| Organisatie | 's-Hertogenbosch |
|---|---|
| Organisatietype | Gemeente |
| Officiële naam regeling | Algemeen pivacyreglement |
| Citeertitel | Algemeen privacyreglement |
| Vastgesteld door | college van burgemeester en wethouders |
| Onderwerp | bestuur en recht |
| Eigen onderwerp |
Geen
Algemene Verordening Gegevensbescherming
Geen
Datum inwerkingtreding | Terugwerkende kracht tot en met | Datum uitwerkingtreding | Betreft | Datum ondertekening Bron bekendmaking | Kenmerk voorstel |
|---|---|---|---|---|---|
| 19-12-2017 | Nieuwe regeling | 19-12-2017 | 7548589 |
Het college van Burgemeester en wethouders,
In zijn vergadering van 19 december 2017,
Gezien het voorstel met reg.nr. 7548589
overwegende dat het Algemeen Privacyreglement een uitwerking vormt van de Algemene Verordening Gegevensbescherming (AVG) en een praktische handleiding voor de organisatie;
de regels en uitgangspunten geeft voor de eerlijke, zorgvuldige en rechtmatige verwerking van persoonsgegevens,
In dit reglement laat de gemeente ’s-Hertogenbosch zien op welke manier zij dagelijks omgaat met persoonsgegevens en privacy, en wat er wettelijk wel en niet verantwoord is.
Privacy speelt een belangrijke rol in de relatie tussen de burger en de overheid en staat daarmee hoog op de bestuurlijke agenda. Gemeenten hebben de verantwoordelijkheid over persoonsgegevens en gegevensuitwisseling op alle terreinen waar ze actief zijn. Zo zijn ze verplicht om zorgvuldig en veilig, proportioneel en vertrouwelijk om te gaan met het verzamelen, bewaren en beheren van persoonsgegevens van burgers. Dat geldt voor taken op het gebied van basisadministraties, openbare orde en veiligheid, en het sociaal domein. Goed en zorgvuldig omgaan met persoonsgegevens is een dagelijkse bezigheid van gemeenten. Het beschermen van de privacy is complex, en wordt steeds complexer door technologische ontwikkelingen, de decentralisaties, grote uitdagingen op het terrein van veiligheid en nieuwe Europese wetgeving. Daarom vinden wij het belangrijk om transparant te zijn over de manier waarop wij met persoonsgegevens omgaan, en de privacy waarborgen.
De Gemeente ‘s-Hertogenbosch respecteert en beschermt de privacy en persoonsgegevens van haar burgers. In de uitoefening van haar publiekrechtelijke taak houdt zij zich aan de wet en zoekt waar mogelijk de ruimte om de privacybelangen van zowel de burger als de doelstellingen van de gemeente naar beste inzicht te behartigen.
Als Gemeente ’s-Hertogenbosch vinden wij het belangrijk dat onze medewerkers privacybewust zijn. Dit verkleint de kans op onjuist gebruik van gegevens, lekken en nadelige gevolgen zoals boetes en negatieve publiciteit. Daarnaast tonen we hiermee aan dat wij als gemeente beschikken over medewerkers die bewust zijn van de risico’s bij het werken met persoonsgegevens. Om privacybewust te worden en uiteindelijk ook te zijn, zorgt de gemeente voor kennissessies en workshops op het gebied van privacy en omgaan met persoonsgegevens. Ook volgt iedere medewerker periodiek een e-learning waarmee naast kennisoverdracht ook de aanwezige privacy kennis wordt gemeten. Tevens stelt de gemeente diverse handleidingen, factsheets en overige materialen ter beschikking om de medewerker in hun werkzaamheden handvatten te bieden bij het verwerken van de persoonsgegevens waarmee zij werken.
De Wet bescherming persoonsgegevens (Wbp) regelt het juridische kader voor de omgang met persoonsgegevens in Nederland. Op 25 mei 2018 vervalt de Wbp en treedt de Europese Verordening; de Algemene Verordening Gegevensbescherming (AVG), in werking, samen met de uitvoeringswet. De AVG bouwt voort op de Wbp en zorgt onder andere voor versterking en uitbreiding van de privacyrechten met meer verantwoordelijkheden voor organisaties.
