Gegevensbeschermingsbeleid 2024-2026

1.1 Informatiebeveiliging

Onder informatiebeveiliging verstaan we:

‘het treffen en onderhouden van een samenhangend pakket van maatregelen om de betrouw-baarheid van de informatievoorziening aantoonbaar te waarborgen’.

Kernpunten daarbij zijn:

•beschikbaarheid,

•integriteit (juistheid) en

•vertrouwelijkheid.

Dit geldt voor (persoons)gegevens en andere informatie.

Het gegevensbeschermingsbeleid geldt voor alle processen van de gemeente. En borgt daarmee de informatievoorziening gedurende de hele levenscyclus van informatiesystemen. Ongeacht de toege-paste technologie en ongeacht het karakter van de informatie. Het beperkt zich niet alleen tot de ICT. Het heeft betrekking op het politieke bestuur, alle medewerkers, burgers, gasten, bezoekers en ex-terne relaties.

1.2 Privacy (AVG)

De gemeente werkt met (persoons)gegevens van inwoners, ondernemers, medewerkers en (ke-ten)partners. Deze gegevens verzamelt de gemeente voor het goed kunnen uitvoeren van de ge-meentelijke wettelijke taken. Denk hierbij onder andere aan taken in het sociaal domein, openbare orde en veiligheidsdomein of van burgerzaken. Om als gemeente deze taken goed uit te voeren zijn persoonsgegevens noodzakelijk.

Bij de omgang met persoonsgegevens van inwoners en personeel hebben gemeenten een grote ver-antwoordelijkheid. Privacy is een essentieel en complex vraagstuk. Dit komt onder andere door de toenemende digitalisering van de samenleving en dienstverlening van gemeenten, de decentralisatie van overheidstaken naar gemeenten, de gegevensuitwisseling met (keten)partners, de technische mogelijkheden en veranderende wetgeving. Privacy raakt de hele gemeentelijke organisatie en ver-dient, samen met informatiebeveiliging, continu aandacht. De inwoner moet erop kunnen vertrouwen dat de gemeente zorgvuldig en veilig met deze persoonsgegevens omgaat.

3.1 Compliant

De organisatie moet compliant zijn (voldoen) aan de relevante wet- en regelgeving. Dit zijn onder andere de Algemene Verordening Gegevensbescherming (AVG) en de Baseline Informatiebeveili-ging Overheid (BIO) en de Archiefwet. Maar de organisatie wordt daarnaast ook getoetst op de eisen m.b.t. gegevensbescherming in specifieke wetgeving, zoals de Wet Politiegegevens (WPG), Wet Ba-sisregistratie Personen (Wet BRP), Wet digitale overheid (WDO) en Wet SUWI.

3.2 Preventief

We moeten alert zijn op de risico’s vanuit de buitenwereld. En hierop voorbereid blijven en anticipe-ren. Cybercriminaliteit is een verdienmodel geworden. De organisatie heeft een schat aan informa-tie. Deze is voor velen interessant. Het is de taak van de hele organisatie en iedere medewerker om al deze gegevens goed te beschermen.

3.3 Ethiek

De gemeente moet bij uitvoering van alle processen het belang en de rechten en vrijheden van de betrokkenen niet uit het oog verliezen. Bij beleidskeuzes en gebruik van business intelligence is een bewuste belangenafweging noodzakelijk. Hierbij is het belang van de inwoners of aanvragers onze prioriteit.

We zijn transparant over wat er met de gegevens van de inwoners en bedrijven gebeurt door regis-ters openbaar te maken. In het verwerkingsregister staan de processen en welke persoonsgegevens gebruikt worden. In het algoritmeregister worden het gebruik van impactvolle inzet van algoritmes en in welke systemen dit plaatsvindt.

3.4 Samenspel 3 pijlers

100% compliance aan de BIO en de AVG zorgen niet voor een optimaal veilige organisatie. Cyber-criminelen verzinnen altijd nieuwe manieren om binnen te komen. Daarnaast is het mensenwerk. Mensen kunnen altijd een fout maken. Door op een verdachte link te klikken of een brief met per-soonsgegevens naar een verkeerd adres te sturen. Compliance staat dus niet gelijk aan veilig.

