Privacybeleid en -reglement Waterschap Drents Overijsselse Delta

Artikel 1. Wetgeving en definities

De Algemene Verordening Gegevensbescherming (hierna AVG) zorgt, samen met de Uitvoeringswet AVG (hierna UAVG), voor de eisen en kaders bij het verwerken van persoonsgegevens. De Wet politiegegevens (hierna Wpg), zorgt, samen met het Besluit politiegegevens boa (hierna Bpg boa), voor de kaders bij verwerkingen van politiegegevens door boa’s. De volgende begrippen worden in de AVG en de Wpg gebruikt (art. 4 AVG, art. 1 Wpg) en worden hieronder nader toegelicht:

Betrokkene: De natuurlijke persoon op wie de persoons- en politiegegevens betrekking hebben. De betrokkene is degene van wie de gegevens worden verwerkt.

Persoonsgegevens: Alle gegevens die gaan over betrokkenen en waarmee je een betrokkene als individu kunt identificeren. Het gaat hierbij om ieder gegeven dat te herleiden is tot een bepaald persoon (bijvoorbeeld; naam, adres, geboortedatum).

Bijzonder persoonsgegeven; Persoonsgegeven waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijkt. Ook genetische en biometrische gegevens en gegevens over gezondheid, seksueel gedrag of seksuele gerichtheid zijn bijzondere persoonsgegevens. Het is verboden onder de AVG bijzondere persoonsgegevens te verwerken, tenzij er een wettelijke uitzondering geldt én een van de grondslagen voor het verwerken van ‘gewone’ persoonsgegevens uit de AVG van toepassing is. Onder de Wpg is het ook verboden deze gegevens te verwerken, tenzij dit onvermijdelijk is voor het doel van de verwerking en in aanvulling op de verwerking van andere politiegegevens.

Gegevensbeschermingseffectbeoordeling: Met een gegevensbeschermingseffectbeoordeling worden de effecten en risico’s van de nieuwe of bestaande verwerkingen beoordeeld op de bescherming van de privacy. Dit heet ook wel een Data Protection Impact Assessment (hierna DPIA).

Verwerkingsverantwoordelijke: Een persoon of organisatie die alleen, of samen met een ander, het doel en de middelen voor de verwerking van persoons- of politiegegevens vaststelt.

Verwerker: De persoon of organisatie die de persoons- of politiegegevens verwerkt in opdracht van een verwerkingsverantwoordelijke.

Verwerking: Elke handeling met een persoons- of politiegegeven. Dus onder andere opschrijven, registreren, vastleggen, filmen, opnemen, raadplegen, vergelijken, wijzigen, tonen, verstrekken en wissen van persoons- of politiegegevens.

Politiegegeven: Een persoonsgegeven dat verwerkt wordt in het kader van de opsporingstaak. Hiervoor geldt de Wpg. Een politiegegeven is een specifieke versie van een persoonsgegeven.

Artikel 2. Reikwijdte

Het reglement is van toepassing op alle verwerkingen van persoons- en politiegegevens die binnen Waterschap Drents Overijsselse Delta plaatsvinden.

Artikel 3. Verantwoordelijke

Het Dagelijks Bestuur (hierna DB) van Waterschap Drents Overijsselse Delta is verantwoordelijken voor de verwerkingen die door of namens Waterschap Drents Overijsselse Delta worden uitgevoerd. Deze bevoegdheid is gemandateerd aan de Secretaris Directeur.

Artikel 4. Verwerkingen

Elke handeling met een persoons- of politiegegeven. Dus onder andere opschrijven, registreren, vastleggen, filmen, opnemen, raadplegen, vergelijken, wijzigen, tonen, verstrekken en zelfs wissen van persoonsgegevens zijn allemaal vormen van verwerken.