De volgende begrippen worden in de AVG gebruikt:
Betrokkene: De persoon op wie de persoonsgegevens betrekking hebben. De betrokkene is degene van wie de gegevens worden verwerkt. Dit is niet alleen een burger, maar heeft bijvoorbeeld ook betrekking op een medewerker van de gemeente, of de contactpersoon van een organisatie waar de gemeente mee werkt.
Persoonsgegevens: Alle gegevens die informatie kunnen verschaffen over een identificeerbare natuurlijke persoon, een mens dus, zijn persoonsgegevens. Het gaat hierbij niet alleen om vertrouwelijke gegevens, zoals over iemands gezondheid, maar om ieder gegeven dat te herleiden is tot een bepaald persoon. Denk hierbij aan naam, adres, woonplaats, geboortedatum of -plaats, e-mailadres, handtekening, telefoonnummer, inkomen of geslacht. Naast gewone persoonsgegevens kent de wet ook bijzondere persoonsgegevens. Dit zijn gegevens die gaan over gevoelige onderwerpen, zoals etnische achtergrond, politieke voorkeuren, strafrechtelijk verleden, godsdienst of het Burgerservicenummer (BSN). Deze gegevens mogen in principe niet worden verwerkt. Of alleen worden gebruikt bij uitdrukkelijke toestemming van de betrokkene, wanneer de gegevens door de betrokkene duidelijk openbaar zijn gemaakt of wanneer de wet het toestaat.
Privacy Impact Assessment (PIA): in het Nederlands gegevensbeschermingseffectbeoordeling genoemd. Met een PIA worden de effecten en risico’s van de nieuwe of bestaande verwerkingen beoordeeld op de bescherming van de privacy.
Verantwoordelijke: Een persoon of instantie die alleen, of samen met een ander, het doel en de middelen voor de verwerking van persoonsgegevens vaststelt.
Verwerker: De persoon of organisatie die de persoonsgegevens verwerkt in opdracht van een andere persoon of organisatie.
Verwerking: Een verwerking is alles wat je met een persoonsgegeven doet, zoals: vastleggen, bewaren, verzamelen, bij elkaar voegen, verstrekken aan een ander, en vernietigen.
Overige wetgeving om in het bijzonder rekening mee te houden:
Wet openbaarheid van bestuur (Wob): Via de Wob (en straks wellicht de Wet Open Overheid) kun je een verzoek om informatie indienen bij de gemeente. Bij het verzoek bekijkt de gemeente altijd of het antwoord geen inbreuk maakt op de persoonlijke levenssfeer van betrokkenen. In principe worden geen persoonsgegevens verstrekt.
Wet hergebruik van overheidsinformatie: De Wet hergebruik van overheidsinformatie regelt het op verzoek verstrekken van overheidsinformatie voor hergebruik. Bij het verzoek bekijkt de gemeente altijd of het antwoord geen inbreuk maakt op de persoonlijke levenssfeer van betrokkenen. In principe worden geen persoonsgegevens verstrekt.
Het algemeen privacyreglement is van toepassing op alle verwerkingen van persoonsgegevens door alle bestuursorganen van de gemeente. Oftewel: voor alle verwerkingen die binnen de gemeente plaatsvinden. Dit algemeen privacyreglement vormt een verdere uitwerking van de wettelijke regelgeving en een praktische handleiding voor de organisatie. Het geeft de regels en uitgangspunten voor de eerlijke, zorgvuldige en rechtmatige verwerking van persoonsgegevens. Op die manier kan hiermee een nog betere verwerking van persoonsgegevens plaatsvinden binnen de gemeentelijke organisatie.
De bestuursorganen van de gemeente zijn allemaal verantwoordelijken voor de verwerkingen die door of namens de gemeente worden uitgevoerd. De bestuursorganen van de gemeente zijn onder andere de burgemeester, het college van Burgemeesters en Wethouders (college van B&W) en de Raad.
