818728 - Bijlage 1 - Privacybeleid gemeente Zutphen 2025
Tekst van het document
Flexibel camera toezicht Grootschalig en/ of stelselmatig gebruik van flexibel cameratoezicht (camera’s op kleding of helm van brandweer- of ambulancepersoneel, dashcams gebruikt door hulpdiensten). [3], [5] 11. Controle werknemers Grootschalige verwerking van persoonsgegevens en/ of stelselmatig monitoring van activiteiten van werknemers (bijvoorbeeld controle van e-mail en internetgebruik, GPS-systemen in (vracht)auto’s van werknemers of cameratoezicht ten behoeve van diefstal- en fraudebestrijding). [3], [5], [7]
Privacybeleid gemeente Zutphen 2025
Versie 2.2
27
12. Locatiegegevens Grootschalige verwerking en/ of stelselmatige monitoring van locatiegegevens van of herleidbaar tot natuurlijke personen (bijvoorbeeld door (scan)auto’s, navigatiesystemen, telefoons, of verwerking van locatiegegevens van reizigers in het openbaar vervoer). [3], [5] 13. Communicatiegegevens Grootschalige verwerking en/ of stelselmatige monitoring van communicatiegegevens inclusief metadata herleidbaar tot natuurlijke personen, tenzij en voor zover dit noodzakelijk is ter bescherming van de integriteit en de veiligheid van het netwerk en de dienst van de betrokken aanbieder, of het randapparaat van de eindgebruiker. [3], [5] 14. Internet of things Grootschalige verwerkingen en/ of stelselmatige monitoring van persoonsgegevens die worden gegenereerd door apparaten die verbonden zijn met internet en die via internet of anderszins gegevens kunnen versturen of uitwisselen (‘internet of things’- toepassingen, zoals slimme televisies, slimme huishoudelijke apparaten, connected toys, smart cities, slimme energiemeters, medische hulpmiddelen, etcetera). [3], [5], [8] 15.
Profilering Systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen gebaseerd op geautomatiseerde verwerking (profilering), zoals bijvoorbeeld beoordeling van beroepsprestaties, prestaties van leerlingen, economische situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag. [1], [3] 16. Observatie en beïnvloeding van gedrag Grootschalige verwerkingen van persoonsgegevens waarbij op stelselmatige wijze via geautomatiseerde verwerking gedrag van natuurlijke personen geobserveerd of beïnvloed, dan wel gegevens daarover worden verzameld en/of vastgelegd, inclusief gegevens die voor het doel online behavioural advertising worden verzameld. [1], [5] 17. Biometrische gegevens Grootschalige verwerkingen en/of stelselmatige monitoring van biometrische gegevens met als doel een natuurlijk persoon te identificeren. Op grond van de Algemene Verordening Gegevensbescherming is de verwerking van biometrische gegevens met als doel de unieke identificatie van een natuurlijk persoon, in beginsel verboden. In Nederland zijn aanvullende voorwaarden gesteld in artikel 29 van de Uitvoeringswet Algemene Verordening Gegevensbescherming. Enkel als de verwerking strikt noodzakelijk is voor authenticatie of beveiligingsdoeleinden, is de verwerking van biometrische gegevens toegestaan. [3], [5], [8]
Privacybeleid gemeente Zutphen 2025
Versie 2.2
28
Bijlage 2: Rollen en verantwoordelijkheden 1. College van burgemeester en wethouders
Net zoals het college jaarlijks aan de gemeenteraad verantwoording aflegt over de gemeentelijke uitgaven en inkomsten, legt het college ook jaarlijks aan de raad verantwoording af over de uitvoering en realisatie van beleid. Naast deze jaarlijkse verantwoording, hebben het college en de burgemeester op grond van de artikelen 169 en 180, tweede lid van de Gemeentewet de algemene informatieplicht om de raad te informeren over bijzonderheden (incidenten) bij gegevensverwerkingen. Het college van burgemeester en wethouders heeft de volgende rollen en verantwoordelijkheden: • • • • •
Bestuurlijk eindverantwoordelijk voor de naleving van alle privacywetgeving binnen de gemeente; Stelt het privacybeleid vast; Geeft sturing aan privacy beleidsvoering en legt verantwoording af over privacy beleidsvoering aan de FG; Evalueert de toepassing en werking van het privacybeleid op basis van de rapportage van de FG; Bevordert duurzame privacy cultuur.
2. Controle door de raad
De gemeenteraad moet controleren of het college ‘in control’ is bij de uitvoering van de AVG. De gemeenteraad kan daarvoor de volgende vragen stellen: • • • • • •
Zijn er bij de start van een nieuw traject risico’s ten aanzien van de gegevensbescherming voldoende maatregelen genomen? Is privacy geborgd in alle gemeentelijke processen? Zo ja, kan het college dat ook aantonen? Worden de instrumenten ook daadwerkelijk ingezet, zodat risico’s die verbonden zijn aan de verwerking van persoonsgegevens niet hoog zijn? Gebruikt de gemeente het Borgingsproduct van de VNG om te monitoren wat de stand van zaken is bij de gegevensbescherming? Komt de FG jaarlijks langs om een toelichting op zijn jaarverslag te geven? Welke gegevensbeschermingsincidenten hebben zich het afgelopen jaar voorgedaan en wat heeft de gemeente daarvan geleerd?
De gemeenteraad is als bestuursorgaan een verwerkingsverantwoordelijke op grond van artikel 4, zevende lid AVG. Dit betekent dat de raad zelf verwerkingsverantwoordelijke is voor taken die specifiek bij de raad liggen en dus moet kunnen aantonen dat de verwerkingen die hij doet, voldoen aan de AVG. Daarnaast dient de raad onder andere een register van verwerkingsactiviteiten bij te houden, technische en organisatorische maatregelen te nemen om persoonsgegevens te beschermen en zal de raad wanneer er persoonsgegevens verstrekt worden aan andere partijen specifieke afspraken moeten maken.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
29
3. Gemeentesecretaris, Domein Directeuren en Teammanagers
De gemeentesecretaris/ algemeen directeur, is als hoofd, eindverantwoordelijk voor de ambtelijke organisatie. De domein directeuren zijn eindverantwoordelijk voor hun domein. De teammanagers zijn verantwoordelijk voor hun teams. Specifiek: • Verantwoordelijk voor implementatie en uitvoering van het privacybeleid binnen het eigen team; • Informeert de FG op welke manier het eigen team compliant is aan de privacywetgeving; • Verantwoordelijk voor (laten) volgen van trainingen door medewerkers binnen het eigen team; • Verantwoordelijk voor registreren van de gegevensverwerkingen in het Register van Verwerking voor zover dit betrekking heeft op de eigen processen; • Verantwoordelijk voor autorisatie en intrekken van de autorisatie van medewerkers die persoonsgegevens verwerken; • Aansturen van de Privacy ambassadeur, voor zover benoemd binnen het eigen team; • Bevordert duurzame privacy cultuur; • Betrekt PO en/ of FG in een vroeg stadium bij nieuwe of gewijzigde verwerkingen van persoonsgegevens (Privacy by Design).
4. Functionaris Gegevensbescherming (FG) De FG is de vertegenwoordiger van het belang van de betrokkene. De FG heeft een adviserende taak, maar is primair degene die de organisatie tegen de AVG-meetlat moet houden. Dan past het niet om al te ver mee te denken en de belangen van de organisatie te stevig mee te laten wegen. De AVG geeft ook aan dat de FG best andere taken mag uitvoeren in de organisatie, maar dat deze niet mogen leiden tot belangenverstrengeling. Zo is het opstellen van beleid dat ziet op de AVG of gegevensverwerkingen niet een taak die bij de FG moet worden belegd. De taken van de FG: • De organisatie informeren en adviseren over de AVG en Wpg verplichtingen; • Als interne toezichthouder de naleving van de AVG en Wpg controleren, maar ook en vooral op het privacybeleid van de verwerkingsverantwoordelijke. In dit privacybeleid moet huiselijk gezegd iets staan over governance, awareness, training en audits. • (Verplicht) adviseren bij een DPIA: o Adviseren over de noodzaak van een DPIA o Beoordelen van de DPIA o Toezicht houden op de uitvoering o Waarborgen van naleving • Met de Autoriteit Persoonsgegevens samenwerken en optreden als hun contactpunt. • Betrokkenen moeten in contact kunnen komen met de FG. De FG krijgt alle verzoeken binnen en coördineert de beantwoording.
