Privacybeleid gemeente Staphorst

2.2.1 Persoonsgegevens

Persoonsgegeven:

Elk gegeven betreffende een geïdentificeerde of identificeerbare, natuurlijke, levende persoon.

Persoonsgegevens kunnen direct of indirect identificeerbaar zijn.

•Direct identificeerbaar:

gegevens die naar hun aard rechtstreeks betrekking hebben op een persoon, zoals iemands naam.

•Indirect identificeerbaar:

gegevens die naar hun aard geen betrekking hebben op een persoon worden als persoonsgegeven aangemerkt als deze medebepalend zijn voor de wijze waarop de betrokken persoon in het maatschappelijk verkeer wordt beoordeeld of behandeld. Voorbeelden hiervan zijn het type huis of auto van een betrokkene, omdat dit iets zegt over het inkomen en vermogen van de betrokkene. Ook gegevens die in combinatie met andere gegevens tot identificeerbaarheid kunnen leiden worden aangemerkt als persoonsgegeven.

Bijzondere persoonsgegevens

Dit zijn gegevens over:

•godsdienst of levensovertuiging;

•ras;

•politieke gezindheid;

•gezondheid;

•seksuele leven;

•lidmaatschap van een vakvereniging;

•strafrechtelijke persoonsgegevens;

•persoonsgegevens over onrechtmatig of hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag;

•een wettelijk voorgeschreven identificatienummer (zoals een BS-Nummer of een kentekennummer).

Bijzondere persoonsgegevens zijn naar hun aard vertrouwelijker dan 'gewone' persoonsgegevens en verwerking ervan geschiedt op andere gronden dan 'gewone' persoonsgegevens.

2.2.2 De verwerking van persoonsgegevens

Verwerking: het begrip 'verwerking' is heel breed en omvat alle handelingen van verzameling tot vernietiging van persoonsgegevens. Ook 'simpele' handelingen zoals opslag of inzage van persoonsgegevens vallen onder het begrip verwerken.

Het is voor organisaties belangrijk om zich goed te realiseren dat doorgifte van persoonsgegevens naar personen en organisaties in landen binnen de EU (en dus binnen Nederland, ook bij personen of afdelingen binnen de eigen organisatie) ook onder het algemene begrip 'verwerking' valt. Op elke doorgifte van persoonsgegevens binnen de EU zijn dus alle wettelijke eisen die voor verwerking gelden van toepassing. De oorspronkelijke verantwoordelijke – dat is hij die het doel en de middelen voor de verwerking vaststelt – blijft dus ook na de doorgifte verantwoordelijk voor een rechtmatige omgang met persoonsgegevens en is dus ook (juridisch) aansprakelijk als er een onrechtmatigheid in de omgang met persoonsgegevens optreedt. De ontvangende partij is de verwerker van de persoonsgegevens. Tussen de verstrekker en ontvanger dient dus te allen tijde verplicht een verwerkersovereenkomst opgesteld te zijn.

Voor doorgifte van persoonsgegevens naar personen en organisaties in landen buiten de EU en de EER gelden andere/aanvullende gronden en eisen. De hoofdregel is dat een organisatie persoonsgegevens alleen mag doorgeven naar derde landen met een passend beschermingsniveau. Buiten die gevallen is doorgifte slechts toegestaan op basis van een wettelijke uitzondering of met een vergunning van de minister van Veiligheid en Justitie.

Hoewel niet limitatief, vallen de volgende handelingen in ieder geval onder verwerking van persoonsgegevens: verzamelen, vastleggen, bewaren, ordenen, wijzigen, opvragen, raadplegen, gebruiken, samenbrengen, met elkaar in verband brengen (koppelen), afschermen, uitwissen, vernietigen, profilen en doorgifte (elke vorm van ter beschikkingstelling, zoals doorzending en verspreiding). Kortom; alles wat je doet met persoonsgegevens, valt onder het begrip verwerken.

2.2.3 Rechtmatige gegevensverwerking

Een gegevensverwerking is rechtmatig als deze voldoet aan de eisen die de AVG, sectorspecifieke wetgeving en/of een (eventuele) Gedragscode stelt. De AVG eist dat persoonsgegevens:

a) op een behoorlijke en zorgvuldige manier, conform de wet worden verwerkt;

b) slechts worden verwerkt op basis van een van de limitatief in de AVG genoemde gronden;

c) slechts verder worden verwerkt voor doelen die verenigbaar zijn met de oorspronkelijke doelen of als er een rechtvaardigingsgrond voor de verdere verwerking is;

d) aan bepaalde kwaliteit voldoen;

e) adequaat beveiligd worden;

f) transparant worden verzameld, (verder) verwerkt en bewaard;

g) gegevens niet langer worden bewaard dan noodzakelijk is om het doel te bereiken.

