Privacybeleid Gemeente Hoeksche Waard

1.1 Voor wie?

Het Privacybeleid Gemeente Hoeksche Waard bevat afspraken tussen het college, leidinggevenden en medewerkers. De afspraken moeten worden nagekomen in alle gevallen dat persoonsgegevens worden gebruikt, opgeslagen of uitgewisseld (‘verwerking van persoonsgegevens’). Dit privacybeleid vervangt het privacybeleid van maart 2019.

1.2 Doel

Het doel van dit privacybeleid is om te garanderen dat gemeente Hoeksche Waard het recht op bescherming van persoonsgegevens waarborgt conform de Algemene Verordening Gegevensbescherming en gerelateerde wet- en regelgeving.

1.3 Visie

De visie van gemeente Hoeksche Waard op de bescherming van persoonsgegevens hangt nauw samen met de rol van de gemeente in een moderne samenleving, zoals verwoord in het visiedocument “Kompas 2018”:

Gemeente Hoeksche Waard waarborgt bescherming van persoonsgegevens en respect voor privacy in alle geledingen van haar bedrijfsvoering, zowel intern als in de samenwerking met haar ketenpartners.

De komende tijd gaat gemeente Hoeksche Waard na wat zij goed doet en waar verbetering nodig is. Gemeente Hoeksche Waard voorziet structureel in passende technische en organisatorische waarborgen en stelt maatregelen bij waar dat nodig blijkt (bescherming van persoonsgegevens vraagt permanent aandacht).

Gemeente Hoeksche Waard is transparant over haar gegevensverwerking en betrekt personen via haar AVG-dienstverlening, zodat zij fouten tot een minimum beperkt en sprake is van een individueel medebeheer over persoonsgegevens. Gemeente Hoeksche Waard gaat de dialoog aan met haar doelgroepen en werkt aan een volwassen gegevensbeschermingscultuur. Zij dient steeds met vertrouwen verantwoording te kunnen afleggen over beleid en maatregelen op het gebied van gegevensbescherming en privacy.

Met de ambitie van gemeente Hoeksche Waard om de bedoeling van de Algemene Verordening Gegevensbescherming na te leven, wordt handen en voeten gegeven aan de pijler “100% dienstverlenend”.

Betrokkenen, zoals onder meer inwoners en medewerkers, moeten erop kunnen vertrouwen dat gemeente Hoeksche Waard persoonsgegevens rechtmatig, zorgvuldig en veilig verwerkt. Gemeente Hoeksche Waard is transparant over gegevensverwerkingen en de manier waarop zij persoonsgegevens beschermt.

Bij dilemma’s met betrekking tot de verwerking van persoonsgegevens gaat gemeente Hoeksche Waard de dialoog met betrokkenen aan en zoekt zij, waar mogelijk, gezamenlijk naar oplossingen.

Privacy gaat iedereen wat aan. Dit gaat niet alleen over elkaar maar vooral met elkaar (verbinden). Dit door zorgvuldig, bewust om te gaan met gegevensverwerking en privacy. Het wordt vertaald naar het borgen in (primaire) processen, vastleggen in de verwerkingsregistratie en transparantie naar de burgers (vertrouwen). De AVG biedt mogelijkheden (leiderschap) zolang processen goed worden beschreven en/of beargumenteerd (wendbaar).

Gemeente Hoeksche Waard gaat op een veilige manier met persoonsgegevens om en respecteert de privacy van betrokkenen/inwoners en medewerkers. Gemeente Hoeksche Waard houdt zich hierbij aan de wettelijke uitgangspunten, maar stelt de bedoeling boven de systemen. Het borgen en uitvoeren van de wettelijke taken wordt gezien als een uitdaging en niet als belemmering. Gemeente Hoeksche Waard kijkt naar oplossingen en mogelijkheden.

1.4 Kernpunten

• 1)

  Zorg voor privacy is een managementverantwoordelijkheid. Het college en Proceseigenaren sturen op privacy volgens deze kernpunten van privacymanagement:

  • a)

    Een Proceseigenaar voert, als onderdeel van zijn verantwoordelijkheden, regie en houdt toezicht op zijn proces(sen) op basis van dit privacybeleid;

  • b)

    Bij processen waaraan privacyrisico’s zijn verbonden, hanteert de Proceseigenaar een Procesplan;

  • c)

    Een Procesplan is duidelijk, actueel, stemt overeen met de werkelijkheid en wordt periodiek geëvalueerd;

  • d)

