818728 - Bijlage 1 - Privacybeleid gemeente Zutphen 2025
Tekst van het document
.
Privacybeleid gemeente Zutphen 2025
Colofon Dit is een uitgave van de gemeente Zutphen Postbus 41 7200 AA Zutphen 's Gravenhof 2 www.zutphen.nl IB&P Auteur(s): Marcel Janssens CIPP/E, Hemma Winter Privacy Officer Versie: 2.2
Privacybeleid gemeente Zutphen 2025
Versie 2.2
2
Inhoudsopgave 1
Inleiding en leeswijzer ......................................................................................................4
2
Visie en doelstelling gemeente Zutphen ............................................................................6
3
Wettelijke uitgangspunten voor gegevensverwerking .........................................................7
4
Governance en organisatorische borging ........................................................................ 11 4.1
Inleiding ................................................................................................................ 11
4.2
Rollen en verantwoordelijkheden............................................................................ 11
4.3
Three lines Model ................................................................................................... 12
4.4
RASCI Model .......................................................................................................... 13
5
Wet- en regelgeving ........................................................................................................ 14
6
Verwerkingen van persoonsgegevens .............................................................................. 15
7
6.1
Persoonsgegevens ................................................................................................. 15
6.2
Voorwaarden voor verwerking................................................................................. 16
6.3
Bewaartermijn gegevens ........................................................................................ 17
6.4
Uitgangspunten ..................................................................................................... 18
6.5
NALEVING VAN HET BELEID .......................................................................................... 19
6.6
Data Privacy Impact Assessment (DPIA) ................................................................. 19
6.7
Datalekken ............................................................................................................ 20
6.8
Toezicht................................................................................................................. 20
6.9
Register van verwerking .......................................................................................... 20
6.10
Rechten van betrokkene ......................................................................................... 21
6.11
Borging en borgingsproducten ................................................................................ 21
Informatie Beveiliging ..................................................................................................... 23 7.1
Risico’s voor betrokkenen ...................................................................................... 23
7.2
Risico’s voor gemeente .......................................................................................... 23
Bijlage 1: Gegevensbeschermingseffectbeoordeling ............................................................... 25 Bijlage 2: Rollen en verantwoordelijkheden ............................................................................ 29 Bijlage 3: Wet- en regelgeving................................................................................................. 35 Bijlage 4: Aankomende wet- en regelgeving ............................................................................ 42 Bijlage 5: Uitgebreide RASCI Tabel ......................................................................................... 56
Privacybeleid gemeente Zutphen 2025
Versie 2.2
3
1 Inleiding en leeswijzer Sinds 25 mei 2018 moet de gemeente Zutphen voldoen aan de Algemene Verordening Gegevensbescherming (AVG). Ook dient de gemeente Zutphen zich te houden aan de Wet politie gegevens (Wpg). Deze wet is sinds 21 juli 2007 van kracht. Politiegegevens zijn persoonsgegevens die in het kader van de politietaak worden verwerkt. Naast de politie moeten ook andere organisaties zich aan de Wpg houden: de bijzondere opsporingsdiensten (BOD) en de buitengewoon opsporingsambtenaren (boa's). Daarnaast is het belangrijk dat de gemeente Zutphen proactief inspeelt op de aankomende wijzigingen op het gebied van informatiebeveiliging zoals de Network & Information Systems Directive 2 (NIS2). Gemeenten hanteren vanaf 1 januari 2020 samen met de rijksoverheid, de waterschappen en de provincies één uniform normenkader voor informatiebeveiliging. Dit is de Baseline Informatiebeveiliging Overheid (BIO).
Wanneer de gemeente Zutphen de eisen van de AVG, Uitvoeringswet AVG (UAVG), Wpg en de BIO implementeert en borgt, draagt dit bij aan: • Het voorkomen van (grootschalige) beveiligingsincidenten en datalekken; • Het minimaliseren van financiële en imago schade voor de gemeente Zutphen en/of voor inwoners veroorzaakt door de gevolgen van beveiligingsincidenten datalekken; • Compliance op het gebied van wet- en regelgeving en informatiebeveiligingsstandaarden, in het bijzonder de AVG, Wpg en de BIO; • Het voorkomen van boetes vanuit de toezichthouder, de Autoriteit Persoonsgegevens (AP). • Verantwoording afleggen aan de gemeenteraad hoe de gemeente omgaat met gegevens van inwoners en medewerkers. Leeswijzer Vele gemeenten stellen de vraag "hoe moet dat nou, met die privacy". De vraag komt vaak voort uit de wirwar van informatie en opvattingen over privacy van onder meer medewerkers en inwoners. Het antwoord hebben we gezocht in de pragmatiek: pak privacy bij de kop zoals de gemeente ermee moet werken. Het centrale uitgangspunt hierbij is dat persoonsgegevens slechts mogen worden verwerkt als er een wettelijke grondslag voor is én het doel van de verwerking redelijkerwijs niet op een andere wijze kan worden verwezenlijkt. Dit houdt in dat je persoonsgegevens alleen mag verwerken als de gegevens noodzakelijk zijn om het beoogde doel te bereiken.
Ga dus altijd na of het doel ook bereikt kan worden zonder dat gegevens gebruikt worden die te herleiden zijn tot een natuurlijke persoon. Dit document beschrijft transparant en concreet over het privacybeleid en hoe ook netjes te voldoen aan de wettelijke vereisten om boetes, imagoschade en schadeclaims te voorkomen. Door proactief werk te maken van Privacy, kunnen er bewust keuzes worden gemaakt over hoe er met welke informatie wordt omgegaan en weten de medewerkers wat dat in hun dagelijkse werk betekent en vooral waarom. Daarnaast verschaft dit document ook inzicht aan de inwoners om te laten zien dat de gemeente Zutphen zorgvuldig en vertrouwelijk met hun persoonsgegevens omgaat. Geldigheidsduur Dit beleid is in 2025 vastgesteld door de raad, als kaderstellend bestuursorgaan, en door de raad, het college van burgemeester en wethouders en de burgemeester, ieder voor zijn eigen bevoegdheid, als verwerkingsverantwoordelijke voor de (persoons)gegevensverwerking, binnen (een deel van) de gemeente. Het beleid wordt tenminste eens per drie jaar beoordeeld en zo nodig herzien. Als daar aanleiding toe is (bijvoorbeeld bij grote organisatorische veranderingen, Privacybeleid gemeente Zutphen 2025
Versie 2.2
4
wetswijzigingen, uitkomsten van DPIA’s) kunnen het college en de burgemeester besluiten tot een tussentijdse herziening, waarbij de raad deze tussentijdse herziening ook vaststelt.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
5
2 Visie en doelstelling gemeente Zutphen Visie De gemeente Zutphen respecteert de privacy van natuurlijke personen, zoals inwoners, ondernemers en medewerkers, en bouwt, door het zorgvuldig omgaan met persoonsgegevens, aan maatschappelijk vertrouwen en draagvlak. Doelstelling Dit privacybeleid, geeft handvatten voor het beantwoorden van vragen op het gebied van privacy. Er wordt onder meer aandacht besteed aan: • het verwerken van persoonsgegevens in het algemeen, waaronder het borgen van een zorgvuldige verwerking; • datalekken, en • de rechten van burgers/ inwoners en medewerkers. Privacybeleid is niet zozeer een extra last; het biedt ook voordelen. Door de bescherming van de persoonsgegevens te borgen in de werkprocessen: • beschermt het college zijn inwoners tegen risico’s van de informatiemaatschappij; • beheerst het college gemeentelijke afbreuk- en aansprakelijkheidsrisico’s; • bevordert het college de kwaliteit, continuïteit, veiligheid en klantgerichtheid van de gemeentelijke administratieve organisatie; • bouwt het college aan maatschappelijk vertrouwen en draagvlak; • respecteert de gemeente Zutphen de privacy; • kan het college met vertrouwen verantwoording afleggen aan de raad en, in voorkomende gevallen, de Autoriteit Persoonsgegevens of de rechter.
