Procedure privacy-eisen bij een nieuwe verwerking of project

Onderdeel van Privacy-eisen bij een nieuw proces, project, aanbesteding of website · Markdown-bron

Afkortingen#

Afkorting	Omschrijving
BSN	Burgerservicenummer
DPIA	Data Protection Impact Assessment
RvV	Register van verwerkingen

Waar gebruik je deze procedure voor?

Soms is het voor een proceseigenaar of projectleider moeilijk in te schatten aan welke privacy eisen je moet voldoen. In veel gevallen gelden een aantal standaard eisen uit de AVG. In dit document vind je voor drie situaties een stappenplan hoe je aan de AVG voldoet. Dit is uitgewerkt voor:

Een nieuw proces. Dit wil zeggen dat je een nieuwe activiteit begint. Bijvoorbeeld het houden van een onderzoek of het versturen van een nieuwsbrief.
Een wijziging in een proces. Dit wil zeggen dat een bestaande activiteit wijzigt. Bijvoorbeeld dat je gebruik maakt van een andere partij die bepaalde werkzaamheden uitvoert of dat je meer gegevens gaat vastleggen.
Een nieuw project. Als je een project start gelden ook bepaalde eisen vanuit privacy. Die vind je terug in het laatste stappenplan.

Start je een aanbesteding? Dan is er vanuit privacy een standaardset aan eisen. Dit is vastgelegd in een andere procedure.

Stappenplan NIEUW proces

Start je met een nog niet bestaand proces binnen de gemeente? Volg dan dit stappenplan.

#	Stap	Beschrijving stap	Gemiddelde doorlooptijd	Meer info
1	Persoonsgegevens?	Worden er in het proces persoonsgegevens gebruikt? Een persoonsgegeven is alle informatie die iets zegt of kan zeggen over een mens. Bijvoorbeeld een naam, kenteken, bankrekeningnummer of BSN. Aan de hand van een persoonsgegeven kun je iemand identificeren ofwel herkennen. Antwoord ‘Ja’? Ga door naar stap 2. Antwoord ‘Nee’? Verder geen actie vereist vanuit privacy.	5 minuten	intranet
2	Data Protection Impact Assessment (DPIA)	Een DPIA is een vragenlijst om in kaart te brengen of er privacyrisico’s zijn. Ook worden er in de DPIA maatregelen opgenomen om de privacyrisico’s weg te nemen. In sommige gevallen is het uitvoeren van een DPIA wettelijk verplicht. Namelijk als er in het proces waarschijnlijk een hoog privacy risico zit. Twijfel je of een DPIA verplicht is? Dan kun je een pre-DPIA invullen. Dit is een vragenlijst op basis waarvan de Privacy Officer adviseert of een DPIA verplicht is. Is een DPIA niet verplicht? Dan moet je nog steeds aan de eisen uit de AVG voldoen. Zo mag je alleen persoonsgegevens gebruiken als dit rechtmatig is, mag je niet meer persoonsgegevens vastleggen dan je nodig hebt en mag je persoonsgegevens niet langer bewaren dan je die nodig hebt. Twijfel je hierover? Neem dan contact op met de Privacy Officers.	2-4 maanden	intranet
3	Privacy overeenkomst	Worden persoonsgegevens uitgewisseld met een andere partij? Dan is het ook nodig om een privacy overeenkomst te sluiten. We kennen hier verschillende varianten van, bijvoorbeeld een verwerkersovereenkomst. Op de intranetpagina lees je meer informatie over de typen privacy overeenkomsten. Ook vind je op die pagina de sjablonen en nog extra toelichting bij de sjablonen. Deze vind je helemaal onderaan deze intranetpagina.	1 maand	intranet
4	Register van verwerkingen	Alle taken/ processen binnen de gemeente waarbij persoonsgegevens worden gebruikt moeten worden opgenomen in het Register van Verwerkingen (RvV). Op deze intranetpagina lees je hier meer over.	30 minuten	intranet
5	Aan de slag!	Je voldoet nu aan de privacy eisen! Je kunt dus starten met het proces.
6	Periodieke controles	Het is belangrijk om periodiek te controleren of de documenten van stap 2 tot en met 4 nog kloppen. Is er bijvoorbeeld iets veranderd? Of gebruik je andere persoonsgegevens of applicatie? Dan kan dit gevolgen hebben voor de DPIA, privacy overeenkomst of register van verwerkingen. Controleer, minimaal: 1x per 3 jaar of de DPIA nog klopt; 1x per jaar of de privacy overeenkomst nog klopt; en 2x per jaar of het register van verwerkingen nog klopt.

