Toelichting bij het DPIA-sjabloon

Onderdeel van Een DPIA in vijf stappen, met sjablonen · Markdown-bron

Afkortingen#

Relevante beleidsdocumenten#

• Procedure risicoanalyses (DPIA)

• DPIA-template

Inleiding#

Dit document is te gebruiken ter informatie en als naslagwerk voor de proceseigenaar bij het doorlopen van het DPIA-proces en het invullen van het bijbehorend DPIA-template. Een DPIA moet worden uitgevoerd indien de verwerking waarschijnlijk een hoog privacy risico inhoudt. Omdat er in de DPIA mogelijk lastige termen of vragen staan, wordt in dit document uitgelegd wat er met iedere vraag wordt bedoeld. In hoofdstuk 2 staan enkele begrippen. In hoofdstuk 3 wordt per vraag uit het formulier uitgelegd wat er mee wordt bedoeld.

Begrippen#

Persoonsgegeven: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Identificatie kan ook indirect. Het hoeft niet altijd een naam te zijn om informatie te kunnen herleiden naar een persoon. Ook maakt de vorm van de informatie niet uit; het kan zowel schriftelijke informatie betreffen, als bijvoorbeeld een foto, film of geluidsopname. Voorbeelden van persoonsgegevens: NAW-gegevens, rekeningnummer, identificatienummer, locatiegegevens, online identificator of elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van een persoon.

Bijzondere persoonsgegevens: persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, genetische gegevens, gezondheidsgegevens of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid.

Gevoelige persoonsgegevens: gegevens die naar hun aard gevoelig zijn en daarom extra bescherming behoeven. Hierbij kan gedacht worden aan inloggegevens, financiële gegevens, BSN, locatiegegevens, gegevens waarmee identiteitsfraude gepleegd kan worden, gegevens die onder een wettelijke geheimhoudingsplicht vallen of over minderjarigen/kwetsbare groepen.

Strafrechtelijke persoonsgegevens: gegevens die verband houden met strafrechtelijke veroordelingen en strafbare feiten. Deze gegevens kunnen bijvoorbeeld informatie omvatten over gepleegde misdaden, arrestaties, strafrechtelijke vervolgingen, veroordelingen, en opgelegde straffen of maatregelen.

Verwerking: alle handelingen die een organisatie kan uitvoeren met persoonsgegevens. Denk aan het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, doorzenden, verspreiden, beschikbaar stellen, samenbrengen, met elkaar in verband brengen, afschermen, uitwissen en vernietigen van gegevens.

Verwerkingsverantwoordelijke: de verwerkingsverantwoordelijke is kortgezegd de partij die het doel van de verwerking bepaalt en de middelen waarmee de andere partij gaat werken voorschrijft. Als beide partijen zeggenschap hierover hebben, dan kan sprake zijn van ‘gezamenlijke verwerkingsverantwoordelijkheid’.

Verwerker: de verwerker verricht diensten ten behoeve van de verwerkingsverantwoordelijke waarbij de verwerker persoonsgegevens verwerkt.

Betrokkene: een geïdentificeerde of identificeerbare natuurlijke persoon over wie persoonsgegevens worden verwerkt. Ook bedrijven zonder rechtspersoonlijkheid kunnen, afhankelijk van de structuur, als ‘betrokkene’ worden aangemerkt.

AP (Autoriteit Persoonsgegevens): de Nederlandse gegevensbeschermingsautoriteit en het zelfstandig bestuursorgaan dat in Nederland bij wet als toezichthouder is aangesteld voor het toezicht op het verwerken van persoonsgegevens.

Data Protection Impact Assessment: een Data Protection Impact Assessment (DPIA), ook wel gegevensbeschermingseffectbeoordeling genoemd, is een instrument om privacyrisico’s van een gegevensverwerking in kaart te brengen, zodat een organisatie passende maatregelen kan nemen om de privacyrisico’s te verkleinen. Een DPIA is een belangrijk instrument om te kunnen aantonen dat de organisatie voldoet aan de verplichtingen van de AVG. Het is daarbij belangrijk dat bij het uitvoeren van een DPIA de gevolgde methodiek en de uitkomsten worden vastgelegd.

Functionaris gegevensbescherming: De gemeente heeft een functionaris gegevensbescherming (FG) aangesteld. Dit komt vanuit een wettelijke verplichting. De FG is een interne toezichthouder en adviseert op de gang van zaken omtrent privacy en gegevensbescherming binnen de gemeente.

Algoritme

Een algoritme is een wiskundige formule of model, dat wordt uitgevoerd middels een computer, om een probleem op te lossen, een vraag te beantwoorden, een voorspelling te doen, een beslissing te nemen of die te ondersteunen. Aan de hand van data die door het algoritme wordt gebruikt, wordt in verschillende stappen toegewerkt naar een resultaat, bijvoorbeeld het toekennen van een vergunning. Op basis van dat resultaat kan men dan actie ondernemen (al dan niet toekennen van de vergunning). De precieze stappen die worden doorlopen verschillen per algoritme en zijn afhankelijk van de wijze waarop het algoritme wordt ingezet.

Artificial intelligence

Artificial intelligence (AI, of: kunstmatige intelligentie) is breder dan een algoritme. We noemen iets AI als een algoritme op basis van gegevens of signalen uit diens omgeving zelfstandig beslissingen kan nemen én daarvan kan leren. Met kunstmatige intelligentie wordt het denkvermogen van de mens nagemaakt; het apparaat kan (zelfstandig) leren en beslissingen nemen, zoals een zelfrijdende auto of een chatbot.

Profilering

Het opstellen van profielen (profilering) bestaat doorgaans uit het verzamelen van (veel) data over een persoon om zo een profiel over die persoon op te stellen, aan de hand waarvan besluiten kunnen worden genomen. Het profiel van iemand zegt bijvoorbeeld iets over diens leefwijze, uitgavepatroon of interesses. Een profiel kan worden gebruikt door een organisatie om in te schatten of te voorspellen hoe iemand zich gaat gedragen.

Automatische besluitvorming

Automatische besluitvorming volgt vaak op het opstellen van profielen, maar dit hoeft niet. Bij deze vorm van besluitvorming nemen organisaties besluiten over mensen op basis van automatisch verwerkte gegevens. Het is dan niet een persoon die het besluit neemt, maar de computer. Bijvoorbeeld de automatische beoordeling van een online ingediende kredietaanvraag. Of verwerking van sollicitaties via internet zonder menselijke tussenkomst. Deze vorm van besluitvorming is meestal verboden. Een organisatie mag alleen een automatisch besluit nemen wanneer dit noodzakelijk is om een overeenkomst met die persoon af te sluiten; wanneer expliciet in een wet staat dat het mag; of wanneer de betrokkene uitdrukkelijk toestemming heeft gegeven. Ook dan zijn bepaalde waarborgen nodig.

Toelichting vragenlijst#

Managementsamenvatting#

De managementsamenvatting wordt opgesteld door de Privacy Officer.

In het tekstvak moet worden beschreven wat de belangrijkste bevindingen en resultaten zijn van de met de afdeling uitgevoerde DPIA. Een lezer kan daarmee snel zien waarop de DPIA is uitgevoerd en wat de conclusie is.

