Privacybeleid Orionis Walcheren

Intitulé

Het Dagelijks Bestuur maakt bekend dat het op 14 september 2023 het Privacybeleid Orionis Walcheren heeft vastgesteld, ter vervanging van het privacybeleid van 17 mei 2018. Orionis Walcheren geeft met dit privacybeleid een duidelijke richting aan privacy en laat zien dat zij de privacy waarborgt, beschermt en handhaaft.

1. Inleiding

Orionis Walcheren verwerkt heel veel persoonsgegevens van burgers, medewerkers en (keten)partners. Persoonsgegevens worden voornamelijk verzameld bij de burgers voor het goed uitvoeren van wettelijke taken. Orionis Walcheren voert taken uit waar zowel het bestuursrecht als het strafrecht van toepassing is. Bij het uitvoeren van taken in het strafrecht worden politiegegevens verwerkt waar de privacywetgeving afwijkt van de privacywetgeving in het bestuursrecht.

De burgers, medewerkers en (keten)partners moeten erop kunnen vertrouwen dat Orionis Walcheren zorgvuldig en veilig met de persoonsgegevens omgaat. Technologische ontwikkelingen, innovatieve voorzieningen, globalisering en een steeds meer digitale overheid stellen andere eisen aan de bescherming van persoonsgegevens en privacy. Orionis Walcheren is zich hiervan bewust en zorgt dat de privacy gewaarborgd blijft, onder andere door maatregelen op het gebied van informatiebeveiliging, dataminimalisatie, transparantie en gebruikerscontrole.

Orionis Walcheren geeft met dit privacybeleid een duidelijke richting aan privacy en laat zien dat zij de privacy waarborgt, beschermt en handhaaft. De privacywetgeving voor politiegegevens is grotendeels gelijkluidend aan de privacywetgeving in het bestuursrecht. Daar waar belangrijke afwijkingen zijn met betrekking tot de privacywetgeving van politiegegevens, wordt dit in het document apart aangegeven.

Dit beleid is van toepassing op de gehele organisatie, alle processen, onderdelen, objecten en gegevensverzamelingen van Orionis Walcheren. Dit is in lijn met het algemene beleid van Orionis Walcheren en de relevante lokale, regionale, nationale en Europese wet- en regelgeving.

2. Wettelijke kaders voor de omgang met gegevens

Orionis Walcheren is verantwoordelijk voor het opstellen, uitvoeren en handhaven van het beleid. Hiervoor gelden onder andere de volgende wettelijke kaders:

• Verordening (EU) 2016/679 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens.

• Dit is de Algemene Verordening Gegevensbescherming (AVG).

• Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG)

• Richtlijn (EU) 2016/680 – De bescherming van natuurlijke personen in verband met de verwerking van hun persoonsgegevens door de politie en strafrechtelijke autoriteiten, en het vrije verkeer van die gegevens.

• Wet politiegegevens (Wpg)

• Besluit politiegegevens (Bpg)

• Besluit buitengewoon politieambtenaar

• Regeling periodieke audit politiegegevens

• Participatiewet (PW) en aanverwante wetgeving (o.a. de IOAW/IOAZ)

• Algemene wet Bestuursrecht (Awb)

• Wet gemeentelijke schuldhulpverlening (Wgs)

• Wet Sociale Werkvoorziening (WSW)

• Archiefwet 1995

3. Uitgangspunten

Orionis Walcheren gaat op een veilige manier met persoonsgegevens om en respecteert de privacy van betrokkenen. Orionis Walcheren houdt zich hierbij aan de volgende uitgangspunten:

Rechtmatigheid, behoorlijkheid, transparantie

Persoonsgegevens worden in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze verwerkt.

Grondslag en doelbinding

Orionis Walcheren zorgt ervoor dat persoonsgegevens alleen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doelen worden verzameld en verwerkt. Persoonsgegevens worden alleen met een rechtvaardige grondslag verwerkt.

