# Addendum op het privacybeleid voor de gemeenteraad Vaststelling door de Gemeenteraad ### AANLEIDING Het Privacybeleid is door het College van Burgemeester & Wethouders vastgesteld op [datum]. Dit beleid geeft invulling aan de wettelijke eisen uit de Algemene Verordening Gegevensbescherming (AVG) en de Wet politiegegevens (Wpg). Nu stelt de Gemeenteraad dit beleid vast voor haar eigen werkzaamheden als collegiaal bestuursorgaan. Dit addendum beschrijft hoe het bestaande beleid van toepassing is op de Gemeenteraad. ### TOEPASSINGSBEREIK Dit addendum is van toepassing op de verwerking van persoonsgegevens door de Gemeenteraad als bestuursorgaan. Dit geldt voor werkzaamheden die rechtstreeks voortvloeien uit de statutaire taken en bevoegdheden van de Gemeenteraad. Dit addendum geldt niet voor werkzaamheden van individuele fractieverenigingen, partijpolitieke organisaties of personen die in hun particuliere hoedanigheid handelen. De Gemeenteraad stelt vast om hoofdstuk 1, 2, 3 en 6 vast te stellen zoals deze in het Privacybeleid is opgenomen. De Gemeenteraad stelt hoofdstuk 4 in een aangepaste vorm vast en stelt vast dat hoofdstuk 5 niet van toepassing is op de Gemeenteraad ### WELKE HOOFDSTUKKEN WORDEN OVERGENOMEN? #### Hoofdstuk 1: Inleiding Dit hoofdstuk beschrijft het fundament van het privacybeleid. Privacy is een recht dat in het Europees Verdrag tot bescherming van de rechten van de mens (EVRM) is vastgelegd. Het privacybeleid geeft invulling aan wettelijke eisen uit de Algemene Verordening Gegevensbescherming (AVG), de Uitvoeringswet AVG (UAVG). #### Hoofdstuk 2: Uitgangspunten Dit hoofdstuk bevat tien kernuitgangspunten voor het omgaan met persoonsgegevens. Deze zijn: rechtmatigheid, doelbinding (duidelijk doel vooraf), minimale gegevensverwerking (alleen noodzakelijke gegevens), correctheid en actualiteit van gegevens, tijdige vernietiging, beveiliging, informatieplicht, beperkte toegang, geen doorgifte buiten Europa, en geen profilering of geautomatiseerde besluiten. Deze uitgangspunten gelden voor alle verwerkingen van persoonsgegevens. #### Hoofdstuk 3: Borging en Beheersing Privacy Dit hoofdstuk beschrijft hoe de gemeente aantoonbaar voldoet aan de wettelijke eisen. Belangrijke elementen zijn: privacy by design (privacy al meenemen in de ontwerp van processen), data protection impact assessments voor risicovolle verwerkingen, het bijhouden van een register van verwerkingen, melden van datalekken binnen 72 uur, zorgvuldige contractafspraken met partners, uitvoering van rechten van betrokkenen en voortdurende bewustwording van medewerkers. #### Hoofdstuk 6: Aanvullende Eisen bij Inzet van Artificiële Intelligentie (AI) Dit hoofdstuk behandelt aanvullende privacyeisen wanneer persoonsgegevens in AI-toepassingen worden gebruikt. Bij AI-systemen moeten extra maatregelen worden genomen om risico's in kaart te brengen en te beheersen. Daarbij geldt dat menselijk toezicht altijd voorop staat: uiteindelijk neemt altijd een persoon verantwoorde besluiten en kan geen machine zelf bindende beslissingen nemen die gevolgen hebben voor betrokkenen. ### AANPASSINGEN VOOR DE GEMEENTERAAD: HOOFDSTUK 4: ROLLEN EN VERANTWOORDELIJKHEDEN Onderstaande bepalingen vervangen Hoofdstuk 4 van het Privacybeleid voor zover het gaat om werkzaamheden van de Gemeenteraad: 1. Gemeenteraad De Gemeenteraad is eindverantwoordelijk voor de naleving van de privacywetgeving bij de verwerkingen van persoonsgegevens binnen de Gemeenteraad. De Gemeenteraad heeft de volgende rollen en verantwoordelijkheden: - Eindverantwoordelijk voor de naleving van de privacywetgeving binnen de Gemeenteraad. - Stelt dit addendum vast 2. Griffier De Griffier heeft de volgende taken en rollen: - Het tijdig betrekken van een Privacy Officer bij een nieuwe of wijziging van een activiteit waarbij persoonsgegevens worden vastgelegd. - Het maken van contractuele afspraken over gegevensuitwisseling bij een nieuwe samenwerking. - Het (laten) uitvoeren van een Data Protection Impact Assessment (DPIA) voor hoog risico activiteiten. Bijvoorbeeld als er veel gevoelige persoonsgegevens worden vastgelegd. Ook verantwoordelijk voor het opvolgen van maatregelen volgend uit een DPIA of het accepteren van risico’s. - Het registreren van nieuwe activiteiten in het register van verwerkingen en het doorvoeren van wijzigingen van bestaande activiteiten. - Het tijdig (laten) melden van datalekken. - Het tijdig oppakken van verzoeken van betrokkenen die hun rechten uitoefenen onder coördinatie van de Privacy Officer. De Griffier kan bij deze taken altijd hulp krijgen van de Privacy Officers, maar blijven wel verantwoordelijk voor de uitvoering van deze taken. Ook kunnen ze bepaalde taken laten uitvoeren door medewerkers binnen de afdeling. Bijvoorbeeld het uitvoeren van een DPIA of het bijhouden van het register van verwerkingen. 