RIB.21.079 Zorg- en Veiligheidshuis Nrd-Limburg

Dit Protocol ziet op alle Verwerkingen van Persoonsgegevens door Partijen in het kader van de uitvoering van artikel 2 van het Convenant. 3.2. Het verwerken van Persoonsgegevens in het Zorg- en Veiligheidshuis vindt plaats met als doel het gezamenlijk door Partijen bijdragen aan de veiligheid als onderdeel van het integrale zorg- en veiligheidsbeleid van de Gemeenten. De samenwerking is meer specifiek gericht op het voorkomen en verminderen van recidive, (ernstige) overlast, criminaliteit en maatschappelijke uitval bij complexe problemen, door een combinatie van repressie, bestuurlijke interventie én zorg, hetgeen gezien moet worden als een zwaarwegend algemeen belang. Meer specifiek draagt de Verwerking van Persoonsgegevens in het Zorg- en Veiligheidshuis bij aan: a. het oplossen van complexe multi-problematiek, problematiek waarbij personen die het subject zijn in de casuïstiek te maken hebben met meerdere problemen die op meer dan één leefgebied spelen; b. het voorkomen van (verder) crimineel en/of overlast-gevend gedrag of verder afglijden van die personen; c. het oplossen van ernstige lokale of gebiedsgebonden veiligheidsproblematiek; en d. het mogelijk maken van samenwerking met het oog op de hierboven geformuleerde doeleinden. 3.3.

Om het onder artikel 3.2 geformuleerde doel te bereiken Verwerken Partijen gezamenlijk de nodige Persoonsgegevens in het kader van Aanmelding en screening, Triage, Ronde Tafel Overleg, en Afschaling. Voor elk van deze fasen in het werkproces zijn specifieke doelen voor de Verwerking van Persoonsgegevens in het Zorg- en Veiligheidshuis van toepassing. Deze doelen zijn gespecificeerd in Bijlage 2. 3.4. Partijen Verwerken de Persoonsgegevens die zij in het kader van de samenwerking onder dit Protocol hebben verkregen niet voor andere doeleinden dan de doelen omschreven in artikel 3.2. 3.5. Bij het Verwerken van Persoonsgegevens in het Zorg- en Veiligheidshuis worden de volgende uitgangspunten in acht genomen: a. Er is sprake van een strikte doelbinding per fase van de voor de te Verwerken Persoonsgegevens en alleen de voor het doel van die fase noodzakelijke persoonsgegevens worden verwerkt; b. Als het doel van de Verwerking van Persoonsgegevens wijzigt, of, de casus gaat door naar een volgende fase, wordt als eerste opnieuw beoordeeld of de eerder verwerkte gegevens ook daarvoor noodzakelijk zijn en vervolgens of de gegevens daarvoor ook (verder) gebruikt mogen worden; c. Een partner die in een bepaalde fase Persoonsgegevens verstrekt behoudt de zeggenschap over het verdere gebruik van die gegevens en of die voor een andere fase en/of andere doelen gebruikt mogen worden; 8

d. Partners die bij de behandeling van een casus kennisnemen van Persoonsgegevens afkomstig van een andere partner mogen deze gegevens enkel verder gebruiken voor hun eigen taken in het kader van de casusbehandeling, als de partner die de gegevens heeft ingebracht, dit afzonderlijk accordeert. Artikel 4. Categorieën Persoonsgegevens 4.1. In het kader van de samenwerking worden door Partijen van de in Bijlage 4 categorieën Betrokkenen de daarin genoemde categorieën Persoonsgegevens Verwerkt. 4.2. Partijen Verwerken Persoonsgegevens, inclusief Bijzondere en Strafrechtelijke Persoonsgegevens, binnen de wettelijke kaders van de voor iedere Partij toepasselijke wet- en regelgeving. 4.3. Partijen Verwerken Persoonsgegevens voor de onder artikel 3.2 geformuleerde doeleinden enkel in de informatiesystemen van het Zorg- en Veiligheidshuis, of in de door de Stuurgroep aangewezen informatiesystemen en conform het beveiligingsbeleid zoals opgenomen in Bijlage 3 bij dit Protocol. Artikel 5.

Verwerkingen en verstrekkingen van persoonsgegevens ten behoeve van het behandelen van een casus 5.1 Verwerking van persoonsgegevens door de procesregisseur 5.1.1 De procesregisseur verwerkt Persoonsgegevens ten behoeve van de procesregie in het kader van de doelstellingen van de samenwerking zoals verwoord in artikel 3.2 slechts voor zover dit noodzakelijk is voor het bewerkstelligen van de in de desbetreffende fase aan de orde zijnde doelen voor gegevensverwerking als verwoord in artikel 3.3 en Bijlage 2. 5.1.2 De procesregisseur verwerkt de in het eerste lid bedoelde Persoonsgegevens ten behoeve van een goede taakuitoefening van de aanmeldende partij, dan wel de goede taakuitoefening van de partij onder wiens verantwoordelijkheid de casusregisseur zoals verwoord in artikel 10 van het Convenant valt. 5.1.3 Voor de verwerking van Persoonsgegevens als bedoeld in artikel 5.1.1 zijn van toepassing de grondslag conform de AVG en/of andere wettelijke grondslag, en de wettelijke bepalingen op grond waarvan de aanmeldende partij, dan wel de partij onder wiens verantwoordelijkheid de casusregisseur valt, de casus heeft aangemeld respectievelijk de casusregie voert. 5.1.4 De verantwoordelijke voor de verwerking van Persoonsgegevens zoals bedoeld in artikel 5.1.1 betreft de verantwoordelijke zoals bedoeld in artikel 2.2 van dit protocol.

5.2 Verstrekken van persoonsgegevens ten behoeve van aanmelding en screening, triage en Ronde Tafel Overleg 5.2.1 Partijen kunnen Persoonsgegevens inbrengen in het kader van de doelstellingen van de samenwerking zoals verwoord in artikel 3.2 slechts voor zover dit noodzakelijk is voor het bewerkstelligen van de in de desbetreffende fasen aan de orde zijnde doelen voor gegevensverwerking als verwoord in artikel 3.3 en Bijlage 2. 5.2.2 Persoonsgegevens als bedoeld in artikel 5.2.1 worden slechts ingebracht indien dit noodzakelijk is voor de goede vervulling van de eigen taak, en/of de goede uitvoering van de taak van de partij ten behoeve waarvan de werkzaamheden in het kader van aanmelding en screening, triage of Ronde Tafel Overleg worden uitgevoerd. 5.2.3 De grondslag conform de AVG voor het inbrengen van Persoonsgegevens als bedoeld in artikel 5.2.1 wordt ontleend aan de eigen taak, en/of de taak van de partij ten behoeve waarvan de werkzaamheden in het kader van aanmelding en screening, triage of Ronde Tafel Overleg worden uitgevoerd. 5.2.4 De verantwoordelijke voor de verstrekking van Persoonsgegevens als bedoeld in artikel 5.2.1 betreft de verantwoordelijke zoals bedoeld in artikel 2.1 van dit protocol.

9

5.3 Verstrekken van gegevens bij het uitvoering geven aan afspraken uit het Ronde Tafel Overleg 5.3.1. Onverminderd het bepaalde in artikel 6 en 7, kunnen partijen Persoonsgegevens verstrekken aan een andere partij in het kader van de doelstellingen van de samenwerking zoals verwoord in artikel 3.2 voor zover deze noodzakelijk zijn voor deze partij bij: a. het uitvoering geven aan interventies en acties die in het Ronde Tafel Overleg zijn afgesproken; b. het voeren van de casusregie op het plan van aanpak als dat in het Ronde Tafel Overleg is afgesproken; c. het toebedelen van de casus aan een specifieke partij ten behoeve van verdere afhandeling, zoals het adviseren van de aanmelder of het aanbrengen van de casus bij een andere overlegtafel. 5.3.2. De grondslag conform de AVG voor het verstrekken van Persoonsgegevens als verwoord in artikel 5.3.1 wordt ontleend aan de eigen taak en/of de taak van de partij die de activiteiten onder artikel 5.3.1 a t/m c uitvoert. 5.3.3. De verantwoordelijke voor de verstrekking van Persoonsgegevens als bedoeld in artikel 5.3.1 betreft de verantwoordelijke zoals bedoeld in artikel 2.3. Artikel 6. Grondslag voor het verwerken en verstrekken van Persoonsgegevens ten behoeve van het behandelen van een casus en de van toepassing zijnde taken van partijen 6.1.

