Regeling bescherming persoonsgegevens gemeente Zwolle

Gemeente Zwolle, bekendmaking Regeling bescherming persoonsgegevens gemeente Zwolle.

Het college van de gemeente Zwolle heeft in de vergadering van 16 mei 2017 de Regeling bescherming persoonsgegevens gemeente Zwolle vastgesteld. Deze regeling treedt 1 juni 2017 in werking en heeft betrekking op de gemeente Zwolle.

Bovendien ligt de Regeling ter inzage bij de informatiebalie in het Stadskantoor en is te raadplegen via www.zwolle.nl/bestuur/verordeningen en beleidsregels.

Regeling bescherming persoonsgegevens gemeente Zwolle

Artikel 1 Definities

In dit reglement wordt verstaan onder:

• a.

  Gemeente: gemeente Zwolle;

• b.

  College: college van burgemeester en wethouders

• c.

  Persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon;

• d.

  Betrokkene: degene op wie een persoonsgegeven betrekking heeft;

• e.

  Wbp: Wet bescherming persoonsgegevens;

• f.

  CBP: College bescherming persoonsgegevens als bedoeld in artikel 51 van de Wbp;

• g.

  AP: Autoriteit Persoonsgegevens;

• h.

  Verantwoordelijke: het (bestuurs)orgaan dat alleen of samen met anderen, het doel en de middelen voor de verwerking van persoonsgegevens vaststelt;

• i.

  FG: Functionaris Gegevensbescherming als bedoeld in artikel 62 van de Wbp;

• j.

  CISO: Chief Information Security Officer;

• k.

  Bestand: elk gestructureerd geheel van persoonsgegevens, ongeacht of dit geheel van gegevens gecentraliseerd of verspreid is op een functioneel of geografische bepaalde wijze, dat volgens bepaalde criteria toegankelijk is en betrekking heeft op verschillende personen;

• l.

  Verwerking van persoonsgegevens: elke handeling of geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding, of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;

• m.

  Verwerker: degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen;

• n.

  Ontvanger: degene aan wie persoonsgegevens worden verstrekt;

• o.

  Autorisatie: het binnen de toepassingssoftware toekennen van het niveau van gebruiksmogelijkheden aan een persoon of groepen van personen of het binnen de toepassingssoftware toekennen van het niveau van verstrekking van persoonsgegevens aan onderdelen binnen de eigen organisatie (intern) en derden (extern);

• p.

  Voorafgaand onderzoek: een onderzoek als bedoeld in artikel 31 van de Wbp;

• q.

  Doelbinding: als bedoeld in artikel 7 Wbp;

• r.

  Behoorlijke en zorgvuldige gegevensverwerking: als bedoeld in artikel 6 Wbp;

• s.

  Grondslag: als bedoeld in artikel 8 Wbp;

• t.

  Melding: als bedoeld in artikel 27 Wbp;

• u.

  Openbaar register: register als bedoeld in artikel 30 Wbp;

• v.

  Rechten betrokkenen: als bedoeld in artikel 35, 36 en 37 Wbp;

• w.

  Geheimhouding: als bedoeld in artikel 9, 4e lid en artikel 12, 2e lid Wbp;

• x.

  Doorgifte naar niet EU-landen: als bedoeld in artikel 76 Wbp e.v.;

Artikel 2 Toepassing

Deze regeling is van toepassing op alle verwerkingen van persoonsgegevens waarvoor de gemeente verantwoordelijk is in de zin van de Wbp, met uitzondering van de verwerkingen als bedoeld in artikel 2, tweede en derde lid en artikel 3 van de Wbp.

Artikel 3 Functionaris Gegevensbescherming

• 1.

  Binnen de gemeente is een FG als bedoeld in artikel 62 van de Wbp.

• 2.

  De FG heeft naast het houden van toezicht als bedoeld in artikel 64 van de Wbp in ieder geval tot taak:

  • a.

    Het houden van toezicht op en de coördinatie van de verwerking van persoonsgegevens.

  • b.

    Het geven van voorlichting en advies over de toepassing van de Wbp en over de bescherming van de persoonlijke levenssfeer bij de gemeente Zwolle.

  • c.

    Het bijeenroepen van de werkgroep Wbp, zo vaak als nodig, maar tenminste tweemaal per jaar.

  • d.

