Rekenkameronderzoek. informatieveiligheid en privacy. sociaal domein gemeente Eindhoven. Eindhoven, 17 mei 2016

Transcriptie

1 Rekenkameronderzoek informatieveiligheid en privacy sociaal domein gemeente Eindhoven Eindhoven, 17 mei 2016

2 Waar kijken we naar? Back-office Afroepen voorzieningen Keukentafel Portal Plan van aanpak Inkoop voorzieningen Zelfredzaamheidsmatrix - 2 -

3 De onderzoeksvragen Centrale vraagstelling: In hoeverre is de informatieveiligheid en het privacybeleid in het sociaal domein doeltreffend en doelmatig? Deelvragen zijn: Wat zijn kaders? Wat zijn doelen/werkwijzen? Wat zijn taken en bevoegdheden? Of: hoe is de organisatie van het privacybeleid en informatieveiligheid vormgegeven? Hoe verloopt dit in de praktijk in het sociaal domein? Wat zijn condities voor succes? Wat zijn toekomstige opgaven? 3

4 Tijdslijn Start Onderzoek en interviews Werkconferentie Wederhoor Aanbieding rapportage een open deur Raads behanding Afsluiting Interviewronde Concept Eindrapportage Toelichting conceptrapportage aan rekenkamercommissie Technische Behandeling Rapportage - 4 -

5 DE CONCLUSIES - 5 -

6 Op de hoofdlijn De informatieveiligheid en het privacybeleid in het sociaal domein van de gemeente Eindhoven is onvoldoende doeltreffend en de doelmatigheid bij gebrek aan control kan niet worden vastgesteld. 6

7 Ondertussen PIA 3D Eindhoven Uitspraken Autoriteit Persoonsgegevens Gemeenten onzorgvuldig bij verwerking persoonsgegevens in sociaal domein Publicatie rekenkamerrapport gemeente Amsterdam WijEindhoven in de pers rond autorisatie Vragen rond gebruik toestemmingsformulier en autorisatie Aanpassingen in jeugdwet rond gebruik gegevens - 7 -

8 Bewustzijn Gemeente en stichting zijn zich bewust van het belang van informatieveiligheid en privacy in sociaal domein Er is een visie op informatieveiligheid Een privacybeleid ontbreekt Privacystatement WIJEindhoven beschikbaar Gestructureerde aandacht voor omgang met privacy ontbreekt Verantwoordelijkheden rond informatieveiligheid zijn binnen de gemeente overgedragen. De rapportagestructuur rond het thema staat nog in de kinderschoenen

9 Privacystatement WijEindhoven WijTeams gaan respectvol om met de persoonlijke levenssfeer van een client. Gegevens worden alleen vastgelegd voorzover noodzakelijk voor passende dienstverlening De klant heeft zelf regie over zijn dossier Veiligheid van de klant en/of zijn omgeving vormen de ondergrens De Wijteams zijn open en transparant naar klanten - 9 -

10 Adequaat Basismateriaal aanwezig Visie op informatieveiligheid GAP analyse sociaal domein Privacy Impactanalyse 3D

11 WIJportal en werkprocessen Ontwikkeld vanuit Privacy By Design Uitgangspunt Dat informatie Onvoldoende rekening gehouden met specifieke eisen van materiewetten (en soms zijn die tegenstrijdig ). Aanpassing van werkprocessen met bewuste triagemomenten noodzakelijk. Onjuist gebruik toestemmingsformulieren Autorisaties te ruim toebedeeld Twee klachtenprocedures

12 Back-office Handmatige/foutgevoelige gegevensoverdracht tussen WIJPortal en achterliggende systemen. Gewerkt wordt aan ontwikkeling geautomatiseerde koppelingen Gemeente voldoet aan de zeven SUWI normen Goedgekeurd IV beleid en Plan Plan en beleid worden uitgedragen Plan en beleid worden jaarlijks geevalueerd TVB s rond suwinet zijn beschreven en adequaat belegd Security-officer beheert en beheerst beveilingsprocedures Er is een formele autorisatieprocedure Controle op verleende rechten vindt meerdere keren per jaar plaats

13 TOEKOMSTIGE OPGAVEN 13

14 Highlights Verordening Gegevensbescherming Houd een overzicht bij van verwerkingen door bijvoorbeeld functionaris gegevensbescherming Het recht om vergeten te worden Welke gegevens worden verwerkt Waar bevinden zich die gegevens Hoe wordt invulling gegeven aan definitieve verwijdering Dataportabiliteit Een PIA is verplicht 14

15 AANBEVELINGEN

16 College Richt gestructureerd verantwoordingsproces in op alle niveaus (ook aan uw raad) Herijk visie op informatieveiligheid en GAP-analyse Anticipeer op de nieuwe Europese verordening gegevensbescherming (Europese privacyverordening) Werk een gemeentelijk privacy beleid uit Herijk werkprocessen in sociaal domein; houd rekening met uitkomsten PIA 3D Breng in samenwerking met WIJeindhoven autorisaties terug naar acceptabel niveau (minimaal teamniveau) en ontwerp noodprocedure

17 WIJEindhoven Breng de autorisaties in het WIJPortal terug naar minimaal teamniveau Ontwerp en implementeer een noodprocedure Herijk op basis van PIA werkprocessen Borg een continue aandacht voor omgang met privacy binnen de stichting Reik privacystatement uit aan alle medewerkers Agendeer het onderwerp in gestructureerd caseoverleg Rapporteer over informatieveiligheid en privacy in gestructureerde managementrapportage aan gemeente

18 Gemeenteraad Geef opdracht aan college om uiterlijk 1 juni een plan van aanpak te presenteren: Hoe aanbevelingen worden geïmplementeerd Hoe u daarover wordt geinformeerd Maak afspraken met college over de wijze waarop u gestructureerd wordt geinformeerd over informatieveiligheid en privacyaspecten

19 NAWOORD