Voorwaarden: • Onafhankelijke positie: De onafhankelijkheid is vastgelegd in de wet: de AVG geeft in artikel 38 sub 3 aan dat de FG geen instructies ontvangt over de uitvoering van zijn taken. • Hij brengt rechtstreeks verslag (jaarlijks) uit aan het college van burgemeester en wethouders. Hij kan niet én verantwoordelijk zijn voor het bedenken en uitvoeren van compliance activiteiten én onafhankelijk toezicht houden op die uitvoering.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
30
• •
• • •
• •
Omdat de FG direct aan het college van burgemeester en wethouders rapporteert is deze, anders dan Chief Information Security Officer (CISO) en PO, onafhankelijk ten opzichte van de rest van de gemeente en haar verwerkers. De FG kan andere taken en plichten vervullen. De verwerkingsverantwoordelijke of de verwerker zorgt ervoor dat deze taken of plichten niet tot een belangenconflict leiden. Dat wil zeggen dat: o De FG geen rollen kan vervullen waarbij de FG doelen en middelen van verwerkingen bepaalt. o De FG geen verantwoordelijkheid kan nemen voor de naleving van de AVG en/ of de Wpg. Dat betekent -mede- dat de FG geen uitvoerende rol heeft, onder het mom van ‘de slager keurt niet zijn eigen vlees’. o Het betekent ook dat de verantwoordelijkheid voor de correcte naleving bij de verantwoordelijke teammanagers ligt en de ambtelijke eindverantwoordelijkheid bij de gemeentesecretaris/ algemeen directeur voor het geheel en de domein directeuren voor het eigen domein. De uiteindelijk bestuurlijke eindverantwoordelijkheid ligt bij het college van burgemeester en wethouders. De FG wordt regelmatig uitgenodigd om vergaderingen van de directie en de teammanagers bij te wonen, zeker wanneer beslissingen worden genomen die gevolgen hebben voor de Privacy.
Het is belangrijk dat de FG als een gesprekspartner binnen de organisatie wordt gezien en dat hij/zij deel uitmaakt van de relevante werkgroepen die zich met gegevensverwerking binnen de organisatie bezighouden. De organisatie moet zorgen dat de FG "naar behoren en tijdig (lees: zo vroeg mogelijk) wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens". Het is in ieder geval verplicht om dit bij de volgende aangelegenheden te doen: bij de uitvoering van een DPIA moet altijd verplicht advies worden gevraagd aan de FG. Daarnaast moet de FG meteen geconsulteerd worden zodra zich een beveiligingsincident voordoet dat leidt of kan leiden tot een datalek. Alle relevante informatie moet tijdig aan de FG worden bezorgd, zodat hij passend advies kan geven. De mening van de FG wordt naar behoren in overweging genomen. Bij onenigheid is het een goede praktijk om de redenen voor het niet volgen van het advies van de FG duidelijk te motiveren en dit vast te leggen.
5. Privacy Officer (PO)
De PO is verantwoordelijk voor het vormgeven, bewaken en -deels- uitvoeren van het privacybeleid binnen de gemeente. Daarnaast kan de PO ondersteunen bij het in kaart brengen van de risico’s door bijvoorbeeld een Data Protection Impact Assessment (DPIA) uit te laten voeren. Ook speelt de PO een belangrijke rol op de werkvloer, zo heeft hij net als de CISO een adviserende rol richting de vakinhoudelijke teams en kan hij vragen beantwoorden zoals: “hoe moeten we deze gegevens delen?”; “Aan welke regels moeten we ons houden?”; “Welke maatregelen moeten we de externe partij opleggen?”. De PO heeft ook een belangrijke rol in het creëren van bewustwording en het (laten) verzorgen van trainingen. De Privacy Officer is niet per definitie een juridische specialist, voor complexe en/of specifieke juridische vraagstukken kan deze eventueel een beroep doen op de juridisch adviseurs binnen de organisatie.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
31
Samenwerking met de FG In tegenstelling tot de FG, (die de vertegenwoordiger is van het belang van de betrokkene), moet de Privacy Officer daarentegen samenwerken met de ‘business’ om een werkbaar compromis voor elkaar te krijgen tussen de belangen van de verwerkingsverantwoordelijke en de belangen van de betrokkene. De FG en de PO zijn uiteraard bondgenoten, omdat zij een gezamenlijk doel hebben voor de organisatie: AVG-compliance en een goede bescherming van de persoonlijke levenssfeer van betrokkenen. Taken van de PO: • Verantwoordelijk voor privacy gerelateerd concernbeleid en documentatie (beleid, reglementen, onderwijs- en communicatieplan, factsheets), inclusief beoordelen domein en team specifieke reglementen en beleid, o.a. gedragscodes. • Zorgen voor privacy bewustwording en bewustzijn (onderwijs, kennissessies, trainingen en communicatie). • Bewaken voortgang data-inventarisaties, risicoanalyses en DPIA’s. Adviseren en vragen beantwoorden, zodat de lijnverantwoordelijken de juiste input kunnen leveren voor deze privacy-producten. • Beantwoordt ad hoc vragen. • Behandelt de inzage-, correctie- en verwijderingsverzoeken van inwoners. • Adviseert de diverse domeinen en teams. • Begeleidt de diverse domeinen en teams en Privacy Ambassadeurs bij het uitvoeren van hun data-inventarisaties, DPIA’s en risicoanalyses. • Coördinerende rol richting de Privacy Ambassadeurs.
• Opzetten regulier overleg (voor kennisdeling en verantwoording over voortgang) tussen de Privacy Ambassadeurs en de PO. Maandelijks (desgewenst vaker) worden de FG en de CISO hierbij uitgenodigd. • Beoordeelt convenanten en verwerkersovereenkomsten. • Driewekelijks voortgangsoverleg met de CIO, de CISO en FG. • Periodiek voortgangsoverleg met de teammanager en de directeur Bedrijfsvoering en dienstverlening. Voorwaarden: • Een zekere mate van ondersteuning bij het maken van afspraken en het inplannen van trainingen. • Een budget waarmee met name het bewustwordingsplan gefinancierd kan worden. Uiteraard moet dat plan dan wel goedgekeurd worden door de directeur Bedrijfsvoering en Dienstverlening. • Voldoende borging dat de Privacy Ambassadeurs de ruimte krijgen om samen te werken met de PO om deeltaken op te pakken. Ieder domein/ team is namelijk zelf verantwoordelijk voor het AVG en Wpg compliant krijgen van (het eigen onderdeel van) de organisatie.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
32
6. Privacy ambassadeurs (PA) Het is belangrijk dat er in de 3 domeinen plus in het team Concerncontrol, mensen zijn die de ogen en oren van de centrale Privacy Officer kunnen zijn. Zij kunnen de eenvoudige vragen beantwoorden en zij kunnen in een vroeg stadium signaleren wanneer er privacy vraagstukken opspelen. Daarnaast hebben zij een rol om het privacy- en informatiebewustzijn van collega’s te vergroten. Zij moeten hier wel voor worden toegerust. Dat betekent naast tijd ook aandacht en opleiding. Dat wil zeggen dat het nodig is om een netwerk te creëren waarin deze mensen elkaar regelmatig ontmoeten om ervaringen te delen en vragen te stellen. De PA biedt advies en ondersteuning vanuit de teams aan de organisatie op het gebied van privacy en gegevensbescherming, en werkt nauw samen met de PO. De PA is meewerkend voorman en ondersteunt de vakinhoudelijke teams en teammanagers bij de naleving van de AVG en andere privacywetgeving. Taken van de PA: • Advies en ondersteuning: adviseert teams en teammanagers op het gebied van privacy en de AVG, en beantwoordt (ad hoc) vragen van collega’s. • Data-inventarisaties en DPIA's: ondersteunt bij data-inventarisaties, risicoanalyses en Data Protection Impact Assessments (DPIA's). • Privacy bewustzijn: zorgt voor privacy bewustwording binnen de organisatie door middel van trainingen en communicatie.
