Privacybeleid 2024-2026

1.1 Ambities

De afgelopen jaren heeft de gemeente Altena hard gewerkt om te voldoen aan de privacy wet- en regelgeving. Hierbij zijn externe experts ingehuurd en is intern meer budget vrijgekomen voor dit thema. Zo is aan de hand van het CIP-model, nader omschreven in hoofdstuk 5, gekeken naar het privacy volwassenheidsniveau binnen de gemeente. Begin 2021 was het volwassenheidsniveau overwegend niveau 2, maar nog niet organisatie breed.

Onze doelstelling is om te groeien naar een privacy volwassenheidsniveau 3 op alle privacy thema’s in 2027 in de gehele organisatie. Op het moment dat deze ambitie is bereikt, zal de gemeente haar ambitie verhogen naar niveau 4. Dit privacybeleid vormt de basis voor de gemeente Altena om deze ambitie waar te maken. Aan de hand van dit beleid zal er een privacy compliance risicobeheersingsraamwerk opgezet worden. Op deze manier kan doorlopend worden bijgehouden waar de gemeente staat.

1.2 Scope van dit beleid

Het privacybeleid omvat de gehele datastroom van persoonsgegevens binnen de gemeente. Van het genereren of verzamelen van persoonsgegevens, het dagelijks gebruik ervan en de gegevensopslag tot en met de archivering en vernietiging van persoonsgegevens. Dit privacybeleid is bindend voor de gehele organisatie (inclusief de bestuursorganen) van de gemeente Altena.

Dit beleid wordt nader uitgewerkt in operationeel beleid, werkinstructies en richtlijnen. Deze uitwerkingen worden vastgesteld door het directieteam van de gemeente. Wanneer sprake is van Verwerkers of samenwerking gelden dezelfde uitgangspunten. Diezelfde uitgangspunten vormen het kader bij de selectie van leveranciers c.q. verwerkers. Hiervoor maken wij contractuele afspraken die we ook kunnen toetsen bij de uitvoering van de werkzaamheden. Het beleid is ook van toepassing in geval van uitwisseling van informatie met andere gemeenten en organisaties bij de uitbesteding van publieke taken aan externe partijen.

Het beleid strekt zich ook uit over de verwerkingen van persoonsgegevens op grond van de wet Basisregistratie Personen (BRP) en op de verwerkingen waarop de Archiefwet van toepassing is. Uiteraard voor zover deze specifieke wet- en regelgeving geen afwijkende eisen stellen.

1.3 Definities

In het privacybeleid worden de volgende definities gehanteerd:

Algemene Verordening Gegevensbescherming (AVG)

Algemene Verordening Gegevensbescherming (EU 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens).

Betrokkene(n)

De persoon op wie de persoonsgegevens betrekking hebben. De betrokkene is degene van wie de persoonsgegevens worden verwerkt. Dit kan gaan om een inwoner, ondernemer, ambtenaar of contactpersoon van een (keten)partner.

Datalek

Een datalek is persoonlijke informatie (zoals namen, adressen of financiële gegevens) die per ongeluk of opzettelijk wordt blootgesteld aan onbevoegden, wat de privacy en veiligheid van mensen in gevaar brengt.

Data Protection Impact Assessment (DPIA)

In het Nederlands vertaald naar gegevensbeschermingseffectbeoordeling, maar de gangbare term is DPIA. Dit is een instrument om vooraf de privacy risico’s van een gegevensverwerking in kaart te brengen en vervolgens maatregelen te kunnen nemen om de risico’s te verkleinen. Een DPIA is een beoordeling over het effect van de (nieuwe of aangepaste) verwerking op de bescherming van de persoonsgegevens en is verplicht als een gegevensverwerking waarschijnlijk een hoog privacy risico oplevert voor de betrokkenen. De beoordeling bevat tenminste een inschatting van de risico’s van de verwerking en de vereiste beheersmaatregelen om tekortkomingen op te lossen.

DPIA-Toets

Een model om te beoordelen of een DPIA verplicht is of niet.

