Tactisch Privacybeleid Gemeente Lopik 2023-2026

2.2.1 Doelbinding

Uitgangspunt in de AVG is de verwerking van de persoonsgegevens. Deze verwerkingen worden gedaan in het kader van de taakuitoefening door medewerkers. Voor deze verwerkingen geldt dat er een doel geformuleerd moet worden waarvoor zij worden verwerkt.

De AVG laat in het midden hoe die doelen worden geformuleerd. Uitgangspunt van de verordening is dat persoonsgegevens voor een welbepaald, uitdrukkelijk omschreven en gerechtvaardigd doel worden verzameld. Het is een simpele aanpak om per team te laten vaststellen voor welke doelen persoonsgegevens worden verwerkt. Hierbij kan worden gedacht aan vergunningverlening, subsidievaststelling of het bepalen van een uitkering. Deze doeleinden worden opgenomen in het register van verwerkingen. In de praktijk wordt het toegestaan dat een doelomschrijving uit meerdere onderdelen bestaat, bijvoorbeeld in een constructie hoofddoel en subdoelen of nevendoelen. Van belang daarbij is dat deze doelstellingen onderling verenigbaar zijn. Het is ook mogelijk dat verwerkingen na melding voor andere doeleinden worden aangewend. Ook dit laatste is toegestaan, mits dit latere doel verenigbaar is met het oorspronkelijke.

Wanneer de doelen per team zijn bepaald, moet worden beoordeeld wat het takenpakket is van de medewerkers. Aan de hand van het takenpakket wordt beoordeeld welke persoonsgegevens daarvoor moeten worden verwerkt. Voor verwerkingen die in omvang (men verwerkt gegevens van grotere groepen personen) of soort (men verwerkt meer gegevens dan noodzakelijk) niet noodzakelijk zijn voor de uitvoering van taken, kan gesteld worden dat hier geen te rechtvaardigen doel mee wordt gediend. Deze verwerkingen moeten om die reden worden beëindigd.

2.2.2 Toereikend, ter zake dienend en niet bovenmatig

Voor al deze afzonderlijke doelen dient vervolgens te worden vastgesteld welke persoonsgegevens hiertoe noodzakelijkerwijs wel verwerkt moeten worden. Uitgangspunt is dat het verwerken van persoonsgegevens toereikend, ter zake dienend en niet bovenmatig mag zijn. Toereikend wil zeggen dat op basis van de verwerking het juiste beeld ontstaat. Ter verduidelijking; een winkelier, die een registratie bijhoudt van wanbetalers, doet een ontoereikende verwerking als hij niet ook registreert of de betaling is opgeschort, omdat de klant een dispuut heeft over het product.

Ter zake dienend hangt nauw samen met het doel. Is het bijhouden door de winkelier bedoeld voor de administratie, dan kunnen de gegevens niet worden aangewend om het koopgedrag te analyseren. Tot slot hangt bovenmatig ook samen met het doel. Houdt de winkelier een registratie bij van wanbetalers voor zijn administratie, dan is het registeren van de waarde niet bovenmatig. Het bijhouden van het aantal goederen is dat mogelijk wel.

Op teamniveau moet per verwerking worden vastgesteld welke persoonsgegevens ten minste noodzakelijk zijn om het doel te kunnen bereiken.

2.2.3 Vereisten van doelmatigheid, proportionaliteit en subsidiariteit

Naast de hiervoor genoemde beperkingen voor verwerking van persoonsgegevens gelden ook de eisen van proportionaliteit en subsidiariteit.

Het proportionaliteitsbeginsel houdt in dat de inbreuk op de belangen van de bij de verwerking van persoonsgegevens betrokkene niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel. Anders gezegd; hoe verhoudt het doel van de informatieverzameling zich tegenover de schending van het recht op privacy van de betrokkene Op grond van het subsidiariteitsbeginsel mag het doel waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op een andere, voor de bij de verwerking van persoonsgegevens betrokkene, minder nadelige wijze kunnen worden verwerkt (bijvoorbeeld het verkrijgen van de informatie uit open data).

Ook hier moet per team worden beoordeeld of de verwerking doelmatig is, de inbreuk op de persoonlijke levenssfeer niet zwaarder weegt dan de verwerking en of de persoonsgegevens ook op een minder ingrijpende wijze verkregen kunnen worden.

2.2.4 Grondslag

Om persoonsgegevens te mogen verwerken, is het noodzakelijk dat er een geldige grondslag is op basis waarvan de gegevens mogen worden verwerkt. Artikel 6 AVG geeft hiertoe een limitatieve opsomming:

•Ondubbelzinnige toestemming.

