Er is bij Zaltbommel een ‘grotere kans’ op privacy-incidenten binnen het sociaal domein, concludeert de rekenkamercommissie van die gemeente naar aanleiding van onderzoek in samenwerking met PBLQ.
‘Privacy in sociaal domein niet gewaarborgd’
Er is bij Zaltbommel een ‘grotere kans’ op privacy-incidenten binnen het sociaal domein, concludeert de rekenkamercommissie van die…
Gemeente voldoet niet aan Avg
Veelzeggend is dat Zaltbommel pas in maart 2018 pas aan de gang ging met de implementatie van de Algemene verordening gegevensbescherming (Avg), die vanaf mei dat jaar volledig van kracht werd. De implementatie liet onder meer lang op zich wachten omdat er lange tijd geen beslissingen viel in het plan om met tien Rivierenlandgemeenten samen een functionaris gegevensbescherming (fg) aan te stellen. Die gezamenlijke fg kwam er uiteindelijk ook niet. Ook werd voorrang gegeven aan de decentralisaties in het sociaal domein en de vorming van uitvoeringsorganisatie Bedrijfsvoeringseenheid Bommelerwaard (BVEB) samen met de gemeente Maasdriel. Omdat over de Wet bescherming persoonsgegevens (Wbp) geen vragen aan de gemeente werden gesteld, werd met betrekking tot de Avg weinig urgentie ervaren. De gemeente Zaltbommel voldoet momenteel dan ook aan geen van beide wetten.
Geen generiek beleidsplan
Hoewel er tot op heden geen datalekken bekend zijn bij de gemeente Zaltbommel, concludeert de rekenkamer dat de gemeente een forse boete riskeert als de Autoriteit Persoonsgegevens onderzoek zou instellen naar de privacyborging. Sinds januari 2019 ligt er een plan van aanpak van het college met betrekking tot de Avg, maar dat is volgens de onderzoekers geen generiek beleidsplan. Er is daarom ook geen concrete uitwerking in termen van processen en instructies, concludeert de rekenkamer.
Onvoldoende gelegenheid voor verantwoording
Doordat er ook te weinig transparantie in de uitvoering is, is er ook onvoldoende gelegenheid voor verantwoording aan burgers, de raad en de accountant. Recentelijk opgestelde procedures voor datalekken en inzagerecht zijn voor medewerkers vaak nog niet duidelijk. Om te voldoen aan de Avg is de gemeente druk bezig met het verwerkingenregister. Daarin is nu nog onvoldoende inzicht, wat ook het geval is met betrekking tot privacy-risico’s. Wel worden er meters gemaakt binnen de BVEB met het voldoen aan de Baseline Informatiebeveiliging Gemeenten (BIG). De aanbeveling van de rekenkamercommissie aan het college is in grote lijnen dat er met urgentie gewerkt moet worden aan een beleidsplan voor de Avg. Het college onderschrijft de conclusies van de rekenkamer en heeft toegezegd invulling te gaan geven aan de aanbevelingen.
Reacties: 3
U moet ingelogd zijn om een reactie te kunnen plaatsen.
Bij geen enkele gemeente is privacy gegarandeerd. Overigens geldt dit ook voor de gegevens van de ambtenaren zelf. Tijd voor controle door de autoriteit persoonsgegevens.
Die conclusie had ik zonder onderzoek ook kunnen trekken. Dat geldt voor elke gemeente op dit ogenblik. De grootste boosdoener is op dit ogenblik de belastingdienst. Dus een boete komt er voorlopig niet. En het is een illusie om te denken dat als je het formeel in een regeltje vastlegt dat het dan ook zo wordt uitgevoerd.
In dit artikel blijkt dat er "weinig urgentie" werd ervaren met betrekking tot de implementatie van de AVG. In onze praktijk als privacy administratiekantoor zien we dat wel vaker. "We kijken het nog wel even aan" of "De Autoriteit Persoonsgegevens (AP) doet toch niks" is een veelgehoord argument om nog maar even te wachten met het nemen van de noodzakelijke maatregelen om aan de AVG te voldoen. En dan gebeurt het. Een datalek. Die wordt dan niet gemeld want er zijn geen procedures voor en de medewerkers hebben überhaupt geen idee wat een datalek is en wat ze dan moeten doen. En wat dacht je van een inzage-verzoek? De Theodoor Gillissen Bank weet wat de gevolgen kunnen zijn als je hier niet goed mee omgaat: Ze kregen € 48.000 boete.
Of de accountant geeft "vriendelijk maar dringend" aan dat de organisatie toch echt aan de wet moet voldoen en dus een privacy-beleid en bijbehorende AVG-administratie moet aanleggen. En wat de AP betreft: Wij hebben klanten waar de AP controles heeft uitgevoerd op aanwezigheid van een verwerkingsregister en de noodzakelijke verwerkersovereenkomsten.
Implementatie van de AVG gaat verder dan alleen maar het opstellen van een verwerkingsregister. De AVG-implementatie is onderdeel van het bedrijfsbeleid wat gedragen dient te worden door het management. Vaak zijn de management leden zich niet bewust dat ze persoonlijk aansprakelijk zijn. Tijdens onze AVG management workshops is dat vaak verrassend nieuws. En dan als laatste wil ik nog even dit kwijt: Zie de AVG niet als een last maar als een kans! Laat aan je klanten en relaties merken dat je de privacy van hun gegevens hoog in het vaandel hebt staan. Bedrijven die hier laks mee omgaan vallen straks allemaal uit een hoge privacy-boom en krijgen te maken met reputatie-schade en komen net zoals de gemeente Zaltbommel in dit artikel zeer onprofessioneel in het nieuws en op Social Media.
Groet, Rob Koch (Sebyde BV)