Functionaris Gegevensbescherming (FG)

Een onafhankelijke en deskundige interne toezichthouder en adviseur met wettelijke taken en bevoegdheden. De FG houdt binnen de organisatie toezicht op de toepassing en naleving van alle privacy wet- en regelgeving waaronder de Algemene Verordening Gegevensbescherming (AVG).

Privacy Team

Binnen de gemeente zijn meerdere rollen belegd met controle en aanpassing van het privacybeleid. Onder het Privacy Team wordt onder meer verstaan de Privacy Officer(s), CISO en de FG.

Persoonsgegevens

Informatie uit data die direct of indirect betrekking heeft op een levend persoon.

Denk hierbij aan naam, adres, geboortedatum. Naast deze gewone persoonsgegevens kent de wet ook bijzondere persoonsgegevens. Deze gegevens gaan over gevoelige onderwerpen, zoals etnische achtergrond, politieke voorkeur of gezondheid.

Verwerker

De organisatie, of persoon, die in opdracht en ten behoeve van de verwerkingsverantwoordelijke bepaalde onderdelen van of de gehele verwerking voor zijn rekening neemt.

Verwerkersovereenkomst

Een overeenkomst waarin de afspraken staan hoe een verwerker met de persoonsgegevens moet omgaan bij verwerkingen in opdracht en ten behoeve van de verwerkingsverantwoordelijke.

Verwerking

Alles wat je met persoonsgegevens kan doen; “het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, doorzenden, verspreiden, beschikbaar stellen, samenbrengen, met elkaar in verband brengen, afschermen, wissen en vernietigen van gegevens.’’

Verwerkingsverantwoordelijke

De organisatie, of persoon, die bepaalt waarom de verwerking van persoonsgegevens plaatsvindt en vaststelt met welke middelen dat gebeurt.

3.1 Rechtmatigheid

Wij gaan uit van de geldende wet- en regelgeving voor gegevensverwerking en hanteren de AVG als basis. Voor verwerking van persoonsgegevens moet er altijd een wettelijke grondslag bestaan.

Het kan zijn dat wij persoonsgegevens vaker moeten gebruiken. Dit kan alleen als dat doel verenigbaar is met de oorspronkelijke verzameldoeleinden. Mocht blijken dat het niet verenigbaar is dan zal worden gekeken naar een rechtmatige grondslag. Dit wordt getoetst bij ons Privacy Team.

Wij leggen alleen persoonsgegevens vast als dit noodzakelijk is voor het specifieke doel van de verwerking. Het kan zijn dat de wet dit ons verplicht of dat het nodig is om de belangen van betrokkenen te beschermen. Dit wordt voor de verwerking concreet gemaakt en vastgelegd in het verwerkingsregister.

Diverse gemeentelijke taken vereisen het gebruik van persoonsgegevens. In deze gevallen is het doel in de wet vastgelegd. Tevens wordt in het verwerkingsregister per verwerking bijgehouden op welke grondslag en met welk doel dit gerechtvaardigd is.

Bij de gegevensverwerking wordt rekening gehouden met de beginselen van proportionaliteit en subsidiariteit. Wij vragen slechts die informatie die noodzakelijk is om het beoogde doel te bereiken. Daarbij gebruiken wij altijd de minst ingrijpende methode voor de betrokkenen.

3.2 Behoorlijkheid

Wij hanteren het principe van minimale gegevensverwerking. Dit wil zeggen dat er geen gegevens worden gevraagd die niet nodig zijn voor het vastgestelde doel. Hiermee geven wij invulling aan het principe van dataminimalisatie. Zo richten wij onze systemen op een wijze in zodat niet te veel informatie wordt gevraagd. Denk aan online formulieren die geen overbodige invulvakjes hanteren. Verder zijn er werkinstructies en periodieke data-“opschoonacties” om het dataminimalisatie principe te waarborgen.