    Binnen een proces worden gegevens alleen verwerkt voor het realiseren van het procesdoel;

  • e)

    Binnen een proces worden geen onrechtmatig verkregen gegevens verwerkt;

  • f)

    Een Procesplan benoemt de waarborgen voor eerlijke, veilige en betrouwbare procesvoering;

  • g)

    Een Procesplan omvat eventuele opdrachten aan uitvoeringsorganisaties en afspraken over toezicht door de Proceseigenaar op goede uitvoering van werkzaamheden;

  • h)

    Een Proceseigenaar handelt vragen of klachten van inwoners of medewerkers binnen vier weken af nadat deze vraag of klacht in behandeling is genomen door gemeente Hoeksche Waard;

  • i)

    Bij incidenten handelt de Proceseigenaar volgens de AVG-incidentenmanagement afspraken, waaronder bij datalekken het Protocol datalekken Gemeente Hoeksche Waard;

  • j)

    Bij risicovolle procesvoering laat de Proceseigenaar zich periodiek auditen op grond van dit privacybeleid en het betreffende Procesplan (zie hoofdstuk 7).

• 2)

  Het college voorziet in een team van professionals dat het college en de Proceseigenaren ondersteunt in de privacybeleidsvoering.

• 3)

  Het college voorziet in faciliteiten voor bewustwording en training.

• 4)

  Gemeente Hoeksche Waard beschikt over mechanismes voor privacy-incidentmanagement.

• 5)

  Gemeente Hoeksche Waard evalueert één keer per twee jaar de doeltreffendheid en de doelmatigheid van dit privacybeleid.

• 6)

  Het college informeert de raad over de privacybeleidsvoering.

• 7)

  Het college handhaaft het privacybeleid. Gemeente Hoeksche Waard heeft een Functionaris voor Gegevensbescherming aangesteld die in onafhankelijkheid toeziet op de naleving van de AVG, gerelateerde wetgeving en nakoming van afspraken volgens dit privacybeleid.

1.5 Scope

Het Privacybeleid Gemeente Hoeksche Waard is van toepassing op de gehele bedrijfsvoering van gemeente Hoeksche Waard, voor zover hierbij gewerkt wordt met persoonsgegevens.

Het Privacybeleid Gemeente Hoeksche Waard is de kapstok voor het privacybeleid van gemeente Hoeksche Waard, waaraan aanvullende regelingen zijn opgehangen zoals Procesplannen of regelingen voor het uitoefenen van rechten.

Het Privacybeleid Gemeente Hoeksche Waard omvat zowel bedrijfsprocessen als de onderliggende voorzieningen voor informatieverwerking en gegevensopslag. Papieren of digitale informatieverwerking maakt geen verschil.

Het Privacybeleid Gemeente Hoeksche Waard is van toepassing op processen die de gemeente uitbesteedt, inkoopt of op een andere manier organiseert, zoals deelname in een rechtspersoon die voor gemeente Hoeksche Waard informatiediensten verricht.

Het Privacybeleid Gemeente Hoeksche Waard is van toepassing op gegevensuitwisseling met derden zoals de Belastingdienst, de Raad voor de Kinderbescherming, de politie en zorgaanbieders, met dien verstande dat na legitieme en zorgvuldige gegevensverstrekking door de gemeente, de verantwoordelijkheid voor de bescherming van persoonsgegevens vanaf het moment van ontvangst bij die derde berust.

Het Privacybeleid Gemeente Hoeksche Waard omvat de gehele ‘data life cycle’: van het genereren of verzamelen van gegevens, het dagelijkse gebruik ervan en de gegevensopslag tot en met de archivering en vernietiging ervan.

Het Privacybeleid Gemeente Hoeksche Waard is van toepassing op de verwerking van statistische en/of geanonimiseerde gegevens, voor zover niet kan worden uitgesloten dat personen kunnen worden geïdentificeerd of geprofileerd.

Het Privacybeleid Gemeente Hoeksche Waard is eveneens van toepassing op informatieveiligheidsproblemen, voor zover deze betrekking hebben op het verwerken van persoonsgegevens.

1.6 Raakvlakken en overlap met andere beleidsthema’s

Het Privacybeleid Gemeente Hoeksche Waard heeft raakvlakken met andere beleidsthema’s of vertoont hiermee overlap.

Integriteit

Privacybeleidsvoering is wettelijk gekoppeld aan de beginselen van behoorlijk bestuur en is daarmee ondersteunend aan het gemeentelijk integriteitsbeleid, zoals beschreven in de gedragscode Integriteit van Gemeente Hoeksche Waard.