De verwerking van persoonsgegevens is elke handeling of elk geheel van handelingen met persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde processen. Wij verzamelen en verwerken als gemeente persoonsgegevens, omdat wij diensten verlenen aan burgers en bedrijven. Het gaat bijvoorbeeld om de diverse processen binnen het sociaal domein. Zoals de registratie van uitkeringsgerechtigden, het bijhouden van gegevens van mensen die een Wmo-voorziening hebben aangevraagd, uitvoering van de Jeugdwet en de gemeentelijke schulddienstverlening. Maar denk ook aan processen buiten het sociaal domein zoals het bijhouden van gegevens uit bouwaanvragen en gegevens bij het proces van de aanvraag, het verlenen en de handhaving van horecavergunningen. Let wel, het wettelijk kader van de Wbp en de AVG als opvolger, ziet niet op de specifieke verwerkingen die wij als gemeente verrichten in het kader van de uitvoering van de basisregistratie personen (BRP). Hiervoor is de Wet BRP van toepassing.
Onder verwerken worden in ieder geval de volgende handelingen begrepen:
Uit deze opsomming blijkt dat alles wat je met een persoonsgegeven doet een verwerking is.
Algemeen uitgangspunt is dat persoonsgegevens alleen verzameld worden als daarvoor een doel bestaat. Dit doel moet welbepaald, duidelijk omschreven en gerechtvaardigd zijn. Ook moet steeds nagaan worden of het verwerken van persoonsgegevens noodzakelijk is voor het doel. De verwerkingsdoelen zijn het ‘waarom’ van het verwerken van persoonsgegevens. Doelen zijn van belang voor verschillende normen. Denk hierbij aan onder andere het bepalen wie verantwoordelijk is voor de verwerking van persoonsgegevens. Of de vraag of het delen van deze gegevens met andere organisaties is toegestaan. Ook zijn doelen van belang voor het vaststellen van bewaartermijnen en het informeren van de burger. Zo weet je hoe lang het nodig is om de persoonsgegevens te bewaren of waar je burgers over moet informeren.
Voor de uitvoering van diverse wetten (denk aan de Wmo en Participatiewet) zal in die wet dikwijls zijn aangegeven welke persoonsgegevens nodig zijn en dus verwerkt mogen worden. Denk aan de Jeugdwet waar de doelen voor het verwerken in de wet al zijn vastgelegd, net als de persoonsgegevens die gevraagd en verwerkt mogen worden. Daar waar over verwerking van persoonsgegevens in bijzondere wetgeving niets is geregeld, gelden dus de strenge regels van de Wbp en diens opvolger de AVG (en de daarmee samenhangende Uitvoeringswet AVG).
Een belangrijke eis is dat doelen vooraf specifiek geformuleerd moeten zijn. De doelen mogen dus niet te ruim en vaag omschreven zijn of achteraf bepaald worden. Verwerking voor een ander doel dan het oorspronkelijke doel is alleen onder strikte voorwaarden toegestaan. Zo zal er een directe relatie moeten zijn met het doel waarvoor de persoonsgegevens eerder zijn verzameld. Ook moet men rekening houden met de soort gegevens. Algemeen geldt: hoe gevoeliger het gegeven, hoe minder snel er sprake is van verenigbaar gebruik en de gegevens niet verder mogen worden verwerkt. Dus niet mogen worden gebruikt voor een ander doel dan waarvoor deze eerder zijn verzameld. Ook moet men rekening houden met de gevolgen van de beoogde verwerking voor de betrokkene. Denk hierbij aan het vooraf inlichten van de burger over het doel waarvoor de gegevens worden gebruikt als de burger zijn persoonsgegevens aan de gemeente geeft. Bijvoorbeeld voor de aanvraag van een parkeer- of bouwvergunning.