De grondslag voor de verwerking van Persoonsgegevens als bedoeld in artikel 5.1.1, is artikel 6, lid 1, sub e, AVG voor zover deze noodzakelijk zijn voor de uitvoering van taken van Algemeen belang door de aanmeldende partner, dan wel de partner onder wiens verantwoordelijkheid de casusregisseur valt. Voor de gegevens afkomstig van de politie is de grondslag gelegen in artikel 20 Wet politiegegevens. Voor gegevens afkomstig van het Openbaar Ministerie, is de grondslag gelegen in de artikel 8a, 39f en 51c Wet justitiële en strafvorderlijke gegevens. 6.2. De grondslag voor het inbrengen van Persoonsgegevens als bedoeld in artikel 5.2.1, is artikel 6, lid 1, sub e, AVG voor zover deze noodzakelijk zijn voor de uitvoering van taken van Algemeen belang door de aanmeldende partner, dan wel de partner onder wiens verantwoordelijkheid de casusregisseur valt, en/of de verstrekkende partij. Voor de gegevens afkomstig van de politie is de grondslag gelegen in artikel 20 Wet politiegegevens. De grondslag voor het verstrekken van justitiële, strafvorderlijke en/of tenuitvoerleggingsgegevens is gelegen in de artikelen 8a, 39f en 51c van de Wjsg. 6.3.

De grondslag voor de verstrekking van Persoonsgegevens als bedoeld in artikel 5.3.1, is artikel 6, lid 1, sub e, AVG voor zover deze noodzakelijk zijn voor de uitvoering van taken van Algemeen belang door de ontvangende partij en/of de verstrekkende partij. Voor de gegevens afkomstig van de politie is de grondslag gelegen in artikel 20 Wet politiegegevens. De grondslag voor het verstrekken van justitiële, strafvorderlijke en/of tenuitvoerleggingsgegevens is gelegen in de artikelen 8a, 39f en 51c van de Wjsg. 6.4. De onder 6.1, 6.2 en 6.3 bedoelde grondslag kan bij casussen slechts van toepassing zijn indien dit voortvloeit uit de goede uitvoering van de taken en werkzaamheden van partijen, en de verwerking plaatsvindt namens of de verstrekking plaatsvindt aan een van de onder a t/m m genoemde partijen en voorwaarden: a. het bestuursorgaan de burgemeester: de goede uitvoering van taken en de uitoefening van bevoegdheden van de burgemeester, waaronder in het bijzonder taken en bevoegdheden op het gebied van Openbare Orde en Veiligheid zoals neergelegd in artikel 172 van de Gemeentewet. b.

het bestuursorgaan het College van B&W: de goede uitvoering van taken van het college van burgemeester en wethouders, waaronder in het bijzonder taken in het sociaal domein zoals bedoeld in de Wmo artikel 2.3.1 t/m 2.3.5, de Jeugdwet artikel 2,3 en 2.4, de Participatiewet artikel 7.1, en artikel 3 van de Wet gemeentelijke schuldhulpverlening. c. het Openbaar Ministerie: voor de strafrechtelijke handhaving van de rechtsorde alsmede andere bij de wet vastgestelde taken (artikel 124 Wet op de Rechterlijke organisatie). De grondslag voor het verstrekken van justitiële, strafvorderlijke of tenuitvoerleggingsgegevens is gelegen in de artikelen 8a, 39f en 51c van de Wjsg. 10

d. de politie: vervulling van taken zoals bedoeld in de Politiewet artikel 3, te weten taken op het gebied van opsporing, handhaving van de rechtsorde en hulp aan hen die dat behoeven. De grondslag voor het verstrekken van Persoonsgegevens inclusief politiegegevens is gelegen in artikel 20 Wpg. Deze verstrekkingen dienen nader te zijn vastgelegd in de onlosmakelijk bij dit Privacy Protocol behorende en ondertekende Artikel 20 Wpg Beslissing, waarin staat vermeld dat er alleen artikel 8 en 13 Politiegegevens worden verstrekt. De Artikel 20 Beslissing wordt ondertekend door de gemandateerde politiechef van de Eenheid, en het gezag te weten de Burgemeesters en de Officier van Justitie. In artikel 7 zijn nadere voorwaarden benoemd die van toepassing zijn op gegevens die in het kader van deze taken worden verstrekt. e. de Raad voor de Kinderbescherming: de goede uitvoering van de taken van de Raad voor de Kinderbescherming, waaronder in het bijzonder taken zoals bedoeld in boek 1 afdeling 3 van het Burgerlijk Wetboek, waaronder de artt. 1:240 BW en de artt. 1:255 juncto 1:257 BW, de artt. 77o en 77hh van het Wetboek van Strafrecht, de artt. 126 nd en 491 van het Wetboek van Strafvordering alsmede art. 28 van het Besluit Tenuitvoerlegging Jeugdstrafrecht 1994, de Algemene Wet Bestuursrecht, de artt. 2.4, 3.1 en 3.2 van de Jeugdwet alsmede art. 7.3.11 lid 4 van de Jeugdwet en art.

4 onder c, lid 1 van de Wet Opneming Buitenlandse Kinderen ter Adoptie (Wobka). Met inachtneming van het Kwaliteitskader 2020 van de Raad voor de Kinderbescherming. f. Veilig Thuis: de goede uitvoering van de taken van het AMHK, waaronder in het bijzonder taken zoals bedoeld in artikel 4.1.1 van de Wmo, met inachtneming van het Handelingsprotocol Veilig Thuis 2019. g. een Reclasseringsinstelling: de goede uitvoering van taken van de reclasseringsinstelling, waaronder in het bijzonder taken zoals bedoeld in de Reclasseringsregeling 1995 artikel 8, lid 1. h. een Gecertificeerde Instelling zoals bedoeld in de Jeugdwet artikel 1.1: de goede uitvoering van kinderbeschermingsmaatregelen en jeugdreclassering zoals bedoeld in de Jeugdwet artikel 1.1. i. een instelling voor Geestelijke Gezondheidszorg: de uitvoering van de taken bij behandeling , verpleging, verzorging en bejegening van personen met een psychische stoornis, inclusief verslaving met of zonder verblijf in het kader van de Wgbo of de Wet verplichte ggz. j. een GGD: de uitvoering van de taken in het kader van de OGGZ op grond van artikel 1.2.1. sub a Wmo 2015. k.

de Dienst Justitiële Inrichtingen: de Dienst Justitiële Inrichtingen: voor de uitvoering van taken van de Minister van Justitie en Veiligheid, de selectiefunctionaris en de directeur van een justitiële inrichting op grond van de Beginselenwet justitiële jeugdinrichtingen, de Beginselenwet verpleging ter beschikking gestelden, de Penitentiaire beginselenwet en de Wet forensische zorg. De wettelijke grondslag voor de verwerking en verstrekking van Persoonsgegevens is na inwerkingtreding van de wijziging van de Wet justitiële en strafvorderlijke gegevens (Wjsg) ter implementatie van de Europese richtlijn gegevensbescherming opsporing en vervolging gelegen in de Wjsg. l. Slachtofferhulp Nederland: voor de uitvoering van de taken zoals genoemd in artikel 6 en 7 Wet Justitie-subsidies jo. de Aanwijzing rechtspersoon slachtofferhulp [1], en artikel 51aa Wetboek van Strafvordering jo Besluit slachtoffers van strafbare feiten artikel 1e en 3. De wettelijke grondslag voor de gegevensverwerking is mede gelegen in artikel 9 en/ of artikel 10 AVG jo art. 33 lid1a en art. 30 lid 3a en lid 4 UAVG. Met dien verstande dat gegevens aan de deelnemende partijen van het convenant alleen verstrekt kunnen worden met de uitdrukkelijke toestemming van de betrokkene. m.

Een aanbieder zoals bedoeld in de Wmo artikel 1.1.1, zorgaanbieder zoals bedoeld in de Wlz artikel 1.1.1, dan wel een jeugdhulpaanbieder zoals bedoeld in de Jeugdwet artikel 1.1: voor de verlening van voorzieningen en/of de uitvoering van zorg- dan wel hulpverleningstaken en voor zover dit noodzakelijk is in het kader van de behandeling of hulpverlening. 6.5. Op de Persoonsgegevens die worden verwerkt, ingebracht, en/of verstrekt zoals bedoeld in artikel 5 zijn uitdrukkelijk de uitgangspunten van artikel 3.5 van toepassing en het bepaalde in artikel 7.

