Raadsvoorstel Beleid persoonsgegevens, aanwijzen functionaris gegevensbescherming en bevoegd functionaris

GEMEENTE

Raadsvoorstel Zaaknummer: 1914857 Steller: S.E. Pannemans Datum commissie: Datum raadsvergadering: 8 februari 2022

Team: DIR Teammanager: drs. Guy H.S. Heemskerk MBA Portefeuillehouder: J. Nieuwenburg E-mail: s.pannemans@hoorn.nl

Onderwerp Beleid persoonsgegevens

Agendering Ter besluitvorming

Bijlagen 1 Beleid persoonsgegevens

De raad besluit 1. het beleid persoonsgegevens per 1 januari 2022 vast te stellen. De belangrijkste wijzigingen ten opzichte van het huidige privacybeleid zijn: a. Aanscherping op de Wet politiegegevens. b. De term ‘privacy’ wordt niet meer genoemd in het beleid. c. De functie van adviseur persoonsgegevens is toegevoegd. d. Interne audit en controle is specifiek benoemd als instrument. e. De rol van de Ondernemingsraad is toegevoegd. 2. het huidige privacybeleid per 1 januari 2022 in te trekken. Samenvatting Zowel in de Algemene Verordening Gegevensbescherming (AVG) als de Wet politiegegevens (Wpg) is een ‘gegevensbeschermingsbeleid’ (beleid persoonsgegevens) verplicht gesteld. Dit beleid geeft aan hoe de gemeente omgaat met persoons- en politiegegevens en invulling geeft aan de wetgeving. Dit geeft duidelijkheid aan inwoners en richting aan de organisatie. De buitengewoon opsporingsambtenaren van de gemeente Hoorn verwerken politiegegevens. Dit zijn persoonsgegevens die nodig zijn voor het voorkomen en opsporen van strafbare feiten. Dit valt onder de Wpg. Het huidige privacybeleid is gebaseerd op de AVG en niet op de Wpg. Daarom is het beleid herzien en aangevuld met de Wpg. Dit gaf direct de mogelijkheid om het beleid verder te actualiseren. De raad wordt geadviseerd om het huidige privacybeleid in te trekken en het beleid persoonsgegevens vast te stellen. 1.

Inleiding: reden van het voorstel

Aanleiding Zowel in de AVG als de Wpg is een ‘gegevensbeschermingsbeleid’ (beleid persoonsgegevens) verplicht gesteld. Het huidige beleid is gebaseerd op de AVG en niet op de Wpg. Belang Het gemeentelijk belang is op een verantwoorde manier omgaan met persoons- en politiegegevens en het waarborgen van de rechten van inwoners. Een beleid persoonsgegevens draagt hieraan bij door het stellen van kaders voor een zorgvuldige behandeling van persoons- en politiegegevens. 1/4

nTfl GEMEENTE HOORN

Centrale vraag Welke kaders stelt de raad aan een zorgvuldige behandeling van persoons- en politiegegevens? 2. Beoogd maatschappelijk resultaat De gemeente Hoorn zorgt voor een zorgvuldige behandeling (rechtmatig, behoorlijk, transparant, beveiligd) van persoons- en politiegegevens. 3. Bijdrage aan de duurzaamheidsambitie Dit voorstel draagt niet bij aan de duurzaamheidsambitie van de gemeente Hoorn. 4. Kaders Het 'recht op de eerbiediging van de persoonlijke levenssfeer’, waaronder een zorgvuldige behandeling van persoonsgegevens is geregeld in: ■ Europees Verdrag voor de Rechten van de Mensen (artikel 8) ■ Internationaal Verdrag burgerrechten en politieke rechten (artikel 17) ■ Handvest van de grondrechten van de Europese Unie (artikel 8) - Verdrag tot bescherming van personen met betrekking tot geautomatiseerde verwerking van persoonsgegevens « Verdrag betreffende de werking van de Europese Unie (artikel 16) ■ Internationaal Kinderrechtenverdrag (IVRK) (artikel 16) ■ Grondwet (artikel 10) In de Grondwet en verdragen is ook bepaald dat er wetgeving nodig is, die regels stelt voor het verwerken van persoonsgegevens. Binnen de Europese Unie zijn deze regels gesteld in de Algemene Verordening Gegevensbescherming (AVG). Waar de AVG ruimte laat voor nationale keuzes, zijn deze ingevuld in de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG).

