Besluit van het college van burgemeester en wethouders van de gemeente Oegstgeest houdende regels omtrent het privacy-protocol registratie agressie- en geweldsincidenten (Privacy-protocol registratie agressie- en geweldsincidenten)

Het College van Burgemeester en Wethouders van de gemeente Oegstgeest

overwegende dat de bescherming van de privacy van de klanten en bezoekers van en de werknemers van de Gemeente Oegstgeest en een integer gebruik van een registratiesysteem voor agressie- en geweldsincidenten het noodzakelijk maken een protocol op te stellen

mede gelet op de Algemene Verordening Gegevensbescherming en artikel 3, tweede lid, Arbeidsomstandighedenwet

besluiten vast te stellen het

PRIVACY-PROTOCOL REGISTRATIE AGRESSIE- EN GEWELDSINCIDENTEN

Artikel 1 Begripsbepaling

In dit protocol wordt verstaan onder:

• a. GIR: Het door de brancheorganisatie voor gemeenten, A+O Fonds gemeenten, ontwikkelde Gemeentelijk Incidenten Registratiesysteem voor het vastleggen en opvolgen van agressie- en geweldsincidenten.

• b. agressie- en geweldsincident: voorval waarbij een werknemer door anderen van buiten de organisatie psychisch of fysiek wordt lastiggevallen, bedreigd of aangevallen en waarbij een rechtstreeks verband aanwezig is met het werk. Dit betreft mede elk voorval waarbij door de gedragingen van die ander(en) materiële schade is ontstaan aan gemeentelijke eigendommen of persoonlijke eigendommen van werknemers van de gemeente Oegstgeest.

• c. normstelling: de normstelling zoals opgenomen in de gemeentelijke beleidsnota voor de aanpak van agressie en geweld.

• d. verwerking van persoonsgegevens: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens waaronder wordt verstaan het verzamelen en vastleggen van persoonsgegevens van werknemers, klanten en bezoekers van de gemeente Oegstgeest alsmede de overige in artikel 4 lid 2 van de Algemene Verordening Gegevensbescherming bedoelde handelingen.

• e. verantwoordelijke: degene, die alleen of tezamen met anderen het doel en de middelen voor de verwerking van de persoonsgegevens vaststelt, in casu de gemeente Oegstgeest.

• f. werknemer: ambtenaar en degene, die een arbeidsovereenkomst heeft met de gemeente Oegstgeest, alsmede externe inhuurkrachten, stagiaires en vrijwilligers, die in opdracht van de gemeente Oegstgeest werkzaamheden verrichten bij de gemeente Oegstgeest.

• g. geautoriseerde werknemer: degene die, onder verantwoordelijkheid van gemeente Oegstgeest, door de applicatiebeheerder in GIR een autorisatieniveau krijgt toegewezen. Dit autorisatieniveau bepaalt de rechten van de werknemer betreffende de toegang tot in GIR geregistreerde incidentgegevens en persoonsgegevens van daders en slachtoffers van een agressie- en/of geweldsincident.

• h. systeembeheer: het technisch beheer van de GIR-applicatie, op landelijk niveau uitgevoerd door de brancheorganisatie voor gemeenten, A+O Fonds gemeenten.

• i. autorisatieniveaus in GIR: GIR kent vijf niveaus, waarvoor werknemers kunnen worden geautoriseerd:

  • i. applicatiebeheerder (admin): degene, die in opdracht van gemeente Oegstgeest, verantwoordelijk is voor de inrichting van de GIR-account van gemeente Oegstgeest en het beheer van de autorisatierechten. Deze persoon is tevens contactpersoon voor vragen en problemen.

  • ii. melder: degene, die voor zichzelf of een andere medewerker, in GIR een incident kan melden en registreren.

  • iii. afhandelaar: degene, meestal de direct leidinggevende van de melder, die de melding afhandelt. De afhandelaar kan voor zijn/haar organisatieonderdeel de gegevens van alle incidenten inzien en daarnaast diverse, anonieme overzichtsrapportages maken.

