Raadsbesluit Vaststellen Privacybeleid 2026-2029 Heemstede.pdf

Raadsbesluit Raadsvergadering: 5 februari 2026

Zaaknummer Team Portefeuillehouder Openbaarheid

: 1347859 : Algemene en Juridische Zaken Heemstede : F. Binnendijk : Actief openbaar

Onderwerp Vaststellen Privacybeleid 2026-2029 Heemstede

Kernboodschap Op basis van de Algemene verordening gegevensbescherming (AVG) moeten de bestuursorganen van de gemeente als verwerkingsverantwoordelijke een privacybeleid vaststellen. In 2020 is er door de drie bestuursorganen een gemeentebreed privacybeleid vastgesteld, dat elke vier á vijf jaar herijkt moet worden. Op 10 december 2024 heeft het college een strategisch informatiebeveiligings- en privacybeleid (IB&P-beleid) vastgesteld. Dit strategische IB&P-beleid is richtinggevend en kaderstellend voor informatiebeveiliging en privacy en moet aangevuld worden met beleidsdocumenten voor zowel informatiebeveiliging als privacy op tactisch niveau. Met dit besluit wordt het tactische privacybeleid vastgesteld door alle drie de bestuursorganen van de gemeente Heemstede. Waar in het privacybeleid ‘gemeente’ staat, gelden de maatregelen voor alle bestuursorganen, inclusief de gemeenteraad. Dit betreft verreweg de meeste maatregelen. Verder staat er in het privacybeleid een aantal paragrafen, die specifiek voor de gemeenteraad gelden.

Besluit B&W 1. Het privacybeleid Gemeente Heemstede, vastgesteld op 8 september 2020, voor zover zijn bevoegdheid strekt in te trekken; 2. Het Privacybeleid 2026-2029 Heemstede vast te stellen voor zover zijn bevoegdheid strekt; 3. De raad voor te stellen het privacybeleid Gemeente Heemstede, vastgesteld op 24 september 2020, voor zover zijn bevoegdheid strekt in te trekken; 4. De raad voor te stellen het Privacybeleid 2026-2029 Heemstede vast te stellen voor zover zijn bevoegdheid strekt; 5. Het voorstel en het Privacybeleid 2026-2029 Heemstede voor te leggen aan de commissie Samenleving om advies te geven aan de raad.

pagina 1 van 6

Besluit Burgemeester 1. Het privacybeleid Gemeente Heemstede, vastgesteld op 8 september 2020, voor zover zijn bevoegdheid strekt in te trekken; 2. Het Privacybeleid 2026-2029 Heemstede vast te stellen voor zover zijn bevoegdheid strekt.

Besluit raad De raad van de gemeente Heemstede; gelezen het voorstel van burgemeester en wethouders van 9 december 2025,

Besluit: 1. Het privacybeleid Gemeente Heemstede, vastgesteld op 24 september 2020, voor zover zijn bevoegdheid strekt in te trekken; 2. Het Privacybeleid 2026-2029 Heemstede vast te stellen voor zover zijn bevoegdheid strekt.

De raad voornoemd,

de griffier,

de voorzitter,

K. Millenaar

F. Binnendijk

pagina 2 van 6

Wettelijke grondslag Juridisch en beleidskader Dit besluit wordt genomen op grond van artikel 24, lid 2 en artikel 25 van de Algemene verordening gegevensbescherming (AVG). Daarnaast is in het strategisch informatiebeveiligings- en privacybeleid opgenomen dat dit aangevuld wordt met tactische beleidsdocumenten.

Bevoegdheid Het Privacybeleid 2026-2029 Heemstede betreft alle drie bestuursorganen van de gemeente. Elk bestuursorgaan is verwerkingsverantwoordelijke voor de verwerking van de persoonsgegevens die hij verwerkt. De AVG legt aan de verwerkingsverantwoordelijke de verplichting op om een passend gegevensbeschermingsbeleid vast te stellen. Waar in het privacybeleid wordt gesproken over de ‘gemeente’, dan betreft de maatregel alle bestuursorganen. Als de maatregel niet alle bestuursorganen betreft, wordt / worden expliciet het betreffende bestuursorgaan / de betreffende bestuursorganen genoemd. Elk bestuursorgaan stelt het beleid vast voor zover zijn bevoegdheid strekt. Voor de gemeenteraad geldt het hele privacybeleid behalve de volgende onderdelen: -

-

het feit, dat dit privacybeleid een nadere uitwerking is van het strategische informatiebeveiligings- en privacybeleid. Voor de gemeenteraad is dit een losstaand privacybeleid; in 2.2: het verantwoording kunnen afleggen aan de gemeenteraad door uitvoering van het privacybeleid; paragraaf 4.14.