Wij hanteren het beginsel van éénmalige vastlegging, meervoudig gebruik: gegevens die bekend zijn, worden niet nodeloos opnieuw gevraagd. Dit betekent ook zo veel mogelijk gebruik maken van zogenoemde brongegevens, zoals die zijn opgenomen in het stelsel van basisregistraties. Dit is slechts mogelijk als hier een wettelijke grondslag en een verenigbaar doel voor is. De grondslag en verenigbaarheid wordt niet op werknemer-niveau bepaald. Dit wordt op teamniveau vastgelegd middels werkinstructies en autorisaties om heldere kaders te schetsen voor onze medewerkers.

Persoonsgegevens worden niet langer bewaard dan noodzakelijk is. De noodzakelijkheid is voor ons altijd gerelateerd aan het doeleinde waarvoor de betreffende persoonsgegevens zijn verzameld. Vaak is dit op basis van wettelijke bewaartermijnen. Wanneer de wet hier niet in voorziet staan de bewaartermijnen beschreven in ons verwerkingsregister. De gemeente Altena bewaart persoonsgegevens in ieder geval in overeenstemming met de “Selectielijst gemeenten en intergemeentelijke organen 2020”. De interne organisatie heeft toegang tot het verwerkingsregister om de bewaartermijnen te raadplegen. Verder zijn er werkinstructies voor het gebruik van dit register.

Alleen functionarissen (ambtenaren, externen, leveranciers, convenantpartners) waarvoor het voor de directe taakuitoefening noodzakelijk is, hebben inzage in persoonsgegevens. Deze gegevens worden vertrouwelijk behandeld. Verder hebben wij een autorisatiebeleid zodat slechts medewerkers toegang hebben tot de gegevens die hier ook echt een doel voor hebben.

Er wordt gewerkt met geheimhoudingsverklaringen voor externen en leveranciers. Met externe (keten)partners worden overeenkomsten (convenanten) afgesloten.

Persoonsgegevens worden goed beveiligd opgeslagen zodat ze adequaat zijn beschermd tegen misbruik, verlies, onbevoegde toegang en bewerking. Door gebruik te maken van privacy by design wordt al tijdens de ontwikkeling van producten en diensten (zoals informatiesystemen) aandacht aan privacy verhogende maatregelen geschonken.

Het is voor zowel ons als de inwoners van belang dat persoonsgegevens actueel en correct zijn. Er worden diverse projecten en processen periodiek uitgevoerd om de basisregistratie personen actueel en juist te houden. Dit is tevens een wettelijke verantwoordelijkheid.

3.3 Transparantie

Iedereen heeft het recht om te vragen welke persoonsgegevens de gemeente Altena over hem/haar heeft verzameld en waarvoor deze worden gebruikt. Dit gebeurt onder meer door onze privacyverklaring op de website. Verder wordt per team bekeken hoe betrokkenen op een passende wijze worden geïnformeerd. Dit is vastgelegd in werkinstructies om te voldoen aan de informatieplicht onder de AVG.

Inwoners hebben de mogelijkheid om te vragen waarom en welke persoonsgegevens wij van hen verwerken. In de basis verstrekken wij de gevraagde informatie tenzij de wet anders aangeeft. Verder kunnen inwoners om verbetering, aanvulling of verwijdering van persoonsgegevens verzoeken. Dit verzoek wordt gehonoreerd, tenzij ook hier weer de wet anders heeft bepaald.

Om recht te doen aan verzoeken van betrokkenen hebben wij een Procedure rechten van betrokkenen vastgesteld. Hierin is beschreven op welke wijze verzoeken van betrokkenen door ons worden afgehandeld. Hier wordt ook omschreven wie daarbij welke taken en verantwoordelijkheden heeft. In nadere interne beleidsstukken is uitgewerkt hoe betrokkenen tijdig geïnformeerd worden over deze procedure.

Wij zijn transparant over het type persoonsgegevens dat wij voor een specifiek doel met derden delen. Daarbij kan het zijn dat er een uitzondering is wanneer er belangen zijn, genoemd in wet- of regelgeving, die zich daartegen verzetten. Type persoonsgegevens worden bijgehouden in het verwerkingsregister en zijn opvraagbaar.

