# Procedure privacy-overeenkomsten ## Afkortingen | Afkorting | Omschrijving | |---|---| | AVG | Algemene Verordening Gegevensbescherming | | Wpg | Wet Politiegegevens | | RvV | Register van Verwerkingen | | VMS | Verwerking Management Systeem | | PO | Privacy Officer | | (C)ISO | (Chief) Information Security Officer | | SLA | Service Level Agreement | | VWO | Verwerkersovereenkomst | | VNG | Vereniging van Nederlandse Gemeenten | ### Inleiding Binnen de regio hechten wij grote waarde aan juiste privacy overeenkomsten met verwerkers en andere partijen (hierna: leveranciers) om zo de privacy van onze inwoners te kunnen waarborgen en afspraken met de leverancier daarover scherp en inzichtelijk te hebben. Er zijn drie typen privacy overeenkomsten: - Verwerkersovereenkomst Als de gemeente een leverancier inschakelt die in opdracht van de gemeente persoonsgegevens verwerkt, moet in de meeste gevallen een verwerkersovereenkomst worden gesloten. Onze verwerkersovereenkomsten worden conform de Algemene Verordening Gegevensbescherming (AVG) opgesteld. Daarbij komt ook dat De Wet Politiegegevens (Wpg) hier zelfs nog strenger op toeziet, wegens de gevoelige aard van politiegegevens, en eist dat verwerkersovereenkomsten duidelijke afspraken bevatten over incidenten, de afhandeling daarvan én het periodiek controleren van de gemaakte afspraken. - Overeenkomst gezamenlijk verwerkingsverantwoordelijken In sommige gevallen is de gemeente gezamenlijk met een andere partij verantwoordelijk voor een gegevensverwerking. In die gevallen verplicht de AVG het sluiten van een overeenkomst gezamenlijk verwerkingsverantwoordelijken. In sommige gevallen wordt hier ook invulling aangegeven door het tekenen van een convenant. - Gegevensuitwisselingsovereenkomst Tot slot worden er in sommige gevallen persoonsgegevens uitgewisseld met een partij die zelfstandig verwerkingsverantwoordelijk wordt voor die persoonsgegevens. In die gevallen is het afsluiten van een overeenkomst niet verplicht, maar in het kader van een zorgvuldige uitwisseling van persoonsgegevens wordt dit binnen de regio wel gedaan. Al deze typen overeenkomsten worden in deze procedure aangeduid als “privacy overeenkomst”. Om te zorgen dat de juiste privacy overeenkomst wordt gesloten is deze procedure opgesteld. ### Procedure In deze procedure zijn vijf stappen te onderscheiden, namelijk het ‘initiëren, bepalen rol en type overeenkomst’, ‘opstellen’, ‘reviewen’, ‘archiveren’ en ‘periodiek controleren’ van een privacy overeenkomst. ##### 1. Initiatie, bepalen rol en type overeenkomst Het maken van afspraken over de verwerking van persoonsgegevens is altijd onderdeel van een hoofdovereenkomst (contract), welke is of wordt afgesloten met de partij waarmee wordt samengewerkt. De procesbeheerder of proceseigenaar stelt vast of het maken van afspraken met derden omtrent de verwerking van persoonsgegevens verplicht is. Om te bepalen welke overeenkomst gesloten moet worden, moeten de rollen van iedere partij worden bepaald. In de AVG zijn namelijk verschillende rollen beschreven: - Verwerkingsverantwoordelijke - Verwerker - Gezamenlijk verwerkingsverantwoordelijk. Dit kan de proceseigenaar doen aan de hand van het stroomschema in bijlage 1. Als de proceseigenaar er niet uitkomt kan de Privacy Officer worden benaderd. Als de rollen duidelijk zijn, is ook duidelijk welk type overeenkomst gesloten moet worden: - Als de leverancier verwerker is van de gemeente moet een Verwerkersovereenkomst worden gesloten; - Als de leverancier gezamenlijk verwerkingsverantwoordelijk is met de gemeente moet een Overeenkomst gezamenlijke verwerkingsverantwoordelijken worden gesloten; - Als de leverancier zelfstandig verwerkingsverantwoordelijk is moet er een gegevensuitwisselingsovereenkomst worden getekend. Voor de templates wordt altijd aangesloten bij de standaarden vanuit de VNG. Deze nieuste versies van deze sjablonen zijn te vinden op de interne privacysite. Het team IB&P zorgt voor de meest recente sjablonen op de externe Sharepoint pagina, zodat iedereen daarbij kan. Eventuele wijzigingen worden op deze manier direct bij de bron toegepast, zodat iedereen met de laatste versie(s) werkt. ##### 2. Opstellen De proceseigenaar of procesbeheerder vult het document voor zover mogelijk in en stuurt het sjabloon naar de leverancier en vraagt deze verder in te vullen. Dat geldt met name voor bijlage 1 en 2. Het uitgangspunt is dat er niet wordt afgeweken van de bepalingen in het sjabloon. Als de leverancier toch