Privacy Protocal Zorgtafel regio Oost-Brabant

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 +

Privacy Protocol

Behorende bij het Convenant Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + (hierna het Convenant)

-1-

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 +

Context: Met dit Privacy Protocol worden afspraken rondom de uitwisseling en het verder gebruik van persoonsgegevens door en tussen verschillende partijen binnen Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + (verder: De Zorgtafel) geformaliseerd en vastgelegd. Uit dit Privacy Protocol blijkt duidelijk op basis van welke grondslag de gegevens worden verwerkt en gedeeld met de ketenpartners, met welk doel persoonsgegevens worden verwerkt, wie voor welke acties met betrekking tot persoonsgegevens verantwoordelijk is, wanneer sprake is van gezamenlijke verantwoordelijkheid en hoe invulling wordt gegeven aan de materiële vereisten uit privacy wet- en regelgeving zoals de informatieplicht, de rechten van de betrokkene, beveiliging en het bewaren en vernietigen van persoonsgegevens. Dit Privacy Protocol en de daarin gehanteerde terminologie is gebaseerd op Algemene Verordening Gegevensbescherming en de Wet politiegegevens. Dit Privacy Protocol dient samen met het Convenant te worden gebruikt.

-2-

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + Privacy Protocol tussen ketenpartners De Zorgtafel

Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Asten Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Bergeijk Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Bernheze Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Best Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Bladel Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Boekel Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Boxmeer Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Boxtel Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Cranendonck Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Cuijk Het college van burgemeester en wethouders en de burgemeester,

ieder voor zover het zijn bevoegdheid betreft, van de gemeente Deurne Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Eersel Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Eindhoven Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Geldrop-Mierlo Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Gemert-Bakel Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Grave

-3-

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Heeze-Leende Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Helmond Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente ’s-Hertogenbosch Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Laarbeek Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Landerd Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Meierijstad Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Mill en St.

Hubert Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Nuenen Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Oirschot Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Oss Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Reusel De Mierden Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Sint Anthonis Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Sint-Michielsgestel Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Someren Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Son en Breugel Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Uden Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Valkenswaard

-4-

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Veldhoven Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Vught Het college van burgemeester en wethouders en de burgemeester, ieder voor zover het zijn bevoegdheid betreft, van de gemeente Waalre verder afzonderlijk aangeduid als ‘Partij’ of ‘Gemeente’, en Bijzonder Jeugdwerk, gevestigd te Deurne en kantoorhoudend te Mr. De Jonghlaan 4, hierbij rechtsgeldig vertegenwoordigd door mevr. A. de Wit, adjunct directeur; Cello, gevestigd te Vught en kantoorhoudend te De Ring 14, hierbij rechtsgeldig vertegenwoordigd door dhr. F. van Beers, voorzitter Raad van Bestuur; COA Budel-Cranendonck, gevestigd te Budel en kantoorhoudend te Randweg-Oost 32, hierbij rechtsgeldig vertegenwoordigd door dhr. L.

ter Hark, locatiemanager; COA Grave, gevestigd te Rheden en kantoorhoudend te Intendanceplantsoen 1, hierbij rechtsgeldig vertegenwoordigd door [naam, functie] COA Overloon, gevestigd te [plaatsnaam] en kantoorhoudend te [adres], hierbij rechtsgeldig vertegenwoordigd door [naam, functie] Farent, gevestigd te ’s-Hertogenbosch en kantoorhoudend te Rogier van der Weydenstraat 2, hierbij rechtsgeldig vertegenwoordigd door mevr. H. Jacobs, bestuurder; GGD Brabant-Zuidoost, gevestigd te Eindhoven en kantoorhoudend te Clausplein 10, hierbij rechtsgeldig vertegenwoordigd door mevr. E. Jeurissen, directeur; GGD Hart voor Brabant vestiging ‘s-Hertogenbosch, gevestigd te ’s-Hertogenbosch en kantoorhoudend te Vogelstraat 2, hierbij rechtsgeldig vertegenwoordigd door [naam, functie]; GGZ Oost Brabant Regio Helmond-Peelland, gevestigd te Helmond en kantoorhoudend te Wesselmanlaan 25a, hierbij rechtsgeldig vertegenwoordigd door dhr. H. Hanegraaf, geneesheerdirecteur; GGZ Oost Brabant Land van Cuijk en Noord-Limburg, gevestigd te Boxmeer en kantoorhoudend te Bilderbeekstraat 44, hierbij rechtsgeldig vertegenwoordigd door dhr. H. Hanegraaf, geneesheerdirecteur; GGZ Oost Brabant Regio Oss-Uden-Veghel, gevestigd, te Veghel en kantoorhoudend te Gezondheidslaan 65, hierbij rechtsgeldig vertegenwoordigd door dhr. H.

Hanegraaf, geneesheerdirecteur; Humanitas District Zuid, gevestigd te Eindhoven en kantoorhoudend te Zernikestraat 11-13, hierbij rechtsgeldig vertegenwoordigd door dhr. R. Derkx, districtsmanager Humanitas Zuid;

-5-

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + Koninklijke Marechaussee Brigade Brabant-Zuid, gevestigd te Eindhoven en kantoorhoudend te Luchthavenweg 63, hierbij rechtsgeldig vertegenwoordigd door [naam, functie]; Koraal locatie De La Salle, gevestigd te Boxtel en kantoorhoudend te Schijndelseweg 1, hierbij rechtsgeldig vertegenwoordigd door mevr. C. Bogers, regiodirecteur Noordoost Brabant; Leger des Heils, gevestigd te Eindhoven en kantoorhoudend te Raiffeisenstraat 1, hierbij rechtsgeldig vertegenwoordigd door mevr. J. Wisseborn, directeur; LEV Groep, gevestigd te Helmond en kantoorhoudend te Penningstraat 55, hierbij rechtsgeldig vertegenwoordigd door dhr. J. Ragetlie, bestuurder; Lumens, gevestigd te Eindhoven en kantoorhoudend te Beemdstraat 29, hierbij rechtsgeldig vertegenwoordigd door mevr. J. Vonk, bestuurder; Maatschappelijke Opvang Den Bosch, gevestigd te ’s-Hertogenbosch en kantoorhoudend te Aartshertogenlaan 23, hierbij rechtsgeldig vertegenwoordigd door dhr. B. van Eijk, directeur; MEE regio ’s-Hertogenbosch, gevestigd te ’s-Hertogenbosch en kantoorhoudend te Sint Teunislaan 3, hierbij rechtsgeldig vertegenwoordigd door mevr. Bomhof-Bonekamp, Raad van Bestuur ; NEOS, Nieuwe Eindhovense Opvang Stichting, gevestigd te Eindhoven en kantoorhoudend te Keizer Karel V Singel 45, hierbij rechtsgeldig vertegenwoordigd door dhr. P.

