2026.099 Bijlage 1 - Strategisch beleid informatieveiligheid en privacy 2026 - 2030 (1628303)

INFORMATIEVEILIGHEID EN PRIVACY 2026–2030

Inhoud Inleiding Leeswijzer 1. Plaats van het strategisch beleid 2. Informatieveiligheid en privacy 3. Ontwikkelingen 4. Missie, visie, ambitie & strategische doelstellingen 5. Governance 6. Borging van informatieveiligheid en privacy 7. Risicomanagement

3 4 6 7 9 11 13 21 22

Bijlage 1: Relevante wet- en regelgeving

23

Inleiding Deze beleidsnota beschrijft het strategisch beleid informatieveiligheid en privacy van de gemeente Schouwen-Duiveland voor de periode van 2026 tot en met 2030. Dit beleid vormt het kader voor de benadering en aanpak van informatieveiligheid en privacy binnen de gemeente. Het biedt een visie op hoe de organisatie deze belangrijke onderwerpen benadert en geeft richting aan de werkwijze voor de komende jaren. Met deze beleidsnota zet de organisatie de koers uit voor een verantwoorde en veilige omgang met informatie. Het beleid dient als leidraad voor alle medewerkers en benadrukt het belang van een gestructureerde en proactieve aanpak op het gebied van informatieveiligheid en privacy.

Doel Het doel van dit beleidsstuk is het vaststellen van de strategische werkwijze voor informatieveiligheid en privacy door de gemeente Schouwen-Duiveland voor de komende jaren. Dit beleid heeft daarmee het onderliggende doel om duidelijkheid te schetsen in informatieveiligheid en privacy op het gebied van: 1. de visie, ambitie, missie en strategische doelstellingen van de gemeente; 2. de werkwijze, de borging van de werkwijze en de verantwoordelijkheden; 3. de omgang met risico’s.

Reikwijdte Dit strategisch beleid is bedoeld voor zowel de gehele organisatie van de gemeente als voor belanghebbenden buiten de organisatie, om inzicht te geven in de strategische werkwijze van de gemeente op het gebied van informatieveiligheid en privacy. De kaders van dit beleid zijn van toepassing op alle werkzaamheden die worden uitgevoerd binnen de gemeente SchouwenDuiveland waarbij informatie wordt geraakt, met inbegrip van BRP, Reisdocumenten, Suwinet, DigiD, AVG en WPG.

3

Leeswijzer Dit strategisch beleid beschrijft hoe gemeente Schouwen-Duiveland omgaat met informatie­ veiligheid. Vanaf 1-1-2026 vervangt dit beleid de bestaande aparte strategische beleidsdocumenten privacy en informatieveiligheid. Het beleid vormt de basis voor een veilige en betrouwbare omgang met persoonsgegevens en andere vormen van informatie binnen de gemeente. Het sluit aan bij de huidige manier van werken binnen de gemeente, houdt rekening met geldende wet- en regelgeving en leidt tot een gezamenlijke aanpak van informatieveiligheid en privacy. Het beleid wordt minimaal jaarlijks beoordeeld op actualiteit en zo nodig geactualiseerd. Een tussentijdse aanpassing vindt plaats bij: • grote beveiligingsincidenten; • grote veranderingen in de IT-omgeving of in de samenwerking met (een) leverancier(s); • veranderingen in wet- en regelgeving of relevante normen; • grote veranderingen in risico’s of dreigingen. De CISO en privacy officer zijn verantwoordelijk voor het opstellen van dit beleid en zien toe op een juiste implementatie van het beleid door de organisatie. Het bestuur stelt het beleid vast. De jaarlijkse review vindt plaats door de CISO en privacy officer, waarbij relevante stakeholders worden betrokken. Bij grote wijzigingen is een nieuw besluit van het bestuur nodig. Wat een grote wijziging is, wordt beoordeeld door de CISO, in afstemming met relevante stakeholders.

De plaats van dit beleid Dit beleid is een zogeheten kapstokbeleid. Dat wil zeggen dat dit beleidsstuk de basis vormt voor verschillende andere beleidsstukken en procedures die hieronder vallen en zullen vallen. Informatieveiligheid en privacy We lichten de twee onderwerpen toe en gaan in op de samenwerking tussen informatieveiligheid en privacy. Ook benoemen we waar de twee domeinen eigen inhoud behouden. Ontwikkelingen We benoemen de belangrijkste ontwikkelingen die de komende jaren een rol zullen spelen binnen de aanpak van informatieveiligheid en privacy. De onderwerpen die hierin worden besproken zijn: de Cyberbeveiligingswet, BIO2 en kunstmatige intelligentie. Missie, visie, ambitie & strategische doelstellingen De organisatiemissie, -visie en -ambitie zijn in dit beleid vertaald naar hoe zij informatieveiligheid en privacy raken, met bijbehorende strategische doelstellingen. Dit beleid speelt in op één van de vijf ambities van de gemeente voor de komende jaren, namelijk de ambitie ‘sterke bedrijfsvoering’. Governance Om op een juiste manier eigenaarschap te kunnen uitvoeren, worden taken en verantwoordelijkheden van de verschillende rollen binnen de gemeente op het gebied van informatieveiligheid en privacy binnen dit beleid beschreven. Het kader dat hiervoor is ontwikkeld is gebaseerd op het ‘RASCI model’ en het ‘Three lines model’.

4

Borging Om te kunnen groeien naar het aantoonbaar in control zijn, moet de gemeente borgen dat infor­ matieveiligheid en privacy voldoende aandacht krijgen. Dit doen we met behulp van jaarplannen informatieveiligheid en privacy, die als input dienen voor de concernplannen, afdelingsplannen en teamplannen. Met behulp van bedrijfsvoeringgesprekken, kwartaalrapportages en andere instru­ menten informeren we de verschillende lagen van de gemeente periodiek over de stand van zaken op gebied van informatieveiligheid en privacy en sturen we bij waar nodig. Door dit systeem van plannen, uitvoeren, controleren en bijsturen jaarlijks te beoordelen, kunnen we ook dit systeem steeds verder verbeteren. Dit leidt tot een steeds betere borging van privacy en informatieveiligheid in de organisatie. Een verdere uitwerking is te vinden in de tactische bijlage Beleid borging van informatieveiligheid en privacy (classificatie: intern). Risicomanagement Het laatste hoofdstuk legt uit hoe de gemeente omgaat met risico’s. De gemeente gebruikt hiervoor een vaste risicomethodologie. Deze manier van werken sluit aan op de governance-structuur en de borging hiervan binnen de organisatie.

