Strategisch privacybeleid

Onderdeel van Privacybeleid en privacyhandboek van een regionale samenwerking · Markdown-bron

Binnen de deelnemende gemeenten (hierna: de gemeente), gezamenlijk ook wel de organisatie, werken we veel met persoonsgegevens van burgers, ondernemers, medewerkers en (keten)partners. Deze gegevens verzamelen we voor het goed kunnen uitvoeren van de gemeentelijke wettelijke taken. De burger, maar ook de gemeenteambtenaar zelf, moet er op kunnen vertrouwen dat de gemeente zorgvuldig en veilig met de persoonsgegevens omgaat.

Nieuwe technologische ontwikkelingen, innovatieve voorzieningen, globalisering en een steeds digitaler wordende overheid stellen andere eisen aan gegevensbescherming. De gemeente is zich hiervan bewust en zorgt dat de privacy zoveel als mogelijk gewaarborgd blijft, onder andere door maatregelen te treffen op het gebied van informatiebeveiliging, dataminimalisatie, transparantie en controle over de eigen persoonsgegevens.

Voor u ligt het algemeen privacybeleid waarmee de gemeente invulling geeft aan de AVG. In voorkomende gevallen zal er behoefte zijn aan specifiek beleid. Bij specifieke, veel voorkomende processen, zoals het verwerken van (persoons)gegevens in het kader van het uitvoeren van de Jeugdwet, kan de gemeente, of de desbetreffende afdeling, na voorafgaande raadpleging van een privacy officer, een specifiek beleid, reglement, protocol en/of procedure opstellen. Daarin kan zij aangeven hoe wordt omgegaan met persoonsgegevens. Deze meer specifieke beleidsstukken moeten voldoen aan de uitgangspunten van dit algemene privacybeleid.

Aanleiding#

De opzet van dit privacybeleid vindt zijn oorsprong bij de inwerkingtreding van de Algemene Verordening Gegevensbescherming (hierna: AVG) in 2018. De AVG versterkt de rechten van betrokkenen en breidt deze uit. Ook hebben organisaties te maken met meer verplichtingen en verantwoordelijkheden. De bevoegdheden van de Europese toezichthouders, voor Nederland de Autoriteit Persoonsgegevens, zijn eveneens uitgebreid. Een voorbeeld is de bevoegdheid om boetes tot 20 miljoen euro op te leggen.

Strategie Digitale Veiligheid 2021-2024#

Om de ambitie uit te spreken ten aanzien van, en aantoonbare keuzes te maken in, de uitdagingen op het gebied van digitale veiligheid, cyberweerbaarheid en cybergevolgbestrijding is de Strategie Digitale Veiligheid opgesteld. Deze strategie is in 2022 vastgesteld binnen de colleges van de gemeenten. De gemeenteraden zijn hierover geïnformeerd. Het doel van deze Strategie is een hoger volwassenheidsniveau op het gebied van Informatiebeveiliging en privacy te realiseren. Dit door de strategie en doelstellingen te vertalen naar activiteiten en deze te verankeren in de dagelijkse werkzaamheden van de gemeenten. De strategie kent een prioritering gebaseerd op het aanpakken van de grootste risico’s en het kunnen voldoen aan de wettelijke verplichtingen van de gemeente.

Doelstellingen#

De doelstellingen van deze Strategie Digitale Veiligheid zijn onder andere gericht op:

• Cyberweerbaarheid en privacy bewustzijn van medewerkers verhogen

• Voldoen aan de BIO en de AVG

• Beveiliging van de systemen bovengemiddeld op orde

• Snel herstel bij calamiteiten

Uitgangspunten#

De organisatie conformeert zich aan naleving van de BIO (Baseline Informatiebeveiliging Overheid) en de AVG (Privacywet):

• De ambitie is om de komende jaren door te groeien naar een bovengemiddeld volwassenheidsniveau (4) voor informatiebeveiliging en privacy, waarbij het voldoen aan externe eisen, beveiligingsdoelstellingen, beleid en uitvoering expliciet aantoonbaar is. Niet alleen een signalerend en zelfreinigend, maar ook een optimaal lerend vermogen en integraal onderdeel van het dagelijks werk.

