| Organisatie | Eindhoven |
|---|---|
| Organisatietype | Gemeente |
| Officiële naam regeling | Privacy beleid Gemeente Eindhoven 2020 - 2023 |
| Citeertitel | Privacy beleid Gemeente Eindhoven 2020 -2023 |
| Vastgesteld door | college van burgemeester en wethouders |
| Onderwerp | bestuur en recht |
| Eigen onderwerp |
Geen
titel 4.3 van de Algemene wet bestuursrecht
Datum inwerkingtreding | Terugwerkende kracht tot en met | Datum uitwerkingtreding | Betreft | Datum ondertekening Bron bekendmaking | Kenmerk voorstel |
|---|---|---|---|---|---|
| 06-07-2021 | privacybeleid | 29-06-2021 |
Privacy beleidGemeente Eindhoven2020-2023
VJB - Veiligheid, Juridische zaken en Bestuur Juridische Zaken
2.1 Rechtmatigheid, behoorlijkheid en transparantie
2.3 Dataminimalisatie (subsidiariteit en proportionaliteit)
2.8 Functionaris Gegevensbescherming (FG)
2.11 Monitoren van burgers in de openbare ruimte
3.2 Toelichting per beleidsuitgangspunt
Iedereen heeft recht op privacy. Privacy wordt in de grondwet “eerbiediging van de persoonlijke levenssfeer” genoemd. Bij privacy gaat het wettelijk gezien om alle gegevens die te herleiden zijn tot een bepaald persoon. Alles wat met die persoonsgegevens wordt gedaan, wordt “verwerken” genoemd (bv. verzamelen, kopiëren, printen, opslaan, publiceren, delen, anonimiseren, bewaren, pseudonimiseren, vernietigen, etc.).
De verwerking van persoonsgegevens is geregeld in de Algemene verordening gegevensbescherming (hierna: AVG). Vanaf 25 mei 2018 wordt er gehandhaafd op basis van de AVG. Het is voor de gemeente belangrijk dat zij haar informatiehuishouding zodanig op orde heeft dat zij voldoet aan de kwaliteitseisen van de AVG. Betrokkenen hebben recht op correcte, veilige en betrouwbare informatieverwerking en moeten erop kunnen vertrouwen dat de gemeente zorgvuldig met deze gegevens omgaat.
Doel van dit privacybeleid is het beschrijven van kaders voor het verantwoord omgaan met persoonsgegevens en het waarborgen van de privacy rechten van personen waarvan de gemeente persoonsgegevens verwerkt (of laat verwerken).
De AVG is het centrale kader en houvast voor de wijze waarop we omgaan met persoonsgegevens. Dit beleid is een nadere uitwerking hiervan als uitgangspunt bij de uitwerking van alle aspecten van de gemeentelijke bedrijfsvoering (voor zover hierbij sprake is van de verwerking van persoonsgegevens).
Iedereen werkzaam binnen de organisatie is verantwoordelijk voor het verantwoord omgaan met persoonsgegevens en het waarborgen van de privacy rechten van personen.
We professionaliseren stapsgewijs tot het niveau dat past bij de resultaten van de met dit beleid ingerichte PDCA-cyclus. Hiermee bereiken we onder andere:
Hiermee leggen we als gemeente de basis voor eenduidige aantoonbare naleving van de AVG. Daarnaast sluiten we aan bij de 3 centrale kernwaarden in de manier waarop de gemeente werkt: samenwerking (in – en extern), vertrouwen (integer, vriendelijk, eerlijk en open) en eigenaarschap (“we zijn ervan”).
Naast dit door het college vastgestelde privacybeleid is informatiebeveiligingsbeleid vastgesteld. Hierin zijn maatregelen opgenomen om alle gegevens te beschermen. Informatiebeveiliging is een randvoorwaarde voor de borging van privacy bij de verwerking van persoonsgegevens.
