Onderdeel van Het register van verwerkingen beheren en publiceren · Markdown-bron
| Afkorting | Omschrijving |
|---|---|
| AVG | Algemene Verordening Gegevensbescherming |
| Wpg | Wet Politiegegevens |
| RvV | Register van Verwerkingen |
| VMS | Verwerking Management Systeem |
| PO | Privacy Officer |
| (C)ISO | (Chief) Information Security Officer |
| FG | Functionaris Gegevensbescherming |
Hieronder worden de werkinstructies voor het beheren (vullen, bijhouden en controleren) en publiceren van het Register van verwerkingen (RvV) voor de regio beschreven. Hiermee hanteren wij een eenduidige manier van werken, zodat wij de kwaliteit van het RvV kunnen borgen én wij aantoonbaar AVG en Wpg compliant zijn. Onder de AVG én Wpg zijn wij namelijk verplicht om een up-to-date en volledig RvV te hebben. Naast het feit dat het wettelijk verplicht is voor proceseigenaren is het ook van belang om inzicht te hebben in hun processen en op de hoogte te zijn waar eventuele privacy risico’s zitten.
De de regio kent per gemeente een afzonderlijk RvV, welke centraal, maar individueel verantwoordelijk, beheerd wordt.
Het RvV is een overzicht van alle activiteiten waarbij de gemeente werkt met persoonsgegevens. Van het verlenen van een subsidie, tot het uitgeven van een paspoort of het betalen van een uitkering. Met persoonsgegeven wordt alle informatie bedoeld die iets zegt of kan zeggen over een mens. Per activiteit is aanvullende informatie opgenomen. Bijvoorbeeld welke persoonsgegevens de gemeente vastlegt, hoelang de gegevens worden bewaard en met welke externe partijen gegevens worden gedeeld.
Omdat het Register van verwerkingen Wet Politiegegevens meer informatie bevat in de vorm van meer kolommen is ervoor gekozen om dat niet in het AVG-register te plaatsen, maar een apart bestand aan te houden en te beheren.
Het RvV van alle gemeenten in de regio wordt beheerd in de registertool. De registers van alle gemeenten zijn inmiddels gepubliceerd op ieder gemeentelijke website en is beschikbaar via de privacyverklaringen op de gemeentelijke websites en via onderstaande websites.
[gemeente].[registertool].nl
Ook inwoners kunnen dit register terugvinden en raadplegen.
Het centrale beheer van het register
Het beheer van de registers ligt bij de Privacy Officers. Zij hebben automatisch toegang tot alle beheeromgevingen. De medewerkers en of proceseigenaar van een activiteit heeft alleen toegang tot de beheeromgeving van zijn eigen gemeente.
Actualiteit verantwoordelijkheid van manager
De proceseigenaar (vaak een teammanager) is eindverantwoordelijk voor de actualiteit van het RvV voor zover het de verwerkingen van zijn/haar organisatieonderdeel betreft. Dat betekent dat hij of zij verantwoordelijk is voor het hebben van een totaaloverzicht van welke verwerkingen er zijn en wat de status is van uitgevoerde DPIA’s voor midden- en hoog riscoverwerkingen. De risicoclassificatie die de verwerkingen hebben (laag, midden, hoog) wordt vastgesteld in overleg met de Privacy Officers.
De proceseigenaar is verantwoordelijk voor zijn of haar respectievelijke processen waar persoonsgegevens worden verwerkt. Dat betekent dat hij of zij dus ook verantwoordelijk is voor het up-to-date en volledig houden van die respectievelijke processen in het RvV. Vaak wijst de proceseigenaar een kennishouder aan die uitvoerend verantwoordelijk is voor het bijhouden van het RvV. Om de actualiteit te borgen ontvangt de kennishouder twee keer per jaar een automatische mail met de vraag om de actualiteit van zijn activiteiten te controleren.
Coördinatie van de actualisatie (en beheer)
De Privacy Officer is verantwoordelijk voor de coördinatie van de actualisatie en het beheer van het RvV. Dat betekent dat de PO, daar waar nodig, afspraken inplant met de proceseigenaren en/of kenniseigenaren om alle verwerkingen in beeld te krijgen, risico’s te classificeren en scherp te hebben waar DPIA's gedaan zijn of nog gedaan moeten worden. Dit is een actieve ondersteunende taak.
Invullen verwerking
Start je met een nieuwe activiteit waarbij je persoonsgegevens vastlegt of ben je door een Privacy Officer benaderd om een verwerking te controleren en aan te vullen? Een Privacy Officer kan deze verwerking voor je aanmaken en de proceseigenaar en/of kennishouder koppelen. De proceseigenaar of kennishouder kan de verwerking vervolgens invullen. Betrek de Privacy Officer als je hier hulp bij nodig hebt. In bijlage 1 vind je uitleg over welke informatie je in welk veld moet invullen.
Toezicht door de FG
De Functionaris Gegevensbescherming (FG) toetst de kwaliteit, actualiteit, juistheid en volledigheid van het RvV en kan waar nodig advies hierover inwinnen bij de Privacy Officers.
