RV AVG.docx

Raadsvoorstel Besluitvormend Gedragscode AVG van de gemeenteraad van Teylingen aan: zaaknummer: datum voorstel: datum presidium: datum raadsvergadering: agendapunt: portefeuillehouder: behandelend ambtenaar: e-mailadres:

de raad van de gemeente Teylingen 14 juni 2021 16 juni 2021 23 september 2021 Mevr. Carla G.J. Breuer Dominique van der Leek/ Robert van Dijk r.vandijk@raadteylingen.nl

Wij stellen voor: 1. Kennis te nemen van het raadsvoorstel en de bijlagen 2. De gedragscode vast te stellen

Inleiding 1.1.Wat is de AVG? De Algemene Verordening Gegevensbescherming (AVG) is de Europese privacywetgeving, die sinds 25 mei 2018 in de hele Europese Unie geldt. De AVG gaat over de bescherming van persoonsgegevens. De AVG heeft onder meer gezorgd voor:  Versterking en uitbreiding van privacy rechten.  Meer verantwoordelijkheden voor organisaties.  Dezelfde, stevige bevoegdheden voor alle Europese privacy toezichthouders. 1.2.Waarom is de AVG ontstaan? Het doel van de AVG is niet alleen om de bescherming van persoonsgegevens binnen de Europese Unie te garanderen, maar ook om het vrije verkeer van gegevens binnen de Europese interne markt te waarborgen. De AVG is meer gericht op de huidige digitale (internet) wereld. Daarnaast staan de rechten van inwoners centraal. Het doel van de wet is dat de persoonlijke gegevens van mensen beter worden beschermd. Privacy is een grondrecht en een voorwaarde om vrij te zijn in wie je bent en wat je doet. Privacy gaat erover dat mensen regie houden over hun gegevens. Mensen kunnen zelf veel doen om hun privacy te beschermen, maar uiteindelijk kunnen ze het niet alleen. 1.2.1. Welke dillema’s zijn er bij de uitvoering van de AVG versus een open en transparante lokale democratie en de uitwerking van deze dilemma's naar een gedragscode?

Er moet een afweging gemaakt worden tussen gebruiksvriendelijkheid en veiligheid. Waarbij bij iedere handeling de afweging gemaakt moet worden of het nodig is om AVG gevoelige informatie te delen en of er andere manieren voorhanden zijn die minder risico’s opleveren. 

Hoe gaan wij om met de wens van iemand om een stuk op de site te publiceren met zijn of haar naam erin? Het advies is om er niet voor te kiezen om de naam op het document te vermelden. Als ervoor wordt gekozen om wel de naam op te nemen in het stuk dan is dat op basis van de grondslag toestemming. De toestemming moet dan explicitiet zijn en aantoonbaar gemaakt worden. Toestemming kan bovendien later worden ingetrokken. Het stuk of het beeldmateriaal moet dan van het internet afgehaald worden wat technisch lastig kan zijn en waar een gemeente geen invloed op heeft. 

Gezien de onlineontwikkelingen, door de COVID-19 pandemie, lijkt er een nieuw normaal te gaan ontstaan. Zo zullen hybride uitzendingen van vergaderingen steeds vaker voorkomen. Hoe dit zich precies in de toekomst zal ontwikkelen is nog onzeker, wel is de verwachting dat veel online zal blijven plaatsvinden. Dit brengt nieuwe AVG-vraagstukken met zich mee; mensen zitten thuis in hun eigen omgeving en huisgenoten zouden hierdoor bijvoorbeeld door het beeld kunnen lopen. De afweging tussen de AVG-richtlijnen en transparantie moet voor deze ontwikkeling opnieuw gemaakt worden. De antwoorden zijn er nog niet, maar het is zeker het benoemen waard. 

Er is een discrepantie tussen de WOB wet en de AVG. Bijvoorbeeld bij het bewaren van mails in de inbox van raadsleden en de griffie. Enerzijds is het prettig om bepaalde mails voor handen te hebben en is het in het kader van de WOB wet verstandig om mails zoveel mogelijk te bewaren. Anderzijds is het in het kader van de AVG nodig om mails die persoonsgegevens bevatten te verwijderen nadat een onderwerp is afgesloten en er geen publiek belang meer is en om het risico op het uitlekken van gegevens te verkleinen. De FG geeft aan dat de AVG van hogere orde is dan de WOB. De WOB wordt medio 2022 vervangen door de Wet Open Overheid 

Er moet een afweging gemaakt worden tussen transparantie en het beschermen van AVG gevoelige informatie. Een dilemma betreffende het inspreken van iemand die geen toestemming voor publicatie geeft is enerzijds het transparant willen zijn in wie de voor- en tegenstanders zijn. Anderzijds mogen persoonsgegevens niet herleidbaar zijn tot een persoon, volgens de AVG, dus mag dit niet openbaar worden gemaakt tenzij iemand toestemming geeft. Hier bijkomend is het nadeel van toestemming dat dit ook ingetrokken kan worden. Ditzelfde dilemma geldt voor het publiceren van beelden van activiteiten waaraan minderjarige hebben deelgenomen. Een bijkomend obstakel bij minderjarige is dat de toestemming door de ouders moet worden gegeven, wat in praktische zin meer tijd kost. Anderzijds wil men raadswerk interessant maken voor jongeren wat gebeurt door juist wel de beelden te publiceren. 

