Datavoogd — overzicht 794db251

Eerst doen

Is beschreven welke systemen en leveranciers erbij horen?Beschrijf systemen, koppelingen, opslaglocaties en leveranciers.
Is duidelijk wie de DPIA heeft vastgesteld, wanneer en in welke versie?Leg vaststeller, datum en versie vast.

Per onderwerp

Waarom en wanneer deze DPIA 2 niets gevonden
Wat er gebeurt met de gegevens 1 verbeteren 2 niets gevonden
Is het nodig en in verhouding 4 niets gevonden
Risico's en maatregelen 5 niets gevonden
Advies, vaststelling en herziening 1 verbeteren 3 niets gevonden

Wat er gebeurt met de gegevens

Een DPIA begint met een goede beschrijving. Zonder die beschrijving zijn de risico's niet goed te beoordelen.

Verbeteren

Is beschreven welke systemen en leveranciers erbij horen?

Uitleg

Datavoogd ziet dat de functionele inrichting concreet is beschreven: app gekoppeld aan zaaksysteem Voorbeeldzaak, hosting bij Leverancier Fictief BV in Nederland (Almere, uitwijk Zwolle), tweedelijns support door Supportdesk Fictief GmbH in Duitsland, rollen per partij (F029) en verwerkingslocaties per verwerking (F035), met verwerkersovereenkomst VWO-2026-004 met kenmerk en datum.

Volledige toelichting

Datavoogd ziet dat de functionele inrichting concreet is beschreven: app gekoppeld aan zaaksysteem Voorbeeldzaak, hosting bij Leverancier Fictief BV in Nederland (Almere, uitwijk Zwolle), tweedelijns support door Supportdesk Fictief GmbH in Duitsland, rollen per partij (F029) en verwerkingslocaties per verwerking (F035), met verwerkersovereenkomst VWO-2026-004 met kenmerk en datum. Op het punt van actualiteit valt op dat de DPIA is vastgesteld op 3 februari 2026 terwijl de verwerkersovereenkomst met datum 1 maart 2026 als reeds gesloten wordt gepresenteerd; die datums sluiten niet op elkaar aan. Daarnaast is voor de sub-verwerker niet vastgesteld of een sub-verwerkersovereenkomst bestaat en met instemming van de gemeente tot stand is gekomen.

Ook opgemerkt

Kenmerk en datum van de sub-verwerkersovereenkomst met Supportdesk Fictief GmbH zijn nog niet vastgesteld, evenmin als het aantal en de functies van beheerders met toegang (F029, F030).
Of de app pushberichten, locatiebepaling en analysesoftware van derden gebruikt, moet nog bij de leverancier worden vastgesteld (F025); dat kan aanvullende gegevensstromen betekenen.

Beschrijf systemen, koppelingen, opslaglocaties en leveranciers.

DPIA-1.3 · WP248 bijlage 2 p. 28: functionele beschrijving en activa (systemen, gegevensstromen, verwerkers)

Advies, vaststelling en herziening

Wie heeft geadviseerd, wie heeft besloten en wanneer wordt de DPIA opnieuw bekeken.

Verbeteren

Is duidelijk wie de DPIA heeft vastgesteld, wanneer en in welke versie?

Uitleg

Datavoogd ziet dat de vaststelling herleidbaar is vastgelegd: verwerkingsverantwoordelijke (college van B&W), opsteller(s) naar functie, vaststeller (directeur Bedrijfsvoering), datum (3 februari 2026) en versienummer (1.0, Definitief) staan alle vier in het document, en versie 1.0 is ook de meest recente die wordt genoemd.

Volledige toelichting

Datavoogd ziet dat de vaststelling herleidbaar is vastgelegd: verwerkingsverantwoordelijke (college van B&W), opsteller(s) naar functie, vaststeller (directeur Bedrijfsvoering), datum (3 februari 2026) en versienummer (1.0, Definitief) staan alle vier in het document, en versie 1.0 is ook de meest recente die wordt genoemd. Een versiehistorie die laat zien wat ten opzichte van eerdere versies is gewijzigd ontbreekt echter; op dat punt blijft de bepaling onvolledig ten opzichte van de toetsregel. Datavoogd ziet daarnaast een spanning met de statusvermelding: de tekst spreekt over 'Dit concept' en over een voorstel dat nog door verantwoordelijke en FG wordt beoordeeld, terwijl de status 'Definitief' is.

Ook opgemerkt

De ondertekeningstabel (F066) vermeldt als naam 'het college van burgemeester en wethouders' met functie 'directeur Bedrijfsvoering', waardoor onduidelijk blijft wie feitelijk ondertekent en op basis van welke mandatering.
F010 en F015 presenteren de inhoud als voorstel van een opstel-agent, wat zich moeilijk verhoudt tot de status 'Definitief' van versie 1.0.

Leg vaststeller, datum en versie vast.

DPIA-5.4 · AVG art. 5 lid 2 en art. 24 lid 1, WP248 p. 4 en 22: vaststelling, versie en verantwoordelijke

Hier vond Datavoogd niets

Bij deze vragen is geen punt gevonden. Dat is geen oordeel dat de afspraak voldoet.

Staat erin waarom deze DPIA nodig was?
Is de DPIA gedaan voordat de verwerking begon?
Is beschreven wat er met de gegevens gebeurt en waarom?
Staat erin welke gegevens, van wie, voor wie en hoe lang?
Is onderbouwd dat de verwerking nodig en in verhouding is?
Worden niet meer gegevens gebruikt en bewaard dan nodig?
Worden mensen geïnformeerd en kunnen ze hun rechten gebruiken?
Komen gegevens buiten Europa terecht?
Zijn de risico's voor de betrokken mensen benoemd?
Is per risico ingeschat hoe groot het is?
Zijn er maatregelen per risico, en wat blijft er over?
Zijn de beveiligingsmaatregelen beschreven?
Blijft er een hoog risico over, en moet de toezichthouder worden gevraagd?
Heeft de functionaris gegevensbescherming geadviseerd?
Is de mening van betrokkenen gevraagd?
Is afgesproken wanneer de DPIA opnieuw wordt bekeken?

Daarnaast noteerde Datavoogd 30 kleine opmerkingen. Die staan in het volledige rapport; na de beoordeling komen de bevestigde opmerkingen in dit overzicht.