Wij zijn open en transparant over hoe wij met persoonsgegevens omgaan. Door de waarborg dat afwijkingen van dit beleidskader beargumenteerd worden voorgelegd aan het Privacy Team. Indien nodig zal de interne toezichthouder (de FG) escaleren naar het college en/of de burgemeester. Zo wordt maximaal invulling gegeven aan transparantie richting inwoners en de raad.

4.1 Het verwerkingsregister

Binnen de gemeente werken wij met veel processen en dus ook diverse verwerkingen van persoonsgegevens. Middels een verwerkingsregister wordt precies bijgehouden waar welke verwerkingen plaats vinden. In dit register staat de volgende informatie vermeld:

-De naam en contactgegevens van de vertegenwoordiger namens de gemeente Altena, de FG en eventuele andere organisaties waarmee de gemeente Altena gezamenlijk verwerkingsverantwoordelijke is;

-De doelen en grondslagen van de verwerkingen;

-Een beschrijving van de categorieën van betrokkenen en de categorieën persoonsgegevens;

-Een beschrijving van de ontvangers van de persoonsgegevens;

-Indien van toepassing, een beschrijving van het delen van persoonsgegevens aan derde landen;

-De bewaartermijnen;

-Een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen.

Het Privacy Team beheert het verwerkingsregister. Proceseigenaren binnen de teams zijn verantwoordelijk voor het opnemen van nieuwe verwerkingen in het verwerkingsregister, maar ook voor het controleren van bestaande verwerkingen. Het register wordt jaarlijks generiek gecontroleerd en geactualiseerd. Zij worden hierbij geadviseerd door de Privacy Officer(s). De FG controleert of het register volledig en up-to-date is. Middels een memo worden de rollen en verantwoordelijkheden ten aanzien van het beheer van het register van verwerkingsactiviteiten vastgelegd.

4.2 Data Protection Impact Assessment (DPIA)

De gemeente staat niet stil en wij zijn altijd in ontwikkeling. Zo worden processen en systemen periodiek aangepast. Daardoor kan er sprake zijn van een nieuwe verwerking of wijziging van een bestaande verwerking. Om de privacy risico’s in kaart te brengen voor een juiste belangenafweging voeren wij vooraf een DPIA-Toets uit. De uitvoering van de DPIA-Toets valt onder de verantwoordelijkheid van de teammanager. Deze kan een DPIA-verantwoordelijke binnen het proces aanwijzen. Aan de hand van de uitgevoerde DPIA-Toets worden voor zowel informatiebeveiliging als privacy, een risico-inventarisatie uitgevoerd.

Op basis van de uitgevoerde DPIA-Toets wordt bepaald of voor een afzonderlijke verwerking een hoog risico bestaat. Is dit niet het geval, dan kan een privacy advies van het Privacy Team volstaan. Wanneer een verwerking wel een hoog privacy risico voor betrokkenen met zich meebrengt wordt er eerst een DPIA uitgevoerd. Een DPIA geeft inzicht in welke maatregelen getroffen moeten worden om het risico te verkleinen naar een minimaal en acceptabel niveau. Hiermee wordt invulling gegeven aan een juiste belangenafweging.

De gemeente Altena hanteert hiervoor een standaard DPIA-model. Proceseigenaren zijn verantwoordelijk voor de uitvoering van een DPIA voor een verwerking met een hoog privacy risico. De gemeente hanteert hierbij een handreiking ter verduidelijking voor de DPIA verantwoordelijke. Het Privacy Team ondersteunt en adviseert bij de uitvoering hiervan. De FG geeft advies over de uitgevoerde DPIA.

Het DPIA-proces wordt nader uitgewerkt in een procedure, zodat het voor alle betrokkenen duidelijk is hoe een DPIA moet worden doorlopen.

Het Privacy Team houdt een register bij van uitgevoerde DPIA´s en monitort de voortgang van het DPIA-proces. Er wordt gekeken naar de geïmplementeerde beheersmaatregelen en gerapporteerd aan de FG.

