1 Inleiding
1.1 Achtergrond
Gemeente Almelo hecht grote waarde aan een beheerste en integere omgang met persoonsgegevens, waarbij het belang van haar inwoners en medewerkers centraal staat.
Binnen de gemeente worden veel verschillende en soms complexe diensten verleend of uitgevoerd waarbij dagelijks op grote schaal persoonsgegevens worden verwerkt. Gegevens worden bijvoorbeeld ingezien, verzonden naar anderen, aangepast, opgeslagen of verwijderd.
Om de privacy van alle hierbij betrokken personen te kunnen beschermen is het noodzakelijk dat de verwerking van persoonsgegevens zorgvuldig en in overeenstemming met de relevante wet- en regelgeving gebeurt.
Ten dienste daarvan is privacybeleid (hierna: Beleid) opgesteld, dat bijdraagt aan een adequate bescherming en verantwoorde omgang met persoonsgegevens en het verantwoorden daarvan.
1.2 Reikwijdte
Dit Beleid is van toepassing op:
- Alle gestructureerde persoonsgegevens die gemeente Almelo verwerkt of laat verwerken, zowel fysiek als digitaal, zowel intern als extern;
- Alle taken en processen waarin persoonsgegevens worden verwerkt waar gemeente Almelo verantwoordelijk voor is;
- Alle personen en/of organisaties (zowel intern als extern) die persoonsgegevens gemeente Almelo verwerken;
- Alle organisatorische, procedurele en technische maatregelen ter bescherming van persoonsgegevens.
1.3 Werking van dit document
• De uitgangspunten rondom de verwerking van persoonsgegevens zijn gebaseerd op de Algemene Verordening Gegevensbescherming (hierna: AVG) en de Wet politiegegevens (hierna: Wpg). Wanneer er wordt gesproken over gegevens, betreffen dit zowel politiegegevens als overige persoonsgegevens, tenzij anders aangegeven.
Vanzelfsprekend voldoet gemeente Almelo aan eventuele aanvullende eisen die worden opgelegd vanuit wetgeving of die gemeente Almelo contractueel heeft afgesproken met derden.
• Gemeente Almelo hanteert met betrekking tot deze uitgangspunten het principe “pas toe of leg uit”. Afwijkingen van de uitgangspunten dienen voorgelegd te worden aan het college.
• De uitgangspunten in dit Beleid zijn richtinggevend (parapluregels) en geen vervanging voor het inrichten en implementeren van meer gedetailleerde en specifiek beheersmaatregelen op basis van gerichte risico-overwegingen per proces, systeem of applicatie.
• De kosten van beheersmaatregelen moeten passen bij de risico’s die de gemeente Almelo loopt. Hierbij geniet een technische oplossing altijd de voorkeur boven gedragsvoorschriften.
• Het college van Burgemeester en Wethouders (hierna: het college) en de directie bevorderen de communicatie en bewustwording rondom privacy zodat zowel interne als externe gebruikers hun verantwoordelijkheden rondom gegevensbescherming begrijpen en nakomen.
1.4 Gerelateerde documenten
Dit Beleid hangt samen met de laatst vastgestelde versies van volgende documenten:
• Strategisch (INT-77330) en tactisch (INT-87858) informatiebeveiligingsbeleid
• Beleid Wet politiegegevens (INT-90612)
2 Beleidsuitgangspunten
2.1 Algemeen
• Gegevens worden alleen verwerkt met een wettelijke grondslag.
• Alle verwerkingen van gegevens zijn opgenomen in een verwerkingsregister.
• Alle medewerkers, zowel intern als extern, hebben een schriftelijk vastgelegde geheimhoudingsplicht.
• Gegevens zijn beschermd tegen onbevoegden.
• Gegevens worden enkel verwerkt indien dit noodzakelijk en rechtmatig is en zolang de verwerking plaatsvindt in lijn met het doel.
• Gegevens worden niet langer bewaard dan wettelijk vastgelegd of noodzakelijk.
