Beleidsplan veilig omgaan met persoonsgegevens in de gemeente IJsselstein

4.1. Doelbinding

Uitgangspunt in de AVG is de verwerking van de persoonsgegevens. Deze verwerkingen worden gedaan in het kader van de taakuitoefening door medewerkers. Voor deze verwerkingen geldt dat er een doel geformuleerd moet worden waarvoor zij worden verwerkt.

De AVG laat in het midden hoe die doelen geformuleerd worden, Uitgangspunt van de verordening is dat persoonsgegevens voor een welbepaald, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld. Het is een simpele aanpak om per afdeling te laten vaststellen voor welke doelen persoonsgegevens worden verwerkt bv vergunningverlening, subsidievaststelling of bepalen uitkering. Deze doeleinden worden opgenomen in het register van verwerkingen. In de praktijk wordt het toegestaan dat een doelomschrijving uit meerdere onderdelen bestaat, bijvoorbeeld in een constructie hoofddoel en subdoelen of nevendoelen. Van belang is daarbij dat deze doelstellingen onderling verenigbaar zijn. Het is ook mogelijk dat verwerkingen na melding voor andere doeleinden worden aangewend. Ook dit laatste is toegestaan, mits dit latere doel verenigbaar is met het oorspronkelijke.

In de volgende stap (nadat de doeleinden per afdeling zijn bepaald) wordt beoordeeld wat het takenpakket is van de medewerkers. Aan de hand van het takenpakket kan men beoordelen welke persoonsgegevens daarvoor verwerkt moeten worden. Voor verwerkingen die niet noodzakelijk zijn voor de uitvoering van taken, in omvang (men verwerkt gegevens van grotere groepen personen) of soort (men verwerkt meer gegevens dan noodzakelijk) kan gesteld worden dat hier geen te rechtvaardigen doel mee gediend wordt en zullen om die reden moeten worden beëindigd.

4.2. Toereikend, ter zake dienend en niet bovenmatig

Voor al deze afzonderlijke doeleinden dient vervolgens vastgesteld te worden welke persoonsgegevens hiertoe noodzakelijkerwijs wel verwerkt moeten worden. Uitgangspunt is dat het verwerken van persoonsgegevens toereikend, ter zake dienend en niet bovenmatig mag zijn. Toereikend wil zeggen dat op basis van de verwerking het juiste beeld gaat ontstaan. Ter verduidelijking; een winkelier, die een registratie bijhoudt van wanbetalers, zal een ontoereikende verwerking doen als deze niet tevens registreert of de betaling is opgeschort, omdat de klant een dispuut heeft over het product.

Ter zake dienend hangt nauw samen met het doel. Is het bijhouden door de winkelier bedoeld voor de administratie, dan kunnen de gegevens niet aangewend worden om het koopgedrag te analyseren. Bovenmatig tot slot hangt ook samen met het doel. Houdt de winkelier een registratie bij van wanbetalers voor zijn administratie, dan zal het registeren van de waarde niet bovenmatig zijn, het bijhouden van het aantal goederen mogelijk wel.

Op afdelingsniveau zal men per verwerking moeten vaststellen welke persoonsgegevens ten minste noodzakelijk zijn om het doel te kunnen bereiken.

4.3. Vereisten van doelmatigheid, proportionaliteit en subsidiariteit

Naast de hiervoor genoemde beperkingen voor verwerking van persoonsgegevens gelden ook de eisen van proportionaliteit en subsidiariteit.

Het proportionaliteitsbeginsel houdt in dat de inbreuk op de belangen van de bij de verwerking van persoonsgegevens betrokkene niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel. Anders gezegd; hoe verhoudt het doel van de informatieverzameling zich tegenover de schending van de persoonlijke levenssfeer van de betrokkenen. Ingevolge het subsidiariteitsbeginsel mag het doel waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op een andere, voor de bij de verwerking van persoonsgegevens betrokkene, minder nadelige wijze kunnen worden verwerkelijkt (bv het verkrijgen van de informatie uit open data).

Ook hier zal per afdeling beoordeeld moeten worden of de verwerking doelmatig is, de inbreuk op de persoonlijke levenssfeer niet zwaarder weegt als de verwerking en of de persoonsgegevens ook op een andere wijze verkregen kunnen worden.

4.4. Grondslag

Om persoonsgegevens te mogen verwerken is het noodzakelijk dat er een geldige grondslag is op basis waarvan de gegevens mogen worden verwerkt. Artikel 6 AVG geeft hiertoe een limitatieve opsomming:

-ondubbelzinnige toestemming,

-ter uitvoering van een overeenkomst,

-ter uitvoering van een wettelijke taak,

-ter vrijwaring van een vitaal belang,

-voor een goede vervulling van een publieke taak of van een taak in het kader van uitoefening openbaar gezag opgedragen aan de verwerkingsverantwoordelijke of

-vanuit gerechtvaardigde belangen.

Voor de verwerking van de persoonsgegevens is het noodzakelijk dat aansluiting gevonden kan worden bij een van deze grondslagen. Hierbij kan worden aangetekend dat de eerste grondslag enkel gebruikt wordt (ondubbelzinnige toestemming) als op grond van een van de andere grondslagen geen persoonsgegevens kunnen worden verwerkt. Als op basis van een andere grondslag (voor de gemeente IJsselstein zal dit in de regel het uitvoeren van wettelijke taken of een goede vervulling van publieke taken zijn) het mogelijk is gegevens te verzamelen, dan wordt geen toestemming aan de betrokkene gevraagd, tenzij een wettelijke bepaling daartoe verplicht.

4.5. Verwerkingsverantwoordelijke(n) en verwerker

In de AVG wordt onderscheid gemaakt tussen verwerkingsverantwoordelijke en verwerker.

De verwerkingsverantwoordelijke is de overheidsinstantie, dienst of ander orgaan die alleen of samen met anderen het doel en de middelen voor de verwerking van persoonsgegevens vaststelt. De verwerker is de overheidsinstantie, dienst of ander orgaan die ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt. Voorbeelden van verwerkers zijn ICT-dienstverleners of organisaties bij wie de gemeente IJsselstein een aantal taken laat uitvoeren.

In de relatie verwerkingsverantwoordelijke en verwerker heeft laatstgenoemde geen zeggenschap over het doel en de middelen van de verwerking. Doel en middelen worden door de verwerkingsverantwoordelijke bepaald. Om te zorgen dat de verwerker zich richt naar de instructies van de verwerkingsverantwoordelijke en kan garanderen aan de verwerkingsverantwoordelijke dat het passende technische en organisatorische maatregelen heeft genomen om de rechten van betrokkenen te beschermen, wordt een verwerkersovereenkomst gesloten. De wetgever laat het in het midden of dit een aparte overeenkomst moet zijn of dat deze geïncorporeerd kan worden in de overeenkomst tot opdracht of samenwerkingsovereenkomst.

