Privacybeleidskader gemeente Landsmeer 2019

Bijlage 1. Definities

AVG (Algemene Verordening Gegevensbescherming) – Europese wet op de verwerking van persoonsgegevens, die rechtstreeks geldt in alle lidstaten.

Bedrijfsproces – gemeentelijke bedrijfsvoering waarbij persoonsgegevens worden verwerkt.

FG (Functionaris voor Gegevensbescherming) – wettelijk toezichthouder voor de naleving van privacywetgeving en bedrijfsvoorschriften.

(Gegevens)verwerking – zowel geheel of gedeeltelijk geautomatiseerde operationele informatieverwerking (bijvoorbeeld archiveren, analyseren, doorgeven, raadplegen) als ieder geheel daarvan (bijvoorbeeld de salarisadministratie, gemeentebelastingen of thuiszorg).

Persoonsgegevens – gegevens over personen en waarvan de gegevensverwerking door herleidbaarheid gevolgen heeft in de persoonlijke levenssfeer (privacy impact heeft).

DPIA (Data privacy impact assessment) – een beoordelingsrapport waarin een gegevensverwerking wordt geanalyseerd op noodzaak en risico’s vanuit privacyoptiek, resulterend in een lijst van passende beheersmaatregelen (waarborgen).

DPIA-score – getalsmatige classificatie van noodzaak of risico van gegevensverwerking, als uitkomst van een DPIA.

PIT – het privacy- en informatiebeveiligingsteam dat de directie en proceseigenaren ondersteunt.

Portefeuillehouder privacy – het lid van het college van B&W dat verantwoordelijk is voor de uitvoering en naleving van privacywetgeving met behulp van het privacybeleidskader.

Privacy beleidskader – het bestuurlijk privacy beleid van een organisatie, die de kapstok vormt voor.

Privacy audit – controles op de naleving van privacy beleid en privacywetgeving.

Privacy beleid – het Privacy Beleidskader en alle nadere uitwerkingen hiervan.

Privacy beleidsvoering – sturing op privacy door het management (‘governance’).

Privacy incidenten – gebeurtenissen waartegen het privacy beleid en de privacywetgeving bescherming beoogt te bieden.

Privacywetgeving – wetgeving die verwerking van persoonsgegevens regelt, in het bijzonder de AVG.

Procesdoel – een bedrijfsdoelstelling die noodzaakt tot verwerking van persoonsgegevens.

Proceseigenaren – teammanagers, die integraal verantwoordelijk zijn voor (overstijgende) proces- en ketenprocessen en uitvoering van gemeentelijke taken zoals burgerzaken, uitvoering Jeugdwet, belastingen en veiligheid.

Procesplan – nadere, schriftelijk geformuleerde beheersmaatregelen voor de bescherming van persoonsgegevens (in de regel de gedocumenteerde follow-up van een DPIA).

Programmanager Privacy – degene die namens de portefeuillehouder privacy uitvoering geeft aan het privacy beleid.

Servicepunt – het contactpunt voor personen waar zij terecht kunnen voor het uitoefenen van hun privacy rechten.

Uitvoeringsorganisatie – een organisatie waaraan een of meerdere bedrijfsprocessen zijn uitbesteed.

Verwerkersovereenkomst – een overeenkomst tussen de gemeente en een derde partij, die een deel van de administratie voor de gemeente doet, waarin overeengekomen wordt dat deze derde partij zorgvuldig met de persoonsgegevens omgaat.

Bijlage 2. Rollen en verantwoordelijkheden

Een ‘RASCI-tabel’ met daaraan toegevoegd de indeling naar 1e, 2e, 3e, 4e- lijns-risicomanagement helpt om rollen en verantwoordelijk inzichtelijk te maken:

Gelaagde aanpak en documentatie

Privacy beleid kent een gelaagdheid die het beste ook in de beleidsdocumentatie tot uitdrukking wordt gebracht en waarbij documenten op een logische manier met elkaar samenhangen.

• •

  Bestuurlijk privacy beleid: een beleidsnota waarin het college de algemene aspecten van de privacy beleidsvoering regelt (overkoepelend privacy beleid): missie, wijze van sturing, middelen, toezicht en handhaving.