•Ter uitvoering van een overeenkomst.

•Ter uitvoering van een wettelijke taak.

•Ter vrijwaring van een vitaal belang.

•Voor een goede vervulling van een publieke taak of van een taak in het kader van uitoefening openbaar gezag opgedragen aan de verwerkingsverantwoordelijke of vanuit gerechtvaardigde belangen.

Voor de verwerking van de persoonsgegevens is het noodzakelijk dat aansluiting gevonden kan worden bij een van deze grondslagen. Hierbij kan worden aangetekend dat de eerste grondslag alleen gebruikt wordt (ondubbelzinnige toestemming) als op grond van een van de andere grondslagen geen persoonsgegevens kunnen worden verwerkt. Als op basis van een andere grondslag (voor de gemeente Lopik is dit in de regel het uitvoeren van wettelijke taken of een goede vervulling van publieke taken) het mogelijk is gegevens te verzamelen, dan wordt geen toestemming aan de betrokkene gevraagd, tenzij een wettelijke bepaling daartoe verplicht.

2.2.5 Verwerkingsverantwoordelijke(n) en verwerker

In de AVG wordt onderscheid gemaakt tussen verwerkingsverantwoordelijke en verwerker. De verwerkingsverantwoordelijke is de overheidsinstantie, dienst of ander orgaan die alleen of samen met anderen het doel en de middelen voor de verwerking van persoonsgegevens vaststelt. De verwerker is de overheidsinstantie, dienst of ander orgaan die ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt. Voorbeelden van verwerkers zijn ICT-dienstverleners of organisaties bij wie de gemeente Lopik een aantal taken laat uitvoeren.

In de relatie verwerkingsverantwoordelijke en verwerker heeft laatstgenoemde geen zeggenschap over het doel en de middelen van de verwerking. Doel en middelen worden bepaald door wet- en regelgeving of door de verwerkingsverantwoordelijke. Om te zorgen dat de verwerker zich houdt aan de instructies van de verwerkingsverantwoordelijke en kan garanderen aan de verwerkingsverantwoordelijke dat hij passende technische en organisatorische maatregelen heeft genomen om de rechten van betrokkenen te beschermen, wordt een verwerkersovereenkomst gesloten. De wetgever laat het in het midden of dit een aparte overeenkomst moet zijn of dat deze geïncorporeerd kan worden in de overeenkomst tot opdracht of samenwerkingsovereenkomst. Het verstandigst is echter om de verwerkingsovereenkomst op te hangen aan de mantelovereenkomst. Zo wordt strijdigheid tussen verschillende overeenkomsten voorkomen. Het template van de verwerkersovereenkomst is als bijlage 1 aan dit privacybeleid toegevoegd.

Het is ook mogelijk dat twee of meer verwerkingsverantwoordelijken gezamenlijk het doel en de middelen van de verwerking bepalen. In die gevallen is het van belang dat op een transparante wijze de onderlinge verplichtingen zijn vastgelegd in termen van overdrachtsmoment en verdeling van de aansprakelijkheden.

Voor de gemeente Lopik geldt dat, als sprake is van een gezamenlijke verwerkingsverantwoordelijkheid, dit vooraf is vastgelegd in een samenwerkingsovereenkomst, aangevuld met het protocol gegevensbescherming (zie bijlage 2). Een voorbeeld waarbij persoonsgegevens van de ene verantwoordelijke naar de andere verantwoordelijke worden overgedragen is te vinden in Hoofdstuk 5 van de Wet maatschappelijke ondersteuning waar zorginstellingen als zelfstandig verantwoordelijke worden genoemd.

2.2.6 Technische en organisatorische beveiliging

De verantwoordelijke legt passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. De maatregelen garanderen, rekening houdend met de stand der techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico’s die de verwerking en de aard van te beschermen gegevens met zich meebrengen.

In de gemeente Lopik wordt aan deze eis van passende maatregelen invulling gegeven door het invoeren van de maatregelenset van de Baseline Informatiebeveiliging Overheid (BIO). Met de implementatie van deze set worden de volgende zaken beoogd:

•Het invoeren van een basisniveau van informatiebeveiliging: de set is zo opgezet en ingevuld dat met invoering van de maatregelen een passend beveiligingsniveau wordt gerealiseerd voor de meeste toepassingen. Deze maatregelen betreffen niet alleen ICT-technische maatregelen maar gaan ook over huisvesting, personeelsbeleid en -werving, contractmanagement, inkoop, voorlichting en bewustwording.