De beschrijving moet onder meer bevatten wat de scope is van deze DPIA (zie paragraaf 2.1), de reden voor uitvoering van de DPIA (zie paragraaf 2.3), de vastgestelde risico’s (zie paragrafen 11.1 en 11.2), de maatregelen (zie paragraaf 11.4) en de conclusie (zie paragraaf 11.5).

Scope#

2.1 Scope#

Binnen scope

De bedoeling van bovenstaande vraag is om helder te krijgen hoe het werkproces eruitziet, dat wil zeggen dat iemand die het werkproces niet of niet goed kent, begrijpt wat er gebeurt binnen het werkproces. Het is dan ook belangrijk om in duidelijke en makkelijke taal te beschrijven wat het doel van het werkproces is en binnen welke context het zich afspeelt.

Voorbeeld:

Deze DPIA ziet op de verwerking van persoonsgegevens door de gemeente bij de uitvoering van de Jeugdwet. Dat proces start met aanvragen die binnenkomen bij het zorgloket KCC of bij de frontoffice van de gemeente, beschrijft het onderzoek en de behandeling van het verzoek, de beslissing daarover en tot slot de communicatie naar de zorgverleners.

Buiten scope

Ook expliciet beschrijven wat buiten het proces valt is belangrijk om het proces en de context te begrijpen. Als er rapportages worden gemaakt van behaalde resultaten binnen een werkproces, maar die rapportages worden opgesteld door een andere afdeling, kan het zijn dat er sprake is van een geheel nieuw werkproces en dat die handeling(en) niet onder het eerste werkproces vallen. Het is dan handig om dat hier te beschrijven. De betrokken Privacy Officer kan hier tevens bij helpen.

Voorbeeld:

De individuele resultaten van de onderzoeken vallen buiten de scope van deze DPIA.

2.2 Procesbeschrijving op hoofdlijnen#

[Vink aan wat van toepassing is]

☐ Dit betreft wel een ingewikkeld werkproces. Bijlage 1 is eveneens ingevuld.

☐ Dit betreft geen ingewikkeld werkproces. Het werkproces stapsgewijs is hieronder aangevuld.

Het is de bedoeling om één van de twee hokjes aan te vinken. Wanneer sprake is van een ingewikkeld of zeer uitgebreid werkproces, dan moet Bijlage 2 van het DPIA Template worden ingevuld aan het eind van het uitvoeren van de DPIA. De tekstvakken onder ‘Het werkproces (stapsgewijs)’ hoeven dan niet ingevuld te worden.

Wanneer er geen sprake is van een uitgebreid of zeer complex proces, hoeft Bijlage 2 niet ingevuld te worden, maar moeten de tekstvakken hieronder wél worden ingevuld.

Denk bij complexe of uitgebreide werkprocessen aan processen met veel koppelvlakken en/of met samenwerkingsverbanden, of aan werkprocessen waarbij meerdere interne afdelingen en/of externe partijen betrokken zijn. Eveneens bij processen die recent in de actualiteit zijn geweest, of waarbij het gaat om een (politiek) gevoelig proces, dan moet Bijlage 2 worden ingevuld.

Het werkproces (stapsgewijs)

De tekstvakken hierboven moeten ingevuld worden wanneer er géén sprake is van een complex, zeer uitgebreid of (politiek) gevoelig proces.

In de tekstvakken hierboven is het de bedoeling om de processtappen te beschrijven die plaatsvinden, zodat een helder en overzichtelijk beeld geschetst wordt van het gehele werkproces. Per processtap moet daarvoor aangegeven worden wat de naam is (een korte beschrijving van wat er gebeurt), het doel waarvoor deze processtap plaatsvindt, de betrokken personen (of hun functieaanduidingen) en de betrokken interne en externe partijen die een rol spelen in die betreffende stap. Tot slot moeten ook de applicaties en systemen die gebruikt worden binnen die stap worden genoemd.

De tekstvakken kunnen simpelweg gekopieerd worden wanneer er sprake is van meer dan vier processtappen.

Voorbeeld:

• Binnenkomst aanvraag verzoek verstrekkingsbeperking

De aanvrager (betrokkene) doet een verzoek tot verkrijging/beëindiging van een verstrekkingsbeperking (geheimhouding) in de Basisregistratie Personen (BRP) voor zichzelf en/of zijn kinderen tot 16 jaar, door uit eigen initiatief een aanvraagformulier in te vullen en op te sturen naar de gemeente. De aanvraag komt per post of via de brievenbus (Facilitaire Zaken) binnen.

De aanvrager vult de volgende persoonsgegevens in op het aanvraagformulier: voornaam, achternaam, adres, geboortedatum, telefoonnummer, e-mailadres, handtekening en een kopie van een identiteitsbewijs.

De medewerkers van Facilitaire Zaken hebben inzage in de aanvraag.

• Aanvraag afleveren bij de postregistratie

De aanvraag wordt fysiek (handmatig) afgeleverd bij de afdeling informatiebeheer, door een medewerker van de afdeling Facilitaire zaken, zodat informatiebeheer de aanvraag kan verwerken en in het zaaksysteem kan zetten.

Workflow grafisch

In bovenstaand vak wordt gevraagd om een afbeelding (of een link naar een afbeelding) van het werkproces toe te voegen. Dit kan een bestaande visuele procesomschrijving zijn of eentje die speciaal is gemaakt voor het uitvoeren van de DPIA. De afbeelding moet duidelijk laten zien hoe het werkproces verloopt. Wanneer een afbeelding toegevoegd wordt is het goed om aan te geven wanneer dit plaatje is opgesteld. Wanneer een dergelijke afbeelding ontbreekt, kan in het vak ‘N.v.t.’ worden geschreven.

Voorbeeld:

Publicatiedatum: 13-06-2024

Register van verwerkingen#

☐ De verwerking is wel opgenomen in het register van verwerkingen.

☐ De verwerking is niet opgenomen in het register van verwerkingen.

Het is verplicht om iedere verwerking op te nemen in het register van verwerkingen. Dit is een wettelijk verplicht overzicht waarin de gemeente bij moet houden welke gegevensverwerkingen er allemaal zijn. Geef aan of dit proces in dat register is opgenomen.

Governance#

Proceseigenaar

[Beschrijf in de tabel de verschillende rollen (per stap) binnen het werkproces]

In de tabel moet per stap of voor het gehele werkproces – wanneer voor het gehele proces hetzelfde geldt – de hoofdproceseigenaar en de proceseigenaar worden aangegeven. Afdelingsmanagers zijn hoofdproceseigenaar en proceseigenaren zijn verantwoordelijk voor de uitvoering van één of meer gemeentelijke taken – en daarbij voor de privacy, informatiebeveiliging en informatiebeheer dat daarbij komt kijken. Het is mogelijk dat de hoofdproceseigenaar tevens de proceseigenaar is, dan dient dezelfde naam in beide kolommen ingevuld te worden.

Verwerkingsverantwoordelijke

☐ Het college van burgemeester en wethouders

☐ De burgemeester

☐ De ambtenaar belast met heffing en invordering

De verwerkingsverantwoordelijke voor het werkproces is een natuurlijk persoon of rechtspersoon, een dienst of een ander orgaan die, alleen of samen met anderen, de doeleinden bepaalt waarvoor en de middelen waarmee persoonsgegevens worden verwerkt. Er zijn drie mogelijkheden: 1) het college van B&W, 2) de burgemeester en 3) de ambtenaar belast met heffing en invordering. Wanneer de verwerkingsverantwoordelijke niet bekend is, kan hierover altijd overlegd worden met de betrokken Privacy Officer.