• Gegevens worden gedeeld met medewerkers of derden die dit nodig hebben.
2.2 Governance
• Voor het waarborgen van gegevensbescherming is een managementcyclus opgesteld.
• Kwetsbaarheden, bedreigingen en incidenten worden gemeld en gerapporteerd.
• Vereiste verwerkersovereenkomsten worden afgesloten en beheerd.
• Op dienstverleners die namens gemeente Almelo gegevens verwerken wordt toegezien.
• Ontwikkelingen in privacywet- en regelgeving zijn inzichtelijk.
• Op verwerkingen van persoonsgegevens wordt toegezien op het gebied van relevante wettelijke uitgangspunten.
2.3 Organisatie
• Een Functionaris Gegevensbescherming is aangesteld.
• Taken en verantwoordelijkheden rondom gegevensbescherming zijn belegd.
• Toegang tot informatie wordt beperkt tot noodzakelijke informatie.
2.4 Processen
• Een proces is ingericht voor de juiste afhandeling van datalekken.
• Een proces is ingericht voor de juiste afhandeling van rechtenverzoeken.
• Systemen en processen zijn zodanig ingericht dat ze niet meer gegevens verwerken dan noodzakelijk voor het doel.
• Mogelijk hoge risico’s m.b.t. de bescherming van gegevens worden geïdentificeerd, beoordeeld en aantoonbaar gemitigeerd.
• Binnen een week wordt het doel van de verwerking van de politiegegevens vastgelegd ten behoeve van het onderzoek.
2.5 Communicatie & bewustzijn
• Websites en andere kanalen voor externe bezoekers hebben een privacyverklaring.
• Communicatie over privacy is begrijpelijk, transparant en relevant.
• Medewerkers worden getraind op de omgang met gegevens.
2.1 Algemeen
Omschrijving | Gegevens worden alleen verwerkt met een wettelijke grondslag
|
Reden | Alle verwerkingen van gegevens zonder grondslag zijn onrechtmatig |
Toelichting | Indien wij gegevens verwerken in de rol van Verwerker, dient de Verwerkingsverantwoordelijke een wettelijke grondslag te hebben |
Omschrijving | Alle verwerkingen van gegevens zijn opgenomen in een verwerkingsregister
|
Reden | Wettelijk vereiste |
Toelichting | Dit uitgangspunt betekent dat er een verwerkingsregister is opgesteld en up-to-date wordt gehouden. |
Omschrijving | Alle medewerkers, zowel intern als extern, hebben een schriftelijk vastgelegde geheimhoudingsplicht
|
Reden | De aard van de gegevens en het belang van privacy voor de inwoners veronderstelt een hoge mate van integriteit |
Toelichting | |
Omschrijving | Gegevens zijn beschermd tegen onbevoegden
|
Reden | Om de privacy van de betrokkenen te waarborgen en de risico’s voor de gemeente Almelo in geval van verlies, diefstal en ongewenste wijzigingen te mitigeren, is bescherming noodzakelijk |
Toelichting | De eisen rondom de beveiliging van gegevens zijn nader uitgewerkt in het informatiebeveiligingsbeleid en onderliggende of aanverwante stukken |
Omschrijving | Gegevens worden enkel verwerkt indien dit noodzakelijk en rechtmatig is en zolang de verwerking plaatsvindt in lijn met het doel |
Reden | Wettelijk vereiste |
Toelichting | - |
Omschrijving | Gegevens worden niet langer bewaard dan wettelijk vastgelegd of noodzakelijk
|
Reden | Wettelijk vereiste |
Toelichting | Politiegegevens hebben specifieke, bij wet vastgelegde bewaartermijnen. Overige persoonsgegevens mogen bij wet niet langer dan noodzakelijk worden bewaard |
Omschrijving | Gegevens worden gedeeld met medewerkers of derden die dit nodig hebben |
Reden | Noodzakelijk voor een juiste uitvoering van werkzaamheden |
