2. Strategisch beleid
2.2 Ontwikkelingen
2.2.1 De BIO
De BIO (Baseline Informatiebeveiliging Overheid) is het normenkader voor de gehele overheid. De werkwijze van deze BIO is gericht op risicomanagement. Dat wil zeggen dat de teamleiders nu meer dan vroeger moeten werken volgens de aanpak van de ISO 27001 en daarbij is risicomanagement van belang. Dit houdt voor het management in, dat men op voorhand keuzes maakt en continu afwegingen maakt of informatie in bestaande en nieuwe processen adequaat beveiligd zijn in termen van beschikbaarheid, integriteit en vertrouwelijkheid.
Risicomanagement
Informatiebeveiliging richt zich op het risico dat informatie niet op het juiste moment beschikbaar is, niet juist of volledig is of in verkeerde handen terecht kan komen. Proceseigenaren (teamleiders) zullen zich dus een beeld moeten vormen van de kwetsbaarheden in hun processen en systemen: hoe groot is de kans dat zo’n kwetsbaarheid wordt misbruikt en wat zijn de gevolgen (impact) daarvan? En aan de andere kant: met welke dreigingen moeten we rekening houden. Precies daar tussenin bevindt zich de vraag: welke maatregelen dient een eigenaar te treffen om de kwetsbare informatie beschermen tegen de kwaadwillenden. En juist daarom is risicomanagement de basis voor informatiebeveiliging, waar de teamleider beslist en de (C)ISO adviseert.
2.2.2 De AVG
Nieuwe technologische ontwikkelingen, innovatieve voorzieningen, globalisering en een steeds digitaler wordende overheid maakt het zorgvuldig omgaan met persoonsgegevens steeds complexer en noodzakelijker. De gemeente Lelystad is zich hiervan bewust en wil daarom met dit beleid aangeven hoe zij in algemene zin invulling geeft aan nationale en Europese wet- en regelgeving op het gebied van privacy, waaronder de Algemene Verordening Gegevensbescherming (hierna te noemen: AVG).
2.2.3 De WPG
De gemeente heeft BOA’s in dienst en zij verwerken gegevens die niet onder de AVG vallen maar onder de wet Politiegegevens (WPG). Hiervoor moet de gemeentebeleid en samenhangende procedures hebben ingeregeld die betrekking hebben op toegangsrechten, autorisaties, data classificatie, risico-inschatting, registratie en logging, meldplicht en documentatieplicht
2.2.4 De 10 principes voor informatiebeveiliging en privacy5 https://www.informatiebeveiligingsdienst.nl/product/de-10-bestuurlijke-principes-voor-informatiebeveiliging/
De 10 principes voor informatiebeveiliging zijn een bestuurlijke aanvulling op het normenkader BIO en gaan over de waarden die de bestuurder zichzelf oplegt. De principes zijn als volgt:
1Bestuurders bevorderen een veilige cultuur.
2Informatiebeveiliging en privacy is van iedereen.
3Informatiebeveiliging is risicomanagement.
4Risicomanagement is onderdeel van de besluitvorming.
5Informatiebeveiliging en privacy behoeft ook aandacht in (keten)samenwerking.
6Informatiebeveiliging en privacy is een proces.
7Informatiebeveiliging en privacy kost geld.
8Onzekerheid dient te worden ingecalculeerd.
9Verbetering komt voort uit leren en ervaring.
10Het bestuur controleert en evalueert.
De principes gaan vooral over de rol van het bestuur bij het borgen van informatiebeveiliging en privacy in de gemeentelijke organisatie. Deze principes ondersteunen de bestuurder bij het uitvoeren van goed risicomanagement. Als er iets verkeerd gaat met betrekking tot het beveiligen van de informatie binnen de gemeentelijke processen, dan kan dit directe gevolgen hebben voor inwoners, ondernemers en partners van de gemeente. Daarmee is het onderwerp informatiebeveiliging en privacy nadrukkelijk gewenst op de bestuurstafel.
2.2.5 Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten
Het Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten geeft een actueel zicht op incidenten en factoren uit het verleden, aangevuld met een verwachting voor het heden en de nabije toekomst. Dit dreigingsbeeld is daarmee het ideale document om focus aan te brengen in het actualiseren van beleid en plannen voor informatiebeveiliging.
