tegen geen van de besluiten is bezwaar aangetekend.

Datalekken
In 2022 was er sprake van 17 meldingen van vermoedens van een datalek. In 13 gevallen was daadwerkelijk sprake van een datalek. Wij zijn pas verplicht datalekken te melden bij de Autoriteit persoonsgegevens als de impact op de privacy van betrokkenen hoog is.  Bij drie datalekken was hiervan spraken. Deze zijn conform de richtlijnen van de Europese privacy toezichthouder gemeld bij de AP.