Dijkstra, Voorzitter Raad van Bestuur; Novadic Kentron, gevestigd te Vught en kantoorhoudend te Hogedwarsstraat 3, hierbij rechtsgeldig vertegenwoordigd door dhr. W. Tibosch, voorzitter Raad van Bestuur; Ons Welzijn, gevestigd te Oss en kantoorhoudend te Schadewijkstraat 6, hierbij rechtsgeldig vertegenwoordigd door [naam, functie]; Oosterpoort, gevestigd te Oss en kantoorhoudend te Kamperfoeliestraat 60, hierbij rechtsgeldig vertegenwoordigd door dhr. G. Schep, bestuurder; PlusTeam Geldrop-Mierlo, gevestigd te Geldrop en kantoorhoudend te De Meent 2, hierbij rechtsgeldig vertegenwoordigd door mevr. A. van der Velden, manager; Politie Eenheid Oost-Brabant, gevestigd te ‘s-Hertogenbosch en kantoorhoudend te Vogelstraat 41, hierbij rechtsgeldig vertegenwoordigd door dhr. W. Paulissen, Politiechef Eenheid Oost-Brabant; Reinier van Arkel, gevestigd te ’s-Hertogenbosch en kantoorhoudend te Bethaniestraat 2, hierbij rechtsgeldig vertegenwoordigd door dhr. E. van Doorn, directeur; Sociom, gevestigd te Cuijk en kantoorhoudend te Zwaanstraat 7, hierbij rechtsgeldig vertegenwoordigd door dhr. R. van der Heijden, directeur-bestuurder; Stichting Maatschappelijke Opvang Helmond, gevestigd te Helmond en kantoorhoudend te St. Hubertusstraat 2, hierbij rechtsgeldig vertegenwoordigd door dhr. J.

Feuerriegel, Raad van Bestuur; Veilig Thuis Brabant Noordoost, gevestigd te ’s-Hertogenbosch en kantoorhoudend te Oude Vlijmenseweg 112, hierbij rechtsgeldig vertegenwoordigd door mevr. T. Hummeling, directeur;

-6-

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + Veilig Thuis Zuidoost-Brabant, gevestigd te Helmond en kantoorhoudend te Sobriëtasplein 102, hierbij rechtsgeldig vertegenwoordigd door mevr. J. Kuijpers, directeur; Verdihuis, gevestigd te Oss en kantoorhoudend te Kardinaal de Jongstraat 17, hierbij rechtsgeldig vertegenwoordigd door dhr. H. Kremers, directeur; WIJeindhoven, gevestigd te Eindhoven en kantoorhoudend te Winston Churchilllaan 79, hierbij rechtsgeldig vertegenwoordigd door dhr. L. van Eijndhoven, bestuurder;

hierna afzonderlijk te noemen ‘Partij’ en gezamenlijk, inclusief de hierboven vermelde colleges van B&W van de genoemde gemeenten, te noemen ‘Partijen’,

de volgende overwegingen in aanmerking nemende: • • • • • • •

•

Partijen in het kader van samenwerking op het gebied van zorg aan slachtoffers van mensenhandel De Zorgtafel hebben opgezet; Partijen voor deze samenwerking afspraken hebben vastgelegd in het Convenant ‘Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 +’ gesloten op [dd-mm-jjjj]’ (verder: het Convenant), waar dit Privacy Protocol deel van uitmaakt; voor de samenwerking binnen De Zorgtafel de uitwisseling van gegevens, waaronder Persoonsgegevens, tussen de Partijen noodzakelijk is; in de door Partijen opgezette Zorgtafel Persoonsgegevens worden verwerkt ten dienste en onder verantwoordelijkheid van Partijen; Partijen slechts die Persoonsgegevens binnen De Zorgtafel delen die noodzakelijk zijn voor het doel van de samenwerking; op de samenwerking wet-en regelgeving met betrekking tot de bescherming van Persoonsgegevens van toepassing is waarbij Partijen conform deze wet- en regelgeving willen samenwerken; dit Privacy Protocol de gedragsregels omschrijft bij het verstrekken en verder Verwerken van Persoonsgegevens door Partijen in het kader van de samenwerking op het gebied van zorg aan slachtoffers van mensenhandel, alsook de verschillende verantwoordelijkheden met het oog op de rechten en plichten uit toepasselijke privacy wet- en regelgeving, belegd; met dit Privacy Protocol reeds invulling wordt gegeven aan de in Artikel 26 Algemene Verordening

Gegevensbescherming neergelegde verplichting voor Partijen om op een transparante wijze hun samenwerkingsafspraken en hun verantwoordelijkheden jegens elkaar en jegens Betrokkene vast te leggen en aan de rechten en plichten voortvloeiend uit de Wet politiegevens (hierna Wpg);

verklaren te zijn overeengekomen:

-7-

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + Artikel 1.

Definities

In dit Privacy Protocol en de daarbij behorende bijlage(n) wordt verstaan onder: 1.1. Aanmelding en Intake: het voordragen van een Casus door één der Partijen en het uitwisselen van informatie, waaronder Persoonsgegevens, tussen de Procesregisseur van de Zorgtafel en de aanmeldende Partij ter toetsing of de Casus in aanmerking komt voor behandeling bij De Zorgtafel; 1.2. Afschaling: fase die volgt op het besluit in het Casusoverleg dat de betrokkenheid van De Zorgtafel niet langer nodig is, waarin het dossier dat in het systeem van De Zorgtafel is aangelegd ten behoeve van procesregie, geschoond wordt van alle niet langer noodzakelijke informatie, en uiteindelijk verdwijnt uit het systeem van De Zorgtafel; 1.3. Afzonderlijke Verwerkingsverantwoordelijken: Partijen zijn Afzonderlijke Verwerkingsverantwoordelijke voor zelfstandige Verwerkingen en wanneer verschillende Verwerkingen min of meer geïntegreerd zijn, maar geen sprake is van Gezamenlijke Verwerkingsverantwoordelijken; 1.4. AVG: Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming); 1.5.

Betrokkene: de natuurlijke persoon op wie informatie, waaronder Persoonsgegevens, betrekking heeft (artikel 4 lid 1 AVG); 1.6. Bijzondere Persoonsgegevens: Persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid, zoals bedoeld in artikel 9 AVG); 1.7. Casus: een geval of situatie dat of die voldoet aan de criteria voor de casuïstiek zoals geformuleerd in Bijlage 2 van het Convenant, en die is Aangemeld bij De Zorgtafel ter beoordeling en eventuele bespreking in het Casusoverleg; 1.8. Casusoverleg: fase waarin overleg plaats vindt door Partijen gericht op de totstandkoming van een plan van aanpak, afstemming tijdens de uitvoering daarvan, en het beoordelen of Casus kan worden afgeschaald; 1.9. Casusregie: het uitvoeren van werkzaamheden gericht het bewaren van de onderlinge samenhang bij het uitvoeren van het plan van aanpak bij het behandelen van één specifieke Casus; 1.10. Casusregisseur: de medewerker van een van de Partijen die is belast met de taken in artikel 13 van het Convenant; 1.11.

Derde: een natuurlijk persoon of rechtspersoon, niet zijnde de betrokkene, noch één der Partijen; 1.12. Gezamenlijke Verwerkingsverantwoordelijken: Van Gezamenlijke Verwerkingsverantwoordelijkheid is sprake wanneer twee of meer Verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen. 1.13. Managers: de personen die is belast met de taken zoals geformuleerd in Artikel 11 van het Convenant; 1.14. Partneroverleg: het verband van afgevaardigden van Partijen zoals geformuleerd in Artikel 6 van het Convenant; 1.15. Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de Betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke,

-8-

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon (artikel 4 lid 1 AVG); 1.16. Politiegegevens: elk Persoonsgegeven dat in het kader van de uitoefening van de politietaak wordt verwerkt (artikel 1, sub a, Wpg); 1.17. Privacyadviseur: De Zorgtafel kan gebruik maken van een privacyadviseur van de gemeente Helmond, Lumens of MO Den Bosch. Deze personen kunnen ondersteunen bij beleidsontwikkeling over gegevensverwerking en bij de voorbereiding van audits; 1.18. Procesregie: het uitvoeren van werkzaamheden gericht op de totstandkoming van samenwerking tussen Partijen bij het behandelen van één specifieke Casus en de ondersteuning van de Casusregisseur bij de uitvoering van het plan van aanpak; 1.19. Procesregisseur: de medewerker van De Zorgtafel die namens een van de Partijen is belast met de werkzaamheden in artikel 12 van het Convenant. In de praktijk zal de term ‘Zorgcoördinator Mensenhandel’ worden gebruikt voor het begrip Procesregisseur; 1.20. Regionale Tafel Mensenhandel Oost-Brabant: het verband van afgevaardigden van Partijen zoals geformuleerd in Artikel 4 van het Convenant; 1.21.

