Privacybeleid 2022 - 2026

Het behoorlijkheidsbeginsel is een breed beginsel en vraagt van de gemeente dat er veel maatregelen dienen te worden getroffen om aan te kunnen tonen dat er aan dit beginsel inzake persoonsgegevensverwerking wordt voldaan.

Zoals in hoofdstuk 6.1 van dit document staat omschreven is hieronder een uitwerking te vinden van de wijze waarop de gemeente voldoet aan het behoorlijkheidsbeginsel uit artikel 5 lid 1 van de AVG.

•Verantwoordelijkheid van de verwerkingsverantwoordelijke (art. 24 AVG)

De gemeente neemt alle passende technische en organisatorische maatregelen om ervoor te zorgen dat de verwerking van persoonsgegevens die zij uitvoert, plaatsvindt volgens de AVG. In dit beleid verantwoord de gemeente de technische en organisatorische maatregelen die zij heeft genomen om zorg te dragen voor een veilige verwerking van persoonsgegevens. In aanvulling op het privacybeleid waarborgt de gemeente de beveiliging van de persoonsgegevens die zij verwerkt door te voldoen aan de eisen die aan haar worden gesteld op het gebied van informatiebeveiliging, waarbij het normenkader van de Baseline Informatiebeveiliging Overheid (BIO) de meest prominente rol speelt in het bepalen van het beveiligingsniveau. Aanpalende wetgeving op het gebied van privacy en informatiebeveiliging wordt tevens meegenomen bij de bepaling van het beveiligingsniveau.

Ieder jaar wordt geëvalueerd of het bestaande privacybeleid voldoende dekkend is en worden, waar nodig, delen van het privacybeleid aangevuld, aangepast of op een andere manier gewijzigd om een veilige en behoorlijke verwerking van persoonsgegevens te waarborgen.

•Gegevensbescherming door ontwerp en door standaardinstellingen (art. 25 AVG)

Gegevensbescherming door ontwerp

Gegevensbescherming door ontwerp houdt in dat tijdens de ontwikkeling van beleid, het ontwerpen/in gebruik nemen van nieuwe systemen waarmee persoonsgegevens worden verwerkt, privacy en informatiebeveiliging een duidelijke rol spelen. Op deze manier wordt de inbreuk op de persoonlijke levenssfeer van de persoon wiens persoonsgegevens worden verwerkt geminimaliseerd.

De gemeente voldoet door het nemen van verschillende maatregelen aan haar verplichtingen in het kader van gegevensbescherming door ontwerp. Eén van de maatregelen die de gemeente hiervoor heeft genomen is het uitvoeren van DPIA’s. Voor specifieke verwerkingen is het uitvoeren van een DPIA verplicht gesteld door de gemeente. Het uitvoeren van het DPIA vindt normaliter voor de ingebruikname van een systeem of applicatie plaats en komt vervolgens periodiek terug.

Een tweede voorbeeld van een maatregel die de gemeente in dit kader heeft genomen, is de controle van derde partijen. Voordat een derde partij werkzaamheden voor de gemeente uitvoert en daarbij persoonsgegevens verwerkt, wordt gecontroleerd of de derde partij een passend beveiligingsniveau waarborgt.

Onder andere door het nemen van bovenstaande maatregelen zorgt de gemeente ervoor dat zij voldoet aan haar verplichtingen inzake gegevensbescherming door ontwerp.

Gegevensbescherming door standaardinstellingen

Gegevensbescherming door standaardinstellingen beschrijft dat voor het bereiken van elk specifiek doeleinde slechts de persoonsgegevens dienen te worden verwerkt die strikt noodzakelijk zijn om dat betreffende doeleinde te bereiken. Hierbij spelen enkele voorwaarden een rol: de hoeveelheid persoonsgegevens die worden verwerkt voor het bereiken van het beoogde doeleinde, de mate waarin deze persoonsgegevens worden verwerkt, de bewaartermijn die voor de persoonsgegevens wordt gehanteerd en de toegankelijkheid ervan.

De gemeente heeft een procedure opgemaakt waarin per verwerking wordt getoetst of aan alle beginselen inzake de verwerking van persoonsgegevens wordt voldaan. De toetsing wordt periodiek uitgevoerd waardoor continu een passend beveiligingsniveau wordt gewaarborgd.

