PRIVACYBELEID GEMEENTE PURMEREND

Ad 1. Gegevensverwerkingen zijn rechtmatig, behoorlijk, transparant;

•Op het moment dat persoonsgegevens verwerkt worden, is bekend ter uitvoering van welke taak c.q. op basis van welke wet dat gebeurt en welke specifieke eisen deze taak c.q. wet aan de gegevensverwerking stelt.

•Hoe gevoeliger de persoonsgegevens zijn die verwerkt worden, des te zwaarder zijn de technische én organisatorische maatregelen ter bescherming daarvan. Een DPIA (zie onder ad d.) helpt bij de concretisering van de risico’s die aan de verwerking verbonden zijn en de maatregelen die ter compensatie of opheffing hiervan genomen moeten worden.

•De betrokkene wordt op het moment van dan wel zo spoedig mogelijk na een eerste verwerking hiervan op de hoogte gesteld, tenzij een wettelijke uitzonderingsgrond deze verplichting (tijdelijk) buiten werking stelt. Waar nodig stelt een team ten behoeve hiervan een specifiek privacy statement op. In ieder geval is ieder domein in het bezit van een generiek privacy statement. Dit privacy statement wordt opgesteld in voor betrokkenen begrijpelijke taal, bevat informatie over de verwerking en wijst betrokkene op zijn rechten. Het privacy statement wordt waar mogelijk gekoppeld aan c.q. (als bijlage) opgenomen in een bestaand (aanvraag)formulier.

Ad 2/b. Grondslag en doelbinding

•Persoonsgegevens worden alleen verwerkt als er voor deze verwerking een doel en een grondslag aanwezig is.

-Het verwerkingsdoel wordt in een team bepaald.

Voorbeeld: verwerking t.b.v. de verstrekking van een Wmo voorziening, van een subsidie of van een kapvergunning. Of: verwerking t.b.v. de behandeling van een bezwaarschrift of het afsluiten van een overeenkomst.

-De grondslagen van een verwerking van persoonsgegevens staan limitatief opgesomd in artikel 6 AVG:

-Noodzakelijk ter uitvoering van een overeenkomst waarbij de betrokkene partij is;

-Noodzakelijk om als verwerkingsverantwoordelijke te voldoen aan een wettelijke verplichting.

Voorbeeld: de verstrekking genoemd in artikel 5.2.2 Wmo 2015 of in artikel 8 Wet gemeentelijke schuldhulpverlening;

-Noodzakelijk om de vitale belangen van een persoon te beschermen;

-Noodzakelijk voor de vervulling van een taak van algemeen belang of een taak in het kader van de uitoefening van het openbaar gezag.

Voorbeeld: jeugdhulp, openbare orde handhaving, afvalinzameling.

-Toestemming van betrokkene.

-Toestemming:

-wordt alleen als grondslag gebruikt als er geen andere grondslag aanwezig is.

-moet door een betrokkene vrij, specifiek, geïnformeerd en ondubbelzinnig gegeven worden. Informatie aan betrokkene ten behoeve van het geven van toestemming wordt niet alleen verstrekt over de verwerking waarvoor de toestemming gevraagd wordt, maar ook over de dan reeds voorzienbare verdere verwerkingen.

-mag mondeling gegeven worden, maar het bestaan ervan moet achteraf aantoonbaar zijn. Voorbeeld: door betrokkene ondertekend gespreksverslag. Waar mogelijk wordt gebruik gemaakt van standaard toestemmingsformulieren. Deze (zullen te) vinden zijn op de intranet space: Privacy en Informatiebeveiliging.

