Presentatie avg gemeenteraad

Algemene Verordening Gegevensbescherming Gemeenteraad/werkgroep digitalisering

Agenda 1. Voorstellen › Aanleiding/doel komst FG › Begrippen en jargon

2. Welke Privacy?? › Privacy, hoe zat dat ook alweer? › Tenzij wat? Basisbeginselen AVG › Verplichtingen verantwoordelijke

3. Hoe dan? 4. Trends in het toezicht (AP/FG) 5. De rol van de Raad (bij de AVG)

1. Voorstellen Functionaris Gegevensbescherming van:

Gemeente Breda College van burgemeester en wethouders Breda Gemeenteraad Breda Zorg-en Veiligheidshuis de Baronie Breda Toezien op: Naleving bepalingen in de Algemene Verordening Gegevensbescherming, Uitvoeringswet AVG, de Wet Politiegegevens, (de Artificial Intelligence Act) en aanverwante wetgeving.

1. Aanleiding/doel komst FG Aanleiding: verzoek werkgroep digitalisering Doel: Raadsleden weten op hoofdlijnen waar de AVG over gaat. Raadsleden weten wat zij kunnen betekenen in hun rol als volksvertegenwoordiger, kadersteller en controleur van het college. Raadsleden weten welke vragen zij zichzelf, hun achterban en het college (bijvoorbeeld) kunnen stellen.

1. Begrippen en jargon Persoonsgegeven: Kenmerk(en) waarmee je een persoon kunt/zou kunnen onderscheiden/identificeren. Verwerken: alles wat je met persoonsgegevens doet, opslaan, bewerken, bekijken, weggooien, verder verwerken in iets anders, etc. Verwerker: vaak een cloudleverancier, die persoonsgegevens voor de verantwoordelijke bewaard. Verantwoordelijke: het/een bestuursorgaan. Verwerking van persoonsgegevens: (een deel van een) Proces waarin persoonsgegevens worden verwerkt/gebruikt. Datalek: er is iets mis gegaan met persoonsgegevens. Register van verwerkingen: wettelijk verplicht overzicht van alle processen/samenwerkingen/algoritmen en de hierin gebruikte persoonsgegevens, waarom je die hebt, aan wie je ze doorgeeft. DPIA: Data Protection Impact Assessment, onder omstandigheden verplichte risico analyse. Grondslag: Opdracht aan de gemeente in een (materie) wet, bijvoorbeeld de opdracht in de participatiewet aan mensen een uitkering te verstrekken. BIO: Baseline Informatiebeveiliging Overheid (Standaard). Gegevensbescherming door standaardinstelling en ontwerp: (ook wel DPbDD of Privacy by design): standaard is iets zo ingesteld dat er zo weinig mogelijk ‘inbreuk’ wordt gemaakt, dus bijv. ‘alles uit, ipv alles aan’.

2. Welke privacy?? Een klein stukje historie:

Het allereerste ‘privacy’ incident? The right to privacy: Warren en Brandeis (1890) Universele rechten van de Mens (1948): Artikel 12: niemand zal worden onderworpen aan willekeurige inmenging in zijn persoonlijke aangelegenheden, in zijn gezin, zijn tehuis of briefwisseling tenzij hierin bij wet is voorzien… Handvest van de grondrechten van de EU (2000): Artikel 7: eerbiediging van het privéleven, familieleven en gezinsleven. Artikel 8: bescherming van persoonsgegevens European Declaration of digital rights and principles (2022)

2. Privacy, hoe zat dat ook alweer? Ontwikkelingen: Toegenomen digitalisering, economische belangen én incidenten. Algemene Verordening Gegevensbescherming (AVG), 2018 Doel: 'De Algemene Verordening Gegevensbescherming heeft tot doel de bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met verwerkingsactiviteiten te harmoniseren en het vrije verkeer van persoonsgegevens binnen de Unie te waarborgen.’ ‘Privacy’ uit de universele verklaring voor de rechten van de mens: Ruimtelijk recht: Nee, tenzij….

‘Informationele privacy’ uit de AVG: ja, tenzij….

2. Tenzij wat?? Basisbeginselen/spelregels AVG: geldend voor elke verwerking •

Grondslag & Doelbinding

•

Juistheid

•

Subsidiariteit/proportionaliteit

•

Dataminimalisatie en opslagbeperking

•

Bescherming

•

Transparant

Ofwel, is de verwerking van persoonsgegevens( het proces): • Functioneel, doelmatig en noodzakelijk? • Zijn er passende waarborgen rechten en vrijheden van betrokkenen te beschermen? • Ethisch verantwoord? (Zou je het ook zo doen als iedereen keek?)