Bovenstaande procedure houdt in dat op kritische bedrijfsprocessen periodiek een DPIA wordt uitgevoerd. Verder geldt voor niet-kritische bedrijfsprocessen dat periodiek wordt beoordeelt of de huidige werkwijze overeenkomt met de eisen uit de AVG. Op het moment dat verwerkingen niet (meer) conform de AVG worden uitgevoerd, adviseren de FG en/of de CISO in de ontstane situatie.

Bovenstaande werkwijze zorgt er onder andere voor dat de gemeente voldoet aan haar verplichtingen inzake gegevensbescherming door standaardinstellingen. Dit heeft vervolgens tot gevolg dat persoonsgegevens niet overbodig worden verwerkt.

•Gegevensuitwisseling tussen zelfstandige verwerkingsverantwoordelijken

De gemeente kan ook persoonsgegevens uitwisselen met andere verwerkingsverantwoordelijken. Als de gemeente gegevens deelt met een andere organisatie die de persoonsgegevens voor haar eigen doeleinden gebruikt, dan is sprake van uitwisseling van persoonsgegevens tussen twee zelfstandige verwerkingsverantwoordelijken. Alvorens de uitwisseling van de gegevens kan plaatsvinden, wordt vastgesteld of deze derde partij de persoonsgegevens mag ontvangen. Deze beoordeling wordt eventueel uitgewerkt en beoordeeld in een DPIA. Idealiter sluit de gemeente een gegevensuitwisselingsovereenkomst af met de andere verwerkingsverantwoordelijke. De gegevensuitwisselingsovereenkomst van de gemeente is bij voorkeur leidend.

•Gezamenlijke verwerkingsverantwoordelijken (art. 26 AVG)

Van gezamenlijke verwerkingsverantwoordelijkheid is sprake als de gemeente en een andere of meerdere verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen. Alvorens de samenwerking wordt aangegaan wordt vastgesteld of de derde partij de persoonsgegevens mag ontvangen. In geval van een dergelijk samenwerkingsverband sluit de gemeente een overeenkomst gezamenlijke verwerkingsverantwoordelijkheid met de betreffende partij. In deze overeenkomst worden de verantwoordelijkheden met betrekking tot de nakoming van de AVG onderling geregeld. Indien nodig wordt de samenwerking uitgewerkt en beoordeeld in een DPIA.

•Verwerker en aankoop producten (art. 28 AVG)

Als persoonsgegevens uitgewisseld worden met een derde partij of worden verwerkt door een derde partij, dan wordt, voorafgaand aan de uitwisseling of de verwerking, beoordeeld of dit is toegestaan op grond van de AVG. Dit is een overleg tussen de afdeling, inkoop, de PO en de CISO waarbij de FG om advies kan worden gevraagd.

Verwerker

De gemeente maakt gebruik van verwerkers voor de verwerking van persoonsgegevens. Deze verwerkers kunnen op hun beurt de verwerkingen weer uitbesteden aan subverwerkers. De gemeente blijft verantwoordelijk en aansprakelijk voor de verwerking in de gehele keten, ongeacht hoeveel verwerkers en subverwerkers worden ingeschakeld. De gemeente mag alleen verwerkers inschakelen die afdoende garanties bieden met betrekking tot het toepassen van technische en organisatorische maatregelen, zodat de verwerkingen aan de vereisten van de AVG voldoen en daarmee de bescherming van de rechten van de betrokkenen voldoende is gewaarborgd.

Alvorens de gemeente een verwerking uitbesteedt, bepaalt de gemeente of de verwerker zich kan houden aan de eisen zoals deze in de AVG zijn benoemd. Hiervoor heeft de gemeente de procedure ‘inschakelen derde’ opgemaakt. Onderdeel van deze procedure is allereerst het kwalificeren van de derde om vast te stellen dat de verwerking daadwerkelijk door een verwerker wordt uitgevoerd en niet door een andere verwerkingsverantwoordelijke. Tevens kan het uitvoeren van een DPIA ook een onderdeel van deze procedure zijn. In het DPIA wordt afgewogen of de nieuwe verwerking binnen de wettelijke kaders en het beleid van de gemeente past. De verwerker moet kunnen aantonen dat aan alle eisen kan worden voldaan en mag alleen subverwerkers inschakelen die hieraan ook voldoen. Afspraken met verwerkers worden vastgelegd in een verwerkersovereenkomst. Ook tijdens de uitbesteding moet de verwerker steeds aantonen dat effectief aan de eisen wordt voldaan, inclusief de verdere uitbesteding aan subverwerkers.