Het template van de verwerkersovereenkomst is als bijlage 1 aan dit beleidsplan toegevoegd.

Het is ook mogelijk dat twee of meer verwerkingsverantwoordelijken gezamenlijk het doel en de middelen van de verwerking bepalen. In die gevallen is het van belang dat op een transparante wijze de onderlinge verplichtingen zijn vastgelegd in termen van overdrachtsmoment en verdeling van de aansprakelijkheden. Voor de gemeente IJsselstein geldt dat als sprake is van een gezamenlijke verwerkingsverantwoordelijkheid dit vooraf is vastgelegd in een samenwerkingsovereenkomst aangevuld met het protocol gegevensbescherming (zie bijlage 2). Een voorbeeld waarbij persoonsgegevens van de ene verantwoordelijke naar de andere verantwoordelijke worden overgedragen is te vinden in Hoofdstuk 5 van de Wet maatschappelijke ondersteuning waar zorginstellingen als zelfstandig verantwoordelijke worden genoemd.

4.6 Technische en organisatorische beveiliging

De verantwoordelijke legt passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. De maatregelen garanderen, rekening houdend met de stand der techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico’s die de verwerking en de aard van te beschermen gegevens met zich meebrengen.

In de gemeente IJsselstein wordt aan deze eis van passende maatregelen invulling gegeven door het invoeren van de maatregelenset van de Baseline Informatiebeveiliging Gemeenten (BIG). Deze baseline is ontwikkeld door VNG/KING. Met de implementatie van deze set worden de volgende zaken beoogd:

•het invoeren van een basisniveau van informatiebeveiliging: de set is zo opgezet en ingevuld dat met invoering van de maatregelen een passend beveiligingsniveau wordt gerealiseerd voor de meeste toepassingen. Deze maatregelen betreffen niet alleen ICT-technische maatregelen maar gaan ook over huisvesting, personeelsbeleid en -werving, contractmanagement, inkoop, voorlichting en bewustwording.

•het systematisch beoordelen van informatiesystemen en -verwerking op de beveiligings- en privacyrisico’s en het zo nodig treffen van specifieke maatregelen bovenop het basis-beveiligingsniveau;

•het invoeren van een proces van plannen, uitvoeren, toetsen en bijsturen (PDCA) waarbij de maatregelenset systematisch gecontroleerd wordt op effectiviteit en zo nodig aangepast wordt om het passende beveiligingsniveau blijvend te kunnen waarborgen.

Het informatiebeveiligingsproces en de maatregelenset van de BIG wordt in verschillende varianten binnen de overheid gebruikt en zijn gebaseerd op de internationale beveiligingsstandaarden. ISO 270001 en ISO 270002.

4.7 Samenvatting

De eerste opdracht in het kader van de bescherming van persoonsgegevens is het bepalen van het aantal en de omvang van de verwerkingen die binnen de verschillende teams plaatsvinden.

Op afdelingsniveau vaststellen:

-De omvang van het aantal verwerkingen in bestanden vastleggen in het verwerkingenregister.

-Op afdelingsniveau bepalen voor welke doelen gegevens worden verwerkt en het takenpakket dat hier uit voortvloeit.

-Op afdelingsniveau bepalen wat de grondslag van de verwerkingen is.

-Op afdelingsniveau bepalen welke gegevens naar soort en omvang noodzakelijk zijn om het takenpakket uit te kunnen oefenen.

-Op afdelingsniveau vaststellen welke taken worden uitbesteed en daar een verwerkersovereenkomst of protocol voor afsluiten.

-Op organisatieniveau bepalen welke passende technische en organisatorische maatregelen genomen moeten worden om compliant te zijn in termen van de AVG.

5.1. Privacy op bestuurlijk niveau

Binnen de kaders van de AVG is het college bestuurlijk eindverantwoordelijke voor de verwerking van persoonsgegevens. Deze gezamenlijke verantwoordelijkheid wordt door de gemeente IJsselstein belegd bij een van de wethouders of de burgemeester die als vast aanspreekpunt fungeert voor privacy-issues.

In de regel zal dit de wethouder zijn die tevens aanspreekpunt is voor de bedrijfsvoering. Op het beleggen van de verantwoordelijkheid bij één wethouder of de burgemeester gelden twee kleine uitzonderingen. Voor verwerkingen die door de burgemeester worden gedaan (denk aan verwerkingen in het kader van de openbare orde en veiligheid), is de burgemeester verantwoordelijke en voor verwerkingen die door de raad worden gedaan is de raad zelf verantwoordelijk.

Het college wil optimaal gebruik maken van de ruimte die de AVG biedt om persoonsgegevens te verwerken. De AVG stelt als ondergrens dat de overheidsinstantie compliant moet zijn en passende technische en organisatorische maatregelen dient te nemen.

Er bestaat aldus een beleidsvrijheid. Deze beleidsvrijheid wordt primair op afdelingsniveau ingevuld. Onder omstandigheden kan het college uitdrukkelijk gevraagd worden in te stemmen met een verwerking. Het afwegingskader daarbij is de bescherming privacy burger afgezet tegen een eigen belang van de gemeente, bv veiligheid medewerkers.

Een ander aspect waarbij privacy op bestuurlijk niveau een rol speelt is het besluitvormingsproces. Het besluitvormingsproces van het college speelt zich grotendeels in de openbaarheid af. Deze openbaarheid kan gaan knellen op het moment dat er in documenten persoonsgegevens staan. Om die reden zullen persoonsgegevens zoveel mogelijk buiten collegebesluiten gehouden worden, tenzij de betrokkene toestemming heeft gegeven. Slechts in uitzonderlijke gevallen mogen persoonsgegevens zonder toestemming openbaar gemaakt worden.

Mocht het toch noodzakelijk zijn om persoonsgegevens in stukken op te nemen die bestemd zijn voor het college, dan zal vooraf een afweging worden gemaakt over de geheimhouding. Bij voorkeur is er een versie met persoonsgegevens waarop geheimhouding wordt opgelegd. In de openbare versie worden de persoonsgegevens dan onleesbaar gemaakt. Als dit niet goed mogelijk is dan kunnen de persoonsgegevens ook worden opgenomen in een geheime bijlage of kan zelfs het hele document geheim worden gehouden.

Bedenk dat persoonsgegevens niet alleen hoeven te slaan op de inwoners van de gemeente, maar ook op medewerkers. Ook hun gegevens moet zoveel mogelijk buiten verdere openbaring blijven.

