Aanhef
Privacybeleid gemeente Nijmegen 2023
De raad van de gemeente Nijmegen, bijeen in zijn vergadering van 12 juli 2023
Gelet op de Algemene verordening gegevensbescherming, de Uitvoeringswet Algemene verordening gegevensbescherming en de Wet Politiegegevens
Besluit
vast te stellen het Privacybeleid voor de gemeente Nijmegen 2023,
Bijlage 1 Wettelijke kaders voor de verwerking en omgang met persoonsgegevens
Het college van Burgemeester en Wethouders is verantwoordelijk voor het integraal opstellen, en uitvoeren van het onderhavige privacybeleid. Hiervoor is dit beleid in lijn met, of sluit aan op de actualiteiten van:
•de Algemene verordening gegevensbescherming;
•de Uitvoeringswet Algemene verordening gegevensbescherming;
•Wet Politiegegevens;
•het Informatiebeveiligingsbeleid welke is vastgesteld door het college van Burgemeester en Wethouders;
•Strategisch informatiebeleid welke vastgesteld door het college van Burgemeester en Wethouders;
•Het Privacyreglement voor de gemeente Nijmegen;
•Code voor Informatiebeveiliging (NEN/ISO 27002);
•Baseline Informatiebeveiliging Overheid.
Bijlage 2 Begrippenlijst
Adequaatheidsbesluit
De AVG is geldend recht binnen de Europese Unie. Buiten de Europese Unie, kunnen dus andere veiligheidsmaatregelen gelden. Als er een adequaatheidsbesluit van kracht is tussen de EU en een land daarbuiten, betekent dat dat persoonsgegevens gedeeld mogen worden, zonder aanvullende voorwaarden te treffen.
Dataminimalisatie
Door niet meer gegevens te verzamelen dan noodzakelijk, voldoe je aan dataminimalisatie.
DPIA
Een DPIA is een risicoanalyse die wordt uitgevoerd op gegevensverwerkingen met een mogelijk hoog risico. Het maken van een DPIA levert inzichten op over hoe en waarom je een bepaalde verwerking doet en of het op een meer privacyvriendelijke manier kan. Daarnaast geeft het de risico’s van bepaalde verwerkingen weer.
Modelcontract
Wanneer een partij uit de EU persoonsgegevens wil delen met een partij buiten de EU en er is geen adequaatheidsbesluit tussen het betreffende land en de EU, dan kan een modelcontract gelden als aanvullende maatregel, zodat de verwerking toch mogelijk wordt gemaakt. In een modelcontract worden aanvullende afspraken gemaakt over de beveiliging van persoonsgegevens.
Privacy by default
Wanneer privacy by design (zie hieronder) niet mogelijk is omdat de inrichting van een systeem al is gedaan, kun je privacy by default toepassen. Dat is de technische maatregelen treffen die naar de mogelijkheden van de inrichting ervoor zorgen dat privacy zo goed mogelijk beschermd wordt.
Privacy by design
Bij de inrichting van een bepaalde gegevensverwerking rekening houden met aspecten van privacy, zodat de inrichting geschiedt op een manier die zo privacyvriendelijk mogelijk is.
Proportionaliteit
Om te bepalen of een verwerking noodzakelijk is, moet ook proportionaliteit bepaald worden. Proportionaliteit gaat over de afweging van de inbreuk op de privacy, ten opzichte van het doel dat de verwerking moet bereiking. Als dit doel in juiste verhouding staat met de inbreuk op privacy, is de verwerking proportioneel.
Subsidiariteit
Om te bepalen of een verwerking noodzakelijk is, moet ook subsidiariteit bepaald worden. Dit gaat over of het doel van de verwerking bereikt kan worden met minder gegevens. Als dat niet zo is, dus als je niet meer uitvraagt dan noodzakelijk, is de verwerking subsidiair.