De gemeente staat in principe niet toe dat persoonsgegevens door (sub)verwerkers worden verwerkt in landen buiten de EER

3Bij de Europese Economische Ruimte (EER) horen alle EU-landen plus Liechtenstein, Noorwegen en IJsland.

. Indien de verwerking buiten de EER plaatsvindt, moet worden vastgesteld of het land een passend beschermingsniveau biedt of andere maatregelen heeft genomen om een passend beschermingsniveau te waarborgen. De FG en de CISO stellen in overleg vast of het betreffende land een passend beschermingsniveau waarborgt. Hierbij is het voldoen aan de AVG en het voeren van een informatiebeveiligingsbeleid door het derde land dat ten minste van vergelijkbaar niveau is als dat van de gemeente essentieel.

De proceseigenaar is verantwoordelijk voor het sluiten van de verwerkersovereenkomst en betrekt de PO in dit proces. De PO kan voor de beoordeling en invulling van een verwerkersovereenkomst de FG, CISO en juridische zaken benaderen. De verwerkersovereenkomst van de gemeente is bij voorkeur leidend. Na afstemming met de PO, en eventueel advies van juridische zaken kan de verwerkersovereenkomst worden aangepast.

Aankoop producten

De gemeente mag bij de verwerking van persoonsgegevens alleen systemen en applicaties gebruiken die voldoen aan de AVG. Voorafgaand aan het in gebruik nemen van nieuwe systemen en applicaties moet de gemeente kunnen vaststellen op welke wijze de leverancier de effectieve werking van privacy door ontwerp en privacy door standaardinstellingen heeft ingebouwd in het systeem of de applicatie. Tevens moeten de rechten van betrokkenen en de facilitering daarvan aantoonbaar zijn gewaarborgd door de leverancier. Voorafgaand aan het in gebruik nemen van een nieuw systeem of applicatie worden de PO en de CISO benaderd voor advies. Tevens maken zij de afweging of er een DPIA moet worden uitgevoerd.

•Register van verwerkingsactiviteiten (art. 30 AVG)

Een organisatie dient een verwerkingsregister bij te houden als:

o de verwerking van persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen;

o de verwerking van persoonsgegevens niet incidenteel is;

o de verwerking betrekking heeft op bijzondere persoonsgegevens.

Voor de verwerking van persoonsgegevens die door de gemeente wordt uitgevoerd, zijn al deze drie voorwaarden van toepassing. Dit leidt tot het feit dat de gemeente verplicht is een verwerkingsregister op te stellen en te onderhouden.

Een nieuwe versie van het verwerkingsregister zal volgens het tactisch uitvoeringsbeleid worden opgemaakt in Q3 2022. Hierin worden alle verwerkingen van persoonsgegevens beschreven die op dat moment worden uitgevoerd binnen de gemeente.

De verantwoordingscyclus draagt er zorg voor dat het verwerkingsregister wordt onderhouden en een representatief beeld biedt van de verwerkingen van persoonsgegevens die door de gemeente worden uitgevoerd.

•Medewerking met de toezichthoudende autoriteit (art. 31 AVG)

Op het moment dat de AP, voor het vervullen van haar taken, om medewerking van de gemeente vraagt, gaat de gemeente hierin mee en zal zij alle noodzakelijke handelingen verrichten om in een correcte afhandeling van de betreffende zaak te voorzien.

De FG is in bovenstaande situaties het eerste aanspreekpunt met de AP.

•Beveiliging van de verwerking (art. 32 AVG)

De beveiliging van de persoonsgegevens die de gemeente verwerkt wordt gewaarborgd door het handhaven van wet- en regelgeving die in het kader van informatiebeveiliging op de gemeente van toepassing is. Deze wet- en regelgeving is voor de gemeente de Baseline Informatiebeveiliging Overheid.

De verplichte interne en externe audits die in het kader van bovenstaande wetgeving uitgevoerd dienen te worden, dragen er zorg voor dat de doeltreffendheid van de technische en organisatorische maatregelen die de gemeente heeft genomen om een passend beveiligingsniveau te waarborgen, naar behoren is.

