Kader voor privacy gemeente Arnhem

Kader voor privacy gemeente Arnhem

Een kader voor het gemeentebrede privacybeleid vast te stellen, zoals vervat in het onderhavige raadsvoorstel.

1.AANLEIDING / PROBLEEMSTELLING

Het belang van privacy; waarborgen en rechten bij het verwerken van persoonsgegevens

Bedrijven, instellingen en de overheid hebben persoonsgegevens nodig om hun werk te kunnen doen. Zonder deze verwerking van persoonsgegevens zou het bv. onmogelijk zijn om een pakketje dat u heeft besteld bij u thuis te bezorgen (adres), of u een paspoort te verlenen (naam, adres, BSN-nummer). Deze verwerking van persoonsgegevens leidt er wel toe dat bedrijven en de overheid van alles over de burger te weten komen, wat inbreuk maakt op de vrijheid - de persoonlijke levenssfeer - van de burger. Dat gevaar speelt sterker, naarmate een organisatie meer soorten gegevens van iemand verzamelt, zeker als het gevoelige gegevens betreft (bv. gezondheid, politieke voorkeur).

Ter bescherming van de privacy gelden er daarom waarborgen en zijn er rechten toegekend aan de burger. Deze vinden hun grondslag in verdragen en de Grondwet, en zijn nader uitgewerkt in de Wet bescherming persoonsgegevens (Wbp). Zo mogen persoonsgegevens per situatie slechts worden verzameld voor een gerechtvaardigd, duidelijk omschreven doel, en mag een en ander niet verder gaan dan noodzakelijk is voor dát doel. De verwerker van persoonsgegevens moet verder altijd zorgen voor passende technische en organisatorische maatregelen om de gegevens te beveiligen tegen verlies (hacken) en onrechtmatige verwerking (bv. inzien door onbevoegden op de werkvloer). Duidelijk moet zijn, dát een instelling bepaalde gegevens verwerkt, en om welke reden (transparantie). In dat kader heeft een burger ook het recht zijn persoonsgegevens in te zien, en daar waar nodig te corrigeren.

De snelle technologische ontwikkelingen (online) en de toenemende globalisering stellen de maatschappij en de overheid voor grote uitdagingen op het gebied van privacy, het recht op eerbiediging van de persoonlijke levenssfeer. De genoemde ontwikkelingen zetten het recht op privacy onder druk en roepen vele vragen op. Voor de gemeentelijke overheden is met de komst van de drie decentralisaties (sociaal domein) per 1 januari jl. het issue privacy nog eens extra actueel.

(Op het internet is veel informatie te vinden over privacy en het privacyrecht. Zo is meer algemene informatie bv. te vinden op http://www.rijksoverheid.nl/onderwerpen/persoonsgegevens)

Er bestaat overal - Europees, landelijk en lokaal - behoefte aan een duidelijk kader, dat technologisch neutraal is en richting geeft aan de praktijk van alledag. In dat verband wordt binnen Europa bijvoorbeeld gewerkt aan een Algemene Verordening Gegevensbescherming; inwerkingtreding daarvan is echter niet voor het jaar 2018 te verwachten.

Het coalitieakkoord hecht groot belang aan het onderwerp privacy. Het is daarom, bij de vorming van de coalitie, als aparte portefeuille ondergebracht bij een wethouder.

Privacy in het Sociale Domein

De drie decentralisaties traden op 1 januari 2015 in werking. De privacy-aandacht van ons college was vorig jaar daarom primair gericht op het Sociaal Domein. In een aparte notitie - 'Privacy Sociaal Domein' - heeft ons college per besluit van 23 december 2014 vastgelegd met welke privacywaarden in het Sociaal Domein wordt gewerkt. In een raadsbrief (d.d. 23 december 2014) bent u hierover geïnformeerd.

In die brief gaven wij ook aan, dat wij uw raad als kaderstellend orgaan nadrukkelijk willen betrekken bij het vaststellen van de hoofdlijnen van het algemene - gemeentebrede - Arnhemse privacybeleid. Toegezegd werd dat de raad in de eerste maanden van 2015 een raadsvoorstel ‘algemeen privacybeleid’ ter vaststelling zou worden voorgelegd. In dit raadsvoorstel moet de kern van de Arnhemse privacybenadering tot uitdrukking komen. Met het onderhavige raadsvoorstel komen wij deze toezeg-ging na.

Het belang van algemeen privacybeleid

Anders dan vaak wordt gedacht, bevat de landelijke privacywetgeving (Wet bescherming persoonsgegevens) niet voor elke privacyvraag een pasklaar antwoord. De wet bevat algemene normen, die samen een afwegingskader geven. Aan de hand van dat wettelijke afwegingskader moet een instelling of bestuursorgaan steeds zelf bepalen of een bepaalde verwerking van persoonsgegevens is toegestaan, en zo ja, onder welke voorwaarden.

