2 Bijlage 1 213a-rapportage privacybeleid
Tekst van het document
Pagina | 57
10.5 BIJLAGE 5 Inventarisatie beleid vergelijkbare gemeenten Gemeente Amstelveen-Aalsmeer Beleid gemeente AmstelveenAalsmeer
Pagina | 58 Aanbeveling Vertaal de doelstellingen van de organisatie naar een heldere boodschap in het beleid en weeg deze doelstellingen af tegenover de bescherming van persoonsgegevens en naleving aan de AVG. Stel daarnaast de inwoner centraal en gebruik waar nodig en relevant voorbeelden. Bepaal bovendien de scope van het beleid, wat wordt precies beoogd met het privacybeleid? Op welke organisatie(onderdelen) en processen is het beleid van toepassing? Wat zijn de kernwaarden en hoe wordt daarin balans gevonden?
Onderwerp Beleid zelf (inhoudelijk/ algemeen)
Inhoudelijk Afweging doelstellingen in het kader van de digitale ambitie/transitie tegenover naleving van de AVG duidelijk benoemd en omschreven. Ook is de scope van het beleid duidelijk omschreven. Daarnaast is het privacybeleid geschreven met de primaire gedachte dat het helder en leesbaar moet zijn voor de inwoner, hiertoe is uiting gegeven door middel van het gebruik van simpele voorbeelden. Het beleid is raadpleegbaar via: https://lokaleregelgeving.overheid.nl/CVDR639533
AmstelveenAalsmeer
Betrokken partijen bij de totstandkoming van het beleid
Het privacybeleid is vastgesteld door het college van B&W en de samenwerking bij de totstandkoming van het beleid wordt tot uitdrukking gebracht in het beleidsstuk, waarbij eigenaarschap voor het beleid is genomen.
Betrek het college bij de totstandkoming van het privacybeleid om zodoende de ambities van het college in samenhang met de bescherming van persoonsgegevens en de verantwoordelijkheid daarvoor vast te leggen en eigenaarschap te creëren.
AmstelveenAalsmeer
Vindbaarheid /accessibility
Door de publicatie als lokale regelgeving (overheid.nl) en verwijzing daarnaar via de gemeentelijke website is het beleid goed vindbaar voor inwoners en andere betrokkenen.
Maak het privacybeleid gemakkelijk vindbaar, verwijs ernaar op de website en zorg zoveel mogelijk voor één beleid (geen losse aanhangsels of extra reglementen) waarin uitdrukking is gegeven aan de doelen van de AVG.
AmstelveenAalsmeer
Herijking/ evaluatie
Het privacybeleid bevat een verplichting tot driejaarlijkse evaluatie en indien nodig actualisatie/herziening.
Leg in het privacybeleid een terugkerend evaluatie- en actualisatiemoment op het beleid vast zodat tijdig wordt stilgestaan bij relevante ontwikkelingen zodat deze zo nodig kunnen worden verwerkt.
AmstelveenAalsmeer
Governance/t De verantwoordelijkheid voor de zorgvuldige aakverdeling omgang met persoonsgegevens is zoveel mogelijk en toewijzing belegd bij de afdelingen die in het kader van hun werkzaamheden in aanraking komen met persoonsgegevens. Daarnaast worden de verantwoordelijkheden en relevante werkzaamheden van de proceseigenaren, het college van B&W, de gemeentesecretaris, de CIO & CISO, de FG, Privacybeheerder én privacycontactpersonen van de afdelingen benoemd en duidelijk omschreven.
Leg de rollen en bijkomende verantwoordelijkheden vast en benoem de rol die de proceseigenaren spelen op het gebied van operationele omgang en verantwoordelijkheid voor persoonsgegevens.
Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023
AmstelveenAalsmeer
Risicobeheersing
Als onderdeel van risicobeheersing worden de genomen en te nemen maatregelen genoemd om de risico's bij de verwerking van persoonsgegevens in kaart te brengen en te mitigeren. Hiertoe worden verschillende maatregelen genoemd, waaronder de DPIA-verplichting, privacy-by-design en default.