Voor de griffie kan er in het kader van privacy by design gekeken worden naar ICT voorzieningen, de programmatuur zoals de Sharepoint omgeving met de mappenstructuur. Dit om een duidelijke scheiding te maken met waar persoonsgegevens instaan, zodat deze gemakkelijk verwijderd kunnen worden 

nadat de bewaartermijn is verstreken. Ook wordt ervaring opgedaan met het scheiden van persoonsgegevens van de inhoud door bijvoorbeeld het gebruikmaken van invulformulieren op internet. Bestaand kader en context De gemeente voldoet aan de bepalingen van de AVG. Gelet op de hiervoor beschreven dilemma’s waarmee de gemeente in de praktijk mee geconfronteerd wordt is het nodig om dit in een gedragslijn, conform de AVG, vast te leggen. Beoogd effect Het vaststellen van een kader hoe om te gaan met persoonsgegevens om zo aan de AVGwetgeving te voldoen. Argumenten 1.3.Wat betekend de AVG voor de gemeenteraad en griffie De gemeentelijke organisatie beschikt over diverse persoonsgegevens op basis van een rechtmatige grondslag. De AVG voorziet in een documentatieplicht voor overheidsorganen, deze moeten aantonen dat zij voldoen aan de AVG. Hierbij is een deugdelijke administratie verplicht. Om te kunnen toetsen of risicovolle verwerkingen van persoonsgegevens volgens de AVG kunnen worden uitgevoerd, is een test verplicht. Deze test heet een data protection impact assessment (DPIA). De gemeenteraad is als bestuursorgaan een verwerkingsverantwoordelijke. Dit betekent dat de gemeenteraad moet kunnen aantonen dat de verwerkingen die hij doet, voldoen aan de AVG.

Daarnaast dient de raad onder andere een register van verwerkingsactiviteiten bij te houden, technische en organisatorische maatregelen te nemen om persoonsgegevens te beschermen en zal de raad wanneer er persoonsgegevens verstrekt worden aan andere partijen specifieke afspraken moeten maken. De gemeenteraad is zelf verantwoordelijk voor het borgen van de privacy binnen de raad, hun griffie en de door hen ingestelde commissies. Doordat de raad de verwerkingsverantwoordelijke is en de griffie ondersteunend is aan de raad, handelt de griffie als verwerkingsverantwoordelijke uit naam van de raad. Daarnaast krijgen betrokkenen (zoals inwoners) een sterkere rechtspositie als het gaat om inzage in en rectificatie van de verwerking van persoonsgegevens. Nieuwe rechten zijn het recht op dataportabiliteit (het recht om je gegevens mee te nemen) en het recht om vergeten te worden (het recht dat organisaties je persoonsgegevens moeten wissen als je erom vraagt). Gemeenten zijn verplicht om een gegevensbeschermingsbeleid te hebben ter voorkoming van misbruik. Door het hanteren van het gegevensbeschermingsbeleid kunnen de gemeenten aantonen dat aan de verantwoordingsplicht uit de AVG wordt voldaan. 1.4.De belangrijkste wettelijke kaders met betrekking tot privacybescherming 1. Artikel 8 Europees Verdrag voor de Rechten van de Mens 2. Artikelen 10 t/m 13 Grondwet 3.

Algemene Verordening Gegevensbescherming (en de Uitvoeringswet AVG) 4. Sectorale wetgeving zoals:  Wet maatschappelijke ondersteuning 2015 (Wmo)  Jeugdwet  Participatiewet  Drank- en Horecawet

  

Wet algemene bepalingen omgevingswet (Wabo) Wet milieubeheer Wet openbaarheid van bestuur 5. Archiefwet 6. Het Wetboek van Strafrecht