Bij collegestukken zijn het collegebesluit en het voorblad openbaar (tabblad ‘registreren’ in het Zaaksysteem). Soms worden bijlagen bij het voorstel openbaar bekendgemaakt (bijvoorbeeld een beleidsregel).

Bij raadsstukken zijn alle stukken openbaar, tenzij er geheimhouding is opgelegd. Het beleid van de gemeente IJsselstein is er op gericht om geen persoonsgegevens in openbare stukken op te nemen, tenzij het een bewuste keuze is het wel te doen.

5.2 Privacy op ambtelijk niveau

De feitelijke verwerking van persoonsgegevens vindt plaats binnen de ambtelijke organisatie op afdelingsniveau. De uitwerking van de eindverantwoordelijkheid die het college draagt wordt ingevuld op dit niveau. Hier worden het doel en de middelen van de verwerking bepaald zoals gebleken is uit hoofdstuk 4. Het is niet meer dan logisch dat een deel van de bevoegdheden en verantwoordelijkheden op het terrein van de privacy die ligt bij het college gemandateerd wordt naar teamleiders, zodat zij op effectieve wijze privacy in hun dagelijkse processen kunnen incorporeren.

Langs deze weg worden teamleiders primair verantwoordelijk om passende technische en organisatorische maatregelen treffen om de rechten van betrokkenen te waarborgen en de verwerking in overeenstemming te brengen met de AVG. De technische maatregelen behelzen voornamelijk het organiseren van de autorisaties. De organisatorische maatregelen hebben betrekking op het bewust omgaan met persoonsgegevens en het treffen voorzieningen waardoor medewerkers hun taken kunnen blijven uitvoeren.

De verantwoordelijkheid van de teamleiders op privacygebied is gekoppeld aan mandaten vanuit het college met daarin bevoegdheden en middelen. Hierbij kan worden gedacht aan:

-inrichten van de werkprocessen in overeenstemming met AVG,

-bepalen van het doel en middel van de verwerking,

-alloceren middelen in termen van menskracht en geld voor onder andere bewustwordingssessies,

-bepalen van (mede)verantwoordelijkheid voor de verwerking,

-voorbereiden van verwerkingsrelaties, protocollen en verwerkingsovereenkomsten opstellen (al dan niet als onderdeel van de samenwerkingsovereenkomst),

-ondertekenen van protocollen en verwerkingsovereenkomsten

-technische infrastructuur voor de verwerkingen,

-archivering,

-inzetten privacy impact assessment (PIA) of soortgelijke instrumenten om de privacy te toetsen,

-waarborgen rechten betrokkenen,

-melden van verwerkingen bij de functionaris gegevensbescherming (FG) en

-melden datalekken en andere incidenten

De teamleiders dragen er ook zorg voor dat medewerkers op de afdeling gehouden zijn tot geheimhouding van de persoonsgegevens waar zij kennis van nemen. Voor de ambtenaren die in vaste dienst zijn bij de gemeente geldt de eedsaflegging. Voor personen die niet in dienst zijn van de Lekstroomgemeente (bv. Leden van de bezwarencommissie) of die tijdelijk worden ingehuurd geldt dat zij een geheimhoudingsverklaring moeten tekenen. Het template van de geheimhoudingsverklaring is opgenomen in bijlage 3.

Om de portefeuillehouder betrokken te houden en om, samen met het college, de rol van verwerkingsverantwoordelijke in het kader van de privacy waar te maken zal periodiek een activiteitenoverzicht worden gemaakt. Het is de bedoeling om dit activiteitenoverzicht mee te laten lopen met de bedrijfsvoeringsgesprekken of andere bedrijfsvoeringsactiviteiten.

Artikel 5.3 Privacy Office als kader voor informatieveiligheid en privacy-issues

Organisatorisch wordt op twee niveaus uitwerking gegeven aan het privacybeleid; bedrijfsvoerings- en afdelingsniveau. In paragraaf 5.2 is stilgestaan bij de inbedding van privacy op afdelingsniveau. Om voldoende robuustheid te geven aan het privacythema is het wenselijk om daarnaast een aantal rollen binnen de organisatie primair te belasten met privacy waar medewerkers terecht kunnen met vragen op het gebied van privacy en informatieveiligheid. Dit zou (logischerwijs) bij bedrijfsvoering liggen.

Op bedrijfsvoeringsniveau vertaalt het zich in een driehoek bestaande uit Functionaris Gegevensbescherming, Chief information and securityofficer (CISO) en een privacyofficer (PO). Het doel van de driehoek is om centrale kennisbank te hebben rond het thema privacy en beveiliging. Alle issues die leven op de werkvloer worden door de driehoek in behandeling genomen en centraal opgeslagen, waarna ze voor iedereen toegankelijk zijn:

5.4 Functionaris Gegevensbescherming (FG)

Op grond van artikel 37 AVG wordt een functionaris gegevensbescherming (FG) aangewezen. De verwerkingsverantwoordelijke draagt hierbij zorg dat de FG aangewezen wordt op grond van zijn professionele kwaliteiten en, in het bijzonder, zijn deskundigheid op het gebied van wetgeving en de praktijk inzake gegevensbescherming en zijn vermogen om de taken die met zijn functie samenhangen, genoemd in artikel 39 AVG, te vervullen.

De verwerkingsverantwoordelijke is op grond van artikel 37 AVG gehouden om de contactgegevens van de FG bekend te maken en mede te delen aan de Autoriteit Persoonsgegevens (AP). Binnen de gemeente IJsselstein valt de FG steeds formatief onder bedrijfsvoering.

De FG heeft een informerende en adviserende rol aan de organisatie over verplichtingen die voortvloeien uit de verordening. Daarnaast ziet de FG toe op de naleving van de verordeningsbepalingen en draagt de functionaris zorg voor de privacy-audits (Privacy Impact Assessments). Tot slot fungeert de FG als eerste aanspreekpunt voor de Autoriteit Persoonsgegevens.

Van resultaten uit audits en overige bevindingen doet de FG rechtstreeks verslag aan het college van burgemeester en wethouders van de gemeente IJsselstein.

Vanuit de wens van onafhankelijkheid zal de FG formeel geen deel uitmaken van de privacy office. Uiteraard blijft deze functionaris wel nauw betrokken bij de adviezen die door de privacy office gegeven worden

5.5 Chief Information security officer (CISO)

De CISO is binnen de gemeentelijke organisatie verantwoordelijk voor het informatiebeveiligingsbeleid en richt met beveiligingsjaarplannen een voortdurende focus op informatieveiligheid dienstbaar aan een goede bedrijfsvoering. In zijn rol ziet hij niet alleen toe op het fysiek beveiligen van gegevens en gebouwen, maar ook op het voorkomen van onrechtmatige inbreuken op de software. Vanuit deze verantwoordelijkheden richt de CISO zich naar de beveiligingseisen die neergelegd zijn in de BIO (baseline informatieveiligheid overheid) en de ENSIA (Eenduidige Normatiek Single Information Audit). Beide kaders liggen vast in ISO-normen en kennen een dwingend voorgeschreven invulling van het veiligheidsbeleid van gemeenten.

