Privacybeleid gemeente Woensdrecht 2020

2.1 Eigen wijze

Wij nemen initiatief, zijn creatief in het maken en uitvoeren van plannen en het leveren van maatwerk, passend voor de Woensdrechtse gemeenschap. We hebben een trotse, open houding voor en naar inwoners en elkaar, waarbij verbinding centraal staat. Ons eigen wijze heeft een duidelijke rode draad: informeel ontmoeten en samenwerken.

Op het gebied van privacybescherming komt de ‘eigen wijze’ tot uiting in het verbinden, ontmoeten en samenwerken mét voldoende waarborging van de privacy van betrokkenen. Laagdrempelig, maatwerk en informeel, maar wél steeds bewust van en gepast handelend naar privacyrisico’s.

2.2 Betrokken

We ontmoeten, verbinden en werken samen. We creëren het vermogen ons in te leven in anderen, of dit nu een inwoner of collega is. Op basis daarvan passen we ons handelen aan. We werken samen met aandacht voor elkaar, gedeelde verantwoordelijkheid en met zichtbare waardering voor zowel het resultaat als ieders aandeel in het bereiken daarvan. We spreken elkaar respectvol aan en waarderen elkaar als het goed gaat, maar ook als het niet goed gaat.

Betrokkenheid tonen bij de waarborging van de privacy van burgers en andere partijen die met de gemeente Woensdrecht te maken hebben, betekent dat je hen serieus neemt en dat ook laat zien. Dit kan door zorgvuldig om te gaan met de persoonsgegevens van de betrokkenen en zo nodig anderen erop aan te spreken als zij de vereiste zorgvuldigheid niet voldoende in acht nemen. Door als gemeente voor deze betrokkenen altijd goed bereikbaar en aanspreekbaar te zijn als deze een beroep doen op hun privacy rechten. Maar ook door het direct melden van datalekken, mocht er onverhoopt toch iets zijn misgegaan.

2.3 Daadkracht

Door onze betrokkenheid weten we samen met de inwoners wat we willen en werken daar resultaatgericht naar toe. We zijn daarin praktisch en nemen verantwoordelijkheid voor het eindresultaat ook als een ander dat even niet kan. We werken effectief en efficiënt en zoeken samen de rek in de regels als dat nodig is ten gunste van het resultaat.

Daadkracht als het gaat om privacybescherming, betekent vooral het creëren van meer bewustzijn bij de individuele medewerker: het bewustzijn dat het borgen van de privacy van de betrokkenen hand in hand gaat met het sturen op kwaliteit en resultaten. Bijvoorbeeld door tijdig te reageren op verzoeken van betrokkenen, maar ook door pro-actief te handelen als de situatie daarom vraagt. Daarnaast betekent het verantwoordelijkheid nemen als regelgeving tekort schiet en dan actie te ondernemen om – waar nodig – zaken alsnog geregeld te krijgen.

2.4 Dienstbaar

Door onze houding ervaren inwoners of bezoekers een passende, professionele en integrale dienstverlening. Ze ervaren ons als gastvrij door een warm welkom in een vertrouwde omgeving. We staan open voor initiatieven en helpen daarbij met onze kennis en professionaliteit. We hebben oog voor het geheel, ook als een ander dat even niet heeft, juist dan nemen we die mee in ons perspectief.

Dienstbaarheid staat in het kader van privacybescherming voor transparantie. We informeren de burgers op passende wijze, via alle relevante kanalen die daarvoor beschikbaar zijn, over de verwerking van hun gegevens en de mogelijkheid om hun rechten uit te oefenen op het gebied van privacyregelgeving.

Deze kernwaarden vormen het raamwerk waarbinnen het gemeentelijk privacybeleid verder is uitgewerkt.

3.1 Europese privacywetgeving

Vanaf 25 mei 2018 geldt de directe werking van de huidige privacywetgeving – de Algemene verordening gegevensbescherming (hierna: AVG) – in de Europese lidstaten. Per diezelfde datum is ook de Uitvoeringswet AVG (hierna: UAVG) in werking getreden.