Waterschap Drents Overijsselse Delta houdt zich bij verwerkingen aan de volgende belangrijke uitgangspunten;

Doelbinding en grondslag (art. 5 en 6 AVG en art. 8, 9 en 13 Wpg)

Waterschap Drents Overijsselse Delta zorgt ervoor dat persoons- of politiegegevens alleen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doelen worden verzameld en verwerkt. Persoons- of politiegegevens worden alleen met een rechtmatige grondslag verwerkt. Dat betekent dat de verwerking van persoonsgegevens (AVG) alleen mag plaatsvinden:

•Om een verplichting na te komen die in de wet staat;

•Voor de uitvoering van een overeenkomst waarbij de betrokkene partij is;

•Om een ernstige bedreiging voor het leven of de gezondheid van de betrokkene te bestrijden;

•Voor de goede vervulling van de waterschappelijke taak;

•Wanneer de betrokkene toestemming heeft gegeven voor de specifieke verwerking;

•Als de verwerking noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van het waterschap.

Voor politiegegevens zijn verwerkingsgrondslagen opgenomen in paragraaf 2 van de Wpg. Voor de boa’s van Waterschap Drents Overijsselse Delta betreft het de dagelijkse opsporingstaak, gerichte verwerkingen en ondersteunende taken (art. 8, 9 en 13 Wpg).

De grondslag en doelbinding zijn per verwerking opgenomen in de verwerkingsregisters.

Rechtmatigheid, behoorlijkheid, transparantie (art. 5 AVG en art. 3 Wpg)

Persoons- of politiegegevens worden in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze verwerkt. De systemen worden zo ingericht, dat dit controleerbaar is. Bij de verwerkingen van politiegegevens vindt deze borging plaats door het gebruik van BRS (Boa Registratie Systeem).

Minimale gegevensverwerking/noodzakelijkheid (art. 5 AVG, art. 4 Wpg)

Waterschap Drents Overijsselse Delta verwerkt alleen de persoons- en politiegegevens die noodzakelijk zijn voor het vooraf bepaalde doel. De gemeente streeft naar minimale gegevensverwerking. Waar mogelijk worden minder of geen persoons- of politiegegevens verwerkt.

Juistheid (art. 5 AVG, art. 4 Wpg)

Waterschap Drents Overijsselse Delta zorgt ervoor dat, binnen de grenzen van de redelijkheid, de persoons- of politiegegevens kloppen en volledig zijn voordat ze verwerkt worden. Deze gegevens worden alleen verwerkt door personen met een geheimhoudingsplicht en de benodigde autorisatie.

Daarnaast beveiligt Waterschap Drents Overijsselse Delta alle persoons- en politiegegevens. Dit moet voorkomen dat de persoons- en politiegegevens kunnen worden ingezien of gewijzigd door iemand die daar geen recht toe heeft.

Voor de politiegegevens is het proces van verwijdering, vernietiging en archiveren geborgd in het Boa Registratie Systeem (BRS). Alleen de Bevoegd Functionaris (hierna BF) heeft de bevoegdheid zo nodig correcties en vernietigingen door te voeren in BRS, voor de gevallen dat dit niet geautomatiseerd kan. Alle verwerkingen die in BRS plaatsvinden worden daarbij gelogd en zijn daardoor als zodanig controleerbaar.

Opslagbeperking (art. 5.1.e AVG, art. 14 Wpg)

Persoons- en politiegegevens worden niet langer bewaard dan nodig is. Het bewaren van persoons- en politiegegevens kan nodig zijn om de taken van Waterschap Drents Overijsselse Delta goed uit te kunnen oefenen of om wettelijke verplichtingen te kunnen naleven.

Integriteit en vertrouwelijkheid (art. 5 AVG, art. 4a Wpg)

Waterschap Drents Overijsselse Delta gaat zorgvuldig om met persoons- en politiegegevens en behandelt deze vertrouwelijk. Zo worden persoons- en politiegegevens alleen verwerkt door personen met een geheimhoudingsplicht en voor het doel waarvoor deze gegevens zijn verzameld. Daarbij zorgt Waterschap Drents Overijsselse Delta voor passende beveiliging van persoons- en politiegegevens.