• Risicomanagement en de 10 bestuurlijke principes (VNG) zijn het uitgangspunt.

• Het bestuur voert aan de hand van de VNG Agenda Digitale Veiligheid 2020-2024 periodiek overleg over Digitale Veiligheid en informeert de gemeenteraad hier adequaat over.

• Het informatiebeveiligingsbeleid van de uitvoeringsorganisatie gemeenten is in lijn met het algemene beleid van de gemeente en de relevante landelijke en Europese wet- en regelgeving.

• Het Strategisch informatiebeveiligingsbeleid wordt vastgesteld door het college van B&W.

Strategisch Privacybeleid#

Wat is Privacy?#

Privacy is een recht dat is vastgelegd in het Verdrag tot bescherming van de rechten van de mens (EVRM). In artikel 8.1 van het EVRM is dat als volgt beschreven: ‘Een ieder heeft recht op respect voor zijn privéleven, zijn familie- en gezinsleven, zijn woning en zijn correspondentie’. Het stelt mensen in staat om regie te houden over hun gegevens: dat men niet continue gevolgd wordt, dat medische gegevens goed beveiligd zijn en dat men iets kan doen tegen automatisch genomen besluiten.

Doel#

Met dit privacybeleid geeft de gemeente uitvoering aan de AVG en andere voor de uitvoering van de gemeente taken en werkzaamheden toepasselijke wet- en regelgeving op het gebied van gegevensbescherming. In dit beleid staan de principes beschreven die, indien gevolgd, moeten garanderen dat verwerkingen van persoonsgegevens door of namens de gemeente, voldoen aan voornoemde wet- en regelgeving. De gemeente streven ernaar om in control te zijn en daarover op professionele wijze verantwoording af te leggen. In control betekent in dit verband dat de gemeente weet welke maatregelen genomen zijn, dat er een planning is van de maatregelen die nog niet genomen zijn en dat dit geheel verankerd is in een Plan-Do-Check-Act-cyclus.

Uitgangspunten#

• De gemeentesecretaris/algemeen directeur is eindverantwoordelijk voor het naleving van de AVG.

• Het privacybeleid van de gemeente/ is in lijn met het algemene beleid van de gemeenten en de relevante landelijke en Europese wet- en regelgeving;

• Het privacybeleid is afgeleid van de Algemene Verordening Gegevensbescherming.

• Het privacybeleid wordt vastgesteld door het college van B&W.

• Het privacybeleid wordt meer concreet uitgewerkt in operationeel en onderwerp-specifiek privacybeleid.

• De gemeentesecretaris/algemeen directeur is verantwoordelijk voor de periodieke herijking het privacybeleid, ten eerste maal binnen 36 maanden na vaststelling.

Scope#

De gemeente verzamelt en gebruikt persoonsgegevens van inwoners, leveranciers en medewerkers en andere natuurlijke personen (hierna te noemen: betrokkenen).

Dit privacybeleid is van toepassing op alle verwerkingen van persoonsgegevens door of namens de gemeente, waaronder:

• De verwerking van persoonsgegevens binnen de bedrijfsprocessen van de gemeente;

• De verwerking van persoonsgegevens die is uitbesteed, of op een andere manier is georganiseerd, zoals deelname van de gemeente aan een rechtspersoon die voor de gemeente bepaalde diensten verricht;

• De gegevensuitwisseling met derde partijen zoals bij samenwerkingsverbanden of leveranciers.

De organisatie#

Sinds [datum] verzorgt één gemeente de bedrijfsvoering van de andere deelnemende gemeenten. Deze gemeenten werken regionaal veelvuldig samen. Zo is ook de expertise op het gebied van gegevensbescherming gecentraliseerd bij die gemeente. De privacy officers die voor de gemeenten zijn aangesteld hebben een adviserende en signalerende taak.