• •

  Procesplannen: het bovenliggende beleidskader wordt nader uitgewerkt voor de afzonderlijke werkprocessen, door op basis van risicoanalyses (indien nodig in de vorm van DPIA’s) concrete organisatorische en technische oplossingen te benoemen waardoor de bescherming van persoonsgegevens en rechten van personen op een passende manier gewaarborgd wordt.

• •

  Bewijs van uitvoering: documentatie van planning, uitvoeringsacties, evaluaties en controles.

Rekenschap / accountability

Door bestuurlijk privacy beleid, eventueel voor bepaalde thema’s nader uitgewerkt, komen de beleidsmatige privacy principes ‘op groen’ te staan. Door procesplannen en bewijs van uitvoering komen de privacy principes m.b.t. de uitvoering ‘op groen’ te staan. Op deze manier is er een sluitend en aantoonbaar stelsel van privacy waarborgen (bewijs van adequaat privacy management).

Functionaris voor de Gegevensbescherming

Voor de controle op de naleving van beleid en wetgeving beveelt de AVG aan dat organisaties zich laten bijstaan door een ‘Functionaris voor de Gegevensbescherming’

(FG – vaak ook aangeduid als data protection officer of DPO). Deze rol wordt beschreven in artikelen 35-37 AVG. Een FG is voor gemeenten bovendien verplicht.

De FG is wettelijk toezichthouder náást de Autoriteit Persoonsgegevens.3 Tevens fungeert de FG als privacy ombudsman voor personen die door gebrekkige gegevensverwerking in de knel zijn gekomen. De contactgegevens van de FG dienen namens het college van B&W te worden gecommuniceerd aan de Autoriteit Persoonsgegevens.

De AP beoordeelt niet de geschiktheid van de FG. Bij de aanwijzing van een FG moet Gemeente Landsmeer zich er zelf van vergewissen van dat de persoon voldoet aan de wettelijke eisen. Grofweg is iemand geschikt als FG wanneer hij/zij over de volgende kwaliteiten beschikt:4

• •

  expert op het gebied van privacywetgeving;

• •

  praktijkdeskundig (kennis van organisaties, processen, ICT en informatiebeveiliging);

• •

  onafhankelijk en betrouwbaar;

• •

  beroepservaring die past bij zijn verantwoordelijkheden;

• •

  vaardigheden op het gebied van communicatie, PR en regulatory affairs.

Een FG moet dus multidisciplinair zijn, en kunnen fungeren als sparringpartner voor zowel het college als voor onderdelen van de gemeentelijke organisatie, hij moet daarom stevig in de schoenen staan. Let er bij de selectie ook op dat de FG in staat is pragmatisch te denken. Tegelijkertijd moet de FG ook in staat zijn om duidelijk maar met tact te signaleren waarin de gemeente buiten de kaders van de privacywetgeving opereert (eerder grensrechter/coach dan politieagent).

Vanwege zijn/haar wettelijke status is het oordeel van de FG juridisch zwaarwegend. De FG is de aangewezen persoon om de knopen door te hakken in juridische discussies. Voor zover de FG en de AP afwijkende standpunten innemen, is het in principe aan de rechter om een beslissende uitspraak doen.

Bijlage 3. Risicoklassering persoonsgegevens

Niet alle verwerking van persoonsgegevens is risicovol. Er wordt onderscheid gemaakt in twee risiconiveaus, laag en hoog.

Laag Risico

Openbare persoonsgegevens vallen in ieder geval onder deze categorie. Hiervan is algemeen aanvaard is dat deze, bij het beoogde gebruik, geen risico opleveren voor de betrokkene. Voorbeelden hiervan zijn telefoonboeken, brochures, publieke internet sites etc. Daarnaast bestaat een categorie persoonsgegevens waarvan de risico's voor de betrokkene bij verlies of onbevoegd of onzorgvuldig gebruik van de persoonsgegevens zodanig laag zijn dat standaard (informatie)beveiligingsmaatregelen toereikend zijn. Bij verwerkingen van persoonsgegevens gaat dan het meestal om een beperkt aantal persoonsgegevens dat betrekking heeft op bijvoorbeeld lidmaatschappen, arbeidsrelaties, klantrelaties en overeenkomstige relaties tussen een betrokkene en een organisatie. Voorbeelden van relaties waarover veelal persoonsgegevens worden verwerkt die vallen in deze klasse zijn: school - leerling, verhuurder - huurder, hotel - gast, vereniging - lid, organisatie - deelnemer. Opgemerkt wordt dat het lidmaatschap van een instelling op zich al informatie kan bevatten betreffende een persoon. Indien dit gegevens zijn die vallen onder de categorie bijzondere gegevens, bijvoorbeeld over politieke voorkeur, seksuele leven, kerkelijk genootschappen etc., dan moet het risico als hoog worden opgevat.

