Actualisatie privacybeleid

Raadsvoorstel

Onderwerp Actualisatie privacybeleid Nummer Portefeuillehouder Programma/beleidsveld Afdeling Auteur Telefoonnummer Email Kernboodschap

2025/547365 Raadt, E. de 6.2 Gemeentelijk bestuur I-Ontwikkeling Smit, M.A. +31614770290 Marijn.smit@haarlem.nl In 2017 heeft de gemeenteraad de nota Privacybeleid Haarlem (2016/574466) vastgesteld. De praktische vertaling van dit beleid is uitgewerkt in het privacyreglement Haarlem (2018/47656), in 2018 vastgesteld door het college. Samen vormen deze twee documenten op dit moment het Haarlemse privacybeleid. Privacybeleid dient periodiek gecontroleerd en herzien te worden om te waarborgen dat de verwerking van persoonsgegevens in lijn blijft met de geldende wet- en regelgeving, interne processen en actuele risico’s. Dit, de opgedane ervaring met AVG-compliance in de afgelopen jaren en de verdere inbedding van privacybescherming in de gemeentelijke bedrijfsvoering om privacybescherming naar een hoger niveau te brengen, zijn reden om het beleid te actualiseren. Het nieuwe beleid draagt bij aan de wettelijke verplichting van de gemeente (het college van B&W) om aantoonbaar te voldoen aan de AVG en UAVG en draagt bij aan het doel de privacybescherming naar een hoger niveau te brengen.

Daartoe zijn de volgende nieuwe elementen in het beleid opgenomen: • een duidelijke visie op privacybescherming en de vertaling van AVG beginselen in gemeentelijke waarden voor privacybescherming voor de komende jaren; • met daarbij borging van het principe dat privacybescherming integraal onderdeel van de bedrijfsvoering vormt; • beleidsmatige aansluiting van deze visie en waarden bij het strategisch kader voor I-disciplines dat in de afgelopen jaren is vastgesteld, zoals het Gemeentelijk beleid voor informatiebeveiliging en Bedrijfscontinuïteit (2023), de Visie Haarlem in de informatiesamenleving (2024) en de Datastrategie ‘Data, de Haarlemmerolie van nu’ (2023-2026); • vertaling van deze visie en waarden in doelen en ambities waardoor beter wordt aangesloten bij huidige en toekomstige ontwikkelingen op

Kenmerk: 2025/547365

1/6

•

•

Behandelvoorstel voor commissie

Relevante eerdere besluiten Besluit college d.d. 23 september 2025

maatschappelijk, juridisch en technologisch gebied en privacyvolwassenheid naar een hoger niveau wordt gebracht; opname van beleidsregels om transparant de AVG naleving uit te voeren en te faciliteren, zowel intern, als naar burgers en bedrijven van de gemeente. Hierbij zijn de aanbevelingen ten aanzien van privacybeleid uit de Rapportage 213A Gemeentewet van Eiffel; Adviesaudit Privacybeleid (2024) opgevolgd; een beschrijving van taken en verantwoordelijkheden bij privacybescherming (governance).

De commissie Bestuur wordt door het college geïnformeerd over het vaststellen van het geactualiseerde privacybeleid. Daarnaast wordt de commissie Bestuur verzocht advies te geven aan de raad over het voorstel van het college om de nota privacybeleid (2016/574466) in te trekken. - Privacybeleid Haarlem (2016/574466, gemeenteraad 16 maart 2017) - Privacyreglement Haarlem (2018/47656, B&W 22 mei 2018) - art.213a-onderzoek privacybeleid cie Bestuur 04042024 agendapunt 1.1 Het college van burgemeester en wethouders besluit: 1. Het voorstel aan de raad vast te stellen. Het college besluit voorts: 2. Het Gemeentelijk privacybeleid 2025-2028 vast te stellen; de secretaris,

de burgemeester,

Ontwerp-besluit raad De raad der gemeente Haarlem, d.d. ………. (wordt ingevuld door de Gelezen het voorstel van het college van burgemeester en wethouders, griffie) Besluit: De 1. Het Privacybeleid Haarlem (2016/574466) in te trekken. de griffier,