3.1 Overzicht EXTERNE partijen en systemen in het werkproces#

[Vul het overzicht hieronder aan met alle externe partijen die een rol spelen bij de verwerking van persoonsgegevens in dit werkproces, en verwijder of wijzig de vooraf in de tabel ingevulde partijen die geen rol spelen bij het werkproces]

In de tabel hierboven moeten alle bij het werkproces betrokken externe partijen worden beschreven. Als een systeem of applicatie wordt gebruikt van een andere partij dan moet dit ook worden beschreven in de bovenstaande tabel. Het is belangrijk om goed te weten of er met (ICT-)partijen overeenkomsten zijn gesloten en of die overeenkomsten ook zien op de verwerking van persoonsgegevens. Als niet duidelijk is of er een verwerkersovereenkomst is gesloten met een partij die persoonsgegevens voor de gemeente verwerkt binnen dit proces, dan is dat een risico. Geef in die situatie hierboven aan dat het onbekend is. Hierboven zijn enkele voorbeelden gegeven. De rolverdeling tussen partijen is een lastige zaak. Zie paragraaf Basisbegrippen voor de definities van de diverse rollen onder de AVG. Wanneer het onduidelijk blijft, kan de Privacy Officer worden ingeschakeld.

3.2 Overzicht INTERNE partijen en systemen in het werkproces#

[Vul voor alle gemeentelijke partijen die een rol spelen in de verwerking van persoonsgegevens in dit werkproces de tabel aan]

Vul in de tabel hierboven alle interne partijen (afdelingen, teams), applicaties, systemen en hardware in die een rol spelen binnen dit werkproces. Leg tevens kort uit wat de rol van de betreffende afdeling of team is binnen het proces. De bronhouder is ‘eigenaar’ van de gegevensset (of: dataset); wanneer een partij uitvoerende werkzaamheden verricht dan is die partij ‘uitvoerend’; de ‘ontvanger’ is de partij die informatie uit de gegevensset (of de gehele gegevensset) verkrijgt; de ‘toezichthouder’ ziet toe op behoud van kwaliteit binnen een proces of kan een andere interne toezichthouder zijn die bijvoorbeeld om advies wordt gevraagd tijdens het werkproces. Een interne partij kan meerdere rollen hebben binnen het werkproces. De vooraf ingevulde tekst kan als basis worden gebruikt eventueel kan daar nog bepaalde informatie aan toegevoegd worden.

Cultuur#

[Beschrijf hieronder per betrokken afdeling (binnen de scope van het werkproces) wat het privacybewustzijn is en hoe

medewerkers omgaan met persoonsgegevens. Maak gebruik van de volgende kleuren:

• Groen = geen verbetering vereist

• Oranje = enige verbetering vereist

• Rood = sterke verbetering vereist of onbekend]

De tabel moet een overzicht bevatten van de betrokken afdelingen binnen het werkproces. In de kolom “Privacybewustzijn” moet worden beschreven hoe privacybewust de medewerkers zijn (bijv. of er regelmatig opfriscursussen AVG worden gevolgd; of dat medewerkers steeds een handleiding met aandacht voor privacy moeten volgen voor het uitvoeren van bepaalde taken binnen het werkproces, etc.). In de kolom “Omgang met persoonsgegevens” kan aangegeven worden hoe goed al wordt omgegaan met persoonsgegevens (bijv. zijn er richtlijnen opgesteld binnen de afdeling waaraan de medewerkers zich moeten houden; wordt regelmatig aandacht besteed aan het juist werken met persoonsgegevens; etc.).

De afdeling waarbinnen het werkproces zich afspeelt moet hier in ieder geval genoemd worden. Daarnaast kan gedacht worden aan afdelingen of teams waarmee intensief wordt samengewerkt en die daarmee binnen de scope van het werkproces vallen. Dus niet Facilitaire Zaken invullen als zij enkel worden ingeschakeld aan het eind van het werkproces voor het verzenden van een brief.

De vakken in de kolommen ‘Privacybewustzijn medewerkers’ en ‘Omgang met persoonsgegevens’ moeten één van de drie aangegeven kleuren krijgen middels de optie in Word ‘Arcering’ (het icoontje van een kantelende emmer met verf). In het vak is het dan nog gewoon mogelijk om de toelichting te schrijven. De gekozen kleur hangt samen met de toelichting, in die zin, dat wanneer de toelichting aangeeft dat er bijvoorbeeld geen privacyrichtlijnen worden gehanteerd binnen de afdeling en er amper tot geen aandacht wordt besteed aan privacy en omgang met persoonsgegevens, dat voor de kleur rood moet worden gekozen.

Grondslag en doelbinding#

5.1 Grondslag#

[Vul onderstaande tabellen in]

In bovenstaande tabel wordt het verwerkingsdoel, de AVG-grondslag en een toelichting op de gekozen grondslag vastgelegd. Het verwerkingsdoel is het doel van de verwerking van persoonsgegevens binnen het werkproces, dit kan bijvoorbeeld “het beveiligen van het gemeentehuis”, “het doorgeven van een verhuizing”, “het registreren van een partnerschap” of “een uitschrijving uit de gemeente” zijn. Het gaat om het doel dat met het werkproces in zijn geheel bereikt moet worden. In de kolom AVG-grondslag kan worden gekozen uit zes opties; (tenminste) één van deze grondslagen moet van toepassing zijn, anders wordt het werkproces niet rechtmatig uitgevoerd. De keuze voor een grondslag moet vervolgens worden toegelicht. Het is aan te raden om de Privacy Officer en een jurist om hulp te vragen voor het invullen van de grondslag en de toelichting hierop.

De tweede tabel moet een opsomming bevatten van de diverse wetten en andere regelingen die van toepassing zijn op het werkproces of die een andere rol spelen binnen het werkproces. De AVG hoeft hierbij niet genoemd te worden. Denk bij deze tabel eerder aan de Gemeentewet, de Wet basisregistratie personen, de Participatiewet, de Algemene wet bestuursrecht en specifieke Beleidsregels of Regelingen. De eisen die volgen uit de genoemde wet- en regelgeving en die van toepassing zijn op het werkproces moeten worden benoemd. Tot slot moet worden aangegeven op welke manier aan deze eisen wordt voldaan.

5.2 Doelbinding#

[Wanneer de in dit werkproces gebruikte persoonsgegevens worden verwerkt voor een ander dan het hierboven beschreven doel, dan moet onderstaande tabel ingevuld worden. Wanneer dit niet van toepassing is vul dan in ‘N.v.t.’]

Volgens de AVG mogen persoonsgegevens alleen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen zij vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt. Dit geldt niet in het kader van archivering in het algemeen belang, voor wetenschappelijk of historisch onderzoek of voor statistische doeleinden. Indien de persoonsgegevens binnen dit werkproces dus ook voor een ander doel worden gebruikt dan het doel beschreven in de tabel bij paragraaf 5.1, dan moet de tabel hierboven ingevuld te worden. Het wordt aangeraden om te overleggen met de betrokken Privacy Officer om vast te stellen óf er sprake is van andere doelen en of deze verenigbaar zijn of dat het om geheel nieuwe doelen met een andere grondslag gaat.