Hoog risico

De stand van de techniek, ontwikkelingen in de maatschappij en andere factoren kunnen van invloed zijn op de gevolgen die verlies of onrechtmatige verwerking van persoonsgegevens met zich mee kunnen brengen voor de betrokkenen. Onderstaande opsomming van categorieën van persoonsgegevens waar deze gevolgen ernstig kunnen zijn, is daarom niet uitputtend:

• •

  Bijzondere persoonsgegevens zoals bedoeld in artikel 9 AVG. Het gaat daarbij om persoonsgegevens over iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele voorkeur, lidmaatschap van een vakvereniging en om strafrechtelijke persoonsgegevens en persoonsgegevens over onrechtmatig of hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag;

• •

  Gegevens over de financiële of economische situatie van de betrokkene. Hieronder vallen bijvoorbeeld gegevens over (problematische) schulden;

• •

  (Andere) gegevens die kunnen leiden tot stigmatisering of uitsluiting van de betrokkene. Hieronder vallen bijvoorbeeld gegevens over gokverslaving, prestaties op school of werk of relatieproblemen;

• •

  Gegevens die betrekking hebben op mensen uit kwetsbare groepen. Het gaat hier bijvoorbeeld om mensen die te maken hebben met stalking of die in een blijf-van-mijn-lijf huis verblijven, om klokkenluiders of om informanten van de politie of het Openbaar Ministerie;

• •

  Gebruikersnamen, wachtwoorden en andere inloggegevens. De mogelijke gevolgen voor betrokkenen hangen af van de verwerkingen en van de persoonsgegevens waar de inloggegevens toegang toe geven;

• •

  Gegevens die kunnen worden misbruikt voor (identiteits)fraude. Het gaat hierbij onder meer om biometrische gegevens, kopieën van identiteitsbewijzen en om het burgerservicenummer (BSN).

Behalve de aard van de verwerkte gegevens, kan ook de verwerking zelf risico’s met zich meebrengen voor de betrokkenen. Factoren die een rol spelen zijn onder meer:

• •

  Hoeveelheid verwerkte persoonsgegevens per persoon. Naarmate er per persoon meer persoonsgegevens worden verwerkt, kan verlies of onrechtmatige verwerking leiden tot een grotere inbreuk op de persoonlijke levenssfeer;

• •

  Doel of doelen waarvoor de persoonsgegevens worden verwerkt. Naarmate de beslissingen die op basis van de verwerkte persoonsgegevens worden genomen ingrijpender zijn, is ook de impact van verlies of onrechtmatige verwerking groter.

Bijlage 4. De AVG en andere wetten

In deze paragraaf wordt de relatie tussen de AVG en andere wetten kort behandeld. Over het algemeen geldt dat de AVG geldt als algemene wet, waarvan de bepalingen niet van toepassing kunnen zijn wanneer er bijzondere wetgeving van toepassing is. Dat neemt niet weg dat ook indien de bijzondere wet leidend is, de AVG aanvullend van toepassing kan zijn. Zo zullen bijvoorbeeld ook dan de algemene basisprincipes van artikel 5 lid 1 AVG van toepassing zijn. Zo zal het college in alle gevallen slechts persoonsgegevens mogen verwerken voor welbepaalde en uitdrukkelijk omschreven doelen en moeten zorgen dat de gegevens juist zijn.