Om de cybercriminelen voor te zijn, nemen we preventieve maatregelen. Dit zijn vaak actuele maat-regelen, die genomen worden op basis van een advies van een leverancier of de IBD. Vaak naar aanleiding van nieuwe kwetsbaarheden. Daarnaast trainen we onze medewerkers. Dit gebeurt in nauw overleg met de mensen van de Westland Academie. Zij faciliteren de leerlijn “Werken in West-land”. De medewerkers moeten jaarlijks een aantal verplichte trainingen volgen. Dus compliance aan wet- en regelgeving en het nemen van preventieve maatregelen zorgen voor bescherming tegen (ac-tuele) dreigingen.

De eerste twee pijlers zijn vooral gericht op dreigingen van buitenaf. Maar ethiek richt zich meer op de organisatie zelf. Er zijn steeds meer technologische mogelijkheden om informatie te gebruiken en informatiebronnen met elkaar te verbinden. En hier bijvoorbeeld patronen in te ontdekken. De vraag is of we dit in alle gevallen wel moeten willen. Kan deze nieuwe informatie misschien stigmatiserend werken? Of is het geconstateerde patroon wel een echt patroon of een persoonlijke interpretatie van de informatie? Om te voorkomen dat hier vervelende situaties voor burgers ontstaan, willen wij dat de organisatie ethische aspecten meeneemt in de processen en bij het gebruik van informatie.

Zo zorgen deze drie pijlers dat er naar wet- en regelgeving gekeken wordt. Met een scherpe blik naar buiten, maar ook een kritische blik naar binnen. En zonder de actualiteit uit het oog te verliezen. Zo komen we met elkaar in control op informatiebeveiliging en privacy.

3.5 Stip op de horizon

In 2026 aantoonbaar in control zijn. Dat is onze stip op de horizon. Hiervoor is een toekomstvisie gegevensbescherming opgesteld en maken wij strategische plannen. Wij stellen ons als doel om in 2026 zowel op informatiebeveiliging als privacy een certificering te behalen. Voor informatiebeveili-ging is dit de ISO 27001 en voor de privacy op basis van de AVG.

Zo willen wij de Westlandse burgers en ondernemingen kunnen tonen dat gemeente Westland haar zaken goed op orde heeft. Dat geeft vertrouwen en zou helemaal GOUD zijn!

Omdat de wereld niet stil staat, nemen we preventieve maatregelen om de risico’s voor onze organisatie, inwoners en ondernemers tot een aanvaardbaar niveau terug te brengen

4.1 Risico gestuurd

De organisatie loopt vele risico's. Om de bedrijfsvoering niet in gevaar te brengen, moeten we deze terugbrengen tot een acceptabel risico, het zogenaamde geaccepteerde risico. Dit is een risiconi-veau waar de organisatie zich op basis van de risicobereidheid prettig bij voelt. Het is aan elke orga-nisatie om het eigen geaccepteerde risico te bepalen. Dit geaccepteerde risico is gebaseerd op de grootte van de impact van de schade, de waarde van het product en de kosten om deze te voorko-men. Het is van belang om per proces goed te bepalen wat de risico's zijn en wat het geaccepteerde risico is.

Ditzelfde geldt bij een incident of kwetsbaarheid. Op risico gestuurde wijze wordt bepaald welke pro-cessen prioriteit hebben.

Op basis van een BIO-toets en een DPIA (Data Privacy Impact Assessment) voeren we analyses op processen uit. En bepalen we welke maatregelen genomen moeten worden om de bij dit proces be-horende risico's naar een acceptabel niveau terug te brengen. Dit soort analyses worden bij voorkeur bij proceswijzigingen of implementatie van het proces uitgevoerd.

Voldoen aan toepasselijke kaders, normen, wetten en regelgeving is een randvoorwaarde voor alle gemeentelijke processen.

5.1 Scope van het Gegevensbeschermingsbeleid

Belangrijke Europese en landelijke wettelijke kaders voor privacy zijn de GDPR (AVG) en landelijk de BIO voor informatiebeveiliging maar ook de Archiefwet. Daarnaast kunnen de collegeprogramma's en gemeentelijke visies een kader vormen voor informatieveiligheid en privacy.