Publicatie van het register Naast het beheren zijn er ook taken en verantwoordelijkheden belegd omtrent het publiceren van het RvV. Via de registertool kan het RvV online gepubliceerd worden op de eigen toegankelijke publicatiepagina. In dit geval is het RvV te vinden via de privacyverklaringen van de gemeenten en via de links op de vorige pagina van deze procedure. Door het register te publiceren kunnen inwoners eenvoudig en gebruiksvriendelijk zoeken in het RvV. Het is aan de Privacy Officer om ervoor te zorgen dat het RvV daadwerkelijk gepubliceerd wordt.
| PO | Proceseigenaar | Kennishouder | (C)ISO | FG | |
|---|---|---|---|---|---|
| Totaaloverzicht van bestaande verwerkingen, risicoclassificatie en status DPIA. | C | AR | I | ||
| Nieuwe activiteit in het register | C | A | R | ||
| Zorgdragen voor actualiteit van het RvV. | C | A | R | I | I |
| Coördinatie van de actualisatie van het RvV. | AR | C | I | ||
| Beheer van het RvV. | AR | C | I | ||
| Toetsing op kwaliteit, actualiteit, juistheid en volledigheid van het register van verwerkingen. | C | C | I | AR | |
| Zorgdragen dat minimale AVG-vereiste zichtbaar is | AR | I | |||
| Zorgdragen voor actualiteit van gepubliceerde versie | AR | I | |||
| Controle juistheid gepubliceerde versie | AR | C | I | I | |
| Rechten en toegang beheren | AR | I | |||
| Toekennen proceseigenaar en kennishouder aan verwerking | AR | C | I |
Risicokwalificatie
Hoe groot is het risico voor de privacy van mensen bij deze verwerking? Kies bijvoorbeeld uit: laag, gemiddeld, hoog. Maak deze afweging in overleg met de Privacy Officers.
| Laag | Gemiddeld | Hoog |
|---|---|---|
| De verwerking bevat geen gevoelige, bijzondere of strafrechtelijke persoonsgegevens. De verwerking staat ook niet op de Lijst verplichte DPIA. | De verwerking bevat: Gevoelige persoonsgegevens. Let op! Sommige gevoelige persoonsgegevens, zoals camerabeelden, kunnen onderdeel zijn van de Lijst verplichte DPIA. Mocht dit het geval zijn, moet de verwerking met een hoog risico beoordeeld worden. | De verwerking bevat: Bijzondere persoonsgegevens; en/of Strafrechtelijke persoonsgegevens; en/of Één of meerdere onderdelen van de Lijst verplichte DPIA van de AP en EDPB. |
Pre-DPIA status
Is er een eerste inschatting gedaan of een DPIA nodig is? (DPIA = Data Protection Impact Assessment, oftewel: een privacy-risicoanalyse). Zie voor meer informatie deze pagina. Kies voor ‘Onbekend, nog niet uitgevoerd’, ‘Ja, ingevuld’ of ‘Nee, niet nodig’.
DPIA status
Is de DPIA al uitgevoerd? Een DPIA is verplicht als de risicoclassificatie op hoog uitkomt, bijvoorbeeld als je veel gevoelige informatie vastlegt of als je camera’s ophangt. Kies voor ‘Onbekend, nog niet uitgevoerd’, ‘Ja, ingevuld’ of ‘Nee, niet nodig’.
Privacy overeenkomst
Is er een privacy overeenkomst, bijvoorbeeld een verwerkersovereenkomst, met een externe partij? Kies “Ja, aanwezig”, “Nee, niet nodig”, “Onbekend” of “Niet aanwezig, wel nodig”. Als je niet zeker bent of een dergelijke overeenkomst nodig is, vraag dit dan na bij de Privacy Officers.
Algoritme
Wordt er een algoritme gebruikt in deze verwerking? Dat is een automatische set aan instructies die een computer automatisch opvolgt of het gebruik van AI. Kies “Ja, aanwezig”, “Nee, wordt niet gebruikt” of “Onbekend”.
Beschrijving/link:
Als het antwoord op de vorige vraag “ja” is verschijnen er twee aanvullende vragen. Leg hier uit wat het algoritme doet. Verwijs indien mogelijk naar de publicatie in het algoritmeregister.
Geautomatiseerde besluitvorming
Als de vraag op algoritme “Ja” is verschijnt deze vraag. Geef aan of er automatisch besluiten worden genomen over mensen. Kies “Ja”, “Nee” of “Onbekend”.
Beschrijving
Als het antwoord op de vorige vraag ''ja'' is verschijnt er een aanvullende vraag. Leg hier uit wat de geautomatiseerde besluitvorming doet, welke verantwoordelijkheden de geautomatiseerde besluitvorming heeft en hoe de besluitvorming in zijn werk gaat. Verwijs indien mogelijk naar de publicatie in het algoritmeregister.
Interne notities
Dit is een veld waar je aantekeningen kan zetten. Deze informatie wordt niet gepubliceerd.