• Verzoekbehandeling: behandelt inzage-, correctie- en verwijderingsverzoeken van inwoners. • Verwerkersovereenkomsten: beoordeelt en stelt verwerkersovereenkomsten op, op basis van het bestaande model, en zorgt voor naleving hiervan. • Datalekbeheer: verantwoordelijk voor de afhandeling van datalekken en andere privacyincidenten. Deze verantwoordelijkheden zorgen ervoor dat de PA dicht bij de operationele werkzaamheden staat en speelt daarmee een belangrijke rol in het ondersteunen van de naleving van de AVG en andere privacywetgeving binnen het domein/ team, en draagt daardoor direct bij aan de bescherming van persoonsgegevens. De PA is ook aan te spreken door de Privacy Officer op de taken die ze op het privacygebied uitvoeren. Maar zitten functioneel in de lijn, dus leggen verantwoording af aan hun specifieke domein Directeur. Dus: • Privacy ambassadeur domein Bedrijfsvoering en Dienstverlening • Privacy ambassadeur domein Ruimte en Economie • Privacy ambassadeur domein Sociaal Domein • Privacy ambassadeur team Concerncontrol
7. Chief Information Security Officer (CISO)
De CISO moet het complete spectrum aan informatiebeveiliging overzien en coördineren. De CISO heeft een organisatie-brede kijk op beveiliging. Doel van de functie is het, op basis van de algemeen aanvaarde standaard (de BIO), zorgdragen voor een samenhangend pakket van technische en organisatorische maatregelen ter waarborging van de vertrouwelijkheid, integriteit en beschikbaarheid van de informatie binnen de gemeente. Risicoanalyses, oog voor de bedrijfsvoering en inachtneming van de wettelijke voorschriften zijn daarbij sleutelbegrippen. Voor een gedetailleerde beschrijving van de CISO rol, taken, verantwoordelijkheden en positionering in de informatiebeveiliging, zie de ‘Governance van de Informatiebeveiliging 2024’.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
33
8. Overige rollen en verantwoordelijkheden Team Juridische Zaken
Betrokkenheid Algemeen adviseren op juridisch gebied en eventueel adviseren bij privacy-gerelateerde vraagstukken.
Communicatie
In alle gevallen waarbij communicatie (intern en extern) een rol speelt worden de communicatie-adviseurs betrokken. Toetst het goed en betrouwbaar functioneren van de gehele interne organisatie. Inrichten van de informatievoorziening (de beoordeling van welke functionaliteit en welke data in op welke wijze / in welk systeem verwerkt kan / moet worden). Faciliteert en ontwikkelt leermethodes/ materiaal/ workshops/ trainingen.
Audit / concern control Informatiemanagement PenO: Leren en ontwikkelen
Privacybeleid gemeente Zutphen 2025
Versie 2.2
34
Bijlage 3: Wet- en regelgeving 1. Grondwet artikelen 10 en 13 In artikel 10 van de Grondwet staat dat iedereen het recht heeft om in de beslotenheid van zijn persoonlijke levenssfeer met rust te worden gelaten en om bijvoorbeeld niet te worden afgeluisterd. De persoonlijke levenssfeer omvat onder meer: • het huis • de briefwisseling • de communicatie via telefoon en andere communicatiemiddelen • het recht om niet te worden bespied of afgeluisterd • het recht op zorgvuldige behandeling van persoonlijke gegevens • het recht op eerbiediging van het innerlijk leven • het recht op eerbiediging van de lichamelijke integriteit De wet kan in bepaalde gevallen dit recht beperken, bijvoorbeeld bij de opsporing van misdaden. Ook maakt de wetgever regels voor het gebruik van privacygevoelige gegevens. Artikel 13 van de Grondwet omschrijft wat onder het briefgeheim verstaan wordt. Het vormt samen met de artikelen 10, 11 en 12 van de Grondwet, wat je bij wijze van spreken de 'harde kern' van onze grondrechten zou kunnen noemen. Van deze vier is artikel 10 een soort kapstokartikel. Het artikel is zo geformuleerd dat het in de praktijk mogelijk maakt om op nieuwe ontwikkelingen in te spelen. Denk aan mobiele telefoons, internet, cameratoezicht en het mogen fouilleren van inwoners.
2. Europees Verdrag tot bescherming van de rechten van de mens In artikel 8 van het Europees Verdrag tot Bescherming van de Rechten van de Mens (EVRM) wordt (vergelijkbaar met artikel 10 van de Grondwet) het Recht op eerbiediging van privé-, familie- en gezinsleven beschreven. 1. Een ieder heeft het recht op respect voor zijn privé leven, zijn familie- en gezinsleven, zijn woning en zijn correspondentie. 2. Geen inmenging van enig openbaar gezag is toegestaan in de uitoefening van dit recht, dan voor zover bij wet is voorzien en in een democratische samenleving noodzakelijk is in het belang van de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land, het voorkomen van wanordelijkheden en strafbare feiten, de bescherming van de gezondheid of de goede zeden of voor de bescherming van de rechten en vrijheden van anderen. Artikel 8 van het EVRM is ook van toepassing op digitale gegevens die inzicht geven in privé leven, zoals bestanden op computers, smartphones en gegevensdragers.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
35
3. Algemene Verordening Gegevensbescherming De Algemene Verordening Gegevensbescherming (AVG) is al van kracht sinds 2016. Sinds 25 mei 2018 geldt de AVG in de plaats van de Wet bescherming persoonsgegevens (Wbp). In beginsel zijn 'de eisen voor verwerking van persoonsgegevens' niet veranderd. De verwerking moet proportioneel en niet eenvoudiger op andere wijze uitvoerbaar zijn. Iedere verwerkingsverantwoordelijke moet beschrijven waarom en hoe de gegevens worden verwerkt. Betrokkenen moeten, net als onder de Wbp, op de hoogte gesteld worden. De boetes bij het niet naleven zijn hoog en kunnen oplopen tot 20 miljoen euro. Zulke hoge boetes worden echter enkel opgelegd als de organisatie ernstig in gebreke is gebleven. AVG en Archiefwet Hoe in de praktijk van alledag om te gaan met AVG in samenhang met de Archiefwet. Anders dan vaak wordt gedacht, spreken Archiefwet en AVG elkaar niet tegen, maar zijn ze prima met elkaar te combineren. Belangrijk is hierbij dat er een intensieve samenwerking is tussen deskundigen op het gebied van privacy en die op het gebied van de Archiefwet. Alleen dan kan het beschermen van persoonsgegevens samengaan met belangen als authenticiteit en integriteit van informatie, goede bedrijfsvoering en geheugenfunctie volgens de Archiefwet. Sterker nog: een goede uitvoering van de AVG kan niet zonder ook de Archiefwet goed uit te voeren en andersom.
