Informatiebeveiliging en privacy

Interne communicatie over privacy is een onderdeel van de reguliere bedrijfsvoering bij de gemeente Hulst om privacy bewustwording te blijven garanderen. De gemeente Hulst heeft in 2019 de diverse acties ondernomen om privacy bewustwording binnen de organisatie en bestuurlijk te vergroten zoals presentaties, informatie op intranet en op de schermen en nieuwsbrieven.

In het privacy Statement op de gemeentelijke website wordt de burger op zijn/haar rechten gewezen. In 2019 zijn er bij de gemeente Hulst geen verzoeken ingediend.

De gemeente Hulst heeft in 2018 het verwerkingsregister aangevuld met de minimale verplichte onderdelen die op grond van de AVG zijn vereist. Het complementeren van het register is een continu proces, dus ook in 2019 is het register geactualiseerd, zijn er onderdelen toegevoegd en zijn er een aantal rechtmatigheidstoetsen uitgevoerd.

Indien sprake is van een risicovolle verwerking dient Data Protection Impact Assessment (DPIA), te worden uitgevoerd. Ook voor nieuwe of gewijzigde processen wordt het uitvoeren van een DPIA aangeraden. Door de gemeente Hulst zijn in 2019 DPIA’s uitgevoerd ten aanzien van ICT Outsourcing, GTM-Track (onderdeel van rittenadministratie) en SUWInet.

Ook zijn er een aantal voorlopige DPIA’s – Pre-checks – uitgevoerd, waarbij is beoordeeld of een DPIA moet worden uitgevoerd. Dit betreft Pre-check DIGID (digitaal aanvragen van producten), Pre-check bezoekersregeling, Pre-check Kaartviewer, pre-check TRAKA sleutelkast.

Deze stap heeft de aandacht om er voor te zorgen dat het een structureel aandachtsgebied binnen de gemeentelijke bedrijfsvoering wordt. Zowel in technisch als in organisatorisch opzicht zullen hier nog stappen in worden gezet. Privacy wordt aan de voorkant bij inrichting van processen en systemen en bij het uitvoeren van DPIA’s al wel meegenomen.

De gemeente Hulst heeft samen met de gemeente Terneuzen, gemeente Sluis en de gemeenschappelijke regeling SABEWA een Functionaris Gegevensbescherming (FG) aangesteld. Er is gekozen voor een externe FG van het bureau Privacy Company zodat deze een onafhankelijke rol kan vervullen.
Naast de FG heeft de gemeente Hulst een Privacy Officer (PO) aangesteld. Waar de FG toeziet op de naleving van de AVG, heeft de PO een adviserende en coördinerende rol binnen de gemeente Hulst op het gebied van de implementatie (en naleving) van de AVG. Ook in 2019 is er nauwe samenwerking geweest tussen de PO’s van de verschillende gemeenten, Sabewa en de FG, waarbij het samen optrekken om de AVG verder te implementeren voorop stond.

In 2019 zijn er bij de gemeente Hulst 9 datalekken gemeld. Ook is er sprake geweest van een aantal beveiligingsincidenten, echter zijn deze beveiligingsincidenten op basis van de gestelde afwegingskaders niet als een datalek aangemerkt. Voor het bijhouden van beveiligingsincidenten en mogelijke datalekken is een meldingsregister opgesteld. Hiermee voldoet de gemeente Hulst aan een belangrijke verplichting onder de AVG, namelijk het registreren van beveiligingsincidenten.

De gemeente Hulst maakt gebruik van de standaard verwerkersovereenkomst van de IBD.  Ook in 2019 heeft de gemeente Hulst een aantal verwerkersovereenkomsten afgesloten met de verwerkers waarmee de gemeente een verwerkersrelatie heeft in de zin van art. 28 AVG.

De Autoriteit Persoonsgegevens houdt toezicht op de naleving van de wettelijke regels voor bescherming van persoonsgegevens. De informatie die de AP verstrekt wort nauwkeurig bijgehouden en gecommuniceerd binnen de organisatie zoals het melden van datalekken en het bijhouden van een datalekkenregister. In 2019 heeft de gemeente Hulst 1 datalek gemeld bij de AP.

Gegevensverwerking kan gebaseerd zijn op toestemming van de betrokkenen. De AVG stelt strengere eisen aan toestemming. Naast het sociaal domein, is bijvoorbeeld bij het invullen van enquêtes toestemming van een betrokkene aan de orde. Hiervoor zijn duidelijke richtlijnen vanuit de AVG die toegepast worden, zoals het (gemakkelijk) intrekken van de toestemming.