De wet zegt dat er voor elke verwerking van persoonsgegevens een rechtmatige grondslag uit de wet van toepassing moet zijn. Dit betekent dat we als gemeente moeten verantwoorden op basis waarvan we persoonsgegevens van bijvoorbeeld een burger verwerken. Een uitzondering hierop is het hiervoor besproken geval waarin persoonsgegevens worden verwerkt voor een ander doel dan het doel waarvoor ze zijn verzameld. Dit is onder strikte voorwaarden toegestaan. Een goed voorbeeld hiervan is het verder gebruiken van de gegevens voor wetenschappelijk onderzoek en statistiek.
Iedere verwerking van persoonsgegevens moet kunnen worden gebaseerd op één van de volgende zes grondslagen:
de gegevensverwerking is noodzakelijk voor de behartiging van het gerechtvaardigde belang van de gemeente of van een derde aan wie de gegevens worden verstrekt. Maar als het belang op bescherming van zijn privacy voor de betrokkene zwaarder weegt, dan is het verwerken van gegevens op grond van een gerechtvaardigd belang niet van toepassing.
Voor alle grondslagen zal er altijd een noodzaak moeten zijn om die gegevens te verwerken. Of het verwerken van bepaalde gegevens noodzakelijk is, moet altijd gemotiveerd worden.
Van de zes grondslagen zijn voor de gemeente in de praktijk de wettelijke grondslag en de goede vervulling van een publiekrechtelijke taak leidend. Doordat er tussen de gemeente en de burger een afhankelijkheidsrelatie bestaat, zal de grondslag toestemming zelden kunnen worden gebruikt. Voor veel voorzieningen moet de burger aankloppen bij de gemeente en is de burger dus afhankelijk. Alleen in uitzonderlijke situaties is toestemming van de burger een grondslag.
Voor de interne bedrijfsvoering van de gemeente, voor de medewerkers dus, speelt ook de grondslag gerechtvaardigd belang een rol. Denk hierbij aan de vraag of de gemeente het recht heeft om e-mail, internet- en telefoongebruik door medewerkers te controleren. Het gerechtvaardigd belang mag nooit als reden van de verwerking van gegevens van burgers worden gebruikt.
De hoofdregel van de verwerking van persoonsgegevens is dat het alleen toegestaan is in overeenstemming met de wet, en op een zorgvuldige wijze. Persoonsgegevens worden zoveel mogelijk verzameld bij de betrokkene zelf. De wet gaat uit van subsidiariteit. Dit betekent dat verwerking alleen is toegestaan wanneer het doel niet op een andere manier kan worden bereikt. In de wet wordt ook gesproken over proportionaliteit. Dit betekent dat persoonsgegevens alleen mogen worden verwerkt als dit in verhouding staat tot het doel. Wanneer met geen, of minder (belastende), persoonsgegevens hetzelfde doel bereikt kan worden moet daar altijd voor gekozen worden.
Persoonsgegevens moeten dus juist, ter zake dienend, up-to-date en niet bovenmatig veel zijn in het licht van het doel van de verwerking. Dit betekent dat alleen die persoonsgegevens mogen worden gebruikt die strikt noodzakelijk zijn voor het doel van de verwerking. Wanneer het bijvoorbeeld voldoende is om iemands contactgegevens te gebruiken, is het niet nodig om ook een pasfoto en BSN te vragen. Sowieso gelden voor het gebruik van het BSN strenge regels. Wanneer ook met anonieme gegevens volstaan kan worden, mogen geen herleidbare persoonsgegevens gebruikt worden.
Niet alleen zorgt de gemeente ervoor dat de persoonsgegevens kloppen en volledig zijn voordat ze verwerkt worden. Deze gegevens worden alleen verwerkt door personen met een geheimhoudingsplicht. Ook is het van belang dat de personen die daadwerkelijk werken met deze gegevens weten wat hun verantwoordelijkheid is. En hoe ze zorgvuldig om moeten gaan met persoonsgegevens. Het is dus belangrijk dat de medewerkers van de gemeente zich bewust zijn van de regels en gedragsnormen rondom privacy. Deze organisatorische maatregelen dragen ook bij aan een bewustwording binnen de gemeente. Denk hierbij aan het ontwikkelen van specifieke privacy protocollen en afwegingskaders. Maar ook in de vorm van het ondersteunen van de medewerkers door privacy trainingen en kennissessies. De medewerkers moeten zich bewust zijn van het belang van privacy. Zo moeten zij persoonsgegevens verwerken zoals is bepaald in het algemeen privacybeleid, algemeen privacyreglement en de bijbehorende privacyregelingen.
