Bijlage 3: Convenant zorgtafel.pdf

2

zoals BRP, PNIK, DigiD, SUWI, BAG, BGT, BRO, AVG, Privacy beleid

3

https://zoek.officielebekendmakingen.nl/gmb-2018-168572.html

4

uitgebracht door de interbestuurlijke werkgroep Normatiek in 2018 Nederlandse Overheid Referentie Architectuur (NORA) en de daarvan afgeleide Gemeentelijke Model Architectuur (GEMMA). 5

- 37 -

Convenant Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + 3.4 Uitgangspunten De belangrijkste uitgangspunten van dit informatiebeveiligingsbeleid zijn: 1. Dit beleid vormt samen met het tactische informatiebeveiligingsbeleid en het informatiebeveiligingsplan het kader om informatieveiligheid in de organisatie te borgen. 2. Informatiebeveiliging mag niet ten koste gaan van de veiligheid van personen. 3. Het bestuur, de directie en de (afdelings)managers dragen dit beleid uit en sturen op de implementatie van dit beleid. 4. Informatiebeveiliging is georganiseerd. Het management heeft continu aandacht voor het vergroten van het bewustzijn van medewerkers om zo de menselijke schakel te versterken. 5. De rol van de coördinator van informatiebeveiliging (Chief Information Security Officer: CISO), is ingevuld. 6. Regels en verantwoordelijkheden voor het informatiebeveiligingsbeleid zijn vastgesteld. 7. Informatiebeveiliging is een continu verbeterproces. Door organisatiebrede planning, het implementeren van maatregelen, het periodieke controleren én de coördinatie op dit proces is informatieveiligheid binnen de organisatie verankerd. 8. Informatiebeveiliging is een onderdeel van risicomanagement. 3.5 Randvoorwaarden Belangrijke randvoorwaarden om dit beleid te implementeren zijn: 1.

De informatiebeveiligingstaken zijn belegd binnen de bedrijfsprocessen en de benodigde kwalitatieve en kwantitatieve resources zijn beschikbaar gesteld. 2. Alle medewerkers van de gemeente worden getraind in het gebruik van beveiligingsprocedures. Medewerkers kennen de beveiligingsprocedures en gebruiken deze procedures. Medewerkers zijn daarnaast op de hoogte van eisen die vanuit wet- en regelgeving aan hun bedrijfsprocessen gesteld worden en kennen deze kaders. 3. Medewerkers gaan verantwoord om met (persoons)gegevens en andere informatie(systemen), spreken elkaar aan op onveilig gedrag en melden mogelijke hiaten direct aan de leidinggevenden. 4. De informatiebeveiliging maakt deel uit van afspraken met ketenpartners en dienstenleveranciers. 5. Kennis en bewustzijn van informatiebeveiliging wordt actief bevorderd en geborgd bij alle lagen binnen de organisatie, ketenpartners en externe partijen. 6. Er zijn voldoende maatregelen geïmplementeerd die zorgen dat kwetsbaarheden in bedrijfsprocessen worden verkleind. Hierdoor worden informatiebeveiligingsincidenten verkleind en de effecten van de incidenten beperkt. 7. Periodiek worden onafhankelijke audits uitgevoerd om vast te stellen of de vereiste maatregelen uit het beleid in voldoende mate zijn geborgd. 8. De digitale weerbaarheid wordt verhoogd door de basis op orde te brengen. 9.

Security en privacy by design principes worden toegepast bij innovaties. Denk hierbij aan common ground, internet of things (IoT) en Smart City, kunstmatige intelligentie (AI). Zolang deze uitgangspunten en randvoorwaarden niet zijn ingericht is de informatieveiligheid niet voldoende geborgd.

6

file:///C:/Users/doriniee/AppData/Local/Packages/Microsoft.MicrosoftEdge_8wekyb3d8bbwe/TempState/Do wnloads/brochure%20Informatiearchitectuur%20(1).pdf

- 38 -

Convenant Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 +

4 Ontwikkelingen De ontwikkelingen die van belang zijn voor de actualisering van dit informatiebeveiligings-beleid zijn hieronder beschreven. 4.1 Een nieuwe baseline voor informatieveiligheid De Baseline Informatiebeveiliging Overheid (BIO) is vanaf 2020 het nieuwe normenkader voor de gehele overheid. Deze baseline is ten opzichte van de Baseline Informatiebeveiliging Gemeenten (BIG) meer gericht op risicomanagement. De bestuurders en de (afdelings)managers hebben een prominente rol met betrekking tot informatiebeveiliging en met de komst van de BIO een cruciale rol met betrekking tot risicomanagement. Hierbij maakt het bestuur en het management op voorhand keuzes en continu afwegingen of informatie in bestaande en nieuwe processen adequate beveiligd zijn in termen van beschikbaarheid, integriteit en vertrouwelijkheid. De BIO helpt het management bij het nemen van haar verantwoordelijkheid ten aanzien van informatiebeveiliging. In de BIO zijn op basis van de generieke schades en dreigingen voor de overheid standaard basisbeveiligingsniveaus gedefinieerd met bijbehorende verplicht in te richten beveiligingsmaatregelen. Het management bepaalt op basis van een risicoafweging, hoe aan deze beveiligingsmaatregelen kan worden voldaan. Waar naleving (nog) niet volledig mogelijk is, maakt het management de aanwezige risico’s inzichtelijk aan hun stakeholders.

Het management legt verantwoording af over de risicoafweging en over de effectieve invulling van de beheersmaatregelen. Deze verantwoording is onderdeel van de bestuurlijke verantwoording over informatiebeveiliging7. De BIO biedt hiermee de basis om te zorgen dat informatiebeveiliging geïmplementeerd en geborgd wordt. 4.2 Handvatten voor de rol van de bestuurder VNG heeft aan het gemeentelijk bestuur de 10 principes van informatiebeveiliging8 uitgereikt. Deze principes bieden het bestuur handvatten op welke wijze het zijn rol kan invullen bij het borgen van informatiebeveiliging in de gemeentelijke organisatie Deze principes ondersteunen de bestuurder bij het uitvoeren van goed risicomanagement bij o.a. beveiligingsincidenten met directe gevolgen voor inwoners en/of medewerkers. De 10 principes zijn: 1 Bestuurders bevorderen een veilige cultuur; 2 Informatiebeveiliging is van iedereen; 3 Informatiebeveiliging is risicomanagement; 4 Risicomanagement is onderdeel van de besluitvorming; 5 Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking; 6 Informatiebeveiliging is een proces; 7 Informatiebeveiliging kost geld; 8 Onzekerheid dient te worden ingecalculeerd; 9 Verbetering komt voort uit leren en ervaring; 10 Het bestuur controleert en evalueert.

Deze 10 principes staan nader uitgewerkt in de uitgewerkte rolverdeling van hoofdstuk 6 en in het tactische informatiebeveiligingsbeleid en het informatiebeveiligingsplan.

