/2/png-2/RGB.png)
Gemeenteblad van Zutphen
| Datum publicatie | Organisatie | Jaargang en nummer | Rubriek |
|---|---|---|---|
| Zutphen | Gemeenteblad 2025, 300053 | beleidsregel |
Authentieke versie (PDF)
Informatie
Printen
Delen
Privacybeleid gemeente Zutphen 2025
Sinds 25 mei 2018 moet de gemeente Zutphen voldoen aan de Algemene Verordening Gegevensbescherming (AVG). Ook dient de gemeente Zutphen zich te houden aan de Wet politie gegevens (Wpg). Deze wet is sinds 21 juli 2007 van kracht. Politiegegevens zijn persoonsgegevens die in het kader van de politietaak worden verwerkt. Naast de politie moeten ook andere organisaties zich aan de Wpg houden: de bijzondere opsporingsdiensten (BOD) en de buitengewoon opsporingsambtenaren (boa's).
Daarnaast is het belangrijk dat de gemeente Zutphen proactief inspeelt op de aankomende wijzigingen op het gebied van informatiebeveiliging zoals de Network & Information Systems Directive 2 (NIS2). Gemeenten hanteren vanaf 1 januari 2020 samen met de rijksoverheid, de waterschappen en de provincies één uniform normenkader voor informatiebeveiliging. Dit is de Baseline Informatiebeveiliging Overheid (BIO). Wanneer de gemeente Zutphen de eisen van de AVG, Uitvoeringswet AVG (UAVG), Wpg en de BIO implementeert en borgt, draagt dit bij aan:
- •
- •
- •
- •
- •
Vele gemeenten stellen de vraag "hoe moet dat nou, met die privacy". De vraag komt vaak voort uit de wirwar van informatie en opvattingen over privacy van onder meer medewerkers en inwoners. Het antwoord hebben we gezocht in de pragmatiek: pak privacy bij de kop zoals de gemeente ermee moet werken.
Het centrale uitgangspunt hierbij is dat persoonsgegevens slechts mogen worden verwerkt als er een wettelijke grondslag voor is én het doel van de verwerking redelijkerwijs niet op een andere wijze kan worden verwezenlijkt. Dit houdt in dat je persoonsgegevens alleen mag verwerken als de gegevens noodzakelijk zijn om het beoogde doel te bereiken. Ga dus altijd na of het doel ook bereikt kan worden zonder dat gegevens gebruikt worden die te herleiden zijn tot een natuurlijke persoon.
Dit document beschrijft transparant en concreet over het privacybeleid en hoe ook netjes te voldoen aan de wettelijke vereisten om boetes, imagoschade en schadeclaims te voorkomen. Door proactief werk te maken van Privacy, kunnen er bewust keuzes worden gemaakt over hoe er met welke informatie wordt omgegaan en weten de medewerkers wat dat in hun dagelijkse werk betekent en vooral waarom. Daarnaast verschaft dit document ook inzicht aan de inwoners om te laten zien dat de gemeente Zutphen zorgvuldig en vertrouwelijk met hun persoonsgegevens omgaat.
Dit beleid is in 2025 vastgesteld door de raad, als kaderstellend bestuursorgaan, en door de raad, het college van burgemeester en wethouders en de burgemeester, ieder voor zijn eigen bevoegdheid, als verwerkingsverantwoordelijke voor de (persoons)gegevensverwerking, binnen
(een deel van) de gemeente. Het beleid wordt tenminste eens per drie jaar beoordeeld en zo nodig herzien. Als daar aanleiding toe is (bijvoorbeeld bij grote organisatorische veranderingen, wetswijzigingen, uitkomsten van DPIA’s kan het college besluiten tot een tussentijdse herziening.
2 Visie en doelstelling gemeente Zutphen
De gemeente Zutphen respecteert de privacy van natuurlijke personen, zoals inwoners, ondernemers en medewerkers, en bouwt, door het zorgvuldig omgaan met persoonsgegevens, aan maatschappelijk vertrouwen en draagvlak.
Dit privacybeleid, geeft handvatten voor het beantwoorden van vragen op het gebied van privacy. Er wordt onder meer aandacht besteed aan:
- •
- •
- •
Privacybeleid is niet zozeer een extra last; het biedt ook voordelen. Door de bescherming van de persoonsgegevens te borgen in de werkprocessen:
- •
- •
- •
- •
- •
- •
Dit beleid is van toepassing op de gehele organisatie, alle processen, onderdelen, objecten en gegevensverzamelingen van de gemeente Zutphen en haar bestuursorganen waarin persoonsgegevens worden verwerkt.
3 Wettelijke uitgangspunten voor gegevensverwerking
De uitgangspunten met betrekking tot de omgang van persoonsgegevens volgens de AVG zijn:
- 1.
Doelbepaling en doelbinding: persoonsgegevens worden alleen gebruikt voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Deze doeleinden zijn concreet en voorafgaand aan de verwerking vastgesteld. Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de doelen waarvoor ze zijn verkregen.
Als een beoogde verdere verwerking onverenigbaar is met het oorspronkelijke verwerkingsdoeleind, mag deze verder verwerking toch plaatsvinden als:
- a.
- b.
- c.
- 2.
Grondslag: verwerking van persoonsgegevens is gebaseerd op een van de wettelijke grondslagen: wettelijke verplichting, taak van algemeen belang of uitvoering van openbaar gezag, uitvoering overeenkomst, vitaal belang of gerechtvaardigd belang. Toestemming kan ook, maar moet echt worden gezien als ‘restrechtsgrond’, die alleen gebruikt mag worden als geen van de andere grondslagen van toepassing is. Toestemming moet wel vrijelijk gegeven zijn. Deze grondslag is vanwege de machtsverhouding tussen overheid en inwoners daarom praktisch moeilijk te hanteren.
- 3.
Dataminimalisatie: bij de verwerking van persoonsgegevens blijft de hoeveelheid en het soort gegevens beperkt (proportionaliteit). Het doel kan niet met minder, alternatieve of andere gegevens worden bereikt. Dit betekent ook dat data niet langer worden bewaard dan noodzakelijk of wettelijk vereist.
- 4.
Behoorlijk en transparant: de verwerking van persoonsgegevens moet in het belang zijn van de persoon over wie de gegevens gaan. Dit houdt in dat de verwerking eerlijk en in overeenstemming met de redelijke verwachtingen van de betrokkenen moet plaatsvinden. De gemeente informeert betrokkenen hierbij op een transparante wijze over de verwerking van hun persoonsgegevens, inclusief de doeleinden, de rechtsgrondslag en met wie de gegevens worden gedeeld. Deze informatievoorziening vindt ongevraagd plaats.
- 5.
- 6.
- 7.
Vertrouwelijkheid: er zijn passende organisatorische en technische beveiligingsmaatregelen getroffen zodat een passende beveiliging van de verwerking van persoonsgegevens is gegarandeerd. Persoonsgegevens zijn beschermd tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging.
- 8.
Verantwoording: onder de verantwoordelijkheid van zowel het college van burgemeester en wethouders als de gemeenteraad vindt een groot aantal verwerkingen van persoonsgegevens plaats. Daar vindt extern en intern toezicht op plaats. De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de privacyregels in Nederland. Daarnaast beschikt de gemeente over een interne toezichthouder: de Functionaris Gegevensbescherming (FG). De FG ziet erop toe dat de AVG intern wordt nageleefd. Het gemeentebestuur stelt voldoende middelen ter beschikking aan de FG om het toezicht adequaat uit te kunnen voeren.
- 9.
- 10.
Gegevens worden op tijd vernietigd: de gemeente stelt de bewaartermijn van een verwerking vast aan de hand van wettelijke bepalingen en de selectielijsten. Gemeenten hebben op grond van de Archiefwet 1995 onder andere de plicht om zogenaamde selectielijsten op te stellen. Deze selectielijsten bepalen voor een selectie van documenten hoelang deze moeten worden bewaard. Alleen als de bewaartermijn niet op basis van wettelijke bepalingen of de selectielijsten kan worden vastgesteld, stelt de gemeente de bewaartermijn vast op basis van noodzakelijkheid. Persoonsgegevens mogen dan niet langer worden bewaard dan noodzakelijk. De gemeente bewaart gegevens alleen langer als deze geanonimiseerd worden, zodat directe of indirecte identificatie van een persoon niet meer mogelijk is.
- 11.
Privacy by Design en Privacy by Default: de gemeente houdt bij de ontwikkeling van nieuwe diensten, systemen of processen rekening met aspecten van privacy en gegevensbescherming om zo te komen tot een zo optimaal mogelijke bescherming van persoonsgegevens. Dit uitgangspunt wordt Privacy by Design genoemd. De gemeente draagt er zorg voor dat concrete maatregelen zoveel mogelijk doorgevoerd worden in het ontwerp. Daarbij neemt de gemeente Privacy by Default als uitgangspunt: de standaardinstellingen zijn altijd zo privacy-vriendelijk mogelijk.
- 12.
Samenwerking: de gemeente schakelt soms derden in om persoonsgegevens in opdracht van haar te verwerken. Deze derden worden verwerkers genoemd. Ook een verwerker moet zich houden aan de privacyregelgeving en aan het privacybeleid van de gemeente. De AVG verplicht gemeenten tot het maken van contractuele afspraken met verwerkers, zogenaamde verwerkersovereenkomsten.
Verder kan het voorkomen dat de gemeente samenwerkt met andere (overheids-) organisaties om een taak van algemeen belang uit te voeren. In die gevallen kan sprake zijn van meerdere verwerkersverantwoordelijken (gezamenlijk of individueel). De gemeente maakt met deze organisaties afspraken over de wijze waarop persoonsgegevens worden verwerkt. Derden waarborgen een beschermingsniveau dat gelijk is aan dat van de gemeente.
- 13.
- 14.
Geschillenbeslechting: als de betrokkene van mening is dat de gemeente niet op een juiste wijze met zijn persoonsgegevens is omgegaan, kan hij een klacht indienen via de van toepassing zijnde klachtenprocedure zoals opgenomen in de privacyverklaring op de website. De betrokkene heeft ook het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens, met betrekking tot de naleving van wet- en regelgeving op het gebied van de bescherming van persoonsgegevens.
- 15.
- 16.
Data Privacy Impact Assessments: als een verwerking mogelijk een hoog risico inhoudt voor de persoonlijke levenssfeer van de betrokkene, moet de gemeente een beoordeling uitvoeren van het effect van een verwerking van persoonsgegevens. De gemeente voert in dat geval een DPIA uit (zie bijlage 1). Als uit de DPIA blijkt dat er inderdaad hoge risico’s zijn verbonden aan de verwerking, moet de gemeente voldoende maatregelen nemen om de risico’s te verminderen. Als het niet lukt om (voldoende) maatregelen te nemen om dit risico te beperken, dan moet de gemeente met de AP overleggen, voordat zij met de verwerking start. Dit wordt een voorafgaande raadpleging genoemd.
- 17.
Functionaris Gegevensbescherming: de gemeente is een overheidsinstantie die structureel en op grote schaal persoonsgegevens verwerkt, waaronder bijzondere persoonsgegevens. Wij zijn daarom verplicht een FG aan te stellen. De FG is de onafhankelijke intern toezichthouder en heeft een adviserende, informerende en toezichthoudende taak. Dit betekent dat de FG toeziet op alle verwerkingen van persoonsgegevens. De FG brengt jaarlijks een verslag uit aan de gemeenteraad en het college van burgemeester en wethouders van zijn werkzaamheden, bevindingen en aanbevelingen.
