Inleiding. Praktijk. Aan: Gemeenteraad. Van: College van burgemeester en wethouders. Datum: 05/09/17

Transcriptie

1 Antwoord op motie 12 (13/07/17) Aan: Gemeenteraad Van: College van burgemeester en wethouders Datum: 05/09/17 Onderwerp: Informatiebeveiliging en privacy in het sociaal domein Inleiding Voor u ligt het antwoord op motie 12 van het CDA van de gemeente Tholen. Deze motie werd ingediend op 13 juli 2017, bij behandeling van de Kadernota De motie is aangenomen door het college. In de motie uitte de CDA fractie bezorgdheid over informatiebeveiliging en privacy in het sociaal domein van de gemeente Tholen. Daarbij werden voorbeelden uit onderzoeken bij andere gemeenten aangehaald. Het ging bijvoorbeeld over het stellen van irrelevante vragen bij het vaststellen van een hulpvraag. Het CDA ziet het als de verantwoording van gemeente Tholen om goede dienstverlening te combineren met een correcte behandeling van persoonsgegevens. Deze visie van het CDA wordt door de gemeente Tholen gedeeld. De fractie vraagt onderzoek te doen naar de werkwijze in het sociaal domein van de gemeente Tholen t.a.v. privacygevoelige informatie, informatieveiligheid en toegankelijkheid. De uitkomst van dat onderzoek wordt in dit antwoord beschreven. Praktijk Hieronder wordt geschetst hoe een zorgvraag er in de praktijk van de gemeente Tholen uit ziet en welke rol het Juridisch Zwitsers Zakmes hierin speelt. Verderop wordt de theorie van het Juridisch Zwitsers Zakmes toegelicht, daarnaast is het stroomschema als bijlage bijgevoegd. - Een hulpvraag wordt ingediend via een melding Ondersteuningsvraag Jeugd/Wet Maatschappelijke Ondersteuning/Werk en Inkomen. Deze melding wordt ingediend via het Klant Contact Centrum (KCC) of via de website. - De gegevens van de melding worden vastgelegd in het Zaaksysteem. Op die manier komt de melding in de werkvoorraad van de consulenten. Deze zaaktypen kunnen enkel door de consulenten worden ingezien. - Tijdens een huisbezoek onderzoeken de consulenten wat de exacte zorgvraag is. Wat is de vraag achter de vraag. In sommige gevallen wordt aanvullend een consulent van een andere domein ingelicht. Dit gebeurt enkel na mondelinge toestemming van de indiener. De consulent maakt een afweging voor het verkrijgen en delen van informatie op de vlakken van subsidiariteit (minst ingrijpende maatregel), proportionaliteit (verhouding tussen de maatregel en het doel) en doelmatigheid (meest geschikte maatregel). - Door deze integrale uitvraag wordt het mogelijk een maatwerkvoorziening te leveren. Dit vergroot de kans dat het probleem opgelost wordt. Het voorkomt daarnaast dat de klant iedere keer opnieuw zijn/haar verhaal moet doen.

2 - Complexe situaties, met meerdere problemen, worden besproken in het kernteam. Zij geven advies, waarna de betreffende consulent de zaak verder af zal handelen. In dit hele proces zijn dus ambtenaren betrokken. Zij tekenen een integriteitsverklaring, en laten zich leiden door het Juridisch Zwitsers Zakmes. Geldende afspraken ten aanzien van privacy: Basisbeginselen (Wbp) Wanneer de gemeente Tholen aan burgers met een zorgvraag privacygevoelige gegevens vraagt of een verzoek krijgt tot het verstrekken van zulke gegevens, wordt gehandeld conform de Wet Bescherming Persoonsgegevens (Wbp). De algemene regel daarin is: uitvragen en verstrekken van persoonsgegevens mag alleen als dat verenigbaar is met het doel waarvoor de gegevens zijn verzameld. Of dit het geval is, hangt af van de concrete omstandigheden. Bij de vraag of een verstrekking verenigbaar is, spelen verschillende factoren een rol: - de verwantschap met het doel van verzamelen; - de aard van de gegevens; - de gevolgen van een verstrekking; - de waarborgen die zijn getroffen; - de verwachtingen van de betrokkene (degene van wie een organisatie persoonsgegevens gebruikt)