5

1

Plaats van het strategisch beleid Dit beleidsstuk wordt gebruikt als een kapstokbeleid waar andere beleidstukken en procedures aan worden opgehangen. Hieronder staat in afbeelding 1 weergegeven hoe dit beleid zich verhoudt tot andere beleidsstukken. Het strategisch beleid informatieveiligheid en privacy is gebaseerd op zowel de geldende wet- en regelgeving als de algemene werkwijze binnen de gemeente Schouwen-Duiveland. Geldende wet- en regelgeving Voor zowel informatiebeveiliging als privacy gelden verschillende wet- en regelgeving. De gemeente is gehouden aan het voldoen aan wet- en regelgeving om daarmee een bepaald niveau van bescher­ ming en transparantie van informatie te kunnen waarborgen. De gemeente Schouwen-Duiveland ziet dit dan ook als één van de uitgangspunten voor dit beleid. De generieke wet- en regelgeving die van belang is voor informatieveiligheid en privacy staat benoemd in bijlage 1. Vanuit specifieke beleids­ terreinen kan aanvullende wet- en regelgeving van kracht zijn. Algemene werkwijze gemeente Dit Strategisch beleid informatieveiligheid en privacy is gebaseerd op de bestaande werkwijze (governance) van de gemeente Schouwen-Duiveland. Daardoor zijn de verschillende rollen binnen dit beleid bekend met de werkwijze van het beleid en wordt het beleid op een juiste manier uitgevoerd binnen organisatie. Dit leidt tot een juiste borging van de werkwijze.

Tactisch beleid In aanvulling op dit beleid wordt er voor zowel informatieveiligheid als privacy eigen tactisch beleid opgesteld. Dit tactisch beleid geeft de invulling op uitvoerend niveau weer en geeft richting aan aanvullende procedures en beleidsstukken. Daarnaast kan er gebruik worden gemaakt van gezamenlijk beleid en/of procedures. Bij tactisch en operationeel beleid kan bijvoorbeeld worden gedacht aan: WPG-beleid, de risicomethodologie, beleid leveranciersmanagement, dataclassificatie­ beleid, toegangsbeleid en beleid voor kwetsbaarhedenbeheer.

Afbeelding 1

6

2

Informatieveiligheid en privacy In dit hoofdstuk beschrijven we de onderwerpen informatieveiligheid en privacy zoals de gemeente Schouwen-Duiveland deze ziet. We geven aan welke wet- en regelgeving per discipline van toepassing is. En we gaan in op de samenhang tussen de twee onderwerpen. Het beleid informatieveiligheid en privacy geldt voor alle processen van de gemeente en borgt daarmee de informatievoorziening gedurende de hele levenscyclus van informatiesystemen, ongeacht de toegepaste technologie en ongeacht het karakter van de informatie. Naast ICT heeft informatiebeveiliging ook betrekking op het politieke bestuur, alle medewerkers, burgers, gasten, bezoekers en externe relaties.

2.1 Informatieveiligheid Onder informatiebeveiliging verstaan we het treffen en onderhouden van een samenhangend pakket van maatregelen om de betrouwbaarheid van de informatievoorziening aantoonbaar te waarborgen. Kernpunten daarbij zijn beschikbaarheid, integriteit (juistheid) en vertrouwelijkheid van persoons­ gegevens en andere informatie. Sinds 2020 moeten overheidsorganisaties voldoen aan de Baseline Informatiebeveiliging Overheid (BIO). De BIO omschrijft de eisen waaraan overheidsorganisaties minimaal moeten voldoen om aan te kunnen tonen dat zij veilig omgaan met informatie. Overheidsorganisaties verantwoorden zich over informatieveiligheid, door aan te geven in hoeverre zij voldoen aan de BIO. Per 23 september 2025 is versie 2 van de BIO van kracht: BIO 2.0. De BIO 2.0 is ons maatregelenkader. Gelijkwaardige beheersmaatregelen zijn toegestaan mits risicoonderbouwd, vastgelegd en goedgekeurd door proceseigenaar en CISO. Afwijkingen dienen periodiek, minimaal eens per twee jaar, te worden geëvalueerd. Interne en externe verantwoording Via ENSIA (Eenduidige Normatiek Single Information Audit) verantwoorden gemeenten zich over informatiebeveiliging en –kwaliteit richting de gemeenteraad.

Parallel hieraan leggen gemeenten verantwoording af aan de rijksoverheid waar het gaat om het gebruik van landelijke voorzieningen: ENSIA structureert verantwoording over de Basisregistratie Personen (BRP) en Reisdocumenten, Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO) en de Structuur uitvoeringsorganisatie Werk en Inkomen (SUWI). De ENSIA-coördinator zorgt ervoor dat de informatie die nodig is voor het beantwoorden van vragen binnen ENSIA wordt opgehaald bij de verantwoordelijke proceseigenaren. De proceseigenaren leveren alle informatie die nodig is voor het invullen van de jaarlijkse ENSIA-vragenlijsten. De ENSIAcoördinator heeft geen inhoudelijke verantwoordelijkheid. In de collegeverklaring informatiebeveiliging geeft het college van B&W aan haar toezichthouders aan in hoeverre de gemeente voldoet aan de beveiligingseisen van DigiD en Suwinet. Ook worden de eventuele verbetermaatregelen vermeld die de gemeente gaat treffen. De uitkomsten delen we via de paragraaf bedrijfsvoering in de bestuurrapportage en via een raadsbrief met de gemeenteraad.

7

Aanvullende DigiD-maatregelen en -verantwoordelijkheden Elke organisatie met één of meerdere DigiD-aansluitingen dient te voldoen aan de DigiD-normen. Het document ‘Aanvulling DigiD’ geeft invulling aan de aanvullende maatregelen en verantwoor­ delijkheden die hieruit voortkomen. De effectiviteit van DigiD-beheersmaatregelen wordt jaarlijks onafhankelijk beoordeeld in het kader van ENSIA.

2.2 Privacy Privacy is een fundamenteel recht van iedere inwoner, werknemer en ander persoon waarvan de gemeente persoonsgegevens verwerkt. De gemeente Schouwen-Duiveland heeft privacy dan ook hoog in het vaandel staan. Als gemeente erkennen wij dat de bescherming van persoonlijke gegevens een cruciaal onderdeel vormt van onze bedrijfsvoering. Met dit strategisch beleid borgt de organisatie de werkwijze op het gebied van privacy voor de komende periode. Het beleid houdt rekening met diverse vormen van privacywetgeving, waaronder de Algemene verordening gegevensbescherming (AVG), de Uitvoeringswet Algemene verordening gegevens­ bescherming (UAVG) en de Wet politiegegevens (WPG). Daarnaast richt dit beleid zich ook op toekomstige ontwikkelingen in wet- en regelgeving die de bescherming van persoonsgegevens kunnen beïnvloeden, zoals de omgang met kunstmatige intelligentie (AI). De verdere uitwerking van omgang met privacy vindt plaats binnen het tactisch privacybeleid en onderliggend beleid en procedures. Dit beleid vormt daarmee, samen met de andere beleidsstukken, een stevig kader om de privacy van inwoners, werknemers en andere belanghebbenden te waarborgen en te respecteren, nu en in de toekomst.