Visie#

De komende jaren zetten de gemeente zelf in op het verhogen van de privacy bewustwording en verdere professionalisering van de privacy functie in de organisatie. Een goede privacy “boekhouding” (dat wil zeggen: verantwoording en vastlegging) is noodzakelijk voor het goed functioneren van de gemeente en de basis voor het beschermen van rechten van burgers en bedrijven. Dit vereist een integrale aanpak, goed eigenaarschap en risicobewustzijn. Ieder organisatieonderdeel is hierbij betrokken. Daarbij is verantwoord en bewust gedrag van medewerkers essentieel voor privacy binnen gemeente.

Leeswijzer#

In hoofdstuk 2 wordt de kern van het privacybeleid uiteengezet door de verschillende principes voor verwerking van persoonsgegevens te specificeren. Hoofdstuk 3 beschrijft de overige uitgangspunten voor het verwerken van persoonsgegevens. Hoofdstuk 4 geeft een praktisch gevolg aan de principes en uitgangspunten door invulling te geven aan randvoorwaardelijkheden en het benoemen van wettelijke verplichtingen. Bijlage 1 beschrijft het besturingsmodel van de gemeente.

Principes voor verwerking van persoonsgegevens#

De AVG is gebaseerd op een aantal principes voor de verwerking van persoonsgegevens: rechtmatigheid, behoorlijkheid, transparantie, doelbinding, minimale gegevensverwerking, juistheid opslagbeperking, integriteit en vertrouwelijkheid. De gemeente onderschrijft deze principes en stelt zich ten doel persoonsgegevens slechts te verwerken in overeenstemming met deze principes.

Rechtmatigheid#

Persoonsgegevens worden door de gemeente slechts in overeenstemming met de wet en op een behoorlijke en zorgvuldige wijze verwerkt. Dit betekent onder meer dat verwerkingen slechts plaatsvinden indien hiervoor een verwerkingsgrondslag bestaat.

Doelbinding#

Persoonsgegevens worden alleen verzameld en verwerkt voor een van te voren bepaald, concreet omschreven en gerechtvaardigd doel. Persoonsgegevens worden slechts verder verwerkt indien het doel van deze verdere verwerking, niet onverenigbaar is met het doel waarvoor deze aanvankelijk zijn verzameld.

Proportionaliteit#

De inbreuk op de rechten en vrijheden van de betrokkene mag niet onevenredig zijn: de inbreuk dient in verhouding te staan tot het te dienen doel. De gemeente streeft ernaar om persoonsgegevens slechts toegankelijk te maken voor diegenen die hier uit hoofde van hun functie toegang toe moeten hebben (autorisatie).

Subsidiariteit#

Indien het doel waarvoor persoonsgegevens worden verwerkt, op een voor de betrokkene minder inbreukmakende wijze kan worden verwezenlijkt, bijvoorbeeld door helemaal geen persoonsgegevens te verwerken, dan kiest de gemeente bij voorkeur voor die mogelijkheid.

Integriteit & vertrouwelijkheid#

De gemeente gaat op een zorgvuldige, vertrouwelijke, professionele en integere wijze om met persoonsgegevens en behandelt deze vertrouwelijk. Persoonsgegevens worden alleen verwerkt door personen met een geheimhoudingsplicht.

Informatiebeveiliging#

Wanneer onder de verantwoordelijkheid van de gemeente persoonsgegevens worden verwerkt, zorgt zij voor een passend niveau van beveiliging. Passend houdt in dat technische en organisatorische maatregelen op het risico worden afgestemd. Hierbij wordt rekening gehouden met de stand van de techniek, de uitvoeringskosten, de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen. Eén en ander wordt nader uitgewerkt in het Informatiebeveiligingsbeleid.

Juistheid#

Het verwerken van onjuiste persoonsgegevens kan nadelige gevolgen hebben voor betrokkenen. De gemeente neemt redelijke maatregelen om persoonsgegevens juist en actueel te houden, onjuiste persoonsgegevens te actualiseren, rectificeren en/of te wissen. Als gemeente dragen wij zorg voor het feit dat persoonsgegevens zorgvuldig en juist worden vastgelegd. Tevens neemt de gemeente, indien nodig, maatregelen om de gevolgen van onjuiste verwerkingen ongedaan te maken.