2.2.6 Informatie uit incidenten en inbreuken op de beveiliging en datalekken
De gemeente kent naast het hierboven genoemde dreigingsbeeld natuurlijk een eigen systeem waarin incidenten worden vastgelegd. Dit systeem geeft ook waardevolle informatie om van te leren en dus zijn incidenten uit het verleden ook nadrukkelijk input bij het actualiseren van het beleid.
2.6 Uitgangspunten
2.6.1 Belangrijkste uitgangspunten
De belangrijkste uitgangspunten van het beleid zijn:
•De uitvoering van de informatiebeveiliging is een verantwoordelijkheid van het lijnmanagement. Alle informatiebronnen en -systemen (ICT/IoT/OT) die gebruikt worden door de gemeente Lelystad hebben een interne eigenaar die de vertrouwelijkheid, privacy eisen en/of waarde bepaalt van de informatie die ze bevatten. De primaire verantwoordelijkheid voor de bescherming van informatie ligt dan ook bij de eigenaar van de informatie.
•Door periodieke controle, organisatiebrede planning én coördinatie wordt de kwaliteit van de informatievoorziening en privacy verankerd binnen de organisatie. Het IB&P beleid vormt samen met het IB&P plan het fundament onder een betrouwbare informatievoorziening en privacybescherming. In het IB&P plan wordt de betrouwbaarheid van de informatievoorziening en privacy organisatiebreed benaderd. Het plan wordt periodiek bijgesteld op basis van nieuwe ontwikkelingen, registraties in het incidentenregister en risicoanalyses voor informatiebeveiliging en privacy.
•Informatiebeveiliging en privacybescherming is een continu verbeterproces. ‘Plan, do, check en act’ vormen samen het managementsysteem van informatiebeveiliging en privacybescherming.
•De gemeente stelt de benodigde mensen en middelen beschikbaar om haar eigendommen en werkprocessen te kunnen beveiligen en te voldoen aan de privacy eisen volgens de wijze zoals gesteld in dit beleid.
•Regels en verantwoordelijkheden voor het IB&P beleid dienen te worden vastgelegd en vastgesteld. (Zie hoofdstuk 3)
•Iedere medewerker, zowel vast als tijdelijk, intern of extern, is verplicht waar nodig gegevens en informatiesystemen te beschermen tegen ongeautoriseerde toegang, gebruik, verandering, openbaring, vernietiging, verlies of overdracht en bij vermeende inbreuken hiervan melding te maken.
•Het borgen van privacy in de uitvoering van gemeentelijke processen vindt risico gestuurd plaats. De verantwoordelijken in de organisatie maken afwegingen ter naleving van privacyregels en op basis van een risico-inschatting.
2.6.2 Randvoorwaarden
Belangrijke randvoorwaarden zijn:
•De informatiebeveiliging en privacy eisen maken deel uit van afspraken met ketenpartners, leveranciers en gemeenschappelijke regelingen en worden periodiek geëvalueerd/gecontroleerd.
•Kennis en bewustzijn van informatiebeveiliging en privacybescherming en omgaan met persoonsgegevens binnen de organisatie dienen actief bevorderd en geborgd te worden.
•Jaarlijks wordt een informatiebeveiligingsplan opgesteld onder leiding van de CISO en FG, gebaseerd op:
o Dit IB&P beleid;
o De uitkomsten van de jaarlijkse Eenduidige Normatiek Single Information Audit (ENSIA);
o Andere audit resultaten;
o Uitkomsten risico-analyses en DPIA’s
o Het dreigingsbeeld gemeenten van de IBD;
o De door de teamleiders ingebrachte onderwerpen voor de informatievoorziening waarvoor zij verantwoordelijk zijn, bijvoorbeeld als uitkomst van een risicoanalyse of een privacy analyse (DPIA).
•Om uitvoering te kunnen geven aan dit strategisch beleid en het IB&P plan worden voldoende financiële middelen en uitvoeringscapaciteit ter beschikking gesteld.
2.7 Controle en verantwoording
2.7.1 ENSIA
De gemeente verantwoordt zich over informatiebeveiliging middels de ENSIA-systematiek. Bij de gemeente Lelystad treedt de CISO op als ENSIA-coördinator. Deze zorgt ervoor dat de informatie die nodig is voor het beantwoorden van vragen binnen ENSIA wordt opgehaald bij de verantwoordelijke teamleiders. De teamleiders leveren alle informatie die nodig is voor het invullen van de jaarlijkse ENSIA-vragenlijsten.
