20230921 Raadsvoorstel_Privacybeleid.pdf

Voorstel aan de raad

Verantwoordelijk team

Nummer

Concernstaf

15*

Kenmerk

Raad d.d.

000000

29-11-2023

Paragraaf begroting

Portefeuillehouder

n.v.t.

M.A. (Marinka) Mulder

Steller

L. (Leonie) Peters Datum

Onderwerp

21 september 2023

Privacybeleid

Geadviseerd besluit 1.

Vaststellen privacybeleid door uw raad als verwerkingsverantwoordelijke voor 2023-2025

2.

Intrekken privacynotitie ‘zorgvuldig en transparant’

Toelichting op beslispunten Op 25 mei 2018 was het zover: de veelbesproken Algemene Verordening Gegevensbescherming (AVG) trad in werking. Omdat dit een vereiste was vanuit de AVG, is destijds een privacynotitie vastgesteld, een beleidsdocument met uitgangspunten over hoe wij binnen gemeente Renkum om gaan met persoonsgegevens. Inmiddels zijn we bijna vijf jaar verder en is ook binnen gemeente Renkum de AVG en privacy meer gaan leven. De afgelopen jaren hebben ons ook veel geleerd: van de vraagstukken die in de organisatie leven, problemen waar medewerkers tegenaan lopen, op welke punten we al goed bezig zijn en op welke punten we ons nog kunnen verbeteren. De eerder vastgestelde privacynotitie is inmiddels op meerdere onderdelen achterhaald. Hoog tijd dus om het privacybeleid aan te passen, zodat het medewerkers zo goed mogelijk kan ondersteunen en daarnaast onze organisatie verder kan brengen.

Beoogd effect Met het nieuwe privacybeleid wordt voldaan aan de noodzakelijke stap om te voldoen aan de AVG (met name artikel 24 lid 1 en 2), de accountantscontrole en verschillende normenkaders.

Kader Algemene verordening Gegevensbescherming Uitvoeringswet Gegevensbescherming

Argumenten 1. Alle bestuursorganen van de gemeente zijn verwerkingsverantwoordelijke volgens de AVG. De raad heeft als verwerkingsverantwoordelijke de bevoegdheid om een privacybeleid vast te stellen. Het vaststellen van een privacybeleid voor iedere verwerkingsverantwoordelijke is van belang, omdat de gemeente met veel en ook vooral veel gevoelige en bijzondere persoonsgegevens werkt. De raad verwerkt ook persoonsgegevens, dus dient zij zich aan het privacybeleid te conformeren. Daarnaast zijn inwoners in grote mate afhankelijk van de dienstverlening die wij als gemeente leveren, die zij immers nergens anders kunnen krijgen. Dit geeft een grote verantwoordelijkheid om op een goede manier met deze persoonsgegevens om te gaan. Een privacybeleid helpt hierbij, doordat het voor medewerkers die met persoonsgegevens werken de mogelijkheden en grenzen aangeeft van wat zij met persoonsgegevens mogen doen. Een privacybeleid biedt dus handvatten bij

Voorstel aan de raad

2.

het uitvoeren van de werkzaamheden. Met dit voorstel wordt het huidige beleid geactualiseerd. Op grond van artikel 24 lid 1 en 2 van de AVG moet de gemeente passende technische en organisatorische maatregelen treffen om te kunnen waarborgen en aantonen dat de AVG wordt nageleefd. Wanneer dit in verhouding staat tot de gegevensverwerkings- activiteiten, omvatten deze maatregelen in ieder geval een privacybeleid dat ook wordt uitgevoerd. De Autoriteit Persoonsgegevens heeft dit gespecificeerd, door aan te geven dat dit in ieder geval voor overheidsorganen geldt. In de afgelopen jaren zijn er verschillende ontwikkelingen geweest op het gebied van digitalisering. Om meer aansluiting te vinden met andere wetten, zoals de Woo, Wmebv en de Wet digitale overheid (Wdo) dient het privacybeleid dan ook geactualiseerd te worden.

Kanttekeningen Een beleid hebben betekent natuurlijk ook dat je het na moet leven. Op dit moment verdient het onderwerp privacy en informatiebeveiliging extra aandacht, omdat ontwikkelingen in dit vakgebied elkaar razendsnel opvolgen. Wanneer je dit privacybeleid op een goede manier wenst te implementeren in de organisatie, is het noodzakelijk dat het onderwerp privacy en informatiebeveiliging meer aandacht krijgt. Op deze wijze kan beter de link gelegd worden tussen privacy en de werkprocessen, en blijft bewustwording beter geborgd.