Stappenplan WIJZIGING proces

Verander je iets in een bestaand proces binnen de gemeente? Bijvoorbeeld dat je met een andere partij gaat samenwerken of meer gegevens vastlegt? Volg dat dit stappenplan.

#	Stap	Beschrijving stap	Gemiddelde doorlooptijd	Meer info
1	Persoonsgegevens?	Worden er in het proces persoonsgegevens gebruikt? Een persoonsgegeven is alle informatie die iets zegt of kan zeggen over een mens. Bijvoorbeeld een naam, kenteken, bankrekeningnummer of BSN. Aan de hand van een persoonsgegeven kun je iemand identificeren ofwel herkennen. Antwoord ‘Ja’? Ga door naar stap 2. Antwoord ‘Nee’? Verder geen actie vereist vanuit privacy.	5 minuten	intranet
2	Data Protection Impact Assessment (DPIA)	Een DPIA is een vragenlijst om in kaart te brengen of er privacyrisico’s zijn. Ook worden er in de DPIA maatregelen opgenomen om de privacyrisico’s weg te nemen. In sommige gevallen is het uitvoeren van een DPIA wettelijk verplicht. Namelijk als er in het proces waarschijnlijk een hoog privacy risico zit. Het kan zijn dat er een eerder een DPIA is uitgevoerd. Op het moment dat er wijzigingen zijn, moet die DPIA opnieuw worden bekeken. Twijfel je of een DPIA verplicht is? Dan kun je een pre-DPIA invullen. Dit is een vragenlijst op basis waarvan de Privacy Officer adviseert of een DPIA verplicht is. Is een DPIA niet verplicht? Dan moet je nog steeds aan de eisen uit de AVG voldoen. Zo mag je alleen persoonsgegevens gebruiken als dit rechtmatig is, mag je niet meer persoonsgegevens vastleggen dan je nodig hebt en mag je persoonsgegevens niet langer bewaren dan je die nodig hebt. Twijfel je hierover? Neem dan contact op met de Privacy Officers.	2-4 maanden	intranet
3	Privacy overeenkomst	Worden persoonsgegevens uitgewisseld met een andere partij? Dan is het ook nodig om een privacy overeenkomst te sluiten. We kennen hier verschillende varianten van. Op de intranetpagina lees je meer informatie over de typen privacy overeenkomsten. Ook vind je op die pagina de sjablonen en nog extra toelichting bij de sjablonen. Deze vind je helemaal onderaan deze intranetpagina. Het kan zijn dat er al een privacy overeenkomst is gesloten. Controleer bij een wijziging in het proces of deze privacy overeenkomst nog volledig is. Is dat niet het geval? Dan moet je een nieuwe privacy overeenkomst sluiten.	1 maand	intranet
4	Register van verwerkingen	Alle taken/ processen binnen de gemeente waarbij persoonsgegevens worden gebruikt moeten worden opgenomen in het Register van Verwerkingen (RvV). Op de intranetpagina lees je hier meer over. Staat dit proces al in het register van verwerkingen? Dan moet je het register actualiseren bij een wijziging. Op deze intranetpagina lees je hier meer over.	30 minuten	intranet
5	Aan de slag!	Je voldoet nu aan de privacy eisen! Je kunt dus starten met het proces.
6	Periodieke controles	Het is belangrijk om periodiek te controleren of de documenten van stap 2 tot en met 4 nog kloppen. Is er bijvoorbeeld iets veranderd? Of gebruik je andere persoonsgegevens of applicatie? Dan kan dit gevolgen hebben voor de DPIA, privacy overeenkomst of register van verwerkingen. Controleer, minimaal: 1x per 3 jaar of de DPIA nog klopt; 1x per jaar of de privacy overeenkomst nog klopt; en 2x per jaar of het register van verwerkingen nog klopt.

