CVDR714962_1Privacybeleid 2024 Gemeente AlmelonlregelingbeleidsregelAlmelo2024-02-05gmb-2024-55725Privacybeleid 2024 Gemeente AlmeloUitvoeringswet Algemene verordening gegevensbeschermingcollege van burgemeester en wethoudersbestuur en recht2024-01-30De tekst in dit document is vrij van auteursrecht en databankrecht2024-02-05Nieuw beleidsregelOnbekend.Privacybeleid 2024 Gemeente AlmeloGemeente Almelo hecht grote waarde aan een beheerste en integere omgang met persoonsgegevens, waarbij het belang van haar inwoners en medewerkers centraal staat.Binnen de gemeente worden veel verschillende en soms complexe diensten verleend of uitgevoerd waarbij dagelijks op grote schaal persoonsgegevens worden verwerkt. Gegevens worden bijvoorbeeld ingezien, verzonden naar anderen, aangepast, opgeslagen of verwijderd. Om de privacy van alle hierbij betrokken personen te kunnen beschermen is het noodzakelijk dat de verwerking van persoonsgegevens zorgvuldig en in overeenstemming met de relevante wet- en regelgeving gebeurt.Ten dienste daarvan is privacybeleid (hierna: Beleid) opgesteld, dat bijdraagt aan een adequate bescherming en verantwoorde omgang met persoonsgegevens en het verantwoorden daarvan.Dit Beleid is van toepassing op:- Alle gestructureerde persoonsgegevens die gemeente Almelo verwerkt of laat verwerken, zowel fysiek als digitaal, zowel intern als extern;- Alle taken en processen waarin persoonsgegevens worden verwerkt waar gemeente Almelo verantwoordelijk voor is;- Alle personen en/of organisaties (zowel intern als extern) die persoonsgegevens gemeente Almelo verwerken;- Alle organisatorische, procedurele en technische maatregelen ter bescherming van persoonsgegevens.• De uitgangspunten rondom de verwerking van persoonsgegevens zijn gebaseerd op de Algemene Verordening Gegevensbescherming (hierna: AVG) en de Wet politiegegevens (hierna: Wpg). Wanneer er wordt gesproken over gegevens, betreffen dit zowel politiegegevens als overige persoonsgegevens, tenzij anders aangegeven.Vanzelfsprekend voldoet gemeente Almelo aan eventuele aanvullende eisen die worden opgelegd vanuit wetgeving of die gemeente Almelo contractueel heeft afgesproken met derden.• Gemeente Almelo hanteert met betrekking tot deze uitgangspunten het principe “pas toe of leg uit”. Afwijkingen van de uitgangspunten dienen voorgelegd te worden aan het college.• De uitgangspunten in dit Beleid zijn richtinggevend (parapluregels) en geen vervanging voor het inrichten en implementeren van meer gedetailleerde en specifiek beheersmaatregelen op basis van gerichte risico-overwegingen per proces, systeem of applicatie.• De kosten van beheersmaatregelen moeten passen bij de risico’s die de gemeente Almelo loopt. Hierbij geniet een technische oplossing altijd de voorkeur boven gedragsvoorschriften.• Het college van Burgemeester en Wethouders (hierna: het college) en de directie bevorderen de communicatie en bewustwording rondom privacy zodat zowel interne als externe gebruikers hun verantwoordelijkheden rondom gegevensbescherming begrijpen en nakomen.Dit Beleid hangt samen met de laatst vastgestelde versies van volgende documenten:• Strategisch (INT-77330) en tactisch (INT-87858) informatiebeveiligingsbeleid• Beleid Wet politiegegevens (INT-90612) • Gegevens worden alleen verwerkt met een wettelijke grondslag.• Alle verwerkingen van gegevens zijn opgenomen in een verwerkingsregister.• Alle medewerkers, zowel intern als extern, hebben een schriftelijk vastgelegde geheimhoudingsplicht.• Gegevens zijn beschermd tegen onbevoegden.• Gegevens worden enkel verwerkt indien dit noodzakelijk en rechtmatig is en zolang de verwerking plaatsvindt in lijn met het doel.• Gegevens worden niet langer bewaard dan wettelijk vastgelegd of noodzakelijk.• Gegevens worden gedeeld met medewerkers of derden die dit nodig hebben.• Voor het waarborgen van gegevensbescherming is een managementcyclus opgesteld.• Kwetsbaarheden, bedreigingen en incidenten worden gemeld en gerapporteerd.• Vereiste verwerkersovereenkomsten worden afgesloten en beheerd.• Op dienstverleners die namens gemeente Almelo gegevens verwerken wordt toegezien.• Ontwikkelingen in privacywet- en regelgeving zijn inzichtelijk.• Op verwerkingen van persoonsgegevens wordt toegezien op het gebied van relevante wettelijke uitgangspunten.• Een Functionaris Gegevensbescherming is aangesteld.• Taken en verantwoordelijkheden rondom gegevensbescherming zijn belegd.• Toegang tot informatie wordt beperkt tot noodzakelijke informatie.• Een proces is ingericht voor de juiste afhandeling van datalekken.• Een proces is ingericht voor de juiste afhandeling van rechtenverzoeken.• Systemen en processen zijn zodanig ingericht dat ze niet meer gegevens verwerken dan noodzakelijk voor het doel.• Mogelijk hoge risico’s m.b.t. de bescherming van gegevens worden geïdentificeerd, beoordeeld en aantoonbaar gemitigeerd.• Binnen een week wordt het doel van de verwerking van de politiegegevens vastgelegd ten behoeve van het onderzoek.• Websites en andere kanalen voor externe bezoekers hebben een privacyverklaring.• Communicatie over privacy is begrijpelijk, transparant en relevant.• Medewerkers worden getraind op de omgang met gegevens.OmschrijvingGegevens worden alleen verwerkt met een wettelijke grondslagReden Alle verwerkingen van gegevens zonder grondslag zijn onrechtmatigToelichtingIndien wij gegevens verwerken in de rol van Verwerker, dient de Verwerkingsverantwoordelijke een wettelijke grondslag te hebben
OmschrijvingAlle verwerkingen van gegevens zijn opgenomen in een verwerkingsregisterReden Wettelijk vereisteToelichtingDit uitgangspunt betekent dat er een verwerkingsregister is opgesteld en up-to-date wordt gehouden.