    Het inrichten en onderhouden van het register als bedoeld in artikel 6 van dit besluit.

Artikel 4 Verantwoordelijkheid

• 1.

  Het College van B&W is eindverantwoordelijk voor de uitvoering van het gemeentelijk privacybeleid en voor controle op de naleving van afspraken. Echter ligt de verantwoordelijkheid om op een juiste manier met persoonsgegevens om te gaan bij iedere afdeling en medewerker zelf. De afdelingshoofden zijn daarom verantwoordelijk voor een zorgvuldige verwerking van persoonsgegevens op hun afdeling. Indien een verwerking een afdelingsoverstijgend karakter heeft, ligt de verantwoordelijkheid bij de desbetreffende proceseigenaar.

• 2.

  De afdelingshoofden zijn verantwoordelijk voor het opstellen van richtlijnen en procesafspraken voor veel voorkomende en intensief gebruikte processen, waarin wordt opgenomen hoe met persoonsgegevens wordt omgegaan.

• 3.

  De afdeling Juridische Zaken, en in het bijzonder de functionaris gegevensbescherming, adviseert en houdt toezicht op een juiste naleving van de Wbp binnen de organisatie.

• 4.

  Binnen de domeinen kunnen één of meer functionarissen worden aangewezen die de uitvoering van de wet en de feitelijke handelingen die daarvoor nodig zijn, binnen het domein uitvoeren cq coördineren en die tevens lid zijn van de werkgroep Wbp.

Artikel 5 Werkgroep Wbp

• 1.

  Binnen de gemeente is een werkgroep Wbp onder voorzitterschap van de FG.

• 2.

  De werkgroep bestaat ten minste uit de volgende leden:

  • a.

    De aangewezen vertegenwoordigers per domein zoals aangegeven in artikel 4, vierde lid;

  • b.

    De FG.

• 3.

  De werkgroep heeft tot taak:

  • a.

    de FG te ondersteunen bij de uitvoering van zijn taak.

  • b.

    bewustzijn, beleid en werkafspraken ten aanzien van de Wbp te ontwikkelen.

Artikel 6 Verwerkingen

• 1.

  Een ieder binnen de organisatie die persoonsgegevens verwerkt, deelt dit, voordat met de verwerking wordt begonnen, mee aan het afdelingshoofd of aan de aangewezen vertegenwoordiger(s) van het desbetreffende domein. Deze doen voor zover de Wbp van toepassing is, hiervan schriftelijk mededeling aan de FG.

• 2.

  Voor wijziging van reeds aanwezige verwerkingen geldt de procedure als bedoeld in het voorgaande lid.

• 3.

  De meldingen, als bedoeld in artikel 27 van de Wbp, worden gedaan bij de FG.

• 4.

  Verwerking van bijzondere persoonsgegevens is niet toegestaan, behoudens de uitzonderingen in de Wbp.

Artikel 7 Grondslag en Register

• 1.

  Persoonsgegevens worden in overeenstemming met de Wbp en op behoorlijke en zorgvuldige wijze verwerkt.

• 2.

  Persoonsgegevens mogen slechts worden verwerkt met inachtneming van de grondslagen in artikel 8 van de Wbp.

• 3.

  Er wordt een register bijgehouden waarin de bestanden met persoonsgegevens zijn vermeld, tenzij de verwerking daarvan is vrijgesteld.

• 4.

  Het register vermeldt in elk geval de volgende elementen:

  • a.

    de Verantwoordelijke;

  • b.

    de FG;

  • c.

    omschrijving van de verwerking;

  • d.

    doel(en) van de verzameling en verwerking;

  • e.

    categorie(ën) betrokkenen;

  • f.

    welke gegevens of categorieën van gegevens worden verwerkt;

  • g.

    welke bijzondere gegevens worden verwerkt;

  • h.

    ontvangers of categorie van ontvangers aan wie gegevens worden verstrekt;

  • i.

    gegevens van de verwerker(s);

  • j.

    doorgifte van gegevens naar landen buiten de EU;

  • k

    algemene omschrijving van de beveiliging van de gegevens;

  • l.

    de bewaartermijn.

• 5.

  Het register wordt ingericht en onderhouden door de FG.

• 6.