11

Artikel 7. Doorwerking geheimhoudingsbepalingen en toepassing toestemmingsvereiste 7.1. De geheimhoudingsbepaling van artikel 7 Wpg blijft rusten op de verstrekte gegevens. Dit geldt voor de ontvanger maar ook voor de tweede en derde ontvanger. Wanneer er over betrokkene in een eerder stadium op grond van artikel 16 lid 1b onder 2 Wpg politiegegevens zijn verstrekt aan de burgemeester óf op grond van artikel 15 Wpg politiegegevens ter beschikking zijn gesteld aan een Buitengewone Opsporingsambtenaar van een gemeente óf op grond van het Besluit politiegegevens (Bpg), voor een ander doel politiegegevens zijn verstrekt aan een van de convenantpartijen, dan worden deze gegevens door de desbetreffende ontvanger in principe niet als persoonsgegevens door verstrekt aan de procesregisseur van het Zorg- en Veiligheidshuis. Bij voorkeur worden door de politie op grond van artikel 20 Wpg opnieuw actuele politiegegevens verstrekt aan de procesregisseur van het Zorg- en Veiligheidshuis voor de doelen zoals genoemd in artikel 3.2, 3.3 en Bijlage 2. De politie kan in uitzonderingsgevallen ook toestemming geven aan de ontvanger voor doorverstrekking aan de procesregisseur van het Zorg- en Veiligheidshuis maar legt deze toestemming vast in haar systemen. Deze toestemming heeft geen wettelijke grondslag. 7.2.

Indien voor het inbrengen en/of verstrekken van persoonsgegevens zoals bedoeld in de artikelen 5.2 en 5.3 toestemming noodzakelijk is voor doorbreken geheimhoudingsbepalingen zoals bijvoorbeeld verwoord in de Wgbo (artikel 7:457 BW) en artikel 88 wet big, de beroepscode van de Jeugdzorgwerker artikel J, beroepscode NIP artikel 71 t/m 87 (psycholoog), of beroepscode NVO artikel 8 (pedagoog), de Reclasseringsregeling 1995 artikel 37, dan: a. wordt deze gevraagd op het moment dat duidelijk is dat het inbrengen of verstrekken noodzakelijk is t.b.v. van de in de betreffende fase aan de orde zijnde doelen, of de uitvoering van de in 5.3.1 a t/m c genoemde activiteiten; b. worden deze persoonsgegevens uitsluitend verstrekt voor zover hiervoor de uitdrukkelijke toestemming is verkregen van de betrokkene of diens wettelijke vertegenwoordiger; c. legt de partij die de toestemming heeft verkregen deze schriftelijk vast en informeert Betrokkene dat hij zijn toestemming altijd weer kan intrekken; d. draagt de partij die toestemming heeft verkregen bij intrekking van die toestemming er zorg voor dat er geen verdere verstrekkingen meer plaatsvinden; e.

maakt de betrokken zorg- of hulpverlener een eigen afweging conform de voor hem geldende professionele standaarden, indien toestemming niet verkregen wordt en hij ervan overtuigd is dat zich hier een conflict van plichten voordoet, of goed hulpverlenerschap het verstrekken van Persoonsgegevens verlangd. Artikel 8. Documentatie individuele verstrekkingen 8.1. Indien Partijen daartoe verplicht zijn door voor hen geldende materiewetgeving, dan leggen zij de afzonderlijke verstrekkingen van Persoonsgegevens, inclusief onderbouwing van de noodzakelijkheid daarvan met het oog op de in artikel 5 en 6 vastgelegde grondslagen, vast. Dit geldt ten minste voor politie en OM. De politie documenteert iedere verstrekking conform de documentatieplicht van art 32 Wpg, het Openbaar Ministerie conform artikel 39j Wjsg. Artikel 9. Dataminimalisatie 9.1. Partijen Verwerken niet meer Persoonsgegevens dan noodzakelijk met het oog op de in artikel 3.2 van dit Protocol geformuleerde doeleinden. 9.2. Ten behoeve van de Screening van een Casus verstrekt de Partij die de Casus bij de Procesregisseur aanmeldt enkel die Persoonsgegevens die noodzakelijk zijn voor de Procesregisseur om de Casus te toetsen aan de criteria van complexe casuïstiek zoals geformuleerd in Bijlage 2 van het Convenant.

De Procesregisseur registreert enkel die Persoonsgegevens in het informatiesysteem van het Zorg- en Veiligheidshuis die noodzakelijk zijn voor Triage. 9.3. In het Ronde Tafel Overleg Verwerken Partijen alleen die Persoonsgegevens die noodzakelijk zijn voor het opstellen en uitvoeren van een integraal plan van aanpak. 12

9.4. In het kader van Afschaling Verwerken Partijen alleen die Persoonsgegevens die noodzakelijk zijn om te bepalen of het plan van aanpak in het Ronde Tafel Overleg tot de gewenste resultaten heeft geleid. Indien wordt besloten dat behandeling van de Casus in het Zorg- en Veiligheidshuis niet of niet langer noodzakelijk is, worden de betreffende Persoonsgegevens niet langer in het Zorg- en Veiligheidshuis Verwerkt. De procesregisseur ziet erop toe dat Persoonsgegevens conform artikel 11 worden geanonimiseerd of vernietigd. 9.5. Wanneer de Partij die Persoonsgegevens in het Zorg- en Veiligheidshuis heeft verstrekt, kennis verkrijgt over de onjuistheid van die Persoonsgegevens, informeert die Partij de Casusregisseur en Procesregisseur hierover. De Procesregisseur coördineert de eventuele correctie van Persoonsgegevens in het Zorg- en Veiligheidshuis. 9.6. Enkel de Procesregisseur, Casusregisseur, Manager, administratief medewerker en afgevaardigden van Partijen in het Ronde Tafel Overleg hebben toegang tot de Persoonsgegevens die worden Verwerkt op locatie of in het informatiesysteem van het Zorg- en Veiligheidshuis en enkel voor zover noodzakelijk voor hun rol in een specifieke Casus. Artikel 10. Kwaliteit 10.1.

Partijen dragen er zorg voor dat de Persoonsgegevens die zij in het kader van de onder artikel 3.2 geformuleerde doeleinden verstrekken toereikend, ter zake dienend, niet bovenmatig, juist en nauwkeurig zijn. De Partij die Persoonsgegevens in het Zorg- en Veiligheidshuis verstrekt blijft verantwoordelijk voor de juistheid, actualiteit en nauwkeurigheid van die Persoonsgegevens. Artikel 11. Bewaren en Vernietigen 11.1. Persoonsgegevens worden niet langer bewaard dan noodzakelijk voor het doel of de doeleinden waarvoor ze worden Verwerkt zoals geformuleerd onder artikel 3 en met inachtneming van artikel 9. 11.2. Persoonsgegevens worden vernietigd zodra de Verwerking daarvan niet langer nodig is voor het doel waarvoor zij zijn Verwerkt, maar uiterlijk binnen 1 jaar na het besluit tot Afschaling. a. Persoonsgegevens kunnen tot zes maanden na besluit tot Afschaling worden bewaard in een vorm waarmee enkel de Procesregisseur en administratief medewerker toegang hebben tot de gegevens. b. Na zes maanden na besluit tot Afschaling worden persoonsgegevens gearchiveerd en bepaalt de Manager wie toegang tot die Persoonsgegevens heeft. c. Na één jaar na besluit tot Afschaling worden de Persoonsgegevens vernietigd. 11.3. Na één jaar kunnen gegevens, niet zijnde Persoonsgegevens, enkel worden bewaard voor managementdoeleinden. Artikel 12. Beveiliging 12.1.