Dataminimalisatie

Orionis Walcheren verwerkt alleen de persoonsgegevens die minimaal noodzakelijk zijn voor het vooraf bepaalde doel. Orionis Walcheren streeft naar minimale gegevensverwerking. Waar mogelijk worden minder of geen persoonsgegevens verwerkt.

Bewaartermijn

Persoonsgegevens worden niet langer bewaard dan nodig is. Het bewaren van persoonsgegevens kan nodig zijn om taken goed uit te kunnen oefenen of om wettelijke verplichtingen te kunnen naleven. Voor persoonsgegevens die vallen onder het bestuursrecht hanteert Orionis Walcheren de bewaartermijnen termijnen uit de Selectielijst gemeenten en intergemeentelijke organen 2020.

Ook politiegegevens worden niet langer bewaard dan nodig. Voor politiegegevens hanteert Orionis Walcheren de specifieke termijnen uit artikel 14 van de Wet politiegegevens (Wpg).

Integriteit en vertrouwelijkheid

Orionis Walcheren gaat zorgvuldig om met persoonsgegevens en behandelt deze vertrouwelijk. Zo worden persoonsgegevens alleen verwerkt door personen met een geheimhoudingsplicht en voor het doel waarvoor deze persoonsgegevens zijn verzameld. Daarbij zorgt Orionis Walcheren voor passende beveiliging van persoonsgegevens. Deze beveiliging is vastgelegd in het informatiebeveiligingsbeleid.

Delen met derden

In het geval van samenwerking met externe partijen, waarbij sprake is van gegevensverwerking van persoonsgegevens, maakt Orionis Walcheren afspraken over de eisen waar gegevensuitwisseling aan moet voldoen. Deze afspraken voldoen aan de wet en worden vastgelegd in een verwerkersovereenkomst. Orionis Walcheren controleert deze afspraken.

Voor politiegegevens gelden andere eisen voor het delen. Deze eisen zijn beschreven in de Wpg en worden door Orionis Walcheren toegepast. Bij politiegegevens wordt onderscheid gemaakt tussen het ter beschikking stellen van politiegegevens en het verstrekken ervan. Het ter beschikking stellen houdt in dat deze in principe worden gedeeld met eenieder die de politiegegevens nodig heeft voor de uitoefening van zijn/haar taak. Bij dit ‘need to know’-principe dient altijd een noodzakelijkheids-, proportionaliteits- en subsidiariteitsafweging te worden gemaakt. Het ter beschikking stellen voltrekt zich dus binnen het Wpg-domein.

Bij het verstrekken gaat het om het delen van politiegegevens buiten het Wpg-domein. In dat geval moet zijn geborgd dat politiegegevens alleen worden verstrekt aan personen of instanties buiten het politiedomein, voor zover dit noodzakelijk is voor de doeleinden zoals deze in de Wpg en het Bpg zijn genoemd.

Subsidiariteit

Voor het bereiken van het doel waarvoor de persoonsgegevens worden verwerkt, wordt inbreuk op de persoonlijke levenssfeer van de betrokken burger zoveel mogelijk beperkt.

Proportionaliteit

De inbreuk op de belangen van de betrokkene mag niet onevenredig zijn in verhouding tot en met de verwerking te dienen doel.

Rechten van betrokkenen

Personen hebben onder andere de volgende privacyrechten:

• Recht op vergetelheid, het recht om online ‘vergeten’ te worden.

• Recht op dataportabiliteit, het recht om persoonsgegevens over te dragen.

• Recht op inzage, het recht om persoonsgegevens in te zien.

• Recht op rectificatie, het recht om persoonsgegevens te laten aanpassen of aanvullen.

• Recht op beperking van de verwerking, het recht om te vragen om het gebruik van persoonsgegevens te beperken.

• Recht bij geautomatiseerde besluitvorming en profilering, het recht op een menselijke blik bij besluiten.

• Recht op bezwaar, het recht om bezwaar te maken tegen de gegevensverwerking.