De scope van dit beleid omvat alle informatieprocessen en -systemen die de gemeente uitvoert en beheert ten behoeve van de gemeente en de partners die deze gebruiken. Het beleid heeft niet al-leen betrekking op de verwerking, uitwisseling en opslag van digitale informatie, maar ook op de informatie in fysieke of analoge vorm. Ongeacht de locatie, het tijdstip of de gebruikte apparatuur. Organisatorisch zijn de uitgangspunten uit dit beleid van toepassing op zowel de raad, het college als de ambtelijke organisatie. Alle strategische beleidsuitgangspunten met betrekking tot informatie-veiligheid en privacy, en de organisatie ervan zijn in dit organisatie brede document samenge-bracht.

Alle relevante wetgeving is opgenomen in de bijlage normenkader.

De Archiefwet stelt algemene eisen aan het beheer van alle archiefbescheiden van de overheid. (Daaronder valt o.a. het borgen van een goede, geordende en duurzame toegankelijkheid van infor-matie alsmede het verplicht bewaren c.q. vernietigen van informatie volgens de Selectielijst.)

De Wet Politiegegevens (WPG) geeft de gemeente privacykaders voor de taken van de BOA’s die bij de gemeente in dienst zijn. Zij verwerken gegevens die niet onder de AVG vallen maar onder de WPG. Hiervoor stelt de gemeente beleid en samenhangende procedures op die betrekking hebben op toegangsrechten, autorisaties, data classificatie, risico-inschatting, registratie en logging, meld-plicht en documentatieplicht.

De Wet Digitale Overheid (WDO) is een nieuwe wet. Deze treedt gefaseerd in werking. De eerste tranche trad op 1 juli 2023 in werking en richt zich voornamelijk op digitale toegang, zoals DigiD en eIDAS. De wet geldt pas als een instantie technisch en organisatorisch klaar is om aan te sluiten. Hiervoor stellen de departementen, de publieke dienstverleners én Logius samen een aansluitsche-ma op.

De komst van de NIS2 (richtlijn voor netwerk- en informatiesystemen) betekent dat er op het gebied van wet- en regelgeving voor informatieveiligheid zaken gaan veranderen. De NIS2 moet nog in na-tionale wetgeving ondergebracht worden. Het is nog niet geheel duidelijk welke wet dit zal gaan wor-den. Dit kan in de WDO zijn, maar ook in een nieuwe versie van de Wet Beveiliging Netwerk en In-formatiesystemen (WBNI).

Dit alles is ook van invloed op de komst van de BIO 2.0. De BIO 2.0 is een nieuwe versie van de BIO die gebaseerd is op de laatste versie van de ISO 27001:2022. Op dit moment vinden er nog gesprek-ken plaats over de inhoud en de datum van publicatie van de BIO 2.0.

•Het programma eigentijdse ICT is begin 2023 gestart met als doel om de Westlandse ICT te moderniseren. Een groot deel van de systemen zal in de komende tijd gemigreerd worden naar het Microsoft Azure platform. Verder worden er aanvullende maatregelen genomen rondom back-up en redundancy. Na het afronden van het programma eigentijdse ICT is ge-meente Westland op het gebied van ICT BIO compliant.

Algoritmes/ Artificial intelligence

Naast de modernisering van de Westlandse ICT, zijn er ook nieuwe risico's en kansen met betrekking tot Artifical Intelligence (AI), algoritmes en ChatGTP. Gebruik van deze nieuwe technieken moet een bewuste keuze zijn. Het moet ook inzichtelijk zijn wanneer deze technieken gebruikt worden. Van geval tot geval moet onderzocht worden of gebruik van AI wenselijk is. Hiervoor moet de gemeente beleid opstellen en samenhangende procedures. Met behulp van een DPIA (Data Privacy Impact As-sessment) of een ethische toets kunnen we analyses op processen uitvoeren. Zo bepalen we het de nieuwe techniek gaan gebruiken en welke maatregelen genomen moeten worden om de bij dit pro-ces behorende risico's naar een acceptabel niveau terug te brengen. Dit soort analyses worden bij voorkeur bij proceswijzigingen of implementatie van het proces uitgevoerd.