Strafrechtelijke persoonsgegevens: Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen (zoals bedoeld in artikel 10 AVG); 1.22. Tenuitvoerleggingsgegevens: persoonsgegevens of gegevens over een rechtspersoon inzake de tenuitvoerlegging van strafrechtelijke beslissingen, die in een dossier of een ander gegevensbestand zijn of worden verwerkt; 1.23. Triage: het proces waarbij relevante Partijen worden bevraagd om te komen tot een nadere afweging ten aanzien van de routering van de casus, tot een bepaling van het doel en de thema’s van een eventueel Casusoverleg, en tot een afweging welke Partijen relevant zijn om te betrekken bij een Casusoverleg; 1.24. Verwerken: een bewerking of een geheel van bewerkingen met betrekking tot Persoonsgegevens of een geheel van Persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens (artikel 4 lid 2 AVG); 1.25.

Verwerker: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/ dat ten behoeve van de Verwerkingsverantwoordelijke Persoonsgegevens verwerkt (artikel 4, lid 8, AVG); 1.26. Verwerkingsverantwoordelijke(n): een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de Verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze Verwerking in het Unierecht of het lidstatelijke recht is vastgesteld, kan daarin reeds zijn bepaald wie de Verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen (artikel 4 lid 7 AVG); 1.27. Werkprocessen: de door het Partneroverleg op grond van Artikel 6 van het Convenant vastgestelde processen voor samenwerking binnen De Zorgtafel, waaronder het proces omtrent en het delen van informatie en het Afschalen van een Casus; 1.28. Wpg: Wet politiegegevens. Artikel 2. Afzonderlijke en Gezamenlijke Verwerkingsverantwoordelijken 2.1. Partijen binnen De Zorgtafel zijn Afzonderlijk Verwerkingsverantwoordelijke voor de Persoonsgegevens die zij verstrekken aan de Procesregisseur ten behoeve van de Aanmelding en Intake en aan Partijen in het kader van Triage, Casusoverleg, en Afschaling. 2.2.

Partijen binnen De Zorgtafel zijn conform artikel 26 Algemene Verordening Gegevensbescherming Gezamenlijk Verwerkingsverantwoordelijken voor de

-9-

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + Persoonsgegevens die zij, anders dan de verstrekking zoals bedoeld in artikel 2.1, Verwerken op locatie of in het informatiesysteem van De Zorgtafel in het kader van de samenwerking voor de doeleinden zoals omschreven in artikel 3. 2.3. Verwerking van Persoonsgegevens door personeel van- en binnen De Zorgtafel door personeel van De Zorgtafel geschiedt onder gezag van de Partij die de betreffende Persoonsgegevens heeft verstrekt. Deze Partij wordt voor die Verwerking aangeduid als verwerkingsverantwoordelijke. Artikel 3. Doel Verwerking Persoonsgegevens 3.1. Dit Protocol ziet op alle Verwerkingen van Persoonsgegevens door Partijen in het kader van de uitvoering van artikel 2.2 van het Convenant. 3.2. Het verwerken van Persoonsgegevens binnen De Zorgtafel vindt plaats met als doel het bijdragen aan de veiligheid en de zorg voor slachtoffers mensenhandel.

Meer specifiek draagt de Verwerking van Persoonsgegevens binnen De Zorgtafel bij aan: - het signaleren en analyseren van risico’s mensenhandel - het verkrijgen van inzicht van situaties waarin mogelijke slachtoffers verkeren; - het maken van afspraken over de wijze waarop contact kan worden gelegd met (mogelijke) slachtoffers en over de zorg die hen door de partners kan worden geboden; - het monitoren van de (effecten) van de zorg die aan slachtoffers wordt geboden. 3.3. Om het onder artikel 3.2 geformuleerde doel te bereiken Verwerken Partijen gezamenlijk de nodige Persoonsgegevens in het kader van Aanmelding en intake, Triage, Casusoverleg, en Afschaling. Voor elk van deze fasen in het werkproces zijn specifieke doelen voor de Verwerking van Persoonsgegevens binnen De Zorgtafel van toepassing. Deze doelen zijn gespecificeerd in Bijlage 2. 3.4. Partijen Verwerken de Persoonsgegevens die zij in het kader van de samenwerking onder dit Protocol hebben verkregen niet voor andere doeleinden dan de doelen omschreven in artikel 3.2. 3.5. Bij het Verwerken van Persoonsgegevens binnen De Zorgtafel worden de volgende uitgangspunten in acht genomen: a. Er is sprake van een strikte doelbinding per fase van de voor de te Verwerken Persoonsgegevens en alleen de voor het doel van die fase noodzakelijke persoonsgegevens worden verwerkt; b.

Als het doel van de Verwerking van Persoonsgegevens wijzigt, of, de casus gaat door naar een volgende fase, wordt als eerste opnieuw beoordeeld of de eerder verwerkte gegevens ook daarvoor noodzakelijk zijn en vervolgens of de gegevens daarvoor ook (verder) gebruikt mogen worden. Dit nieuwe doel moet verenigbaar zijn met het oorspronkelijke doel (AVG artikel 5 lid 1.b) én de verwerking voor het nieuwe doel moet op zich ook weer een wettelijke grondslag hebben; c. Een partner die in een bepaalde fase Persoonsgegevens verstrekt behoudt de zeggenschap over het verdere gebruik van die gegevens en of die voor een andere fase en/of andere doelen gebruikt mogen worden; d. Partners die bij de behandeling van een casus kennisnemen van Persoonsgegevens afkomstig van een andere partner mogen deze gegevens enkel verder gebruiken voor hun eigen taken in het kader van de casusbehandeling, als de partner die de gegevens heeft ingebracht, dit afzonderlijk accordeert. Artikel 4. Categorieën Persoonsgegevens 4.1. In het kader van de samenwerking worden door Partijen van de in Bijlage 4 categorieën Betrokkenen de daarin genoemde categorieën Persoonsgegevens Verwerkt:

- 10 -

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + 4.2.

Partijen Verwerken Persoonsgegevens, inclusief Bijzondere en Strafrechtelijke Persoonsgegevens, binnen de wettelijke kaders van de voor iedere Partij toepasselijke weten regelgeving. 4.3. Partijen Verwerken Persoonsgegevens voor de onder artikel 3.2 geformuleerde doeleinden enkel in het informatiesysteem van De Zorgtafel, of in de door de Regionale Tafel Mensenhandel Oost-Brabant aangewezen informatiesystemen en conform het beveiligingsbeleid zoals opgenomen in Bijlage 3 bij dit Protocol. Artikel 5 Verwerkingen en verstrekkingen van persoonsgegevens ten behoeve van het behandelen van een casus 5.1 Verwerking van persoonsgegevens door de procesregisseur 5.1.1 De procesregisseur verwerkt persoonsgegevens ten behoeve van de procesregie in het kader van de doelstellingen van de samenwerking zoals verwoord in artikel 3.2 slechts voor zover dit noodzakelijk is voor het bewerkstelligen van de in de desbetreffende fase aan de orde zijnde doelen voor gegevensverwerking als verwoord in artikel 3.3 en bijlage 2. 5.1.2 De procesregisseur verwerkt de in het eerste lid bedoelde persoonsgegevens ten behoeve van een goede taakuitoefening van de aanmeldende partij, dan wel de goede taakuitoefening van de partij onder wiens verantwoordelijkheid de casusregisseur zoals verwoord in artikel 13 van het convenant valt.