1.5.Rollen binnen HLT Samen  Functionaris Gegevensbescherming: Annerine Blufpand.  Privacy Officer: Dido van Wylick.  Chief Information Security Officer: Peter Schipper.  Griffie: verwerkingsverantwoordelijke uit naam van de raad.  De rekenkamercommissie: de gedragscode is ook van toepassing op de rekenkamercommissie.  De raad: verwerkingsverantwoordelijke (stelt de gedragscode vast) De eerste drie genoemde gelden voor heel HLT Samen. 1.6.Welke persoonsgegevens verwerkt de griffie? Onder het verwerken van persoonsgegevens verstaan we onder andere het verzamelen, vastleggen, raadplegen, verstrekken door middel van doorzending en het met elkaar in verband brengen van persoonsgegevens. Een persoonsgegeven is ‘elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon’. Ook als iets in combinatie met andere gegevens herleidbaar zijn tot een persoon zijn dit persoonsgegevens. De persoonsgegevens die de griffie verwerkt zijn hieronder te zien. Hoe omgegaan wordt met de verwerking is te zien in de gedragscode.  Persoonsgegevens van politieke ambtsdragers, zoals raadsleden en commissieleden.  Persoonsgegevens van ambtenaren.  Persoonsgegevens van personen en instellingen die brieven of andere geschriften aan de raad richten.

 Persoonsgegevens van personen die tijdens openbare commissie- of raadsvergaderingen gebruik maken van het spreekrecht, namens zichzelf of anderen of namens instellingen. Dat kan ook het geval zijn als beeldmateriaal tot een persoon herleidbaar is.  Persoonsgegevens van personen die een rol spelen in het kader van besluitvorming en als zodanig voorkomen in de tekst van raadsvoorstellen en daaraan verwante documenten.  Persoonsgegevens in de aankondiging van activiteiten voor de raad.  Persoonsgegevens in de beantwoording door het college en/of de raad.  Persoonsgegevens in schriftelijke vragen en beantwoording door het college en/of de raad.  Persoonsgegevens van minderjarigen.  Besluiten of zaken als benoemingen. Kanttekeningen Deze zijn uitgewerkt in de dilemma’s in het raadsvoorstel, deze zijn te zien onder 1.2.1. Financiële consequenties Aan de gedragscode en uitvoering daarvan zijn, behalve ambtelijke inzet, geen kosten verbonden.

Aanpak, uitvoering en participatie De aanpak en uitvoering zijn te zien in de uitwerking in de gedragscode. Participatie is niet van toepassing, aangezien het een uitwerking betreft van een wettelijke verplichting. Duurzaamheid Niet van toepassing. Hillegom-Lisse-Teylingen (HLT) Niet van toepassing. Urgentie De AVG is een wettelijke norm die uitgewerkt is naar een praktische gedragscode hoe om te gaan met de wettelijke norm. Evaluatie Omdat het van belang is dat de gedragscode aangaande de AVG actueel blijft is een regelmatige wijziging/herziening noodzakelijk. Elke wijziging/herziening, bijvoorbeeld een wijziging van de wet of op grond van jurisprudentie, is dan ook tegelijkertijd een evaluatie van de voorgaande gedragscode aangaande de AVG. Nadat de wet Open Overheid in werking is getreden is een evaluatie nodig vwb de invloed van deze wet op de gedragsscode. Bijlagen en achtergrondinformatie 1. Normen 2. Verwerkingsregister 3. Protocol informatiebeveiligingsincidenten en datalekken namens het presidium, R. van Dijk griffier

Carla G.J. Breuer burgemeester

Raadsbesluit

De raad van de gemeente Teylingen, gelezen het voorstel van het presidium van 16 juni met als onderwerp gedragscode aangaande de AVG van de gemeente Teylingen, gelet op de behandeling in de raadscommissie- en raadsvergadering, gelet op de Algemene Verordening Gegevensbescherming, besluit: 1. Kennis te nemen van het raadsvoorstel en de bijlagen 2. De gedragscode vast te stellen Gedragscode van de gemeenteraad van de gemeente Teylingen aangaande de persoonsgegevensverwerking in het kader van de AVG De gedragscode is bindend voor de verwerking van persoonsgegevens. De gedragscode is van toepassing op de raad van de gemeente Teylingen, de griffie van de gemeente Teylingen en de rekenkamercommissie van de gemeente Teylingen. De gemeenteraad is de verwerkingsverantwoordelijke. De griffie is ondersteunend aan de raad, dus handelt de griffie als verwerkingsverantwoordelijke uit naam van de raad. De rekenkamercommissie valt betreffende de organisatiestructuur onder de griffie. De informatieverwerking van de rekenkamercommissie verloopt op eenzelfde wijze met eenzelfde programmatuur als die van de griffie van de gemeente Teylingen, hierdoor valt de rekenkamercommissie ook onder dit document.