de voorzitter,

Kenmerk: 2025/547365

2/6

1. Aanleiding In 2017 heeft de gemeenteraad de nota Privacybeleid Haarlem vastgesteld. Dit was voordat de Algemene verordening gegevensbescherming (AVG) van kracht werd. De praktische vertaling van zowel dit beleid als de AVG is uitgewerkt in het Privacyreglement Haarlem, in 2018 vastgesteld door het college. Samen vormen deze twee documenten op dit moment het Haarlemse privacybeleid. Privacybeleid dient periodiek gecontroleerd en herzien te worden om te waarborgen dat de verwerking van persoonsgegevens in lijn blijft met de geldende wet- en regelgeving, interne processen en actuele risico’s. Dit, de opgedane ervaring met AVG-compliance in de afgelopen jaren en de verdere inbedding van privacybescherming in de gemeentelijke bedrijfsvoering om deze naar een hoger niveau te brengen, zijn reden om het beleid te actualiseren. Het geactualiseerde privacybeleid geeft de Haarlemse visie en ambities op het gebied van privacybescherming weer en beschrijft hoe de gemeente de rollen en taken inzake privacybescherming heeft ingericht (governance en hoe zij zorgt dat de wet wordt nageleefd). De vaststelling van beleid komt, op basis van artikel 4:81 Algemene wet bestuursrecht, toe aan het bestuursorgaan dat de verantwoordelijkheid heeft over de bevoegdheid.

Bijna alle verwerkingen van persoonsgegevens van de gemeente vallen onder de verwerkingsverantwoordelijkheid van het college van burgemeester en wethouders. Het is daarom het college dat het beleid vaststelt en niet de gemeenteraad, zoals gebeurd is met de nota privacybeleid uit 2017. Dat was niet in lijn met de Awb. Dit beleid vervangt zowel de Nota privacybeleid uit 2017 als het Privacyreglement uit 2018. Het college heeft het Privacyreglement ingetrokken en nieuw beleid vastgesteld: het Gemeentelijk privacybeleid 2025-2028. Het nieuwe beleid geeft de Haarlemse visie en ambities op het gebied van privacybescherming weer, en geeft op transparante wijze inzicht hoe de gemeente privacybescherming heeft ingericht (governance), een integraal onderdeel van de bedrijfsvoering maakt en hoe het transparant AVG naleving uitvoert en faciliteert, zowel intern, als naar burgers en bedrijven van de gemeente. Het nieuwe beleid is bedoeld om beide onderdelen van het oude beleid te vervangen, daarom wordt de raad voorgesteld de nota Privacybeleid uit 2017 in te trekken. 2.

Beoogd resultaat Met de vaststelling van het gemeentelijk privacybeleid beoogt de gemeente: - te voldoen aan geldende wet- en regelgeving, waaronder de AVG en de UAVG; - richting betrokkenen en bedrijven transparant te zijn aangaande gegevensverwerking; - privacybescherming nog verder op orde te krijgen (groei in privacy volwassenheid); - het privacybewustzijn van de organisatie en medewerkers verder te vergroten;

Kenmerk: 2025/547365

3/6

-

privacybescherming te borgen als integraal onderdeel van de bedrijfsvoering.

Het doel van deze nota is ook de raad te informeren over het door het college vastgestelde nieuwe Gemeentelijk privacybeleid 2025-2028 en door de raad vastgestelde Nota Privacybeleid 2017 in te trekken. 3. Onderbouwing voorstel Het nieuwe beleid draagt bij aan de wettelijke verplichting van de gemeente (het college van B&W) om aantoonbaar te voldoen aan de AVG en UAVG en draagt bij aan het doel de privacybescherming naar een hoger niveau te brengen. Daartoe zijn de volgende nieuwe elementen in het beleid opgenomen: • een duidelijke visie op privacybescherming en de vertaling van AVG beginselen in gemeentelijke waarden voor privacybescherming voor de komende jaren; • met daarbij borging van het principe dat privacybescherming integraal onderdeel van de bedrijfsvoering vormt; • beleidsmatige aansluiting van deze visie en waarden bij het strategisch kader voor Idisciplines dat in de afgelopen jaren is vastgesteld, zoals het Gemeentelijk beleid voor informatiebeveiliging en Bedrijfscontinuïteit (2023), de Visie Haarlem in de informatiesamenleving (2024) en de Datastrategie ‘Data, de Haarlemmerolie van nu’ (20232026); • vertaling van deze visie en waarden in doelen en ambities waardoor beter wordt aangesloten bij huidige en toekomstige ontwikkelingen op maatschappelijk, juridisch en technologisch gebied en privacyvolwassenheid naar een hoger niveau wordt gebracht; • opname van

beleidsregels om transparant de AVG naleving uit te voeren en te faciliteren, zowel intern, als naar burgers en bedrijven van de gemeente. Hierbij zijn de aanbevelingen ten aanzien van privacybeleid uit de Rapportage 213A Gemeentewet van Eiffel; Adviesaudit Privacybeleid (2024) opgevolgd; • een beschrijving van taken en verantwoordelijkheden bij privacybescherming (governance). 4. Risico’s en kanttekeningen Risico’s 1. Onvoldoende borging van privacybeleid in uitvoeringsprocessen Indien het privacybeleid wordt vastgesteld door het college, maar niet voldoende bekend raakt binnen de organisatie, ontstaat het mogelijke risico om in de uitvoeringsprocessen en taken niet conform dit beleid te werken. Dit risico wordt beheerst doordat het geactualiseerde beleid juist beter in lijn is gebracht met de interne processen dan het verouderde beleid.