Toelichting | Gegevens worden gedeeld met medewerkers die deze gegevens nodig hebben voor hun werkzaamheden (need to know principe). Ook mogen politiegegevens worden gedeeld met instanties die binnen de Wpg vallen (free flow principe). |
2.2 Governance
Omschrijving | Voor het waarborgen van gegevensbescherming is een managementcyclus ingericht |
Reden | Gegevensbescherming is een on-going proces dat geborgd dient te zijn in een PDCA-cyclus |
Toelichting | Voor dit uitgangspunt moeten de volgende zaken zijn ingericht: PDCA-cyclus van dit Beleid en overige privacygerelateerde documenten (zoals privacyverklaring, procedures) over een periode van 4 jaar Periodiek rapportage over alle hoge risico’s op het gebied van gegevensbescherming aan de directie |
Omschrijving | Kwetsbaarheden, bedreigingen en incidenten worden gemeld en gerapporteerd
|
Reden | Kwetsbaarheden, bedreigingen en incidenten moeten zo snel mogelijk opgelost op gemitigeerd worden, en naar de toekomst worden voorkomen |
Toelichting | Voor dit uitgangspunt moeten de volgende zaken zijn ingericht: Registratieproces en-systeem voor datalekken en overige bijzonderheden Periodieke rapportage aan de directie over kwetsbaarheden, incidenten en bedreigingen Gedetailleerde terugkoppeling aan leiding over ontstaan en opvolging van belangrijke incidenten |
Omschrijving | Vereiste verwerkersovereenkomsten worden afgesloten |
Reden | Afspraken over de verwerking van gegevens moeten vastgelegd worden waarbij de zeggenschap over de gegevens bij de Verwerkingsverantwoordelijke blijft liggen |
Toelichting | - |
Omschrijving | Op dienstverleners die namens gemeente Almelo gegevens verwerken wordt toegezien |
Reden | Goed opdrachtgeverschap Risicobeheerder binnen uitbestede en ingehuurde diensten |
Toelichting | Voor dit uitgangspunt moet zijn ingericht: Proces audit/beoordeling dienstverleners |
Omschrijving | Ontwikkelingen in privacywet- en regelgeving zijn inzichtelijk |
Reden | Voorkomen non-compliance Voorbereiden op opkomende risico’s |
Toelichting | Zowel de AVG als de Wpg zijn relatief nieuwe wetten met een aantal open normen. Jurisprudentie en bijvoorbeeld standpunten van toezichthouders moeten uit gaan wijzen hoe eventuele onduidelijkheden in de wet nader geïnterpreteerd moeten worden |
Omschrijving | Op verwerkingen van persoonsgegevens wordt toegezien op het gebied van relevante wettelijke uitgangspunten
|
Reden | Wettelijke vereiste |
Toelichting | Audit vindt plaats door externe- en interne privacy audits. De audit ziet op wettelijke verplichtingen van de AVG en de Wpg. |
2.3 Organisatie
Omschrijving | Een Functionaris Gegevensbescherming is aangesteld |
Reden | Wettelijk vereiste |
Toelichting | De Functionaris Gegevensbescherming (FG) houdt toezicht op en adviseert over de naleving van zowel de AVG als de Wpg binnen gemeente Almelo |
Omschrijving | Taken en verantwoordelijkheden rondom gegevensbescherming zijn belegd |
Reden | Aanbrengen van organisatorische rol- en functiescheiding Aanwezig hebben van noodzakelijke specialismen rondom risicomanagement, gegevensbescherming en informatiebeveiliging Wettelijk vereiste |
Toelichting | De volgende rollen zijn minimaal vereist: FG; Bevoegd functionaris i.h.k.v. de Wpg Privacy Officer (C)ISO; Risicomanager(s) |
Omschrijving | Toegang tot informatie wordt beperkt tot noodzakelijke informatie |
Reden | Voorkomen van ongewenste functievermenging Voorkomen van ongeoorloofde toegang tot systemen en gegevens |
