Besluit van Gedeputeede Staten van 28 maart 2017 , kenmerk 01405447 houdende een Privacyreglement personeelsgegevens Provincie Fryslân

Inleiding

Door de voortschrijdende techniek en automatisering neemt het aantal registraties (bestan-den) waarin tevens persoonsgegevens van werknemers worden opgenomen toe. Een niet uitputtende lijst van registraties door de werkgever, of waar de werkgever navraag naar kan doen is:

• •

  Emailverkeer

• •

  Surfgedrag op internet/inlogtijden thuiswerken

• •

  Locatie bij gebruik tablet/smartphone

• •

  Meekijken bij gebruik computer

• •

  Gegevens in black-boxen van poolauto’s/dienstauto’s/reisgedrag blijkend uit declara-ties

• •

  Registratie van gegevens door gebruik van toegangspasjes (aanwezigheid, printge-drag, gebruik parkeergarage)

• •

  Gebruik telefoon (belgedrag)

• •

  (incidenteel) camerabewaking

• •

  Smoelenboek

• •

  Personeels- en salarisadministratie

Voor de medewerkers waarvan gegevens worden geregistreerd is het van belang te weten dat gegevens worden geregistreerd, voor welk doel en hoelang ze worden bewaard. Ook van belang is voor alle partijen gedragsregels te kennen wat mag wel en wat mag niet met die personeelsgegevens, maar ook bewust zijn dat gedrag via verschillende media’s risico’s heeft. Dit laatste, het gedrag, valt buiten het kader van dit privacyreglement. Aanbevolen wordt om dit separaat van dit protocol in te vullen. Dit geldt ook voor verplichtingen die gelden voor medewerkers bij gebruik van verschillende middelen, denk daarbij aan dossiervorming en het vastleggen van een stuk dat vertrouwelijk/geheim is.

De werkgever heeft de wettelijke plicht de Ondernemingsraad te betrekken bij regelingen voor het verwerken, registreren/opslaan, bewaren en verwijderen van personeelsgegevens. Daarbij heeft de Ondernemingsraad instemmingsrecht. Met het vaststellen van een overkoe-pelend privacyreglement wordt beoogd als werkgever haar visie neer te leggen over de wijze waarop met gegevens van personeel wordt omgegaan, evenals inhoud te geven aan de rol van de OR voor de huidige en toekomstige registratie van personeelsgegevens. Het regle-ment voorkomt dat in de toekomst bij elke nieuwe of gewijzigde registratie, dan wel wens tot gebruik van gegevens, instemming aan de OR behoeft te worden gevraagd. Het geeft duide-lijkheid over wederzijdse verplichtingen t.a.v. registratie, maar ook over de daarover te geven informatie. Het invullen van de gezamenlijke visie op gebruik van persoonsgegevens leidt tevens tot een eenduidige informatieverstrekking naar de werknemers over waar gegevens worden geregistreerd en onder welke spelregels.

Als basis voor het reglement geldt uiteraard de Wet Bescherming Persoonsgegevens. In 2016 wordt stringentere Europese regelgeving op het gebied van privacy doorgevoerd, waaronder het moeten hebben van passende veiligheidsmaatregelen, maar ook eisen ten aanzien van welke persoonsgegevens mogen worden verwerkt. Dit reglement zal, door de verplichting in beeld te brengen, welke registraties er zijn, het eenvoudiger maken om aan die nieuwe ver-plichtingen te voldoen.

1. Definities

Aangesloten wordt bij de definities in de Wet Bescherming Persoonsgegevens.

• a.

  Medewerker: elke persoon in dienst van de provincie en de personen die in een arbeidsrechtelijke gezagsverhouding in opdracht van de provincie werkzaamheden verrichten, zoals P-rollers, gedetacheerden en uitzendkrachten;

• b.

  Personeel: het totaal aan medewerkers;

• c.

  Werkgever: Provincie Fryslân;

• d.