2.2.4 Rechtmatige gronden voor de verwerking van persoonsgegevens

Persoonsgegevens mogen alleen worden verzameld en verwerkt op basis van een van de volgende limitatieve gronden:

•de betrokkene heeft zijn uitdrukkelijke toestemming gegeven voor de verwerking;

•de gegevens zijn door de betrokkene zelf duidelijk openbaar gemaakt of de verwerking is noodzakelijk;

•voor de juridische vaststelling, de uitoefening of de verdediging van een recht;

•ter verdediging van de vitale belangen van de betrokkene of van een derde en het vragen van diens uitdrukkelijke toestemming onmogelijk blijkt;

•ter voldoening aan een volkenrechtelijke verplichting;

•met het oog op een zwaarwegend algemeen belang, indien passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer en dit bij wet wordt bepaald dan wel de AP ontheffing heeft verleend. De AP kan bij de verlening van ontheffing beperkingen en voorschriften opleggen. Verwerkingen op deze grond worden bij de Europese Commissie gemeld. De Minister van V&J verricht de melding indien de verwerking op deze grond bij wet is voorzien. De AP verricht de melding indien de AP voor de verwerking op deze grond ontheffing heeft verleend;

•de gegevens worden verwerkt door de AP of een Ombudsman wanneer dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, voor de uitvoering van de hun wettelijk opgedragen taken en bij die uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad.

Het voorgaande houdt in dat er een goed omschreven werkinstructie moet komen met daarin een toestemmingsformulier, dat goed bevonden is door de AP. Dit toestemmingsformulier is bijgevoegd in bijlage 2. Verder moeten er werkinstructies komen die omschrijven waarom bepaalde informatie gebruikt wordt en waarom deze informatie opgevraagd kan worden bij mensen.

De consequenties van deze punten zijn:

•Bij elke verwerking zal vastgelegd moeten zijn wat de grondslag van de verwerking is, wat verwerkt wordt en waarom dat noodzakelijk is. Dit zal gecommuniceerd moeten worden naar de burger. Deze punten moeten ook terugkomen in eenduidige werkinstructies naar de uitvoerder;

•Indien er geen grondslag ligt in de wet, moet met toestemming gewerkt worden, Het niet verlenen van toestemming mag niet leiden tot nadeel voor de betrokkene. Ook dit moet eenduidig naar de betrokkene worden gecommuniceerd en eenduidig in de werkinstructies worden vastgelegd;

•Er zal een zeer goede instructie en beleidsregel geschreven moeten worden wanneer en waarom een “Breaking the glass” procedure gevolgd wordt, wie daarin de verantwoordelijke en proceseigenaar is. “Breaking the glass” houdt in dat er opgeschaald wordt om te voorkomen dat er handelingen plaatsvinden die niet voldoen aan de wetgeving. Hierbij zal ook moeten worden vastgelegd, hoe de stappen in de procedure gevolgd en vastgelegd worden.

Bijzondere persoonsgegevens worden slechts verwerkt ten behoeve van wetenschappelijk onderzoek of statistiek indien:

a) het onderzoek een algemeen belang dient en

b) de verwerking voor het betreffende onderzoek of de betreffende statistiek noodzakelijk is en

c) het vragen van uitdrukkelijke toestemming onmogelijk blijkt of een onevenredige inspanning kost, en

d) bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad.

Indien aan al deze voorwaarden is voldaan mogen de gegevens ten behoeve van wetenschappelijk onderzoek worden verwerkt. Deze voorwaarden zijn vergelijkbaar met de voorwaarden onder de richtlijn. De AVG wijkt hierin in feite niet af van de Wet Bescherming Persoonsgegevens.

Een wettelijk voorgeschreven identificatienummer, zoals een BS-Nummer of een kentekennummer, is ook een bijzonder persoonsgegeven en mag slechts worden verwerkt ter uitvoering of bereiking van de doelen van de wet die het betreffende nummer heeft ingesteld of ter bereiking van een specifieke Algemene maatregel van bestuur.

De consequenties hiervan is dat er alleen gewerkt mag worden met niet tot een persoon herleidbare gegevens, en dit houdt in dat er bijvoorbeeld voor wijkanalyses en dergelijke alleen gewerkt mag worden met de gegevens die door het CBS worden verstrekt, of die gepseudonimiseerd zijn.

2.2.5 Betrokkene

Een geïdentificeerde of identificeerbare natuurlijke persoon. Als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon.