Leg de volgordelijkheid vast inzake de DPIAverplichting en het proces. Neem daarnaast duidelijke organisatie brede uitgangspunten op met betrekking tot privacy by design en default en hoe dat nader wordt ingevuld en eventueel getoetst. Pagina | 59
AmstelveenAalsmeer
Bewustwording
(Privacy) bewustwording is een integraal onderdeel van de benoemde instrumentaria om een hoog niveau van privacybescherming te garanderen. Hiertoe is de verplichting opgenomen om privacytrainingen te verzorgen voor medewerkers (doorlopend) en een algemene training voor nieuwe medewerkers (i.h.k.v. onboarding). Daarnaast wordt benoemd dat jaarlijks verschillende privacy en informatieveiligheid gerelateerde evenementen worden georganiseerd om bewustwording te vergroten.
AmstelveenAalsmeer
Rechten van betrokkenen
De rechten van betrokkenen informatieplicht, recht tot inzage en correctie, recht van bezwaar, recht op menselijke blik bij besluiten) staan duidelijk beschreven, alsmede het betreffende proces van afhandeling en de daaromtrent gemaakte afspraken.
Informatieveiligheid (beleid)
Het informatieveiligheidsbeleid wordt als integraal en onlosmakelijk deel van de bescherming van persoonsgegevens met elkaar verbonden. Kruisverwijzingen naar het informatieveiligheidsbeleid zijn zover relevant opgenomen in het beleid.
AmstelveenAalsmeer
AmstelveenAalsmeer
Beschrijf de noodzaak van bewustwording en welke terugkerende stappen worden gezet om de bewustwording te vergroten. Denk hierbij aan bewustwordingscampagnes, trainingen (bij onboarding en daarna) en bijvoorbeeld een interne nieuwsbrief met relevante gemeentelijke ontwikkelingen en actualiteiten.
Beschrijf hoe uitvoering wordt gegeven aan rechten van betrokkenen, wat de afhandelingstermijn is en hoe het proces verder in elkaar zit. Maak dit gemakkelijk vindbaar op de website en richt hiervoor een standaardproces in. Een openbare privacyverklaring waarin rechten van betrokkenen in staan opgenomen kan hier voorts onderdeel van uitmaken. SamenHiertoe staan de basisbeginselen opgenomen, met Leg vast in welke gevallen een werking name dat enkel indien noodzakelijk voor de verwerkersovereenkomst moet worden gesloten mede) uitvoering van dienstverlening of om te voldoen en in andere gevallen welke passende overheden en aan een wettelijke verplichting persoonsgegevens afspraken er met betrekking tot uitwisseling van private worden gedeeld. Daarnaast is vastgelegd dat persoonsgegevens worden gemaakt. Leg organisaties concrete afspraken worden gemaakt met andere daarnaast een periodieke controle op de organisaties over de beveiliging van naleving van deze afspraken vast, zodat na persoonsgegevens, afhandeling van datalekken en wordt gegaan of de gemaakte afspraken rechten van betrokkenen. aansluiten bij de werkelijkheid.
Verwijs over en weer naar het informatieveiligheidsbeleid en laat deze randvoorwaarde voor de (veilige) verwerking van persoonsgegevens tot uitdrukking komen in het beleid.
Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023
AmstelveenAalsmeer
Datalekken
De procedure met betrekking tot het afhandelen van datalekken, de meldingsplicht en de verplichting voor het bijhouden van een register (alsmede jaarlijkse evaluatie daarvan) zijn opgenomen in het beleid.
Beschrijf het proces rondom datalekken en stel doelstellingen met betrekking tot het voorkomen van herhaling en om zodoende beheersmaatregelen te treffen.
Pagina | 60 AmstelveenAalsmeer
Register van verwerkingsactiviteiten
In het beleid staat beschreven dat er een openbaar register is om betrokkenen inzicht te geven in de wijze waarop persoonsgegevens worden verwerkt binnen de organisatie. Daarnaast is een minimum opgenomen aan de gegevens die moeten worden opgenomen per verwerking waar de gemeente verantwoordelijk voor is. Bovendien wordt het aan de privacy contactpersonen van de (proces)verantwoordelijke afdeling overgelaten om zorg te dragen voor het actueel houden van het register
Verscherp de (minimum)eisen aan de gegevens die per verwerking moeten worden opgenomen in het register en leg vast wat het proces is met betrekking tot het actueel houden van het register en wie (bijvoorbeeld de privacycontactpersoon van de afdeling) daarvoor binnen de afdeling verantwoordelijk is.
