Beleidsuitwerking Privacy gemeente Geldrop-Mierlo

2.6.1. Domeinspecifieke wetgevingen gaan vóór de AVG

De gemeente voert taken uit voor diverse wetgevingen, zoals de Wet Basisregistratie Persoonsgegevens (BRP), Jeugdwet, de Wet Maatschappelijke Ondersteuning (WMO).

De in die wetgeving beschreven gegevensbeschermingsmaatregelen gaan vóór de AVG-bepalingen.

Daar waar niets in de specifieke wet vermeld staat over gegevensbescherming, geldt de AVG.

Zodra vanuit de BRP gegevens verstrekt worden, is de AVG van toepassing.

Daarnaast is er ook nog het Europees Verdrag voor de Rechten van de Mens

10Europees Verdrag voor de Rechten van de Mens

waarin de universele rechten van de Mens en fundamentele vrijheden zijn vastgelegd.

2.6.2. Richtinggevend en kader stellend

Informatiebeveiliging is een randvoorwaarde voor de bescherming van persoonsgegevens en politiegegevens. Het informatiebeveiligingsbeleid is richtinggevend en kader stellend ten aanzien van de maatregelen om de beschikbaarheid, integriteit en vertrouwelijkheid van (persoons)gegevens te garanderen.

Zorgvuldig omgaan met persoonsgegevens vereist een integere houding. In het kader van integriteit leggen nieuwe medewerkers de eed of belofte af en hebben zij een geheimhoudingsplicht.

Het archiefbeleid is vastgelegd in de Archiefverordening en Beheerregeling Informatiebeheer, en gebaseerd op de Archiefwet. Beleidsuitwerking privacy en archiefbeleid worden in onderlinge samenhang bekeken.

2.6.3. Ethiek en Algoritmen en andere nieuwe thema’s

Ethiek speelt een belangrijke rol op het (negatief) effect voor betrokkenen of de samenleving. Het gaat over het juist handelen en het evalueren ervan, op ethische principes

114ethische principes van de Amerikaanse bio-ethici Tom Beachamp en James Childress

zoals respect voor autonomie (vrijheid, eigen regie), weldoen, niet schaden en rechtvaardigheid. De methodiek Impact Assessment Mensenrechten en Algoritmen (IAMA

12Ontwikkelt iom University Utrecht

) wordt binnen de overheid veelal gebruikt om de ethische risico’s in kaart te brengen, met name voor vragen met betrekking tot gegevensdeling en inzet van algoritmes. We gaan bekijken of deze methodiek overlap heeft of is samen te voegen met de Data Protection Impact Assessment (DPIA).

Algoritmes

13Een proces, stappenplan of een serie regels die een computer moet volgen om een probleem of rekensom op te lossen.

hebben impact op (automatische) besluitvorming voor betrokkenen. Daarom is het belangrijk om te begrijpen wat algoritmes doen en hierover transparant zijn. De gemeente is aangesloten op het landelijke Algoritmeregister Nederlandse Overheid.

4.4.1. Bewaartermijn van politiegegevens

Alle politiegegevens worden gelabeld conform de Wpg-artikelen 8, 9 en 13 en hiervoor wordt de bewaartermijn ingericht. De gemeente regelt hiermee dat politiegegevens niet langer worden bewaard dan de minimale tijd die nodig is, conform de toepasselijke wet- en regelgeving of voor de doeleinden waarvoor deze zijn verwerkt.

Politiegegevens worden na verwijdering nog maximaal vijf jaar bewaard en worden daarna vernietigt, of eerder als een andere bewaartermijn geldt. In geval van cultureel of historisch belang kan worden afgezien van vernietiging van de gegevens, echter dan voldoen we aan bewaareisen van de Archiefwet.

5.4.1. Ter beschikking stellen en verstrekken van politiegegevens

Conform de Wpg hanteert de gemeente het ‘need to know’-principe, waarbij altijd een afweging wordt gemaakt t.a.v. de noodzakelijkheid, de proportionaliteit en de subsidiariteit. Het houdt in dat de gemeente politiegegevens deelt met personen of instanties binnen het politiedomein die de politiegegevens nodig hebben voor de uitvoering van hun politietaak. Dit wordt ‘ter beschikking stellen’ genoemd.

Gegevensdeling buiten het politiedomein wordt ‘verstrekken’ genoemd. De gemeente verstrekt alleen politiegegevens voor zover dit noodzakelijk is voor de doeleinden zoals deze in de Wpg en het Bpg zijn genoemd, en zorgt daarbij dat zij voldoet dan aan de documentatieplicht. Indien vereist is, zorgt de gemeente dat de verstrekking plaatsvindt in overeenstemming met het bevoegd gezag. Bijvoorbeeld bij verstrekkingen aan de burgemeester, een toezichthouder, een advocaat of een functionaris in het kader van de Wet bibob.

5.8.1. AVG rechten vs andere verzoeken

De gemeente kan ook verzoeken ontvangen die onder andere wetgevingen vallen en vanuit die wetgeving beoordeeld worden. Bij beoordeling van het verzoek bekijkt de gemeente telkens of het antwoord geen inbreuk maakt op de persoonlijke levenssfeer van betrokkenen. Bijvoorbeeld: BRP geheimhouding, Jeugddossier inzage, Wet maatschappelijke ondersteuning dossier inzage, Wet Open Overheid (WOO), Wet hergebruik van overheidsinformatie (WHO).

5.13.1. ENSIA

In de Eenduidige Normatiek Single Information Audit, het verantwoordingstraject informatiebeveiliging dat jaarlijks wordt uitgevoerd, wordt de AVG (gedeeltelijk) meegenomen.

5.13.2. WPG interne controle & externe audit

De gemeente laat overeenkomstig de Regeling periodieke audit politiegegevens één keer in de vier jaar een externe audit uitvoeren op naleving van de WPG voor het verwerken van politiegegevens. Indien er tekortkomingen zijn, wordt binnen 3 maanden een verbeterrapport opgesteld en volgt binnen 1 jaar een externe her-controle op die onderdelen waar tekortkomingen geconstateerd zijn.

De resultaten van de Wpg-privacyaudit en eventuele her-controle worden aan de AP verstrekt.

Daarnaast voert de gemeente jaarlijks een interne controle uit op de naleving van een aantal onderdelen van de WPG voor het verwerken van politiegegevens. Dit gebeurd door een auditor die Wpg-getraind is. Voor 2023 tot en met 2025 is dit belegd bij een extern bureau.

5.13.3. Informatieverstrekking, Toezicht en Onderzoek door FG

De FG is de interne toezichthouder. Zie paragraaf 3.9.