Juistheid#

6.1 Borging kwaliteit#

In het tekstvak moet beschreven worden hoe de kwaliteit van de data die wordt verwerkt binnen het werkproces gewaarborgd wordt. Dit ziet voornamelijk op de data die persoonsgegevens bevatten. Geef bijvoorbeeld aan of gegevens (automatisch) worden gecontroleerd wanneer het wordt verzonden, of dat er een directe koppeling is met de BRP of KVK (waarvan verwacht mag worden dat de data juist en up-to-date is). Schenk ook aandacht aan de wijze van updaten van de (persoons)gegevens en hoe vaak dit gebeurt.

6.2 Logging#

Logging is een methode om bij te houden of na te gaan wie of welke functie toegang had tot bepaalde data en of er wijzigingen zijn opgetreden in die data. In het tekstvak moet beschreven worden óf logging wordt toegepast en op welke manier. Denk hierbij aan het beantwoorden van vragen als:

• Is achteraf controleerbaar wie toegang heeft gehad tot de persoonsgegevens?

• Worden activiteiten die medewerkers (t/m superusers) uitvoeren met persoonsgegevens vastgelegd in logbestanden?

• Worden de hierboven genoemde logbestanden periodiek gecontroleerd (monitoring) op indicaties van onrechtmatige toegang of onrechtmatig gebruik van de persoonsgegevens?

• Wordt waar nodig actie ondernomen (intrekken bevoegdheden, veranderen beveiliging, etc.)?

6.3 Audits#

Audits kunnen worden omschreven als (uitgebreide) controles op diverse aandachtspunten binnen het werkproces. Soms worden deze uitgevoerd door externe partijen. De vraag die in het tekstvak beantwoord moet worden is of (periodiek) audits worden uitgevoerd op het werkproces in zijn geheel of op onderdelen ervan. Zulke controles zouden kunnen zien op het feit dat beleid en voorschriften worden gevolgd binnen het werkproces, of dat eerder voorgestelde (beheers)maatregelen in de praktijk zijn uitgevoerd en goed werken.

Dataminimalisatie#

7.1 Categorieën betrokkenen#

[Beschrijf de categorieën van betrokkenen en de grootte van deze groep(en). Geef ook aan of er sprake is van kwetsbare groepen categorieën, bijvoorbeeld kinderen]

In de tabel hierboven moeten de (groepen) personen worden beschreven die betrokken zijn bij het werkproces; de betrokkenen. Het gaat hierbij niet om medewerkers die in de uitvoering van het werkproces zitten (dat staat beschreven onder paragraaf 3.2), maar over de personen van wie de persoonsgegevens worden verwerkt binnen het werkproces. Geef ook aan of het gaat om kwetsbare groepen, bijvoorbeeld kinderen of mensen die de taal niet machtig zijn.

Voorbeeld: Het werkproces waarbij een aanvraag van een inwoner om een nieuw paspoort te verkrijgen het doel is, levert als betrokkene de inwoner op; de persoonsgegevens van die inwoner worden immers verwerkt om uiteindelijk een nieuw paspoort af te kunnen geven. In de tabel wordt dan als categorie betrokkenen ‘Inwoners gemeente’ aangegeven - de inwoner is immers een inwoner van de gemeente.

Wanneer er andere betrokkenen zijn – zoals in werkprocessen waarbij ook persoonsgegevens van collega’s worden verwerkt (de categorie betrokkenen is dan: Werknemers gemeente), dan moet dat aangevuld worden in de tabel.

Geef naast de categorie(ën) ook een (geschat) aantal per categorie aan en licht dit aantal toe. Als er uitgebreide jaarrapportages worden bijgehouden waarin exacte cijfers worden genoemd, dan vul je het exacte cijfer in mét in de toelichting dat het aantal volgt uit die jaarrapportage.

7.2 Beoordeling gebruikte persoonsgegevens#

[Vul de tabel hieronder aan met de beoordelingen per gebruikt persoonsgegeven binnen dit werkproces, en verwijder of pas de vooraf in de tabel ingevulde voorbeelden aan wanneer die niet van toepassing zijn]

Bij de beoordeling van de gebruikte persoonsgegevens gaat het erom dat wordt gekeken naar het juist en rechtmatig verwerken van alle persoonsgegevens die binnen het werkproces een rol spelen. Het is belangrijk om alle persoonsgegevens van de betrokkenen die verwerkt worden binnen het werkproces in de tabel op te nemen. De tabel kan simpelweg gekopieerd en geplakt worden als er meer persoonsgegevens worden verwerkt dan waarvoor nu plaats is.

De tabel bevat al enkele vooraf ingevulde persoonsgegevens en bijbehorende beoordelingen van de diverse punten. Het is belangrijk om te controleren of de vooraf ingevulde persoonsgegevens binnen het werkproces worden verwerkt en of de beoordelingen kloppen. Kloppen de vooraf ingevulde gegevens niet? Pas dan aan waar nodig. Wanneer er sprake is van andere persoonsgegevens, moeten die toegevoegd worden en moet de beoordeling plaats vinden. Dat wil zeggen dat er in de verschillende rijen steeds een toelichting geplaatst moet worden.

Een overzicht van de verschillende beoordelingen:

Noodzakelijkheid

Beoordeel of alle gegevens noodzakelijk zijn voor het bereiken van de verwerkingsdoelen. Zo niet, geef aan welke maatregelen moeten worden genomen. Alleen wanneer de verwerkingen noodzakelijk zijn voor de in Hoofdstuk 5 (Grondslag en doelbinding) genoemde doelen is de verwerking gerechtvaardigd. Er mogen niet meer persoonsgegevens worden verwerkt dan voor het doel van de gegevensverwerking noodzakelijk is.

Proportionaliteit en evenredigheid

Beoordeel of de inbreuk op de persoonlijke levenssfeer in evenredige verhouding staat tot de verwerkingsdoelen. Zo niet, geef aan welke maatregelen moeten worden genomen. In de vraag of een verwerking noodzakelijk is, ligt besloten of de verwerking van gegevens proportioneel is. Staat de inbreuk op de persoonlijke levenssfeer in verhouding tot het feit dat daarvoor persoonsgegevens moeten worden verwerkt; de inbreuk mag nooit groter zijn dan noodzakelijk is voor het beoogde doel. Is er een alternatief om hetzelfde doel te bereiken met minder persoonsgegevens/lagere inbreuk op de persoonlijke levenssfeer of kunnen er maatregelen genomen worden om de inbreuk te mitigeren?

Subsidiariteit

Beoordeel of de verwerkingsdoelen in redelijkheid niet op een andere, voor betrokkene minder nadelige wijze bereikt kunnen worden. Geef aan welke alternatieven er zijn en of deze bruikbaar zijn en licht dit toe.

Subsidiariteit betreft de vraag of het genoemde doel niet op een andere, minder ingrijpende wijze (bijvoorbeeld door géén of minder persoonsgegevens te verwerken) kan worden bereikt. Wanneer er bijvoorbeeld vermoedens zijn dat één specifieke medewerker fraude pleegt, is het niet noodzakelijk om alle werknemers te controleren.

Anonimisering en pseudonimisering

Beoordeel of het doel met geanonimiseerde of gepseudonimiseerde gegevens kan worden bereikt, terwijl daar op dit moment geen gebruik van wordt gemaakt, of geef aan op welke manier anonimiseren of pseudonimisering al wel een rol spelen binnen het werkproces.

