/2/png-2/RGB.png)
Gemeenteblad van Leiden
| Datum publicatie | Organisatie | Jaargang en nummer | Rubriek |
|---|---|---|---|
| Leiden | Gemeenteblad 2025, 294451 | beleidsregel |
Authentieke versie (PDF)
Informatie
Printen
Delen
Binnen de gemeente Leiden, Leiderdorp, Oegstgeest en Zoeterwoude (hierna: de gemeente), gezamenlijk ook wel de Leidse regio, werken we veel met persoonsgegevens. Persoonsgegevens van inwoners, ondernemers, medewerkers en (keten)partners (hierna: betrokkenen). Een persoonsgegeven is alle informatie die iets zegt of kan zeggen over een persoon. Bijvoorbeeld een naam, rekeningnummer of Burgerservicenummer (BSN). De gemeente verzamelt persoonsgegevens om haar gemeentelijke wettelijke taken goed uit te voeren. Betrokkenen moeten erop kunnen vertrouwen dat de gemeente goed omgaat met hun persoonsgegevens. Zo wordt hun privacy geborgd.
Privacy is een recht dat is vastgelegd in het Europees Verdrag tot bescherming van de rechten van de mens (EVRM). In het EVRM staat dat ‘een ieder het recht heeft op respect voor zijn privéleven, zijn familie- en gezinsleven, zijn woning en zijn correspondentie’. De Algemene verordening gegevensbescherming (AVG) versterkt dit door specifieke regels te stellen voor de bescherming van persoonsgegevens.
Dit Privacybeleid geeft invulling aan de wettelijke eisen op het gebied van de bescherming van persoonsgegevens. Daarbij gaat het vooral om de eisen uit de volgende wetten:
- •
- •
- •
Dit Privacybeleid is van toepassing op alle persoonsgegevens die de gemeente gebruikt, laat gebruiken of met andere partijen uitwisselt. Voor sommige onderwerpen is het mogelijk om specifieker beleid, reglementen, protocollen of procedures op te stellen. Specifieke beleidsstukken moeten voldoen aan de uitgangspunten van dit algemene Privacybeleid.
Wat is de visie in de Leidse regio als het gaat om privacy?
De wereld om ons heen wordt steeds meer digitaal. Ook zijn er steeds meer innovatieve voorzieningen zoals Artificiële Intelligentie (AI). Hierdoor worden steeds andere eisen gesteld aan gegevensbescherming. Hoe dit gebeurt is vastgesteld in dit document. De gemeente is zich hiervan bewust en zet zich in voor een organisatie waarin privacy een fundament is. In het Strategisch Plan Bedrijfsvoering Leidse regio staan thema’s zoals digitale transformatie en wendbare bedrijfsvoering centraal. In lijn met dat plan zorgt de gemeente altijd voor een veilige en vertrouwelijke omgang met persoonsgegevens. Daarbij wil de gemeente open en transparant zijn over hoe er met persoonsgegevens wordt omgegaan. De gemeente legt alleen persoonsgegevens vast als dit mag van de wet en als dat noodzakelijk is.
- •
- •
- •
- •
- •
Waar kun je terecht met vragen over dit beleid?
Bij de Privacy Officers van Team Informatiebeveiliging & Privacy (IB&P) via de Zelf-servicedesk.
Hoelang is dit Privacybeleid geldig?
Dit Privacybeleid is vastgesteld door het college van burgemeester & wethouders op 1 juli 2025. Het beleid wordt tenminste een keer per drie jaar beoordeeld en zo nodig herzien. Als daar aanleiding voor bestaat kan het college besluiten tot een tussentijdse herziening van het Privacybeleid. Dit beleid blijft van toepassing tot het volgende Privacybeleid is vastgesteld.
De gemeente houdt zich bij het verwerken van persoonsgegevens altijd aan de uitgangspunten uit dit hoofdstuk.
De gemeente gebruikt alleen persoonsgegevens als vooraf een duidelijk omschreven en gerechtvaardigd doel is bepaald. De gemeente gebruikt persoonsgegevens vervolgens niet verder voor andere doeleinden. Tenzij het nieuwe doel verenigbaar is met het oorspronkelijke doel en aan de wettelijke eisen wordt voldaan.