Proceseigenaar
De proceseigenaar is de verantwoordelijk (team)manager. Vul hier de functietitel in van de proceseigenaar en dus niet zijn of haar naam.
Coördinator
Het veld coördinator wordt leeggelaten of er wordt de naam van de Privacy Officer ingevuld die het meest betrokken is bij de gemeente. Stem dit af met de Privacy Officer.
Kennishouder
Vul hier de naam in van de kennishouder. Dit is de persoon die veel van een proces weet en namens de proceseigenaar het item actueel houdt.
Verouderingstermijn
Zet de verouderingstermijn op 6 maanden.Op die manier ontvangt de kennishouder iedere 6 maanden een controlemail of de informatie van de activiteit nog klopt.
Status
Geef aan wat de status is van het item:
Verouderd. Als een item langer dan 6 maanden niet is gecontroleerd is het verouderd. De informatie is dan mogelijk niet actueel.
In behandeling. Vul deze status in als je nog bepaalde acties uitvoert om het item actueel te maken.
Controle nodig. Vul deze status in als je weet dat het item nog gecontroleerd moet worden.
Actueel. Vul deze status in is alle informatie klopt.
Gearchiveerd. Deze verwerking is niet meer actief.
Vul hier in binnen welk cluster van de organisatie deze verwerking valt, bijvoorbeeld bedrijfsvoering, publiekszaken of sociaal domein.
Noteer de specifieke afdeling die deze verwerking uitvoert.
Geef een korte en duidelijke naam voor deze verwerking. Probeer de titel actief te beschrijven, bijvoorbeeld Verlenen bijzondere bijstand' of' Uitgeven paspoort' in plaats van ’Paspoort' of 'Bijzondere bijstand’.
Leg uit waarom het nodig is persoonsgegevens vast te leggen. Wat is het doel? (bijvoorbeeld 'Uitbetalen van salaris', 'Het verlenen van een vergunning').
Leg uit welke persoonsgegevens je vastlegt. Een persoonsgegeven is alle informatie die iets zegt of kan zeggen over een mens. Hieronder vind je enkele voorbeelden, met de categorie waarin ze vallen:
| Gewone persoonsgegevens | Gevoelige persoonsgegevens | Bijzondere categorieën persoonsgegevens | Strafrechtelijke persoonsgegevens |
|---|---|---|---|
| ☐ Voor- en achternaam ☐ E-mailadres ☐ Telefoonnummer ☐ Woonadres ☐ Geboortedatum ☐ Geslacht ☐ Nationaliteit ☐ IP-adres ☐ Inloggegevens ☐ Functie ☐ Klantnummer ☐ Dienstbetrekking ☐ Kenteken ☐ Burgerlijke staat | ☐ Burgerservicenummer of ander nationaal identificatienummer ☐ Financiële gegevens, zoals schulden, bezittingen of een bankrekeningnummer ☐ GPS-locatie ☐ Kopie identiteitsbewijs ☐ Camerabeelden | ☐ Gegevens over gezondheid ☐ Ras of etnische afkomst ☐ Politieke opvattingen ☐ Religieuze overtuiging ☐ Lidmaatschap vakbond ☐ Genetische gegevens ☐ Biometrische gegevens ☐ Gegevens over seksueel leven of geaardheid | ☐ Gegevens over strafrechtelijke veroordelingen ☐ Gegevens over lopende strafprocedures ☐ Gegevens over opgelegde strafmaatregelen |
Wat is de reden dat deze verwerking mag volgens de AVG? Kies uit:
Toestemming
Wettelijke verplichting
Uitvoering van een overeenkomst
Vitaal belang
Taak van algemeen belang
Gerechtvaardigd belang
Geef een korte uitleg waarom de gekozen grondslag past bij deze verwerking. Betrek indien nodig een Privacy Officer om dit verder uit te werken.
Wie is eindverantwoordelijk voor deze verwerking? Voor de gemeente gelden hierbij drie opties:
College van burgemeester & wethouders
De Gemeenteraad
De Burgemeester
Wie zijn de personen van wie de gegevens worden vastgelegd? Bijvoorbeeld medewerkers, klanten, inwoners).
Welke externe partijen ontvangen deze gegevens? Bijvoorbeeld Belastingdienst, Verzekeraar, Ministerie).
Hoe lang worden de gegevens bewaard? Geef een periode aan. Bijvoorbeeld ‘7 jaar’ of ‘tot einde dienstverband’. Benader eventueel het team informatiebeheer om de bewaartermijn te bepalen.
Noem hier de software of systemen die worden gebruikt voor de verwerking. Bijvoorbeeld het HR-systeem, het belastingsysteem of het documentsysteem. Het gaat hier niet om informatiebronnen zoals het KvK-register.
Welke bedrijven leveren deze applicaties of diensten?
Vul hier andere organisaties in waarmee je samenwerkt voor deze verwerking (bijv. andere gemeenten, zorginstellingen, scholen).
Geef aan of persoonsgegevens worden doorgestuurd naar een land buiten de EU of de EER (bijv. bij gebruik van een Amerikaanse clouddienst). Kies "Ja" of "Nee".