Binnen de gemeente, waar zeer veel verschillende persoonsgegevens worden verwerkt voor zeer diverse redenen, is het dringend gewenst om in beleid vast te leggen aan de hand van welke beginselen deze afweging - of een inbreuk op privacy in een bepaald geval als gerechtvaardigd moet worden gezien - moet worden gemaakt. De vraag, of een bepaalde gegevensverwerking 'gerechtvaardigd' is, is namelijk nadrukkelijk niet alleen een juridische ('Mag het van de wet?'). Het gaat daarnaast om de vraag, of een organisatie een in juridisch opzicht toegestane inbreuk op de privacy van burgers ook maatschappelijk gewenst acht. Bij deze laatste vraag is de politiek - bij de gemeente de raad - aan zet om koers te bepalen. Met het nu te nemen raadsbesluit geeft u invulling aan deze verantwoordelijkheid.

Er is nog een reden waarom het vaststellen van algemeen privacybeleid zo belangrijk is. Zoals gezegd, gaan de technologische ontwikkelingen razendsnel. Voor de wetgever (nationaal en Europees) is het in feite niet mogelijk de ontwikkelingen bij te houden. Om binnen een organisatie te bepalen hoe met een bepaalde nieuwe ontwikkeling vanuit privacy-oogpunt moet worden omgegaan, is het bijzonder nuttig om algemeen beleid te hebben dat richting geeft aan de te maken keuzen. Door dat beleid wordt de organisatie in staat gesteld positie te kiezen ten opzichte van een bepaalde nieuwe ontwikkeling, in plaats van dat die ontwikkeling 'blind' gevolgd wordt. Privacybeleid geeft een 'boost' aan het privacybewustzijn van de organisatie. Het beleid dient als kompas en helpt de organisatie regie te nemen in privacykwesties. Bij de verantwoording door het college in privacy-aangelegenheden speelt het beleid natuurlijk ook een belangrijk richtsnoer.

Algemeen privacybeleid en de kernprincipes van het privacyrecht

Het privacybeleid - zoals dat voor Arnhem is neergelegd in paragraaf 3. van het onderhavige raadsvoorstel - sluit nauw aan bij de kernprincipes van het privacyrecht zoals die ten grondslag liggen aan de nationale- en Europese wetgeving (ook aan de al genoemde in voorbereiding zijnde Europese Algemene Verordening Gegevensbescherming). Het gaat om principes als transparantie, doelbinding, data-minimalisatie, beperkte bewaarduur, het vereiste dat gegevens juist zijn en eerlijk en rechtmatig moeten worden verwerkt. Deze kernprincipes zijn in feite behoorlijk stabiel, in ieder geval heel wat minder veranderlijk dan de specifieke privacywetgeving.

Hoewel deze principes op zich helder en eenvoudig klinken, is het een forse taak om de organisatie - de bedrijfsvoering - zo in te richten dat wordt voldaan aan deze principes. Hoe organiseer je bv.dat persoonsgegevens blijvend 'juist' zijn? Dat vraagt veel van de ict-techniek, de organisatie én de mensen.

Dat is overigens een belangrijke algemene constatering: om met privacy in control te zijn, moeten de juiste maatregelen worden genomen op technologisch- (beveiliging), organisatorisch- (bv. autorisaties) én gedragsgebied (bewustwording), in een goede onderlinge samenhang.

2.DOEL

Met een kader voor het gemeentebrede privacybeleid geeft de raad de organisatie een hand-vat om regie te nemen en te houden in privacy-aangelegenheden.

3.ARGUMENTEN

Als gemeentebreed kader voor privacy zullen de volgende beginselen gelden:

Kader voor privacy gemeente Arnhem

1.'Nee, tenzij' als grondhouding (data-minimalisatie)

Privacy begint bij het niét verzamelen van gegevens. Bij het inrichten van een werkproces moet de eerste vraag zijn, of het überhaupt noodzakelijk is om persoonsgegevens te verzamelen. Alleen voor zover er een noodzaak toe bestaat, vindt verwerking van persoonsgegevens plaats ('nee, tenzij'). Dat geldt bij het verzamelen van persoonsgegevens, maar ook bij de vervolgvraag of deze gegevens gedeeld moeten worden met anderen.

Daarbij komt, dat we in Arnhem in beginsel alleen persoonsgegevens verzamelen en verwerken met toestemming van de betrokkene. Dat is slechts anders in wettelijk bepaalde gevallen.

