Privacybeleid 2026-2029 Heemstede

Op de volgende pagina’s is de privacy governance van de gemeente Heemstede voor de processen op het gebied van privacy opgenomen.

1Beheer van het register van verwerkingen

Vanuit de AVG is het verplicht een register van verwerkingen op te stellen en actueel te houden van alle gegevensverwerkingen binnen de organisatie. In het register moeten minimaal de volgende gegevens opgenomen worden: van wie gegevens worden verwerkt, welke gegevens worden verwerkt en voor welke doeleinden, hoe lang de gegevens bewaard worden, wie de gegevens ontvangen, of er gegevens naar buiten de EU worden verstrekt, hoe de gegevens worden beveiligd en de naam en contactgegevens van de verantwoordelijke en van de Functionaris gegevensbescherming.

Proceseigenaar

Privacybeheerder

ISO

CISO

FG

Actieve aanlevering van nieuwe verwerkingen bij de privacybeheerder en de FG

X

Zorgdragen voor de actualiteit van verwerkingen(register)

X

Coördinatie van de actualisatie van het register van verwerkingen

X

Beheer van het register van verwerkingen

X

Toetsing op kwaliteit, actualiteit, juistheid en volledigheid van (register van) verwerkingen

X

2Registratie, beheer en actualisatie van verwerkersovereenkomsten

Als de verantwoordelijke een andere organisatie inschakelt om persoonsgegevens voor hem te verwerken, dan moet met deze organisatie een verwerkersovereenkomst afgesloten worden. In deze overeenkomst moeten de volgende elementen opgenomen worden:

-omschrijving van het onderwerp, de duur, de aard en het doel van de verwerking

-het soort persoonsgegevens, de categorieën van betrokkenen en de rechten en plichten van de verantwoordelijke;

-verwerking vindt alleen plaats op basis van de schriftelijke instructies van de verantwoordelijke;

-geheimhoudingsplicht voor personen in dienst van of werkzaam voor de verwerker;

-het treffen van passende technisch en organisatorische maatregelen om de verwerking te beveiligen;

-er worden geen subverwerkers ingeschakeld zonder voorafgaande schriftelijke toestemming van de verantwoordelijke;

-de verwerker helpt de verantwoordelijke bij het voldoen van de plichten als betrokkenen hun privacyrechten uitoefenen en voor het nakomen van andere verplichtingen, zoals het melden van datalekken en het uitvoeren van een Data Protection Impact Assessment (DPIA);

-na afloop van de verwerkingsdiensten verwijdert de verwerker de gegeven of geeft deze terug (inclusief eventuele kopieën);

-de verwerker werkt mee aan audits.

De gemeente Heemstede heeft een standaard verwerkersovereenkomst die in principe gebruikt wordt. Mocht een verwerker onoverkomelijke bezwaren hebben tegen deze overeenkomst, dan kan na een goede motivatie hiervoor en goedkeuring van de overeenkomst door de privacybeheerder eventueel gebruik gemaakt worden van de overeenkomst van de verwerker.

Proceseigenaar

Privacybeheerder

ISO

CISO

FG

Afsluiten van verwerkersovereenkomsten

X

Actualiseren en beheren van de modelverwerkersovereenkomst

X

X

X

Advies aan de organisatie ten aanzien van werken met verwerkers en verwerkersovereenkomsten

X

X

X

X

Coördinatie registratie verwerkers en archivering van verwerkersovereenkomsten

X

Toezicht op registratie verwerkers en verwerkersovereenkomsten

X

3Deelname aan overleg over privacy

Er is een regulier privacyoverleg waaraan de privacybeheerder, de CISO en de FG deelnemen. Daarnaast nemen deze personen deel aan overleggen van afdelingen, projectgroepen en werkgroepen waarin privacyvraagstukken aan de orde komen.

Proceseigenaar

Privacybeheerder

ISO

CISO

FG

Voorzitten privacyoverleg

X

Deelnemen aan privacyoverleg

X

X

X

X

Uitnodigen privacyspecialisten voor bijwonen overleggen met privacyvraagstukken

X

Deelnemen aan project-, team- en themaoverleggen met betrekking tot privacyvraagstukken

X

X

X

X

4Afhandeling datalekken

Een beveiligingsincident kan een datalek zijn. Als een beveiligingsincident ook een datalek betreft, worden het beveiligingsincident en het datalek naast elkaar afgehandeld. Hier wordt ingegaan op de afhandeling van datalekken.

Een datalek is een inbreuk op de beveiliging van persoonsgegevens. Dit is heel breed. Het kan bijvoorbeeld gaan over een hacker die toegang heeft gekregen tot persoonsgegevens of een brand waarmee de serverruimte wordt vernietigd, een verloren usb-stick met persoonsgegevens of zelfs het versturen van een brief naar een verkeerd adres, waarbij de bewoner de brief ook geopend heeft.

Elke medewerker binnen Heemstede moet datalekken melden. Het meldingsformulier staat opgenomen op Intranet.

Proceseigenaar

Privacybeheerder

ISO

CISO

FG

Inventariseren van feiten en omstandigheden en opstellen verslag van feiten en omstandigheden

X

X

X

X

Uitvoeren analyse

X

X

X

X

Verstrekken advies

X

X

In geval van dilemma’s in analyse en / of advies afstemmen met respectievelijk de eigenaar, gemeentesecretaris en bestuurder

X

X

Opstellen en versturen rapportage datalek

X

X

X

Afstemmen datalek en resultaten analyse met secretaris

X

X

X

Controle rapportage datalek

X

X

Melden datalek bij Autoriteit persoonsgegevens

X

X

X

Melden datalek aan betrokkenen

X

Implementeren adviezen uit rapportages

X

Toetsing op implementatie adviezen

X

5Advies en voorlichting aan de organisatie

Het goed omgaan met de privacy staat of valt met het gedrag van de personen die de persoonsgegevens verwerken. Het is daarom belangrijk dat alle medewerkers, het management en het bestuur goed op de hoogte zijn van wat kan en mag; zij moeten zich bewust zijn van de risico’s die het verwerken van persoonsgegevens met zich mee brengen.