De verantwoording over de informatiebeveiliging en privacybescherming komt in het jaarverslag tot uitdrukking in de collegeverklaringen Informatiebeveiliging en privacy. Met deze verklaringen geeft het college van B en W aan in hoeverre de gemeente voldoet aan de afspraken die gemaakt zijn voor de ENSIA-verantwoording Informatiebeveiliging en wettelijke eisen zoals uit de AVG. Ook worden de eventuele verbetermaatregelen vermeld die de gemeente gaat treffen. De ingevulde zelfevaluatievragenlijst vormt de basis voor het opstellen van de collegeverklaring aan de raad.
Met de ENSIA verantwoordt de gemeente zich ook aan de toezichthouders voor DIGID, BAG, BGT, BRO, Reisdocumenten, BRP, SUWI. Met de komst van de Cyberbeveiligingswet zal ook verantwoording worden afgelegd over informatiebeveiliging (BIO) aan de toezichthouder.
Middels deze verantwoording worden het bestuur van de gemeente Lelystad, de raad en landelijke toezichthouders geïnformeerd. De betrokkenheid van het bestuur is essentieel, en laat zien dat de gemeente Lelystad informatiebeveiliging serieus neemt en het een onderdeel laat zijn van de ambities om informatie van haar inwoners adequaat te beschermen.
Bijlage A: Privacyreglement Gemeente Lelystad
In dit reglement laat gemeente Lelystad zien op welke manier zij dagelijks omgaat met
persoonsgegevens en privacy. Privacy speelt een belangrijke rol in de relatie tussen de burger en de overheid en staat daarmee hoog op de bestuurlijke agenda. Gemeenten hebben de verantwoordelijkheid over persoonsgegevens en gegevensuitwisseling op alle terreinen waar ze actief zijn. Gemeenten zijn verplicht om zorgvuldig en veilig, proportioneel en vertrouwelijk om te gaan met het verzamelen, bewaren en beheren van persoonsgegevens van burgers. Dat geldt voor taken op het gebied van basisadministraties, openbare orde en veiligheid, en het sociaal domein. Goed en zorgvuldig omgaan met persoonsgegevens is een dagelijkse bezigheid van gemeenten. Het beschermen van de privacy is complex, en wordt steeds complexer door technologische ontwikkelingen, de decentralisaties, grote uitdagingen op het terrein van veiligheid en nieuwe Europese wetgeving. Daarom vinden wij het belangrijk om transparant te zijn over de manier waarop wij met persoonsgegevens omgaan.
Artikel 1. Wetgeving en definities
Sinds 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG), in Werking getreden, samen met de uitvoeringswet. De AVG zorgt onder andere voor versterking en uitbreiding van de privacyrechten met meer verantwoordelijkheden voor organisaties.
De volgende begrippen worden in de AVG gebruikt (Artikel 4, AVG):
Betrokkene: De persoon op wie de persoonsgegevens betrekking hebben. De betrokkene is degene van wie de gegevens worden verwerkt.
Verwerker: De persoon of organisatie die de persoonsgegevens verwerkt in opdracht van een andere persoon of organisatie.
Persoonsgegevens: Alle gegevens die gaan over mensen en waaraan je een mens als individu kunt herkennen. Het gaat hierbij niet alleen om vertrouwelijke gegevens, zoals over iemands gezondheid, maar om ieder gegeven dat te herleiden is tot een bepaald persoon (bijvoorbeeld; naam, adres, geboortedatum). Naast gewone persoonsgegevens kent de wet ook bijzondere persoonsgegevens. Dit zijn gegevens die gaan over gevoelige onderwerpen, zoals etnische achtergrond, politieke voorkeuren of het Burgerservicenummer (BSN).
Gegevensbeschermingseffectbeoordeling: Met een gegevensbeschermingseffectbeoordeling worden de effecten en risico’s van de nieuwe of bestaande verwerkingen beoordeeld op de bescherming van de privacy. Dit heet ook wel een Privacy Impact Assessment (PIA).
Verwerkingsverantwoordelijke: Een persoon of instantie die alleen, of samen met een ander, het doel en de middelen voor de verwerking van persoonsgegevens vaststelt.