De gedragscode betreft de omgang met persoonsgegevens in het kader van het verzamelen, vastleggen, raadplegen, verstrekken door middel van doorzending en het met elkaar in verband brengen van persoonsgegevens. Een persoonsgegeven is ‘elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon’. Ook als iets in combinatie met andere gegevens herleidbaar zijn tot een persoon zijn dit persoonsgegevens. Artikel 1 – Reikwijdte gedragscode voor gegevens onder verantwoordelijkheid raad en griffie Er bestaan twee vormen van ‘publicatie op de website’ (openbaar en intern). Onder openbare ‘publicatie op de website’ wordt verstaan het plaatsen van informatie op de openbare website van de gemeente Teylingen en openbare raadsinformatiesystemen (zoals iBabs). Stukken die op de website worden geplaatst, blijven na plaatsing op internet vindbaar. Verder worden persoonsgegevens van niet ambtsdragers geanonimiseerd. Ten tweede de publicatie op gesloten raadsinformatiesystemen (zoals office 365) dat alleen toegankelijk is voor raadsleden, steunfractieleden, griffiemedewerkers en het college van burgemeester en wethouders.

Volgens de AVG is er sprake van een datalek als zich een inbreuk voordoet op de beveiligingsmaatregelen, wat leidt tot het per ongeluk, opzettelijk of onrechtmatig vernietigen, verliezen, aanpassen, ongeautoriseerde openbaring van, of toegang tot, persoonsgegevens die overgedragen, bewaard of op een andere manier verwerkt zijn. De procedure voor het melden van een datalek is te zien in bijlage 3. Data protection impact assessment (DPIA) is een instrument om vooraf de privacyrisico’s van gegevensverwerking in kaart te brengen, om vervolgens maatregelen te kunnen nemen om de risico’s te verkleinen. Een DPIA moet uitgevoerd worden als de beoogde gegevensverwerking waarschijnlijk een hoog privacyrisico met zich meebrengt. DPIA’s worden per proces of systeem uitgevoerd. De procesverantwoordelijke voert deze uit, dus als de raad een nieuw eigen systeem invoert wordt de DPIA door de raad uitgevoerd. Artikel 2 – Mogelijkheid tot verwijdering van persoonsgegevens Personen die dit aangaat kunnen op ieder moment aangeven dat zij hun persoonsgegevens van de website verwijderd willen zien. Daartoe dienen zij aan te geven om welke gegevens het gaat en waar deze op de website zijn gepubliceerd.

Artikel 3 – Gedragscode Voor de publicatie en verwerking van persoonsgegevens door de griffie van de gemeente Teylingen gelden ten aanzien van de hierna genoemde categorieën van personen de aangegeven gedragslijnen. 3.1.Persoonsgegevens van politieke ambtsdragers, zoals raadsleden en burgercommissieleden Raadsleden zijn gekozen vertegenwoordigers van de bevolking, zij vervullen een publieke functie. Door die functie is bereikbaarheid van raadsleden een belangrijk punt. Publicatie van naam is in ieder geval logisch; publicatie van bereikbaarheidsgegevens is nodig voor het functioneren van de raad. Adres en woonplaats, telefoonnummers en mailadressen zijn persoonsgegevens. Deze zijn herleidbaar tot een natuurlijke persoon en publicatie op internet ervan wordt gezien als het verwerken van persoonsgegevens. Publicatie ervan moet worden afgewogen tegen het recht op bescherming van de persoonsgegevens van betrokkenen. De privacywetgeving eist dat er een rechtvaardigingsgrond is voor de rechtmatige verwerking van persoonsgegevens. Publicatie van deze privé-bereikbaarheidsgegevens is alleen mogelijk als raadsleden hiervoor hun toestemming hebben verleend.

Wanneer zij deze toestemming verlenen, dan worden in plaats van privébereikbaarheidsgegevens het bezoekadres van de gemeente of een mailadres bij de gemeente en een werk-telefoonnummer of een combinatie van deze gegevens gepubliceerd. Raadsleden functioneren, elk in hun eigen rol, ten behoeve van het openbaar bestuur. Zij zijn als zodanig gekozen of in het geval van burgercommissieleden benoemd. Hun namen komen veelvuldig in raadsdocumenten voor, zoals op agenda's, notulen, politieke documenten zoals moties, schriftelijke vragen, amendementen et cetera. Op de website van de gemeente Teylingen worden de namen, politieke partij, adressen (of dit privé gegevens zijn of van de gemeente is aan de raadsleden), zakelijke mailadressen en zakelijke telefoonnummers van politieke ambtsdragers gepubliceerd. Hun nevenfuncties moeten bovendien wettelijk openbaar worden gemaakt. 3.1.1. Gedragslijn Ten aanzien van politieke ambtsdragers worden enkel de namen, adressen, zakelijke mailadressen, telefoonnummers en nevenfuncties op de website van de gemeente Teylingen