Kwaliteit

Privacybeleid richt zich in belangrijke mate op het waarborgen van een kwalitatief goede administratieve organisatie. Een kwalitatief goede administratieve organisatie is randvoorwaardelijk voor klantgerichte en klantvriendelijke gemeentelijke taakuitoefening en goed werkgeverschap (‘de mens centraal’).

Continuïteit- en risicomanagement

Privacybeleid schept waarborgen op het gebied van continuïteit en risicomanagement, omdat privacybeleid afbreuk- en aansprakelijkheidsrisico’s tegengaat en voorkomt dat werkprocessen spaak lopen omdat de bijbehorende gegevensverwerkingen een schending van het recht op privacy inhouden (onrechtmatige overheidsdaad).

Informatiebeveiliging

Privacybeleid ondersteunt het informatiebeveiligingsbeleid door de nadrukkelijke aandacht voor het tegengaan van privacyincidenten die de beschikbaarheid, integriteit en vertrouwelijkheid aantasten van de gemeentelijke informatievoorzieningen en opgeslagen persoonsgegevens. Ten aanzien van informatiebeveiliging geldt het Informatiebeveiligingsbeleid van gemeente Hoeksche Waard.

Personeel en organisatie

Het sturen op gekwalificeerd personeel, cultuur en een gekwalificeerde organisatie wordt uitgevoerd vanuit het HRM beleid.

Communicatie

Het sturen op doelgroepgerichte communicatie wordt gedaan vanuit het Communicatiebeleid Gemeente Hoeksche Waard.

Inkoop

Het inkoopbeleid betreft alle diensten en processen die de gemeente uitbesteedt of inkoopt, of waarbij wordt samengewerkt met derden. Hierbij worden eisen gesteld aan de waarborgen die de betreffende derde partij kan bieden. Deze dienen in lijn te zijn met de eisen aan privacywaarborgen die vanuit de gemeente gesteld worden.

2.1 College

Het college van gemeente Hoeksche Waard is verantwoordelijk voor de naleving van privacywetgeving en voert proactief privacybeleid op basis van afweging van belangen en risico’s bij de verwerking van persoonsgegevens, zodat dit evenwichtig plaatsvindt. Dat wil zeggen: behoorlijk, zorgvuldig en in overeenstemming met de wet.

Privacymanagement is SMART-georganiseerd en heeft zelfstandige aandacht binnen de planning & control-cyclus van de gemeentelijke organisatie.

Het college legt over de privacybeleidsvoering verantwoording af aan de raad en betracht beleidstransparantie met behulp van publieksvoorlichting.

Het college draagt zorg voor de documentatie van beleid en maatregelen, zodat het op ieder moment maatschappelijk en juridisch uitleg kan geven over de deugdelijkheid van de aanpak.

Het college is verantwoordelijk voor het voorzien in passende privacywaarborgen bij de uitvoering van gemeentelijke taken.

Privacy valt onder de verantwoordelijkheid van de portefeuillehouder PIV in het college, die voor dagelijkse aansturingstaken een AVG-programmamanager heeft benoemd.

Het college heeft een Functionaris voor Gegevensbescherming (FG) aangewezen – zie 2.4.

Tabel verantwoordelijken:

2.2 Privacy Officer

De Privacy Officer is de rechterhand van de portefeuillehouder PIV en zorgt voor uitvoering van het privacybeleid. Hij coördineert het realiseren van doelen. Daarnaast geeft hij samen met team PIV ondersteuning aan de Proceseigenaren over een privacybestendige uitvoering van de processen.

2.3 Proceseigenaarschap

Proceseigenaren zijn ervoor verantwoordelijk dat de gemeentelijke taakuitoefening waarvoor zij verantwoordelijk zijn, binnen de grenzen van dit privacybeleid plaatsvindt en rapporteren hierover aan de daarvoor verantwoordelijke directeur.

• •

  Een teammanager is Proceseigenaar.

• •

  De Proceseigenaar kan verantwoordelijkheden mandateren aan ‘subProceseigenaren’.

• •

  Het college blijft eindverantwoordelijk voor de privacybestendigheid van gemeentelijke processen als de ‘verwerkingsverantwoordelijke’ in de zin van de AVG.

Teammanagers zijn als 'Proceseigenaren' op uitvoeringsniveau verantwoordelijk voor privacybestendige bedrijfsvoering en gegevensuitwisseling met derden. Zij leggen hierover via het DT verantwoording af aan de portefeuillehouder PIV.

