Regeling bescherming persoonsgegevens gemeente Dalfsen

1. In dit reglement wordt verstaan onder:

• 1)

  Gemeente: gemeente Dalfsen;

• 2)

  Persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon;

• 3)

  Betrokkene: degene op wie een persoonsgegeven betrekking heeft;

• 4)

  WBP: Wet bescherming persoonsgegevens;

• 5)

  CBP: College Bescherming Persoonsgegevens als bedoeld in artikel 51 van de WBP;

• 6)

  Verantwoordelijke: het (bestuurs)orgaan dat het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt;

• 7)

  Medewerker: degene die in dienst is van de gemeente, dan wel degene die werkzaamheden voor de gemeente verricht, anders dan in een dienstverband:

• 8)

  FGB: de Functionaris gegevensbescherming als bedoeld in artikel 62 van de WBP;

• 9)

  Bestand: elk gestructureerd geheel van persoonsgegevens, ongeacht of dit geheel van gegevens gecentraliseerd is of verspreid is op een functioneel of geografische bepaalde wijze, dat volgens bepaalde criteria toegankelijk is en betrekking heeft op verschillende personen;

• 10)

  Verwerking van persoonsgegevens: elke handeling of geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding, of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;

• 11)

  Verwerker: degene, die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt en daarbij rechtstreeks aan zijn gezag is onderworpen;

• 12)

  Bewerker: degene, die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen;

• 13)

  Ontvanger: degene aan wie persoonsgegevens worden verstrekt;

• 14)

  Elektronische communicatiemiddelen: computer-, e-mail- en-of internetfaciliteiten;

• 15)

  Autorisatie: het binnen de toepassingssoftware toekennen van het niveau van gebruiksmogelijkheden aan een persoon of groepen van personen of het binnen de toepassingssoftware toekennen van het niveau van verstrekking van persoonsgegevens aan onderdelen binnen de eigen (intern) organisatie en (externe)derden;

• 16)

  Toegangscontrole: het geheel van technische en organisatorische maatregelen ter beveiliging van de (persoons)gegevens binnen het digitale gemeentelijke netwerk;

• 17)

  Identificatiecode: een door het systeembeheer aan de medewerker toegekende, in combinatie met het wachtwoord te gebruiken, toegangscode tot het digitale gemeentelijke netwerk;

• 18)

  Wachtwoord: een door de medewerker bepaalde uniek, in combinatie met de identificatiecode te gebruiken, toegangscode tot de geautoriseerde directory’s binnen het digitale gemeentelijke netwerk;

• 19)

  Voorafgaande onderzoek: een onderzoek als bedoeld in artikel 31 van de WBP;

• 20)

  Verstrekken van persoonsgegevens: het bekend maken of ter beschikking stellen van persoonsgegevens;

• 21)

  Verzamelen van persoonsgegevens: het verkrijgen van persoonsgegevens;

• 22)

  Doelbinding: als bedoeld in artikel 7 WBP;

• 23)

  Behoorlijke en zorgvuldige gegevensverwerking: als bedoeld in art.6 WBP;

• 24)

  Grondslag: als bedoeld in artikel 8 WBP;

• 25)

  Melding: als bedoeld in artikel 27 WBP;

• 26)

  Openbaar register: register als bedoelde in artikel 30 van de WBP;

• 27)

  Rechten betrokkenen: als bedoeld in artikel 35, 36 en 37 WBP;

• 28)

  Geheimhouding: als bedoeld in artikel 9, 4e lid en artikel 12, 2e lid WBP;

• 29)

  Sofinummer: het nummer ,bedoeld in artikel 2 ,3e lid,onderdeel j van de Algemene wet inzake rijksbelastingen;

• 30)

  Doorgifte naar niet EU-landen: als bedoeld in artikel 76 e.v.;

• 31)

  Basis Registratiesyteem: centrale verzameling van gegevens van personen, instellingen verenigingen e.d , bestemd voor algemeen intern gebruik;

• 32)

  Werkgroep WBP: de door burgemeester en wethouders ingestelde overlegstructuur in het kader van de uitvoering van de WBP;

• 33)

  CT: het coördinatieteam.