De snelle technologische ontwikkelingen, de grote hoeveelheid beschikbare data en de aanzienlijke toename van de grensoverschrijdende stromen van persoonsgegevens heeft geleid tot harmonisatie van het Europees Unierecht met betrekking tot de bescherming van persoonsgegevens. Het begrip persoonsgegeven omvat alle gegevens die een natuurlijk identificeerbaar persoon betreffen. NAW-gegevens, burgerservicenummers, e-mail, maar ook kentekens en IP-adressen kunnen als persoonsgegeven worden aangemerkt.

De AVG zorgt voor een versterking en uitbreiding van privacyrechten en brengt meer verantwoordelijkheden voor organisaties. De gemeente dient aan te (kunnen) tonen dat er is voldaan aan de wettelijke eisen omtrent gegevensbescherming. Elke verwerking van persoonsgegevens geschiedt behoorlijk en rechtmatig. E voor betrokkenen dient transparant te zijn dat hun betreffende persoonsgegevens worden verzameld, gebruikt of geraadpleegd. Persoonsgegevens mogen alleen worden verwerkt, indien het doel van de verwerking niet redelijkerwijs op een andere wijze kan worden verwezenlijkt. Secundair gebruik van beschikbare persoonsgegevens is alleen toegestaan met instemming van betrokkene. Gebruik van persoonsgegevens is zonder voorafgaande toestemming aan één doel van verwerking gebonden. De opslagperiode dient niet langer te zijn dan noodzakelijk voor het doel.

Bij dit alles geldt dat materiële wetten waarop veel verwerkingen van de gemeentelijke overheid berusten, voorliggend zijn ten opzichte van de AVG. Indien voor de verwerking de geldende voorliggende materiële wetten niet voorzien in een bescherming van privacy- en/of informatiebeveiliging, geldt de AVG.

3.2 Sectorspecifieke wetgeving

De (U)AVG geldt als parapluwetgeving: bijna alle sectoren, instellingen en bedrijven in Nederland dienen eraan te voldoen

2Uitzonderingen worden genoemd in artikel 2, tweede lid, van de AVG en in de artikelen 2 en 3 van de UAVG.

. Naast dit algemeen wettelijk kader zijn er in sectorspecifieke wetten aanvullende regels opgenomen omtrent gegevensuitwisseling en het waarborgen van privacy. De Wet Basisregistratie Personen, de Jeugdwet en de Participatiewet zijn voorbeelden van dergelijke wetten met specifieke aanvullende eisen. De gemeente Woensdrecht handelt niet alleen conform de (U)AVG, maar uiteraard ook conform de sectorspecifieke wetgeving.

5. Ambitie volwassenheidniveau

Uiteraard moeten alle organisaties voldoen aan de wettelijke verplichtingen (bijv. het beschikken over een verwerkingsregister, het voldoen aan de meldplicht voor datalekken, het aanstellen van een FG, etc.), maar de mate waarin organisaties voor het overige ‘AVG-compliant’ zijn wordt mede bepaald door hun ambitie op dat vlak.

Het zogenaamde ‘Capability Maturity Model’ (CMM) – oftewel het Volwassenheidsniveau-model – is een algemeen gebruikt model dat aangeeft op welk niveau de software-ontwikkeling van een organisatie zit. Door ervaring in het gebruik is gebleken dat het niet alleen voor software-ontwikkeling toepasbaar is maar ook op andere processen, zoals bijvoorbeeld de AVG-compliance.

Capability Maturity Model

De gemeente Woensdrecht heeft de ambitie om binnen een periode van 2 jaren te voldoen aan volwassenheidsniveau 3; ‘Gedefinieerd proces’. Op dit niveau zijn processen gedocumenteerd en zijn betrokkenen bekend en vertrouwd met beleid, richtlijnen en procedures. Redelijkerwijs beschouwd, is dit het laagste niveau waarop er sprake is van een volledige AVG-compliancy. Daarbij hoort een pro-actieve en lerende basishouding, met aandacht voor (de evaluatie van) behaalde resultaten. Op het standaardiseren en vastleggen van processen wordt gecontroleerd.

