CVDR488265_1Algemeen privacybeleid gemeente SteenbergennlregelingSteenbergen2018-05-01SteenbergenGemeentebladAlgemeen privacybeleid gemeente SteenbergenWet bescherming persoonsgegevenscollege van burgemeester en wethoudersbestuur en recht2017-07-11De tekst in dit document is vrij van auteursrecht en
databankrecht2018-05-012018-05-012022-12-13BeleidsregelsBM1702151Geen Algemeen privacybeleid gemeente SteenbergenDe gemeente Steenbergen verwerkt persoonsgegevens voor de goede
uitvoering van haar publiekrechtelijke taken en in het kader van de
bedrijfsvoering. De gemeente verzamelt en bewerkt persoonsgegevens voor
de dienstverlening aan inwoners en bedrijven. Als gevolg van de
decentralisaties van de Jeugdwet, Wmo 2015 en de Participatiewet
beschikt de gemeente Steenbergen over nieuwe klantgroepen en dus nieuwe
(bijzondere) persoonsgegevens. De beschikking over deze gegevens vormt
een nieuwe belangrijke verantwoordelijkheid. Daarnaast zal de gemeente
door deze taakuitbreiding vaker persoonsgegevens willen uitwisselen met
andere instanties. De complexiteit van de bescherming van de
persoonlijke levenssfeer van inwoners van de gemeente is hiermee
toegenomen.De gemeente vindt het belangrijk dat inwoners kunnen vertrouwen op een
veilige verwerking van persoonsgegevens. Bescherming van
persoonsgegevens is immers een grondrecht. Burgers hebben er recht op
dat persoonsgegevens op een rechtmatige manier worden verwerkt.
Uitgangspunt is dat de gemeente zorgvuldig en veilig, proportioneel en
vertrouwelijk omgaat met persoonsgegevens. Een zorgvuldige omgang met de
gegevens van burgers is van groot belang voor het vertrouwen van burgers
in de overheid. De gemeente geeft met dit algemene privacybeleid verdere
invulling aan de verplichtingen en bevoegdheden die uit de
privacywetgeving voortvloeit. De Algemene Verordening
Gegevensbescherming en andere bij specifieke wet geregelde
privacyregimes vormen het formele kader van de gemeente Steenbergen.
Naast dit algemene privacybeleid, is er ook aanvullend beleid opgesteld
voor het sociaal domein. Het gemeentelijk privacybeleid is van toepassing op alle taken en
verwerkingsprocessen waar persoonsgegevens worden verwerkt en waar de
gemeente Steenbergen voor verantwoordelijk is. Bij het verwerken van
persoonsgegevens worden de volgende uitgangspunten in acht genomen:
Gegevens van burgers worden binnen de kaders van de geldende
wet- en regelgeving en op behoorlijke en zorgvuldige wijze
verwerkt.
De inbreuk op de eerbiediging van de persoonlijke levenssfeer
van de burger wordt zoveel mogelijk beperkt (subsidiariteit).
De inbreuk op de belangen van de burger mag niet onevenredig
zijn in verhouding tot het met de verwerking te dienen doel
(proportionaliteit).
Gegevens worden enkel gebruikt voor het met de verwerking te
dienen doel en kunnen alleen worden gebruikt voor andere doelen
of worden gedeeld voor zover de wet dat toestaat. De gemeente
streeft naar minimale gegevensverwerking. Waar mogelijk worden
minder of geen persoonsgegevens verwerkt.
Persoonsgegevens worden niet langer bewaard dan noodzakelijk.
In geval van samenwerking met derden, dan wel verstrekking van
persoonsgegevens aan derden, worden afspraken gemaakt over de
eisen en voorwaarden waar gegevensuitwisseling aan moet voldoen.
De burger wordt op een proactieve en transparante wijze
geïnformeerd over de verwerking van persoonsgegevens door de
gemeente. De gemeente geeft in voorkomend geval gehoor aan
inzage- en/of correctieverzoeken, dan wel verwijderingverzoeken.
Afhandeling van klachten gebeurt op een laagdrempelige,
toegankelijke wijze.
De gemeente borgt middels technische en organisatorische
maatregelen dat onbevoegde toegang en onbevoegd gebruik van
gegevens wordt voorkomen.
Bij aanschaf, inrichting of ontwikkeling van producten of
diensten houdt de gemeente rekening met de eerbiediging van de
persoonlijke levenssfeer van burgers.
