Privacy en DPIA's bij de gemeente Amersfoort

De gemeente Amersfoort wilde ondersteuning bij het uitvoeren van Data Protection Impact Assessments. Ze vroegen hulp bij het maken van een standaard aanpak, een groep interne medewerkers op te leiden en de uitvoering van een set DPIA's te begeleiden. De procesgerichte en pragmatische DPIA-aanpak van M&I/Partners heeft ervoor gezorgd dat Amersfoort hier echt verder mee kan.

DPIA: Data Protection Impact Assessment

Begin dit jaar schreef Tobias van Oerle een voorstel op de aanvraag van de gemeente Amersfoort: hulp bij het maken van een standaard aanpak, een groep interne medewerkers opleiden en de uitvoering van een set DPIA's begeleiden. Tobias van Oerle neemt ons mee in zijn DPIA-opdracht bij de gemeente Amersfoort.

Privacy bij de gemeente Amersfoort

Amersfoort staat in gemeenteland goed op de kaart op het gebied van privacy. Zo is het verwerkingsregister van Amersfoort de landelijke norm voor gemeenten. Deze prominente positie heeft de gemeente voor een groot deel verworven door de verregaande kennis op het gebied van privacy bij de afdeling juridische zaken. Dat maakte inschrijven een sprong in het diepe voor ons. M&I/Partners is namelijk een bureau met adviseurs op het gebied van management en informatie, geen juristen. Wel hebben we een duidelijke mening over waarom wij zo geschikt zijn voor dit soort opdrachten en daarvan moesten we Amersfoort in ons aanbod van zien te overtuigen. Dat lukte, we kregen de opdracht gegund.

Verrassing

Tijdens ons eerste gesprek geeft ook een van de projectleiders, Daniëlle van der Spek, aan dat het feit dat wij deze opdracht gegund hebben gekregen voor hen toch wel verrassing was. "Heren, ten eerste wil ik even uitspreken dat wij allen enorm verrast zijn dat we hier met jullie zitten: een IT-club". De rest van het gesprek ging over de rode draad in ons aanbod, DPIA's op processen, samenwerken en structurele verbetering. Dat was dus goed overgekomen: nu aan de slag. 

Procesgericht aan privacy werken.

Wil je structurele verbeteringenbereiken op het gebied van privacy? Dan doe je dat samen met de mensen die dagelijks bij de verwerking zijn betrokken. Dat is onze visie. We voeren onze DPIA’s dan ook uit samen met 'de werkvloer' en altijd met het proces als vertrekpunt. 

In een van de eerste DPIA’s die ik uitvoerde voor Amersfoort, op een verwerking in het sociaal domein, werd voor de gemeente meteen duidelijk dat deze manier van het uitvoeren van DPIA's waarde toevoegt. Tijdens een interview voor deze DPIA, met een afdelingshoofd, kwam direct een inefficiëntie in het proces naar boven waaruit mogelijke privacyrisico's voortkwamen. De volgende dag, sprak ik opnieuw met hetzelfde afdelingshoofd: "mooi dat de DPIA zwakke plekken in je proces zo naar boven brengt. We hebben vanmorgen direct het proces aangepast en de maatregel doorgevoerd".

De 'standaard' aanpak

Eén van de doelen van het project was het opleveren van een standaard aanpak voor het uitvoeren van DPIA's. Wij hebben vanuit M&I/Partners een aanpak, die we als basis gebruikten. In een aantal iteratieslagen zouden we tot een definitieve versie komen. Weerbarstig als de praktijk is, bleek dit toch lastig. We hadden conform de afgesproken planning een versie waar we mee aan de slag 'mochten'. Maar een definitieve versie was het niet. Bij het uitvoeren van de DPIA's kwamen we regelmatig details tegen die voor de situatie van Amersfoort weer anders moesten. Inmiddels hebben we een maatwerk DPIA-aanpak die aansluit bij de gemeente Amersfoort en die de procesbegeleiders (medewerkers die DPIA’s uitvoeren) faciliteert in de uitvoering van DPIA’s.

Wie doet de DPIA’s?

In Amersfoort hebben we per afdeling mensen die met DPIA’s aan de slag wilden opgeleid tot procesbegeleiders. Wij zijn er van overtuigd dat als het onderwerp je aanspreekt en je kan ‘proces-denken’, je het ook kan leren. Om het de procesbegeleiders eigen te maken, hebben we ze na twee opleidingsdagen meteen aan het werk gezet en in de praktijk begeleid. En met succes. Zoals één van de procesbegeleiders het zei: “de training-on-the-job voegde veel toe. Direct feedback op de toepassing van de theorie in de praktijk was heel waardevol”.

Dit sloot perfect aan bij onze insteek. Het theoretisch kader is belangrijk, maar de vertaalslag naar de praktijk blijkt vaak lastig. Door een ervaren expert te combineren met iemand die net begint, konden we deze brug goed slaan.