•Het systematisch beoordelen van informatiesystemen en -verwerking op de beveiligings- en privacyrisico’s en het zo nodig treffen van specifieke maatregelen boven op het basisbeveiligingsniveau.

•Het invoeren van een proces van plannen, uitvoeren, toetsen en bijsturen (PDCA) waarbij de maatregelenset systematisch gecontroleerd wordt op effectiviteit en zo nodig aangepast wordt om het passende beveiligingsniveau blijvend te kunnen waarborgen.

Het informatiebeveiligingsproces en de maatregelenset van de BIO wordt in verschillende varianten binnen de overheid gebruikt en zijn gebaseerd op de internationale beveiligingsstandaarden ISO 270001 en ISO 270002.

4.8.1 Opslag van persoonsgegevens

Persoonsgegevens worden binnen de gemeente Lopik (vrijwel) altijd digitaal opgeslagen. Voor opslag van gegevens beschikt de gemeente Lopik over een eigen, afgeschermd netwerk. De manier waarop gemeente Lopik haar netwerk en gegevens beveiligd is in overeenstemming met de gemeentelijke beveiligingsnormen (BIO, zie ook 2.2.6)

Opslag gebeurt op de volgende manieren:

•In centrale databases die door verschillende gebruikers te benaderen en te bewerken zijn. Alle grote registraties van persoonsgegevens zijn in de gemeente Lopik opgenomen in centrale databases.

•Binnen decentrale databases en spreadsheets die door algemene kantoorautomatiseringssoftware te benaderen zijn. Dit betreft kleinschalige registraties met een zeer specifiek doel.

•Op ongestructureerde basis: in documenten, afbeeldingen en dergelijke. Dit betreft geen registraties maar specifieke persoonsgegevens over een of enkele personen.

Voor de opslag van persoonsgegevens gelden de volgende uitgangspunten:

•Opslag in centrale databases heeft sterk de voorkeur boven decentrale opslag. Centrale databases kennen een hogere beschikbaarheid, daarnaast is de integriteit en de vertrouwelijkheid van de data veel beter te waarborgen.

•Opslag van persoonsgegevens geschiedt op goed beveiligde netwerken waarover de gemeente Lopik dient te beschikken.

•Aan medewerkers die geregeld met persoonsgegevens op pad gaan wordt een beveiligde voorziening aangeboden (smartphone, notebooks).

•Lokale opslag zoals smartphones en laptops worden afdoende versleuteld.

De gemeente Lopik kent diverse voorzieningen om de beschikbaarheid van de persoonsgegevens te waarborgen. Vitale ICT-systemen en componenten zijn dubbel uitgevoerd, en alle gegevens op het interne netwerk worden dagelijks geback-upt. Ook deze maatregelen zijn in lijn met de gemeentelijke beveiligingsnormen.

4.8.2 Toegang tot en beheer van persoonsgegevens

Alleen geautoriseerde personen hebben toegang tot het netwerk van gemeente Lopik en daarmee tot persoonsgegevens. Deze toegang tot het netwerk is beperkt tot applicaties en bestanden die vanuit de functie van de betrokkene noodzakelijk zijn. Voor toegang tot gestructureerde persoonsgegevens in centrale databases geldt een fijnmaziger toegang tot op specifiek gegevensniveau. Dit gebeurt op basis van rollen waarbij per medewerker of per functie een of meerdere rollen worden toegekend. Achter deze rollen hangt een autorisatieschema waarbij per type persoonsgegevens is vastgelegd in hoeverre deze vanuit de rol ingezien en mogen worden veranderd. De toewijzing van rollen aan medewerkers wordt vastgelegd in autorisatiematrices en periodiek gecontroleerd.

De benodigde toegangsrechten worden vastgesteld door de teamleiders. Zij zijn verantwoordelijk voor de verwerking van persoonsgegevens (zie ook paragraaf 3.2) het beheer van de daarvoor benodigde applicaties en voor het treffen van afdoende beveiligingsmaatregelen. Het beheer van applicaties en de daarin opgenomen persoonsgegevens en het daadwerkelijk toewijzen en inrichten van de toegangsrechten wordt uitgevoerd door applicatiebeheerders. De gemeente heeft hiervoor een formele procedure. Toegang tot persoonsgegevens wordt op gegevens- en medewerkersniveau geregistreerd (gelogd). Op deze manier is te achterhalen wie op welk tijdstip welke gegevens heeft geraadpleegd. De gemeente Lopik kent procedures om deze login te gebruiken bij privacyincidenten.