De verwerking van persoonsgegevens voor het voorkomen en opsporen van strafbare feiten, valt onder de Wet politiegegevens (Wpg). Aanvullend op de Wpg zijn voor politiegegevens van toepassing: ■ Besluit politiegegevens (Bpg) « Besluit politiegegevens buitengewoon opsporingsambtenaar (Bpgboa) ■ Regeling periodieke audit politiegegevens In specifieke regelgeving is ook invulling gegeven aan de behandeling van persoonsgegevens, zoals: ■ Wet maatschappelijke ondersteuning « Jeugdwet ■ Wet basisregistratie personen ■ Archiefwet Op 12 november 2019 is het huidige privacybeleid van de gemeente Hoorn vastgesteld door de gemeenteraad. Het beleid geeft aan hoe de gemeente omgaat met persoonsgegevens en invulling geeft aan de wetgeving. Voor de gehele overheid is een normenkader voor informatiebeveiliging afgesproken waar elke organisatie aan moet voldoen. Dit is de Baseline Informatiebeveiliging Overheid (BIO). Er is een Informatiebeveiligingsbeleid van gemeente Hoorn waarin de beveiligingsorganisatie en maatregelen zijn opgenomen om gegevens te beschermen. In de ICT Visie en Beleid is één van de zes ambities: ‘Onze informatievoorziening is veilig en betrouwbaar en we gaan hier verantwoord mee om’. Veiligheid en privacy is hierin benoemd als één van de vier speerpunten voor de uitvoering.

Zaaknummer: 1914857 2/4

gemeente

HOORN 5. Argumenten Waarom wordt het huidige beleid herzien? De buitengewoon opsporingsambtenaren (boa’s) van de gemeente Hoorn verwerken politiegegevens. Dit zijn persoonsgegevens die nodig zijn voor het voorkomen en opsporen van strafbare feiten. In 2021 werd duidelijk dat dit onder de Wpg valt, niet onder de AVG. Het huidige privacybeleid is gebaseerd op de AVG en niet op de Wpg. Daarom is het beleid herzien en aangevuld met de Wpg. Dit gaf direct de mogelijkheid om het beleid verder te actualiseren. Wie stelt het beleid vast? Een ‘verwerkingsverantwoordelijke’ is eindverantwoordelijk voor een zorgvuldige behandeling van persoonsgegevens. Voor de AVG is het verantwoordelijke bestuursorgaan (gemeenteraad, college of burgemeester) voor de eigen taken en diensten verwerkingsverantwoordelijke. Voor de Wpg is de werkgever (het college) van de buitengewoon opsporingsambtenaren, verwerkingsverantwoordelijke. Elke verwerkingsverantwoordelijke (gemeenteraad, college en burgemeester) stelt daarom zelf het beleid persoonsgegevens vast. Een identiek beleid persoonsgegevens voor elke verwerkingsverantwoordelijke heeft als voordeel dat het duidelijkheid brengt voor inwoners, de organisatie en voor de gemeenteraad in de toezichthoudende rol en als verwerkingsverantwoordelijke.