Reikwijdte Dit beleid is van toepassing op de gehele organisatie, alle processen, onderdelen, objecten en gegevensverzamelingen van de gemeente Zutphen en haar bestuursorganen waarin persoonsgegevens worden verwerkt.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
6
3 Wettelijke uitgangspunten voor gegevensverwerking De uitgangspunten met betrekking tot de omgang van persoonsgegevens volgens de AVG zijn: 1. Doelbepaling en doelbinding: persoonsgegevens worden alleen gebruikt voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Deze doeleinden zijn concreet en voorafgaand aan de verwerking vastgesteld. Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de doelen waarvoor ze zijn verkregen.
2.
3.
4.
5.
6. 7.
8.
Als een beoogde verdere verwerking onverenigbaar is met het oorspronkelijke verwerkingsdoeleind, mag deze verder verwerking toch plaatsvinden als: a. de betrokkene zijn toestemming heeft gegeven; b. of als de verwerking gebaseerd is op een wettelijke verplichting; c. of een taak van algemeen belang. Grondslag: verwerking van persoonsgegevens is gebaseerd op een van de wettelijke grondslagen: wettelijke verplichting, taak van algemeen belang of uitvoering van openbaar gezag, uitvoering overeenkomst, vitaal belang of gerechtvaardigd belang. Toestemming kan ook, maar moet echt worden gezien als ‘restrechtsgrond’, die alleen gebruikt mag worden als geen van de andere grondslagen van toepassing is. Toestemming moet wel vrijelijk gegeven zijn. Deze grondslag is vanwege de machtsverhouding tussen overheid en inwoners daarom praktisch moeilijk te hanteren. Dataminimalisatie: bij de verwerking van persoonsgegevens blijft de hoeveelheid en het soort gegevens beperkt (proportionaliteit). Het doel kan niet met minder, alternatieve of andere gegevens worden bereikt. Dit betekent ook dat data niet langer worden bewaard dan noodzakelijk of wettelijk vereist. Behoorlijk en transparant: de verwerking van persoonsgegevens moet in het belang zijn van de persoon over wie de gegevens gaan.
Dit houdt in dat de verwerking eerlijk en in overeenstemming met de redelijke verwachtingen van de betrokkenen moet plaatsvinden. De gemeente informeert betrokkenen hierbij op een transparante wijze over de verwerking van hun persoonsgegevens, inclusief de doeleinden, de rechtsgrondslag en met wie de gegevens worden gedeeld. Deze informatievoorziening vindt ongevraagd plaats. Rechten van betrokkenen: betrokkenen hebben: a. Het recht op inzage b. Het recht op rectificatie en aanvulling c. Het recht op vergetelheid d. Het recht op dataportabiliteit (ook wel gegevensoverdraagbaarheid) e. Het recht op beperking van de verwerking f. Het recht om bezwaar te maken. Data-integriteit: er zijn maatregelen getroffen om te waarborgen dat de te verwerken persoonsgegevens juist en actueel zijn. Vertrouwelijkheid: er zijn passende organisatorische en technische beveiligingsmaatregelen getroffen zodat een passende beveiliging van de verwerking van persoonsgegevens is gegarandeerd. Persoonsgegevens zijn beschermd tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging. Verantwoording: onder de verantwoordelijkheid van zowel het college van burgemeester en wethouders als de gemeenteraad vindt een groot aantal verwerkingen van persoonsgegevens plaats. Daar vindt extern en intern toezicht op plaats.
De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacyregels in Nederland. Daarnaast beschikt de gemeente over een interne toezichthouder: de Functionaris Gegevensbescherming (FG). De FG ziet erop toe dat de AVG intern wordt nageleefd. Het gemeentebestuur stelt voldoende middelen ter beschikking aan de FG om het toezicht adequaat uit te kunnen voeren.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
7
9. Verantwoordingsplicht: de verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van deze uitgangspunten (beginselen) en kan dit aantonen. 10. Gegevens worden op tijd vernietigd: de gemeente stelt de bewaartermijn van een verwerking vast aan de hand van wettelijke bepalingen en de selectielijsten. Gemeenten hebben op grond van de Archiefwet 1995 onder andere de plicht om zogenaamde selectielijsten op te stellen. Deze selectielijsten bepalen voor een selectie van documenten hoelang deze moeten worden bewaard. Alleen als de bewaartermijn niet op basis van wettelijke bepalingen of de selectielijsten kan worden vastgesteld, stelt de gemeente de bewaartermijn vast op basis van noodzakelijkheid. Persoonsgegevens mogen dan niet langer worden bewaard dan noodzakelijk. De gemeente bewaart gegevens alleen langer als deze geanonimiseerd worden, zodat directe of indirecte identificatie van een persoon niet meer mogelijk is. 11. Privacy by Design en Privacy by Default: de gemeente houdt bij de ontwikkeling van nieuwe diensten, systemen of processen rekening met aspecten van privacy en gegevensbescherming om zo te komen tot een zo optimaal mogelijke bescherming van persoonsgegevens. Dit uitgangspunt wordt Privacy by Design genoemd. De gemeente draagt er zorg voor dat concrete maatregelen zoveel mogelijk doorgevoerd worden in het ontwerp.
Daarbij neemt de gemeente Privacy by Default als uitgangspunt: de standaardinstellingen zijn altijd zo privacy-vriendelijk mogelijk. 12. Samenwerking: a. de gemeente schakelt soms derden in om persoonsgegevens in opdracht van haar te verwerken. Deze derden worden verwerkers genoemd. Ook een verwerker moet zich houden aan de privacyregelgeving en aan het privacybeleid van de gemeente. De AVG verplicht gemeenten tot het maken van contractuele afspraken met verwerkers, zogenaamde verwerkersovereenkomsten. b. Verder kan het voorkomen dat de gemeente samenwerkt met andere (overheids-) organisaties om een taak van algemeen belang uit te voeren. In die gevallen kan sprake zijn van meerdere verwerkersverantwoordelijken (gezamenlijk of individueel). De gemeente maakt met deze organisaties afspraken over de wijze waarop persoonsgegevens worden verwerkt. Derden waarborgen een beschermingsniveau dat gelijk is aan dat van de gemeente.