3. Minimale gegevensverwerking
De gemeente gebruikt alleen persoonsgegevens die noodzakelijk zijn om een bepaald doel te bereiken. Als de gemeente een doel kan bereiken zonder bepaalde persoonsgegevens vast te leggen is het niet toegestaan om die persoonsgegevens vast te leggen. Daarbij gelden altijd de beginselen van proportionaliteit en subsidiariteit:
- •
- •
5. Gegevens worden op tijd vernietigd
De gemeente bewaart persoonsgegevens in lijn met wettelijke bewaartermijnen en de Selectielijst gemeenten en intergemeentelijke organen. In sommige gevallen staat er in de wet of in de Selectielijst geen bewaartermijn. Alleen in die gevallen bepaalt de gemeente een bewaartermijn op basis van noodzakelijkheid. De gemeente bewaart persoonsgegevens niet langer dan noodzakelijk is om het vooraf bepaalde doel te bereiken.
6. Beveiliging van persoonsgegevens
De gemeente zorgt ervoor dat persoonsgegevens altijd goed worden beveiligd. En dat medewerkers integer en vertrouwelijk omgaan met persoonsgegevens. Daarbij geldt dat hoe gevoeliger persoonsgegevens zijn, hoe meer technische en organisatorische maatregelen worden genomen om deze te beschermen. Dit is verder uitgewerkt in het Informatiebeveiligingsbeleid van de gemeente.
De gemeente informeert betrokkenen altijd tijdig en in begrijpelijke taal over de omgang met hun persoonsgegevens en de rechten die zij hebben. Daarbij communiceert de gemeente altijd in Nederlands taalniveau B1. Alleen als in de wet een uitzondering op de informatieplicht staat, kan de gemeente hier vanaf wijken.
3 Borging en beheersing privacy
De gemeente moet aantoonbaar voldoen aan de (U)AVG en Wpg. Dit brengt verschillende verplichtingen met zich mee.
1. Privacy by design en Privacy by default naleven
Privacy by design betekent dat in de ‘ontwerpfase’ van een werkproces, applicatie of dienst wordt nagedacht over het zo privacyvriendelijk mogelijk inrichten daarvan. Bijvoorbeeld dat alleen die persoonsgegevens worden vastgelegd die nodig zijn om een verzoek af te handelen. Privacy by default betekent dat standaardinstellingen zo privacyvriendelijk mogelijk worden ingesteld. De gemeente heeft dit vastgelegd in het Beleid Privacy by Design. Naast dat deze beginselen wettelijk verplicht zijn, zijn deze beginselen ook erg efficiënt. Achteraf bijstellen is minder efficiënt en kostbaarder. Deze beginselen worden bij leveranciers afgedwongen door de toepassing ervan als eis op te nemen in een programma van eisen bij een aanbestedingsprocedure.
2. Data Protection Impact Assessment uitvoeren
De gemeente voert een Data Protection Impact Assessment (DPIA) uit voor processen waar waarschijnlijk een verhoogd privacyrisico is. Dit is bijvoorbeeld het geval voor gemeentelijke taken waar met veel gevoelige persoonsgegevens van kwetsbare personen wordt gewerkt. Een DPIA is een vragenlijst om voor een bepaald proces in kaart te brengen of er privacyrisico’s zijn. Voor die risico’s worden maatregelen bedacht om ze weg te nemen. De Autoriteit Persoonsgegevens heeft een lijst opgesteld voor gevallen waarin wettelijk verplicht een DPIA moet worden uitgevoerd. Als er twijfel is of een DPIA wettelijk verplicht is voert de gemeente een pre-DPIA uit. Aan de hand van die vragenlijst adviseert een Privacy Officer of een DPIA wettelijk verplicht is. Dit is uitgewerkt in de Procedure risicoanalyses (DPIA). De gemeente houdt de uitgevoerde DPIA’s bij in een register.
3. Register van verwerkingen bijhouden
De gemeente houdt een register van verwerkingen bij. Dit is een overzicht van alle activiteiten waarbij de gemeente werkt met persoonsgegevens. Per activiteit is aanvullende informatie te vinden over de gegevensverwerking. Bijvoorbeeld:
- •
- •
- •
- •
Dit overzicht moet altijd volledig en actueel zijn. In het kader van transparantie streeft de gemeente ernaar dit register van verwerkingen zoveel mogelijk openbaar te maken. Dit is verder uitgewerkt in de Procedure beheren en publiceren register van verwerkingen.