AmstelveenAalsmeer
Grootschalige gegevensverwerkingen (camera's, big data en tracking)
In het beleid is invulling gegeven aan wat grootschalige gegevensverwerkingen behelzen en wat de bijbehorende maatregelen en uitgangspunten daarbij zijn. Daarnaast wordt de inzet van cameratoezicht beschreven op openbare plaatsen (o.g.v. de Gemeentewet, verwerkte persoonsgegevens vallen daarbij onder de Wet politiegegevens) en ter beveiliging van het raadshuis/stadskantoor.
Beschrijf de uitgangspunten met betrekking tot big data en grootschalige gegevensverwerkingen zodat voor duidelijk is hoe er wordt omgegaan met persoonsgegevens daarbij. Hanteer daarbij het uitgangspunt dat bij big-data toepassingen enkel gegevens worden gebruikt die niet herleidbaar zijn tot de persoon.
AmstelveenAalsmeer
Wettelijk kader
Naast de AVG zijn er andere wettelijke kaders en interne protocollen en richtlijnen waarmee rekening wordt gehouden in de dagelijkse praktijk, onder andere met betrekking tot het uitvoeren van publieke taken. Deze worden (niet limitatief) benoemd in het privacybeleid (o.a. Participatiewet, WMO, Archiefwet), om daarmee uitdrukking te geven aan de wettelijke kaders en interne protocollen voor wat betreft de omgang met persoonsgegevens.
Neem op wat het wettelijk kader is met betrekking tot de verwerking van en omgang met persoonsgegevens, betrek hierbij ook interne protocollen en procedures voor zover relevant.
Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023
Gemeente Amersfoort Beleid gemeente Amersfoort
Onderwerp Beleid zelf (inhoudelijk/ algemeen)
Inhoudelijk Het beleid is abstract en de mens is daarin centraal gesteld. De betrokkene mag ervan uitgaan dat de gemeente Amersfoort veilig, vertrouwd en betrouwbaar met persoonsgegevens omgaat. Er wordt weergegeven dat de gemeente een governance heeft uitgewerkt op privacy. De gemeente gaat ook uit van een zekere balans. De gemeente geeft aan dat waar de wetgeving op privacy misschien niet altijd goed werkt, de gemeente het gesprek durft aan te gaan om een welbepaalpaar doel te bereiken. De gemeente benoemt (niet limitatief) op welke onderwerpen zij aanvullende regelingen maakt. De gemeente vindt het daarenboven belangrijk om transparant te zijn over gegevensverwerkingen. Met de bestuurders, zowel college als raad, een traject van vaststelling aangegaan, waarbij een bekende spreker / adviseur uit de privacyhoek hen heeft meegenomen in het belang van gegevensbescherming voor de organisatie.
Amersfoort
Totstandkoming
Amersfoort
Verantwoorde lijkheid voor het beleid en governance
De verantwoordelijkheden worden in het privacybeleid benoemt en er worden functies aan de TBV gehangen. Hierdoor is het voor iedereen duidelijk wie waarvan is.
Amersfoort
Herijking/ evaluatie
Herijking is in 2019 uitgevoerd nadat er eerder beleid is geweest uit 2017. Dit heeft te maken met hetgeen hierboven is geschetst. De organisatie zat in een nieuwe fase: er is een stelselhouder benoemd (Team Juridische Zaken) en de verdere governance was ingericht.
Amersfoort
Informatieveiligheid
Er wordt in het privacybeleid verwezen naar het informatieveiligheidsbeleid en het feit dat de twee producten niet zonder elkaar kunnen worden uitgevoerd. Daarom wordt altijd verbinding gezocht. Bij herijking van het privacybeleid wordt het informatieveiligheidsbeleid ook aan een herijking onderworpen en andersom.
Aanbeveling Uitwerken van een governance in het privacybeleid. Durven op te nemen dat je Pagina | 61 kaders stelt maar ook de grenzen opzoekt als dit niet anders kan. Benoemen welke uitwerkingen de gemeente hanteert of gaat maken ter onderbouwing / ondersteuning van het privacybeleid.
Door de presentatie in de raad over het belang van gegevensbescherming en een goed privacybeleid, is het vertrouwen in de organisatie door de raad gegroeid. Dit vertrouwen was broos door een groot datalek in 2016.
Informatieveiligheid is de feitelijke uitwerking van de technische en organisatorische maatregelen die de AVG vraagt te nemen voor de verwerkingsverantwoordelijke. Ze kunnen niet los van elkaar worden gezien. Betrek daarom informatieveiligheid bij het opstellen van het beleid maar ook bij het uitwerken van jaarplannen en evaluaties.
Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023
Amersfoort
Amersfoort
Werkbeschrijvingen en omgaan met persoonsgegevens
Rechten van betrokkenen
De gemeente heeft verschillende processen ingericht zoals het proces rechten van betrokkenen, datalekproces, proces register van verwerkingsactiviteiten en het DPIA-proces. Het een werkt beter dan het andere en met name het datalekproces werkt goed. Het DPIA-proces wordt wisselend ingevuld, de ene afdeling doet dat beter en meer dan de andere. De gemeente geeft in het beleid aan dat ze de regie over persoonsgegevens zoveel mogelijk bij de betrokkene wil laten rusten. Ze legt uit wat ze daarmee bedoelt. Niet zozeer dat een betrokkene een eigen portaal krijgt maar meer dat Amersfoort transparant wil werken voor de inwoners, bijvoorbeeld door: het register van verwerkingen constant te actualiseren en te publiceren, betrokkenen actief te informeren over gegevensverwerkingen, afhandeling van datalekken wordt openbaar gemaakt, etc.
Pagina | 62 Transparant zijn over gegevensverwerkingen maakt onderdeel uit van het aantoonbaar voldoen aan de AVG. De gemeente Amersfoort gaat daarin ver. Het advies is om uit te gaan van zoveel mogelijk transparantie maar wel binnen de mogelijkheden die de governance, beschikbaarheid en capaciteit van de organisatie levert.
Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023
Gemeente Alphen aan den Rijn Beleid gemeente Alphen aan den Rijn
Onderwerp Beleid zelf (inhoudelijk/ algemeen)
Inhoudelijk Risico gestuurde gegevensbescherming ten bate van efficiënte dienstverlening is als uitgangspunt genomen, waarbij afdelingen een 'risicofactor' hebben gekregen. Daarnaast heeft iedere afdeling een privacycontactpersoon met specifieke taken. Vooroplopen in dienstverlening en vooruitstrevend zijn in technologische toepassingen in combinatie met het gebruik van persoonsgegevens om dit efficiënter te laten verlopen wordt erkend als een dilemma, waarbij de AVG in acht moet worden genomen. Het beleid is raadpleegbaar via: https://lokaleregelgeving.overheid.nl/CVDR657955 #d77336409e294 Door de publicatie als lokale regelgeving (overheid.nl) en verwijzing daarnaar via de gemeentelijke website is het beleid goed vindbaar voor inwoners en andere betrokkenen.
Aanbeveling Maak duidelijk of er uitgangspunten en wensen zijn die mogelijk conflicteren met andere Pagina | 63 belangen. Benoem deze en hoe de gemeente daarmee omgaat, bijvoorbeeld door risicoanalyses en afwegingen te maken, maar ook door transparant te zijn richting inwoners over hoe bepaalde beslissingen tot stand komen of met welke partijen en waarom persoonsgegevens worden gedeeld.
Alphen aan den Rijn
Vindbaarheid /accessibility
Maak het privacybeleid gemakkelijk vindbaar, verwijs ernaar op de website en zorg zoveel mogelijk voor één beleid (geen losse aanhangsels of extra reglementen) waarin uitdrukking is gegeven aan de doelen van de AVG.
Alphen aan den Rijn
Governance/ taakverdeling en toewijzing en beheersmaatregelen.
Governance is als aparte paragraaf opgenomen in het privacybeleid. De rollen en (feitelijke of proces) verantwoordelijkheden staan daarin omschreven. Hierdoor zijn de procesverantwoordelijkheden zelf 'in control' om binnen de kaders van het privacybeleid uitvoer te geven aan de inrichting van de betreffende processen voor het eigen vakgebied.
Het benoemen van taken, verantwoordelijkheden en geven van een zekere mate van eigenaarschap aan procesverantwoordelijkheden maakt dat privacy niet alleen van de privacy adviseurs of het college is, maar ook van de afdelingsmanagers. Op deze wijze beleg je de taken en verantwoordelijkheden op de plek waar men het dichtst bij het vuur staat en kan verantwoording worden afgelegd per organisatieonderdeel.