openbaargemaakt. Hiermee wordt bedoeld de mailadressen die zij primair gebruiken voor de uitvoering van hun ambt. Hiernaast kan er ook voor gekozen worden om het adres van de gemeente op te geven in plaats van een privéadres. Het advies aan raadsleden is om de volgende gegevens op te geven: een algemeen adres, zakelijk mailadres en privételefoonnummer. Indien anders wordt gewenst, moet dit aangegeven worden door de raadsleden. 3.2.Persoonsgegevens van ambtenaren Ambtenaren worden veelvuldig in bestuurlijke documenten vermeld, bijvoorbeeld als steller van ambtelijke adviezen, als ambtelijke ondersteuning bij vergaderingen of als griffier van (commissie)vergaderingen. Voor zover ambtenaren genoemd worden in relatie tot hun functie, is bekendmaking op de website relevant en niet 'bovenmatig'. 3.2.1. Gedragslijn De openbaarmaking dient zich te beperken tot de naam, de afdeling waar zij werkzaam zijn, zakelijk telefoonnummer en zakelijk mailadres. Een ambtenaar kan hier bezwaar tegen maken, als dit wordt gedaan worden persoonsgegevens geanonimiseerd. 3.3.Persoonsgegevens van personen en instellingen die brieven of andere geschriften aan de raad richten Brieven aan de raad zijn onder andere afkomstig van burgers en instellingen. Ze kunnen onder andere namen, adresgegevens, telefoonnummer, burgerservicenummer, mailadres en/of een handtekening bevatten.

Het komt ook voor dat er een petitie aan de raad of aan een commissie wordt overhandigd, met al dan niet digitale handtekeningenlijsten die naam- en adresgegevens en handtekeningen bevatten. Het effect van de geschriften aan de raad kan ook bereikt worden zonder openbaarmaking van de persoonsgegevens. De leden van de raad moeten echter wel kennis kunnen nemen van de brieven en hun afzender. Voor de transparantie van het bestuur en de controleerbaarheid door de burger worden ingekomen stukken van de raad op de website geplaatst. Het ingekomen stuk wordt geanonimiseerd gepubliceerd, zodat eenieder toch kennis kan nemen van de inhoud. Raadsleden kunnen in de interne systemen kennis nemen van de niet geanonimiseerde versie. Brieven/geschriften van rechtspersonen/instellingen/organisaties zijn naar hun aard doorgaans zakelijk en bevatten geen of minder persoonsgegevens. Persoonlijke contactgegevens en handtekeningen van bestuurders, werknemers en/of leden van rechtspersonen/instellingen/organisaties worden voor publicatie geanonimiseerd. Verder is er een verschil tussen een privépersoon en een bedrijf. Binnen een bedrijf werken mensen in een functie. Als iemand zijn of haar naam geeft als zij in functie zijn, dus als functionaris, dan mogen namen wel gepubliceerd worden. 3.3.1.

Gedragslijn Ingekomen stukken die aan de raad zijn gezonden of overhandigd, worden geanonimiseerd op de website van de gemeente Teylingen openbaar gemaakt. Dergelijke stukken worden zonder anonimiseren gemaild naar raads- en collegeleden en betrokken ambtenaren. Als de raad en/of griffie een petitie heeft ontvangen die bestaat uit bijvoorbeeld een lijst met namen en handtekeningen (dan wel digitaal of op papier) zal de petitie op de openbare sites enkel beschreven worden middels een zakelijk samenvatting. Een zakelijke samenvatting houdt in dat wordt aangeven waarvoor de petitie is en hoeveel inwoners zich aansluiten. Hierna wordt de petitie vernietigd. De lijst met ondertekenaars wordt niet op de website

gepubliceerd, ook niet wanneer ondertekenaars aangegeven hebben dat hun gegevens openbaar gemaakt mogen worden (bijvoorbeeld op petities.nl). Deze toestemming moet namelijk worden gezien als toestemming aan degene die de petitie is gestart, maar het gaat te ver om deze toestemming op te vatten als een uitdrukkelijke toestemming voor publicatie op de website van de gemeente. Het advies aan inwoners is om gebruik te maken van petities.nl. en bij het indienen van een petitie te verwijzen naar petities.nl Betreffende het verschil tussen een privépersoon en een organisatie (oftewel een privépersoon in functionaris) is het advies bij enige twijfel geen persoonsgegevens te vermelden. Ditzelfde kan ook toegepast worden op insprekers. In sommige gevallen is er bel- en/of appcontact met inwoners en/of instellingen. Via deze weg wordt geen AVG gevoelige informatie gedeeld. Alleen indien daartoe een wettelijke basis en noodzakelijk is wordt dit via een beveiligde mail gedaan. 3.4.Persoonsgegevens van personen die tijdens openbare commissie- of raadsvergaderingen gebruik maken van het spreekrecht, namens zichzelf of anderen of namens instellingen Personen die tijdens commissie- of raadsvergaderingen gebruik maken van het spreekrecht, doen dit welbewust en in het openbaar.