De gemeente houdt zich daarbij het recht voor persoonsgegevens met derden uit te wisselen onder voorwaarde dat: • het uitwisselingen zijn met organisaties, niet zijnde personen; • er met betreffende organisaties een data/gegevensuitwisselingsconvenant of overeenkomst is afgesloten; • uitwisseling van gegevens alleen plaats vindt als dit nodig is voor het publieke/algemene belang, de maatschappelijke veiligheid en/of de openbare orde; • het doel van de gegevensuitwisseling schriftelijk is vastgelegd; • betrokken organisaties zich schriftelijk hebben gebonden aan de toezegging gegevens uitsluitend voor het uitgewisselde doel aan te wenden; • het gebruik van de gegevens is afgestemd en is vastgelegd. 13. Doorgifte buiten de EER: doorgifte van persoonsgegevens aan landen buiten de Europese Economische Ruimte (EER) of een internationale organisatie, geschiedt alleen in overeenstemming met de relevante bepalingen in toepasselijke wet- en regelgeving en dit privacybeleid. 14. Geschillenbeslechting: als de betrokkene van mening is dat de gemeente niet op een juiste wijze met zijn persoonsgegevens is omgegaan, kan hij een klacht indienen via de van toepassing zijnde klachtenprocedure zoals opgenomen in de privacyverklaring op de website. De betrokkene heeft ook het recht een klacht in te dienen bij de Autoriteit
Privacybeleid gemeente Zutphen 2025
Versie 2.2
8
Persoonsgegevens, met betrekking tot de naleving van wet- en regelgeving op het gebied van de bescherming van persoonsgegevens. 15. Register van Verwerking: de gemeente beschikt over een actueel Register van Verwerking, waarin alle verwerkingen van persoonsgegevens gedocumenteerd zijn en inzichtelijk zijn gemaakt. 16. Data Privacy Impact Assessments: als een verwerking mogelijk een hoog risico inhoudt voor de persoonlijke levenssfeer van de betrokkene, moet de gemeente een beoordeling uitvoeren van het effect van een verwerking van persoonsgegevens. De gemeente voert in dat geval een DPIA uit (zie bijlage 1). Als uit de DPIA blijkt dat er inderdaad hoge risico’s zijn verbonden aan de verwerking, moet de gemeente voldoende maatregelen nemen om de risico’s te verminderen. Als het niet lukt om (voldoende) maatregelen te nemen om dit risico te beperken, dan moet de gemeente met de AP overleggen, voordat zij met de verwerking start. Dit wordt een voorafgaande raadpleging genoemd. 17. Functionaris Gegevensbescherming: de gemeente is een overheidsinstantie die structureel en op grote schaal persoonsgegevens verwerkt, waaronder bijzondere persoonsgegevens. Wij zijn daarom verplicht een FG aan te stellen. De FG is de onafhankelijke intern toezichthouder en heeft een adviserende, informerende en toezichthoudende taak.
Dit betekent dat de FG toeziet op alle verwerkingen van persoonsgegevens. De FG brengt jaarlijks een verslag uit aan de gemeenteraad en het college van burgemeester en wethouders van zijn werkzaamheden, bevindingen en aanbevelingen. 18. Plan-Do-Check-Act (PDCA) cyclus: de gemeente dient rondom de verwerking van persoonsgegevens ‘in control’ te zijn en daarover op professionele wijze verantwoording af te leggen. ‘In control’ betekent in dit verband dat de gemeente weet welke maatregelen genomen zijn ten aanzien van de verwerking van persoonsgegevens, dat er een planning is van de maatregelen die nog niet genomen zijn en dat dit geheel verankerd is in een Plan-DoCheck-Act-cyclus. 19. Borgingsproduct: daarnaast gebruikt de gemeente het borgingsproduct van de Vereniging Nederlandse Gemeenten (VNG) als het beoordelingskader voor het waarborgen van AVG compliance binnen de gemeente. Het borgingsproduct is een normenkader om de effectiviteit van ons Privacybeleid te evalueren en ervoor te zorgen dat de gemeente voldoet aan de geldende wet- en regelgeving. De gemeente past het beleid en d procedures aan op basis van de bevindingen van deze beoordelingen. 20. Bewustwording: beleid en maatregelen zijn niet voldoende om risico’s op het terrein van het verwerken van persoonsgegevens uit te sluiten.
Het is noodzakelijk om het bewustzijn in de bestuurlijke en ambtelijke organisatie binnen de gemeente voortdurend aan te scherpen, zodat kennis van risico’s wordt verhoogd en (veilig en verantwoord) gedrag om persoonsgegevens zorgvuldig te verwerken wordt aangemoedigd. Iedere bestuurder en medewerker wordt aantoonbaar geïnformeerd over het zorgvuldig omgaan met persoonsgegevens, bijvoorbeeld via instructies. Dit gebeurt passend binnen de context van en bij het domein waarbinnen die worden verwerkt. 21. Externe certificeringen: de BIO is gebaseerd op de internationaal geaccepteerde standaarden ISO 27001 en de ISO 27002. De gedachte hierbij is dat het hanteren van deze internationaal geaccepteerde standaarden de afstemming van de informatiebeveiligingsbehoefte met externe leveranciers meestal vergemakkelijkt. Ondanks dat het gesprek met leveranciers eenvoudiger is, kan het in sommige gevallen juist onduidelijkheid scheppen of in een concreet geval de BIO of de ISO 27001 (in zijn geheel) of slechts een subset van één van beide zou moeten gelden voor leveranciers. Ook geeft het soms enig ongemak wanneer aan leveranciers een ISO-certificering als verplichting gevraagd wordt en overheidsorganisaties zichzelf dit dan weer niet opleggen als verplichting. Ook hier wordt, net als eerder, het punt naar voren gebracht dat wellicht een ISOPrivacybeleid gemeente Zutphen 2025
Versie 2.2
9
certificering met een BIO als addendum met aanvullende maatregelen wellicht passender is. Dit heeft als bijkomend voordeel dat het onderhoud van de BIO lichter en eenvoudiger wordt, omdat organisaties zich nu eenmaal moet aanpassen aan vernieuwingen van de ISOstandaard bij certificering.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
10
4 Governance en organisatorische borging
4.1 Inleiding
De gemeente Zutphen heeft een Functionaris Gegevensbescherming en een Privacy Officer aangesteld. Deze zijn beide werkzaam binnen het team Concerncontrol, welke als staf hangt boven de domeinen. Om goed te kunnen voldoen aan de AVG, is het noodzakelijk dat er, naast de Privacy Officer, ook in de verschillende teams Privacy ambassadeurs (PA) worden aangesteld. De PA’s bieden advies en ondersteuning vanuit de teams aan de organisatie op het gebied van privacy en gegevensbescherming, en werken nauw samen met de Privacy Officer (PO). De PA is meewerkend voorman en ondersteunt de vakinhoudelijke teams en teammanagers bij de naleving van de AVG en andere privacywetgeving. Naast tijd hebben zij ook een mandaat, aandacht en opleiding nodig. PA is een extra rol van een aantal medewerkers naast hun normale functie. Er is hiervoor nog geen concrete taakomschrijving of tijdsinvulling voor opgesteld. In het kader van de Wpg kan de bovengenoemde privacy organisatie inclusief functionarissen die betrokken zijn bij de AVG worden gehandhaafd bij de gegevensverwerking voor de Wpg. Dit heeft geen invloed op de structuur, maar er dient wel tijd, geld en energie te worden gestoken in de opbouw van kennis en kunde op het gebied van de Wpg.
4.2 Rollen en verantwoordelijkheden Zie bijlage 2.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
11
4.3 Three lines Model
Het nieuwe Three Lines Model (3LM) is de opvolger van het Three Lines of Defence (3LOD) model dat wereldwijd als standaard wordt gezien voor risicomanagement. Met dit model wordt een organisatie op een bepaalde manier ingericht zodat de buitenwereld kan zien dat de organisatie ‘in control’ is. Hierbij zijn de beschreven functies niet alleen bedoeld om waarde van de organisatie te beschermen, maar ook om deze te vergroten. Het 3LM legt ook sterker een koppeling met de doelstellingen van de organisatie. Centraal voor alle functies staan dus de doelen van de organisatie. De functies zijn geen silo’s, maar stemmen af en werken samen; ieder vanuit de eigen rol. De inrichting van het model moet worden afgestemd op de risico’s en specifieke situatie van de organisatie. De drie lijnen op een rijtje De business (1st line): Deze groep is eindverantwoordelijk voor de keuzes die worden gemaakt en de risico’s die in de dagelijkse praktijk worden genomen. Controle (2nd line): Deze groep ontwikkelt de control systemen voor een goed proces van risicomanagement en beheersing, altijd ter ondersteuning en advies aan de eerste lijn. Internal audit (3rd line): Deze groep voorziet de hoogste leiding van zekerheid (assurance) over de kwaliteit van sturing en beheersing op het gebied van beveiligings- en privacymaatregelen binnen de organisatie.
