818728 - Bijlage 1 - Privacybeleid gemeente Zutphen 2025
Tekst van het document
Privacybeleid gemeente Zutphen 2025
Versie 2.2
49
9. Data Act De Data Act is een veelbesproken en impactvolle wet, deze wet zal op 12 september 2025 van kracht worden. Deze wet is bedoeld om regels te hebben voor toegang tot en het gebruik van gegevens die door slimme apparaten worden uitgewisseld. Deze slimme apparaten zoals slimme meters, een smart TV, medische apparatuur, deurbellen en connected cars verzamelen veel unieke informatie die vooral bij de fabrikanten in beheer blijft. Via de Data Act zullen betrokkenen makkelijker toegang hebben en inzicht krijgen tot de informatie. De belangrijkste verplichtingen op een rij: •
•
•
•
•
•
•
•
•
•
Transparantie: gemeenten dienen transparant te zijn over het verzamelen en beheren van data. Inwoners moeten duidelijkheid krijgen over welke data er van hen wordt verzameld en zullen toegang krijgen tot hun data op verzoek zonder bijkomende kosten. Clouddiensten: gemeenten maken gebruik van clouddiensten. Het overstappen is vereenvoudigt. Voor de eerste 3 jaar nadat de Data Act actief is mogen de cloudaanbieders een vergoeding vragen aan gebruikers, hierna is de cloud overstap gratis. Overheid en data: overheidsinstanties hebben toegang tot data wanneer zij voldoen aan de voorwaarden, namelijk; bij een noodsituatie, bij het voorkomen van een noodsituatie en wanneer zij een noodzakelijk belang hebben bij het uitvoeren van hun taken in het algemeen belang oftewel op basis van één van de zes AVG-grondslagen, namelijk het algemeen belang. Contracten: er zijn verschillende bepalingen in contracten die worden verplicht of juist worden verboden. Zo wordt de mogelijkheid tot cloud overstap verplicht. Contracten die tegen goede trouw en eerlijke handel zijn (zoals het sluiten van een paragraaf over grove nalatigheid en aansprakelijkheid) worden verboden. Gegevensuitwisseling: deze Act bevat regels en voorwaarden bij de gegevensuitwisseling tussen organisaties onderling en dat het onder een eerlijke, redelijke, transparante en niet-discriminerende manier wordt uitgewisseld.
Gegevenswaarborging: er dient te worden gewaarborgd dat er geen onrechtmatige gegevens worden overgedragen zonder een mededeling vooraf, bijvoorbeeld aan derde landen die toegang willen tot bepaalde data. Gegevensbescherming: de fabrikanten dienen passende technische en organisatorische maatregelen te nemen om de gegevens adequaat te beschermen. Voor gemeenten een aspect om rekening mee te houden. Bijzonderheid: de European Data Protection Supervisor heeft aangegeven dat de Data Act geen afbreuk mag doen aan de bescherming van persoonsgegevens en dus de AVG een hogere prioriteit heeft. Internationale doorgifte: de AVG biedt al verplichtingen over internationale doorgifte van persoonsgegevens en de Data Act heeft strikte regels voor de doorgifte van nietpersoonsgebonden gegevens aan landen buiten de EU, in het bijzonder bij informatieverzoeken van buitenlandse autoriteiten. Toezicht en handhaving: de Data Act bepaalt dat elk land zijn eigen toezichthouder krijgt en daarnaast een sanctiebeleid opstelt. Hierbij dient rekening te worden gehouden met verschillende factoren zoals de ernst van de inbreuk en de jaaromzet van de overtreder.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
50
10. Artificial Intelligence Act (AI Act) De AI Act heeft als doel om een balans te hebben voor de bevordering van innovatie door het gebruik van AI, algoritmes en machine learning en aan de andere kant de bescherming van de rechten, de veiligheid en het welzijn van Europese inwoners en de maatschappij. De verordening volgt een risico gebaseerde benadering en stelt verplichtingen voor aanbieders en gebruikers. Dit afhankelijk van het risiconiveau dat een AI-systeem met zich meebrengt. De AI Act is op 9 december 2023 aangenomen en definitief per maart 2024 van kracht geworden. De belangrijkste verplichtingen op een rij: •
• •
•
• •
• •
•
•