Processen kunnen regelmatig worden aangepast met mogelijke effecten op de verwerking. Als er een wijziging in het proces wordt doorgevoerd is het noodzakelijk om een eerder uitgevoerde DPIA te herzien en te kijken of de wijziging ook nieuwe risico’s met zich meebrengt. Kleine risico’s kunnen groter worden, maar grote risico’s kunnen ook kleiner worden. Dit wordt meegenomen bij een herijking van een DPIA.

4.3 Privacy by Design & Privacy by Default

De gemeente hanteert de principes van Gegevensbescherming door ontwerp en Gegevensbescherming door standaardinstellingen op haar verwerkingen.

Gegevensbescherming door ontwerp: houdt in dat er bij het ontwerpen van producten en diensten voor wordt gezorgd dat persoonsgegevens goed worden beschermd. Bij de inrichting van het proces en/of bouw van het systeem wordt bijvoorbeeld gekeken naar de benodigde technische en organisatorische maatregelen. Privacy wordt aan het begin voor de uitvoer van projecten meegenomen. Dit wordt gewaarborgd door een Privacy Officer mee te laten kijken in de voorfase van een project. De FG ziet er op toe dat dit ook gebeurt.

Gegevensbescherming door standaardinstellingen: houdt in dat de standaardinstellingen van een programma ingesteld dienen te worden op de meest privacy vriendelijke manier. Zoals beschreven in paragraaf 4.2 geldt voor de gemeente Altena dat voor een nieuwe verwerking of een wijziging in een bestaande verwerking een DPIA-Toets uitgevoerd dient te worden. Door deze toets wordt aan de voorkant helder of een uitgebreidere DPIA noodzakelijk is. Bij het uitvoeren van een DPIA worden de voor Gegevensbescherming door ontwerp en Gegevensbescherming door standaardinstellingen noodzakelijke aspecten (bijvoorbeeld dataminimalisatie en bewaartermijnen) meegenomen in de voorgenomen verwerking. Zo worden in formulieren geen gegevens gevraagd die overbodig zijn. Dit helpt tevens mee aan het principe van dataminimalisatie. Op deze manier wordt geborgd dat nieuwe verwerkingen conform de normen van Gegevensbescherming door ontwerp en Gegevensbescherming door standaardinstellingen worden ingericht.

Kortom betekent dit dat de procesverantwoordelijke privacy in zijn processen en applicaties betrekt, en altijd de meest privacyvriendelijke optie kiest als dat mogelijk is.

4.4 Datalekken

Een datalek heeft potentieel een grote impact op betrokkenen en ons als organisatie. Er worden daarom meerdere processen, systemen en acties ingezet om datalekken te voorkomen. Volledig uitsluiten is onmogelijk, maar wij zetten ons in om een cultuur te creëren waarin het snel melden van mogelijke datalekken wordt gestimuleerd. Het kan namelijk zo zijn dat een datalek gemeld moet worden bij de Autoriteit Persoonsgegevens (hierna: AP) en/of betrokkenen binnen 72 uur. Indien wij niet of niet tijdig melden lopen wij een risico op een boete van de AP. Deze kan oplopen tot een maximum van 20 miljoen euro of 4% van een jaaromzet. Los van een morele verplichting is er dus ook een financieel risico wanneer niet wordt voldaan aan de meldplicht.

Om te voldoen aan bovengenoemde verplichtingen is er een procedure datalekken opgesteld. Hier staat beschreven op welke wijze datalekken worden afgehandeld en wie daarbij welke taken en verantwoordelijkheden heeft. In deze procedure staat ook beschreven hoe en wanneer een datalek dient te worden gemeld bij de AP en/of betrokkenen. Daarnaast ontvangen onze medewerkers meerdere malen per jaar informatie over dit thema om de bewustwording op peil te houden. Tevens staat de gemeente Altena voor een open en veilige cultuur zodat medewerkers zich veilig voelen om datalekken te melden. Dit wordt bevorderd door de bestuurders. Tot slot staan op het interne portaal van de gemeente Altena diverse aanvullende bronnen ten aanzien van het melden van datalekken.

