Bijlage 10 Verwerking persoonsgegevens

Inburgering

Bijlage Algemene inkoopdocumenten

Bijlage 10 Verwerking persoonsgegevens

Inkoop sociaal domein Centraal Gelderland Algemene inkoopdocumenten

Inhoud 1. 2. 3. 4.

Algemeen ............................................................................................................................ 2 Verwerking persoonsgegevens van opdrachtnemers door Inkoop SDCG .......................... 2 Verwerking persoonsgevens voor SROI .............................................................................. 3 Verwerking persoonsgegevens tussen opdrachtgever(s) en opdrachtnemer ................... 4

1

Inkoop sociaal domein Centraal Gelderland Algemene inkoopdocumenten

Vooraf De Algemene Verordening Gegevensbescherming (AVG) is een Europese verordening die de regels voor de verwerking van persoonsgegevens in de hele Europese Unie standaardiseert. De AVG is, met de uitvoeringswet AVG (UAVG), de belangrijkste privacywet in Nederland en bepalend voor de overheid en voor particuliere bedrijven.

1. Algemeen Inkoop sociaal domein Centraal Gelderland (verder Inkoop SDCG) is een module van de Modulaire Gemeenschappelijke Regeling Sociaal Domein Centraal Gelderland (MGR SDCG). De MGR SDCG is de rechtspersoon. Inkoop SDCG heeft de opdracht voor de aangesloten gemeenten regio Midden Gelderland (opdrachtgevers) de contracten met aanbieders (opdrachtnemers) te faciliteren en te organiseren. Er is sprake van het uitwisselen (verwerken) van persoonsgegevens tussen opdrachtnemers en de MGR SDCG en tussen opdrachtgevers en opdrachtnemers. Daarbij zijn wettelijke regels, waaronder de AVG, van kracht. Opdrachtnemers hebben een eigen verwerkingsverantwoordelijkheid. Tegelijk verwerkt de opdrachtnemer persoonsgegevens die de opdrachtgever heeft verstrekt en dienen daarover afspraken te worden gemaakt; daartoe dient deze bijlage. Opdrachtgevers (deelnemende gemeenten regio Midden Gelderland) verstrekken gegevens en moeten erop kunnen rekenen dat daarmee zorgvuldig wordt omgegaan. Dan is het goed dat de opdrachtgevers door opdrachtnemers worden geïnformeerd over met wie gegevens worden gedeeld en dat de beveiliging goed is geregeld.

2. Verwerking persoonsgegevens van opdrachtnemers door Inkoop SDCG Inkoop SDCG verzamelt en gebruikt alleen die (persoons)gegevens die nodig zijn voor de dienstverlening richting opdrachtgevers en opdrachtnemers: de inkoop van dienstverlenging bij opdrachtnemers ten behoeve van inburgeringsplichtigen van die opdrachtgevers. Inkoop SDCG faciliteert en organiseert de contracten, niet de dienstverlening zelf. In beginsel verwerkt Inkoop SDCG geen persoonsgegevens van Inburgeringsplichten die gebruik maken van de dienstverlenging. De enige uitzondering hierop is indien er in het kader van het uitvoeren van handhaving van kwaliteit en rechtmatigheid, namens opdrachtgever(s) meldingen worden ontvangen die, in relatie tot het goed en volgens afspraken (kunnen) uitvoeren van de opdracht, vragen om het gebruiken van (persoons)gegevens. Van opdrachtnemers verwerkt Inkoop SDCG de persoonsgegevens van degenen die optreden namens de onderneming. Daarnaast is het onderdeel van de contractering dat Inkoop SDCG moet kunnen controleren of een opdrachtnemer voldoet aan de vereiste criteria. Inkoop SDCG heeft daartoe het recht om de volgende gegevens op te vragen: voorletters en achternaam van medewerkers, soort registratie, VOG (Verklaring omtrent gedrag), omvang en soort van dienstbetrekking, en opleiding/diploma’s.

Uiteraard verwerkt Inkoop SDCG de gegevens van personen die telefonisch of via een formulier persoonsgegevens verstrekken of gegevens op de website www.inkoopsdcg.nl achterlaten.

2

Inkoop sociaal domein Centraal Gelderland Algemene inkoopdocumenten

3. Verwerking persoonsgevens voor SROI In de regio Midden Gelderland willen gemeenten zoveel mogelijk mensen met een kwetsbare arbeidsmarktpositie aan werk helpen. Eén manier om dat te doen is het werken met sociale voorwaarden bij inkopen en aanbestedingen. In het geval van de inkoop Inburgering betekent dit dat opdrachtnemers een SROI-verplichting aangaan in de vorm van een resultaatsverplichting van 5% van de omzet binnen de regio Midden Gelderland. De SROI-verplichting wordt toegepast op de daadwerkelijk gerealiseerde omzet van een jaar. Jaarlijks wordt geïnventariseerd welke opdrachtnemers aan de SROI-verplichting moeten voldoen. De contractmanager is hierin het eerste contactpersoon. Door de MGR SDCG is een Steunpunt SROI ingericht. Dat monitort SROI-verplichtingen voor de opdrachtgevers (de aangesloten gemeenten) en helpt opdrachtnemers bij de invulling van deze verplichting. Het Steunpunt is een submodule van het Werkgevers Servicepunt Midden-Gelderland (WSP). Bij Steunpunt SROI vindt u meer informatie over wat het voor opdrachtnemers inhoudt. SROI en AVG (voor opdrachtnemers) Van elke kandidaat die ten behoeve van SROI wordt ingezet, word je als opdrachtnemer gevraagd om een aantal persoonsgegevens in te vullen in Wizzr.

