Bijlage 4.5. Template verwerkersovereenkomst Gemeente en RDW.docx

Verwerkersovereenkomst Zero- emissiezones Gemeente XXXX, waarvan het college van Burgemeester en Wethouders de verwerkingsverantwoordelijke is, verder te noemen Verwerkingsverantwoordelijke, hierbij rechtsgeldig vertegenwoordigd door XXXXX. en De Dienst Wegverkeer (RDW), gevestigd en kantoorhoudende te (2711 ER) Zoetermeer, aan de Europaweg 205, KVK-nummer 27274436, te dezen rechtsgeldig vertegenwoordigd door mevrouw J. Woudstra, Algemeen directeur, hierna te noemen ‘Verwerker’, hierna afzonderlijk te noemen “Partij”, of gezamenlijk “Partijen” Overwegen het volgende: a) Bij besluit (hierna: het Besluit) van het college van burgemeester en wethouders (hierna: College) van de gemeente XXX op datum XXX heeft het College een mandaat en machtiging afgegeven aan de RDW voor het nemen van besluiten en het verrichten van overige handelingen die verband houden met ontheffingen nul-emissiezone van de gemeente.

b) Verwerker verwerkt voor de uitvoering van het Besluit Persoonsgegevens voor Verwerkingsverantwoordelijke; c) Op de verwerking van Persoonsgegevens door Verwerker zijn de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet AVG (UAVG) van toepassing; d) Partijen willen in aanvulling op de AVG en de UAVG de volgende afspraken over de verwerking van Persoonsgegevens vastleggen in deze verwerkersovereenkomst (hierna: de Verwerkersovereenkomst); En komen het volgende overeen: Artikel 1 Definities 1.1 Begrippen uit de AVG en de UAVG die in deze Verwerkersovereenkomst worden gebruikt, hebben dezelfde betekenis. 1.2 Bijlagen: aanhangsels bij deze Verwerkersovereenkomst, die onlosmakelijk deel uitmaken van deze Verwerkersovereenkomst. Artikel 2 Ingangsdatum en duur 2.1 Deze Verwerkersovereenkomst gaat in op het moment dat het Besluit tot stand is gekomen, tenzij Partijen anders overeenkomen. 2.2 Deze Verwerkersovereenkomst eindigt op het moment dat Verwerker de verwerking van Persoonsgegevens op grond van het Besluit heeft beëindigd en de afspraken over het teruggeven en/of wissen van Persoonsgegevens zijn nagekomen. 2.3 Wanneer Partijen een (nieuwe) Verwerkersovereenkomst overeenkomen, betekent dat dat de oude Verwerkersovereenkomst komt te vervallen.

Artikel 3 Onderwerp van deze Verwerkersovereenkomst 3.1 Verwerker verwerkt de door of via Verwerkingsverantwoordelijke ter beschikking gestelde Persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke voor de uitvoering van of het Besluit en uitsluitend overeenkomstig schriftelijke instructies van Verwerkingsverantwoordelijke, tenzij een op Verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke wettelijke bepaling hem tot verwerking verplicht. In dat geval zal Verwerker Verwerkingsverantwoordelijke, voorafgaand aan de verwerking, daarvan zonder onredelijke vertraging in kennis stellen, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. 3.2 De door Verwerker uit te voeren verwerkingen staan beschreven in tabel 1 van Bijlage 1. Artikel 4 Inhoudelijke afspraken 4.1 Beveiligingsmaatregelen Verwerker zorgt voor passende technische en organisatorische maatregelen om de

Verwerkersovereenkomst uitvoering Besluit mandaat en machtiging voor ontheffingen nul-emissiezone

1

4.2

4.3

4.4

4.5

4.6

4.7

Persoonsgegevens goed te beveiligen, zoals bedoeld in artikel 32 AVG. De wijze waarop Verwerker de passende technische en organisatorische maatregelen aantoont, staat in Bijlage 2. Audits Verwerker verleent alle benodigde medewerking aan audits uitgevoerd door een gecertificeerde auditor over de nakoming van de afspraken binnen deze Verwerkersovereenkomst en Bijlagen, tenzij Verwerker door middel van een geldige certificering, die periodiek door een geaccrediteerde instelling wordt getoetst, heeft aangetoond dat Verwerker de gemaakte afspraken nakomt. De kosten van deze audit worden gedragen door Verwerkingsverantwoordelijke (zowel eigen kosten als kosten van Verwerker), tenzij de auditor één of meer tekortkomingen van niet ondergeschikte aard van Verwerker constateert die ten nadele zijn van Verwerkingsverantwoordelijke. Verwerking buiten de EER Verwerker mag Persoonsgegevens buiten de Europese Economische Ruimte (laten) verwerken wanneer is voldaan aan de voorwaarden van artikel 45 of 46 AVG. Wanneer er sprake is van een verwerking buiten de EER, dan stelt Verwerker Verwerkingsverantwoordelijke daarvan vooraf op de hoogte. Geheimhouding Personen die werken voor (sub)Verwerker en (sub)Verwerker zelf, moeten Persoonsgegevens waarmee zij werken geheimhouden.