Algoritmes kunnen helpen bij beoordelen of je voldoet aan gestelde voorwaarden. Ook kunnen ze gebruikt worden voor herkennen van trends. Om transparant te maken welke algoritmes we als overheid gebruiken, worden deze in het landelijk Algoritmeregister gepubliceerd.

Westland sluit aan bij het landelijk register. Volgens de richtlijnen publiceert Westland algoritmes als deze impactvol zijn.

6.1 Verantwoordelijkheidsniveaus binnen de organisatie

Binnen de organisatie onderscheiden wij (in lijn met geldende wet- en regelgeving) de volgende ver-antwoordelijkheids- en takenniveaus met betrekking tot gegevensbescherming:

College van B&W

Het college stelt formeel het gegevensbeschermingsbeleid vast. Het college delegeert de uitvoering hiervan en informeert de raad periodiek over dit thema. Binnen het college valt gegevensbescher-ming onder de portefeuille van een van de portefeuillehouders. De directie adviseert het college formeel over het vast te stellen beleid.

Concerndirectie

De directie geeft sturing aan de uitvoering van het gegevensbeschermingsbeleid en ziet erop toe dat naleving van dit beleid plaatsvindt. De directie zorgt dat voor elk werkproces een proceseigenaar is benoemd die verantwoordelijk is voor de informatiebeveiliging en privacy van het werkproces.

De directie zorgt dat de eindverantwoordelijke portefeuillehouders binnen het college gevraagd en ongevraagd geïnformeerd worden over de mate waarin informatiebeveiliging en privacybescherming een onderdeel is van het handelen van de bedrijfsvoering. De directie stelt het gewenste niveau van continuïteit en vertrouwelijkheid vast.

Teammanagers, AON’s en proceseigenaren

Zij zijn eigenaar van en integraal verantwoordelijk voor de (informatie)veiligheid en privacy van de informatieprocessen en -systemen binnen hun organisatieonderdeel.

Zij rapporteren aan de directie over de door hen tactisch en operationeel uitgevoerde informatiebe-veiligings- en privacybeschermende activiteiten.

Medewerkers

Alle medewerkers dragen verantwoordelijkheid voor de veiligheid van de activiteiten die behoren tot hun eigen functie en taken. Ze gaan zorgvuldig om met informatie en (informatie)systemen.

Functionaris Gegevensbescherming (FG)

De FG is conform de AVG de interne, onafhankelijke toezichthouder op de verwerking van persoons-gegevens binnen de organisatie. De FG heeft de volgende kerntaken (AVG art 39), vertaald naar de situatie bij de organisatie:

1Adviseren

2Toezien op naleving

3Samenwerken met en contactpunt zijn van de Autoriteit Persoonsgegevens (AP)

4Optreden als contactpunt voor betrokkenen

Privacy Officer (PO)

De rol van PO is gericht op de coördinatie, uitvoering en naleving van de AVG. Deze functionaris adviseert de organisatie over privacybescherming en over activiteiten ter bescherming van per-soonsgegevens in het kader van de AVG en BIO. Ook is de PO verantwoordelijk voor het beheersen van risico’s op privacy en AVG.

Chief Information Security Officer (CISO)

De CISO is op basis van een vastgesteld profiel aangewezen door de directie. Deze rol is namens de directie op strategisch en organisatieniveau verantwoordelijk voor het actueel (laten) houden van het gegevensbeschermingsbeleid, het (laten) coördineren van de uitvoering van het beleid, het beheer-sen van risico’s overeenkomstig de behoeften en de risicobereidheid van de organisatie, evenals het rapporteren aan college en directie.

Information Security Officers (ISO's)

De ISO's ondersteunen de CISO en de PO.

Deze rol is op tactisch en eenheidsniveau verantwoordelijk voor het coördineren van de uitvoering van het beleid, het adviseren bij projecten en het beheersen van risico’s.