Samenwerkingsconvenant Zorg- en Veiligheidshuis Rotterdam-Rijnmond.pdf .pdf

Casusregie: het uitvoeren van werkzaamheden gericht het bewaren van de onderlinge samenhang bij het uitvoeren van het plan van aanpak bij het behandelen van één specifieke casus; 1.16. Procesregie: het uitvoeren van werkzaamheden gericht op de totstandkoming van samenwerking tussen partijen bij het behandelen van één specifieke casus en de ondersteuning van de casusregisseur bij de uitvoering van het plan van aanpak; 1.17. Casus: een geval of situatie dat of die voldoet aan de criteria voor complexe casuïstiek zoals geformuleerd in artikel 2 van het convenant, en die is aangemeld bij het Zorg- en Veiligheidshuis ter beoordeling en eventuele bespreking in het casusoverleg; 19

1.18. Aanmelding en Intake: het voordragen van een casus door één der partijen en het uitwisselen van informatie, waaronder persoonsgegevens, tussen de procesregisseur van het Zorg- en Veiligheidshuis en de aanmeldende partij ter toetsing of de casus in aanmerking komt voor behandeling in het Zorgen Veiligheidshuis; 1.19. Triage: het proces waarbij relevante partijen worden bevraagd om te komen tot een nadere afweging ten aanzien van de routering van de casus, tot een bepaling van het doel en de thema’s van een eventueel casusoverleg, en tot een afweging welke partijen relevant zijn om te betrekken bij een casusoverleg; 1.20. Casusoverleg: fase waarin overleg plaats vindt door partijen gericht op de totstandkoming van een plan van aanpak, afstemming tijdens de uitvoering daarvan, en het beoordelen of casus kan worden afgeschaald; 1.21. Afschaling: fase die volgt op het besluit in het casusoverleg dat de betrokkenheid van het Zorg- en Veiligheidshuis niet langer nodig is, waarin het dossier dat in het systeem van het Zorg- en Veiligheidshuis is aangelegd ten behoeve van procesregie, geschoond wordt van alle niet langer noodzakelijke informatie, en uiteindelijk verdwijnt uit het systeem van het Zorg- en Veiligheidshuis; 1.22.

Procesregisseur: de medewerker van het zorg- veiligheidshuis die namens een van de partijen is belast met de werkzaamheden in artikel 13 van het convenant; 1.23. Casusregisseur: de medewerker van een van de partijen die is belast met de taken in artikel 14 van het convenant; 1.24. Hoofd: de persoon die is belast met de taken zoals geformuleerd in Artikel 12 van het convenant; 1.25. Algemeen Bestuur: het verband van afgevaardigden van partijen zoals geformuleerd in Artikel 5 van het Convenant; 1.26. Privacyadviseur: Ieder Zorg- en Veiligheidshuis heeft een medewerker die belast is met privacyadvisering of kan gebruik maken van een privacyadviseur van een gemeente. Deze persoon is ook belast met beleidsontwikkeling over gegevensverwerking en helpt mee met de voorbereiding van audits; 1.27. De privacy-werkgroep: Een werkgroep bestaande uit privacy deskundigen van de deelnemende organisaties voor zover deze organisaties een deskundigen voor deelname aan de werkgroep hebben aangemeld. 1.28. Jaarplan: het door AB op grond van Artikel 5.4 van het convenant vastgestelde plan betreffende de operationele en inhoudelijke kaders en het financieel en inhoudelijk beleid van het Zorg- en Veiligheidshuis; 1.29.

Werkprocessen: de door het Breed MT op grond van artikel 7 van het convenant vastgestelde processen voor samenwerking in het Zorg- en Veiligheidshuis, waaronder het proces omtrent en het delen van informatie en het afschalen van een casus; 1.30. AVG: Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming); 1.31. Wjsg: Wet justitiële en strafvordelijke gegevens; 1.32. Bjsg: Besluit justitiële en strafvorderlijke gegevens; 1.33. Wpg: Wet politiegegevens.

Artikel 2. Afzonderlijke en Gezamenlijke Verwerkingsverantwoordelijken 2.1. 2.2.

Partijen in het Zorg- en Veiligheidshuis zijn afzonderlijk verwerkingsverantwoordelijke voor de persoonsgegevens die zij verstrekken aan de procesregisseur ten behoeve van de aanmelding en intake en aan partijen in het kader van triage, casusoverleg, en afschaling. Partijen in het Zorg- en Veiligheidshuis zijn conform artikel 26 Algemene Verordening Gegevensbescherming gezamenlijk verwerkingsverantwoordelijken voor de persoonsgegevens die zij, anders dan de verstrekking zoals bedoeld in artikel 2.1, verwerken op locatie of in de informatiesystemen van het Zorg- en Veiligheidshuis in het kader van de samenwerking voor de doeleinden zoals omschreven in artikel 3.

20

2.3.

Verwerking van persoonsgegevens in het Zorg- en Veiligheidshuis door personeel van het Zorg- en Veiligheidshuis geschiedt onder gezag van de partij die de betreffende persoonsgegevens heeft verstrekt. Deze partij wordt voor die verwerking aangeduid als verwerkingsverantwoordelijke.

Artikel 3. Doel Verwerking Persoonsgegevens 3.1. 3.2.

3.3.

3.4. 3.5.

Dit protocol ziet op alle verwerkingen van persoonsgegevens door partijen in het kader van de uitvoering van artikel 2.3 van het convenant. Het verwerken van persoonsgegevens in het Zorg- en Veiligheidshuis vindt plaats met als doel het gezamenlijk door partijen bijdragen aan de veiligheid als onderdeel van het integrale zorg- en veiligheidsbeleid van de gemeente(n). De samenwerking is meer specifiek gericht op het voorkomen en verminderen van recidive, (ernstige) overlast, criminaliteit en maatschappelijke uitval bij complexe problemen, door een combinatie van repressie, bestuurlijke interventie én zorg, hetgeen gezien moet worden als een zwaarwegend algemeen belang. Meer specifiek draagt de verwerking van Persoonsgegevens in het Zorg- en Veiligheidshuis bij aan: a. het oplossen van complexe multi-problematiek, problematiek waarbij personen die het subject zijn in de casuïstiek te maken hebben met meerdere problemen die op meer dan één leefgebied spelen; b. het voorkomen van (verder) crimineel en/of overlast-gevend gedrag of verder afglijden van die personen; c. het oplossen van ernstige lokale of gebiedsgebonden veiligheidsproblematiek; en d. het mogelijk maken van samenwerking met het oog op de hierboven geformuleerde doeleinden.

Om het onder artikel 3.2 geformuleerde doel te bereiken verwerken partijen gezamenlijk de nodige persoonsgegevens in het kader van aanmelding en intake, triage, casusoverleg, en afschaling. Voor elk van deze fasen in het werkproces zijn specifieke doelen voor de verwerking van Persoonsgegevens in het Zorg- en Veiligheidshuis van toepassing. Deze doelen zijn gespecificeerd in artikel 2 van het Convenant. Partijen verwerken de persoonsgegevens die zij in het kader van de samenwerking onder dit protocol hebben verkregen niet voor andere doeleinden dan de doelen omschreven in artikel 3.2. Bij het verwerken van persoonsgegevens in het Zorg- en Veiligheidshuis worden de volgende uitgangspunten in acht genomen: a. Er is sprake van een strikte doelbinding per fase van de voor de te verwerken persoonsgegevens en alleen de voor het doel van die fase noodzakelijke persoonsgegevens worden verwerkt; b. Als het doel van de verwerking van persoonsgegevens wijzigt, of, de casus gaat door naar een volgende fase, wordt als eerste opnieuw beoordeeld of de eerder verwerkte gegevens ook daarvoor noodzakelijk zijn en vervolgens of de gegevens daarvoor ook (verder) gebruikt mogen worden; c. Een partner die in een bepaalde fase persoonsgegevens verstrekt behoudt de zeggenschap over het verdere gebruik van die gegevens en of die voor een andere fase en/of andere doelen gebruikt mogen worden; d.

