2.5.6 Privacy

Gemeten met de Privacy self assessment methode van VNG IBD haalt de gemeente eind 2023 een score van 2,8 op een schaal van 5. In 2022 was de score 2,7. Bij niveau 3 wordt in de basis voldaan aan de AVG. (De score in de voorafgaande jaren was: 2021: 2,5 en 2020: 1,8). Niveau 4 betekent dat er een structurele periodieke evaluatie van alle AVG vereisten is ingericht en wordt uitgevoerd.

Data protection impact assessments (DPIA= privacy risico analyse)
In een DPIA worden privacy risico’s in beeld gebracht. Er worden ook aanbevelingen gegeven om deze risico’s te verminderen of nog beter weg te nemen. Vervolgens is het aan de organisatie om de aanbevelingen op te volgen of de risico’s te accepteren. Jaarlijks wordt door het MT beoordeeld of er sprake is van een proces waarvoor een DPIA opgesteld moet worden of wenselijk is. Deze DPIA’s worden opgenomen in de teamplannen voor 2024. In 2023 zijn twee DPIA’s afgerond. Drie DPIA’s lopen door in 2024.

Verplichte WPG -audits
De Boa’s van de gemeente Halderberge verwerken persoonsgegevens bij de uitoefening van hun politietaak opsporing en vervolging van strafbare feiten. In Halderberge gaat het om de domeinen leerplicht en openbare ruimte. De werkgever van de Boa’s is ingevolge de Wet politiegegevens eraan gehouden 1 keer in de vier jaar een externe audit uit te laten vervoeren op de verwerking van die persoonsgegevens. Bovendien dient jaarlijks een interne audit uitgevoerd te worden.

De aanbevelingen uit de externe audit 2022 en de heraudit zijn in 2023 uitgewerkt. Gezien de wettelijk verplichting spreekt het voor zich dat de audits en de uitwerking van de het advies structureel op de agenda staat.

Rechten van betrokkenen
De AVG heeft aan betrokkenen rechten toegekend die betrokkenen kunnen uitoefenen met als doel meer grip op hun persoonsgegevens te verkrijgen. Het gaat om de volgende rechten op: informatie, inzage, rectificatie, vergetelheid, dataportabiliteit en op bezwaar. In 2023 zijn 8 verzoeken om inzage in persoonsgegevens ontvangen. Er zijn 5 verzoeken toegekend. Eén verzoek is door aanvrager ingetrokken. Daarnaast is 1 verzoek buiten behandeling gesteld, omdat het verzoek onvoldoende was gespecificeerd en 1 verzoek is na het verstrekken van informatie aan aanvrager niet formeel ingediend. Tegen 1 besluit is bezwaar aangetekend. Het bezwaar is ongegrond verklaard.

Datalekken
In 2023 was er sprake van 11 meldingen van vermoedens van een datalek. In 8 gevallen was er daadwerkelijk sprake van een datalek. Het is pas verplicht datalekken te melden bij de Autoriteit persoonsgegevens als de impact op de privacy van betrokkenen hoog is. Slechts in 2 gevallen is het datalek gemeld bij de AP (1 x op aandringen van de AP (klanttevredenheidsonderzoek NEBU).

Betrokkenen zijn in 2 gevallen geïnformeerd. 1x in verband met een datalek bij NEBU en 1 x onverplicht. De impact op de persoonlijke levenssfeer van betrokkene was verwaarloosbaar, dan is de gemeente niet verplicht om betrokkenen te informeren. Het betrof een datalek in het sociale domein. Betrokkenen zijn geïnformeerd om de vertrouwensrelatie te behouden. In 3 gevallen was er geen sprake van een datalek maar van een informatiebeveiligingsrisico.