Dit beleid is van toepassing van toepassing op:
Bij samenwerking met externe partijen waarbij sprake is van verwerking van persoonsgegevens, maakt de gemeente afspraken over de eisen van gegevensuitwisseling en legt dit vast in overeenkomsten. In de relatie verwerkingsverantwoordelijke – verwerker wordt, vastgelegd op welke manier wordt voldaan aan de eisen die de AVG en de AP hieraan stelt. Indien er bij een verwerking sprake is van meerdere verwerkingsverantwoordelijken (gezamenlijk of individueel verwerkingsverantwoordelijk) wordt, naast een hoofdovereenkomst een gegevensuitwisselingsovereenkomst gesloten, waarin de zorgvuldige omgang met persoonsgegevens wordt geborgd.
De AVG regelt het algemene kader voor de omgang met persoonsgegevens in de Europese Unie. In Nederland zorgt de AP voor toezicht en handhaving van de Europese regels. De AVG is de hoogste wetgeving voor bescherming van persoonsgegevens en is de paraplu boven alle verwerkingen van persoonsgegevens door organisaties, zowel bedrijven als overheden. De uitgangspunten van de AVG zijn bijvoorbeeld:
Persoonsgegevens mogen alleen verwerkt worden voor een duidelijk omschreven doel (doelbinding). Op grond hiervan wordt de grondslag voor verwerking vastgesteld. De grondslagen zijn limitatief opgesomd in artikel 6 AVG. Dan wordt vastgesteld of de verwerkte gegevens proportioneel zijn (worden niet meer gegevens verwerkt dan noodzakelijk voor het uitoefenen van de taak?) en dat aan het subsidiariteitsbeginsel wordt voldaan (is er een voor de betrokkene minder belastende manier om de taak uit te voeren?). Persoonsgegevens, die door de gemeente worden verwerkt, moeten juist, actueel en volledig zijn.
De kernbeginselen van de AVG zijn dus transparantie, doelbinding, dataminimalisatie, kwaliteit/juistheid van gegevens en rechtmatige en behoorlijke verwerking.
Belangrijk is de ‘accountability’. Dit houdt in dat een organisatie moet uitleggen en aantonen wat is gedaan om aan de regelgeving te voldoen. De AP heeft als externe toezichthouder een boetebevoegdheid van maximaal € 20 mln.
Voldoen aan accountability betekent niet alleen dat is voorzien in de invulling van de AVG, basisverplichtingen, zoals:
maar ook dat duidelijk en transparant is hoe de open normen en begrippen van de AVG worden toegepast, welke keuzes worden gemaakt bij de uitvoering van de AVG en welke onderbouwing daarvoor wordt gegeven.
Daarnaast regelt de AVG het volgende:
Met externe partijen die in onze opdracht of in samenwerking persoonsgegevens verwerken, is een verwerkersovereenkomst verplicht. De externe partij is dan verwerker in de zin van de AVG. Met externe partijen die niet optreden als verwerker, maar als verwerkingsverantwoordelijke, worden alleen gegevens gewisseld indien daartoe een grondslag is, dit is opgenomen in het verwerkingsregister en nadat afspraken over een zorgvuldige omgang met persoonsgegevens zijn vastgelegd in een hoofdovereenkomst en een gegevensuitwisselingsovereenkomst.
3.2 Toelichting per beleidsuitgangspunt
Rechtmatige grondslag (artikel 6, AVG)
Rechtmatigheid, behoorlijkheid en transparantie zijn de centrale uitgangspunten vanuit de AVG. Een verwerking is rechtmatig, behoorlijk en transparant wanneer deze plaats vindt op basis van een zogenaamde grondslag. Deze zijn limitatief opgesomd in de wet te weten:
De grondslagen voor verwerkingen voor de gemeente zijn met name de gronden genoemd onder 3 en 5. De laatste grondslag m.b.t. gerechtvaardigde belangen mag niet worden gebruikt voor de uitoefening van de gemeentelijk taak.
Register van verwerkingen (Artikel 30, AVG)
De gemeente moet een register aanleggen van alle verwerkingen waarvoor ze verantwoordelijk is. Het gaat dan om alle incidentele (bijvoorbeeld pilots) en structurele verwerkingen. Elk register bevat een beschrijving van wat tijdens een verwerking plaatsvindt en welke gegevens worden gebruikt, namelijk:
Het is aan de verwerkingsverantwoordelijke om ervoor te zorgen dat het register altijd actueel en volledig is. Ook de inhoud van het verwerkingsregister valt onder de verantwoordelijkheid van de verwerkingsverantwoordelijke.