Daarnaast beveiligt de gemeente alle persoonsgegevens. Dit moet voorkomen dat de persoonsgegevens kunnen worden ingezien of gewijzigd door iemand die daar geen recht toe heeft. Als uitgangspunt geldt dat naarmate de risico’s van de verwerking hoger liggen er betere beveiligingsmaatregelen moeten worden getroffen. De gemeente heeft hiervoor een specifiek beleid opgesteld in de vorm van het Informatiebeveiligingsbeleid. Het is aan de gemeente om te bepalen hoe de persoonsgegevens organisatorisch en technisch moeten worden beveiligd Hoe de gemeente dit doet staat in het informatiebeveiligingsbeleid van de gemeente en in een eventueel aanvullend beveiligingsplan specifiek opgesteld voor een proces of registratie.
In ieder geval wordt de toegang en het gebruik van de systemen ten behoeve van de BRP en Suwinet gelogd. Middels steekproeven wordt gecontroleerd of het gebruik van de systemen en de verwerking van persoonsgegevens in lijn is met de wet- en regelgeving, het privacybeleid en dit reglement. Ook voor overige systemen wordt gebruik gemaakt van het loggen van gegevens. Indien daar aanleiding toe is, zal ook hier worden gecontroleerd of de systemen en verwerking van persoonsgegevens worden gebruikt conform de wet- en regelgeving, het privacybeleid en dit reglement.
Totdat de AVG per 25 mei 2018 van kracht wordt, moeten verwerkingen van persoonsgegevens in een aantal gevallen verplicht worden gemeld bij de Autoriteit Persoonsgegevens (AP). Dit gaat om meldingen die niet zijn vrijgesteld. Van deze meldingen houdt de AP een openbaar register bij. Om zo de burger te kunnen informeren over de bedrijven en organisaties die hun gegevens verwerken. Als er een functionaris voor de gegevensbescherming (FG) is aangesteld bij de gemeente, wat verplicht wordt onder de AVG, moet de niet-vrijgestelde melding bij deze persoon te worden gedaan in plaats van aan de AP.
Bepaalde verwerkingen van persoonsgegevens zijn zo privacygevoelig dat deze voorafgaand moeten worden onderzocht door de AP. Deze toetst dan of de verwerkingen in overeenstemming zijn met de wet. De gemeente is verplicht om zelf, wanneer het nodig is, een voorafgaand onderzoek te melden via het algemene meldingsformulier bij de AP.
Tijdens het voorafgaand onderzoek moet het gebruik van deze gegevens worden gestopt totdat het onderzoek is afgerond of bericht is ontvangen dat er geen verder onderzoek wordt ingesteld. Een voorafgaand onderzoek is verplicht, als:
Persoonsgegevens mogen in principe niet worden doorgegeven naar een organisatie in een land buiten de EU. Dit komt omdat binnen de EU een goede bescherming voor de persoonsgegevens is, en daarbuiten niet in alle gevallen. Onder doorgifte wordt o.a. verstaan: het opslaan (bijvoorbeeld in de Cloud) of het ter beschikking stellen aan een organisatie buiten de EU. Hieronder valt niet het via internet zichtbaar maken van persoonsgegevens aan personen buiten de EU. De gemeente geeft alleen persoonsgegevens door aan een land buiten de Europese Economische Ruimte (EER) of een internationale organisatie op grond van goedgekeurde afspraken door de Europese Commissie.
Betrokkenen moeten geïnformeerd worden over de verwerking van de eigen persoonsgegevens door de gemeente. Het moment van informeren en de manier waarop is afhankelijk van de vraag hoe de persoonsgegevens worden verzameld. Namelijk, zijn de gegevens rechtstreeks van de betrokkene verkregen of op een andere manier. In bepaalde gevallen verwerkt de gemeente persoonsgegevens op basis van een wettelijke verplichting en is zij niet verplicht om de betrokkene te informeren.