Onnodige DPIA's

Moet hier wel een DPIA op? Een vraag die wij regelmatig krijgen. Zo ook bij de gemeente Amersfoort. Het is niet altijd duidelijk of het gaat om een verwerking waar echt een DPIA op uitgevoerd moet worden. De gemeente Amersfoort had bij de start van het project al besloten welke 8 DPIA’s we meteen gingen uitvoeren. Hier zat achteraf één DPIA in die niet ‘moest’ en twee DPIA’s die wel moesten maar geen (hoge) risico’s blootlegden. Om in de toekomst te voorkomen dat de gemeente Amersfoort onnodig DPIA’s uitvoert hebben we onze DPIA-aanpak uitgebreid met een DPIA QuickScan, twee pagina’s met checks die iedere medewerker binnen 10 minuten kan en onderbouwd kan concluderen of een DPIA wel of niet nodig is.

Continu aandachtspunt

Een van de grootste uitdagingen bij een DPIA is het afronden. Je maakt een beoordeling van de huidige situatie, je verzamelt informatie, beschrijft, beoordeelt en trekt op basis hiervan conclusies. Dit klinkt eenvoudig, maar iedere betrokken medewerker heeft over ieder deel een eigen mening. Als procesbegeleider moet je proberen hier zo feitelijk mogelijk naar te kijken en het doel voor ogen te houden. Als externe expert is dit vaak redelijk eenvoudig, maar voor medewerkers in de eigen organisatie een continu aandachtspunt.

DPIA’s breed toepassen

Telkens een DPIA doen en dezelfde organisatie-brede risico’s en maatregelen beschrijven is zonde van de tijd. Daarom is het belangrijk het overzicht te bewaken en risico’s en maatregelen en deze waar mogelijk breder toe te passen. Wij zijn er bij M&I/Partners van overtuigd dat je 80% van je risico’s met 20% van je maatregelen kan afdekken. Dit blijkt bij Amersfoort niet anders te zijn. Vanuit deze gedachte kijken we samen hoe we de bevindingen uit de eerste 8 DPIA’s breed kunnen toepassen. “Je moet blijven kijken wat er aan gelijkluidende processen zijn waar je veel informatie van kan hergebruiken. Ook zou het wenselijk zijn een landelijke DPIA-bank in te richten waarin bijvoorbeeld het sociaal domein vertegenwoordigd is." Het gaat dus niet alleen om hergebruik van risico’s en maatregelen, maar ook de beschrijving en beoordeling van je verwerking kan je mogelijk hergebruiken voor vergelijkbare processen.

Om brede toepassing goed mogelijk te maken is een beschreven, goed functionerende governance-structuur op het gebied van privacy essentieel. Samen met de medewerkers uit het bredere privacy-project binnen de gemeente Amersfoort hebben we hier ook uitgebreid naar gekeken en hebben we meegedacht met bijgestelde taken en verantwoordelijkheden op dit gebied.

De landelijke DPIA-bank is overigens inmiddels al meer dan een wens, de Informatiebeveiligingsdienst is hier hard voor aan het werk en een eerste versie kwam begin deze zomer al online.

Onverwacht goede combinatie

Aan het einde van de eerste fase van dit project, blik ik met Daniëlle nog even terug. De verbazing dat een ‘IT-club’ de DPIA’s ging begeleiden is inmiddels wel weg. We hebben ondanks de nodige uitdagingen resultaten behaald. Tijdens de evaluatie vatte ze de eerste fase en onze bijdrage samen. Een mooie afsluiting voor een zeer leerzame eerste fase voor zowel de gemeente als voor mij en mijn collega’s.

“De procesgerichte aanpak en met name jullie pragmatische insteek, heeft er niet alleen voor gezorgd dat we met elkaar een aantal DPIA’s met goed resultaat hebben kunnen uitvoeren maar ook dat er een heldere en goed toepasbare werkwijze is bedacht, waardoor DPIA’s nu door meerdere collega’s kunnen worden uitgevoerd. Amersfoort kan hier voor de toekomst echt verder mee!"

Nooit echt klaar

Met DPIA’s, of eigenlijk privacybescherming, ben je nooit echt klaar. Er komt weer een nieuwe verwerking of een verandering in een bestaande verwerking die de uitvoering van een DPIA vereist. De focus voor de komende periode is het verder bestendigen van de uitvoering van DPIA’s binnen de gemeente Amersfoort en in de keten. Wij zijn trots dat wij de gemeente Amersfoort nog enige tijd mogen ondersteunen in dit traject en kijken hier erg naar uit. 

DPIA-cadeauset

Wij hebben een begrijpelijk DPIA-model ontwikkeld dat structuur brengt in de wettelijke vereisten maar vooral ook uitnodigt om hier pragmatisch en effectief mee aan de slag te gaan. Ons stappenplan geeft op hoofdlijnen aan welke activiteiten je tenminste moet uitvoeren. Download de DPIA-cadeauset.

DPIA's en privacy

Heb jij mooie voorbeelden van hoe binnen jouw organisatie aan DPIA’s of privacy in de breedste zin van het woord gewerkt wordt? Of wil je graag meer weten over deze of één van onze andere opdrachten binnen dit domein? Neem dan even contact op met Tobias van Oerle.