Aanhef
Begrippenlijst
a) Persoonsgegevens: Alle gegevens die gaan over mensen en waaraan je een mens als individu kunt herkennen. Het gaat hierbij niet alleen om vertrouwelijke gegevens, zoals over iemands gezondheid, maar om ieder gegeven dat te herleiden is tot een bepaald persoon (bijv. naam, adres, geboortedatum). Naast gewone persoonsgegevens zijn er ook bijzondere persoonsgegevens. Die gaan over gevoelige onderwerpen, bijvoorbeeld etnische achtergrond, politieke voorkeuren en de gezondheid.
b) Politiegegevens: Persoonsgegevens die worden verwerkt in het kader van de politietaak, zoals bedoeld in de artikelen 3 en 4 van de Politiewet 2012.
c) AVG: Verordening (EU) 2016/679 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (Algemene verordening gegevensbescherming).
d) Wpg: Wet politiegegevens.
e) Verwerking: Alle activiteiten die een organisatie kan uitvoeren met betrekking tot persoonsgegevens, vanaf het moment van verzameling tot en met het moment van verwijdering. Denk aan vastleggen, bewaren, verzamelen, bij elkaar voegen, verstrekken aan een ander, vernietigen en lezen.
f) Betrokkene: De persoon op wie de persoonsgegevens betrekking hebben. De betrokkene is degene van wie de gegevens worden verwerkt.
g) Verwerkingsverantwoordelijke: De normadressaat van de AVG. Deze partij bepaalt het doel en de middelen van de verwerking. Als de gemeente besluit ‘waarom’ en ‘hoe’ persoonsgegevens verwerkt worden, is zij de verwerkingsverantwoordelijke.
h) Verwerker: Een derde partij die persoonsgegevens verwerkt namens de verwerkingsverantwoordelijke.
i) Functionaris Gegevensbescherming (FG): De interne toezichthouder op het gebied van privacywetgeving.
j) Privacy Officer (PO): De juridisch adviseur op het gebied van privacywetgeving en hoeder van het privacybeleid van een organisatie.
k) DPIA: Een hulpmiddel om de privacyrisico's van een verwerking vooraf te beoordelen, zodat de gemeente maatregelen kan treffen om deze risico's te verkleinen. Een DPIA is verplicht bij verwerkingen met een hoog risico.
l) Datalek: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte persoonsgegevens.
m) Geautomatiseerde besluitvorming: Besluitvorming zonder of met beperkte menselijke tussenkomst.
n) Doorgifte: Het overdragen of beschikbaar stellen van persoonsgegevens aan een organisatie, persoon of land buiten de Europese Economische Ruimte (EER).
2. Uitgangspunten en beleidsprincipes
2.1 Beginselen
2.1.1 Rechtmatigheid, behoorlijkheid en transparantie
De verwerking van persoonsgegevens door de gemeente is rechtmatig, behoorlijk en transparant. Dit houdt in dat verwerking alleen plaatsvindt wanneer er een rechtmatige grondslag voor bestaat. Voor de gemeente is dit doorgaans een wettelijke verplichting of een taak van algemeen belang die zij moet vervullen. In situaties waarin geen wettelijke of contractuele verplichting geldt, vraagt de gemeente vooraf toestemming van de betrokkene voor de verwerking van diens persoonsgegevens. Voor de verwerking van politiegegevens geldt dat de gemeente alleen gegevens verwerkt als dit gebaseerd is op artikel 8, 9 of 13 Wpg.
Verder is de verwerking van persoonsgegevens op geen enkele manier nadelig, discriminerend, onverwacht of misleidend voor de betrokkenen, tenzij hiervoor een rechtvaardiging bestaat.
Voorafgaand aan iedere verwerking stelt de gemeente op een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke wijze en in duidelijke en eenvoudige taal de betrokkene op de hoogte van de verwerking van persoonsgegevens, inclusief de methoden en de doeleinden waarvoor deze gegevens worden gebruikt. Tevens worden zij op begrijpelijke wijze geïnformeerd over hun rechten en de stappen die ze kunnen nemen om deze rechten uit te oefenen. De gemeente geeft in algemene zin invulling aan deze informatieplicht door het beschikbaar stellen van een privacyverklaring op de website. Afwijkingen van de informatieplicht kunnen alleen plaatsvinden wanneer de wet dit uitdrukkelijk toestaat.