Door in het openbaar van het spreekrecht gebruik te maken geven insprekers impliciet aan dat zij geen bezwaar hebben tegen live publicatie en via het beeldarchief van hun bijdrage op de website (zowel in de vorm van geluids- of beeldmateriaal als gepubliceerde tekst). Wanneer de gemeente de beelden echter op de website wil publiceren en ook na de vergadering via de website ter beschikking wil stellen, geldt dit als een aparte verwerking van persoonsgegevens. Deze dient dan ook getoetst te worden aan de relevante wet- en regelgeving. Artikel 23 Gemeentewet kan niet als wettelijke grondslag gelden voor het blijvend publiceren op internet van de beelden van de insprekers van vergaderingen als zodanig. De gemeente zal de opnames dan ook dienen te anonimiseren, dan wel toestemming moeten vragen aan de insprekers wanneer zij de beelden blijvend wil publiceren via de gemeentelijke website. Toestemming dient in een dergelijk geval vrij en specifiek door de inspreker gegeven te worden. In de opnames van de vergaderingen is ook publiek te zien. Betreffende het publiek kan er getracht worden dat publiek slechts vanaf een bepaalde afstand in beeld mag worden gebracht, zodanig dat betrokkenen niet herkenbaar zijn. Wellicht is het mogelijk om op de tribune aan te geven in welk gedeelte daarvan wel en in welk gedeelte daarvan niet zal worden gefilmd.

Deze splitsing kan kenbaar worden gemaakt middels bebording. Verder wordt geadviseerd het beeld te beperken tot de raadsleden. 3.4.1. Gedragslijn De inhoudelijke bijdrage van een persoon die gebruik maakt van het inspreekrecht in een vergadering wordt opgenomen en live uitgezonden. Daarbij wordt zijn of haar naam vermeld. Hier moet de persoon actief over te zijn geïnformeerd. Als de opname blijvend wordt gepubliceerd op de website moet hier toestemming voor zijn of dienen de beelden geanonimiseerd te zijn. Indien een inspreker een tekst inlevert - op papier of digitaal - voor publicatie op de website, dan wordt deze geanonimiseerd op de website geplaatst. Aangaande het publiek zou het meest ideale zijn als deze mensen niet in beeld zouden komen. In de huidige opstelling van de raadszaal is dit niet mogelijk, in de toekomst kan hier opgelet worden. Zolang de vergaderingen online zijn is het publiek ook niet te zien, wat een voordeel is van het online vergaderen. Als het publiek wel herkenbaar in beeld kan komen dienen zij hier actief geïnformeerd over te worden.

Betreffende het verschil tussen een privépersoon en een organisatie (oftewel een privépersoon in functionaris) is het advies bij enige twijfel geen persoonsgegevens te vermelden. Betreffende het publiceren van beelden (de livestream en het beeldarchief) wordt vooraf expliciet toestemming gevraagd als iemand zich aanmeldt voor het inspreken. Het vragen van toestemming vindt plaats via het mailcontact voorafgaand aan de vergadering. De persoon in kwestie moet weten waar ze ‘ja’ tegen zeggen, hier moet in de mail op gewezen worden en diegene moet dat bevestigen. Deze mailwisseling moet bewaard worden. De voorzitter zal bij aanvang van het inspreken alle insprekers hierop wijzen dat zij expliciet toestemming hebben gegeven voor de livestream alsook het publiceren van het beeldarchief. Als iemand geen toestemming geeft is het advies om de inspreker niet in beeld te brengen in plaats van de beelden te anonimiseren. Verder kan de griffie als alternatief aanbieden om de inspraak op schrift in te dienen. 3.5.Persoonsgegevens van personen die een rol spelen in het kader van besluitvorming en als zodanig voorkomen in de tekst van raadsvoorstellen en daaraan verwante documenten De raad neemt in het kader van zijn taak als bestuur op hoofdlijnen weinig besluiten ten aanzien van individuele burgers. Het komt dan ook niet vaak voor dat in raadsvoorstellen persoonsgegevens staan.