7

Zie hoofdstuk 8

8

https://www.informatiebeveiligingsdienst.nl/wp-content/uploads/2019/01/De-10-bestuurlijke-principes-voorInformatiebeveiliging_20190109.pdf

- 39 -

Convenant Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 +

5 Communicatie en evaluatie van dit beleid Na vaststelling van dit beleid door het college wordt dit beleid gepubliceerd en via het lijnmanagement gecommuniceerd met medewerkers en relevante externe partijen. Verdere communicatie momenten zijn uitgewerkt in het informatiebeveiligingsplan. Het strategische informatiebeveiligingsbeleid geldt voor een periode van 5 jaar en wordt met een frequentie van 5 jaar geëvalueerd of eerder bij belangrijke wijzigingen.

6 Organiseren van informatiebeveiliging De wijze waarop het informatiebeveiligingsbeleid binnen de gemeente is verankerd, vormt het kader van de borging op informatiebeveiliging. Het vaststellen van een beheerkader is van belang om de implementatie en uitvoering van de informatiebeveiliging binnen de organisatie te initiëren en te borgen. Het bestuur, de directie en het afdelingsmanagement spelen een cruciale rol bij het uitvoeren van dit beleid. De verantwoordelijkheden en rollen ten aanzien van informatiebeveiliging zijn gebaseerd op relevante voorschriften en wetten. Alle verantwoordelijkheden bij informatiebeveiliging behoren te worden gedefinieerd en toegewezen. Hieronder is toegelicht welke rollen, taken en verantwoordelijkheden met betrekking tot informatiebeveiliging zijn belegd in de organisatie. Overige specifieke rollen behoren te worden uitgewerkt in een bijlage behorende bij de operationele informatiebeveiligingsplannen. 6.1 Gemeenteraad De gemeenteraad heeft een toezichthoudende rol op basis van de controlerende taak die de Gemeentewet aan de gemeenteraad toekent. 6.2 College van Burgemeesters en Wethouders Het College van Burgemeester en Wethouders is integraal (politiek) verantwoordelijk voor de borging van informatieveiligheid binnen de gemeente. Zij stelt kaders op voor informatieveiligheid (dit strategische beleid).

Bij het onderwerp waardedocumenten is bij wet bepaald dat de bevoegdheid voor het vaststellen van kaders bij de burgemeester ligt in plaats van bij het college. De ambtelijke verantwoordelijkheid op het gebied van informatiebeveiliging is door het college gemandateerd aan de gemeentesecretaris. Zowel het college van Burgemeester en Wethouders als de Raad (controle functie) kunnen opdracht geven om controle te laten uitvoeren. Het college legt verantwoording af aan de Raad en aan externe toezichthouders. Het college is verantwoordelijk voor de financiën van de gemeente. 6.3 De directie De directie is ambtelijk verantwoordelijk voor kaderstelling en sturing op tactisch niveau. De directie stuurt hierbij op concernrisico’s. De gemeentesecretaris draagt de gemandateerde verantwoordelijkheid voor informatieveiligheid en privacy. De directie: • zorgt voor voldoende resources om informatiebeveiliging in de organisatie te borgen. • adviseert het college van B&W over het vast te stellen strategische beleid. • zorgt dat het tactische (specifieke) beleid, informatiebeveiligingsplan(nen) en procedures worden opgesteld en vastgesteld. • draagt het informatiebeveiligingsbeleid uit aan de organisatie en stuurt op concern risico’s.

- 40 -

Convenant Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + • •

• • • •

zorgt dat alle processen en systemen en de daarbij behorende middelen altijd onder de verantwoordelijkheid vallen van een afdelingsmanager (eigenaarschap) en ziet erop toe dat de afdelingsmanagers adequate maatregelen nemen. zorgt dat de afdelingsmanagers zich verantwoorden over de stand van zaken van informatieveiligheid binnen hun bedrijfsprocessen en rapporteert periodiek over de status zodat het college hierop kan sturen. Spreekt afdelingsmanager aan op naleving van dit beleid ook als verbetermaatregelen niet tijdig worden doorgevoerd. controleert of de getroffen maatregelen overeenstemmen met de gestelde eisen en of deze voldoende bescherming bieden. informeert de eindverantwoordelijke portefeuillehouder(s) binnen het College gevraagd en ongevraagd over informatiebeveiliging. ziet erop toe dat informatiebeveiligingsonderwerpen n.a.v. de rapportage van de CISO onderdeel zijn van de Planning & Control gesprekken en dat risicovolle onderwerpen worden opgenomen in de auditplannen. evalueert periodiek het informatiebeveiligingsbeleid. Voor het strategische beleid geldt een periode van 5 jaar of bij belangrijke wijzigingen.

6.4 Afdelingsmanagers (proceseigenaren) De afdelingsmanagers (proceseigenaren) zijn operationeel eindverantwoordelijk voor de bedrijfsprocessen. De proceseigenaren zijn hiermee eigenaar van de applicaties binnen dit bedrijfsproces. Daar waar applicaties worden gebruikt in meerdere bedrijfsprocessen geldt dat het bedrijfsproces met het hoogst noodzakelijke beveiligingsniveau leidend is. De afdelingsmanagers kunnen hun verantwoordelijkheid niet delegeren, uitvoerende werkzaamheden wel. De afdelingsmanagers zorgen dat de inrichting van informatiebeveiliging en privacy voldoet aan de vereiste wet- en regelgeving. Hierbij worden zij ondersteund door de Decentrale Security en Privacy Officer (DSPO), de CISO en de Functionaris Gegevensbescherming (FG). Afdelingsmanagers rapporteren over de door hun tactisch- en operationeel uitgevoerde activiteiten aan de directie en bestuur9. De afdelingsmanagers: • stellen specifiek beleid, specifieke informatiebeveiligingsplan(nen) en procedures, op en vast en dragen deze uit. • sturen op beveiligingsbewustzijn, bedrijfscontinuïteit, privacy en naleving van regels en richtlijnen (gedrag en risicobewustzijn). • bespreken beveiligingsincidenten en de consequenties die dit heeft voor beleid en te implementeren beheersmaatregelen • stellen het gewenste niveau van beschikbaarheid, integriteit en vertrouwelijkheid vast.

