Rekenkamer: Gemeente Amersfoort gaat goed om met privacy; maar er is ruimte voor verbetering

AMERSFOORT Het privacybeleid van de gemeente Amersfoort voldoet in hoofdlijnen aan de Algemene verordening gegevensbescherming (AVG) en hier wordt in de praktijk naar gehandeld. Dat blijkt uit een onderzoek van de rekenkamer. De verschillende eisen en principes van de AVG zijn adequaat uitgewerkt in beleid en werkprocessen. Dit geldt ook voor de afspraken die worden gemaakt met samenwerkingspartners. Wel blijkt dat deze afspraken beter gemonitord kunnen worden. Daarnaast heeft de gemeente beperkt zicht op hoe inwoners aankijken tegen het verzamelen en gebruik van persoonsgegevens en de bescherming daarvan.

De rekenkamer heeft drie vragen onderzocht: Hoe wordt de privacy van de Amersfoortse inwoners beschermd? Hoe wordt de privacy van inwoners beschermd door derden aan wie de gemeente de uitvoering van beleid heeft uitbesteed, of met wie anderszins persoonsgegevens worden gedeeld? Wordt er adequaat gebruik gemaakt van de AVG?

De rekenkamer hield interviews met wethouders, ambtenaren, organen die inwoners vertegenwoordigen (bijvoorbeeld de Cliëntenraad Werk en Inkomen), maar ook met samenwerkingspartners zoals de reclassering. Daarnaast zijn er workshops gehouden met ambtenaren en is er een sessie georganiseerd met de raad.

PRIVACYBELEID Uit het onderzoek blijkt dat het privacybeleid van de gemeente de afgelopen jaren op verschillende punten sterk verbeterd is. Het beleid dat nu wordt gehanteerd is breed bekend in de organisatie. De raad wordt omtrent privacy op de hoogte gehouden. Daarnaast is de raad actief betrokken bij de uitgangspunten waarop het huidige privacybeleid is gestoeld. Bij ernstige datalekken wordt de raad direct geïnformeerd. Omtrent informatiebeveiliging is de raad nog beperkt betrokken. De rekenkamer stelt dat het goed is om de raad minimaal éénmaal per jaar integraal te informeren over relevante ontwikkelingen op het gebied van informatiebeveiliging.

CULTUUR Er is veel aandacht geweest voor de invloed van de cultuur in de organisatie voor de omgang met persoonsgegevens. De gemeente werkt volgens de rekenkamer actief aan een prettig werkklimaat waar medewerkers mogelijke fouten durven toe te geven. Daarnaast zijn er sleutelpersonen aangesteld om ervoor te zorgen dat het makkelijk is om iemand in elke afdeling te vinden waarbij vragen over privacy kunnen worden gesteld. Ook zijn er in de organisatie professionals die lastige, technische of juridische vragen kunnen beantwoorden.

AFSPRAKEN Met samenwerkingspartners worden consistente afspraken gemaakt in de vorm van overeenkomsten of convenanten, concludeert de rekenkamer. Aan derden waar gegevens mee worden gedeeld, worden dezelfde eisen gesteld als de eisen waar de gemeente zichzelf aan houdt op het gebied van privacy en informatiebeveiliging. Er kunnen nog stappen worden gemaakt bij de monitoring van de gemaakte afspraken. De eerste stappen in de vorm van een nieuw systeem zijn hiervoor al gezet. De rekenkamer beveelt aan om een jaarlijkse monitor in te richten van de afspraken die met derden zijn gemaakt over bescherming van persoonsgegevens en de resultaten hiervan op te nemen in het jaarverslag van de functionaris gegevensbescherming.

AVG De AVG wordt bij de gemeente volgens de rekenkamer over het algemeen niet als knellend of belemmerend ervaren. Dit hangt samen met de constructieve houding tegenover privacy. Er zijn geen signalen verkregen op basis waarvan kan worden geconcludeerd dat er een oneigenlijk beroep wordt gedaan op de AVG. Wel doen er zich soms lastige situaties voor waarbij het niet helemaal duidelijk is hoe de AVG samengaat met andere wetgeving. Ook vraagt de AVG een nieuwe manier van werken waardoor bestaande IT-systemen moeten worden aangepast of anders moeten worden ingericht. De organisatie werkt aan dit laatste en hoopt in de toekomst meer stappen te kunnen zetten met privacy en security by design. De rekenkamer beveelt aan om de bescherming van persoonsgegevens en privacy als vast onderdeel mee te nemen bij de aankoop en inrichting van nieuwe systemen en werkprocessen.

PERSPECTIEF INWONERS De gemeente heeft beperkt inzicht in de houding van inwoners ten aanzien van privacy. De gemeente communiceert via de website en aan de balie over privacy aan inwoners. Het is voor inwoners lastig om te beoordelen wanneer hun rechten in het gedrang zijn. Hoewel de communicatie naar inwoners op dit moment voldoende is, zou de gemeente hier een pro-actievere rol in kunnen nemen. De rekenkamer beveelt aan om te inventariseren hoe inwoners aankijken tegen het verzamelen en gebruik van persoonsgegevens en de bescherming daarvan door de gemeente. Zo kan worden nagegaan of de huidige wijze van communiceren hierover kan worden verbeterd.

RAPPORT De rekenkamer heeft naast het onderzoeksrapport een samenvatting gemaakt van de onderzoeksuitkomsten. Deze documenten zijn te vinden op www.amersfoort.nl/rekenkamer. De gemeenteraad bespreekt het onderzoeksrapport op 29 juni 2021 en besluit daarna over de aanbevelingen.