Wat regelt de AVG Wie is er binnen de gemeente verantwoordelijk voor de uitvoering van de AVG? Hoe kan de gemeenteraad controle uitoefenen op de gegevensbescherming binnen de gemeente? De AVG is een set open normen en heeft 2 doelen:
• •
Het mogelijk maken van het vrije verkeer van persoonsgegevens binnen de EU De bescherming van persoonsgegevens
Daarom moet het gemeentebestuur bij het verwerken van persoonsgegevens voortdurend een afweging maken tussen de belangen van de personen van wie de gemeente persoonsgegevens verwerkt (betrokkenen) en de belangen van het gemeentebestuur (het uitvoeren van gemeentelijke taken). Bij het verwerken van persoonsgegevens moet de gemeente zich dus de hele tijd de vraag stellen: wat is onze taak, wat is het doel, is er een grondslag en is er een noodzaak? Het gemeentebestuur is op grond van de AVG verplicht om verantwoording af te leggen over de verwerking van persoonsgegevens: welke maatregelen heeft de gemeente genomen om de gegevens van de betrokkenen te beschermen? Het gemeentebestuur moet ook transparant zijn over welke persoonsgegevens ze verwerkt en waarom. Ter ondersteuning van de verantwoordingsplicht heeft de AVG een aantal (verplicht voorgeschreven) instrumenten: • • • • • •
het opzetten en bijhouden van een Register van Verwerking het uitvoeren van DPIA’s het toepassen van Privacy by Design/Default principe het zorgen voor een effectieve informatiebeveiliging de verplichting om datalekken te melden het aanwijzen van een Functionaris Gegevensbescherming
Privacybeleid gemeente Zutphen 2025
Versie 2.2
36
Daarnaast hebben inwoners op grond van de AVG rechten, zoals: • Het recht op inzage • Het recht op rectificatie en aanvulling • Het recht op vergetelheid • Het recht op dataportabiliteit (ook wel gegevensoverdraagbaarheid) • Het recht op beperking van de verwerking • Het recht om bezwaar te maken Het invoeren van de hiervoor genoemde instrumenten gebeurt - in de ideale situatie - in de vorm van een proces waarbij de hele ambtelijke organisatie wordt betrokken (een situatie waarin alleen een FG of team Informatisering en Automatisering/ Informatiemanagement met de implementatie bezig is, is verre van ideaal). Het hele proces is in feite een privacy bewustwordingsproces. Wat daarbij belangrijk om te weten is, dat de maatregelen die elke gemeente hoort te nemen risicogebaseerd zijn: hoe groter de privacyrisico’s (de kans dat de gemeente een verwerking niet transparant, onbehoorlijk of onrechtmatig uitvoert), hoe meer maatregelen de AVG van de gemeente verwacht om zo de risico’s voor de betrokkenen terug te brengen tot een aanvaardbaar niveau. Het borgen van privacy is zodoende een continu proces. Het gaat niet om het eenmalig treffen van een aantal privacymaatregelen. Verwerkingen van gegevens, doelgroepen, technische mogelijkheden, privacyregels, en maatschappelijke opvattingen kunnen veranderen.
De effectiviteit van de maatregelen moet daarom regelmatig worden beoordeeld en waar nodig aangepast.
4. Uitvoeringswet van de Algemene Verordening Gegevensbescherming (UAVG) Lidstaten van de EU hebben op bepaalde punten ruimte gekregen om (meer specifieke) nationale wetgeving aan te nemen en de UAVG regelt dit. Daarnaast wordt de AP middels de UAVG opgericht. Reikwijdte UAVG De Nederlandse wetgever heeft in de UAVG bepaald dat deze van toepassing is op organisaties die een vestiging hebben in Nederland en op organisaties die geen vestiging in de Europese Unie hebben, maar hier wel diensten en goederen aanbieden. Het gevolg hiervan is dat er mogelijk toch verschillende UAVG’s van toepassing zijn op dezelfde verwerking door een organisatie. Dit terwijl het voorkomen van een lappendeken een van de belangrijkste speerpunten van de AVG was. Bijzondere persoonsgegevens Naast de uitzonderingen op het algemene verbod om bijzondere persoonsgegevens te verwerken in de AVG, biedt het wel de mogelijkheid om in het kader van het algemeen belang nadere wetgeving te kunnen aannemen. De Nederlandse wetgever maakt hier ruim gebruik van in artikelen 22 – 30 UAVG. In de praktijk betekent dit dat de uitzonderingen in de oude Wet bescherming persoonsgegevens (Wbp) grotendeels ongewijzigd zijn overgenomen. Ook voor strafrechtelijke gegevens heeft de Nederlandse wetgever de huidige uitzonderingen gehandhaafd in de UAVG.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
37
Toestemming wettelijk vertegenwoordiger vereist Volgens artikel 5 UAVG is in plaats van toestemming van de betrokkene toestemming van zijn wettelijk vertegenwoordiger vereist indien de betrokkene de leeftijd van zestien jaren nog niet heeft bereikt.
5. Wpg en Wjsg Naast de AVG hebben onze Boa’s, maar soms ook de medewerkers binnen het Sociaal domein te maken met de Wet politiegegevens (Wpg) en de Wet justitiële en strafvorderlijke gegevens (Wjsg). Deze wetten vloeien voort uit de Europese Richtlijn gegevensbescherming bij rechtshandhaving. Aan welke privacywet Boa’s en de medewerkers binnen het Sociaal domein zich bij hun werk moeten houden, hangt af van de taak die ze uitvoeren. Bij specifieke taken voor opsporing en vervolging moeten boa’s zich aan de Wpg houden. Deze wetten gelden ook bij: • het uitvoeren van opgelegde straffen; • taken om de openbare veiligheid te bewaken; • taken om strafbare feiten te voorkomen. Bij andere taken van politie en justitie is de AVG van toepassing. Bijvoorbeeld bij de verwerking van persoonsgegevens van het eigen personeel. Medewerkers binnen het Sociaal domein van de gemeente kunnen, onder bepaalde voorwaarden (zoals een wettelijke grondslag), ook justitiële en strafvorderlijke gegevens verwerken bij aanvraag en/ of handhaving van een uitkering. Voor gegevens die onder de Wjsg of de Wpg worden verwerkt, gelden andere regels dan onder de AVG het geval zou zijn geweest. Bijvoorbeeld andere bewaartermijnen, of andere eisen die gelden bij het onderling delen van gegevens.
Het is daarom van belang dat de gegevensverwerkingen die onder de Wjsg of de Wpg vallen, andere kenmerken krijgen dan de gegevensverwerkingen die onder de AVG vallen. Om vast te kunnen stellen dat de gemeente dit bij de verwerkingen conform de wettelijke eisen hebben toegepast, wordt de audit Wet politiegegevens uitgevoerd. Auditing voor de Wpg Conform de Wpg dient ‘de verwerkingsverantwoordelijke’ (dit is meestal de werkgever) twee jaren na inwerkingtreding van de wet en vervolgens eenmaal in de vier jaren een externe privacy audit uit te voeren. Nieuw vanaf september 2024 is dat nu de hercontrole op basis van de Regeling Periodieke Audits plaats moet vinden binnen één jaar na rapportdatum van de externe audit. Over de 1e helft van dit jaar blijft de hercontrole beperkt tot het beoordelen van de opzet en het bestaan. Echter, gedurende de 2e helft van dit jaar wordt niet alleen de opzet en het bestaan maar ook de effectieve werking van de beheersingsmaatregelen voortaan beoordeeld bij die beheersingsmaatregelen die bij de externe audit 2024 als ‘voldoet niet’ of ‘voldoet deels’ zijn beoordeeld; die interne audit is te vergelijken met een zelfevaluatie.