Proceseigenaar

Privacybeheerder

ISO

CISO

FG

Gevraagd en ongevraagd advies geven aan bestuur, management en medewerkers met betrekking tot privacyvraagstukken.

X

X

X

X

Voorlichting en communicatie over privacy aan de organisatie (bewustwording), inclusief het opstellen van een bewustwordingsplan.

X

X

X

X

Continue aandacht voor privacy op de afdeling

X

6Uitvoering risicoanalyse en Data Protection Impact Assessment (DPIA)

De AVG verplicht de verantwoordelijke in bepaalde gevallen voor het beginnen van het verwerken van gegevens voor een bepaald doel een DPIA uit te voeren. Dit is nodig als de gegevensverwerking een hoog privacyrisico oplevert voor de mensen van wie de gegevens verwerkt worden. Een goed uitgevoerde DPIA geeft inzicht in de risico’s die de verwerking oplevert voor betrokkenen en in de maatregelen die de verantwoordelijke moet nemen om de risico’s af te dekken. Daarnaast is het soms ook nodig om een DPIA uit te voeren voor een bestaande gegevensverwerking, bijvoorbeeld als er nog nooit een onderzoek heeft plaatsgevonden of als er veranderingen zijn ten opzichte van de vorige DPIA, zoals het gebruiken van een nieuwe technologie of als de gegevens voor een ander doel gebruikt worden. Dit is ook nodig als het risico of de omgeving verandert.

De basis voor de risicoanalyse is een vastgesteld risicokader. Ook moet er sprake zijn van een risicomanagementbeleid, waarin ook de ‘Risk Appetite’ is opgenomen: welke risicoscore is de organisatie bereid om te accepteren bij het nastreven van haar doelstellingen.

MT

Proceseigenaar

Privacybeheerder

ISO

CISO

FG

Opstellen risicokader en -beleid

X

Jaarlijkse controle op naleving risicokader en -beleid

X

X

Rapporteren uitkomst jaarlijkse controle aan MT en opnemen resultaten in Information Security Management System (ISMS)

X

Initiëren / aanvragen DPIA

X

Uitvoeren DPIA, inclusief uitvoeren risicoanalyse

X

X

X

Inhoudelijke en procedurele ondersteuning van de eigenaar bij het doorlopen van de DPIA

X

X

X

Adviseren over de DPIA

X

X

Opstellen verslag inclusief aanbevelingen, verwerken en archiveren van de resultaten van de DPIA

X

X

Uitvoeren acties / implementeren maatregelen voortkomend uit de DPIA

X

Toetsen uitgevoerde acties / geïmplementeerde maatregelen

X

Toetsen op de procedure, de resultaten, de effectuering en de naleving van de resultaten uit de DPIA

X

7Afhandeling verzoek rechten van betrokkenen met betrekking tot persoonsgegevens

Onder de AVG heeft de betrokkene een aantal rechten om controle te houden over hun persoonsgegevens. Het gaat hierbij om:

1recht op inzage;

2recht op vergetelheid;

3recht op rectificatie en aanvulling;

4recht op dataportabiliteit;

5recht op beperking van verwerking;

6recht om bezwaar te maken;

7recht op een menselijke blik bij besluiten;

8recht op duidelijke informatie over wat met hun persoonsgegevens gebeurt.

Het gaat hier om de rechten 1 tot en met 6.

Proceseigenaar

Privacybeheerder

ISO

CISO

FG

Verantwoordelijk voor het opstellen van procedures voor afhandeling verzoeken

X

X

Ontvangen verzoek, uitzetten vraag binnen de organisatie, verzamelen informatie en terugkoppeling naar aanvrager bij afdelingsoverstijgend verzoek

X

Verzoek uitvoeren, inclusief het eventueel anonimiseren van de documenten

X

Procedureel en inhoudelijk ondersteunen bij de procedures verzoek rechten van betrokkenen

X

Optimalisatie van de procedure, verzorgen van communicatie en voorlichting en verkrijgen van draagkracht binnen de organisatie rond de procedures over verzoeken rechten van betrokkenen

X

X

Toezicht op doorlopen procedures verzoek rechten van betrokkenen

X

8Ontwikkelen en beheer van procedures, formats en beleid

Om ervoor te zorgen dat de medewerkers op een uniforme en goede manier met privacy omgaan moeten procedures, formats en beleid ontwikkeld en beheerd worden.

Proceseigenaar

Privacybeheerder

ISO

CISO

FG

De ontwikkeling, de optimalisatie en de interne en externe communicatie rond gemeentebrede procedures, formats en beleid met betrekking tot privacy

X

X

X

X

Vertalen van het gemeentebrede beleid en procedures naar de afdelingsspecifieke situatie (zoals het schrijven van het afdelingsspecifieke privacybeleid en opstellen van afdelingsspecifieke privacyprocedures).

X

Ten uitvoer brengen van het beleid

X

Het beheer en de archivering van procedures, formats en beleid met betrekking tot privacy

X

Toezicht op de kwaliteit, archivering, communicatie en toepassing van de procedures, formats en beleid

X