1) Er is een functionaris voor de gegevensbescherming als bedoeld inartikel 62 van de WBP;

2) De functionaris gegevensbescherming heeft naast het houden van toezicht als bedoeld in artikel 64 van de WBP in ieder geval tot taak:

• a)

  Het houden van toezicht op en de coördinatie van de verwerking van wijzigingen in bestaande bestanden en aanleggen van nieuwe bestanden met persoonsgegevens;

• b)

  Het geven van voorlichting en advies over de toepassing van de WBP en over de bescherming van de persoonlijke levenssfeer bij de gemeente Dalfsen;

• c)

  Het bijeenroepen van de werkgroep WBP, zo vaak als nodig , maar tenminste tweemaal per jaar;

• d)

  Het inrichten en onderhouden van het register als bedoeld in artikel 6 van dit besluit.

1) De directeur van een hoofdafdeling is (eind) verantwoordelijk voor de bestanden, welke binnen zijn hoofdafdeling worden verzameld en geregistreerd;

2) De directeur wijst binnen zijn hoofdafdeling een lid van de werkgroep WBP aan , die de uitvoering van de wet en de feitelijke handelingen die daarvoor nodig zijn, binnen de hoofdafdeling coördineert;

3) Voorzover er binnen de organisatie stafafdelingen zijn, is het 1e en 2e lid ook van toepassing op de hoofden van deze stafafdelingen.

1) Er is een werkgroep WBP onder voorzitterschap van de functionaris gegevensbescherming;

2) De werkgroep bestaat uit de volgende leden:

• a)

  Een vertegenwooridiger van iedere hoofdafdeling en stafafdeling , aangewezen en tevens tot taak hebbende zoals aangegeven in artikel 4 ,2e en 3e lid;

• b)

  Een vertegenwoordiger uit het taakveld Informatie- en communicatietechnologie;

• c)

  Een vertegenwoordiger uit het taakveld dat belast is met de uitvoering van de Wet gemeentelijke basisadministratie;

3) De werkgroep heeft tot taak:

• a)

  de functionaris gegevensbescherming te ondersteunen bij de uitvoering van zijn taak; de werkgroep geeft hierbij gevraagd en ongevraagd advies;

• b)

  algemeen beleid ten aanzien de WBP te ontwikkelen;

4) De werkgroep komt tenminste tweemaal per jaar bijeen;

5) De secretaris wordt door en uit de werkgroep gekozen.

1) Een ieder binnen de organisatie, die persoonsgegevens verzamelt en verwerkt deelt ,voordat met de verzameling en verwerking wordt begonnen , dit mee aan het lid van de werkgroep WBP van de desbetreffende (hoofd) afdeling, deze doet , voorzover de WBP van toepassing is ,hiervan schriftelijk mededeling aan de functionaris gegevensbescherming;

2) Voor wijziging van reeds aanwezige bestanden geldt de procedure als bedoeld in het voorgaande lid;

3) Voor de mededeling wordt het formulier gebruikt als bedoeld in bijlage I bij dit besluit;

4) De meldingen, als bedoeld in artikel in artikel 27 van de WBP, worden verzorgd door de functionaris gegevensbescherming. Er dient gebruik gemaakt te worden van het elektronische meldingsprogramma van het CBP dan wel het formulier zoals wordt voor geschreven door het CBP;

5) Verwerkingen als bedoeld in artikel 31 (voorafgaand onderzoek) van de WBP worden door de functionaris gegevensbescherming gemeld bij het CBP;

6) De uitkomst van het voorafgaand onderzoek als bedoeld in het 5e lid worden medegedeeld aan de verantwoordelijke.

1) De functionaris gegevensbescherming stelt voor elke onder zijn verantwoordelijkheid plaatsvindende verwerking een omschrijving op.

2) De omschrijving als bedoeld in het eerst lid bevat tenminste de elementen als bedoeld in artikel 8, 6e lid van dit besluit.

3) De omschrijving kan al dan niet aangemaakt en vastgelegd worden middels elektronische communicatiemiddelen.

1) Persoonsgegevens worden in overeenstemming met de WBP en op behoorlijke en zorgvuldige wijze verwerkt;

2) Persoonsgegevens mogen slechts worden verwerkt met inachtneming van het bepaalde in artkel 8 van de WBP;

3) Van de verstrekking van persoonsgegevens aan derden buiten de eigen organisatie wordt aantekening gehouden

4) Het sofinummer mag slechts worden gebruikt voorzover dit toegestaan is bij het Besluit Sofinummer WBP;

5) Er wordt een (geautomatiseerd) register bijgehouden waarin naast de gemelde bestanden ook de andere bestanden met persoonsgegevens zijn vermeld.