Partners die bij de behandeling van een casus kennisnemen van persoonsgegevens afkomstig van een andere partner mogen deze gegevens enkel verder gebruiken voor hun eigen taken in het kader van de casusbehandeling, als de partner die de gegevens heeft ingebracht, dit afzonderlijk accordeert.

Artikel 4. Categorieën Persoonsgegevens 4.1. 4.2. 4.3.

In het kader van de samenwerking worden door partijen van de in Bijlage 3 categorieën betrokkenen de daarin genoemde categorieën persoonsgegevens verwerkt: Partijen verwerken persoonsgegevens, inclusief bijzondere en strafrechtelijke persoonsgegevens, binnen de wettelijke kaders van de voor iedere partij toepasselijke wet- en regelgeving. Partijen verwerken persoonsgegevens voor de onder artikel 3.2 geformuleerde doeleinden enkel in de informatiesystemen van het Zorg- en Veiligheidshuis, of in de door het AB aangewezen informatiesystemen en conform het concern informatiebeveiligingsbeleid van de gemeente Rotterdam. 21

Artikel 5. Verwerkingen en verstrekkingen van persoonsgegevens ten behoeve van het behandelen van een casus 5.1

Verwerking van persoonsgegevens door de procesregisseur

5.1.1 De procesregisseur verwerkt persoonsgegevens ten behoeve van de procesregie in het kader van de doelstellingen van de samenwerking zoals verwoord in artikel 3.2 slechts voor zover dit noodzakelijk is voor het bewerkstelligen van de in de desbetreffende fase aan de orde zijnde doelen voor gegevensverwerking als verwoord in artikel 3.3 en bijlage 2. 5.1.2 De procesregisseur verwerkt de in het eerste lid bedoelde persoonsgegevens ten behoeve van een goede taakuitoefening van de aanmeldende partij, dan wel de goede taakuitoefening van de partij onder wiens verantwoordelijkheid de casusregisseur zoals verwoord in artikel 13 van het Convenant valt. 5.1.3 Voor de verwerking van persoonsgegevens als bedoeld in artikel 5.1.1 zijn van toepassing de grondslag conform de AVG en/of andere wettelijke grondslag, en de wettelijke bepalingen op grond waarvan de aanmeldende partij, dan wel de partij onder wiens verantwoordelijkheid de casusregisseur valt, de casus heeft aangemeld respectievelijk de casusregie voert. 5.1.4 De verantwoordelijke voor de verwerking van persoonsgegevens zoals bedoeld in artikel 5.1.1 betreft de verantwoordelijke zoals bedoeld in artikel 2.2 van dit protocol.

5.2

Verstrekken van persoonsgegevens ten behoeve van aanmelding en intake, triage en casusoverleg

5.2.1 Partijen kunnen persoonsgegevens inbrengen in het kader van de doelstellingen van de samenwerking zoals verwoord in artikel 3.2 slechts voor zover dit noodzakelijk is voor het bewerkstelligen van de in de desbetreffende fasen aan de orde zijnde doelen voor gegevensverwerking als verwoord in artikel 3.3 en bijlage 2. 5.2.2 Persoonsgegevens als bedoeld in artikel 5.2.1 worden slechts ingebracht indien dit noodzakelijk is voor de goede vervulling van de eigen taak, en/of de goede uitvoering van de taak van de partij ten behoeve waarvan de werkzaamheden in het kader van aanmelding en intake, triage of casusoverleg worden uitgevoerd. 5.2.3 De grondslag conform de AVG voor het inbrengen van persoonsgegevens als bedoeld in artikel 5.2.1 wordt ontleend aan de eigen taak, en/of de taak van de partij ten behoeve waarvan de werkzaamheden in het kader van aanmelding en intake, triage of casusoverleg worden uitgevoerd. 5.2.4 De verantwoordelijke voor de verstrekking van persoonsgegevens als bedoeld in artikel 5.2.1 betreft de verantwoordelijke zoals bedoeld in artikel 2.1 van dit protocol.

5.3

Verstrekken van gegevens bij het uitvoering geven aan afspraken uit het casusoverleg

5.3.1 Onverminderd het bepaalde in artikel 6 en 7, kunnen partijen persoonsgegevens verstrekken aan een andere partij in het kader van de doelstellingen van de samenwerking zoals verwoord in artikel 3.2 voor zover deze noodzakelijk zijn voor deze partij bij: a. het uitvoering geven aan interventies en acties die in het casusoverleg zijn afgesproken b. het voeren van de casusregie op het plan van aanpak als dat in het casusoverleg is afgesproken

22

c. het toebedelen van de casus aan een specifieke partij ten behoeve van verdere afhandeling, zoals het adviseren van de aanmelder of het aanbrengen van de casus bij een andere overlegtafel. 5.3.2 De grondslag conform de AVG voor het verstrekken van persoonsgegevens als verwoord in artikel 5.3.1 wordt ontleend aan de eigen taak en/of de taak van de partij die de activiteiten onder artikel 5.3.1 a t/m c uitvoert. 5.3.3 De verantwoordelijke voor de verstrekking van persoonsgegevens als bedoeld in artikel 5.3.1 betreft de verantwoordelijke zoals bedoeld in artikel 2.3.

Artikel 6. Grondslag voor het verwerken en verstrekken van persoonsgegevens ten behoeve van het behandelen een casus en de van toepassing zijnde taken van partijen 6.1

De grondslag voor de verwerking van persoonsgegevens als bedoeld in artikel 5.1.1, is artikel 6 AVG lid 1 sub e, voor zover deze noodzakelijk zijn voor de uitvoering van taken van Algemeen belang door de aanmeldende partner, dan wel de partner onder wiens verantwoordelijkheid de casusregisseur valt. Voor de gegevens afkomstig van de politie is de grondslag gelegen in artikel 20 Wet politiegegevens. Voor gegevens afkomstig van het Openbaar Ministerie, is de grondslag gelegen in de artikel 8a, 39f en 51c Wet justitiële en strafvorderlijke gegevens.

6.2

De grondslag voor het inbrengen van persoonsgegevens als bedoeld in artikel 5.2.1, is artikel 6 AVG lid 1 sub e, voor zover deze noodzakelijk zijn voor de uitvoering van taken van Algemeen belang door de aanmeldende partner, dan wel de partner onder wiens verantwoordelijkheid de casusregisseur valt, en/of de verstrekkende partij. Voor de gegevens afkomstig van de politie is de grondslag gelegen in artikel 20 Wet politiegegevens. De grondslag voor het verstrekken van justitiële, strafvorderlijke en/of tenuitvoerleggingsgegevens is gelegen in de artikelen 8a, 39f en 51c van de Wjsg.

6.3

De grondslag voor de verstrekking van persoonsgegevens als bedoeld in artikel 5.3.1, is artikel 6 AVG lid 1 sub e, voor zover deze noodzakelijk zijn voor de uitvoering van taken van Algemeen belang door de ontvangende partij en/of de verstrekkende partij. Voor de gegevens afkomstig van de politie is de grondslag gelegen in artikel 20 Wet politiegegevens. De grondslag voor het verstrekken van justitiële, strafvorderlijke en/of tenuitvoerleggingsgegevens is gelegen in de artikelen 8a, 39f en 51c van de Wjsg.