3 Naast de algemene regel van verenigbaarheid geldt dat het vragen om -, of verstrekken van gegevens, gebaseerd moet zijn op een van de zes gronden uit artikel 8 van de Wbp. Dat zijn: - toestemming van de betrokkene; - uitvoeren van een overeenkomst; - wettelijke verplichting; - vitaal belang van de betrokkene; - uitvoeren van een publiekrechtelijke taak; - gerechtvaardigd belang van de organisatie De werkprocessen voldoen aan de Wbp en medewerkers handelen conform die werkprocessen. Dit wordt nader toegelicht in de volgende paragraaf Juridisch Zwitsers Zakmes. Het Juridisch Zwitsers Zakmes Provinciaal is een project gestart om eenduidig te beslissen hoe gegevens veilig uitgewisseld kunnen en moeten worden met het oog op privacy. Dit project heet De Zeeuwse Leertuin: Samenwerken aan zorg en veiligheid. Provincie Zeeland, gemeenten, zorgaanbieders en mr. J.A. van Boven werken hierin samen om een convenant op te stellen in de toekomst. Vooruitlopend op besluitvorming in deze samenwerking, heeft het college van de gemeente Tholen eerder al de werkwijze van het Juridisch Zwitsers Zakmes, die ontwikkeld is door De Zeeuwse Leertuin, vastgesteld. Dit stroomschema geeft richting aan de omgang met gevoelige persoonsgegevens in het sociaal domein. Het schema is als bijlage bijgevoegd. Functionaris Gegevensbescherming Binnenkort (25/05/18) zal de Algemene Verordening Gegevensbescherming (AVG) de Wbp gaan vervangen. Vooruitlopend daarop is inmiddels een Functionaris Gegevensbescherming (FG) aangesteld. De FG heeft onder andere tot taak om toezicht op de toepassing en naleving van de Wbp en later de AVG te houden. Dit houdt bijvoorbeeld in: - meldingen van gegevensverwerkingen bijhouden; - vragen en klachten van mensen binnen en buiten de organisatie afhandelen; - interne regelingen ontwikkelen; - adviseren over technologie en beveiliging (privacy by design); - input leveren bij het opstellen of aanpassen van een gedragscode Beroepscode voor de jeugdzorgwerker De Nederlandse Vereniging van Maatschappelijk Werkers (NVMW) heeft een beroepscode opgesteld voor jeugdzorgwerkers. Deze code bestaat zelfstandig, naast de geldende wet- en regelgeving. Het wordt gezien als een praktisch te gebruiken en te toetsen ethische leidraad (...). Personen die vallen onder de Wet op de jeugdzorg, werkzaam zijn bij Justitiële Jeugdzorg, bij de Raden voor Kinderbescherming, of vrijwillig zijn ingeschreven in het Beroepsregister van Agogisch en Maatschappelijk werkers zijn verplicht zich te houden aan de beroepscode. Het handelen van deze personen kan getoetst worden aan de code. In de code staat o.a. aangegeven dat de jeugdzorgwerker vertrouwelijk dient te werken (punt J).