6) Het register vermeld in elk geval de volgende elementen:

• a)

  De verantwoordelijke;

• b)

  De centrale contactpersoon;

• c)

  Omschrijving van de verwerking;

• d)

  Doel(en) van de verzameling en verwerking;

• e)

  Categorie(ën) betrokkenen;

• f)

  Welke gegevens of categorieën van gegevens worden verwerkt;

• g)

  Welke bijzondere gegevens worden verwerkt;

• h)

  Ontvangers of categorie van ontvangers aan wie gegevens worden verstrekt;

• i)

  Gegevens van de bewerker(s);

• j)

  Doorgifte van gegevens naar landen buiten de EU;

• k)

  Algemene omschrijving van de beveiliging van de gegevens;

• l)

  De bewaartermijn(en).

7) Het register kan kosteloos door een ieder worden ingezien bij de Centrale Balie;

8) Het register wordt door de functionaris gegevensbescherming ingericht en onderhouden;

9) De functionaris gegevensbescherming draagt zorg voor plaatsing van het register op de gemeentelijke website;

10) De functionaris gegevensbescherming treft organisatorische maatregelen die er toe leiden dat aan de degene, die een verzoek als bedoeld in artikel 30, 3e lid ,van de WBP, bij de verantwoordelijke indient, binnen vier weken de gegevens als bedoel in artikel 28 onder a tot en met e, worden verstrekt;

11) De gegevens als bedoeld in het voorgaande lid worden schriftelijk ,in digitale vorm of mondeling verstrekt.

1) Indien de verantwoordelijke persoonsgegevens laat verwerken door een bewerker ,vindt verwerking uitsluitend plaats indien voorafgaand aan die verwerking een daartoe strekkende overeenkomst tussen de verantwoordelijke en de bewerker is gesloten;

2) De in het voorgaande lid bedoelde overeenkomst wordt in overleg met de coördinator van de hoofdafdeling opgesteld door de functionaris gegevensbescherming;

3) In de overeenkomst als bedoeld in het 1e lid worden de volgende elementen opgenomen:

• a)

  De bewerker aanvaardt, onverlet de wettelijke aansprakelijkheid, de aansprakelijkheid voor het risico van inbreuk op de persoonlijke levenssfeer in verband met de door hem verwerkte gegevens;

• b)

  De bewerker verklaart bekend te zijn met de geheimhoudingsplicht als bedoeld in artikel 12 van de WBP;

• c)

  De bewerker verklaart de nodige technische en organisatorische maatregelen als bedoeld in artikel 13 van de WBP te treffen om de persoonsgegevens te beveiligen tegen onrechtmatige raadpleging, diefstal, verlies of onrechtmatige verwerking;

• d)

  Door of namens de verantwoordelijke kan de bewerking worden getoetst aan de onder a ,b en c gestelde voorwaarden.

4) De burgemeester is bevoegd de gemeente in het kader van de in het 1e lid bedoelde overeenkomst in rechte te vertegenwoordigen.

1) De functionaris gegevensbescherming treft zodanige maatregelen dat:

• a)

  Een betrokkene die persoonsgegevens heeft verstrekt, zo spoedig mogelijk na verstrekking van de gegevens wordt medegedeeld voor welke doeleinden deze gegevens worden verzameld en verwerkt, tenzij betrokkene hiervan, blijkende uit een vermelding op het aanvraagformulier, brief of mondelinge mededeling, hiervan reeds op de hoogte is;

• b)

  Aan betrokkene zo spoedig mogelijk na de vastlegging van de persoonsgegevens die hem betreffen wordt medegedeeld voor welke doeleinden de verantwoordelijke de gegevens verzameld en verwerkt, indien de gegevens niet door opgave van de betrokkene zijn verkregen;

• c)

  Aan een betrokkene, die een verzoek om inzage in zijn gegevens als bedoeld in artikel 35 van de WBP indient, binnen vier weken na van ontvangst van het verzoek schriftelijk dan wel via een e-mail wordt medegedeeld of hem betreffende gegevens worden verzameld en verwerkt;

• d)

  Aan een betrokkene die een verzoek tot verbetering, aanvulling, verwijdering of afscherming van zijn persoonsgegevens als bedoeld in artikel 36 van de WBP indient, binnen vier weken na ontvangst van het verzoek schriftelijk dan wel via een e-mail wordt medegedeeld of dan wel in hoeverre de verantwoordelijke aan dit verzoek voldoet. Zijn de gegevens voorafgaand aan derden doorgegeven, dan dient ook de wijzigingen in de verzamelde persoonsgegevens aan deze derden te worden doorgegeven, tenzij dit onmogelijk is of een onevenredig zware inspanning kost;

• e)

  Aan een betrokkene, die gebruik maakt van het van het recht van verzet als bedoeld in artikel 40 van de WBP, de verantwoordelijke binnen vier weken na ontvangst van het verzoek, schriftelijk dan wel via een e-mail wordt medegedeeld of het verzet gerechtvaardigd is;

• f)

  De verwerking onmiddellijk wordt beëindigd indien het verzet gerechtvaardigd is.

