Aanhef
Vastgesteld op: 30 juni 2020 door het college van burgemeester en wethouders van gemeente Roerdalen
1. Inleiding en aanleiding
1.1. Reikwijdte
Dit privacybeleid geeft voor onze organisatie invulling aan de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG). Op enkele werkterreinen zijn de AVG en de UAVG (deels) niet van toepassing. Zo is er bijvoorbeeld een separate Richtlijn gegevensbescherming opsporing en vervolging. Dit privacybeleid is op deze werkterreinen niet van toepassing.
Het privacybeleid is van toepassing op alle activiteiten waarbij Roerdalen persoonsgegevens verwerkt, door een ander laat verwerken, samen met andere partijen verwerkt, of uitwisselt met andere partijen.
De Algemene Verordening Gegevensbescherming stelt de verwerkingsverantwoordelijke verantwoordelijk voor de kwaliteit van de verwerking van persoonsgegevens en de naleving van de wettelijke eisen. Bovendien moet de verantwoordelijke de naleving van de wettelijke eisen kunnen aantonen.
Dit privacybeleid beschrijft wat de verantwoordelijkheid voor de bescherming van persoonsgegevens in de praktijk betekent voor Roerdalen. Het beleid beschrijft:
•De manier waarop Roerdalen met persoonsgegevens omgaat;
•De manier waarop we de verwerking van persoonsgegevens beheersen: het privacy management systeem;
•De manier waarop we aantonen dat we de verwerking van persoonsgegevens beheersen;
•De beheerorganisatie die we daarvoor inrichten (rollen, taken en verantwoordelijkheden).
1.2. Voor wie is dit beleid bedoeld?
Alle medewerkers houden zich aan het privacybeleid. Iedere medewerker draagt daarbij verantwoordelijkheid die past bij zijn niveau en rol. We verwachten van elke medewerker bijvoorbeeld dat deze werkinstructies en – procedures volgt, privacyrisico’s in zijn werk signaleert, en signalen van datalekken intern meldt volgens de daarvoor geldende procedure. Van ICT-beheerders verwachten we daarnaast bijvoorbeeld dat deze beveiligingslekken ook opspoort en dicht. Van beleidsmakers en beslissers verwachten we dat ze rekening houden met het privacybeleid als ze beleids- of organisatorische keuzes maken of nieuwe diensten willen ontwikkelen. Van inkopers en ICT-medewerkers verwachten we dat ze rekening houden met het privacybeleid als bij het ontwerpen en aanbesteden van nieuwe systemen ontwerpen
Het privacybeleid is ook het vertrekpunt voor (interne) controles, audits en periodieke onderzoeken, en om aan de interne toezichthouder (de Functionaris Gegevensbescherming) en de nationale toezichthouder (de Autoriteit Persoonsgegevens) aan te tonen dat we de privacywet- en regelgeving naleven.
3. Privacybeheersysteem en beheerorganisatie
3.1. Privacybeheerorganisatie
Het inrichten van de privacybeheerorganisatie heeft als doel de rollen, de taken, de verantwoordelijkheden die nodig zijn voor het borgen van de bescherming van persoonsgegevens structureel te verdelen.
Vaststelling van privacybeleid
Het college stelt het privacybeleid vast. Het neemt daarbij de aanbevelingen van de functionaris voor de gegevensbescherming (FG) in acht en bevordert de beschikbaarheid van voldoende middelen om het privacybeheer passend te waarborgen.
Verantwoordelijkheid voor de uitvoering van het privacybeleid
De verwerkingsverantwoordelijke is verantwoordelijk voor de uitvoering van het privacybeleid en voor de controle op de naleving wet- en regelgeving en het privacybeleid. De feitelijke uitvoering volgt de lijnen van de interne organisatie, waarbij iedere leidinggevende verantwoordelijkheden heeft op zijn eigen niveau.
Toezicht op en advies over de uitvoering van het privacybeleid en de naleving van privacywet- enregelgeving
Voor onafhankelijk toezicht op en advies over de uitvoering van het privacybeleid en de naleving van privacy wet- en regelgeving wijst de verwerkingsverantwoordelijke een Functionaris voor de Gegevensbescherming (FG) aan. De functionaris voor de gegevensbescherming (FG) brengt verslag uit over de voortgang en kwaliteit van de uitvoering van het privacybeleid en doet aanbevelingen voor verdere optimalisering.