Bij een datalek hebben personen toegang tot andermans persoonsgegevens zonder dat dit de bedoeling is. Er is ook sprake van een datalek als persoonsgegevens worden gewijzigd of verwijderd zonder dat dit de bedoeling is. Als er sprake is van een risico voor de betrokkene moet een datalek binnen 72 uur worden gemeld bij de Nederlandse toezichthouder: de Autoriteit Persoonsgegevens. Als er sprake is van een hoog risico moet ook zo snel als mogelijk de betrokkene worden geïnformeerd. De gemeente legt alle datalekken vast in een intern datalekregister. Ieder kwartaal vindt er een evaluatie plaats van alle datalekken die hebben plaatsgevonden. Dit is verder uitgewerkt in de Procedure datalekken.
De gemeente wisselt persoonsgegevens uit met andere partijen. Dit gebeurt alleen als het is toegestaan en er vooraf contractuele afspraken over zijn gemaakt. Afhankelijk van de situatie worden de afspraken vastgelegd in een van de volgende overeenkomsten:
- •
- •
- •
- •
De gemeente gebruikt daarbij zoveel als mogelijk haar eigen sjablonen. Dit en een uitleg van de type overeenkomsten is verder uitgewerkt in de Procedure privacy overeenkomsten.
6. Rechten van betrokkenen uitvoeren
De AVG en Wpg brengen niet alleen verplichtingen mee voor de gemeente. Ze brengen ook mee dat betrokkenen verschillende rechten hebben:
- •
- •
- •
- •
- •
- •
- •
- •
Hoe de gemeente deze verzoeken van betrokkenen afhandelt is vastgelegd in de Procedure rechten van betrokkenen.
Als een betrokkene een klacht indient over de omgang met zijn persoonsgegevens is de Functionaris Gegevensbescherming (FG) hiervoor het eerste aanspreekpunt.
Beleid en maatregelen alleen zijn niet voldoende om risico’s op het terrein van het verwerken van persoonsgegevens uit te sluiten. Het is noodzakelijk om het bewustzijn binnen de gemeente voortdurend aan te scherpen. Iedere medewerker wordt aantoonbaar geïnformeerd over het zorgvuldig omgaan met persoonsgegevens. Bijvoorbeeld via een e-learning. De Privacy Officers stellen daarnaast ieder jaar een bewustwordingsplan op en voeren daarin opgenomen acties uit. Ieder kwartaal evalueren ze deze acties. Het onderwerp bewustwording is verder uitgewerkt in het Beleid veilig personeel.
De gemeente streeft ernaar om in control te zijn en daarover op professionele wijze verantwoording af te leggen. In control zijn betekent dat de gemeente weet welke maatregelen genomen zijn, dat er een planning is van de maatregelen die nog niet genomen zijn en dat dit geheel verankerd is in een Plan-Do-Check-Act-cyclus. Daarom vinden er verschillende evaluaties plaats:
- •
- •
4 Rollen en verantwoordelijkheden
Om aan de verplichtingen uit de (U)AVG en Wpg te voldoen is het van belang om taken en verantwoordelijkheden duidelijk af te bakenen en te beleggen. In dit hoofdstuk wordt per functie beschreven wat de rollen en verantwoordelijkheden zijn. In de kopjes zijn daarbij de functietitels van de gemeente Leiden aangehouden. Andere gemeentes hebben sommige functies niet of gebruiken andere namen. In dat geval is in de tekst opgenomen hoe de functietitel bij een andere gemeente heet. Heb je vragen over de rollen en verantwoordelijkheden of heb je hulp nodig bij de uitvoering? Dan kun je terecht bij de Privacy Officers van Team Informatiebeveiliging & Privacy (IB&P) via de Zelf-servicedesk.
