01 Raadsvoorstel Vaststellen Privacybeleid 2026-2029 gemeente Bloemendaal 2026001061.pdf

* Bloemendaal Aan de Gemeenteraad. VVD | D66 | HvB AČľ1 līriï* | CDA | LB | ZB | Totaal Voor | ■3 | 'Z | •3 | l | z | ( | l Tegen | -------1 O Aangenomen I Verworpen Raadsvergadering d.d. | 17 september 2026 Commissie | Bestuur en middelen Portefeuillehouder | de heer M. Rog (burgemeester) Zaaknummer | 1364694 Productiedatum | 9 maart 2026 Onderwerp Vaststellen Privacybeleid 2026-2029 Gemeente Bloemendaal Voorgesteld besluit: De raad van de gemeente Bloemendaal; gelezen het voorstel van burgemeester en wethouders van 31 maart 2026 besluit: 1. | het privacybeleid Gemeente Bloemendaal, vastgesteld op 17 december 2020, voor zichzelf in te trekken; 2. | het Privacybeleid 2026-2029 Bloemendaal voor zichzelf vast te stellen. De raad voornoemd, d.d. | į 7 SEP. 2026 de griffier, | de voorzitter. -2- Voorgesteld besluit 1. het privacybeleid Gemeente Bloemendaal, vastgesteld op 17 december 2020, voor zichzelf in te trekken; 2. het Privacybeleid 2026-2029 Bloemendaal voor zichzelf vast te stellen. Aanleiding en beoogd effect Aanleiding Artikel 24 en 25 van de Algemene verordening gegevensbescherming (AVG) verplichten de verwerkingsverantwoordelijke1 passende organisatorische en technische maatregelen te nemen om te waarborgen en te kunnen aantonen dat de gegevensverwerking2 in overeenstemming met de AVG plaatsvindt.

Onder overweging 78 bij de AVG staat vermeld dat een van de te nemen maatregelen om hieraan te voldoen het vaststellen van privacybeleid is. In 2020 hebben de bestuursorganen van de gemeente Bloemendaal het algemene privacybeleid vastgesteld. Dit beleid moet elke vier jaar herijkt en opnieuw vastgesteld worden. Daar is nu de tijd ruimschoots voor aangebroken. Beoogd effect Door het privacybeleid vast te stellen wordt voldaan aan zowel de artikelen 24 en 25 van de AVG en aan overweging 78 bij artikel 25 van de AVG. Politieke keuzeruimte Iedere verwerkingsverantwoordelijke is verplicht tot het vaststellen van privacybeleid. Zowel de raad, het college als de burgemeester hebben specifieke taken waarvoor zij verwerkingsverantwoordelijke zijn. Gedachtegang Elke verwerkingsverantwoordelijke moet een privacybeleid vaststellen Voor de gemeenteraad geldt het hele privacybeleid behalve de volgende onderdelen: het feit dat dit privacybeleid een nadere uitwerking is van het strategische informatiebeveiligings- en privacybeleid. Voor de gemeenteraad is dit een losstaand privacybeleid; in 2.2: verantwoording kunnen afleggen aan de gemeenteraad door uitvoering van het privacybeleid; paragraaf 4.14.

In het privacybeleid worden alle maatregelen beschreven om zorgvuldig en veilig met persoonsgegevens om te gaan In het privacybeleid worden alle algemene maatregelen beschreven die de gemeente neemt om de verwerkte persoonsgegevens te beschermen. Hiermee voldoet de gemeente ook aan de vereisten van de AVG. Het privacybeleid moet elke vier iaar herijkt en opnieuw vastgesteld worden Het nu voorliggende privacybeleid is volledig gestoeld op de verplichtingen vanuit de AVG en is 1 De verwerkingsverantwoordelijke is diegene die alleen of samen met anderen het doel en de middelen van een gegevensverwerking vaststelt. 2 Een gegevensverwerking is een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via automatische procédés. Hieronder vallen verwerkingen zoals verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van verzending, verspreiden of op andere wijze ter beschikking stellen, rangschikken of combineren, afschermen, wissen of vernietigen van gegevens.