De verwerkingsverantwoordelijke en de verwerker treffen passende technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de verwerking van persoons- en politiegegevens wordt verricht in overeenstemming met hetgeen in de wet is bepaald en om een beveiligingsniveau te waarborgen dat op het risico is afgestemd.

Bij politiegegevens heeft de BF de taak om steekproeven te doen bij de medewerkers die opgenomen zijn in de autorisatiematrix.

Doorgifte (art. 44 t/m 50 AVG)

Waterschap Drents Overijsselse Delta geeft geen persoonsgegevens door aan een land buiten de Europese Unie (EU) of een internationale organisatie, tenzij daartoe een wettelijke verplichting bestaat. Binnen de EU bestaat dezelfde mate van bescherming van persoonsgegevens en bij doorgifte hoeft daarom alleen aan de algemene eisen uit de AVG voldaan te worden.

Delen met derden (AVG)

Waterschap Drents Overijsselse Delta geeft alleen persoonsgegevens door aan derden, als daar een goede reden voor is en als is voldaan aan de voorwaarden uit de AVG. In het geval van samenwerking met externe partijen, waarbij sprake is van gegevensverwerking van persoonsgegevens, maakt Waterschap Drents Overijsselse Delta afspraken over de eisen waar gegevensuitwisseling aan moet voldoen. Waterschap Drents Overijsselse Delta controleert deze afspraken periodiek.

Ter beschikking stellen (art. 15 Wpg)

‘Free flow of information’, in principe worden politiegegevens gedeeld met eenieder die de gegevens noodzakelijk heeft voor de uitoefening van zijn taak. Bij dit ‘need to know’-principe dient altijd een noodzakelijkheids-, proportionaliteits- en subsidiariteitsafweging te worden gemaakt.

De Wpg kent een gesloten verstrekkingenregime, wat betekent dat in de Wpg staat aan wie de boa gegevens mag verstrekken.

Het Wpg domein bestaat uit: politie, marechaussee, rijksrecherche, Bijzondere Opsporingsdiensten (BOD), boa’s.

Verstrekken (art. 6, 7 Bpg, art. 16 t/m 24 Wpg)

Het delen van politiegegevens buiten het Wpg domein, kan onder voorwaarde. Denk hierbij aan het delen met de belastingdienst, Centraal Justitieel Incassobureau of een advocaat.

Artikel 5. Transparantie en communicatie

Wet open overheid (Woo)

Via een Woo verzoek wordt een verzoek om informatie ingediend bij het waterschap. Bij het verzoek bekijkt Waterschap Drents Overijsselse Delta altijd of het antwoord geen inbreuk maakt op de persoonlijke levenssfeer van betrokkenen. In principe worden geen persoonsgegevens verstrekt. Als documenten, met daarin persoonsgegevens openbaar gemaakt worden, dan worden deze persoonsgegevens geanonimiseerd.

Politiegegevens worden niet op grond van de Woo openbaar gemaakt, omdat de Wpg een bijzondere openbaarmakingsregeling kent, die voorgaat op de werking van de Woo (art. 8.8 Woo).

Wet hergebruik van overheidsinformatie

De Wet hergebruik van overheidsinformatie regelt het op verzoek verstrekken van overheidsinformatie voor hergebruik. Bij het behandelen van een verzoek bekijkt Waterschap Drents Overijsselse Delta altijd of verstrekking geen inbreuk maakt op de persoonlijke levenssfeer van betrokkenen. Er worden geen persoonsgegevens verstrekt, tenzij er een wettelijke grondslag is. Politiegegevens worden op grond van deze wet niet verstrekt.