-In het sociaal domein vindt de verwerking van persoonsgegevens in eerste instantie plaats om te voldoen aan een wettelijke verplichting of ter vervulling van een taak van algemeen belang. Bij verwerking van persoonsgegevens bínnen één domein (Jeugdwet, Wmo, Participatiewet), zullen deze twee grondslagen vaak voldoende zijn. Domeinoverstijgende gegevensverwerking (tijdens en n.a.v. keukentafelgesprekken) of verwerking van persoonsgegevens in het kader van vroegsignalering is vrijwel

1Uitzondering: artikel 5.2.1 Wmo 2015

niet geregeld in de domeinwetten. Gegevensverwerking is in die gevallen dan alleen mogelijk als kan worden aangetoond dat een vrije toestemming hiervoor gegeven is; dus een toestemming die niet geregeerd wordt door de afhankelijkheidsrelatie waarin de betrokkene zich t.o.v. de gemeente bevindt. Dit zal niet snel het geval zijn. Om dit punt concreter te maken, komt op de intranet space: Privacy en Informatiebeveiliging een overzicht van de grondslagen op basis waarvan in het sociaal domein persoonsgegevens verwerkt mogen worden.

Ad 3/5 Minimale gegevensverwerking en opslagbeperking

•Teams verwerken niet meer, maar ook niet minder persoonsgegevens dan noodzakelijk zijn in het kader van het doel waarvoor ze verwerkt worden.

•Wanneer de persoonsgegevens niet langer nodig zijn voor het doel waarvoor ze verwerkt werden, worden ze vernietigd, geanonimiseerd, gepseudonimiseerd of gearchiveerd bij DIV, afhankelijk van de vraag:

-of ze helemaal niet meer nodig zijn;

-alleen nog in niet (direct) tot de persoon te herleiden gegevens nodig zijn;

-de Archiefwet op deze gegevens van toepassing is.

Ad 4. Juistheid

(Persoons)gegevens die worden gebruikt ter uitvoering van een overheidstaak zijn juist en actueel. Dit vereist een actieve houding van het team dat de gegevens verwerkt. Bij twijfel over de juistheid of actualiteit van (persoons)gegevens wordt navraag gedaan bij de betrokkene, een ketenpartner of wordt een basisregistratie geraadpleegd.

Ad 6. Integriteit en vertrouwelijkheid

Maatregelen moeten genomen worden om ervoor te zorgen dat verwerkte persoonsgegevens betrouwbaar zijn en goed beveiligd.

De technische beveiliging van persoonsgegevens in geautomatiseerde systemen wordt geregeld door de teams ICT en Beleid en Projecten.

De organisatorische beveiliging van persoonsgegevens is een taak van de teams zelf.

Voorbeeld: het vergrendelen van een device op het moment dat het achtergelaten wordt; het na werktijd opbergen van papier in een (afgesloten) kast of locker; het verzenden van mails met persoonsgegevens via een beveiligde verbinding.

Het vigerende IB-beleid werkt dit onderwerp verder uit.

Ad a. Verwerkersovereenkomsten en privacyconvenanten

•Artikel 28 AVG verplicht verwerkingsverantwoordelijken:

-Alleen verwerkers in te schakelen die “afdoende garanties m.b.t. het toepassen van passende technische en organisatorische maatregelen bieden”.

Verwerkers worden in ieder geval geacht deze garanties te bieden als zij op het moment van afsluiten van de overeenkomst gecertificeerd zijn, bijvoorbeeld ISO 27001 en een actuele Verklaring van Toepasselijkheid kunnen overleggen.

-Met een verwerker die bovenbedoelde garanties biedt, een verwerkersovereenkomst af te sluiten vóórdat de verwerker met zijn werk begint.

Soms worden verwerkersovereenkomsten voor meerdere verwerkingen afgesloten. Teams die ten behoeve van een nieuwe verwerking een (voor hun nieuwe) verwerker inschakelen, informeren daarom bij de FG of de privacy functionaris of dit het geval is. Er hoeft voor deze nieuwe verwerking dan geen aparte verwerkersovereenkomst afgesloten te worden.

•Met ketenpartners worden veelvuldig persoonsgegevens uitgewisseld. Afspraken omtrent deze uitwisseling kunnen worden vormgegeven in een privacyconvenant. In ieder geval bij de uitwisseling van gevoelige persoonsgegevens wordt met de ketenpartners overlegd of zij bereid zijn afspraken hierover te maken en deze vast te leggen in een privacyconvenant.