De interne audit (opzet, bestaan en werking) heeft betrekking op enkele onderdelen van de wet en heeft tot doel voor het onderdeel of de onderdelen van de wet waar de interne audit zich op richt, op systematische wijze te toetsen of aan de bepalingen van de wet op adequate wijze uitvoering is gegeven.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
38
Welke rollen zijn er bij het uitvoeren van de interne audit? Hieronder volgt een overzicht van de verschillende rollen, wie die (kunnen) vervullen en wat de daarbij behorende taken zijn. Per gemeente kan het verschillen door wie de interne audit in de praktijk wordt uitgevoerd. Er moet worden gezorgd voor een helder auditplan, waarin is vastgelegd wanneer wordt gestart met de (voorbereidingen op) de verschillende audits, wie daarvoor het initiatief neemt/ nemen, wie de audit uitvoeren, wie op de uitvoering toeziet, wat de doorlooptijd is en hoe de benodigde informatie (beveiligd) wordt opgeslagen. Hierin worden zowel de jaarlijkse interne audit, als de vierjaarlijkse externe audit verwerkt. Rol Naam Verwerkingsverantwoordelijke Werkgever van de boa (College van burgemeester en wethouders) Opdrachtgever Portefeuillehouder
Taken/verantwoordelijkheden
Gedelegeerd opdrachtgever
Gemeentesecretaris/ domein directeuren/ teammanagers
• Is ambtelijk verantwoordelijk voor de uitvoering van de audit • Stuurt coördinator aan
Opdrachtnemer, coördinator
Projectleider
• Zorgt voor dagelijkse uitvoering van de audit
Domeindeskundigen
PO / PA / Informatiebeveiliger/ FG / CISO / Buitengewoon opsporingsambtenaren
• Leveren advies voor het invullen van de vragenlijst
Privacybeleid gemeente Zutphen 2025
Versie 2.2
• Verantwoordelijkheid voor het voldoen aan de wettelijke vereisten • Bestuurlijk eindverantwoordelijk voor het audit proces • Zorgt voor eventuele financiële middelen voor de uitvoering van het audit proces • Bewaakt de voortgang van het audit proces op strategisch niveau
39
Het verschil tussen de interne en de externe audit De jaarlijkse interne audit heeft betrekking op één dan wel een aantal onderdelen van de wet. De interne audit heeft tot doel voor het onderdeel of de onderdelen van de wet waar de interne audit zich op richt, op systematische wijze te toetsen of aan de bepalingen van de wet op adequate wijze uitvoering is gegeven. Denk bijvoorbeeld aan de verschillende domeinen waarbinnen politiegegevens voor de opsporingstaak verwerkt kunnen worden, maar ook aan verschillende applicaties die daarvoor worden ingezet. Voor een algemeen overzicht van processen die in aanmerking komen voor de audit wordt verwezen naar bijlage 5 bij het Privacybeleid gemeente Zutphen 2024. Vervolgens vindt een beoordeling plaats van de volgende aspecten binnen de organisatie: • Opzet: De opzet van beheersmaatregelen staat voor ontwerp, bijvoorbeeld te vinden in beleid, zoals informatiebeveiligingsbeleid, privacybeleid, een business case of een projectplan. Als het ontwerp aanwezig is, blijkt dat er een afgewogen keuze is gemaakt. De auditor zal het ontwerp bijvoorbeeld toetsen aan volledigheid. Omdat er van het ontwerp verwacht wordt dat het een formele positie heeft binnen de organisatie (het geeft de kaders voor het treffen en toetsen van de maatregelen) zal er verwacht worden dat het een formele aftekening of goedkeuring heeft gekregen.
Denk hierbij aan de handtekening van een directie of MT, of een vastlegging van accordering in een formeel overleg. • Bestaan: Het bestaan zegt zoveel als dat de maatregelen feitelijk zijn getroffen. Voor feitelijke maatregelen (het ophangen en aanzetten van brandmelders) is dat eenvoudig vast te stellen. Voorbeelden van bestaan bij minder concrete maatregelen zijn hoe het ontwerp (de opzet) zich heeft vertaald in procedures, processen en werkwijzen. • Werking: De werking gaat over de effectiviteit van de getroffen maatregelen. Doen deze wel hoe ze bedoeld zijn? Hierbij wordt het ontwerp naast de getroffen maatregel gelegd en wordt het effect getoetst. Als voorbeeld: in het ontwerp staat dat er in iedere ruimte een rookmelder is geplaatst, vanwege een wettelijke plicht. Het ontwerp is gelezen en blijkt volledig. Check. Dan is er een rondgang in het gebouw en in de genoemde ruimten is er een rookmelder aanwezig. Maar dan weten we nog niet of ze het ook feitelijk doen. In dit (korte) voorbeeld zijn zowel opzet als bestaan getoetst. Als de rookmelders getest worden en ze gaan af op het juiste moment (zoals beschreven in het ontwerp, wat getoetst was), dan is ook de werking vastgesteld. Maak bij het uitvoeren van de interne audit gebruik van reeds opgestelde documenten, zoals DPIA’s, het Register van Verwerking, eerder uitgevoerde audits zoals de ENSIA en werkinstructies.
De bevindingen en aanbevelingen worden in een rapportage opgenomen en verstrekt aan de intern verantwoordelijke(n). De vierjaarlijkse externe audit bestaat uit toetsing op alle onderwerpen. De rapportage die hieruit voortvloeit moet worden verstrekt aan de Autoriteit Persoonsgegevens. Als er tekortkomingen zijn geconstateerd moet 3 maanden na het uitvoeren van de audit een verbeterrapport worden opgesteld, waarop binnen een jaar een hercontrole plaatsvindt. De hercontrole geldt alleen voor die onderdelen van de wet waar de tekortkomingen geconstateerd worden. De resultaten van de hercontrole worden vastgelegd in een rapportage en eveneens verstrekt aan de Autoriteit Persoonsgegevens (uiterlijk 1 jaar na het uitvoeren van de externe audit). Voor het uitvoeren van de externe audit (een volledige audit op opzet, bestaan en werking) wordt ook verwezen naar de NOREA Handreiking ‘Privacy audit Wpg voor boa’s’ (versie 3 september 2024).
Privacybeleid gemeente Zutphen 2025
Versie 2.2
40
Niet iedereen kan/ mag zomaar de interne audit uitvoeren. Een interne auditor moet voldoen aan de volgende eisen: • De interne auditor stelt zich onafhankelijk op ten opzichte van de auditee; • De interne auditor beschikt over voldoende kennis en vaardigheden op het gebied van: • geautomatiseerde informatiesystemen en methoden en technieken rond IT auditing; • de Boa-organisatie; • de informatievoorziening en processen van verwerking van politiegegevens; • de vigerende wet- en regelgeving, in het bijzonder de Wet politiegegevens, het Besluit politiegegevens en de Algemene Verordening Gegevensbescherming en Uitvoeringswet Algemene Verordening Gegevensbescherming. Beschikt de gemeente niet over iemand die voldoet aan bovenstaande eisen? Dan zal bij het uitvoeren van de audits mogelijk een externe auditor ingeschakeld moeten worden. In theorie zou het inschakelen van een auditor die in dienst is van een dienstverleningsorganisatie in een samenwerkingsverband van gemeenten ook mogelijk moeten zijn.
6. Aankomende wet- en regelgeving voor gemeenten
Voor een uitgebreid overzicht van aankomende wet- en regelgeving voor gemeenten, zie bijlage 4.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
41
Bijlage 4: Aankomende wet- en regelgeving De digitale ontwikkeling is binnen onze samenleving niet meer weg te denken. Digitale technologieën en de integratie van data en informatie raken alle aspecten van gemeentelijk bestuur. Deze ontwikkeling heeft ervoor gezorgd dat de EU een datastrategie heeft geformuleerd met als gevolg dat er veel nieuwe wetgeving op gemeenten afkomt. Tot en met 2026 zullen er in totaal 14 nieuwe wetten van kracht worden op het gebied van digitalisering. Gemeenten hebben een rijke bron aan persoonsgegevens die van belang zijn voor openbare diensten, stadsplanning en beleidsvorming. Gemeenten interacteren met inwoners op vele digitale fronten en zijn een centraal punt binnen onze samenleving. Het is dan ook cruciaal dat gemeenten de nieuwe regels in scope hebben voor de interne organisatie en de impact die dit met zich meebrengt voor organisaties waarmee zij samenwerken. Aansluitend dienen de nieuwe regels geïmplementeerd te worden en dient hierop een aantoonbaar controlemechanisme ingericht te zijn. De Digital Decade biedt gemeenten de kans om te transformeren om zo hun dienstverlening te moderniseren, de betrokkenheid van inwoners te vergroten teneinde vertrouwen te realiseren en innovatie te omarmen. Hierdoor kunnen gemeenten de uitdagingen van de 21e eeuw aangaan waar (online)privacy en ethiek cruciaal zijn.