• signaleren vroegtijdig de voornaamste bedreigingen waaraan de bedrijfsinformatie is blootgesteld. • zorgen ervoor dat actuele risicoanalyse(s) worden uitgevoerd. implementeren de noodzakelijke informatiebeveiliging en privacy maatregelen. Deze beveiligingsmaatregelen bepalen zij op basis van risicomanagement en op basis van de kaders die eigen wet- en regelgeving met zich meebrengen. • bewaken dat gekozen gegevensbeschermingsmaatregelen uit risicoanalyses worden opgenomen in doorontwikkelplannen. Stellen vast of de getroffen maatregelen aantoonbaar worden nageleefd. Rapporteren hierover in de managementrapportages aan de CISO, de directie en het bestuur. Leveren input voor wijzigingen op maatregelen en procedures. • Stemmen de inhoudelijke aanpak om informatiebeveiliging te borgen af in het bedrijfsvoeringoverleg met de afdelingen en/ of teams 9

Zie hoofdstuk 8 Rapportagemomenten

- 41 -

Convenant Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + •

leveren alle informatie aan die nodig is voor het invullen van de jaarlijkse verantwoordingstraject informatiebeveiliging (ENSIA). Het management wordt hierbij ondersteund door de Decentrale Security en Privacy Officer. 6.5 Decentrale Security & Privacy Officer De DSPO ondersteunt de afdelingsmanager bij het beheer, de coördinatie en het advies ten aanzien van de informatieveiligheid en privacy voor zijn/ haar bedrijfsproces. De DSPO is het eerste aanspreekpunt voor de afdelingsmanager, de CISO en de FG en ambassadeur voor informatieveiligheid en privacy binnen dit bedrijfsproces. De DSPO’s zijn binnen de gemeente degenen die kaders stellen op het gebied van domein specifieke informatiebeveiliging en beveiligingsbewustzijn. De DSPO bevordert draagvlak bij het management en medewerkers. Tevens monitort de DSPO of de informatiebeveiliging conform de kaders uitgevoerd wordt. Hij is direct betrokken bij de implementatie hiervan in de lijn en kent de processen en relevante wetgeving. Hij zorgt daarmee dat de organisatie specifieke informatiebeveiliging doorvoert in haar processen, conform wet- en regelgeving. Verder richt de DSPO zich op de uitvoer en naleving van de (domein specifieke) privacywetgeving. De DSPO stelt een data protection impact assessment (DPIA) op en adviseert bij het gebruik van persoonsgegevens.

De DSPO toetst bij gegevensaanvragen op doelbinding, rechtmatigheid, proportionaliteit en andere aspecten vanuit de AVG en privacywetgeving. De DSPO rapporteert periodiek over de informatieveiligheid/ privacy aan de afdelingsmanager, CISO en FG. 6.6 Chief Information Officer De CIO geeft binnen het directieteam op dagelijkse basis invulling aan de sturende rol door besluitvorming in het college van Burgemeester en Wethouders voor te bereiden en toe te zien op de uitvoering ervan. De informatiebeveiligingstaken die hieruit voortvloeien zijn belegd bij de CISO. 6.7 Chief Information Security Officer De CISO ondersteunt vanuit een onafhankelijke positie de organisatie met betrekking tot het borgen van informatieveiligheid en heeft de mogelijkheid om rechtstreeks aan de directie en/of portefeuillehouder te rapporteren. De CISO is aangesteld volgens een vastgesteld CISOfunctieprofiel. De CISO is binnen de gemeente degene die kaders stelt op het gebied van informatiebeveiliging die voor de gehele organisatie gelden. De CISO stuurt de organisatie aan met betrekking tot informatiebeveiliging. Hiermee zorgt de CISO ervoor dat de organisatie informatiebeveiliging doorvoert in haar processen, conform wet- en regelgeving. Daarnaast creëert de CISO het draagvlak voor informatiebeveiliging binnen de organisatie. De rol van de CISO is vooral adviserend en coördinerend.

De CISO stuurt de DSPO’s functioneel aan. De CISO is in het kader van het verantwoordingstraject informatiebeveiliging tevens coördinator ENSIA. Om aan bovenstaande te kunnen voldoen, heeft de CISO de volgende bevoegdheden: • gevraagd en ongevraagd onderzoek kunnen doen en advies geven aan het college van B&W / Raad • mogelijkheid tot direct ingrijpen zonder toestemming vooraf bij beveiligingsincidenten • beschikt over budget en resources De CISO is geplaatst binnen de afdeling Informatievoorziening en Automatisering-CIO. De CISO voert geen operationele taken uit. Hiermee is het risico geminimaliseerd dat de eigenlijke taken van de CISO blijven liggen en de onafhankelijke positie in het geding komt. Daarnaast heeft de CISO rechtstreekse toegang tot de portefeuillehouder van informatiebeveiliging.

- 42 -

Convenant Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + 6.8 Functionaris Gegevensbescherming De Functionaris Gegevensbescherming (FG) is de interne toezichthouder op het gebied van privacy. De FG houdt toezicht op de wijze waarop de organisatie invulling geeft aan maatregelen om aan de privacywetgeving te voldoen. In het privacy-beleid staan de taken van de FG opgenomen. 6.9 IT Auditor De IT auditor (concern control) is verantwoordelijk voor het opzetten, uitvoeren van risicoanalyses op het gebied van de naleving van informatiebeveiliging en privacy. De IT auditor initieert audits en toetst hierbij op de naleving van het informatiebeveiligingsbeleid. Om de verantwoordelijkheden in het informatiebeveiligingsgebied te kunnen vervullen dienen de bovengenoemde rollen op het gebied van informatiebeveiliging competent te zijn en de mogelijkheid te hebben om de ontwikkelingen op het gebied van informatiebeveiliging bij te houden.

7 Communicatie stakeholders 7.1 Stakeholders De gemeente Helmond onderhoudt contacten met relevante overheidsinstanties (zoals externe toezichthouders), speciale belangengroepen (zoals Informatie Beveiligingsdienst Gemeenten) en interne stakeholders. Een nadere toelichting over het contact met de IBD is opgenomen in paragraaf 7.2. Stakeholders worden periodiek op de hoogte gesteld over de stand van zaken rondom informatiebeveiliging. Het onderwerp informatiebeveiliging is een vast onderdeel op de agenda van bestuur en lijnmanagement met als doel om sturing te kunnen geven. In de onderstaande tabel bij paragraaf 7.3 is opgenomen wat de contactmomenten met stakeholders zijn. 7.2 Aansluiting Informatiebeveiligingsdienst Gemeenten Eén van de doelen van de IBD10 is het aan gemeenten leveren van concrete ondersteuning in geval van incidenten en crisissituaties op het vlak van informatiebeveiliging. Wij maken indien nodig gebruik van deze ondersteuning. De IBD informeert de gemeente via vastgestelde contactpersonen namelijk de algemeen contactpersoon informatiebeveiliging (ACIB)11 en de vertrouwde Contactpersoon Informatiebeveiliging (VCIB)12. 7.3 Contactmomenten stakeholders

10

De Informatiebeveiligingsdienst voor gemeenten (IBD) is een gezamenlijk initiatief van de Vereniging van Nederlandse Gemeenten (VNG) en het Kwaliteitsinstituut Nederlandse Gemeenten (KING). 11 Algemene waarschuwingen en informatie met een niet vertrouwelijk karakter 12 Informatie die vertrouwelijk is van karakter

- 43 -

Convenant Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 +

8 Rapportagemomenten informatiebeveiliging Periodieke rapportages vloeien voort uit bovengenoemde contactmomenten met stakeholders. Rapportages worden opgesteld van incidenten, het verantwoordingstraject ENSIA en periodieke rapportages over de stand van zaken van de implementatie van informatiebeveiliging (P&C-cyclus). Aangezien het college en de Raad met name een rol spelen in het verantwoordingstraject wordt dit traject in onderstaande paragraaf toegelicht. In het informatiebeveiligingsplan is een detailplanning opgenomen van dit verantwoordingstraject. 8.1 Verantwoordingstraject ENSIA Ter afsluiting van het jaarlijkse verantwoordingstraject13 rapporteren de afdelingsmanagers over de risico’s binnen hun bedrijfsprocessen en over de stand van zaken van de implementatie van informatiebeveiliging van het afgelopen jaar. De CISO coördineert dit proces en stelt jaarlijks vóór 1 mei aan de hand van de deelrapportages van de afdelingsmanagers een bestuurlijke rapportage op voor de ambtelijke en bestuurlijke opdrachtgever. Het college van B&W legt met deze bestuurlijke rapportage, een raadsinformatiebrief én met een aparte paragraaf in het jaarverslag verantwoording af aan zijn interne toezichthouder de gemeenteraad én aan de externe toezichthouders (Rijk)14. Op deze wijze kan de ambtelijk en de bestuurlijk opdrachtgever en het college sturen op informatiebeveiliging.