Alphen aan den Rijn
Samenwerking (mede)overhe den en private organisaties
Samenwerking met externe partijen is een aparte paragraaf in het privacybeleid. De partijen die in opdracht van de gemeente een specifieke taak uitoefenen in opdracht van de gemeente worden specifiek genoemd. De mogelijke samenwerkingen en gedeeltelijke verantwoordelijkheden, alsmede wat daarvoor benodigd is, is visueel (hoewel verouderd) weergegeven.
Het visualiseren van welke analyses, afspraken of overeenkomsten moeten worden gemaakt of gesloten kan bijdragen aan betere naleving van de AVG omdat het voor medewerkers direct duidelijk is wat er in welke situatie moet gebeuren en voor inwoners helder is wat er aan een samenwerking vooraf gaat in het kader van het uitwisselen van persoonsgegevens.
Alphen aan den Rijn
Risicobeheersing
Als onderdeel van risicobeheersing worden de genomen en te nemen maatregelen genoemd om de risico's bij de verwerking van persoonsgegevens in kaart te brengen en te mitigeren. Hiertoe worden verschillende maatregelen genoemd, waaronder de DPIA-verplichting, privacy-by-design en default.
Leg duidelijk de volgordelijkheid vast inzake de DPIA-verplichting en het proces. Neem daarnaast duidelijke organisatie brede uitgangspunten op met betrekking tot privacy by design en default en hoe dat nader wordt ingevuld en eventueel getoetst.
Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023
Gemeente Breda Beleid gemeente Breda
Onderwerp Beleid zelf (inhoudelijk/ algemeen)
Inhoudelijk In plaats van een formeel privacybeleid maakt de gemeente gebruik van een algemene privacyverklaring met specifieke verklaringen uitgesplitst in verschillende onderwerpen, vindbaar via: https://www.breda.nl/privacyverklaringen. De algemene verklaring beschrijft de toepasselijke regels, kaders en zet een paar uitgangspunten uiteen. De specifieke privacyverklaringen, bijvoorbeeld met betrekking tot Veiligheid en Handhaving - handhaving betaald parkeren beschrijven het proces, welke persoonsgegevens worden verwerkt, de grondslag, het doel van de verwerking, de ontvangers, bewaartermijnen en het al dan niet gebruik van geautomatiseerde besluitvorming.
Aanbeveling Het opstellen van specifieke privacyverklaringen voor elk proces waarin persoonsgegevens Pagina | 64 worden verwerkt biedt verschillende voordelen. Ten eerste kunnen deze privacyverklaringen betrokkenen helpen begrijpen welke persoonsgegevens worden verzameld, waarom deze worden verzameld en hoe ze worden gebruikt. Dit draagt bij aan de transparantie en het vertrouwen in de gemeente over de omgang met persoonsgegevens. Ten tweede kunnen specifieke privacyverklaringen per proces bijdragen aan betere risicobeheersing. Door in kaart te brengen welke persoonsgegevens voor welk doel per proces worden verwerkt, kan er worden nagedacht over hoe eventuele risico's kunnen worden beperkt of voorkomen.
Breda
Vindbaarheid / accessibility
De privacyverklaring met onderliggende specifieke privacyverklaringen zijn online vindbaar gemaakt op de website van de gemeente Breda. Dit draagt bij aan de transparantie richting inwoners.
Maak het privacybeleid en eventuele specifieke verklaringen gemakkelijk vindbaar voor inwoners.
Breda
N.a.v. contact met FG gemeente Breda
College is verantwoordelijk voor het privacybeleid, daar is het geland. Het college is echter niet betrokken geweest bij of meegenomen bij het opstellen van het beleid. Het product is afkomstig van de FG/privacy adviseurs. Ook is er bij de afdelingen behoefte aan duidelijke protocollen en kaders per werkproces met betrekking tot het verwerken en gebruik van persoonsgegevens.
Betrek het college én de raad actief bij het opstellen en herzien van het privacybeleid. Door het direct betrokken van het college en de raad bij het ontwikkelen van het privacybeleid en de daarbij beoogde uitsplitsing in protocollen ontstaat een breder begrip van privacykwesties en verhoogt de kans op een effectief beleid dat voldoet aan de behoeften van zowel het college als de betrokken afdelingen.
Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023
Gemeente Zaanstad Beleid gemeente Zaanstad
Onderwerp Beleid zelf (inhoudelijk/ algemeen)
Inhoudelijk Het privacybeleid van de gemeente Zaanstad begint met een introductie en een 'Visie beleid uitvoering', waar een apart document voor is opgesteld. De visie geeft richting aan de manier waarop de gemeente met privacy en de bescherming daarvan omgaat. De visie wordt gebruikt ondersteuningsdocument bij het opstellen van beleidskaders, die vervolgens weer ondersteunen en verrichten van opdrachten, activiteiten en projecten. Ambities, uitgangspunten etc. zijn dus opgenomen in een apart document. Het privacybeleid is raadpleegbaar via: https://lokaleregelgeving.overheid.nl/CVDR645647
Aanbeveling Een apart visiedocument waarin de samenhang tussen privacy en informatieveiligheid wordt Pagina | 65 beschreven en de relevante uitgangspunten worden opgenomen, kan bijdragen aan een betere visie op deze thema's. Het visiedocument kan specifiek ingaan op de relatie tussen datagestuurd werken, digitale ambities en de risico's en dilemma's op het gebied van privacy, ethiek en informatieveiligheid.
Het privacybeleid in combinatie met het visiedocument geven een aantal belangrijke uitgangspunten mee waarbinnen de gemeente werkt, waaronder op het gebied van privacy by design/default, risico-acceptatie, verantwoordelijkheid voor persoonsgegevens en het voorop zetten van maatschappelijke belangen bij dataverzamelingen en datagebruik.
Een visiedocument kan bijvoorbeeld de volgende onderdelen bevatten: Visie op privacy en informatieveiligheid: Een visie waarin de gewenste situatie wordt beschreven met betrekking tot privacy en informatieveiligheid. Samenhang met datagestuurd werken: Een uitleg over de relatie tussen privacy en informatieveiligheid enerzijds en datagestuurd werken anderzijds. Digitale ambities: Een beschrijving van de digitale ambities van de organisatie en hoe privacy en informatieveiligheid daarin worden meegenomen. Risico's en dilemma's: Een overzicht van de mogelijke risico's en dilemma's op het gebied van privacy, ethiek en informatieveiligheid, die relevant zijn voor de gemeente. Uitgangspunten en principes: Een set van uitgangspunten en principes die worden gehanteerd bij het waarborgen van privacy en informatieveiligheid. Govenance: Een beschrijving van de verantwoordelijkheden en rollen binnen de organisatie met betrekking tot privacy en informatieveiligheid. Monitoring en evaluatie: Een beschrijving van de monitoring- en evaluatieprocessen die worden toegepast om de naleving van privacy en informatieveiligheid te bewaken.
Door deze aspecten op te nemen in een apart document in plaats van alleen in een privacybeleid, worden meer afdelingen betrokken en kunnen zij zich meer aangesproken en de Visie privacy en informatieveiligheid via: en verantwoordelijk voelen. Het visiedocument https://lokaleregelgeving.overheid.nl/CVDR645648. kan dienen als een overkoepelend kader dat Het beleid zelf bevat een samenvatting van de verschillende afdelingen en disciplines betrekt, ambities op het gebied van digitaliseren en zoals IT, compliance, juridische zaken en automatiseren en de ethische- en privacydilemma's bedrijfsvoering. Dit kan leiden tot een meer die daarbij kunnen opkomen. integrale en gecoördineerde aanpak van privacy en informatieveiligheid binnen de organisatie. Zaanstad
Uitgangspunten
Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023
Zaanstad
Zaanstad
Workshops, e-learning en informatiebijeenkomsten
Governance
Het privacybeleid beschrijft dat bewustwording en bewustblijven in het DNA van de organisatie moet zitten en geeft aan wat er wordt gedaan om dit te bereiken. E-learnings (doorlopend), workshops en het houden van informatiebijeenkomsten over wetgeving en verdiepingsvragen privacy zijn hiervan onderdeel.
Het opnemen van een 'cultuur van bewustwording rondom privacy/verantwoorde omgang met persoonsgegevens' is een goed startpunt om te beschrijven welke maatregelen er worden genomen om bewustwording te creëren en in stand te houden.
Het privacybeleid bevat een uitgebreid beschreven governancestructuur, volgens een 'three lines of defense' model. De proceslijnorganisatie zijn hierbij de eerste verdedigingslijn, de Informatiebeveiliging en Privacy Office de tweede lijn en de FG & CISO de derde lijn.