Transparantie#

De gemeente informeert de betrokkenen tijdig, op een zo eenvoudig mogelijke, begrijpelijke en toegankelijke wijze over het feit dat zij persoonsgegevens verwerkt, op welke wijze en voor welke doeleinden. De betrokkene wordt op heldere en laagdrempelige wijze geïnformeerd over zijn rechten en de wijze waarop hij deze kan uitoefenen. Alleen indien de wet anders bepaalt, wijkt de gemeente van deze informatieplicht af.

Opslagbeperking#

De Algemene verordening gegevensbescherming (AVG) geeft geen concrete bewaartermijnen voor persoonsgegevens. De AVG bepaalt wel dat persoonsgegevens niet langer bewaard mogen worden dan noodzakelijk is. Voor de gemeente geldt daarvoor onder meer de Archiefwet 1995. Als gevolg hiervan moeten sommige gegevens langer of zelfs blijvend gearchiveerd worden. De gemeente bewaart persoonsgegevens niet langer dan noodzakelijk is voor het doel waarvoor deze verwerkt worden.

Overige uitgangspunten#

Naast bovenstaande bevat de AVG meer verplichtingen die terug te leiden zijn tot bepaalde uitgangspunten. Ook hieraan geeft de gemeente gehoor.

Privacy by design (PbD)#

De gemeente houdt bij de ontwikkeling van diensten, in een zo vroeg mogelijk stadium, rekening met aspecten van privacy en gegevensbescherming om zo te komen tot een zo optimaal mogelijke bescherming van persoonsgegevens. Dit uitgangspunt wordt privacy by design (PbD) genoemd. Naast een wettelijke verplichting, is PbD ook een rationele wijze van privacy benaderen; achteraf bijstellen is minder effectief, minder efficiënt en kostbaarder. PbD wordt bij leveranciers afgedwongen door de toepassing ervan als eis op te nemen in een programma van eisen. De gemeente heeft een Privacy-by-designbeleid dat garantie moet bieden dat PbD toe wordt gepast op nieuwe (ICT-)initiatieven.

Rechten van betrokkenen#

De gemeente informeert de betrokkene over zijn rechten uit hoofde van de AVG en de wijze waarop deze kunnen worden uitgeoefend. Verzoeken van de betrokkene ter uitoefening van zijn rechten worden juist, tijdig en zorgvuldig behandeld.

Profilering#

De gemeente is terughoudend met de inzet van profilering. Hierbij staat centraal dat de computer de mens niet vervangt, maar een aanvulling vormt op menselijk handelen. De mens (de ambtenaar) zal altijd de computer of de gemaakte selectie controleren en eventueel een besluit nemen.

Organisatie en verantwoording#

De gemeente zal praktisch gevolg moeten geven aan bovenstaande principes en uitgangspunten. Verder is er een aantal randvoorwaardelijkheden om hieraan invulling te kunnen geven. Zo moeten medewerkers zich bewust zijn van hun rol en verantwoordelijkheid ten aanzien van het in overeenstemming met de AVG verwerken van persoonsgegevens. Naast algemene beginselen bevat de AVG meer praktische verplichtingen: datalekken moeten onder omstandigheden worden gemeld, met verwerkers moet een verwerkersovereenkomst gesloten worden en er zal een zekere vorm van privacyboekhouding moeten worden gevoerd.

Besturingsmodel (‘governance’)#

Het begrip besturingsmodel (of governance) duidt op de verdeling van rollen, verantwoordelijkheden en taken ten aanzien van privacy-gerelateerde werkzaamheden en gebeurtenissen. In bijlage 1 van dit beleid is het bij de gemeente gehanteerde besturingsmodel opgenomen.