Verboden AI-praktijken: de AI Act verbiedt een aantal praktijken zoals emotieherkenning op de werkvloer of het categoriseren van mensen op basis van biometrische kenmerken (ras, seksuele geaardheid of religie). Dit is omdat deze een te groot risico vormen voor de fundamentele rechten van personen. Duidelijkheid: het moet duidelijk zijn voor gebruikers dat zij met een AI-robot communiceren. AI-systemen met hoog risico: voor vijf categorieën zoals overheidsinstanties geldt dat zij verplicht een Fundamental Rights Impact Assessment (FRIA) uit dienen te voeren bij hoog risico AI-systemen. Dit om risico’s in kaart te brengen voor de zes onderwerpen namelijk: procesbeschrijving, periode en frequentie, categorieën betrokkenen, specifieke risico’s, implementatie maatregelen en beheersmaatregelen. Transparantie en aansprakelijkheid: de AI Act bevat regels voor transparantie en aansprakelijkheid voor AI-systemen, algoritmes en machine learning, zodat gebruikers inzicht hebben in de logs (die 6 maanden worden bewaard) en hoe beslissingen zijn gemaakt. Daarbij wie er verantwoordelijk is voor eventuele schade. Gegevensgebruik en privacy: de act kijkt ook naar het gegevensgebruik in verband met AI en benadrukt het belang van privacy en beveiliging.
Conformiteitsbeoordeling: ook introduceert het een systeem voor conformiteitsbeoordeling met een CE-logo die organisaties krijgen toegewezen wanneer zij compliant zijn volgens de AI Act. Systeem inregelen: organisaties dienen een systeem in te richten om in de praktijk zorg te dragen voor data kwaliteit en een systeem in te regelen voor risico beheersing. Menselijk toezicht: hiermee wordt bedoeld dat er een adequaat getraind persoon vanuit de organisatie is, die onderdeel is van de besluitvorming (in-the-loop) of minstens nauw toezicht (in-command) houdt, bij AI-praktijken. Toezicht en handhaving: de AI Act bepaalt dat elk land zijn eigen toezichthouder krijgt die er zorg voor draagt dat de AI Act wordt gevolgd en toegang heeft tot de documentatie, bindende aanwijzingen kan geven, bevelen om AI te stoppen bij risico’s en boetes kan opleggen. Boetes: mochten organisaties zich onvoldoende houden aan de AI Act dan kunnen zij een boete verwachten van 7,5 miljoen, 15 miljoen of 35 miljoen euro afhankelijk van de zwaarte van de overtreding. In percentages is dit 1,5%, 3% en 7% van de wereldwijde omzet. Voor mkb en startups zullen de boetes lager uitvallen.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
51
11. Electronic Identities and Trust Services (eIDAS 2.0) De Europese Unie wil met de eIDAS 2.0 een Europees kader voor digitale identiteit creëren, zodat het makkelijker wordt om binnen Europa zaken online te regelen en dat inwoners veilig kunnen inloggen. Vooral organisaties die DigiD en eHerkenning leveren komen in aanraking met de eIDAS 2.0 verordening. De overheid geeft aan dat deze elektronische vertrouwensdiensten diensten zijn die het vertrouwen in online transacties bij bedrijven en consumenten vergroten. De verwachting is dat het voor gemeenten verplicht wordt om zich vanaf het jaar 2025 aan de eIDAS 2.0 verordening te houden. De belangrijkste verplichtingen op een rij: •
•
•
•
•
•
• •
•
•
Erkenning van eID-middelen: gemeenten dienen eID-middelen (elektronische identificatie en authenticatie middelen) uit andere EU-lidstaten te erkennen en te accepteren, zodat EU-inwoners met hun digitale identiteit toegang krijgen tot andere lokale overheidsdiensten. Implementatie van eIDAS-conforme eID-oplossingen: om deel te kunnen nemen aan het eIDAS-netwerk is het van belang dat gemeenten eID-oplossingen implementeren die voldoen aan de technische en juridische vereisten van de eIDAS. Veilige digitale handtekeningen: het is een vereiste dat gemeenten de mogelijkheid bieden om digitale handtekeningen te gebruiken bij digitale transacties. eIDAS definieert drie niveaus in digitale handtekeningen, zoals een ingescande handgeschreven handtekening of een handtekening met een code die extra beveiligd is. Juridische elektronische handtekeningen: de elektronische handtekeningen dienen juridisch gelijkwaardig te zijn aan handgeschreven handtekeningen voor relevante transacties. Gegevensbescherming: het waarborgen van de privacy en gegevensbescherming van inwoners zal voor gemeenten voorop moeten staan bij het gebruik van eID-middelen en andere diensten. Veilige toegang tot e-diensten: het is van belang dat gemeenten ervoor zorgen dat inwoners veilig toegang krijgen tot elektronische diensten door gebruik te maken van eIDAS-conforme identificatiemiddelen.