Kenmerk: 2025/547365

4/6

2. Impact van het geactualiseerde beleid op afdelingen en medewerkers is onvoldoende bekend Indien het privacybeleid na vaststelling door het college niet voldoende bekend is binnen de afdelingen, ontstaat het mogelijke risico dat afdelingen en medewerkers niet voldoende bekend zijn hoe zij in hun dagelijkse werkzaamheden compliant werken conform dit beleid. De gemeente werkt sinds 2018 conform de AVG. Het wettelijk kader van de AVG is echter niet gewijzigd. Het beleid is een actualisatie. Tevens speelt het privacyteam en de Functionaris Gegevensbescherming een belangrijke rol in het ondersteunen en adviseren van de afdelingen bij naleving. Dit staat in het beleid beschreven, Zie collegebesluit 5.2 voor extra beheersmaatregelen op dit mogelijke risico. Kanttekeningen 1. Het geactualiseerde beleid benoemt de Wet politiegegevens (Wpg), maar is geen Wpg beleid Zowel de Wpg als de AVG gaan over de verwerking van persoonsgegevens. Het privacybeleid verwijst onder meer naar de grondslagen in de Wpg voor gegevensverwerking, maar is niet aan te merken Wpg privacybeleid, doordat beide wettelijke regimes verschillende doelen, reikwijdtes en verplichtingen hebben. Wpg beleid wordt apart opgesteld. 2. Het geactualiseerde privacybeleid is geen informatiebeveligingsbeleid Het privacybeleid staat naast het ‘Gemeentelijk beleid voor informatiebeveiliging en bedrijfscontinuïteit’.

Dit beleid is in 2024 vastgesteld. Privacybeleid gaat naast de verwerking van persoonsgegevens, ook over de beveiliging van de verwerking (AVG art. 32). In het privacybeleid wordt ten aanzien van de beveiliging van persoonsgegevens verwezen naar het informatiebeveiligingsbeleid. Door de looptijd van beide beleidsstukken gelijk te trekken ontstaat de mogelijkheid en de kans om een volgende periode (2028) de samenhang tussen beide nog verder te integreren. 5. Consequenties en uitvoering 5.1 Financiën N.v.t. 5.2 Communicatie Het beleid zal worden gepubliceerd op https://lokaleregelgeving.overheid.nl/ zodat het openbaar beschikbaar is voor raadpleging. Tevens zal het beleid op de Intranetpagina van de gemeente worden gepubliceerd. Intern zal er op verschillende manieren aandacht worden geschonken aan het geactualiseerde beleid. Het team privacy van de afdeling I-ontwikkeling zal i.s.m. de afdeling Communicatie het beleid intern bekend maken. Het privacyteam zal langs de NT’s en de afdelingen gaan om het geactualiseerde beleid onder de aandacht te brengen en afdelingen en medewerkers te

Kenmerk: 2025/547365

5/6

informeren over wat dat betekent voor hun werkzaamheden. Dit vindt onder andere plaats via presentaties, Insite communicatie en grafisch materiaal. Daarnaast is er een belangrijke rol weggelegd voor het privacyteam en de Functionaris Gegevensbescherming om afdelingen te ondersteunen en te helpen in de uitvoering van het beleid. Dit staat beschreven in het beleid, en in het jaarplan privacy. 5.3 Participatie nvt 5.4 Juridisch Het college van B&W is wettelijk verplicht een privacybeleid vast te stellen op grond van artikel 24 lid 2 AVG. Dit betekent concreet: Het college van B&W moet aantonen dat de verwerking van persoonsgegevens binnen de gemeente voldoet aan de AVG. Hiervoor moeten passende technische en organisatorische maatregelen worden genomen, afgestemd op de aard, omvang, context en doelen van de verwerkingen, en op de risico’s voor betrokkenen. Het Gemeentelijk privacybeleid 2025-2028 is verplicht onderdeel van deze maatregelen. Dit beleid moet actueel zijn en periodiek worden geëvalueerd. Een AVG-verzoek van een betrokkene leidt tot een formeel besluit van de gemeente, waartegen bezwaar mogelijk is. Het beleid moet waarborgen dat de rechten van betrokkenen worden gerespecteerd, zoals het recht op informatie, inzage, rectificatie, verwijdering, beperking, bezwaar en een menselijke beoordeling bij geautomatiseerde besluiten.

Het nieuwe beleid als vastgesteld door het college zal worden gevolgd bij de verwerking van persoonsgegevens. Geheimhouding Niet van toepassing. 6. Bijlagen -

Gemeentelijk privacybeleid 2025-2028

Kenmerk: 2025/547365

6/6