Bijlage 1 Normen.docx

1. Normen 1.1. Privacy protocol & reglementen/ procedures Het privacy protocol bevat richtlijnen en handvatten voor alle medewerkers. Een regelement/ procedure dient er te zijn per werkproces waarin frequent en systematisch persoonsgegevens worden verwerkt. Dit is beide vormgegeven middels een gedragscode, deze is te zien in het raadsbesluit. 1.2. Data protection impact assessment (DPIA). DPIA is een instrument om vooraf de privacyrisico’s van gegevensverwerking in kaart te brengen, om vervolgens maatregelen te kunnen nemen om de risico’s te verkleinen. Een DPIA moet uitgevoerd worden als de beoogde gegevensverwerking waarschijnlijk een hoog privacyrisico met zich meebrengt. 1.3. Register van verwerkingsactiviteiten Het register is te zien in bijlage 2. De volgende elementen zijn te vinden in het register:  Naam verwerking  Verwerkingsverantwoordelijke  Intern verantwoordelijke  Team  Doeleinde  Grondslag  Uitleg  Persoonsgegevens  Bijzondere en gevoelige persoonsgegevens  Categorieën ontvangers  Doorgifte aan derden  Bewaartermijn  Herkomst gegevens 1.4. Verantwoordingsplicht Het voldoen aan de verantwoordingsplicht levert een belangrijke bijdrage aan de bescherming van het grondrecht van mensen op privacy. De verantwoordingsplicht houdt in dat aangetoond moet kunnen worden dat de verwerkingen aan de regels van de AVG voldoen.

Zo moet aangetoond kunnen worden dat de verwerking aan de belangrijkste beginselen van verwerking voldoet. Ook moet aangetoond worden dat de juiste technische en organisatorische maatregelen zijn genomen om de persoonsgegevens te beschermen. Een organisatie is verplicht verantwoording af te leggen over haar gegevensverwerkingen wanneer de Autoriteit Persoonsgegevens daar om vraagt. Tevens moet onderbouwt kunnen worden op basis van welke grondslag een organisatie zich mag baseren. Dit is per verwerkingsactiviteit te vinden het register van verwerkingsactiviteiten (bijlage 2). In de AVG staan een aantal verplichte maatregelen genoemd waarmee aan de verantwoordingsplicht wordt voldaan:  Het bijhouden van een register van verwerkingsactiviteiten  Het uitvoeren van een data protection impact assessment (DPIA) voor gegevensverwerkingen met een hoog privacyrisico  Het bijhouden van een register van datalekken die zijn opgetreden  Het aantonen dat een betrokkene daadwerkelijk toestemming heeft gegeven voor een gegevensverwerking wanneer toestemming noodzakelijk is. 1.5. Datalek Volgens de AVG is er sprake van een datalek als zich een inbreuk voordoet op de beveiligingsmaatregelen, wat leidt tot het per ongeluk, opzettelijk of onrechtmatig vernietigen,

verliezen, aanpassen, ongeautoriseerde openbaring van, of toegang tot, persoonsgegevens die overgedragen, bewaard of op een andere manier verwerkt zijn. 1.6. Recht op inzage De AVG geeft mensen meer zeggenschap over hun persoonsgegevens. Ze hebben het recht om te vragen welke gegevens de organisaties van de persoon in kwestie heeft. Ze mogen ook vragen deze gegevens in te zien. In de AVG (artikel 15) staat dit recht beschreven als ‘recht op inzage’. 1.7. Recht op rectificatie De Algemene verordening gegevensbescherming (AVG) geeft mensen het recht om onjuiste persoonsgegevens te laten wijzigen of om hun persoonsgegevens aan te vullen. In de AVG (artikel 16) staat dit recht beschreven als ‘recht op rectificatie’. 1.8. Rechtmatigheid, behoorlijkheid, transparantie Het is van belang dat inwoners vertrouwen hebben in de zorgvuldige verwerking van hun persoonsgegevens. Inwoners krijgen inzicht in en worden helder geïnformeerd over hun rechten en de wijze waarop hun persoonsgegevens worden verwerkt en beheerd. Voor hen moet in elk geval duidelijk zijn:  Welke persoonsgegevens de gemeente verzamelt.  Met welk doel.  Wat de wettelijke grondslag is.  Wie toegang heeft tot deze gegevens.  Wat de gemeente vervolgens verder doet met deze gegevens.  Hoe lang de gegevens bewaard worden.  Beveiliging van gegevens. 1.9.

Dataminimalisatie Gemeenten verwerken alleen de persoonsgegevens die noodzakelijk zijn voor het vooraf bepaalde doel. 1.10. Bewaartermijnen Persoonsgegevens worden niet langer bewaard dan nodig is. Dit is per verwerkingsactiviteit te vinden in het register van verwerkingsactiviteiten (bijlage 2). 1.11. Integriteit en vertrouwelijkheid Gemeenten gaan zorgvuldig om met persoonsgegevens en behandelen deze vertrouwelijk. Zo worden persoonsgegevens alleen verwerkt voor het doel waarvoor deze gegevens zijn verzameld. Daarbij zorgen gemeenten voor passende beveiliging van persoonsgegevens conform het daartoe vastgestelde informatiebeveiligingsbeleid. 1.12. Delen met derden In het geval van samenwerking met externe partijen, waarbij sprake is van gegevensverwerking van persoonsgegevens, maakt de gemeente afspraken over de eisen waar gegevensuitwisseling aan moet voldoen. Deze afspraken voldoen aan de wet- en regelgeving. 1.13. Verwerkerscontracten Aansluitend op het delen met derden maakt de gemeente alleen gebruik van verwerkers van persoonsgegevens die voldoende garanties bieden met betrekking tot het toepassen van technische en organisatorische maatregelen om de verwerking te laten voldoen aan de AVG-vereisten. 1.14.

Subsidiariteit

De inbreuk op de persoonlijke levenssfeer van betrokkenen wordt zoveel mogelijk beperkt. Er wordt altijd bekeken of het doel ook met minder ingrijpende middelen bereikt kan worden. 1.15. Proportionaliteit De inbreuk op de belangen van de betrokkene mag niet onevenredig zijn in verhouding tot het met de verwerking te dienen doel. 1.16. Selectie op basis van gegevensbescherming door ontwerp en door standaardinstellingen Privacy by design Privacy by design houdt in dat er al bij het ontwerpen van producten en diensten voor gezorgd wordt dat persoonsgegevens goed worden beschermd. Privacy by default Privacy by default houdt in dat de gemeente technische en organisatorische maatregelen moet nemen om ervoor te zorgen dat, als standaard, alléén persoonsgegevens verwerkt worden die noodzakelijk zijn voor het specifieke doel dat moet worden bereikt. 1.17. Technische en organisatorische maatregelen Hierbij moet aan maatregelen gedacht worden die het proces van het verwerken van persoonsgegevens beter beschermen. Zo dient per verwerking het besluitvormingsproces en de achterliggende overwegingen vastgelegd te worden, dit is te zien in de gedragscode.