Partijen dragen zorg voor passende technische en organisatorische beveiligingsmaatregelen om Persoonsgegevens te beschermen tegen verlies of enige vorm van onrechtmatige Verwerking zoals omschreven in Bijlage 3. Die maatregelen betreffen onder meer, maar niet uitsluitend, maatregelen met betrekking tot de toegang tot Persoonsgegevens, alsook het gebruik van beveiligde verbindingen voor de verstrekking van Persoonsgegevens. 12.2. Wanneer Persoonsgegevens aan andere Partijen worden verstrekt, gebeurt dit uitsluitend op een adequaat beveiligde manier, conform de geldende beveiligingsnormen voor de betreffende gegevens. 12.3. De beheergemeente draagt zorg voor de adequate beveiliging van Persoonsgegevens die worden Verwerkt op locatie en in de informatiesystemen van het Zorg- en Veiligheidshuis en rapporteert hierover indien nodig aan de Stuurgroep. 12.4. De Manager is verantwoordelijk voor het toezien op de naleving van de beschermingsmaatregelen zoals geformuleerd in Bijlage 3 voor de Verwerking van Persoonsgegevens op locatie en in de informatiesystemen van het Zorg- en Veiligheidshuis en 13

rapporteert hierover aan de beheergemeente en is bevoegd aanwijzingen te geven aan Partijen omtrent de juiste omgang met Persoonsgegevens in dat verband. Artikel 13. Geheimhouding 13.1. Een ieder die op grond van dit Protocol kennis neemt van Persoonsgegevens is verplicht tot geheimhouding daarvan, tenzij de wet tot bekendmaking verplicht. De Manager, Procesregisseur en eventueel ander ondersteunend personeel van het Zorg- en Veiligheidshuis worden door middel van een geheimhoudingsverklaring tot geheimhouding gebonden. 13.2. Partijen dragen er zorg voor dat iedere medewerker die in de uitvoering van het Convenant of dit Protocol in aanraking komt met Persoonsgegevens geheimhouding van die gegevens waarborgt. 13.3. Alle medewerkers van het Zorg- en Veiligheidshuis, inclusief medewerkers op basis van een dienstverleningsovereenkomst, deelnemers aan Ronde Tafel Overleggen en overige afgevaardigden van Partijen die toegang hebben tot Persoonsgegevens die onder dit Protocol worden Verwerkt, beschikken over een positieve Verklaring Omtrent Gedrag, dan wel hebben een veiligheidsonderzoek op grond van de voor de eigen organisatie geldende wet- en regelgeving doorlopen. 13.4.

Wettelijke geheimhoudingsplichten zijn onverminderd van toepassing op eenieder die Strafrechtelijke persoonsgegevens of andere Bijzondere Persoonsgegevens in het kader van de samenwerking in het Zorg- en Veiligheidshuis ontvangt. 13.5. De Partijen in het samenwerkingsverband mogen de Persoonsgegevens afkomstig van de politie en Openbaar Ministerie slechts verwerken voor het specifieke doel waarvoor deze zijn verstrekt ten behoeve van de Casus. Deze Persoonsgegevens mogen alleen verder worden Verwerkt door de ontvangende Partijen indien het doel van de verdere verwerking verenigbaar is met dit doel waarvoor de Persoonsgegevens zijn verstrekt. Onverenigbaar gebruik van de gegevens, ook intern binnen de organisaties van de ontvangende Partijen, is niet toegestaan. 13.6. De Partijen in het samenwerkingsverband mogen de Persoonsgegevens afkomstig van andere Partijen die aan een geheimhoudingsplicht als onder meer bedoeld in de Wet Geneeskundige behandelovereenkomst (artikel 7:457 BW), Reclasseringsregeling 1995, Jeugdwet of Wet Maatschappelijke Ondersteuning zijn gebonden, slechts Verwerken voor het specifieke doel van de casus waarvoor deze zijn verstrekt.

De Persoonsgegevens mogen alleen verder worden Verwerkt door de ontvangende Partijen met toestemming van de verstrekkende Partij en indien het doel van de verdere verwerking verenigbaar is met dit doel waarvoor de Persoonsgegevens zijn verstrekt. Onverenigbaar gebruik van de Persoonsgegevens, ook intern binnen de organisaties van de ontvangende Partijen, is niet toegestaan. 13.7. Wanneer de grond voor het verstrekken van de Persoonsgegevens als bedoeld in artikel 7 gebaseerd is op toestemming van Betrokkene als bedoeld artikel 6, lid 1, onder a, AVG en/of artikel 9, lid 2, onder a, AVG en Betrokkene trekt deze toestemming in, laat de verstrekkende Partij dit aan de ontvangende Partij weten, waarbij ook de toestemming voor Verwerking en verdere Verwerking voor de ontvangende Partij vervalt. Artikel 14. Datalekken 14.1. Partijen houden procedures in stand die er op gericht zijn om inbreuken in de beveiligingsmaatregelen zoals geformuleerd in Bijlage 3 met betrekking tot de bescherming van Persoonsgegevens redelijkerwijs te detecteren en daarop actie te ondernemen, daaronder begrepen maatregelen tot herstel. Als 1 partij verantwoordelijk is voor een verwerking en het de andere partijen niet betreft, dan kan die partij conform eigen interne procedures het datalek afhandelen. 14.2.

De beheergemeente is verantwoordelijk voor het in stand houden van procedures zoals bedoeld in artikel 14.1 voor de Verwerking van Persoonsgegevens op locatie of in de informatiesystemen van het Zorg- en Veiligheidshuis. De manager ziet toe op de naleving van deze procedures in het Zorg- en Veiligheidshuis. 14.3. Partijen stellen de Manager onverwijld maar uiterlijk binnen 36 uur na kennisneming op de hoogte van een inbreuk op persoonsgegevens in de zin van artikel 4, onder 12, AVG dan wel artikel 14

26g Wet justitiële en strafvorderlijke gegevens die een risico inhoudt voor de rechten en vrijheden van betrokkenen zoals bedoeld in artikel 33 AVG. Deze kennisgeving omvat in ieder geval: a. De aard en omvang van de inbreuk; b. De contactgegevens van de persoon bij wie meer informatie over de inbreuk kan worden verkregen; c. De maatregelen die kunnen worden genomen om de gevolgen van de inbreuk te voorkomen of beperken; d. De mogelijke gevolgen en risico’s van de inbreuk op de bescherming van Persoonsgegevens voor de Betrokkene; e. De maatregelen die Partij zelf reeds heeft genomen of zal nemen om de bescherming van Persoonsgegevens te herstellen. 14.4. De Manager informeert Partijen middels de Voorbereidingsgroep stuurgroep schriftelijk over een inbreuk zoals bedoeld in artikel 14.3. 14.5. Een Partij, waar een inbreuk op persoonsgegevens zich heeft voorgedaan meldt, indien het waarschijnlijk is dat een inbreuk, zoals bedoeld in Artikel 14.3, een risico voor de rechten en vrijheden van de betrokkene inhoudt, deze inbreuk aan de Autoriteit Persoonsgegevens. De Manager ontvangt een afschrift van de melding aan de Autoriteit Persoonsgegevens en stuurt deze aan de Partners, de Voorbereidingsgroep Stuurgroep en de Stuurgroep. 14.6.

Wanneer een inbreuk als bedoeld in Artikel 14.3 waarschijnlijk een hoog risico voor de rechten en vrijheden van Betrokkene(n) zal inhouden als bedoeld in artikel 34 AVG, wordt deze over de inbreuk geïnformeerd. Partijen informeren de Betrokkene over de inbreuk. De beslissing tot melding aan de Betrokkene wordt in de Voorbereidingsgroep stuurgroep genomen. De inhoud van die melding wordt in de Voorbereidingsgroep stuurgroep afgestemd, dan wel door de Voorbereidingsgroep stuurgroep aan één Partij gemandateerd. 14.7. Partijen verlenen elkaar de medewerking die redelijkerwijs van elkaar mag worden verwacht om aan de op Partijen rustende kennisgevingsverplichtingen te voldoen, mede met het oog op een eventueel onderzoek door de Autoriteit Persoonsgegevens. 14.8. Kennisgeving van de inbreuk aan de Autoriteit Persoonsgegevens door de Partijen gebeurt zonder onredelijke vertraging maar in ieder geval binnen 72 uur na ontdekking en geschiedt volgens de daartoe door de Autoriteit Persoonsgegevens ter beschikking gestelde procedure. De kennisgeving aan de Autoriteit Persoonsgegevens omvat minimaal: a. de aard van de inbreuk; b. een omschrijving van de categorieën Betrokkenen van wie Persoonsgegevens zijn betrokken bij de inbreuk; c. de categorieën Persoonsgegevens; d. of de Persoonsgegevens zijn versleuteld, geanonimiseerd, of anderszins onbegrijpelijk zijn gemaakt; e.