6.4

De onder 6.1, 6.2 en 6.3 bedoelde grondslag kan bij casussen slechts van toepassing zijn indien dit voortvloeit uit de goede uitvoering van de taken en werkzaamheden van partijen, en de verwerking plaats vindt namens of de verstrekking plaats vindt aan een van de onder a t/m m genoemde partijen en voorwaarden: a. het bestuursorgaan de burgemeester: de goede uitvoering van taken en de uitoefening van bevoegdheden van de burgemeester, waaronder in het bijzonder taken en bevoegdheden op het gebied van Openbare Orde en Veiligheid zoals neergelegd in de Gemeentewet artikel 172. b. het bestuursorgaan het College van Burgemeester &Wethouders: de goede uitvoering van taken van het College van Burgemeester &Wethouders, waaronder in het bijzonder taken in het sociaal domein zoals bedoeld in de Wmo artikel 2.3.1 t/m 2.3.5, de Jeugdwet artikel 2,3 en 2.4, de Participatiewet artikel 7.1, en de wet schuldhulpverlening artikel 3. c. het Openbaar Ministerie: voor de strafrechtelijke handhaving van de rechtsorde alsmede andere bij de wet vastgestelde taken (artikel 124 Wet op de Rechterlijke organisatie). De grondslag voor het verstrekken van justitiële, strafvorderlijke of tenuitvoerleggingsgegevens is gelegen in de artikelen 8a, 39f en 51c van de Wjsg. d.

de politie: vervulling van taken zoals bedoeld in de Politiewet artikel 3, te weten zorgen voor de daadwerkelijke handhaving van de rechtsorde en het verlenen van hulp aan hen die deze behoeven. 23

De grondslag voor het verstrekken van politiegegevens is gelegen in artikel 20 Wpg. Deze verstrekkingen dienen nader te zijn vastgelegd en is te relativeren aan een concreet doelbinding en thema in de onlosmakelijk bij dit Privacy-protocol behorende en ondertekende Artikel 20 Wpg Beslissingen. De Artikel 20 Beslissingen wordt ondertekend door de gemandateerde politiechef van de Eenheid en in overeenstemming met het bevoegd gezag. In het kader van dit besluit mogen politiegegevens worden verstrekt die ingevolge de artikelen 8 en 13 van de Wpg worden verwerkt. In artikel 7 zijn nadere voorwaarden benoemd die van toepassing zijn op gegevens die in het kader van deze taken worden verstrekt. e. de Raad voor de Kinderbescherming: de goede uitvoering van de taken van de Raad voor de Kinderbescherming, waaronder in het bijzonder taken zoals bedoeld in boek 1 afdeling 3 van het Burgerlijk Wetboek (BW), waaronder de artt. 1:238 BW, art. 1:240 BW, art. 1:241, art. 1:251a lid BW en de artt. 1:255 juncto 1:257 BW, de artt. 77 Sr tot en met 77gg van het Wetboek van Strafrecht, art. 494 jo. 498 Wetboek van Strafvordering (Sv), art. 810 Rechtsvordering (Rv), art. 3.1 van de Jeugdwet, art. 7.3.11 lid 4 van de Jeugdwet, art. 5van de wet Opneming Buitenlandse Kinderen ter Adoptie(wobka), 25 lid 2 sub 1 WOBKA. Met inachtneming van het Kwaliteitskader 2023 van de Raad voor de Kinderbescherming. f.

Veilig Thuis: de goede uitvoering van de taken van Veilig Thuis, waaronder in het bijzonder taken zoals bedoeld in de Wmo artikel 4.1.1, met inachtneming van nadere bepalingen in de Wmo en het Handelingsprotocol Veilig Thuis 2019. g. een Reclasseringsinstelling: de goede uitvoering van taken van de reclasseringsinstelling, waaronder in het bijzonder taken zoals bedoeld in de Reclasseringsregeling 1995 artikel 8 lid 1. h. een Gecertificeerde Instelling zoals bedoeld in de Jeugdwet artikel 1.1: de goede uitvoering van kinderbeschermingsmaatregelen en jeugdreclassering zoals bedoeld in de Jeugdwet artikel 1.1. i. een instelling voor Geestelijke Gezondheidszorg: de uitvoering van de taken bij behandeling, verpleging, verzorging en bejegening van personen met een psychische stoornis, inclusief verslaving met of zonder verblijf in het kader van de Wgbo of de Wet verplichte geestelijke gezondheidszorg. j. een GGD: de uitvoering van de taken in het kader van de OGGZ op grond van artikel 1.2.1. sub a Wmo 2015. k.

de Dienst Justitiële Inrichtingen: de Dienst Justitiële Inrichtingen: voor de uitvoering van taken van de Minister van Justitie en Veiligheid, de selectiefunctionaris en de directeur van een justitiële inrichting op grond van de Beginselenwet justitiële jeugdinrichtingen, de Beginselenwet verpleging ter beschikking gestelden, de Penitentiaire beginselenwet en de wet Forensische zorg. De wettelijke grondslag voor de verwerking en verstrekking van persoonsgegevens is na inwerkingtreding van de wijziging van de Wet justitiële en strafvorderlijke gegevens (Wjsg) ter implementatie van de Europese richtlijn gegevensbescherming opsporing en vervolging gelegen in de Wjsg. l. Slachtofferhulp Nederland: voor de uitvoering van de taken zoals genoemd in artikel 2 Kaderwet Overige J&V subsidies en artikel 51aa Wetboek van Strafvorderingen jo het Besluit slachtoffers van strafbare feiten artikel 1, 2 en 3. De wettelijke grondslag voor de gegevensverwerking is mede gelegen in artikel 9 en/ of artikel 10 AVG jo art. 33 lid1a en art. 30 lid 3a en lid 4 UAVG ]. Met dien verstande dat gegevens aan de deelnemende partijen van het convenant alleen verstrekt kunnen worden met de uitdrukkelijke toestemming van de betrokkene. m.

Een aanbieder zoals bedoeld in de Wmo artikel 1.1.1, zorgaanbieder zoals bedoeld in de Wlz artikel 1.1.1, dan wel een jeugdhulpaanbieder zoals bedoeld in de Jeugdwet artikel 1.1: voor de verlening van voorzieningen en/of de uitvoering van zorg- dan wel hulpverleningstaken en voor zover dit noodzakelijk is in het kader van de behandeling of hulpverlening. 6.5

Op de persoonsgegevens die worden verwerkt, ingebracht, en/of verstrekt zoals bedoeld in artikel 5 zijn uitdrukkelijk de uitgangspunten van artikel 3.5 van toepassing en het bepaalde in artikel 7.

24

Artikel 7. Doorverwerking geheimhoudingsbepalingen en toepassing toestemmingsvereiste 7.1

Ingevolge de Wet politiegegevens dragen alle ontvangers van politiegegevens op grond van artikel 7 Wpg een geheimhoudingsplicht. Dientengevolge is de ontvanger gehouden om maatregelen te nemen teneinde verstrekte politiegegevens niet ter kennis te doen komen van onbevoegden. Doorverstrekking van politiegegevens vindt slechts plaats voorzover wet- en regelgeving daartoe verplicht of voorzover de taak daartoe noodzaakt.

7.2

Indien voor het inbrengen en/of verstrekken van persoonsgegevens zoals bedoeld in de artikelen 5.2 en 5.3 toestemming noodzakelijk is voor doorbreken geheimhoudingsbepalingen zoals bijvoorbeeld verwoord in de Wgbo (artikel 7:457 BW) en artikel 88 wet big, de beroepscode van de Jeugdzorgwerker artikel J, beroepscode NIP artikel 71 t/m 87 (psycholoog), of beroepscode NVO artikel 8 (pedagoog), de Reclasseringsregeling 1995 artikel 37, dan: a. wordt deze gevraagd op het moment dat duidelijk is dat het inbrengen of verstrekken noodzakelijk is t.b.v. van de in de betreffende fase aan de orde zijnde doelen, of de uitvoering van de in 5.3.1 a t/m c genoemde activiteiten; b. worden deze persoonsgegevens uitsluitend verstrekt voor zover hiervoor de uitdrukkelijke toestemming is verkregen van de betrokkene of diens wettelijke vertegenwoordiger; c. legt de partij die de toestemming heeft verkrijgen deze schriftelijk vast en informeert Betrokkene dat hij zijn toestemming altijd weer kan intrekken; d. draagt de partij die toestemming heeft verkregen bij intrekking van die toestemming er zorg voor dat er geen verdere verstrekkingen meer plaats vinden; e.

maakt de betrokken zorg- of hulpverlener een eigen afweging conform de voor hem geldende professionele standaarden, indien toestemming niet verkregen wordt en hij ervan overtuigd is dat zich hier een conflict van plichten voordoet, of goed hulpverlenerschap het verstrekken van persoonsgegevens verlangd.

Artikel 8. 8.1.

Indien Partijen daartoe verplicht zijn door voor hen geldende materiewetgeving, dan leggen zij de afzonderlijke verstrekkingen van persoonsgegevens, inclusief onderbouwing van de noodzakelijkheid daarvan met het oog op de in artikel 5 en 6 vastgelegde grondslagen, vast. Dit geldt ten minste voor politie en OM. De politie documenteert iedere verstrekking conform de documentatieplicht van art 32 Wpg, het Openbaar Ministerie conform artikel 39j Wjsg.