- 18.
Plan-Do-Check-Act (PDCA) cyclus: de gemeente dient rondom de verwerking van persoonsgegevens ‘in control’ te zijn en daarover op professionele wijze verantwoording af te leggen. ‘In control’ betekent in dit verband dat de gemeente weet welke maatregelen genomen zijn ten aanzien van de verwerking van persoonsgegevens, dat er een planning is van de maatregelen die nog niet genomen zijn en dat dit geheel verankerd is in een Plan-Do-Check-Act-cyclus.
- 19.
Borgingsproduct: daarnaast gebruikt de gemeente het borgingsproduct van de Vereniging Nederlandse Gemeenten (VNG) als het beoordelingskader voor het waarborgen van AVG compliance binnen de gemeente. Het borgingsproduct is een normenkader om de effectiviteit van ons Privacybeleid te evalueren en ervoor te zorgen dat de gemeente voldoet aan de geldende wet- en regelgeving. De gemeente past het beleid en d procedures aan op basis van de bevindingen van deze beoordelingen.
- 20.
Bewustwording: beleid en maatregelen zijn niet voldoende om risico’s op het terrein van het verwerken van persoonsgegevens uit te sluiten. Het is noodzakelijk om het bewustzijn in de bestuurlijke en ambtelijke organisatie binnen de gemeente voortdurend aan te scherpen, zodat kennis van risico’s wordt verhoogd en (veilig en verantwoord) gedrag om persoonsgegevens zorgvuldig te verwerken wordt aangemoedigd. Iedere bestuurder en medewerker wordt aantoonbaar geïnformeerd over het zorgvuldig omgaan met persoonsgegevens, bijvoorbeeld via instructies. Dit gebeurt passend binnen de context van en bij het domein waarbinnen die worden verwerkt.
- 21.
Externe certificeringen: de BIO is gebaseerd op de internationaal geaccepteerde standaarden ISO 27001 en de ISO 27002. De gedachte hierbij is dat het hanteren van deze internationaal geaccepteerde standaarden de afstemming van de informatiebeveiligings-behoefte met externe leveranciers meestal vergemakkelijkt.
Ondanks dat het gesprek met leveranciers eenvoudiger is, kan het in sommige gevallen juist onduidelijkheid scheppen of in een concreet geval de BIO of de ISO 27001 (in zijn geheel) of slechts een subset van één van beide zou moeten gelden voor leveranciers. Ook geeft het soms enig ongemak wanneer aan leveranciers een ISO-certificering als verplichting gevraagd wordt en overheidsorganisaties zichzelf dit dan weer niet opleggen als verplichting. Ook hier wordt, net als eerder, het punt naar voren gebracht dat wellicht een ISO-certificering met een BIO als addendum met aanvullende maatregelen wellicht passender is. Dit heeft als bijkomend voordeel dat het onderhoud van de BIO lichter en eenvoudiger wordt, omdat organisaties zich nu eenmaal moet aanpassen aan vernieuwingen van de ISO-standaard bij certificering.
4 Governance en organisatorische borging
De gemeente Zutphen heeft een Functionaris Gegevensbescherming en een Privacy Officer aangesteld. Deze zijn beide werkzaam binnen het team Concerncontrol, welke als staf hangt boven de domeinen.
Om goed te kunnen voldoen aan de AVG, is het noodzakelijk dat er, naast de Privacy Officer, ook in de verschillende teams Privacy ambassadeurs (PA) worden aangesteld. De PA’s bieden advies en ondersteuning vanuit de teams aan de organisatie op het gebied van privacy en gegevensbescherming, en werken nauw samen met de Privacy Officer (PO). De PA is meewerkend voorman en ondersteunt de vakinhoudelijke teams en teammanagers bij de naleving van de AVG en andere privacywetgeving. Naast tijd hebben zij ook een mandaat, aandacht en opleiding nodig. PA is een extra rol van een aantal medewerkers naast hun normale functie. Er is hiervoor nog geen concrete taakomschrijving of tijdsinvulling voor opgesteld.
In het kader van de Wpg kan de bovengenoemde privacy organisatie inclusief functionarissen die betrokken zijn bij de AVG worden gehandhaafd bij de gegevensverwerking voor de Wpg. Dit heeft geen invloed op de structuur, maar er dient wel tijd, geld en energie te worden gestoken in de opbouw van kennis en kunde op het gebied van de Wpg.
Het nieuwe Three Lines Model (3LM) is de opvolger van het Three Lines of Defence (3LOD) model dat wereldwijd als standaard wordt gezien voor risicomanagement. Met dit model wordt een organisatie op een bepaalde manier ingericht zodat de buitenwereld kan zien dat de organisatie ‘in control’ is. Hierbij zijn de beschreven functies niet alleen bedoeld om waarde van de organisatie te beschermen, maar ook om deze te vergroten. Het 3LM legt ook sterker een koppeling met de doelstellingen van de organisatie.
Centraal voor alle functies staan dus de doelen van de organisatie. De functies zijn geen silo’s, maar stemmen af en werken samen; ieder vanuit de eigen rol. De inrichting van het model moet worden afgestemd op de risico’s en specifieke situatie van de organisatie.
De business (1st line): Deze groep is eindverantwoordelijk voor de keuzes die worden gemaakt en de risico’s die in de dagelijkse praktijk worden genomen.
Controle (2nd line): Deze groep ontwikkelt de control systemen voor een goed proces van risicomanagement en beheersing, altijd ter ondersteuning en advies aan de eerste lijn.
Internal audit (3rd line): Deze groep voorziet de hoogste leiding van zekerheid (assurance) over de kwaliteit van sturing en beheersing op het gebied van beveiligings- en privacymaatregelen binnen de organisatie.
De sleutel tot het functioneren van het Three Lines Model
Binnen het 3-lines model is het management (de eerste lijn) het meeste in staat om risico’s te managen en ‘in control’ te zijn. De internal audit, als derde lijn, dient erop toe te zien dat de beheersmaatregelen en in controls daadwerkelijk operationeel zijn. De FG houdt hier toezicht op. De tweede lijn heeft een belangrijke rol om de eerste lijn te faciliteren met deze verantwoordelijkheden en te controleren of dit ook daadwerkelijk gebeurt.
Een goede coördinatie van de tweede lijn werkzaamheden is de sleutel tot het daadwerkelijk effectief functioneren van het Three Lines Model. Door een integrale risk based samenwerking te hebben, kan de directie de assurance verkrijgen dat men ‘in control’ is. Zie ook ‘Governance van de Informatiebeveiliging 2024’.
De invoering van het Three Lines Model zal de komende maanden worden gespecificeerd en in de Informatie Beveiliging en Privacy (IB&P) planning worden opgenomen.
In 2025 zal het RASCI model worden geïmplementeerd, dat de onderlinge verantwoordelijkheden en rollen op het gebied van privacy en informatiebeveiliging binnen de gemeente Zutphen duidt. Het toebedelen van deze rollen of verantwoordelijkheden is een taak van de proceseigenaar. Hierbij worden volgende rollen onderscheiden:
Responsible is diegene die verantwoordelijk is dat een taak of handeling gedaan wordt
Accountable is de eindverantwoordelijke voor het (deel)proces
Consulted zijn diegenen die voor een definitieve beslissing moeten worden geraadpleegd
Informed zijn diegenen die geïnformeerd worden over een genomen beslissing
Voor de overzichtelijkheid en de eenvoud hier bovenstaand de beknopte RASCI tabel. Voor uitgebreide RASCI tabel zie bijlage 5.
6 Verwerkingen van persoonsgegevens
Er zijn diverse beleidsonderwerpen waar verwerking van persoonsgegevens aan de orde is. Zonder uitputtend te willen zijn worden hier de belangrijkste beleidsvelden vermeld:
- •
- •
- •
- •
- •
De AVG onderscheidt drie typen van persoonsgegevens (gewone, bijzondere en strafrechtelijke persoonsgegevens) en stelt verschillende eisen aan een rechtmatige gegevensverwerking daarvan. De gedachte hierachter is dat hoe gevoeliger de aard van de persoonsgegevens, hoe groter de effecten voor de betrokkenen zijn.
Hieronder een limitatieve opsomming van categorieën van bijzondere persoonsgegevens:
- •
- •
- •
- •
- •
- •
- •
- •
Als bijzondere persoonsgegevens, gevoelige persoonsgegevens, unieke identificerende kenmerken, BSN-nummers of andere gegevens verwerkt worden waarvoor geldt dat sprake is van een verhoogde gevoeligheid, betekent dit een verhoogd risico op misbruik. Dat heeft een (potentieel grote) impact op de betrokkene en vraagt daarmee om betere beveiliging. Het verwerken van deze persoonsgegevens is alleen toegestaan onder bepaalde wettelijke voorwaarden. Ook geldt dat het risico bestaat dat betrokkenen minder snel willen meewerken, of het vertrouwen in de gemeente vermindert. Er wordt dan ook geadviseerd om andere minder ingrijpende persoonsgegevens te gebruiken. Bovendien loopt de gemeente compliance risico’s als dit het geval is.
Strafrechtelijke persoonsgegevens
Persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen (hierna: strafrechtelijke persoonsgegevens) zijn een apart type persoonsgegeven. Het gaat hier zowel om veroordelingen als om verdenkingen van strafbare feiten. Voorbeelden hiervan zijn: proces-verbaal, sepotbeslissing, strafblad, relaas verhoor en aanvraag voor een toevoeging in een strafzaak.
Wettelijke identificatienummers
Nummers ter identificatie van een persoon die bij wet zijn voorgeschreven, mogen slechts worden verwerkt voor verwerkingsdoeleinden die bij wet zijn bepaald. De gedachte hierachter is dat persoonsnummers de koppeling van verschillende bestanden aanzienlijk vergemakkelijken en daarmee een extra bedreiging voor de persoonlijke levenssfeer vormen. Denk hierbij aan: een Burgerservicenummer (BSN), BIG-nummer (Beroepen in de Individuele Gezondheidszorg), A-nummer (administratienummer basisregistratie personen), onderwijsnummer, strafrechtketennummer (SKN) en kenteken. Het gaat hierbij enkel om in de wet voorgeschreven persoon identificerende nummers.
Alle overige persoonsgegevens die geen bijzondere of strafrechtelijke persoonsgegevens zijn worden aangemerkt als gewone persoonsgegevens. Gewone persoonsgegevens wil overigens niet zeggen dat geen sprake is van een hoog privacyrisico. Bepaalde persoonsgegevens kunnen door de context waarin zij worden gebruikt gevoelig zijn en daardoor een hoog privacyrisico met zich brengen. Hierbij kan gedacht worden aan:
- •
- •
- •
- •
- •
- •
- •
Een belangrijke vraag die steeds gesteld moet worden is of het doel met minder ingrijpende (andere) persoonsgegevens kan worden bereikt. Als dit niet mogelijk is, moet gekeken worden of de persoonsgegevens kunnen worden geanonimiseerd of pseudo-anoniem kunnen worden gemaakt. Hierdoor kan het nemen van verdere maatregelen ter bescherming van de privacy van de betrokkenen worden geminimaliseerd. Er wordt wel geadviseerd om periodiek na te gaan of de persoonsgegevens niet indirect herleidbaar zijn. Geanonimiseerde persoonsgegevens zijn niet te herleiden naar een specifiek persoon en vallen daarmee dus niet onder de AVG.