Tijdstempels: gemeenten zullen tijdstempels ondersteunen om de integriteit en authenticiteit van elektronische documenten te waarborgen. Beveiligde elektronische bezorging: het is een vereiste dat gemeenten elektronische bezorgingsdiensten aanbieden die bewijs leveren van de verzending en ontvangst van documenten. Informatievoorziening: inwoners dienen geïnformeerd te worden over het gebruik van eIDAS-conforme vertrouwensdiensten en de rechten en verplichtingen die hiermee samenhangen. Samenwerking met andere overheidsinstanties: de samenwerking met andere overheidsinstanties, zowel nationaal als internationaal, is vereist om de uitwisseling van eID-gegevens en vertrouwensdiensten te vergemakkelijken en te coördineren.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
52
12. Regulations on the U-Space U-Space staat voor “Unmanned Aircraft Systems (UAS)” en de regulations zijn een reeks voorschriften en regels die gaan over het beheer van het luchtruim voor onbemande vliegtuigen – zoals drones – in stedelijke en dichtbevolkte gebieden. In Nederland is deze regeling per 26 januari 2023 van kracht. Het helpt gemeenten bij het reguleren van drone-activiteiten binnen hun jurisdicties, het handhaven van de veiligheid, het waarborgen van de privacy van hun inwoners én natuurlijk het bijhorende beleid en procedures. De belangrijkste verplichtingen op een rij: •
•
•
•
• •
• • •
•
Registratieplicht: drone operators dienen verplicht hun drone te registreren bij de gemeente en moeten hierbij relevante informatie verstrekken, zoals de gebruiker en het serienummer van de drone. Toestemming voor vluchten: drone operators zullen toestemming moeten vragen bij de gemeentelijke autoriteiten voor het uitvoeren van dronevluchten binnen de stadsgrenzen. No-fly zones: bepaalde gebieden kunnen door gemeenten worden aangeduid als ‘no-fly zones’, hier zijn dronevluchten dus verboden. Denk bijvoorbeeld aan gebieden rondom luchthavens, openbare evenementen of op locaties met een gevoelige infrastructuur. Veiligheidsafstanden: gemeenten kunnen eisen stellen aan de minimale afstanden die drones moeten bewaren ten opzichte van personen, gebouwen en voertuigen om de veiligheid te waarborgen. Vlieghoogte eisen: maximale vlieghoogtes kunnen door gemeenten worden vastgesteld om conflicten met bemande luchtvaartuigen en privacy kwesties te voorkomen. Privacybescherming: om de privacy van inwoners te beschermen kunnen gemeenten speciale regels opleggen, bijvoorbeeld het beperken van het gebruik van camera’s of gegevensverzameling. Geluidsnormen: gemeenten hebben ook de optie om regels op te leggen voor het geluidsniveau dat drones mogen maken om overlast voor omwonenden te beperken.