Stappenplan NIEUW project

Start je een nieuw project? Dan gelden er vanuit privacy ook een aantal eisen. Hieronder vind je een stappenplan dat hierbij helpt.

#	Stap	Beschrijving stap	Gemiddelde doorlooptijd	Meer info
1	Persoonsgegevens?	Zullen er voor dit project persoonsgegevens worden gebruikt? Met andere woorden spelen persoonsgegevens van mensen/burgers in dit project een rol? Een persoonsgegeven is alle informatie die iets zegt of kan zeggen over een mens. Bijvoorbeeld een naam, kenteken, bankrekeningnummer of BSN. Aan de hand van een persoonsgegeven kun je iemand identificeren ofwel herkennen. Antwoord ‘Ja’? Ga door naar stap 2. Antwoord ‘Nee’? Verder geen actie vereist vanuit privacy.	5 minuten	intranet
2	Data Protection Impact Assessment (DPIA)	Een DPIA is een vragenlijst om in kaart te brengen of er privacyrisico’s zijn. Ook worden er in de DPIA maatregelen opgenomen om de privacyrisico’s weg te nemen. In sommige gevallen is het uitvoeren van een DPIA wettelijk verplicht. Namelijk als er in het proces waarschijnlijk een hoog privacy risico zit. Twijfel je of een DPIA verplicht is? Dan kun je een pre-DPIA invullen. Dit is een vragenlijst op basis waarvan de Privacy Officer adviseert of een DPIA verplicht is. Is een DPIA niet verplicht? Dan moet je nog steeds aan de eisen uit de AVG voldoen. Zo mag je alleen persoonsgegevens gebruiken als dit rechtmatig is, mag je niet meer persoonsgegevens vastleggen dan je nodig hebt en mag je persoonsgegevens niet langer bewaren dan je die nodig hebt. Twijfel je hierover? Neem dan contact op met de Privacy Officers.	2-4 maanden, gedurende de testfase en voor de productiefase van een project	intranet
3	Privacy overeenkomst	Zullen er persoonsgegevens worden uitgewisseld met een andere partij voor het project? Dan is het ook nodig om een privacy overeenkomst te sluiten. Dit kan ook het geval zijn als de persoonsgegevens in een nieuwe applicatie zullen komen. We kennen hier verschillende varianten van, bijvoorbeeld een verwerkersovereenkomst. Op de intranetpagina lees je meer informatie over de typen privacy overeenkomsten. Ook vind je op die pagina de sjablonen en nog extra toelichting bij de sjablonen. Deze vind je helemaal onderaan deze intranetpagina.	1 maand, voordat persoons-gegevens worden uitgewisseld of in een nieuwe applicatie worden geladen	intranet
4	Register van verwerkingen	Alle taken/ processen/projecten binnen de gemeente waarbij persoonsgegevens worden gebruikt moeten worden opgenomen in het Register van Verwerkingen (RvV). Op deze intranetpagina lees je hier meer over.	30 minuten	intranet
5	Aan de slag!	Je voldoet nu aan de privacy eisen! Je kunt dus starten met het project.
6	Periodieke controles	Het is belangrijk om periodiek te controleren of de documenten van stap 2 tot en met 4 nog kloppen. Is er bijvoorbeeld iets veranderd binnen het project op het gebied van persoonsgegevens of is het project geëindigd? Of worden er andere persoonsgegevens of applicaties gebruikt? Dan kan dit gevolgen hebben voor de DPIA, privacy overeenkomst of register van verwerkingen. Controleer, minimaal: 1x per 3 jaar of de DPIA nog klopt; 1x per jaar of de privacy overeenkomst nog klopt; en 2x per jaar of het register van verwerkingen nog klopt.