Zij kunnen hiermee besluiten nemen om informatiebeveiligingsrisico’s tot een acceptabel niveau te brengen.

13

Verantwoording vindt plaats via de landelijk voorgeschreven systematiek ENSIA (Eenduidige Normatiek Single Information Audit) 14 In de bijlage behorende bij het informatiebeveiligingsplan staat de detailplanning, rolverdeling en benodigde capaciteit opgenomen.

- 44 -

Convenant Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 +

Informatiebeveiligingsbeleid Lumens dd. februari 2019 Inleiding Lumens is een welzijnsorganisatie. Wij ondersteunen mensen die het (soms) moeilijk vinden om mee te doen met de samenleving. Wij helpen hen hun interesses en talenten te ontdekken en verder te ontwikkelen, om vanuit een stevige basis te kunnen werken naar een zelfstandig en gelukkig bestaan. Dat kan zijn in de vorm van betaald werk, als zelfstandig ondernemer of als vrijwilliger, maar ook in de vorm van een inspirerende en fijne vrijetijdsbesteding. Wij richten ons vooral op jeugd (www.dynamojeugdwerk.nl) en op de wijken. Vanuit de wijken en de verschillende jeugdculturen, dichtbij en mét bewoners, zorgen we dat kansen worden vergroot én benut. We doen dat omdat we weten dat meedoen werkt. Maar meedoen gaat niet voor iedereen zomaar vanzelf. Soms lukt het gewoon even niet en dan zijn wij er met de juiste ervaring en ervaringsdeskundigen: in sterke verbinding met samenwerkingspartners en met uitzicht op resultaat. Inspireren Leren Werken We werken volgens een unieke werkwijze, die sterk verankerd ligt in onze hele organisatie: Inspireren Leren Werken (ILW). De mensen van Lumens weten je te inspireren, zodat jij je interesses en talenten ontdekt. Samen zetten we die om in kennis en ervaring, waarmee je stevige stappen kunt zetten op weg naar een zelfstandig en gelukkig leven.

Om kwaliteit te bieden is een betrouwbare informatievoorziening essentieel. Uitgebreide aandacht voor de beveiliging van de opslag, verwerking en uitwisseling van informatie is continu vereist. De beschikbaarheid, integriteit en vertrouwelijkheid van de informatievoorziening die ten grondslag ligt aan de dienstverlening van Lumens dient derhalve gewaarborgd te zijn. Het hebben van een effectief informatiebeveiligingsbeleid is hierdoor noodzaak. Informatiebeveiliging bij Lumens

Definities Informatiebeveiliging wordt als volgt gedefinieerd: Het samenhangend geheel van preventieve, repressieve en herstelmaatregelen alsmede procedures en processen welke de beschikbaarheid, integriteit en vertrouwelijkheid van informatie en informatiesystemen blijvend garanderen met als doel de continuïteit van de bedrijfsvoering te waarborgen en eventuele gevolgen van beveiligingsincidenten tot een acceptabel, vooraf bepaald, niveau te beperken. Informatiebeveiliging richt zich op drie aspecten van de informatievoorziening: ✓ Beschikbaarheid: het waarborgen dat geautoriseerde gebruikers toegang hebben tot informatie en de informatiesystemen op de gewenste momenten. ✓ Integriteit: het waarborgen dat de informatie juist en volledig is en de informatiesystemen juiste en volledige informatie opslaan en verwerken. ✓ Vertrouwelijkheid: het waarborgen dat informatie alleen toegankelijk is voor diegene die hiertoe bevoegd/geautoriseerd is.

- 45 -

Convenant Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + Lumens heeft zeer bewust de keuze gemaakt alle ICT-systemen te outsourcen. Daarbij voert Lumens eveneens het beleid dat data zich niet lokaal bevinden op een locatie van Lumens, maar wordt opgeslagen in een door de leverancier gefaciliteerde cloud. Op deze manier kan zoveel mogelijk gewaarborgd worden dat data ten alle tijden beschikbaar zijn voor medewerkers van Lumens. Als onderdeel van haar Inkoopbeleid vereist Lumens van haar ICT-leveranciers dat zij aantoonbaar in overeenstemming met ISO27001 en/of NEN 7510 werken en een passend, geschreven informatiebeveiligingsbeleid geïmplementeerd hebben. Daarnaast vereist Lumens in haar Inkoopbeleid dat een leverancier eveneens aantoonbaar voldoet aan de veiligheidseisen voor netwerkverbindingen zoals beschreven in NEN7512 en aan de eisen ten aanzien van logging zoals beschreven in NEN7513. Naast de beveiliging van informatie vindt Lumens de bescherming van privacy van zowel medewerkers als klanten ook heel belangrijk. Om die reden dienen leveranciers accoord te gaan met de standaard verwerkersovereenkomst van Lumens. Deze voorwaarde is ook opgenomen in het Inkoopbeleid van Lumens.

Monitoren Om te kunnen monitoren dat een leverancier acteert in lijn met bovenstaande is tevens in het Inkoopbeleid opgenomen dat een leverancier desgevraagd haar Informatiebeveiligingsbeleid dient te overleggen. Tevens dient een leverancier beveiligingsincidenten direct aan Lumens te rapporteren. Met leveranciers die over data beschikken die een verhoogd risico vormen voor de bedrijfsvoering van Lumens wordt jaarlijks een evaluatie uitgevoerd. Onderwerpen van evaluatie zijn:: de stand van zaken rondom het informatiebeveiligingsbeleid van leverancier en beveiligingsincidenten en maatregelen die getroffen zijn door leverancier om deze incidenten te voorkomen. De afdeling Facilitair van Lumens stelt vast welke leveranciers hiervoor in aanmerking komen en initieert deze evaluaties.