7.3 Gevoelige persoonsgegevens#

[Indien gevoelige persoonsgegevens worden verwerkt binnen dit werkproces, dan moet aangegeven worden hoe hiermee wordt omgegaan - denk aan extra beveiliging of andere maatregelen]

Wanneer er gevoelige persoonsgegevens worden verwerkt binnen het werkproces is het van belang om bovenstaande tabel in te vullen. Gevoelige persoonsgegevens is een categorie die niet letterlijk volgt uit de AVG en het is zodoende ook niet verboden om deze gegevens te verwerken, maar er dienen wel betere beveiligingsmaatregelen te worden genomen. Voorbeelden van gevoelige persoonsgegevens zijn beschreven in de tabel. Het kan gaan om:

• Financiële gegevens (zoals salarisgegevens, het IBAN of (problematische) schulden);

• Het BSN (of een kopie ID-bewijs waarvan weinig of geen gegevens zijn zwartgelakt);

• (Specifieke) informatie over iemands locatie of economische situatie (denk aan het feit dat iemand in een Blijf-van-mijn-lijf-huis verblijft of onder curatele staat).

Naast de beoordeling op de diverse categorieën uit de vorige tabel, moet voor deze gegevens ook worden aangegeven of ze extra worden beschermd en beveiligd (wordt bijvoorbeeld extra goed gelet op de omgang met deze persoonsgegevens, of heeft slechts een klein(er) groepje collega’s toegang tot deze informatie, etc.) en hoe dat gebeurt.

Specifiek voor het BSN geldt dat deze niet mag worden verwerkt, tenzij er een wettelijke grondslag voor verwerking is – dus als er ergens in een wet of regeling staat beschreven dat de gemeente het BSN van inwoners mag verwerken (denk bijvoorbeeld aan artikel 68 uit de Participatiewet). Dit moet ook aangegeven worden in de tabel.

7.4 Bijzondere persoonsgegevens#

[Indien bijzondere persoonsgegevens worden verwerkt binnen dit werkproces, dan moet worden aangegeven hoe hiermee wordt omgegaan - denk aan extra beveiliging of andere maatregelen - en moet de wettelijke uitzondering op het verwerkingsverbod worden benoemd]

De bijzondere persoonsgegevens vormen ook een aparte categorie, deze staan wél in de AVG vermeld. Voor het gebruiken van bijzondere persoonsgegevens geldt dat dit verboden is, tenzij er een wettelijke uitzondering geldt. Net als met gevoelige persoonsgegevens moeten er extra waarborgen worden getroffen voor het verwerken van deze persoonsgegevens. Dit betekent dat er extra voorzichtig mee omgegaan moet worden en dat er bijvoorbeeld extra beveiligingsmaatregelen worden getroffen om deze gegevens te beschermen. Geef naast de extra waarborgen ook de van toepassing zijnde wettelijke uitzondering op het verwerkingsverbod aan (eventueel in overleg met de Privacy Officer of een jurist).

Bijzondere persoonsgegevens staan vermeld in de AVG en vallen in de volgende categorieën:

• Raciale of etnische afkomst;

• Politieke opvattingen;

• Religieuze of levensbeschouwelijke overtuiging;

• Gegevens waaruit het lidmaatschap van een vakvereniging blijkt;

• Gezondheidsgegevens;

• Seksueel gedrag of seksuele gerichtheid;

• Genetische gegevens;

• Biometrische gegevens met het oog op de unieke identificatie van een persoon.

Biometrische persoonsgegevens zijn persoonsgegevens die het resultaat zijn van een specifieke technische verwerking van fysieke, fysiologische of gedrag gerelateerde kenmerken van een persoon. Op grond hiervan is eenduidige identificatie van die persoon mogelijk, of wordt zijn/haar identiteit bevestigd. Voorbeelden van biometrische persoonsgegevens zijn vingerafdrukken, iris- of netvliesscan, stemherkenning of gezichtsafbeeldingen (die worden gebruikt ter herkenning van de persoon).

7.5 Persoonsgegevens van strafrechtelijke aard#

[Indien persoonsgegevens van strafrechtelijke aard worden verwerkt binnen dit werkproces, dan dient aangegeven te worden hoe hiermee wordt omgegaan - denk aan extra beveiliging of andere maatregelen - en dient de wettelijke uitzondering op het verwerkingsverbod benoemd te worden]

Persoonsgegevens van strafrechtelijke aard vormen ook een aparte categorie, deze staan wél in de AVG vermeld. Voorbeelden van strafrechtelijke persoonsgegevens zijn een strafblad, strafbare feiten, verdenkingen en veiligheidsmaatregelen. Voor het gebruiken van persoonsgegevens van strafrechtelijke aard geldt dat dit verboden is, tenzij er een wettelijke uitzondering geldt. Deze uitzonderingen staan onder andere in artikel 32 en 33 van de Uitvoeringswet AVG (UAVG). Betrek de Privacy Officer als dit het geval is.

Opslag#

[Beschrijf voor iedere in paragraaf 2.2 beschreven stap in het werkproces

waar persoonsgegevens worden opgeslagen, de betreffende bewaartermijnen

en eventueel of er archivering plaatsvindt]

Voor het invullen van de tabel kan worden teruggegrepen op de deelstappen binnen het werkproces die zijn beschreven in paragraaf 2.2. In sommige werkprocessen zijn meerdere bewaartermijnen van toepassing, het is dan zaak om deze goed te beschrijven in de tabel.

Per stap wordt aangegeven waar de data met persoonsgegevens worden opgeslagen, denk hierbij aan een afdelingsschijf, een specifieke ‘ruimte’ binnen Microsoft Teams, het zaaksysteem, Outlook of aan een vakapplicatie. Voor iedere stap moet ook worden aangegeven wat de bewaartermijn is van de persoonsgegevens die worden gebruikt binnen die stap. het team informatiebeheer kan ondersteunen bij het formuleren van de bewaartermijnen en de manier waarop persoonsgegevens worden gearchiveerd. Als er geen bewaartermijnen zijn ingeregeld, is dit een risico.

Bescherming#

9.1 Beveiliging bij de gemeente#

[Kruis aan op welke wijze de persoonsgegevens worden beschermd binnen

de gemeente, voeg maatregelen toe waar nodig. Betrek bij hoofdstuk 9 altijd een Information Security Officer]

Gemeentebrede beveiligingsmaatregelen

☐ MS Active Directory (Single Sign On of MFA)

☐ Firewall ingericht? Indien ja, leg uit

☐ Back-ups voor data op de servers ingericht met opslag op twee fysieke plaatsen (twee datacenterlocaties)

☐ Er vindt jaarlijks een Ensia Audit plaats

☐ Fysieke beveiliging (toegang met tag)

☐ Werktelefoon (of BYOD) is beveiligd met code of wachtwoord

☐ Werklaptop (of BYOD) is beveiligd met code of wachtwoord

☐ [Eigen aanvulling]

☐ [Eigen aanvulling]

Betrokken medewerkers

☐ Medewerkers hebben een eed afgelegd

☐ Medewerkers hebben een geheimhoudingsverklaring getekend

☐ Medewerkers hebben een VOG aangeleverd

☐ [Eigen aanvulling]

☐ [Eigen aanvulling]

Systemen binnen het werkproces

☐ Systemen zijn enkel toegankelijk via ons eigen netwerk

☐Toegang tot gebruikte systemen is alleen mogelijk met de juiste credentials (wachtwoord en gebruikersnaam)