2.3 Samenwerking informatiebeveiliging en privacy Een strategische samenwerking tussen informatieveiligheid en privacy is van cruciaal belang voor het succesvol beschermen van gegevens binnen de gemeente in de komende jaren. De onderwerpen staan los van elkaar, maar hebben veel gezamenlijke aandachtsgebieden. Daarom kiest de gemeente voor een integrale aanpak van informatieveiligheid en privacy op strategisch niveau. Door middel van deze werkwijze wil de gemeente borgen dat beide aandachtsgebieden voldoende aandacht krijgen en dat de druk op de gemeentelijke organisatie beheersbaar blijft. Op tactisch niveau vereisen beide onderwerpen ook specifieke aandacht. Daarom behouden privacy en informatieveiligheid een eigen tactisch beleid en bijbehorende procedures. Dit betekent in de praktijk dat informatieveiligheid en privacy nauw samenwerken binnen de gemeente, maar ook vragen om maatregelen te nemen die specifiek zijn gericht op hun respectievelijke domeinen. Door informatieveiligheid en privacy op strategisch niveau te verenigen, kan de gemeente een cultuur creëren waarin gegevensbescherming centraal staat in al haar activiteiten. Deze integrale aanpak zal helpen om de privacy van inwoners, werknemers en derden te waarborgen, terwijl tegelijkertijd de vertrouwelijkheid, integriteit en beschikbaarheid van informatie en -systemen wordt beschermd.



8

3

Ontwikkelingen Als gemeente zien we intern en extern allerlei ontwikkelingen op ons afkomen. In dit beleid staan we stil bij de ontwikkelingen waarvan wij als gemeente denken dat deze de grootste invloed hebben op de informatieveiligheid en privacy binnen de gemeente in de komende jaren.

3.1 Cyberbeveiligingswet (NIS2-richtlijn) De NIS2 (Network and Information Security directive) is een nieuwe Europese richtlijn gericht op het vergroten van digitale weerbaarheid en het beperken van de gevolgen van cyberincidenten in de Europese Unie. In Nederland wordt de NIS2-richtlijn geïmplementeerd in de vorm van de Cyber­ beveiligingswet (Cbw), die naar verwachting in Q2 2026 in werking treedt. Gemeenten worden in de NIS2 aangewezen als ‘essentiële entiteit’. De nieuwe wet legt de verantwoordelijkheid voor informatieveiligheid expliciet bij het bestuur: zij draagt eindverantwoordelijkheid voor naleving van de zorgplicht uit de Cyberbeveiligingswet en ziet toe op implementatie van passende risicobeheersmaatregelen zoals bedoeld in art. 21 NIS2, waaronder ketenbeveiliging, incidentrespons, bedrijfscontinuïteit, cryptografiebeleid en beveiliging bij aanbestedingen. Bestuurders dienen een passende cybersecuritytraining te volgen, conform de verplichting uit de Cyberbeveiligingswet. Thema’s die in de Cbw sterker naar voren komen dan in huidige wet- en regelgeving en daardoor extra aandacht vragen, zijn: • Leveranciersmanagement/ ketenrisico’s Overheidsinstellingen dienen grip te krijgen op hun toeleveringsketen door te borgen dat maatregelen die gelden voor de gemeente, ook worden opgelegd aan leveranciers (en door hen aan hun leveranciers, etc.).

Ook dienen controles plaats te vinden dat die maatregelen worden nageleefd. Dit geldt ook bij samenwerkingsverbanden. • Operationele technologie (OT) Naast de reguliere kantoorautomatisering (zoals computers, netwerken en applicaties) maakt de gemeente ook gebruik van operationele technologie (OT). Dit zijn systemen die fysieke processen aansturen of bewaken, zoals gebouwbeheersystemen (bijvoorbeeld klimaatregeling, toegangssystemen of cameratoezicht) en technische installaties in de openbare ruimte (zoals gemalen, stoplichten, slimme lantaarnpalen). Hoewel deze systemen vaak buiten het traditionele IT-domein vallen, kunnen ze wel risico’s opleveren voor de continuïteit, veiligheid en privacy binnen de organisatie. Daarom wordt OT bij informatiebeveiliging nadrukkelijk meegenomen. De gemeente dient een inventarisatie uit te voeren van alle OT-systemen onder gemeentelijke verantwoordelijkheid, met vastlegging van eigenaar, beheerder en risico’s. Op basis daarvan wordt een minimale beveiligingsbaseline vastgesteld die aansluit bij de gemeentelijke beveiligingsrichtlijnen. De CISO borgt dat de inventarisatie en baseline periodiek worden geactualiseerd en afgestemd met betrokken team(s). Zo blijft de gemeente zich bewust van haar risico’s en kan zij waar tijdig maatregelen nemen om de veiligheid van haar OT te waarborgen.

9

•

Incidentbeheer De Autoriteit Persoonsgegevens (AP) kent al een meldplicht binnen 72 uur voor privacygerelateerde incidenten. De Cbw kent een 24-uurs meldplicht voor alle incidenten. De meldstructuur voldoet aan de gefaseerde meldplicht zoals opgenomen in de Cyberbeveiligingswet, inclusief vroegmelding, nadere rapportage en eindrapportage.

3.2 BIO 2.0 De BIO is gebaseerd op internationale standaarden ISO27001 (beheersysteem) en ISO27002 (maatregelen), aangevuld met overheidsmaatregelen. Omdat de ISO27001 in 2022 een andere indeling heeft gekregen, is ook de BIO aangepast naar de BIO 2.0. Naast een nieuwe nummering zijn beheersmaatregelen toegevoegd die inspelen op nieuwe technologie en actuele dreigingen. Op 23 september 2025 is de BIO 2.0 vastgesteld. Met de ingang van de Cbw wordt deze ook verankerd in de Cbw. Dit maakt de BIO 2.0 vanaf dat moment het nieuwe wettelijk verplichte normenkader voor de gehele overheid. De werkwijze van de BIO 2.0 is gericht op risicomanagement, specifiek volgens de aanpak van ISO27001.