Zo kunnen we checken of wordt voldaan aan de SROI-verplichting en kan het systeem controleren of de kandidaat niet tegelijkertijd op een ander inkoopcontract wordt ingezet. We vragen niet meer persoonsgegevens dan nodig, zullen dit ook nooit per e-mail doen en zullen bijvoorbeeld nooit vragen om een BSN-nummer met ons te delen. Bewijslast Om de invoer te controleren heeft de SROI-coördinator tenminste een bewijsstuk nodig waaruit blijkt dat de kandidaat gedurende het periode waarover het inkoopcontract inderdaad in dienst was bij de opdrachtnemer. Dit is meestal de arbeidsovereenkomst. Daarnaast moet een bewijsstuk aangeleverd worden waaruit blijkt dat de kandidaat in de geselecteerde doelgroep (bouwblok) valt, zodat er een juiste SROI-waarde aan de invoer gekoppeld kan worden. Transparantie We raden aan om alle verdere, privacygevoelige, informatie die op de bewijsstukken staat zwart te lakken. We raden ook met klem aan om transparant te zijn naar de kandidaat. De opdrachtnemer dient zelfs expliciet toestemming te vragen voor het delen van diens gegevens. Dat is de grondslag voor de verwerking van de persoonsgegevens door de opdrachtnemer. In die toestemmingsverklaring kun je opnemen welke en waarom (met welk doel) je gegevens verwerkt. Voorbeelden van bewijsstukken Mensen die zijn opgenomen in het doelgroepregister kunnen zelf een doelgroepverklaring aanvragen bij UWV.

Wanneer iemand een WW-uitkering heeft gehad kan het bewijsstuk een beslissingsbrief van UWV zijn. In het geval van iemand met een bijstandsuitkering de beschikking van de gemeente. Een formeel schrijven, mail of uitkeringsspecificatie van de gemeente kan ook voldoende zijn. Bij stages is er vaak een beroepspraktijkvorming- of stageovereenkomst waarin het type opleiding, het opleidingsniveau, duur van de opleiding en de opleidingsinstelling staan benoemd.

3

Inkoop sociaal domein Centraal Gelderland Algemene inkoopdocumenten

SROI en uw privacy (voor werknemers) (deze tekst kunt u als opdrachtnemer gebruiken om transparant te zijn naar uw werknemers) De overheid vindt het belangrijk dat mensen met een kwetsbare arbeidsmarktpositie aan passend werk kunnen komen. Daarom vragen gemeenten aan bedrijven die voor hen opdrachten doen om aan te tonen dat ze mensen een kans geven en in dienst nemen. Dat heet in het Engels: Social Return, ‘winst voor de maatschappij’. En vooral ook winst voor degenen die daardoor aan het werk komen of een stage kunnen doen. Het bedrijf waar u werkt moet dus kunnen bewijzen dat het mensen kansen geeft. Uw werkgever moet daarvoor persoonsgegevens verstrekken aan het Steunpunt SROI, dat dit namens de gemeenten controleert. Om welke gegevens gaat het dan? Dat zijn uw naam, geslacht, adres en geboortedatum. Ook deelt uw werkgever gegevens over uw contract en het soort uitkering die u heeft gehad of de opleiding die u volgt. Uw werkgever hoeft niet uw BSN-nummer te geven en zal ook geen details verstrekken over uw medische situatie. Uw werkgever zal u vragen om schriftelijk toestemming te geven dat hij die gegevens van u aan het Steunpunt mag doorgeven. U bent vrij om die wel of niet te geven.

4. Verwerking persoonsgegevens tussen opdrachtgever(s) en opdrachtnemer Binnen de toelatingsprocedure voor de inkoop in het Sociaal Domein van regio Midden Gelderland wordt gebruikgemaakt van digitale (raam)overeenkomsten. Deze bijlage is onlosmakelijk onderdeel van de tussen opdrachtgever en opdrachtnemer gesloten (raam)overeenkomst en geeft nadere richtlijnen over de verwerking van persoonsgegevens. Partijen komen in het kader van de uitvoering van de tussen hen gesloten (raam)overeenkomst het volgende overeen over de verwerking van persoonsgegevens: 1. Opdrachtnemer verwerkt in het kader van de uitvoering van de overeenkomst persoonsgegevens, in overeenstemming met de geldende privacyregelgeving (in het bijzonder de AVG en de Uitvoeringswet AVG) en van toepassing zijnde bijzondere wetgeving, waaronder de vereisten op het gebied van technische en organisatorische maatregelen. a. Persoonsgegevens die in het kader van de uitvoering van de overeenkomst door opdrachtnemer worden verwerkt, worden uitsluitend in dat kader verwerkt, of indien de wet daartoe verplicht. b. Opdrachtnemer zal de persoonsgegevens in geen geval en op geen enkele wijze verstrekken aan derden, tenzij deze verstrekking nodig is in het kader van de uitvoering van de overeenkomst of wanneer opdrachtnemer daartoe wettelijk verplicht is. c.