1. College van burgemeester & wethouders
Het college van burgemeester en wethouders, waar de burgemeester onderdeel van is, is eindverantwoordelijk voor de naleving van de privacywetgeving binnen de gemeente. De gemeentesecretaris is belast met de ambtelijke uitvoering namens het college. Het college heeft de volgende rollen en verantwoordelijkheden:
- •
- •
- •
- •
- •
De directeuren zijn eindverantwoordelijk voor de naleving van de privacywetgeving binnen hun cluster. De gemeente Oegstgeest heeft geen clusters, maar heeft wel een directeur. De directeur en gemeentesecretaris hebben daar dezelfde verantwoordelijkheden maar dan voor de hele organisatie. Zij hebben de volgende rollen en verantwoordelijkheden:
- •
- •
- •
- •
De gemeente Leiderdorp heeft geen directeuren. Deze taken zijn bij de afdelingsmanagers belegd. Bij de gemeente Zoeterwoude heet deze rol clustermanager.
De afdelingsmanagers zijn eindverantwoordelijk voor de naleving van de privacywetgeving binnen de afdeling. Zij hebben de volgende rollen en verantwoordelijkheden:
- •
- •
- •
- •
De Griffier voert deze taken bij de Griffie uit. De gemeente Zoeterwoude heeft geeft afdelingsmanagers. Bij de gemeente Leiderdorp en Oegstgeest heet deze functietitel manager.
Elke teammanager is binnen het eigen team verantwoordelijk voor de naleving van het Privacybeleid en een zorgvuldige omgang met persoonsgegevens. Een teammanager is vaak proceseigenaar. Als een team geen teammanager, maar een coördinator heeft gaan deze verantwoordelijkheden over op de afdelingsmanager. De afdelingsmanager kan bepaalde taken wel beleggen bij de coördinator of een projectleider, maar blijft zelf wel eindverantwoordelijk. De Griffier voert deze taken bij de Griffie uit.
Teammanagers hebben de volgende rollen en verantwoordelijkheden als het gaat om hun eigen team:
- •
- •
- •
- •
- •
- •
- •
- •
Teammanagers kunnen bij deze taken altijd hulp krijgen van de Privacy Officers, maar blijven wel verantwoordelijk voor de uitvoering van deze taken. Ook kunnen ze bepaalde taken laten uitvoeren door medewerkers binnen de afdeling. Bijvoorbeeld het uitvoeren van een DPIA of het bijhouden van het register van verwerkingen.
De gemeente Oegstgeest heeft geen teammanagers. Deze taken komen terecht bij de managers. Bij de gemeente Leiderdorp heet deze functietitel teamleider. Bij de gemeente Zoeterwoude wordt een programmamanager gelijkgesteld aan een teammanager.
5. Functionaris Gegevensbescherming
Op basis van de AVG en de Wet politiegegvevens (Wpg) is het aanstellen van een FG verplicht voor de gemeente. De FG is verantwoordelijk voor het toezicht op de naleving van de AVG en Wpg. De FG heeft een onafhankelijke adviserende en toezichthoudende positie in de organisatie. De FG stelt bij de uitoefening van zijn taak prioriteiten en richt zijn inspanningen op aangelegenheden waarbij sprake is van grotere risico’s.
De FG heeft de volgende rollen en verantwoordelijkheden in de gehele organisatie van de gemeente:
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
De Privacy Officer is het eerste aanspreekpunt voor de gemeente rondom privacygerelateerde vragen. De Privacy Officer heeft een monitorende en ondersteunende functie bij het naleven en uitvoeren van het Privacybeleid. De Privacy Officer heeft de volgende rollen en verantwoordelijkheden:
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
7. De (Chief) Information Security Officer ((C)ISO)
De (C)ISO draagt zorgt voor de informatiebeveiliging binnen de gemeente. De (C)ISO zorgt voor een actueel informatiebeveiligingsbeleid. De rollen en verantwoordelijkheden van de (C)ISO staan in het informatiebeveiligingsbeleid.
Medewerkers hebben een grote rol in de manier waarop de gemeente omgaat met persoonsgegevens. Alle medewerkers hebben een eigen verantwoordelijkheid hierin. Van hen wordt verwacht dat zij zorgvuldig en integer omgaan met persoonsgegevens en kennisnemen van dit Privacybeleid. Ook wordt verwacht dat zij actief hun kennis up-to-date houden door de aangeboden (digitale) trainingen te volgen.