wil afwijken betrekt de proceseigenaar/ procesbeheerder de Privacy Officer. ##### 3. Review Nadat het sjabloon is ingevuld zorgt dat proceseigenaar/ procesbeheerder ervoor dat er een inhoudelijke toets door het team IB&P wordt gedaan. De proceseigenaar stuurt het document ter review door aan het team IB&P. De Privacy Officer beoordeelt de inhoud van de volledige privacy overeenkomst. De ISO beoordeelt of dat wat is opgenomen in bijlage 2 voldoende is. Op- en aanmerkingen worden teruggekoppeld aan de proceseigenaar/ procesbeheerder, die dat vervolgens zelf doorvoert of laat doorvoeren. Vervolgens wordt alles naar de leverancier gestuurd voor een laatste review. Wanneer deze geen op- of aanmerkingen heeft wordt de overeenkomst door de leverancier geaccordeerd en ondertekend. Vervolgens wordt de getekende versie naar de proceseigenaar/ procesbeheerder gestuurd die op zijn beurt deze laat accorderen en ondertekenen door de afdelingsmanager of dit zelf doet als hij/zij gemandateerd is. De afdelingsmanager is eindverantwoordelijk voor de bescherming van persoonsgegevens op de afdeling. ##### 4. Archiveren. De getekende versie moet worden opgeslagen in het contractbeheersysteem. De proceseigenaar stuurt de ondertekende versie naar de afdeling contractadvies en Inkoopadministratie, zodat zij de privacy overeenkomst in het contractbeheersysteem zetten. Vervolgens wordt er door de proceseigenaar/ procesbeheerder een kopie gestuurd naar de leverancier en zorgt de proceseigenaar/ procesbeheerder in samenspraak met de Privacy Officer ervoor dat de verwerking ook wordt toegevoegd dan wel geactualiseerd in het register van verwerkingen. ##### 5. Periodieke controle Het periodiek controleren , in de vorm van een audit of fysieke afspraak, van het nakomen van afspraken in de privacy overeenkomst is van groot belang. Enerzijds om te waarborgen dat de verwerking van persoonsgegevens bij de leverancier in goede handen is en deze de bescherming van persoonsgegevens serieus neemt, maar ook om afspraken te controleren hoe er wordt omgegaan met incidenten én hoe wij bij de afhandeling betrokken worden. Periodieke controle verwerker ------------------------------------------------------------------------------------------------------------------------------------ Artikel 4 uit de Standaard-Verwerkersovereenkomst Gemeenten zegt: 4.2 Verwerker verleent alle benodigde medewerking aan audits over de nakoming van de afspraken binnen deze Verwerkersovereenkomst en Bijlagen, tenzij Verwerker door middel van certificering heeft aangetoond dat Verwerker de gemaakte afspraken nakomt. De kosten van deze controle worden gedragen door Verwerkingsverantwoordelijke (zowel eigen kosten als kosten van Verwerker), tenzij de auditor één of meer tekortkomingen van niet ondergeschikte aard van Verwerker constateert die ten nadele zijn van Verwerkingsverantwoordelijke Artikel 5 uit de Standaard-Verwerkersovereenkomst Gemeente zegt: 5.1 Verwerker zal Verwerkingsverantwoordelijke zo snel mogelijk, maar uiterlijk binnen 24 uur, informeren na vaststelling van een (vermoedelijke) Inbreuk in verband met Persoonsgegevens. Verwerker vermeldt hierbij voor zover bekend de vermeende oorzaak van de (vermoedelijke) Inbreuk, de categorie persoonsgegevens, de categorie betrokkenen en het aantal betrokkenen. 5.2 In geval van een Inbreuk neemt Verwerker zo snel mogelijk alle maatregelen om de Inbreuk te herstellen, de gevolgen daarvan te beperken en verdere Inbreuken te voorkomen. 5.3 Verwerker heeft een gedetailleerd logboek van de Inbreuken en de maatregelen die op Inbreuken gelden. 5.4. Verwerkingsverantwoordelijke beslist of de Inbreuk moet worden gemeld bij de toezichthoudende autoriteit en/of Betrokkene. Verwerker ondersteunt de Verwerkingsverantwoordelijke waar nodig bij de melding aan de toezichthoudende autoriteit en/of Betrokkene. ------------------------------------------------------------------------------------------------------------------------------------Als een verwerker hierin voorziet in de hiervoor genoemde schriftelijke verklaringen en waarborgen, en wij dit hebben vastgesteld, dan kunnen wij er in beginsel vanuit gaan dat de verwerking van persoonsgegevens bij de verwerker in goede handen is. Wij hebben dus het recht om een audit uit te (laten) voeren, tenzij Verwerker door middel van certificering heeft aangetoond dat Verwerker de gemaakte afspraken nakomt. Maar aangeraden wordt om minimaal één keer per jaar bij elke verwerker langs te gaan om de gemaakte