Proceseigenaren voeren regie over hun proces(sen) op basis van Procesplannen (zie hierna in hoofdstuk 4.1) die voldoende overzicht bieden van de procesvoering voor effectieve sturing. Een Procesplan dient te passen binnen dit privacybeleid en is steeds in overeenstemming met de feitelijke situatie.

Een Proceseigenaar houdt proactief toezicht op de privacybestendige organisatie van zijn proces en documenteert keuzes en oplossingen als bijlagen van het Procesplan.

Een Proceseigenaar kan Proceseigenaarschap mandateren aan een subProceseigenaar binnen de gemeente. Bij mandatering blijft de opdrachtgevende Proceseigenaar verantwoordelijk voor de privacybestendigheid van de aanpak door de subProceseigenaar.

Een Proceseigenaar kan Proceseigenaarschap mandateren aan een partij buiten de gemeentelijke organisatie met toestemming van het college (samenwerking met externe ketenpartners). Het mandaat blijkt uit, bijvoorbeeld, een inkoopcontract, de deelname in een gemeenschappelijke regeling of gebruikmaking van een landelijke voorziening. Bij externe ketensamenwerking blijft de opdrachtgevende Proceseigenaar namens het college verantwoordelijk voor de privacybestendigheid van de aanpak van door hem ingeschakelde ketenpartner(s) en houdt hierop toezicht. De wet kan dwingende bepalingen bevatten over wederzijdse verantwoordelijkheden bij ketensamenwerking.

Wanneer gemeentelijke processen zodanig zijn georganiseerd dat de onderliggende gegevensverwerking onder de verantwoordelijkheid van meerdere Proceseigenaren valt, is de gemeentesecretaris de Proceseigenaar. De gemeentesecretaris kan ook een Proceseigenaar aanwijzen voor het gezamenlijke deel van de gegevensverwerking.

2.4 Toezicht

De Functionaris voor Gegevensbescherming (FG) is de toezichthouder van gemeente Hoeksche Waard op de naleving van privacywetgeving conform artikel 37-39 AVG. De FG wordt aangewezen op grond van: (a) zijn professionele kwaliteiten en, in het bijzonder, zijn deskundigheid op het gebied van de wetgeving en de privacy management-praktijk; (b) zijn vermogen om de onderstaande taken te vervullen en (c) zijn onafhankelijkheid – met name de afwezigheid van belangenconflict.

De FG:

• •

  informeert en adviseert het college, Proceseigenaren en team PIV over de werking van het privacybeleid van gemeente Hoeksche Waard en nakoming van achterliggende wettelijke verplichtingen (heeft de lead in interpretatie van privacywetgeving);

• •

  houdt toezicht op de nakoming van het privacybeleid en achterliggende wettelijke verplichtingen;

• •

  helpt privacyklachten tot een goed einde te brengen (ombudsfunctie);

• •

  adviseert bij privacyincidenten over ernst en omvang;

• •

  beheert het Privacybeleid Gemeente Hoeksche Waard;

• •

  ziet toe op het beheer door het college van het register van verwerkingen conform artikel 30 AVG;

• •

  controleert de naleving van afspraken door gemeente Hoeksche Waard en ketenpartners, eventueel ook in samenwerking met auditors;

• •

  helpt het privacybeleid uit te dragen bij interne en externe doelgroepen;

• •

  is het contactpunt voor landelijke privacytoezichthouders – met name de Autoriteit Persoonsgegevens.

De FG krijgt de nodige ruimte voor professionele uitvoering van taken:

• •

  Het college en Proceseigenaren zorgen ervoor dat de FG naar behoren en tijdig wordt betrokken bij de verwerking van persoonsgegevens;

• •

  De FG wordt volledig geïnformeerd over aspecten van de bedrijfsvoering binnen gemeente Hoeksche Waard waarbij persoonsgegevens worden verwerkt of wanneer daartoe voornemens bestaan;

• •

  Het college en Proceseigenaren ondersteunen de FG door hem op zijn verzoek toegang te geven tot de verwerking van persoonsgegevens en hem de middelen te bieden voor professioneel onderzoek;

• •

  De FG mag niet geïnstrueerd worden over invulling van taken, onder druk worden gezet, gestraft of ontslagen.