Verwerking: Een verwerking is alles wat je met een persoonsgegeven doet, zoals: vastleggen, bewaren, verzamelen, bij elkaar voegen, verstrekken aan een ander, en vernietigen.
Artikel 2. Reikwijdte
Het reglement is van toepassing op alle verwerkingen van persoonsgegevens door alle bestuursorganen van de gemeente. Oftewel: voor alle verwerkingen die binnen de gemeente plaatsvinden.
Artikel 3. Verantwoordelijke
De bestuursorganen van de gemeente zijn allemaal verantwoordelijken voor de verwerkingen die door of namens de gemeente worden uitgevoerd. De bestuursorganen van de gemeente zijn onder andere de burgemeester, het college van Burgemeesters en Wethouders (college van B&W) en de Raad.
Artikel 4. Verwerkingen (Artikel 4, AVG)
De verwerking van persoonsgegevens is elke handeling of elk geheel van handelingen met persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde processen. In de AVG valt onder een verwerking:
•Verzamelen, vastleggen en ordenen
•Bewaren, bijwerken en wijzigen
•Opvragen, raadplegen, gebruiken
•Verstrekken door middel van doorzending
•Verspreiding of enige andere vorm van ter beschikkingstellen
•Samenbrengen, met elkaar in verband brengen
•Afschermen, uitwissen of vernietigen van gegevens
Uit deze opsomming blijkt dat alles wat je met een persoonsgegeven doet een verwerking is.
Doeleinden (Artikel 5, AVG)
Volgens de wet mogen persoonsgegevens alleen verzameld worden als daarvoor een doel is vastgesteld. Het doel moet uitdrukkelijk omschreven en gerechtvaardigd zijn. De gegevens mogen niet voor andere doelen verwerkt worden. Voor de uitvoering van sommige wetten, zoals bijvoorbeeld de Jeugdwet, zijn de doelen voor het verwerken in de wet al vastgelegd, net als de persoonsgegevens die gevraagd en verwerkt mogen worden.
Rechtmatige grondslag (Artikel 6, AVG)
De wet zegt dat er voor elke verwerking van persoonsgegevens een rechtmatige grondslag uit de wet van toepassing moet zijn. Dat betekent dat de verwerking alleen mag plaatsvinden:
•Om een verplichting na te komen die in de wet staat
•Voor de uitvoering van een overeenkomst waar de betrokkene onderdeel was
•Om een ernstige bedreiging voor de gezondheid van de betrokkene te bestrijden
•Voor de goede vervulling van de gemeentelijke taak
•Wanneer de betrokkene toestemming heeft gegeven voor de specifieke verwerking
Wijze van verwerking
De hoofdregel van de verwerking van persoonsgegevens is dat het alleen toegestaan is in overeenstemming met de wet, en op een zorgvuldige wijze. Persoonsgegevens worden zoveel mogelijk verzameld bij de betrokkene zelf. De wet gaat uit van subsidiariteit. Dit betekent dat verwerking alleen is toegestaan wanneer het doel niet op een andere manier kan worden bereikt.
In de wet wordt ook gesproken over proportionaliteit. Dit betekent dat persoonsgegevens alleen mogen worden verwerkt als dit in verhouding staat tot het doel. Wanneer met geen, of minder (belastende), persoonsgegevens hetzelfde doel bereikt kan worden moet daar altijd voor gekozen worden.
De gemeente zorgt ervoor dat de persoonsgegevens kloppen en volledig zijn voordat ze verwerkt worden. Deze gegevens worden alleen verwerkt door personen met een geheimhoudingsplicht. Daarnaast beveiligt de gemeente alle persoonsgegevens. Dit moet voorkomen dat de persoonsgegevens kunnen worden ingezien of gewijzigd door iemand die daar geen recht toe heeft.
Hoe de gemeente dit doet staat in dit informatiebeveiligingsbeleid van de gemeente en in een eventueel aanvullend beveiligingsplan specifiek opgesteld voor een proces of registratie.
Doorgifte (Artikel 44 t/m 50, AVG)
De gemeente geeft in beginsel geen persoonsgegevens door met een land buiten de Europese Economische Ruimte (EER) of een internationale organisatie.
Artikel 5. Transparantie en communicatie
Wet open overheid (Woo)
Via de Wet Open Overheid kun je een verzoek om informatie indienen bij de gemeente. Bij het verzoek bekijkt de gemeente altijd of het antwoord geen inbreuk maakt op de persoonlijke levenssfeer van betrokkenen. In principe worden geen persoonsgegevens verstrekt.