  Verantwoordelijke: Algemeen directeur

2. Uitgangspunt en reikwijdte

De uitgangspunten voor de invulling van dit reglement zijn:

• •

  De medewerkers werken vanuit het organisatiebelang

• •

  De werkgever heeft respect voor de privacy van de medewer-kers

• •

  De medewerkers hebben respect voor de privacy van collega medewerkers

• •

  De medewerkers en de werkgever hebben respect voor de per-soonsgegevens van derden (burgers, zzp-er, P-rollers en gede-tacheerden)

Dit reglement is van toepassing op alle geautomatiseerde en niet geautomatiseerde bestanden van de Provincie Fryslân waarin persoonsgegevens van medewerkers worden opgeslagen.

3. Inventarisatie persoonsbestanden

De werkgever zal:

• a.

  een actuele lijst aanhouden van bestanden waarin persoonsgegevens van me-dewerkers zijn opgenomen.

• b.

  per bestand een bijlage opstellen met:

  • a.

    Een omschrijving van het primaire doel van het bestand (= gerecht-vaardigd belang) en waarvoor het bestand zal worden gebruikt. In punt 5 wordt aangegeven waaraan deze omschrijving moet voldoen.

  • b.

    De naam van de afdeling die het bestand beheert.

  • c.

    Een opsomming van de persoonsgegevens of de tot personen herleid-bare gegevens die worden geregistreerd. In punt 7 wordt omschreven wat hierbij verder moet worden vermeld.

  • d.

    De bron van de gegevens, en de bewaartermijn van de gegevens. In punt 8 wordt dit gepreciseerd.

  • e.

    De contactgegevens voor inzage- en correctierecht (punt 9).

  • f.

    De conclusie of er voor het bestand een meldplicht geldt bij het College bescherming persoonsgegevens en of aan deze meldplicht is voldaan.

  • g.

    Een omschrijving van de relaties met andere bestanden.

  • h.

    De vermelding of er voor het bestand een aparte privacyregeling geldt.

  • i.

    Een lijst met aanvullingen of afwijkingen ten opzichte van deze over-koepelende regeling. Bij afwijking is instemming OR nodig. (bijv. verval-len bescherming: na niet leegmaken mailbox na ontslag).

• c.

  een actueel overzicht van de bestanden op intranet plaatsen.

  Het hoofd van de afdeling Informatievoorziening is verantwoordelijk voor een actieve uitvoering van deze registratieverplichtingen. Daartoe zal eens in de twee jaren een uitvraag worden gedaan naar alle afdelingen om te voldoen aan de in dit reglement genoemde verplichtingen.

4. Aanvulling of verwijdering van de lijst

De organisatie is bevoegd om, zonder instemmingsaanvraag bij de Ondernemings-raad (OR), de lijst aan te vullen of in te perken mits bij aanvulling van de lijst voor een nieuw bestand wordt voldaan aan de eisen zoals gesteld in dit reglement. Voorlegging aan de OR is wel noodzakelijk als wordt afgeweken van dit reglement en/of er ten op-zichte van dit reglement aanvullende bevoegdheden aan de organisatie worden toe-bedeeld. Dan is voorleggen aan de OR ter instemming verplicht.

De OR wordt over wijzigingen in de lijst geïnformeerd. De OR toetst binnen een maand na ontvangst van de informatie of zij alsnog een instemmingsverzoek wenst te ontvangen. Een verzoek daartoe richt de OR aan de algemeen directeur.

5. Primaire doel en controledoelen van een bestand

5.1. Primair doel registratie

Een bestand moet een gerechtvaardigd doel hebben.

Per bestand wordt behalve het primaire doel aangegeven waarvoor de gegevens verder mogen worden gebruikt.

5.2. Controledoelen

Gebruik van gegevens uit een bestand voor controle is alleen mogelijk op basis van wat daarover is bepaald in dit artikel.

5.2.1 Gerichte controle

• a.

