4. Strategisch beleidskader privacy – gemeente Veenendaal 2020 - notitie achtergrond herziening privacybeleid

Notitie Achtergrond herziening privacybeleid In deze notitie wordt toegelicht waarom een herziening van het privacybeleid voor gemeente Veenendaal is voorbereid. In 2016 is de Bestuurlijk nota privacy door het college en later ook door de gemeenteraad vastgesteld. Dit stuk zal nu vervangen worden door het Strategisch beleidskader privacy. A. Eisen aan beleid Artikel 24 AVG verplicht organisaties om passend gegevensbeschermingsbeleid te hebben waarin rekening wordt gehouden met uiteenlopende risico’s voor de rechten en vrijheden van betrokkenen. Het huidige beleid besteedt geen aandacht aan deze risicobenadering vanuit het perspectief van de betrokkene. Het herziene privacybeleidskader zal een risicogestuurde aanpak introduceren om hiermee rekening te houden. B. Functionaris gegevensbescherming nieuw in organisatie Per 25 mei 2018 is het voor overheidsorganisaties verplicht om een functionaris voor gegevensbescherming (FG) in dienst te hebben. De gemeente Veenendaal heeft per die datum een FG aangesteld, conform artikel 37 AVG. In het huidige beleid wordt dan ook niet gesproken over de FG. Het herziene beleid doet dit wel. De FG heeft een onafhankelijke rol als interne toezichthouder. De rol moet duidelijk onderscheiden worden van die van de Adviseur privacy die operationeel functioneert. Het herziene beleidskader maakt dit onderscheid duidelijk. C.

Verantwoordingsplicht organisatie Artikel 5 lid 2 AVG legt een verantwoordingsplicht op aan organisaties. Bij de uitvoering van taken moet de AVG nageleefd worden en de organisatie kan hier altijd verantwoording over afleggen. Het is dan ook van belang te weten wie in de organisatie, waarvoor verantwoordelijk is, en hoe verantwoording wordt afgelegd. D. Specifieke verplichtingen AVG Organisaties zijn verplicht een Register van verwerkingen bij te houden, conform artikel 30 AVG. Deze komt in plaats van de meldingsplicht bij de Autoriteit Persoonsgegevens (AP), die nog onder de Wet bescherming persoonsgegevens gold. Het herziene beleid benoemt deze registerplicht. Ook de meldplicht datalekken en de documentatieplicht met betrekking tot datalekken, conform de artikelen 33 en 34 AVG wordt nadrukkelijk benoemd. In het huidige beleid staat dat bij (nieuw) uit te voeren processen waarbij persoonsgegevens worden verwerkt en die qua inhoud en omvang complex zijn een privacy impact assessment (PIA) wordt gedaan. Artikel 35 AVG breidt dit uit door een data protection impact assessment (DPIA) verplicht te stellen bij nieuwe verwerkingen én verwerkingen die een hoog risico voor de rechten en vrijheden van betrokkenen inhouden. Het herziene beleidskader benoemt dit en maakt duidelijk dat de DPIA een belangrijk instrument is in de risicogestuurde aanpak. E.

Toestemming onder de AVG In het huidige beleid wordt de mogelijkheid benoemd dat wanneer de verwerking van persoonsgegevens niet kan worden gebaseerd op een van de andere wettelijke grondslagen, de gemeente toestemming van de betrokkene vraagt. Onder de AVG is dit geen reële mogelijkheid meer. Voor toestemming is vereist dat een betrokkene in vrijheid deze toestemming kan geven, maar in de considerans van de AVG wordt aangegeven dat vanwege de afhankelijkheidsrelatie tussen burger en gemeente kan hiervan geen sprake kan zijn. Het herziene beleidskader is op dit punt aangepast.