Artikel 9. 9.1 9.2

9.3 9.4

Documentatie individuele verstrekkingen

Dataminimalisatie

Partijen Verwerken niet meer persoonsgegevens dat noodzakelijk met het oog op de in artikel 2.1 van dit protocol geformuleerde doeleinden. Ten behoeve van de Intake van een casus verstrekt de partij die de casus bij de procesregisseur aanmeldt enkel die persoonsgegevens die noodzakelijk zijn voor de procesregisseur om de casus te toetsen aan de criteria van complexe casuïstiek zoals geformuleerd in Bijvoegsel 2 van het convenant. De procesregisseur registreert enkel die persoonsgegevens in het informatiesysteem van het Zorg- en Veiligheidshuis die noodzakelijk zijn voor triage. In het casusoverleg verwerken partijen alleen die persoonsgegevens die noodzakelijk zijn voor het opstellen en uitvoeren van een integraal plan van aanpak. In het kader van afschaling verwerken partijen alleen die persoonsgegevens die noodzakelijk zijn om te bepalen of het plan van aanpak in het casusoverleg tot de gewenste resultaten heeft geleid. Indien wordt besloten dat behandeling van de casus in het Zorg- en Veiligheidshuis niet of niet langer noodzakelijk is, worden de betreffende persoonsgegevens niet langer in het Zorg- en Veiligheidshuis Verwerkt. De procesregisseur ziet erop toe dat persoonsgegevens conform artikel 11 worden geanonimiseerd of vernietigd. 25

9.5

9.6

Wanneer de partij die persoonsgegevens in het Zorg- en Veiligheidshuis heeft verstrekt, kennis verkrijgt over de onjuistheid van die persoonsgegevens, informeert die partij de casusregisseur en procesregisseur hierover. De procesregisseur coördineert de eventuele correctie van persoonsgegevens in het Zorg- en Veiligheidshuis. Enkel de procesregisseurs hebben toegang tot de persoonsgegevens die worden verwerkt op locatie of in het informatiesysteem van het Zorg- en Veiligheidshuis en enkel voor zover noodzakelijk voor hun rol in een specifieke casus.

Artikel 10 Kwaliteit 10.1 De Partijen dragen er zorg voor dat de persoonsgegevens die zij in het kader van de onder artikel 3.2 geformuleerde doeleinden verstrekken toereikend, ter zake dienend, niet bovenmatig, juist en nauwkeurig zijn. De partij die persoonsgegevens in het Zorg- en Veiligheidshuis verstrekt blijft verantwoordelijk voor de juistheid, actualiteit en nauwkeurigheid van die persoonsgegevens.

Artikel 11 Bewaren en Vernietigen 11.1 Persoonsgegevens worden niet langer bewaard dan noodzakelijk voor het doel of de doeleinden waarvoor ze worden Verwerkt zoals geformuleerd onder artikel 3 en met inachtneming van artikel 9. 11.2 Persoonsgegevens worden vernietigd zodra de Verwerking daarvan niet langer nodig is voor het doel waarvoor zij zijn Verwerkt, maar uiterlijk binnen 5 jaar na de aanvang van de verwerking. 11.3 Persoonsgegevens kunnen enkel langer dan de in 11.2 genoemde termijn worden bewaard wanneer hierover door partners een gemotiveerd besluit is genomen en dit gemotiveerde besluit door de procesregisseur in het dossier is opgetekend. 11.4 De in 11.3 bedoelde verlenging kan telkens niet langer dan 2 jaar zijn. Na het verstrijken van deze 2 jaar moeten de partners telkens opnieuw komen met een gemotiveerd besluit en moet dit gemotiveerde besluit opgenomen worden in het dossier door de procesregisseur. 11.5 Tot de in 11.2 en 11.3 bedoelde verlenging kan enkel besloten worden wanneer de motivatie van dit besluit relatie heeft tot de in artikel 2 van het convenant genoemde doelstellingen van het Zorg- en Veiligheidshuis en wanneer partners in hun motivatie aannemelijk kunnen maken dat verlenging noodzakelijk is om deze doelstelling in een specifieke casus te bereiken of te borgen.

11.6 Op casuïstiek die binnen de termijn van 5 jaar wordt afgeschaald is onderstaand autorisatiebeleid van toepassing. a. Persoonsgegevens blijven tot zes maanden na besluit tot afschaling toegankelijk voor de procesregisseur. b. Na zes maanden na besluit tot afschaling tot 24 maanden na het besluit tot afschalen worden de rechten voor toegang tot het dossier ingetrokken. Toegang tot het dossier kan enkel hersteld worden wanneer er binnen 24 maanden na het besluit tot afschalen een nieuwe melding binnen komt met betrekking tot de burger op wie het dossier betrekking heeft. c. Na 24 maanden tot het moment van vernietiging kan het dossier enkel nog geraadpleegd wanneer dit nodig is voor het afhandelen van verzoeken van de burger ten aanzien van zijn of haar persoonsgegevens en voor evaluatie- of onderzoeksdoeleinden wanneer er sprake is van een calamiteit of incident. 11.7 Na het verstrijken van de bewaartermijn bedoeld in artikel 11.1 t/m 11.5 kunnen gegevens, niet zijnde Persoonsgegevens, enkel worden bewaard voor managementdoeleinden. 11.8 Ten behoeve van de triage worden er ook persoonsgegevens verwerkt. Als tijdens de triage blijkt dat de casus NIET naar het ZVHRR door te geleiden dan mogen deze (persoons)gegevens die aan de beslissing ten grondslag hebben gelegen maximaal 1 jaar na deze beslissing worden bewaard om na dit jaar te worden vernietigd.

De bewaarde gegevens mogen enkel en alleen worden gebruikt om de beslissing om de casus niet naar het ZVHRR door te geleiden te onderbouwen of het afhandelen van verzoeken van de burger ten aanzien van het gebruik van zijn of haar persoonsgegeven.

26

Artikel 12 Beveiliging 12.1 Partijen dragen zorg voor passende technische en organisatorische beveiligingsmaatregelen om Persoonsgegevens te beschermen tegen verlies of enige vorm van onrechtmatige verwerking zoals omschreven in Bijvoegsel 3. Die maatregelen betreffen onder meer, maar niet uitsluitend, maatregelen met betrekking tot de toegang tot persoonsgegevens, alsook het gebruik van beveiligde verbindingen voor de verstrekking van persoonsgegevens. 12.2 Wanneer persoonsgegevens aan andere partijen worden verstrekt, gebeurt dit uitsluitend op een adequaat beveiligde manier, conform de geldende beveiligingsnormen voor de betreffende gegevens. 12.3 De gemeente Rotterdam draagt zorg voor de adequate beveiliging van persoonsgegevens die worden verwerkt op locatie en in de informatiesystemen van het Zorg- en Veiligheidshuis en rapporteert hierover aan het algemeen bestuur. 12.4 Het hoofd is verantwoordelijk voor het toezien op de naleving van de beschermingsmaatregelen zoals geformuleerd in concern informatiebeveiligingsbeleid van de gemeente Rotterdam voor de verwerking van persoonsgegevens op locatie en in de informatiesystemen van het Zorg- en Veiligheidshuis en rapporteert hierover aan het algemeen bestuur en is bevoegd aanwijzingen te geven aan Partijen omtrent de juiste omgang met persoonsgegevens in dat verband.