Wet hergebruik van overheidsinformatie
De Wet hergebruik van overheidsinformatie regelt het op verzoek verstrekken van overheidsinformatie voor hergebruik. Bij het verzoek bekijkt de gemeente altijd of het antwoord geen inbreuk maakt op de persoonlijke levenssfeer van betrokkenen. In principe worden geen persoonsgegevens verstrekt.
Informatieplicht (Artikel 13,14, AVG)
De gemeente informeert betrokkenen over het verwerken van persoonsgegevens. Wanneer betrokkenen gegevens aan de gemeente geven, worden zij op de hoogte gesteld van de manier waarop de gemeente met persoonsgegevens om zal gaan. Dit kan bijvoorbeeld via een formulier gebeuren. De betrokkene wordt niet nogmaals geïnformeerd als hij/zij al weet dat de gemeente persoonsgegevens van hem/haar verzamelt en verwerkt, en weet waarom en voor welk doel dat gebeurt. Wanneer de gegevens via een andere weg verkregen worden, dus buiten de betrokkene om, wordt de betrokkene geïnformeerd op het moment dat deze voor de eerste keer worden verwerkt.
Verwijdering
De gemeente bewaart de persoonsgegevens niet langer dan nodig is voor de uitvoering van gemeentelijke taken, of zoals vastgelegd in de Archiefwet. Wanneer er nog persoonsgegevens opgeslagen zijn die niet langer nodig zijn voor het bereiken van het doel worden deze zo snel mogelijk verwijderd. Dit houdt in dat deze gegevens vernietigd worden, of zo worden aangepast dat de informatie niet meer gebruikt kan worden om iemand te identificeren. Teams stellen zich op de hoogte van de eventuele bewaartermijn en bewaken de bewaartermijn.
Rechten van betrokkenen (Artikel 13 t/m 20, AVG)
De wet bepaalt niet alleen de plichten van degenen die de persoonsgegevens verwerken, maar bepaalt ook de rechten van de personen van wie de gegevens worden verwerkt. Deze rechten worden ook wel de rechten van betrokkenen genoemd, en bestaan uit de volgende rechten:
•Recht op informatie: Betrokkenen hebben het recht om aan de gemeente te vragen of
•zijn/haar persoonsgegevens worden verwerkt.
•Inzagerecht: Betrokkenen hebben de mogelijkheid om te controleren of, en op welke
•manier, zijn/haar gegevens worden verwerkt.
•Correctierecht: Als duidelijk wordt dat de gegevens niet kloppen, kan de betrokkene een
•verzoek indienen bij de gemeente om dit te corrigeren.
•Recht van verzet: Betrokkenen hebben het recht aan de gemeente te vragen om hun
•persoonsgegevens niet meer te gebruiken.
•Recht om vergeten te worden: In gevallen waar de betrokkene toestemming heeft gegeven
•om gegevens te verwerken, heeft de betrokkene het recht om de persoonsgegevens te
•laten verwijderen.
•Recht op bezwaar: Betrokkenen hebben het recht om bezwaar aan te maken tegen de
•verwerking van zijn/haar persoonsgegevens. De gemeente zal hieraan voldoen, tenzij er
•gerechtvaardigde gronden zijn voor de verwerking.
Indienen van verzoek
Om gebruik te maken van zijn/haar rechten kan de betrokkene een verzoek indienen. Dit verzoek kan zowel schriftelijk als via de e-mail ingediend worden (fg@lelystad.nl). De gemeente heeft vier weken de tijd, vanaf de ontvangst van het verzoek, om te beoordelen of het verzoek
gerechtvaardigd is. Deze termijn kan eenmalig met 2 maanden worden verlengd. Binnen vier weken zal de gemeente laten weten wat er met het verzoek gaat gebeuren. Als het verzoek niet wordt opgevolgd is er de mogelijkheid om bezwaar te maken bij de gemeente, of een klacht in te dienen bij de Autoriteit Persoonsgegevens (AP). Aan de hand van een verzoek kan de gemeente aanvullende informatie opvragen om zeker te zijn van de identiteit van de betrokkene.
Artikel 6. Geautomatiseerde verwerkingen
Datateam
Het datateam verzamelt, verwerkt en analyseert gegevens om organisaties te helpen bij het nemen van data-gedreven beslissingen.