5.1.3 Voor de verwerking van persoonsgegevens als bedoeld in artikel 5.1.1 zijn van toepassing de grondslag conform de AVG en/of andere wettelijke grondslag, en de wettelijke bepalingen op grond waarvan de aanmeldende partij, dan wel de partij onder wiens verantwoordelijkheid de casusregisseur valt, de casus heeft aangemeld respectievelijk de casusregie voert. 5.1.4 De verantwoordelijke voor de verwerking van persoonsgegevens zoals bedoeld in artikel 5.1.1 betreft de verantwoordelijke zoals bedoeld in artikel 2.2 van dit protocol. 5.2 Verstrekken van persoonsgegevens ten behoeve van aanmelding en intake, triage en casusoverleg 5.2.1 Partijen kunnen persoonsgegevens inbrengen in het kader van de doelstellingen van de samenwerking zoals verwoord in artikel 3.2 slechts voorzover dit noodzakelijk is voor het bewerkstelligen van de in de desbetreffende fasen aan de orde zijnde doelen voor gegevensverwerking als verwoord in artikel 3.3 en bijlage 2. 5.2.2 Persoonsgegevens als bedoeld in artikel 5.2.1 worden slechts ingebracht indien dit noodzakelijk is voor de goede vervulling van de eigen taak, en/of de goede uitvoering van de taak van de partij ten behoeve waarvan de werkzaamheden in het kader van aanmelding en intake, triage of casusoverleg worden uitgevoerd.

5.2.3 De grondslag conform de AVG voor het inbrengen van persoonsgegevens als bedoeld in artikel 5.2.1 wordt ontleend aan de eigen taak, en/of de taak van de partij ten behoeve waarvan de werkzaamheden in het kader van aanmelding en intake, triage of casusoverleg worden uitgevoerd. 5.2.4 De verantwoordelijke voor de verstrekking van persoonsgegevens als bedoeld in artikel 5.2.1 betreft de verantwoordelijke zoals bedoeld in artikel 2.1 van dit protocol. 5.3 Verstrekken van gegevens bij het uitvoering geven aan afspraken uit het casusoverleg 5.3.1 Onverminderd het bepaalde in artikel 6 en 7, kunnen partijen persoonsgegevens verstrekken aan een andere partij in het kader van de doelstellingen van de samenwerking zoals verwoord in artikel 3.2 voor zover deze noodzakelijk zijn voor deze partij bij: a. het uitvoering geven aan interventies en acties die in het casusoverleg zijn afgesproken b. het voeren van de casusregie op het plan van aanpak als dat in het casusoverleg is afgesproken

- 11 -

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + c. het toebedelen van de casus aan een specifieke partij ten behoeve van verdere afhandeling, zoals het adviseren van de aanmelder of het aanbrengen van de casus bij een andere overlegtafel. 5.3.2 De grondslag conform de AVG voor het verstrekken van persoonsgegevens als verwoord in artikel 5.3.1 wordt ontleend aan de eigen taak en/of de taak van de partij die de activiteiten onder artikel 5.3.1 a t/m c uitvoert. 5.3.3 De verantwoordelijke voor de verstrekking van persoonsgegevens als bedoeld in artikel 5.3.1 betreft de verantwoordelijke zoals bedoeld in artikel 2.3. Artikel 6 Grondslag voor het verwerken en verstrekken van persoonsgegevens ten behoeve van het behandelen van een casus en de van toepassing zijnde taken van partijen 6.1 De grondslag voor de verwerking van persoonsgegevens als bedoeld in artikel 5.1.1, is artikel 6, lid 1, sub e, AVG voor zover deze noodzakelijk zijn voor de uitvoering van taken van Algemeen belang door de aanmeldende partner, dan wel de partner onder wiens verantwoordelijkheid de casusregisseur valt. Voor de gegevens afkomstig van de politie is de grondslag gelegen in artikel 20 Wet politiegegevens.

6.2 De grondslag voor het inbrengen van persoonsgegevens als bedoeld in artikel 5.2.1, is artikel 6, lid 1, sub e, AVG voor zover deze noodzakelijk zijn voor de uitvoering van taken van Algemeen belang door de aanmeldende partner, dan wel de partner onder wiens verantwoordelijkheid de casusregisseur valt, en/of de verstrekkende partij. Voor de gegevens afkomstig van de politie is de grondslag gelegen in artikel 20 Wet politiegegevens. 6.3 De grondslag voor de verstrekking van persoonsgegevens als bedoeld in artikel 5.3.1, is artikel 6 AVG lid 1 sub e, voor zover deze noodzakelijk zijn voor de uitvoering van taken van Algemeen belang door de ontvangende partij en/of de verstrekkende partij. Voor de gegevens afkomstig van de politie is de grondslag gelegen in artikel 20 Wet politiegegevens. 6.4 De onder 6.1, 6.2 en 6.3 bedoelde grondslag kan bij casussen slechts van toepassing zijn indien dit voortvloeit uit de goede uitvoering van de taken en werkzaamheden van partijen, en de verwerking plaatsvindt namens of de verstrekking plaats vindt aan een van de onder a t/m l genoemde partijen en voorwaarden: a. het bestuursorgaan de burgemeester: de goede uitvoering van taken en de uitoefening van bevoegdheden van de burgemeester, waaronder in het bijzonder taken en bevoegdheden op het gebied van Openbare Orde en Veiligheid zoals neergelegd in artikel 172 van de Gemeentewet. b.

het bestuursorgaan het college van burgemeester en wethouders: de goede uitvoering van taken van het college van burgemeester en wethouders, waaronder in het bijzonder taken in het sociaal domein zoals bedoeld in de Wmo artikel 2.3.1 t/m 2.3.5, de Jeugdwet artikel 2,3 en 2.4, de Participatiewet artikel 7.1, en artikel 3 van de Wet gemeentelijke schuldhulpverlening. c. de (vreemdelingen) politie: vervulling van taken zoals bedoeld in de Politiewet artikel 3, te weten taken op het gebied van opsporing, handhaving van de rechtsorde en hulp aan hen die dat behoeven. De grondslag voor het verstrekken van persoonsgegevens inclusief politiegegevens is gelegen in artikel 20 Wpg. Deze verstrekkingen dienen nader te zijn vastgelegd in de onlosmakelijk bij dit Privacy Protocol behorende en ondertekende Artikel 20 Wpg Beslissing, waarin staat vermeld dat er alleen artikel 8 en 13 Politiegegevens worden verstrekt. De Artikel 20 Beslissing wordt ondertekend door de gemandateerde politiechef van de Eenheid, en het gezag te weten de Burgemeester en de Officier van Justitie. In artikel 7 zijn nadere voorwaarden benoemd die van toepassing zijn op gegevens die in het kader van deze taken worden verstrekt. d.

Veilig Thuis: de goede uitvoering van de taken van Veilig Thuis, waaronder in het bijzonder taken zoals bedoeld in artikel 4.1.1 van de Wmo, met inachtneming van het Handelingsprotocol Veilig Thuis 2019.