Artikel 13 Geheimhouding 13.1. Eenieder die op grond van dit protocol kennis neemt van persoonsgegevens is verplicht tot geheimhouding daarvan, tenzij de wet tot bekendmaking verplicht. Het hoofd, de manager(s), procesregisseur(s) en eventueel ander ondersteunend personeel van het Zorg- en Veiligheidshuis worden door middel van een geheimhoudingsverklaring tot geheimhouding gebonden. 13.2. Partijen dragen er zorg voor dat iedere medewerker die in de uitvoering van het convenant of dit protocol in aanraking komt met persoonsgegevens geheimhouding van die gegevens waarborgt. 13.3. Alle medewerkers van het Zorg- en Veiligheidshuis, inclusief medewerkers op basis van een dienstverleningsovereenkomst, deelnemers aan casusoverleggen en overige afgevaardigden van partijen die toegang hebben tot persoonsgegevens die onder dit protocol worden verwerkt, beschikken over een positieve Verklaring Omtrent Gedrag, danwel hebben een veiligheidsonderzoek op grond van de voor de eigen organisatie geldende wet- en regelgeving doorlopen. 13.4. Wettelijke geheimhoudingsplichten zijn onverminderd van toepassing op eenieder die strafrechtelijke persoonsgegevens of andere bijzondere persoonsgegevens in het kader van de samenwerking in het Zorg- en Veiligheidshuis ontvangt. 13.5.

De partijen in het samenwerkingsverband mogen de persoonsgegevens afkomstig van de politie en Openbaar Ministerie slechts verwerken voor het specifieke doel waarvoor deze zijn verstrekt ten behoeve van de casus. Deze persoonsgegevens mogen alleen verder worden verwerkt door de ontvangende partijen indien het doel van de verdere verwerking verenigbaar is met dit doel waarvoor de persoonsgegevens zijn verstrekt. Onverenigbaar gebruik van de gegevens, ook intern binnen de organisaties van de ontvangende partijen, is niet toegestaan. 13.6. De partijen in het samenwerkingsverband mogen de persoonsgegevens afkomstig van andere partijen die aan een geheimhoudingsplicht als onder meer bedoeld in de Wet Geneeskundige behandelovereenkomst (artikel 7:457 BW), Reclasseringsregeling 1995, Jeugdwet of Wet Maatschappelijke Ondersteuning zijn gebonden, slechts verwerken voor het specifieke doel van de casus waarvoor deze zijn verstrekt. De persoonsgegevens mogen alleen verder worden verwerkt door de ontvangende partijen met toestemming van de verstrekkende partij en indien het doel van de verdere verwerking verenigbaar is met dit doel waarvoor de persoonsgegevens zijn verstrekt. Onverenigbaar gebruik van de persoonsgegevens, ook intern binnen de organisaties van de ontvangende Partijen, is niet toegestaan. 13.7.

Wanneer de grond voor het verstrekken van de persoonsgegevens als bedoeld in lid 7 gebaseerd is op toestemming van betrokkene als bedoeld artikel 6 lid 1 onder a AVG en/of artikel 9 lid 2 onder a AVG en betrokkene trekt deze toestemming in, laat de verstrekkende partij dit aan de ontvangende partij weten, waarbij ook de toestemming voor verwerking en verdere verwerking voor de ontvangende partij vervalt

27

Artikel 14 Datalekken 14.1. Partijen houden procedures in stand die erop gericht zijn om inbreuken in de beveiligingsmaatregelen zoals geformuleerd in Bijlage 3 met betrekking tot de bescherming van persoonsgegevens redelijkerwijs te detecteren en daarop actie te ondernemen, daaronder begrepen maatregelen tot herstel. 14.2. De gemeente Rotterdam is verantwoordelijk voor het in stand houden van procedures zoals bedoeld in artikel 14.1 voor de Verwerking van Persoonsgegevens op locatie of in de informatiesystemen van het Zorg- en Veiligheidshuis. Het hoofd ziet toe op de naleving van deze procedures in het Zorg- en Veiligheidshuis. 14.3. Partijen stellen de Privacyfunctionaris onverwijld maar uiterlijk binnen 24 uur na kennisneming op de hoogte van een inbreuk op persoonsgegevens in de zin van artikel 4, onder 12, AVG dan wel artikel 26g Wet justitiële en strafvorderlijke gegevens die een risico inhoudt voor de rechten en vrijheden van betrokkenen zoals bedoeld in artikel 33 AVG. Deze kennisgeving omvat in ieder geval: a. De aard en omvang van de inbreuk; b. De contactgegevens van de persoon bij wie meer informatie over de inbreuk kan worden verkregen; c. De maatregelen die kunnen worden genomen om de gevolgen van de inbreuk te voorkomen of beperken; d. De mogelijke gevolgen en risico’s van de inbreuk op de bescherming van Persoonsgegevens voor de Betrokkene; e.

De maatregelen die Partij zelf reeds heeft genomen of zal nemen om de bescherming van Persoonsgegevens te herstellen. 14.4. De privacyfunctionaris informeert de procesregisseur waarop deze de partijen informeert middels het partneroverleg schriftelijk over een inbreuk zoals bedoeld in artikel 14.3. 14.5. Partijen melden, indien wettelijk verplicht, een inbreuk zoals bedoeld in Artikel 14.3 bij de Autoriteit Persoonsgegevens. Het hoofd stuurt een afschrift van de melding aan de Autoriteit Persoonsgegevens aan het Breed MT en het AB. 14.6. Wanneer een inbreuk als bedoeld in Artikel 14.3 waarschijnlijk een hoog risico voor de rechten en vrijheden van betrokkene(n) zal inhouden als bedoeld in artikel 34 AVG, wordt deze over de inbreuk geïnformeerd. Het hoofd informeert de betrokkene over de inbreuk namens de op de inbreuk betrokken partijen. De beslissing tot melding aan de betrokkene wordt in het partneroverleg genomen. De inhoud van die melding wordt in het partneroverleg afgestemd, danwel door het partneroverleg aan één partij gemandateerd. 14.7. Partijen verlenen elkaar de medewerking die redelijkerwijs van elkaar mag worden verwacht om aan de op partijen rustende kennisgevingsverplichtingen te voldoen, mede met het oog op een eventueel onderzoek door de Autoriteit Persoonsgegevens. 14.8.

Kennisgeving van de inbreuk aan de Autoriteit Persoonsgegevens door de partijen gebeurt zonder onredelijke vertraging maar in ieder geval binnen 72 uur na ontdekking en geschiedt volgens de daartoe door de Autoriteit Persoonsgegevens ter beschikking gestelde procedure. De kennisgeving aan de Autoriteit Persoonsgegevens omvat minimaal: a. de aard van de inbreuk; b. een omschrijving van de categorieën betrokkenen van wie persoonsgegevens zijn betrokken bij de inbreuk; c. de categorieën persoonsgegevens; d. of de persoonsgegevens zijn versleuteld, geanonimiseerd, of anderszins onbegrijpelijk zijn gemaakt; e. de aanbevolen maatregelen om de negatieve gevolgen van de inbreuk te beperken; f. de geconstateerde en de vermoedelijke gevolgen van de inbreuk voor de verwerking van de Persoonsgegevens en de maatregelen die partij heeft getroffen of voorstelt te treffen om deze gevolgen te verhelpen. 14.9. Kennisgeving van de inbreuk aan betrokkene zoals bedoeld in Artikel 14.5 is niet vereist indien: a. passende technische en organisatorische maatregelen zijn genomen die de bescherming van Persoonsgegevens ook na de inbreuk garanderen; b. achteraf genomen maatregelen de waarschijnlijkheid op een hoog privacy risico hebben weggenomen, of; 28

c. wanneer mededeling aan Betrokkene een onevenredig inspanning zou vragen. 14.10. Voorts kan de mededeling aan betrokkene worden uitgesteld, beperkt of achterwege gelaten worden, indien de inbreuk enkel ziet op gegevens afkomstig van het Openbaar Ministerie, en indien dit noodzakelijk en evenredig is: a. ter vermijding van belemmering van gerechtelijke onderzoeken of procedures; b. ter vermijding van nadelige gevolgen voor de voorkoming, de opsporing, het onderzoek en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen; c. ter bescherming van de openbare veiligheid; d. ter bescherming van de rechten en vrijheden van derden; e. ter bescherming van de nationale veiligheid. 14.11. Partijen houden een overzicht bij van iedere inbreuk die leidt tot de aanzienlijke kans op ernstige nadelige gevolgen dan wel ernstige nadelige gevolgen heeft voor de bescherming van de persoonsgegevens. Het overzicht bevat in ieder geval feiten en gegevens omtrent de aard van de inbreuk, de gevolgen daarvan en de genomen corrigerende maatregelen, alsmede de tekst van de kennisgeving aan de betrokkene. De privacyfunctionaris houdt een overzicht bij van gelijksoortige inbreuken die plaatsvinden op locatie of in de informatiesystemen van het Zorg- en Veiligheidshuis.