Informatieplicht (art. 13 en 14 AVG, art. 24 Wpg)

Waterschap Drents Overijsselse Delta informeert betrokkenen over het verwerken van persoons- en politiegegevens. Wanneer betrokkenen gegevens aan Waterschap Drents Overijsselse Delta geven, worden zij op de hoogte gesteld van de manier waarop Waterschap Drents Overijsselse Delta met persoons- en politiegegevens om zal gaan. Dit gebeurt veelal via de Privacyverklaring. De betrokkene wordt niet nogmaals geïnformeerd als hij/zij al weet dat Waterschap Drents Overijsselse Delta persoons- en politiegegevens van hem/haar verzamelt en verwerkt, en weet waarom en voor welk doel dat gebeurt.

Wanneer de gegevens via een andere weg verkregen worden, dus buiten de betrokkene om, wordt de betrokkene zo nodig geïnformeerd op het moment dat deze voor de eerste keer worden verwerkt.

Op de internetpagina van Waterschap Drents Overijsselse Delta worden de Privacyverklaring AVG en Wpg geplaatst om de betrokkenen te informeren over welke verwerkingen er plaatsvinden, welke rechten zij hebben en hoe zij van deze rechten gebruik kunnen maken.

Bewaartermijn en opslagbeperking (art. 5 AVG, art. 14 Wpg)

Waterschap Drents Overijsselse Delta bewaart de persoons- en politiegegevens niet langer dan nodig is voor de uitvoering van haar taken, of zoals vastgelegd in de Archiefwet, Selectielijst Waterschappen 2012 of de Wpg. Dit houdt in dat deze gegevens vernietigd worden, of zo worden aangepast dat de informatie niet meer gebruikt kan worden om iemand te identificeren.

Rechten van betrokkenen (art. 13 t/m 20 AVG, art. 24 t/m 28 Wpg)

De wet bepaalt niet alleen de plichten van degenen die de persoons- en politiegegevens verwerken, maar bepaalt ook de rechten van de personen van wie de gegevens worden verwerkt.

Deze rechten worden ook wel de rechten van betrokkenen genoemd, en bestaan uit de volgende rechten:

•Recht op informatie: Betrokkenen hebben het recht om aan Waterschap Drents Overijsselse Delta te vragen of zijn/haar gegevens worden verwerkt.

•Inzagerecht: Betrokkenen hebben de mogelijkheid om te controleren of, en op welke manier, zijn/haar gegevens worden verwerkt, dit betreffen ook vertrekkingen aan derden. Slechts in uitzonderlijke gevallen mag dit worden geweigerd, bijvoorbeeld als de veiligheid van de staat in gevaar komt of als het leidt tot schending van de rechten van anderen.

•Correctierecht: Als duidelijk wordt dat de gegevens niet kloppen, kan de betrokkene een verzoek indienen bij Waterschap Drents Overijsselse Delta om dit te corrigeren.

•Recht van verzet: Betrokkenen hebben het recht aan Waterschap Drents Overijsselse Delta te vragen om hun gegevens niet meer te gebruiken.

•Recht om vergeten te worden: In bepaalde in de AVG opgesomde gevallen, heeft de betrokkene het recht om de persoonsgegevens te laten verwijderen. Dit kan ook onder de Wpg, eventueel door de gegevens niet te verwijderen maar af te schermen.

•Recht op overdraagbaarheid van gegevens: Betrokkenen hebben het recht om de door hen aan Waterschap Drents Overijsselse Delta verstrekte persoonsgegevens in een gestructureerde, gangbare en machinaal leesbare vorm te verkrijgen en aan een andere verwerkingsverantwoordelijke te laten overdragen (niet van toepassing binnen Wpg).

•Recht op bezwaar: Betrokkenen hebben het recht om bezwaar te maken tegen de verwerking van zijn/haar persoons- of politiegegevens. Waterschap Drents Overijsselse Delta zal hieraan voldoen, tenzij er gerechtvaardigde gronden zijn voor de verwerking.