3.3 Kunstmatige intelligentie (AI) De Europese Unie heeft de zogeheten AI Act opgesteld, een wettelijke kader dat de inzet van AIsystemen reguleert. Ook de gemeente moet zich aan deze wet houden en tijdig voldoen aan de hieruit voortkomende eisen en verantwoordelijkheden. Dat betekent dat de gemeente de komende jaren inzicht zal moeten verkrijgen in waar en op welke manier kunstmatige intelligentie wordt ingezet, om vervolgens de juiste beheersmaatregelen toe te kunnen passen.

10

4

Missie, visie, ambitie & strategische doelstellingen De gemeente Schouwen-Duiveland heeft in Ons Verhaal een algemene missie, visie en ambitie vastgesteld voor de komende jaren. Deze missie, visie en ambitie zijn in dit beleid vertaald naar de manier waarop deze worden ingezet op het gebied van informatieveiligheid en privacy. Dit beleid speelt in op één van de vijf ambities van de gemeente voor de komende jaren, namelijk de ambitie ‘sterke bedrijfsvoering’. Door middel van dit beleid en de daarop gebaseerde strategische doel­ stellingen komt de gemeente duurzaam in control op het gebied van informatieveiligheid en privacy.

4.1 Missie Wij werken samen aan een mooi en krachtig Schouwen-Duiveland waarin rechtmatige en veilige informatiedeling een randvoorwaarde is voor het behalen van de doelstelling.

4.2 Visie Wij verwerken alle gemeentelijke informatie zorgvuldig en rechtmatig. Door gegevens beschikbaar, integer en vertrouwelijk te houden, kunnen wij deze verantwoord en privacybewust inzetten, om samen met inwoners en partners te werken aan de maatschappelijke opgaven van SchouwenDuiveland.

4.3 Strategische doelstellingen De gemeente streeft ernaar om de komende jaren een gedragen en toekomstbestendige basis voor informatieveiligheid en privacy te leggen, om op die manier aantoonbaar duurzaam in control te komen op deze thema’s. Dit betekent dat de gemeente niet alleen voldoet aan de geldende wet- en regelgeving, maar ook proactief maatregelen neemt om databeveiliging en privacybescherming te verbeteren. De focus ligt daarbij op het versterken van eigenaarschap en het risicogebaseerd werken binnen de gehele organisatie. Daardoor worden informatieveiligheid en privacy een integraal onderdeel van alle gemeentelijke processen en activiteiten. Dit gebeurt op basis van dit beleidsstuk en onderliggende beleidsstukken, richtlijnen en actieplannen. Goede samenwerking binnen en buiten de organisatie is daarbij belangrijk. Voor de gemeente gelden de volgende strategische doelstellingen op gebied van informatieveiligheid en privacy: 1. We krijgen meer grip op risico’s De Gemeente Schouwen-Duiveland werkt risicogestuurd door het gebruik van de vastgestelde risicomethodologie. Daardoor worden potentiële bedreigingen en kwetsbaarheden proactief geïdentificeerd en waar nodig gemitigeerd. Zo borgt de gemeente dat mensen en middelen worden ingezet waar zij het meest nuttig zijn. 2.

We stimuleren eigenaarschap door meer rolduidelijkheid De gemeente Schouwen-Duiveland implementeert, en werkt volgens, de vastgestelde governancestructuur. Hiermee groeit het volwassenheidsniveau van de gemeente op het gebied van infor­ matie­veiligheid en privacy. Duidelijke verantwoordelijkheden, taken en bevoegdheden bij elke rol, zorgen ervoor dat de organisatie geen middelen verspilt en dat we doen wat we moeten doen.

11

3. We werken op basis van geldende wet- en regelgeving De gemeente Schouwen-Duiveland is zich bewust van geldende wet- en regelgeving met betrekking tot informatieveiligheid en privacy en de voorbeeldrol die gemeenten op dit gebied hebben. De organisatie streeft dan ook naar volledige compliance met wet- en regelgeving, met risicogestuurde prioriteiten om de naleving effectief en verantwoord te borgen. Zo beschermen we de vertrouwelijkheid, integriteit en beschikbaarheid van informatie en behouden we het vertrouwen van inwoners, partners en medewerkers. Hieronder valt ook het anticiperen op nieuwe ontwikkelingen. 4. We creëren een informatieveilige en privacybewuste cultuur De gemeente blijft investeren in een cultuur waarbinnen alle medewerkers zich bewust zijn van het belang van informatiebeveiliging en privacy bij het uitvoeren van werkzaamheden voor de gemeente. Dit draagt bij aan het voorkomen van incidenten en de borging van informatieveiligheid en privacy in werkprocessen. 5. We versterken de samenwerking tussen informatieveiligheid, privacy en de ambtelijke organisatie Door middel van het bespreken en het laten zien van wederzijdse belangen versterkt de gemeente de samenwerking tussen informatieveiligheid en privacy en de ambtelijke organisatie. Zo kunnen we integraal samenwerken aan het behalen van de strategische doelen van de organisatie. 6.

We breiden de samenwerking uit tussen gemeente Schouwen-Duiveland en andere gemeenten in de regio en daarbuiten Verschillende gemeenten voeren veel dezelfde processen uit. Hoewel de invulling varieert, kunnen we op proces- en beleidsniveau veel kennis delen. Zo hoeft niet iedere gemeente zelf het wiel uit te vinden en kunnen we tijd besparen. Bij gezamenlijke problematiek kunnen Zeeuwse gemeenten als één stem communiceren richting VNG, of bij landelijke problematiek als VNG richting rijksoverheid.

12

5

Governance Om goed om te kunnen gaan met informatieveiligheid en privacy heeft de gemeente SchouwenDuiveland gekozen voor een governance-structuur die aansluit bij de door de organisatie voor de komende jaren gekozen werkwijze. Met deze governance-structuur wil de gemeente haar doel­ stellingen behalen en de gegevens beschikbaar, integer en vertrouwelijk houden. Daarnaast voldoet de gemeente met deze governance-structuur aan de geldende wet- en regelgeving op het gebied van informatieveiligheid en privacy. De governance omschrijft de taken en verantwoordelijkheden van de verschillende rollen binnen de gemeente en de manier waarop de governance wordt geborgd binnen de gemeente. Daarbij wordt er uitleg gegeven over de werkwijze die gebaseerd is op het RASCI-model en het Three Lines Model.