Verantwoordelijkheden De bestuurder is eindverantwoordelijk voor het informatiebeveiligingsbeleid. De manager Bedrijfsvoering is eindverantwoordelijk voor de uitvoering en toepassing van het informatiebeveiligingsbeleid. Operationeel betekent dit dat de afdeling Facilitair zorgt voor het naleven van het Inkoopbeleid en de noodzakelijke monitoring van de leveranciers. Aanpassing Informatiebeveiligingsbeleid Jaarlijks evalueren Gemeente Helmond, Lumens en MO Den Bosch het Informatiebeveiligingsbeleid. Het beleid zal daar waar noodzakelijk aangepast worden. Deze evaluatie wordt uitgevoerd door de Kwaliteitsmedewerkers van Gemeente Helmond, Lumens en MO Den Bosch, de Functionarissen Gegevensbescherming en de Managers Bedrijfsvoering. De Functionarissen Gegevensbescherming zorgen er vervolgens voor dat het informatiebeveiligingsbeleid aangepast wordt. Beleidsdoelstellingen Lumens hanteert de onderstaande uitgangpunten voor het informatiebeveiligingsbeleid. Deze zijn zowel van toepassing op Lumens als op haar leveranciers. • Uitgangspunt vormen de doelstellingen van de norm NEN-ISO/IEC 27001 voor zover deze bijdragen aan de informatiebeveiliging van Lumens. Als een doelstelling op een andere wijze

- 46 -

Convenant Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 +

•

•

• •

• • •

•

• •

wordt gerealiseerd via een alternatieve maatregel, dan is dat toegestaan, mits dit alternatief beschreven is. De fysieke en logische beveiliging van de computercentra en bedrijfsgebouwen waar Lumens en haar leveranciers gebruik van maken, is zodanig dat de beschikbaarheid, integriteit en vertrouwelijkheid van de gegevens en gegevensverwerking zijn gewaarborgd. Aanschaf, installatie en onderhoud van geautomatiseerde gegevensverwerkende systemen, alsmede inpassing van nieuwe technologieën, mogen geen afbreuk doen aan het niveau van veiligheid van de totale informatievoorziening. Het privacybeleid levert met procedures een bijdrage aan de vertrouwelijkheid, integriteit en beschikbaarheid van de informatievoorziening. Opdrachten aan derden voor het uitvoeren van werkzaamheden worden zodanig omgeven met maatregelen, dat er geen inbreuk op de vertrouwelijkheid, integriteit en continuïteit van de informatievoorziening kan ontstaan. Bij de verwerking van gegevens worden maatregelen getroffen om de privacy van klanten en medewerkers te waarborgen. Logische toegangsbeveiliging zorgt ervoor, dat ongeautoriseerde personen of processen geen toegang krijgen tot de systemen, gegevensbestanden en programmatuur van Lumens. Bij gegevensverstrekking intern en extern wordt gebruikgemaakt van een gedocumenteerde gegevensclassificatie en worden gegevens verstrekt op basis van ‘need to know’.

Medewerkers treffen maatregelen om te voorkomen dat informatie terechtkomt in handen van personen, die deze informatie niet strikt nodig hebben. Ook de toegang tot informatiesystemen wordt volgens dit principe adequaat beveiligd. Voor ICT-beheerders wordt hierop onder duidelijke voorwaarden een uitzondering gemaakt om de dienstverlening niet te belemmeren. Datatransport is zodanig met beveiligingsmaatregelen omkleed dat geen inbreuk kan worden gepleegd op de vertrouwelijkheid en de integriteit van de gegevens en op de informatievoorziening als geheel. Opslag en back up van gegevens zijn zodanig ingericht, dat geen informatie verloren kan gaan. Beveiligingsincidenten worden adequaat afgehandeld. Lumens en haar leveranciers houden zich aan afhandeling conform de AVG. Op basis van analyse van incidenten worden waar nodig maatregelen genomen om herhaling te voorkomen.

- 47 -

Convenant Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 +

Informatiebeveiligingsbeleid Maatschappelijke Opvang Den Bosch dd. augustus 2020 Met dit privacy beleid geven we aan hoe wij omgaan met privacy van cliënten, partners én medewerkers Bij MO Den Bosch verwerken we veel persoonsgegevens van zowel cliënten als (keten)partners en medewerkers. Deze persoonsgegevens verzamelen we voornamelijk voor het goed uitvoeren van onze wettelijke taken als maatschappelijke opvang organisatie. In de doelgroep waar wij mee werken spelen regelmatig veiligheidsissues. Dit vergt goede samenwerking met verschillende partijen, met daarbij een zorgvuldige afweging van het recht op privacy én het recht op passende dienstverlening en veiligheid. In dit privacy beleid lichten wij toe hoe wij deze afweging maken en onze keuzes borgen. Ons uitgangspunt is dat de regie over de eigen gegevens bij de cliënt zelf ligt. Het is van belang dat onze cliënten, (keten)partners en medewerkers erop kunnen vertrouwen dat MO Den Bosch zorgvuldig en veilig met de persoonsgegevens omgaat. Dit beleid is van toepassing op de gehele organisatie en op alle processen, onderdelen, objecten en gegevens verzamelingen waarin persoonsgegevens worden verwerkt.

Wij hanteren de uitgangspunten uit de AVG De uitgangspunten van dit privacy beleid zijn gebaseerd op de uitgangspunten van de AVG: - Legitimiteit: (er moet een noodzaak zijn) De verwerking van persoonsgegevens vindt uitsluitend plaats voor zover dit wettelijk gerechtvaardigd is; - Doelbinding: Persoonsgegevens worden alleen verwerkt voor zover dat nodig is om het vastgestelde doel te bereiken; de gegevens mogen niet verwerkt worden voor een ander doel dan waarvoor ze verkregen zijn. - Subsidiariteit: Het doel kan niet met minder dan de verzamelde gegevens worden bereikt. - Proportionaliteit: De verzamelde gegevens staan in verhouding tot het doel. - Kwaliteit: Gegevens zijn juist, nauwkeurig en voldoende actueel. - Informatieveiligheid: Informatievoorzieningen zijn beveiligd tegen problemen die de vertrouwelijkheid, integriteit en beschikbaarheid van gegevens aantasten. - Houdbaarheid: Gegevens die niet langer nodig zijn, worden vernietigd of geanonimiseerd. Wij verwerken enkel persoonsgegevens binnen de grondslagen van de AVG Alle medewerkers van MO Den Bosch verwerken persoonsgegevens uitsluitend voor zover dit valt binnen hun mandaat en noodzakelijk is de hulpverlening. Persoonsgegevens mogen alleen worden verwerkt op basis van de volgende grondslagen van 6 van de AVG: 1. Toestemming van de betrokken persoon. 2.

De gegevensverwerking is noodzakelijk voor de uitvoering van een overeenkomst. 3. De gegevensverwerking is noodzakelijk voor het nakomen van een wettelijke verplichting. 4. De gegevensverwerking is noodzakelijk ter bescherming van de vitale belangen. 5. De gegevensverwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of uitoefening van openbaar gezag. 6. De gegevensverwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen.