2. Verplichtingen verantwoordelijke (doen en hebben) •

Basisbeginselen/spelregels aantoonbaar naleven (accountability).

•

Register van verwerkingen bijhouden.

•

DPIA's uitvoeren (Data Protection Impact Assessments) (en opvolgen)

•

Afspraken maken met samenwerkingspartners en leveranciers.

•

Functionaris Gegevensbescherming aanstellen.

•

Datalekken registreren en melden.

•

Privacy/dataprotection by design and by default toepassen (PDCA).

•

Verwerkingen ‘adequaat’ beveiligen (BIO) (PDCA-cyclus hanteren).

•

Zorgen dat betrokkenen van hun rechten gebruik kunnen maken en transparant zijn.

•

Bewustzijn (medewerkers) bevorderen.

•

Wpg/BIO/AI-act: (verplichte) audits.

2. Gewetensvraag…. Weet u hoe dit bij de gemeenteraad als verwerkingsverantwoordelijke geregeld is? Wie regelt dat?

Heeft u hier weleens een vraag over gesteld?

3. Hoe dan? De verplichtingen zijn (gelukkig) meteen de instrumenten waarmee de verantwoordelijke kan voldoen in een zogenaamde Plan-docheck-act cyclus. • Register van verwerkingen: waar zitten mijn belangrijkste processen? Risicogestuurde aanpak plannen.

• DPIA’s/audits/analyses: waar zijn de (grootste) risico’s en verbetermaatregelen? Risico-management toepassen. • Afspraken met leveranciers en samenwerkingspartners evalueren/bijstellen.

• Transparantie en rechten betrokkene naleven. • FG: toezicht/advies. • Administratie over alles: accountable/aantoonbaar.

4. Trends/jaarplan Autoriteit Persoonsgegevens (AP/FG)

5. Gewetensvraag…. Wat denk u dat het belang van het recht op privacy of gegevensbescherming is?

5. De rol van de raad Kaderstellend Controlerend Volksvertegenwoordiging

5. De rol van de raad Wie is verantwoordelijk?

Waarom is het noodzakelijk? Hoe zijn inwoners geïnformeerd? Gemeenten en privacy: wat kunt u als raadslid doen bij de inzet van technologie? | Autoriteit Persoonsgegevens Gemeente en privacy: wat kunt u als raadslid doen? | Autoriteit Persoonsgegevens

5. De rol van de raad Volksvertegenwoordiging In wat voor een gemeente wilt u wonen? Wat willen uw inwoners?

Stelling: wij willen ons onbespied kunnen wanen in onze gemeente? Waar/wanneer wel/niet? Hoeveel technologie (die persoonsgegevens verwerkt) vindt u ‘acceptabel’? En waarom?

5. De rol van de raad Kaderstellend Gewetensvragen : Welke ‘privacy prijs’ mag betaald worden voor (bijv.) veiligheid, het tegengaan van fraude, efficiency? Welke volwassendheidsscore wilt u dat uw college nastreeft voor wat betreft de naleving/compliance aan de AVG? En wat mag dat kosten? Welke effecten (van (niet) naleving van de AVG) vindt de raad wenselijk of onwenselijk? Of met andere woorden: wat wilt u echt niet voor uw gemeente?

5. De rol van de raad Controlerend Hoe wilt u dat er over naleving/ dilemma’s/ incidenten/privacy risico’s aan u gerapporteerd wordt? Welke vragen wilt u het college hierover stellen? Wat wilt u van/over de (mate van) compliance weten? Welke vragen stelt u over de ‘privacy prijs’ die eventueel betaald wordt voor (bijv.) veiligheid, het tegengaan van fraude, efficiency?

5. Voorbeeldvragen Is de inzet van deze technologie noodzakelijk om het doel te bereiken? Welke alternatieven zijn er in beeld geweest? Hoe heeft het college de inzet van de technologie afgewogen tegen het recht op privacy? Welke persoonsgegevens worden er door middel van deze technologie verwerkt? Welke Data Protection Impact assessments zijn gedaan? Wat was de uitkomst? Wanneer zijn de bevindingen opgelost? Hoeveel DPIA’s moeten er nog worden gedaan? Wij willen van x,y, z processen dat de DPIA’s dit jaar gedaan worden?