# Toelichting bij de bijlagen van een privacy-overeenkomst

Bij de verschillende privacy overeenkomsten zitten bijlagen. In de bijlage wordt onder andere ingevuld welke persoonsgegevens worden uitgewisseld en hoe die persoonsgegevens worden beveiligd. Een persoonsgegeven is alle informatie die iets zegt of kan zeggen over een persoon. Omdat het belangrijk is om deze bijlage correct en volledig in te vullen is deze toelichting geschreven. In dit document vind je welke informatie moet worden ingevuld en worden bepaalde termen uitgelegd. Als alle bijlagen zijn ingevuld is het de bedoeling om het nog langs team IB&P te sturen, zodat zij een check kunnen doen. Zij kunnen bepalen of de andere partij voldoende beveiligingsmaatregelen neemt. Je kunt de overeenkomst opsturen via de Zelfservicesk

### Bijlage 1

Het advies is om bijlage 1 in te laten vullen door de leverancier. Zij kunnen namelijk vaak het beste de verschillende onderdelen invullen. Als ze er niet uitkomen kun je het samen invullen. In het vervolg van deze instructie wordt uitgelegd wat je per veld moet invullen.

#### Tabel 1

| 1. Naam verwerking: |  |  |
|---|---|---|
| 2. Verwerkingsdoeleinden | 3. Categorieën van betrokkenen | 4. Categorieën Persoonsgegevens |
| De doelen van de gegevensverwerking zijn: | Kruis aan indien van toepassing: ☐ Aanvrager ☐ Belanghebbenden ☐ Bestuurders/ Raadsleden ☐ Ambtenaren ☐ Website- bezoekers ☐ Personeel leverancier ☐ Scholieren ☐ Ouderen ☐ Gehandicapten ☐ Kinderen ☐ Burgers ☐ Anders, namelijk: | Kruis aan indien van toepassing: ☐ Voor- en achternaam ☐ E-mailadres ☐ Telefoonnummer ☐ Woonadres ☐ Geboortedatum ☐ Geslacht ☐ BSN ☐ Identificatienummer ☐ Nationaliteit ☐ Strafrechtelijke gegevens ☐ Kopie identiteitsbewijs ☐ Bankrekeningnummer ☐ Schulden ☐ Salarisgegevens ☐ Arbeidsrelatiegegevens ☐ Beeldmateriaal ☐ Locatiegegevens (gps) ☐ IP-adres ☐ Inloggegevens ☐ Ras of etnische afkomst ☐ Politieke opvattingen ☐ Religieuze of levensbeschouwelijke opvattingen ☐ Lidmaatschap vakbond ☐ Genetische gegevens ☐ Biometrische gegevens ☐ Gezondheidsgegevens ☐ Seksueel gedrag of seksuele gerichtheid ☐ Anders, namelijk: |
| 5. Is er sprake van doorgifte naar derde landen? | ☐ Nee. Je hoeft vraag 6 en 7 niet in te vullen. Als het antwoord ‘Ja’ is vul dan wel vraag 6 en 7 in deze tabel in. ☐ Ja, namelijk naar de volgende landen: |  |
| 6. Van welke doorgifte instrumenten wordt gebruikgemaakt? |  |  |
| 7. Welke aanvullende maatregelen worden genomen? (indien nodig) |  |  |

Hieronder volgt een toelichting op wat er per vraag moet worden ingevuld.

#### Toelichting tabel 1

- Naam verwerking

Beschrijf in een paar woorden wat de andere partij gaat doen.

- Verwerkingsdoeleinden

Geef aan waarom er bij die activiteit persoonsgegevens moeten worden verwerkt/ uitgewisseld. Het kan ook zijn dat er meerdere doelen zijn. Beschrijf het zo volledig mogelijk.

- Categorieën van betrokkenen

Geef aan van welke groepen personen persoonsgegevens worden verwerkt. Enkele voorbeelden zijn al ingevuld. Als die van toepassing zijn moeten ze worden aangekruist. Als er nog andere groepen betrokkenen zijn, voeg deze dan toe.

- Categorieën Persoonsgegevens

Geef aan welke persoonsgegevens worden verwerkt. Een persoonsgegeven is alle informatie die iets zegt of kan zeggen over een persoon. Enkele voorbeelden zijn al ingevuld. Als die van toepassing zijn moeten ze worden aangekruist. Als er nog andere persoonsgegevens worden verwerkt, voeg deze dan toe.

- Doorgifte naar derde landen

Met doorgifte naar derde landen wordt bedoeld of persoonsgegevens ook naar landen worden doorgegeven waar de AVG niet van toepassing is. De AVG is van toepassing op landen in de Europese Unie + nog enkele Europese landen die geen lid zijn van de Europese Unie.

De AVG is van toepassing in de volgende landen:

België, Bulgarije, Cyprus, Denemarken, Duitsland, Estland, Finland, Frankrijk, Griekenland, Hongarije, Ierland, IJsland, Italië, Kroatië, Letland, Liechtenstein, Litouwen, Luxemburg, Malta, Nederland, Noorwegen, Oostenrijk, Polen, Portugal, Roemenië, Slovenië, Slowakije, Spanje, Tsjechië, Zweden en Zwitserland.