6.2 VOORWAARDEN VOOR VERWERKING
Hoofdregel is dat persoonsgegevens alleen in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze worden verwerkt. Dit noemen we rechtmatigheid.
Daarnaast mogen persoonsgegevens slechts verzameld worden als daarvoor een precieze
doelomschrijving wordt gegeven. Bovendien bepaalt de wet dat persoonsgegevens slechts mogen worden verwerkt voor zover zij toereikend, ter zake dienend en niet bovenmatig zijn. Dit noemen we proportionaliteit.
De betrokkene heeft ook recht op informatie als er persoonsgegevens van hem worden verwerkt. Degene die persoonsgegevens vraagt moet hem onder andere laten weten wie hij is en wat voor gegevens hij waarvoor verwerkt. Dit noemen we transparantie.
Behalve bovenvermelde algemene regels geldt dat er voor elke verwerking van persoonsgegevens een grondslag aanwezig moet zijn.
In het merendeel van de gevallen verstrekt de betrokkene de persoonsgegevens zelf. Veel gebruikte gegevens of al bekende gegevens die zijn opgenomen in basisregistraties of andere authentieke bronnen, worden daaruit opgevraagd. Denk hierbij aan: persoonsgegevens, adresgegevens, bedrijfsgegevens, inkomensgegevens, gezinssamenstelling, uitkeringen, onderwijsgegevens, zorgindicaties, etc. Dit is in overeenstemming met het principe van ‘eenmalige uitvraag en meervoudig gebruik’ dat door de overheid en de gemeente wordt voorgestaan. Als voor het uitvoeren van bepaalde wettelijke taken en/ of wet- en regelgeving persoonsgegevens verwerkt moeten worden, dan worden deze gegevens opgevraagd uit de basisregistratie personen (zie artikel 1.7 Wet BRP).
Wat er precies met de verzamelde gegevens gebeurt, is afhankelijk van het doel waarvoor ze verzameld worden. Meestal worden ze in een informatiesysteem opgenomen waar ze alleen toegankelijk zijn voor de medewerkers die belast zijn met het uitvoeren van de taak. Gegevens worden niet zonder wettelijke grondslag gedeeld.
Bijzondere gegevens worden niet verwerkt, tenzij dit nodig is voor het uitvoeren van een wettelijke taak en/ of wet- en regelgeving. Zo kunnen op grond van de Wet maatschappelijke ondersteuning en/ of Jeugdwet medische- en gezondheidsgegevens worden gebruikt bij de behandeling van een ondersteuningsverzoek of een hulpvraag.
De AVG heeft als uitgangspunt dat persoonsgegevens niet langer in een vorm die het mogelijk maakt de betrokkenen te identificeren, mogen worden bewaard dan voor de verwezenlijking van de verwerkingsdoeleinden noodzakelijk is (beperkte bewaartermijn). Met andere woorden: als het voor de verwezenlijking van de verwerkingsdoeleinden niet meer noodzakelijk is de persoonsgegevens te bewaren, moeten deze worden vernietigd of geanonimiseerd. Hierop maakt de AVG een uitzondering als de persoonsgegevens uitsluitend worden verwerkt ten behoeve van archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische verwerkingsdoeleinden. Hieraan wordt wel de eis verbonden dat passende maatregelen worden getroffen om de betrokkenen te beschermen.
Bij gegevensverwerkingen moet worden nagegaan of regelgeving een bewaartermijn voorschrijft. Als geen wettelijke bewaartermijn is voorgeschreven, moet de verwerkingsverantwoordelijke zelf bewaartermijnen vaststellen of de persoonsgegevens periodiek toetsen aan het uitgangspunt van opslagbeperking. Hierbij moet rekening worden gehouden met andere regelgeving over bewaartermijnen, zoals de eerder genoemde Archiefwet.
Gemeenten zijn wettelijk gehouden aan de bewaartermijnen van de ‘Selectielijst gemeentelijke en intergemeentelijke organen’. In deze selectielijst wordt onder andere aangegeven dat gemeenten persoonsgegevens langer mogen bewaren dan de vastgestelde bewaartermijn als dat noodzakelijk is voor een zorgvuldige uitvoering van hun taken op grond van de wet waarop dit van toepassing is. Het betreft met name resultaten waarbij zorg voor meerdere jaren wordt verleend aan jeugdigen van 0 tot 19 jaar. Dit houdt in dat zaken die betrekking hebben op de betrokken resultaten, altijd aan de proceseigenaren of behandelde ambtenaren zullen moeten worden voorgelegd, voordat tot vernietiging van de archiefbescheiden van deze zaken wordt overgegaan.
Het wettelijk kader, zoals hiervoor beschreven, is bepalend bij het formuleren van de uitgangspunten van beleid. Het privacybeleid is gestoeld op de volgende beleidsuitgangspunten:
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
Vanuit de gedachte van risicobeheersing, neemt het college van burgemeester en wethouders verschillende maatregelen om de risico’s bij de verwerking van persoonsgegevens in kaart te brengen en te verminderen.
Hiervoor gelden vier cycli van risicobeheersing:
- •
- •
- •
- •
6.6 DATA PRIVACY IMPACT ASSESSMENT (DPIA)
Privacybescherming is een onderwerp dat voor bestuurders en medewerkers een integraal onderdeel van het werk vormt. Betrokkenen kunnen ervan uitgaan dat persoonsgegevens, door het nemen van passende technische en organisatorische maatregelen, op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is. En dat zij daarmee onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige gegevensverwerking en tegen onopzettelijk verlies, vernietiging of beschadiging. Wat een DPIA inhoudt en wanneer van toepassing: zie bijlage 1.
Als niet aan de eisen van de DPIA wordt voldaan, kan dat onder de AVG tot gevolg hebben dat de bevoegde toezichthoudende autoriteit boetes oplegt. Als geen DPIA wordt uitgevoerd terwijl dat voor de gegevensverwerking wel verplicht is, als een DPIA niet correct wordt uitgevoerd, of als de Autoriteit Persoonsgegevens (AP) niet wordt geraadpleegd terwijl dat wel vereist is, kan dat leiden tot een administratieve boete van maximaal 10 miljoen euro.
De procedure Datalekken beschrijft hoe te handelen, als er sprake is van een datalek of wanneer een datalek vermoed wordt. De meldplicht is eveneens van toepassing, als het datalek bij een derde is ontstaan, bijvoorbeeld een verwerker van persoonsgegevens.
Per gemeld datalek behoudt de verwerkingsverantwoordelijke (het college van burgemeester en wethouders of de burgemeester) de vrijheid te beoordelen of de procedure gevolgd moet worden, of dat afwijking van de procedure Datalekken gerechtvaardigd is. Daarin behoort het advies van zowel de CISO als ook de PO en FG wel zwaarwegend te zijn en dient er onderbouwd te worden waarom er wordt afgeweken van de adviezen van de PO/ FG/ CISO.
Voor de uitoefening van zijn toezichthoudende functie beschikt de FG over alle bevoegdheden die daarvoor redelijkerwijs noodzakelijk zijn.
De verantwoordelijke en de personen die bij een verwerking van persoonsgegevens zijn betrokken verstrekken de FG desgevraagd alle inlichtingen en verlenen de FG alle overige medewerking die hij voor de uitoefening van zijn taak behoeft.
- •
- •
- •
- •
- •
De FG houdt toezicht op het register waarin verwerkingen van persoonsgegevens zijn vermeld. Het register vermeldt ten minste de volgende elementen:
- •
- •
- •
- •
- •
- •
- •
- •
- •
Het register wordt ingericht en onderhouden door de PO. De proceseigenaar is verantwoordelijk voor de juiste inhoud.
Namens de verwerkingsverantwoordelijke voeren de teammanagers of proceseigenaren de taken uit met betrekking tot de rechten van betrokkene, zoals omschreven in de AVG. De gemeente heeft de rechten van de betrokkenen opgenomen in de privacyverklaring op de website. Het gaat bij de rechten van de betrokkenen om de volgende rechten:
- •
- •
- •
- •
- •
- •
- •
6.11 BORGING EN BORGINGSPRODUCTEN
De hoofddoelstelling voor het borgen en het hanteren van AVG Borgingsproducten is het geven van een eenduidige baseline voor wat de gemeente moet doen om aan de AVG te voldoen. Een belangrijk uitgangspunt hierbij is dat iedere burger recht heeft op een gelijk basisniveau van privacybescherming, ongeacht in welke gemeente deze burger woont. Verschillen mogen zich hooguit voordoen in de mate waarin gemeenten (of andere gemeentelijke organisaties) zaken optimaliseren.
Opbouw van het Borgingsproduct
Het Borgingsproduct is, net als eerdere versies, opgebouwd uit een zevental thema's waarop getoetst wordt. Een thema gaat over een specifiek onderdeel van de AVG. De AVG-hoofdstukken zijn niet aangehouden, omdat de (volgorde van de) thema’s beter aansluiten bij de gemeentelijke praktijk. De thema’s zijn:
Beleid: De organisatie heeft processen en bijbehorende verantwoordelijkheden en risico's in kaart gebracht en vastgelegd in beleidsstukken. Deze stukken moeten voor alle werknemers goed vindbaar en begrijpelijk zijn.
Processen: De organisatie heeft alle processen waarbinnen persoonsgegevens worden verwerkt in kaart gebracht. De beschrijving van deze processen wordt actueel gehouden, werkinstructies worden nageleefd en processen met een hoog risico worden getoetst op juistheid.
Organisatorische inbedding: De organisatie heeft een FG aangesteld en kan zich voor inhoudelijke vraagstukken tot de PO richten. Er wordt doorlopend aan bewustwording gedaan.
Rechten van betrokkenen: De organisatie voldoet aan alle wettelijke eisen die er zijn op het gebied van rechten van betrokkenen. De organisatie is transparant over hoe en welke persoonsgegevens verwerkt worden.
Samenwerking: De organisatie heeft in kaart gebracht met wie zij samenwerkt en heeft daarbij passende afspraken gemaakt. Deze afspraken worden door de betrokken partijen nageleefd.
Gegevensbescherming: Hoewel pas echt een volledig beeld kan worden geschetst van de stand van zaken op het gebied van gegevensbescherming middels de Baseline Informatiebeveiliging Overheid (BIO), zijn privacy en informatiebeveiligingsaspecten niet geheel van elkaar los te trekken. Een aantal informatiebeveiligingsaspecten met een duidelijke privacy component zijn dan ook in dit Borgingsproduct opgenomen. Denk bijvoorbeeld aan de handelswijze bij datalekken. De (C)ISO kan helpen bij het beoordelen van de mate waarin aan de bij dit thema opgenomen maatregelen wordt voldaan. Wanneer deze maatregelen voldoende zijn geïmplementeerd, houdt dat dus niet automatisch in dat de organisatie volledig aan de BIO voldoet.
Informatiebeveiliging is het proces van vaststellen van de vereiste beveiliging van informatiesystemen in termen van vertrouwelijkheid, beschikbaarheid en integriteit alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende maatregelen.
De gemeente is zich bewust van het cruciale belang van de beveiliging van persoonsgegevens voor de betrokkene (inwoners van de gemeenten en ook de medewerkers). Persoonsgegevens van de betrokkenen zijn beveiligd met adequate organisatorische en technische middelen die zijn vastgelegd in het Securitybeleid. Een passend beveiligingsniveau is conform artikel 32 AVG afgestemd op het risico dat de verwerking met zich meebrengt.