•Melding van een inbreuk in verband met persoonsgegevens (artt. 33 en 34 AVG)

Van een datalek is sprake als er een inbreuk op de beveiliging van persoonsgegevens plaatsvindt, die leidt tot enige ongeoorloofde verwerking daarvan. Het kan hierbij bijvoorbeeld gaan om een diefstal van een laptop, een in de trein vergeten usb-stick of een e-mail die naar de verkeerde persoon is verstuurd. Datalekken moeten worden gemeld bij de toezichthouder binnen 72 uur na ontdekking daarvan. In sommige gevallen moeten ook de personen die zijn getroffen door het datalek (= de betrokkenen) worden ingelicht.

Een datalek moet zonder onredelijke vertraging, maar in ieder geval binnen 72 uur, worden gemeld aan de AP. Echter, als het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van natuurlijke personen, hoeft het datalek niet te worden gemeld aan de AP.

Op het moment dat het datalek een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen, dienen de betrokkenen op wie het datalek effect heeft ook op de hoogte te worden gesteld van het datalek.

De gemeente voldoet aan de eisen rondom datalekken die op haar van toepassing zijn door middel van de procedure ‘Datalekken’ die is vastgesteld. In deze procedure staat in detail weergegeven welke handelingen uitgevoerd dienen te worden op het moment dat er een datalek plaatsvindt.

Tijdens het doorlopen van de procedure wordt de ernst van het datalek beoordeeld, hierbij staan de volgende twee onderwerpen centraal:

o de ernst van de waarschijnlijke gevolgen van het datalek;

o de waarschijnlijkheid dat de gevolgen van het datalek zich zullen voordoen.

De gegevens met betrekking tot de twee bovenstaande onderwerpen zullen de doorslag geven over het wel of niet melden van het datalek bij de AP en/of de betrokkene(n). Gezien een datalek binnen 72 uur dient te worden gemeld bij de AP, wordt bovenstaande beoordeling binnen deze termijn gemaakt.

Alle inbreuken in verband met persoonsgegevens worden vastgelegd in het datalekregister, ongeacht of de inbreuk heeft geleid tot een melding aan de AP en/of aan de betrokkene(n). In het datalekregister worden eveneens de afwegingen opgenomen die hebben geleid tot de beslissing om wel of niet een melding te doen bij de AP en/of de betrokkenen.

Datalekken bij (sub)verwerkers meldt de verwerker zo spoedig mogelijk aan de contactpersoon van de gemeente. Vervolgens bepaalt de gemeente conform de procedure ‘Datalekken’ of de AP en/of de betrokkenen moeten worden ingelicht.

Naast de afhandeling van het datalek gaat de procedure ook in op het voorkomen van een soortgelijk datalek in de toekomst.

•Data protection impact assessment en voorafgaande raadpleging (artt. 35 en 36 AVG)

Doel DPIA

Een DPIA, ook wel een gegevensbeschermingseffectbeoordeling genoemd, is een instrument om een analyse uit te voeren naar de risico’s die zich in een (voorgenomen) verwerking kunnen voordoen en inbreuk kunnen maken op de privacyrechten van betrokkenen. Het is ook een instrument waarmee de gemeente zich kan verantwoorden dat een verwerking conform de wetgeving wordt uitgevoerd.

Verplichtstelling DPIA

Een DPIA is in ieder geval verplicht als een gegevensverwerking waarschijnlijk een hoog privacyrisico oplevert voor de betrokkenen wiens persoonsgegevens worden verwerkt. Deze beoordeling is aan de gemeente.

In de AVG is vastgesteld dat er in ieder geval een DPIA moet worden uitgevoerd als de gemeente:

o systematisch en uitgebreid persoonlijke aspecten evalueert gebaseerd op geautomatiseerde verwerking, waaronder profiling, en daarop besluiten baseert die rechtsgevolgen hebben voor mensen;

o op grote schaal bijzondere persoonsgegevens verwerkt of strafrechtelijke gegevens verwerkt;

o op grote schaal en systematisch mensen monitort in een publiek toegankelijk gebied (bijvoorbeeld het houden van toezicht op een openbaar plein door middel van camera’s).

Tevens heeft de AP een lijst met verwerkingen van persoonsgegevens vastgesteld waarvoor het verplicht is om een DPIA uit te voeren. De meest recente versie van deze lijst is op 27 november 2019 gepubliceerd in de Staatscourant. Deze lijst is ook te raadplegen op de website van de AP.