- 12 -

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + e. een Reclasseringsinstelling: de goede uitvoering van taken van de reclasseringsinstelling, waaronder in het bijzonder taken zoals bedoeld in de Reclasseringsregeling 1995 artikel 8, lid 1. f. een Gecertificeerde Instelling zoals bedoeld in de Jeugdwet artikel 1.1: de goede uitvoering van kinderbeschermingsmaatregelen en jeugdreclassering zoals bedoeld in de Jeugdwet artikel 1.1. g. een instelling voor Geestelijke Gezondheidszorg: de uitvoering van de taken bij behandeling , verpleging, verzorging en bejegening van personen met een psychische stoornis, inclusief verslaving met of zonder verblijf in het kader van de Wet op de geneeskundige behandelingsovereenkomst (hierna Wgbo) of de Wet bijzondere opnemingen in psychiatrische ziekenhuizen (Wet bopz). h. een GGD: de uitvoering van de taken in het kader van de Openbare Geestelijke Gezondheidszorg (OGGZ) op grond van artikel 1.2.1. sub a Wmo 2015. i. de Dienst Justitiële Inrichtingen: de Dienst Justitiële Inrichtingen: voor de uitvoering van taken van de Minister van Justitie en Veiligheid, de selectiefunctionaris en de directeur van een justitiële inrichting op grond van de Beginselenwet justitiële jeugdinrichtingen, de Beginselenwet verpleging ter beschikking gestelden, de Penitentiaire beginselenwet en de Wet forensische zorg.

De wettelijke grondslag voor de verwerking en verstrekking van persoonsgegevens is na inwerkingtreding van de wijziging van de Wet justitiële en strafvorderlijke gegevens (hierna Wjsg) ter implementatie van de Europese richtlijn gegevensbescherming opsporing en vervolging gelegen in de Wjsg. j. Slachtofferhulp Nederland: voor de uitvoering van de taken zoals genoemd in artikel 6 en 7 Wet Justitie subsidies jo. de Aanwijzing rechtspersoon slachtofferhulp [1], en artikel 51aa Wetboek van Strafvordering jo Besluit slachtoffers van strafbare feiten artikel 1e en 3. De wettelijke grondslag voor de gegevensverwerking is mede gelegen in artikel 9 en/of artikel 10 AVG jo artikel 33 lid 1a en artikel 30 lid 3a en lid 4 UAVG. Met dien verstande dat gegevens aan de deelnemende partijen van het convenant alleen verstrekt kunnen worden met de uitdrukkelijke toestemming van de betrokkene. k. Een aanbieder zoals bedoeld in de Wmo artikel 1.1.1, zorgaanbieder zoals bedoeld in de Wet langdurige zorg (Wlz) artikel 1.1.1, dan wel een jeugdhulpaanbieder zoals bedoeld in de Jeugdwet artikel 1.1: voor de verlening van voorzieningen en/of de uitvoering van zorg- dan wel hulpverleningstaken en voor zover dit noodzakelijk is in het kader van de behandeling of hulpverlening.

6.5 Op de persoonsgegevens die worden verwerkt, ingebracht, en/of verstrekt zoals bedoeld in artikel 5 zijn uitdrukkelijk de uitgangspunten van artikel 3.5 van toepassing en het bepaalde in artikel 7. Toelichting: Partijen dienen ieder voor zich vast te stellen op grond van welke wettelijke grondslag zij Persoonsgegevens in het kader van de samenwerking binnen De Zorgtafel Verwerken. Wanneer deze grondslag is gekoppeld aan materie-wetgeving, bijvoorbeeld omdat de betreffende Verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang, dient de betreffende materie-wetgeving waarin dit algemeen belang is beschreven, te worden benoemd. In artikel 6.4 a t/m van dit protocol zijn voor een groot deel van de vaste partners binnen De Zorgtafel de taken die aan de orde kunnen zijn benoemd. Hoofdstuk 5 van het Handvat voorzetten voor nadere invulling hiervan. Publieke instellingen dienen de Verwerking van Persoonsgegevens binnen De Zorgtafel voor de in Artikel 3 genoemde doeleinden een grondslag in de wet te kunnen aanwijzen (artikel 6, onder e, AVG). Private partijen dienen te onderzoeken of zij (uitdrukkelijke) toestemming kunnen krijgen voor de Verwerking (artikel 6, onder a, AVG), dan wel dat

- 13 -

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + de Verwerking noodzakelijk is voor hun gerechtvaardigd belang en de belangen van de Betrokkene hier niet tegen opwegen (artikel 6, onder f, AVG). Artikel 7. Doorwerking geheimhoudingsbepalingen en toepassing toestemmingsvereiste 7.1 De geheimhoudingsbepaling van artikel 7 Wpg blijft rusten op de verstrekte gegevens. Dit geldt voor de ontvanger maar ook voor de tweede en derde ontvanger. Wanneer er over betrokkene in een eerder stadium op grond van artikel 16 lid 1b onder 2 Wpg politiegegevens zijn verstrekt aan de burgemeester óf op grond van artikel 15 Wpg politiegegevens ter beschikking zijn gesteld aan een Buitengewone Opsporingsambtenaar van een gemeente óf op grond van het Besluit politiegegevens (Bpg), voor een ander doel politiegegevens zijn verstrekt aan een van de convenantpartijen, dan worden deze gegevens door de desbetreffende ontvanger in principe niet als persoonsgegevens doorverstrekt aan de procesregisseur van De Zorgtafel. Bij voorkeur worden door de politie op grond van artikel 20 Wpg opnieuw actuele politiegegevens verstrekt aan de procesregisseur van De Zorgtafel voor de doelen zoals genoemd in artikel 3.2, 3.3 en bijlage 2.

De politie kan in uitzonderingsgevallen ook toestemming geven aan de ontvanger voor doorverstrekking aan de procesregisseur van De Zorgtafel maar legt deze toestemming vast in haar systemen. 7.2 Indien voor het inbrengen en/of verstrekken van persoonsgegevens zoals bedoeld in de artikelen 5.2 en 5.3 toestemming noodzakelijk is voor het doorbreken van geheimhoudingsbepalingen zoals bijvoorbeeld verwoord in de Wgbo (artikel 7:457 BW) en artikel 88 Wet op de beroepen in de individuele gezondheidszorg (Wet BIG), de beroepscode van de Jeugdzorgwerker artikel J, beroepscode NIP (Nederlands Instituut van Psychologen) artikel 71 t/m 87 (psycholoog), of beroepscode NVO (Nederlandse Vereniging van pedagogen en Onderwijskundigen) artikel 8 (pedagoog), de Reclasseringsregeling 1995 artikel 37, dan: a. wordt deze gevraagd op het moment dat duidelijk is dat het inbrengen of verstrekken noodzakelijk is t.b.v. van de in de betreffende fase aan de orde zijnde doelen, of de uitvoering van de in 5.3.1 a t/m c genoemde activiteiten; b. worden deze persoonsgegevens uitsluitend verstrekt voor zover hiervoor de uitdrukkelijke toestemming is verkregen van de betrokkene of diens wettelijke vertegenwoordiger; c. legt de partij die de toestemming heeft verkrijgen deze schriftelijk vast en informeert Betrokkene dat hij zijn toestemming altijd weer kan intrekken; d.

draagt de partij die toestemming heeft verkregen bij intrekking van die toestemming er zorg voor dat er geen verdere verstrekkingen meer plaats vinden; e. maakt de betrokken zorg- of hulpverlener een eigen afweging conform de voor hem geldende professionele standaarden, indien toestemming niet verkregen wordt en hij ervan overtuigd is dat zich hier een conflict van plichten voordoet, of goed hulpverlenerschap het verstrekken van persoonsgegevens verlangd. Artikel 8. Documentatie individuele verstrekkingen 8.1. Indien Partijen daartoe verplicht zijn door voor hen geldende materiewetgeving, dan leggen zij de afzonderlijke verstrekkingen van Persoonsgegevens, inclusief onderbouwing van de noodzakelijkheid daarvan met het oog op de in artikel 5 en 6 vastgelegde grondslagen, vast. Dit geldt ten minste voor de politie. De politie documenteert iedere verstrekking conform de documentatieplicht van art 32 Wpg. Artikel 9. Dataminimalisatie 9.1 Partijen Verwerken niet meer Persoonsgegevens dat noodzakelijk met het oog op de in artikel 2.1 van dit Protocol geformuleerde doeleinden.