De gemeente Woensdrecht behaalt op dit moment een volwassenheidsniveau van ± 1.6 en gaat daarmee in de richting van het niveau ‘Herhaalbaar, maar intuïtief’. De concrete uitwerking van het geambieerde volwassenheidsniveau in activiteiten en planning vindt plaats in het privacy-werkprogramma.

8.1.1 Recht op informatie

De gemeente verzamelt gegevens om haar taken te kunnen uitvoeren. Indien dit persoonsgegevens betreffen, heeft de gemeente de plicht om betrokkenen, voor zover deze daar niet reeds van op de hoogte zijn, te informeren over verwerkingen van hun persoonsgegevens. De gemeente verstrekt dan aan betrokkenen informatie over de verwerking, zoals het doel daarvan, welke persoonsgegevens worden verwerkt en of de gegevens aan anderen worden verstrekt. Dit met inachtneming van de beperkingen zoals die neergelegd zijn in wet- en regelgeving. In dit kader publiceert de gemeente ook een privacyverklaring.

8.1.2 Recht op inzage

Betrokkenen hebben de mogelijkheid om te controleren of en op welke manier hun gegevens worden verzameld en verwerkt. Dit met inachtneming van de beperkingen zoals neergelegd in wet- en regelgeving. Voor de gebruikmaking van het ‘recht op inzage’ is een (digitaal) formulier ontwikkeld en ontsloten.

8.1.3 Recht op correctie

Als de gemeente persoonsgegevens van betrokkenen verwerkt die naar hun oordeel onjuist zijn, kunnen zij een verzoek indienen bij de gemeente om dit te verbeteren. Dit met inachtneming van de beperkingen zoals neergelegd in wet- en regelgeving.

8.1.4 Recht om vergeten te worden

Betrokkenen hebben het recht persoonsgegevens te laten verwijderen indien de gemeente niet langer een goede grond heeft voor het gebruik hiervan, bijvoorbeeld indien betrokkenen een gegeven toestemming intrekken, indien de gegevens onjuist zijn of de gegevens niet langer nodig zijn.

8.1.5 Recht op bezwaar tegen verwerking

Betrokkenen hebben het recht aan de gemeente te vragen hun persoonsgegevens niet meer te gebruiken en bezwaar te maken tegen de verwerking van hun persoonsgegevens. De gemeente moet aan het verzoek voldoen, tenzij er gerechtvaardigde gronden zijn voor de verwerking.

8.1.6 Recht op beperking van de verwerking

Het recht op beperking houdt in dat de gemeente de persoonsgegevens (tijdelijk en onder voorwaarden) niet mag verwerken en niet mag wijzigen, bijvoorbeeld wanneer betrokkenen de juistheid van de gegevens ter discussie stellen. De gemeente moet in principe aan het verzoek voldoen.

8.1.7 Recht op overdraagbaarheid van gegevens (dataportabiliteit)

De gemeente is op grond van de AVG op zich niet verplicht om invulling te geven aan de overdraagbaarheid van gegevens voor zover het werkzaamheden betreft in het kader van het algemeen belang, de uitoefening van een openbaar of publieke taak of ter voldoening aan een wettelijke verplichting. Desondanks zal de gemeente in voorkomende gevallen zo mogelijk voorzieningen treffen ten behoeve van dataportabiliteit

8.1.8 Recht niet te worden onderworpen aan geautomatiseerde individuele besluitvorming / profiling

Het in de AVG opgenomen recht niet onderworpen te worden aan geautomatiseerde individuele besluitvorming/profilering betreft feitelijk een verbod. Daarbij kan gedacht worden aan het zonder menselijke tussenkomst verwerken van sollicitaties via internet of het beslissen over het al dan niet toekennen van bijstand. Dit recht c.q. dit feitelijke verbod wordt gerespecteerd.