Opdrachtnemer zal de persoonsgegevens geheim houden en alle nodige maatregelen treffen om geheimhouding van de persoonsgegevens te verzekeren. d. Indien opdrachtnemer bij de uitvoering van de overeenkomst gebruik wenst te maken van derde(n) voor de (gedeeltelijke) uitvoering van de overeenkomst en waarbij die kennis kan nemen van persoonsgegevens, deelt opdrachtnemer dit mede aan de opdrachtgever. e. Opdrachtnemer zal de verplichting tot het voldoen aan de geldende privacy regelgeving en de geheimhouding opleggen aan alle personen die voor haar werkzaam zijn en door hem ingeschakelde derden die toegang krijgen tot de persoonsgegevens; f. Opdrachtnemer zal zorgen dat de persoonsgegevens niet buiten de EER (Europese Economische Ruimte, daartoe behoren alle EU-landen plus Liechtenstein, Noorwegen en 4

Inkoop sociaal domein Centraal Gelderland Algemene inkoopdocumenten

IJsland) worden verwerkt, tenzij daarvoor passende maatregelen zijn genomen conform de geldende privacyregelgeving. 2.

In geval van een beveiligingsincident (‘datalek’), waarbij persoonsgegevens die in het kader van de overeenkomst worden verwerkt verloren zijn gegaan of waartoe onbevoegden toegang hebben kunnen krijgen, zal opdrachtnemer dit als verwerkingsverantwoordelijke afhandelen. De aanpak zal geschieden met inachtneming van de geldende regelgeving (art. 33 en 34 van de AVG) met betrekking tot beveiligingsincidenten en de meldplicht datalekken. Daarbij zal, indien het gaat om een incident dat gemeld dient te worden bij de Autoriteit Persoonsgegevens, de opdrachtnemer de opdrachtgever zo snel mogelijk informeren en in overleg treden over de aanpak en afhandeling van het incident.

3.

Opdrachtnemer zal alle op de uitvoering van de overeenkomst betrekking hebbende persoonsgegevens na beëindigen van de overeenkomst volgens de daartoe geldende regels vernietigen of bewaren.

4.

Partijen zullen ieder voor zich betrokkenen informeren over de verwerkingen van hun persoonsgegevens, in ieder geval conform artikel 13 en 14 AVG, waarbij partijen betrokkenen tevens zullen informeren over de onderlinge uitwisseling van de persoonsgegevens.

5.

Partijen zullen ieder voor zich een verzoek, klacht of een bezwaar van een betrokkene conform de geldende privacyregelgeving behandelen. Indien het verzoek, klacht of bezwaar tevens betrekking heeft op de door de andere partij verwerkte persoonsgegevens zullen partijen in overleg treden over de reactie op een dergelijk verzoek of bezwaar.

6.

Deze bijlage is van kracht na aanmelding, kwalificatie en daarmee sluiten van een raamovereenkomst en eindigt van rechtswege bij beëindiging van de raamovereenkomst, met uitzondering van het bepaalde omtrent geheimhouding; deze verplichting blijft ook na beëindiging van de overeenkomst voortbestaan.

7.

Partijen zullen elkaar in voorkomend geval onmiddellijk op de hoogte te brengen van enig onderzoek van een toezichthouder of andere aanleiding die zou kunnen leiden tot een voornemen van een toezichthouder tot het opleggen van een boete of last onder dwangsom met betrekking tot de verwerking van de persoonsgegevens in het kader van de uitvoering van de overeenkomst.

8.

In geval van wijzigingen in de verwerking van de persoonsgegevens, privacyregelgeving of andere relevante omstandigheden die van invloed zijn op de verwerking van de persoonsgegevens zullen partijen in overleg treden over de eventueel benodigde wijziging van deze bijlage omtrent persoonsgegevens. De wijzigingen worden schriftelijk overeengekomen.

9.

Indien de zorgaanbieder zijn verplichtingen uit hoofde van deze bepalingen niet nakomt, zal de zorgaanbieder onmiddellijk en zonder dat enige verdere actie of formaliteit is vereist, jegens de opdrachtgever een onmiddellijk opeisbare boete verbeuren. De hoogte van de boete betreft € 1.500 per gebeurtenis, onverminderd het recht van de opdrachtgever op volledige schadevergoeding.

Voor nadere informatie en veel voorkomende vragen verwijzen wij naar de Q&A/Toelichting verwerking persoonsgegevens op onze website: www.inkoopsdcg.nl.

5