Privacy beleid Gemeente Helmond 2026 – 2029

9.1 De risicoanalyse

Risicobeheer is de kern van informatiebeveiliging en privacy en sluit aan bij onze architectuurprincipes. We zorgen ervoor dat van al onze processen, diensten en producten en informatiesystemen de risico’s bekend zijn. We zoeken goede oplossingen en regelen deze in zodat privacy problemen zich niet of nauwelijks voordoen. We starten pas als de restrisico’s voor betrokkenen laag zijn.

Een risicoanalyse heeft betrekking op zowel privacy- als informatiebeveiligingsaspecten. Bij de prioritering van de uit te voeren maatregelen houden we daarom zowel rekening met de risico’s voor betrokkenen als de risico’s voor de organisatie. Hoe hoger het risico voor betrokkenen hoe hoger de prioriteit.

Een DPIA is onderdeel van de uit te voeren risicoanalyse. De proceseigenaar is verantwoordelijk voor het uitvoeren van een risicoanalyse, het treffen van mitigerende maatregelen en het accepteren van de restrisico’s. Hij of zij wordt daarbij ondersteund door medewerkers van zijn eigen afdeling én het SPO-team. Hij of zij vraagt daarnaast advies aan de FG en CISO. De processen zijn beschreven. We hebben daarnaast instructies en procedures. Deze sluiten aan bij de landelijke standaarden van de Vereniging Nederlandse Gemeenten (VNG).

9.2 Privacy by design

Het is van groot belang om aan de voorkant te bedenken welke vragen en problemen vanuit privacy-oogpunt (kunnen) gaan spelen. Door dan al oplossingen te bedenken en toe te passen, zorgen we er al bij het ontwerp voor dat persoonsgegevens goed worden beschermd. Dit noemen we privacy by design.

Uitgangspunt is daarom dat risicomanagement onderdeel is van de besluitvorming. We voeren een risicoanalyse uit bij nieuwe ontwikkelingen en veranderingen:

1binnen een proces (onderdeel van resultaat van deze procesaanpassing);

2die leiden tot een project (onderdeel van het projectresultaat; projectfase:

a.bij opstellen startnotitie: op hoofdlijnen;

b.tijdens het opstellen van het plan van aanpak: uitvoeren van deze richtlijn;

3bij beleid (onderdeel van beleidsaanpassing);

4bij inkoop van producten of diensten.

9.3 Privacy by default

We hanteren het uitgangspunt dat de instellingen van een programma, app, website of dienst zo privacy-vriendelijk mogelijk zijn. Ook dienen de verplichtingen uit de Wpg zoveel als mogelijk te zijn geborgd binnen de applicatie. Dat noemen we privacy by default. Privacy by default is een onderdeel van privacy by design.

12.1 Privacyrechten gebruiken

Betrokkenen kunnen online een verzoek rechten van betrokkene indienen.

Om er zeker van te zijn dat betrokkene is wie hij of zij zegt dat hij of zij is, identificeren wij hem of haar altijd. Inloggen via DigiD is daarom verplicht. Beschikt men niet over DigiD of dient men het verzoek niet online in? Dan stellen we de identificatie altijd vast aan de hand van persoonlijk contact en een origineel identiteitsbewijs. Hiervoor kunnen betrokkenen een afspraak maken met het klantencontact centrum.

Een kopie van een identiteitsbewijs wordt niet geaccepteerd. Er kan namelijk niet worden gecontroleerd of het identiteitsbewijs echt is. Bovendien is een kopie gemakkelijk te vervalsen., zeker met de huidige digitale technieken. Een kopie zorgt dan ook per definitie voor twijfel over de identiteit van betrokkene.

Voor medewerkers geldt dat zij ook een beroep kunnen doen op deze rechten voor zover de organisatie gegevens over hen verwerkt. Omdat zij al bekend zijn bij de organisatie hoeven zij zich niet te identificeren. Zij kunnen hun verzoek daarom rechtstreeks indienen bij het SPO team. Indien nodig kan het SPO team wel aanvullend onderzoek doen om de identiteit van een medewerker vast te stellen.

Betrokkenen mogen alleen hun eigen persoonsgegevens inzien. Anderen mogen alleen persoonsgegevens inzien als zij hier schriftelijk voor zijn gemachtigd. Dit geldt ook voor een curator of mentor, een vertegenwoordiger of belangenbehartiger. Uit de machtiging moet blijken welke informatie mag worden verstrekt, aan wie de informatie mag worden verstrekt en met welk doel. Ook voor gemachtigden geldt er een identificatieplicht.

De verzoeken worden, in samenspraak met de afdeling, afgehandeld door het SPO team. De wijze waarop dit gebeurt is vastgelegd in procedures.

Verzoekt een betrokkene om inzage in al zijn persoonsgegevens, dan volstaan wij met een algemene zoekslag. Betrokkene krijgt op dat moment (alleen) een overzicht van bijvoorbeeld zaken en meldingen waar de persoonsgegevens over betrokkene in voorkomen. Men krijgt dan nog niet de persoonsgegevens zelf. Wil betrokkene die persoonsgegevens wel ontvangen, dan kan hij of zij met behulp van het overzicht een nieuw, gespecificeerd, verzoek indienen.

13.1 Wie is bestuurlijk verantwoordelijk?

De bestuursorganen van de gemeente zijn allemaal verwerkingsverantwoordelijken voor de verwerkingen die door hen of namens de gemeente worden uitgevoerd. De bestuursorganen van de gemeente zijn de burgemeester, het college van B&W en de Gemeenteraad.

13.2 Wie is ambtelijk verantwoordelijk?

De gemeentesecretaris is verantwoordelijk voor het realiseren van de privacydoelstellingen uit dit beleid.

13.3 We hebben een interne toezichthouder.

De gemeente heeft een FG aangesteld. Afspraken over de taken en positie zijn vastgelegd in een reglement.

13.4 Naleving

We sturen op het zorgvuldig en rechtmatig omgaan met persoonsgegevens. Het lijnmanagement houdt actief toezicht op de naleving van het beleid door medewerkers en inhuurkrachten binnen hun verantwoordelijkheidsgebied en corrigeert waar nodig. Middels interne en/of externe audits wordt aangetoond dat wordt voldaan aan de AVG en de Wpg, dat de beveiligingsdoelstellingen van de organisatie worden gehaald en dat de benodigde beheersmaatregelen getroffen en effectief zijn.

De FG is verantwoordelijk voor het structureel toetsen van de implementatie en de uitvoering van de wettelijke eisen en de richtlijnen op het gebied van privacy. Er zijn verschillende momenten waarop de FG rapporteert over de werkzaamheden en resultaten van de organisatie rondom privacy en informatiebeveiliging. In ieder geval legt de FG eenmaal per jaar een jaarverslag voor aan het dagelijks bestuur.