Privacyconvenanten mogen ook worden aangegaan als de samenwerking al enige tijd loopt.

Voorbeelden van privacyconvenanten worden geplaatst op de intranet space: Privacy en Informatiebeveiliging.

•Periodiek moet worden gecontroleerd of de in een verwerkersovereenkomst of privacyconvenant gemaakte afspraken nog worden nageleefd. In verwerkersovereenkomsten krijgt deze periodieke controle vaak gestalte door de eis dat de verwerker jaarlijks door een onafhankelijke externe deskundige een zgn TPM (Third Party Memorandum) laat afgeven.

Ad c. Datalekken

Het in 2016 ingestelde Meldpunt datalekken ondergaat qua werkwijze geen veranderingen door de (inwerkingtreding van de) AVG. De procesbeschrijving Melden datalekken is als bijlage bij dit beleid gevoegd.

De beantwoording van de vraag of betrokkenen in kennis gesteld worden van een datalek wordt belegd bij de teams, met inachtneming van de door de directie gegeven aanwijzingen, voor zover het een datalek betreft waarvoor het college of de burgemeester de verwerkingsverantwoordelijke is. Het Meldpunt datalekken verzorgt in overleg met de andere verwerkingsverantwoordelijken een eventuele kennisgeving aan betrokkenen.

Wanneer bijzondere persoonsgegevens gelekt zijn, ligt een dergelijke kennisgeving voor de hand. Bij een datalek met andere persoonsgegevens wordt per geval bekeken of een kennisgeving nodig respectievelijk wenselijk is.

Betrokkenen moet in de kennisgeving duidelijk worden gemaakt welke stappen zij kunnen ondernemen om de gevolgen van het datalek voor hén zo klein mogelijk te maken.

Een model van een kennisgevingsbrief wordt geplaatst op de intranet space: Privacy en Informatiebeveiliging.

Ad d. Acties bij nieuwe gegevensverwerking of ingrijpende wijzigingen in bestaande gegevensverwerkingen

Nieuwe (wettelijke) taken brengen vaak nieuwe verwerkingen van persoonsgegevens of wijzigingen in een bestaande verwerking met zich mee. Het is belangrijk in een zo vroeg mogelijk stadium oog te hebben voor en actie te ondernemen op de volgende vraagpunten/onderwerpen:

-houdt de verwerking – waarschijnlijk – een hoog risico in voor de privacy van burgers en/of komt de verwerking voor op de positieve lijst van de AP respectievelijk komt hij niet voor op de negatieve lijst van de AP?

Voer dan een DPIA uit om te bepalen welke maatregelen genomen moeten worden om die risico’s te beperken of weg te nemen en voer die maatregelen – bijvoorbeeld privacy by design - ook uit. Een link naar de DPIA van de IBD wordt op de intranet space: Privacy en Informatiebeveiliging geplaatst. De FG kan hier verder over adviseren.

Voorbeeld van verwerkingen waarvoor een DPIA moet worden uitgevoerd: verwerkingen in het sociaal domein en verwerkingen bij Team Integrale Veiligheid.

-pas privacy by design/default toe; niet alleen in het ontwerp van een nieuw geautomatiseerd systeem, maar ook in processen.

Denk hierbij o.a. aan de volgende elementen:

-regel wie toegang heeft tot de persoonsgegevens onder uitsluiting van anderen. Voorbeeld: via password-beleid en uitgifte van fysieke sleutels tot kasten.

-pseudonimiseer of zelfs: anonimiseer als de verwerking van de persoonsgegevens zelf niet noodzakelijk is voor de uitvoering van een taak.

-gebuik de opt-in in plaats van opt-out mogelijkheid.

Voorbeeld: een burger beslist actief of hij de gemeentelijke nieuwsbrief wil ontvangen. Deze mogelijkheid is niet reeds voor-ingevuld met de mogelijkheid een vinkje uit te zetten.