Voor politiegegevens zijn er aanvullende beperkingen en uitzonderingen. Deze zijn beschreven in Richtlijn (EU) 2016/680 – De bescherming van natuurlijke personen in verband met de verwerking van hun persoonsgegevens door de politie en strafrechtelijke autoriteiten, en het vrije verkeer van die gegevens.

Bescherming en handhaving

Voor handhaving wordt door de directie van Orionis Walcheren een reglement opgesteld: het privacyreglement. In dit reglement wordt de wijze van handhaving van het beleid geregeld. Onderdeel hiervan zijn in ieder geval de inrichting van interne audits (DPIA). Uitgangspunt daarbij is dat jaarlijks verantwoording afgelegd wordt. De in te richten controlecyclus toetst aan dit beleid en doet zo nodig voorstellen tot maatregelen tot handhaving of eventueel bijstelling van het beleid.

Voor politiegegevens wordt er jaarlijkse een interne audit uitgevoerd. En om de vier jaar een externe audit. De uitkomst van deze externe audit moet worden aangeboden aan de Autoriteit Persoonsgegevens (AP).

Om het beleid te handhaven en te beschermen hebben we een functionaris gegevensbescherming (FG). De FG’er is verantwoordelijk om op een onafhankelijke wijze audits te organiseren en te adviseren om de beveiliging van persoonsgevoelige informatie te waarborgen. De FG’er werkt nauw samen met Chief Information Security Officer (CISO) van Orionis Walcheren, en de collega’s FG en CISO van de gemeenten op Walcheren (kennis en continuïteit).

Voor de verwerking van politiegegevens heeft Orionis Walcheren een zogenaamd bevoegd functionaris benoemd. De bevoegd functionaris heeft onder andere de volgende taken:

• Het doel van de artikel 9 Wpg-verwerking omschrijven en vastleggen;

• Het autoriseren van personen voor de betreffende verwerking;

• Bepalen of politiegegevens voor andere doeleinden mogen worden gebruikt;

• Zorgen dat voor alle politiegegevens de herkomst en wijze van verkrijgen wordt vastgelegd;

• Bewaken dat gegevensrechtmatig worden verkregen en verwerkt.

Bewustwording en training

Het management van Orionis Walcheren bevordert samen met proceseigenaren een privacy bewuste organisatiecultuur via voorbeeldgedrag en door te voorzien in de middelen voor bewustwording en, zo nodig, training van medewerkers en leidinggevenden.

Aanvullende Wpg verplichting

Orionis Walcheren zorgt dat de hierna genoemde verplichtingen voor de verwerking van politiegegevens geborgd zijn binnen de applicaties van Orionis Walcheren:

• Er is een scheiding aangebracht tussen gegevens die op feiten zijn gebaseerd en feiten die op een persoonlijk oordeel zijn gebaseerd;

• Er is onderscheid gemaakt tussen betrokkenen, zoals verdachten, slachtoffers, derden en veroordeelden;

• Er vindt logging plaats in de systemen;

• Er wordt voldaan aan de specifieke eisen gesteld aan de informatiebeveiliging uit het Bpg (artikel 6:1a. Beveiliging van politiegegevens Bpg);

• Vereiste documentatie van de doelen van onderzoeken, verstrekking of doorgifte, afwijzing van verzoeken om inzage, inbreuk op de beveiliging, doorgifte buiten de EU met datum en tijd, ontvanger, redenen en doorgegeven gegevens en melding van gemeenschappelijke verwerkingen aan de Autoriteit Persoonsgegevens (AP) is aanwezig.

4. Ondertekening

Dit privacybeleid treedt in werking na vaststelling door het Dagelijks Bestuur van Orionis Walcheren. Het beleid wordt iedere 5 jaar geëvalueerd en indien nodig herzien. Aanpassingen van dit beleid worden aangekondigd via de website van Orionis Walcheren. De meest actuele versie van het beleid is ook te vinden op de website van Orionis Walcheren.

Aldus vastgesteld door het Dagelijks Bestuur van Orionis Walcheren op 14 september 2023,

De voorzitter, De secretaris,

J.S. Louws H.M.A. Guise