Met name de beveiligingsincidenten brengen de risico’s voor betrokkenen aan het licht. In de meeste gevallen loopt de inwoner of werknemer een risico op schade. Voorkomende risico’s zijn:
- 1.
Als gevoelige gegevens van een persoon bij een bekende of collega terechtkomen, kan die persoon reputatieschade oplopen doordat een bekende of collega meer van zijn privésituatie afweet dan hij zou willen.
- 2.
Met onrechtmatig verkregen documenten kan een kwaadwillend persoon identiteitsfraude plegen en zich voordoen als betrokkene.
- 3.
Met de AVG is de controle van betrokkenen op hun gegevens vergroot. Met de ontwikkeling van digitale systemen waren er signalen dat bewoners soms moeite hebben om hun gegevens in te vullen omdat voor hen niet duidelijk was waar gegevens terecht zouden komen. Concrete en transparante toelichting over wat met verzamelde gegevens wordt gedaan helpt het vertrouwen te verhogen.
Risico’s voor de gemeente staan los van de risico’s voor de betrokkenen, maar moeten in een DPIA worden meegenomen om de urgentie van voorgestelde maatregelen duidelijk te maken.
- 1.
Met name datalekken van bijzondere persoonsgegevens zorgen voor verminderd vertrouwen in de dienstverlening.
- 2.
Slordigheden waarbij inwoners of medewerkers de ontvanger van onjuiste gegevens zijn, kunnen leiden tot het idee dat de gemeente niet professioneel handelt en daarmee tot imagoschade kan leiden. Ook in onderhandelingen met samenwerkingspartners staat de gemeente sterker in zijn schoenen als een professioneel niveau van privacybescherming wordt nagevolgd en afgesproken.
- 3.
Datakwaliteit heeft betrekking op de mate van geschiktheid van data voor het uiteindelijke gebruiksdoel. Het is daarom van groot belang dat de gemeente beschikt over betrouwbare en kwalitatief hoogwaardige data. Alleen dan is de gemeente in staat om slagvaardig en succesvol te handelen. Organisaties waarbij de data niet op orde is, ondervinden daar beperkingen van. Zo kunnen diverse activiteiten hun effect missen als deze op verkeerde inzichten gebaseerd zijn. Ook verlopen interacties met inwoners minder gemakkelijk als blijkt dat de database fouten bevat. Organisaties die de kwaliteit van hun data niet kunnen garanderen, lopen bovendien extra risico’s met het naleven van hun wettelijke verplichtingen zoals de AVG. De kwaliteit van data kan uitgedrukt worden in een combinatie van de begrippen volledigheid, accuratesse, uniciteit, validiteit, tijdigheid en consistentie.
Van een gedigitaliseerde organisatie mag worden verwacht dat de kwaliteit van data is geborgd door:
- •
- •
- •
- 4.
Dataclassificatie heeft als doel richting te geven aan de passende technische en organisatorische maatregelen. Als gemeente beschikken we over veel (persoons)gegevens. Om te bepalen welke gegevens in meer of mindere mate beschermd moeten worden, kun je de gegevens classificeren. Binnen de BIO wordt de controle ‘classificatie van informatie’ genoemd (8.2). De overheidsmaatregel die binnen deze controle valt (8.2.1.1) vereist dat alle informatie (BBN1) in alle informatiesystemen door middel van een expliciete risicoafweging is geclassificeerd.
Zo moet je zeer gevoelige gegevens (zoals persoonsgegevens) beter beschermen dan reeds bekende gegevens (zoals openbare jaarrapporten). Kortom, een hogere classificatie betekent meer technische en/ of organisatorische maatregelen.
- 5.
Bij een beveiligingsincident zijn vaak meerdere teams betrokken om de schade te herstellen. Diverse medewerkers van verschillende teams en bestuurders zijn druk met het oplossen van een beveiligingsincident. Dit tijdverlies kan beter proactief worden gebruikt om een gedegen datakwalificatie uit te voeren.
Bijlage 1: Gegevensbeschermingseffectbeoordeling
- 1.
Privacybescherming is een onderwerp dat voor bestuurders en medewerkers een integraal onderdeel van het werk vormt. Betrokkenen kunnen ervan uitgaan dat persoonsgegevens, door het nemen van passende technische en organisatorische maatregelen, op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is. En dat zij daarmee onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige gegevensverwerking en tegen onopzettelijk verlies, vernietiging of beschadiging.
- •
Een DPIA is een belangrijk verantwoordingsinstrument. Het helpt verwerkingsverantwoordelijken om aan de eisen van de AVG te voldoen, en om aan te tonen dat passende maatregelen zijn genomen om ervoor te zorgen dat de AVG wordt nageleefd. Met andere woorden: een DPIA is een proces voor het realiseren en aantonen van naleving.
- •
Een DPIA moet voorafgaand aan de verwerking en bij bestaande verwerkingen, waar sprake is van een gegevensverwerking die een hoog privacyrisico oplevert voor de betrokkenen. Tevens heeft de AP nog een lijst samengesteld voor verwerkingen waarbij een DPIA altijd verplicht is. Zie hieronder punt 3. (Specifieke lijst van verwerkingen)
- •
- •
Of er sprake is van een hoog privacyrisico, toetst de gemeente aan de hand van een Business Impact Assessment (BIA). De BIA wordt uitgevoerd op het moment dat een van de BIV-classificaties 2 of hoger scoort. Dus naast de Vertrouwelijkheid, waar privacy geraakt wordt, ook op Beschikbaarheid en Integriteit.
- •
Op grond van de AVG is verder in ieder geval sprake van een hoog privacyrisico als de gemeente:
- a.
- b.
Op grote schaal bijzondere persoonsgegevens verwerkt of op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied. (Hierbij wordt gelet op het aantal betrokkenen, het volume van gegevens en/of het bereik van verschillende gegevens/items die worden verwerkt, de duur of het permanente karakter van de gegevensverwerkingsactiviteit en de geografische omvang van de verwerkingsactiviteit;
- •
- •
- •
Als niet aan de eisen van de DPIA wordt voldaan, kan dat onder de AVG tot gevolg hebben dat de bevoegde toezichthoudende autoriteit boetes oplegt. Als geen DPIA wordt uitgevoerd terwijl dat voor de gegevensverwerking wel verplicht is, als een DPIA niet correct wordt uitgevoerd, of als de Autoriteit Persoonsgegevens (AP) niet wordt geraadpleegd terwijl dat wel vereist is, kan dat leiden tot een administratieve boete van maximaal 10 miljoen euro.
- 2.
De European Data Protection Board heeft op 4 oktober 2017 de Richtsnoeren voor gegevensbeschermingseffectbeoordeling (DPIA) en Bepaling of een verwerking die waarschijnlijk een hoog risico inhoudt, vastgesteld. In deze Richtsnoeren staan negen criteria vermeld die in aanmerking moeten worden genomen bij de beoordeling of een DPIA moet worden uitgevoerd, te weten in het geval dat sprake is van:
- 1.
- 2.
- 3.
- 4.
- 5.
- 6.
- 7.
- 8.
- 9.
- 3.
Op basis van bovenstaande Richtsnoeren heeft de Nederlandse Autoriteit Persoonsgegevens (AP) een lijst met omschrijvingen van soorten verwerkingen samengesteld waarbij het uitgangspunt is dat de verwerkingsverantwoordelijke verplicht is een DPIA uit te voeren voordat met de verwerking van persoonsgegevens wordt begonnen. Hierbij is aangegeven welk criterium uit de bovenstaande richtsnoer in aanmerking is genomen:
- 1.
Grootschalige verwerkingen van persoonsgegevens en/ of stelselmatige monitoring waarbij informatie wordt verzameld door middel van onderzoek zonder de betrokkene daarvan vooraf op de hoogte te stellen (bijvoorbeeld: heimelijk onderzoek door particuliere recherchebureaus, onderzoek in het kader van fraudebestrijding en onderzoek op internet in het kader van bijvoorbeeld online handhaving van auteursrechten). Een DPIA is ook verplicht in geval van heimelijk cameratoezicht door werkgevers in het kader van diefstal- of fraudebestrijding door werknemers (bij deze laatste verwerking dient ook in incidentele gevallen een DPIA te worden uitgevoerd vanwege de ongelijkwaardige machtsverhouding tussen de betrokkene (werknemer) en de verwerkingsverantwoordelijke (werkgever)). [3], [5], [7]
- 2.
Verwerkingen waarbij persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten, gegevens over onrechtmatig of hinderlijk gedrag of gegevens over slecht betalingsgedrag door bedrijven of particulieren worden verwerkt en gedeeld met derden (artikel 33, vierde lid, aanhef en onder c, van de Uitvoeringswet Algemene Verordening Gegevensbescherming) (zwarte lijsten of waarschuwingslijsten, zoals deze bijvoorbeeld gebruikt worden door verzekeraars, horecabedrijven, winkelbedrijven, telecomproviders alsook zwarte lijsten die betrekking hebben op onrechtmatig gedrag van werknemers, bijvoorbeeld in de zorg of door uitzendbureaus). [4], [6], [7], [8]
- 3.
Grootschalige verwerkingen van (bijzondere) persoonsgegevens en-of stelselmatige monitoring in het kader van fraudebestrijding (bijvoorbeeld fraudebestrijding door sociale diensten of door fraudeafdelingen van verzekeraars). [3], [4], [5], [9]
- 4.
Grootschalige gegevensverwerkingen en/ of stelselmatige monitoring die leiden tot of gebruik maken van inschattingen van de kredietwaardigheid van natuurlijke personen, bijvoorbeeld tot uitdrukking gebracht in een creditscore. [1], [2], [3], [4], [5], [9]
- 5.
Grootschalige verwerkingen en/ of stelselmatige monitoring van financiële gegevens waaruit de inkomens- of vermogenspositie of het bestedingspatroon van mensen valt af te leiden (bijvoorbeeld overzichten van bankoverschrijvingen, overzichten van de saldi van iemands bankrekeningen of overzichten van mobiele- of pinbetalingen). [3], [4], [5]
- 6.
Grootschalige verwerkingen en/ of stelselmatige monitoring van genetische persoonsgegevens (bijvoorbeeld DNA-analyses ten behoeve van het in kaart brengen van persoonlijke kenmerken, Bio databanken). [3], [4], [5]
- 7.
Grootschalige verwerkingen van gegevens over gezondheid (bijvoorbeeld door instellingen of voorzieningen voor gezondheidszorg of maatschappelijke dienstverlening, arbodiensten, reïntegratiebedrijven, (speciaal)onderwijsinstellingen, verzekeraars, en onderzoeksinstituten) waaronder ook grootschalige elektronische uitwisseling van gegevens over gezondheid (let wel: individuele artsen en individuele zorgprofessionals zijn op grond van overweging 91 van de Algemene Verordening Gegevensbescherming uitgezonderd van de verplichting een gegevensbeschermingseffectbeoordeling (DPIA) uit te voeren). [4], [5], [7]
- 8.
Het delen van persoonsgegevens in of door samenwerkingsverbanden waarin gemeenten of andere overheden met andere publieke of private partijen bijzondere persoonsgegevens of persoonsgegevens van gevoelige aard (zoals gegevens over gezondheid, verslaving, armoede, problematische schulden, werkloosheid, sociale problematiek, strafrechtelijke gegevens, betrokkenheid van jeugdzorg of maatschappelijk werk) met elkaar uitwisselen, bijvoorbeeld in wijkteams, veiligheidshuizen of informatieknooppunten. [6], [7], [8]
- 9.