Persoonsgegevens worden nooit verzameld, omdat dat later 'handig' kan blijken te zijn (dit geluid is nogal eens te beluisteren in de praktijk). Dit uitgangspunt - 'nee, tenzij' - brengt een zeer wezenlijke grondhouding ten opzichte van privacy met zich mee.

Bij het 'nee, tenzij' hoort ook dat persoonsgegevens niet langer worden bewaard dan strikt noodzakelijk is. Ook de mogelijkheid van een tussenvorm - tussen bewaren óf vernietigen - kan soms een oplossing vormen (bv. na een bepaalde periode bepaalde bestanden alleen nog opvraagbaar voor zeer uitzonderlijke doeleinden).

2.Verwerking van persoonsgegevens geschiedt voor een bepaald doel (doelbinding)

Persoonsgegevens worden slechts verzameld voor een van te voren bepaald, concreet omschreven doel (doelbinding). Dat doel bepaalt ook de omvang en de reikwijdte van de te verwerken persoonsgegevens. Nooit wordt meer verzameld dan strikt nodig is voor dát doel (proportionaliteit), en er wordt niet verzameld als er een manier voorhanden is om de informatie te krijgen op een wijze die minder inbreuk maakt op de privacy (subsidiariteit).

Zo is er bv. in de praktijk vaak een belangrijk verschil tussen 'dat informatie' (bv. gegeven dát iemand een strafblad heeft) en 'wat informatie' (wát er uit het strafblad blijkt). Vanuit proportionaliteit is het dan steeds nodig te oordelen of er alleen 'dat' informatie, of ook 'wat' informatie moet worden gedeeld.

3.Verwerkte persoonsgegevens moeten juist zijn

Het verwerken van onjuiste gegevens kan tot grote problemen leiden, met vervelende gevlogen voor een persoon en voor de goede uitoefening van de overheidsfunctie. Daarom moeten alle redelijke maatregelen worden genomen om onjuiste persoonsgegevens onverwijld te wissen en te rectificeren (artikel 11, lid 2, Wbp). Voor zover mogelijk, moeten er ook geautomatiseerd controles op bestanden met persoonsgegevens plaatsvinden. Daarmee komen we bij het volgende onderwerp, privacy by design.

4.Privacy by design

Bij de inrichting van een werkproces - inclusief de ICT infrastructuur - is het van groot belang om direct te bedenken welke vragen en problemen vanuit privacy-oogpunt in en rondom dat werkproces een rol (kunnen) spelen. Gebeurt dat, en worden daarbij goede oplossingen bedacht en ingeregeld, dan wordt er aan de voorkant voor gezorgd dat bepaalde privacy problemen zich niet kúnnen voordoen. Denk bijvoorbeeld aan een logische en strakke toegangs-beveiliging, encryptie van gegevens, het scheiden van databestanden, of het automatisch verwijderen van gegevens na een bepaalde periode of gebeurtenis. Dit noemen we 'privacy by design'. Privacy by design is van grote betekenis om in control te komen en te blijven op privacygebied.

5.Transparantie

We zijn open over het feit dat we bepaalde persoonsgegevens verwerken en voor welke doeleinden we dat doen, in de eerste plaats naar de betrokken persoon om wiens persoonsgegevens het gaat. De betrokkene wordt helder geïnformeerd over zijn rechten (bv. klachtrecht, inzagerecht). Slechts in uitdrukkelijk in de wet geregelde gevallen kan van deze openheid worden afgeweken (bv. tijdens strafrechtelijk onderzoek).

Daarnaast zijn we open over de vraag hoe we vanuit privacy-oogpunt tegen bepaalde (technologische) ontwikkelingen aankijken, en over de afweging van belangen. We zijn niet bang om ons uit te spreken. Gaat het privacybelang in een bepaalde concrete situatie voor op een ander belang (bv. veiligheid) of niet, en waarom? Daarmee komen we aan bij het volgend punt: privacy is met nadruk een onderwerp dat in de politiek thuishoort.

6.Privacy is een politiek onderwerp

Hiervoor kwam aan de orde dat de technologische ontwikkelingen - met (mogelijke) gevolgen voor de privacy - razendsnel gaan. Vaak 'gebeuren' dergelijke nieuwe dingen eenvoudigweg, en blijkt pas later dat zich daarbij privacyvragen voordoen. De politiek (en de media) volgt dan als het ware de techniek. Bij deze nieuwe technologische ontwikkelingen met impact op de privacy moet de vraag, of zij vanuit maatschappelijk oogpunt wel gewenst zijn, veel meer aan de vóórkant aan de orde komen. De politiek moet deze discussies sterker naar zich toe trekken. Privacy is een onderwerp waar de politiek gezaghebbende uitspraken over moet doen. De politiek moet de bandbreedte voor de 'techneuten' bepalen, niet andersom. Ook de Arnhemse politiek kan dat doen - uiteraard voor zover haar invloed reikt.

