‘Dankzij AVG meer controle over gegevens’

De AVG was voor veel gemeenten een race tegen de klok. Ook nu nog voldoen veel gemeenten niet helemaal aan de nieuwe regels. Wie denkt na het behalen van de deadline voorlopig wel klaar te zijn, heeft het mis.

Bij Amersfoort in een gespreid bedje
‘De deadline van 25 mei was slechts een begin’, stelt Functionaris Gegevensbescherming (FG) Kirsten Eefsting, die onlangs is begonnen bij gemeente Amersfoort. ‘Privacy en gegevensbescherming is een continu proces.’ Eefsting begon in maart als Functionaris Gegevensbescherming van de gemeente Amersfoort en maakt zodoende deel uit van de eerste lichting FG’s van de gemeenten. Een nieuwe functie, maar bij Amersfoort kwam ze toch in een redelijk gespreid bedje terecht. Op het moment dat ze begon, was de Utrechtse gemeente al heel ver met voorbereidingen op de AVG, de Algemene Verordening Gegevensbescherming. ‘Voordat ik aan de slag ging, was er hier ook al een interim FG aan het werk, die ik nu heb opgevolgd’, zegt ze.

Leidraad voor gemeenten

Amersfoort geldt voor veel gemeenten als een lichtend voorbeeld. Het verwerkingsregister van Amersfoort wordt door de Vereniging van Nederlandse Gemeente (VNG) bijvoorbeeld als leidraad voor andere gemeenten gebruikt. Dat Amersfoort zo voortvarend aan de slag is gegaan met privacy en informatieveiligheid, is mede ontstaan vanwege een serieus datalek bij de gemeente in 2016. Het voorval haalde destijds uitgebreid de media. Dankzij de projectmatige aanpak die vervolgens werd gehanteerd, begeeft Amersfoort zich inmiddels tussen de ‘koplopers’ op gebied van informatiebeveiliging en privacy.

Gegevensverwerkingen in kaart brengen
Eefsting heeft de afgelopen maanden veel tijd geïnvesteerd in het uitvinden hoe de gemeente precies in elkaar zit en op welke manier de werkprocessen zijn ingericht. ‘Ik leer nu elke dag bij. Dat is nodig ook. Amersfoort heeft twintig afdelingen met meer dan duizend werknemers en vijfhonderd werkprocessen.’ De gegevensverwerkingen zijn bij Amersfoort in kaart gebracht voor het verwerkingsregister, iets dat iedere gemeente inmiddels voor elkaar moet hebben. ‘Door die stap weten we nu precies welke data we verzamelen en al in handen hebben. Maar het is natuurlijk een dynamisch document dat continu verandert.’

Verzwakt bewustzijn

De AVG betekende voor gemeenten het startschot voor een hoop veranderingen op de werkvloer. Het werd niet altijd met gejuich ontvangen. ‘Ambtenaren reageren tot nu toe wat wisselend op de veranderingen, maar de toon is overwegend positief’, aldus Eefsting. Soms hoort ze nog wel eens iemand ‘zo kan ik toch niet werken!’ roepen, wanneer het over nieuwe regels gaat. Maar meestal zien ambtenaren zelf volgens Eefsting wel het belang in van goede gegevensbescherming en het naleven van privacyregels. ‘Dankzij de AVG hebben gemeenten veel meer hun gegevens onder controle en is er daardoor veel meer kennis over wat er precies gaande is binnen de organisatie’, legt ze uit.

Privacy

Uit een enquête van Binnenlands Bestuur in juni werd duidelijk dat niet iedere ambtenaar even enthousiast wordt van nieuwe regels. ‘Natuurlijk zijn er ambtenaren die door de AVG belemmeringen tegenkomen tijdens hun werk’, zegt Eefsting. ‘Bij veel handelingen moet je rekening houden met privacy. Even mailen is er niet meer bij. Er geldt in Amersfoort een protocol voor het veilig delen van informatie. Je moet bepaalde bestanden beveiligd versturen. Die maatregelen kosten iets meer tijd. Het heeft even nodig voordat men hieraan gewend is.’