9.1 Verwerkersovereenkomst

Als ‘verwerkingsverantwoordelijke’ is de gemeente Woensdrecht verantwoordelijk voor de juiste verwerking van persoonsgegevens. Dat betekent dat de gemeente daar zelf zorgvuldig en correct mee moet omgaan, maar ook dat de gemeente ervoor moet zorgen dat leveranciers of partners die met die persoonsgegevens werken dat óók doen. De uitvoering van verwerkingen van persoonsgegevens door een derde wordt geregeld in een verwerkersovereenkomst.

Verwerkersovereenkomsten moeten inhoudelijk aan wettelijke eisen voldoen (opgenomen in artikel 28, derde lid, van de AVG). De VNG heeft een standaard-verwerkersovereenkomst opgesteld. Deze standaard is per 1 januari 2020 verplicht.

9.2 Convenanten

Verwerkersovereenkomsten hebben betrekking op de verhouding tussen een ‘verwerkingsverantwoordelijke’ en de ‘verwerker’. Het kan zijn dat partijen gezamenlijk verantwoordelijk zijn voor de (verwerking van de) persoonsgegevens. In het geval van zo’n mede-verwerkingsverantwoordelijkheid bepaalt de AVG dat de verwerkingsverantwoordelijken in een ‘onderlinge regeling’ op ‘transparante wijze’ hun respectievelijke AVG-verantwoordelijkheden vaststellen; in de gemeente Woensdrecht gebruiken we hiervoor het instrument ‘verwerkersconvenant’.

Niet alleen in het kader van gezamenlijke verwerkingsverantwoordelijkheid, maar ook indien de gemeente Woensdrecht anderszins structureel persoonsgegevens uitwisselt met externe partijen (denk bijvoorbeeld aan het Zorg- en Veiligheidshuis of Buurtbemiddeling), maakt de gemeente Woensdrecht duidelijke afspraken over de (wijze van) gegevensuitwisseling en de waarborging van privacy en informatieveiligheid.

9.3 Uitwisseling binnen internationale samenwerking tussen landen en met organisaties

Uitwisseling van persoonsgegevens met landen/organisaties buiten de Europese Economische Ruimte (EER) is in beginsel niet toegestaan, tenzij er sprake is van een wettelijke uitzondering of een passende overeenkomst (overdrachtsmechanisme). Er zijn verschillende soorten overdrachtsmechanismen in de AVG opgenomen. De gemeente Woensdrecht streeft ernaar om alleen in noodzakelijke gevallen en uiteraard binnen de voorwaardelijke kaders persoonsgegevens uit te wisselen met landen/organisaties buiten de EER.

10.1 Logging

Niet alleen moeten organisaties moderne technieken gebruiken om persoonsgegevens te beveiligen, ook moet er gekeken worden hoe er met persoonsgegevens wordt omgegaan; wie heeft er bijvoorbeeld toegang tot welke gegevens? Het betreft hier de eis van (actieve) logging. De gemeente Woensdrecht zorgt ervoor dat de binnen de gemeente gebruikte applicaties logging technisch mogelijk is én dat er op basis van een ‘loggingsprotocol’ actieve logging en periodieke rapportage daarover c.q. opvolging naar aanleiding daarvan plaatsvindt.

12.1 Verwerkingsverantwoordelijke: college/burgemeester/gemeenteraad

Het college van burgemeester en wethouders respectievelijk de burgemeester en de gemeenteraad zijn de verantwoordelijke bestuursorganen die, ieder voor zover het hun taakuitoefening betreft, invulling geven aan de taken en verantwoordelijkheid die krachtens de AVG zijn toebedeeld aan de verwerkingsverantwoordelijke. Formeel zijn het college van respectievelijk de burgemeester en de gemeenteraad dan ook verantwoordelijk voor de verwerkingen die onder de reikwijdte van de AVG vallen. De verwerkingen op grond van de richtlijn gegevensbescherming opsporing en vervolging vallen hier niet onder.

Het college van burgemeester respectievelijk de burgemeester en de gemeenteraad, ieder voor zover het hun taakuitoefening betreft:

•stellen privacybeleid vast;

•stellen op grond van artikel 37 van de AVG een Functionaris voor de Gegevensbescherming (FG) aan.