Grootschalige en/ of stelselmatige monitoring van openbaar toegankelijke ruimten met behulp van camera’s, webcams of drones. [3], [5]
- 10.
Grootschalig en/ of stelselmatig gebruik van flexibel cameratoezicht (camera’s op kleding of helm van brandweer- of ambulancepersoneel, dashcams gebruikt door hulpdiensten). [3], [5]
- 11.
Grootschalige verwerking van persoonsgegevens en/ of stelselmatig monitoring van activiteiten van werknemers (bijvoorbeeld controle van e-mail en internetgebruik, GPS-systemen in (vracht)auto’s van werknemers of cameratoezicht ten behoeve van diefstal- en fraudebestrijding). [3], [5], [7]
- 12.
Grootschalige verwerking en/ of stelselmatige monitoring van locatiegegevens van of herleidbaar tot natuurlijke personen (bijvoorbeeld door (scan)auto’s, navigatiesystemen, telefoons, of verwerking van locatiegegevens van reizigers in het openbaar vervoer). [3], [5]
- 13.
Grootschalige verwerking en/ of stelselmatige monitoring van communicatiegegevens inclusief metadata herleidbaar tot natuurlijke personen, tenzij en voor zover dit noodzakelijk is ter bescherming van de integriteit en de veiligheid van het netwerk en de dienst van de betrokken aanbieder, of het randapparaat van de eindgebruiker. [3], [5]
- 14.
Grootschalige verwerkingen en/ of stelselmatige monitoring van persoonsgegevens die worden gegenereerd door apparaten die verbonden zijn met internet en die via internet of anderszins gegevens kunnen versturen of uitwisselen (‘internet of things’- toepassingen, zoals slimme televisies, slimme huishoudelijke apparaten, connected toys, smart cities, slimme energiemeters, medische hulpmiddelen, etcetera). [3], [5], [8]
- 15.
Systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen gebaseerd op geautomatiseerde verwerking (profilering), zoals bijvoorbeeld beoordeling van beroepsprestaties, prestaties van leerlingen, economische situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag. [1], [3]
- 16.
Grootschalige verwerkingen van persoonsgegevens waarbij op stelselmatige wijze via geautomatiseerde verwerking gedrag van natuurlijke personen geobserveerd of beïnvloed, dan wel gegevens daarover worden verzameld en/of vastgelegd, inclusief gegevens die voor het doel online behavioural advertising worden verzameld. [1], [5]
- 17.
Grootschalige verwerkingen en/of stelselmatige monitoring van biometrische gegevens met als doel een natuurlijk persoon te identificeren. Op grond van de Algemene Verordening Gegevensbescherming is de verwerking van biometrische gegevens met als doel de unieke identificatie van een natuurlijk persoon, in beginsel verboden. In Nederland zijn aanvullende voorwaarden gesteld in artikel 29 van de Uitvoeringswet Algemene Verordening Gegevensbescherming. Enkel als de verwerking strikt noodzakelijk is voor authenticatie of beveiligingsdoeleinden, is de verwerking van biometrische gegevens toegestaan. [3], [5], [8]
Bijlage 2: Rollen en verantwoordelijkheden
- 1.
Net zoals het college jaarlijks aan de gemeenteraad verantwoording aflegt over de gemeentelijke uitgaven en inkomsten, legt het college ook jaarlijks aan de raad verantwoording af over de uitvoering en realisatie van beleid. Naast deze jaarlijkse verantwoording, hebben het college en de burgemeester op grond van de artikelen 169 en 180, tweede lid van de Gemeentewet de algemene informatieplicht om de raad te informeren over bijzonderheden (incidenten) bij gegevensverwerkingen.
Het college van burgemeester en wethouders heeft de volgende rollen en verantwoordelijkheden:
- •
- •
- •
- •
- •
- 2.
De gemeenteraad moet controleren of het college ‘in control’ is bij de uitvoering van de AVG. De gemeenteraad kan daarvoor de volgende vragen stellen:
- •
- •
- •
- •
- •
- •
De gemeenteraad is als bestuursorgaan een verwerkingsverantwoordelijke op grond van artikel 4, zevende lid AVG. Dit betekent dat de raad zelf verwerkingsverantwoordelijke is voor taken die specifiek bij de raad liggen en dus moet kunnen aantonen dat de verwerkingen die hij doet, voldoen aan de AVG. Daarnaast dient de raad onder andere een register van verwerkingsactiviteiten bij te houden, technische en organisatorische maatregelen te nemen om persoonsgegevens te beschermen en zal de raad wanneer er persoonsgegevens verstrekt worden aan andere partijen specifieke afspraken moeten maken.
- 3.
De gemeentesecretaris/ algemeen directeur, is als hoofd, eindverantwoordelijk voor de ambtelijke organisatie. De domein directeuren zijn eindverantwoordelijk voor hun domein.
De teammanagers zijn verantwoordelijk voor hun teams. Specifiek:
- •
- •
- •
- •
- •
- •
- •
- •
- 4.
De FG is de vertegenwoordiger van het belang van de betrokkene. De FG heeft een adviserende taak, maar is primair degene die de organisatie tegen de AVG-meetlat moet houden. Dan past het niet om al te ver mee te denken en de belangen van de organisatie te stevig mee te laten wegen. De AVG geeft ook aan dat de FG best andere taken mag uitvoeren in de organisatie, maar dat deze niet mogen leiden tot belangenverstrengeling. Zo is het opstellen van beleid dat ziet op de AVG of gegevensverwerkingen niet een taak die bij de FG moet worden belegd.
- •
- •
- •
- •
- •
- •
- •
- •
- •
De FG kan andere taken en plichten vervullen. De verwerkingsverantwoordelijke of de verwerker zorgt ervoor dat deze taken of plichten niet tot een belangenconflict leiden. Dat wil zeggen dat:
- o
- o
- o
Het betekent ook dat de verantwoordelijkheid voor de correcte naleving bij de verantwoordelijke teammanagers ligt en de ambtelijke eindverantwoordelijkheid bij de gemeentesecretaris/ algemeen directeur voor het geheel en de domein directeuren voor het eigen domein. De uiteindelijk bestuurlijke eindverantwoordelijkheid ligt bij het college van burgemeester en wethouders.
- •
- •
- •
De organisatie moet zorgen dat de FG "naar behoren en tijdig (lees: zo vroeg mogelijk) wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens". Het is in ieder geval verplicht om dit bij de volgende aangelegenheden te doen: bij de uitvoering van een DPIA moet altijd verplicht advies worden gevraagd aan de FG. Daarnaast moet de FG meteen geconsulteerd worden zodra zich een beveiligingsincident voordoet dat leidt of kan leiden tot een datalek.
- •
- •
- 5.
De PO is verantwoordelijk voor het vormgeven, bewaken en -deels- uitvoeren van het privacybeleid binnen de gemeente. Daarnaast kan de PO ondersteunen bij het in kaart brengen van de risico’s door bijvoorbeeld een Data Protection Impact Assessment (DPIA) uit te laten voeren. Ook speelt de PO een belangrijke rol op de werkvloer, zo heeft hij net als de CISO een adviserende rol richting de vakinhoudelijke teams en kan hij vragen beantwoorden zoals: “hoe moeten we deze gegevens delen?”; “Aan welke regels moeten we ons houden?”; “Welke maatregelen moeten we de externe partij opleggen?”. De PO heeft ook een belangrijke rol in het creëren van bewustwording en het (laten) verzorgen van trainingen. De Privacy Officer is niet per definitie een juridische specialist, voor complexe en/of specifieke juridische vraagstukken kan deze eventueel een beroep doen op de juridisch adviseurs binnen de organisatie.
In tegenstelling tot de FG, (die de vertegenwoordiger is van het belang van de betrokkene), moet de Privacy Officer daarentegen samenwerken met de ‘business’ om een werkbaar compromis voor elkaar te krijgen tussen de belangen van de verwerkingsverantwoordelijke en de belangen van de betrokkene. De FG en de PO zijn uiteraard bondgenoten, omdat zij een gezamenlijk doel hebben voor de organisatie: AVG-compliance en een goede bescherming van de persoonlijke levenssfeer van betrokkenen.
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- 6.
Het is belangrijk dat er in de 3 domeinen plus in het team Concerncontrol, mensen zijn die de ogen en oren van de centrale Privacy Officer kunnen zijn. Zij kunnen de eenvoudige vragen beantwoorden en zij kunnen in een vroeg stadium signaleren wanneer er privacy vraagstukken opspelen. Daarnaast hebben zij een rol om het privacy- en informatiebewustzijn van collega’s te vergroten. Zij moeten hier wel voor worden toegerust. Dat betekent naast tijd ook aandacht en opleiding. Dat wil zeggen dat het nodig is om een netwerk te creëren waarin deze mensen elkaar regelmatig ontmoeten om ervaringen te delen en vragen te stellen.
De PA biedt advies en ondersteuning vanuit de teams aan de organisatie op het gebied van privacy en gegevensbescherming, en werkt nauw samen met de PO. De PA is meewerkend voorman en ondersteunt de vakinhoudelijke teams en teammanagers bij de naleving van de AVG en andere privacywetgeving.
- •
- •
- •
- •
- •
- •
Deze verantwoordelijkheden zorgen ervoor dat de PA dicht bij de operationele werkzaamheden staat en speelt daarmee een belangrijke rol in het ondersteunen van de naleving van de AVG en andere privacywetgeving binnen het domein/ team, en draagt daardoor direct bij aan de bescherming van persoonsgegevens. De PA is ook aan te spreken door de Privacy Officer op de taken die ze op het privacygebied uitvoeren. Maar zitten functioneel in de lijn, dus leggen verantwoording af aan hun specifieke domein Directeur. Dus:
- •
- •
- •
- •
- 7.
De CISO moet het complete spectrum aan informatiebeveiliging overzien en coördineren. De CISO heeft een organisatie-brede kijk op beveiliging. Doel van de functie is het, op basis van de algemeen aanvaarde standaard (de BIO), zorgdragen voor een samenhangend pakket van technische en organisatorische maatregelen ter waarborging van de vertrouwelijkheid, integriteit en beschikbaarheid van de informatie binnen de gemeente. Risicoanalyses, oog voor de bedrijfsvoering en inachtneming van de wettelijke voorschriften zijn daarbij sleutelbegrippen.
Voor een gedetailleerde beschrijving van de CISO rol, taken, verantwoordelijkheden en positionering in de informatiebeveiliging, zie de ‘Governance van de Informatiebeveiliging 2024’.
- 8.
Bijlage 3: Wet- en regelgeving
- 1.
In artikel 10 van de Grondwet staat dat iedereen het recht heeft om in de beslotenheid van zijn persoonlijke levenssfeer met rust te worden gelaten en om bijvoorbeeld niet te worden afgeluisterd.
De persoonlijke levenssfeer omvat onder meer:
- •
- •
- •
- •
- •
- •
- •
De wet kan in bepaalde gevallen dit recht beperken, bijvoorbeeld bij de opsporing van misdaden. Ook maakt de wetgever regels voor het gebruik van privacygevoelige gegevens.