3. Functionaris Gegevensbescherming Op basis van de AVG is het aanstellen van een FG verplicht voor de gemeente. De FG is verantwoordelijk voor het toezicht op de naleving van de AVG. De FG heeft een onafhankelijke adviserende en toezichthoudende positie in de organisatie. De FG stelt bij de uitoefening van zijn taak prioriteiten en richt zijn inspanningen op aangelegenheden waarbij sprake is van grotere risico’s. De FG heeft de volgende rollen en verantwoordelijkheden in de gehele organisatie van de gemeente: - Interne toezichthouder op de naleving van de AVG. - Monitort veranderingen in wetgeving en stelt de impact van deze wijzigingen vast en adviseert de organisatie bij de implementatie hiervan. - Draagt Privacybeleid actief uit binnen de gehele gemeente en bevordert een duurzame privacycultuur. - Adviseert de gemeente bij privacy klachten en verzoeken van betrokkenen. - Adviseert de gemeente ten aanzien van het wegnemen of verminderen van privacy risico’s, bijvoorbeeld bij het uitvoeren van DPIA’s en hoog risico dossiers. - Adviseert de gemeente indien nodig bij datalekken. - Ziet toe op bewustwording en opleiding van medewerkers. - Ziet toe op het uitvoeren van audits. - Treedt op als contactpunt voor de toezichthouder (Autoriteit Persoonsgegevens) en betrokkenen. - Beschikt over controle- en monitoringbevoegdheden (het recht om interne onderzoeken te laten uitvoeren met toegang tot informatie). - Rapporteert aan het college van burgemeester & wethouders, de directie en de Gemeenteraad. 4. Privacy Officer De Privacy Officer is het eerste aanspreekpunt voor de gemeente rondom privacygerelateerde vragen. De Privacy Officer heeft een monitorende en ondersteunende functie bij het naleven en uitvoeren van het Privacybeleid. De Privacy Officer heeft de volgende rollen en verantwoordelijkheden: - Adviseert en faciliteert de gemeente ten aanzien van het naleven en de uitvoering van het Privacybeleid. - Opstellen Privacybeleid, procedures, formats en standaardovereenkomsten. - Monitort en ondersteunt bij het registreren of wijzigen van verwerkingen in het register van verwerkingen. - Adviseert en ondersteunt de gemeente bij het uitvoeren van Data Protection Impact Assessments (DPIA’s). - Adviseert over de bepalingen in verwerkersovereenkomsten en ondersteunt bij het opstellen, aanpassen en uitonderhandelen daarvan. - Adviseert over mechanismen voor internationale uitwisseling van persoonsgegevens naar landen buiten de EU/EER. - Adviseert over de verwerkingsgrondslag en rechtmatigheid van verwerkingen van persoonsgegevens. - Ontwikkelt, organiseert en voert bewustwordingsprogramma’s en privacytrainingen voor medewerkers uit. - Adviseert en coördineert verzoeken van betrokkenen die hun rechten uit de AVG en Wpg uitoefenen. - Adviseert de gemeente over privacy-by-design en privacy by default bij ontwikkeling van nieuwe systemen en processen. Ook adviseert de Privacy Officer bij aanbestedingen. - Het inrichten van een privacyboekhouding zodat aan de verantwoordingsplicht wordt voldaan. Dit betekent het bijhouden van de administratie. Bijvoorbeeld het DPIA-register en Register datalekken. - Toezichthouden op het BRP-domein (Basisregistratie Personen). - Ondersteunt en faciliteert de gemeente bij het afhandelen van datalekken (volgens de meldprocedure). 5. De (Chief) Information Security Officer ((C)ISO) De (C)ISO draagt zorgt voor de informatiebeveiliging binnen de gemeente. De (C)ISO zorgt voor een actueel informatiebeveiligingsbeleid. De rollen en verantwoordelijkheden van de (C)ISO staan in het Externe link:informatiebeveiligingsbeleid. 6. Raadsleden Raadsleden hebben een grote rol in de manier waarop de Gemeenteraad omgaat met persoonsgegevens. Alle raadsleden hebben een eigen verantwoordelijkheid hierin. Van hen wordt verwacht dat zij zorgvuldig en integer omgaan met persoonsgegevens en kennisnemen van dit Privacybeleid. Vooral de beginselen uit hoofdstuk2 zijn daarbij belangrijk. ### UITSLUITING HOOFDSTUK 5: AANVULLENDE EISEN WET POLITIEGEGEVENS Hoofdstuk 5 van het Privacybeleid (Aanvullende eisen Wet politiegegevens) is niet van toepassing op de Gemeenteraad. De Gemeenteraad verwerkt in de regel geen politiegegevens als onderdeel van haar werkzaamheden. Politiegegevens zijn persoonsgegevens die door politie of opsporingsambtenaren worden vastgelegd voor opsporingsdoeleinden. Deze vallen onder een ander rechtskader en zijn niet relevant voor het raadswerk. ### INWERKINGTREDING EN TOEPASSELIJKHEID Dit addendum wordt vastgesteld door de Gemeenteraad en geldt vanaf de vaststelling. Het beleid wordt tenminste eens per drie jaar beoordeeld. Mocht aanleiding tot wijziging zijn (bijvoorbeeld door wetswijzigingen), kan de Gemeenteraad een tussentijdse herziening besluiten.