- 48 -

Convenant Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 +

MO Den Bosch verwerkt alleen persoonsgegevens als één van deze grondslagen aanwezig is. Iedereen binnen MO draagt een verantwoordelijkheid rond privacy Alle genoemde betrokken personen en partijen dragen een verantwoordelijkheid als het gaat om naleven van dit privacy beleid. Er zijn een aantal specifieke rollen: - Medewerkers van MO Den Bosch zijn aanspreekbaar op het borgen van de privacy van de klant. - MO Den Bosch faciliteert haar medewerkers om in hun dagelijks werk de juiste privacy afwegingen te maken. Ook houdt MO Den Bosch in de gaten of medewerkers handelen conform het privacy beleid en sturen zij tussentijds bij. Daarnaast heeft MO Den Bosch een verantwoordingsplicht, dit houdt in dat wij ook kunnen aantonen dat we aan de privacyregels voldoen. Dit blijkt uit: o ons actuele en volledige verwerkingsregister rondom privacy incidenten en datalekken; o ons openbare privacy statement op onze website; o onze manie waarop wij (cliënt)informatie op verwerken en behandelen. - De directeur van MO Den Bosch is verantwoordelijk voor een adequate toepassing en werking van dit privacy beleid en is de verwerkingsverantwoordelijke.

- De Functionaris Gegevensbescherming ziet toe op een correcte naleving van de privacywet, met als doel het bevorderen dat persoonsgegevens zorgvuldig worden geregistreerd en gebruikt worden en is verantwoordelijk voor het melden van datalekken bij de Autoriteit Persoonsgegevens. - Security Officer van Reinier van Arkel (MO Den Bosch valt onder de holding Reinier van Arkel) is de spin in het web als het gaat om beveiliging van informatie binnen de instelling: cliëntinformatie, medewerker gegevens en bedrijfsgevoelige informatie.

Privacy beleid cliënten We maken per situatie een afweging tussen het recht op privacy en het recht op passende dienstverlening o.b.v. vier leidende principes Ons inziens gaat privacy over méér dan uitwisseling van persoonsgegevens. Daarbij kan de afweging, welke persoonsgegevens in welke situatie gedeeld mogen worden, per situatie verschillen. Het delen van persoons-gegevens vergt altijd een zorgvuldige afweging van het recht op privacy én het recht op passende dienstverlening. Vanuit het recht op privacy willen we het delen van gegevens zoveel mogelijk beperken; vanuit het recht op passende dienstverlening willen we gegevens kunnen delen wanneer dit de dienstverlening ten goede komt. Omdat iedere situatie uniek is werken we bij MO Den Bosch volgens vier leidende principes: 1. De cliënt heeft zelf regie over zijn eigen dossier Dit betekent dat de cliënt recht heeft op inzage in zijn dossier. De cliënt kan zijn dossier inzien door in te loggen op de cliëntportaal Carenzorgt van Nedap. Daarnaast kan een cliënt verzoeken om bepaalde gegevens te wijzigen. Indien mogelijk draagt de medewerker samen met de cliënt zorg voor het vullen en actualiseren van het dossier. Voor zover wettelijk mogelijk is, heeft de cliënt zelf de regie welke persoonsgegevens wij verwerken in het dossier en welke gegevens door de medewerker uitgewisseld mogen worden.

- 49 -

Convenant Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + 2. Gegevens worden alleen vastgelegd en uitgewisseld voor zover noodzakelijk voor passende dienstverlening De cliënt, diens mogelijkheden tot eigen regie, diens ondersteuningsvraag en de daarvoor benodigde dienstverlening staan steeds weer centraal bij de afweging of vastleggen en/of delen van gegevens noodzakelijk is. Het delen van gegevens vindt uitsluitend plaats met toestemming van de cliënt. De cliënt tekent hiervoor een toestemmingsverklaring. 3. Veiligheid van de cliënt en/of zijn omgeving vormen altijd de ondergrens Wanneer de veiligheid van de cliënt en/of zijn omgeving in het geding is, grijpt de medewerker in en kan hij ook zonder toestemming van de cliëntgegevens vastleggen of delen met derden. De medewerker doet dit altijd na collegiale consultatie en informeert altijd de cliënt waarom hij heeft besloten zonder toestemming van de cliënt te handelen. 4. De medewerkers zijn open en transparant richting cliënten over de wijze waarop zij omgaan met het vastleggen van gegevens en het delen ervan met derden. Noodzaak en toestemming van cliënten vormen basis voor gegevens vastlegging en –uitwisseling Cliëntgegevens zijn nodig voor passende zorgverlening, cliënt heeft altijd recht op inzage Wij informeren de cliënt tijdens het intakegesprek over de werkwijze van MO Den Bosch.

Tijdens dit gesprek informeren wij de cliënt op een duidelijke en begrijpelijke manier welke (persoons)gegevens worden vastgelegd in het cliëntdossier, wat het doel is van het gebruik van deze gegevens, aan wie de organisatie de gegevens eventueel heeft verstrekt, en wat de herkomst is van de gegevens. In het Toestemmingsformulier geven cliënten aan welke relevante personen rondom de cliënt opgenomen mogen worden in het dossier. Het is de verantwoordelijkheid van de cliënt om deze personen te informeren dat zij eventueel gebeld kunnen worden door MO Den Bosch. Persoonsgegevens worden zo min mogelijk, maar zo veel als nodig, geregistreerd en uitgewisseld. De gegevens die wij in ieder geval registreren zijn: voornaam, achternaam, BSN nummer, geboortedatum, geboorteplaats en nationaliteit. In het elektronisch cliëntendossier wordt het BSN geverifieerd aan de Basisregistratie Persoonsgegevens (BRP). Cliënten hebben recht op inzage in hun persoonsgegevens Cliënten hebben vanaf 2020 een eigen inlogportaal waarop zij kunnen inloggen en hun (eigen) dossier kunnen inzien. Cliënten hebben geen recht op informatie over anderen. Ook kunnen zij zelf geen gegevens wijzigen. Zij kunnen met de begeleiders in gesprek over feitelijke onjuistheden in het dossier. De begeleiders kunnen gegevens aanpassen via het medewerkersportaal.

Cliënten hebben recht op correctie en verwijdering van hun persoonsgegevens Cliënten mogen de medewerker(s) van MO Den Bosch vragen hun persoonsgegevens te verbeteren, aan te vullen, te verwijderen (vernietigingsrecht) of af te schermen. Dat kan wanneer hun persoonsgegevens feitelijk onjuist zijn, onvolledig zijn of niet ter zake doen voor het doel waarvoor ze zijn verzameld of op een andere manier in strijd met een wet worden gebruikt. Het correctierecht is niet bedoeld voor het corrigeren van professionele indrukken, meningen en conclusies waarmee iemand het niet eens is, voor zover deze ter zake doen. Een verzoek om correctie of verwijdering van gegevens kan worden geweigerd, op het moment dat: • De gegevens wettelijk moeten worden bewaard; • Het bewaren van de gegevens noodzakelijk is om de cliënt een goede kwaliteit van dienstverlening te bieden of de cliënt te beschermen, bijvoorbeeld tegen geweld; M.a.w. het aanpassen/verwijderen van het dossier zou goed hulpverlenerschap in de weg staan, bijv. als