Artikel 13 van de Grondwet omschrijft wat onder het briefgeheim verstaan wordt. Het vormt samen met de artikelen 10, 11 en 12 van de Grondwet, wat je bij wijze van spreken de 'harde kern' van onze grondrechten zou kunnen noemen. Van deze vier is artikel 10 een soort kapstokartikel. Het artikel is zo geformuleerd dat het in de praktijk mogelijk maakt om op nieuwe ontwikkelingen in te spelen. Denk aan mobiele telefoons, internet, cameratoezicht en het mogen fouilleren van inwoners.
- 2.
In artikel 8 van het Europees Verdrag tot Bescherming van de Rechten van de Mens (EVRM) wordt (vergelijkbaar met artikel 10 van de Grondwet) het Recht op eerbiediging van privé-, familie- en gezinsleven beschreven.
- 1.
- 2.
Geen inmenging van enig openbaar gezag is toegestaan in de uitoefening van dit recht, dan voor zover bij wet is voorzien en in een democratische samenleving noodzakelijk is in het belang van de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land, het voorkomen van wanordelijkheden en strafbare feiten, de bescherming van de gezondheid of de goede zeden of voor de bescherming van de rechten en vrijheden van anderen.
Artikel 8 van het EVRM is ook van toepassing op digitale gegevens die inzicht geven in privé leven, zoals bestanden op computers, smartphones en gegevensdragers.
- 3.
De Algemene Verordening Gegevensbescherming (AVG) is al van kracht sinds 2016. Sinds 25 mei 2018 geldt de AVG in de plaats van de Wet bescherming persoonsgegevens (Wbp). In beginsel zijn 'de eisen voor verwerking van persoonsgegevens' niet veranderd. De verwerking moet proportioneel en niet eenvoudiger op andere wijze uitvoerbaar zijn. Iedere verwerkingsverantwoordelijke moet beschrijven waarom en hoe de gegevens worden verwerkt. Betrokkenen moeten, net als onder de Wbp, op de hoogte gesteld worden. De boetes bij het niet naleven zijn hoog en kunnen oplopen tot 20 miljoen euro. Zulke hoge boetes worden echter enkel opgelegd als de organisatie ernstig in gebreke is gebleven.
Hoe in de praktijk van alledag om te gaan met AVG in samenhang met de Archiefwet. Anders dan vaak wordt gedacht, spreken Archiefwet en AVG elkaar niet tegen, maar zijn ze prima met elkaar te combineren. Belangrijk is hierbij dat er een intensieve samenwerking is tussen deskundigen op het gebied van privacy en die op het gebied van de Archiefwet. Alleen dan kan het beschermen van persoonsgegevens samengaan met belangen als authenticiteit en integriteit van informatie, goede bedrijfsvoering en geheugenfunctie volgens de Archiefwet. Sterker nog: een goede uitvoering van de AVG kan niet zonder ook de Archiefwet goed uit te voeren en andersom.
Wie is er binnen de gemeente verantwoordelijk voor de uitvoering van de AVG? Hoe kan de gemeenteraad controle uitoefenen op de gegevensbescherming binnen de gemeente?
De AVG is een set open normen en heeft 2 doelen:
- •
- •
Daarom moet het gemeentebestuur bij het verwerken van persoonsgegevens voortdurend een afweging maken tussen de belangen van de personen van wie de gemeente persoonsgegevens verwerkt (betrokkenen) en de belangen van het gemeentebestuur (het uitvoeren van gemeentelijke taken). Bij het verwerken van persoonsgegevens moet de gemeente zich dus de hele tijd de vraag stellen: wat is onze taak, wat is het doel, is er een grondslag en is er een noodzaak?
Het gemeentebestuur is op grond van de AVG verplicht om verantwoording af te leggen over de verwerking van persoonsgegevens: welke maatregelen heeft de gemeente genomen om de gegevens van de betrokkenen te beschermen? Het gemeentebestuur moet ook transparant zijn over welke persoonsgegevens ze verwerkt en waarom. Ter ondersteuning van de verantwoordingsplicht heeft de AVG een aantal (verplicht voorgeschreven) instrumenten:
- •
- •
- •
- •
- •
- •
Daarnaast hebben inwoners op grond van de AVG rechten, zoals:
- •
- •
- •
- •
- •
- •
Het invoeren van de hiervoor genoemde instrumenten gebeurt - in de ideale situatie - in de vorm van een proces waarbij de hele ambtelijke organisatie wordt betrokken (een situatie waarin alleen een FG of team Informatisering en Automatisering/ Informatiemanagement met de implementatie bezig is, is verre van ideaal). Het hele proces is in feite een privacy bewustwordingsproces.
Wat daarbij belangrijk om te weten is, dat de maatregelen die elke gemeente hoort te nemen risicogebaseerd zijn: hoe groter de privacyrisico’s (de kans dat de gemeente een verwerking niet transparant, onbehoorlijk of onrechtmatig uitvoert), hoe meer maatregelen de AVG van de gemeente verwacht om zo de risico’s voor de betrokkenen terug te brengen tot een aanvaardbaar niveau.
Het borgen van privacy is zodoende een continu proces. Het gaat niet om het eenmalig treffen van een aantal privacymaatregelen. Verwerkingen van gegevens, doelgroepen, technische mogelijkheden, privacyregels, en maatschappelijke opvattingen kunnen veranderen. De effectiviteit van de maatregelen moet daarom regelmatig worden beoordeeld en waar nodig aangepast.
- 4.
Lidstaten van de EU hebben op bepaalde punten ruimte gekregen om (meer specifieke) nationale wetgeving aan te nemen en de UAVG regelt dit. Daarnaast wordt de AP middels de UAVG opgericht.
De Nederlandse wetgever heeft in de UAVG bepaald dat deze van toepassing is op organisaties die een vestiging hebben in Nederland en op organisaties die geen vestiging in de Europese Unie hebben, maar hier wel diensten en goederen aanbieden. Het gevolg hiervan is dat er mogelijk toch verschillende UAVG’s van toepassing zijn op dezelfde verwerking door een organisatie. Dit terwijl het voorkomen van een lappendeken een van de belangrijkste speerpunten van de AVG was.
Naast de uitzonderingen op het algemene verbod om bijzondere persoonsgegevens te verwerken in de AVG, biedt het wel de mogelijkheid om in het kader van het algemeen belang nadere wetgeving te kunnen aannemen. De Nederlandse wetgever maakt hier ruim gebruik van in artikelen 22 – 30 UAVG. In de praktijk betekent dit dat de uitzonderingen in de oude Wet bescherming persoonsgegevens (Wbp) grotendeels ongewijzigd zijn overgenomen. Ook voor strafrechtelijke gegevens heeft de Nederlandse wetgever de huidige uitzonderingen gehandhaafd in de UAVG.
Toestemming wettelijk vertegenwoordiger vereist
Volgens artikel 5 UAVG is in plaats van toestemming van de betrokkene toestemming van zijn wettelijk vertegenwoordiger vereist indien de betrokkene de leeftijd van zestien jaren nog niet heeft bereikt.
- 5.
Naast de AVG hebben onze Boa’s, maar soms ook de medewerkers binnen het Sociaal domein te maken met de Wet politiegegevens (Wpg) en de Wet justitiële en strafvorderlijke gegevens (Wjsg). Deze wetten vloeien voort uit de Europese Richtlijn gegevensbescherming bij rechtshandhaving. Aan welke privacywet Boa’s en de medewerkers binnen het Sociaal domein zich bij hun werk moeten houden, hangt af van de taak die ze uitvoeren.
Bij specifieke taken voor opsporing en vervolging moeten boa’s zich aan de Wpg houden. Deze wetten gelden ook bij:
- •
- •
- •
Bij andere taken van politie en justitie is de AVG van toepassing. Bijvoorbeeld bij de verwerking van persoonsgegevens van het eigen personeel.
Medewerkers binnen het Sociaal domein van de gemeente kunnen, onder bepaalde voorwaarden (zoals een wettelijke grondslag), ook justitiële en strafvorderlijke gegevens verwerken bij aanvraag en/ of handhaving van een uitkering.
Voor gegevens die onder de Wjsg of de Wpg worden verwerkt, gelden andere regels dan onder de AVG het geval zou zijn geweest. Bijvoorbeeld andere bewaartermijnen, of andere eisen die gelden bij het onderling delen van gegevens. Het is daarom van belang dat de gegevensverwerkingen die onder de Wjsg of de Wpg vallen, andere kenmerken krijgen dan de gegevensverwerkingen die onder de AVG vallen. Om vast te kunnen stellen dat de gemeente dit bij de verwerkingen conform de wettelijke eisen hebben toegepast, wordt de audit Wet politiegegevens uitgevoerd.
Conform de Wpg dient ‘de verwerkingsverantwoordelijke’ (dit is meestal de werkgever) twee jaren na inwerkingtreding van de wet en vervolgens eenmaal in de vier jaren een externe privacy audit uit te voeren. Nieuw vanaf september 2024 is dat nu de hercontrole op basis van de Regeling Periodieke Audits plaats moet vinden binnen één jaar na rapportdatum van de externe audit. Over de 1e helft van dit jaar blijft de hercontrole beperkt tot het beoordelen van de opzet en het bestaan. Echter, gedurende de 2e helft van dit jaar wordt niet alleen de opzet en het bestaan maar ook de effectieve werking van de beheersingsmaatregelen voortaan beoordeeld bij die beheersingsmaatregelen die bij de externe audit 2024 als ‘voldoet niet’ of ‘voldoet deels’ zijn beoordeeld; die interne audit is te vergelijken met een zelfevaluatie. De interne audit (opzet, bestaan en werking) heeft betrekking op enkele onderdelen van de wet en heeft tot doel voor het onderdeel of de onderdelen van de wet waar de interne audit zich op richt, op systematische wijze te toetsen of aan de bepalingen van de wet op adequate wijze uitvoering is gegeven.
Welke rollen zijn er bij het uitvoeren van de interne audit?
Hieronder volgt een overzicht van de verschillende rollen, wie die (kunnen) vervullen en wat de daarbij behorende taken zijn. Per gemeente kan het verschillen door wie de interne audit in de praktijk wordt uitgevoerd. Er moet worden gezorgd voor een helder auditplan, waarin is vastgelegd wanneer wordt gestart met de (voorbereidingen op) de verschillende audits, wie daarvoor het initiatief neemt/ nemen, wie de audit uitvoeren, wie op de uitvoering toeziet, wat de doorlooptijd is en hoe de benodigde informatie (beveiligd) wordt opgeslagen. Hierin worden zowel de jaarlijkse interne audit, als de vierjaarlijkse externe audit verwerkt.
|
Werkgever van de boa (College van burgemeester en wethouders) |
|
|
|
||
|
||
|
||
|
PO / PA / Informatiebeveiliger/ FG / CISO / Buitengewoon opsporingsambtenaren |
|
Het verschil tussen de interne en de externe audit
De jaarlijkse interne audit heeft betrekking op één dan wel een aantal onderdelen van de wet. De interne audit heeft tot doel voor het onderdeel of de onderdelen van de wet waar de interne audit zich op richt, op systematische wijze te toetsen of aan de bepalingen van de wet op adequate wijze uitvoering is gegeven.
Denk bijvoorbeeld aan de verschillende domeinen waarbinnen politiegegevens voor de opsporingstaak verwerkt kunnen worden, maar ook aan verschillende applicaties die daarvoor worden ingezet. Voor een algemeen overzicht van processen die in aanmerking komen voor de audit wordt verwezen naar bijlage 5 bij het Privacybeleid gemeente Zutphen 2024.