de aanbevolen maatregelen om de negatieve gevolgen van de inbreuk te beperken; f. de geconstateerde en de vermoedelijke gevolgen van de inbreuk voor de verwerking van de Persoonsgegevens en de maatregelen die Partij heeft getroffen of voorstelt te treffen om deze gevolgen te verhelpen. 14.9. Kennisgeving van de inbreuk aan Betrokkene zoals bedoeld in Artikel 14.5 is niet vereist indien: a. passende technische en organisatorische maatregelen zijn genomen die de bescherming van Persoonsgegevens ook na de inbreuk garanderen; b. achteraf genomen maatregelen de waarschijnlijkheid op een hoog privacy risico hebben weggenomen, of; c. wanneer mededeling aan Betrokkene een onevenredig inspanning zou vragen. 14.10. Voorts kan de mededeling aan betrokkene worden uitgesteld, beperkt of achterwege gelaten worden, indien de inbreuk enkel ziet op gegevens afkomstig van het Openbaar Ministerie, en indien dit noodzakelijk en evenredig is: a. ter vermijding van belemmering van gerechtelijke onderzoeken of procedures; 15

b. ter vermijding van nadelige gevolgen voor de voorkoming, de opsporing, het onderzoek en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen; c. ter bescherming van de openbare veiligheid; d. ter bescherming van de rechten en vrijheden van derden; e. ter bescherming van de nationale veiligheid. 14.11. Partijen houden een overzicht bij van iedere inbreuk conform Artikel 33 lid 5 AVG. Het overzicht bevat in ieder geval feiten en gegevens omtrent de aard van de inbreuk, de gevolgen daarvan en de genomen corrigerende maatregelen, alsmede de tekst van de kennisgeving aan de Betrokkene. De Manager houdt een overzicht bij van gelijksoortige inbreuken die plaatsvinden op locatie of in de informatiesystemen van het Zorg- en Veiligheidshuis. Artikel 15. Gegevensbeschermingseffectbeoordeling 15.1. Voorafgaand aan een (nieuwe) Verwerking(en) onder dit Protocol, of de inzet van nieuwe technologieën voor de Verwerkingen onder dit Protocol, voeren Partijen middels de Voorbereidingsgroep stuurgroep een Gegevensbeschermingseffectbeoordeling uit conform artikel 35 AVG. De Manager coördineert dit proces en voert voor de eigen verwerkingen ook een Gegevensbeschermingseffectbeoordeling uit. 15.2. Bij de uitvoering van de Gegevensbeschermingseffectbeoordeling wordt bij voorkeur het model Gegevensbeschermingseffectbeoordeling Rijksdienst gevolgd. 15.3.

Bij een voornemen omtrent de inzet van nieuwe technologieën kan dit voornemen ter advies worden voorgelegd aan het Landelijk Overleg Managers Veiligheidshuizen. Het Landelijk Overleg Managers Veiligheidshuizen kan advies uitbrengen over de beoogde inzet van nieuwe technologieën. 15.4. De uitkomsten van de Gegevensbeschermingseffectbeoordeling worden ter besluitvorming voorgelegd aan de Stuurgroep. De Stuurgroep kan hiervoor advies vragen aan de Voorbereidingsgroep stuurgroep over de voorgenomen nieuwe Verwerking zoals bedoeld in artikel 15.1. De Stuurgroep legt waar nodig op grond van artikel 36 AVG namens alle gezamenlijke Verwerkingsverantwoordelijken de beoogde Verwerking voor aan de Autoriteit Persoonsgegevens. Artikel 16. Informatieverstrekking aan Betrokkenen 16.1. Vóór het verstrekken van Persoonsgegevens in het kader van de samenwerking wordt Betrokkene door de verstrekkende Partij, dan wel de Partij die de Casusregie voert, geïnformeerd over het voornemen diens Persoonsgegevens verder te Verwerken in het kader van samenwerking in het Zorg- en Veiligheidshuis onder dit Protocol. 16.2. Deze informerende Partij maakt het tijdstip waarop en de wijze van informeren kenbaar aan de overige bij een Casus betrokken Partijen. 16.3. De Manager draagt zorg voor het publiceren van een privacy statement op de website van het Zorg- en Veiligheidshuis. 16.4.

Alle deelnemende partijen zorgen op hun eigen website voor vermelding van deelname aan het Zorg- en Veiligheidshuis en voor een verwijzing naar de website van het Zorg- en Veiligheidshuis, alsook voor verwijzing naar het Zorg- en Veiligheidshuis Convenant en het Privacy Protocol. 16.5. De onder artikel 16.1 bedoelde informatieverstrekking, alsook het onder artikel 16.3 genoemde privacy statement, bevatten ten minste de volgende informatie: a. De doeleinden voor de Verwerking van Persoonsgegevens in het Zorg- en Veiligheidshuis zoals beschreven in artikel 3.2. b. De Partijen die deelnemen aan de samenwerking in het Zorg- en Veiligheidshuis; c. De termijn waarvoor de Persoonsgegevens worden opgeslagen en bewaard zoals omschreven onder artikel 11, dan wel de criteria voor het bepalen van die termijn; d. Dat Betrokkene verscheidene rechten heeft met betrekking tot de Verwerking van diens Persoonsgegevens zoals geformuleerd onder artikel 17 tot en met 21; e. Indien de Verwerking van Persoonsgegevens is gebaseerd op toestemming, dat Betrokkene het recht heeft deze te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van 16

de Verwerking van de Persoonsgegevens die heeft plaatsgevonden vóór intrekking van de toestemming; f. Dat Betrokkene het recht heeft een klacht in te dienen over de Verwerking van zijn of haar Persoonsgegevens onder dit Protocol bij het Zorg- en Veiligheidshuis en bij de Autoriteit Persoonsgegevens; g. Nadere uitleg indien de Persoonsgegevens moeten worden verstrekt of verder Verwerkt op grond van een wettelijke of contractuele verplichting; h. Nadere uitleg indien Betrokkene verplicht is de Persoonsgegevens te verstrekken; i. Indien sprake is van geautomatiseerde besluitvorming, met inbegrip van profilering, uitleg over de achterliggende logica, het belang van de verwerkingsactiviteiten en de verwachte gevolgen voor de Betrokkene. j. De contactgegevens van de Manager bij wie de Betrokkene terecht kan voor meer informatie over de Verwerking van zijn Persoonsgegevens, dan wel waar hij zijn rechten geldend kan maken. 16.6. De informatieverplichting zoals bedoeld in artikel 16.1 is niet van toepassing indien het achterwege laten van informeren van Betrokkene noodzakelijk en evenredig is ter waarborging van: a. de nationale veiligheid; b. landsverdediging; c. de openbare veiligheid; d.

de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid; e. andere belangrijke doelstellingen van algemeen belang van de Europese Unie of van Nederland, met name een belangrijk economisch of financieel belang van de Europese Unie of van Nederland, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden, volksgezondheid en sociale zekerheid; f. de bescherming van de onafhankelijkheid van de rechter en gerechtelijke procedures; g. de voorkoming, het onderzoek, de opsporing en de vervolging van schendingen van de beroepscodes voor gereglementeerde beroepen; h. een taak op het gebied van toezicht, inspectie of regelgeving die verband houdt, al is het incidenteel, met de uitoefening van het openbaar gezag in de gevallen, bedoeld in de onderdelen a, b, c, d, e en g; i. de bescherming van de betrokkene of van de rechten en vrijheden van anderen; of j. de inning van civielrechtelijke vorderingen. 16.7.

Partijen leggen de motivatie voor het niet voldoen aan de informatieplicht op grond van Artikel 16.6 schriftelijk vast en leggen vast wanneer zij verwachten dat betrokkene wel geïnformeerd kan worden, alsook van welke omstandigheden dit afhankelijk is, hoe periodiek wordt getoetst of deze omstandigheden nog aanwezig zijn en hoe dan wel wanneer Betrokkene geïnformeerd zal worden. Artikel 17. Rechten van de Betrokkenen 17.1. Betrokkenen kunnen bij Partijen een verzoek indienen om: a. Inzage te krijgen in de Persoonsgegevens die door Partijen over hem of haar worden Verwerkt; b. Rectificatie of wissing van de hem betreffende Persoonsgegevens dan wel beperking van de Verwerking; c. Bezwaar te maken tegen de Verwerking; d. Zijn of haar Persoonsgegevens over te dragen. 17.2. Verzoeken door Betrokkene ten aanzien van Persoonsgegevens die worden Verwerkt op locatie of in het informatiesysteem van het Zorg- en Veiligheidshuis worden gecoördineerd door de Manager. De Manager wordt hierbij ondersteund door de Procesregisseur. De Manager legt het verzoek via de Procesregisseur voor aan het Ronde Tafel Overleg en stemt daarin met Partijen de beantwoording van het verzoek af.