Vanwege zijn expertise van wetgeving en de praktijk, geldt een advies van de FG als zwaarwegend en de geëigende wijze voor naleving van privacywetgeving door gemeente Hoeksche Waard. Voor zover het voorkomt dat het advies van de FG afwijkt van de zienswijze van een landelijke toezichthouder en de FG beroepshalve aan zijn advies moet vasthouden, krijgt de FG de ruimte en de vrijheid om samen met de AP tot een vergelijk te komen of anders de rechter om een beslissing te vragen. Gemeente Hoeksche Waard valt de FG niet af maar wacht op deze rechterlijke beslissing.

De FG doet jaarlijks verslag over de privacybeleidsvoering aan het college. De raad wordt via de budgetcyclus geïnformeerd.

3.1 Algemeen

Gemeente Hoeksche Waard is zich bewust van de maatschappelijke verantwoordelijkheid die gepaard gaat met de verwerking van persoonsgegevens. Om deze reden:

• -

  voert gemeente Hoeksche Waard proactief privacybeleid;

• -

  faciliteert gemeente Hoeksche Waard de uitoefening van rechten van personen;

• -

  bewaakt gemeente Hoeksche Waard de goede nakoming van wet- en regelgeving op het gebied van privacybescherming.

3.2 Noodzakelijke gegevensverwerking

Proceseigenaren verwerken persoonsgegevens voor zover dit noodzakelijk is voor het realiseren van welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde publieke taken, de nakoming van wettelijke of contractuele verplichtingen, vrijwaring van vitale belangen voor de betrokkene(n), totstandkoming of uitvoering van een overeenkomst waarbij een burger partij is of de behartiging van een gerechtvaardigd belang van gemeente Hoeksche Waard of een derde aan wie gegevens worden verstrekt, tenzij het recht op de bescherming van de persoonlijke levenssfeer prevaleert en voor zover het gerechtvaardigd belang geen grondslag voor de uitoefening van een publieke taak vormt.

3.3 Risicogedreven aanpak

De privacybeleidsvoering van gemeente Hoeksche Waard is erop gericht dat aantoonbaar is voorzien in passende organisatorische en technische maatregelen voor doeltreffende bescherming van persoonsgegevens en de bescherming van rechten van personen.

Wat ‘passend’ is, hangt af van de concrete risico’s die de verwerking van persoonsgegevens voor mens en organisatie met zich meebrengt. Deze worden vastgesteld op basis van objectieve beoordelingen – met name aan de hand van Data Protection Impact Assessments (DPIA’s).

3.4 Raamwerkfunctie

Het Privacybeleid Gemeente Hoeksche Waard heeft een algemeen karakter en een raamwerkfunctie. Het zoomt niet in op de spelregels die kunnen gelden voor specifieke activiteiten. Voor zover dit speelt, geven Proceseigenaren via hun Procesplannen nadere invulling aan het Privacybeleid Gemeente Hoeksche Waard.

Privacybeleid per domein beschrijft de aanpak op specifieke domeinen en thema’s waarop de gemeente een taak heeft. De volgende domeinen en thema’s worden binnen gemeente Hoeksche Waard onderscheiden:

• 1.

  Belastingheffing

• 2.

  Bescherming en opvang

• 3.

  Burgerzaken

• 4.

  Cultuur en sport

• 5.

  Fraudeonderzoek

• 6.

  Gemeenteraad

• 7.

  Facilitair

• 8.

  Jeugd en onderwijs

• 9.

  Lokale economie

• 10.

  Milieu en duurzaamheid

• 11.

  Ruimte en bereikbaarheid

• 12.

  Veiligheid en openbare orde

• 13.

  Werk en inkomen

• 14.

  Zorg en welzijn

Procesplannen beschrijven werkprocessen, de bijbehorende gegevensverwerking en de privacywaarborgen waarmee de werkprocessen omkleed zijn zodat een privacybestendige aanpak ontstaat.

Het Privacybeleid Gemeente Hoeksche Waard bevat ook de aanzet voor het regelen van aspecten van privacybeleidsvoering die onder de directe verantwoordelijkheid van het college vallen.

Het Privacybeleid Gemeente Hoeksche Waard, Procesplannen en de daadwerkelijke uitvoering hiervan via organisatorische, technische en juridische oplossingen vormen samen het privacybeleid van gemeente Hoeksche Waard. In geval van tegenstrijdigheid heeft het Privacybeleid Gemeente Hoeksche Waard voorrang.