Beveiligingsincidenten waar potentieel persoonsgegevens bij
betrokken zijn worden direct gemeld bij de Functionaris voor de
gegevensbescherming.
Het recht op eerbiediging van de persoonlijke levenssfeer bij het
verwerken van persoonsgegevens is een grondrecht. Het recht op privacy
is niet alleen nationaal als grondrecht erkend, maar ook internationaal
in onder andere het Europees Verdrag voor de Rechten van de Mens en het
Internationaal kinderrechtenverdrag. De huidige privacywetgeving, de Wet Bescherming Persoonsgegevens
(hierna: de WBP), is gebaseerd op de Europese privacyrichtlijn uit 1995.
De WBP vereist dat het College van B&W borgt dat de personen over
wie de gemeente gegevens bijhoudt, op een passende manier beschermt
worden tegen risico’s van de informatiemaatschappij. De WBP werd
opgesteld toen het internet en de technische mogelijkheden die het
gebruik van internet biedt, nog in de kinderschoenen stond. Daarom is de
Europese privacywetgeving de afgelopen jaren herzien. Op 24 mei 2016 is de Algemene verordening gegevensbescherming (hierna:
AVG) in werking getreden. De AVG zal vanaf 25 mei 2018 direct van
toepassing zijn en, vanaf die datum, de Wet Bescherming Persoonsgegevens
vervangen. De snelle technologische ontwikkelingen, de grote hoeveelheid
beschikbare data en de aanzienlijke toename van de grensoverschrijdende
stromen van persoonsgegevens heeft geleid tot harmonisatie van het
Europees Unierecht met betrekking tot de bescherming van
persoonsgegevens.Het begrip persoonsgegevens omvat alle gegevens die een natuurlijk
identificeerbaar persoon betreffen. NAW-gegevens, Burgerservicenummers,
e-mail, maar ook kentekens en IP-adressen kunnen als persoonsgegeven
worden aangemerkt, omdat deze kunnen leiden tot een persoon.De AVG zorgt voor een versterking en uitbreiding van privacyrechten en
brengt meer verantwoordelijkheden voor organisaties. De gemeente dient
aan te (kunnen) tonen dat er is voldaan aan de wettelijke vereisten
omtrent gegevensbescherming. Elke verwerking van persoonsgegevens dient
behoorlijk en rechtmatig te geschieden en voor burgers dient het
transparant te zijn dat hen betreffende persoonsgegevens worden
verzameld, gebruikt of geraadpleegd. Persoonsgegevens mogen enkel worden
verwerkt indien het doel van de verwerking niet redelijkerwijs op een
andere wijze kan worden verwezenlijkt. De opslagperiode dient niet
langer te zijn dan noodzakelijk voor het doel waar de persoonsgegevens
voor zijn verzameld. Wanneer er geen concrete bewaartermijn in de wet is
opgenomen voor een bepaald gegeven, bijvoorbeeld op grond van
belastingwetgeving of op grond van de Archiefwet, betekent dit dat de
gegevens vernietigd moeten worden als zij niet meer nodig zijn. De gemeente Steenbergen verwerkt enkel gegevens indien aan ten minste
een van de onderstaande voorwaarden is voldaan:
Er is sprake van expliciete toestemming van de betrokkene;
Er is sprake van een overeenkomst;
Er is sprake van een wettelijke plicht;
Er is sprake van een vitaal belang van de betrokkene;
Er is sprake van een publiekrechtelijke taak;
Er is sprake van een gerechtvaardigd belang dat boven het
privacybelang van betrokkene staat.
Bijzondere persoonsgegevens zijn gegevens die betrekking hebben op
iemand godsdienst of levensovertuiging, ras, politieke gezindheid,
gezondheid, seksuele voorkeur en/of strafrechtelijk verleden. Deze
persoonsgegevens worden door de gemeente Steenbergen met extra
zorgvuldigheid beveiligd en verwerkt. De gemeente Steenbergen verzamelt en verwerkt persoonsgegevens enkel
voor een bepaald doel. Dit doel is specifiek en nadrukkelijk beschreven
in het documentatieregister. Daarnaast wordt de verwerking getoetst aan
het proportionaliteitsbeginsel en het subsidiariteitsbeginsel. Dit houdt
in dat de verwerking in verhouding staat met het beoogde doel en er
enkel gegevens worden verwerkt indien dit niet op een minder ingrijpende
wijze kan worden bereikt. De voorwaarden en eisen die zowel de WBP als de AVG stellen, fungeren
als parapluwetgeving: bijna alle sectoren, instellingen en bedrijven in
Nederland dienen eraan te voldoen. Naast dit algemeen wettelijk kader
zijn er in sectorspecifieke wetten aanvullende regels opgenomen omtrent
gegevensuitwisseling en het waarborgen van privacy. De Jeugdwet, de Wet
Basisregistratie Personen, de Participatiewet en de WMO 2015 zijn
voorbeelden van dergelijke wetgeving met specifieke aanvullende eisen.