De sleutel tot het functioneren van het Three Lines Model Binnen het 3-lines model is het management (de eerste lijn) het meeste in staat om risico’s te managen en ‘in control’ te zijn. De internal audit, als derde lijn, dient erop toe te zien dat de beheersmaatregelen en in controls daadwerkelijk operationeel zijn. De FG houdt hier toezicht op. De tweede lijn heeft een belangrijke rol om de eerste lijn te faciliteren met deze verantwoordelijkheden en te controleren of dit ook daadwerkelijk gebeurt.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
12
Een goede coördinatie van de tweede lijn werkzaamheden is de sleutel tot het daadwerkelijk effectief functioneren van het Three Lines Model. Door een integrale risk based samenwerking te hebben, kan de directie de assurance verkrijgen dat men ‘in control’ is. Zie ook ‘Governance van de Informatiebeveiliging 2024’. De invoering van het Three Lines Model zal de komende maanden worden gespecificeerd en in de Informatie Beveiliging en Privacy (IB&P) planning worden opgenomen.
4.4 RASCI Model
In 2025 zal het RASCI model worden geïmplementeerd, dat de onderlinge verantwoordelijkheden en rollen op het gebied van privacy en informatiebeveiliging binnen de gemeente Zutphen duidt. Het toebedelen van deze rollen of verantwoordelijkheden is een taak van de proceseigenaar. Hierbij worden volgende rollen onderscheiden: Responsible is diegene die verantwoordelijk is dat een taak of handeling gedaan wordt Accountable is de eindverantwoordelijke voor het (deel)proces Consulted zijn diegenen die voor een definitieve beslissing moeten worden geraadpleegd Informed zijn diegenen die geïnformeerd worden over een genomen beslissing Verantwoordelijk
R
Responsible/ Feitelijk verantwoordelijk
• Teammanagers en Domein Directeuren • De medewerkers (inclusief inhuur/externen) die persoonsgegevens verwerken
A
Accountable/ Eindverantwoordelijk
• Het college van burgemeester en wethouders
C Consulted/ Adviserend
I Informerend/ Geïnformeerd
• • • • •
Privacy Officer CISO/ISO Functionaris Gegevensbescherming Privacy Ambassadeurs Gemeenteraad (privacy rechtelijk geen controlerende taak, maar op basis van de Gemeentewet en de decentralisatiewetgeving een bestuurlijke toezichttaak) • Functionaris Gegevensbescherming • Belanghebbende(n)/Betrokkene(n)
Voor de overzichtelijkheid en de eenvoud hier bovenstaand de beknopte RASCI tabel. Voor uitgebreide RASCI tabel zie bijlage 5.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
13
5 Wet- en regelgeving Zie voor wet- en regelgeving bijlage 3. Zie voor aankomende wet- en regelgeving bijlage 4.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
14
6 Verwerkingen van persoonsgegevens Er zijn diverse beleidsonderwerpen waar verwerking van persoonsgegevens aan de orde is. Zonder uitputtend te willen zijn worden hier de belangrijkste beleidsvelden vermeld: • Bedrijfsvoering en Dienstverlening: dienstverlening aan inwoners, bedrijven en instellingen • Sociaal domein: uitvoering Participatiewet en aanverwante uitkeringen, Wet maatschappelijke ondersteuning, Jeugdwet en onderwijswetten (inclusief leerlingenvervoer) • Domein Ruimte en Economie: Omgevingswet • Verzoeken om informatie van inwoners, bedrijven en instellingen (al dan niet gebaseerd op de Wet open overheid) • Personeelszaken • Domein Veiligheid: uitvoering van taken en verantwoordelijkheden binnen de openbare orde en veiligheid.
6.1 Persoonsgegevens
De AVG onderscheidt drie typen van persoonsgegevens (gewone, bijzondere en strafrechtelijke persoonsgegevens) en stelt verschillende eisen aan een rechtmatige gegevensverwerking daarvan. De gedachte hierachter is dat hoe gevoeliger de aard van de persoonsgegevens, hoe groter de effecten voor de betrokkenen zijn. Bijzondere persoonsgegevens Hieronder een limitatieve opsomming van categorieën van bijzondere persoonsgegevens: • ras of etnische afkomst; • politieke opvattingen; • religieuze of levensbeschouwelijke overtuigingen; • het lidmaatschap van een vakbond; • genetische gegevens; • biometrische gegevens met het oog op de unieke identificatie van een persoon; • gegevens over gezondheid; • gegevens over seksueel gedrag of seksuele gerichtheid. Als bijzondere persoonsgegevens, gevoelige persoonsgegevens, unieke identificerende kenmerken, BSN-nummers of andere gegevens verwerkt worden waarvoor geldt dat sprake is van een verhoogde gevoeligheid, betekent dit een verhoogd risico op misbruik. Dat heeft een (potentieel grote) impact op de betrokkene en vraagt daarmee om betere beveiliging. Het verwerken van deze persoonsgegevens is alleen toegestaan onder bepaalde wettelijke voorwaarden. Ook geldt dat het risico bestaat dat betrokkenen minder snel willen meewerken, of het vertrouwen in de gemeente vermindert.
Er wordt dan ook geadviseerd om andere minder ingrijpende persoonsgegevens te gebruiken. Bovendien loopt de gemeente compliance risico’s als dit het geval is.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
15
Strafrechtelijke persoonsgegevens Persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen (hierna: strafrechtelijke persoonsgegevens) zijn een apart type persoonsgegeven. Het gaat hier zowel om veroordelingen als om verdenkingen van strafbare feiten. Voorbeelden hiervan zijn: proces-verbaal, sepotbeslissing, strafblad, relaas verhoor en aanvraag voor een toevoeging in een strafzaak. Wettelijke identificatienummers Nummers ter identificatie van een persoon die bij wet zijn voorgeschreven, mogen slechts worden verwerkt voor verwerkingsdoeleinden die bij wet zijn bepaald. De gedachte hierachter is dat persoonsnummers de koppeling van verschillende bestanden aanzienlijk vergemakkelijken en daarmee een extra bedreiging voor de persoonlijke levenssfeer vormen. Denk hierbij aan: een Burgerservicenummer (BSN), BIG-nummer (Beroepen in de Individuele Gezondheidszorg), Anummer (administratienummer basisregistratie personen), onderwijsnummer, strafrechtketennummer (SKN) en kenteken. Het gaat hierbij enkel om in de wet voorgeschreven persoon identificerende nummers. Overige persoonsgegevens Alle overige persoonsgegevens die geen bijzondere of strafrechtelijke persoonsgegevens zijn worden aangemerkt als gewone persoonsgegevens. Gewone persoonsgegevens wil overigens niet zeggen dat geen sprake is van een hoog privacyrisico.
Bepaalde persoonsgegevens kunnen door de context waarin zij worden gebruikt gevoelig zijn en daardoor een hoog privacyrisico met zich brengen. Hierbij kan gedacht worden aan: • gegevens over de financiële of economische situatie van de betrokkene; • gegevens over overtredingen van wettelijke voorschriften, bestuurlijke en/ of tuchtrechtelijke maatregelen of sancties; • (andere) gegevens die kunnen leiden tot stigmatisering of uitsluiting van de betrokkene; • gegevens die betrekking hebben op kwetsbare groepen; • gebruikersnamen, wachtwoorden en andere inloggegevens; • gegevens die kunnen worden misbruikt voor (identiteits-)fraude; • communicatie- en locatiegegevens. Een belangrijke vraag die steeds gesteld moet worden is of het doel met minder ingrijpende (andere) persoonsgegevens kan worden bereikt. Als dit niet mogelijk is, moet gekeken worden of de persoonsgegevens kunnen worden geanonimiseerd of pseudo-anoniem kunnen worden gemaakt. Hierdoor kan het nemen van verdere maatregelen ter bescherming van de privacy van de betrokkenen worden geminimaliseerd. Er wordt wel geadviseerd om periodiek na te gaan of de persoonsgegevens niet indirect herleidbaar zijn. Geanonimiseerde persoonsgegevens zijn niet te herleiden naar een specifiek persoon en vallen daarmee dus niet onder de AVG.