-regel een systeem zó in dat het een signaal afgeeft op het moment dat de bewaartermijn bijna is verstreken.

-alleen als de wijziging in een bestaande verwerking gevolgen heeft voor de reeds opgenomen informatie in het register van verwerkingsactiviteiten moet deze geactualiseerd worden.

-maak voor een nieuwe verwerking alleen een specifiek privacy statement of een nieuw toestemmingsformulier als het generieke privacy statement c.q. toestemmingsformulier niet volstaat. De privacy functionaris/FG ondersteunt bij het opstellen hiervan.

Ad e. Rechten van betrokkenen

Betrokkenen hebben op grond van de AVG de volgende rechten:

I. informatie over de verzameling van hun persoonsgegevens;

II. inzage in eigen persoonsgegevens;

III rectificatie van deze gegevens;

IV recht op gegevenswissing/vergetelheid;

V beperking van verwerking van eigen gegevens;

VI dataportabiliteit;

VII recht van bezwaar;

VIII geen onderwerping aan geautomatiseerde besluitvorming.

-Het recht op vergetelheid en op dataportabiliteit zijn nieuw; de overige rechten bestonden al onder de Wbp. De aandacht voor de AVG kan echter tot gevolg hebben dat betrokkenen ook op de al langer bestaande rechten vaker een beroep gaan doen.

-De beslissingen op verzoeken in het kader van deze rechten zijn o.g.v. de Uitvoeringswet besluiten in de zin van de Awb. Een modelbesluit wordt op de intranet space: Privacy en Informatiebeveiliging geplaatst. Tegen dit besluit staat bezwaar en beroep open. Betrokkene kan er voor kiezen tussen de bezwaar- en de beroepsfase de bemiddeling van de AP te vragen.

-Om betrokkenen te wijzen op hun rechten:

-worden op de gemeentelijke website:

-bovenstaande rechten benoemd met een korte toelichting hierop;

-modelbrieven geplaatst met behulp waarvan de rechten ingeroepen kunnen worden;

-- informatie gegeven over de procedure en de beslistermijnen;

-wordt in persoonlijke contacten met betrokkenen waar nodig/desgevraagd:

-gewezen op deze rechten;

-verwezen naar de betreffende pagina op de website;

-aanvullende schriftelijke en/of mondelinge informatie verstrekt.

-Zeker waar rechten dicht bij elkaar liggen (bijvoorbeeld het recht op gegevenswissing en het recht op bezwaar) en/of waar vragen zijn over het te nemen besluit n.a.v. een verzoek van een betrokkene, wordt advies gevraagd aan de privacy functionaris of in algemene zin aan de FG.

Ad I Recht op informatie over verzameling persoonsgegevens

Betrokkenen hebben het recht te weten dat er over hen binnen de gemeente Purmerend persoonsgegevens verwerkt worden.

Betrokkenen van iedere nieuwe verwerking persoonlijk in kennis stellen, vergt een onevenredige inspanning van de medewerkers en maakt het er voor betrokkenen ook niet duidelijker op. Daarom wordt het register van verwerkingsactiviteiten op de gemeentelijke website geplaatst en komen per domein/team privacystatements beschikbaar voor betrokkenen. In deze statements staat specifieke c.q. aanvullende informatie over gegevensverwerkingen, die niet in het register is opgenomen.

Ad II Recht op inzage in eigen persoonsgegevens

Een betrokkene heeft recht op inzage in zijn eigen gegevens.

Een verzoek om inzage in gegevens die bij een specifiek team aanwezig zijn, wordt door dat team afgehandeld.

Een algemeen inzageverzoek in de trant van: “ik wil inzage in alle gegevens die door de

gemeente Purmerend over mij verzameld zijn”, wordt gecoördineerd door de privacy functionaris.