Daarnaast heeft het European Data Protection Board (hierna: EDPB) een lijst met 9 criteria opgesteld om te bepalen of een verwerking van persoonsgegevens een hoog privacyrisico oplevert.

Tot slot heeft de gemeente in het kader van continuïteit en het kunnen voldoen aan haar verplichtingen inzake gegevensbescherming door ontwerp en standaardinstellingen vastgesteld dat DPIA’s ook periodiek op kritische bedrijfsprocessen worden uitgevoerd.

De gemeente houdt rekening met alle bovenstaande factoren bij het bepalen of een DPIA dient te worden uitgevoerd.

Uitvoering van het DPIA

De proceseigenaar is verantwoordelijk voor het uitvoeren van een DPIA. Voor het uitvoeren van een DPIA stelt de gemeente een procedure beschikbaar. In deze procedure staat in detail uitgelegd welke handelingen moeten worden genomen om een DPIA op de juiste manier uit te voeren. Bij voorkeur wordt het format van de gemeente gebruikt voor het uitvoeren van een DPIA.

Voorafgaand aan het aftekenen van een DPIA wordt de FG te allen tijde geraadpleegd om te toetsen of de uitkomsten van het DPIA op een correcte wijze tot stand zijn gekomen. Daarnaast wordt de CISO benaderd voor een beoordeling van de maatregelen die zijn genomen op het gebied van informatiebeveiliging. De FG en de CISO adviseren inzake hun bevindingen.

Nadat het DPIA op een correcte wijze is uitgevoerd, wordt het document afgetekend door de proceseigenaar. Vervolgens worden uitgevoerde DPIA’s periodiek opnieuw uitgevoerd om continu een passend beveiligingsniveau te waarborgen.

Voorafgaande raadpleging

Het kan voorkomen dat uit het DPIA blijkt dat een verwerking een hoog risico oplevert voor de rechten en vrijheden van betrokkenen en de gemeente geen maatregelen kan nemen om het risico te beperken. Als de gemeente de verwerking, ondanks het risico, toch uit wil voeren dient zij hieromtrent eerst de AP te raadplegen. De AP brengt vervolgens een advies uit omtrent de situatie, welke de gemeente meeneemt in haar beslissing om de verwerking wel of niet uit te voeren.

•Functionaris voor gegevensbescherming (artt. 37, 38 en 39 AVG)

De AVG bepaalt dat het aanstellen van een Functionaris Gegevensbescherming in drie verschillende situaties verplicht is. Eén van deze verplichte situaties is: “de verwerking wordt verricht door een overheidsinstantie of overheidsorgaan”. Omdat de gemeente een overheidsorgaan betreft, is zij verplicht om een FG aan te stellen.

Ten tijde van het vaststellen van dit beleid heeft de gemeente een FG aangesteld. Op het moment dat de functie van FG door een andere medewerker binnen de gemeente of externe medewerker van de gemeente wordt ingevuld, meldt de gemeente de wijziging bij de AP.

De verantwoording omtrent de positie en de taken van de FG zijn eerder in dit document in hoofdstuk 5.1 behandeld.

•Conclusie behoorlijkheid verwerking van persoonsgegevens

Bovenstaande verantwoording inzake de behoorlijkheid van de verwerking van persoonsgegevens die de gemeente uitvoert, leidt tot het feit dat de gemeente alle noodzakelijke, passende technische en organisatorische maatregelen heeft genomen om ervoor te zorgen dat zij een behoorlijke verwerking van persoonsgegevens voert.

Algemene Verordening Gegevensbescherming

Sinds 25 mei 2018 is de Algemene verordening gegevensbescherming (AVG) van toepassing. Dat betekent dat in de hele Europese Unie (EU) dezelfde privacywetgeving geldt. De Wet bescherming persoonsgegevens (Wbp) geldt niet meer. De AVG is ook wel bekend onder de Engelse naam: General Data Protection Regulation (GDPR).

Anonimiseren

Anonimiseren betekent verwisseling van persoonsgegevens in gegevens die niet langer gebruikt kunnen worden om een natuurlijk persoon te identificeren, daarbij in ogenschouw nemende ‘alle middelen die hiervoor redelijkerwijs gebruikt kunnen worden’ door zowel een verantwoordelijke als een derde partij. Een belangrijke factor hierbij is dat de Verwerking onomkeerbaar moet zijn.