  Gebruik van gegevens voor controle van een medewerker is toegestaan nadat de algemeen directeur daartoe, op basis van een gerechtvaardigd vermoeden van een strafbaar feit of niet integer handelen, opdracht heeft gegeven. Deze controle mag slechts worden uitgevoerd door medewerkers, die functies be-kleden die voorkomen op de lijst van gekwalificeerde functies, volgens het vi-gerende integriteitsbeleid. De medewerker naar wie een onderzoek is ingesteld zal hierover worden geïnformeerd. In het belang van het onderzoek zal dat vaak na het onderzoek zijn. Dit zal achteraf naar de betrokkene toe worden gemotiveerd. De Ondernemingsraad wordt vertrouwelijk geïnformeerd over het instellen van een onderzoek.

• b.

  Het gestelde onder a geldt tevens voor het door de provincie opvragen van personeelsgegevens bij externe organisaties waarover die organisaties be-schikken vanuit een contract met de werkgever.

5.2.2 Steekproefsgewijze controle

• 1.

  Gegevens uit een bestand mogen door de werkgever worden gebruikt voor steek-proefsgewijze controle als wordt voldaan aan de volgende criteria:

  • a.

    Het is op zich mogelijk dat één of meer medewerkers strafbare feiten plegen of niet integer handelen.

  • b.

    Het onder a bedoelde gedrag een substantieel financieel en/of publicitair risico oplevert voor de organisatie en

  • c.

    De omvang van de steekproef in relatie staat tot het potentiële risico.

• 2.

  De inhoud en de omvang van de steekproef wordt overeengekomen met een re-delijke en representatieve vertegenwoordiging van de doelgroep. De voorgenomen steekproef wordt gemeld bij de Ondernemingsraad onder vermelding van de wijze waarop de redelijke en representatieve vertegenwoordiging van de doelgroep is samengesteld. De Ondernemingsraad wordt geacht te hebben ingestemd tenzij de Ondernemingsraad binnen drie weken gemotiveerd aangeeft niet te kunnen in-stemmen. De uitkomsten van de controle worden, geanonimiseerd, met de doelgroep ge-deeld.

• 3.

  Dit artikel is alleen toepasbaar als aan de verplichtingen in artikel 3 is voldaan.

   

5.2.3 Gebruik van toevallig geconstateerde strafbare feiten of niet integer ge-drag

Indien onverwacht op strafbare feiten of niet integer gedrag wordt gestuit, “toevallig zien wij dat”, en daarover nog geen beleidslijn is vastgesteld dan zal deze informatie niet worden gebruikt, tenzij het aangetroffen feit een strafbaar feit betreft waarvoor een wettelijk meldplicht geldt.

6. Welke afdeling beheert het bestand?

In de onder 3 onder b genoemde bijlage wordt vastgelegd welke afdeling het bestand beheert. Het afdelingshoofd is verantwoordelijk voor de nakoming van de verplichtin-gen in dit reglement.

7. Welke gegevens worden geregistreerd?

• a.

  In de onder 3 onder b genoemde bijlage wordt vastgelegd welke personeels-gegevens en tot personen herleidbare gegevens worden geregistreerd. Alleen gegevens die van belang zijn voor het uitvoeren van het primaire doel worden geregistreerd.

• b.

  Indien er een handmatige of geautomatiseerde relatie is met een ander be-stand wordt dat dit bij de gegevens vermeld.

8. Bron gegevens en bewaartermijn

In de onder 3 onder b genoemde bijlage wordt vastgelegd:

• a.

  De wijze waarop de gegevens worden verkregen. Verkrijging op een andere wijze is niet toegestaan.

• b.

  De bewaartermijn van de verschillende gegevens die wordt bepaald door de waarde van de gegevens binnen een (werk)proces of zaak. Als deze gegevens een rol of functie binnen een (werk)proces of zaak hebben, wordt de bewaar-termijn vastgesteld op grond van de provinciale selectielijst. Spelen de perso-neelsgegevens geen rol in een proces of zaak, geldt de Wet bescherming per-soonsgegevens. In dat geval kan alleen van de bewaartermijn worden afgewe-ken gemotiveerd en met instemming van de OR.