Verzekeringseisen: drone operators worden verplicht voor het hebben van een aansprakelijkheidsverzekering om eventuele schade te dekken in geval van ongevallen. Veiligheidstraining: gemeenten hebben de mogelijkheid tot het vorderen van training en certificering voor drone operators om ervoor te zorgen dat ze de nodige kennis en vaardigheden hebben om veilig te opereren. Handhaving en boetes: handhavingsmechanismes en boetes dienen door de gemeenten te worden vastgesteld voor overtredingen van de regelgeving om ervoor te zorgen dat de voorschriften worden nageleefd.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
53
13. Digital Services Act (DSA) Deze wet zal de huidige e-commerce wet uit 2000 gaan vervangen. De DSA gaat over transparantie in het digitaal adverteren, zodat tussenhandelsdiensten, search engines en grote online platforms verantwoordelijk digitaal adverteren. De Deense Christel Schaldemose die verantwoordelijk is voor het wetsontwerp heeft met deze wet de intentie om alles wat offline verboden is, ook online te verbieden. Het gaat dus over modernisatie van digitale dienstverleners en de rechten en veiligheid van gebruikers in de digitale wereld. Gemeenten maken gebruik van deze digitale platforms waardoor deze wet ook voor hen relevant is. De zeer grote online platforms en search engines oftewel de tech reuzen zijn ook aangewezen door de Europese Commissie op 25 april 2023. Voor de tech reuzen is de wet per 25 augustus 2023 van kracht, voor de tussenhandelsdiensten per 17 februari 2024. De belangrijkste verplichtingen op een rij: •
•
• •
•
•
•
• • •
Transparantievereisten: online platforms moeten transparante informatie verstrekken over hun algoritmen, de manier waarop ze inhoud aanbevelen en hun advertentiepraktijken. Dit zodat de gebruiker weet waarom juist deze advertentie wordt getoond en de gebruiker via een opt-out de mogelijkheid heeft om de online profilering te stoppen. Bescherming van consumentenrechten: gebruikers krijgen meer grip, naast bovengenoemde opt-out kunnen zij gemakkelijk illegale content rapporteren. Advertenties mogen niet op basis van bijzondere persoonsgegevens zoals achtergrond, politieke voorkeur of seksuele geaardheid getoond worden. Daarbij komt dat de voorwaarden van de platforms in begrijpelijke taal worden aangeboden. Mogelijkheid om in beroep te gaan: platforms moeten mechanismen bieden waarmee gebruikers en bedrijven beslissingen over inhoudsverwijdering kunnen aanvechten. Verwijdering van illegale inhoud: online platforms moeten zelf inspanningen leveren om illegale inhoud te verwijderen en de verspreiding ervan te voorkomen, inclusief haatdragende taal, terroristische propaganda en kindermisbruik materiaal. Sterke bescherming voor minderjarigen: platforms dienen een hoog niveau van privacy, informatiebeveiliging en veiligheid voor minderjarigen te hebben. Specifieke reclames richting minderjarigen is dus ook niet meer toegestaan.