  • iv. toezichthouder: degene, meestal de hoger leidinggevende van de afhandelaar, die voor zijn of haar organisatieonderdeel de voortgang van de afhandeling van meldingen kan bewaken. De toezichthouder kan voor zijn/haar organisatieonderdeel de gegevens van alle incidenten inzien en daarnaast diverse, anonieme overzichtsrapportages maken.

  • v. raadpleger klantkenmerken: degene, die in GIR van elke in GIR geregistreerde dader de persoonsgegevens, incidentgegevens (datum, tijd, locatie, soort agressie, naam afhandelaar), getroffen maatregel(en) richting deze dader en opgelegde sanctie(s) kan raadplegen.

• j. dader: iedere klant of bezoeker van gemeente Oegstgeest, die zich schuldig maakt aan (non) verbale agressie, persoonlijke dreiging en/of fysiek geweld gericht op werknemer(s) en/of eigendommen van gemeente Oegstgeest.

• k. slachtoffer: iedere werknemer, die tijdens de uitoefening van zijn werk te maken heeft gehad met een agressie- en of geweldsincident, zoals omschreven in lid b en f.

• l. verstrekking van persoonsgegevens: het bekend maken of ter beschikking stellen van persoonsgegevens.

• m. Wet: Algemene Verordening Gegevensbescherming

Artikel 2 Doel verwerking persoonsgegevens

De verwerking van persoonsgegevens geschiedt slechts voor de bescherming van de veiligheid en gezondheid van werknemers van gemeente Oegstgeest door het (preventief) kunnen treffen van passende maatregelen bij (dreigende) incidenten.

Artikel 3 Kenbaarheid, soort gegevens

• 1. Alle werknemers die werkzaam zijn, worden voorafgaand aan de inwerkingtreding van dit privacy-protocol hiervan schriftelijk op de hoogte gesteld.

• 2. Bezoekers en klanten van gemeente Oegstgeest worden middels de huisregels, internet en in geval van een incident, waarbij een sanctie wordt opgelegd, middels een brief op de hoogte gesteld dat gemeente Oegstgeest agressie- en geweldsincidenten registreert en dat zij beschikt over een privacy-protocol.

• 3. Eén ieder kan de verantwoordelijke verzoeken hem mede te delen of hem betreffende persoonsgegevens worden verwerkt en welke persoonsgegevens dat betreffen.

• 4. De persoonsgegevens die worden verwerkt zijn:

  • a. naam, functie en afdeling van de werknemer, die slachtoffer is van een incident

  • b. naam, BSN en geboortedatum en/of signalement van de dader en de hem/haar opgelegde sancties

• 5. Van elk incident worden de volgende gegevens in GIR geregistreerd: persoonsgegevens van het slachtoffer en de dader, het tijdstip waarop, de datum waarop en de plaats waar het incident heeft plaatsgevonden, de soort agressie, de toedracht, mogelijk fysiek en/of mentaal letsel en/of materiële schade en welke maatregelen getroffen zijn richting dader en welke maatregelen in het kader van preventie, opvang en nazorg van werknemer(s).

• 6. De bij lid 4 en 5 genoemde incident-gegevens zijn slechts in te zien door daartoe in GIR geautoriseerde werknemers.

• 7. Van alle geregistreerde incidenten zullen periodiek overzichtsrapportages worden opgesteld. De gegevens in deze rapportages zijn anoniem en niet tot personen herleidbaar.

• 8. De persoonsgegevens en opgelegde sancties van alle daders zijn in GIR slechts te raadplegen door daartoe in GIR geautoriseerde werknemers.

Artikel 4 Taken en verantwoordelijkheden

• 1. De verantwoordelijkheid voor het gebruik van GIR ligt bij gemeente Oegstgeest.

• 2. De verantwoordelijkheid voor het systeembeheer van de GIR-applicatie ligt bij het A+O fonds Gemeenten.

• 3. De verantwoordelijkheid voor het applicatiebeheer van de GIR-account van gemeente Oegstgeest ligt bij daartoe door gemeente Oegstgeest aangewezen werknemers van gemeente Oegstgeest en Servicepunt71.