☐ Er wordt gebruik gemaakt van twee- of meerfactorauthenticatie (2FA/MFA)

☐ Er zijn (via IAM) autorisaties voor systemen ingericht

☐ Het verkrijgen van autorisaties is gekoppeld aan functie van medewerkers

☐ Het verkrijgen van autorisaties is afhankelijk van (aparte) toestemming van een leidinggevende

☐ Toegang tot systemen wordt gelogd, niet iedereen kan zomaar bij deze loggegevens

☐ Er vinden automatische updates plaats

☐ [Eigen aanvulling]

☐ [Eigen aanvulling]

Specifieke maatregelen voor dit werkproces

☐ [Eigen aanvulling]

☐ [Eigen aanvulling]

Het is belangrijk dat de gemeente persoonsgegevens zorgvuldig bewaard, verwerkt én beveiligd. Bovenstaande opsommingen zijn voorbeelden van maatregelen die van toepassing zouden kunnen zijn op het werkproces. Kruis aan door op het vakje voor de maatregel te klikken om aan te geven dat die maatregel van toepassing is/wordt ingezet/of anderszins geldt voor het werkproces waarvoor de DPIA wordt uitgevoerd. Wanneer er beveiligingsmaatregelen van toepassing zijn, maar die niet in één van de opsommingen staan, is het mogelijk om die toe te voegen op een plek waar nu [Eigen aanvulling] staat. Het is nuttig om ook beleidstukken of richtlijnen van de afdeling erbij te pakken om na te gaan welke maatregelen van toepassing zijn. Ook is advies om hierbij een Information Security Officer (ISO) te betrekken.

9.2 Beveiliging bij (sub)verwerkers#

[Geef per verwerker aan welke verwerkersovereenkomst is getekend en vul aan waar nodig]

[Vul in naam verwerker 1]

☐Verwerker heeft de VNG Standaard Verwerkersovereenkomst ondertekend. Hieronder staat Bijlage 2 van de getekende verwerkersovereenkomst

☐ Met verwerker is een andere verwerkersovereenkomst tot stand gekomen. In het tekstvak staan de belangrijkste beveiligingsmaatregelen

☐ Met verwerker is geen verwerkersovereenkomst afgesloten.

[Vul in naam verwerker 2]

☐Verwerker heeft de VNG Standaard Verwerkersovereenkomst ondertekend. Hieronder staat Bijlage 2 van de getekende verwerkersovereenkomst

☐ Met verwerker is een andere verwerkersovereenkomst tot stand gekomen. In het tekstvak staan de belangrijkste beveiligingsmaatregelen

☐ Met verwerker is geen verwerkersovereenkomst afgesloten.

[Vul in naam verwerker 3]

☐Verwerker heeft de VNG Standaard Verwerkersovereenkomst ondertekend. Hieronder staat Bijlage 2 van de getekende verwerkersovereenkomst

☐ Met verwerker is een andere verwerkersovereenkomst tot stand gekomen. In het tekstvak staan de belangrijkste beveiligingsmaatregelen

☐ Met verwerker is geen verwerkersovereenkomst afgesloten.

Naast dat de gemeente persoonsgegevens goed moet beveiligen, verwacht de gemeente dit ook van (sub)verwerkers die zij inschakelt.

In deze paragraaf moeten de verschillende verwerkers worden beschreven (gebruik hiervoor paragraaf 3.1) en de beveiligingsmaatregelen die zij (moeten) treffen. De beveiligingsmaatregelen staan vaak beschreven in de (verwerkers)overeenkomst die de gemeente heeft gesloten met deze partij. Omdat de gemeente gewoonlijk de algemene VNG standaard-verwerkersovereenkomst hanteert, kan worden aangevinkt dat deze overeenkomst is gesloten met de betreffende verwerker (de externe partij). Als dat zo is, dan moet Bijlage 2 van die overeenkomst worden opgezocht en overgenomen (geplakt worden) in deze paragraaf. In Bijlage 2 van die overeenkomst wordt namelijk beschreven welke (beveiligings)maatregelen de verwerker en de gemeente zijn overeengekomen.

Wanneer de externe partij en de gemeente de VNG standaard-verwerkersovereenkomst niet hebben afgesloten, dan dient uitvoeriger beschreven te worden wat de partijen zijn overeengekomen met betrekking tot beveiliging van persoonsgegevens. Hiervoor kan het tekstvak worden gebruikt.

Transparantie#

10.1 Gebruikte technieken#

[Beschrijf in onderstaande tabel of er gebruik wordt gemaakt van algoritmes, artificial intelligence, profilering en automatische besluitvorming]

In de tabel moet worden beschreven hoe de gemeente omgaat met bepaalde (nieuwe) technieken, tools en processen. Als sprake is van een algoritme of artificial intelligence binnen het werkproces dan dient uitgebreid aangegeven te worden hoe en waarom dit wordt toegepast binnen de verschillende stappen van het werkproces.

De diverse termen uit de tabel staan uitgelegd in het hoofdstuk “Begrippen”. De betrokken Privacy Officer kan daarnaast om hulp worden gevraagd bij het beoordelen of een specifieke techniek van toepassing is en wat er vervolgens beschreven moet worden in de tabel.

Transparantie richting betrokkenen#

[Beschrijf in de tabel op welke wijze betrokkenen geïnformeerd worden over dit werkproces en hoe de afhandeling van verzoeken in het kader van rechten van betrokkenen geregeld is; verwijder of pas de vooraf ingevulde tekst eventueel aan]

In de tabel moet toelichting worden gegeven op de manier van uitoefening van de transparantieplicht van de gemeente. Vooraf zijn enkele regels ingevuld, deze zijn in bijna ieder proces van de gemeente van toepassing, maar dit hoeft niet zo te zijn. Het is de bedoeling om het werkproces goed door te lichten en te beoordelen of de vooraf ingevulde tekst volstaat of dat een toevoeging of vervangende tekst nodig is.

Verzoeken van betrokkenen betreffen vragen of specifieke verzoeken door de personen van wie persoonsgegevens worden verwerkt binnen het werkproces (meestal inwoners, maar dit kunnen ook bijvoorbeeld collega’s zijn) en zien op het uitoefenen van enkele rechten die deze betrokkenen hebben:

• Het recht op inzage: soms hebben betrokkenen het recht om inzage te krijgen in de persoonsgegevens die de gemeente van hen verwerkt.

• Het recht op verwijdering: soms kunnen (bepaalde) gegevens over de betrokkenen (op verzoek) worden verwijderd);

• Het recht op rectificatie: wanneer bepaalde gegevens niet correct of onvolledig in databases of systemen van de gemeente staan, dan kan de betrokkene vragen om dit te (laten) wijzigen);

• Het recht op beperking van de verwerking: soms mogen betrokkenen eisen dat de verwerking van diens persoonsgegevens (tijdelijk) wordt stopgezet);

• Het recht op overdraagbaarheid van gegevens: betrokkenen mogen vragen om (delen van) ‘hun’ persoonsgegevens over te laten dragen aan een andere partij, zoals bijvoorbeeld een andere gemeente);

• Het recht van bezwaar: de betrokkene kan bezwaar maken tegen verwerking van ‘diens’ persoonsgegevens, om zo de verwerking stop te laten zetten);

• Het recht om niet te worden onderworpen aan een op geautomatiseerde verwerking gebaseerd besluit (zie hiervoor ook de toelichting in paragraaf 10.1: besluiten met rechtsgevolgen gebaseerd hierop zijn verboden en dit is dus als recht opgenomen in de AVG).