5 Aanvullende eisen Wet politiegegevens
In dit hoofdstuk staan de aanvullende eisen die gelden als de gemeente politiegegevens vastlegt. Dit zijn vooral de gegevens die buitengewoon opsporingsambtenaren (hierna: boa’s) vastleggen bij hun handhavingstaken. Voor die gegevens geldt de Wet politiegegevens (hierna: Wpg) en niet de AVG.
De gemeente voorziet in werkinstructies per domein waarin boa’s politiegegevens vastleggen. De boa’s werken in lijn met die werkinstructie bij de uitvoering van hun opsporingstaken. De werkinstructies bevatten onder andere de volgende onderwerpen: Principes, vastlegging van gegevens (feiten/persoonlijk oordeel en categorie van betrokkene), delen van gegevens, bewaartermijnen, melden van datalekken en onderzoeken.
3. Het verstrekken en ter beschikking stellen van politiegegevens
Binnen het Wpg-domein stelt de gemeente politiegegevens ter beschikking op basis van het ‘free flow of information’-principe. Dit betekent dat politiegegevens beschikbaar worden gesteld als dit noodzakelijk is voor de uitoefening van de taken binnen het Wpg-domein. Buiten het Wpg-domein verstrekt de gemeente alleen politiegegevens als dit volgens de Wpg is toegestaan. Daarbij wijst de gemeente de ontvangende partij op de plicht tot geheimhouding van de politiegegevens. De gemeente legt alle verstrekkingen vast.
De gemeente stelt ten aanzien van het verlenen, wijzigen- en beëindigen van toegang tot politiegegevens een Autorisatieprocedure Wpg vast. De gemeente autoriseert een boa als de toegang noodzakelijk is voor het uitvoeren van de opgedragen opsporingstaken. Als niet-boa’s toegang nodig hebben tot politiegegevens neemt de gemeente een autorisatiebesluit. De gemeente wijst een boa op de plicht tot geheimhouding en de gevolgen bij de schending van deze plicht. Als een boa van functie verandert of uit dienst gaat, wijzigt of beëindigt de gemeente de autorisaties.
Loggegevens zijn automatische registraties van acties en gebeurtenissen in een systeem, zoals wie wanneer een bestand heeft geopend en gegevens heeft gewijzigd. De gemeente controleert en evalueert periodiek de toegekende autorisaties van de boa’s. Het doel hiervan is de integriteit en de rechtmatigheid van de toegang tot politiegegevens waarborgen. De gemeente gebruikt de loggegevens alleen om te controleren of de gegevensverwerking op een juiste en rechtmatige manier gebeurt. Deze gegevens helpen bij verplichte controles (audits) en zorgen ervoor dat toegang tot politiegegevens eerlijk en volgens de regels verloopt. De gemeente legt het resultaat van de periodieke controle vast in een verslag van bevindingen. De gemeente bewaart deze gegevens 5 jaar.
In de Wet politiegegevens staan wettelijk verplichte audits. De gemeente volgt deze wettelijke auditcyclus. Dit betekent elke vier jaar een externe audit en ieder jaar een interne audit. De resultaten van een externe audit worden gedeeld met de Autoriteit Persoonsgegevens. De gemeente stelt hiervoor een auditplan vast en zorgt dat het omgaan met politiegegevens in opzet, bestaan en in de werking voldoet aan de wet. De FG en auditor houden hier toezicht op. Als uit de externe audit blijkt dat de verwerking van politiegegevens op onderdelen niet voldoet aan de wet volgt er een hercontrole. Hierin staan de tekortkoming en verbeteringen centraal.
6 Aanvullende eisen inzet Artificiële Intelligentie (AI)
Bij de inzet van AI worden soms persoonsgegevens gebruikt. Zowel in de ontwikkel-, als ook in de test- en prodcutiefase. Als bij de inzet van AI persoonsgegevens worden gebruikt zijn de eisen uit dit Privacybeleid van toepassing. Naast de eisen uit dit Privacybeleid gelden ook andere eisen. Bijvoorbeeld wettelijke verplichtingen uit de AI-verordening. Die eisen vallen buiten de reikwijdte van dit Privacybeleid. De belangrijkste eisen uit het Privacybeleid zijn:
Permanente link
Kopieer de link naar uw clipboard
https://zoek.officielebekendmakingen.nl/gmb-2025-294451.html