Binnen deze kaders wordt het verwerkingsregister van de gemeente centraal bij de FG beheerd.
Data Protection Impact Assessment, DPIA (Artikel 35, AVG)
Een DPIA ofwel gegevensbeschermingseffectbeoordeling beoordeelt de effecten en risico's van nieuwe, gewijzigde of bestaande verwerkingen op de bescherming van persoonsgegevens. Een DPIA is verplicht bij een risicovolle verwerking. De gemeente voert deze uit als er sprake is van een verwerking die voldoet aan de criteria van een risicovolle verwerking, zoals een geautomatiseerde verwerking, een grootschalige verwerking of een grootschalige monitoring van openbare ruimten. Dit geldt in het bijzonder bij nieuwe technologieën.
Voor alle verwerkingen wordt advies gevraagd aan de FG over het uitvoeren van een DPIA. Niet alleen op voorhand, maar ook over het uitvoeren van een DPIA alsmede over de uit de DPIA voortgekomen maatregelen.
Een DPIA wordt tijdig uitgevoerd. Dit betekent in ieder geval voordat de verwerking start of voordat de wijziging van een verwerking operationeel wordt. De uit de DPIA voortvloeiende maatregelen om risico’s te minimaliseren worden tijdig geïmplementeerd. Dat wil zeggen voordat de verwerking start of voordat een wijziging van een verwerking operationeel wordt.
Informatieplicht (Artikel 13,14, AVG)
De gemeente informeert betrokkenen over het verwerken van persoonsgegevens op of voor het moment dat betrokkene ze beschikbaar stelt. Worden de gegevens buiten de betrokkene om verkregen, informeren we de betrokkene op het moment dat ze voor de eerste keer worden verwerkt. Tenzij er een grond is om achteraf te informeren.
Volgens artikel 5 AVG mogen persoonsgegevens alleen verzameld worden als een doel is vastgesteld. Dit moet uitdrukkelijk omschreven en gerechtvaardigd zijn. Gegevens mogen nooit voor andere doelen verwerkt worden. Voor de uitvoering van wetten zoals de Jeugdwet zijn de doelen al in de wet vastgelegd, net als de persoonsgegevens die gevraagd en verwerkt mogen worden. Bij verzameling of gebruik van grote aantallen gegevens (open/big data) vraagt de doelbinding extra aandacht als er verwerking van persoonsgegeven plaatsvindt. De AVG staat profilering in principe niet toe.
3.2.3. Dataminimalisatie (subsidiariteit en proportionaliteit)
Waar mogelijk worden minder of geen persoonsgegevens verwerkt. We beperken inbreuk op de persoonlijke levenssfeer van de betrokkene zoveel mogelijk en zoeken altijd de minst belastende manier. Inbreuk op de belangen van de betrokkene mag niet onevenredig zijn in verhouding tot het doel. Hoofdregel is dat het alleen toegestaan is in overeenstemming met de wet en op een zorgvuldige wijze. Persoonsgegevens worden zoveel mogelijk verzameld bij de betrokkene zelf. De wet gaat uit van subsidiariteit: verwerking is alleen toegestaan als het doel niet op een andere manier kan worden bereikt. In de wet wordt ook gesproken over proportionaliteit: gegevens mogen alleen worden verwerkt als dit in verhouding staat tot het doel. Kunnen we zonder of met minder (belastende) persoonsgegevens hetzelfde doel bereiken, kiezen we daar altijd voor. De gemeente zorgt dat de gegevens actueel, juist en volledig zijn.
Het bewaren kan nodig zijn om de gemeentelijke taken goed uit te oefenen of om wettelijke verplichtingen na te leven. De gemeente bewaart de persoonsgegevens niet langer dan nodig voor het doel van de verwerking. M.a.w. persoonsgegevens worden niet langer bewaard dan nodig is. Dit houdt in dat deze gegevens vernietigd worden of zó worden aangepast dat de informatie niet meer gebruikt kan worden om iemand te identificeren. Een vastgestelde bewaartermijn moet in het kader van transparantie voor zover mogelijk gemeld worden aan de betrokkenen.