De gemeente Steenbergen heeft nadere beleidsregels en protocollen
opgesteld omtrent het verwerken van persoonsgegevens in het sociaal
domein. Privacy is voor een belangrijk deel een zaak van bewustwording, cultuur
en communicatie. Bestuur, ambtenaar en hulpverlener moeten zich bij de
uitoefening van hun werk voortdurend bewust zijn van het belang van het
waarborgen van de eerbiediging van de persoonlijke levenssfeer van de
burger. De gemeente zal dit bewustwordingsproces ondersteunen door het
ontwikkelen van privacyprotocollen en afwegingskaders en het geven van
trainingen. Het college van Burgemeester en Wethouders is in het merendeel van de
verwerkingen verwerkingsverantwoordelijk voor de zorgvuldigheid van de
gegevensverwerking die door of namens de gemeente plaats vindt. Er zijn
echter ook verwerkingen waar enkel de burgemeester of de gemeenteraad de
eindverantwoordelijkheid draagt. Het College is voor de wijze waarop het invulling geeft aan het
privacybeleid verantwoording verschuldigd aan de Gemeenteraad. Om
privacy goed te borgen in de organisatie is het van belang dat er in de
lijnorganisatie genoeg aandacht is voor dit onderwerp. De rollen en
verantwoordelijkheden dienen te worden bepaald en vastgelegd.
Het College stelt het gemeentelijk privacybeleid vast met
inachtneming van de aanbevelingen van de functionaris voor de
gegevensbescherming en bevordert de beschikbaarheid van
voldoende middelen om privacybescherming passend te
waarborgen.
Het College wijst een functionaris voor de gegevensbescherming
(hierna: FG) aan voor onafhankelijk toezicht op de uitvoering
van het privacybeleid conform artikel 37 van de Algemene
Verordening Gegevensbescherming.
Het college stelt een Privacybeheerder aan voor het adviseren
over praktische privacyvraagstukken binnen de organisatie.
Het college wijst uit haar midden een portefeuillehouder privacy
& gegevensbescherming aan die bestuurlijk verantwoordelijk
is voor de uitvoering van het gemeentelijk privacybeleid en voor
controle op de naleving van afspraken. De feitelijke uitvoering
wordt opgedragen aan de functionaris voor de
gegevensbescherming.
De portefeuillehouder privacy ziet toe op de ontwikkeling en
uitvoering van themagericht privacybeleid. De privacybeheerder
en de FG rapporteren minstens één keer per jaar aan de
portefeuillehouder over de resultaten die zij hieromtrent hebben
bereikt. Privacy vormt een onderdeel van het planning en control
proces van de gemeente. De portefeuillehouder informeert de Raad
binnen de jaarlijkse planning en control cyclus over het
privacybeleid binnen de gemeente.
Door de functies advies en controle te scheiden, wordt voorkomen dat de
Functionaris voor de gegevensbescherming toezicht moet houden op zijn
eigen werk en waarborgt de gemeente haar geloofwaardigheid en
betrouwbaarheid. Dit komt de kwaliteit ten goede.