Het datateam is lid van de Vereniging voor Statistiek en Onderzoek. Daarmee hebben ze zich gecommitteerd aan werken volgens de standaarden in de gedragscode voor statistisch onderzoek. Deze gedragscode waarin de AVG ruimschoots aan bod komt, is hier te vinden: Gedragscode voor Statistisch Onderzoek | De Vereniging voor Beleidsonderzoek
Bij een datavraag vanuit de organisatie wordt de privacy flowchart gebruikt. En zonodig het project startdocument dat onder meer antwoord geeft op de vraag welke grondslag wordt gebruikt voor het verwerken van gegevens.
Inzet van camera’s
Binnen de gemeente wordt onder bepaalde omstandigheden gebruik gemaakt van cameratoezicht, zoals vastgelegd in de Gemeentewet. Cameratoezicht wordt onder andere gebruikt voor het vergroten van de veiligheid op straat. Camera’s kunnen een grote inbreuk maken op de privacy van diegene die gefilmd worden. Om de privacy zo goed mogelijk te waarborgen worden camera’s alleen ingezet wanneer er geen andere manieren zijn om het doel te bereiken, en worden er eisen gesteld aan de inzet van camera’s.
Gemeente Lelystad maakt gebruik van cameratoezicht en houdt zich daarbij aan het vastgestelde camera-reglement.
Artikel 7. Plichten van de gemeente
Register van verwerkingen (Artikel 30, AVG)
De gemeente is verantwoordelijk voor het aanleggen van een register van alle verwerkingen waarvan de gemeente de verwerkingsverantwoordelijke is. Elk register bevat een beschrijving van wat er tijdens een verwerking plaatsvindt, en welke gegevens daarvoor worden gebruikt, namelijk:
•De naam en contactgegevens van de verwerkingsverantwoordelijke en, mogelijk, de
•gezamenlijke verwerkingsverantwoordelijke;
•De inhoud en doelen van de verwerking;
•Een beschrijving van het soort persoonsgegevens en de daarbij horende betrokkenen;
•Een beschrijving van de ontvangers van de persoonsgegevens;
•De termijnen waarin de verschillende persoonsgegevens moeten worden gewist;
Gegevensbeschermingseffectbeoordeling (Artikel 35, AVG)
Met een gegevensbeschermingseffectbeoordeling worden de effecten en risico’s van nieuwe of bestaande verwerkingen beoordeeld op de bescherming van de privacy. De gemeente voert deze uit wanneer er een geautomatiseerde verwerking, een grootschalige verwerking, of wanneer er een grootschalige monitoring van openbare ruimten plaatsvindt. Dit geldt in het bijzonder bij verwerkingen waarbij nieuwe technologieën worden gebruikt.
Artikel 8. Verwerker
Indien de verantwoordelijke persoonsgegevens laat verwerken door een bewerker vindt verwerking uitsluitend plaats indien voorafgaand aan die verwerking een daartoe strekkende overeenkomst tussen de verantwoordelijke en de bewerker is gesloten. Er wordt bij voorkeur gebruik gemaakt van de standaard verwerkersovereenkomst van de gemeente Lelystad. De FG (functionaris gegevensbescherming) houdt een register bij van verwerkersovereenkomsten. De verantwoordelijke meldt een nieuwe verwerkersovereenkomst bij de FG
Artikel 9 Datalekken (Artikel 33,34, AVG)
We spreken van een datalek wanneer persoonsgegevens in handen vallen van derden die geen toegang tot die gegevens mogen hebben. Datalekken worden meten aan de FG gemeld. Wanneer er een ernstig datalek heeft plaatsgevonden meldt de FG dit zonder onredelijke vertraging, uiterlijk 72 uur nadat er kennis van de inbreuk is vernomen, aan de Autoriteit Persoonsgegevens. Als dit later dan 72 uur is wordt er een motivering voor de vertraging bij de melding gevoegd. Het kan zijn dat de inbreuk een hoog risico met zich meebrengt voor de rechten en vrijheden van de betrokkenen. In dit geval meldt de gemeente (te weten het betreffende team waar het datalek heeft plaatsgevonden) dit aan de betrokkenen in eenvoudige en duidelijke taal. Om toekomstige datalekken te voorkomen worden bestaande datalekken geëvalueerd. De FG coördineert de afhandeling van datalekken.