De personen die werken voor Verwerker en subverwerkers hebben daarom een geheimhoudingsverklaring getekend, of zich op een andere manier schriftelijk gebonden aan de geheimhouding. Subverwerkers De ten tijde van het afsluiten van deze Verwerkersovereenkomst bekende subverwerkers vermeldt Verwerker in tabel 3 van Bijlage 1. Verwerkingsverantwoordelijke verleent hierbij algemene toestemming voor de inschakeling van subverwerkers. Verwerker houdt na de start van de werkzaamheden Verwerkingsverantwoordelijke op de hoogte van de beoogde inschakeling van nieuwe subverwerkers. Bij de inschakeling van subverwerkers blijven de artikelen 28.2 en 28.4 AVG onverkort van kracht. Rechten van betrokkenen Als een betrokkene een beroep doet op zijn rechten zoals genoemd in artikel 12 t/m 22 AVG, helpt Verwerker Verwerkingsverantwoordelijke om daarop binnen de wettelijke termijnen een beslissing te nemen. Gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging Op verzoek van Verwerkingsverantwoordelijke werkt Verwerker altijd mee aan een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging als bedoeld in artikel 35 en 36 AVG.

Artikel 5 Inbreuk in verband met Persoonsgegevens 5.1 Verwerker zal Verwerkingsverantwoordelijke zonder onredelijke vertraging, maar uiterlijk binnen 24 uur, informeren na vaststelling van een (vermoedelijke) Inbreuk in verband met Persoonsgegevens. Verwerker vermeldt hierbij voor zover bekend de vermeende oorzaak van de (vermoedelijke) Inbreuk, de categorie persoonsgegevens, de categorie betrokkenen en het aantal betrokkenen. 5.2 In geval van een Inbreuk neemt Verwerker zonder onredelijke vertraging alle maatregelen om de Inbreuk te herstellen, de gevolgen daarvan te beperken en verdere Inbreuken te voorkomen en houdt de Verwerkingsverantwoordelijke hiervan voortdurend op de hoogte. 5.3 Verwerker heeft een gedetailleerd logboek van de Inbreuken en de maatregelen die op Inbreuken zijn genomen. Verwerkingsverantwoordelijke mag dat inzien, wanneer deze daarom vraagt. 5.4 Verwerkingsverantwoordelijke beslist of de Inbreuk moet worden gemeld bij de toezichthoudende autoriteit en/of Betrokkene. Verwerker ondersteunt de Verwerkingsverantwoordelijke waar nodig bij de melding aan de toezichthoudende autoriteit en/of Betrokkene. Artikel 6 Aansprakelijkheid 6.1 Eventuele in het Besluit overeengekomen beperkingen van de aansprakelijkheid hebben ook betrekking op de Verwerkersovereenkomst. Artikel 7 Beëindigen verwerkersovereenkomst

Verwerkersovereenkomst uitvoering Besluit mandaat en machtiging voor ontheffingen nul-emissiezone

2

7.1

7.2

Partijen moeten in het Besluit afspraken maken over de beëindiging van de Hoofdovereenkomst en de daaruit voortvloeiende teruggave en wissing van Persoonsgegevens. De geheimhouding geldt ook nog na beëindiging van deze Verwerkersovereenkomst.

Artikel 8 Overige bepalingen 8.1 Op deze overeenkomst is Nederlands recht van toepassing. Alle geschillen, ook als alleen één Partij vindt dat er een geschil is, zullen in eerste instantie worden voorgelegd aan dezelfde bevoegde rechter als genoemd in het Besluit .