Als de persoonsgegevens door de burger of medewerker zelf worden aangeleverd, dan moet deze over de verwerking van zijn gegevens vooraf worden geïnformeerd. Als persoonsgegevens over de betrokkene niet direct bij deze persoon maar ergens anders, zoals een andere organisatie, dan hoeft de betrokkene pas op een later moment geïnformeerd te worden. De burger moet dan pas geïnformeerd worden als die persoonsgegevens door de gemeente worden vastgelegd. Of op het moment dat de gegevens voor het eerst aan een andere organisatie worden gegeven en dit uiteraard nodig is.
Betrokkenen hebben recht op inzage in de eigen persoonsgegevens. De betrokkene hoeft geen reden op te geven voor zijn inzageverzoek, maar hij mag niet overdreven veel verzoeken in korte tijd indienen. Als een betrokkene vraagt om inzage, dan heeft hij of zij recht op een volledig overzicht van de gegevens die worden gebruikt. Ook moet inzage worden gegeven in de herkomst van de gegevens, de ontvangers van de gegevens en de doelen van de verwerking van de persoonsgegevens. De gemeente zorgt ervoor dat aan dit verzoek tijdig en volledig wordt voldaan.
Naast een recht op inzage heeft de betrokkene ook recht op correctie, aanvullen, verwijderen of afschermen van de eigen persoonsgegevens. Aan dit verzoek moet alleen gehoor worden gegeven als de gegevens onjuist zijn of onvolledig zijn voor het doel waarvoor de gegevens worden verzameld. Dit verzoek moet ook worden gerespecteerd als de gegevens niet relevant zijn of in strijd met de wet worden gebruikt.
De betrokkene moet in zijn verzoek duidelijk aangeven welke gegevens om welke reden moeten worden aangepast. Het recht kan niet worden gebruikt om meningen of onderzoeksresultaten te wijzigen. Als positief wordt besloten op het verzoek, dan moeten de wijzigingen zo snel mogelijk worden doorgevoerd.
De wijzigingen of verwijderingen van persoonsgegevens moeten ook worden doorgegeven aan andere organisaties aan wie de gemeente de gegevens heeft verstrekt. Deze afspraken zijn standaard opgenomen in de verwerkersovereenkomsten van de gemeente.
De betrokkene heeft de mogelijkheid om zich te verzetten tegen het gebruik van zijn persoonsgegevens. Als een betrokkene zich verzet tegen gebruik van de gegevens, dan mag de organisatie de gegevens niet meer mag gebruiken. Ook al is de gegevensverwerking op zich gerechtvaardigd en toegestaan. Er zijn een aantal situaties waar het recht van verzet kan worden ingezet. Allereerst in het geval er sprake is van bijzondere persoonlijke omstandigheden en de verwerking is gebaseerd op de publiekrechtelijke taak. Of in de situatie dat het een medewerker is en deze vanwege bijzondere persoonlijke omstandigheden bezwaar maakt tegen de verwerking van zijn gegevens gebaseerd op een gerechtvaardigd belang. In beide situaties kan er niet met succes verzet worden ingediend tegen het opnemen van de persoonsgegevens in openbare registers die bij wet zijn ingesteld.
De betrokkene kan zich altijd verzetten tegen het gebruik van persoonsgegevens voor direct marketing-doeleinden of liefdadigheidsdoelen.
Om gebruik te maken van zijn/haar rechten kan de betrokkene een verzoek indienen. Dit verzoek kan zowel schriftelijk als via de e-mail ingediend worden. De gemeente heeft vier weken de tijd, vanaf de ontvangst van het verzoek, om te beoordelen of het verzoek gerechtvaardigd is. Binnen vier weken zal de gemeente laten weten wat er met het verzoek gaat gebeuren. Als het verzoek niet wordt opgevolgd is er de mogelijkheid om bezwaar te maken bij de gemeente, of een klacht in te dienen bij de Autoriteit Persoonsgegevens (AP). Aan de hand van een verzoek kan de gemeente aanvullende informatie opvragen om zeker te zijn van de identiteit van de betrokkene.