- 14 -

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + 9.2

Ten behoeve van de Intake van een Casus verstrekt de Partij die de Casus bij de Procesregisseur aanmeldt enkel die Persoonsgegevens die noodzakelijk zijn voor de Procesregisseur om de Casus te toetsen aan de criteria voor de casuïstiek zoals geformuleerd in Bijlage 2 van het Convenant. De Procesregisseur registreert enkel die Persoonsgegevens in het informatiesysteem van De Zorgtafel die noodzakelijk zijn voor Triage. 9.3 In het Casusoverleg Verwerken Partijen alleen die Persoonsgegevens die noodzakelijk zijn voor het opstellen en uitvoeren van een integraal plan van aanpak. 9.4 In het kader van Afschaling Verwerken Partijen alleen die Persoonsgegevens die noodzakelijk zijn om te bepalen of het plan van aanpak in het Casusoverleg tot de gewenste resultaten heeft geleid. Indien wordt besloten dat behandeling van de Casus binnen De Zorgtafel niet of niet langer noodzakelijk is, worden de betreffende Persoonsgegevens niet langer binnen De Zorgtafel Verwerkt. De Procesregisseur ziet erop toe dat Persoonsgegevens conform artikel 11 worden geanonimiseerd of vernietigd. 9.5 Wanneer de Partij die Persoonsgegevens binnen De Zorgtafel heeft verstrekt, kennis verkrijgt over de onjuistheid van die Persoonsgegevens, informeert die Partij de Casusregisseur en Procesregisseur hierover. De Procesregisseur coördineert de eventuele correctie van Persoonsgegevens binnen De Zorgtafel.

9.6 Enkel de Procesregisseur, Casusregisseur, Managers, administratief medewerker en afgevaardigden van Partijen in het Casusoverleg hebben toegang tot de Persoonsgegevens die worden Verwerkt op locatie of in het informatiesysteem van De Zorgtafel en enkel voor zover noodzakelijk voor hun rol in een specifieke Casus. Toelichting: Beperkt zo veel mogelijk de toegang tot Persoonsgegevens die in en ten behoeve van De Zorgtafel worden Verwerkt. Enkel personen die ten behoeve van de uitvoering van de in artikel 3 omschreven doeleinden toegang tot bepaalde Persoonsgegevens nodig hebben, dienen die toegang te hebben. Handig is daarbij niet hetzelfde als noodzakelijk. De noodzakelijkheid van de gegeven autorisaties dient onderbouwd te kunnen worden indien daarom wordt gevraagd. Artikel 10. Kwaliteit 10.1 Partijen dragen er zorg voor dat de Persoonsgegevens die zij in het kader van de onder artikel 3.2 geformuleerde doeleinden verstrekken toereikend, ter zake dienend, niet bovenmatig, juist en nauwkeurig zijn. De Partij die Persoonsgegevens binnen De Zorgtafel verstrekt blijft verantwoordelijk voor de juistheid, actualiteit en nauwkeurigheid van die Persoonsgegevens. Artikel 11.

Bewaren en Vernietigen 11.1 Persoonsgegevens worden niet langer bewaard dan noodzakelijk voor het doel of de doeleinden waarvoor ze worden Verwerkt zoals geformuleerd onder artikel 3 en met inachtneming van artikel 9. 11.2 Persoonsgegevens worden vernietigd zodra de Verwerking daarvan niet langer nodig is voor het doel waarvoor zij zijn Verwerkt, maar uiterlijk binnen 1 jaar na het besluit tot Afschaling. a. Persoonsgegevens kunnen tot zes maanden na besluit tot Afschaling worden bewaard in een vorm waarmee enkel de Procesregisseur en administratief medewerker toegang hebben tot de gegevens. b. Na zes maanden na besluit tot Afschaling worden persoonsgegevens gearchiveerd en heeft enkel de Managers toegang tot die Persoonsgegevens. c. Na één jaar na besluit tot Afschaling worden de Persoonsgegevens vernietigd. 11.3 Na één jaar kunnen gegevens, niet zijnde Persoonsgegevens, enkel worden bewaard voor managementdoeleinden.

- 15 -

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + Artikel 12. Beveiliging 12.1 Partijen dragen zorg voor passende technische en organisatorische beveiligingsmaatregelen om Persoonsgegevens te beschermen tegen verlies of enige vorm van onrechtmatige Verwerking zoals omschreven in Bijlage 3. Die maatregelen betreffen onder meer, maar niet uitsluitend, maatregelen met betrekking tot de toegang tot Persoonsgegevens, alsook het gebruik van beveiligde verbindingen voor de verstrekking van Persoonsgegevens. 12.2 Wanneer Persoonsgegevens aan andere Partijen worden verstrekt, gebeurt dit uitsluitend op een adequaat beveiligde manier, conform de geldende beveiligingsnormen voor de betreffende gegevens. 12.3 Gemeente Helmond, Lumens en MO Den Bosch dragen zorg voor de adequate beveiliging van Persoonsgegevens die worden Verwerkt op locatie en in het informatiesysteem van De Zorgtafel en rapporteert hierover indien nodig aan de Regionale Tafel Mensenhandel Oost-Brabant.

12.4 De Managers zijn verantwoordelijk voor het toezien op de naleving van de beschermingsmaatregelen zoals geformuleerd in Bijlage 3 voor de Verwerking van Persoonsgegevens op locatie en in het informatiesysteem van De Zorgtafel en rapporteert hierover aan Gemeente Helmond, Lumens en MO Den Bosch en zijn bevoegd aanwijzingen te geven aan Partijen omtrent de juiste omgang met Persoonsgegevens in dat verband. Toelichting: Wanneer Persoonsgegevens aan andere Partijen worden verstrekt gebeurt dit met het oog op de gevoeligheid van de Persoonsgegevens en de mogelijke risico’s voor Betrokkenen uitsluitend op een adequaat beveiligde manier. In het beveiligingsplan (zie Bijlage 3) dienen hier richtlijnen voor te worden opgenomen. De voorkeur heeft het dat de partij voor wie de gegevens zijn bedoeld deze kan inzien of op kan halen in een beveiligde omgeving en via een beveiligde verbinding. Artikel 13. Geheimhouding 13.1. Een ieder die op grond van dit Protocol kennis neemt van Persoonsgegevens is verplicht tot geheimhouding daarvan, tenzij de wet tot bekendmaking verplicht. De Managers, Procesregisseur en eventueel ander ondersteunend personeel van De Zorgtafel worden door middel van een geheimhoudingsverklaring tot geheimhouding gebonden. 13.2.