Aanstellen van een Functionaris voor gegevensbescherming (FG) (Artikel 37 t/m 39, AVG)
De gemeente heeft een FG aangesteld. De FG is betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. De taken van de functionaris zijn informeren, adviseren, toezicht houden, bewustwording creëren, en optreden als contactpersoon van het AP.
Het is niet de bedoeling dat de functionaris de taken op het gebied van bescherming van de privacy van de afdelingen overneemt. De afdelingen hebben hun eigen verantwoordelijkheid in het goed omgaan met privacygevoelige gegevens. Een verwerking van persoonsgegevens wordt eerst aan de FG gemeld voordat de verwerking begint. De FG is verantwoordelijk voor het structureel toetsen van de implementatie en de uitvoering van de wettelijke eisen en de gemeentelijke richtlijnen op het gebied van privacy. De FG op het gebied van de AVG is dat tevens voor de Wpg.
Voor vragen over privacy of over deze toelichting kunt u contact opnemen met de functionaris voor gegevensbescherming van gemeente Lelystad via: fg@lelystad.nl
Taken en bevoegdheden functionaris gegevensbescherming (Artikel 37 t/m 39, AVG)
Artikel 10. Taken FG
1Binnen de gemeente Lelystad is een FG aangesteld als bedoeld in artikel 37-39 van de AVG
2De FG heeft naast het houden van toezicht als bedoeld in artikel 37-39 van de AVG in ieder geval tot taak:
a.Het toezicht houden op wijzigingen in bestaande verwerkingen en het aanleggen van nieuwe verwerkingen met persoonsgegevens; een ieder binnen de organisatie, die persoonsgegevens verzamelt en verwerkt deelt, voordat met de verzameling en verwerking wordt begonnen, dit mee aan de FG voor zover het nog niet in het register is opgenomen.
b.Het geven van advies over de toepassing van de AVG bij de gemeente Lelystad, met medewerking van de privacy officer;
c.Het inrichten en onderhouden van het register als bedoeld in artikel 7 van dit besluit;
d.Uitvoeren van audits op basis van een risico-analyse.
e.Het jaarlijks opstellen van een verslag van zijn werkzaamheden. Dit verslag wordt gezonden aan de verantwoordelijke;
Artikel 11 Beveiliging, beheer en auditing
1De FG toetst op basis van een jaarlijkse risico-analyse de technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies, diefstal en onrechtmatige verwerking en raadpleging. Het team is verantwoordelijk voor het doorvoeren van beheersmaatregelen. De FG toetst vanuit de auditrol de effectiviteit van deze beheersmaatregelen.
2Indien de FG onrechtmatigheden aantreft bij de verwerking van persoonsgegevens brengt hij hierover verslag uit aan het hoofd van het betreffende team. Hij doet dit verslag vergezeld gaan van een aanbeveling, die strekt tot een verbetering van de bescherming van persoonsgegevens, die door of namens de verantwoordelijke worden verwerkt.
3Indien de aanbeveling niet of niet voldoende wordt opgevolgd, rapporteert de FG zijn bevindingen aan de verantwoordelijke.
Artikel 12 Toegang verlenen
1De FG is bevoegd elke plaats in de gebouwen op de terreinen die bij de gemeente in gebruik zijn en waar persoonsgegevens worden verwerkt te betreden;
De FG is bevoegd inlichtingen te vorderen van een ieder die onder gezag van het college van burgemeester en wethouders of de burgemeester werkzaam is.
Artikel 13 Bevoegdheid tot inzage
1De FG is bevoegd inzage te vorderen van zakelijke gegevens en bescheiden waarin persoonsgegevens zijn verwerkt.
2Hij is bevoegd van de gegevens en bescheiden kopieën te maken.
3Indien het maken van kopieën niet ter plekke kan gebeuren, is hij bevoegd de gegevens en bescheiden voor maximaal één dag mee te nemen.
Artikel 14 Weigering
1Indien de medewerking voor het verstrekken van inlichtingen als bedoeld in artikel 12 en het verzoek tot inzage als bedoeld in artikel 13 wordt geweigerd, kan het college van burgemeester en wethouders, op een met redenen omkleed verzoek van de FG, toestemming verlenen zelfstandig de nodige inlichtingen te verzamelen dan wel de persoonsgegevens in te zien;
2Het college van burgemeester en wethouders wordt zo spoedig mogelijk in kennis gesteld van de uitkomsten van dit onderzoek, waarbij ook het directieteam wordt ingelicht.