Vervolgens vindt een beoordeling plaats van de volgende aspecten binnen de organisatie:
- •
Opzet: De opzet van beheersmaatregelen staat voor ontwerp, bijvoorbeeld te vinden in beleid, zoals informatiebeveiligingsbeleid, privacybeleid, een business case of een projectplan. Als het ontwerp aanwezig is, blijkt dat er een afgewogen keuze is gemaakt. De auditor zal het ontwerp bijvoorbeeld toetsen aan volledigheid. Omdat er van het ontwerp verwacht wordt dat het een formele positie heeft binnen de organisatie (het geeft de kaders voor het treffen en toetsen van de maatregelen) zal er verwacht worden dat het een formele aftekening of goedkeuring heeft gekregen. Denk hierbij aan de handtekening van een directie of MT, of een vastlegging van accordering in een formeel overleg.
- •
Bestaan: Het bestaan zegt zoveel als dat de maatregelen feitelijk zijn getroffen. Voor feitelijke maatregelen (het ophangen en aanzetten van brandmelders) is dat eenvoudig vast te stellen. Voorbeelden van bestaan bij minder concrete maatregelen zijn hoe het ontwerp (de opzet) zich heeft vertaald in procedures, processen en werkwijzen.
- •
Werking: De werking gaat over de effectiviteit van de getroffen maatregelen. Doen deze wel hoe ze bedoeld zijn? Hierbij wordt het ontwerp naast de getroffen maatregel gelegd en wordt het effect getoetst. Als voorbeeld: in het ontwerp staat dat er in iedere ruimte een rookmelder is geplaatst, vanwege een wettelijke plicht. Het ontwerp is gelezen en blijkt volledig. Check. Dan is er een rondgang in het gebouw en in de genoemde ruimten is er een rookmelder aanwezig. Maar dan weten we nog niet of ze het ook feitelijk doen. In dit (korte) voorbeeld zijn zowel opzet als bestaan getoetst. Als de rookmelders getest worden en ze gaan af op het juiste moment (zoals beschreven in het ontwerp, wat getoetst was), dan is ook de werking vastgesteld.
Maak bij het uitvoeren van de interne audit gebruik van reeds opgestelde documenten, zoals DPIA’s, het Register van Verwerking, eerder uitgevoerde audits zoals de ENSIA en werkinstructies. De bevindingen en aanbevelingen worden in een rapportage opgenomen en verstrekt aan de intern verantwoordelijke(n).
De vierjaarlijkse externe audit bestaat uit toetsing op alle onderwerpen. De rapportage die hieruit voortvloeit moet worden verstrekt aan de Autoriteit Persoonsgegevens. Als er tekortkomingen zijn geconstateerd moet 3 maanden na het uitvoeren van de audit een verbeterrapport worden opgesteld, waarop binnen een jaar een hercontrole plaatsvindt. De hercontrole geldt alleen voor die onderdelen van de wet waar de tekortkomingen geconstateerd worden. De resultaten van de hercontrole worden vastgelegd in een rapportage en eveneens verstrekt aan de Autoriteit Persoonsgegevens (uiterlijk 1 jaar na het uitvoeren van de externe audit). Voor het uitvoeren van de externe audit (een volledige audit op opzet, bestaan en werking) wordt ook verwezen naar de NOREA Handreiking ‘Privacy audit Wpg voor boa’s’ (versie 3 september 2024).
Niet iedereen kan/ mag zomaar de interne audit uitvoeren. Een interne auditor moet voldoen aan de volgende eisen:
Beschikt de gemeente niet over iemand die voldoet aan bovenstaande eisen? Dan zal bij het uitvoeren van de audits mogelijk een externe auditor ingeschakeld moeten worden. In theorie zou het inschakelen van een auditor die in dienst is van een dienstverleningsorganisatie in een samenwerkingsverband van gemeenten ook mogelijk moeten zijn.
- 6.
Voor een uitgebreid overzicht van aankomende wet- en regelgeving voor gemeenten, zie bijlage 4.
Bijlage 4: Aankomende wet- en regelgeving
De digitale ontwikkeling is binnen onze samenleving niet meer weg te denken. Digitale technologieën en de integratie van data en informatie raken alle aspecten van gemeentelijk bestuur. Deze ontwikkeling heeft ervoor gezorgd dat de EU een datastrategie heeft geformuleerd met als gevolg dat er veel nieuwe wetgeving op gemeenten afkomt. Tot en met 2026 zullen er in totaal 14 nieuwe wetten van kracht worden op het gebied van digitalisering.
Gemeenten hebben een rijke bron aan persoonsgegevens die van belang zijn voor openbare diensten, stadsplanning en beleidsvorming. Gemeenten interacteren met inwoners op vele digitale fronten en zijn een centraal punt binnen onze samenleving. Het is dan ook cruciaal dat gemeenten de nieuwe regels in scope hebben voor de interne organisatie en de impact die dit met zich meebrengt voor organisaties waarmee zij samenwerken. Aansluitend dienen de nieuwe regels geïmplementeerd te worden en dient hierop een aantoonbaar controlemechanisme ingericht te zijn.
De Digital Decade biedt gemeenten de kans om te transformeren om zo hun dienstverlening te moderniseren, de betrokkenheid van inwoners te vergroten teneinde vertrouwen te realiseren en innovatie te omarmen. Hierdoor kunnen gemeenten de uitdagingen van de 21e eeuw aangaan waar (online)privacy en ethiek cruciaal zijn.
De verplichtingen uit de Digital Decade geven antwoord op de uitdagende digitale veranderde wereld waar innovatie, data privacy en inwoners centraal staan. Deze ontwikkelingen zijn groots en staan garant voor vele veranderingen. Met de juiste aanpak en implementatie van de Digital Decade komt de gemeente op een hoger niveau van digitale weerbaarheid.
- 1.
De ePrivacy Verordening staat op het punt een cruciale rol te spelen in het beschermen van de privacy van inwoners en het reguleren van elektronische communicatie binnen gemeenten en andere organisaties. Deze nieuwe verordening is de opvolger van de huidige ePrivacy richtlijn en een aanvulling op de Algemene Verordening Gegevensbescherming (AVG).
De verordening richt zich op het reguleren van onder andere cookies, vertrouwelijkheid van elektronische communicatie, spam en marketing communicatie.
De ePrivacy Verordening zal in de loop van het jaar 2024 of 2025 van kracht worden. Momenteel is deze nog in ontwikkeling.
De verplichtingen op een rij (dit kan inhoudelijk nog gewijzigd worden):
- •
Toestemming voor cookies: websites dienen toestemming te ontvangen van gebruikers voordat zij niet-essentiële cookies plaatsen of toegang krijgen tot informatie die al is opgeslagen op de apparaten van gebruikers. Een cookiemuur (cookiewall) waarin geen vrije keuze gemaakt kan worden door de betrokkene, is niet toegestaan. De cookiebanner, waarin toestemming wordt gevraagd, zijn aan voorwaarden verbonden zoals het opsplitsen van functionele cookies en andere cookies zoals marketing en analytische.
- •
- •
- •
Recht op privacy van telecommunicatie: informatie uit elektronische communicatie zoals e-mail berichten, WhatsApp berichten, video calls, sms berichten, bezochte websites en locatiegegevens mag alleen gebruikt worden voor een noodzakelijk doel. Anders dient er toestemming te zijn van de betrokkene om de privacy te beschermen.
- •
- •
- •
- •
- •
- •
- 2.
De Cyber Security Act heeft als doel om cyberbeveiliging in Europa te versterken en de digitale weerbaarheid te verbeteren. Hierdoor draagt het bij aan de bescherming van digitale systemen en persoonsgegevens op alle bestuursniveaus, inclusief de gemeentelijke overheden. Deze wet, oftewel de Cyberbeveiligingsverordening, is sinds 2019 van kracht en in april 2022 heeft de Europese upgrade plaatsgevonden.
Gemeenten zullen mogelijk hun beleid en aanbieders inzake cyberbeveiliging moeten herzien en upgraden om aan de nieuwe vereisten te voldoen om zo de digitale infrastructuur van hun gemeente te beschermen tegen cyberdreigingen.
De belangrijkste verplichtingen op een rij:
- •
Meldingsplicht: de autoriteiten verplichten gemeenten om ernstige cybersecurity incidenten te melden zodat zij dit op hun beurt kunnen delen met het Europees Agentschap voor netwerk- en informatiebeveiliging (ENISA). Dit zal bijdragen aan de identificatie en aanpak van grootschalige cyberdreigingen.
- •
- •
Bescherming van kritieke diensten: gemeentelijke digitale diensten die als kritiek worden beschouwd vereisen dat er specifieke beveiligingsmaatregelen worden geïmplementeerd. Daarnaast hebben zij een meldingsplicht voor incidenten waarbij er sprake is van impact op de beschikbaarheid en integriteit van deze diensten.
- •
- •
- •
- •
- •
- •
- •
- 3.
Deze richtlijn heeft als doel de beveiliging van netwerk- en informatiesystemen binnen de EU-lidstaten te verbeteren en gaat over kritieke infrastructuursectoren en digitale dienstaanbieders. De vele datalekken en hacks laten zien dat de cyberdreiging flink is verhoogd waardoor de NIS-richtlijn opnieuw is bekeken en een upgrade heeft gekregen. NIS Directive 2 geeft maatregelen om een hoog niveau van cyberbeveiliging te waarborgen. De deadline om aan de verplichtingen te voldoen is 17 oktober 2024.
De belangrijkste verplichtingen op een rij:
- •
- •
- •
- •
- •
- •
- •
- •
Toezicht en handhaving: om ervoor te zorgen dat gemeenten voldoen aan de beveiligingsvereisten zullen zij worden onderworpen aan toezicht en handhaving. Zo zullen er security audits worden uitgevoerd, welke kunnen leiden tot boetes wanneer blijkt dat zij niet of onvoldoende voldoen aan de wet-en regelgeving.
- •
- •
- 4.
De Cyber Resilience Act is een cruciale wetgeving die specifiek gericht is om kosten van het afhandelen van cyberincidenten en reputatieschade te verlagen. Cyberdreigingen blijven stijgen en cybercriminelen worden steeds sluwer. Het doel van deze wet is om een “appropriate level of cybersecurity based on the risks” te hebben wat ook aansluit bij de AVG.
De CRA verplicht dat fabrikanten van producten met digitale elementen ‘security by design’ dienen te hanteren. Dit betekent dat de beveiliging van de digitale producten op orde moet zijn, er een samenhangend cyberbeveiligingskader is en dat er transparante beveiligingskenmerken zijn zodat bedrijven en inwoners een veilig digitaal product kunnen gebruiken.
De verwachting is dat deze wet eind 2024 van kracht wordt en dat iedereen zich hier vanaf 2027 aan moet houden. De belangrijkste verplichtingen voor gemeenten op een rij:
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
Samenwerking en informatie-uitwisseling: het wordt aangeraden dat gemeenten samenwerken met andere overheidsinstanties en organisaties om informatie en best practices over cyberbeveiliging te delen. Ook is het raadzaam om samen te werken met experts in cyberbeveiliging om de organisatie te beschermen tegen cyberdreigingen.
- 5.
De Single Digital Gateway heeft als doel het creëren van één enkel digitaal portaal waar inwoners en bedrijven toegang kunnen krijgen tot informatie en diensten van overheidsinstanties in de hele Europese Unie. Het is in oktober 2018 aangenomen en vanaf eind 2023 van kracht.