Partijen dragen er zorg voor dat iedere medewerker die in de uitvoering van het Convenant of dit Protocol in aanraking komt met Persoonsgegevens geheimhouding van die gegevens waarborgt. 13.3. Alle medewerkers van De Zorgtafel, inclusief medewerkers op basis van een dienstverleningsovereenkomst, deelnemers aan Casusoverleggen en overige afgevaardigden van Partijen die toegang hebben tot Persoonsgegevens die onder dit Protocol worden Verwerkt, beschikken over een positieve Verklaring Omtrent Gedrag, dan wel hebben een veiligheidsonderzoek op grond van de voor de eigen organisatie geldende wet- en regelgeving doorlopen. 13.4. Wettelijke geheimhoudingsplichten zijn onverminderd van toepassing op eenieder die Strafrechtelijke persoonsgegevens of andere Bijzondere Persoonsgegevens in het kader van de samenwerking binnen De Zorgtafel ontvangt. 13.5. De Partijen in het samenwerkingsverband mogen de Persoonsgegevens afkomstig van de politie slechts verwerken voor het specifieke doel waarvoor deze zijn verstrekt ten behoeve van de Casus. Deze Persoonsgegevens mogen alleen verder worden Verwerkt door de ontvangende Partijen indien het doel van de verdere verwerking verenigbaar is met dit doel waarvoor de Persoonsgegevens zijn verstrekt. Onverenigbaar gebruik van de gegevens, ook intern binnen de organisaties van de ontvangende Partijen, is niet toegestaan.

- 16 -

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + 13.6. De Partijen in het samenwerkingsverband mogen de Persoonsgegevens afkomstig van andere Partijen die aan een geheimhoudingsplicht als onder meer bedoeld in de Wet Geneeskundige behandelovereenkomst (artikel 7:457 BW), Reclasseringsregeling 1995, Jeugdwet of Wet Maatschappelijke Ondersteuning zijn gebonden, slechts Verwerken voor het specifieke doel van de casus waarvoor deze zijn verstrekt. De Persoonsgegevens mogen alleen verder worden Verwerkt door de ontvangende Partijen met toestemming van de verstrekkende Partij en indien het doel van de verdere verwerking verenigbaar is met dit doel waarvoor de Persoonsgegevens zijn verstrekt. Onverenigbaar gebruik van de Persoonsgegevens, ook intern binnen de organisaties van de ontvangende Partijen, is niet toegestaan. 13.7. Wanneer de grond voor het verstrekken van de Persoonsgegevens als bedoeld in artikel 7 gebaseerd is op toestemming van Betrokkene als bedoeld artikel 6, lid 1, onder a, AVG en/of artikel 9, lid 2, onder a, AVG en Betrokkene trekt deze toestemming in, laat de verstrekkende Partij dit aan de ontvangende Partij weten, waarbij ook de toestemming voor Verwerking en verdere Verwerking voor de ontvangende Partij vervalt. Artikel 14. Datalekken 14.1.

Partijen houden procedures in stand die er op gericht zijn om inbreuken in de beveiligingsmaatregelen zoals geformuleerd in Bijlage 3 met betrekking tot de bescherming van Persoonsgegevens redelijkerwijs te detecteren en daarop actie te ondernemen, daaronder begrepen maatregelen tot herstel. 14.2. Gemeente Helmond, Lumens en MO Den Bosch zijn verantwoordelijk voor het in stand houden van procedures zoals bedoeld in artikel 14.1 voor de Verwerking van Persoonsgegevens op locatie of in het informatiesysteem van De Zorgtafel. De Managers zien toe op de naleving van deze procedures. 14.3. Partijen stellen de Managers onverwijld maar uiterlijk binnen 36 uur na kennisneming op de hoogte van een inbreuk op persoonsgegevens in de zin van artikel 4, onder 12, AVG die een risico inhoudt voor de rechten en vrijheden van betrokkenen zoals bedoeld in artikel 33 AVG. Deze kennisgeving omvat in ieder geval: a. De aard en omvang van de inbreuk; b. De contactgegevens van de persoon bij wie meer informatie over de inbreuk kan worden verkregen; c. De maatregelen die kunnen worden genomen om de gevolgen van de inbreuk te voorkomen of beperken; d. De mogelijke gevolgen en risico’s van de inbreuk op de bescherming van Persoonsgegevens voor de Betrokkene; e. De maatregelen die Partij zelf reeds heeft genomen of zal nemen om de bescherming van Persoonsgegevens te herstellen. 14.4.

De Managers informeren Partijen middels het Partneroverleg schriftelijk over een inbreuk zoals bedoeld in artikel 14.3. 14.5. Partijen melden, indien wettelijk verplicht, een inbreuk zoals bedoeld in Artikel 14.3 bij de Autoriteit Persoonsgegevens. De Managers sturen een afschrift van de melding aan de Autoriteit Persoonsgegevens aan het Partneroverleg en de Regionale Tafel Mensenhandel Oost-Brabant. 14.6. Wanneer een inbreuk als bedoeld in Artikel 14.3 waarschijnlijk een hoog risico voor de rechten en vrijheden van Betrokkene(n) zal inhouden als bedoeld in artikel 34 AVG, wordt deze over de inbreuk geïnformeerd. Partijen informeren de Betrokkene over de inbreuk. De beslissing tot melding aan de Betrokkene wordt in het Partneroverleg genomen. De inhoud van die melding wordt in het Partneroverleg afgestemd, dan wel door het Partneroverleg aan één Partij gemandateerd.

- 17 -

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + 14.7. Partijen verlenen elkaar de medewerking die redelijkerwijs van elkaar mag worden verwacht om aan de op Partijen rustende kennisgevingsverplichtingen te voldoen, mede met het oog op een eventueel onderzoek door de Autoriteit Persoonsgegevens. 14.8. Kennisgeving van de inbreuk aan de Autoriteit Persoonsgegevens door de Partijen gebeurt zonder onredelijke vertraging maar in ieder geval binnen 72 uur na ontdekking en geschiedt volgens de daartoe door de Autoriteit Persoonsgegevens ter beschikking gestelde procedure. De kennisgeving aan de Autoriteit Persoonsgegevens omvat minimaal: a. de aard van de inbreuk; b. een omschrijving van de categorieën Betrokkenen van wie Persoonsgegevens zijn betrokken bij de inbreuk; c. de categorieën Persoonsgegevens; d. of de Persoonsgegevens zijn versleuteld, geanonimiseerd, of anderszins onbegrijpelijk zijn gemaakt; e. de aanbevolen maatregelen om de negatieve gevolgen van de inbreuk te beperken; f. de geconstateerde en de vermoedelijke gevolgen van de inbreuk voor de verwerking van de Persoonsgegevens en de maatregelen die Partij heeft getroffen of voorstelt te treffen om deze gevolgen te verhelpen. 14.9. Kennisgeving van de inbreuk aan Betrokkene zoals bedoeld in Artikel 14.5 is niet vereist indien: a.

passende technische en organisatorische maatregelen zijn genomen die de bescherming van Persoonsgegevens ook na de inbreuk garanderen; b. achteraf genomen maatregelen de waarschijnlijkheid op een hoog privacy risico hebben weggenomen, of; c. wanneer mededeling aan Betrokkene een onevenredig inspanning zou vragen. 14.10. Partijen houden een overzicht bij van iedere inbreuk die leidt tot de aanzienlijke kans op ernstige nadelige gevolgen dan wel ernstige nadelige gevolgen heeft voor de bescherming van de Persoonsgegevens. Het overzicht bevat in ieder geval feiten en gegevens omtrent de aard van de inbreuk, de gevolgen daarvan en de genomen corrigerende maatregelen, alsmede de tekst van de kennisgeving aan de Betrokkene. De Managers houden een overzicht bij van gelijksoortige inbreuken die plaatsvinden op locatie of in het informatiesysteem van De Zorgtafel. Artikel 15. Privacy by Design 15.1. Voorafgaand aan (een) nieuwe Verwerking(en) onder dit Protocol, of de inzet van nieuwe technologieën voor de Verwerking(en) onder dit Protocol, voeren Partijen middels het Partneroverleg een Gegevensbeschermingseffectbeoordeling uit conform artikel 35 AVG. De Managers coördineren dit proces. 15.2. Bij de uitvoering van de Gegevensbeschermingseffectbeoordeling wordt het model Gegevensbeschermingseffectbeoordeling Rijksdienst gevolgd. 15.3.