Draagvlak Inwoners en medewerkers (en andere personen wiens persoonsgegevens wij verwerken) zijn erbij gebaat dat wij op een goede manier omgaan met hun persoonsgegevens. Daarnaast hebben medewerkers baat bij een beleid dat hen helpt om de juiste afwegingen te maken bij de verwerking van persoonsgegevens tijdens hun werkzaamheden. Het uitgangspunt is dat medewerkers met teamleiders en managers zullen bespreken waar zij mee bezig zijn. De Privacy Officer en CISO zullen daarbij zo goed mogelijk ondersteunen door enerzijds te centraliseren en anderzijds advisering en ondersteuning bieden wanneer daar behoefte aan is. Hierdoor wordt het draagvlak voor privacy en informatiebeveiliging vergroot. Inherent aan de functie van de Privacy Officer is dat deze bij verschillende afdelingen de rondvraag doet of hij/zij iets kan betekenen voor afdelingen met betrekking tot privacy.

Aanpak/Uitvoering Een gemeente bestaat uit meerdere verwerkingsverantwoordelijke bestuursorganen, zoals het college, de burgemeester en de raad. Voor iedere verwerkingsverantwoordelijke is een voorstel opgesteld, waarbij wordt gevraagd om het privacybeleid vast te stellen voor de gehele organisatie, en alle verwerkingsverantwoordelijke organen daarvan. Dit privacybeleid wordt na vaststelling gepubliceerd op Intranet, en medewerkers worden hier op een actieve manier naar verwezen. Dit met name door bewustwordingsacties te organiseren, en door het beleid bij nieuwe medewerkers actief aan te reiken. Daarnaast zal het van belang zijn dat het management en de teamleiders het beleid kunnen ondersteunen en actief uit kunnen dragen binnen de teams. Het is daarbij belangrijk dat zij ervoor kunnen zorgen dat de inhoud van het beleid integraal onderdeel wordt van de werkzaamheden binnen de teams waarbij persoonsgegevens worden verwerkt. Dit zal onder andere kunnen worden gewaarborgd door het privacybeleid per team (of subteam) nader uit te werken in de vorm van teamspecifieke richtlijnen/handvatten. Het is belangrijk dat medewerkers bij het uitvoeren van hun werkzaamheden dit beleid naleven. Daarnaast zal de organisatie als werkgever dit beleid naleven bij het verwerken van persoonsgegevens van medewerkers.

Communicatie Via de privacyverklaring op de website kan een link worden geplaatst waar bezoekers van de website het beleid kunnen bekijken. Op deze manier worden bezoekers nog beter geïnformeerd over hoe wij als gemeente met persoonsgegevens om gaan. De externe communicatie van het nieuwe beleid gaat via de publicatie op de website. Door publicatie op het intranet wordt intern bekendheid gegeven aan het nieuwe beleid. Onderwerp

Privacybeleid Datum

Kenmerk

Pagina

21 September 2023

000000

2 van 3

Voorstel aan de raad

Financiële consequenties N.v.t.

Juridische consequenties N.v.t.

WMO-aspecten N.v.t.

Gezondheid N.v.t.

Duurzaamheid N.v.t.

Effect op vermindering regeldruk N.v.t.

Alternatieven Een alternatief is het niet vaststellen van het privacybeleid. Dit brengt echter verschillende consequenties met zich mee. 1. Niet voldoen aan regelgeving - Het vaststellen van dit privacybeleid is een noodzakelijke stap om te voldoen aan de AVG (met name artikel 24 lid 1 en 2), de accountantscontrole en verschillende normenkaders. De huidige privacynotitie is niet meer actueel en voldoet niet aan de vereisten van de AVG. 2.

Geen duidelijke handvatten - Zonder beleid hebben medewerkers geen duidelijke handvaten voor het uitvoeren van de werkzaamheden en de omgang met persoonsgegevens. Dit kan ervoor zorgen dat niet zorgvuldig met persoonsgegevens om wordt gegaan.

Onderwerp

Privacybeleid Datum

Kenmerk

Pagina

21 September 2023

000000

3 van 3