AVG versus BRP

De AVG is niet van toepassing op de Wet Basisregistratie personen (Wet BRP). De wet BRP heeft een eigen, gesloten, privacy regime. Dat wil zeggen dat de wet limitatief bepaalt aan welke overheden de in de registratie opgenomen gegevens mogen worden verstrekt, voor zover deze gegevens noodzakelijk zijn voor de vervulling van hun taak. Verder is krachtens deze wet bepaald aan welke derden deze informatie kan worden verstrekt.

AVG versus Wob

Onder de Wet bescherming persoonsgegevens (Wbp) gold dat de Wet openbaarheid van bestuur (Wob) een bijzondere wet is ten opzichte van de (algemene) Wbp. In zo’n geval gaat de bijzondere wet voor. Aannemelijk is dat de jurisprudentie waarin dit is uitgemaakt onder de AVG zijn geldigheid zal behouden. Indien de Wob van toepassing is, is de AVG dat niet. Dat betekent niet dat de bescherming van persoonsgegevens geen rol speelt bij de uitvoering van de Wob. Binnen de Wob zijn er namelijk twee weigeringsgronden waarbij de persoonlijke levenssfeer een rol speelt.

AVG versus Archiefwet

De AVG kent een aantal specifieke uitzonderingen voor verwerking van persoonsgegevens met het oog op archivering in het algemeen belang. Een aantal uitzonderingen werkt rechtstreeks, zie artikel 89 AVG: Waarborgen en afwijkingen in verband met verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden. Bij verwerkingen onder de noemer van onderzoek en archivering dienen de rechten en vrijheden van betrokkenen (oftewel: de privacy) te worden gewaarborgd. Het accent hierbij ligt bij het beginsel van gegevensminimalisering (dataminimalisatie). Dit betekent dat niet meer persoonsgegevens mogen worden verwerkt dan strikt noodzakelijk voor het doel. Zodra het mogelijk is om het archiveringsdoel te halen met ontkoppelde gegevens (ofwel geanonimiseerde gegevens, niet langer herleidbaar tot een natuurlijke persoon en dus niet langer persoonsgegevens) moet deze ontkoppeling worden uitgevoerd. Als dat nog niet mogelijk is kan wellicht een (tijdelijke) oplossing worden gevonden in de vorm van pseudonimisering waarbij koppeling nog wel mogelijk is, maar de daarvoor benodigde informatie niet direct beschikbaar is.

Artikel 89 lid 3 AVG bevat een specifieke bepaling op grond waarvan de lidstaten kunnen afwijken van enkele voorschriften van de AVG. Het gaat hier om de mogelijkheid om af te wijken van de artikelen 15 (het recht op inzage), 16 (het recht op rectificatie), 18 (het recht op beperking van de verwerking), 19 (kennisgevingsplicht), 20 (het recht op overdraagbaarheid van de gegevens) en 21 (het recht op bezwaar). De gemeente dient kritisch te blijven kijken binnen de eigen werkprocessen voorafgaand aan archivering en deze te toetsen op dataminimalisatie, zodat kan worden aangetoond dat ook voor wat betreft het gemeentelijke archief voldaan is aan de vereiste passende waarborgen die voortkomen uit de AVG en de UAVG.

AVG versus Wet politiegegevens

Voor de politie geldt als het gaat om de omgang met persoonsgegevens de Wet politiegegevens, uitgewerkt in het Besluit Politiegegevens. Deze wet bevat een eigen privacy regime. De AVG is hierop niet van toepassing.

AVG versus identiteitsbewijs

In veel gevallen is een inwoner verplicht zich te identificeren met een geldig identiteitsbewijs (de Wet Identificatieplicht en andere wetten). Dat betekent niet per se dat dan ook een kopie daarvan bewaard mag worden. Een identiteitsbewijs bevat een burger servicenummer en kan bijzondere persoonsgegevens bevatten. Verwerken is dus verboden tenzij. Een voorbeeld: de Wet op de loonbelasting verplicht de gemeente als werkgever een kopie van een identiteitsbewijs van een ambtenaar/werknemer te bewaren tot 5 jaar na het jaar waarin deze persoon uit dienst is getreden. Dit is een voorbeeld van een wettelijke grondslag voor het bewaren van een kopie van een identiteitsbewijs.