De AVG geeft geen concrete bewaartermijn voor persoonsgegevens. Wel staat in de wet dat een persoonsgegeven alleen mag worden bewaard als identificeerbaar gegeven, voor zolang het nodig is voor de doeleinden waarvoor het verzameld is (opslagbeperking). Het is mogelijk om gegevens langer te bewaren als deze geanonimiseerd worden, zodat directe of indirecte identificatie van een persoon niet meer mogelijk is. Er zijn uitzonderingen voor archivering, algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden. Bij de verwerking wordt vastgelegd welke bewaartermijn wordt gehanteerd. Er moet binnen elk gegevensverwerkend proces gezocht worden naar de minimale set van gegevens die voor de kortst mogelijke tijd wordt bewaard. Vragen ter bepaling van de bewaartermijn zijn:
In het kader van accountability is “het zou weleens handig zijn voor ons” geen reden.
E.e.a. staat los van hetgeen in de Archiefwet is bepaald. Doelstelling van de Archiefwet is zorgdragen voor het permanent bewaren van geselecteerde informatie ten behoeve van geheugen en kennisbehoud aan de hand van vooraf vastgestelde selectiecriteria.
Persoonsgegevens worden op passende wijze beveiligd. Dit is vastgelegd in het Informatiebeveiligingsbeleid Gemeente Eindhoven en eventueel in een aanvullend beveiligingsplan specifiek opgesteld voor een proces of registratie.
De gemeente beveiligt alle persoonsgegevens zodat gegevens niet worden ingezien of gewijzigd door iemand die daar geen recht toe heeft. Indien dit wel gebeurt spreken we van een datalek. Dan is er inbreuk op beveiliging van persoonsgegevens. Bv. als onbedoeld toegang wordt geboden tot persoonsgegevens of als er sprake is van verlies, wijziging of vrijkomen van persoonsgegevens bij een organisatie. Niet alleen het vrijkomen of lekken van gegevens is een datalek, ook als onrechtmatig gegevens worden verwerkt, is hiervan sprake. Voor het afhandelen van datalekken is een procedure vastgesteld. De gemeente heeft een registratieplicht. Dit houdt in dat meldingen van (mogelijke) datalekken, worden bijgehouden in een register. Hierin zijn de details van de datalekken vastgelegd. Ieder (mogelijk) datalek wordt door de verwerkersverantwoordelijke doorgegeven aan bureau FG, door bureau FG beoordeeld en vervolgens door bureau FG opgenomen in het datalekkenregister van de gemeente. De verwerkingsverantwoordelijke sectoren zijn verantwoordelijk voor de inhoud van dit register en voor het tijdig aanleveren van de correcte en volledige informatie ten behoeve van dit register. Ook is het aan de verwerkingsverantwoordelijke sector om betrokkenen te informeren over een datalek. Als een datalek ernstige nadelige gevolgen kan hebben voor de persoonlijke levenssfeer van betrokkenen moet het datalek binnen 72 uur na ontdekking van het datalek worden gemeld bij de AP . Dit wordt de meldplicht van datalekken genoemd. Bureau FG meldt dergelijke datalekken bij de AP. De verwerkersverantwoordelijke sector levert daartoe tijdig alle noodzakelijke informatie aan.
Iedere (nieuwe) medewerker wordt door de verwerkersverantwoordelijke aantoonbaar geïnformeerd over het zorgvuldig omgaan met persoonsgegevens, bijvoorbeeld via instructies. Daarnaast legt iedere ambtenaar een ambtseed af. Integriteit, zoals verwoord in de Gedragscode Ambtenaren 2020, is hiervan een onderdeel.