Bestuurlijke achtergrond Het college heeft op 10 december 2024 een strategisch informatiebeveiligings- en privacybeleid (IB&P-beleid) vastgesteld. Dit IB&P-beleid is richtinggevend en kaderstellend voor informatiebeveiliging en privacy en moet aangevuld worden met beleidsdocumenten voor zowel informatiebeveiliging als voor privacy op tactisch niveau.

Motivering Dit is het privacybeleid op tactisch niveau en kan gezien worden als ‘paraplubeleid’ voor de drie bestuursorganen. Los daarvan stellen afdelingen die veel en/of gevoelige gegevens verwerken een afdelingsspecifiek privacybeleid op. Dit afdelingsspecifieke privacybeleid valt onder het gemeentebrede privacybeleid en wordt vastgesteld door de domeinmanager waar de betreffende afdeling onder valt.

pagina 3 van 6

Het nieuwe privacybeleid is nog volledig gestoeld op de verplichtingen vanuit de AVG en is grotendeels hetzelfde als het huidige privacybeleid. Wel is er een aantal punten gewijzigd ten opzichte van het huidige privacybeleid: Het is een tactisch privacybeleid geworden Het huidige privacybeleid is zowel strategisch als tactisch. Omdat er in december 2024 een strategisch IB&P-beleid is vastgesteld, zijn de strategische onderdelen uit het beleid verwijderd en is het een tactisch privacybeleid geworden. Deze verandering is ook uitgewerkt in het privacybeleid. Er zijn specifieke aandachtspunten toegevoegd voor de burgemeester en de gemeenteraad Het huidige beleid is voor alle drie de bestuursorganen precies hetzelfde. Er zijn echter ook specifieke aandachtspunten voor de burgemeester en de gemeenteraad. Waar dit speelt, is dat op de betreffende plekken in het vast te stellen beleid opgenomen. Waar gesproken wordt over ‘de gemeente’ dan betreft de betreffende (maat)regel voor alle drie bestuursorganen. Waar specifiek een bestuursorgaan wordt vermeld, geldt de (maat)regel alleen voor het betreffende bestuursorgaan. Er zijn nieuw ingevoerde werkzaamheden en maatregelen toegevoegd Sinds de vaststelling van het huidige privacybeleid zijn werkzaamheden veranderd en toegevoegd om de persoonsgegevens zo goed mogelijk te beschermen.

Voorbeelden hiervan zijn het uitvoeren van een pre-DPIA (Data Protection Impact Assessment) en een vooronderzoek. Specifieke aandachtspunten vanuit de Wet politiegegevens zijn toegevoegd. Na de vaststelling van het huidige privacybeleid is de Wet politiegegevens (Wpg) ook voor taken van de gemeente gaan gelden. Boa’s verwerken vanuit hun handhavingstaak politiegegevens. De Wpg verplicht specifieke maatregelen, wat op de betreffende plekken in het privacybeleid is verwerkt. Er is een paragraaf over anonimiseren van persoonsgegevens toegevoegd In het huidige privacybeleid is er geen aparte informatie opgenomen over het anonimiseren van gegevens. Gezien het grote belang van openbaarheid van bestuur en het verstrekken van documenten is er in het vast te stellen beleid een aparte paragraaf over anonimiseren opgenomen. Er is een paragraaf over datagedreven werken toegevoegd De gemeente verwerkt veel gegevens. Deze kunnen worden samengevoegd en vervolgens worden getoond in dashboards om zo doelmatiger, efficiënter en transparanter te kunnen werken, dienstverlening te optimaliseren en te kunnen sturen op cijfers. Dit is in 2025 opgestart. Hiervoor zijn specifieke regels opgenomen in het privacybeleid.