OmschrijvingAlle medewerkers, zowel intern als extern, hebben een schriftelijk vastgelegde geheimhoudingsplichtReden De aard van de gegevens en het belang van privacy voor de inwoners veronderstelt een hoge mate van integriteitToelichting
OmschrijvingGegevens zijn beschermd tegen onbevoegdenReden Om de privacy van de betrokkenen te waarborgen en de risico’s voor de gemeente Almelo in geval van verlies, diefstal en ongewenste wijzigingen te mitigeren, is bescherming noodzakelijkToelichtingDe eisen rondom de beveiliging van gegevens zijn nader uitgewerkt in het informatiebeveiligingsbeleid en onderliggende of aanverwante stukken
OmschrijvingGegevens worden enkel verwerkt indien dit noodzakelijk en rechtmatig is en zolang de verwerking plaatsvindt in lijn met het doelReden Wettelijk vereisteToelichting -
OmschrijvingGegevens worden niet langer bewaard dan wettelijk vastgelegd of noodzakelijkReden Wettelijk vereisteToelichtingPolitiegegevens hebben specifieke, bij wet vastgelegde bewaartermijnen. Overige persoonsgegevens mogen bij wet niet langer dan noodzakelijk worden bewaard
OmschrijvingGegevens worden gedeeld met medewerkers of derden die dit nodig hebben Reden Noodzakelijk voor een juiste uitvoering van werkzaamhedenToelichtingGegevens worden gedeeld met medewerkers die deze gegevens nodig hebben voor hun werkzaamheden (need to know principe). Ook mogen politiegegevens worden gedeeld met instanties die binnen de Wpg vallen (free flow principe).
OmschrijvingVoor het waarborgen van gegevensbescherming is een managementcyclus ingerichtReden Gegevensbescherming is een on-going proces dat geborgd dient te zijn in een PDCA-cyclusToelichtingVoor dit uitgangspunt moeten de volgende zaken zijn ingericht:PDCA-cyclus van dit Beleid en overige privacygerelateerde documenten (zoals privacyverklaring, procedures) over een periode van 4 jaar Periodiek rapportage over alle hoge risico’s op het gebied van gegevensbescherming aan de directie
OmschrijvingKwetsbaarheden, bedreigingen en incidenten worden gemeld en gerapporteerdReden Kwetsbaarheden, bedreigingen en incidenten moeten zo snel mogelijk opgelost op gemitigeerd worden, en naar de toekomst worden voorkomenToelichtingVoor dit uitgangspunt moeten de volgende zaken zijn ingericht:Registratieproces en-systeem voor datalekken en overige bijzonderhedenPeriodieke rapportage aan de directie over kwetsbaarheden, incidenten en bedreigingenGedetailleerde terugkoppeling aan leiding over ontstaan en opvolging van belangrijke incidenten
OmschrijvingVereiste verwerkersovereenkomsten worden afgeslotenReden Afspraken over de verwerking van gegevens moeten vastgelegd worden waarbij de zeggenschap over de gegevens bij de Verwerkingsverantwoordelijke blijft liggenToelichting-
OmschrijvingOp dienstverleners die namens gemeente Almelo gegevens verwerken wordt toegezienReden Goed opdrachtgeverschapRisicobeheerder binnen uitbestede en ingehuurde dienstenToelichtingVoor dit uitgangspunt moet zijn ingericht:Proces audit/beoordeling dienstverleners
OmschrijvingOntwikkelingen in privacywet- en regelgeving zijn inzichtelijkReden Voorkomen non-complianceVoorbereiden op opkomende risico’sToelichting Zowel de AVG als de Wpg zijn relatief nieuwe wetten met een aantal open normen. Jurisprudentie en bijvoorbeeld standpunten van toezichthouders moeten uit gaan wijzen hoe eventuele onduidelijkheden in de wet nader geïnterpreteerd moeten worden
OmschrijvingOp verwerkingen van persoonsgegevens wordt toegezien op het gebied van relevante wettelijke uitgangspuntenReden Wettelijke vereisteToelichtingAudit vindt plaats door externe- en interne privacy audits. De audit ziet op wettelijke verplichtingen van de AVG en de Wpg.