11 Risico’s#

Met de verwerking (het werkproces) worden bepaalde risico’s gelopen. Dit zijn risico’s die de gemeente loopt en risico’s die de betrokkenen (de inwoners, werknemers, etc.) lopen. In hoofdstuk 11 moeten deze risico’s zo uitvoerig mogelijk worden beschreven en beoordeeld. Een risico wordt geduid als KANS x IMPACT; dat wil zeggen dat de risicoclassificatie een waarde krijgt beoordeeld op de kans dat een risico gaat plaatsvinden binnen of naar aanleiding van het werkproces afgewogen tegen het gevolg van dat risico (de ‘impact’ die het plaatsvinden van dat risico teweegbrengt). Wanneer het bijvoorbeeld onwaarschijnlijk is dat iets gaat plaatsvinden, maar de gevolgen wanneer het toch plaatsvindt enorm zijn, dan wordt dit risico geschat op een waarde van ‘Midden’ (oftewel een middelhoog risico).

Voor dit onderdeel van de DPIA is bijzondere privacy (en juridische) expertise vereist. Het is aanbevolen om dit hoofdstuk samen of in goed overleg met de betrokken Privacy Officer in te vullen.

11.1 Betrokkenen#

[Vul de tabel hieronder aan met de privacyrisico’s die betrokkenen lopen binnen dit werkproces, en verwijder of pas de vooraf in de tabel ingevulde voorbeelden aan wanneer die niet van toepassing zijn]

In de tabel hierboven worden de risico’s benoemd die betrokkenen binnen of naar aanleiding van het werkproces lopen. Hierboven zijn enkele voorbeelden ingevuld.

Risico’s voor betrokkenen bestaan vooral uit:

• Een datalek (zoals: onbevoegde inzage in een systeem door een hacker of zelfs door een collega; het verkeerd verzenden van een brief of e-mail; het kwijtraken of vernietigen van een belangrijk dossier; of het laten slingeren van een USB-stick met allerlei persoonsgegevens binnen het werkproces) brengt nadelige gevolgen voor de betrokkenen teweeg;

• Er is iets niet goed geregeld binnen een betrokken afdeling of binnen het werkproces zelf (zoals het ontbreken van een proces om rechten van betrokkenen af te handelen; of het ontbreken of niet-naleven van bewaartermijnen);

Geef specifiek in de kolom ‘Beschrijving risico’ aan wat het risico inhoudt, hoe het tot uiting zou kunnen komen en wat het gevolg is of kan zijn. Beschrijf dus ook hoe het risico kan ontstaan; als er binnen het werkproces wordt gewerkt met e-mail en er is geen tweede paar ogen of extra controle ingebouwd in het proces om te kijken naar de juiste aanhef of adressering van een mail, dan kan het voorkomen dat de collega die de mail verzendt, dit naar de verkeerde doet – er is dan zeer waarschijnlijk sprake van een datalek. De oorzaak is dan het ontbreken van een controle op het juist verzenden van e-mails. Het is eveneens mogelijk dat er meerdere oorzaken zijn binnen het werkproces die tot een bepaald risico leiden. Wanneer er geen controle is op het juist verzenden van mails én er wordt niet gewerkt met een beveiligd mailprogramma zoals beveiligde mail, dan zijn er twee mogelijke oorzaken voor het ontstaan van een datalek – geef dit ook apart aan in de toelichting.

Let op: het gaat hier in principe om risico’s die betrokkenen lopen binnen of naar aanleiding van het werkproces. Een risico kan echter worden overgenomen in de tabel hieronder, wanneer het eveneens een risico voor de gemeente betreft. Zo kan een datalek tot gevolg hebben dat de betrokkenen reputatieschade oplopen, maar de gemeente ook. In dat geval is het wijs om de regel te kopiëren naar de tabel hieronder en de tekst waar nodig aan te passen.

11.2 Gemeente [aanvullen]#

[Vul de tabel hieronder aan met de privacyrisico’s die de gemeente loopt binnen dit werkproces, en verwijder of pas de vooraf in de tabel ingevulde voorbeelden aan wanneer die niet van toepassing zijn]

In de tabel hierboven worden de risico’s benoemd die de gemeente binnen of naar aanleiding van het werkproces loopt. Er zijn enkele risico’s vooraf ingevuld, wanneer deze niet van toepassing zijn of als de beschrijving niet helemaal overeenkomt met het specifieke werkproces, is dat makkelijk aan te passen. Er dient ook bij deze vooraf ingevulde risico’s nog een beoordeling voor de risicoclassificatie plaats te vinden. Wanneer sprake is van meer risico’s, dan kan de tabel worden uitgebreid.

Het gaat bij risico’s voor de gemeente vooral om:

• Het ontbreken van overeenkomsten met externe partijen;

• Niet of onvoldoende informatie verstrekken aan de betrokkenen;

• Het ontbreken van bepaalde werkprocessen of handelswijzen;

• Het niet voldoen aan eisen uit de AVG.

Geef specifiek in de kolom ‘Beschrijving risico’ aan wat het risico inhoudt, hoe het tot uiting zou kunnen komen en wat het gevolg is of kan zijn. Het is mogelijk dat er meerdere oorzaken zijn binnen het werkproces die tot een bepaald risico leiden. Wanneer er geen controle is op het juist verzenden van mails, en er wordt ook niet gewerkt met een beveiligd mailprogramma, dan zijn er twee mogelijke oorzaken voor het ontstaan van een datalek – geef dit ook apart aan in de toelichting.

Let op: het gaat hier om risico’s die de gemeente loopt binnen of naar aanleiding van het werkproces. Een risico kan echter worden overgenomen in de tabel hierboven, wanneer het eveneens een risico voor de betrokkenen betreft. Zo kan een datalek tot gevolg hebben dat de gemeente reputatieschade oploopt, maar de betrokkenen ook. In dat geval is het wijs om de regel te kopiëren naar de tabel hierboven en de tekst waar nodig aan te passen.

11.3 Risicoclassificatie werkproces#

[Selecteer en sleep de ‘X’ naar de juiste plek in de risicomatrix hieronder om het totale risico van het werkproces aan te geven. Het gaat om de classificatie van de som van alle beschreven risico’s binnen het werkproces vóór het opvolgen en implementeren van de beheersmaatregelen. Om een juiste risicoscore aan het werkproces toe te kennen kan overleg plaatsvinden met de privacycoördinator]

In de bovenstaande ‘matrix’ moet de risicoclassificatie van het gehele werkproces worden geplot. Dit is de totale risicoclassificatie van alle risico’s die zijn gesignaleerd in de vorige twee paragrafen. Hiervoor kan de grote ‘X’ uit het vak worden gesleept naar een vakje in de matrix. Wanneer het werkproces bijvoorbeeld slechts twee risico’s bevat; één geclassificeerd als ‘hoog’ voor de betrokkenen en eentje geclassificeerd als ‘laag’ voor de gemeente zelf, dan moet de X worden geplaatst in het vak rechts onderin (vak C1/1C). De meeste werkprocessen zullen echter veel meer risico’s bevatten, hiervoor komt dan iets meer rekenwerk om de hoek kijken.