Artikel 15 Privacy by Design 15.1. Voorafgaand aan een (nieuwe) Verwerkingen onder dit protocol, of de inzet van nieuwe technologieën voor de Verwerkingen onder dit protocol, voeren partijen middels het partneroverleg een gegevensbeschermingseffectbeoordeling uit conform artikel 35 AVG. De Privacyfunctionaris coördineert dit proces. 15.2. Bij de uitvoering van de gegevensbeschermingseffectbeoordeling wordt het model gegevensbeschermingseffectbeoordeling Rijksdienst gevolgd. 15.3. Bij een voornemen omtrent de inzet van nieuwe technologieën kan dit voornemen ter advies worden voorgelegd aan het Landelijk Overleg Managers Veiligheidshuizen. Het Landelijk Overleg Managers Veiligheidshuizen kan advies uitbrengen over de beoogde inzet van nieuwe technologieën. 15.4. De uitkomsten van de gegevensbeschermingseffectbeoordeling worden ter besluitvorming voorgelegd aan het AB. Het AB kan hiervoor advies vragen , aan het Breed MT over de voorgenomen nieuwe verwerking zoals bedoeld in artikel 15.1. Het AB legt waar nodig op grond van artikel 36 AVG namens alle gezamenlijke Verwerkingsverantwoordelijken de beoogde Verwerking voor aan de Autoriteit Persoonsgegevens.

Artikel 16 Informatieverstrekking aan Betrokkenen 16.1. Vóór het verstrekken van persoonsgegevens in het kader van de samenwerking wordt betrokkene door het Zorg- en Veiligheidshuis namens de verstrekkende partij, danwel de partij die de casusregie voert, geïnformeerd over het voornemen diens persoonsgegevens verder te verwerken in het kader van samenwerking in het Zorg- en Veiligheidshuis onder dit protocol. 16.2. Het Zorg- en Veiligheidshuis maakt de het tijdstip waarop en de wijze van informeren kenbaar aan de overige bij een casus betrokken Partijen. 16.3. Het hoofd draagt zorg voor het publiceren van een privacy statement op de website van het Zorg- en Veiligheidshuis. 16.4. Alle deelnemende partijen zorgen op hun eigen website voor vermelding van deelname aan het Zorgen Veiligheidshuis en voor een verwijzing naar de website van het betreffende Zorg- en Veiligheidshuis/de Veiligheidshuizen waaraan zij deelnemen, alsook voor verwijzing naar het Zorg- en Veiligheidshuis convenant(en) en het privacyprotocol(len). 16.5. De onder artikel 16.1 bedoelde informatieverstrekking, alsook het onder artikel 16.3 genoemde privacy statement, bevatten ten minste de volgende informatie: a. De doeleinden voor de Verwerking van Persoonsgegevens in het Zorg- en Veiligheidshuis zoals beschreven in artikel 3.2. b. De partijen die deelnemen aan de samenwerking in het Zorg- en Veiligheidshuis;

29

c. De termijn waarvoor de persoonsgegevens worden opgeslagen en bewaard zoals omschreven onder artikel 11, danwel de criteria voor het bepalen van die termijn; d. Dat betrokkene verscheidene rechten heeft met betrekking tot de Verwerking van diens persoonsgegevens zoals geformuleerd onder artikel 17 tot en met 21; e. Indien de verwerking van persoonsgegevens is gebaseerd op toestemming, dat Betrokkene het recht heeft deze te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de Verwerking van de Persoonsgegevens die heeft plaatsgevonden vóór intrekking van de toestemming; f. Dat betrokkene het recht heeft een klacht in te dienen over de verwerking van zijn of haar persoonsgegevens onder dit Protocol bij het Zorg- en Veiligheidshuis en bij de Autoriteit Persoonsgegevens; g. Nadere uitleg indien de persoonsgegevens moeten worden verstrekt of verder verwerkt op grond van een wettelijke of contractuele verplichting; h. Nadere uitleg indien betrokkene verplicht is de persoonsgegevens te verstrekken; i. Indien sprake is van geautomatiseerde besluitvorming, met inbegrip van profilering, uitleg over de achterliggende logica, het belang van de verwerkingsactiviteiten en de verwachte gevolgen voor de Betrokkene. j.

De contactgegevens van de manager bij wie de betrokkene terecht kan voor meer informatie over de Verwerking van zijn persoonsgegevens, dan wel waar hij zijn rechten geldend kan maken. 16.6. De informatieverplichting zoals bedoeld in artikel 16.1 is niet van toepassing indien het achterwege laten van informeren van betrokkene noodzakelijk is in het belang van: a. De veiligheid van de staat; b. De voorkoming, opsporing en vervolging van strafbare feiten; c. Gewichtige economische en financiële belangen van de staat en andere openbare lichamen; d. Het toezicht op de naleving van wettelijke voorschriften die zijn gesteld ten behoeve van de belangen, bedoeld onder b en c, of; e. De bescherming van de betrokkene of van de rechten en vrijheden van anderen. 16.7. Partijen leggen de motivatie voor het niet voldoen aan de informatieplicht op grond van Artikel 16.6 schriftelijk vast en leggen vast wanneer zij verwachten dat betrokkene wel geïnformeerd kan worden, alsook van welke omstandigheden dit afhankelijk is, hoe periodiek wordt getoetst of deze omstandigheden nog aanwezig zijn en hoe dan wel wanneer Betrokkene geïnformeerd zal worden.

Artikel 17 Rechten van de Betrokkenen 17.1. Betrokkenen kunnen bij partijen een verzoek indienen om: a. Inzage te krijgen in de persoonsgegevens die door partijen over hem of haar worden verwerkt; b. Correctie of verwijdering van de hem betreffende persoonsgegevens dan wel beperking van de verwerking; c. bezwaar te maken tegen de verwerking; d. zijn of haar Persoonsgegevens over te dragen. 17.2. Verzoeken door betrokkene ten aanzien van persoonsgegevens die worden verwerkt op locatie of in het informatiesysteem van het Zorg- en Veiligheidshuis worden gecoördineerd door de procesregisseur. De procesregisseur wordt hierbij ondersteund door een administratief medewerker. Het hoofd legt het verzoek via de procesregisseur voor aan het casusoverleg en stemt daarin met partijen de beantwoording van het verzoek af. 17.3. Indien het verzoek als bedoeld in Artikel 17.1 direct is gericht aan een der partijen wordt het hoofd hierover zo spoedig mogelijk door die partij in kennis gesteld, opdat deze de beantwoording van het verzoek conform artikel 17.2 kan coördineren. Beantwoording van het verzoek door de partij wordt in het partneroverleg afgestemd. 17.4. Het bepaalde in artikel 17.2 en artikel 17.3 ontslaat partijen niet van diens verantwoordelijkheid als verwerkingsverantwoordelijke ten aanzien van een verzoek van betrokkene. 17.5.

Artikel 17.1 t/m 17.4, alsmede de artikelen 18, 19 en 20 zijn niet van toepassing op gegevens die verstrekt zijn door het college van procureurs-generaal. Op deze gegevens is de Wet justitiële en strafvorderlijke gegevens van toepassing. Verstrekkingen van gegevens door het College van 30

procureurs-generaal worden ingevolge artikel 8 van dit Protocol en artikel 39j Wjsg schriftelijk vastgelegd en bewaard voor de duur van 4 jaar. Inzage- en rectificatieverzoeken worden beoordeeld door de privacyfunctionaris van het verstrekkende parket van het Openbaar Ministerie. Verzetschriften tegen verwerking van gegevens worden beoordeeld door de afdeling bestuurlijke en juridische zaken van het Parket-Generaal. 17.6. Op gegevens die eerder verstrekt zijn door de politie is de geheimhoudingsplicht van de Wet politiegegevens van toepassing. Derhalve zijn artikel 18, 19 en 20 van dit Protocol niet van toepassing. Inzage- en correctieverzoeken worden beoordeeld door het Wpg loket van de verstrekkende eenheid van de politie. Verzet- en bezwaarschriften tegen verwerking van gegevens worden beoordeeld door de privacyfunctionaris en/of jurist van de verstrekkende eenheid van de politie, conform art. 29 Wpg.