In Arnhem erkennen we nadrukkelijk dat privacy een politiek onderwerp is, en zien we de rol die de politiek bij dit onderwerp kan spelen. Daarom stellen we in de eerste plaats het onderhavige privacy kader vast. Verder willen we nieuwe privacy issues aan de orde laten komen in de politiek. Als zich - in Arnhem - een ontwikkeling voordoet met impact op de privacy, die maatschappelijk gevoelig ligt en waarbij de wettelijke kaders niet duidelijk zijn, dan zal het college van b. en w. (de plannen voor) een dergelijke ontwikkeling op een of andere wijze aan de raad voorleggen om de raad zich hierover uit te laten spreken. Zo willen we maatschappelijk gevoelige privacy vragen 'aan de voorkant' stellen en bespreken, om zo - waar mogelijk - invloed te hebben op de nieuwe ontwikkelingen. Het stuur zit ook bij privacy aan de voorkant, niet aan de achterkant.

7.De menselijke maat

Computers genereren een hoop gegevens en zijn in staat alles met elkaar te verbinden. De techniek geeft vele mogelijkheden tot 'profiling' (profilering); aan de hand van een geautomatiseerd verwerking van meerdere persoonsgegevens de personen selecteren die aan bepaalde van te voren vast gestelde criteria (risicofactoren) voldoen. In Arnhem doen we - in principe - niét aan profiling. Daarmee sorteren we voor op de nog niet in werking getreden Europese Algemene Verordening Gegevensbescherming (art. 20), die profiling in beginsel verbiedt en slechts in bepaalde situaties onder strikte voorwaarden toestaat.

In die zin kun je zeggen dat we in Arnhem voor de menselijke maat kiezen. Een persoon komt met zijn gegevens bij de gemeente in beeld als hij om hulp vraagt of om een specifieke reden door ons wordt benaderd, niét omdat hij enkel door een computer wordt 'geselecteerd'.

4.FINANCIËN

De vaststelling en uitvoering van het algemeen privacybeleid heeft geen gevolgen voor de begroting.

5.RISICO’S

Een kader voor het Arnhemse privacybeleid geeft de basis voor een goede 'grondhouding' van de gemeente ten opzichte van privacy. Zo beogen we niet gerechtvaardigde inbreuken op de privacy van de burger zoveel mogelijk te voorkomen. Die goede 'grondhouding' houdt in dat iedere bestuurder en medewerker zich bewust is van situaties waarin privacy een rol speelt. Door dat bewustzijn stelt men aan de voorkant - voordat een beslissing wordt genomen - de relevante vragen, niét aan de achterkant (als onbewust een beslissing is genomen en pas achteraf blijkt dat privacy daarbij een rol speelt). Zo werken we aan onze 'accountability' op privacygebied: kunnen uitleggen wat we doen om aan de privacywetgeving te voldoen, en waarom we in een bepaalde situatie gehandeld hebben zoals we hebben gedaan. Dit geldt dus zowel bij het inrichten van algemene werkprocessen, als bij het handelen in een individuele casus.

6.BURGERPARTICIPATIE / INSPRAAK

Bij behandeling in de raadkamer bestaat de gelegenheid tot inspreken.

7.UITVOERING EN EVALUATIE

Maatregelen die impact hebben op de privacy zullen voortaan worden getoetst aan het in dit voorstel vervatte privacykader.

Als ons college een bepaalde vorm van gegevensverwerking wenst uit te voeren of te ondersteunen waarvan niet op voorhand duidelijk is waar de wettelijk grens ligt en die maatschappelijk gevoelig ligt, zal ons college een dergelijk voornemen vooraf aan uw raad voorleggen.

Specifiek wijzen wij u nog op het in de raadsbrief d.d. 23 december 2014 genoemde gegeven, dat in 2015 een PIA (Privacy Impact Assessment) zal worden uitgevoerd met betrekking tot de wijze waarop binnen de wijkteams en de gemeente wordt omgegaan met de privacyregelgeving en gemaakte afspraken in het Sociaal Domein. Vanzelfsprekend kan deze PIA - de uitkomsten van het onderzoek én naar aanleiding daarvan eventueel te nemen maatregelen - ook van belang zijn buiten het specifieke gebied van het Sociaal Domein. Wij verwachten u in de tweede helft van 2015 te kunnen informeren over de uitkomsten van deze PIA.

Wij geven u in overweging bijgaand ontwerpbesluit vast te stellen.

Hoogachtend

het college van burgemeester en wethouders van Arnhem,

de secretaris, de burgemeester,