Indienen van verzoek

Om gebruik te maken van zijn/haar rechten kan de betrokkene een verzoek indienen. Dit verzoek kan zowel schriftelijk als via de e-mail ingediend worden. Waterschap Drents Overijsselse Delta heeft vier weken de tijd, vanaf de ontvangst van het verzoek, om te beoordelen of het verzoek gerechtvaardigd is. Binnen vier weken zal Waterschap Drents Overijsselse Delta laten weten wat er met het verzoek gaat gebeuren. Als het verzoek niet wordt opgevolgd is er de mogelijkheid om bezwaar te maken bij Waterschap Drents Overijsselse Delta, of een klacht in te dienen bij de Autoriteit Persoonsgegevens (AP). Aan de hand van een verzoek kan Waterschap Drents Overijsselse Delta, indien noodzakelijk, aanvullende informatie opvragen om zeker te zijn van de identiteit van de betrokkene.

Artikel 6. Plichten van het waterschap

Register van verwerkingen (art. 30 AVG, art. 31 Wpg)

Waterschap Drents Overijsselse Delta is verantwoordelijk voor het aanleggen van een register van alle verwerkingen waarvan Waterschap Drents Overijsselse Delta de verwerkingsverantwoordelijke is. Elk register bevat een beschrijving van wat er tijdens een verwerking plaatsvindt, en welke gegevens daarvoor worden gebruikt, namelijk:

•De rol van de verwerkingsverantwoordelijke en, mogelijk, een aanspreekpunt;

•De doelen van de verwerking;

•De grondslag van de verwerking;

•Een beschrijving van het soort persoons- of politiegegevens en de daarbij horende betrokkenen;

•Een beschrijving van de ontvangers van de persoons- of politiegegevens;

•Een beschrijving van de verwerking;

•De herkomst van de gegevens;

•Een beschrijving van het delen van persoonsgegevens aan een derde land of internationale organisatie;

•De termijnen waarin de verschillende persoons- of politiegegevens moeten worden gewist;

•Een algemene beschrijving van de beveiligingsmaatregelen.

Het register van verwerkingen in het kader van de Wpg kent aanvullende eisen:

•het bestaan van profilering;

•de categorieën van gegevens die worden doorgegeven buiten de EU;

•de toekenning van autorisaties.

Autorisatiematrix politiegegevens (art. 6 Wpg)

Waterschap Drents Overijsselse Delta onderhoudt een systeem van autorisaties aangaande het verwerken van politiegegevens dat voldoet aan de vereisten van zorgvuldigheid en evenredigheid, een zogenaamde autorisatiematrix.

De werkgever van de boa kan personen autoriseren om (bepaalde) politiegegevens te verwerken, die onder zijn beheer werken, maar geen boa zijn. Dit is mogelijk op grond van artikel 6 lid 4 Wpg en artikel 3 van het Bpg boa. De werkgever dient dit vast te leggen, inclusief een beschrijving om wat voor soort gegevens het gaat, om wat voor soort verwerking het gaat en voor hoelang ze verwerkt worden. Deze bevoegdheid wordt bij de BF neergelegd, in diens aanwijzingsbesluit.

Gegevensbeschermingseffectbeoordeling (art. 35 AVG, art. 4c Wpg)

Met een gegevensbeschermingseffectbeoordeling worden de effecten en risico’s van nieuwe of bestaande verwerkingen beoordeeld op risico’s met betrekking tot privacy. Waterschap Drents Overijsselse Delta voert deze uit wanneer er een nieuwe of gewijzigde geautomatiseerde verwerking, een grootschalige verwerking, of wanneer er een grootschalige monitoring van openbare ruimten plaatsvindt. Dit geldt in het bijzonder bij verwerkingen waarbij nieuwe technologieën worden gebruikt.