Het is belangrijk om te onthouden dat het risico dat wordt weergegeven in deze matrix ziet op het totale risicoplaatje van het gehele werkproces voordat er maatregelen zijn genomen om de gesignaleerde risico’s te verkleinen (mitigeren). Het betreft dus een momentopname ten tijde van het invullen van de DPIA. De maatregelen die worden beschreven in de paragraaf hierna gaan dat totale risico – als het goed is – (flink) verkleinen.

11.4 Beheersmaatregelen#

[Vul per gesignaleerd risico onderstaande tabel verder in]

De beheersmaatregelen geven aan wat er gedaan kan worden om de hiervoor in paragrafen 11.1 en 11.2 gesignaleerde risico’s te verkleinen of zelfs helemaal weg te nemen. De risico’s uit de tabellen van paragraaf 11.1 en paragraaf 11.2 corresponderen met de rijen in bovengenoemde tabel. Als bijvoorbeeld het allereerste beschreven risico in paragraaf 11.1 beschrijft dat er geen procedure is om rechten van betrokkenen uit te voeren of op te volgen, en waarbij de risicoclassificatie ‘Midden’ is – dan wordt in bovenstaande tabel op de eerste regel bij risiconummer 1 ook aangegeven dat de risicoclassificatie ‘Midden’ is.

De te treffen beheersmaatregel om in te vullen in de volgende kolom op de eerste rij kan dan bijvoorbeeld iets zijn als “Een procedure opstellen voor de afdeling voor het afhandelen van rechten van betrokkenen”. Wanneer meerdere maatregelen moeten (of kunnen) worden genomen om het risico te verkleinen, dan moet dat uiteraard allemaal worden beschreven in de bijpassende rij binnen kolom ‘Te treffen beheersmaatregelen’ – dat kan bijvoorbeeld worden gescheiden door puntkomma’s te gebruiken na iedere maatregel, of om iedere maatregel op de volgende regel te beginnen (door op ‘enter’ te drukken binnen de rij). In het hiervoor beschreven voorbeeld zou als tweede maatregel voor de afdeling ook bijvoorbeeld “De opgestelde procedure om rechten van betrokkenen af te handelen onder medewerkers verspreiden en instructies geven zodat medewerkers bekend zijn met de nieuwe procedure”, kunnen worden beschreven in dezelfde rij bij risiconummer 1.

Beheersmaatregelen zijn dus eigenlijk acties die de organisatie of specifiek de betreffende afdeling waar het werkproces plaatsvindt kan nemen om bepaalde risico’s te verkleinen. Wanneer de beheersmaatregelen zijn beschreven in de derde kolom, dan kan in de vierde kolom een inschatting worden gegeven van het ‘restrisico’. Het restrisico is wederom de KANS x IMPACT die overblijft wanneer alle beschreven beheersmaatregelen worden uitgevoerd door de organisatie c.q. de betreffende afdeling (en waardoor de in paragrafen 11.1 en 11.2 beschreven risico’s worden verkleind).

Als de risicoclassificatie van risiconummer 1 op ‘Midden’ is gezet en er zijn twee duidelijke beheersmaatregelen die waarschijnlijk veel impact gaan opleveren beschreven, dan is de kans groot dat het risico – na het uitvoeren en implementeren van de beheersmaatregelen – kleiner is geworden of misschien zelfs helemaal is verdwenen. In de vierde kolom kan dan ‘Laag’ of misschien zelfs wel ‘Geen’ worden aangegeven. Het is verstandig om dit in overleg met de betrokken Privacy Officer te doen.

De vijfde kolom betreft de goedkeuring van de proceseigenaar. De proceseigenaar is verantwoordelijk voor het verloop van het werkproces, daarbij hoort ook het oppakken en (laten) uitvoeren van beheersmaatregelen. Het is de bedoeling dat de proceseigenaar in de vijfde kolom aangeeft of de beschreven risico’s door hem of haar worden geaccepteerd en of deze maatregelen dan ook gaan worden uitgevoerd. In de laatste kolom kan de procesexpert aangeven of een bepaalde maatregel al is of wordt opgepakt en uitgevoerd ten tijde van het uitvoeren van de DPIA. Veelal zijn de beschreven beheersmaatregelen nieuw en wordt hier dus ‘Nee’ aangekruist.

11.5 Restrisico#

In deze paragraaf wordt kort beschreven wat de conclusie is en wat het eindadvies omtrent (de voortgang van) het werkproces betreft. Beschrijf kort wat de restrisico’s zijn zoals beschreven in de voorgaande paragraaf en stem met de Privacy Officer af wat het advies is voor wat betreft de doorgang of de start van het werkproces. Zo kan het zijn dat de overgebleven risico’s na de te nemen maatregelen nog steeds te hoog zijn om een veilige en rechtmatige manier van werken te garanderen, waardoor een voorafgaande raadpleging (een advies) van de toezichthouder nodig is (de Autoriteit Persoonsgegevens).

Advies Functionaris Gegevensbescherming#

Ondertekening DPIA-rapportage#

13.1 Proceseigenaar#

[vink aan wat van toepassing is]

☐ De beschrijving van het werkproces is juist en volledig

☐ De belangrijkste organisatorische en technische oorzaken zijn in kaart gebracht

☐ De beschreven maatregelen mitigeren de risico’s voldoende

☐ De beschreven mitigerende maatregelen worden uitgevoerd en gereed gemeld bij

de Privacy Officer

13.2 Privacy Officer#

[vink aan wat van toepassing is]

☐ Mijn belangrijkste adviezen zijn meegenomen in deze DPIA

☐ Er is een kwaliteitscheck uitgevoerd op de DPIA

☐ De belangrijkste risico’s die een inbreuk op de rechten en vrijheden van betrokkenen kunnen hebben zijn in kaart gebracht

• De beschreven maatregelen mitigeren de risico’s:

☐ voldoende

☐ niet voldoende

☐ De FG dient een voorafgaande raadpleging bij de Autoriteit Persoonsgegevens te vragen

☐ De beschreven mitigerende maatregelen worden bewaakt en afgestemd met de Proceseigenaar

13.3 Functionaris Gegevensbescherming#

[vink aan wat van toepassing is]

☐ Mijn belangrijkste adviezen zijn meegenomen in deze DPIA

☐ De belangrijkste risico’s die een inbreuk op de rechten en vrijheden van betrokkenen

kunnen hebben zijn in kaart gebracht

• De beschreven maatregelen mitigeren de risico’s:

☐ voldoende

☐ niet voldoende

☐ Er dient door de verwerkingsverantwoordelijke om een voorafgaande raadpleging bij de AP verzocht te worden

☐ De vermelde restrisico’s zijn aanvaardbaar

☐ Ik stem in met de uitvoering van de in de rapportage genomen beheersmaatregelen

☐ De DPIA voldoet aan de eisen van de AVG en de aanvullende eisen van de EDPB

☐ Er is geen bezwaar om de genoemde verwerking uit te voeren

☐ De DPIA is goedgekeurd door de FG

Bijlage 1 – Uitgebreide procesbeschrijving#

[Let op: Bijlage 1 dient alleen ingevuld te worden bij uitgebreide en complexe processen en niet bij eenvoudige en korte processen, zie paragraaf 2.2]

Gegevensverwerking per stap

[Vul per stap in het werkproces de onderstaande tabel in, zodat een gedetailleerd inzicht wordt verkregen in de gegevensverwerking.

[Tabel kopiëren en plakken indien er sprake is van meer processtappen in het werkproces]