1. Strategisch beleidskader privacy – gemeente Veenendaal 2020 - raadsvoorstel

RAADSVOORSTEL Raad Voorstelnummer Datum Onderwerp

Programma

Inlichtingen bij Telefoonnummer E-mailadres

18 februari 2021 1779397 12 januari 2021 Strategisch beleidskader privacy – gemeente Veenendaal 2020 Bedrijfsvoering

Agendapunt

Afdeling

Middelen

R. Meertens (0318) 538 889 roel.meertens@veenendaal.nl

Aan de leden van de raad, Beslispunten 1. Het Strategisch beleidskader privacy – gemeente Veenendaal 2020 vast te stellen, voor zover het de bevoegdheid van de gemeenteraad betreft. Waarom naar de raad? Het Strategisch beleidskader privacy is van toepassing op de bestuursorganen van de gemeente die een verantwoordelijkheid hebben voor de verwerking van persoonsgegevens (‘verwerkingsverantwoordelijke’). De gemeenteraad is in dit verband verantwoordelijk voor de verwerkingen door de griffier. Samenvatting De gemeenteraad heeft een eigen verantwoordelijkheid over de verwerking van persoonsgegevens die plaatsvindt bij de taakuitvoering van de gemeenteraad. Bijvoorbeeld als het gaat om inwonersbrieven of raadsstukken met persoonsgegevens. In het beleidskader uit 2016 is aangegeven binnen welke kaders er met persoonsgegevens omgegaan wordt. Sinds mei 2018 geldt de Algemene verordening gegevensbescherming (AVG) en zal derhalve het beleidskader moeten voldoen aan de eisen uit de AVG en bijbehorende privacyprincipes. Toepassing van het beleidskader zal leiden tot betere aandacht voor de privacy van inwoners en andere betrokkenen over wie persoonsgegevens worden verwerkt. Inleiding Het huidige privacybeleidskader van de gemeente Veenendaal dateert van 2016. Toen is de ‘Bestuurlijke nota privacy’ in december 2016 vastgesteld door de gemeenteraad.

Op 25 mei 2018 is de AVG van toepassing geworden. Dit is de Europese privacywet die de nationale Wet bescherming persoonsgegevens (Wbp) heeft vervangen en die regels geeft voor organisaties. Voor een goede naleving van de AVG moet de Bestuurlijke nota privacy 2016 worden vervangen door het Strategisch beleidskader privacy. Een uitgebreidere toelichting op de noodzakelijke wijzigingen in het beleidskader staat in de notitie ‘Achtergrond herziening privacybeleid’ (bijlage 2).

Raadsvoorstel van 12 januari 2021, nr. 1779397

Beoogd resultaat 1. Toepassing van het beleidskader zorgt ervoor dat de gemeente Veenendaal kan aantonen dat privacyprincipes worden nageleefd en dat gewaarborgd is dat de verwerking van persoonsgegevens plaatsvindt in overeenstemming met de AVG. 2. Transparantie naar inwoners, partners en de Autoriteit Persoonsgegevens over de manier waarop de gemeente Veenendaal persoonsgegevens verwerkt Argumenten 1.1 Definitief vaststellen van privacybeleid is mede een verantwoordelijkheid van de gemeenteraad De AVG bevat open normen waaraan verantwoordelijken voor gegevensverwerking (‘verwerkingsverantwoordelijken’) moeten voldoen. De nadere invulling hiervan wordt overgelaten aan de verwerkingsverantwoordelijken bij lokaal in te vullen privacybeleid. In de gemeente is, naast het college en de burgemeester zelf, ook de gemeenteraad verwerkingsverantwoordelijke. De verantwoordelijkheid van de gemeenteraad betreft verwerking van persoonsgegevens door de griffier. 1.2 Eisen en verplichtingen in de AVG en aanverwante regelgeving moeten nageleefd worden Organisaties moeten maatregelen treffen om te waarborgen dat in overeenstemming met de AVG en privacyprincipes gehandeld wordt en dat dit aangetoond kan worden.

Meer specifiek door nakoming van enkele verplichtingen voor de gemeente: inrichten en bijhouden van het register van verwerkingen, inrichten van een proces rondom de meld- en documentatieplicht datalekken, voldoen aan de verantwoordingsplicht, aanstellen van een functionaris voor gegevensbescherming (FG) en het uitvoeren van risicoinventarisaties (waaronder data protection impact assessments: DPIA). Maar ook door rekening te houden met risico’s die gegevensverwerking voor inwoners met zich meebrengt. Hiervoor is een risicogestuurde aanpak in het beleidskader opgenomen. 1.3 Aantonen dat de gemeente zorgvuldig met gegevens van inwoners omgaat Als gemeente willen we zorgvuldig met persoonsgegevens van inwoners omgaan. Het beleidskader en toepassing hiervan biedt de waarborg voor de inwoners dat de gemeente Veenendaal persoonsgegevens zorgvuldig verwerkt op een rechtmatige en behoorlijke wijze en dit kan aantonen. 1.4 Toepassing van het beleid kan overtredingen waartegen de landelijke toezichthouder handhavend optreedt of waarvoor boetes worden opgelegd voorkomen Het niet naleven van privacywetgeving kan ertoe leiden dat de landelijke toezichthouder, de Autoriteit persoonsgegevens (AP), handhavend optreedt. De AP heeft tevens de bevoegdheid om boetes op te leggen die tot in de tonnen kunnen oplopen.