Binnen de privacy office heeft de CISO tot taak om alle vragen die te maken hebben met informatieveiligheid te beantwoorden.

5.6 Privacy officer (PO)

Binnen de gemeente IJsselstein is de PO verantwoordelijk voor het vormgeven en actualiseren van het gemeentelijke privacy-beleid, het doen van organisatorische aanpassingen en draagt hij zorg dat documenten en andere beslissingen voldoen aan de privacywetgeving. Verder houdt de PO het register van verwerkingen en het register van verwerkers bij. Tot slot fungeert de adviseur als aanspreekpunt voor vragen over toepassing wet- en regelgeving inzake privacy.

Nu teamleiders nadrukkelijk verantwoordelijkheid dragen voor de verwerkingen die op hun afdeling wordt verricht, is het zeker in de beginfase wenselijk een persoon vrij te maken voor het thema privacy binnen dat team. De taken die deze medewerker verricht hangen samen met hetgeen staat opgesomd in paragraaf 5.2.

Zo zal deze medewerker binnen de afdeling als aanspreekpunt belast worden met de dagelijkse praktijk fungeren en werkinstructies schrijven. Uiteraard kan deze medewerker voor ingewikkelder vraagstukken ondersteuning vragen bij de driehoek.

5.6 Externe relaties/verwerkersovereenkomst

Het verwerken van persoonsgegevens is geen doel op zich, maar zal steeds in het teken staan van een ander gerechtvaardigd doel dat met die verwerking zal worden bereikt (het verlenen van zorg, het houden van toezicht of het uitbetalen van salarissen). Ten behoeve van dat andere doel zullen vaak persoonsgegevens van elders betrokken worden of zullen persoonsgegevens worden overgedragen aan anderen.

Bij het verwerken van persoonsgegevens elders worden in de AVG twee mogelijke samenwerkingsconstructies genoemd; gezamenlijke verwerkingsverantwoordelijkheid en de verwerking namens de verwerkingsverantwoordelijke. Buiten deze twee in de AVG genoemde samenwerkingsconstructies is ook nog denkbaar dat de persoonsgegevens die door de gemeente worden verwerkt worden overgedragen naar een andere verwerkingsverantwoordelijke (denk bij het sociaal domein aan een zorginstelling waarbij de overdracht aan de andere verwerkingsverantwoordelijke bij wet geregeld is).

A gezamenlijke verwerkingsverantwoordelijkheid

Van een gezamenlijk verwerkingsverantwoordelijkheid is sprake wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen. In dat geval stellen zij op transparante wijze hun respectieve verantwoordelijkheden voor de nakoming van hun verplichting uit hoofde van de AVG vast, met name met betrekking tot de uitoefening van rechten van betrokkenen en het verstrekken van informatie aan hen. De relatie tussen de verwerkingsverantwoordelijken onderling wordt bestendigd door middel van een protocol. In bijlage 2 bij dit beleidsplan is een voorbeeldprotocol gevoegd.

B verwerkingsverantwoordelijke en verwerker

Wanneer een verwerking, namens een verwerkingsverantwoordelijke wordt verricht, en de verwerker geen zeggenschap heeft over doel en middel van de verwerking, dan doet de verwerkingsverantwoordelijke uitsluitend een beroep op verwerkers die afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen bieden opdat de verwerking voldoet aan de eisen van de AVG.

De gemeente blijft als verwerkingsverantwoordelijke (mede-)aansprakelijk voor de geschonden rechten van betrokkenen door nalatigheden van de kant van de verwerker. Om de verantwoordelijkheid en aansprakelijkheden goed uit elkaar te houden zal de gemeente in deze situaties gebruik maken van verwerkersovereenkomsten. Het gebruik van verwerkingsovereenkomsten is een verplichting die voortvloeit uit de AVG. De verwerkingsovereenkomst is vormvrij en kan dus ook geregeld worden in de bovenliggende overeenkomst tot samenwerking, opdracht, dienstverlening etc. Om een beeld te hebben van de wijze waarop de relatie tussen verwerkingsverantwoordelijke en verwerker moet worden vormgegeven is een template verwerkersovereenkomst als bijlage 1 bij dit beleidsplan opgenomen.

C Overdracht van persoonsgegevens aan een andere verwerkingsverantwoordelijke

Daar waar het gaat om een overdracht van de persoonsverwerking (bijvoorbeeld in de vorm van bestanden) aan een andere verwerkingsverantwoordelijke zal er na overdracht geen gebondenheid meer zijn van de gemeente IJsselstein. De inspanning van de gemeente IJsselstein blijft hier beperkt tot het vaststellen of de ontvangende partij daadwerkelijk verwerkingsverantwoordelijke is. (Een dergelijk situatie doet zich vaak voor in het sociaal domein waar zorginstellingen, SVB, AMHK in de wet als verwerkingsverantwoordelijke zijn aangewezen.) Ook in deze situatie is het overdrachtsprotocol als genoemd in bijlage 2 een passende oplossing.

6.1 Rechten van betrokkenen

Binnen de AVG worden verschillende rechten toegekend aan betrokkenen opdat zij steeds de regie kunnen voeren op de persoonsgegevens die bij de gemeente IJsselstein worden verwerkt.

Het gaat om de volgende rechten:

1Recht op informatie (artikel 12 AVG)

Er dienen maatregelen genomen te worden zodat de betrokkene op een beknopte, transparante, begrijpelijke en in gemakkelijk toegankelijke vorm informatie kan verkrijgen over zijn persoonsgegevens en geïnformeerd wordt over verwerkingsactiviteiten.

Het verstrekken van informatie geschiedt onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek.

Recht op inzage (artikel 15 AVG)

2Betrokkene heeft het recht uitsluitsel te krijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en om inzage te verkrijgen van die persoonsgegevens en de volgende informatie:

-verwerkingsdoelen,

-betrokken categorieën van persoonsgegevens,

-ontvangers of categorieën ontvangers aan wie persoonsgegevens worden verstrekt,

-duur van de verwerking en opslag,

-het recht op rectificatie en gegevenswissing,

-het recht om een klacht in te dienen bij de toezichthoudende autoriteit,

-(indien gegevens niet bij betrokkene worden verzameld) informatie over de bron van de gegevens en

-het bestaan van geautomatiseerde besluitvorming, het belang en de te verwachten gevolgen voor betrokkene.