Voor gemeenten betekent dit dat ze de mogelijkheid hebben om informatie en diensten efficiënter en gebruiksvriendelijker aan te bieden aan hun inwoners en lokale organisaties. Hierdoor wordt bureaucratie verminderd met als gevolg een betere dienstverlening. Deze digitale transformatie is nodig zodat diensten bij gemeenten strakker digitaal worden ingericht en/ of worden geoptimaliseerd.
De belangrijkste verplichtingen op een rij:
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- 6.
De European Data Spaces is het speerpunt van de Europese data strategie die in 2020 is voorgesteld met als uitvoering meerdere wetten zoals de Data Governance Act, Data Act en Open Data Directive.
De open data spaces biedt gemeenten de wettelijke ruimte om gegevens te delen, te innoveren en de kwaliteit van hun dienstverlening te verbeteren en te moderniseren. Het is van essentieel belang dat gemeenten zorgvuldig overwegen hoe ze hieraan deel willen nemen en welke gegevens zij op vrijwillige basis delen, en niet te vergeten de bijkomende privacy- en beveiligingsaspecten.
De belangrijkste verplichtingen op een rij:
- •
- •
Interoperabiliteit: een belangrijk aspect van de European Data Spaces is het bevorderen van interoperabiliteit, wat betekent dat gegevens gemakkelijk kunnen worden gedeeld tussen verschillende systemen en organisaties. Gemeenten kunnen profiteren van gestandaardiseerde gegevensformats en protocollen, waardoor ze gegevens effectiever kunnen delen en gebruiken.
- •
- •
- •
- •
- •
- •
Gegevensbescherming: gemeenten zullen zorgvuldig na moeten denken over gegevensbeheer en beveiliging bij deelname aan European Data Spaces. Het waarborgen van de privacy en beveiliging van gegevens is essentieel, aangezien persoonsgegevens worden gedeeld en toegankelijk zijn voor verschillende partijen. Hier dienen gemeenten extra zorgvuldig mee om te gaan.
- •
- •
- 7.
De Open Data Directive is bedoeld om af te dwingen dat overheidsinstanties bepaalde gegevens zoals gegevens over milieu, vervoer en overheidsdiensten die worden verzameld en beheerd, openbaar beschikbaar stellen en hergebruiken. Dit met het doel om de digitale transformatie te stimuleren. De toegang tot overheidsinformatie wordt hierdoor verbeterd en daardoor kan de data worden hergebruikt voor innovatie, economische groei en maatschappelijke doelen.
Deze richtlijn is in het begin van 2019 vastgesteld en in het jaar 2021 in werking getreden. Ons land loopt hierop wel achter en heeft deze richtlijn nog niet omgezet in nationale wetgeving. Hierdoor zal Nederland verantwoording afleggen aan het Hof van Justitie.
De belangrijkste verplichtingen op een rij:
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- 8.
De Data Governance Act richt zich op de processen en structuren van data. De wet heeft als doel het stimuleren van gegevensverdeling, het bevorderen van concurrentievermogen en innovatie én het waarborgen van een veilige en verantwoorde omgang met gegevens.
De DGA is op 23 juni 2022 in werking getreden, echter pas van toepassing per september 2023. De DGA is van belang voor gemeenten om te helpen bij het verbeteren van hun omgang met gegevens wat leidt tot betere dienstverlening en innovatie.
De belangrijkste verplichtingen op een rij:
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- 9.
De Data Act is een veelbesproken en impactvolle wet, deze wet zal op 12 september 2025 van kracht worden. Deze wet is bedoeld om regels te hebben voor toegang tot en het gebruik van gegevens die door slimme apparaten worden uitgewisseld. Deze slimme apparaten zoals slimme meters, een smart TV, medische apparatuur, deurbellen en connected cars verzamelen veel unieke informatie die vooral bij de fabrikanten in beheer blijft. Via de Data Act zullen betrokkenen makkelijker toegang hebben en inzicht krijgen tot de informatie.
De belangrijkste verplichtingen op een rij:
- •
- •
- •
Overheid en data: overheidsinstanties hebben toegang tot data wanneer zij voldoen aan de voorwaarden, namelijk; bij een noodsituatie, bij het voorkomen van een noodsituatie en wanneer zij een noodzakelijk belang hebben bij het uitvoeren van hun taken in het algemeen belang oftewel op basis van één van de zes AVG-grondslagen, namelijk het algemeen belang.
- •
Contracten: er zijn verschillende bepalingen in contracten die worden verplicht of juist worden verboden. Zo wordt de mogelijkheid tot cloud overstap verplicht. Contracten die tegen goede trouw en eerlijke handel zijn (zoals het sluiten van een paragraaf over grove nalatigheid en aansprakelijkheid) worden verboden.
- •
- •
- •
- •
- •
- •
- 10.
De AI Act heeft als doel om een balans te hebben voor de bevordering van innovatie door het gebruik van AI, algoritmes en machine learning en aan de andere kant de bescherming van de rechten, de veiligheid en het welzijn van Europese inwoners en de maatschappij.
De verordening volgt een risico gebaseerde benadering en stelt verplichtingen voor aanbieders en gebruikers. Dit afhankelijk van het risiconiveau dat een AI-systeem met zich meebrengt.
De AI Act is op 9 december 2023 aangenomen en definitief per maart 2024 van kracht geworden.
De belangrijkste verplichtingen op een rij:
- •
- •
- •
AI-systemen met hoog risico: voor vijf categorieën zoals overheidsinstanties geldt dat zij verplicht een Fundamental Rights Impact Assessment (FRIA) uit dienen te voeren bij hoog risico AI-systemen. Dit om risico’s in kaart te brengen voor de zes onderwerpen namelijk: procesbeschrijving, periode en frequentie, categorieën betrokkenen, specifieke risico’s, implementatie maatregelen en beheersmaatregelen.
- •
Transparantie en aansprakelijkheid: de AI Act bevat regels voor transparantie en aansprakelijkheid voor AI-systemen, algoritmes en machine learning, zodat gebruikers inzicht hebben in de logs (die 6 maanden worden bewaard) en hoe beslissingen zijn gemaakt. Daarbij wie er verantwoordelijk is voor eventuele schade.
- •
- •
- •
- •
- •
- •
Boetes: mochten organisaties zich onvoldoende houden aan de AI Act dan kunnen zij een boete verwachten van 7,5 miljoen, 15 miljoen of 35 miljoen euro afhankelijk van de zwaarte van de overtreding. In percentages is dit 1,5%, 3% en 7% van de wereldwijde omzet. Voor mkb en startups zullen de boetes lager uitvallen.
- 11.
De Europese Unie wil met de eIDAS 2.0 een Europees kader voor digitale identiteit creëren, zodat het makkelijker wordt om binnen Europa zaken online te regelen en dat inwoners veilig kunnen inloggen. Vooral organisaties die DigiD en eHerkenning leveren komen in aanraking met de eIDAS 2.0 verordening. De overheid geeft aan dat deze elektronische vertrouwensdiensten diensten zijn die het vertrouwen in online transacties bij bedrijven en consumenten vergroten.
De verwachting is dat het voor gemeenten verplicht wordt om zich vanaf het jaar 2025 aan de eIDAS 2.0 verordening te houden.
De belangrijkste verplichtingen op een rij:
- •
- •
- •
Veilige digitale handtekeningen: het is een vereiste dat gemeenten de mogelijkheid bieden om digitale handtekeningen te gebruiken bij digitale transacties. eIDAS definieert drie niveaus in digitale handtekeningen, zoals een ingescande handgeschreven handtekening of een handtekening met een code die extra beveiligd is.
- •
- •
- •
- •
- •
- •
- •
- 12.
U-Space staat voor “Unmanned Aircraft Systems (UAS)” en de regulations zijn een reeks voorschriften en regels die gaan over het beheer van het luchtruim voor onbemande vliegtuigen – zoals drones – in stedelijke en dichtbevolkte gebieden. In Nederland is deze regeling per 26 januari 2023 van kracht.
Het helpt gemeenten bij het reguleren van drone-activiteiten binnen hun jurisdicties, het handhaven van de veiligheid, het waarborgen van de privacy van hun inwoners én natuurlijk het bijhorende beleid en procedures.
De belangrijkste verplichtingen op een rij:
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
- 13.
Deze wet zal de huidige e-commerce wet uit 2000 gaan vervangen. De DSA gaat over transparantie in het digitaal adverteren, zodat tussenhandelsdiensten, search engines en grote online platforms verantwoordelijk digitaal adverteren. De Deense Christel Schaldemose die verantwoordelijk is voor het wetsontwerp heeft met deze wet de intentie om alles wat offline verboden is, ook online te verbieden.
Het gaat dus over modernisatie van digitale dienstverleners en de rechten en veiligheid van gebruikers in de digitale wereld. Gemeenten maken gebruik van deze digitale platforms waardoor deze wet ook voor hen relevant is.
De zeer grote online platforms en search engines oftewel de tech reuzen zijn ook aangewezen door de Europese Commissie op 25 april 2023. Voor de tech reuzen is de wet per 25 augustus 2023 van kracht, voor de tussenhandelsdiensten per 17 februari 2024.
De belangrijkste verplichtingen op een rij:
- •
Transparantievereisten: online platforms moeten transparante informatie verstrekken over hun algoritmen, de manier waarop ze inhoud aanbevelen en hun advertentiepraktijken. Dit zodat de gebruiker weet waarom juist deze advertentie wordt getoond en de gebruiker via een opt-out de mogelijkheid heeft om de online profilering te stoppen.
- •
Bescherming van consumentenrechten: gebruikers krijgen meer grip, naast bovengenoemde opt-out kunnen zij gemakkelijk illegale content rapporteren. Advertenties mogen niet op basis van bijzondere persoonsgegevens zoals achtergrond, politieke voorkeur of seksuele geaardheid getoond worden. Daarbij komt dat de voorwaarden van de platforms in begrijpelijke taal worden aangeboden.
- •
- •
- •
- •
- •
- •
- •
- •
- 14.
De Digital Market Act streeft naar een betere bescherming van consumentenbelangen. Gemeenten zijn betrokken bij consumentenzaken en kunnen profiteren van sterkere consumentenbescherming op digitale platforms. De Digital Market Act zoomt in op een aantal van de grootste digitale spelers in de markt, zoals grote online platforms en gatekeepers. Dit om eerlijke concurrentie te bevorderen, innovatie te stimuleren en de belangen van consumenten en zakelijke gebruikers te beschermen.
De gemeenten maken gebruik van digitale platforms en diensten waardoor de DMA ook impact voor hen heeft. Deze wet zorgt ervoor om eerlijke en transparante transacties via deze digitale platforms te waarborgen waardoor de digitale innovatie bij gemeenten zal gaan groeien. Deze wet is van kracht sinds 2023 en dus goed om onderstaande verplichtingen mee te nemen.
De belangrijkste verplichtingen op een rij:
- •
- •
- •
- •
- •
- •
- •
- •
- •
- •
Bijlage 5: Uitgebreide RASCI Tabel
|
RASCI-tabel/ Verantwoordelijkheden-Rollen BIO Controles / Privacy controles |
||||||||||||||||||
|
14 Acquisitie, ontwik-keling en Onderhoud Informatiesystemen |
||||||||||||||||||
Permanente link
Kopieer de link naar uw clipboard
https://zoek.officielebekendmakingen.nl/gmb-2025-300053.html