2.1.2 Doelbinding
De gemeente verwerkt persoonsgegevens alleen voor een specifiek en duidelijk omschreven doel en legt dit doel vast in het register van verwerkingen. Het doel bepaalt welke gegevens worden verwerkt en in welke mate. Er worden uitsluitend gegevens verzameld die strikt noodzakelijk zijn om het doel te bereiken, en waar mogelijk wordt gekozen voor een aanpak die minder impact heeft op de privacy van betrokkenen. De persoonsgegevens worden slechts voor een secundair doel verwerkt (verdere verwerking) indien dat doel verenigbaar is met het primaire doel van de verwerking. Voorafgaand aan iedere verdere verwerking van persoonsgegevens toetst de gemeente de mate waarin het secundaire doel verenigbaar is met het primaire doel.
Specifiek voor de verwerking van politiegegevens in het kader van artikel 9 Wpg geldt dat het doel van het onderzoek binnen een week, nadat is begonnen met de verwerking, schriftelijk wordt vastgelegd.
2.1.3 Dataminimalisatie
De gemeente verwerkt uitsluitend persoonsgegevens wanneer dit strikt noodzakelijk is. Bij het ontwerpen van een werkproces wordt eerst beoordeeld of het verzamelen van persoonsgegevens onmisbaar is voor het bereiken van het beoogde doel. Alleen de gegevens die echt noodzakelijk zijn, worden vervolgens verwerkt.
2.1.4 Juistheid
De gemeente zorgt ervoor dat de kwaliteit van de verwerkte persoonsgegevens op orde is. Dat houdt in dat de gegevens juist en volledig zijn. Daarom treft de gemeente passende maatregelen om onjuiste persoonsgegevens onverwijld te wissen of te rectificeren.
2.1.5 Opslagbeperking
De gemeente hanteert bewaartermijnen voor persoonsgegevens op basis van geldende wet- en regelgeving en specifieke selectielijsten. Deze lijsten, opgesteld conform de Archiefwet 1995, geven aan hoelang bepaalde documenten met persoonsgegevens bewaard moeten blijven.
Als er geen wettelijke richtlijnen of selectielijsten beschikbaar zijn, wordt de bewaartermijn bepaald aan de hand van wat noodzakelijk is voor het doel van de verwerking. Persoonsgegevens worden niet langer bewaard dan strikt noodzakelijk, tenzij deze volledig geanonimiseerd zijn, waardoor identificatie van personen onmogelijk wordt.
Voor het bewaren van politiegegevens hanteert de gemeente de bewaartermijnen uit artikel 8 en 9 Wpg.
2.1.6 Integriteit en vertrouwelijkheid
De gemeente treft zowel technische als organisatorische maatregelen om persoonsgegevens te beschermen tegen ongeautoriseerd gebruik of onrechtmatige verwerking. Hierbij wordt gehandeld volgens het Strategisch gemeentebreed informatiebeveiligingsbeleid.
2.5 Privacy by Design & Default
2.5.1 DPIA’s
Gemeente Westerwolde geeft invulling aan deze beginselen door onder andere bij de start of wijziging van iedere verwerking die een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen een zogenoemde Data Protection Impact Assessment (DPIA) uit te voeren. Als uit de DPIA blijkt dat er risico’s zijn verbonden aan de verwerking, zullen er passende maatregelen worden getroffen om de risico’s te beperken. De afdelingsmanager is daarbij als proceseigenaar verantwoordelijk en wordt hierbij ondersteund door de PO. Bij de uitvoering van de DPIA wordt de FG altijd om advies gevraagd. Als blijkt dat er onvoldoende passende maatregelen genomen kunnen worden om de risico’s bij de verwerking van de persoonsgegevens te beperken, zal er eerst overlegd worden met de Autoriteit Persoonsgegevens (AP) voordat er met de verwerking wordt gestart.
Bij risicovolle verwerkingen die medewerkers raken, worden de Ondernemingsraad voor de gemeentelijke organisatie en de Medezeggenschapsraad voor Openbaar Onderwijs Westerwolde structureel geconsulteerd en betrokken bij de DPIA.
Bijlage 1. Overzicht noodzakelijke instrumenten en procedures
•Privacyverklaring gemeente Westerwolde
•Privacyverklaring Openbaar Onderwijs Westerwolde
•Procedure actualisatie privacyverklaring
•Procedure voor het afhandelen van verzoeken van betrokkenen
•Register van verwerkingen AVG
•Register van verwerkingen Wpg
•Procedure actualisatie register van verwerkingen
•Pre-DPIA & DPIA procedure
•Procedure afhandelen datalekken
•Werkinstructies Wpg