3Recht op rectificatie (artikel 16 AVG en 19 AVG)

Betrokkene heeft het recht dat onjuiste persoonsgegevens onverwijld worden gerectificeerd en dat onvolledige gegevens worden aangevuld. De verwerkingsverantwoordelijke stelt iedere ontvanger op de hoogte van de recificatie of aanvulling.

4Recht op gegevenswissing (artikel 17 AVG en 19 AVG)

Onder omstandigheden heeft betrokkene het recht dat zijn gegevens zonder onredelijke vertraging worden gewist. Per verwerking zal moeten worden bepaald of gegevenswissing mogelijk is. De verwerkingsverantwoordelijke stelt iedere betrokkene op de hoogte van de wissing.

5Recht op beperking van de verwerking (artikel 18 AVG)

Onder omstandigheden heeft betrokkene het recht om een beperking van de verwerking te verkrijgen, indien de juistheid van de persoonsgegevens worden betwist, de verwerking onrechtmatig is, de persoonsgegevens niet meer noodzakelijk zijn voor het doel waarvoor ze zijn verwerkt of indien betrokkenen bezwaar heeft gemaakt tegen de verwerking

6Recht op overdraagbaarheid (artikel 20 AVG)

Betrokkene heeft het recht om zijn persoonsgegevens in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen en het recht deze gegevens over te dragen aan een andere verwerkingsverantwoordelijke.

7Recht op bezwaar (artikel 21 AVG)

Betrokkene heeft steeds het recht bezwaar te maken tegen de verwerking. De verwerkingsverantwoordelijke staakt de verwerking, tenzij er dwingende gerechtvaardigde gronden zijn die zwaarder wegen dan de belangen van de betrokkene.

8Recht om niet onderworpen te worden aan een enkel op geautomatiseerde verwerking gebaseerd besluit (artikel 22 AVG).

Betrokkene heeft het recht om niet onderworpen te worden aan een enkel op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.

9Klachtrecht en schadevergoedingsrecht (artikel 77 AVG en artikel 82 AVG)

Betrokkene heeft het recht een klacht in te dienen bij de toezichthoudende autoriteit en het recht op een vergoeding van materiële of immateriële schade ten gevolge van inbreuk op bepalingen AVG en waarvoor de verwerkingsverantwoordelijke aansprakelijk is jegens de betrokkene.

Het uitgangspunt voor de gemeente IJsselstein is dat gestreefd wordt naar een maximale transparantie tegenover de betrokkene waar het gaat om de ‘eigen’ persoonsgegevens.

Waar het gaat om het recht op informatie zullen de gemeenten in zijn algemeenheid op de website en in de correspondentie betrokkenen wijzen op het feit dat persoonsgegevens worden verwerkt en dat betrokkenen een aantal rechten hebben op grond van de AVG. Inhoudelijk worden deze verzoeken en bezwaren door de privacy officer (zie paragraaf 5.6) begeleid.

6.2 Rechten personeelsleden

In het licht van de AVG zijn de gegevens van medewerkers eveneens gegevens van betrokkenen en verdienen om die reden aandacht.

De komst van de AVG biedt ook een goede gelegenheid om de verwerking van persoonsgegevens van medewerkers van de gemeente eens tegen het licht te houden. Er zijn twee situaties waarbij persoonsgegevens van medewerkers kunnen worden geopenbaard, via raad- en collegebesluiten of via persoonlijke correspondentie.

Voor raads- en collegestukken geldt dat deze stukken na besluitvorming op internet worden geplaatst. Op deze manier kan iedereen zien welke medewerker de auteur is geweest van het stuk. De vraag die voorligt is in hoeverre het zinvol is om de naam van medewerkers langs deze weg te openbaren? Al snel zal blijken dat er geen goede reden is te verzinnen waarom openbaar maken wenselijk is. Immers, medewerkers staan hoofdzakelijk (zo niet uitsluitend) ten dienste van het college van burgemeester en wethouders. In dat verband is het te billijken dat het college de naam van de behandelend ambtenaar te zien krijgt. Dit kan geschieden door zijn naam te vermelden op een inlegvel welke is toegevoegd aan de agenda. Na afloop van de collegevergadering wordt het inlegvel verwijderd. De verantwoordelijk wethouder of burgemeester (die juist wel een publieke functie hebben) worden vervolgens wel genoemd bij het desbetreffende stuk dat op internet wordt geplaatst.

Bij raadsstukken worden evenmin namen van medewerkers vermeld. Het collegestuk zal aan de raad worden aangeboden door de betreffende wethouder of de burgemeester.

In correspondentie naar burgers kan het persoonsgegeven van de medewerker genoemd worden, indien dit noodzakelijk is (bv. welke wmo-consulent gaat uw dossier behandelen). In die gevallen dat er geen noodzaak is persoonsgegevens van medewerkers te delen zal de naam van de medewerker worden vervangen door een alias (bv. eerste letter voornaam en de eerste drie letters achternaam). De medewerker kan zelf deze keuze maken.

In geval sprake is van Wob-verzoeken kunnen de namen van medewerkers achterwege blijven. Uit artikel 10, eerste lid onder d Wob vloeit dit al voort. In het kader van dit beleidsplan wordt artikel voornoemde regel gevolgd met de aanvulling dat er snel sprake zal zijn van een aantasting van de persoonlijke levenssfeer. Voor degene die Wob-verzoeken afhandelt betekent dit een extra alertheid.

6.3 Geautomatiseerde verwerkingen en cameratoezicht

Onder geautomatiseerde verwerkingen wordt verstaan het met gebruikmaking van elektronische middelen gegevens verwerken. Een voorbeeld is profilering. Door het bezoeken van bepaalde gemeentelijke websites door betrokkenen kunnen bepaalde persoonlijke voorkeuren worden vastgelegd en geanalyseerd en kan de gemeente aan de bezoeker bepaalde gerichte producten of diensten aanbieden. Door de gemeente IJsselstein wordt hier geen gebruik van gemaakt.

Voor onderzoeken zal de gemeente, indien dat in het kader van het onderzoek gewenst is, gebruik maken van Big data en tracking wanneer de aldus verzamelde gegevens niet te herleiden zijn tot een natuurlijke persoon. In die gevallen waarin de gemeente gebruik maakt van Big data onderzoeken en tracking, dan zal zij daarover vooraf informatie verstrekken op de gemeentelijke website.

Gemeente IJsselstein maakt op dit moment gebruik cameratoezicht. Waar het gaat om cameratoezicht houden de gemeenten die het aangaan vast aan het standpunt van de Autoriteit Persoonsgegevens. Dit betekent dat minder vergaande maatregelen onvoldoende zijn gebleken, cameratoezicht plaatsvindt in samenhang met andere maatregelen, mensen worden geïnformeerd, camerabeelden niet langer dan 4 weken worden bewaard en dat er Privacy Impact Assessment (PIA) zal worden uitgevoerd.