In de privacygovernance zijn aparte taken op het gebied van risicomanagement opgenomen Bij de uitvoering van een gegevensbeschermingsaffectbeoordeling/DPIA is de beoordeling van risico’s van de verwerking een essentieel onderdeel. Om dit op een goede manier te kunnen doen, is risicomanagement een voorwaarde. Hiervoor zijn in het betreffende hoofdstuk 6 aparte taken voor het risicomanagement opgenomen.

pagina 4 van 6

Argumenten Met het vaststellen van het algemene privacybeleid voldoet de gemeente aan een van de vereisten van de AVG Door het algemene privacybeleid vast te stellen wordt voldaan aan zowel de artikelen 24 en 25 van de AVG en aan overweging 78 bij artikel 25 van de AVG. Omdat de verwerkingsverantwoordelijken raad, college en burgemeester dit beleid vaststellen, voldoen zij hier allemaal aan. Het beleid is gestoeld op de volgende aandachtspunten uit het strategische IB&P-beleid: -

Persoonsgegevens worden rechtmatig en zorgvuldig verwerkt; De betrokkene heeft inzicht in de gegevens die de gemeente verwerkt en (rechtmatig) deelt met derden; Persoonsgegevens worden alleen voor specifieke, vastgestelde, uitdrukkelijk omschreven en gerechtvaardigde doelen verwerkt; Bij het verwerken van persoonsgegevens gaat de gemeente uit van de principes van subsidiariteit en proportionaliteit; De gemeente gaat uit van minimale gegevensverwerking; Persoonsgegevens worden niet langer bewaard dan noodzakelijk; Medewerkers van de gemeente hebben een geheimhoudingsplicht voor de verwerkte persoonsgegevens; Voor het delen van persoonsgegevens met derden worden afspraken gemaakt; De gemeente honoreert de privacyrechten van betrokkene.

Dit is in het privacybeleid uitgewerkt in de volgende onderwerpen: -

-

visie op gegevensbescherming; doel en reikwijdte van het beleid; juridisch kader van het beleid; raakvlakken en overlap met andere beleidsthema’s; de taken en verantwoordelijkheden en bij wie deze zijn belegd, inclusief een uitwerking hiervan in de privacy governance in de bijlage; beleid voor de rechtmatige en zorgvuldige verwerking van persoonsgegevens: o register van verwerkingen; o transparantie richting de betrokkene 1; o doelbinding van de gegevensverwerking; o rechtmatige grondslag van de gegevensverwerking; o privacy by design; o de hoeveelheid te verwerken persoonsgegevens, waarbij minimale gegevensverwerking uitgangspunt is; o bewaartermijnen van de persoonsgegevens; o uitvoering van gegevensbeschermingseffectbeoordelingen; o anonimisering van persoonsgegevens; o datagedreven werken; o gegevensdeling in samenwerkingsverbanden; de bescherming van de privacyrechten van de betrokkene;

1 De betrokkene is de persoon over wie de persoonsgegevens direct of indirect iets zeggen.

pagina 5 van 6

-

de beveiliging van persoonsgegevens; sluiten van convenanten en verwerkersovereenkomsten voor het juridisch correct en veilig verwerken van persoonsgegevens in samenwerkingsverbanden; bewustwording, communicatie en evaluatie.

Doordat zowel de raad, het college als de burgemeester dit beleid vaststellen is sprake van een eenduidig beleid binnen de gemeente Het opgestelde beleid geldt voor alle drie de bestuursorganen. Alleen waar voor een van de bestuursorganen aparte/aanvullende regels gelden, is dit specifiek voor het betreffende bestuursorgaan opgenomen. Hierdoor is er sprake van eenduidigheid en transparantie richting de inwoners. Elk bestuursorgaan stelt daarbij het eigen beleid vast.

Kanttekeningen, risico’s en beheersmaatregelen Als het privacybeleid niet wordt vastgesteld, dan wordt niet voldaan aan de vereisten vanuit de AVG en loopt de gemeente risico op een boete vanuit de Autoriteit Persoonsgegevens.

Duurzaamheid N.v.t.

Financiën N.v.t.

Samenwerking en communicatie Op het voorgaande privacybeleid heeft de OR geadviseerd. Dit nieuwe privacybeleid is over het algemeen een voortzetting van het bestaande en het in te trekken gemeentebrede privacybeleid. Het is aangepast op vlakken waar de werkwijze sinds de vaststelling van dit voorgaande privacybeleid is veranderd. Daarom is dit niet opnieuw ter advisering voorgelegd aan de OR. Dit is ook besproken met de voorzitter van de OR.

Planning/uitvoering N.v.t.

Bijlage(n) 1. Privacybeleid Heemstede 2026-2029

pagina 6 van 6