Toelichting | De eisen rondom logische toegang en autorisatie zijn uitgewerkt in aanvullende documentatie. |
2.4 Processen
Omschrijving | Een proces is ingericht voor de juiste afhandeling van datalekken |
Reden | Processen geven richting aan een beheerste bedrijfsvoering en zijn noodzakelijk bij de beheersing van de risico’s op het gebied van gegevensbescherming. Schendingen van wetgeving en contractuele verplichtingen worden voorkomen. |
Toelichting | De Verwerkingsverantwoordelijke moet datalekken binnen 72 uur bij de externe toezichthouder melden. Een snelle en juiste afhandeling is daarom noodzakelijk. |
Omschrijving | Een proces is ingericht voor de juiste afhandeling van rechtenverzoeken |
Reden | Processen geven richting aan een beheerste bedrijfsvoering en zijn noodzakelijk bij de beheersing van de risico’s op het gebied van gegevensbescherming. Schending van wetgeving wordt voorkomen. |
Toelichting | Rechten van betrokkenen zijn wettelijk vastgelegd. Een tijdige en juiste afhandeling is daarom van belang. |
Omschrijving | Systemen en processen zijn zodanig ingericht dat ze niet meer gegevens verwerken dan noodzakelijk |
Reden | Wettelijk vereiste |
Toelichting | Al direct bij systeem- en procesontwerp en vormen van redesign moet aantoonbaar rekening worden gehouden met optimale bescherming van persoonsgegevens (privacy by design). |
Omschrijving | Mogelijk hoge risico’s m.b.t. gegevensbescherming worden geïdentificeerd, beoordeeld en aantoonbaar gemitigeerd |
Reden | Wettelijk vereiste |
Toelichting | Risico’s moeten in kaart worden gebracht (bijvoorbeeld middels DPIA’s/GEB’s. Hoge risico’s moeten worden gemitigeerd. |
Omschrijving | Binnen een week wordt het doel van de verwerking van de politiegegevens vastgelegd ten behoeve van het onderzoek |
Reden | Wettelijk vereiste |
Toelichting | |
2.5 Communicatie en bewustzijn
Omschrijving | Websites en andere kanalen voor externe bezoekers hebben een privacyverklaring |
Reden | Voldoen aan wettelijke informatieplicht |
Toelichting | Websites zijn vaak het eerste en zichtbaarste communicatiekanaal met externen. Hier moet dan ook direct aan de informatieplicht worden voldaan. |
Omschrijving | Communicatie over privacy is begrijpelijk, transparant en relevant |
Reden | Voldoen aan wettelijke informatieplicht |
Toelichting | Dit uitgangspunt impliceert dat er verschillende inhoud en wordt gebruikt bij verschillende kanalen, afgestemd op de doelgroep (inwoners, leveranciers, medewerkers, sollicitanten, etc.). |
Omschrijving | Medewerkers worden getraind op de omgang met gegevens |
Reden | Verkleinen van het kans op incidenten |
Toelichting | Bij het waarborgen van privacy en het beschermen van gegevens, is de grootste afhankelijkheid het menselijk handelen. Een groot bewustzijn bij medewerkers over hoe om te gaan met persoonsgegevens is daarom van essentieel belang. Binnen bepaalde domeinen moet er specifieke aandacht worden besteed aan de Wpg. |
Slotbepalingen
1. Deze nota treedt in werking na vaststelling door het college.
2. Het Privacybeleid 2018-2021 komt met de vaststelling van deze nota te vervallen.
Versie:
Privacybeleid 2024 Gemeente Almelo v1.0
Toezichthouder:
Functionaris Gegevensbescherming
1. Inhoud
1 Inleiding 3
1.1 Achtergrond 3
1.2 Reikwijdte 3
1.3 Werking van dit document 3
1.4 Gerelateerde documenten 4
2 Beleidsuitgangspunten 5
2.1 Algemeen 6
2.2 Governance 7
2.3 Organisatie 9
2.4 Processen 10
2.5 Communicatie en bewustzijn 11
Slotbepalingen 11