Betrokkene

Dit is de natuurlijke persoon wiens persoonsgegevens worden verwerkt.

Bijzondere persoonsgegevens

Persoonsgegevens waaruit ras of etnische afkomst, politieke opvatting, religieuze of levensbeschouwelijke overtuiging, het lidmaatschap van een vakbond of seksueel gedrag of seksuele gerichtheid blijkt.

Cookies

Cookies zijn kleine bestanden die de aanbieder van een website op de apparatuur van een bezoeker plaatst. Bijvoorbeeld op een computer, telefoon of tablet. Met cookies kan informatie worden verzameld of opgeslagen over het websitebezoek of over (het apparaat van) de gebruiker.

Datalek

Een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens.

Data Protection Impact Assessment (DPIA)

Een Data Protection Impact Assessment is een wettelijk voorgeschreven instrument om de verwerking van persoonsgegevens te beschrijven, de noodzaak en evenredigheid ervan te beoordelen en de daaraan verbonden risico's voor de rechten en vrijheden van natuurlijke personen te helpen beheren door deze risico's in te schatten en maatregelen te bepalen om ze aan te pakken. Kortgezegd: een proces voor het verwezenlijken en aantonen van naleving van de AVG. De risico’s worden bepaald vanuit het oogpunt van de betrokkene.

Derde

Een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, niet zijnde de betrokkene, noch de verwerkingsverantwoordelijke, noch de verwerker, noch de personen die onder rechtstreeks gezag van de verwerkingsverantwoordelijke of de verwerker gemachtigd zijn om de persoonsgegevens te verwerken.

Functionaris voor gegevensbescherming (FG)

Een FG is iemand die binnen de organisatie toezicht houdt op de toepassing en naleving van de Algemene verordening gegevensbescherming (AVG). De Engelse benaming is Data Protection Officer, afgekort DPO.

Gezondheidsgegevens

Persoonsgegevens die verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven.

Inbreuk in verband met persoonsgegevens (ook wel: Datalek)

Een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens. In het dagelijks leven spreken we over een ‘datalek’.

Ontvanger

Een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, als dan niet een derde, aan wie/ waaraan de persoonsgegevens worden verstrekt.

Persoonsgegevens

Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (de betrokkene); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon.

Profilering

Elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesse, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen.

Pseudonimisering

Het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld. Pseudonimisering is omkeerbaar mits gebruik van de juiste sleutel.

Strafrechtelijke gegevens

Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen als bedoeld in artikel 10 van de AVG, alsmede persoonsgegevens betreffende een door de rechter opgelegd verbod naar aanleiding van onrechtmatig of hinderlijk gedrag.

Toestemming van de betrokkene

Elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt.

Toezichthoudende autoriteit

Een door een lidstaat ingevolge artikel 51 AVG ingestelde onafhankelijke overheidsinstantie. In Nederland is dat de Autoriteit Persoonsgegevens, afgekort: AP.

Uitvoeringswet AVG (UAVG)

De AVG is rechtstreeks van toepassing in Nederland. Daar waar de AVG ruimte laat voor nationale keuzes bij de uitvoering van de AVG, zijn deze ingevuld in de UAVG.

Verwerker

Een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat namens de verwerkingsverantwoordelijke persoonsgegevens verwerkt.

Verwerkingsverantwoordelijke

Een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de Verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen.

Verwerking

Een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.

Verwerkingsregister

Het verwerkingsregister (ook wel: register van de verwerkingsactiviteiten) bevat een opsomming van alle verwerkingen van persoonsgegevens die binnen een organisatie worden uitgevoerd. Aanvullend hierop worden er ook enkele gegevens met betrekking tot de verwerking van persoonsgegevens in het register besproken. Hierbij kan worden gedacht aan: het doeleinde van de verwerking en het bewaartermijn van de persoonsgegevens die betrokken zijn bij de verwerking.

Verantwoordingsplicht

De wettelijke plicht om aan te tonen dat de verwerking van persoonsgegevens voldoet aan de wet- en regelgeving van de AVG.

Materiële toepassingsgebied

Het materiële toepassingsgebied bepaalt op welk type verwerkingen van persoonsgegevens de AVG van toepassing is.

Territoriale toepassingsgebied

Het territoriale gebied bepaalt binnen welke territoriale grenzen de AVG van toepassing is op de verwerking van persoonsgegevens.