De functionaris voor de gegevensbescherming (FG) treedt tevens op als privacy-ombudsman en is in voorkomende gevallen de liaison met de landelijke ombudsman en de autoriteit persoonsgegevens (AP). Zijn positie en taakuitoefening worden nader geregeld in een statuut dat de verwerkingsverantwoordelijke vaststelt.
Beheer van het privacybeleid en de privacybeheersysteem
De privacycoördinator (PC) is de beheerder van het privacybeleid en het privacybeheersysteem.
Coördinatie van de uitvoering van het privacybeleid
De privacycoördinator is verantwoordelijk voor de coördinatie van de uitvoering van organisatiebrede privacyprocessen zoals het opstellen van handreikingen en standaarden, het bijhouden van registers, bewustwording en training van medewerkers en het afhandelen van verzoeken van betrokkenen en datalekken.
Uitvoering van het privacybeleid
Elke leidinggevende is proceseigenaar van een of meerdere bedrijfsprocessen. De leidinggevende is verantwoordelijk voor de feitelijke uitvoering van het privacybeleid in de bedrijfsprocessen waar hij eigenaar van is.
Ondersteuning bij de uitvoering van het privacybeleid
De proceseigenaren krijgen bij de uitvoering van het privacybeleid ondersteuning van een kernteam privacy bestaand uit een juridisch medewerker, de privacycoördinator (PC), de informatieveiligheidsbeheerder (ISM) en advies van de functionaris gegevensbescherming (FG) en de informatieveiligheidsadviseur (CISO).
Evalueren van het privacybeleid
Zowel wet- en regelgeving, jurisprudentie als de organisatie zelf zijn steeds aan verandering onderhevig. Het privacybeleid zal steeds op deze veranderingen moeten aan blijven sluiten. De privacycoördinator (PC) evalueert het privacybeleid daarom uiterlijk 3 jaar na vaststellen of eerder als de veranderde omstandigheden daarom vragen en rapporteert zijn bevindingen aan het college.
Rapportage van de voortgang van de uitvoering
De proceseigenaren rapporteren de voortgang van de uitvoering periodiek aan de directie. De bestuurlijke verantwoording sluit aan bij de bestaande kaders voor risicomanagement en de planning- en controlcyclus. Daardoor wordt een bredere compliance-verantwoording automatisch onderdeel van de verantwoording van de individuele afdelingen.
6. Samenwerking met andere partijen
6.1 Inschakeling verwerkers, verwerkersovereenkomst
Roerdalen schakelt enkel verwerkers in die afdoende garanties bieden met betrekking tot het toepassen van passende technische, procesmatige, communicatieve en organisatorische maatregelen. De afspraken omtrent de verwerking door de verwerker worden schriftelijk vastgelegd in een verwerkersovereenkomst. Het college stelt daartoe een model-verwerkersovereenkomst vast. Een verwerkersovereenkomst stellen we vast voordat de dienstverlening aanvangt. Het naleven van de verwerkersovereenkomst toetsen we periodiek of steekproefsgewijs. De uitgangspunten voor dergelijke controles stellen we vast in auditbeleid.
9. Rechten van betrokkenen
9.1. Recht op informatie
Roerdalen verzamelt gegevens om haar taken te kunnen uitvoeren. Indien dit persoonsgegevens betreffen, heeft Roerdalen de plicht om betrokkenen, voor zover deze daar niet reeds van op de hoogte zijn, te informeren over verwerkingen van hun persoonsgegevens. Roerdalen verstrekt dan aan betrokkenen informatie over de verwerking, zoals het doel daarvan, welke persoonsgegevens worden verwerkt en of de gegevens aan anderen worden verstrekt. Dit met inachtneming van de voorwaarden en beperkingen zoals die neergelegd zijn in wet- en regelgeving.