Het college van burgemeester en wethouders:

•bevordert de beschikbaarheid van voldoende middelen om privacybescherming passend te waarborgen;

•wijst uit zijn midden een portefeuillehouder Privacy & Informatieveiligheid aan die bestuurlijk verantwoordelijk is voor de uitvoering van het gemeentelijk privacybeleid;

•stelt een Privacy Officer (PO) aan.

12.2 Portefeuillehouder Privacy & Informatieveiligheid

De portefeuillehouder Privacy & Informatieveiligheid is bestuurlijk verantwoordelijk voor de uitvoering van het gemeentelijk privacybeleid. De portefeuillehouder informeert de Raad binnen de jaarlijkse P&C-cyclus over de uitvoering van het privacybeleid binnen de gemeente.

In het kader van de melding van datalekken fungeert de portefeuillehouder Privacy & Informatieveiligheid als ‘gemandateerd verwerkingsverantwoordelijke’ namens het college van burgemeester en wethouders. De portefeuillehouder Privacy & Informatieveiligheid neemt in dat kader in mandaat beslissingen omtrent het al dan niet melden van datalekken aan de AP c.q. het doen van mededeling aan betrokkene(n).

12.3 Management

Het nemen van maatregelen om te voldoen aan de AVG is een taak voor de organisatie. Het management draagt hiervoor de verantwoordelijkheid en heeft hiertoe ook een aantal bevoegdheden gemandateerd gekregen (bijv. de beslissing op verzoeken betreffende de uitoefening van rechten van betrokkenen en de ondertekening van de verwerkersovereenkomsten). De gemeentesecretaris/algemeen directeur geldt in dit kader als de ambtelijk eindverantwoordelijke.

In het verwerkingsregister zijn de processen opgenomen waarin persoonsgegevens worden verwerkt. Binnen de afzonderlijke teams zijn ‘proceseigenaren’ verantwoordelijk voor de naleving van de privacywetgeving en het Woensdrechtse privacybeleid. Het proceseigenaarschap is belegd bij de desbetreffende teammanagers. Bij de uitvoering van hun verantwoordelijkheden kunnen zij zich laten adviseren en zo mogelijk ondersteunen door de PO en (leden van) het Privacyteam.

12.4 Stuurgroep Privacy

De portefeuillehouder Privacy & Informatieveiligheid en de gemeentesecretaris/algemeen directeur vormen gezamenlijk de Stuurgroep Privacy. De Stuurgroep Privacy bestaat verder uit de FG als adviserend lid. Deze Stuurgroep Privacy stelt het jaarlijkse Privacy-werkprogramma vast en stuurt op de uitvoering daarvan. De Stuurgroep Privacy komt minimaal eens per kwartaal bijeen en wordt ondersteund door de PO.

12.5 Functionaris voor de Gegevensbescherming (FG)

De AVG stelt het aanstellen van een FG verplicht voor overheidsinstanties en publieke organisaties. De FG ziet er op toe dat de gemeente Woensdrecht voldoet aan de wettelijke verplichtingen bij het verwerken van persoonsgegevens. Hij toetst onder andere de naleving van de wettelijke eisen, (de uitvoering van) het privacybeleid en de gemeentelijke richtlijnen op het gebied van privacy. Om deze taak uit te voeren heeft de FG controlebevoegdheden. Daarnaast geeft hij advies omtrent uit te voeren gegevensbeschermingseffectbeoordelingen en ziet hij toe op de uitvoering hiervan. De FG stelt periodiek rapportages op en rapporteert zo nodig rechtstreeks aan het college en/of andere verwerkingsverantwoordelijken.

12.6 Privacy Officer (PO)

Binnen de gemeente is een PO aangesteld. De PO adviseert over c.q. vormt de vraagbaak binnen de gemeente voor AVG-/privacyvraagstukken, geeft advies omtrent de uitvoering van het privacybeleid en draagt bij aan de vergroting van privacybewustzijn en -kennis. Daarnaast ondersteunt de PO bij het verrichten van zogenaamde gegevensbeschermingseffectbeoordelingen (GEB’s), maar bijv. ook bij het onderhouden van diverse registers (met name het verwerkingsregister en het, datalekregister).