De verplichtingen uit de Digital Decade geven antwoord op de uitdagende digitale veranderde wereld waar innovatie, data privacy en inwoners centraal staan. Deze ontwikkelingen zijn groots en staan garant voor vele veranderingen. Met de juiste aanpak en implementatie van de Digital Decade komt de gemeente op een hoger niveau van digitale weerbaarheid.
1. ePrivacy Verordening De ePrivacy Verordening staat op het punt een cruciale rol te spelen in het beschermen van de privacy van inwoners en het reguleren van elektronische communicatie binnen gemeenten en andere organisaties. Deze nieuwe verordening is de opvolger van de huidige ePrivacy richtlijn en een aanvulling op de Algemene Verordening Gegevensbescherming (AVG). De verordening richt zich op het reguleren van onder andere cookies, vertrouwelijkheid van elektronische communicatie, spam en marketing communicatie. De ePrivacy Verordening zal in de loop van het jaar 2024 of 2025 van kracht worden. Momenteel is deze nog in ontwikkeling. De verplichtingen op een rij (dit kan inhoudelijk nog gewijzigd worden): •
•
Toestemming voor cookies: websites dienen toestemming te ontvangen van gebruikers voordat zij niet-essentiële cookies plaatsen of toegang krijgen tot informatie die al is opgeslagen op de apparaten van gebruikers. Een cookiemuur (cookiewall) waarin geen vrije keuze gemaakt kan worden door de betrokkene, is niet toegestaan. De cookiebanner, waarin toestemming wordt gevraagd, zijn aan voorwaarden verbonden zoals het opsplitsen van functionele cookies en andere cookies zoals marketing en analytische. Vertrouwelijkheid van elektronische communicatie: elektronische communicatie, zoals e-mail en chatberichten, moet vertrouwelijk blijven en mag niet onrechtmatig worden onderschept of afgeluisterd.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
42
•
•
•
•
•
•
•
•
Spam bescherming: ongevraagde commerciële communicatie (spam) zal worden voorkomen door opgestelde anti-spamregels, dit helpt de mailboxen van zowel gemeenteambtenaren als inwoners vrij te houden van ongewenste berichten. Recht op privacy van telecommunicatie: informatie uit elektronische communicatie zoals e-mail berichten, WhatsApp berichten, video calls, sms berichten, bezochte websites en locatiegegevens mag alleen gebruikt worden voor een noodzakelijk doel. Anders dient er toestemming te zijn van de betrokkene om de privacy te beschermen. Toestemming voor direct marketing: het is van belang dat gemeenten voorafgaand aan het gebruik van elektronische communicatie voor direct marketing doeleinden toestemming hiervoor hebben ontvangen van de betrokkene. Datalekken: wanneer er sprake is van een inbreuk op persoonsgegevens (een datalek) met mogelijke gevolgen voor de betrokkene, dan is het noodzakelijk dat dit incident wordt geregistreerd en gemeld bij de Autoriteit Persoonsgegevens (AP) en in sommige gevallen ook wordt gemeld aan de betrokkenen. Geheimhoudingsplicht voor communicatieproviders: telecommunicatieproviders zijn verplicht om de vertrouwelijkheid van de communicatie te waarborgen en mogen de informatie via de communicatie kanalen niet onrechtmatig verwerken.
Bescherming van locatiegegevens: het verzamelen en verwerken van locatiegegevens van gebruikers mag niet zomaar en vereist doorgaans de toestemming van de betrokkene. Opt-in voor telemarketing: betrokkenen dienen zich actief aan te melden voor telemarketing gesprekken en moet de mogelijkheid worden geboden om zich af te melden. Beveiligingsmaatregelen: om de beveiliging van elektronische communicatiesystemen te kunnen waarborgen, is het van belang dat telecommunicatieproviders passende technische en organisatorische maatregelen nemen.
2. Cyber Security Act De Cyber Security Act heeft als doel om cyberbeveiliging in Europa te versterken en de digitale weerbaarheid te verbeteren. Hierdoor draagt het bij aan de bescherming van digitale systemen en persoonsgegevens op alle bestuursniveaus, inclusief de gemeentelijke overheden. Deze wet, oftewel de Cyberbeveiligingsverordening, is sinds 2019 van kracht en in april 2022 heeft de Europese upgrade plaatsgevonden. Gemeenten zullen mogelijk hun beleid en aanbieders inzake cyberbeveiliging moeten herzien en upgraden om aan de nieuwe vereisten te voldoen om zo de digitale infrastructuur van hun gemeente te beschermen tegen cyberdreigingen. De belangrijkste verplichtingen op een rij: •
•
Meldingsplicht: de autoriteiten verplichten gemeenten om ernstige cybersecurity incidenten te melden zodat zij dit op hun beurt kunnen delen met het Europees Agentschap voor netwerk- en informatiebeveiliging (ENISA). Dit zal bijdragen aan de identificatie en aanpak van grootschalige cyberdreigingen. Risicobeoordeling: het regelmatig uitvoeren van risicobeoordelingen is een vereiste om kwetsbaarheden in digitale systemen te identificeren en passende maatregelen te treffen om deze risico’s te verminderen.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
43
•
•
•
•
•
•
• •
Bescherming van kritieke diensten: gemeentelijke digitale diensten die als kritiek worden beschouwd vereisen dat er specifieke beveiligingsmaatregelen worden geïmplementeerd. Daarnaast hebben zij een meldingsplicht voor incidenten waarbij er sprake is van impact op de beschikbaarheid en integriteit van deze diensten. Certificering van beveiligingsmaatregelen: om aan te tonen dat de digitale diensten voldoen aan bepaalde beveiligingsnormen kunnen gemeenten de diensten laten certificeren. Beveiligingsmaatregelen: de wet vereist specifieke technische en organisatorische beveiligingsmaatregelen, zoals het gebruik van firewalls, antivirussoftware, toegangscontrolemechanismen en versleuteling. Samenwerking en informatie-uitwisseling: het wordt aangeraden om samen te werken met andere overheden, instanties of organisaties om informatie over cyberdreigingen en -incidenten te delen, zodat er gezamenlijk actie kan worden ondernomen op beveiligingsuitdagingen. Continuïteitsplanning: het ontwikkelen van plannen voor bedrijfscontinuïteit en incidentrespons is een vereiste, zodat de gemeentelijke dienstverlening kan worden voortgezet in geval van een cyberaanval en niet geheel stil komt te liggen.
Gegevensbescherming: het is van belang dat de bescherming van persoonsgegevens wordt gewaarborgd in overeenstemming met de relevante privacywetten zoals de Algemene Verordening Gegevensbescherming (AVG). Training en bewustwording: het is vereist om medewerkers op te leiden en daarbij bewustwording te creëren over cybersecurity en procedures voor incidentrespons. Gegevensretentie en archivering: het is van belang om een beleid te implementeren voor gegevensretentie en -archivering voor onderzoek en analyse over beveiligingsincidenten.
