Privacybeleid gemeente Meierijstad 2018

Wettelijke kaders voor de omgang met persoonsgegevens

De gemeente is verantwoordelijk voor het opstellen, uitvoeren en handhaven van beleid. Hiervoor gelden onder andere de volgende wettelijke kaders:

• •

  Wet bescherming persoonsgegevens (Wbp), vanaf 25 mei 2018 vervangen door de Europese Verordening; de Algemene Verordening Gegevensbescherming (AVG)

• •

  Uitvoeringswet Algemene Verordening Gegevensbescherming

• •

  De specifieke wet- en regelgeving die van toepassing is bij de uitvoering van de gemeentelijke taken en die kaders voor de omgang met persoonsgegevens bevatten.

Uitgangspunten

De gemeente Meierijstad is een belangrijke partner voor burgers, instanties, ondernemers en andere overheidsorganen. Om de interne en externe klanten optimaal te bedienen is de gemeente in groeiende mate afhankelijk van informatie. Het is daarom belangrijk dat de vertrouwelijkheid, integriteit en beschikbaarheid van deze informatie gewaarborgd is. De gemeente gaat op een veilige manier met persoonsgegevens om en respecteert de privacy van betrokkenen. De gemeente houdt zich hierbij aan de volgende uitgangspunten:

Rechtmatigheid, zorgvuldigheid, transparantie

Persoonsgegevens worden in overeenstemming met de wet verwerkt. Dat betekent dat er altijd een wettelijke grondslag aanwezig moet zijn voor de verwerking van persoonsgegevens. Dit houdt in dat de gemeente in beginsel alleen handelt op basis van haar publiekrechtelijke taken en conform haar wettelijke verplichtingen. Hierbij geldt dat dit op een zorgvuldige wijze gebeurt.

Verder wordt bij de verwerking van persoonsgegevens transparantie nagestreefd. Dit betekent dat het duidelijk moet zijn voor welke doelen persoonsgegevens worden verwerkt en hoe dat gebeurt.

Doelbinding

De gemeente zorgt ervoor dat de persoonsgegevens alleen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doelen worden verzameld en verwerkt.

Dataminimalisatie

De gemeente verwerkt alleen de persoonsgegevens die minimaal noodzakelijk zijn voor het vooraf bepaalde doel. De gemeente streeft naar minimale gegevensverwerking. Waar mogelijk worden minder of geen persoonsgegevens verwerkt. De gemeente verwerkt echter wel afdoende gegevens om haar diensten op een correcte wijze en op basis van de juiste informatie te kunnen leveren.

Bewaartermijn

Persoonsgegevens worden niet langer gebruikt dan noodzakelijk. Het bewaren van persoonsgegevens kan nodig zijn om de gemeentelijke taken goed uit te kunnen oefenen of om wettelijke verplichtingen te kunnen naleven. In dat geval worden persoonsgegevens bewaard overeenkomstig vastgestelde termijnen.

Integriteit en vertrouwelijkheid

De gemeente gaat zorgvuldig om met persoonsgegevens en behandelt deze vertrouwelijk. Zo worden persoonsgegevens alleen verwerkt door personen die de ambtseed hebben afgelegd of een geheimhoudings- en integriteitsverklaring hebben ondertekend. Daarbij zorgt de gemeente voor passende beveiliging van persoonsgegevens. Deze beveiliging is vastgelegd in het informatiebeveiligingsbeleid.

Delen met derden

Wanneer informatie met derden gedeeld wordt, staat zorgvuldigheid hierbij centraal en blijft privacy gewaarborgd. In bepaalde gevallen schrijft de wet voor dat gegevens moeten worden gedeeld met ketenpartners (bijvoorbeeld de politie, zorginstellingen of andere overheidsorganen). Ook kan het noodzakelijk zijn om gegevens te delen om zo gemeentelijke (publiekrechtelijke) taken goed te kunnen uitoefenen. Waar de wet de samenwerking niet voorschrijft of er geen sprake is van een publiekrechtelijke taak, zullen geen gegevens worden gedeeld zonder de toestemming van betrokkene. In het geval van samenwerking, waarbij sprake is van verwerking van persoonsgegevens, maakt de gemeente afspraken over de eisen waar gegevensuitwisseling aan moet voldoen. De gemeente legt deze afspraken vast in het verwerkersovereenkomst.

Subsidiariteit

Voor het bereiken van het doel waarvoor de persoonsgegevens worden verwerkt, wordt inbreuk op de persoonlijke levenssfeer van de betrokken burger zoveel mogelijk beperkt.

Proportionaliteit

De inbreuk op de belangen van de betrokkene mag niet onevenredig zijn in verhouding tot en met de verwerking te dienen doel.

Rechten van betrokkenen

De gemeente honoreert alle rechten van betrokkenen volgens de AVG, zoals recht op informatie, recht op inzage, recht op correctie, recht op vergetelheid, recht op rectificatie.

Maatregelen en borging privacybeleid

Met de maatregelen, zoals hieronder beschreven, kunnen de doelstellingen van het privacybeleid worden gehaald en de risico’s worden beperkt.

• •

  Transparantie: betrokkenen worden geïnformeerd over de dienstverlening en de verwerking van hun persoonsgegevens en het doel van de verwerking.

• •

  Bewustwording: doorlopend wordt er aandacht geschonken aan de bewustwording. Het is belangrijk dat iedereen die werkt met privacygevoelige informatie zich bewust is van het belang om hier zorgvuldig mee om te gaan.

• •

  Register van verwerkingen: er wordt een register bijgehouden met alle verwerkingsactiviteiten van persoonsgegevens per proces. Hierin worden onder andere de doeleinden van de verwerkingen, categorieën van betrokkenen en persoonsgegevens, derden ontvangers, bewaartermijn en maatregelen opgenomen.

• •

  Privacy impact assessment (PIA’s): voor processen, diensten en producten en informatiesystemen, waar persoonsgegevens worden verwerkt, worden PIA’s uitgevoerd om de impact van de verwerkingen op de bescherming van persoonsgegevens in kaart te brengen om vervolgens de juiste maatregelen te nemen. De AVG noemt dit een Gegevensbeschermingseffectbeoordeling.

• •

  Privacy by design: houdt in dat vanaf het ontwerp van een proces, product of dienst wordt nagedacht over rechtmatig, behoorlijk en transparant verwerken van persoonsgegevens.

• •

  Privacy by default: betekent dat de standaard instellingen in systemen zijn ingesteld om maximale privacy bescherming te borgen.

• •

  verwerkersovereenkomst: er worden verwerkersovereenkomsten afgesloten met bewerkers. Een verwerkersovereenkomst is wettelijk verplicht als het verwerken van persoonsgegevens aan een andere partij wordt uitbesteed.

• •

  Melden datalekken: datalekken worden intern en indien nodig bij de Autoriteit Persoonsgegevens en de betrokkene(n) gemeld.

• •

  Naleving informatiebeveiligingsbeleid: op basis van het informatiebeveiligingsbeleid zijn maatregelen getroffen om de bescherming van persoonsgegevens te waarborgen. Informatieveiligheid is een eerste voorwaarde voor gegevensbescherming in het kader van privacy.

• •

  Toezicht en rapportage: door het college wordt een functionaris gegevensbescherming (FG) aangewezen. De FG beoordeel de naleving van het privacybeleid en rapporteert hierover aan de directie, het college en de raad.

Inwerkingtreding

Dit privacybeleid treedt in werking één dag na bekendmaking.