Artikel 18 Recht op inzage 18.1. In het geval het verzoek ziet op inzage in de verwerking van persoonsgegevens in het Zorg- en Veiligheidshuis door partijen zoals bedoeld in artikel 17.1 onder a, dient de beantwoording van dat verzoek een volledig overzicht in begrijpelijke vorm met ten minste de volgende informatie te bevatten: a) de verwerkingsdoeleinden; b) de betrokken categorieën van Persoonsgegevens; c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties; d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen; e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke(n) te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken; f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit; g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens; h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4 AVG bedoelde profilering, en, ten

minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene. 18.2. Het verzoek wordt binnen de termijnen bepaald in de AVG door het hoofd beantwoord namens de verantwoordelijken in overleg met de verantwoordelijken. Een verzoek tot inzage wordt enkel geweigerd, indien en voor zover dit noodzakelijk is met het oog op in de wet gespecificeerde weigeringsgronden. 18.3. Een eventuele (gedeeltelijke) afwijzing is schriftelijk en gemotiveerd. 18.4. Alvorens aan een verzoek als bedoeld in artikel 17.1 wordt voldaan, verifiëren partijen de identiteit van de betrokkene die het verzoek indient. 18.5. Bij voldoen aan een verzoek als bedoeld in artikel 17.1, verstrekt het hoofd namens de verwerkingsverantwoordelijke aan de betrokkene een kopie van de persoonsgegevens die worden verwerkt.

Artikel 19 Recht op correctie en verwijdering 19.1. Indien de betrokkene op grond van zijn verzoek om inzage een verzoek tot correctie of verwijdering van bepaalde hem of haar betreffende persoonsgegevens zoals bedoeld in artikel 17.1 onder b doet bij het Zorg- en Veiligheidshuis, legt de procesregisseur dit verzoek voor aan het partneroverleg met het oog op de beoordeling van het verzoek. 19.2. Onjuiste persoonsgegevens betreffende de betrokkene worden op diens verzoek onverwijld gecorrigeerd.

31

19.3. Persoonsgegevens betreffende de betrokkene worden zonder onredelijke vertraging op diens verzoek verwijderd wanneer deze: a. voor het doel van de verwerking onvolledig of niet ter zake dienend zijn; of b. anderszins in strijd met een wettelijk voorschrift worden verwerkt. 19.4. Het hoofd informeert de betrokkene over de beslissing omtrent zijn verzoek tot correctie of verwijdering van hem of haar betreffende persoonsgegevens schriftelijk en gemotiveerd zo spoedig mogelijk, maar uiterlijk binnen 4 weken na ontvangst van het verzoek.

Artikel 20 Recht op verzet 20.1. Indien de Verwerking van persoonsgegevens door partijen is gebaseerd op de grondslagen van artikel 6 Algemene Verordening Gegevensbescherming, kan de betrokkene daartegen te allen tijde verzet aantekenen in verband met zijn bijzondere persoonlijke omstandigheden. 20.2. Indien een verzoek tot verzet door betrokkene bij één der partijen wordt ingediend, informeert die partij onverwijld de procesregisseur en de privacyfunctionaris over het ingediende verzoek. 20.3. De procesregisseur legt het door betrokkene ingeroepen recht tot verzet voor aan het casusoverleg om te beoordeling of het verzoek gerechtvaardigd is en coördineert de afhandeling daarvan. 20.4. Het hoofd informeert de betrokkene over de beslissing zoals bedoeld in artikel 17.3 binnen 4 weken en draagt er zorg voor dat de beslissing binnen deze 4 weken wordt uitgevoerd. Een beslissing om niet, of niet geheel, te voldoen wordt altijd gemotiveerd en kan met het oog op artikel 21 AVG enkel worden gebaseerd op dwingende gerechtvaardigde gronden.

Artikel 21 Recht op overdraagbaarheid van Persoonsgegevens 21.1. Het recht op overdraagbaarheid van persoonsgegevens is niet van toepassing op partijen in het Zorgen Veiligheidshuis.

Artikel 22 Verwerkers 22.1. Partijen besteden de verwerking van persoonsgegevens onder dit protocol niet uit zonder dat het Algemeen Bestuur tevoren schriftelijk toestemming heeft gegeven over de beoogde verandering inzake de inzet van verwerkers die ten behoeve van het Zorg- en Veiligheidshuis Persoonsgegevens verwerken. Een overeenkomst van opdracht tussen partijen en een door het Algemeen Bestuur goedgekeurde verwerker inzake verwerking van persoonsgegevens dient ten minste hetzelfde beschermingsniveau te bieden aan de belangen van betrokkene als het onderhavige protocol. Meer in het bijzonder moet de verwerker voor de verwerkingen van persoonsgegevens in het kader van dit protocol een vergelijkbaar niveau van beveiliging garanderen als wordt voorgeschreven in het informatiebeveiligingsbeleid van de gemeente Rotterdam. 22.2. Partijen leggen de afspraken tussen hen en Verwerkers(s) omtrent de omgang met persoonsgegevens die verwerker ten behoeve van partijen verwerkt, in een schriftelijke overeenkomst vast. Het hoofd van het ZVHRR is bevoegd deze overeenkomst namens partijen aan te gaangaan. 22.3. De privacy officer houdt een lijst bij van de overeenkomsten die met schriftelijke toestemming van het hoofd zijn overeengekomen, welke lijst minimaal eenmaal per jaar wordt bijgewerkt. Deze lijst zal beschikbaar worden gehouden ten behoeve van partijen en de toezichthouder.

Artikel 23. Verstrekking aan derden . 23.1. Persoonsgegevens die in het kader van dit protocol worden Verwerkt, worden niet verstrekt aan anderen dan deelnemers aan het casusoverleg, behoudens het bepaalde in Artikel 19 en tenzij partijen hiertoe wettelijk verplicht zijn. Deze verstrekking wordt schriftelijk vastgelegd door het hoofd. 23.2. Indien een verstrekking van persoonsgegevens aan derden plaatsvindt, is dat een individuele afweging van elke Partij op grond van zijn eigen wet- en regelgeving.

32

Artikel 24. Verwerkingsregister en Functionaris Gegevensbescherming 24.1. Partijen registeren hun verwerkingen van persoonsgegevens onder dit protocol in een eigen register van verwerkingsactiviteiten. 24.2. Aanvullend neemt het hoofd de verwerkingen van persoonsgegevens op locatie en in de informatiesystemen van het Zorg- en Veiligheidshuis op in een gezamenlijk register van verwerkingsactiviteiten onder dit protocol ten behoeve van partijen. 24.3. Het register van verwerkingsactiviteiten bevat minimaal de volgende informatie: a. De naam en contactgegevens van de verwerkingsverantwoordelijke en eventuele gezamenlijke verwerkingsverantwoordelijken (of diens vertegenwoordiger); b. De verwerkingsdoeleinden; c. Een beschrijving van de categorieën persoonsgegevens die worden verwerkt; d. Een beschrijving van de categorieën betrokkenen; e. De categorieën van ontvangers aan wie de persoonsgegevens worden (of zullen worden) verstrekt; f. Indien van toepassing, doorgifte van persoonsgegevens aan derde landen of internationale organisaties. 24.4.

De Functionarissen Gegevensbescherming van de afzonderlijke partijen hebben, zonder aankondiging van bezoek vooraf, recht op toegang tot de gebouwen en overlegruimtes van het Zorg- en Veiligheidshuis en tot de verwerkingen en register van verwerkingen, alsook toegang tot enige andere informatie, voor zover dit noodzakelijk is voor diens toezichthoudende werkzaamheden. 24.5. De privacyfunctionaris van het Zorg- en Veiligheidshuis dient als eerste aanspreekpunt voor de betrokken Functionarissen Gegevensbescherming. 24.6. De Functionarissen Gegevensbescherming van de verwerkingsverantwoordelijken houden toezicht op de naleving van de verplichtingen in dit protocol en zijn bevoegd aanwijzingen te geven aan de manager en procesregisseur.