OmschrijvingEen Functionaris Gegevensbescherming is aangesteldReden Wettelijk vereisteToelichtingDe Functionaris Gegevensbescherming (FG) houdt toezicht op en adviseert over de naleving van zowel de AVG als de Wpg binnen gemeente Almelo
OmschrijvingTaken en verantwoordelijkheden rondom gegevensbescherming zijn belegdReden Aanbrengen van organisatorische rol- en functiescheidingAanwezig hebben van noodzakelijke specialismen rondom risicomanagement, gegevensbescherming en informatiebeveiligingWettelijk vereisteToelichting De volgende rollen zijn minimaal vereist:FG;Bevoegd functionaris i.h.k.v. de WpgPrivacy Officer(C)ISO;Risicomanager(s)
OmschrijvingToegang tot informatie wordt beperkt tot noodzakelijke informatieReden Voorkomen van ongewenste functievermengingVoorkomen van ongeoorloofde toegang tot systemen en gegevensToelichting De eisen rondom logische toegang en autorisatie zijn uitgewerkt in aanvullende documentatie.
OmschrijvingEen proces is ingericht voor de juiste afhandeling van datalekkenReden Processen geven richting aan een beheerste bedrijfsvoering en zijn noodzakelijk bij de beheersing van de risico’s op het gebied van gegevensbescherming. Schendingen van wetgeving en contractuele verplichtingen worden voorkomen.Toelichting De Verwerkingsverantwoordelijke moet datalekken binnen 72 uur bij de externe toezichthouder melden. Een snelle en juiste afhandeling is daarom noodzakelijk.
OmschrijvingEen proces is ingericht voor de juiste afhandeling van rechtenverzoekenReden Processen geven richting aan een beheerste bedrijfsvoering en zijn noodzakelijk bij de beheersing van de risico’s op het gebied van gegevensbescherming. Schending van wetgeving wordt voorkomen.Toelichting Rechten van betrokkenen zijn wettelijk vastgelegd. Een tijdige en juiste afhandeling is daarom van belang.
OmschrijvingSystemen en processen zijn zodanig ingericht dat ze niet meer gegevens verwerken dan noodzakelijkReden Wettelijk vereisteToelichting Al direct bij systeem- en procesontwerp en vormen van redesign moet aantoonbaar rekening worden gehouden met optimale bescherming van persoonsgegevens (privacy by design).
OmschrijvingMogelijk hoge risico’s m.b.t. gegevensbescherming worden geïdentificeerd, beoordeeld en aantoonbaar gemitigeerdReden Wettelijk vereisteToelichting Risico’s moeten in kaart worden gebracht (bijvoorbeeld middels DPIA’s/GEB’s. Hoge risico’s moeten worden gemitigeerd.
OmschrijvingBinnen een week wordt het doel van de verwerking van de politiegegevens vastgelegd ten behoeve van het onderzoek Reden Wettelijk vereisteToelichting
OmschrijvingWebsites en andere kanalen voor externe bezoekers hebben een privacyverklaringReden Voldoen aan wettelijke informatieplichtToelichting Websites zijn vaak het eerste en zichtbaarste communicatiekanaal met externen. Hier moet dan ook direct aan de informatieplicht worden voldaan.
OmschrijvingCommunicatie over privacy is begrijpelijk, transparant en relevantReden Voldoen aan wettelijke informatieplichtToelichting Dit uitgangspunt impliceert dat er verschillende inhoud en wordt gebruikt bij verschillende kanalen, afgestemd op de doelgroep (inwoners, leveranciers, medewerkers, sollicitanten, etc.).
OmschrijvingMedewerkers worden getraind op de omgang met gegevensReden Verkleinen van het kans op incidentenToelichting Bij het waarborgen van privacy en het beschermen van gegevens, is de grootste afhankelijkheid het menselijk handelen. Een groot bewustzijn bij medewerkers over hoe om te gaan met persoonsgegevens is daarom van essentieel belang.Binnen bepaalde domeinen moet er specifieke aandacht worden besteed aan de Wpg.
1. Deze nota treedt in werking na vaststelling door het college.2. Het Privacybeleid 2018-2021 komt met de vaststelling van deze nota te vervallen.Versie:Privacybeleid 2024 Gemeente Almelo v1.0Toezichthouder:Functionaris Gegevensbescherming1. Inhoud1 Inleiding 31.1 Achtergrond 31.2 Reikwijdte 31.3 Werking van dit document 31.4 Gerelateerde documenten 42 Beleidsuitgangspunten 52.1 Algemeen 62.2 Governance 72.3 Organisatie 92.4 Processen 102.5 Communicatie en bewustzijn 11Slotbepalingen 11