Privacyreglement AVG gemeente Kampen

AP Autoriteit Persoonsgegevens

AVG Algemene verordening gegevensbescherming

BIO Baseline Informatiebeveiliging Overheid

CISO Chief Information Security Officer

DPIA Data protection impact assessment

FG Functionaris Gegevensbescherming

ISO Information Security Officer

PO Privacy Officer

Wpg Wet politiegegevens

In deze bijlage is de privacy governance van de gemeente Kampen voor de processen op het gebied van privacy nader toegelicht.

N.B. Onder het management – genoemd in onderstaande tabellen – worden alle afdelingshoofden gerekend.

1Beheer van het register van verwerkingen

Vanuit de AVG is het verplicht een register van verwerkingen op te stellen en actueel te houden van alle gegevensverwerkingen binnen de organisatie. In het register moeten minimaal de volgende gegevens opgenomen worden: van wie gegevens worden verwerkt, welke gegevens worden verwerkt en voor welke doeleinden, hoe lang de gegevens bewaard worden, wie de gegevens ontvangen, of er gegevens buiten de EU worden verstrekt, hoe de gegevens worden beveiligd en de naam en contactgegevens van de verantwoordelijke en van de FG.

Handeling

Management

PO

FG

Actieve aanlevering van nieuwe verwerkingen bij de PO

X

Zorgdragen voor de actualiteit van (register van) verwerkingen

X

Coördinatie van de actualisatie van het register van verwerkingen

X

Beheer van het register van verwerkingen

X

Toetsing op kwaliteit, actualiteit, juistheid en volledigheid van (register van) verwerkingen

X

2Register, beheer en actualisatie van verwerkersovereenkomsten

Als de verantwoordelijke een andere organisatie inschakelt om persoonsgegevens voor haar te verwerken, dan moet met deze organisatie een verwerkersovereenkomst afgesloten worden. In deze overeenkomst moeten de volgende elementen opgenomen worden:

•omschrijving van het onderwerp, de duur, de aard en het doel van de verwerking.

•het soort persoonsgegevens, de categorieën van betrokkenen en de rechten en plichten van de verantwoordelijke.

•verwerking vindt alleen plaats op basis van de schriftelijke instructies van de verantwoordelijke.

•geheimhoudingsplicht voor personen in dienst van of werkzaam voor de verwerker.

•het treffen van passende technisch en organisatorische maatregelen om de verwerking te beveiligen.

•er worden geen subverwerkers ingeschakeld zonder voorafgaande schriftelijke toestemming van de verantwoordelijke.

•de verwerker helpt de verantwoordelijke bij het voldoen van de plichten als betrokkenen hun privacyrechten uitoefenen en voor het nakomen van andere verplichtingen, zoals het melden van datalekken en het uitvoeren van een DPIA.

•na afloop van de verwerkingsdiensten verwijdert de verwerker de gegeven of geeft deze terug (inclusief eventuele kopieën).

•de verwerker werkt mee aan audits.

De gemeente Kampen heeft een standaard verwerkersovereenkomst die in principe gebruikt wordt (overeenkomstig het meest recente model van de VNG).

Handeling

Management

PO

FG

Afsluiten van verwerkersovereenkomsten

X

Actualiseren en beheren van de modelverwerkersovereenkomst

X

Advies aan de organisatie ten aanzien van werken met verwerkers en verwerkersovereenkomsten

X

Coördinatie registratie verwerkers en archivering van verwerkersovereenkomsten

X

Toezicht op registratie verwerkers en verwerkersovereenkomsten

X

3Deelname aan overleg privacy en informatiebeveiliging

Er is een regulier privacy- en informatiebeveiligingsoverleg waaraan de PO, de ISO, de CISO en de FG deelnemen. Daarnaast nemen deze personen deel aan overleggen van afdelingen, project-groepen en werkgroepen waarin privacy- en informatiebeveiligingsvraagstukken aan de orde komen.

Handeling

Management

PO

ISO

CISO

FG

Deelnemen aan privacy- en informatiebeveiligingsoverleg

X

X

X

X

Uitnodigen behandelend specialist voor bijwonen overleggen met privacy- en informatiebeveiligingsvraagstukken

X

Deelnemen aan project-, team- en themaoverleggen met betrekking tot privacy- en informatiebeveiligingsvraagstukken

X

X

X

X

4Afhandeling veiligheidsincidenten

Een datalek is een inbreuk op de beveiliging van persoonsgegevens. Dit is heel breed. Het kan bijvoorbeeld gaan over een hacker die toegang heeft gekregen tot persoonsgegevens of een brand waarmee de serverruimte wordt vernietigd, een verloren usb-stick met persoonsgegevens of zelfs het versturen van een brief naar een verkeerd adres, waarbij de bewoner de brief ook geopend heeft.

Elke medewerker binnen Kampen moet veiligheidsincidenten melden. Dit is mogelijk via het online datalekkenformulier op intranet.