AVG versus Wet inzake de geneeskundige behandelingsovereenkomst en de Jeugdwet

De Wet inzake de geneeskundige behandelingsovereenkomst (WGBO) en de Jeugdwet bevatten regels over de omgang met persoonsgegevens voor medisch hulpverleners en voor jeugdzorgwerkers. De WGBO en de Jeugdwet kunnen in zoverre worden opgevat als privacywetten, ook al regelen ze veel meer onderwerpen dan de omgang met persoonsgegevens. De specifieke bepalingen in deze bijzondere wetten gaan voor de algemene bepalingen van de AVG.

Bijlage 5. Gedragsnormen voor proceseigenaren

Het college verwacht van proceseigenaren rechtmatige en zorgvuldige verwerking van persoonsgegevens. Proceseigenaren kunnen hiervoor rekenen op support door het PIT en de FG. Het college voert ook op andere manieren voorwaardenscheppend beleid teneinde binnen de gemeente een privacy bestendige cultuur te realiseren.

Proceseigenaren voorzien in passende organisatorische en technische oplossingen om de rechtmatigheid, proportionaliteit, juistheid, veiligheid van gegevensverwerking te waarborgen (‘privacy waarborgen’) en documenteren die maatregelen in procesplannen. De portefeuillehouder privacy houdt een ‘artikel 30-register’ (Verwerkingsregister zie 4.1) bij van de gegevensverwerkingen die onder de eindverantwoordelijkheid van het college valt. Proceseigenaren helpen om het register volledig en actueel te laten zijn door middel van ‘artikel 30-formulieren’.

Het college is transparant over de bedrijfsvoering, gegevensverwerking en privacy beleidsvoering en faciliteren de uitoefening van rechten door personen over wie de gemeenten gegevens verwerken. Proceseigenaren verlenen hieraan hun medewerking.

Het college en proceseigenaren dragen het belang uit van privacy beleidsvoering en geven zelf het goede voorbeeld. Zij maken privacy bespreekbaar. Bij dilemma’s gaan zij de dialoog aan met doelgroepen over wie informatie wordt verwerkt.

Procesplan aanpak

Aan procesplannen liggen privacy impact assessments (PIA’s) ten grondslag. PIA’s zijn instrumenteel voor het kunnen bepalen van passende beheersmaatregelen. Te vergelijken met een risicoanalyse. De mate waarin en de manier waarop bedrijfsprocessen en gegevensverwerking aandacht nodig hebben, hangen samen met de uitkomsten van de PIA, zoals verwoord in het PIA-rapport.

Voor nieuwe verwerkingen met persoonsgegevens en/of andere ontwikkelingen waarbij persoonsgegevens zijn betrokken, moet altijd een PIA worden uitgevoerd.

Ook voor bestaande verwerkingen moet een PIA worden uitgevoerd. Eerst moet worden vastgesteld of een PIA uitgevoerd moet worden over een bestaande verwerking. Dit gebeurt met behulp van een baselinetoets. Deze tool wordt ook gebruikt voor de uitvoer van de Baseline Informatiebeveiliging Overheid (BIO).

Tevens moet rekening gehouden worden met de criteria genoemd in de AVG zijn genoemd en die de Autoriteit Persoonsgegevens heeft beschreven. Als hiervan sprake is moet er ook een PIA worden uitgevoerd.

Een PIA kan op twee manieren worden uitgevoerd.

• 1.

  Door de impact, kwetsbaarheid en maatregelen van de verwerking met de proceseigenaar, belanghebbenden en het PIT te bespreken. Van de verwerking wordt een systematische beschrijving gemaakt. De noodzaak en evenredigheid wordt beschreven en wat de risico’s zijn als de gegevens niet correct worden verwerkt. Tenslotte wordt beschreven welke maatregelen genomen moet worden om de risico’s weg te nemen.

• 2.

  Het beantwoorden van vragen over de verwerking op:

  • •

    Juridisch-;

  • •

    Geautomatiseerd- en;

  • •

    organisatorisch niveau.

De bevindingen en/of tekortkomingen worden in een rapport opgenomen en de domeinmanager aangeboden. Hij/zij dient hierop te acteren. De FG controleert of de genomen acties voldoen. Tevens moet worden afgesproken wanneer de PIA opnieuw moet worden uitgevoerd. De PIA wordt in het DPMS opgenomen. PIA-rapporten worden opgesteld conform artikel 35 lid 7 AVG.