Vanaf 25 mei 2018 komen er voor de gemeente extra verplichtingen bij. Zo is de gemeente verplicht om te documenteren welke persoonsgegevens worden verwerkt, wat het doel ervan is, van wie of waar deze gegevens afkomstig zijn en met wie deze gegevens worden gedeeld. Daarnaast moeten we per verwerking documenteren en verantwoorden op basis van welke wettelijke grondslag de gemeente deze persoonsgegevens verwerkt.
De gemeente bewaart de persoonsgegevens niet langer dan nodig is voor de uitvoering van gemeentelijke taken, of zoals vastgelegd in de Archiefwet. In de Wbp of AVG worden geen bewaartermijnen genoemd.
De hoofdregel is: bewaren mag zolang het nodig is voor het doel van de verwerking.
In een aantal wetten zijn specifieke bewaartermijnen opgenomen voor bepaalde persoonsgegevens. Als geen bewaartermijn aanwezig is dan moet goed kunnen worden onderbouwd waarom persoonsgegevens voor een bepaalde termijn worden bewaard. Wanneer er nog persoonsgegevens opgeslagen zijn die niet langer nodig zijn voor het bereiken van het doel worden deze zo snel mogelijk verwijderd. Na afloop van de bewaartermijnen moeten de persoonsgegevens worden vernietigd of geanonimiseerd. Dit geldt niet alleen voor de gegevens zelf, maar ook voor kopieën en back-ups. Voor alle persoonsgegevens geldt dat de vernietiging onomkeerbaar moet zijn. Het gaat dus niet om het plaatsen van de bestanden in de prullenbak en de prullenbak legen, maar bijvoorbeeld om het overschrijven van data met nullen, enen en willekeurige karakters (data wiping).
De meldplicht datalekken houdt in dat de gemeente zo snel mogelijk (binnen 72 uur) een melding doet bij de AP zodra een ernstig datalek zich heeft voorgedaan. Een datalek is een inbreuk op de beveiliging, die flinke nadelige gevolgen heeft voor de burger of voor de bescherming van de persoonsgegevens. Denk hierbij aan een kwijtgeraakte USB-stick met persoonsgegevens, een gestolen laptop of een inbraak op het netwerk (hack). Als de kans bestaat dat het datalek nadelige gevolgen zou kunnen hebben voor burgers, dan moet de gemeente het daarnaast óók melden bij de betrokken burgers. Daarnaast moet de burger worden geïnformeerd over welke maatregelen wij als gemeente nemen om de risico’s en schade te beperken.
Naast het melden moeten wij ook alle datalekken documenteren. Met deze documentatie moet de Autoriteit Persoonsgegevens kunnen controleren of wij als gemeente aan de meldplicht hebben voldaan.
Verwerkersovereenkomsten moeten iedere keer worden afgesloten wanneer derden – ook wel verwerkers genoemd – in opdracht van de gemeente persoonsgegevens verwerken. Te denken valt aan een instantie op het gebied van schuldhulpverlening die van de gemeente de opdracht krijgt de schuldenproblematiek aan te pakken. Hiervoor krijgt de instantie toegang tot deze gemeentelijke gegevens. Uiteraard moeten er duidelijke afspraken worden gemaakt over hoe deze instantie moet omgaan met de gegevens die zij van de gemeente krijgt. Denk hierbij aan welke gegevens men nodig heeft om haar taak uit te oefenen. De manier waarop de organisatie de gegevens heeft beveiligd en wat zij moet doen als er een datalek is. De gemeente heeft een standaard verwerkersovereenkomst beschikbaar gesteld die in al deze gevallen moet worden gebruikt.
