Privacy reglement gemeente Borger-Odoorn

Gouden regels voor zorgvuldig en veilig omgaan met (persoons-)gegevens

Om voor iedereen op een duidelijke en begrijpelijke wijze het belang van het zorgvuldig omgaan met persoonsgegevens onder de aandacht te brengen, zijn er 10 regels opgesteld. Deze regels gelden niet alleen binnen de ‘muren’ van de gemeente Borger-Odoorn, maar uiteraard ook als je thuis of op een andere locatie werkt. Ook gelden deze regels voor de Stichting Sociale Teams Borger-Odoorn.

Deze 10 regels worden gezamenlijk aangeduid als de gouden regels voor zorgvuldig en veilig omgaan met (persoons-)gegevens. Iedereen binnen de gemeente Borger-Odoorn en de Stichting Sociale Teams Borger-Odoorn dient deze gouden regels te kennen, te respecteren en toe te passen in de dagelijkse werkzaamheden.

De 10 gouden regels zijn:

1Behandel persoonsgegevens vertrouwelijk en integer;

•Iedereen heeft recht op eerbiediging van zijn persoonlijke levenssfeer en een zorgvuldige omgang met zijn persoonsgegevens*;

•Persoonsgegevens mogen alleen worden verzameld en verwerkt* (zo)als het in ons ‘register van verwerkingen’ is aangegeven;

•Gegevens moeten correct en actueel zijn. Zorg ervoor dat gegevens niet (meer) zijn worden gewist of gecorrigeerd;

•Ben je er van bewust dat toestemming van betrokkenen* voor verwerking van gegevens voor ons geen rechtmatige grondslag is als betrokkenen afhankelijk is van ons besluit (niet in vrijheid gegeven). Dit geldt bijna ook altijd voor het delen van gegevens.

2Ga zorgvuldig met (persoons)gegevens om;

•Berg na werktijd alle stukken met persoonsgegevens op in afgesloten kasten;

•Bespreek vertrouwelijke zaken op de juiste plaats en denk na over de informatie die je deelt;

•Laat geen documenten liggen bij de multifunctionals en neem ook de originelen mee.

3Ga (veilig) met (persoons)gegevens om;

•Vergrendel je computer als je je plek verlaat, ook als je kort van je plek bent;

•Laat, als je van je plek gaat, ook geen persoonsgegevens liggen;

•Persoonsgegevens moeten worden beschermd tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging, beschadiging of diefstal;

•Houd wachtwoorden geheim;

•Gebruik beveiligde papiercontainers als je informatie met persoonsgegevens wilt weggooien. Gooi vertrouwelijke documenten niet thuis bij het oud papier, maar neem ze mee naar kantoor voor vernietiging.

4Verwerk niet meer persoonsgegevens dan nodig;

•Verwerk alléén gegevens die noodzakelijk zijn voor het bereiken van het doel: let daarbij altijd op de proportionaliteit (evenredigheid tot doel) en subsidiariteit (doel op minst ingrijpende manier bereiken).

•Er zijn veel klanten die ons zonder enige beperking voorzien van álle (bijzondere) persoonsgegevens die ze bezitten. Noteer en rapporteer (ook dan) alleen de gegevens die strikt noodzakelijk zijn voor je taak (b.v. benoem alleen dat er (bepaalde) belemmeringen zijn die in de weg staan bij arbeidsinschakeling en vermeld eventueel dat je bewijs hebt ingezien);

•Verwerk geen persoonsgegevens waaruit iemands ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, het lidmaatschap van een vakbond, gegevens over gezondheid, gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid blijken.

5Motiveer en leg vast wat je doet;

•Deel of ontvang je gegevens? Leg dan ook vast dat, wat en door/aan wie het gedeeld is;

•Houd altijd rekening met de rechten van betrokkene (o.a. informatie, inzage, rectificatie, verwijdering).

6Leg uit waarom we persoonsgegevens verwerken en wees transparant;

•Als je vraagt om persoonsgegevens, leg dan aan betrokkene uit waarom en waarvoor de persoonsgegevens worden verwerkt (of waarom juist níet) en wat dit betekent;

•Wij verzamelen veel gegevens van en over personen. Een persoon waarover wij gegevens verzamelen heeft het recht om te weten wat wij met de gegevens doen en wat wij over de persoon verwerken. Dit staat ook in ons privacyverklaring (website) en in ons register van verwerkingsactiviteiten.