5.1 Verantwoordelijkheden Om op een juiste manier te kunnen sturen binnen de gemeente moeten verantwoordelijkheden duidelijk worden belegd. De verantwoordelijkheden ten aanzien van de naleving van wet- en regelgeving met betrekking tot informatieveiligheid en privacy worden in het onderstaande RASCImodel weergegeven. Per beleid of procedure die geldt voor informatieveiligheid of privacy zal er in één overzichtelijk, centraal beheerd RASCI-model worden ingevuld wat de verantwoordelijkheden van de verschillende rollen zijn. Hieronder lichten we de verschillende onderdelen van het RASCImodel toe. •

•

•

•

•

Responsible (verantwoordelijk): Dit verwijst naar de persoon of personen die verantwoordelijk zijn voor het uitvoeren van een specifieke taak of activiteit. Zij dragen de feitelijke verantwoor­ delijkheid voor het volbrengen van de taak; Accountable (eindverantwoordelijk): Dit verwijst naar de persoon die uiteindelijk verantwoordelijk is voor het resultaat van een taak of activiteit. Hoewel er meerdere personen betrokken kunnen zijn bij de uitvoering, is er slechts één persoon die uiteindelijk de eindverantwoordelijkheid draagt; Support (ondersteunend): Dit zijn de rollen van degenen die verantwoordelijk zijn voor het ondersteunen bij de uitvoering van de taak of activiteit. Ze bieden mogelijk advies, middelen of andere vormen van ondersteuning om ervoor te zorgen dat de taak succesvol wordt uitgevoerd; Consulted (ingelicht): Dit zijn de rollen die input leveren of worden geraadpleegd voordat beslissingen worden genomen of acties worden ondernomen. Hoewel ze niet direct verantwoor­ delijk zijn voor de taak of activiteit, hebben ze expertise of informatie die waardevol kan zijn voor het proces; Informed (geïnformeerd): Dit zijn de rollen die op de hoogte moeten worden gehouden van de voortgang of resultaten van een taak of activiteit. Ze hebben mogelijk geen directe betrokkenheid bij de uitvoering ervan, maar moeten wel op de hoogte worden gehouden van ontwikkelingen.

13

Het RASCI-model hieronder is bedoeld voor het proces omtrent het naleven van de verplichte wet- en regelgeving voor informatieveiligheid en privacy door de gemeente Schouwen-Duiveland.

Rol

Responsible

Accountable

Supporting

Consulted

x

Raad x

College van B&W

x x

Griffier Gemeentesecretaris

x

x x

Afdelingshoofden Proceseigenaar (altijd teammanager)

x

x

x x

Functionaris Gegevensbescherming Privacy Officer

Informed

x

CISO

x

x

x

x

x

x x

ISO

x

x

Bedrijfsvoering (dienstverlener rol BIO)

x

x

ENSIA coördinator

x

5.2 Rollen, taken en verantwoordelijkheden Om een goede governance van informatieveiligheid en privacy op te zetten is het van belang dat de verschillende rollen binnen de organisatie weten wat er van hen wordt verwacht. Om hier structuur aan te geven zijn de rollen, taken en verantwoordelijkheden uitgeschreven op basis van het in afbeelding 2 bijgevoegde model. Dit model is gebaseerd op het ‘Three Lines Model’. Het Three Lines Model omschrijft een werkwijze die gebruikt kan worden om binnen een organisatie de taken duidelijk te maken. In het geval van dit strategisch beleidsstuk gaat het model in op de taken van de verschillende rollen binnen de gemeente ten aanzien van informatieveiligheid en privacy. Het model is aangepast naar de werkwijze van de gemeente.

14

5.2.1 Het bestuur Het bestuur bestaat uit de gemeenteraad, ondersteund door de griffie, en het College van burgemeester en wethouders. Hieronder staat per rol weergegeven wat de taken zijn ten aanzien van informatie­ veiligheid en privacy. Gemeenteraad De gemeenteraad kent de volgende taken en verantwoordelijkheden ten aanzien van informatie­ veiligheid en privacy: • De gemeenteraad controleert de werkzaamheden van het College van B&W ten aanzien van informatieveiligheid en privacy; • De gemeenteraad is verantwoordelijk voor alle raadsprocessen waaronder de verwerkingen binnen de raadsprocessen. De griffie is de schakel tussen de raad en de ambtelijke organisatie, via het college en de gemeente­ secretaris. De communicatie met de raad vanuit informatieveiligheid en privacy loopt dan ook altijd via de griffie. Burgemeester De burgemeester kent de volgende taken en verantwoordelijkheden ten aanzien van informatie­ veiligheid en privacy: • Verantwoordelijk voor de processen van openbare orde en veiligheid, waaronder de verwerkings­ processen op het gebied van de Wet Politiegegevens die betrekking hebben op de verwerking van gegevens ten aanzien van openbare orde en veiligheid; • Geeft leiding aan het College van B&W.

15

College van burgemeester en wethouders • Het college van burgemeester en wethouders kent de volgende taken en verantwoordelijkheden ten aanzien van informatieveiligheid en privacy: • Draagt de uiteindelijke verantwoordelijkheid voor informatieveiligheid en privacy; • Vaststellen organisatiebreed beleid en procedures voor informatieveiligheid en privacy; • Het college van B&W is de verantwoordelijke in de zin van de Algemene Verordening Gegevens­ bescherming (AVG) en de Wet Politiegegevens voor alle werkzaamheden die worden uitgevoerd door de gemeente, met uitzondering van de raadsprocessen en de processen rondom openbare orde en veiligheid. • Het college ziet erop toe dat passende technische en organisatorische maatregelen worden getroffen conform artikel 24 en 32 AVG en art. 21 NIS2 en legt hierover periodiek verantwoording af.

5.2.2 Ambtelijke organisatie De ambtelijke organisatie van de gemeente Schouwen-Duiveland is verantwoordelijk voor het uitvoeren van taken en het leveren van diensten aan inwoners, bedrijven en andere belanghebbenden. De ambtelijke organisatie bestaat uit de gemeentesecretaris en de medewerkers van de gemeente, georganiseerd in afdelingen en teams. Het managementteam (MT) en de privacy contactpersonen maken onderdeel uit van deze organisatie. Gemeentesecretaris De gemeentesecretaris staat aan het hoofd van de ambtelijke organisatie. Dit geldt ook voor informatie­ veiligheid en privacy. De gemeentesecretaris kent de volgende taken en verantwoordelijkheden ten aanzien van informatieveiligheid en privacy: • Het bepalen van het gewenste niveau voor informatieveiligheid en privacy; • Het laten opstellen van het beleid voor informatieveiligheid en privacy; • Leidinggeven aan het managementteam op gebied van informatieveiligheid en privacy. Managementteam De gemeentesecretaris vormt samen met alle afdelingshoofden en de concern controller het managementteam (MT). De gemeentesecretaris staat aan het hoofd van dit orgaan.