Handeling

Management

Medewerker

PO

ISO

CISO

FG

Inventariseren van feiten en omstandigheden en opstellen verslag feiten en omstandigheden

X

X

X

X

Uitvoeren analyse

X

X

X

Verstrekken advies

X

X

In geval van dilemma’s in analyse en/of advies afstemmen met de betrokken medewerker(s), gemeentesecretaris en/of burgemeester

X

X

X

X

Opstellen en versturen rapportage veiligheidsincident

X

X

Afstemmen incident en resultaten met secretaris

X

X

X

X

Controle rapportage veiligheidsincident

X

X

Melden datalek bij AP

X

X

Melden datalek aan betrokkenen

X

X

Implementeren adviezen uit rapportages

X

Toetsing op implementatie adviezen

X

5Advies en voorlichting aan de organisatie

Het goed omgaan met de privacy staat of valt met het gedrag van de personen die de persoonsgegevens verwerken. Het is daarom belangrijk dat alle medewerkers, het management, de directie en het college goed op de hoogte zijn van wat kan en mag; zij moeten zich bewust zijn van de risico’s die het verwerken van persoonsgegevens met zich meebrengen.

Handeling

Management

PO

ISO

CISO

FG

Gevraagd en ongevraagd advies geven aan bestuur, management en medewerkers met betrekking tot privacy- en informatiebeveiligingsvraagstukken

X

X

X

X

Voorlichting en communicatie over privacy aan de organisatie (bewustwording), inclusief het opstellen van een awarenessplan

X

X

Continue aandacht voor privacy op de afdeling

X

X

6Uitvoering data protection impact assessment (DPIA)

De AVG verplicht de verantwoordelijke in bepaalde gevallen voor het beginnen van het verwerken van gegevens voor een bepaald doel een DPIA uit te voeren. Dit is nodig als de gegevensverwerking een hoog privacyrisico oplevert voor de mensen van wie de gegevens verwerkt worden. Een goed uitgevoerde DPIA geeft inzicht in de risico’s die de verwerking oplevert voor betrokkenen en in de maatregelen die de verantwoordelijke moet nemen om de risico’s af te dekken. Daarnaast is het soms ook nodig om een DPIA uit te voeren voor een bestaande gegevensverwerking, bijvoorbeeld als er nog nooit een onderzoek heeft plaatsgevonden of als er veranderingen zijn ten opzichte van de vorige DPIA, zoals het gebruiken van een nieuwe technologie of als de gegevens voor een ander doel gebruikt worden. Dit is ook nodig als het risico of de omgeving verandert.

Handeling

Management

PO

FG

Initiëren / aanvragen DPIA

X

X

Uitvoeren DPIA

X

Inhoudelijke en procedurele ondersteuning van de afdeling bij het doorlopen van de DPIA

X

Adviseren over de DPIA

X

Opstellen verslag inclusief aanbevelingen, verwerken en archiveren van de resultaten van de DPIA

X

X

Uitvoeren acties / implementeren maatregelen voortkomend uit de DPIA

X

Toetsen uitgevoerde acties / geïmplementeerde maatregelen

X

X

Toetsen op de procedure, de resultaten, de effectuering en de naleving van de resultaten uit de DPIA

X

7Afhandeling verzoek rechten van betrokkenen met betrekking tot persoonsgegevens

Onder de AVG heeft de betrokkene een aantal rechten om controle te houden over hun persoonsgegevens. Het gaat hierbij om:

•recht op inzage.

•recht op vergetelheid.

•recht op rectificatie en aanvulling.

•recht op dataportabiliteit.

•recht op beperking van verwerking.

•recht om bezwaar te maken.

•recht op een menselijke blik bij besluiten.

•recht op duidelijke informatie over wat met hun persoonsgegevens gebeurt.

Het gaat hier om de rechten 1 tot en met 6.

Handeling

Management

PO

FG

Verantwoordelijk voor het opstellen van procedures voor afhandeling verzoeken

X

X

Ontvangen verzoek, uitzetten vraag binnen de organisatie, verzamelen informatie en terugkoppeling naar aanvrager bij afdelingsoverstijgend verzoek

X

X

Verzoek uitvoeren

X

Optimalisatie van de procedure, verzorgen van communicatie en voorlichting en verkrijgen van draagkracht binnen de organisatie rond de procedures over verzoeken rechten van betrokkenen

X

X

Toezicht op doorlopen procedures verzoek rechten van betrokkenen

X

8Ontwikkelen en beheer van procedures, formats en beleid

Om ervoor te zorgen dat de medewerkers op een uniforme en goede manier met privacy omgaan moeten procedures, formats en beleid ontwikkeld en beheerd worden.

Handeling

Management

PO

FG

De ontwikkeling, de optimalisatie en de interne en extern communicatie rond gemeentebrede procedures, formats en beleid met betrekking tot privacy

X

X

Vertalen van het gemeentebrede beleid en procedures naar de afdelingsspecifieke situatie (zoals het schrijven van het afdelingsspecifieke privacybeleid en opstellen van afdelingsspecifieke privacyprocedures)

X

X

Ten uitvoer brengen van het beleid

X

Het beheer en de archivering van procedures, formats en beleid met betrekking tot privacy

X

Toezicht op de kwaliteit, archivering, communicatie en toepassing van de procedures, formats en beleid

X

9Het ontvangen en behandelen van klachten

Alle personen van wie de gemeente Kampen persoonsgegevens verwerkt of gaat verwerken, kunnen zich direct wenden tot de FG. Dit geldt voor vragen, maar ook voor klachten over het handelen van de organisatie met betrekking tot de verwerking van persoonsgegevens.

Handeling

FG

Het ontvangen en afhandelen van vragen en klachten gericht aan de FG

X