Aanstellen Functionaris voor gegevensbescherming (hierna FG) (art. 37 t/m 39 AVG, art. 36 Wpg)

Waterschap Drents Overijsselse Delta stelt een FG aan. De FG houdt toezicht bij alle aangelegenheden die verband houden met de bescherming van persoons- en politiegegevens. De taken van de FG zijn informeren, adviseren, toezicht houden, bewustwording creëren, en optreden als contactpersoon van de AP. Het is niet de bedoeling dat de FG de taken op het gebied van bescherming van de privacy van de afdelingen overneemt. Een nieuwe verwerking, die niet onder een reeds omschreven verwerking in een van de verwerkingsregisters valt, van persoons- en politiegegevens wordt eerst aan de FG gemeld voordat de verwerking begint. De FG is verantwoordelijk voor het structureel toetsen van de implementatie en de uitvoering van de wettelijke eisen en de richtlijnen op het gebied van privacy.

De FG voor de AVG functioneert tevens als FG voor de Wpg.

Aanstellen Bevoegd Functionaris politiegegevens (art. 2:10 lid 1 Bpg)

Dit is de ‘hoeder’ van de gegevens die onder artikel 9 Wpg worden verwerkt. Het moet een persoon zijn met voldoende kennis en vaardigheden over dit type gegevens. Deze BF beslist bijvoorbeeld wie er toegang mag hebben tot deze gegevens en of ze verstrekt kunnen worden aan een samenwerkingspartner. Iedere artikel 9-verwerking dient een BF te hebben. De BF wordt aangewezen door het DB van het waterschap.

Melden datalekken (art. 33 en 34 AVG, art. 33 Wpg)

Bij een datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoons- of politiegegevens bij een organisatie, zonder dat dit de bedoeling is van deze organisatie. Wanneer er een datalek heeft plaatsgevonden meldt Waterschap Drents Overijsselse Delta dit zonder onredelijke vertraging, uiterlijk 72 uur nadat er kennis van de inbreuk is vernomen, aan de AP, tenzij het niet waarschijnlijk is dat de inbreuk een risico voor de rechten en vrijheden van de betrokkenen inhoudt. Als dit later dan 72 uur is wordt er een motivering voor de vertraging bij de melding gevoegd. Het kan zijn dat de inbreuk een hoog risico met zich meebrengt voor de rechten en vrijheden van de betrokkenen. In dit geval informeert Waterschap Drents Overijsselse Delta de betrokkenen in eenvoudige en duidelijke taal. Om toekomstige datalekken te voorkomen worden bestaande datalekken geëvalueerd.

Privacy-audits politiegegevens (art. 6 Bpg)

Het is verplicht twee jaren na inwerkingtreding van de wet de verwerkingsverantwoordelijke een externe ‘privacy-audit’ uit te voeren. Dit dient te gebeuren conform de regels uit de Regeling periodieke audit politiegegevens. Daarna moet dat elke vier jaar herhaald worden. De audit heeft betrekking op de wijze waarop de verwerkingen georganiseerd zijn, de maatregelen en procedures die daarop van toepassing zijn en de werking van deze maatregelen en procedures. Naar aanleiding van de uitkomsten van de audit dient Waterschap Drents Overijsselse Delta een verbeterplan op te stellen en uit te voeren. Zowel de uitkomst van de externe audit als het verbeterplan dienen met de AP gecommuniceerd te worden. Tevens dient er ieder jaar een interne audit te worden uitgevoerd.

Voor de AVG is een interne audit-cyclus ingericht.

Artikel 7. Klachten

Als Waterschap Drents Overijsselse Delta een wettelijke verplichting niet nakomen kan de betrokkene een klacht indienen. Deze zal via onze klachtenregeling worden behandeld. Daarnaast kan de betrokkene een klacht indienen bij de FG en/of de AP.

Artikel 8. Intrekken

Ingetrokken worden het Privacyreglement Waterschap Drents Overijsselse Delta en de Privacyverklaring Waterschap Drents Overijsselse Delta, vastgesteld op 2 mei 2018.

Artikel 9. Inwerkingtreding

Dit privacyreglement treedt in werking op 15 februari 2023.

Ondertekening