Dit orgaan is op haar beurt verantwoordelijk voor de strategische bedrijfsvoering, waaronder de volgende onderdelen ten aanzien van informatieveiligheid en privacy: • Het adviseren van de gemeentesecretaris over de werkbaarheid voor de organisatie van informatie­ veiligheid en privacy; • Controleren van het beleid informatieveiligheid en privacy op werkbaarheid voor de organisatie; • Focus op de uitvoering van het beleid informatieveiligheid en privacy, in lijn met de strategische organisatievisie; • Uitdragen van het belang van informatieveiligheid en privacy binnen de gemeente; • Het adviseren van de gemeentesecretaris over de impact op de organisatie van te nemen beslissingen op gebied van informatieveiligheid en privacy.

5.2.3 De eerste lijn Binnen het Three Lines Model wordt onderscheid gemaakt tussen drie lijnen. De eerste lijn bestaat uit de operationele teams onder leiding van de teammanagers, die verantwoordelijk zijn voor de uitvoering van de dagelijkse werkzaamheden binnen de verschillende afdelingen. Deze linie identificeert, beheerst en monitort risico’s die zich voordoen in de dagelijkse processen en signaleert incidenten tijdens de uitvoering van de werkzaamheden. Hieronder staat per rol weergegeven wat de taken en verantwoordelijkheden zijn binnen de eerste lijn.

16

Afdelingshoofden • De afdelingshoofden staan aan het hoofd van de eigen afdeling. Onder zo’n afdeling vallen de verschillende teams met teammanagers. Een afdelingshoofd kent de volgende taken en verant­ woordelijkheden ten aanzien van informatieveiligheid en privacy: • Draagt zorg voor het goed inrichten van de teams binnen de eigen afdeling om deze optimaal te kunnen laten presteren ten aanzien van informatieveiligheid en privacy; • Het aanspreken van collega’s en derden op gewenst en ongewenst gedrag ten aanzien van informatieveiligheid en privacy. Proceseigenaar = teammanager De proceseigenaren staan aan het hoofd van de eigen processen. De proceseigenaar is daarmee een belangrijke schakel binnen de gemeente. De proceseigenaar is altijd een teammanager.

Proceseigenaren kennen de volgende taken en verantwoordelijkheden: • Het voldoen aan wet- en regelgeving binnen zijn of haar processen; • Het identificeren van de risico’s die binnen de eigen processen vallen; • Het kiezen en vastleggen van een risicoreactie ten aanzien van risico’s binnen zijn of haar proces op basis van de risicomethodologie; • Het borgen en periodiek controleren van de werking van de gekozen risicoreactie; • Het uitdragen van beleid en procedures op gebied van informatieveiligheid en privacy; • Het aansturen van de werknemers binnen het eigen proces ten aanzien van informatie­veiligheid en privacy; • Het aanstellen van een Contactpersoon Privacy binnen het eigen team; • Het aanspreken van collega’s en derden op gewenst en ongewenst gedrag ten aanzien van informatieveiligheid en privacy. Procesmedewerker De procesmedewerkers spelen een belangrijke rol bij het beschermen van informatie binnen de teams. De procesmedewerkers zijn de medewerkers van de teams, inclusief externe medewerkers, die dagelijks de werkzaamheden uitvoeren voor de gemeente.

De procesmedewerkers kennen de volgende taken en verantwoordelijkheden ten aanzien van informatieveiligheid en privacy: • Het bekend zijn met en het werken op basis van het vastgestelde beleid informatieveiligheid en privacy, de procedures en de richtlijnen die van toepassing zijn; • Het signaleren en melden van kwetsbaarheden en incidenten ten aanzien van informatieveiligheid en privacy; • Het aanspreken van collega’s en derden op gewenst en ongewenst gedrag ten aanzien van informatieveiligheid en privacy. Procesbeheerder Medewerker die veel kennis heeft van het proces, soms ook specialist genoemd. De taken van de procesbeheerder zijn de volgende: • Aanspreekpunt zijn voor informatie over het proces ten aanzien van informatieveiligheid en privacy.

17

Contactpersonen Privacy De Contactpersonen Privacy zijn de aanjagers van privacy binnen de teams om privacy-onderwerpen bespreekbaar te maken. De Contactpersonen Privacy verkrijgen vanuit de Privacy Officer, of via andere wegen, de nodige kennis om de rol van Contactpersoon Privacy uit te kunnen voeren. De Privacy Contactpersonen kennen de volgende verantwoordelijkheden: • Het signaleren van nieuwe verwerkingen van persoonsgegevens en de collega’s wijzen op de spelregels van de AVG; • Het (laten) meewerken aan het vullen van het verwerkingsregister onder begeleiding van de Privacy Officer; • Aanspreekbaar zijn voor de Privacy Officer en/of de FG met betrekking tot de kennis van de afdeling/het team ten aanzien van privacyvraagstukken (het gaat hier om ‘de weg weten’); • Het aanspreken van collega’s bij het signaleren van problemen met betrekking tot privacy binnen de processen; • Het mede signaleren van datalekken en/of raadpleegbaar zijn voor collega’s ten aanzien van datalekken. Deze datalekken worden vervolgens gemeld aan de Privacy Officer.

5.2.4 De tweede lijn De tweede lijn binnen het Three Lines Model bestaat uit functies die, onafhankelijk van de uitvoering, kaders stellen, adviseren en toezicht houden op de inrichting en werking van risicoen interne beheersing. Binnen de organisatie vervullen de specialisten op het gebied van informatieveiligheid en privacy deze tweedelijnsrol. Zij ontwikkelen beleid, stellen kaders en richtlijnen vast en adviseren de eerste lijn over de beheersing van risico’s. Daarnaast monitoren zij in hoeverre de organisatie voldoet aan wet- en regelgeving, interne beleidskaders en de BIO. De tweede lijn beoordeelt risicoanalyses, signaleert afwijkingen, bewaakt de voortgang van verbeter­ maatregelen en rapporteert hierover periodiek aan management en bestuur. Daarnaast volgt de tweede lijn relevante externe ontwikkelingen en vertaalt deze naar consequenties voor beleid, processen en beheersmaatregelen binnen de organisatie. Hieronder zijn de taken en verantwoor­ delijkheden van de tweedelijnsrollen nader uitgewerkt. Chief Information Security Officer De CISO is op organisatieniveau verantwoordelijk voor het actueel houden van het informatie­ beveiligingsbeleid, monitoren van de uitvoering van het beleid, het adviseren bij projecten en risicobeheersing, evenals het opstellen van rapportages. De taken en bevoegdheden van de CISO vereisen een onafhankelijke positie binnen de organisatie.