9. Inzage en correctierecht

Voor elk bestand met persoonsgegevens is er een inzage- en correctierecht. Hieron-der wordt mede begrepen het recht om aan te vullen of gegevens te laten verwijderen.

Per bestand wordt in de bijlage als genoemd onder 3b vermeld:

• a.

  De contactgegevens bij wie een verzoek kan worden ingediend om gegevens in te zien.

• b.

  Welke procedure geldt voor het aanvullen, corrigeren of verwijderen van ge-gevens .

Bij verschil van mening of er correctie van persoonsgegevens aangewezen is beslist de verantwoordelijke voor het bestand. De verantwoordelijke maakt zijn besluit schrif-telijk bekend aan de betrokken medewerker. Een dergelijk besluit geldt als een besluit in de zin van de Algemene wet bestuursrecht, waartegen de mogelijkheid van het ma-ken van bezwaar openstaat.

10. Toegang, verwerking, beperking en geheimhouding gegevens

In de onder 3 onder b genoemde bijlage wordt vastgelegd welke functionarissen (func-tiebenaming) toegang hebben tot de persoonsinformatie en gegevens mogen verwer-ken, registreren, opslaan en verwijderen.

Functionarissen met deze taak hebben een geheimhoudingsplicht betreffende de per-soonsgegevens naar anderen dan degenen die functioneel deze gegevens nodig heb-ben. Voorafgaande aan benoeming in deze taken moet een verklaring omtrent het ge-drag worden overlegd. Dit wordt in het personeelsdossier vastgelegd.

11. Levering van persoonsgegevens uit persoonsregistraties aan derden

Gegevens worden niet aan derden verstrekt tenzij:

• a.

  Er daartoe een wettelijke verplichting geldt.

• b.

  De verstrekking van gegevens van meerdere medewerkers nodig is voor de uitvoering van door de werkgever gewenste taken. Voorafgaand aan de gege-vensverstrekking wordt de medewerker de mogelijkheid geboden daartegen zijn bezwaar kenbaar te maken. Dat bezwaar wordt gerespecteerd. Deze gegevensverstrekking wordt vooraf gemeld bij de Ondernemingsraad.

• c.

  Indien de gegevensverstrekking beperkt blijft tot het leveren van het zakelijk emailadres voor door de werkgever gewenste taken is dat zonder procedure als bedoeld onder b mogelijk, mits is vastgelegd dat dit gegeven alleen mag worden gebruikt voor de door de provincie gewenste en met de derde over-eengekomen taak.

• d.

  Er individuele schriftelijke toestemming is van de medewerker.

12. Beveiliging

In de onder 3 onder b genoemde bijlage wordt vastgelegd hoe en door welke functio-naris de persoonsgegevens worden beveiligd opdat onbevoegden geen toegang heb-ben tot de personeelsgegevens.

13. Meldplicht bij College Bescherming Persoonsgegevens

In de onder 3 onder b genoemde bijlage wordt vastgelegd of er een meldplicht voor het bestand bij het College Bescherming Persoonsgegevens en zo ja, of en op welke datum aan die meldplicht is voldaan.

14. Controle op naleving

Concern control is belast met het toezien op de naleving van dit reglement. Hiertoe worden in een de door de directie te bepalen frequentie audits uitgevoerd.

15. Slotbepalingen en citeertitel

• 1.

  Dit overkoepelend privacy protocol treedt in werking de dag na publicatie in het provincieblad waarin het is geplaatst.

• 2.

  Om de vier jaren, of indien daar volgens de werkgever of Ondernemingsraad eer-der noodzaak toe is, wordt dit reglement geëvalueerd.

• 3.

  Dit reglement wordt genoemd: Privacyreglement personeelsgegevens Provincie Fryslân.