Stukken als zienswijzen bij bestemmingsplannen en andere besluiten van algemene strekking worden doorgezet aan het college, als deze later gepubliceerd worden zijn dergelijke stukken altijd afkomstig van het college en moeten geanonimiseerd aangeleverd worden indien deze openbaar gepubliceerd worden.. Een tweede categorie raadstukken waarin persoonsgegevens kunnen voorkomen wordt gevormd door documenten in het kader van bezwaarprocedures tegen raadsbesluiten. Een derde categorie is het indienen van een burgerinitiatief. Dat is een uitgewerkt voorstel over een onderwerp dat een buurt, een wijk of de gehele gemeente aangaat. Met een burgerinitiatief vragen burgers de gemeenteraad om een voorstel te bespreken en er een standpunt over in te nemen. Het verzoek en de steunbetuigingen moeten worden voorzien van de achternaam, de voornamen, het adres, de postcode, de geboortedatum en de handtekening van degene die het verzoek indient/ondersteunt. 3.5.1. Gedragslijn De hoofdlijn is dat persoonsgegevens in openbare raadsstukken en de daarbij behorende bijlagen, anoniem worden gepubliceerd op de website. De stukken worden wel met de raadsleden gedeeld zonder te anonimiseren via interne communicatie/het interne raadsinformatiesysteem. Raadsstukken in het kader van bezwaarprocedures, die op de website zijn gepubliceerd worden geanonimiseerd.

De stukken worden wel met de raadsleden gedeeld zonder te anonimiseren via interne communicatie/het raadsinformatiesysteem. Een voorstel van een burgerinitiatief, die op de website wordt gepubliceerd wordt geanonimiseerd door middel van een zakelijke samenvatting te geven, net zoals bij een petitie. Deze verklaringen zijn wel zonder te anonimiseren gedeeld met de raadsleden via interne communicatie/het raadsinformatiesysteem. 3.6.Persoonsgegevens in de aankondiging van activiteiten voor de raad

In het overzicht van activiteiten voor de raad op de website kunnen persoonsgegevens voorkomen van mensen die bij de betreffende activiteit zijn betrokken. Als regel gaat het daarbij om personen die de activiteit organiseren en/of bij wie men zich kan aanmelden. In verreweg de meeste gevallen betreft het functionarissen van organisaties, waarbij zakelijke telefoonnummers en/of mailadressen zijn vermeld. Voor een behoorlijk verloop van de activiteitenadministratie zijn dit noodzakelijke gegevens. Er mogen geen andere gegevens op de website worden gepubliceerd dan die voor de activiteit noodzakelijk zijn. Hiernaast is er ook sprake van aanmeldgegevens van de deelnemers van activiteiten die voor en door de raad georganiseerd worden. 3.6.1. Gedragslijn Bij publicatie van activiteiten voor de raad op de website wordt bij voorkeur de functienaam waar men zich moet aanmelden genoemd, inclusief een zakelijk telefoonnummer en/of mailadres. (bijvoorbeeld “aanmelden bij de secretaris van de sportvereniging”) De aanmeldgegevens van de deelnemers worden verwijderd als de activiteit heeft plaatsgevonden. 3.7.Persoonsgegevens in de beantwoording door het college/of de raad Brieven aan de gemeenteraad worden vaak ter afdoening doorgezonden naar het college. De beantwoording van deze brieven wordt in afschrift naar de gemeenteraad gezonden.

Deze brieven bevatten persoonsgegevens van de briefschrijvers. 3.7.1. Gedragslijn De beantwoording door het college/of de raad van brieven van inwoners aan de gemeenteraad worden als zodanig niet op de website openbaar gemaakt. Dergelijke stukken worden intern doorgezonden. Mocht de beantwoording, in uitzonderingen, wel openbaar gemaakt worden is dit geanonimiseerd. 3.8.Persoonsgegevens in schriftelijke vragen en beantwoording door het college/of de raad De leden van de gemeenteraad hebben het recht om volgens artikel 40 schriftelijke vragen aan het college te stellen. In lijn met deze gedragscode geldt ten aanzien van politieke ambtsdragers uitzondering voor de publicatie van persoonsgegevens op de website. Dit geldt eveneens voor de beantwoording van de schriftelijke vragen door het college. 3.8.1. Gedragslijn Ten aanzien van politieke ambtsdragers worden enkel de namen, mailadressen en telefoonnummers op de website openbaargemaakt. Schriftelijke vragen worden op de website geplaatst zoals deze zijn ontvangen. De beantwoording hiervan door het college wordt gestuurd naar de indiener en zodanig op de website van de gemeente Teylingen gepubliceerd. 3.9.Persoonsgegevens van minderjarigen Iedereen onder de 16 jaar wordt als minderjarig gezien voor de AVG.