De betrokkene is degene op wie een persoonsgegeven betrekking heeft. De betrokkene is géén eigenaar van zijn/haar data: eigendom van data is in juridische zin erg lastig. De term eigendom geldt eigenlijk alleen voor fysieke zaken; software en data vallen daar niet onder. Data ‘is’ niets. Omdat daarmee de rechtspositie van de maker en de gebruiker van de data zeer moeilijk te bepalen is, is het goed om met een toestemmingsformulier te werken. Een voorbeeld hiervan vindt u in bijlage 2.

2.2.6 Verwerkingsverantwoordelijke

De verantwoordelijke is een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. De verantwoordelijke is verantwoordelijk voor de nakoming van de plichten van de AVG en moet zorgdragen dat verwerkers aan de eisen voldoen. Tussen de verantwoordelijke en verwerker moet een schriftelijke verwerkersovereenkomst zijn gesloten waarin de afspraken en AVG-verplichtingen zijn opgenomen.

2.2.7 Verwerker

Een verwerker is een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt;

De verwerker is degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen. Tussen de verantwoordelijke en verwerker moet een schriftelijke verwerkersovereenkomst zijn gesloten waarin de afspraken en AVG-verplichtingen zijn opgenomen.

2.2.8 Autoriteit Persoonsgegevens

De Autoriteit Persoonsgegevens (AP) is de Nederlandse onafhankelijke toezichthouder op de rechtmatigheid van de omgang met persoonsgegeven. Met ingang van 1 januari 2016 heeft de AP de rol van het College Bescherming Persoonsgegevens overgenomen.

2.2.9 Nodige maatregelen/waarborgen

Het begrip 'nodige' duidt op een proportionaliteit tussen enerzijds het belang van de bescherming van persoonsgegevens en anderzijds de kosten en inspanningen die zijn verbonden aan de bedoelde voorzieningen. De aard van de vereiste voorzieningen zal wijzigen met de ontwikkeling van de stand van de techniek. Wat op het ene moment nog als proportionele maatregel kan worden gezien, is dat op een volgend moment niet meer. Het begrip ‘nodige’ zal dus worden afgewogen tegen de stand van de techniek en is daardoor in zekere zin onafhankelijk van die technologie.

3.2.1 Het toestemmingsvereiste

Het uitgangspunt van de AVG is dat persoonsgegevens mogen worden verwerkt wanneer de inwoner daarvoor toestemming geeft (art. 6 en 7 AVG). Die toestemming moet in vrijheid worden verleend en mag dus niet onder druk van een afhankelijkheidsrelatie gegeven worden (de inwoner geeft toestemming omdat hij verwacht anders niet in aanmerking voor ondersteuning te komen).

De verwerking van persoonsgegevens is echter ook toegestaan wanneer;

•er een overeenkomst met de inwoner is;

•de gemeente moet voldoen aan een wettelijke verplichting;

•de vitale belangen van de inwoner of een derde in het geding zijn;

•het algemeen belang of de uitoefening van openbaar gezag dat noodzakelijk maakt;

•gerechtvaardigde belangen van de gemeente, behalve wanneer de belangen, grondrechten of fundamentele vrijheden van de inwoner zwaarder wegen.

Het bovenstaande betekent dat de gemeente in de praktijk maar zelden afhankelijk is van de toestemming van de inwoner. In het gros van de gevallen wordt namelijk voldaan aan een van de hiervoor genoemde punten, waarbij verwerking van persoonsgegevens is toegestaan. Dit wil echter niet zeggen dat de gemeente zich veel kan veroorloven. Het is juist extra reden om zorgvuldig met de persoonsgegevens van inwoners om te gaan.

Wanneer er door de inwoner toestemming wordt verleend voor de verwerking van persoonsgegevens, dan moet de gemeente dat later kunnen aantonen. Het is raadzaam om altijd schriftelijk toestemming te vragen. De toestemming kan altijd worden ingetrokken. Een kind van 16 jaar of ouder kan zelfstandig toestemming verlenen. Wanneer de toestemming wordt ingetrokken, dan moeten de verstrekte persoonsgegevens worden vernietigd.

3.2.2 Doelbinding

Er mogen alleen gegevens worden verzameld met een specifiek doel. Dat betekent echter niet dat alleen gegevens mogen worden verzameld die slechts betrekking hebben op de ondersteuningsvraag. Voorbeeld: een medewerker gaat naar een moeder met een opvoedingsvraag en verzamelt gegevens. Tijdens het gesprek blijkt dat er ook financiële problemen zijn. Daar mag op worden doorgevraagd, omdat daarmee gegevens worden verzameld met betrekking tot een nieuw doel; het oplossen van financiële problemen.

