Aanhef
Spelregels voor de geautomatiseerde verstrekking van persoonsgegevens uit de Basisregistratie personen (BRP) aan binnengemeentelijke organen.
Inhoudsopgave
1Inleiding
2Verstrekkingen aan binnengemeentelijke organen
3Stappenplan geautomatiseerde verstrekking (chronologisch)
4Uitwerking stappenplan
4.1 Behoefte aan gegevens afkomstig uit de BRP
4.2 Verstrekken en verwerken
4.3 Beoordeling van de rechtmatigheid van een geautomatiseerde verstrekking
4.3.1 Overheidsorganen
4.3.2 Welke gegevens worden verstrekt?
4.3.3 Het verder verwerken van gegevens afkomstig uit de BRP
4.4 Adviesverzoek aan de privacy officer
4.5 Functionaris Gegevensbescherming en rol privacy officer
4.6 Informatiebeveiliging en verwerkersovereenkomst
4.7 Belangenafweging en conflictbeheersing
4.8 Besluit tot verstrekking en aansluiting op de BRP
4.9 Controle op de rechtmatige verwerking van persoonsgegevens afkomstig uit de BRP
4. Uitwerking stappenplan
4.3 Beoordeling van de rechtmatigheid van een geautomatiseerde verstrekking
4.3.1 Overheidsorganen
Het primaire doel van de BRP is het verstrekken van gegevens aan overheidsorganen. De verstrekker levert alleen gegevens aan overheidsorganen van de gemeente. Buitengemeentelijke overheidsorganen betrekken hun gegevens in beginsel bij de registratiehouder, het Ministerie van Binnenlandse Zaken, tenzij het niet om systematische verstrekkingen gaat.
In het geval verwerking van persoonsgegevens door verwerkers (bijvoorbeeld leveranciers) wordt uitgevoerd, in opdracht van of namens gemeentelijke overheidsorganen, is het desbetreffende gemeentelijke orgaan verantwoordelijk voor de rechtmatige verwerking.
Dan moeten verantwoordelijke en verwerker borging van verantwoordelijkheden, doelbinding, transparantie, geheimhouding, informatiebeveiliging, toezicht en naleving vastleggen in een verwerkersovereenkomst.
4.3.2 Welke gegevens worden verstrekt?
Als duidelijk is dat de gegevens uit de BRP verstrekt mogen worden, moet worden bepaald welke gegevens. Van toepassing zijn:
•De wettelijke eis dat de gegevens “noodzakelijk zijn voor de uitvoering van hun taken”;
•Er worden niet meer gegevens geleverd dan noodzakelijk voor de uitoefening van de taak.
4.3.3 Het verder verwerken van gegevens afkomstig uit de BRP
Als een afnemer gegevens afkomstig uit de BRP opslaat in een eigen applicatie, al dan niet aangevuld met eigen gegevens, dan is de wet BRP niet meer direct van toepassing. Wel moet bij een eventuele doorlevering rekening worden gehouden met de grondslagen (het doel) waarvoor de gegevens zijn verkregen. De verstrekker geeft de afnemer informatie ten aanzien van het bijzondere karakter van het verder verwerken van gegevens afkomstig uit de BRP. De verstrekker is niet de instantie die de rechtmatigheid van die verwerking toetst.
Ten aanzien van iedere verwerking van persoonsgegevens geldt een aantal algemene regels, vastgelegd in de AVG. De kern van deze wet is als volgt te omschrijven:
•Er moet een rechtmatige grondslag zijn (art. 6 AVG).
•De verwerking van persoonsgegevens is transparant.
•Er is sprake van doelbinding (art. 5 lid 1 AVG).
•Er wordt voldaan aan bepaalde kwaliteitsvereisten.
•De rechten van betrokkenen worden gerespecteerd.
•De gegevens zijn voldoende beveiligd.