6.2 Voorwaarden voor verwerking
Hoofdregel is dat persoonsgegevens alleen in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze worden verwerkt. Dit noemen we rechtmatigheid. Daarnaast mogen persoonsgegevens slechts verzameld worden als daarvoor een precieze doelomschrijving wordt gegeven. Bovendien bepaalt de wet dat persoonsgegevens slechts mogen worden verwerkt voor zover zij toereikend, ter zake dienend en niet bovenmatig zijn. Dit noemen we proportionaliteit.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
16
De betrokkene heeft ook recht op informatie als er persoonsgegevens van hem worden verwerkt. Degene die persoonsgegevens vraagt moet hem onder andere laten weten wie hij is en wat voor gegevens hij waarvoor verwerkt. Dit noemen we transparantie. Behalve bovenvermelde algemene regels geldt dat er voor elke verwerking van persoonsgegevens een grondslag aanwezig moet zijn. In het merendeel van de gevallen verstrekt de betrokkene de persoonsgegevens zelf. Veel gebruikte gegevens of al bekende gegevens die zijn opgenomen in basisregistraties of andere authentieke bronnen, worden daaruit opgevraagd. Denk hierbij aan: persoonsgegevens, adresgegevens, bedrijfsgegevens, inkomensgegevens, gezinssamenstelling, uitkeringen, onderwijsgegevens, zorgindicaties, etc. Dit is in overeenstemming met het principe van ‘eenmalige uitvraag en meervoudig gebruik’ dat door de overheid en de gemeente wordt voorgestaan. Als voor het uitvoeren van bepaalde wettelijke taken en/ of wet- en regelgeving persoonsgegevens verwerkt moeten worden, dan worden deze gegevens opgevraagd uit de basisregistratie personen (zie artikel 1.7 Wet BRP). Wat er precies met de verzamelde gegevens gebeurt, is afhankelijk van het doel waarvoor ze verzameld worden. Meestal worden ze in een informatiesysteem opgenomen waar ze alleen toegankelijk zijn voor de medewerkers die belast zijn met het uitvoeren van de taak.
Gegevens worden niet zonder wettelijke grondslag gedeeld. Bijzondere gegevens worden niet verwerkt, tenzij dit nodig is voor het uitvoeren van een wettelijke taak en/ of wet- en regelgeving. Zo kunnen op grond van de Wet maatschappelijke ondersteuning en/ of Jeugdwet medische- en gezondheidsgegevens worden gebruikt bij de behandeling van een ondersteuningsverzoek of een hulpvraag.
6.3 Bewaartermijn gegevens
De AVG heeft als uitgangspunt dat persoonsgegevens niet langer in een vorm die het mogelijk maakt de betrokkenen te identificeren, mogen worden bewaard dan voor de verwezenlijking van de verwerkingsdoeleinden noodzakelijk is (beperkte bewaartermijn). Met andere woorden: als het voor de verwezenlijking van de verwerkingsdoeleinden niet meer noodzakelijk is de persoonsgegevens te bewaren, moeten deze worden vernietigd of geanonimiseerd. Hierop maakt de AVG een uitzondering als de persoonsgegevens uitsluitend worden verwerkt ten behoeve van archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische verwerkingsdoeleinden. Hieraan wordt wel de eis verbonden dat passende maatregelen worden getroffen om de betrokkenen te beschermen. Bij gegevensverwerkingen moet worden nagegaan of regelgeving een bewaartermijn voorschrijft. Als geen wettelijke bewaartermijn is voorgeschreven, moet de verwerkingsverantwoordelijke zelf bewaartermijnen vaststellen of de persoonsgegevens periodiek toetsen aan het uitgangspunt van opslagbeperking. Hierbij moet rekening worden gehouden met andere regelgeving over bewaartermijnen, zoals de eerder genoemde Archiefwet. Gemeenten zijn wettelijk gehouden aan de bewaartermijnen van de ‘Selectielijst gemeentelijke en intergemeentelijke organen’.
In deze selectielijst wordt onder andere aangegeven dat gemeenten persoonsgegevens langer mogen bewaren dan de vastgestelde bewaartermijn als dat noodzakelijk is voor een zorgvuldige uitvoering van hun taken op grond van de wet waarop dit van toepassing is. Het betreft met name resultaten waarbij zorg voor meerdere jaren wordt verleend aan jeugdigen van 0 tot 19 jaar. Dit houdt in dat zaken die betrekking hebben op de betrokken resultaten, altijd aan de proceseigenaren of behandelde ambtenaren zullen moeten Privacybeleid gemeente Zutphen 2025
Versie 2.2
17
worden voorgelegd, voordat tot vernietiging van de archiefbescheiden van deze zaken wordt overgegaan.
6.4 Uitgangspunten
Het wettelijk kader, zoals hiervoor beschreven, is bepalend bij het formuleren van de uitgangspunten van beleid. Het privacybeleid is gestoeld op de volgende beleidsuitgangspunten: • Wij verwerken alleen gegevens van en over inwoners/ medewerkers die strikt noodzakelijk zijn voor het uitvoeren van gemeentelijke taken; • Wij informeren inwoners/ medewerkers over de verwerking van persoonsgegevens; • Wij bewaren gegevens volgens de wettelijk geldende termijnen of anders altijd zo kort mogelijk en vernietigen deze daarna; • Wij gaan terughoudend om met informatie van en over inwoners/ medewerkers; medewerkers worden daarover geïnstrueerd; • Wij gaan bij handhaving terughoudend om met informatie van en over inwoners; • Wij delen persoonsgegevens intern en extern alleen voor zover dat strikt noodzakelijk is voor de taakuitvoering; • Wij zorgen ervoor dat persoonsgegevens niet voorkomen in openbare verslagen; • Als wij gegevens openbaren als gevolg van een WOO-verzoek, dan stellen wij alles in het werk om gegevens van inwoners te anonimiseren; • Als wij zelf wettelijk gegevens openbaar moeten maken, dan wordt aan betrokkenen eerst om toestemming voor openbaarmaking gevraagd en wordt gegevensverstrekking tot een minimum beperkt; • Als wij gegevens ter inzage leggen, dan wordt van betrokkenen de gegevensverstrekking tot een minimum beperkt; • Wij dragen zorg voor het goed uitvoeren
van het privacybeleid door medewerkers en samenwerkende instanties; • Wij voeren toezicht uit op het privacybeleid en de uitvoering ervan; • Hoe met privacy wordt omgegaan en hoe de privacy te allen tijde wordt geborgd, maken wij op een transparante manier duidelijk; • Daar waar sprake is van verwerking van persoonsgegevens worden werkwijzen vastgelegd en op zorgvuldige wijze uitgevoerd conform protocollen of procesbeschrijvingen; • Wij handelen klachten en bezwaren van inwoners/ medewerkers, ondernemers, organisaties en instellingen over privacy aspecten op een toegankelijke, laagdrempelige wijze af; • Bij samenwerking met externe partners, waar sprake is van verwerking van persoonsgegevens, maken wij afspraken over de voorwaarden voor een zorgvuldige verwerking en de controle daarop; • Indien noodzakelijk voor de uitvoering van gemeentelijk beleid maken wij langlopende afspraken met (veiligheids)partners over de uitwisseling van gegevens op basis van een convenant of overeenkomst waarin het gebruik van gegevens zijn vastgesteld. • Wanneer er sprake is van een samenwerking die specifiek betrekking heeft op veiligheid regelt de Wet gegevensverwerking door samenwerkingsverbanden1 (WGS, van kracht per 1 maart 2025) onder welke voorwaarden verschillende partijen persoonsgegevens mogen uitwisselen.