2) Indien een betrokkene een verzoek als bedoeld in lid 1 onder c tot en met f, indient draagt de verantwoordelijke zorg voor een deugdelijke vaststelling van de identiteit van de verzoeker.

1) De functionaris gegevensbescherming draagt er zorg voor:

• a)

  dat bij de vastlegging van persoonsgegevens aantekening wordt gehouden van de aanvang van de bewaartermijnen

• b)

  dat na de het verstrijken van de bewaartermijn de gegevens worden vernietigd dan wel worden overgebracht naar het gemeentelijke archief als bedoeld in de Archiefwet 1995;

2) de onder lid 1, sub b, bedoelde maatregelen worden getroffen met inachtneming van het bepaalde in artikel 10 van de WBP.

1) De functionaris gegevensbescherming treft technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies, diefstal en onrechtmatige verwerking en raadpleging.

2) Deze maatregelen dienen te worden getoetst aan de bepalingen, zoals deze zijn opgenomen in het Handboek Automatisering Gemeente Dalfsen 2002.

3) Van de toetsing als bedoeld in het 2e lid dient een jaarlijks een verslag te worden gemaakt.

4) De functionaris gegevensbescherming draagt zorg voor de verspreiding van de beveiligingsvoorschriften binnen de organisatieonderdelen.

5) De directeur van de hoofdafdeling / hoofd afdeling verleent in overleg met de functionaris gegevensbescherming de noodzakelijke autorisatie aan personen die vanuit hun functie de bestanden dienen te kunnen bewerken en raadplegen. Het verlenen van de autorisatie dient met redenen omkleed te zijn.

6) Van de onder lid 5 bedoelde autorisaties wordt per bestand schriftelijk dan wel per e-mail mededeling gedaan aan de functionaris gegevensbescherming.

7) De mededeling als bedoeld onder lid 6 bevat de volgende gegevens van de geautoriseerde:

• a)

  Naam

• b)

  organisatieonderdeel

• c)

  Functie

• d)

  Geautoriseerd bestand

• e)

  Ingangsdatum

• f)

  Periode

• g)

  Reden/noodzaak

• h)

  Naam en functie van degene die goedkeuring verleent.

8) De onder lid 7 bedoelde mededeling wordt tevens gedaan aan de beheerder van het gemeentelijk automatiseringssysteem;

9) Persoonsgegevens worden bewaard op het centrale computersysteem en zijn slechts toegankelijk voor degene die hiervoor geautoriseerd zijn;

10) Indien er buiten de werkruimte van de organisatie persoonsgegevens worden verwerkt, dan dienen deze gegevens te worden bewaard op een diskette of een CD; deze informatiedrager(s) wordt(en) bewaard binnen de werkruimte voor de organisatie.

1) Indien de functionaris gegevensbescherming onrechtmatigheden aantreft bij de verwerking van persoonsgegevens brengt hij hierover verslag uit aan de directeur van de hoofdafdeling. Hij doet dit verslag vergezeld gaan van een aanbeveling, die strekt tot een verbetering van de bescherming van persoonsgegevens, die door of namens de verantwoordelijke worden verwerkt;

2) De functionaris gegevensbescherming ziet er op toe dat bestanden met persoonsgegevens efficiënt worden aangelegd en benut; hierbij dient van de mogelijkheden binnen het Basis Registratiesysteem van de gemeente Dalfsen optimaal gebruik te worden gemaakt;

3) Indien de aanbeveling niet of niet voldoende wordt opgevolgd, rapporteert de functionaris gegevensbescherming zijn bevindingen aan de verantwoordelijke.

1) Het college van burgemeester en wethouders hebben de bevoegdheid periodiek een audit naar de naleving van de WBP uit te laten voeren. De hieruit voort komende rapportage wordt voorgelegd aan de functionaris gegevensbescherming;

2) De functionaris gegevensbescherming legt de rapportage met zijn commentaar, door tussenkomst van het CT, voor aan de verantwoordelijke.