Gemeente IJsselstein maakt gebruik van cameratoezicht in de raadszaal. Dit gebruik is toegestaan mits duidelijk wordt aangegeven aan betrokkenen dat cameratoezicht plaatsvindt.

6.4 Datalekken

Van een datalek is sprake bij een onrechtmatige verwerking en als persoonsgegevens in handen vallen van derden die geen toegang tot die gegevens zouden mogen hebben. Een datalek is het gevolg van een beveiligingsincident. In de meeste gevallen gaat het om uitgelekte computerbestanden, al kan een verloren uitgeprinte klantenlijst evengoed een datalek vormen. Andere voorbeelden: cyberaanvallen (incl. DDos), e-mail verzonden naar verkeerde adressen, onderschepte e-mails, niet aangekomen post, gestolen laptops of bedrijfstelefoons, afgedankte niet-schoongemaakte computers en verloren usb-sticks.

Beveiligingsincidenten worden nu al gemeld door medewerkers of verwerkers bij de CISO van de gemeente. De CISO maakt een analyse of het beveiligingslek mogelijk ook een datalek is. Bij een vermoeden van een datalek wordt de FG gewaarschuwd. Gelet op het feit dat het al sinds 1 januari 2016 verplicht is om datalekken te melden bij de Autoriteit heeft de gemeente IJsselstein inmiddels een werkinstructie meldplicht datalekken zal dit beleidsthema hier verder onbesproken blijven. (zie bijlage 5)

6.5 Bewaren van persoonsgegevens

Persoonsgegevens mogen niet langer worden bewaard dan noodzakelijk is voor de verwerking. Voor wat betreft het bewaren van persoonsgegevens geldt voor de gemeente IJsselstein twee regiems, het wettelijke regiem en het niet wettelijke regiem.

Voor sommige verwerkingen van persoonsgegevens geldt dat deze persoonsgegevens op grond van de Archiefwet of andere materiële wetten een minimale termijn bewaard moeten blijven. Een voorbeeld is het jeugdhulpdossier dat 15 jaar nadat de jeugdhulp beëindigd is bewaard moet blijven. De AVG gaat niet in op de wettelijke termijnen die bestaan of in de toekomst zullen ontstaan.

Voor die verwerkingen waarvoor geen wettelijke termijn geldt, bv. de gemeente heeft een onderzoek gedaan naar relschoppers in de wijk X, dat de verwerkte persoonsgegevens worden vernietigd zodra de verwerking niet meer noodzakelijk is ter bepaling door de afdelingsmanager en wordt vastgelegd in het verwerkingsregister.

Voor wat betreft het archiveren van persoonsgegevens zoekt de gemeente IJsselstein aansluiting bij artikel 89 AVG. Archiveren in het algemeen belang is mogelijk, mits passende maatregelen zijn getroffen om de betrokkenen te beschermen. Vaststaat dat persoonsgegevens die voor een gerechtvaardigd doel zijn verwerkt ook verwerkt mogen worden in de zin van archiveren (verenigbaar doel). Wel zal men opnieuw moeten beoordelen of verdere dataminimalisatie mogelijk is. Is dataminimalisatie mogelijk door ontkoppeling van de persoonsgegevens met de overige gegevens, dan zal daar voor gekozen worden. Als tussenvorm is het mogelijk om in het kader van archivering te werken met pseudonimiseren.

Om Archiveren in goede banen te leiden zal er apart onderzoek worden gedaan naar het opslaan van persoonsgegevens in gemeentelijke archieven. De insteek zal zijn om vanuit het register van verwerkingen die bestanden te selecteren waarbij een afwijkend archiefregiem geldt en hiervoor separaat instructies te maken.

7.1 Inbedding in primaire processen

De AVG eist dat voor gemeente IJsselstein verwerking van persoonsgegevens de beginselen inzake verwerking van persoonsgegevens in acht genomen zijn. Deze beginselen vloeien voort uit artikel 5 en 6 AVG (zie voor verdere uitleg H4 van dit beleidsplan).

Zo moet de verwerking van persoonsgegevens kunnen steunen op welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Voor werkprocessen binnen de gemeente IJsselstein betekent dit dat bij verwerkingen een geldige reden moet zijn om de inperking van het grondrecht privacy te rechtvaardigen. Ontbreekt een dergelijke reden, dan is de verwerking illegaal en zal zij moeten worden beëindigd.

Concreet betekent een en ander dat er zicht moet zijn op de taken van (groepen) medewerkers waarbij persoonsgegevens worden verwerkt. Aan de hand van het overzicht van gegevensverwerkingen van de medewerkers zullen door het afdelingsmanagement gerechtvaardigde doeleinden moeten worden geformuleerd om de verwerking voort te kunnen zetten. Nadat doeleinden zijn geformuleerd is het noodzakelijk om te beoordelen welke persoonsgegevens ten minste verwerkt moeten worden om dat doel te kunnen bereiken. Persoonsgegevens die bovenmatig zijn kunnen buiten de verwerking blijven.

De volgende stap is dat aansluiting gevonden wordt bij een van de grondslagen uit artikel 6 AVG (zie tevens paragraaf 4.4). Voor de gemeente IJsselstein zal gaan gelden dat veel verwerkingen als grondslag de goede vervulling van een publieke taak kennen. In bijzondere gevallen zal een beroep op een van de andere grondslagen, ten finale mogelijk toestemming, gedaan moeten worden.

Schematische weergave van verdeling takenpakket en toegang tot gegevensbestanden:

Uitgangspunt zijn de taken die door de medewerkers worden uitgevoerd. Deze taken vloeien voort uit functieomschrijvingen. Om in bestanden verwerkingen uit te kunnen voeren zal men toegang tot die bestanden moeten hebben dmv autorisatie (waar het om digitale bestanden gaat). Het is belangrijk om steeds meerdere mensen te autoriseren voor dergelijke bestanden om te voorkomen dat een situatie ontstaat dat niemand bij de bestanden kan. Het is niet aannemelijk dat de afdelingsmanager per definitie toegang moet hebben, dit is ook weer afhankelijk van zijn takenpakket.

7.2 Samenwerken met collega’s

Binnen de gemeentelijke organisatie hebben medewerkers een takenpakket die bepalend is voor de toegang tot bestanden. Binnen takenpakketten kan er wel een onderscheid zijn in de diepte waarmee men toegang moet hebben tot de bestanden. Met name in het sociaal domein (mogelijk ook elders) kan het wenselijk zijn dat veel medewerkers een kleine hoeveelheid persoonsgegevens kunnen inzien en dat vervolgens een paar medewerkers de totale omvang van de persoonsgegevens (vastgelegd in bv een dossier) mogen inzien.