De WGS regelt onder welke omstandigheden verschillende partijen (bijvoorbeeld politie, gemeentes, de belastingdienst) persoonsgegevens mogen uitwisselen en verwerken binnen samenwerkingsverbanden om criminaliteit, fraude of ernstige overlast te bestrijden. 1
Privacybeleid gemeente Zutphen 2025
Versie 2.2
18
6.5 NALEVING VAN HET BELEID
Vanuit de gedachte van risicobeheersing, neemt het college van burgemeester en wethouders verschillende maatregelen om de risico’s bij de verwerking van persoonsgegevens in kaart te brengen en te verminderen. Hiervoor gelden vier cycli van risicobeheersing: • In kaart brengen verwerkingen met persoonsgegevens; • Uitvoeren DPIA, evaluatie van getroffen maatregelen, of formuleren van aanvullende maatregelen; • Afleggen verantwoording aan toezichthoudende FG; • Periodiek evalueren van privacy incidenten.
6.6 Data Privacy Impact Assessment (DPIA)
Privacybescherming is een onderwerp dat voor bestuurders en medewerkers een integraal onderdeel van het werk vormt. Betrokkenen kunnen ervan uitgaan dat persoonsgegevens, door het nemen van passende technische en organisatorische maatregelen, op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is. En dat zij daarmee onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige gegevensverwerking en tegen onopzettelijk verlies, vernietiging of beschadiging. Wat een DPIA inhoudt en wanneer van toepassing: zie bijlage 1. Als niet aan de eisen van de DPIA wordt voldaan, kan dat onder de AVG tot gevolg hebben dat de bevoegde toezichthoudende autoriteit boetes oplegt. Als geen DPIA wordt uitgevoerd terwijl dat voor de gegevensverwerking wel verplicht is, als een DPIA niet correct wordt uitgevoerd, of als de Autoriteit Persoonsgegevens (AP) niet wordt geraadpleegd terwijl dat wel vereist is, kan dat leiden tot een administratieve boete van maximaal 10 miljoen euro.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
19
6.7 Datalekken De procedure Datalekken beschrijft hoe te handelen, als er sprake is van een datalek of wanneer een datalek vermoed wordt. De meldplicht is eveneens van toepassing, als het datalek bij een derde is ontstaan, bijvoorbeeld een verwerker van persoonsgegevens. Per gemeld datalek behoudt de verwerkingsverantwoordelijke (het college van burgemeester en wethouders of de burgemeester) de vrijheid te beoordelen of de procedure gevolgd moet worden, of dat afwijking van de procedure Datalekken gerechtvaardigd is. Daarin behoort het advies van zowel de CISO als ook de PO en FG wel zwaarwegend te zijn en dient er onderbouwd te worden waarom er wordt afgeweken van de adviezen van de PO/ FG/ CISO.
6.8 Toezicht
Voor de uitoefening van zijn toezichthoudende functie beschikt de FG over alle bevoegdheden die daarvoor redelijkerwijs noodzakelijk zijn. De verantwoordelijke en de personen die bij een verwerking van persoonsgegevens zijn betrokken verstrekken de FG desgevraagd alle inlichtingen en verlenen de FG alle overige medewerking die hij voor de uitoefening van zijn taak behoeft. • De FG heeft toegang tot alle ruimten, waar een verwerking van persoonsgegevens plaatsvindt. • De FG is bevoegd apparatuur, programmatuur, gegevensbestanden, boeken en bescheiden te onderzoeken en zich de werking van apparatuur en programmatuur te doen tonen. • De FG brengt verslag uit over zijn bevindingen aan het college van burgemeester en wethouders. • Hij geeft aanbevelingen over te nemen maatregelen, die een goede werking van de verwerking van persoonsgegevens moeten helpen waarborgen. • De FG kan niet ontslagen worden of een sanctie krijgen als gevolg van de uitoefening van zijn FG taken, zoals deze blijken uit artikel 38 AVG.
6.9 Register van verwerking
De FG houdt toezicht op het register waarin verwerkingen van persoonsgegevens zijn vermeld. Het register vermeldt ten minste de volgende elementen: • de verantwoordelijke; • de PO; • omschrijving van de verwerking; • doel(en) van de verwerking; • grondslag(en) van de verwerking; • welke gegevens of categorieën van gegevens worden verwerkt; • ontvangers of categorieën van ontvangers aan wie gegevens worden verstrekt; • doorgifte van gegevens naar landen buiten de EU; • de bewaartermijn. Het register wordt ingericht en onderhouden door de PO. De proceseigenaar is verantwoordelijk voor de juiste inhoud.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
20
6.10 Rechten van betrokkene
Namens de verwerkingsverantwoordelijke voeren de teammanagers of proceseigenaren de taken uit met betrekking tot de rechten van betrokkene, zoals omschreven in de AVG. De gemeente heeft de rechten van de betrokkenen opgenomen in de privacyverklaring op de website. Het gaat bij de rechten van de betrokkenen om de volgende rechten: • Het recht op vergetelheid: het recht om ‘vergeten’ te worden als de betrokkene daarom vraagt en er geen wettelijke verplichtingen en/ of geen wettelijke grondslagen (meer) zijn en dat de persoonsgegevens ook niet meer nodig zijn voor het doel waarvoor de organisatie de gegevens heeft verzameld. • Het recht op inzage. • Het recht op rectificatie en aanvulling: het recht om de persoonsgegevens die worden verwerkt te wijzigen. • Het recht op beperking van de verwerking: het recht om minder gegevens te laten verwerken. • Het recht met betrekking tot geautomatiseerde besluitvorming en profilering. • Het recht om bezwaar te maken tegen de gegevensverwerking. • Het recht op data portabiliteit: het recht om persoonsgegevens over te dragen.
6.11 Borging en borgingsproducten De hoofddoelstelling voor het borgen en het hanteren van AVG Borgingsproducten is het geven van een eenduidige baseline voor wat de gemeente moet doen om aan de AVG te voldoen. Een belangrijk uitgangspunt hierbij is dat iedere burger recht heeft op een gelijk basisniveau van privacybescherming, ongeacht in welke gemeente deze burger woont. Verschillen mogen zich hooguit voordoen in de mate waarin gemeenten (of andere gemeentelijke organisaties) zaken optimaliseren.
Opbouw van het Borgingsproduct
Het Borgingsproduct is, net als eerdere versies, opgebouwd uit een zevental thema's waarop getoetst wordt. Een thema gaat over een specifiek onderdeel van de AVG. De AVG-hoofdstukken zijn niet aangehouden, omdat de (volgorde van de) thema’s beter aansluiten bij de gemeentelijke praktijk. De thema’s zijn: Beleid: De organisatie heeft processen en bijbehorende verantwoordelijkheden en risico's in kaart gebracht en vastgelegd in beleidsstukken. Deze stukken moeten voor alle werknemers goed vindbaar en begrijpelijk zijn. Processen: De organisatie heeft alle processen waarbinnen persoonsgegevens worden verwerkt in kaart gebracht. De beschrijving van deze processen wordt actueel gehouden, werkinstructies worden nageleefd en processen met een hoog risico worden getoetst op juistheid. Organisatorische inbedding: De organisatie heeft een FG aangesteld en kan zich voor inhoudelijke vraagstukken tot de PO richten. Er wordt doorlopend aan bewustwording gedaan. Rechten van betrokkenen: De organisatie voldoet aan alle wettelijke eisen die er zijn op het gebied van rechten van betrokkenen. De organisatie is transparant over hoe en welke persoonsgegevens verwerkt worden.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
21
Samenwerking: De organisatie heeft in kaart gebracht met wie zij samenwerkt en heeft daarbij passende afspraken gemaakt. Deze afspraken worden door de betrokken partijen nageleefd. Gegevensbescherming: Hoewel pas echt een volledig beeld kan worden geschetst van de stand van zaken op het gebied van gegevensbescherming middels de Baseline Informatiebeveiliging Overheid (BIO), zijn privacy en informatiebeveiligingsaspecten niet geheel van elkaar los te trekken. Een aantal informatiebeveiligingsaspecten met een duidelijke privacy component zijn dan ook in dit Borgingsproduct opgenomen. Denk bijvoorbeeld aan de handelswijze bij datalekken. De (C)ISO kan helpen bij het beoordelen van de mate waarin aan de bij dit thema opgenomen maatregelen wordt voldaan. Wanneer deze maatregelen voldoende zijn geïmplementeerd, houdt dat dus niet automatisch in dat de organisatie volledig aan de BIO voldoet.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
22
7 Informatie Beveiliging Informatiebeveiliging is het proces van vaststellen van de vereiste beveiliging van informatiesystemen in termen van vertrouwelijkheid, beschikbaarheid en integriteit alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende maatregelen. De gemeente is zich bewust van het cruciale belang van de beveiliging van persoonsgegevens voor de betrokkene (inwoners van de gemeenten en ook de medewerkers). Persoonsgegevens van de betrokkenen zijn beveiligd met adequate organisatorische en technische middelen die zijn vastgelegd in het Securitybeleid. Een passend beveiligingsniveau is conform artikel 32 AVG afgestemd op het risico dat de verwerking met zich meebrengt.