Dit betekent dat kinderen jonger dan 16 jaar niet zelf instaat zijn om toestemming te geven voor de verwerking van zijn of haar persoonsgegevens. Als persoonsgegevens van deze groep online wordt verwerkt is er toestemming van de ouders of verzorgers nodig. De persoonsgegevens van minderjarigen worden verworven en verwerkt door bijvoorbeeld de kindergemeenteraad en het gebruik maken van een jongerenpanel. 3.9.1. Gedragslijn

De gedragslijn is dat de raad of griffie geen gegevens van minderjarige publiceert. Als het noodzakelijk is om persoonsgegevens van minderjarige te verwerken, bijvoorbeeld namenlijsten van leerlingen, heeft de griffie expliciete toestemming van de ouders nodig. Als deze niet wordt gegeven worden gegevens niet verwerkt. 3.10. Besluiten of zaken als benoemingen Bij benoemingen worden de basispersoonsgegevens (naam, adres en woonplaats) en verblijfstitel openbaar gemaakt. Bij voorkeur wordt (indien nodig) verwezen naar een openbaar cv (bijv via linkedIn). Indien nodig voor de benoeming wordt een cv alleen intern ter beschikking gesteld. Artikel 4 – Anonimiseren van persoonsgegevens In die gevallen waarin anonimiseren volgens deze gedragscode nodig is, wordt aanbevolen de persoonsgegevens te verwijderen of te vervangen door ‘xxx’. Voor zover het voor een goed begrip van de tekst van de documenten nodig is, kunnen namen vervangen worden door neutrale termen, zoals bijvoorbeeld aanvrager, klager, (derde-)belanghebbende etc. Dit sluit aan bij de anonimiseringsrichtlijnen van de rechtspraak. Artikel 5 - Inzage brieven en dergelijken door derden Ingekomen brieven en petities die aan de raad zijn gezonden of overhandigd kunnen interessant zijn voor derden. Uitgangspunt hierbij is dat deze op de website worden geplaatst, maar wel geanonimiseerd.

Eventuele inzage van niet geanonimiseerde stukken door derden mag op basis van de WOB-wet (vanaf 2022 de Wet Open Overheid), echter worden de stukken dan wel eerst geanonimiseerd. In de WOB-wet is een artikel opgenomen die stelt dat rekening moet worden gehouden met de AVG. Men doet dus altijd bij een WOBverzoek een AVG-toets. Bovendien wordt voor het bewaren van stukken de AVG-richtlijnen gevolgd. Voor WOB-verzoeken zijn de AVG-bewaartermijnen geldend, dus mogen stukken in het kader van de bewaartermijn verwijderd zijn. Artikel 6 – Gedragslijn recht op inzage In de AVG is het recht op inzage opgenomen. De gedragslijn bij ontvangst van een verzoek wordt hieronder beschreven. Bij inzageverzoeken moet het volgende besproken worden:  Waarom de organisatie bepaalde gegevens verwerkt.  Welke soorten persoonsgegevens worden verzameld.  Hoe lang de persoonsgegevens worden bewaard. Als dat niet precies kan worden aangegeven, moet duidelijk gemaakt worden welke criteria gehanteerd worden om een bewaartermijn te bepalen.  Welke privacy rechten mensen hebben: het recht om hun persoonsgegevens te laten wijzigen, aanvullen of wissen, om te vragen om minder persoonsgegevens te verwerken en om bezwaar te maken als de organisatie hun persoonsgegevens verwerkt.  Dat mensen het recht hebben om een klacht in te dienen bij de Autoriteit Persoonsgegevens.

Artikel 7 – Gedragslijn recht op rectificatie In de AVG is het recht op rectificatie opgenomen. De gedragslijn bij ontvangst van een verzoek wordt hieronder beschreven. Als organisatie ben je verantwoordelijk dat de persoonsgegevens die worden verwerkt juist zijn en dat deze gegevens worden geactualiseerd als dat nodig is.

Zijn persoonsgegevens, gelet op de doeleinden waarvoor die verwerkt worden, onjuist? Dan is de organisatie verplicht om alle redelijke maatregelen te nemen om die gegevens te rectificeren of aan te vullen. Dus ook als iemand de organisatie erop wijst dat zijn gegevens niet kloppen of onvolledig zijn. Artikel 8 – Gedragslijn bij het opvragen van persoonsgegevens aan iemand In de AVG is het recht opgenomen voor het opvragen van persoonsgegevens. De gedragslijn bij ontvangst van een verzoek wordt hieronder beschreven. Aan de aanvrager wordt uitgelegd:  Wat met de gegevens wordt gedaan.  Hoe lang ze bewaard worden.  Welke rechten de inwoner heeft. Uitgangspunt daarbij is dat persoonsgegevens alleen gebruikt mogen worden voor het doel waarvoor ze gekregen zijn. Als persoonsgegevens van mensen gebruikt worden voor iets anders, dan moeten ze daar schriftelijk toestemming voor hebben gegeven. Artikel 9 – Ingangsdatum Deze gedragscode treedt in werking met ingang van de 1e werkdag na de datum van bekendmaking.

Aldus besloten in de raadsvergadering van 23 september 2021,

Robert van Dijk griffier

Carla G.J. Breuer voorzitter