Informatieveiligheid en Privacy
In 2023 is opnieuw een meting uitgevoerd van de Functionaris voor Gegevensbescherming (FG). Daarnaast hebben, op basis van het controleplan, verdiepende toetsen plaatsgevonden; onder andere op de procedure voor de rechten van betrokkenen.
Blijvende aandacht vraagt het beleid en de governance voor Informatieveiligheid en Privacy. Door ambtelijke en bestuurlijke gesprekken wordt dit landschap steeds beter ingekleurd. Ook was er aandacht voor bewustwording bij nieuwe medewerkers. Informatieveiligheid en Privacy heeft een vaste en verplichte plek gekregen binnen het inwerktraject, waardoor alle nieuwe medewerkers middels een presentatie bijgepraat worden.
Met behulp van Data Protection Impact Assessments (DPIA’s) zijn bij nieuwe ontwikkelingen de risico’s voor privacy en informatieveiligheid in kaart gebracht. Bij bestaande processen is een inhaalslag gestart om tot 2025 in totaal 48 DPIA’s uit te voeren.
Vanwege het vijfjarig bestaan van de AVG zijn er verschillende lezingen georganiseerd. Zo hebben medewerkers kunnen kijken hoe een phishing campagne nu eigenlijk werkt, is er gekeken naar de ethische kant van data en is er een lezing geweest hoe medewerkers beter informatieveilig kunnen werken.
Er is een interne brainstormsessie georganiseerd over het gebruik van AI en algoritmes binnen de gemeente. Voor 2024 wordt dit door een werkgroep verder opgepakt.
De ingezette samenwerking met de gemeenten Rhenen en Wageningen met betrekking tot toezicht op de uitvoering van de AVG verloopt naar tevredenheid. Ook bij Werkkracht en het knooppunt Jeugdhulpregio FoodValley zijn er dit jaar FG-metingen uitgevoerd, waarbij goed inzichtelijk is geworden hoe de organisaties ervoor staan met betrekking tot de uitvoering van de AVG.
Informatieveiligheid
Het nieuwe informatiebeveiligingsbeleid is vastgesteld door het college van B&W. Dit geeft de kaders conform de Baseline Informatiebeveiliging Overheid voor de komende jaren. TIjdens de onboarding training wordt maandelijks aandacht besteed aan informatieveiligheid. Met de crisisorganisatie is een cyberoefening gedaan.
Wet Politiegegevens (WPG)
Gemeenten zijn vanaf 2021 ingevolge de Wet politiegegevens (Wpg) verplicht om periodiek een privacy-audit uit te voeren op gegevensverwerkingen die onder deze wet vallen. Dat is onder meer het geval voor onze boa-taken. Vooruitlopend hierop hebben we inmiddels zelf een nulmeting ontwikkeld waarin de risico’s en benodigde acties in beeld zijn gebracht. In 2023 zijn de nodige acties uitgezet in het kader van externe auditing, waaronder scholing van de diverse boa's.
Auditing
Het jaar 2023 is vooral gebruikt om de implementatie van de rechtmatigheidsverantwoording vorm te geven. Mede gelet op de lang uitblijvende definitieve wetgeving maar ook de onduidelijkheid en nog steeds wisselende (landelijke) interpretatie van deze wetgeving in de controleaanpak heeft dit veel capaciteit gekost. De hiervoor gewijzigde Financiële beheersverordening 212 GW is in november door de raad vastgesteld. Daarna zijn landelijk opnieuw voorschriften opgesteld die vragen om wijziging. Het gaat dan vooral om de uitleg van de bepalingen rondom begrotingsrechtmatigheid.
Doelmatigheidsonderzoeken
Het aantal eigen onderzoeken is gezien de beschikbare middelen beperkt. Het evaluatierapport Werkkracht is in 2023 opgeleverd.
Preventie van fraude, misbruik en oneigenlijk gebruik
Voor fraude, misbruik en oneigenlijk gebruik worden onderstaande definities gehanteerd:
- Fraude omvat een opzettelijke handeling door een of meer leden van het management, met governance belaste personen, werknemers of derden, waarbij gebruik wordt gemaakt van misleiding teneinde een onrechtmatig of onwettig voordeel te verkrijgen.
- Misbruik omvat het opzettelijk, niet tijdig, onjuist of onvolledig verstrekken van gegevens met als doel ten onrechte overheidssubsidies of -uitkeringen te verkrijgen of een te laag bedrag aan heffingen aan de overheid te betalen. Bij misbruik is er geen sprake van samenwerking van derden met interne werknemers.
- Oneigenlijk gebruik omvat het verkrijgen van overheidsbijdrage of het betalen van een te laag bedrag aan heffingen door het aangaan van rechtshandelingen in overeenstemming met de bewoording van de regelgeving maar in strijd met het doel en de strekking daarvan.
Het onderkennen en beheersen van frauderisico’s is een continu proces. In 2022 is er een opzet gemaakt voor een overkoepelende (fraude)risicoanalyse waarin alle onderkende frauderisico’s zijn opgenomen. In deze risicoanalyse zijn tevens de beheersmaatregelen (bestaande uit preventieve en repressieve interne controles) opgenomen ten aanzien de onderkende frauderisico’s. Voor zover van toepassing zijn deze risico’s in de uitgevoerde VIC’s meegenomen. Vermoedens van fraude, al dan niet vanuit deze beheersmaatregelen, worden intern gemeld. Aanvullend op de risicoanalyse is er een gedragscode integriteit, een klokkenluidersregeling en een vertrouwenspersoon. Bewustwording c.q. integriteit is een belangrijk punt in de preventie van fraude. Middels afdelingsoverleggen en online dilemma trainingen is het thema integriteit actueel gehouden in 2023.
Door capaciteitsgebrek is de preventie van fraude nog niet verder geformaliseerd in een overkoepelend fraudeprotocol. In 2023 hebben er geen gevallen van fraude, misbruik of oneigenlijk gebruik voorgedaan
In 2023 is gestart met de actualisering van de Nota Misbruik en Oneigenlijk gebruik. Deze nota bevat het beleid ter voorkoming van misbruik en oneigenlijk gebruik en beschrijft de inrichting van beheersmaatregelen en de risicogebieden van de gemeente Ede.