7.1 Risico’s voor betrokkenen
Met name de beveiligingsincidenten brengen de risico’s voor betrokkenen aan het licht. In de meeste gevallen loopt de inwoner of werknemer een risico op schade. Voorkomende risico’s zijn:
1. Reputatieschade
Als gevoelige gegevens van een persoon bij een bekende of collega terechtkomen, kan die persoon reputatieschade oplopen doordat een bekende of collega meer van zijn privésituatie afweet dan hij zou willen.
2. Identiteitsfraude
Met onrechtmatig verkregen documenten kan een kwaadwillend persoon identiteitsfraude plegen en zich voordoen als betrokkene.
3. Gevoel controle over data te verliezen
Met de AVG is de controle van betrokkenen op hun gegevens vergroot. Met de ontwikkeling van digitale systemen waren er signalen dat bewoners soms moeite hebben om hun gegevens in te vullen omdat voor hen niet duidelijk was waar gegevens terecht zouden komen. Concrete en transparante toelichting over wat met verzamelde gegevens wordt gedaan helpt het vertrouwen te verhogen.
7.2 Risico’s voor gemeente
Risico’s voor de gemeente staan los van de risico’s voor de betrokkenen, maar moeten in een DPIA worden meegenomen om de urgentie van voorgestelde maatregelen duidelijk te maken.
1. Minder succesvolle dienstverlening
Met name datalekken van bijzondere persoonsgegevens zorgen voor verminderd vertrouwen in de dienstverlening.
2. Imagoschade
Slordigheden waarbij inwoners of medewerkers de ontvanger van onjuiste gegevens zijn, kunnen leiden tot het idee dat de gemeente niet professioneel handelt en daarmee tot imagoschade kan leiden. Ook in onderhandelingen met samenwerkingspartners staat de gemeente sterker in zijn schoenen als een professioneel niveau van privacybescherming wordt nagevolgd en afgesproken.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
23
3. Datakwaliteit
Datakwaliteit heeft betrekking op de mate van geschiktheid van data voor het uiteindelijke gebruiksdoel. Het is daarom van groot belang dat de gemeente beschikt over betrouwbare en kwalitatief hoogwaardige data. Alleen dan is de gemeente in staat om slagvaardig en succesvol te handelen. Organisaties waarbij de data niet op orde is, ondervinden daar beperkingen van. Zo kunnen diverse activiteiten hun effect missen als deze op verkeerde inzichten gebaseerd zijn. Ook verlopen interacties met inwoners minder gemakkelijk als blijkt dat de database fouten bevat. Organisaties die de kwaliteit van hun data niet kunnen garanderen, lopen bovendien extra risico’s met het naleven van hun wettelijke verplichtingen zoals de AVG. De kwaliteit van data kan uitgedrukt worden in een combinatie van de begrippen volledigheid, accuratesse, uniciteit, validiteit, tijdigheid en consistentie. Van een gedigitaliseerde organisatie mag worden verwacht dat de kwaliteit van data is geborgd door: • Het eigenaarschap en de verantwoordelijkheid voor data is expliciet belegd en de eindverantwoordelijke van een organisatie erkent het belang van datakwaliteit. • Het borgen van de datakwaliteit door datakwaliteitseisen, data-definities, data govenance, datastromen en het in kaart te brengen van de relatie tot de informatiebehoefte.
• Duidelijke afspraken maken over de wijze waarop datakwaliteit wordt gemonitord en beheerd.
4. Dataclassificatie
Dataclassificatie heeft als doel richting te geven aan de passende technische en organisatorische maatregelen. Als gemeente beschikken we over veel (persoons)gegevens. Om te bepalen welke gegevens in meer of mindere mate beschermd moeten worden, kun je de gegevens classificeren. Binnen de BIO wordt de controle ‘classificatie van informatie’ genoemd (8.2). De overheidsmaatregel die binnen deze controle valt (8.2.1.1) vereist dat alle informatie (BBN1) in alle informatiesystemen door middel van een expliciete risicoafweging is geclassificeerd. Zo moet je zeer gevoelige gegevens (zoals persoonsgegevens) beter beschermen dan reeds bekende gegevens (zoals openbare jaarrapporten). Kortom, een hogere classificatie betekent meer technische en/ of organisatorische maatregelen.
5. Tijdverlies
Bij een beveiligingsincident zijn vaak meerdere teams betrokken om de schade te herstellen. Diverse medewerkers van verschillende teams en bestuurders zijn druk met het oplossen van een beveiligingsincident. Dit tijdverlies kan beter proactief worden gebruikt om een gedegen datakwalificatie uit te voeren.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
24
Bijlage 1: Gegevensbeschermingseffectbeoordeling 1. Wat is een gegevensbeschermingseffectbeoordeling (DPIA)
Privacybescherming is een onderwerp dat voor bestuurders en medewerkers een integraal onderdeel van het werk vormt. Betrokkenen kunnen ervan uitgaan dat persoonsgegevens, door het nemen van passende technische en organisatorische maatregelen, op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is. En dat zij daarmee onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige gegevensverwerking en tegen onopzettelijk verlies, vernietiging of beschadiging. •
•
• •
•
•
• •
Een DPIA is een belangrijk verantwoordingsinstrument. Het helpt verwerkingsverantwoordelijken om aan de eisen van de AVG te voldoen, en om aan te tonen dat passende maatregelen zijn genomen om ervoor te zorgen dat de AVG wordt nageleefd. Met andere woorden: een DPIA is een proces voor het realiseren en aantonen van naleving. Een DPIA moet voorafgaand aan de verwerking en bij bestaande verwerkingen, waar sprake is van een gegevensverwerking die een hoog privacyrisico oplevert voor de betrokkenen. Tevens heeft de AP nog een lijst samengesteld voor verwerkingen waarbij een DPIA altijd verplicht is. Zie hieronder punt 3. (Specifieke lijst van verwerkingen) Een DPIA wordt doorgaans uitgevoerd door de product/proces/project eigenaar met ondersteuning van de PO. Of er sprake is van een hoog privacyrisico, toetst de gemeente aan de hand van een Business Impact Assessment (BIA). De BIA wordt uitgevoerd op het moment dat een van de BIV-classificaties 2 of hoger scoort. Dus naast de Vertrouwelijkheid, waar privacy geraakt wordt, ook op Beschikbaarheid en Integriteit. Op grond van de AVG is verder in ieder geval sprake van een hoog privacyrisico als de gemeente: a. Systematisch en uitvoerig persoonlijke aspecten evalueert, waaronder profilering; b. Op grote schaal bijzondere persoonsgegevens verwerkt of op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied.