3.5 Inachtneming bijzondere wettelijke voorschriften

Op basis van het Privacybeleid Gemeente Hoeksche Waard, geeft de gemeente uitvoering aan de Algemene Verordening Gegevensbescherming. Voor zover van toepassing, houden Proceseigenaren tevens goed rekening met bijzondere wettelijke voorschriften – met name privacy-relevante bepalingen in de Wet basisregistratie personen, Telecommunicatiewet, Participatiewet, Jeugdwet en Wet maatschappelijke ondersteuning enzovoort.

4.1 Algemeen

Het college verwacht van Proceseigenaren rechtmatige en zorgvuldige verwerking van persoonsgegevens. Proceseigenaren kunnen hiervoor rekenen op support door team PIV en de FG. Het college voert ook op andere manieren voorwaardenscheppend beleid om binnen gemeente Hoeksche Waard een privacybestendige cultuur te realiseren.

Proceseigenaren voorzien in passende organisatorische en technische oplossingen om de rechtmatigheid, proportionaliteit, juistheid en veiligheid van gegevensverwerking te waarborgen (‘privacywaarborgen’) en documenteren die maatregelen in Procesplannen.

Team PIV houdt een ‘artikel 30-register’ (zie § 4.3) bij van de gegevensverwerkingen (het zogenoemde “gegevensverwerkingsregister”) dat onder de eindverantwoordelijkheid van het college valt. Proceseigenaren helpen om het register volledig en actueel te laten zijn door middel van ‘artikel 30-formulieren’.

Het college is transparant over de bedrijfsvoering, gegevensverwerking en privacybeleidsvoering en faciliteert de uitoefening van rechten door personen over wie de gemeente gegevens verwerkt. Proceseigenaren verlenen hieraan hun medewerking.

Het college en Proceseigenaren dragen het belang uit van privacybeleidsvoering en geven zelf het goede voorbeeld. Zij maken privacy bespreekbaar. Bij dilemma’s gaan zij de dialoog aan met doelgroepen over wie informatie wordt verwerkt.

4.2 Procesplan-aanpak

Aan Procesplannen liggen DPIA’s ten grondslag. DPIA staat voor “data protection impact assessment“ en is een beoordelingsrapport waarin een gegevensverwerking wordt geanalyseerd op noodzaak en risico’s vanuit privacyoptiek, resulterend in een lijst van passende beheersmaatregelen (waarborgen).

DPIA’s zijn instrumenteel voor het kunnen bepalen van passende beheersmaatregelen. De mate waarin en de manier waarop bedrijfsprocessen en gegevensverwerking aandacht nodig hebben, hangen samen met de uitkomsten van de DPIA, zoals verwoord in het DPIA-rapport.

DPIA-rapporten worden opgesteld conform artikel 35 lid 7 AVG.

Voor een eenduidig begrip hanteert gemeente Hoeksche Waard een DPIA-scoringssysteem. Hoe hoger de score, hoe robuuster de beheersmaatregelen (privacywaarborgen). Proceseigenaren volgen het advies van team PIV bij de vaststelling van hun DPIA-score. DPIA-scores worden bepaald aan de hand van bovenstaande matrix.

Proceseigenaren documenteren met behulp van hun Procesplannen hoe zij op een praktische manier in passende organisatorische en technische privacybeschermende maatregelen voorzien – met name om de volgende fouten te voorkomen:

• 1.

  Illegale/onrechtmatige gegevensverwerking: gebruik, opslag of uitwisseling van informatie is bij wet verboden (middels een rechtstreeks verbod of een beperking van het toegestane gebruik).

• 2.

  Disproportionele gegevensverwerking: gebruik, opslag of uitwisseling van informatie is (a) ontoereikend of juist overmatig of (b) het organisatiebelang bij de gegevensverwerking is onevenredig klein terwijl de impact op personen onevenredig nadelig kan zijn.

• 3.

  Irrelevante gegevensverwerking: de gebruikte, opslagen of uitgewisselde informatie dient geen bedrijfsdoel, doet niet ter zake of is verouderd.

• 4.

  Onnauwkeurige gegevensverwerking: de gebruikte, opslagen of uitgewisselde informatie is geen juiste weergave van de werkelijkheid.

• 5.

  Onveilige gegevensverwerking: de gebruikte, opslagen of uitgewisselde informatie dreigt te gemakkelijk toegankelijk te zijn voor onbevoegden, gemanipuleerd te worden of onbeschikbaar te zijn.

• 6.

  Niet-inachtneming van bijzondere wettelijke voorschriften: bij gebruik, opslag of uitwisseling van informatie worden formele verplichtingen veronachtzaamd. ¹

• 7.