Ter verduidelijking. De KCC-medewerker moet de naw-gegevens hebben om door te kunnen verwijzen naar de juiste medewerker, de WMO-consulent moet naast naw-gegevens ook de dossierinformatie kunnen inzien om optimale hulp te kunnen verlenen.

Het verdelen van de diepte van de toegang wordt langs de lijn ‘dat-wat’ gelegd. Medewerkers (zoals voornoemde KCC-medewerker) kunnen geautoriseerd worden voor de dat-informatie (men weet dat er wat speelt om vervolgens door te kunnen verwijzen) en medewerkers (zoals voornoemde WMO-consulent) die geautoriseerd worden voor de dat-wat-informatie. Zij kunnen het gehele dossier inzien.

Autorisatieschema:

7.3 Triage

Aparte aandacht verdient het proces rond de triage. Uitgangspunt in hulpverlening is om zoveel mogelijk te handelen vanuit 1Gezin,1Plan,1Regisseur (1G1P1R). Triage speelt op casusniveau en vraagt van de medewerker om een professionele inschatting te maken wat de ernst van de problematiek is en welke verwerking van persoonsgegevens daarbij wenselijk is. Met name bij een multi-probleemsituaties in het sociaal domein kan er opschaling nodig zijn waardoor meer persoonsgegevens worden verwerkt of persoonsgegevens met anderen worden gedeeld. Dit is te rechtvaardigen om te voorkomen dat privacy in de weg gaat staan aan een effectieve hulpverlening. Triage doorsnijdt aldus de 1G1P1R-gedachte.

Medewerkers bepalen per casus het doel waarvoor de gegevensverwerking noodzakelijk is voor optimale hulp. Daarnaast bepalen zij of er niet bovenmatig gegevens worden verwerkt of dat gegevens niet op een andere, minder ingrijpende wijze, kunnen worden verwerkt. Van belang is dat deze afweging door de medewerker wordt vastgelegd. Triagemomenten worden benoemd in het werkproces. Gaandeweg het hulpverleningsproces aan het gezin en waarbij meerdere hulpverleners betrokken zijn zullen vanuit deze triage overlegmomenten worden georganiseerd waarin persoonsgegevens worden uitgewisseld. Deze overlegmomenten worden gedocumenteerd, zodat het voor de FG duidelijk is welke uitwisseling van persoonsgegevens heeft plaatsgevonden.

De grondslag voor triage is voor de gemeente IJsselstein het uitvoeren van een publiekrechtelijke taak. Dit betekent concreet dat het toepassen van triage beperkt is tot die werkprocessen waarbij het uitwisselen van persoonsgegevens binnen en buiten de eigen organisatie terug te voeren is op het uitvoeren van een dergelijke taak. Medewerkers van de gemeente IJsselstein moeten er daarbij rekening mee houden dat het delen met professionele hulpverleners samenhangt met diens geheimhoudingsplichten (en dus niet alles gedeeld kan worden)

7.4 Gebruik Burgerservicenummers

Er is nog veel onduidelijkheid over het gebruik van het BSN nummer in werkprocessen. De regel is dat overheidsorganisaties het BSN mogen gebruiken om hun taak uit te voeren, mits het BSN hierbij noodzakelijk is. Organisaties buiten de overheid mogen het BSN alléén gebruiken als dit in de wet staat. En dan nog alleen voor de doelen die in de wet staan, dus niet zomaar overal voor.

Zo liet een kinderdagverblijf ouders inloggen op een online ouderportaal met hun BSN. Dat mag niet. Kinderdagverblijven mogen weliswaar naar het BSN van ouders vragen, maar zij mogen dit vervolgens alleen gebruiken voor de kinderopvangtoeslag.

Het voorbeeld van het kinderdagverblijf komt ook regelmatig terug in gemeentelijke processen. Zo mag de gemeente een BSN niet gebruiken als briefkenmerk of dossiernummer. De gemeente mag ook niet standaard om BSN vragen of laten te vermelden in brieven die u naar de gemeente stuurt.

Het is vaak niet nodig dat de gemeente een BSN opneemt in aan burgers gerichte brieven. En dan mag het ook niet. Wel kan de gemeente vragen om een BSN te vermelden bij bepaalde verzoeken of vragen aan de gemeente. Maar dat mag alleen als zo’n verzoek of vraag gaat over een persoonlijke situatie waarbij de medewerker duidelijk wil vaststellen om wie het gaat.

Heeft u een algemene vraag aan de gemeente, bijvoorbeeld over afval? Dan hoeft u uw BSN niet te vermelden.

Om BSN in goede banen te leiden zal er apart onderzoek worden gedaan naar het verwerken van persoonsgegevens met BSN of aan de hand van BSN. De insteek zal zijn om vanuit het register van verwerkingen die bestanden te selecteren waarbij BSN in het spel is en hiervoor separaat een PIA op uit te voeren.

7.5 Verwerkingenregister

Zoals in het hoofdstuk Governance reeds is aangegeven ligt de ambtelijke verantwoordelijkheid voor het verwerken van persoonsgegevens bij de afdelingsmanager. Zij brengen in beeld en bewaken het overzicht van de gegevensverwerkingen die op de afdeling plaatsvinden.

Kader van het overzicht wordt gevormd door artikel 30 van de AVG. Zo zal onder meer vastgesteld moeten zijn dat de verwerking een gerechtvaardigd doel kent en gebaseerd is op een rechtmatige grondslag. Uiteindelijke levert dit het volgende plaatje op:

Het overzicht van gegevensverwerkingen wordt geleverd aan de PO die een register houdt van alle verwerkingen van persoonsgegevens binnen de gemeente IJsselstein. Aan de hand van het register van verwerkingen zal de FG toezicht houden op het totaal aantal verwerkingen binnen de gemeente.

7.6 Privacy Impact Assessment

Met het uitvoeren van een Privacy Impact Assessment (PIA) wordt inzicht verkregen in de privacyrisico’s van een nieuwe dienst of een nieuw product. Maar ook het hergebruik van reeds verwerkte data voor nieuwe toepassingen is een voorbeeld waarvoor een PIA een duidelijk inzicht geeft aan de betrokken risico’s.

Een PIA wordt bij voorkeur in een zo vroeg mogelijk stadium van het ontwerpproces uitgevoerd, zodat uitkomsten van de PIA nog meegenomen kunnen worden en invulling gegeven kan worden aan ‘privacy by design’. Een PIA kan ook in een later stadium uitgevoerd worden, omdat de meeste processen ‘doorontwikkeld’ worden en ook later nog privacyrisico’s kunnen worden ingedamd.

