Congrestival

2. Zaanstad en de standaard
verwerkersovereenkomst
Frank Kerkhoven
Gemeente Zaanstad
Gerard Heimans
Informatiebeveiligingsdienst
2 november 2018

3. Agenda
• AVG en verwerkingen
• Het probleem van Zaanstad
• De oplossing van Zaanstad
• Wat Zaanstad hiervan heeft geleerd
• Totstandkoming standaard VWO
• Verplicht gebruik
• Hoe het verder gaat

4. AVG en verwerkingen
• Bewerkersovereenkomst: al verplicht sinds invoering Wbp bij uitbesteden
verwerkingen
• Gemeenten schakelen veel verwerkers in
• IBD: voorbeeld verwerkersovereenkomst VWO vanuit perspectief
gemeenten (sinds 2014)

5. Het probleem van Zaanstad
• Afspraken maken met leveranciers verloopt moeizaam
• Alle leveranciers minimaliseren de aansprakelijkheid, rekken de reactietijden op en
het is minimaal niet helder hoe de informatiebeveiliging is geregeld.
• Proceseigenaren vinden dit “juridisch” en dus niet hun probleem
• Leveranciers komen met eigen model (en berekenen kosten om de
gemeentelijke standaard te bekijken)
• Veel ruis op de lijn
• Discussie gaat meestal over niet wettelijk verplichte punten in de VWO
• Het duurt lang/nog steeds niet in alle gevallen een VWO afgesloten
• Hoge kosten voor inhuur privacy-expertise op dit vlak
• Zaanstad heeft waarschijnlijk 60 verwerkingen waar een VWO voor nodig is
• Per verwerking 2 tot 200 uur kwijt aan bereiken overeenkomst

6. Hoe zit dat dan bij andere gemeenten?

7. De “oplossing” van Zaanstad
• Meewerken aan standaardisering VWO
• Beter vasthouden aan de eigen standaard in onderhandelingen
• Bedenken dat het doel is om afspraken te maken over het verwerken van
persoonsgegevens, dus het beter en veiliger werken voor je inwoners.
NIET om minder boetes te krijgen. Je doet het voor de inwoners en niet
voor de organisatie!
• Zorgen dat de proceseigenaar in de lead komt
• Vertrouwen in de leverancier die je hebt gekozen
• Leren leven met onzekerheid

8. Wat heeft Zaanstad hiervan geleerd?
• Het denken in processen is randvoorwaardelijk, maak een
proceshuis met Proceseigenaren!
• Proceseigenaar moet in de lead zijn bij het maken van afspraken
met een verwerker of het verwerken van ZIJN data.
• Kennisopbouw bij de afdeling inkoop is cruciaal.
• Inkoop die aanbesteedplichtig is, is vaak wel geregeld
• Aankopen ónder de aanbestedingsgrens is hét grote probleem
• Zorg voor een centrale plek waar contracten én VWO te vinden zijn
• Maak een link met het register van verwerkingen.
• De lijn is in principe verantwoordelijk voor VWO maar moet zich ook
eigenaar voelen van de VWO

9. Voordelen voor de VWO
 Bespaart veel tijd en geld (€ 10.000.000)
 Bespaart ergernis en verstoorde verhoudingen tussen gemeenten en
leveranciers
 Heldere afspraken over ordentelijke en transparante omgang met
persoonsgegevens
 Positief signaal vanuit gemeenten: we hebben aandacht voor
bescherming van gegevens inwoners
 Gaat om opdrachtgeverschap: een krachtig collectief richting de markt

10. VWO uitgangspunt: inhoudelijk
• Nieuwe/andere aanpak: geen dubbelingen
• Minder is beter
• We gaan uit van samenwerking
• Format is groeimodel: Nederlandse partijen/beheer
• Format geldt voor nieuwe hoofdovereenkomsten/nog geen
afsprakenverwerking p-gegevens
• Huidige vwo’s blijven gelden, tenzij ze evident niet kloppen

11. Proces
 18 mei 2018: verzoek Taskforce
 Verschillende momenten van inspraak
 Gemeenten en leveranciers hebben daar gebruik van gemaakt.
 5 augustus 2018: lancering format met als doel meer feedback te
verkrijgen
 Daarna heel veel input
 November bijeenkomst beheergroep leveranciers/gemeenten
 12 November advies toetsgroep
 Publicatie
 6 December College van Dienstverleningszaken
 Toetsing AP en Landsadvocaat
 Maart 2019 vaststelling door bestuur VNG
 In beheer nemen en verbeteren

12. Standaarden en verplichting
Ter verbetering van de gemeentelijke bedrijfsvoering / dienstverlening
• 3 gradaties:
• Aanbevolen
• Pas-toe-of-leg-uit
• Verplicht
• 2019 Pas-toe-of-leg-uit
• 2020 Verplicht (zelfverplichting leden VNG = alle gemeenten)

13. Hoe nu verder?
• Beheergroep standaard VWO
• Eerste bijeenkomst eind Maart
• In 2019 kortcyclisch
• In 2020 Onderbrengen in beheer VNG/R
• Monitoring op het gebruik van de standaard VWO
• Leveranciers op website gepubliceerd
• Helpdesk IBD