Voor het college als verwerkingsverantwoordelijke zijn eigen taken en diensten bijvoorbeeld: ■ Toeleiden naar zorg (Wmo of jeugdwet) ■ Verlenen van vergunningen (omgevingswet) ■ Innen van belastingen Voor de burgemeester als verwerkingsverantwoordelijke zijn eigen taken en diensten bijvoorbeeld: ■ Crisis- en rampenbestrijding ■ Aanpak overlast Voor de gemeenteraad als verwerkingsverantwoordelijke zijn eigen taken en diensten bijvoorbeeld: ■ Openbare verslaglegging (verslagen en camerabeelden) van openbare bijeenkomsten van de gemeenteraad en raadscommissies. ■ (Voorbereiding) publiek spreekrecht. ■ Ingekomen stukken van inwoners. ■ Moties en amendementen. « Informatie op de website wie er in de gemeenteraad zitten. De gemeenteraad heeft ook een controlerende taak ten opzichte van het college en de burgemeester als verwerkingsverantwoordelijke. Wat zijn de belangrijkste aanpassingen? 1. De aanscherping op de Wpg is de belangrijkste aanpassing: a. De kaders zijn uitgebreid met de Wpg. b. Rollen, verantwoordelijkheden en de instrumenten zijn in de Wpg gelijk aan de AVG. De voetnoten zijn aangevuld met verwijzingen naar de Wpg. 2. De term ‘privacy’ wordt niet meer genoemd in het beleid. De AVG en Wpg regelen het recht op een zorgvuldige behandeling van persoonsgegevens.

Met het woord ‘Privacy’ wordt de indruk gewekt dat het gebruiken van persoonsgegevens een inbreuk op de privacy is. Persoonsgegevens zijn vaak noodzakelijk om invulling te geven aan allerlei rechten en plichten die een inwoner heeft. Pas als persoonsgegevens niet zorgvuldig (rechtmatig, behoorlijk, transparant, beveiligd) worden verwerkt, kan dit leiden tot een inbreuk op de 'persoonlijke levenssfeer1 (privacy).___________________________________________________________

3/4

<1^9 GEMEENTE HOORN 3.

4.

5. 6.

De functie van adviseur persoonsgegevens (privacy-officer) is opgenomen. In de huidige organisatie is deze functionaris er niet. De organisatie mist een functionaris met inhoudelijke kennis. Deze functionaris kan adviseren en ondersteunen bij ingewikkelde en risicovolle vraagstukken en het toepassen van de instrumenten. Interne audit en controle is specifiek benoemd als instrument. Om te beoordelen of persoonsgegevens volgens de kaders zijn behandeld en beveiligd, zijn audits en controles nodig. De Wpg stelt zelfs een onafhankelijke jaarlijkse interne audit en vierjaarlijkse externe audit verplicht. De Ondernemingsraad is toegevoegd in de herziene versie. De Ondernemingsraad kan advies- of instemmingsrecht hebben als het gaat om persoonsgegevens van medewerkers. Er zijn tekstuele aanpassingen gedaan om de leesbaarheid te vergroten.

6. Maatschappelijk draagvlak Het maatschappelijk draagvlak is niet onderzocht. 7. Financiële consequenties Dit voorstel heeft geen financiële gevolgen. Eventuele financiële gevolgen voor een adviseur persoonsgegevens worden via de kadernota ter besluitvorming voorgelegd aan de gemeenteraad. 8. Communicatie Het beleid persoonsgegevens wordt per 1 januari 2022 gepubliceerd in het gemeenteblad op www.overheid.nl. Het huidige privacybeleid wordt per 1 januari 2022 ingetrokken. Op de website van de gemeente Hoorn worden inwoners geïnformeerd over het beleid persoonsgegevens. 9. Realisatie In de cyclusdocumenten legt het college verantwoording af aan de gemeenteraad over de behandeling van persoonsgegevens en informatiebeveiliging. De functionaris gegevensbescherming brengt jaarlijks verslag uit aan de verwerkingsverantwoordelijken over de ontwikkelingen en aandachtspunten bij de behandeling persoonsgegevens.

Hoorn,

2 1 DEC 2021

Zaaknummer: 1914857 4/4