Door rollen, verantwoordelijkheden en overlegstructuren op te nemen aan de hand van een governance model, kan bijgedragen worden aan een betere structuur rondom de bescherming van persoonsgegevens, beleidvorming, advisering en toetsen/rapporteren. Een goed ingerichte governance structuur zorgt voor helderheid en duidelijkheid binnen de organisatie over wie verantwoordelijk is voor welke aspecten van gegevensbescherming en privacy.
Niveau 1: het gaat om het borgen van de privacy kennis, kunde en aandacht binnen de werkprocessen van de lijn. Accenthouders binnen de lijnorganisatie hebben hierin een belangrijke rol;
Pagina | 66 Bewustwording is een essentieel onderdeel van privacybescherming en de verantwoorde omgang met persoonsgegevens. Het is belangrijk dat alle medewerkers binnen een organisatie begrijpen wat privacy inhoudt, welke verplichtingen er zijn en hoe zij persoonsgegevens veilig kunnen verwerken. Het opstellen van communicatie- en trainingsprogramma's die gericht zijn op het vergroten van het bewustzijn van privacykwesties en de juiste omgang met persoonsgegevens. Dit kan bestaan uit regelmatige communicatie via interne kanalen, zoals nieuwsbrieven of intranet, en het organiseren van trainingssessies of workshops waarin medewerkers worden geïnformeerd over privacybeleid, procedures en best practices.
Niveau 2: het gaat om beleidsvorming, adviseren en faciliteren van de proceseigenaren en/of lijnmanagement. Het team IBPO heeft hier haar rol; Niveau 3: het gaat om kaders stellen, onafhankelijk toezicht, strategisch adviseren, toetsen en rapporteren. Dit wordt ingevuld door de FG en CISO.
Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023
Gemeente Zoetermeer Beleid gemeente Zoetermeer
Onderwerp Beleid zelf (inhoudelijk/ algemeen)
Inhoudelijk Het privacybeleid van de gemeente Zoetermeer is vervat in een visueel aantrekkelijk document met een duidelijke onderverdeling in thema's, waarbij ruimte is gelaten om bepaalde zaken extra te benadrukken. Ook wordt er gebruikgemaakt van figuren om het een en ander te verduidelijken, onder meer de toezichtstructuur van de FG. Het beleid is raadpleegbaar via: https://cuatro.simcdn.nl/zoetermeer/uploads/privacybeleidgemeente-zoetermeer.pdf?cb=lfOz2yP_
Aanbeveling Door gebruik te maken van overzichtelijke figuren is het beleid visueel aantrekkelijk en beter Pagina | 67 te begrijpen voor zowel medewerkers als inwoners. Het beleid komt ook minder zakelijk over op deze manier. Punt van aandacht is echter wel dat het beleid van de gemeente Zoetermeer vrij algemeen is en enigszins verouderd (mei 2019). Het verdient daarom aanbeveling om op bepaalde onderwerpen dieper in te gaan, onder meer wettelijke grondslagen, dataminimalisatie en doelbindingsprincipe.
Zoetermeer
Uitgangspunten
Het privacybeleid beschrijft een aantal duidelijke uitgangspunten van de gemeente met betrekking tot het verwerken van persoonsgegevens, waarbij privacy by design, bewustwording en het afwegen van (privacy)risico's centraal staan. Daarnaast wordt genoemd dat privacy onderdeel is van het integriteitsbeleid van de gemeente, bij het handelen in strijd met privacyregels pleegt een ambtenaar plichtsverzuim.
Besteed in het privacybeleid aandacht aan belangrijke uitgangspunten van de gemeente, waarbij nadruk kan worden gelegd op bijvoorbeeld privacy by design zodat kenbaar wordt gemaakt dat bij het inrichten van nieuwe processen en systemen privacyoverwegingen vanaf het begin van de ontwikkeling worden meegenomen.
Zoetermeer
Verantwoordelijkheid voor het beleid en governance
Het privacybeleid is vastgesteld door het college van B&W en in het document wordt melding gemaakt van een P&C cyclus ten aanzien van het privacybeleid. Over de realisatie en toepassing van het privacybeleid legt het college verantwoording af aan de raad, waar jaarlijks aandacht aan wordt besteed. Ook andere rollen (FG, afdelingshoofd, privacy officer) staan omschreven in het beleid.