Met derden die in onze opdracht of in samenwerking persoonsgegevens verwerken, is een verwerkersovereenkomst verplicht. De derde is dan verwerker in de zin van de AVG. Bij samenwerking met derden waarbij sprake is van verwerking van persoonsgegevens, maakt de gemeente/sector afspraken over de eisen van gegevensuitwisseling en legt dit vast in overeenkomsten. In de relatie verwerkingsverantwoordelijke – verwerker wordt vastgelegd op welke manier wordt voldaan aan de eisen die de AVG en de AP hieraan stelt. Indien er bij een verwerking sprake is van meerdere verwerkingsverantwoordelijken (gezamenlijk of individueel verwerkingsverantwoordelijk) wordt, naast een hoofdovereenkomst een gegevensuitwisselingsovereenkomst gesloten. Hiervoor hanteren wij een standaard verwerkersovereenkomst. Hierin staan in ieder geval de volgende afspraken:
Verwerker treft passende technische en organisatorische maatregelen om de verwerking te beveiligen. Bijvoorbeeld pseudonimisering en versleuteling van persoonsgegevens, permanente informatiebeveiliging, herstel van beschikbaarheid en toegang tot gegevens bij incidenten, regelmatige beveiligingstesten.
Verwerker schakelt geen subverwerker(s) in zonder onze voorafgaande schriftelijke toestemming. Verwerker legt aan de subverwerker in een subverwerkersovereenkomst dezelfde verplichtingen op als de verwerker richting de gemeente heeft. In de verwerkersovereenkomst direct afgesproken zijn dat, en onder welke voorwaarden, de verwerker subverwerkers mag inschakelen. Komt de subverwerker de verplichtingen niet na, dan blijft verwerker volledig aansprakelijk jegens ons voor het nakomen van de verplichtingen van de subverwerker (zie artikel 28, lid 4 van de AVG).
Verwerker helpt ook andere verplichtingen na te komen, zoals bij het melden van datalekken, het uitvoeren van een data protection impact assessment (DPIA) en een voorafgaande raadpleging.
De gemeente heeft een FG aangesteld. De gemeentelijke FG voldoet aan de wettelijke eisen en heeft een onafhankelijke positie binnen de gemeente. De FG heeft een informerende, adviserende en toezichthoudende taak. De adviezen van de FG worden als zwaarwegend aangemerkt. Dit laatste is uiteraard het uitgangspunt. Afwijking van een FG advies vindt gemotiveerd plaats. Uiteraard wordt de FG geïnformeerd over deze afwijking van het advies.
De FG beschikt over voldoende faciliteiten om de informerende, adviserende en toezichthoudende taak uit te oefenen. De taken van de FG zijn als volgt:
De FG heeft recht op toegang tot alle informatie, systemen en processen waarin bescherming van persoonsgegevens een rol speelt of zou kunnen spelen. De FG geniet ontslagbescherming en werkt vrij van last en opdracht. De FG brengt rechtstreeks verslag uit aan de gemeentesecretaris en aan de burgemeester c.q. het college van burgemeester en wethouders.
De verwerkingsverantwoordelijke sectoren zorgen ervoor dat de FG naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens.
3.2.9. Rechten van betrokkenen
De wet bepaalt niet alleen de plichten van degenen die de persoonsgegevens verwerken, maar ook de rechten van de personen van wie de gegevens worden verwerkt. Deze rechten worden ook wel de rechten van betrokkenen genoemd en bestaan uit:
recht op overdraagbaarheid/ dataportabiliteit (artikel 20): dit recht houdt in dat een betrokkene de gegevens van een verwerkingsverantwoordelijke moet kunnen verkrijgen in gestructureerde, gangbare en machine leesbare vorm en het recht heeft deze gegevens aan een andere verwerkingsverantwoordelijke over te dragen of rechtstreeks te laten overdragen, zonder daarbij te worden gehinderd tenzij dit afbreuk doet aan rechten en vrijheden van anderen. Een betrokkene heeft recht op overdraagbaarheid voor zover het gaat om door hem zelf verstrekte gegevens.