De CISO heeft in ieder geval de volgende taken en verantwoordelijkheden op het gebied van informatieveiligheid: • Adviseren over de prioritering van informatiebeveiligingsmaatregelen op basis van informatie­ beveiligingsanalyses en toezichtbevindingen; • Toezien op de implementatie en naleving van de BIO, inclusief het signaleren van afwijkingen en adviseren over noodzakelijke verbeteracties; • Beoordelen en valideren van door de eerste lijn uitgevoerde risicoanalyses; • Coördineren van audits op gebied van informatieveiligheid en fungeren als aanspreekpunt voor auditors; • Afstemmen met de Informatiebeveiligingsdienst (IBD) over relevante ontwikkelingen op beleidsen toezichtniveau en optreden als Vertrouwde Contactpersoon Informatiebeveiliging (VCIB); • Adviseren over kaders en procedures voor het afhandelen van veiligheidsincidenten en datalekken;

18

• • • • •

• •

Adviseren als tweedelijns deskundige bij ingrijpende beveiligingsincidenten, gericht op duiding en beoordeling. CISO is niet betrokken bij de uitvoering; Fungeren als aanspreekpunt voor bestuur en MT voor onafhankelijke rapportages en toezicht­bevindingen; Volgen van relevante externe ontwikkelingen op gebied van informatieveiligheid en duiden van de impact voor de organisatie; Monitoren van het veiligheidsbewustzijn in de organisatie en adviseren over verbetermaatregelen, zonder deze zelf uit te voeren; Periodiek rapporteren over informatieveiligheid, risico’s, naleving en de status van de interne beheersing. Dit gebeurt rechtstreeks aan de gemeentesecretaris en het college, onafhankelijk van de eerste lijn; Toetsen van jaarplannen informatieveiligheid in de eerste lijn; Leveren van input voor het concernplan: toezichtbevindingen, risico-informatie, advies over prioriteiten, kaders en richting.

Privacy Officer De Privacy Officer heeft specialistische kennis ten aanzien van privacy. De Privacy Officer kent de volgende taken en verantwoordelijkheden: • Het ondersteunen en adviseren van de organisatie ten aanzien van het identificeren, beoordelen, beheren en beheersen van risico’s met betrekking tot privacy; • Het ontwikkelen van beleid en procedures ten aanzien van privacy; • Het monitoren van gevonden risico’s ten aanzien van privacy; • Controleren van de gemeente op naleving van wet- en regelgeving op gebied van privacy; • Het ondersteunen bij het opstellen van het verwerkingsregister; • Het coördineren van het beheer van het verwerkingsregister; • Het ondersteunen van de organisatie bij het uitvoeren van Data Protection Impact Assessments (DPIA’s); • Het consulteren van de Functionaris Gegevensbescherming bij privacyvraagstukken waarbij de gemeente risico loopt; • Het opstellen van een jaarplan privacy. Information Security Officer De Information Security Officer heeft specialistische kennis ten aanzien van informatieveiligheid.

De Information Security Officer kent de volgende taken ten aanzien van informatieveiligheid: • Het ondersteunen en adviseren van de eerste lijn bij het identificeren, beoordelen en beheren van risico’s op gebied van informatieveiligheid; • Ondersteuning bij het ontwikkelen van tactisch beleid en procedures ten aanzien van informatieveiligheid; • Het monitoren van informatiebeveiligingsrisico’s en het rapporteren over de status van risico’s aan de CISO; • Het controleren van de gemeente op naleving van wet- en regelgeving ten aanzien van informatieveiligheid; • Het coördineren van risicobeheersactiviteiten; • Het evalueren van beheersmaatregelen ten aanzien van risico’s en het aanbevelen van verbeteringen waar nodig; • Het zijn van aanspreekpunt voor medewerkers van de gemeente bij operationele vragen over het onderwerp informatiebeveiliging.

19

5.2.5 De derde lijn De derde lijn binnen het Three Lines Model houdt onafhankelijk en objectief toezicht op de wijze waarop de organisatie invulling geeft aan informatieveiligheid en privacy. Deze linie verschaft onafhankelijke assurance over de effectiviteit van de governance, risicobeheersing en interne beheersing en is onafhankelijk van zowel de eerste als tweede lijn. De derde lijn toetst opzet, bestaan en werking van beheersmaatregelen, onder andere door het uitvoeren van (interne) audits, en rapporteert hierover aan management en bestuur. Hieronder zijn de taken en verantwoordelijkheden van de rollen in de derde lijn nader omschreven. Functionaris Gegevensbescherming De Functionaris Gegevensbescherming is de wettelijke interne toezichthouder op de verwerking van persoonsgegevens binnen de organisatie. De Functionaris Gegevensbescherming houdt binnen de organisatie toezicht op de toepassing en naleving van de privacywetgeving zoals dat wordt voorgeschreven in de artikelen 37-39 van de AVG en artikel 34 van de WPG. De wettelijke taken en bevoegdheden van de Functionaris Gegevensbescherming geven deze functionaris een onafhankelijke positie binnen de organisatie.

De Functionaris Gegevensbescherming kent de volgende taken en verantwoordelijkheden ten aanzien van privacy: • Het adviseren en informeren over de verplichtingen die de verwerkingsverantwoordelijke en verwerker hebben t.a.v. de verwerking van persoonsgegevens; • Toezien op de naleving van privacywetgeving, met inbegrip van het toewijzen van verantwoordelijkheden, het bevorderen van bewustwording en opleiding van medewerkers, en het uitvoeren van audits op dit gebied. • Het desgevraagd advies verstrekken m.b.t de Data Protection Impact Assessments (DPIA) en toezien op de uitvoering daarvan; • Het advies geven m.b.t. het verzorgen van meldingen en intrekkingen van meldingen van datalekken bij de Autoriteit Persoonsgegevens; • Samenwerken met de toezichthoudende Autoriteit Persoonsgegevens (AP); • Optreden als contactpunt voor de AP; • Toezien op het behandelen van verzoeken van betrokkenen om inzage en/of correcties; • Het rechtstreeks rapporteren aan het managementteam, het college van B&W en de gemeenteraad; • Meedenken in het jaarplan privacy. 5.2.6 Externe audits Naast de werkwijze die intern wordt gehanteerd voor het beheersen van risico’s, maakt de gemeente ook gebruik van externe auditors om de werkwijze te laten toetsen. Externe audits zijn er onder andere voor DigiD- en Suwinet-aansluitingen (jaarlijks via ENSIA) en de Wet Politiegegevens (WPG) (eens per 4 jaar).

Ook de rekenkamer kan een externe audit laten uitvoeren.

20

6

Borging van informatie­ veiligheid en privacy De gemeente Schouwen-Duiveland wil ieder jaar verbeteren op het gebied van informatieveiligheid en privacy. Om dit voor elkaar te krijgen kiest de gemeente voor een borgingsmethodiek die in lijn is met de borgingsmethodiek van de organisatie. Deze methodiek is verder uitgeschreven in het ‘Beleid borging van informatieveiligheid en privacy’.