Rapportage en samenwerking: platforms moeten rapporteren over hun advertenties en transparante rapporten beschikbaar stellen over risicobeheersing. Hiernaast moeten ze samenwerken met rechtshandhavingsinstanties. Niet-discriminatie en eerlijke behandeling: platforms moeten alle bedrijven op hun platforms op een niet-discriminerende manier behandelen, inclusief kleinere concurrenten. Onafhankelijke audit en naleving: grote platforms moeten regelmatig onafhankelijke audits laten uitvoeren door de Commissie om hun naleving van de DSA te controleren. Naleving van advertentieregels: advertenties moeten voldoen aan specifieke regels en platforms moeten transparantie bieden over de herkomst van advertenties. Coördinatie tussen lidstaten: de DSA streeft naar betere coördinatie tussen EUlidstaten bij het handhaven van de regels en het aanpakken van grensoverschrijdende uitdagingen. Per EU-lidstaat zal een digitale coördinator worden aangewezen.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
54
14. Digital Market Act (DMA) De Digital Market Act streeft naar een betere bescherming van consumentenbelangen. Gemeenten zijn betrokken bij consumentenzaken en kunnen profiteren van sterkere consumentenbescherming op digitale platforms. De Digital Market Act zoomt in op een aantal van de grootste digitale spelers in de markt, zoals grote online platforms en gatekeepers. Dit om eerlijke concurrentie te bevorderen, innovatie te stimuleren en de belangen van consumenten en zakelijke gebruikers te beschermen. De gemeenten maken gebruik van digitale platforms en diensten waardoor de DMA ook impact voor hen heeft. Deze wet zorgt ervoor om eerlijke en transparante transacties via deze digitale platforms te waarborgen waardoor de digitale innovatie bij gemeenten zal gaan groeien. Deze wet is van kracht sinds 2023 en dus goed om onderstaande verplichtingen mee te nemen. De belangrijkste verplichtingen op een rij: •
•
•
•
• • •
•
• •
Definitie van digitale poortwachters: de DMA definieert digitale poortwachters als grote platforms met een aanzienlijke impact op de interne markt. Deze platforms hebben specifieke verplichtingen. Niet-discriminatie en eerlijke behandeling: digitale poortwachters moeten alle zakelijke gebruikers op hun platform op een niet-discriminerende en eerlijke manier behandelen. Ze mogen hun eigen diensten niet bevoordelen ten opzichte van concurrerende diensten. Interoperabiliteit: digitale poortwachters kunnen worden verplicht om de interoperabiliteit van hun diensten mogelijk te maken, zodat gebruikers gegevens en informatie gemakkelijk kunnen delen tussen verschillende platforms. Toegang tot gegevens: digitale poortwachters moeten mogelijk toegang verschaffen tot bepaalde gegevens aan concurrerende diensten, mits aan bepaalde voorwaarden wordt voldaan. Verbod op zelfpreferentie: digitale poortwachters mogen hun eigen diensten niet voortdurend bevoordelen in de zoekresultaten, rangschikkingen of aanbevelingen. Transparantievereisten: digitale poortwachters moeten transparantie bieden over hun rangschikkingscriteria en de manier waarop ze gegevens van gebruikers gebruiken.
Verbod op bepaalde praktijken: de DMA verbiedt bepaalde oneerlijke praktijken, zoals het weigeren van toegang tot gegevens, het belemmeren van de overdraagbaarheid van gegevens en het ongerechtvaardigd blokkeren of verwijderen van content. Onafhankelijke controle en handhaving: de DMA voorziet in onafhankelijke autoriteiten die verantwoordelijk zijn voor de handhaving van de regels en de beoordeling van nalevingsmaatregelen. Sancties: mochten er digitale poortwachters zijn die deze regels overtreden dan zijn er reusachtige boetes. Rapportageverplichtingen: de DMA verplicht digitale poortwachters om regelmatig te rapporteren over hun naleving van de DMA.
Privacybeleid gemeente Zutphen 2025
Versie 2.2