  Onbewaakte gegevensverwerking: de Proceseigenaar verzuimt om te controleren of de privacywaarborgende maatregelen daadwerkelijk zijn geëffectueerd of te evalueren in hoeverre zijn Procesplan bijstelling behoeft.

Voor A1-processen (nauwelijks risico, laag, met een lage score op zowel persoonlijk als gemeentelijk belang) volstaan algemene oplossingen. Zolang een proces als A1 gekwalificeerd is, is daarvoor in mindere mate aandacht nodig.

De werkelijkheid dient in overeenstemming te zijn met het Procesplan. Veranderingen in de bedrijfsvoering noodzaken tot aanpassing van Procesplannen, waarvoor een nieuwe of geactualiseerde DPIA nodig is.

4.3 Artikel 30-formulieren

Team PIV vat het Procesplan samen met behulp van ‘artikel 30-formulieren’ dat de Proceseigenaar toevoegt aan het begin van zijn Procesplan en waarvan hij een kopie verstrekt aan de Privacy Officer, die zorgdraagt voor opname van het formulier in het gegevensverwerkingsregister.

Proceseigenaren melden veranderingen voor het gegevensverwerkingsregister aan de hand van wijzigingsformulieren direct bij de Privacy Officer.

Artikel 30-formulier bevatten de volgende informatie:

• 1.

  Een beschrijvende aanduiding (naam) van het proces en de bijbehorende gegevensverwerking;

• 2.

  De DPIA-scoring van het proces;

• 3.

  De naam, contactgegevens en het mandaat van de Proceseigenaar;

• 4.

  Indien van toepassing: de contactgegevens van degene die die Proceseigenaar assisteert in privacyaangelegenheden;

• 5.

  De organisatiedoelen die met het proces zijn gediend;

• 6.

  Een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens;

• 7.

  De categorieën van ontvangers van de persoonsgegevens en, indien van toepassing, informatie over internationaal gegevensverkeer;

• 8.

  Informatie op hoofdlijnen over genomen beheersmaatregelen (key controls) – met name termijnen voor gegevensvernietiging en de aanpak op het gebied van informatiebeveiliging;

• 9.

  De FG-verklaring, indien afgegeven.

4.4 Beheer Procesplan

De FG brengt jaarlijks verslag uit aan het college en adviseert het college over verdere optimalisering van de privacybeleidsvoering.

Hierin wordt de verslaglegging door Proceseigenaren van hun privacybeleidsvoering meegenomen. Het verslag van de Proceseigenaren omvat een stand van zaken-rapportage en verslag van eventuele klachten of andere incidenten die zich binnen hun taakgebied in het afgelopen jaar hebben voorgedaan.

Het college besluit over bijstelling van het gemeentelijk privacybeleid met inachtneming van de aanbevelingen van de FG.

Hoe dan ook evalueert de Proceseigenaar zijn Procesplannen periodiek en vraagt zo nodig de FG om hierbij advies uit te brengen, een en ander conform onderstaande tabel.

5.1 Rechten

Betrokkenen hebben er recht op:

• •

  dat gemeente Hoeksche Waard handelt conform het onderhavige privacybeleid;

• •

  dat gemeente Hoeksche Waard informatie verschaft over doelen van informatieverwerking en privacybeleidsvoering;

• •

  dat zij inzage in hun eigen gegevens hebben;

• •

  dat zij – in geval van fouten – hun gegevens kunnen (laten) verbeteren of verwijderen;

• •

  om tegen het gebruik van hun gegevens verzet aan te tekenen, wat gemeente Hoeksche Waard verplicht tot het maken van een afweging;

• •

  dat zij gemeente Hoeksche Waard bij niet-naleving van het gemeentelijk privacybeleid (of de wet) hierop mogen aanspreken.

In het Protocol Privacyservices Gemeente Hoeksche Waard wordt nader beschreven welke rechten betrokkenen toekomen en welke procedures hiervoor gelden binnen gemeente Hoeksche Waard.

5.2 Vragen

Bij vragen:

• •

  hebben personen het recht om zich te wenden tot gemeente Hoeksche Waard;

• •

  vragen worden zo snel mogelijk, maar uiterlijk binnen vier weken afgehandeld;

• •

  de betrokken Proceseigenaar kan team PIV om advies over de beantwoording van vragen.