Artikel 25. Aansprakelijkheid 25.1. Partijen zetten zich in voor een goede uitvoering van het bepaalde in dit protocol en zullen zich houden aan de dienaangaande in dit protocol gemaakte afspraken. 25.2. Partijen zijn ieder voor zich aansprakelijk voor aanspraken van betrokkenen, of derden op schadevergoeding op grond van directe of indirecte schade, administratieve boetes of andere aanspraken van derden in geval van toerekenbare tekortkoming door de aangesproken partij in de nakoming van het bepaalde in dit protocol en de bijbehorende bijlagen. 25.3. Wanneer meerdere verwerkingsverantwoordelijken of verwerkers bij dezelfde verwerking betrokken zijn, en verantwoordelijk zijn voor schade die door die verwerking is veroorzaakt, wordt elke verwerkingsverantwoordelijke of verwerker voor de gehele schade aansprakelijk gehouden teneinde te garanderen dat de betrokkene daadwerkelijk wordt vergoed. 25.4. Een verwerker is slechts aansprakelijk voor de schade die door verwerking is veroorzaakt wanneer bij de verwerking niet is voldaan aan de specifiek tot verwerkers gerichte verplichtingen van de Algemene Verordening Gegevensbescherming of buiten dan wel in strijd met de rechtmatige instructies van de Verwerkingsverantwoordelijke is gehandeld. 25.5.

Onverminderd het gestelde in lid 4 kan iedere Verwerkingsverantwoordelijke of verwerker die de volledige vergoeding heeft betaald vervolgens bij de andere verwerkingsverantwoordelijken of Verwerkers die bij dezelfde verwerking betrokken zijn, het deel van de schadevergoeding verhalen dat overeenkomt met hun deel van de aansprakelijkheid voor de schade. Een verwerkingsverantwoordelijke of verwerker kan door andere verwerkingsverantwoordelijken of verwerkers worden vrijgesteld van onderlinge betaling van schadevergoeding indien hij bewijst dat hij op geen enkele wijze verantwoordelijk is voor het schadeveroorzakende feit.

Artikel 26. Toezicht en handhaving 26.1. Onverminderd de verantwoordelijkheden van de Functionarissen Gegevensbescherming van de verwerkingsverantwoordelijken houden het hoofd en de procesregisseur toezicht op de naleving van 33

de verplichtingen in dit protocol en zijn bevoegd aanwijzingen te geven aan medewerkers in het Zorgen Veiligheidshuis omtrent de uitvoering van het bepaalde in dit protocol.

Artikel 27. Wijzigingen 27.1. De bepalingen in dit protocol kunnen door de partijen in gezamenlijk overleg worden gewijzigd. Wijzigingen in dit protocol worden door het algemeen bestuur besloten. Voorafgaand aan wijzigingen aan het privacy protocol wordt de werkgroep privacy om advies gevraagd. Mondelinge mededelingen, toezeggingen of afspraken welke betrekking hebben op de inhoud van dit protocol, hebben geen rechtskracht, tenzij deze uitdrukkelijk schriftelijk zijn bevestigd door het algemeen bestuur. 27.2. Wijziging van het protocol vergt het opnieuw ondertekenen door partijen van het gewijzigde protocol. 27.3. In geval van wijzigingen, waaronder inbegrepen toetreding van een nieuwe organisatie tot dit protocol, die door een partij onaanvaardbaar worden ervaren, kan deze partij deelname aan het Zorg- en Veiligheidshuis schriftelijk opzeggen met ingang van het tijdstip waarop het gewijzigde protocol van kracht wordt. Na opzegging van deelname aan het convenant en dit protocol verkrijgt die partij niet langer toegang tot de persoonsgegevens die op locatie of in de informatiesystemen van het Zorg- en Veiligheidshuis worden verwerkt onder dit protocol.

Artikel 28. Toetreding 28.1. Toetreding door andere organisaties tot dit protocol kan enkel wanneer die partij is toegetreden tot het convenant conform Artikel 21 van dat Convenant. 28.2. Partijen worden vooraf door de secretaris van het AB op de hoogte gebracht van de voorgenomen toetreding. Indien de toetredende partij niet staat benoemd in het handvat dient voorafgaand aan de uitwisseling van persoonsgegevens met de toetredende partij een juridische analyse te worden opgesteld conform hoofdstuk 5 van het handvat. De toetredende Partij voert waar nodig de aanbeveling uit die analyse uit, alvorens uitwisseling van persoonsgegevens in het Zorg- en Veiligheidshuis met die partij plaatsvindt. 28.3. In geval van toetreding tot het convenant, vindt toetreding tot het protocol plaats door middel van ondertekening van Bijlage 1 bij dit protocol door die andere organisatie en de voorzitter van het algemeen bestuur.

Artikel 29. Duur, opzegging, beëindiging 29.1. Dit protocol is een onlosmakend onderdeel van het convenant en treedt in werking op de dag van ondertekening door partijen en wordt voor dezelfde duur als het convenant. In geval van verlenging van het convenant wordt dit protocol met een gelijkluidende termijn verlengd. 29.2. Het algemeen bestuur kan, zonder rechterlijke tussenkomst en met meerderheid van stemmen, na ingebrekestelling, een partij met onmiddellijke ingang uitsluiten van de samenwerking in het Zorg- en Veiligheidshuis, indien de afspraken zoals neergelegd in dit protocol niet door de desbetreffende Partij worden nagekomen. 29.3. Verplichtingen die naar hun aard zijn bestemd om ook na beëindiging of uitsluiting van het project voort te duren, blijven na beëindigingen van dit Protocol bestaan. Tot deze verplichtingen behoren onder meer die ter zake van geheimhouding en de beveiliging van Persoonsgegevens.

Artikel 30. Opvolging 30.1. Dit Protocol vervangt alle eerdere door Partijen gesloten Protocollen met betrekking tot de Verwerking van Persoonsgegevens in het Zorg- en Veiligheidshuis voor de doelen zoals beschreven in Artikel 3.1 van dit Protocol.

34

Artikel 31. Monitoring, toezicht, audit, wetenschappelijk onderzoek en evaluatie 31.1. In het kader van een opdracht tot uitvoering van een wetenschappelijk onderzoek zijn partijen gezamenlijk opdrachtgever en worden de specifieke bepalingen uit wet- en regelgeving alsmede de interne voor partijen geldende voorschriften voor wetenschappelijk onderzoek van partijen in acht genomen. 31.2. partijen zullen dit protocol twee jaar na inwerking treden landelijk en regionaal evalueren, waarbij bij voorkeur een audit zal plaatsvinden door een externe onafhankelijke partij.

Artikel 32. Toepasselijk recht 32.1. Op dit Protocol is Nederlands recht van toepassing.

35

:

Bijvoegsel 1 bij Privacy Protocol Toetredingsformulier nieuwe partner tot Protocol

[naam organisatie], statutair gevestigd te […] en kantoorhoudend aan […], hierbij rechtsgeldig vertegenwoordigd door [naam, functie],

overwegende dat: •

•

Deelname aan het convenant en privacyprotocol gelet op de publieke en/of maatschappelijke taak die zichzelf in het kader van integrale veiligheid en complexe casuïstiek toedicht en gelet op de verantwoordelijkheid en/of bevoegdheid van ondergetekende een bijdrage levert aan de doelstelling zoals geformuleerd in artikel 2 van het Convenant en artikel 3.2 van het Protocol; De Stuurgroep positief heeft besloten op toetreding van ondergetekende aan het Convenant en dit Protocol;

verklaart daartoe het volgende:

•

Ondergetekende onderschrijft de in het convenant en protocol geformuleerde doelstellingen, verplicht zich de bepalingen in het convenant en protocol te zullen naleven en verklaart zich in dit kader gerechtigheid tot het uitwisselen van persoonsgegevens met partijen.

Aldus ondertekend te […], op datum […]

Naam organisatie: Naam bevoegde functionaris: ………………….