• 4. Iedere werknemer, die slachtoffer is van een agressie- en/of geweldsincident, is verplicht het incident te melden bij zijn of haar leidinggevende.

• 5. Elke melding van een incident wordt geregistreerd in GIR. Dit kan:

  • a. door het slachtoffer zelf worden gedaan

  • b. een leidinggevende samen met het slachtoffer doen.

• 6. De applicatiebeheerder van GIR stelt op verzoek van gemeente Oegstgeest in GIR de autorisatie-rechten van werknemers zodanig in, dat elke geautoriseerde werknemer slechts toegang heeft tot de incidentgegevens van de voor hem of haar functie relevante organisatieonderdelen.

• 7. De applicatiebeheerder van GIR stelt op verzoek van gemeente Oegstgeest in GIR de autorisatie van werknemers zodanig in, dat elke geautoriseerde werknemer toegang heeft tot de in GIR geregistreerde dadergegevens.

Artikel 5 Bewaartermijn en verwijdering van persoonsgegevens

• 1. Persoonsgegevens van de dader en de hem of haar opgelegde sancties zijn afhankelijk van de ernst van het incident na twaalf tot maximaal vierentwintig maanden na het beëindigen van de sanctie niet meer in GIR in te zien door de raadpleger klantkenmerken.

• 2. De bij artikel 3, lid 4 en 5 genoemde specifieke incident-gegevens worden na vijf jaar uit GIR verwijderd.

Artikel 6 Verstrekking persoonsgegevens

De persoonsgegevens worden slechts verstrekt aan derden indien dit verenigbaar is met het doel van de verwerking van de persoonsgegevens.

Artikel 7 Geheimhoudingsplicht

Eén ieder die onder gezag van de verantwoordelijke persoonsgegevens verwerkt, is verplicht tot geheimhouding van al hetgeen hem uit dien hoofde bekend wordt, tenzij een wettelijk voorschrift hem tot mededeling verplicht of uit zijn taak de noodzaak tot mededeling voortvloeit.

Artikel 8 Verzet

Eén ieder kan bij de verantwoordelijke verzet aantekenen tegen de verwerking van zijn persoonsgegevens in verband met zijn bijzondere persoonlijke belangen.

Artikel 9 Beveiliging persoonsgegevens

Er zijn passende technische en organisatorische maatregelen genomen om de persoonsgegevens tegen verlies of diefstal of tegen enige vorm van onrechtmatige verwerking te beschermen.

Artikel 10 Verband en koppeling aan andere verzameling persoonsgegevens

De verzameling persoonsgegevens heeft geen verbanden met een andere verzameling van persoonsgegevens en is niet aan gekoppeld aan een andere verzameling van persoonsgegevens.

Artikel 11 Evaluatie registratie persoonsgegevens in GIR

De verantwoordelijk evalueert eens per jaar of de doelen welke met het registreren van persoonsgegevens in GIR worden beoogd, gehaald worden. Indien geconstateerd wordt dat de doelen niet worden gehaald, gaat de verantwoordelijke over tot de noodzakelijke aanpassingen.

Artikel 12 Ondernemingsraden

Het gebruik van GIR is te beschouwen als een regeling op het gebied van de arbeidsomstandigheden en een regeling omtrent het verwerken van alsmede de bescherming van de persoonsgegevens van de in de onderneming werkzame personen in de zin van artikel 27 Wet op de Ondernemingsraden. Voor de vaststelling van dit protocol is instemming vereist door de betreffende Ondernemingsraden.

Artikel 13 Onvoorzien

In gevallen waarin dit protocol niet voorziet, beslist de verantwoordelijke.

Artikel 14 Slotbepaling

• 1. Dit protocol kan aangehaald worden als “Privacy-protocol registratie agressie- en geweldsincidenten”.

• 2. Het Privacy-protocol registratie agressie- en geweldsincidenten van 7 maart 2017 wordt ingetrokken.

• 3. Dit protocol treedt in werking op de dag volgend op die van de bekendmaking.

Aldus besloten in de vergadering van het College van Burgemeester en Wethouders, gehouden op 11-02-2020

de secretaris,

de burgemeester,