Het is ook niet zo dat gegevens die voor een specifiek doel zijn verzameld niet voor een ander doel mogen worden gebruikt. Wanneer zich een nieuw doel aandient en er zijn gegevens bekend die daarbij van toepassing zijn, dan mogen die gegevens worden gebruikt. Dit moet echter wel in een wettelijke grondslag moeten zijn ondergebracht. Het gaat hier bijvoorbeeld om het hergebruik van NAW-gegevens, verstrekt in de wettelijke taak vanuit de BRP, waarbij is vastgelegd in zowel de participatiewet, als in de BRP dat die gegevens weer gebruikt mogen worden binnen de participatiewet, en niet weer opnieuw hoeven te worden uitgevraagd. (Wet Eenmalige Uitvraag).

3.2.3 Zorgvuldigheid en juistheid

Zorgvuldigheid hangt samen met doelbinding. In zowel de Europese als de Landelijke wetgeving is nadrukkelijk gekozen om de grondslag voor de verwerking van persoonsgegevens in de sectorspecifieke wetgeving te zoeken. Hier is een spanningsveld met het integraal werken dat wordt nagestreefd. Het is bijvoorbeeld niet toegestaan om van elke inwoner waar de gemeente contact mee heeft allerlei gegevens op te halen om zodoende meerdere leefgebieden in kaart te brengen. Dit is op dit moment echter wel de praktijk bij de zogeheten keukentafelgesprekken. De opgehaalde informatie over de verschillende leefgebieden wordt verwerkt in een zelfredzaamheidsmatrix. Er mogen echter alleen gegevens worden verzameld met een specifiek doel en het opstellen van een zelfredzaamheidsmatrix is geen specifiek doel in de zin van de AVG (Rapport AP: “Gemeenten verzamelen teveel persoonsgegevens bij uitvoering Wmo en Jeugdwet”).

Uit het zorgvuldigheidsbeginsel komt een aantal eerdergenoemde verplichtingen voort. Zo moet er een Functionaris Gegevensbescherming worden aangesteld, dient er sprake te zijn van privacy by design, wat onder meer inhoudt dat er niet méér gegevens worden verzameld dan strikt noodzakelijk, moet er een Data protection impact assessment uitgevoerd worden, moet er gegevensbeschermingsbeleid vastgesteld worden en moet er een register van alle verwerkingen bijgehouden worden.

3.2.4 Minimale gegevensverwerking

Het aantal gegevens dat verzameld wordt, moet beperkt worden tot wat noodzakelijk is voor de doeleinden. Dit uitgangspunt omvat de principes van proportionaliteit (in relatie tot het doel) en subsidiariteit (kan het met minder persoonsgegevens dan moet het met minder persoonsgegevens).

4.1.1 Intern toezicht

Intern toezicht wordt geleverd door de FG en de CISO. Dezen worden hierin bijgestaan door de intern auditors van de gemeente. Zowel informatieveiligheid als privacy zijn een onderdeel van de ENSIA (Eenduidige Normatiek Single Information Audit), en als zodanig een onderdeel gaan uitmaken van de accountantscontroles. Het koppelen van bepaalde werkzaamheden en planning aan het werk van de concerncontroller ligt hierbij voor de hand.

4.1.2 Toegang gegevensverwerking voor betrokkene

De inwoner heeft op basis van de AVG bepaalde rechten. De gemeente moet faciliteren dat deze rechten kunnen worden uitgeoefend.

Recht op informatie (artikel 13 en 14 AVG)

Een betrokkene moet op de hoogte worden gesteld van het feit dat verwerking van zijn persoonsgegevens plaatsvindt of zal plaatsvinden en wat de doeleinden hiervan zijn. De AVG geeft aan welke informatie in ieder geval verstrekt moet worden, bijvoorbeeld informatie over de periode, de rechten van betrokkene, de bron van gegevens en de juridische grondslag voor de verwerking. Verandert het doel van de verwerking, dan moet ook daarover informatie worden verstrekt.

Recht van inzage (artikel 15 AVG)

Betrokkenen hebben het recht te weten of hun betreffende persoonsgegevens worden verwerkt door de verantwoordelijke. De AVG bevat een opsomming van de informatie waarvoor het recht van inzage geldt. De verwerkingsverantwoordelijke moet betrokkene een kopie verstrekken van de persoonsgegevens die worden verwerkt.