-3- grotendeels hetzelfde als het huidige privacybeleid. Wel is het op een aantal punten gewijzigd ten opzichte van het huidige privacybeleid: Het is een tactisch privacybeleid geworden Het huidige privacybeleid is zowel strategisch als tactisch. Omdat er in december 2024 door het college een Strategisch informatiebeveiligings- en privacybeleid is vastgesteld, zijn de strategische onderdelen uit het beleid verwijderd en is het een tactisch privacybeleid geworden. Deze verandering is ook uitgewerkt in het privacybeleid. Er zijn specifieke aandachtspunten toegevoegd voor de burgemeester en de gemeenteraad Het huidige beleid is voor alle drie de bestuursorganen precies hetzelfde. Er zijn echter ook specifieke aandachtspunten voor de burgemeester en de gemeenteraad. Waar dit speelt, is dat op de betreffende plekken in het vast te stellen beleid opgenomen. Waar gesproken wordt over 'de gemeente' geldt de betreffende (maat)regel voor alle drie de bestuursorganen. Waar specifiek een bestuursorgaan wordt vermeld, geldt de (maat)regel alleen voor het betreffende bestuursorgaan. Er zijn nieuw ingevoerde werkzaamheden en maatregelen toegevoegd Sinds de vaststelling van het huidige privacybeleid zijn werkzaamheden veranderd en toegevoegd om de persoonsgegevens zo goed mogelijk te beschermen. Voorbeelden hiervan zijn het uitvoeren van een pre-DPIA3 en een vooronderzoek.

Er is een paragraaf over anonimiseren van persoonsgegevens toegevoegd In het huidige privacybeleid is er geen aparte informatie opgenomen over het anonimiseren van gegevens. Gezien het grote belang van openbaarheid van bestuur en het verstrekken van documenten is er in het vast te stellen beleid een aparte paragraaf over anonimiseren opgenomen. Er is een paragraaf over datagedreven werken toegevoegd De gemeente verwerkt veel gegevens. Deze kunnen worden samengevoegd en vervolgens worden getoond in dashboards om zo doelmatiger, efficiënter en transparanter te kunnen werken, dienstverlening te optimaliseren en te kunnen sturen op cijfers. Dit is in 2025 opgestart. Hiervoor zijn specifieke regels opgenomen in het privacybeleid. In de privacygovernance zijn aparte taken op het gebied van risicomanagement opgenomen Bij de uitvoering van een gegevensbeschermingseffectbeoordeling I DPIA is de beoordeling van risico's van de verwerking een essentieel onderdeel. Om dit op een goede manier te kunnen doen, is risicomanagement een voorwaarde. Hiervoor zijn in het betreffende hoofdstuk 6 aparte taken voor het risicomanagement opgenomen. Overwegingen van het college Op de eerste plaats is het de verantwoordelijkheid van de raad als verwerkingsverantwoordelijke om zijn eigen privacybeleid vast te stellen.

Dit ligt nu voor en is hetzelfde beleid als het beleid dat door het college en de burgemeester in hun hoedanigheid en bevoegdheid is vastgesteld. Door het algemene privacybeleid van de gemeente Bloemendaal door alle drie de bestuursorganen/verwerkingsverantwoordelijken vast te laten stellen, is er sprake van eenduidig beleid binnen de gemeente. 3 DPIA staat voor Data Protection Impact Assessment; een Nederlands synoniem is de gegevensbeschermingseff eet beoordeling.

-4- Middelen Het voldoen aan de regels van de AVG ligt in de lijn, waarbij de privacybeheerder, de FG4, de CISO5 en de ISO6 kunnen assisteren en het toezicht bij de FG ligt. In de bijlage van het privacybeleid is de privacygovernance opgenomen. De Functionaris Gegevensbescherming (FG) ziet toe op de naleving van de AVG en dit beleid. De FG moet zijn taken op een autonome en onafhankelijke wijze uitvoeren. De FG heeft daartoe voldoende middelen nodig. Separaat zal daarom bij de zomernota 2026 en de kadernota 2027 uitbreiding van de formatie worden gevraagd. Participatie N.v.t. Communicatie N.v.t. Samenwerking (Heemstede) Het privacybeleid is nagenoeg hetzelfde als dat in Heemstede. Dit maakt samenwerken van de verschillende afdelingen gemakkelijk. Vervolgproces/evaluatie Na het vaststellen van het algemene privacybeleid kan eventueel specifiek beleid opgesteld worden. Bijlagen Privacybeleid 2026-2029 Gemeente Bloemendaal Burgemeester en wethouders van Bloemendaal, íemeester. :entesecretaris. 4 FG * Functionaris gegevensbescherming 5 CISO ® Chief Information Security Officer 6 ISO = Information Security Officer