1.5 Toepassing van het beleid kan voorkomen dat de gemeente imagoschade lijdt Het op de juiste manier omgaan met wetten, regels en beleid op het gebied van privacy kan voorkomen dat er imagoschade ontstaat voor de gemeente. Als gemeente willen we tonen dat we zorgvuldig met persoonsgegevens omgaan en we ons bewust zijn van de risico’s die hiermee gepaard gaan. Op die manier kunnen we ervoor zorgen dat de gemeente niet slecht in het nieuws komt in verband met privacyschendingen (bijvoorbeeld bij een groot datalek) en dat inwoners het vertrouwen blijven houden in de gemeente als betrouwbare partner.

Raadsvoorstel van 12 januari 2021, nr. 1779397

Alternatieven De gemeenteraad kan ervoor kiezen het huidige beleidskader in stand te houden. De uitgangspunten van dit beleid zijn nog steeds van waarde en vormen overigens ook de basis van het nieuwe beleidskader. Dit brengt echter met zich mee dat niet voldaan wordt aan bepaalde eisen in de AVG.

Kanttekeningen 1.1 Risicoaanpak wordt verschillend toegepast en kan leiden tot verschillen in bescherming van privacy voor inwoners Het werken en handelen volgens een risicogestuurde aanpak houdt in dat er afwegingen en keuzes gemaakt moeten worden bij specifieke uitvoeringsvraagstukken. Hierbij zal ook het organisatiebelang en het leveren van een efficiënte en adequate dienstverlening een rol spelen. De ene keer zal dit het belang van betrokken burgers beter beschermen dan de andere keer. Naarmate dit vaker gedaan wordt, zullen de afwegingen en keuzes kwalitatief beter worden, maar het is niet volledig uit te sluiten dat in sommige gevallen de privacy van burgers niet optimaal beschermd wordt. Participatie Niet van toepassing. Wat betekent dit besluit voor inwoners? Voor inwoners geeft dit aan dat de gemeente zorgvuldig omgaat met hun persoonsgegevens. Inwoners mogen erop vertrouwen dat de gemeente zich houdt aan de wet en gegevens niet deelt met derden. Tevens biedt dit inwoners meer transparantie over hoe de gemeente omgaat met de privacy van inwoners. De in het beleid beschreven risicogestuurde aanpak zal wel leiden tot betere aandacht voor de privacy van inwoners en hun belangen. In de afwegingen en keuzes die gemaakt worden wordt rekening gehouden met risico’s die de verwerking van persoonsgegevens voor inwoners met zich meebrengt.

Aanpak / uitvoering Na vaststelling volgt implementatie van het beleidskader door de personen in de uitvoering hierover te informeren en erbij te ondersteunen. Voor uitvoering in de organisatie wordt een ambtelijk beleidsplan opgesteld. Daarnaast zijn al sinds het van toepassing worden van de AVG maatregelen genomen om te voldoen aan specifieke verplichtingen voor de organisatie (zie 1.2 bij ‘Argumenten’). Communicatie over dit besluit Na vaststelling van het beleidskader door alle ‘verwerkingsverantwoordelijken’ zal over het beleid zowel intern als extern gecommuniceerd worden. Dit gebeurt aan de hand van een communicatieplan. Externe communicatie is van belang vanwege transparantie over het beleid. Via de website wordt informatie gegeven over hoe de gemeente met persoonsgegevens omgaat. Evaluatie Het beleidskader wordt tweejaarlijks geëvalueerd met inachtneming van de eisen die de AVG aan het beleid stelt. De FG stelt hiervoor ook een advies op dat wordt meegenomen in de evaluatie. Kosten, baten, dekking Uitvoering van het strategisch beleidskader gemeente Veenendaal 2020 vindt in 2021 vooralsnog binnen de bestaande budgetten plaats, waarbij er wel een herprioritering van taken moet

Raadsvoorstel van 12 januari 2021, nr. 1779397

plaatsvinden. Op dit moment is nog niet inzichtelijk wat dit concreet gaat betekenen. Mogelijke structurele consequenties zullen worden betrokken bij de Kadernota 2022.

Burgemeester en wethouders,

mevrouw drs. A.P.W. van de Klift secretaris

de heer K.J.G. Kats burgemeester

Bijlagen 1. Strategisch beleidskader privacy – gemeente Veenendaal 2020 2. Notitie ‘Achtergrond herziening beleid’ Ter inzage