Functionaris voor de gegevensbescherming De Functionaris voor de gegevensbescherming fungeert als
onafhankelijke interne toezichthouder. Hij ziet toe op de
naleving van de Verordening, andere privacywetgeving en het
beleid van de gemeente Steenbergen met betrekking tot de
bescherming van persoonsgegevens, inclusief de toewijzing van
verantwoordelijkheden, bewustmaking en opleiding van de
medewerkers. Om deze taak uit te voeren heeft de Functionaris
voor de gegevensbescherming controlebevoegdheden, zoals nader
bepaald in de Regeling toezichtbevoegdheden Functionaris voor de
gegevensbescherming. Daarnaast geeft hij advies omtrent de uit
te voeren gegevensbeschermingseffectbeoordelingen en ziet toe op
de uitvoering hiervan. De Functionaris rapporteert zo nodig
rechtstreeks aan het College.
de PrivacybeheerderBinnen de gemeente wordt een Privacybeheerder aangesteld. De
privacybeheerder vormt de vraagbaak binnen de gemeente voor
privacyvraagstukken, geeft advies omtrent de uitvoering en
draagt bij aan kennisverspreiding en cultuur. Tevens
actualiseert de privacybeheerder het register van verwerkingen
en controleert de verwerkingen op rechtmatigheid.
Alle medewerkers van de gemeente Steenbergen dienen bij te dragen aan de
eerbiediging van de persoonlijke levenssfeer bij de verwerking van
persoonsgegevens. Privacy dient dan ook ingebed te zijn in de door hen
te hanteren werkwijze(n). De gemeente werkt actief aan het optimaliseren
van kennis omtrent privacy en een transparante procesuitvoering.
Individuele casussen, bevindingen en vragen omtrent dit onderwerp worden
voorgelegd aan de Privacybeheerder. De leidinggevenden zien toe op de naleving van wet- en regelgeving en
het privacybeleid. De leidinggevende zorgt ervoor dat de FG naar behoren
en tijdig wordt geïnformeerd en betrokken bij gelegenheden die verband
houden met de bescherming van persoonsgegevens, zodat de FG zijn taken
adequaat kan uitvoeren. Wanneer persoonsgegevens tussen de verschillende
afdelingen worden uitgewisseld worden hier afspraken over gemaakt.De gemeente neemt passende technische en organisatorische maatregelen
teneinde persoonsgegevens te beveiligen tegen verlies, onbevoegde
toegang of onrechtmatige verwerking. Hoe gevoeliger de informatie is,
des te hoger het beveiligingsniveau. Daarnaast besteedt de gemeente
Steenbergen reeds bij de ontwikkeling en aanschaf van producten en
diensten aandacht aan privacy verhogende maatregelen.In 2017 is het informatieveiligheidsbeleid vastgesteld, waarin kaders en
maatregelen voor de beveiliging van (persoons)gegevens zijn opgenomen.
Het beschermingsniveau van data wordt uitgedrukt in classificatieniveaus
voor beschikbaarheid, integriteit en vertrouwelijkheid van
informatie:
Beschikbaarheid: hoeveel en wanneer data toegankelijk is en
gebruikt kan worden.
Integriteit: het in overeenstemming zijn van informatie met de
werkelijkheid en dat niets ten onrechte is achtergehouden of
verdwenen.
Vertrouwelijkheid: de bevoegdheden en de mogelijkheden tot
muteren, kopiëren, toevoegen, vernietigen of kennisnemen van
informatie voor een gedefinieerde groep van gerechtigden.
Met het toekennen van classificatieniveaus aan data en/of
informatiesystemen is van groot belang, omdat daarmee het vereiste
beschermingsniveau kenbaar gemaakt wordt. In het geval zich – ondanks de
getroffen maatregelen – een beveiligingsincident voor doet waarbij
persoonsgegevens zijn betrokken, wordt dit direct gemeld bij de FG.
Onder een dergelijk beveiligingsincident valt onbevoegde toegang of
kennisname van persoonsgegevens, dan wel verlies of onjuiste
vernietiging van bestanden welke persoonsgegevens bevat. Met het oog op de bescherming van persoonsgegevens maakt de gemeente
Steenbergen met externe partijen afspraken omtrent de omgang met
privacy. Dit kan in bijvoorbeeld convenanten of
verwerkersovereenkomsten. Deze afspraken voldoen aan de wet. Indien de gemeente Steenbergen structureel informatie uitwisselt of
samenwerkt met externe organisaties of andere gemeenten, maakt de
gemeente Steenbergen vooraf duidelijke afspraken over de
gegevensuitwisseling in de vorm van een convenant. Als de gemeente Steenbergen een externe vraagt voor haar gegevens te
verwerken is het College verplicht met die externe een
verwerkersovereenkomst te sluiten. In de verwerkersovereenkomst worden
afspraken gemaakt omtrent de waarborgen en beveiliging van
persoonsgegevens. De FG ziet toe op de naleving van de
verwerkersovereenkomst. Om de privacy van haar burgers optimaal te kunnen waarborgen voert de
gemeente Steenbergen een gegevensbeschermingseffectbeoordeling uit als
dit nodig is en houdt zij een register van verwerkingen bij. Bij de invoering van nieuw beleid of regelgeving of bij het gebruik van
nieuwe technologieën houdt de gemeente Steenbergen rekening met de
bescherming van de persoonlijke levenssfeer door een
gegevensbeschermingseffectbeoordeling uit te voeren. Het college besluit
van geval tot geval over de noodzaak daarvoor. De volgende indicatoren zullen daarbij als toetsingskader worden
gehanteerd:
een nieuwe gemeentelijke taak;
aanleg van een groot databestand;
verwerking van bijzondere persoonsgegevens;
aanschaf van een nieuw ICT-systeem;
systematische gegevensuitwisseling met een externe.