17

17.3. Indien het verzoek als bedoeld in Artikel 17.1 direct is gericht aan een der Partijen wordt de Manager hierover zo spoedig mogelijk door die Partij in kennis gesteld, opdat deze de beantwoording van het verzoek conform artikel 17.2 kan coördineren. Beantwoording van het verzoek door de Partij wordt in de Voorbereidingsgroep stuurgroep afgestemd. 17.4. Het bepaalde in artikel 17.2 en artikel 17.3 ontslaat Partijen niet van diens verantwoordelijkheid als Verwerkingsverantwoordelijke ten aanzien van een verzoek van Betrokkene. 17.5. Artikel 17.1 t/m 17.4, alsmede de artikelen 18, 19 en 20 zijn niet van toepassing op gegevens die verstrekt zijn door het College van procureurs-generaal. Op deze gegevens is de Wet justitiële en strafvorderlijke gegevens van toepassing. Verstrekkingen van gegevens door het College van procureurs-generaal worden ingevolge artikel 8 van dit Protocol en artikel 39j Wjsg schriftelijk vastgelegd en bewaard voor de duur van 4 jaar. Inzage- en rectificatieverzoeken worden beoordeeld door de privacyfunctionaris van het verstrekkende parket van het Openbaar Ministerie. Verzetschriften tegen verwerking van gegevens worden beoordeeld door de afdeling Bestuurlijke en juridische zaken van het Parket-Generaal. 17.6. Op gegevens die eerder verstrekt zijn door de politie is de geheimhoudingsplicht van de Wet politiegegevens van toepassing.

Derhalve zijn artikel 18, 19 en 20 van dit Protocol niet van toepassing. Inzage- en correctieverzoeken worden beoordeeld door de verstrekkende eenheid van de politie. Verzet- en bezwaarschriften tegen verwerking van gegevens worden beoordeeld door de verstrekkende eenheid van de politie, conform art. 29 Wpg. Artikel 18. Recht op inzage 18.1. In het geval het verzoek ziet op inzage in de Verwerking van Persoonsgegevens in het Veiligheidshuis door Partijen zoals bedoeld in artikel 17.1 onder a, dient de beantwoording van dat verzoek een volledig overzicht in begrijpelijke vorm met ten minste de volgende informatie te bevatten: a) de verwerkingsdoeleinden; b) de betrokken categorieën van Persoonsgegevens; c) de ontvangers of categorieën van ontvangers aan wie de Persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties; d) indien mogelijk, de periode gedurende welke de Persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen; e) dat de Betrokkene het recht heeft de Verwerkingsverantwoordelijke(n) te verzoeken dat Persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende Persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken; f) dat de Betrokkene het recht heeft een klacht in te dienen

bij een toezichthoudende autoriteit; g) wanneer de Persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens; h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4 AVG bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de Betrokkene. 18.2. Het verzoek wordt binnen een maand door de Manager beantwoord; de Manager doet dit namens de betrokken partijen die elk zelf verantwoordelijke zijn. Een verzoek tot inzage wordt enkel geweigerd, indien en voor zover dit noodzakelijk is met het oog op in de wet gespecificeerde weigeringsgronden. 18.3. Een eventuele (gedeeltelijke) afwijzing is schriftelijk en gemotiveerd. 18.4. Wanneer iemand zijn/haar privacyrechten uitoefent, moet de identiteit altijd geverifieerd worden Alvorens aan een verzoek als bedoeld in artikel 17.1 wordt voldaan, verifiëren Partijen de identiteit van de Betrokkene die het verzoek indient. Betrokkene dient hiervoor persoonlijk langs te komen bij het Zorg- en Veiligheidshuis.

18

18.5. Bij voldoen aan een verzoek als bedoeld in artikel 17.1, verstrekt de Manager namens de Verwerkingsverantwoordelijke(n) aan de Betrokkene een kopie van de Persoonsgegevens die worden verwerkt. Artikel 19. Recht op rectificatie en gegevenswissing 19.1. Indien de Betrokkene op een verzoek tot rectificatie of wissing van bepaalde hem of haar betreffende Persoonsgegevens zoals bedoeld in artikel 17.1 onder b doet bij het Zorg- en Veiligheidshuis, legt de Manager dit verzoek voor aan de Voorbereidingsgroep Stuurgroep (de Partijen binnen het Zorg- en Veiligheidshuis die de betreffende Persoonsgegevens voor die verwerking hebben verstrekt of ontvangen) met het oog op de beoordeling van het verzoek. 19.2. Onjuiste Persoonsgegevens betreffende de Betrokkene worden op diens verzoek onverwijld gerectificeerd. 19.3. Persoonsgegevens betreffende de Betrokkene worden zonder onredelijke vertraging op diens verzoek gewist wanneer deze: a. voor het doel van de Verwerking onvolledig of niet ter zake dienend zijn; of b. anderszins in strijd met een wettelijk voorschrift worden Verwerkt.

19.4. Indien een verzoek tot rectificatie of wissing door Betrokkene bij één der Partijen wordt ingediend, informeert die Partij onverwijld de Manager over het ingediende verzoek 19.5. De Manager informeert de Betrokkene over de beslissing omtrent zijn verzoek tot rectificatie of wissing van hem of haar betreffende Persoonsgegevens schriftelijk en gemotiveerd zo spoedig mogelijk, maar uiterlijk binnen een maand na ontvangst van het verzoek. Artikel 20. Recht van bezwaar 20.1. Indien de Verwerking van Persoonsgegevens door Partijen is gebaseerd op de grondslagen van artikel 6, lid 1, onder e of f, Algemene Verordening Gegevensbescherming, kan de Betrokkene daartegen te allen tijde bezwaar aantekenen in verband met zijn bijzondere persoonlijke omstandigheden. 20.2. Indien een recht van bezwaar door Betrokkene bij één der Partijen wordt ingediend, informeert die Partij onverwijld de Manager over het ingediende verzoek. 20.3. De Manager legt het door Betrokkene ingeroepen recht van bezwaar voor aan de Voorbereidingsgroep stuurgroep (de Partijen binnen het Zorg- en Veiligheidshuis die de betreffende Persoonsgegevens voor die verwerking hebben verstrekt of ontvangen) om te beoordelen of het verzoek gerechtvaardigd is en coördineert de afhandeling daarvan. 20.4.

De Manager informeert de Betrokkene over de beslissing zoals bedoeld in artikel 17.3 binnen en maand en draagt er zorg voor dat de beslissing binnen deze maand wordt uitgevoerd. Een beslissing om niet, of niet geheel, te voldoen wordt altijd gemotiveerd en kan met het oog op artikel 21 AVG enkel worden gebaseerd op dwingende gerechtvaardigde gronden. Artikel 21. Recht op overdraagbaarheid van Persoonsgegevens 21.1. Het recht op overdraagbaarheid van Persoonsgegevens is niet van toepassing op Partijen in het Zorg- en Veiligheidshuis. Artikel 22. Verwerkers 22.1. Partijen besteden de Verwerking van Persoonsgegevens onder dit Protocol niet uit zonder dat de Voorbereidingsgroep stuurgroep tevoren schriftelijk toestemming heeft gegeven over de (beoogde verandering inzake) de inzet van Verwerkers die ten behoeve van het Zorg- en Veiligheidshuis Persoonsgegevens Verwerken. 22.2. Een overeenkomst van opdracht tussen Partijen en een door de Voorbereidingsgroep stuurgroep goedgekeurde Verwerker inzake Verwerking van Persoonsgegevens dient ten minste hetzelfde beschermingsniveau te bieden aan de belangen van Betrokkene als het onderhavige Protocol. Meer in het bijzonder moet de Verwerker voor de Verwerkingen van Persoonsgegevens in 19

het kader van dit Protocol een vergelijkbaar niveau van beveiliging garanderen als in Bijlage 3 van dit Protocol. 22.3. Partijen leggen de afspraken tussen hen en Verwerkers(s) omtrent de omgang met Persoonsgegevens die verwerker ten behoeve van Partijen Verwerkt, in een schriftelijke overeenkomst vast. De beheergemeente is bevoegd deze overeenkomst namens Partijen aan te gaan. 22.4. De Manager houdt een lijst bij van de overeenkomsten die met schriftelijke toestemming van de Voorbereidingsgroep stuurgroep zijn overeengekomen, welke lijst minimaal eenmaal per jaar wordt bijgewerkt. Deze lijst zal beschikbaar worden gehouden ten behoeve van Partijen en de Autoriteit Persoonsgegevens. Artikel 23. Verstrekking aan derden 23.1. Persoonsgegevens die in het kader van dit Protocol worden Verwerkt, worden niet verstrekt aan anderen dan deelnemers aan het Ronde Tafel Overleg, behoudens het bepaalde in artikel 19 en tenzij Partijen hiertoe wettelijk verplicht zijn. Deze verstrekking wordt schriftelijk vastgelegd door de Procesregisseur. 23.2. Indien een verstrekking van Persoonsgegevens aan derden plaatsvindt, is dat een individuele afweging van elke Partij op grond van zijn eigen wet- en regelgeving. Artikel 24. Verwerkingsregister en Functionaris Gegevensbescherming 24.1.

