Jaarstukken 2024

Privacy en AVG

Paginanummer in website: 190

Privacy

De gemeente beschikt over gevoelige gegevens van Rotterdammers en medewerkers. Denk aan cameratoezicht, verlening van horecavergunningen, een plan van aanpak voor kwetsbare jongeren en schulddienstverlening. De gemeente heeft hiervoor persoonsgegevens nodig. Hoeveel processen gebruikmaken van persoonsgegevens en welke dat zijn, houdt de gemeente bij in het register van verwerkingen. Dat is een verplichting vanuit de Algemene Verordening Gegevensbescherming (AVG). Op die manier houdt de gemeente overzicht en inzicht in de persoonsgegevens waarvoor zij verantwoordelijk is.

Sommige processen hebben een hoog privacy-risico. Dat betekent dat de impact groot is wanneer de gegevens in verkeerde handen komen. In dat geval is een DPIA (Data Protection Impact Assessment) verplicht. Er zijn 212 DPIA’s uitgevoerd op de meest risicovolle processen. Ook worden alle DPIA’s herzien die meer dan drie jaar geleden zijn uitgevoerd. In het register van verwerkingen zijn de samenvattingen van een groot aantal DPIA’s te lezen.

Het veilig omgaan met persoonsgegevens geldt ook voor de samenwerking met externe partijen. De gemeente heeft met 261 verwerkers overeenkomsten afgesloten die verwerkingen uitvoeren voor of met de gemeente. Afhankelijk van de samenwerkingsrelatie kunnen dat ook convenanten zijn, zoals het RIEC.

Eind 2024:

  • Zijn in het register van verwerkingen de processen vastgelegd waarin de gemeente Rotterdam persoonsgegevens van burgers en ambtenaren verwerkt. Dit register bevat 593 verwerkingen.
  • Zijn er 212 Data Protection Impact Assessments (DPIA’s) uitgevoerd. Elk nieuw proces krijgt een beoordeling of een DPIA nodig is. Op basis van zo’n analyse is het mogelijk gerichte maatregelen te nemen om het risico op privacyschending te verkleinen.
  • Zijn voor 261 processen verwerkersovereenkomsten afgesloten met bedrijven die in opdracht van de gemeente persoonsgegevens verwerken.
  • Waren er 279 datalekmeldingen. Bij een datalek zijn persoonsgegevens mogelijk of daadwerkelijk in handen gekomen van onbevoegden. Dat kan bijvoorbeeld zijn gebeurd door een verkeerd geadresseerde brief of e-mail. Daarvan zijn er 41 gemeld bij de Autoriteit Persoonsgegevens (AP). Ter vergelijking: in 2023 zijn er 248 meldingen gedaan waarvan 48 zijn gemeld bij de AP.
    In 22 gevallen van een datalek ging het om financiële gegevens; in 23 gevallen om een BSN-nummer. Ook zijn er 18 datalekken gemeld waarbij bijzondere gegevens zijn gelekt. Dat zijn gegevens over religie, gezondheid, etnische achtergrond, seksuele geaardheid, lidmaatschap van een politieke partij of vakbond, genetische of biometrische kenmerken. Alle overige datalekken betroffen algemene persoonsgegevens, zoals naam, adres, kenteken, etc. De gemeente evalueert datalekken na afloop met de betrokkenen, zodat de organisatie daarvan leert en de juiste maatregelen kan nemen. Maar met miljoenen brieven en e-mails per jaar is een datalek nooit helemaal uit te sluiten.

Terugkijkend op 2024 zien we dat ook dit jaar in de sturing op privacy en de AVG flinke stappen zijn gezet. Zo is er nu een concernbreed privacy-overleg met vertegenwoordigers uit alle clusters. Zij zetten samen met de Concern Privacy officer (CPO) de beleidslijnen uit, adviseren aan de concerndirectie en denken mee over alle ontwikkelingen die met privacy verbandhouden. Ook werd in 2024 gestart met jaarplannen voor de privacy-thema’s, zowel voor de clusters als concernbreed.
Daarnaast waren er nieuwe ontwikkelingen, zoals Europese wet -en regelgeving met directe of indirecte impact op het privacybeleid van de gemeente Rotterdam. De grote uitdagingen voor de komende jaren zijn:

·        de AI Act met regelgeving over kunstmatige intelligentie en algoritmes

·        digitale technologie en data gedreven werken

·        cybersecurity

De AI Act trad gedeeltelijk in werking in 2024 en wordt gefaseerd tot 2027 verder ingevoerd. De verordening deelt AI-systemen in aan de hand van risicogroepen. Hoe hoger het risico voor burgers en de samenleving als geheel, hoe strenger de regels. Bijvoorbeeld als AI-systemen worden gebruikt om persoonsgegevens te verwerken. Dan biedt ook de AVG bescherming. Maar dat is onvoldoende om alle risico’s aan te pakken die bij AI komen kijken.

Binnen de organisatie is daarom in 2024 een beleidskader geschreven met daarin ook de toepassing van de AI Act. Deze algoritme governance is aanvullend op het Privacy Framework, het beleidskader voor het verwerken van (grote hoeveelheden) data die persoonsgegevens bevatten voor onderzoek, statistische onderbouwing van beleid en algoritmes.
De AP is ook toezichthouder op het gebruik van algoritmes wanneer daarvoor persoonsgegevens worden gebruikt.

Bewustwording (awareness)

Om bewustwording van privacy-risico’s bij medewerkers te vergroten zet de organisatie verschillende interventies in. Zo zijn er verschillende e-learnings over privacy en informatiebeveiliging. Ook is er een aanbod van mini-modules en inzet van andere communicatiemiddelen, zoals workshops en hackatons. Ook doen de clusters veel om (nieuwe) leidinggevenden en medewerkers goed te informeren over hoe veilig om te gaan met persoonsgegevens.

Transparantie

Naast de privacyverklaring staat op de website van de gemeente ook het register van verwerkingen en een register met algoritmes.
Clusters geven ook specifieke informatie over verwerkingen, zoals bij Werk en Inkomen en bij cameratoezicht. Op deze manier hoopt de gemeente zo transparant mogelijk te zijn over het gebruik van persoonsgegevens en het doel daarvan.

 Recht van betrokkenen

De AVG zorgt ervoor dat burgers (tot op zekere hoogte) kunnen beschikken over hun eigen persoonsgegevens. In 2024 hebben burgers 111 keer gebruik gemaakt van hun rechten, tegenover 123 keer in 2023. De meeste aanvragen waren een verzoek om inzage in de persoonsgegevens.