Omdat het college verantwoording moet afleggen over de realisatie en toepassing van het privacybeleid is het aan te bevelen om de rol van het college te benoemen in het beleid, door ook andere rollen met bijbehorende taken en verantwoordelijkheden in het beleid te benoemen kan bovendien duidelijkheid en transparantie worden gecreëerd naar zowel medewerkers als de inwoner over wie waarvoor verantwoordelijk is. Dit kan bijdragen aan een effectieve implementatie van het beleid (ownership door vastgelegde verantwoordelijkheid) en kan bijdragen aan het vertrouwen in de manier waarop de gemeente omgaat met persoonsgegevens.
Zoetermeer
Herijking/ evaluatie
Het privacybeleid bevat een verplichting tot driejaarlijkse evaluatie en indien nodig actualisatie/herziening.
Leg in het privacybeleid een terugkerend evaluatie- en actualisatiemoment op het beleid vast zodat tijdig wordt stilgestaan bij relevante ontwikkelingen zodat deze zo nodig kunnen worden verwerkt.
Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023
Zoetermeer
Informatieveiligheid
Informatieveiligheid is een onderdeel van het privacybeleid, waarbij ook wordt verwezen naar het specifiekere informatieveiligheidsbeleid. Het proces rondom het afhandelen van een eventuele inbreuk op de beveiliging van persoonsgegevens staat samengevat weergegeven.
Het is aan te bevelen om informatieveiligheid als onderdeel van het privacybeleid te omschrijven in het privacybeleid en maak zo nodig verwijzingen naar beleid rondom informatieveiligheid. De algemene uitgangspunten kunnen derhalve aan bod komen in het privacybeleid, specifiekere Pagina | 68 afwegingen en kaders zijn uitgewerkt in het informatieveiligheidsbeleid.
Zoetermeer
Werkbeschrijvingen en omgaan met persoonsgegevens
Voor het college en de afdelingshoofden is een specifieke taak neergelegd om te stimuleren dat voor veelvoorkomende processen een werkprocedure wordt opgesteld, waarin voor dat specifieke proces wordt opgenomen hoe met gegevensverwerking en privacygevoelige informatie wordt omgegaan.
Het opstellen van werkhandleidingen en procedures waarbij specifiek wordt nagedacht over de rol van het verwerken van persoonsgegevens kan helpen om de beginselen van de verwerking van persoonsgegevens beter te implementeren. Door deze werkhandleidingen en procedures te gebruiken, kunnen medewerkers worden aangemoedigd om privacybescherming op te nemen als een belangrijk onderdeel van hun dagelijkse werkzaamheden. Bovendien kan het opnemen van dataminimalisatie in deze procedures helpen bij het verhogen van de efficiëntie van het proces, doordat onnodige of niet-relevante persoonsgegevens niet langer worden verzameld of bewaard. Het zorgvuldig en gestructureerd documenteren van het verwerkingsproces kan ook bijdragen aan transparantie, waardoor het voor betrokkenen duidelijk is hoe hun persoonsgegevens worden verwerkt en waarom dit nodig is. Dit kan helpen om het vertrouwen in de organisatie en de bescherming van persoonsgegevens te vergroten.
Zoetermeer
Rechten van betrokkenen
In het privacybeleid wordt verwezen naar de website van de gemeente met betrekking tot het uitoefenen van de rechten van de betrokkene. Ook zijn de contactgegevens van de gemeente in het privacybeleid opgenomen en zijn de rechten op hoofdlijnen beschreven.
Het is belangrijk om de rechten van betrokkenen duidelijk te beschrijven en te verwijzen naar de website voor verdere afhandeling. Dit kan betrokkenen helpen om hun rechten te begrijpen en indien nodig actie te ondernemen om deze uit te oefenen. Daarnaast is het van belang om aandacht te besteden aan de beperkingen op deze rechten, waaronder het recht op inzage. Door de grenzen van het recht op inzage helder te communiceren, ontstaat een duidelijk verwachtingskader voor betrokkenen. Het is bijvoorbeeld mogelijk dat bepaalde informatie niet kan worden vrijgegeven vanwege de privacy van andere personen of vanwege een ander wettelijk belang. Het is belangrijk om betrokkenen te informeren over deze beperkingen en de redenen daarvoor, om eventuele teleurstelling of verwarring te voorkomen. Bovendien kan een duidelijke communicatie over de beperkingen van het recht op inzage bijdragen aan een effectievere en efficiëntere afhandeling van verzoeken om inzage.
Audit privacybeleid gemeenten Haarlem en Zandvoort september 2023