55
Bijlage 5: Uitgebreide RASCI Tabel
RASCI-tabel/ Verantwoordelijkheden-Rollen BIO Controles / Privacy controles
Datum
28-mei-24 Rollen en verantwoordelijkheden
6.1.1 6.1.2 6.1.3 6.1.4 6.1.5 6.2.1 6.2.2
I
A
R R S
C C S
C
S
C
A
R A A A A A A A A A A A A
C C S
C
-
7 Veilig personeel 7.1.1 7.1.2 7.2.1 7.2.2 7.2.3 7.3.1 8 Beheer van bedrijfsmiddelen 8.1.1 8.1.2 8.1.3 8.1.4 8.2.1 8.2.2 8.2.3 8.3.1 8.3.2
Privacybeleid gemeente Zutphen 2025
R R R R R R R R R R R R R
S
S - C S S C C C C C C C
-
S C S S C C C C C C C
C C C C
C - -
S
-
-
-
C C S S S S S S S S
A A A A A A A A A
C C C C C S S S C
S S
Versie 2.2
-
C -
C
C
C C C C C C C C C
C C
A R C R R R R R R R R R
alle beheerders
I
HRM
C C
Facilitair
C C S C C S
ICT
R R S R R S
iAdviseur
A A
FAB
iProjectleider
Contractmgt
C
PO
R R C C C S
FG
A
CISO
Controller
6 Informatiebeveiligingsorganisatie
ISO
5.1.1 5.1.2
Directie
5 Informatiebeveiligingsbeleid
Teammanager
Controles
College
Onderwerp
Coördinator BCP
Beveiligingsbeheerder
S C C S S C C S
56
8.3.3 9 Toegangsbeveiliging 9.1.1 9.1.2 9.2.1 9.2.2 9.2.3 9.2.4 9.2.5 9.2.6 9.3.1 9.4.1 9.4.2 9.4.3 9.4.4 9.4.5 10 Cryptografie 10.1.1 10.1.2 11 Fysieke beveiliging 11.1.1 11.1.2 11.1.3 11.1.4 11.1.5 11.1.6 11.2.1 11.2.2 11.2.3 11.2.4 11.2.5 11.2.6 11.2.7 11.2.8 11.2.9 12 Beveiliging van bedrijfsvoering 12.1.1 12.1.2 12.1.3 12.1.4 12.2.1 12.3.1 12.4.1 12.4.2 12.4.3 12.4.4 12.5.1 12.6.1
Privacybeleid gemeente Zutphen 2025
A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A
R R R R R R R R R R R R R R R R R R R R R R R R R R R R R R R R R R R
C C C C C C C C C C C C C C C C C C C C C C C C C C C C C C C C C C C
S S S S S S S S S S S C S S S S S S S S S S S S S S S S S S S S S S S S
A R C
S
S
S
A A A A A A A A A A A A
S S S S S S S S S S S S
S S S S
S S S S S S S S S S C S S S
R R R R R R R R R R R R
C C C C C C C C C C C C
Versie 2.2
I I I I I I I I I I I I I I I
C S
I I I I I I I I I I I I I I I
C C C C C C C C S S S S S S S
C C S S S S C C S S S S S S S S S S S S S S S S S S C C S S S S S S S S
57
12.6.2 12.7.1 13 Communicatiebeveiliging 13.1.1 13.1.2 13.1.3 13.2.1 13.2.2 13.2.3 13.2.4 14 Acquisitie, ontwikkeling en Onderhoud Informatiesystemen 14.1.1 14.1.2 14.1.3 14.2.1 14.2.2 14.2.3 14.2.5 14.2.6 14.2.7 14.2.8 14.2.9 14.3.1 15 Leveranciersrelaties 15.1.1 15.1.2 15.1.3 15.2.1 15.2.2 16 Beheer van beveiligingsincidenten
A R C A R C
S S
A R C
S
S
A A A A A A A
C C C C C C C
S S S S S S S
S S S C C S C
A R C
S
C
S
A A A A A A A A A A A A
C C C C C C C C C C C C
S S S S S S S S S S S S
C C C C C C C C C C C C
S
A R C
C S
S
S
A A A A A
C S C S C S S S
S S S S S
S
R R R R R R R
R R R R R R R R R R R R
R R R R R
C C C C C
A R C C 16.1.1 16.1.2 16.1.3 16.1.4 16.1.5 16.1.6 16.1.7
17 Bedrijfscontinuïteitsbeheer 17.1.1 17.1.2 17.1.3 17.2.1 18 Naleving 18.1.1
Privacybeleid gemeente Zutphen 2025
A A A A A A A
R R R R R R R
S C
C
S S
S
S C
S S S
S S
s S
S S
S
C C C C C C C
C S C C S C S C C S C S C C S C S
A R C
C
S
C
A A A A A A
C C C S S S
S S S
C C C
R R R R R R
C C C C C C
Versie 2.2
S S
C C C
S C
C S S
C
S S S
C C
58
18.1.2 18.1.3 18.1.4 18.1.5 18.2.1 18.2.2 18.2.3
A A A A A A A
R R R R R R R
C C C S C C S C
S
S C S C S S C C C S
S C C C S
20 Privacy uit borgingsproduct Beleid
1
A
R R C C C C C
S
S
Er is beleid om beleid vast te stellen Er is een algemeen privacybeleid en uitwerkingen daarvan Verantwoordelijkheden op het niveau van het lijnmanagement zijn benoemd, belegd en vastgelegd. (TVB Matrix/RASCI Tabel)