- 50 -

Convenant Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + het overduidelijk is dat vernietiging van het dossier niet in het belang is van de patiënt. Bijv. informatie die zó cruciaal is voor de hulpverlening, dat de hulpverlener bij vernietiging van de gegevens geen verantwoorde zorg meer kan leveren. • Het bewaren van de gegevens noodzakelijk is in verband met een gerechtvaardigd belang van MO Den Bosch. Bijvoorbeeld bij een lopende klachtenprocedure. De theoretische kans dat een cliënt in de toekomst een klacht indient valt hier dus niet onder. Een afwijzing van een vernietigingsverzoek, moet goed worden onderbouwd. Wij leggen enkel vast/wisselen uit wat noodzakelijk is voor passende dienstverlening Medewerkers vragen altijd toestemming aan de cliënt (of zijn/haar vertegenwoordiger) voor het uitwisselen van diens gegevens met derden. De cliënt/ vertegenwoordiger tekent hiervoor de Toestemmingsverklaring bij de intake. Voor kinderen tot 12 jaar geeft de ouder met gezag/voogd toestemming. Voor kinderen van 12 tot 16 jaar geldt dat zowel de ouder met gezag/voogd als het kind toestemming moet geven. Kinderen vanaf 16 jaar geven zelf toestemming. Met alleen toestemming is er nog geen grond om cliëntgegevens te mogen uit te wisselen. Wij leggen cliëntgegevens alleen vast en/of wisselen gegevens uit, wanneer dit noodzakelijk is voor een goede dienstverlening.

Elke keer bij het uitwisselen van gegevens dient de afweging gemaakt te worden of gegevensdeling bijdraagt aan het doel dat we willen bereiken. Indien het noodzakelijk is om gegevens uit te wisselen met derden, streven we naar een driegesprek, waarbij de medewerker samen met de cliënt de gegevens uitwisselt met de derde partij. Hierdoor is de eigen regie van de cliënt optimaal. Als een driegesprek niet lukt, dan wordt de cliënt expliciet om toestemming gevraagd. Dit alles geldt zowel voor schriftelijke uitwisseling van persoonsgegevens als voor mondelinge uitwisseling van persoons-gegevens van cliënten. Voor het digitaal verzenden van cliëntinformatie gebruiken wij de ‘Veilig Verzenden’ optie binnen Outlook. Een veilige en gebruiksvriendelijke tool om e-mail berichten veilig versleuteld te verzenden en te ontvangen. Privacy- en organisatiegevoelige e-mailberichten zijn dan alleen in te zien door degene voor wie het bericht bedoeld is. Wanneer de veiligheid van cliënt en/of omgeving in gevaar is, is privacy niet meer leidend Indien de veiligheid van de cliënt en/of zijn omgeving in het geding is, kan een medewerker kiezen om zonder toestemming of ondanks een bezwaar van de cliënt toch gegevens vast te leggen en/of te delen met andere partijen.

Op grond van de wet- en regelgeving rondom de Meldcode Kindermishandeling en Huiselijk Geweld zijn medewerkers in een aantal gevallen hiertoe zelfs verplicht. Voordat een medewerker hiertoe besluit bespreekt hij de casus met een ander teamlid en/of zijn leidinggevende. Ook informeert hij de cliënt, waar mogelijk, over de stappen die hij gaat ondernemen, ook al heeft deze geen toestemming verleend. De medewerker legt in het cliëntdossier vast waarom hij heeft besloten zonder toestemming van de cliënt te handelen, wie hij hierover heeft gesproken en op welke wijze hij de cliënt heeft geïnformeerd. In onze hulpverlening is het soms waardevol om cliëntgegevens uit te wisselen met derden, ook wanneer er niet direct sprake is van doelbinding. Bijvoorbeeld bij (cliënt)monitoring, intervisies of casuïstiekbesprekingen. Dit draagt bij aan het vergroten van het lerende vermogen van MO Den Bosch en draagt hierdoor bij aan het verbeteren van onze dienstverlening. Privacy van cliënten komt in deze gevallen nooit in het geding, omdat persoonsgegevens altijd geanonimiseerd worden of omdat een cliënt toestemming geeft om zijn casus te bespreken voor dit doeleinde.

- 51 -

Convenant Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + Elke betrokkene heeft het recht een klacht in te dienen of bezwaar te maken tegen de wijze waarop zijn of haar persoonsgegevens worden verwerkt. Dit kan gemeld worden bij de FG. In ons ECD wordt de informatie veilig en verantwoord geregistreerd Cliëntgegevens mogen alleen worden geregistreerd en opgeslagen in een veilig en verantwoord registratiesysteem. Per 1-1-2020 gebruiken we ONS (NEDAP) als registratiesysteem. MO Den Bosch ziet toe op zorgvuldig gebruik en inrichting van het systeem. Een cliëntdossier is niet voor iedereen inzichtelijk. Er is een autorisatiemodel, dat zo is opgesteld dat alleen relevante personen toegang hebben tot dossiers van cliënten. Medewerkers die toegang hebben tot dossiers hebben een geheimhoudingsplicht. Zij delen alleen gegevens met andere partijen in opdracht van- en na toestemming van de cliënt of bij veiligheidsissues. De receptiemedewerkers en nachtwakers hebben enkel zicht op wie er in zorg zijn en hebben géén inzage in het dossier. Zij hebben dit inzicht nodig in geval een calamiteit of wanneer er sprake is van veiligheidsissues bij mensen die op een hoog-veiligheidsrisico-plek (code rood) verblijven.

Zo weten zij wie zij bij een noodgeval, calamiteit of veiligheidsissue, kunnen bellen, of deze persoon verzekerd is, of deze persoon medicatie gebruikt en wie de huisarts is. We hanteren een log-systeem zodat we kunnen volgen welke medewerker in welk dossier kijkt. Deze wordt geraadpleegd door de systeembeheerder wanneer hier aanleiding toe is. Wij bewaren cliëntgegevens zolang als noodzakelijk is Met inachtneming van eventuele wettelijke voorschriften bewaren wij de gegevens, zolang als noodzakelijk is, in het kader van de hulpverlening aan de betrokkene. Als de bewaartermijn is verstreken verwijderen we de betreffende persoonsgegevens uit onze systemen.

Privacy beleid medewerkers Wij bewaren het personeelsdossier voor de duur die is vastgelegd in wet- en regelgeving Voor een personeelsdossier gelden specifieke bewaartermijnen. Bij de meeste zaken in een personeelsdossier gelden maximum bewaartermijnen, maar soms is er ook een minimum. Zaken die maximaal 2 jaar na einde dienstverband bewaard mogen worden • arbeidsovereenkomsten en wijzigingen (vastgelegd in art. 52 Wet Rijksbelastingen) • correspondentie over benoemingen, promotie, demotie en ontslag (vastgelegd in art. 52 Wet Rijksbelastingen); NB: deze moeten ook minimaal 2 jaar worden bewaard • verslagen van functioneringsgesprekken (vastgelegd in de AVG); NB: deze moeten ook minimaal 2 jaar worden bewaard. • verslaglegging in het kader van de Wet Verbetering Poortwachter (vastgelegd in de AVG) • VUT-regeling (vastgelegd in art. 52 Wet Rijksbelastingen) • afspraken over werkzaamheden voor de OR (vastgelegd in Vrijstellingsbesluit Wbp); NB: maximale bewaartermijn geldt hier 2 jaar na einde lidmaatschap, niet na einde dienstverband Zaken die maximaal 5 jaar na einde dienstverband bewaard mogen worden • Loonbelastingverklaringen en kopieën van identiteitsbewijzen (vastgelegd in art. 66 lid 4 Uitvoeringsregeling LB) Zaken die maximaal 7 jaar na einde dienstverband bewaard mogen worden • Afspraken over salaris en arbeidsvoorwaarden (vastgelegd in Wet Rijksbelastingen)