Het is niet noodzakelijk om voor alle processen waarbij persoonsgegevens worden verwerkt een PIA uit te voeren. Om die reden is er een onderscheid aangebracht en zullen in 2018 enkel PIA’s worden uitgevoerd in geval van nieuwe verwerkingen van persoonsgegevens en verwerkingen waarbij sprake is van een grote verzameling van persoonsgegevens of een verzameling met bijzondere categorieën van persoonsgegevens. Een selectie van verwerkingen waarvoor een PIA wordt georganiseerd vloeit voort uit het verwerkingenregister als genoemd in paragraaf 7.3.

In eerste aanleg zullen de PIA’s worden uitgevoerd onder leiding van de kwartiermaker FG en later door de FG.

8.1 Privacyveilig werken

Het is belangrijk dat privacy niet alleen leeft bij een aantal ‘ingewijden’, maar breed uitgedragen wordt binnen de organisatie. Dit vraagt om een interne bewustwording hoe omgegaan moet worden met de belangen van personen die persoonsgegevens aan de gemeente IJsselstein hebben toevertrouwd.

Om bewust te blijven van de risico’s en de schade die kan ontstaan door gegevensbescherming niet serieus te nemen is een continue communicatie met betrekking tot dit onderwerp nodig. Binnen de kaders van de gemeente IJsselstein wordt veel aandacht gegeven aan het bewustwordingsproces.

8.2 Bewustwording

Momenteel is binnen de gemeente IJsselstein volop aandacht voor het thema privacy. Samen met de CISO en de PO (waar deze zijn aangewezen) werkt de kwartiermaker FG aan het compliant maken van de organisatie voor de AVG. In dat licht worden er ook bewustwordingsacties ontwikkeld. De bewustwordingsacties volgen de voortgang van het beleidsproces.

Voor een aantal verwerkingen van persoonsgegevens zullen de komende tijd PIA’s worden uitgevoerd. De PIA zal de eerste periode worden begeleid vanuit de kwartiermaker FG en worden met medewerkers van de teams ingevuld. Het doel om met medewerkers PIA’s uit te voeren is tweeledig; betrokkenheid vergroten en het verzorgen van een leereffect, zodat sommige medewerkers later zelf een PIA kunnen uitvoeren.

Dit beleidsplan zal ook een bron vormen voor communicatie naar de afdelingen. Na vaststelling van het beleidsplan wordt het plan met de afdelingen besproken. Met de teamleiders zal vervolgens een lijn worden uitgedacht om jaarlijks activiteiten rond het thema ‘privacy en informatieveiligheid’ te bedenken met daarin aandacht voor bewustwording en gegevensbeveiliging.

8.3 Bewustwording door afdelingsactiviteiten

Uitgangspunt van het jaarlijkse activiteitenplan is om het bewustwordingsproces zo dicht mogelijk bij de medewerkers te organiseren. Welke communicatiemiddelen en trainingen worden ingezet ligt bij het afdelingsmanagement

9.1 Opslag van persoonsgegevens

Persoonsgegevens worden binnen de gemeente IJsselstein (vrijwel) altijd digitaal opgeslagen. Voor opslag van gegevens beschikken de gemeente IJsselstein over een eigen, afgeschermd netwerk. De manier waarop gemeente IJsselstein haar netwerk en gegevens beveiligen is in overeenstemming met de gemeentelijke beveiligingsnormen (BIG, zie ook 4.6)

Opslag gebeurt op de volgende manieren:

•In centrale databases die door verschillende gebruikers te benaderen en te bewerken zijn. Alle grote registraties van persoonsgegeven zijn in de gemeente IJsselstein opgenomen in centrale databases.

•Binnen decentrale databases en spreadsheets die middels algemene kantoorautomatiseringssoftware te benaderen zijn. Dit betreft kleinschalige registraties met een zeer specifiek doel.

•Op ongestructureerde basis: in documenten, afbeeldingen en dergelijke. Dit betreft geen registraties maar specifieke persoonsgegevens over een of enkele personen.

Voor de opslag van persoonsgegevens gelden de volgende uitgangspunten:

•Opslag in centrale databases heeft sterk de voorkeur boven decentrale opslag. Centrale databases kennen een hogere beschikbaarheid, daarnaast is de integriteit en de vertrouwelijkheid van de data veel beter te waarborgen.

•Opslag van persoonsgegevens geschied op goed beveiligde netwerken waarover de gemeente IJsselstein dienen te beschikken.

•Aan medewerkers die geregeld met persoonsgegevens op pad gaan zal een beveiligde voorziening worden aangeboden (smartphone, notebooks).

•Lokale opslag zoals smartphones en laptops worden afdoende versleuteld.

De gemeente IJsselstein kent diverse voorzieningen om de beschikbaarheid van de persoonsgegevens te waarborgen. Vitale ICT-systemen en componenten zijn dubbel uitgevoerd, en alle gegevens op het interne netwerk worden dagelijks geback-upt. Ook deze maatregelen zijn in lijn met de gemeentelijke beveiligingsnormen.

9.2 Toegang tot en beheer van persoonsgegevens

Alleen geautoriseerde personen hebben toegang tot het netwerk van gemeente IJsselstein en daarmee tot persoonsgegevens. Deze toegang tot het netwerk is beperkt tot applicaties en bestanden die vanuit de functie van de betrokkene noodzakelijk zijn. Voor toegang tot gestructureerde persoonsgegevens in centrale databases geldt een fijnmaziger toegang tot op specifiek gegevensniveau. Dit gebeurt op basis van rollen waarbij per medewerker of per functie een of meerdere rollen worden toegekend. Achter deze rollen hangt een autorisatieschema waarbij per type persoonsgegeven is vastgelegd in hoeverre deze vanuit de rol ingezien en veranderd mag worden. De toewijzing van rollen aan medewerkers wordt vastgelegd in autorisatiematrices en periodiek gecontroleerd.

De benodigde toegangsrechten worden vastgesteld door het afdelingsmanagement. Zij zijn verantwoordelijk voor de verwerking van persoonsgegevens (zie ook paragraaf 5.3) het beheer van de daarvoor benodigde applicaties en voor het treffen van afdoende beveiligingsmaatregelen. Het beheer van applicaties, en de daarin opgenomen persoonsgegevens en het daadwerkelijk toewijzen en inrichten van de toegangsrechten wordt uitgevoerd door applicatiebeheerders. De gemeente heeft hiervoor een formele procedure.

Toegang tot persoonsgegevens wordt op gegevens- en medewerkersniveau geregistreerd (gelogd). Op deze manier is te achterhalen wie op welk tijdstip welke gegevens heeft geraadpleegd. Gemeente IJsselstein kent procedures om deze login te gebruiken bij privacyincidenten.