Risicobeoordeling#

Onder omstandigheden is het verplicht om de met een verwerking van persoonsgegevens gepaard gaande risico’s in kaart te brengen en te beoordelen. Het instrument dat hiertoe gebruikt wordt, wordt gegevensbeschermingseffectbeoordeling of data protection impact assessment (DPIA) genoemd.

Om te bepalen of een DPIA verplicht is, wordt een Baselinetoets uitgevoerd.

In de praktijk is het doel om recht te doen aan de beginselen van de AVG, in voorkomende situaties kunnen er restrisico’s ontstaan waarop een afweging moet plaatsvinden of deze acceptabel zijn. Hoge restrisico’s dienen na afweging afgestemd te worden met de Autoriteit Persoonsgegevens. Het accepteren van risico’s komt toe aan diegene die eindverantwoordelijk is voor het dossier waarbinnen de (voorgenomen) verwerking van persoonsgegevens plaatsvindt.

Aan risicoacceptatie ligt ten minste een advies van de privacy officer ten grondslag. Het risico

wordt expliciet geaccepteerd, dat wil zeggen, met behulp van het daartoe bestemde formulier ‘Risicoacceptatie Informatiebeveiliging & Privacy’.

Privacybewustzijn#

Medewerkers van de gemeente zijn zich bewust van het belang van de bescherming van persoonsgegevens en weten wat er van hen op dit gebied verwacht wordt. Om te komen tot het gewenste niveau van bewustzijn, worden trainingen en lezingen verzorgd, is een eLearning beschikbaar en wordt regelmatig gecommuniceerd over het onderwerp. De gemeente heeft een bewustwordingsplan opgesteld dat jaarlijks wordt uitgevoerd en herzien.

Incidenten#

Beveiligingsincidenten waarbij persoonsgegevens betrokken zijn, worden datalekken genoemd. Deze moeten onder omstandigheden worden gemeld bij de toezichthouder en soms bij de getroffen betrokkene(n). Datalekken worden geadministreerd, de bevindingen worden omgezet in verbeterpunten. Er wordt toegezien op de opvolging hiervan. Eén en ander is nader uitgewerkt in een procedure.

Derden#

De gemeente schakelt soms derden in om persoonsgegevens in opdracht van haar te verwerken. Deze derden worden verwerkers genoemd. De AVG verplicht tot het maken van contractuele afspraken met verwerkers, zogenaamde verwerkersovereenkomsten. Verder kan het voorkomen dat de gemeente samenwerkt met andere organisaties om een taak van algemeen belang uit te voeren. In die gevallen kan sprake zijn van gezamenlijke verwerkersverantwoordelijkheid. Ook dan worden afspraken gemaakt over de wijze waarop persoonsgegevens worden verwerkt.

Administratie (‘privacyboekhouding’)#

Eén van de belangrijkste bepalingen in de AVG is dat de verwerkingsverantwoordelijke moet kunnen aantonen dat zij voldoet aan de verordening. De gemeente zal zodoende een administratie (‘privacyboekhouding’) voeren aan de hand waarvan zij aannemelijk kan maken dat zij voldoet aan de AVG. Enkele van deze administratieve verplichtingen zijn expliciet voorgeschreven in de AVG, anderen volgen hier indirect uit.

Register van Verwerkingen#

Eén van de expliciete administratieve verplichtingen is het bijhouden van een ‘register van verwerkingen’: een register waarin alle verwerkingsactiviteiten zijn opgenomen, inclusief bepaalde eigenschappen van die verwerking. Dit register wordt bijgehouden in de daartoe bestemde softwaretool. Het actueel houden van dit register is een taak van de afdelingen die de desbetreffende verwerkingen uitvoeren.

Governance#

De Lijnverantwoordelijke (‘Lijn’)#

De Lijnverantwoordelijke is het hoofd van een organisatie(onderdeel) dat persoonsgegevens verwerkt. Deze is verantwoordelijk voor het in overeenstemming met dit privacybeleid vormgeven en uitvoeren van verwerkingen van persoonsgegevens. Deze verantwoordelijkheid kan worden gedelegeerd naar lagere besturingsniveaus in de organisatie, waarbij het hoofd eindverantwoordelijk blijft.