Artikel 15 Geheimhouding
De FG is verplicht tot geheimhouding van hetgeen hem op grond van een klacht of een verzoek van betrokkene is bekend geworden, tenzij betrokkene in bekendmaking toestemt.
Artikel 16 Ingangsdatum regeling
Deze regeling treedt in werking met ingang van 25 maart 2025.
Afsluiting
Als de gemeente een wettelijke verplichting niet nakomt kan de betrokkene een klacht indienen.
Deze zal via de klachtenregeling van de gemeente worden behandeld. In gevallen waar het reglement niets over zegt, beslist het verantwoordelijke bestuursorgaan van de gemeente.
Dit privacyreglement gebaseerd op de AVG vervangt het privacyreglement van 25 mei 2018.
Op de website https://www.gemeentelelystad.nl/privacy is het Privacy Statement opgenomen.
Disclaimer:
Dit product is een eenvoudige en begrijpbare vertaling van de huidige privacywetgeving en gebaseerd op de AVG. Vanzelfsprekend is de toepasbare wet- en regelgeving altijd leidend en kunnen er geen rechten ontleend worden aan dit document. Op de websitehttps://www.gemeentelelystad.nl/privacyis een Privacy Statement opgenomen
Bijlage B: Organisatie, taken & verantwoordelijkheden
Deze bijlage geeft op hoofdlijnen inzicht in de ambtelijke rollen en is ter informatie bijgevoegd aan dit strategisch beleid.
Gemeentesecretaris
Ambtelijk is de gemeentesecretaris eindverantwoordelijk voor de integrale beveiliging en voor de inrichting en werking van de IB&P-organisatie en Bedrijfscontinuïteitsmanagement (BCM). In die hoedanigheid is hij eindverantwoordelijk voor de implementatie van alle beveiligings- en privacykaders in zijn organisatie. En laat zich daarbij adviseren door functionarissen, zoals een Chief Information Security Officer (CISO), Chief Information Officer (CIO) en Functionaris Gegevensbescherming (FG).
Directieteam
Het directieteam:
•Zorgt dat alle (persoons)gegevens, processen en systemen en de daarbij behorende middelen altijd onder de verantwoordelijkheid vallen van een teamleider.
•Zorgt dat de teamleiders zich verantwoorden over de beveiliging en de privacy van de (persoons)gegevens of andere informatie die onder hen berust.
•Zorgt dat de teamleiders toezien op de beschikbaarheid, integriteit en vertrouwelijkheid van informatie in hun proces; en dat zij voorbereid zijn op een calamiteit (Bedrijfscontinuïteit).
•Zorgt dat het college gevraagd en ongevraagd geïnformeerd wordt over de mate waarin informatiebeveiliging een onderdeel is van het handelen van de bedrijfsvoering. Op die manier kan het college zich ook verantwoorden naar de raad.
•Stelt het gewenste niveau van continuïteit en vertrouwelijkheid vast.
•Draagt zorg voor het uitwerken van tactische informatiebeveiligings- en privacybeleidsonderwerpen en laat zich hierin bijstaan door de CISO en FG van de gemeente.
•Autoriseert de benodigde procedures en uitvoeringsmaatregelen.
•Ziet het onderwerp informatiebeveiliging en privacybescherming binnen de gemeente Lelystad als een integraal onderdeel van risicomanagement.
Teamleiders
De uitvoering van informatiebeveiliging en privacybescherming valt onder de verantwoordelijkheden van alle teamleiders
7In de BIO wordt een teamleider aangeduid als proceseigenaar.
. Teamleiders zijn verantwoordelijk voor het behoud van de vertrouwelijkheid, integriteit (juistheid & volledigheid) en beschikbaarheid van informatie in de hele keten van hun proces; dus inclusief ketenpartners, leveranciers, (cloud)systemen, Internet of Things (IoT), Operationele Technologie (OT). Om deze verantwoordelijkheid waar te maken dienen zij goed ondersteund te worden vanuit de tweede lijn (PO, ISO, applicatie- en systeembeheerder). Deze verantwoordelijkheid kunnen zij niet delegeren, uitvoerende werkzaamheden wel.