4 Cliënten kunnen bij onvrede een klacht indienen tegen een jeugdzorgwerker. Bijvoorbeeld wanneer deze het gevoel heeft dat de jeugdzorgwerker zich niet aan deze beroepscode heeft gehouden. Die klacht komt terecht bij het tuchtcollege van het NVMW. Zij gebruikt deze beroepscode als maatstaf om de ethiek van het handelen te beoordelen. Integriteitsverklaring Om te waarborgen dat de medewerkers van de gemeente Tholen zich integer gedragen, tekenen ze een Verklaring van integriteit. Daarin verklaart men zich te zullen houden aan de CAR/UWO en gemeentelijke regelingen. Voor deze motie is vooral de Integriteitsnota gemeente Tholen van toepassing. Deze nota wordt overlegd tijdens de indiensttreding. Hierin is georganiseerd bij punt 2, dat medewerkers vertrouwelijk omgaan met informatie en de privacy van cliënten, zakelijke relaties en collega s respecteren. De ambtenarenwet artikel 125a lid 3 verplicht het ook om dit te eerbiedigen. In de Verklaring van integriteit staat tevens expliciet de geheimhoudingsplicht genoemd. Deze zal naar verwachting in de toekomst geëxpliciteerd worden in een geheimhoudingsverklaring. Informatiebeveiliging Volgend op de VNG Resolutie Informatieveiligheid, randvoorwaarde voor de professionele gemeente, heeft de gemeente Tholen een Informatieveiligheisbeleid vastgesteld, welke is gebaseerd op de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG). De BIG is gebaseerd op de ISO en normen voor informatiebeveiliging. Deze normen zijn internationaal geaccepteerd als de beste manier om een informatiebeveiligingsmanagementsysteem in te richten. Door de beveiligingsmaatregelen uit deze normen te volgen beschermt de gemeente informatie zo goed als mogelijk. Voor de implementatie van het normenkader is een informatiebeveiligingsorganisatie ingericht. Hierin zijn medewerkers van verschillende afdelingen opgenomen om het mogelijk te maken de informatiebeveiliging zo goed mogelijk uit te dragen in de hele organisatie. Ontwikkeling van informatieveiligheid Naast de getroffen maatregelen is het belangrijk om de informatieveiligheid en privacy van de gemeente Tholen continu te verbeteren. In de onderstaande paragrafen wordt weergegeven wat op dit moment op de planning staat of in uitvoering is. Allereerst wordt het privacy beleid uiteengezet. Vervolgens wordt de aanstaande AVG aan beschreven. Ook wordt het convenant van De Zeeuwse Leertuin belicht. Als laatste komen de zaken op het gebied van informatiebeveiliging aan bod. Privacybeleid gemeente Tholen In de motie is als voorbeeld aangegeven dat er in het sociaal domein van gemeenten Amsterdam en Enschede geen actueel Privacy beleid was vastgesteld. De gemeente Tholen volgt met betrekking tot het Privacy beleid de adviezen van de Vereniging van Nederlandse Gemeenten (VNG) en het Kwaliteitsinstituut Nederlandse Gemeenten (KING). Dit beleid zal naar verwachting in oktober 2017 aan uw raad ter vaststelling worden voorgelegd. In het beleid staat onder andere: - welke wettelijke kaders van toepassing zijn; - wat we als gemeente willen bereiken; - welke basisprincipes we daarvoor hanteren

5 Daarnaast zal het deel geheimhouding uit de integriteitsverklaring worden uitgelicht en uitgebreid. AVG Op 25 mei 2016 is de Europese Algemene Verordening Gegevensbescherming (AVG) in werking getreden. (Decentrale) overheden en bedrijven hebben tot 25 mei 2018 de tijd om aan de regels in de Verordening te voldoen. Om te bepalen wat de gemeente moet doen om te voldoen aan de AVG wordt een plan van aanpak opgesteld. Onderdelen die in kaart worden gebracht of worden geactualiseerd zijn o.a.: - de verschillende informatiestromen; - de risico s voor die stromen bepalen a.d.h.v. een Privacy Impact Assessment (PIA); - bepalen van maatregelen in bestaande systemen; - bepalen van eisen aan toekomstige systemen Privacy Convenant Zeeland Sociaal Domein In de Zeeuwse Leertuin werken Zeeuwse gemeenten gezamenlijk aan een convenant om te komen tot een eenduidige aanpak om gevoelige persoonsgegevens gegevens veilig uit te wisselen. De expertgroep privacy, samengesteld met experts uit de deelnemende gemeenten zijn actief in dit traject. De gemeente Tholen heeft besloten niet te wachten op het Zeeuws convenant maar en eerder al het Juridische Zwitsers Zakmes vast te stellen in afwachting van een gemeentelijk privacybeleid. Informatiebeveiliging ENSIA Nieuw dit jaar is dat gemeenten voor informatiebeveiliging een Eenduidige Normatieve Single Information Audit (ENSIA) moeten inzetten om zich te verantwoorden. Voorheen bestonden er veel verschillende audits. Een deel daarvan wordt samengevoegd tot een verantwoordingsmoment. Om continu in beeld te brengen hoe de gemeente Tholen voldoet aan de eisen uit de BIG is een Information Security Management System (ISMS) gebruikt. Voordat het ISMS in gebruik is genomen is een nulmeting uitgevoerd. Voortkomend uit de nulmeting worden acties uitgevoerd die bij de informatiebeveiligingsorganisatie zijn uitgezet.