Ondertekening Aldus overeengekomen en in tweevoud ondertekend, Datum: <……………> Gemeente XXXX Het college van gemeente XXXXX

RDW

namens deze: XXXXX

namens deze: J. Woudstra

plaats: <……………..> datum: <………………….>

plaats: Zoetermeer datum: <…………………….>

Verwerkersovereenkomst uitvoering Besluit mandaat en machtiging voor ontheffingen nul-emissiezone

3

Bijlage 1: Overzicht van te verwerken persoonsgegevens 1. Naam verwerking, doeleinden categorieën van betrokkenen, categorieën persoonsgegevens en eventuele doorgifte naar derde landen. Naam verwerking

Verwerkingsdoelein den

Categorieën van Betrokkenen

Categorieën Persoonsgegevens (waaronder bijzondere persoonsgegevens)

Verwerkings -locatie

Doorgifte instrument (indien van toepassing)

Aanvullende maatregelen (indien van toepassing)

Beoordelen ontheffingen

Beoordeling van ontheffingsaanvragen.

Particulieren / natuurlijke personen met een bedrijf / medewerkers van bedrijven / overig

Contactgegevens / financiële gegevens / gezondheidsgegevens / voertuiggegevens / overige bewijsdocumenten

EER

NVT

NVT

Zowel natuurlijke personen als rechtspersonen kunnen een ontheffing aanvragen. Afhankelijk van de rechtsvorm van het bedrijf kan hier ook sprake zijn van persoonsgegevens. Per soort ontheffing zijn verschillende bewijsdocumenten nodig. Het kan bijvoorbeeld gaan om een leasecontract of om en beschrijving van persoonlijke omstandigheden in het kader van de hardheidsclausule. De verwerking omvat meerdere processen waaronder het behandelen en/of beoordelen van een ontheffingaanvraag, het behandelen van bezwaar en beroep, het incasseren van leges en het beantwoorden van vragen.

2. Contactgegevens Contactpersoon Verwerkingsverantwoordelijke (NB: Ook buiten kantooruren)

Naam: Contactgegevens:

Contactpersoon Verwerker (NB: Ook buiten kantooruren)

Naam: Contactgegevens: datalekteam@rdw.nl

NB: Eventuele wijzigingen in bovenstaande tabellen geven partijen op korte termijn aan elkaar door.

3. Ingeschakelde subverwerkers Naam en contactgegevens subverwerker

KvK-nummer

Uitbestede verwerkingen

Toepassing Verwerkingslocatie Doorgifte (geautomatiseerd system) instrument

Aanvullende maatregelen (indien van toepassing)

Niet van toepassing

Verwerkersovereenkomst uitvoering Besluit mandaat en machtiging voor ontheffingen nul-emissiezone

4

Bijlage 2: Aantonen passend niveau van beveiliging Normenstelsel De verwerker werkt volgens een algemeen erkende norm voor informatiebeveiliging, te weten ISO27001 en is volgens deze norm wel gecertificeerd.

Toereikendheid De toereikendheid van de informatiebeveiliging blijkt uit het volgende: a) Verstrekken van een actueel en geldig certificaat en verklaring van toepasselijkheid (VVT)

Verwerkersovereenkomst uitvoering Besluit mandaat en machtiging voor ontheffingen nul-emissiezone

5

Bijlage 3: Aanvullende bepaling aangaande deze verwerkersovereenkomst Artikel 9 Wijziging verwerkersovereenkomst 9.1 SHPV bereidt samen met de RDW eventuele wijzigingen van de verwerkersovereenkomst voor en legt deze ter inspraak voor aan alle gemeenten die de verwerkersovereenkomst heeft getekend. 9.2 Na het verwerken van de inspraakreacties legt SHPV de conceptwijzigingen ter stemming voor aan alle gemeenten die de verwerkersovereenkomst hebben getekend. De stemming vindt plaats binnen een periode van twee weken. Iedere gemeente – ofwel partij – heeft één stem. Bij een gewone meerderheid van stemmen geldt de wijziging als definitief. 9.3 SHPV maakt de definitieve wijzigingen aan gemeenten schriftelijk bekend en legt het ter goedkeuring aan RDW voor. Artikel 10 Gebruik (persoons)gegevens door SHPV 10.1 Verwerkingsverantwoordelijke geeft hierbij toestemming aan Verwerker voor het verstrekken en verwerken van (persoons)gegevens voor de onder lid 2 en 3 genoemde eigen doeleinden van de SHPV. 10.2 Analyse van (persoons)gegevens ten behoeve van het collectiviteit van gemeenten. Verwerker kan hiertoe managementrapportages opstellen voor SHPV en heeft een inspanningsverplichting om hiertoe zo min mogelijk (of geen) persoonsgegevens te verwerken en te verstrekken. 10.3 Facturatie vanuit Verwerker richting SHPV en Verwerkingsverantwoordelijke.

Verwerkersovereenkomst uitvoering Besluit mandaat en machtiging voor ontheffingen nul-emissiezone

6