Om gebruik te maken van zijn/haar rechten kan de betrokkene een verzoek indienen bij de verwerkingsverantwoordelijke. De gemeente heeft vanaf ontvangst van het verzoek vier weken de tijd om een besluit te nemen op het verzoek. Wordt deze termijn overschreden, dan kan betrokkene de gemeente in gebreke stellen of een klacht indienen bij de FG. Voordat een verzoek in behandeling kan worden genomen, dient de identiteit van betrokkene vastgesteld te worden. Dit om fraude te voorkomen.
De gemeente voldoet aan het verzoek, tenzij er gerechtvaardigde gronden zijn om een verzoek af te wijzen. Een betrokkene heeft het recht om bezwaar te maken tegen de beslissing.
3.2.10. Ethiek en digitalisering.
De gemeente heeft extra aandacht voor ethiek en digitalisering. Dit komt ook terug in het focusdocument “dataprotectie in de digitale samenleving” van de AP. Hierin geeft de AP aan dat de risico’s van de digitaliserende samenleving voor de bescherming van persoonsgegevens groot, divers en complex zijn. Het gaat om:
Vanzelfsprekend wordt door de gemeente rekening gehouden met deze focusgebieden bij de uitvoering van de AVG en daarmee is voor de periode 2020-2023 aandacht voor de onderwerpen zoals door de AP geformuleerd in haar visiedocument ‘dataprotectie in de digitale samenleving’.
Het privacybeleid wordt in ieder geval iedere 4 jaar geëvalueerd aansluitend bij het focusdocument van de AP en indien nodig tussentijds gewijzigd. Dit doen we door de verschillende stakeholders zoals ook opgenomen op de pagina’s 20 en 21 van dit beleid vanuit ieders invalshoek input te geven op het beleid. Vanuit de CPO wordt dit aangestuurd. Dit staat los van de periodieke herzien van de jaarplannen die onder dit beleid hangen en voorzien in de jaarlijkse ute qua operationele uitvoeringstaken.
De facto zorgt de AVG er voor dat compliance op het gebied van bescherming van persoonsgegevens voor de gemeente als gegevensverwerkende organisatie een niet vrijblijvende verplichting is.
De gemeente is verantwoordelijk voor het aantoonbaar naleven van de AVG bij de verwerking van persoonsgegevens. Artikel 24 lid 1 AVG bepaalt dat de gemeente als verwerkingsverantwoordelijke passende technische en organisatorische maatregelen moet treffen om te waarborgen en te kunnen aantonen dat verwerkingen in overeenstemming met de AVG worden uitgevoerd. Deze maatregelen moeten worden geëvalueerd en indien nodig geactualiseerd.
De gemeente voorziet in deze verplichting door middel van het richten, inrichten en verrichten van onderhavig privacybeleid door het verstrekken van informatie (het berichten over het waarom, de voortgang en de resultaten).
Het expliciet beleggen van verantwoordelijkheden en bijbehorende activiteiten, procedures en instrumenten, zorgt voor het daadwerkelijk en structureel uitvoeren en borgen van de beheersmaatregelen.
Compliance is een continue ontwikkelproces:
AVG compliance is in belang van de gemeentelijke organisatie en van degenen wiens gegevens verwerkt worden. Gebeurt dit niet, dan kan dat consequenties hebben:
Voldoen aan de compliance verplichting vereist het actueel houden hiervan via een PDCA (Plan-Do-Check-Act) cyclus en een positieve en actieve betrokkenheid iedereen. Hierdoor wordt de kans op het maken van fouten in de verwerking van persoonsgegevens en de kans op datalekken verkleind.
De PDCA-cyclus vormt het managementsysteem van privacy om compliance blijvend te beheersen en waarbij elke verbeterstap wordt geborgd:
Uitgangspunt is dat AVG-compliance aangetoond wordt vanuit de procesarchitectuur van de gemeente (dus niet vanuit systemen, techniek, e.d.). De procesarchitectuur is namelijk de verbindende factor tussen de medewerkers, processen, applicaties, data (waaronder persoonsgegevens) en infrastructuur.