3. Network & Information Systems (NIS) Directive 2 Deze richtlijn heeft als doel de beveiliging van netwerk- en informatiesystemen binnen de EUlidstaten te verbeteren en gaat over kritieke infrastructuursectoren en digitale dienstaanbieders. De vele datalekken en hacks laten zien dat de cyberdreiging flink is verhoogd waardoor de NISrichtlijn opnieuw is bekeken en een upgrade heeft gekregen. NIS Directive 2 geeft maatregelen om een hoog niveau van cyberbeveiliging te waarborgen. De deadline om aan de verplichtingen te voldoen is 17 oktober 2024. De belangrijkste verplichtingen op een rij: • •
•
•
Bestuurlijke verantwoordelijkheid: het bestuur van een organisatie dient cyberbeveiligingstrainingen te volgen en intern streng toezicht te houden. Beveiligingsmaatregelen: gemeenten zullen strengere beveiligingsmaatregelen moeten implementeren voor hun netwerk- en informatiesystemen. Ook zullen zij passende risicobeoordelingen en beveiligingsplannen opstellen. Minimale beveiligingseisen: gemeenten dienen minimaal te voldoen aan de basis beveiligingseisen zoals het beheer van risico’s van derden om zwakke schakels in de toeleveringsketen te elimineren. Security certificering: gemeenten dienen aan te tonen dat zij voldoen aan de minimale (cyber)beveiligingseisen aan de hand van een (cyber)beveiligingscertificaat.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
44
•
•
•
•
• •
Meldplicht voor beveiligingsincidenten: ernstige beveiligingsincidenten dienen binnen 24 uur gemeld te worden aan de nationale autoriteiten waardoor een betere coördinatie en respons op cyberincidenten mogelijk wordt. Security team: een Computer Security Incident Response Team (CSIRT) dient opgezet te worden zodat dit team hulp kan verlenen bij een dreiging of incident in het netwerken/ of informatiesysteem. Samenwerking en informatie-uitwisseling: een samenwerking en informatieuitwisseling tussen publieke en private organisaties zal ervoor moeten zorgen dat gemeenten meer betrokken kunnen worden bij bredere samenwerkingsinspanningen. Toezicht en handhaving: om ervoor te zorgen dat gemeenten voldoen aan de beveiligingsvereisten zullen zij worden onderworpen aan toezicht en handhaving. Zo zullen er security audits worden uitgevoerd, welke kunnen leiden tot boetes wanneer blijkt dat zij niet of onvoldoende voldoen aan de wet-en regelgeving. Boetes: organisaties die de regels niet naleven lopen het risico op het krijgen van een boete van minimaal 10 miljoen euro of 2% van de totale wereldwijde omzet. Ethische hackers: ethische hackers krijgen de gelegenheid om kwetsbaarheden in de netwerk- en informatiesystemen te vinden met het doel om deze kwetsbaarheden op te lossen.
4. Cyber Resilience Act (CRA) De Cyber Resilience Act is een cruciale wetgeving die specifiek gericht is om kosten van het afhandelen van cyberincidenten en reputatieschade te verlagen. Cyberdreigingen blijven stijgen en cybercriminelen worden steeds sluwer. Het doel van deze wet is om een “appropriate level of cybersecurity based on the risks” te hebben wat ook aansluit bij de AVG. De CRA verplicht dat fabrikanten van producten met digitale elementen ‘security by design’ dienen te hanteren. Dit betekent dat de beveiliging van de digitale producten op orde moet zijn, er een samenhangend cyberbeveiligingskader is en dat er transparante beveiligingskenmerken zijn zodat bedrijven en inwoners een veilig digitaal product kunnen gebruiken. De verwachting is dat deze wet eind 2024 van kracht wordt en dat iedereen zich hier vanaf 2027 aan moet houden. De belangrijkste verplichtingen voor gemeenten op een rij: • •
• • • •
Risicoanalyse: risicoanalyses dienen met regelmaat uitgevoerd te worden om de kwetsbaarheden en bedreigingen voor de gemeentelijke systemen te identificeren. Beleid en procedures: gemeenten dienen duidelijke beleidslijnen en procedures te ontwikkelen voor de bescherming van persoonsgegevens en systemen tegen cyberaanvallen inclusief handhaving. Cyberbeveiligingstraining: het is van belang dat medewerkers worden getraind over de basisprincipes van cyberbeveiliging, zodat zij ook bewust zijn wat het allemaal betekent. Netwerkbeveiliging: het is vereist om een firewall en intrusion detection systeem te hebben om ongeautoriseerde toegang te voorkomen. Gegevensversleuteling: gevoelige gegevens zullen moeten worden versleuteld om te voorkomen dat ze worden gestolen of worden gelekt. Incident responsplan: het opstellen van een gedetailleerd incident responsplan is een vereiste om snel te reageren op mogelijke cyberaanvallen.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
45
•
• • •
Patchbeheer: om bekende kwetsbaarheden te dichten is het van belang dat software en systemen tijdig worden bijgewerkt en updates worden uitgevoerd, dit om privacy risico’s zoals datalekken te beperken. Toegangscontrole: het beheer van toegangsrechten is cruciaal om ervoor te zorgen dat alleen geautoriseerd personeel toegang heeft tot bepaalde systemen en gegevens. Back-up en herstel: er dienen regelmatig back-ups van gegevens gemaakt te worden en de herstelprocedures dienen regelmatig getest te worden. Samenwerking en informatie-uitwisseling: het wordt aangeraden dat gemeenten samenwerken met andere overheidsinstanties en organisaties om informatie en best practices over cyberbeveiliging te delen. Ook is het raadzaam om samen te werken met experts in cyberbeveiliging om de organisatie te beschermen tegen cyberdreigingen.
5. Single Digital Gateway De Single Digital Gateway heeft als doel het creëren van één enkel digitaal portaal waar inwoners en bedrijven toegang kunnen krijgen tot informatie en diensten van overheidsinstanties in de hele Europese Unie. Het is in oktober 2018 aangenomen en vanaf eind 2023 van kracht. Voor gemeenten betekent dit dat ze de mogelijkheid hebben om informatie en diensten efficiënter en gebruiksvriendelijker aan te bieden aan hun inwoners en lokale organisaties. Hierdoor wordt bureaucratie verminderd met als gevolg een betere dienstverlening. Deze digitale transformatie is nodig zodat diensten bij gemeenten strakker digitaal worden ingericht en/ of worden geoptimaliseerd. De belangrijkste verplichtingen op een rij: •
•
• •
• •
• •
Informatieverplichting: het geven van accurate en actuele informatie over rechten, plichten en procedures die van belang zijn voor inwoners en organisaties is een vereiste voor overheidsinstanties. Toegang tot online formulieren: inwoners en organisaties zullen de mogelijkheid hebben om digitale formulieren in te kunnen vullen en te kunnen indienen voor administratieve procedures, vergunningen, aanvragen etc. Eenvoudige toegang tot regelgeving: alle relevante nationale en Europese wet- en regelgeving dient eenvoudig toegankelijk te zijn voor alle inwoners en organisaties. Contactmogelijkheden: overheidsinstanties dienen duidelijke contactgegevens en communicatiemogelijkheden aan te bieden wanneer inwoners of organisaties vragen hebben. Online dienstverlening: diensten die het aanvragen van documenten, vergunningen of certificaten mogelijk maken, zullen online beschikbaar worden gesteld. Informatie over deadlines en kosten: inwoners en organisaties zullen worden geïnformeerd over de geschatte kosten, verwerkingstijden en deadlines voor verschillende procedures. Beschikbaarheid in meerdere talen: informatie en diensten zullen in meerdere officiële Europese talen worden aangeboden om de toegankelijkheid te vergroten.
Informatie over klachtenprocedures: er zal informatie worden gedeeld over hoe inwoners en organisaties klachten kunnen indienen in het geval van een probleem of ontevredenheid.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
46
•
•
Elektronische identificatie en authenticatie: de elektronische identificatie en authenticatie die nodig is voor online transacties en dienstverlening wordt mogelijk gemaakt. Koppeling met andere overheidsinstanties: het faciliteren van gegevensuitwisseling met verschillende overheidsinstanties om de coördinatie en efficiëntie te verbeteren.