De Privacy Impact Assessment (PIA)
Met een PIA worden de effecten en risico’s van nieuwe of bestaande verwerkingen beoordeeld op de bescherming van de privacy. Dit geldt in het bijzonder bij verwerkingen waarbij nieuwe technologieën worden gebruikt. De gemeente ‘s-Hertogenbosch voert deze alleen uit wanneer:
Privacy by Design en privacy by default
Bij de aanschaf of ontwikkeling van producten, systemen of processen moet altijd rekening worden gehouden met de bescherming van persoonsgegevens. We noemen dit Privacy by Design (Pbd) en privacy by default. Voor alle producten, systemen of processen moeten de technische en organisatorische maatregelen ervoor zorgen dat standaard allee die gegevens worden gebruikt die nodig zijn voor het doel. Als blijkt dat bij een systeem gevoelige of bijzondere persoonsgegevens worden verwerkt en dit mogelijk een hoog privacyrisico met zich meebrengt, zijn we verplicht om een Privacy Impact Assessment (PIA) uit te voeren.
Functionaris voor de gegevensbescherming
De gemeente heeft een functionaris voor de gegevensbescherming (FG) aangesteld. Door het aanstellen van een FG wordt een belangrijke stap gezet in de manier waarop de gemeente aan haar burgers wil uitdragen dat zij serieus omgaat met de verwerking van persoonsgegevens. De aanwijzing van een FG wordt voor de gemeente onder de AVG verplicht. De FG is betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. De taken van de functionaris zijn informeren, adviseren, toezicht houden, bewustwording creëren, en optreden als contactpersoon van de AP. De gemeente stelt ook een FG aan om daarmee het eigen toezicht en controle te organiseren. Hij heeft een belangrijke coördinerende rol en adviseert over oplossingen over privacy. De FG houdt vanuit een onafhankelijke positie intern toezicht op de manier waarop door de gemeente wordt omgegaan met persoonsgegevens. Belangrijk is ook dat hij aan de voorkant een rol speelt bij de inrichting van processen. En als laatste is de FG het formele aanspreekpunt is voor burgers als zij hun rechten als betrokkene willen uitoefenen. Het is niet de bedoeling dat de functionaris de taken op het gebied van bescherming van de privacy van de afdelingen overneemt. De afdelingen hebben hun eigen verantwoordelijkheid in het goed omgaan met privacygevoelige gegevens.
Voor vragen over privacy of over deze toelichting kunt u contact opnemen met de functionaris voor gegevensbescherming van de gemeente ’s-Hertogenbosch via: fg@s-hertogenbosch.nl
De sector, respectievelijk afdeling, is verantwoordelijk voor de wijze waarop zij persoonsgegevens verwerkt. De FG of de medewerkers belast met privacy, zoals de privacy officer, kunnen adviseren of oordelen dat een bepaalde gegevensverwerking niet conform het beleid en het reglement wordt uitgevoerd.
Als de aanwijzing(en) door de FG ten aanzien van de desbetreffende gegevensverwerking niet binnen een redelijke termijn wordt opgevolgd, wordt het volgende escalatiemodel gehanteerd:
Gouden regels van privacy & informatiebeveiliging
Om als gemeente ’s-Hertogenbosch voor iedereen op een duidelijke en begrijpelijke wijze het belang van het zorgvuldig omgaan met persoonsgegevens, zijn er 10 regels opgesteld. Deze bestaan uit 6 regels die specifiek zien op het werken met (en verwerken van) persoonsgegevens. De andere 4 regels zijn de zien op de informatiebeveiliging, maar zijn ook van toepassing op het zorgvuldig omgaan met persoonsgegevens. Deze 10 regels worden gezamenlijk aangeduid als de 10 gouden regels van privacy & informatiebeveiliging. Iedere sector, afdeling en medewerker dient deze gouden regels te kennen, te respecteren en toe te passen in de dagelijkse werkzaamheden. Per sector, of indien meer voor de hand per afdeling, is het mogelijk om binnen deze vaststaande 10 regels en de kaders een nadere invulling en toelichting te geven op de toepassing van de regel gelet op de eigen sector- of afdelingsspecifieke werkzaamheden.