  De FG treft organisatorische maatregelen die er toe leiden dat aan degene, die een verzoek als bedoeld in artikel 30, derde lid van de Wbp, bij de het college indient, binnen vier weken de gegevens als bedoel in artikel 28 onder a tot en met e, worden verstrekt.

• 7.

  De gegevens als bedoeld in het voorgaande lid worden schriftelijk, in digitale vorm of mondeling verstrekt.

Artikel 8 Verwerken

• 1.

  Indien het college persoonsgegevens laat verwerken door een verwerker vindt verwerking uitsluitend plaats indien voorafgaand aan die verwerking een daartoe strekkende overeenkomst tussen het college en de verwerker is gesloten.

• 2.

  De in het voorgaande lid bedoelde overeenkomst wordt opgesteld door de FG.

• 3.

  In de overeenkomst als bedoeld in het eerste lid worden ten minste de volgende elementen opgenomen:

  • a.

    De verwerker aanvaardt, onverlet de wettelijke aansprakelijkheid, de aansprakelijkheid voor het risico van inbreuk op de persoonlijke levenssfeer in verband met de door hem verwerkte gegevens;

  • b.

    De verwerker verklaart bekend te zijn met de geheimhoudingsplicht als bedoeld in artikel 12 van de Wbp;

  • c.

    De verwerker verklaart de nodige technische en organisatorische maatregelen als bedoeld in artikel 13 van de Wbp te treffen om de persoonsgegevens te beveiligen tegen onrechtmatige raadpleging, diefstal, verlies of onrechtmatige verwerking;

  • d.

    Door of namens het college kan de verwerking worden getoetst aan de onder a, b en c gestelde voorwaarden.

Artikel 9 Rechten van betrokkene

• 1.

  De FG treft zodanige maatregelen dat:

  • a.

    Een betrokkene die persoonsgegevens heeft verstrekt, zo spoedig mogelijk na verstrekking van de gegevens, wordt medegedeeld voor welke doeleinden deze gegevens worden verzameld en verwerkt, tenzij betrokkene hiervan, blijkende uit een vermelding op het aanvraagformulier, brief of mondelinge mededeling, hiervan reeds op de hoogte is;

  • b.

    Aan betrokkene zo spoedig mogelijk na de vastlegging van de persoonsgegevens die hem betreffen wordt medegedeeld voor welke doeleinden het college de gegevens verzamelt en verwerkt, indien de gegevens niet door opgave van de betrokkene zijn verkregen;

  • c.

    Aan een betrokkene, die een verzoek om inzage in zijn gegevens als bedoeld in artikel 35 van de Wbp indient, binnen vier weken na van ontvangst van het verzoek schriftelijk dan wel op een wijze zoals bedoeld in artikel 37 van de Wbp wordt medegedeeld of hem betreffende gegevens worden verzameld en verwerkt;

  • d.

    Aan een betrokkene die een verzoek tot verbetering, aanvulling, verwijdering of afscherming van zijn persoonsgegevens als bedoeld in artikel 36 van de Wbp indient, binnen vier weken na ontvangst van het verzoek schriftelijk dan wel op een wijze zoals bedoeld in artikel 37 van de Wbp wordt medegedeeld of dan wel in hoeverre het college aan dit verzoek voldoet. Zijn de gegevens voorafgaand aan derden doorgegeven, dan dient ook de wijziging in de verzamelde persoonsgegevens aan deze derden te worden doorgegeven, tenzij dit onmogelijk is of een onevenredig zware inspanning kost;

  • e.

    Aan een betrokkene, die gebruik maakt van het recht van verzet als bedoeld in artikel 40 van de Wbp, het college binnen vier weken na ontvangst van het verzoek, schriftelijk dan wel op een wijze zoals bedoeld in artikel 37 van de Wbp wordt medegedeeld of het verzet gerechtvaardigd is;

  • f.

    De verwerking onmiddellijk wordt beëindigd indien het verzet gerechtvaardigd is.

• 2.

  Indien een betrokkene een verzoek als bedoeld in lid 1 onder c tot en met f indient, draagt het college zorg voor een deugdelijke vaststelling van de identiteit van de verzoeker.

Artikel 10 Bewaartermijn

• 1.