De Lijnverantwoordelijke heeft in ieder geval de volgende verantwoordelijkheden:

• Aanmelden verwerking van persoonsgegevens bij de Privacy Officer. Wijzigingen in de verwerking van persoonsgegevens doorgeven aan de Privacy Officer;

• Navolgen van het beleid op het gebied van gegevensbescherming en informatiebeveiliging;

• Aanvragen en uitvoeren van een DPIA (data protection impact assessment);

• Inbrengen van inhoudelijke functionele kennis;

• Uitvoeren en effectueren van de aanbevelingen n.a.v. de DPIA;

• Medewerking verlenen aan de afhandeling van verzoeken om uitoefening van rechten van betrokkene;

• Waar nodig sluiten van verwerkersovereenkomsten en andere afspraken in het kader van gegevensbescherming;

• Zorgdragen voor de initiële administratie van deze overeenkomsten;

• Inventariseren van feiten en omstandigheden in het geval van een beveiligingsincident;

• Opvolgen van advies en instructies n.a.v. beveiligingsincidenten;

• Periodiek onder de aandacht brengen van beleid en de procedures t.a.v. gegevensbescherming en informatiebeveiliging.

De Functionaris Gegevensbescherming (FG)#

De Functionaris Gegevensbescherming (FG) is de interne toezichthouder op het gebied van gegevensbescherming. De FG houdt binnen de organisatie toezicht op de toepassing en naleving van de privacywetgeving. De positie en taken van de FG zijn in de AVG beschreven. De FG neemt een onafhankelijke positie in binnen de organisatie.

De FG heeft in ieder geval de volgende verantwoordelijkheden:

• Informeren en adviseren van de verwerkingsverantwoordelijke over zijn verplichtingen volgens de AVG;

• Toezien op naleving van AVG en andere wet- en regelgeving op het gebied van gegevensbescherming;

• Toezien op naleving van het gemeentelijke beleid op het gebied van gegevensbescherming;

• Toezien op toewijzing van verantwoordelijkheden;

• Toezien op bewustmaking en opleiding van de bij de verwerking betrokken medewerkers;

• Toezien op audits;

• Adviseren over vraagstukken over verwerking van persoonsgegevens ;

• Adviseren over beveiligingsincidenten;

• Adviseren over de Data Protection Impact Assessments (DPIA’s);

• Toezien op en adviseren over de afhandeling van vragen en klachten over het gebruik van persoonsgegevens;

• Rechtstreeks rapporteren aan directie en het college van B&W en de gemeenteraad

• Optreden als contactpunt voor de toezichthouder (Autoriteit Persoonsgegevens).

De (Chief) Information Security Officer ((C)ISO)#

De (C)ISO is verantwoordelijk voor het actueel houden van het informatiebeveiligingsbeleid, het coördineren van de uitvoering van dat beleid, het adviseren bij projecten, het beheersen van risico’s, evenals het opstellen van rapportages. Nadere specificatie van verantwoordelijkheden is terug te vinden in het Strategisch informatiebeveiligingsbeleid.

De Privacy Officer#

De Privacy Officer is het eerste aanspreekpunt voor de Lijn en het bestuur voor vragen op het gebied van gegevensverwerking.

De Privacy Officer heeft in ieder geval de volgende taken:

• Gevraagd en ongevraagd adviseren over het verwerken van persoonsgegevens;

• (mee-)Vormgeven van beleid op het gebied van gegevensbescherming;

• Coördineren van de afhandeling van (vermeende) datalekken, inclusief het verzorgen van een eventuele melding (of intrekking) bij de FG en de toezichthouder (Autoriteit Persoonsgegevens (AP));

• Coördineren van behandeling van verzoeken tot uitoefening van rechten van betrokkenen;

• Het inrichten van een privacyboekhouding;

• Bevorderen van bewustzijn op het gebied van gegevensbescherming;

• Toezichthouden op het BRP-domein (Basisregistratie Personen).

Taken en verantwoordelijkheden#