1.1
A
R R C C C C C
S
S
1.2
A
R R C C C C C
S
S
1.3
A
R R C C C C C
S
S
Processen
2
Beschrijving administratieve organisatie Register van Verwerking
2.1
DPIA
2.2 2.3 2.4
Bewaar en vernietigingsbeleid
2.5
Org Inbedding
3 3.1 3.2 3.3 3.4
Pre-DPIA
Privacy team Aanstelling FG Informeren OR Bewustwording
Rechten van betrokkenen
4
Recht op informatie
4.1
Processen rechten van betrokkene op orde Toestemming
4.2
Geautomatiseerde individuele besluitvorming (algoritmes) Websites en applicaties
4.3 4.4
A R C C C C C S C C C C C C C C C C C C
A A A A
R R R R
C C C C
C C C C
A A A A A A
R R R R R R
C C C C C C
C C C C C C C C C C C C C C C C
C S C C C C C
S S S S S S S S S S S
S S S
A R C C C C C A R C C C C C
S S
A R C C C C C A R C C
S S
4.5 Technische ondersteuning 4.6 5 Samenwerking
A A A A
R R R R C
De organisatie heeft inzichtelijk welke AVG-rol externe partijen innemen en er worden afspraken gemaakt conform de AVG.
A R
C C C C
C C C C C C S
S S S S R S S
S S S S S S S S S S
5.1
Privacybeleid gemeente Zutphen 2025
Versie 2.2
C C
C
59
Eenmalige gegevensverstrekkingen worden getoetst aan de relevante privacywet- en regelgeving.
5.2
Gegevensbescherming
6
Risicomanagement
6.1
A R C C C C C A R C C C C C
S S S S S S S S
Gegevens bescherming door ontwerp Gegevensbescherming door standaard instellingen Informatiebeveiliging
6.2
A R C C C C C
S S S S
A R C C C C C R R C C C C C
S S S S S S S S
A R C C C C C A R C C C C C A R C C C C C
S S S S S
De gemeente heeft inzicht in (potentiële) privacyincidenten, zoals datalekken.
Verantwoording Evaluatie naleving AVG Evaluatie informatiebeveiliging Rapportage
A R C C C C C
6.3 6.4
A
6.5 7 7.1 7.2
A R C C S C C A R C C R C C
7.3
Accountable
Definitie RASCI
Responsible
Consultable
Supportive
Privacybeleid gemeente Zutphen 2025
S
S S
S S S S
De functionaris die eindverantwoordelijk (bevoegd) is voor de juiste uitvoering van de taak en goedkeuring geeft aan het eindresultaat. Als het erom gaat, moet deze persoon het eindoordeel kunnen vellen, vetorecht hebben. Deze functionaris is geheel afhankelijk van het succes waarmee R de activiteit uitvoert. Vooral ook omdat A vaak voor het totaal van het proces eindverantwoordelijk is, als proceseigenaar. In veel gevallen is A iemand hoger in de hiërarchie dan R, maar dat hoeft niet per se. De functionaris die direct verantwoordelijk is voor de juiste en tijdige uitvoering van de taak of degene die de activiteit zelf uitvoert. Hiervoor wordt verantwoording afgelegd aan de persoon die accountable is. De functionaris die vooraf geraadpleegd moet worden of goedkeuring of input moet leveren bij een activiteit in het proces. Deze persoon kan daarmee dus het resultaat nog beïnvloeden. De functionaris die ondersteuning verleent aan de uitvoering van de taak of de taak uitvoert. S is een ondersteunende rol waarop R een beroep kan doen. Kan alleen op verzoek van R support leveren. Deze persoon is een expert op zijn gebied. S is verantwoordelijk voor de kwaliteit en het resultaat van zijn
Versie 2.2
60
Informed
Privacybeleid gemeente Zutphen 2025
support maar is niet direct verantwoordelijk voor de activiteit zelf. De functionaris die achteraf geïnformeerd moet worden over de beslissingen, over de voortgang of bereikte resultaten. Deze persoon kan het resultaat dus niet meer beïnvloeden.
Versie 2.2
61