De volgende AVG-processen zijn gemeente breed ingericht:
Beheren verwerkingenregister: een register bijhouden van alle verwerkingen waarvoor de gemeente verantwoordelijk is (artikel 30 AVG). Elk verwerking bevat o.a. de grondslag, een beschrijving van wat tijdens een verwerking plaatsvindt, welke gegevens worden verwerkt, naam en contactgegevens van de verwerkingsverantwoordelijke (en evt. verwerkers en andere verwerkingsverantwoordelijken), doelen van de verwerking, bewaartermijnen, algemene beschrijving van de beveiligingsmaatregelen. Het is aan de verwerkingsverantwoordelijke sector om ervoor te zorgen dat het register altijd actueel en volledig is.
Uitvoeren Data Protection Impact Assessment (DPIA): een gegevensbeschermingseffectbeoordeling uitvoeren om de effecten en risico's van nieuwe, gewijzigde of bestaande verwerkingen van persoonsgegevens te beoordelen (artikel 35 AVG). Een DPIA is verplicht bij een risicovolle verwerking (zoals een geautomatiseerde verwerking, een grootschalige verwerking of een grootschalige monitoring van openbare ruimten, bij nieuwe technologieën, etc.). De Functionaris Gegevensbescherming adviseert voorafgaand aan een DPIA én aan het einde over de maatregelen. Een DPIA wordt uitgevoerd voordat de verwerking start of voordat de wijziging van een verwerking operationeel wordt. Ook worden de uit de DPIA voortvloeiende maatregelen om risico’s te minimaliseren geïmplementeerd voordat de verwerking start of voordat een wijziging van een verwerking operationeel wordt. Met andere woorden: een DPIA is afgerond wanneer de beheersmaatregelen geïmplementeerd zijn.
Uitvoeren rechten van betrokkenen (artikel 13 t/m 17 AVG). Recht op inzage is het recht van mensen om onder meer een kopie te ontvangen van de persoonsgegevens die u van hen verwerkt. Recht op vergetelheid is het recht om vergeten te worden. Recht op rectificatie en aanvulling is het recht om de persoonsgegevens die u verwerkt te laten wijzigen. Het recht op dataportabiliteit is het recht om persoonsgegevens over te laten dragen aan een andere partij. Het recht op beperking van de verwerking is recht om minder gegevens te laten verwerken. Het recht met betrekking tot geautomatiseerde besluitvorming en profilering is het recht op een menselijke blik bij besluiten. Het recht om bezwaar te maken tegen de gegevensverwerking.
Voor de processen geldt dat alle verwerkersverantwoordelijke sectoren verantwoordelijk zijn voor de uitvoering hiervan. In concreto zijn de 14 sectorhoofden dus verantwoordelijk proceseigenaar van de AVG-processen.
De bescherming van persoonsgegevens is een inherent onderdeel van ieders functie c.q. ieders dagelijks handelen. Tegelijkertijd is de bescherming van persoonsgegevens niet de core business van de meeste medewerkers. Er zijn daarom medewerkers aangewezen om hen daarbij te ondersteunen en om als vraagbaak te fungeren.
De sectorhoofden zijn op ambtelijk niveau verwerkingsverantwoordelijk voor de aantoonbare naleving van de AVG en de uitgangspunten van het privacybeleid binnen de eigen sector. Zij moeten:
kunnen aantonen dat naleving plaats vindt en op welke wijze;
de Centrale Privacy & Security Officer, de Privacy & Security Officers, de Chief Information Security Officer en de Information Security Officers in staat stellen medewerkers bij te staan bij het uitvoeren van de AVG en dit privacybeleid.
De verantwoordelijkheden t.a.v. de aantoonbare naleving van de AVG beginselen en de uitgangspunten van het privacybeleid zijn aan de hand van het RASCI-model vastgesteld:
R = Responsable (feitelijk verantwoordelijk)
A = Accountable (eindverantwoordelijk)
S = Supporting (ondersteunend, uitvoerend)
C = Consulted (adviserend, controlerend)
Op de volgende pagina is expliciet de interne organisatie aangegeven met taken, rollen, verantwoordelijkheden en bevoegdheden op strategisch, tactisch en operationeel niveau (= “AVG-organisatieplaat gemeente Eindhoven”). Hier komen governance en PDCA samen.