In het geval sprake is van één of meerdere indicatoren, kan de
uitvoering van een (externe) PIA in de rede liggen. In de gegevensbeschermingseffectbeoordeling komt ten minste naar
voren:Een systematische beschrijving van de beoogde verwerkingen en de
verwerkingsdoeleinden;
Een beoordeling van de noodzaak en de evenredigheid van de
verwerkingen;
Een beoordeling van de risico’s voor de rechten en vrijheden van
burgers;
De boogde maatregelen om de risico’s aan te pakken
Wanneer het effect van een verwerking beoordeeld is, wordt de
Functionaris voor Gegevensbescherming geraadpleegd en om advies
gevraagd. De gemeente Steenbergen houdt een register van verwerkingen bij met alle
verwerkingsactiviteiten van persoonsgegevens per proces [3]. De
privacybeheerder controleert en actualiseert het register. Onder andere
de doeleinden van de verwerkingen, de categorieën van persoonsgegevens,
derden ontvangen en de rechtmatige grondslag worden hierin
opgenomen.Transparantie richting de burgers staat bij de gemeente Steenbergen
voorop. Naast informatie over de doeleinden van de verwerkingen, de
categorieën van de verwerkte gegevens, de herkomst van de gegevens en de
ontvangers verstrekt de gemeente ook informatie over de mogelijkheid van
geautomatiseerde besluitvorming, alsmede de bewaartermijnen en
klachtrechten. Burgers hebben de volgende rechten:
Recht op informatie: Betrokkenen hebben het recht om aan de
gemeente te vragen of zijn/haar persoonsgegevens worden
verwerkt;
Inzagerecht: Betrokkenen hebben de mogelijkheid om te
controleren of, en op welke manier, zijn/haar gegevens worden
verwerkt;
Correctierecht: Als duidelijk wordt dat de gegevens niet
kloppen, kan de betrokkene een verzoek indienen bij de gemeente
om dit te corrigeren;
Recht van verzet: Betrokkenen hebben het recht aan de gemeente
te vragen om hun persoonsgegevens niet meer te gebruiken;
Recht om vergeten te worden: In gevallen waar de betrokkene
toestemming heeft gegeven om gegevens te verwerken, heeft de
betrokkene het recht om de persoonsgegevens te laten
verwijderen.
Recht op bezwaar: Betrokkenen hebben het recht om bezwaar aan te
maken tegen de verwerking van zijn/haar persoonsgegevens. De
gemeente zal hieraan voldoen, tenzij er gerechtvaardigde gronden
zijn voor de verwerking.
Klachten en verzoeken met betrekking tot de bescherming van de
persoonlijke levenssfeer worden direct doorgegeven aan de afdeling waar
de klacht betrekking op heeft. Dit kan zowel schriftelijk als via de
e-mail ingediend worden. De leidinggevende is verantwoordelijk voor de
afwikkeling en het treffen van verbetermaatregelen. Daarnaast wordt de
klacht doorgegeven aan de Functionaris voor de gegevensbescherming,
alwaar deze wordt geregistreerd. Burgers die – ondanks de gevolgde
procedure - niet tevreden zijn over de wijze van afwikkeling van zijn of
haar klachten kunnen zich rechtstreeks beklagen bij de Functionaris voor
de gegevensbescherming. [1] In de Wbp wordt een dergelijke overeenkomst aangeduid als
bewerkersovereenkomst. [2] Ook wel Data Protection Impact Assessment genoemd (DPIA).[3] Register overeenkomstig artikel 30 Avg