12.7 Privacyteam

Vanuit ieder team én vanuit de griffie is een medewerker vertegenwoordigd in het Privacyteam. Ook de CISO maakt hier deel van uit. Het Privacyteam fungeert als kennis- en leerplatform en ondersteunt het management bij de uitvoering van hun verantwoordelijkheden. De PO is voorzitter van het Privacyteam. De leden van het Privacyteam zijn privacy-ambassadeurs en vervullen de rol van kennis- en cultuur(uit)drager binnen hun team.

Het Privacyteam komt in principe één keer per maand bijeen. De stand van zaken van uitvoering van het Privacy-werkprogramma, actuele privacy-ontwikkelingen, interne knel-/ontwikkelpunten, recente datalekken etc. vormen onderwerp van gesprek. Op verzoek (van ofwel de PO ofwel de FG) sluit de FG aan voor kennisoverdracht of afstemming.

12.8 Chief Information Security Officer (CISO)

De CISO stelt kaders op voor informatiebeveiliging en adviseert het bestuur en management hierover. De CISO houdt toezicht op de informatiebeveiligingsmaatregelen die de organisatie neemt om gegevens, waaronder persoonsgegevens, te beveiligen. De CISO werkt hierbij nauw samen met de FG en PO.

14.1.1 Verwerkingsregister

De gemeente Woensdrecht houdt een register van verwerkingen (verwerkingsregister) bij met alle verwerkingsactiviteiten van persoonsgegevens per proces. Onder andere de doeleinden van de verwerkingen, de categorieën van persoonsgegevens, ontvangers, bewaartermijnen en de rechtmatige grondslag worden hierin opgenomen. Artikel 30 AVG geeft richtlijnen waar het register van verwerkingsactiviteiten initieel aan moet voldoen.

De gemeente stelt op haar website een publieke versie beschikbaar.

14.1.2 Gegevensbeschermingseffectbeoordelingen

Bij de invoering van nieuw beleid of regelgeving of bij het gebruik van nieuwe technologieën houdt de gemeente Woensdrecht al bij het ‘ontwerp’ rekening met de bescherming van de persoonlijke levenssfeer, de zgn. Privacy by Design. Bij nieuwe verwerkingen onderzoekt de gemeente vooraf het risico voor de bescherming van persoonsgegevens en de vrijheden van de betrokkene(n). De wijze waarop de gemeente Woensdrecht hieraan invulling geeft is o.a. door een gegevensbeschermingseffectbeoordeling uit te voeren.

In de gegevensbeschermingseffectbeoordeling komt op grond van artikel 35, zevende lid, van de AVG, ten minste naar voren:

a.een systematische beschrijving van de beoogde verwerkingen en de verwerkingsdoeleinden;

b.een beoordeling van de noodzaak en de evenredigheid van de verwerkingen;

c.een beoordeling van de risico’s voor de rechten en vrijheden van burgers;

d.de boogde passende technische en organisatorische maatregelen om de risico’s aan te pakken.

Wanneer het effect van een verwerking beoordeeld is, wordt de FG geraadpleegd en om advies gevraagd. Bij een onverminderd getaxeerd hoog risico legt de gemeente de situatie voor aan de AP. Bij een positief besluit met voldoende waarborgen, kan de verwerking een aanvang nemen. Deze gang van zaken geldt ook voor voorgestelde verbeterprocessen.

14.1.3 Privacy-incidenten

Datalek-meldingen worden op initiatief van de PO ‘evaluatief’ besproken in het Privacyteam. Doel van deze bespreking is het trekken van ‘lering’ uit de datalek-meldingen, zowel inhoudelijk ter voorkoming van vergelijkbare datalekken in de toekomst als procesmatig v.w.b. het meldings-/afdoeningsproces van datalekken.