afspraken te bespreken. Wat gaat er goed? Wat kan er beter? Waar moet op gelet worden? Dit is een vruchtbare manier om de samenwerking te intensiveren. Mochten zaken wijzigen, die niet standaard in de verwerkersovereenkomst opgenomen zijn, zullen deze als SLA of addendum bij de hoofdovereenkomst opgenomen moeten worden. Dat geldt ook voor de logging van incidenten. Aangeraden wordt om met de verwerker te bespreken hoe deze omgaat met de maatregelen om mogelijk incidenten te mitigeren, wat de procedure is bij mogelijke incidenten, hoe wij als gemeente daarvan op de hoogte wordt gebracht, wat de verwerker doet om mogelijke incidenten op te lossen en hoe de regio ook daarbij betrokken wordt. Afspraken hierover, die niet standaard opgenomen zijn, zullen als SLA of addendum bij de hoofdovereenkomst opgenomen moeten worden. De proceseigenaar documenteert de controle in een verslag en voegt dit aan het dossier van de verwerker in het contractbeheersysteem. Dit kan tevens ook actiepunten aan de kant van de verwerker bevatten, waar de verwerker ons van op de hoogte dient te houden qua voortgang. Zo maken wij alles inzichtelijk, maar belangrijker nog hebben wij mogelijke risico’s scherp en kunnen wij daar, samen met de verwerker, sneller op schakelen. ### Rollen en verantwoordelijkheden | # | Stap | Activiteit | Verantwoordelijkheden | | |---|---|---|---|---| | 1 | Initiatie | De proseigenaar initieert het opstellen van de overeenkomst met de leverancier en bepaald het type van de overeenkomst. | R | Procesbeheerder | | | | | A | Proceseigenaar | | | | | C | PO / Juridische zaken | | | | | I | | | 2 | Opstellen | De proceseigenaar draagt zorg voor het juiste type sjabloon en vult deze in samen met de leverancier | R | Procesbeheerder | | | | | A | Proceseigenaar | | | | | C | Privacy Officer | | | | | I | Derde partij | | 3 | Reviewen | Wanneer de overeenkomst opgesteld is zal de proceseigenaar ter review aanbieden bij de PO. Uitgangspunt is om in alle gevallen de bovengenoemde sjablonen te hanteren. Indien leverancier hiervan wenst af te wijken wordt geadviseerd de PO in te schakelen. | R | Privacy Officer | | | | | A | Procesbeheerder | | | | | C | Juridisch zaken , PO, ISO | | | | | I | | | 4 | Archiveren | Nadat de overeenkomst is getekend dient deze door contractbeheer in het contractbeheersysteem gearchiveerd te worden. De proceseigenaar stuurt hiervoor de ondertekende versie naar contractbeheer. | R | Procesbeheerder: sturen privacy overeenkomst naar contractadvies en Inkoopadministratie Contractadvies en Inkoopadministratie: opslaan privacy overeenkomst in het contractbeheersysteem | | | | | A | Proceseigenaar | | | | | C | | | | | | I | | | 5 | Controleren | Procesbeheerder is verantwoordelijk voor de controle of leverancier gemaakte afspraken in de overeenkomst nakomt. Wanneer daar iets in wijzigt dient dit in een nieuwe overeenkomst te worden vastgelegd en moet de PO hiervan op de hoogte worden gesteld. | R | Procesbeheerder | | | | | A | Proceseigenaar | | | | | C | Verwerker | | | | | I | PO | ### Extra checklist bij Wpg verwerkersovereenkomsten Als aanvulling op het bestaande format van de VNG is het verstandig om de volgende checklist te hanteren bij Wpg verwerkingen. Geef aan of in de afgesloten VWO het volgende is opgenomen. - Inbreuken op de beveiliging moet door de verwerker aan de verwerkingsverantwoordelijke worden gemeld. Daarbij moet aangegeven worden hoe de verwerker denkt dit te verhelpen, wat de mitigerende maatregelen zijn en hoe de verwerkingsverantwoordelijke op de hoogte wordt gehouden van de afhandeling; - Afdoende garanties over de toereikendheid van de geïmplementeerde technische en organisatorische maatregelen; - Een andere partij, die wordt ingeschakeld bij de uitvoering van de verwerking, kan uitsluitend met toestemming van de verwerkingsverantwoordelijke worden ingezet; - Indien dit het geval is zijn de gemaakte afspraken met de verwerker ook direct van toepassing op de subverwerker; - De verwerker stelt alle informatie ter beschikking aan de verwerkersverantwoordelijk die nodig is om aantoonbaar te maken dat de verplichtingen in de verwerkersovereenkomst worden nageleefd. - Dat de verwerker aangeeft in hoeverre (en op welke manier) hij de contractuele eisen naleeft - Afspraken omtrent de controle van afspraken en contractuele eisen en hoe eventuele wijzigingen en of aanvullingen doorgevoerd worden. ### Bijlage 1: stroomschema bepalen rol Beoordeling gezamenlijke verwerkingsverantwoordelijken