Ad III Recht op rectificatie van persoonsgegevens

Een verzoek om rectificatie is meestal een gevolg van het besluit tot inzage in eigen persoonsgegevens. Indien de gegevens ook daadwerkelijk onjuist zijn, worden ze binnen twee weken gerectificeerd door het team dat de persoonsgegevens verwerkt. Zo spoedig mogelijk daarna worden alle ontvangers van de – voorheen onjuiste – persoonsgegevens op de hoogte gesteld van de rectificatie. Hiervan kan slechts worden afgezien als dit écht niet mogelijk is.

Ad IV Recht op gegevenswissing/vergetelheid

Verwerkingsverantwoordelijken hebben de plicht persoonsgegevens te vernietigen, niet langer tot de persoon herleidbaar te maken of te archiveren als ze niet langer het doel dienen waarvoor ze werden verwerkt.

Het verzoek om persoonsgegevens te wissen is het spiegelbeeld van deze plicht.

Op het recht wordt naar verwachting vooral een beroep gedaan als verwerking van de gegevens plaatsvond met toestemming van betrokkene en betrokkene deze toestemming intrekt.

Net als van een rectificatie, worden eerdere ontvangers van een gegevenswissing – zo mogelijk - op de hoogte gesteld.

Ad V Recht op beperking van verwerking van eigen persoonsgegevens

Tijdens de behandeling van een verzoek om rectificatie of bezwaar, kan een betrokkene vragen zijn persoonsgegevens tijdelijk niet te verwerken. Aan dit verzoek wordt gehoor gegeven, bijvoorbeeld door de persoonsgegevens van betrokkene tijdelijk in een afgezonderd deel van het systeem/het bestand te zetten. In het systeem/bestand wordt vervolgens aangetekend dat de gegevens van betrokkene beperkt verwerkt mogen worden. De beperking wordt opgeheven zodra de reden voor het opleggen daarvan vervalt; bijvoorbeeld omdat een besluit op het verzoek om rectificatie is genomen.

Ad VI Recht op dataportabiliteit

De persoonsgegevens die een betrokkene aan een verwerkingsverantwoordelijke heeft verstrekt én die geautomatiseerd worden verwerkt op grond van toestemming van betrokkene of ter uitvoering van een overeenkomst, moeten op zijn verzoek geautomatiseerd aan hem of – als dit technisch mogelijk is - een andere verwerkingsverantwoordelijke worden verstrekt. Het recht op dataportabiliteit geldt niet voor persoonsgegevens die op basis van andere grondslagen worden verwerkt.

Omdat veel verwerkingen binnen de gemeente Purmerend op basis van een wettelijke verplichting of taak van algemeen belang plaatsvinden, heeft dit recht voor gemeentelijke verwerkingen maar een beperkte betekenis. In het register van verwerkingsactiviteiten kan worden nagegaan op basis van welke grondslagen een verwerking plaatsvindt en of een betrokkene dit recht toekomt.

Ad VII Recht van bezwaar

Een betrokkene kan bezwaar maken tegen het feit dat zijn persoonsgegevens worden verwerkt ter vervulling van een taak van algemeen belang of in het kader van de uitoefening van het openbaar gezag. Hij moet hierbij specifieke omstandigheden aanvoeren, die door de verwerkingsverantwoordelijke moeten worden afgewogen tegen de gerechtvaardigde belangen op voortzetting van de verwerking van de persoonsgegevens van betrokkene.

Ad VIII Recht om niet onderworpen te worden aan geautomatiseerde besluitvorming

De verwerking van persoonsgegevens is mensenwerk. Tenzij een betrokkene hiervoor uitdrukkelijk toestemming geeft of de AVG het expliciet toestaat, mogen persoonsgegevens in het kader van het nemen van een besluit daarom niet door een computer worden verwerkt zonder menselijke tussenkomst.

Voorbeeld: een elektronisch ingediende sollicitatiebrief mag niet enkel door een algoritme terzijde worden geschoven; deze brief moet ook door een mens gezien en beoordeeld worden.