Partijen registeren hun Verwerkingen van Persoonsgegevens onder dit Protocol in een eigen register van verwerkingsactiviteiten. 24.2. Aanvullend neemt de Manager de Verwerkingen van Persoonsgegevens op locatie en in de informatiesystemen van het Zorg- en Veiligheidshuis op in een gezamenlijk register van verwerkingsactiviteiten onder dit Protocol ten behoeve van Partijen. 24.3. Het register van verwerkingsactiviteiten bevat minimaal de volgende informatie: a. De naam en contactgegevens van de verwerkingsverantwoordelijke en eventuele gezamenlijke verwerkingsverantwoordelijken (of diens vertegenwoordiger); b. De verwerkingsdoeleinden; c. Een beschrijving van de categorieën Persoonsgegevens die worden Verwerkt; d. Een beschrijven van de categorieën Betrokkenen; e. De categorieën van ontvangers aan wie de Persoonsgegevens worden (of zullen worden) verstrekt; f. Indien van toepassing, doorgifte van Persoonsgegevens aan derde landen of internationale organisaties; g. Indien mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van gegevens moeten worden gewist; h. Indien mogelijk, een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen die zijn getroffen. 24.4.

De Functionarissen voor gegevensbescherming van de afzonderlijke Partijen hebben, zonder aankondiging van bezoek vooraf, recht op toegang tot de gebouwen en overlegruimtes van het Zorgen Veiligheidshuis en tot de Verwerkingen en register van Verwerkingen, alsook toegang tot enige andere informatie, voor zover dit noodzakelijk is voor diens toezichthoudende werkzaamheden. 24.5. De Privacyadviseur van het Zorg- en Veiligheidshuis dient als eerste aanspreekpunt voor de betrokken Functionarissen voor gegevensbescherming. 24.6. De Functionarissen voor gegevensbescherming van de Verwerkingsverantwoordelijken houden toezicht op de naleving van de verplichtingen in dit Protocol en zijn adviseren de Manager en Procesregisseur. Artikel 25. Aansprakelijkheid 25.1. Partijen zetten zich in voor een goede uitvoering van het bepaalde in dit Protocol en zullen zich houden aan de dienaangaande in dit Protocol gemaakte afspraken. 20

25.2. Partijen zijn ieder voor zich aansprakelijk voor aanspraken van Betrokkenen, of Derden op schadevergoeding op grond van directe of indirecte schade, administratieve boetes of andere aanspraken van derden in geval van toerekenbare tekortkoming door de aangesproken Partij in de nakoming van het bepaalde in dit Protocol en de bijbehorende Bijlagen. 25.3. Wanneer meerdere Verwerkingsverantwoordelijken of Verwerkers bij dezelfde Verwerking betrokken zijn, en verantwoordelijk zijn voor schade die door die Verwerking is veroorzaakt, wordt elke Verwerkingsverantwoordelijke of Verwerker voor de gehele schade aansprakelijk gehouden teneinde te garanderen dat de betrokkene daadwerkelijk wordt vergoed. 25.4. Een Verwerker is slechts aansprakelijk voor de schade die door Verwerking is veroorzaakt wanneer bij de Verwerking niet is voldaan aan de specifiek tot Verwerkers gerichte verplichtingen van de Algemene Verordening Gegevensbescherming of buiten dan wel in strijd met de rechtmatige instructies van de Verwerkingsverantwoordelijke is gehandeld. 25.5.

Onverminderd het gestelde in lid 4 kan iedere Verwerkingsverantwoordelijke of Verwerker die de volledige vergoeding heeft betaald vervolgens bij de andere Verwerkingsverantwoordelijken of Verwerkers die bij dezelfde Verwerking betrokken zijn, het deel van de schadevergoeding verhalen dat overeenkomt met hun deel van de aansprakelijkheid voor de schade. Een Verwerkingsverantwoordelijke of Verwerker kan door andere Verwerkingsverantwoordelijken of Verwerkers worden vrijgesteld van onderlinge betaling van schadevergoeding indien hij bewijst dat hij op geen enkele wijze verantwoordelijk is voor het schadeveroorzakende feit. Artikel 26. Toezicht en handhaving 26.1. Onverminderd de verantwoordelijkheden van de Functionarissen voor gegevensbescherming van de verwerkingsverantwoordelijken houden de Manager en de Procesregisseur toezicht op de naleving van de verplichtingen in dit Protocol en zijn bevoegd aanwijzingen te geven aan medewerkers in het Zorg- en Veiligheidshuis omtrent de uitvoering van het bepaalde in dit Protocol. Artikel 27. Wijzigingen 27.1. De bepalingen in dit Protocol kunnen door de Partijen in gezamenlijk overleg worden gewijzigd. Wijzigingen in dit Protocol worden door de Voorbereidingsgroep stuurgroep besloten.

Mondelinge mededelingen, toezeggingen of afspraken welke betrekking hebben op de inhoud van dit Protocol, hebben geen rechtskracht, tenzij deze uitdrukkelijk schriftelijk zijn bevestigd door de Voorbereidingsgroep stuurgroep. 27.2. Wijziging van het Protocol vergt het opnieuw ondertekenen door Partijen van het gewijzigde Protocol. 27.3. In geval van wijzigingen, waaronder inbegrepen toetreding van een nieuwe organisatie tot dit Protocol, die door een Partij onaanvaardbaar worden ervaren, kan deze Partij deelname aan het Zorg- en Veiligheidshuis schriftelijk opzeggen met ingang van het tijdstip waarop het gewijzigde Protocol van kracht wordt. Na opzegging van deelname aan het Convenant en dit Protocol verkrijgt die Partij niet langer toegang tot de Persoonsgegevens die op locatie of in de informatiesystemen van het Zorg- en Veiligheidshuis worden verwerkt onder dit Protocol. Artikel 28. Toetreding 28.1. Toetreding door andere organisaties tot dit Protocol kan enkel wanneer die Partij is toegetreden tot het Convenant conform Artikel 17 van het Convenant. 28.2. Partijen worden vooraf door de secretaris van de Stuurgroep op de hoogte gebracht van de voorgenomen toetreding.

Indien de toetredende partij niet staat benoemd in het Handvat dient voorafgaand aan de uitwisseling van Persoonsgegevens met de toetredende partij een juridische analyse te worden opgesteld conform hoofdstuk 5 van het Handvat. De toetredende Partij voert waar nodig de aanbeveling uit die analyse uit, alvorens uitwisseling van Persoonsgegevens in het Zorg- en Veiligheidshuis met die partij plaatsvindt.

21

28.3. In geval van toetreding tot het Convenant, vindt toetreding tot het Protocol plaats door middel van ondertekening van Bijlage 1 bij dit Protocol door die andere organisatie en de voorzitter van de Stuurgroep. Artikel 29. Duur, opzegging, beëindiging 29.1. Dit Protocol treedt gelijktijdig in werking met het Convenant en geldt voor dezelfde duur als het Convenant. In geval van verlenging van het Convenant wordt dit Protocol met een gelijkluidende termijn verlengt. 29.2. De Stuurgroep kan, zonder rechterlijke tussenkomst en met meerderheid van stemmen, na ingebrekestelling, een Partij met onmiddellijke ingang uitsluiten van de samenwerking in het Zorg- en Veiligheidshuis, indien de afspraken zoals neergelegd in dit Protocol niet door de desbetreffende Partij worden nagekomen. 29.3. Verplichtingen die naar hun aard zijn bestemd om ook na beëindiging of uitsluiting van het project voort te duren, blijven na beëindigingen van dit Protocol bestaan. Tot deze verplichtingen behoren onder meer die ter zake van geheimhouding en de beveiliging van Persoonsgegevens. Artikel 30. Opvolging 30.1. Dit Protocol vervangt alle eerdere door Partijen gesloten Protocollen met betrekking tot de Verwerking van Persoonsgegevens in het Zorg- en Veiligheidshuis voor de doelen zoals beschreven in Artikel 3.1 van dit Protocol. Artikel 31.