- 52 -

Convenant Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + •

Persoonsgegevens werknemers - NAW en Burgerlijke staat (vastgelegd in Wet Rijksbelastingen)

Bijzondere zaken en hun bewaartermijnen Sollicitatiebrieven, - formulieren, correspondentie omtrent de sollicitatie, getuigschriften en verklaring omtrent gedrag • Bewaartermijn: maximaal 4 weken zonder toestemming, maximaal 1 jaar met toestemming van de sollicitant • Ingangsdatum bewaartermijn: na beëindiging sollicitatieprocedure • Vastgelegd in: AVG Gegevens over etniciteit en herkomst • Bewaartermijn: minimaal 5 jaar, geen maximum • Ingangsdatum: na einde dienstverband • Vastgelegd in: Wet Samen (Wet Stimulering Arbeidsdeelnamen Minderheden) Identiteitspapieren van van derden ingeleende vreemdelingen waarvoor een tewerkstellingsvergunning is verleend • Bewaartermijn: minimaal 5 jaar, geen maximum • Ingangsdatum: na afloop van het kalenderjaar waarin arbeid door ingeleende vreemdeling is beëindigd • Vastgelegd in: Wet Arbeid Vreemdelingen Loonbeslagen • Bewaartermijn: maximaal tot het moment van opheffing • Vastgelegd in: Vrijstellingsbesluit Wbp

Beveiligen van persoonsgegevens Wij hebben verschillende technische en organisatorische maatregelen genomen om de persoonsgegevens die wij verwerken te beveiligen De FG maakt door middel van melding bij het Autoriteit Persoonsgegevens het bestaan van de gegevens-verwerkingen bekend. Een afschrift van de melding aan de Autoriteit Persoonsgegevens is ter inzage beschikbaar. We houden rekening met de, qua waarschijnlijkheid en ernst, uiteenlopende risico’s voor de rechten en vrijheden van personen. Waar passend omvatten de maatregelen op grond van artikel 32 AVG onder meer het volgende: - De pseudonimisering en versleuteling van persoonsgegevens; - Het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en diensten te garanderen; - Het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen; - Een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking. Wanneer wij persoonsgegevens verwerken of laten verwerken door een derde, zorgen wij ervoor dat passende beveiligingsmaatregelen worden getroffen om de betreffende persoonsgegevens te beschermen tegen de verschillende risico’s.

- 53 -

Convenant Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + Medewerkers weten wanneer zij een melding moeten doen van een datalek Als er sprake is van een informatiebeveiligingsincident, waarbij bijvoorbeeld gegevens van personen in verkeerde handen kunnen komen of zijn gekomen, is voor medewerkers duidelijk hoe zij moeten handelen. Dit is vastgelegd in het Protocol Meldplicht en afhandeling van (vermoedelijke) datalekken. Dit protocol bevat een vastgesteld proces van te doorlopen stappen om de eventuele schade of de kans hierop, bij een datalek te beperken en de getroffen perso(o)n(en) te beschermen en te informeren. Een datalek is een situatie waarbij er sprake is van een ‘inbreuk in verband met persoonsgegevens’. Er is sprake van een datalek wanneer persoonsgegevens in handen komen van personen die géén zorg- of medewerker relatie hebben met de betrokken persoon en normaal gesproken ook geen toegang hebben tot deze gegevens. Een datalek kan zich op verschillende manier voordoen en is niet altijd even ernstig. Voorbeelden van datalekken zijn bijvoorbeeld: • dossiers die bij onbevoegden terecht komen, • hackaanvallen waarbij cliëntgegevens gestolen worden, • een e-mail of fax die aan de verkeerde persoon wordt gestuurd • het kwijtraken van een laptop of USB-stick waarop een Excel sheet met afspraken staat.

• verlies van een mobiele telefoon met daarin contactgegevens van medewerkers en/of cliënten . De Functionaris Gegevensbescherming bij Reinier van Arkel verzamelt alle noodzakelijke gegevens om de impact van de melding te bepalen. Hij/zij analyseert het incident en bepaalt of het inderdaad een datalek is of een informatiebeveiligingsincident. Wij passen de plicht tot het melden van een (vermoeden van een) datalek toe De plicht tot het melden van een (vermoeden van een) datalek geldt als er sprake is van een aanzienlijke kans op ernstige nadelige gevolgen voor betrokkene, dan wel ernstige nadelige gevolgen voor de bescherming van persoonsgegevens. Het betreft situaties van het (mogelijk) lekken van persoonsgegevens uit bestanden van MO Den Bosch en/of gegevens waarvoor MO Den Bosch verantwoordelijkheid draagt. Een datalek melden wij direct bij de Autoriteit Persoonsgegevens MO Den Bosch doet direct een melding doen bij de Autoriteit Persoonsgegevens (via de FG), zodra er sprake is van een ernstig datalek. Indien nodig, wordt het datalek ook gemeld aan de mensen van wie de persoonsgegevens zijn gelekt. Wij houden van alle datalekken een registratie bij. De toepassing van het privacy beleid wordt regelmatig geëvalueerd en gecontroleerd Het privacy beleid wordt door de preventiemedewerker regelmatig besproken en geëvalueerd met de verschillende teams.

De Functionaris voor Gegevensbescherming (FG) houdt een verwerkingsregister bij, bestemd voor de inschrijving van verwerkingen van persoonsgegevens Bij de inschrijving worden in ieder geval de volgende gegevens vermeld: 1. de naam van de verwerking; 2. wie de verantwoordelijke is voor de verwerking; 3. het doel van de verwerking; 4. de groep van personen van wie persoonsgegevens worden verwerkt (betrokkenen); 5. de categorie persoonsgegevens die bij de verwerking worden gebruikt; 6. de ontvangers van de gegevens;

- 54 -

Convenant Zorgtafel regio Oost-Brabant Slachtoffers Mensenhandel 18 - / 18 + 7. de rechtmatige grondslag voor de verwerking van de persoonsgegevens; 8. eventuele verstrekkingen aan andere landen buiten de Europese Economische Ruimte; 9. De verwijderingstermijn die in acht genomen wordt. De FG houdt toezicht op de volledigheid en rechtmatigheid van de in het register ingeschreven verwerkingen van persoonsgegevens en de daarbij behorende documenten (eventuele verwerkersovereenkomst, Privacy Impact Assessment (PIA), privacystatement, informatieverplichting). Bij wijzigingen van de bij de inschrijving opgenomen gegevens draagt de medewerker zorg voor wijziging hiervan in het register en informeert de FG hierover.

- 55 -