Om te blijven anticiperen op mogelijke risico’s wordt er een intern datalekregister bijgehouden waarin alle geconstateerde beveiligingsincidenten worden geregistreerd. Hierin wordt vastgelegd of het beveiligingsincident heeft geleid tot een datalek en indien dat het geval is, het datalek ook is gemeld bij de toezichthouder en/of de betrokkenen. Jaarlijks wordt het datalekregister geëvalueerd om trends bij te houden en structurele verbeteringen intern door te voeren. Tevens worden gevoelige datalekken direct geëvalueerd om zo dringende aanpassingen gelijk door te voeren in de organisatie.

4.5 Functionaris Gegevensbescherming (FG)

De gemeente Altena is een overheidsinstantie die structureel en op grote schaal persoonsgegevens verwerkt, waaronder bijzondere persoonsgegevens. Het is in dit geval een wettelijke verplichting een FG aan te stellen.

De FG is als interne toezichthouder betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. De gemeente heeft er voor gekozen om de rol van FG intern te beleggen. Samen met de Privacy Officer(s) vormt hij het Privacy Team.

De FG is een onafhankelijke toezichthouder die gevraagd en ongevraagd advies geeft op het gebied van de AVG. De FG voert jaarlijks een interne audit uit en maakt daarbij een FG-toezichtplan. De FG rapporteert jaarlijks over de naleving van privacy wet- en regelgeving aan het college van B&W. De FG heeft onder meer de volgende wettelijke taken:

•Informatievoorziening;

•Toezicht op de implementatie van de privacy wet- en regelgeving;

•Contactpersoon voor de Autoriteit Persoonsgegevens;

•Periodieke verslaglegging aan college van B&W over de uitvoering van zijn taken;

•Het zorg dragen voor een juiste afwikkeling van de vragen of klachten van Betrokkenen;

•Adviseren en beoordelen van uitgevoerde DPIA’s.

4.6 Beveiliging

Op grond van de AVG dienen organisaties passende technische en organisatorische maatregelen te nemen om de persoonsgegevens die zij verwerkt, te beveiligen. De gemeente Altena heeft een Strategisch en Tactisch Informatiebeveiligingsbeleid opgesteld waarin is beschreven op welke wijze invulling is gegeven aan de passende beveiliging van persoonsgegevens. Tevens is er een CISO aangesteld, conform het functieprofiel van de IBD. De CISO staat voor Chief Information Security Officer, die verantwoordelijk is voor informatiebeveiliging(sbeleid). Voor meer informatie daarover wordt verwezen naar het Informatiebeveiligingsbeleid.

4.7 Gegevens delen met derden

Wanneer er sprake is van structurele of gevoelige gegevensuitwisseling met derde partijen, worden er afspraken gemaakt over de gegevensuitwisseling. Deze afspraken voldoen tenminste aan de AVG en worden vastgelegd in een onderlinge regeling, samenwerkingsovereenkomst (convenant), een gegevensuitwisselingsovereenkomst of een verwerkersovereenkomst. De gemeente Altena sluit zich aan bij de sjablonen van de VNG.

Er is een model verwerkersovereenkomst aanwezig dat inhoudelijk voldoet aan de eisen die de AVG daaraan stelt. Verwerkers worden bijgehouden in het verwerkingsregister van de gemeente Altena. De ondertekende versies van de verwerkersovereenkomsten behoren bij de proceseigenaren te zijn gearchiveerd. De gemeente Altena gebruikt zoveel mogelijk landelijke standaarden en richtlijnen om de contractuele verplichtingen te regelen met derden. Dit is uitgewerkt in werkinstructies en gewaarborgd in het inkooptraject.

Met betrekking tot doorgifte hanteert de gemeente het uitgangspunt dat persoonsgegevens niet worden doorgegeven aan een bedrijf of vestiging in een land buiten de Europese Economische Ruimte (EER), tenzij deze doorgifte aantoonbaar rechtmatig is, en strikt noodzakelijk. Rechtmatigheid wordt aangetoond in een van de volgende vier gevallen:

•Een adequaatheidsbesluit;

•Passende waarborgen middels een modelcontract (Standard Contractual Clauses);

•Binding corporate rules (BCR);

•Specifieke uitzonderingen.