Het uitgangspunt binnen de gemeente is om geen persoonsgegevens door te geven aan landen waar de AVG niet van toepassing is. Vul hier dus ‘nee’ in als er geen persoonsgegevens worden doorgegeven aan partijen die buiten Europa zijn gevestigd. Als dat wel het geval is betrek dan een Privacy Officer. De Privacy Officer zal verder adviseren over de kwestie. Je kunt een vraag stellen aan de Privacy Officers via de Zelfservicesk.

- Doorgifte instrument

Dit onderdeel is alleen van toepassing als er persoonsgegevens worden doorgegeven aan een partij buiten Europa (vraag 5). Als dat niet het geval is vul dan ‘n.v.t.’ in. Als dat wel het geval is, dan heb je als het goed is bij vraag 5 de Privacy Officer om advies gevraagd.

- Aanvullende maatregelen

Dit onderdeel is alleen van toepassing als er persoonsgegevens worden doorgegeven aan een partij buiten Europa (vraag 5). Als dat niet het geval is vul dan ‘n.v.t.’ in. Als dat wel het geval is, dan heb je als het goed is bij vraag 5 de Privacy Officer om advies gevraagd.

#### Tabel 2

Contactgegevens

| Contactpersoon Verwerkingsverantwoordelijke (NB: Ook buiten kantooruren) | Naam: Privacy Officer Contactgegevens: naam@voorbeeldgemeente.nl |
|---|---|
| Contactpersoon Verwerker (NB: Ook buiten kantooruren) | Naam: Contactgegevens: |
| Contactgegevens IBD | telefoonnummer: 070-204 55 11 e-mailadres : privacy@vng.nl |

Tabel 2 is in ons template al aangevuld met de informatie voor de gemeente (verwerkingsverantwoordelijke). De leverancier (verwerker), moet deze informatie nog wel aanvullen.

#### Tabel 3

Ingeschakelde subverwerkers

| Naam en contactgegevens subverwerker | KvK-nummer | Uitbestede verwerkingen | Toepassing |
|---|---|---|---|

Deze tabel moet ook worden ingevuld door de andere partij. Zij moeten aangeven of zij nog andere partijen inschakelen die ook onze persoonsgegevens verwerken. Bijvoorbeeld als zij een applicatie gebruiken waar onze persoonsgegevens in komen te staan. Of als zij bepaalde werkzaamheden weer uitbesteden aan een andere partij. In dat geval willen we graag weten waar onze persoonsgegevens allemaal blijven.

### Bijlage 2

In bijlage 2 geeft de leverancier aan welke beveiligingsmaatregelen ze nemen om de persoonsgegevens die ze namens ons verwerken te beschermen. Laat deze bijlage dus invullen door de leverancier. Het advies aan hen is om daarbij een Security Officer/ informatiebeveiliger of een Privacy Officer van hen mee te laten kijken. Het gaat om de volgende vragen:

- Heeft verwerker certificering waaruit blijkt dat persoonsgegevens voldoende worden beveiligd? (Denk aan ISO 27001) Indien ja, vul in om welke certificaten het gaat. Stuur de certificaten en verklaring van toepasselijkheid (VVT) ook mee met de verwerkersovereenkomst.

Er zijn verschillende instanties die certificaten uitgeven waarmee wordt aangetoond dat voldoende beveiligingsmaatregelen worden genomen. Voorbeelden hiervan zijn ISO27001, NEN7510

- Indien het antwoord op vraag 1 ‘Ja’ is: is dat certificaat ook van toepassing op het systeem waarin de persoonsgegevens van Verwerkingsverantwoordelijke worden verwerkt?

Een certificaat is vaak van toepassing op een applicatie of een deel van de organisatie. Is het certificaat ook van toepassing op de persoonsgegevens die de verwerker van ons verwerkt?

- Indien het antwoord op vraag 1 ‘Nee’ is: Werkt leverancier volgens bepaalde erkende normen? Bijvoorbeeld de BIO. Zo ja, geef aan welke.

Soms komt het voor dat een verwerker geen certificering heeft, maar wel volgens bepaalde normen werkt. Veel overheidsinstanties werken bijvoorbeeld volgens de BIO.

…………………………………………………………………………………………………….

- Deze vraag alleen invullen als het antwoord op vraag 1 ‘Nee’ is. Welke maatregels neemt verwerker om de persoonsgegevens goed te beveiligen? Verwerker neemt de volgende maatregelen:

- VUL IN

Als een verwerker op zowel vraag 1 als 2 ‘Nee’ heeft ingevuld moeten ze hier zo volledig mogelijk uitleggen welke maatregels ze nemen om onze persoonsgegevens te beschermen. Bijvoorbeeld:

- Alleen medewerkers kunnen bij de gegevens die dat nodig hebben voor hun werk;

- Persoonsgegevens worden versleuteld;

- Activiteiten worden gelogd;

- Het netwerk wordt beschermd d.m.v. een firewall.

…………………………………………………………………………………………………….