7Weet wanneer je persoonsgegevens mag delen met anderen;

•Delen van persoonsgegevens is verboden, tenzij dit op grond van een verplichting of bevoegdheid wél mag en het delen noodzakelijk is;

•Verzeker je er (altijd) van of je gegevens mág delen. Ben je bewust van de consequenties als gegevens onterecht worden gedeeld. Binnen de gemeente Borger-Odoorn kan het per rol verschillen wat je mag delen. Twijfel je? Raadpleeg dan altijd het register van verwerkingsactiviteiten op de website.

8Ken de risico's van e-mail, internet en sociale media;

•Bij het verzenden van een e-mail waarin persoonsgegevens staan, moet je altijd gebruik maken van ‘veilig verzenden’. Dit doe je door de e-mail te verzenden via de knop ‘veilig verzenden’. Dit moet zowel intern als extern;

•Verzend nooit lijsten of persoonsgegevens naar externe personen of bedrijven (zonder toestemming van je coördinator of teamleider);

•Check altijd of de ontvangers van een e-mail de informatie ook écht moeten hebben;

•Controleer bij het doorsturen van e-mail of de hele inhoud, dus ook eventuele bijlages, voor de ontvanger(s) bestemd is;

•Wees zakelijk, vriendelijk en discreet op sociale netwerken zoals LinkedIn, Facebook en Twitter.

9Ga verantwoord om met mobiele faciliteiten;

•Neem mobiele apparaten waar gegevens opstaan mee of berg ze afgesloten op: zoals smartphones, tablets en USB-sticks;

•Ga zorgvuldig om met mobiele apparatuur en voorkom verlies of diefstal;

•Beveilig je mobiele apparatuur met een sterk wachtwoord;

•Zorg dat waardevolle informatie van je mobiele apparatuur regelmatig wordt opgeslagen op het netwerk van de gemeente;

•Sla nooit persoonsgegevens op op je eigen laptop/computer of telefoon.

10Maak melding van beveiligingsincidenten.

•Een inbreuk in verband met persoonsgegevens (een datalek*) kan voor betrokkenen grote gevolgen hebben, waaronder verlies van controle over hun persoonsgegevens, beperking van hun rechten, discriminatie, identiteitsdiefstal of financiële verliezen;

•Voorbeelden van incidenten: verlies IPhone, verlies documenten, ongeautoriseerd gebruik, verzending (delen) persoonsgegevens naar b.v. een verkeerd (e-mail-) adres en of persoon etc.;

•Heb je een lek of incident geconstateerd? Neem altijd onverwijld contact op met je coördinator of teamleider en meld dit bij privacy@borger-odoorn.nl

•Na melding wordt beoordeeld:

•Wie en hoe het incident/lek aangepakt moet worden;

•of het incident gemeld moet worden aan de Autoriteit persoonsgegevens.

Jurist privacy: Anne Hulshof

Functionaris gegevensbescherming: Harry de Groot

CISO: Ronald Schotanus

Contactpersoon privacy Sociale Teams: Anne-Marie Keizer

* begripsbepalingen:

Betrokkene: degene op wie een Persoonsgegeven betrekking heeft.

Persoonsgegeven: alle gegevens die betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon. Dit betekent dat informatie ofwel direct over iemand gaat, ofwel naar deze persoon te herleiden is.

Het verwerken van Persoonsgegevens: De verwerking van persoonsgegevens is elke handeling of elk geheel van handelingen met persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde processen. In de AVG valt onder een verwerking:

•Verzamelen, vastleggen en ordenen

•Bewaren, bijwerken en wijzigen

•Opvragen, raadplegen, gebruiken

•Verstrekken door middel van doorzending

•Verspreiding of enige andere vorm van ter beschikkingstellen

•Samenbrengen, met elkaar in verband brengen

•Afschermen, uitwissen of vernietigen van gegevens

Datalek: elke inbreuk op de beveiliging van de Persoonsgegevens, die per ongeluk of op onrechtmatige wijze heeft geleid tot de vernietiging, het verlies, de wijziging of de ongeautoriseerde toegang tot, de ongeautoriseerde verstrekking van of het ongeautoriseerde gebruik van doorgezonden, opgeslagen of anderszins verwerkte Persoonsgegevens, inclusief geconstateerde incidenten of kwetsbaarheden waarin dergelijk verlies, toegang, verstrekking, gebruik of verwerking redelijkerwijs niet kan worden uitgesloten. Voorbeelden zijn verlies van een USB-stick of computer, inbraak door een hacker, verzending van email waarin de e-mailadressen van alle geadresseerden zichtbaar zijn voor andere geadresseerden, een malwarebesmetting of een calamiteit, zoals brand in een datacentrum.