Monitoring, toezicht, audit, wetenschappelijk onderzoek en evaluatie 31.1. In het kader van een opdracht tot uitvoering van een wetenschappelijk onderzoek zijn Partijen gezamenlijk opdrachtgever en worden de specifieke bepalingen uit wet- en regelgeving alsmede de interne voor Partijen geldende voorschriften voor wetenschappelijk onderzoek van Partijen in acht genomen. 31.2 Partijen zullen dit Protocol twee jaar na inwerking treden regionaal evalueren, waarbij bij voorkeur een audit zal plaatsvinden door een externe onafhankelijke partij. Artikel 32. Toepasselijk recht 32.1 Op dit Protocol is Nederlands recht van toepassing.

Aldus overeengekomen: Gemeente Beesel In deze rechtsgeldig vertegenwoordigd door: B.C.M. Vostermans, burgemeester Datum en plaats:

Gemeente Bergen In deze rechtsgeldig vertegenwoordigd door: M.H.E. Pelzer, burgemeester Datum en plaats:

Gemeente Gennep In deze rechtsgeldig vertegenwoordigd door: J.M.T. Teunissen, burgemeester Datum en plaats:

22

Gemeente Horst aan de Maas In deze rechtsgeldig vertegenwoordigd door: R.F.I. Palmen. burgemeester Datum en plaats:

Gemeente Mook en Middelaar In deze rechtsgeldig vertegenwoordigd door: W. Gradisen, burgemeester Datum en plaats:

Gemeente Peel en Maas In deze rechtsgeldig vertegenwoordigd door: W.J.G. Delissen-van Tongerlo Datum en plaats:

Gemeente Venlo In deze rechtsgeldig vertegenwoordigd door: A.S. Scholten, burgemeester Datum en plaats:

Gemeente Venray In deze rechtsgeldig vertegenwoordigd door: L.M.C. Winants, burgemeester Datum en plaats:

Politie eenheid Limburg In deze rechtsgeldig vertegenwoordigd door: I.P.M. Schäfer-Poels, Politiechef eenheid Limburg Datum en plaats:

Arrondissementsparket Limburg In deze rechtsgeldig vertegenwoordigd door: mr. J.R. Eland, Hoofdofficier van justitie Datum en plaats:

Raad voor de Kinderbescherming In deze rechtsgeldig vertegenwoordigd door: J. Schmeitz, Gebiedsmanager Limburg Datum en plaats:

Reclassering Nederland In deze rechtsgeldig vertegenwoordigd door: E. Corten, regiodirecteur regio zuid Datum en plaats:

Bureau Jeugdzorg In deze rechtsgeldig vertegenwoordigd door: N.W.M. Plitscher, bestuurder Datum en plaats:

23

Veilig Thuis In deze rechtsgeldig vertegenwoordigd door: M. Vrancken, manager Datum en plaats:

MEE De Meent Groep In deze rechtsgeldig vertegenwoordigd door: A. van Bommel, regiomanager Datum en plaats:

Dienst Justitiële Inrichtingen In deze rechtsgeldig vertegenwoordigd door: G. Geuskens, Staffunctionaris Ketensamenwerking Datum en plaats:

Vincent van Gogh voor geestelijke gezondheid In deze rechtsgeldig vertegenwoordigd door: S. Wigchert, Directeur Datum en plaats:

MetGGZ In deze rechtsgeldig vertegenwoordigd door: J.P. Pijls, Raad van Bestuur Datum en plaats:

De Rooyse Wissel In deze rechtsgeldig vertegenwoordigd door: H.M. van Bussel, Algemeen Directeur Datum en plaats:

Moveoo In deze rechtsgeldig vertegenwoordigd door: R.L.J. Testroote, bestuurder Datum en plaats:

William Schrikker Groep In deze rechtsgeldig vertegenwoordigd door: A. Massop, gebiedsmanager Datum en plaats:

Stevig Dichtbij In deze rechtsgeldig vertegenwoordigd door: W. Wijgergangs, bestuurder Datum en plaats:

Woonwenz In deze rechtsgeldig vertegenwoordigd door: J. van de Bercken, manager Wonen Datum en plaats:

24

Antares In deze rechtsgeldig vertegenwoordigd door: G. Faessen, manager Klantteam Datum en plaats: Wonen Limburg In deze rechtsgeldig vertegenwoordigd door: W.N. Hazeu, bestuurder; Datum en plaats:

Destion In deze rechtsgeldig vertegenwoordigd door: W.H.A. Pothoff, directeurbestuurder Datum en plaats:

Nester In deze rechtsgeldig vertegenwoordigd door: W. Verolme, manager Wonen Datum en plaats:

Leger des Heils In deze rechtsgeldig vertegenwoordigd door: J. Wisseboom, directeur Datum en plaats:

25

Bijlage 1: Toetredingsformulier nieuwe partner tot Protocol [naam organisatie], statutair gevestigd te […] en kantoorhoudend aan […], hierbij rechtsgeldig vertegenwoordigd door [naam, functie], overwegende dat: • Deelname aan het Protocol gelet op de publieke en/of maatschappelijke taak die zichzelf in het kader van integrale veiligheid en complexe casuïstiek toedicht en gelet op de verantwoordelijkheid en/of bevoegdheid van ondergetekende een bijdrage levert aan de doelstelling zoals geformuleerd in artikel 2 van het Convenant en artikel 3.2 van het Protocol; • De Stuurgroep positief heeft besloten op toetreding van ondergetekende aan het Convenant en dit Protocol; verklaart daartoe het volgende: Ondergetekende onderschrijft de in het Protocol geformuleerde doelstellingen, verplicht zich de bepalingen in het Protocol te zullen naleven en verklaart zich in dit kader gerechtigheid tot het uitwisselen van Persoonsgegevens met Partijen. Aldus ondertekend te […], op datum […] Naam organisatie: Naam bevoegde functionaris: …………………. Namens Stuurgroep: Naam: …………………

26

Bijlage 2: Doeleinden Verwerking van Persoonsgegevens per processtap Partijen Verwerken in het kader van het Zorg- en Veiligheidshuis voor ieder van onderstaande fasen enkel de Persoonsgegevens die voor die afzonderlijke fase noodzakelijk zijn voor de uitvoering van ieder van de daarbij geformuleerde toepasselijke processtappen: Zie hiervoor de Werkprocesbeschrijving Zorg- en Veiligheidshuis Noord-Limburg, waarin alle processtappen zijn beschreven. Aanmelding en screening Beoordelen of een Casus die door een Partij wordt aangedragen voldoet aan de criteria voor behandeling in het Zorg- en Veiligheidshuis. Deze criteria volgen uit het Landelijk Kader. Triage Bepalen eerste beeld en verrijken van informatie uit Screening; • Op basis van informatie van partners komen tot een nadere afweging ten aanzien van de routering van de casus, tot een bepaling van doel en thema’s van een eventueel Ronde Tafel Overleg, en tot een afweging welke partners relevant zijn om te betrekken bij een Ronde Tafel Overleg; • Voorbereiding Ronde Tafel Overleg.

Ronde Tafel Overleg • Opstellen gezamenlijk toestandsbeeld door bij het Ronde Tafel Overleg betrokken Partijen; • Opstellen integraal plan van aanpak; • Monitoren van de uitvoering en resultaten van het plan van aanpak; • Bepalen of verdere verstrekking van Persoonsgegevens aan andere samenwerkingsverbanden noodzakelijk en mogelijk is; • Besluiten tot afbouwen betrokkenheid Veiligheidshuis; • Besluiten tot Opschaling van de Casus; Afschaling • Bepalen van noodzakelijke te verstrekken Persoonsgegevens in het kader van Afschaling en de verstrekking daarvan aan bijvoorbeeld de Casusregisseur;