Proceseigenaren documenteren met behulp van hun procesplannen hoe zij op een praktische manier in passende organisatorische en technische privacybeschermende maatregelen voorzien – met name om de volgende fouten te voorkomen:

• 1.

  Illegale/onrechtmatige gegevensverwerking: gebruik, opslag of uitwisseling van informatie is bij wet verboden (middels een rechtstreeks verbod of een beperking van het toegestane gebruik).

• 2.

  Disproportionele gegevensverwerking: gebruik, opslag of uitwisseling van informatie is (a) ontoereikend of juist overmatig of (b) het organisatiebelang bij de gegevensverwerking is onevenredig klein terwijl de impact op personen onevenredig nadelig kan zijn.

• 3.

  Irrelevante gegevensverwerking: de gebruikte, opslagen of uitgewisselde informatie dient geen bedrijfsdoel, doet niet ter zake of is verouderd.

• 4.

  Onnauwkeurige gegevensverwerking: de gebruikte, opslagen of uitgewisselde informatie is geen juiste weergave van de werkelijkheid.

• 5.

  Onveilige gegevensverwerking: de gebruikte, opslagen of uitgewisselde informatie dreigt te gemakkelijk toegankelijk te zijn voor onbevoegden, gemanipuleerd te worden of niet beschikbaar te zijn.

• 6.

  Niet-inachtneming van bijzondere wettelijke voorschriften: bij gebruik, opslag of uitwisseling van informatie worden formele verplichtingen veronachtzaamd.

• 7.

  Onbewaakte gegevensverwerking: de proceseigenaar verzuimt om te controleren of de privacy waarborgende maatregelen daadwerkelijk zijn geëffectueerd of te evalueren in hoeverre zijn procesplan bijstelling behoeft.

Volgende punten komen ook in het procesplan:

• •

  Een lijst van kenmerkende beheersmaatregelen voor sturingsdoeleinden en controle (audit). Proceseigenaren doen dit in samenspraak met het PIT en zo nodig met de FG;

• •

  Een behoorlijke en zorgvuldige aanpak. Dit in overeenstemming met de wet. De FG bevestigt dit aan de hand van een verklaring waarbij hij eventueel ook aanbevelingen doet voor verdere optimalisering van de bedrijfsvoering;

• •

  De afspraak wanneer het procesplan herzien moet worden. De proceseigenaar is verantwoordelijk voor het beheer van zijn procesplan. Een procesplan wordt bijgesteld wanneer in de praktijk blijkt dat de maatregelen onvoldoende passend blijken naar aanleiding van terechte klachten of andere onacceptabele incidenten;

• •

  Een ‘artikel 30-formulier’ waarvan zij een afschrift verstrekken aan de portefeuillehouder privacy voor opname in het artikel 30-register. Proceseigenaren melden veranderingen voor het artikel 30-register onmiddellijk aan de hand van wijzigingsformulieren.

Artikel 30-formulier bevatten de volgende informatie:

• 1.

  Een beschrijvende aanduiding (naam) van het proces en de bijbehorende gegevensverwerking;

• 2.

  De PIA-scoring van het proces;

• 3.

  De naam, contactgegevens en het mandaat van de proceseigenaar;

• 4.

  Indien van toepassing: de contactgegevens van degene die die proceseigenaar assisteert in privacy aangelegenheden;

• 5.

  De bedrijfsdoelen die met het proces zijn gediend;

• 6.

  Een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens;

• 7.

  De categorieën van ontvangers van de persoonsgegevens en, indien van toepassing, informatie over internationaal gegevensverkeer;

• 8.

  Informatie op hoofdlijnen over genomen beheersmaatregelen (key controls) – met name termijnen voor gegevensvernietiging en de aanpak op het gebied van informatiebeveiliging;

• 9.

  De FG-verklaring, indien afgegeven.

Ook als er geen PIA uitgevoerd moet worden, wordt dit vastgelegd in een document. Hierin wordt de reden opgenomen waarom er geen PIA wordt uitgevoerd en wanneer dit opnieuw moet worden herzien.