  De FG draagt er zorg voor:

  • a.

    dat de persoonsgegevens niet langer worden bewaard dan nodig voor de verwerking waarvoor ze verkregen zijn, conform artikel 10 Wbp;

  • b.

    dat na de het verstrijken van de bewaartermijn de gegevens worden vernietigd dan wel worden overgebracht naar het gemeentelijke archief als bedoeld in de Archiefwet 1995;

Artikel 11 Beveiliging en beheer

• 1.

  De afdelingshoofden richten passende maatregelen in om de persoonsgegevens te beveiligen tegen verlies, diefstal en onrechtmatige verwerking en raadpleging.

• 2.

  Deze maatregelen dienen door de CISO, die daarbij wordt ondersteund door de adviseur informatiebeveiliging, te worden getoetst aan de bepalingen die zijn opgenomen in het gemeentelijk (informatie) beveiligingsplan. Deze toetsing wordt ter beoordeling voorgelegd aan de FG.

• 3.

  Van de toetsing als bedoeld in het tweede lid wordt jaarlijks een verslag gemaakt.

• 4.

  De CISO draagt zorg voor de verspreiding van de beveiligingsvoorschriften binnen de domeinen.

• 5.

  Persoonsgegevens worden bewaard op centrale computersystemen en zijn slechts toegankelijk voor degene die hiervoor geautoriseerd zijn.

• 6.

  De afdelingshoofden verlenen conform een vastgestelde autorisatieprocedure en autorisatiematrix de noodzakelijke autorisaties aan personen die vanuit hun functie bestanden dienen te kunnen bewerken en raadplegen. Het verlenen van de autorisatie dient met redenen omkleed te zijn.

• 7.

  Van de onder lid 5 bedoelde autorisaties wordt per bestand schriftelijk mededeling gedaan aan de FG.

• 8.

  De mededeling als bedoeld onder lid 6 bevat de volgende gegevens van de geautoriseerde:

  • a.

    naam;

  • b.

    organisatieonderdeel;

  • c.

    functie;

  • d.

    geautoriseerd bestand;

  • e.

    ingangsdatum;

  • f.

    periode;

  • g.

    reden / noodzaak;

  • h.

    naam en functie van degenen die goedkeuring verlenen.

• 9.

  Bij de invoering van nieuwe regelgeving, verwerkingen of systemen wordt een Privacy Impact Assessment (hierna: PIA) uitgevoerd zodat de bescherming van de privacy wordt afgewogen. Andere indicatoren voor een PIA zijn bijvoorbeeld een nieuwe gemeentelijke taak, het vormen van een groot databestand, verwerking van bijzondere persoonsgegevens of systematisch gegevensuitwisseling met een externe partij.

Artikel 12 Toezicht

• 1.

  Indien de FG onrechtmatigheden aantreft bij de verwerking van persoonsgegevens brengt hij hierover verslag uit aan het betreffende afdelingshoofd. Hij doet dit verslag vergezeld gaan van een aanbeveling, die strekt tot verbetering van de bescherming van persoonsgegevens, die door of namens het college worden verwerkt.

• 2.

  Indien de aanbeveling niet of niet voldoende wordt opgevolgd, rapporteert de FG zijn bevindingen aan het college.

Artikel 13 Audit

• 1.

  Het college heeft de bevoegdheid periodiek een audit naar de naleving van de Wbp uit te laten voeren. De hieruit voort komende rapportage wordt voorgelegd aan de FG.

• 2.

  De FG legt de rapportage met zijn commentaar voor aan het college.

Artikel 14 Datalekken

Beveiligingsincidenten en datalekken of een vermoeden daartoe worden zo spoedig mogelijk -doch uiterlijk 24 uur na de eerste ontdekking- gemeld bij het betreffende afdelingshoofd, bij de FG of via datalek@zwolle.nl. Indien er sprake is van een meldplichtig datalek zal de FG daarvan melding doen aan de AP en indien nodig aan de betrokkene(n). Voor de afhandeling van dergelijke incidenten zal het ‘plan management beveiligingsincidenten’ en het ‘calamiteitenplan datalek’ worden gevolgd.

Artikel 15 Werking

Deze regeling treedt in werking met ingang van 1 juni 2017 en wordt tevens van toepassing verklaard op de voor deze datum reeds aanwezige verwerkingen met persoonsgegevens.

Artikel 16 Titel van de regeling

Deze regeling kan worden aangehaald als “Regeling bescherming persoonsgegevens gemeente Zwolle”.