(Hierbij wordt gelet op het aantal betrokkenen, het volume van gegevens en/of het bereik van verschillende gegevens/items die worden verwerkt, de duur of het permanente karakter van de gegevensverwerkingsactiviteit en de geografische omvang van de verwerkingsactiviteit; Een DPIA moet in ieder geval het volgende bevatten: a. Een systematische beschrijving van de beoogde gegevensverwerkingen. b. Een beoordeling van de noodzaak en de proportionaliteit van de verwerkingen. c. Een beoordeling van de privacyrisico's voor de betrokkenen. d. De beoogde maatregelen om (1) de risico's aan te pakken (zoals waarborgen en veiligheidsmaatregelen) en (2) aan te tonen dat aan de AVG wordt voldaan. Na afronding van de DPIA moet de beschreven verwerking worden opgenomen in het Register van Verwerking. De opdrachtgever voor een DPIA moet dit weloverwogen te doen in verband met kosten, uitvoering , inhuur, etc.
Als niet aan de eisen van de DPIA wordt voldaan, kan dat onder de AVG tot gevolg hebben dat de bevoegde toezichthoudende autoriteit boetes oplegt. Als geen DPIA wordt uitgevoerd terwijl dat voor de gegevensverwerking wel verplicht is, als een DPIA niet correct wordt uitgevoerd, of als de Autoriteit Persoonsgegevens (AP) niet wordt geraadpleegd terwijl dat wel vereist is, kan dat leiden tot een administratieve boete van maximaal 10 miljoen euro.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
25
2. Richtsnoer
De European Data Protection Board heeft op 4 oktober 2017 de Richtsnoeren voor gegevensbeschermingseffectbeoordeling (DPIA) en Bepaling of een verwerking die waarschijnlijk een hoog risico inhoudt, vastgesteld. In deze Richtsnoeren staan negen criteria vermeld die in aanmerking moeten worden genomen bij de beoordeling of een DPIA moet worden uitgevoerd, te weten in het geval dat sprake is van: 1. 2. 3. 4. 5. 6. 7. 8.
Evaluatie of scoretoekenning Geautomatiseerde besluitvorming met rechtsgevolg of vergelijkbaar wezenlijk gevolg Stelselmatige monitoring Gevoelige gegevens of gegevens van zeer persoonlijke aard Op grote schaal verwerkte gegevens Matching of samenvoeging van datasets Gegevens met betrekking tot kwetsbare betrokkenen Innovatief gebruik of innovatieve toepassing van nieuwe technologische of organisatorische oplossingen 9. De situatie waarin als gevolg van de verwerking zelf ″betrokkenen [...] een recht niet kunnen uitoefenen of geen beroep kunnen doen op een dienst of een overeenkomst
3. Specifieke lijst van verwerkingen
Op basis van bovenstaande Richtsnoeren heeft de Nederlandse Autoriteit Persoonsgegevens (AP) een lijst met omschrijvingen van soorten verwerkingen samengesteld waarbij het uitgangspunt is dat de verwerkingsverantwoordelijke verplicht is een DPIA uit te voeren voordat met de verwerking van persoonsgegevens wordt begonnen. Hierbij is aangegeven welk criterium uit de bovenstaande richtsnoer in aanmerking is genomen: 1. Heimelijk onderzoek Grootschalige verwerkingen van persoonsgegevens en/ of stelselmatige monitoring waarbij informatie wordt verzameld door middel van onderzoek zonder de betrokkene daarvan vooraf op de hoogte te stellen (bijvoorbeeld: heimelijk onderzoek door particuliere recherchebureaus, onderzoek in het kader van fraudebestrijding en onderzoek op internet in het kader van bijvoorbeeld online handhaving van auteursrechten). Een DPIA is ook verplicht in geval van heimelijk cameratoezicht door werkgevers in het kader van diefstal- of fraudebestrijding door werknemers (bij deze laatste verwerking dient ook in incidentele gevallen een DPIA te worden uitgevoerd vanwege de ongelijkwaardige machtsverhouding tussen de betrokkene (werknemer) en de verwerkingsverantwoordelijke (werkgever)). [3], [5], [7] 2.
Zwarte lijsten Verwerkingen waarbij persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten, gegevens over onrechtmatig of hinderlijk gedrag of gegevens over slecht betalingsgedrag door bedrijven of particulieren worden verwerkt en gedeeld met derden (artikel 33, vierde lid, aanhef en onder c, van de Uitvoeringswet Algemene Verordening Gegevensbescherming) (zwarte lijsten of waarschuwingslijsten, zoals deze bijvoorbeeld gebruikt worden door verzekeraars, horecabedrijven, winkelbedrijven, telecomproviders alsook zwarte lijsten die betrekking hebben op onrechtmatig gedrag van werknemers, bijvoorbeeld in de zorg of door uitzendbureaus). [4], [6], [7], [8]
Privacybeleid gemeente Zutphen 2025
Versie 2.2
26
3. Fraudebestrijding Grootschalige verwerkingen van (bijzondere) persoonsgegevens en-of stelselmatige monitoring in het kader van fraudebestrijding (bijvoorbeeld fraudebestrijding door sociale diensten of door fraudeafdelingen van verzekeraars). [3], [4], [5], [9] 4. Creditscores Grootschalige gegevensverwerkingen en/ of stelselmatige monitoring die leiden tot of gebruik maken van inschattingen van de kredietwaardigheid van natuurlijke personen, bijvoorbeeld tot uitdrukking gebracht in een creditscore. [1], [2], [3], [4], [5], [9] 5. Financiële situatie Grootschalige verwerkingen en/ of stelselmatige monitoring van financiële gegevens waaruit de inkomens- of vermogenspositie of het bestedingspatroon van mensen valt af te leiden (bijvoorbeeld overzichten van bankoverschrijvingen, overzichten van de saldi van iemands bankrekeningen of overzichten van mobiele- of pinbetalingen). [3], [4], [5] 6. Genetische persoonsgegevens Grootschalige verwerkingen en/ of stelselmatige monitoring van genetische persoonsgegevens (bijvoorbeeld DNA-analyses ten behoeve van het in kaart brengen van persoonlijke kenmerken, Bio databanken). [3], [4], [5] 7.
Gezondheidsgegevens Grootschalige verwerkingen van gegevens over gezondheid (bijvoorbeeld door instellingen of voorzieningen voor gezondheidszorg of maatschappelijke dienstverlening, arbodiensten, reïntegratiebedrijven, (speciaal)onderwijsinstellingen, verzekeraars, en onderzoeksinstituten) waaronder ook grootschalige elektronische uitwisseling van gegevens over gezondheid (let wel: individuele artsen en individuele zorgprofessionals zijn op grond van overweging 91 van de Algemene Verordening Gegevensbescherming uitgezonderd van de verplichting een gegevensbeschermingseffectbeoordeling (DPIA) uit te voeren). [4], [5], [7] 8. Samenwerkingsverbanden Het delen van persoonsgegevens in of door samenwerkingsverbanden waarin gemeenten of andere overheden met andere publieke of private partijen bijzondere persoonsgegevens of persoonsgegevens van gevoelige aard (zoals gegevens over gezondheid, verslaving, armoede, problematische schulden, werkloosheid, sociale problematiek, strafrechtelijke gegevens, betrokkenheid van jeugdzorg of maatschappelijk werk) met elkaar uitwisselen, bijvoorbeeld in wijkteams, veiligheidshuizen of informatieknooppunten. [6], [7], [8] 9. Cameratoezicht Grootschalige en/ of stelselmatige monitoring van openbaar toegankelijke ruimten met behulp van camera’s, webcams of drones. [3], [5] 10.