9.2. Recht op inzage
Betrokkenen hebben de mogelijkheid om te controleren of en op welke manier hun gegevens worden verzameld en verwerkt. Dit met inachtneming van de beperkingen zoals neergelegd in wet- en regelgeving.
9.3. Recht op rectificatie
Als Roerdalen persoonsgegevens van betrokkenen verwerkt die naar hun oordeel onjuist of onvolledig zijn, kunnen zij een verzoek indienen bij Roerdalen om deze persoonsgegevens te rectificeren of aan te vullen. Dit met inachtneming van de beperkingen zoals neergelegd in wet- en regelgeving.
9.4. Recht op gegevenswissing
Betrokkenen hebben het recht persoonsgegevens te laten wissen indien Roerdalen niet langer een goede grond heeft voor het verwerken hiervan. Bijvoorbeeld als betrokkenen een gegeven toestemming intrekken, als de persoonsgegevens onrechtmatig zijn verwerkt, onjuist zijn of de gegevens niet langer nodig zijn.
9.5. Recht van bezwaar tegen verwerking
Betrokkenen hebben het recht aan Roerdalen te vragen hun persoonsgegevens niet meer te verwerken en bezwaar te maken tegen de verwerking van hun persoonsgegevens. Roerdalen moet hieraan voldoen, tenzij er gerechtvaardigde gronden zijn voor de verwerking.
9.6. Recht op beperking van de verwerking
Het recht op beperking houdt in dat Roerdalen de persoonsgegevens (tijdelijk en onder voorwaarden) niet mag verwerken en niet mag wijzigen, bijvoorbeeld wanneer betrokkenen de juistheid van de gegevens ter discussie stellen.
9.7. Recht op overdraagbaarheid van gegevens (dataportabiliteit)
Roerdalen is vanuit de AVG niet verplicht invulling te geven aan overdraagbaarheid van gegevens voor zover het werkzaamheden betreft in het kader van algemeen belang, de uitoefening van een openbaar gezag, wanneer deze zijn openbare taken uitoefent of aan een wettelijke verplichting voldoet.
In alle andere gevallen treft de proceseigenaar passende voorzieningen om dataportabiliteit mogelijk te maken.
9.8. Recht niet te worden onderworpen aan geautomatiseerde individuele besluitvorming / profiling
Uitgangspunt in de AVG is dat er geen geautomatiseerde besluitvorming op basis van profilering mag plaatsvinden, als daaraan rechtsgevolgen voor de betrokkene (degene wiens persoonsgegevens het betreft) zijn verbonden of het besluit hem in aanmerkelijke mate treft. Daarbij kan gedacht worden aan bijvoorbeeld de kredietwaardigheid van een persoon. Een ander voorbeeld is het verwerken van sollicitaties via internet zonder menselijke tussenkomst.
9.9. Uitoefening van rechten
Om gebruik te maken van de bovenstaande rechten kunnen betrokkenen bij Roerdalen een verzoek indienen t.a.v. verwerkingen waarvoor Roerdalen verwerkingsverantwoordelijke is. Binnen vier weken beoordeelt Roerdalen of het verzoek gerechtvaardigd is. Roerdalen laat binnen die termijn weten wat er met het verzoek gaat gebeuren, waaronder of Roerdalen de behandeling van het verzoek met maximaal twee maanden verlengt en waarom dat noodzakelijk is.
Roerdalen behandelt het verzoek volgens de daarvoor door haar vastgestelde procedure.
De verwerkingsverantwoordelijke neemt naar aanleiding van een verzoek een besluit in het kader van de Algemene wet bestuursrecht.
Verzoeken t.a.v. verwerkingen waarvoor een van de bestuursorganen van Roerdalen verwerkingsverantwoordelijke is, dienen betrokkenen in beginsel bij de gemeente in, tenzij daarover specifieke andere afspraken gemaakt worden tussen de gemeente en een verwerker of samenwerkingspartner.
9.10. Vragen en klachten
Een betrokkenen kan over de verwerking van persoonsgegevens door Roerdalen contact op nemen met de functionaris voor de gegevensbescherming (FG). Elke betrokkene heeft daarnaast het recht om een klacht of een verzoek tot bemiddeling in te dienen bij de Autoriteit Persoonsgegevens.