Recht op rectificatie (artikel 16 AVG)

Betrokkene heeft recht op rectificatie van hem betreffende onjuiste persoonsgegevens dan wel het recht een aanvullende verklaring te verstrekken wanneer de verwerking plaatsvindt op basis van onvolledige gegevens. De rectificatie moet meteen plaatsvinden. De verwerkingsverantwoordelijke is verplicht iedere ontvanger aan wie persoonsgegevens zijn verstrekt in kennis te stellen van elke rectificatie, tenzij dit onmogelijk is of onevenredig veel inspanning vraagt.

Recht op gegevenswissing/vergetelheid (artikel 17 AVG)

De verwerkingsverantwoordelijke is verplicht persoonsgegevens van de betrokkene zonder onredelijke vertraging te wissen, onder andere indien:

•persoonsgegevens niet langer nodig zijn voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt;

•de betrokkene zijn toestemming intrekt en er geen andere rechtsgrond voor verwerking bestaat;

•betrokkene bezwaar maakt tegen de verwerking;

•de persoonsgegevens onrechtmatig verwerkt zijn.

Recht op beperking van de verwerking (artikel 18 AVG)

Het recht op beperking houdt in dat de persoonsgegevens (tijdelijk) niet verwerkt mogen worden en niet gewijzigd mogen worden. Het feit dat de verwerking van de persoonsgegevens beperkt is, moet door de verwerkingsverantwoordelijke duidelijk in het bestand zijn aangegeven zodat dit ook duidelijk is voor ontvangers van de persoonsgegevens. Wanneer de beperking weer wordt opgeheven, moet de betrokkene hiervan op de hoogte worden gebracht.

Recht op overdraagbaarheid/dataportibiliteit (artikel 20 AVG)

Dit recht houdt in dat een betrokkene de gegevens van een verwerkingsverantwoordelijke moet kunnen verkrijgen in gestructureerde, gangbare en machineleesbare vorm en het recht heeft deze gegevens aan een andere verwerkingsverantwoordelijke over te dragen of rechtstreeks te laten overdragen, zonder daarbij te worden gehinderd tenzij dit afbreuk doet aan rechten en vrijheden van anderen. Een betrokkene heeft recht op overdraagbaarheid voor zover het gaat om door hem zelf verstrekte gegevens.

Recht van bezwaar (artikel 21 AVG)

Een betrokkene kan vanwege redenen die verband houden met zijn specifieke situatie gebruik maken van dit recht van bezwaar (dat niet vergelijkbaar is met bezwaar op grond van de Awb) tegen de verwerking van hem betreffende persoonsgegevens, als voldaan wordt aan de in de verordening genoemde eisen. Als een betrokkene bezwaar maakt, staakt de verwerkingsverantwoordelijke de verwerking, tenzij dwingende gerechtvaardigde gronden anders bepalen.

Recht niet te worden onderworpen aan geautomatiseerde individuele besluitvorming/profiling (artikel 22 AVG)

Bij dit recht kan bijvoorbeeld gedacht worden aan de automatische weigering van een online ingediende kredietaanvraag of aan de verwerking van sollicitaties via internet zonder menselijke tussenkomst. In drie gevallen is geautomatiseerde individuele besluitvorming wel mogelijk:

a.het is noodzakelijk voor de totstandkoming of de uitvoering van een overeenkomst;

b.het is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling;

c.het berust op de uitdrukkelijke toestemming van de betrokkene.

4.1.3 Toegang voor een ieder

Uitgangspunt is dat niemand toegang heeft tot persoonsgegevens tenzij er een grondslag voor bestaat. Deze grondslag zal te allen tijde direct moeten worden opgegeven indien erom gevraagd wordt. Let wel de bewijslast of iets mag ligt bij de gemeente.

4.1.4 Koppeling naar BIG

De BIG is de ene kant van de medaille, privacy de andere. Is de BIG niet op orde, dan is de privacy ook niet op orde. Een groot aantal referentienummers van de BIG heeft een directe werking op de mate van privacybescherming. Het privacybeleid moet dus nadruk gekoppeld worden aan de BIG.

4.1.5 Koppeling naar PIA

In de AVG is vastgelegd dat er voor elke nieuwe verwerking of wijziging van verwerking een PIA moet worden gedaan. Hiervoor is de FG toezichthouder, maar de uitvoering van dit beleid ligt bij de betreffende onderdelen van de organisatie. De leidinggevenden binnen de organisatie moeten worden toegerust om een PIA te maken.

De PIA’s moeten in een centraal register samen met het register van verwerkingen en de verwerkersovereenkomsten worden ondergebracht.

Bij een vraag van een inwoner of de Autoriteit Personeelsgegevens zullen die gegevens per omgaande moeten kunnen worden geleverd.