De uitkomsten van de Gegevensbeschermingseffectbeoordeling worden ter besluitvorming voorgelegd aan de Regionale Tafel Mensenhandel Oost-Brabant. De Regionale Tafel Mensenhandel Oost-Brabant kan hiervoor advies vragen aan het Partneroverleg over de voorgenomen nieuwe Verwerking zoals bedoeld in artikel 15.1. De Regionale Tafel Mensenhandel Oost-Brabant legt waar nodig op grond van artikel 36 AVG namens alle gezamenlijke Verwerkingsverantwoordelijken de beoogde Verwerking voor aan de Autoriteit Persoonsgegevens. Artikel 16. Informatieverstrekking aan Betrokkenen 16.1. Vóór het verstrekken van Persoonsgegevens in het kader van de samenwerking wordt Betrokkene door de verstrekkende Partij, dan wel de Partij die de Casusregie voert,

- 18 -

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + geïnformeerd over het voornemen diens Persoonsgegevens verder te Verwerken in het kader van samenwerking binnen De Zorgtafel onder dit Privacy Protocol. 16.2. Deze informerende Partij maakt het tijdstip waarop en de wijze van informeren kenbaar aan de overige bij een Casus betrokken Partijen. 16.3. De Managers dragen zorg voor het publiceren van een privacy statement op de website van De Zorgtafel. 16.4. Alle deelnemende partijen zorgen op hun eigen website voor vermelding van deelname aan De Zorgtafel alsook voor verwijzing naar het Convenant van De Zorgtafel en het Privacy Protocol. 16.5. De onder artikel 16.1 bedoelde informatieverstrekking, alsook het onder artikel 16.3 genoemde privacy statement, bevatten ten minste de volgende informatie: a. De doeleinden voor de Verwerking van Persoonsgegevens binnen De Zorgtafel zoals beschreven in artikel 3.2. b. De Partijen die deelnemen aan de samenwerking binnen De Zorgtafel; c. De termijn waarvoor de Persoonsgegevens worden opgeslagen en bewaard zoals omschreven onder artikel 11, dan wel de criteria voor het bepalen van die termijn; d. Dat Betrokkene verscheidene rechten heeft met betrekking tot de Verwerking van diens Persoonsgegevens zoals geformuleerd onder artikel 17 tot en met 21; e.

Indien de Verwerking van Persoonsgegevens is gebaseerd op toestemming, dat Betrokkene het recht heeft deze te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de Verwerking van de Persoonsgegevens die heeft plaatsgevonden vóór intrekking van de toestemming; f. Dat Betrokkene het recht heeft een klacht in te dienen over de Verwerking van zijn of haar Persoonsgegevens onder dit Privacy Protocol binnen De Zorgtafel en bij de Autoriteit Persoonsgegevens; g. Nadere uitleg indien de Persoonsgegevens moeten worden verstrekt of verder Verwerkt op grond van een wettelijke of contractuele verplichting; h. Nadere uitleg indien Betrokkene verplicht is de Persoonsgegevens te verstrekken; i. Indien sprake is van geautomatiseerde besluitvorming, met inbegrip van profilering, uitleg over de achterliggende logica, het belang van de verwerkingsactiviteiten en de verwachte gevolgen voor de Betrokkene. j. De contactgegevens van de Managers bij wie de Betrokkene terecht kunnen voor meer informatie over de Verwerking van zijn Persoonsgegevens, dan wel waar hij zijn rechten geldend kan maken. 16.6. De informatieverplichting zoals bedoeld in artikel 16.1 is niet van toepassing indien het achterwege laten van informeren van Betrokkene noodzakelijk en evenredig is ter waarborging van: a. de nationale veiligheid; b. landsverdediging; c. de openbare veiligheid; d.

de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid; e. andere belangrijke doelstellingen van algemeen belang van de Europese Unie of van Nederland, met name een belangrijk economisch of financieel belang van de Europese Unie of van Nederland, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden, volksgezondheid en sociale zekerheid; f. de bescherming van de onafhankelijkheid van de rechter en gerechtelijke procedures; g. de voorkoming, het onderzoek, de opsporing en de vervolging van schendingen van de beroepscodes voor gereglementeerde beroepen;

- 19 -

Privacy Protocol Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + h. een taak op het gebied van toezicht, inspectie of regelgeving die verband houdt, al is het incidenteel, met de uitoefening van het openbaar gezag in de gevallen, bedoeld in de onderdelen a, b, c, d, e en g; i. de bescherming van de betrokkene of van de rechten en vrijheden van anderen; of j. de inning van civielrechtelijke vorderingen. 16.7. Partijen leggen de motivatie voor het niet voldoen aan de informatieplicht op grond van Artikel 16.6 schriftelijk vast en leggen vast wanneer zij verwachten dat Betrokkene wel geïnformeerd kan worden, alsook van welke omstandigheden dit afhankelijk is, hoe periodiek wordt getoetst of deze omstandigheden nog aanwezig zijn en hoe dan wel wanneer Betrokkene geïnformeerd zal worden. Artikel 17. Rechten van de Betrokkenen 17.1. Betrokkenen kunnen bij Partijen een verzoek indienen om: a. Inzage te krijgen in de Persoonsgegevens die door Partijen over hem of haar worden Verwerkt; b. Rectificatie of het wissen van de hem betreffende Persoonsgegevens dan wel beperking van de Verwerking; c. Bezwaar te maken tegen de Verwerking; d. Zijn of haar Persoonsgegevens over te dragen. 17.2. Verzoeken door Betrokkene ten aanzien van Persoonsgegevens die worden Verwerkt op locatie of in het informatiesysteem van De Zorgtafel worden gecoördineerd door de Managers.

De Managers worden hierbij ondersteund door de Procesregisseur. De Managers leggen het verzoek via de Procesregisseur voor aan het Casusoverleg en stemt daarin met Partijen de beantwoording van het verzoek af. 17.3. Indien het verzoek als bedoeld in Artikel 17.1 direct is gericht aan een der Partijen worden de Managers hierover zo spoedig mogelijk door die Partij in kennis gesteld, opdat deze de beantwoording van het verzoek conform artikel 17.2 kunnen coördineren. Beantwoording van het verzoek door de Partij wordt in het Partneroverleg afgestemd. 17.4. Het bepaalde in artikel 17.2 en artikel 17.3 ontslaat Partijen niet van diens verantwoordelijkheid als Verwerkingsverantwoordelijke ten aanzien van een verzoek van Betrokkene. 17.5. Op gegevens die eerder verstrekt zijn door de politie is de geheimhoudingsplicht van de Wet politiegegevens van toepassing. Derhalve zijn artikel 18, 19 en 20 van dit Privacy Protocol niet van toepassing. Inzage- en correctieverzoeken worden beoordeeld door het Wpg loket van de verstrekkende eenheid van de politie. Verzet- en bezwaarschriften tegen verwerking van gegevens worden beoordeeld door de privacyfunctionaris en/ of jurist van de verstrekkende eenheid van de politie, conform artikel 29 Wpg. Artikel 18. Recht op inzage 18.1.