5.3 Klachten

Klachten worden afgehandeld conform de Klachtenregeling gemeente Hoeksche Waard. Ook is hierin geregeld wat de mogelijkheden voor klager zijn wanneer hij niet tevreden is over de afhandeling van zijn klacht door gemeente Hoeksche Waard.

5.4 Rol FG

Betrokkenen kunnen contact opnemen met de FG over alle aangelegenheden die verband houden met de verwerking van hun persoonsgegevens en met de uitoefening van hun rechten voortvloeiende uit de AVG.

6.1 Werkprogramma en jaarplan

Het college hanteert een middellange termijnplanning (werkprogramma) en stelt prioriteiten voor het jaarlijks door haar vast te stellen AVG jaarplan, mede op basis van de jaarrapportage van de FG en de aanbevelingen die hij hierin doet. Het werkprogramma bevordert opzet, bestaan en werking van passende waarborgen voor de bescherming van persoonsgegevens binnen de kaders van het Privacybeleid Gemeente Hoeksche Waard, ter uitvoering van de wet. Het werkprogramma is met name gericht op het realiseren en in stand houden van een privacybestendige bedrijfscultuur binnen gemeente Hoeksche Waard, met gebruikmaking van overige instrumenten die in deze paragraaf worden beschreven.

6.2 Bewustwording en training

Het college bevordert samen met de Proceseigenaren een privacybewuste organisatiecultuur. Door middel van voorbeeldgedrag en bewustwording (in de vorm van communicatie naar en training van medewerkers en leidinggevenden).

6.3 PR & communicatie

Het college is transparant over de privacybeleidsvoering en voert op dit thema evenwichtig communicatiebeleid waarbij Proceseigenaren zo nodig voorzien in bijzondere voorlichting aan specifieke doelgroepen.

6.4 Verdere verwerking, archiefbeleid, gegevensvernietiging

Het college voorziet samen met Proceseigenaren in, met passende waarborgen omklede, verdere verwerking van gegevens voor verenigbare doelen zoals het genereren van managementinformatie. Ook wordt voorzien in, met passende waarborgen omklede, oplossingen voor archivering en adequate oplossingen voor gegevensvernietiging.

6.5 Informatiebeveiliging

Het college ziet erop toe dat informatieveiligheid van gemeente Hoeksche Waard in lijn met de geldende norm wordt georganiseerd. Gemeente Hoeksche Waard beschikt over een Chief Information Security Officer (CISO) die deelneemt in team PIV en samenwerkt met de portefeuillehouder PIV en de FG.

6.6 Regeling privacyincidenten

Het college voorziet in een AVG-incidentenmanagementaanpak die onder de verantwoordelijkheid valt van de portefeuillehouder PIV² . Deze AVG-incidentenmanagementaanpak is een wezenlijk instrument voor de controle op de doelmatigheid en doeltreffendheid van het gemeentelijk gegevensbeschermingsbeleid. De AVG-incidentenmanagementaanpak bevat tevens een meldprocedure voor gebeurtenissen die de beschikbaarheid, integriteit en vertrouwelijkheid van informatievoorzieningen en gegevensopslag aantasten. Ook bevordert het college het oefenen op privacy-incidenten, incidentmanagement en crisiscommunicatie.

6.7 Stimuleren gemeentelijk privacybeleid

Het college stimuleert het gemeentelijk privacybeleid door het melden van positieve gebeurtenissen en ontwikkelingen over privacy.

Vragen, klachten en het incidentmanagement zijn in wezen steekproefsgewijze toetsing van de privacybeleidsvoering. Om niet voor verrassingen te worden geplaatst, is het zaak dat Proceseigenaren ook zelf periodiek (laten) controleren in hoeverre beleidsvoering en de feitelijke situatie met elkaar overeenstemmen aan de hand van privacyaudits op de gehanteerde ijkpunten.

Zie het onderstaande schema voor de benodigde zwaarte en frequentie van privacyaudits.

Bij een gegevensverwerking met kwalificatie nauwelijks risico (laag), volstaat een quickscan.

Bij een gegevensverwerking met kwalificatie noemenswaardig risico (gemiddeld), volstaat een zelfevaluatie.

Bij een gegevensverwerking met kwalificatie ernstig risico (hoog), volstaat een audit.

• •

  Quick scan is een beknopte toets onder de verantwoordelijkheid van de Proceseigenaar;

• •

  Zelfevaluatie is een uitgebreidere toets onder de verantwoordelijkheid van de Proceseigenaar;

• •

  Audits organiseert de Proceseigenaar in samenwerking met team PIV.