21

7

Risicomanagement De gemeente Schouwen-Duiveland werkt risicogestuurd op het gebied van informatieveiligheid en privacy. Dat wil zeggen dat potentiële dreigingen tijdig worden geïdentificeerd, geëvalueerd en, waar nodig, aangepakt. Risicobeheersing is een integraal onderdeel van de activiteiten en besluitvorming­ sprocessen binnen de gemeente. Door regelmatig risicoanalyses uit te voeren worden dreigingen ten aanzien van de omgang met informatie op een juiste manier aangepakt. In een onderliggend beleidsstuk genaamd ‘Risicomethodologie PBIV’ is de exacte methode waarop risico’s worden geïdentificeerd en aangepakt verder uitgewerkt. Om risico’s inzichtelijk te kunnen maken en om deze centraal te kunnen beheersen, heeft de gemeente risicomanagement en interne controle op een onafhankelijke positie in de organisatie belegd, waarbij de teammanagers in de lijn de risico’s identificeren, afwegen en beperken. De verantwoordelijkheid voor risico-identificatie en -beheersing blijft bij de eerste lijn; de onafhankelijke positie ziet uitsluitend op monitoring en toetsing.

22

6

Bijlage 1: Relevante wet- en regelgeving Hieronder staan in de tabel de belangrijkste wet- en regelgeving benoemd. Wet- en regelgeving

Korte beschrijving

Relevantie voor gemeente

Algemene Verordening Gegeven­ sbescherming (AVG)

Europese privacywetgeving (EU

Gemeenten verwerken veel persoonsgegevens (bijv.

2016/679) die de verwerking van

adresgegevens, persoonsgegevens in het kader van

persoonsgegevens reguleert en

de Wmo, Jeugdwet, belastingen, etc.). Zij moeten

de rechten van betrokkenen

voldoen aan de eisen de Algemene Verordening

versterkt.

Gegevensbescherming.

Uitvoeringswet AVG (UAVG)

Nationale uitwerking en

Deze uitvoeringswet sluit aan op de AVG en biedt

aanvulling op de AVG. Geeft

specifieke kaders binnen de Nederlandse context,

aanvullende regels over de

waaronder uitzonderingen en nader uitgewerkte

verwerking van persoon­

bepalingen die voor gemeenten relevant kunnen zijn.

sgegevens in specifieke situaties.

Network and Information Security directive 2 (NIS2) en Cyberbeveiligingswet (Cbw)

NIS2 is een Europese richtlijn

Gemeenten worden in de NIS2 aangewezen als

gericht op het vergroten van

“essentiële entiteit”. Dit betekent dat er voor

digitale weerbaarheid en het

gemeenten een wettelijk verplichte zorgplicht,

beperken van de gevolgen van

meldplicht en registratieplicht gaan gelden.

cyberincidenten in de Europese Unie. In Nederland wordt de

In de Cbw is vastgelegd dat gemeenten invulling

NIS2-richtlijn geïmplementeerd

geven aan de zorgplicht door te voldoen aan de BIO.

in de vorm van de Cbw, die naar verwachting eind 2025 in werking treedt.

Baseline Informatiebeveiliging Overheid (BIO)

Landelijke norm voor

De BIO geldt voor alle overheidslagen (Rijk, provincies,

informatiebeveiliging binnen

gemeenten, waterschappen) en bevat de minimale

overheden, vervangt de Baseline eisen en maatregelen voor informatieveiligheid. Informatiebeveiliging Gemeenten (BIG).

BIO2

Opvolger van de Baseline

Met de inwerkingtreding van de Cbw, wordt voldoen

Informatiebeveiliging Overheid.

aan de BIO2 wettelijk verplicht.

Regelt het verwerken van Wet politiegegevens (Wpg) gegevens door (en voor) de

Gemeenten kunnen te maken krijgen met politiegegevens bij handhavingstaken of toezicht.

politie, alsmede de gegevens­

Voor verwerking van deze gegevens geldt een

uitwisseling met andere

aanvullende wet in de vorm van de WPG.

instanties. Regelt de ondersteuning van Wet Maatschappelijke burgers (bijv. huishoudelijke Ondersteuning hulp, begeleiding) door de

Gemeenten zijn verantwoordelijke voor de uitvoering van de Wmo en verwerken medische en andere gevoelige gegevens van burgers.

gemeente, waaronder de verwerking van (vaak gevoelige) persoonsgegevens.

23

Jeugdwet

Regelt de jeugdhulp, jeugd­

Gemeenten zijn verantwoordelijk voor de uitvoering

reclassering en kinder­

van jeugdhulp en verwerken daarbij (zeer) gevoelige

beschermingsmaatregelen

persoonsgegevens van minderjarigen.

die door gemeenten worden uitgevoerd.

Wet basis­ registratie personen (Wet BRP)

Regelt de inrichting en het

Gemeenten zijn verantwoordelijk voor de

gebruik van de basisregistratie

gemeentelijke administratie van persoonsgegevens

persoonsgegevens (voorheen

(bijv. adreswijzigingen, burgerlijke staat), die aan

GBA) van alle inwoners.

andere instanties kan worden verstrekt.

Archiefwet

Regelt hoe overheids­

Gemeenten zijn verplicht om archiefbescheiden op

documenten (ook digitale)

een juiste manier te bewaren, te beheren en te

worden beheerd, gearchiveerd

vernietigen. Privacygevoelige informatie moet tijdens

en uiteindelijk overgedragen of

de archivering eveneens adequaat beschermd

vernietigd.

worden.

Vervangt de Wet openbaarheid

Gemeenten moeten actief en passief verzoeken om

van bestuur (Wob). Bevordert

informatie openbaar maken, maar tegelijk de privacy

openbaarheid van overheids­

(persoonsgegevens) van burgers beschermen door

informatie en stelt regels voor

bijvoorbeeld te anonimiseren.

Wet open overheid (Woo)

actieve en passieve openbaarmaking.

Paspoortwet

De Paspoortwet regelt de

Gemeenten zijn verantwoordelijk voor de aanvraag en

aanvraag, verstrekking en

uitgifte van reisdocumenten aan hun inwoners. Ze

beveiliging van Nederlandse

controleren de identiteit van de aanvrager, verwerken

reisdocumenten, zoals

persoonsgegevens en leggen biometrische gegevens

paspoorten en identiteits-

(zoals vingerafdrukken) vast tot het document is

kaarten.

uitgegeven.

24

Laan van St. Hilaire 2 4301 SH Zierikzee Postadres: Postbus 5555 4300 JA Zierikzee T (0111) 452 000 E gemeente@schouwen-duiveland.nl W www.schouwen-duiveland.nl