6. European Data Spaces De European Data Spaces is het speerpunt van de Europese data strategie die in 2020 is voorgesteld met als uitvoering meerdere wetten zoals de Data Governance Act, Data Act en Open Data Directive. De open data spaces biedt gemeenten de wettelijke ruimte om gegevens te delen, te innoveren en de kwaliteit van hun dienstverlening te verbeteren en te moderniseren. Het is van essentieel belang dat gemeenten zorgvuldig overwegen hoe ze hieraan deel willen nemen en welke gegevens zij op vrijwillige basis delen, en niet te vergeten de bijkomende privacy- en beveiligingsaspecten. De belangrijkste verplichtingen op een rij: •
•
•
•
•
•
•
•
Gegevensuitwisseling: het kan gemeenten helpen bij het delen van relevante gegevens met andere overheidsinstanties, het bedrijfsleven en onderzoeksinstanties. De verbeterde gegevensuitwisseling draagt bij aan een gedegen besluitvorming en beleidsontwikkeling. Interoperabiliteit: een belangrijk aspect van de European Data Spaces is het bevorderen van interoperabiliteit, wat betekent dat gegevens gemakkelijk kunnen worden gedeeld tussen verschillende systemen en organisaties. Gemeenten kunnen profiteren van gestandaardiseerde gegevensformats en protocollen, waardoor ze gegevens effectiever kunnen delen en gebruiken. Data-eigenaarschap en verantwoordelijkheid: er zullen duidelijke regels en verantwoordelijkheden moeten worden vastgesteld met betrekking tot het eigendom en gegevensbeheer. Toestemming: betrokkenen moeten controle hebben over hun eigen gegevens en dienen expliciet toestemming te geven voor het delen en gebruiken hiervan binnen de Data Spaces. Innovatie: via de European Data Spaces is er toegang tot een breder scala aan gegevensbronnen die innovatie stimuleren. Gemeenten kunnen deze gegevens gebruiken voor nieuwe diensten, toepassingen en oplossingen die de kwaliteit van leven in hun gemeenschap verbeteren. Efficiëntere openbare diensten: door gegevensuitwisseling en deze te gebruiken kunnen gemeenten de efficiëntie van openbare diensten verbeteren.
Dit kan leiden tot kostenbesparingen, betere planning en een verhoogde tevredenheid van inwoners. Europese samenwerking: gemeenten kunnen via de European Data Spaces deel uitmaken van bredere Europese samenwerkingsinitiatieven. Hierdoor kunnen gemeenten elkaar helpen via best practices en het uitwisselen van ervaringen met andere steden en regio’s, en daarnaast deelnemen aan Europese projecten. Gegevensbescherming: gemeenten zullen zorgvuldig na moeten denken over gegevensbeheer en beveiliging bij deelname aan European Data Spaces. Het waarborgen van de privacy en beveiliging van gegevens is essentieel, aangezien
Privacybeleid gemeente Zutphen 2025
Versie 2.2
47
•
•
persoonsgegevens worden gedeeld en toegankelijk zijn voor verschillende partijen. Hier dienen gemeenten extra zorgvuldig mee om te gaan. Privacy bescherming: er dienen mechanismen te zijn ingericht om de privacy van betrokkenen te beschermen, inclusief naleving van de relevante gegevensbeschermingswetgeving zoals de AVG. Inclusiviteit: door deze European Data Spaces worden verschillende organisaties en gemeenten erbij betrokken. Discrimineren op basis van bijvoorbeeld grootte van de organisatie of technische capaciteiten is niet toegestaan.
7. Open Data Directive De Open Data Directive is bedoeld om af te dwingen dat overheidsinstanties bepaalde gegevens zoals gegevens over milieu, vervoer en overheidsdiensten die worden verzameld en beheerd, openbaar beschikbaar stellen en hergebruiken. Dit met het doel om de digitale transformatie te stimuleren. De toegang tot overheidsinformatie wordt hierdoor verbeterd en daardoor kan de data worden hergebruikt voor innovatie, economische groei en maatschappelijke doelen. Deze richtlijn is in het begin van 2019 vastgesteld en in het jaar 2021 in werking getreden. Ons land loopt hierop wel achter en heeft deze richtlijn nog niet omgezet in nationale wetgeving. Hierdoor zal Nederland verantwoording afleggen aan het Hof van Justitie. De belangrijkste verplichtingen op een rij: •
•
• •
• •
•
•
•
Principe van hergebruik: overheidsinstanties dienen ervoor te zorgen dat de overheidsinformatie beschikbaar is voor hergebruik. Het omvat informatie in digitale vorm en informatie die eventueel digitaal beschikbaar gesteld kan worden. Geen exclusieve rechten: exclusieve rechten, zoals auteursrechten, kunnen het hergebruik van overheidsinformatie belemmeren, dus zorg ervoor dat er geen exclusieve rechten zijn. Toepassing van standaarden: overheidsinformatie dient zoveel mogelijk te worden gepubliceerd in machinaal leesbare formaten en onder open standaarden. Communicatie binnen systemen: streef bij het delen van informatie naar interoperabiliteit van overheidsinformatie waarbij systemen laagdrempelig data met elkaar kunnen uitwisselen, zodat deze gemakkelijk kan worden gecombineerd en hergebruikt. Geen beperkingen: leg geen beperkingen op aan hergebruik van overheidsinformatie op basis van nationaliteit of vestigingsplaats. Transparante en redelijke kosten: kosten die in rekening worden gebracht voor het hergebruik van overheidsinformatie moeten transparant zijn, redelijk en gebaseerd zijn op kostenoriëntatie. Gemeenschappelijke toegangsrechten: gemeenschappelijke toegangsrechten tot overheidsinformatie inclusief de voorwaarden voor hergebruik moeten worden vastgesteld.
Uitsluitingen en beperkingen: in sommige gevallen, bij specifieke belangen zoals bij privacy en veiligheid, is het noodzakelijk om uitsluitingen en beperkingen vast te stellen voor het hergebruik van overheidsinformatie. Toezicht en rapportage: lidstaten dienen toezicht te houden of de wet wordt nageleefd en zullen regelmatig rapporteren aan de Europese Commissie over de voortgang.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
48
•
Promotie en bewustwording: lidstaten moeten maatregelen nemen om het bewustzijn over de beschikbaarheid van overheidsinformatie voor hergebruik te vergroten en het gebruik ervan te bevorderen.
8. Data Governance Act (DGA) De Data Governance Act richt zich op de processen en structuren van data. De wet heeft als doel het stimuleren van gegevensverdeling, het bevorderen van concurrentievermogen en innovatie én het waarborgen van een veilige en verantwoorde omgang met gegevens. De DGA is op 23 juni 2022 in werking getreden, echter pas van toepassing per september 2023. De DGA is van belang voor gemeenten om te helpen bij het verbeteren van hun omgang met gegevens wat leidt tot betere dienstverlening en innovatie. De belangrijkste verplichtingen op een rij: •
•
•
• •
•
• •
• •
Toegang tot publieke gegevens: er dienen voorwaarden gesteld te worden voor toegang tot publieke gegevens, met name gegevens die worden beheerd door overheidsinstanties zoals gemeenten. Installeer mechanismen om toegang tot gegevens te reguleren. Rechten van gegevensproducenten: de rechten van gegevensproducenten dienen beschermd te worden, waaronder eigendomsrechten en het recht op gegevensportabiliteit (het overdragen van gegevens). Toegankelijkheid gegevens: de Data Governance Act beoogt de toegang tot gegevens te vergemakkelijken voor innovatie, met inbegrip van de toegang tot bedrijfsgegevens voor hergebruik. Gegevensintermediairs: de oprichting en werking van gegevensintermediairs, die dienen als tussenpersonen voor gegevensdiensten, dienen te worden vastgelegd. Gegevensbeschikbaarheid en vertrouwelijkheid: er dienen maatregelen genomen te worden om de beschikbaarheid en vertrouwelijkheid van gegevens te kunnen waarborgen. Gegevensportabiliteit: de wet streeft naar het vergemakkelijken van gegevensportabiliteit, waardoor het gemakkelijker wordt voor organisaties en individuen om gegevens van de ene dienst naar de andere over te dragen. Bevordering van databeheerdiensten: er wordt een kader vastgesteld om de ontwikkeling en bevordering van databeheerdiensten te ondersteunen.
Onafhankelijke controleorganen: om toezicht te houden op de naleving van de regels en voorschriften uit de DGA kunnen er onafhankelijke controleorganen worden opgericht. Certificeringen: om organisaties te helpen voldoen aan de vereisten vanuit de DGA worden er certificeringen opgesteld. Toegang en hergebruik van gegevens: de wetgeving bevat bepalingen voor de toegang en het hergebruik van gegevens voor het algemeen belang, zoals voor onderzoek, milieu en het verbeteren van de levering van overheidsdiensten.