Provinciaal blad van Fryslân
Datum publicatie | Organisatie | Jaargang en nummer | Rubriek |
---|---|---|---|
Fryslân | Provinciaal blad 2017, 2270 | Overige besluiten van algemene strekking |
Zoals vergunningen, bouwplannen en lokale regelgeving.
Adressen en contactpersonen van overheidsorganisaties.
U bent hier:
Datum publicatie | Organisatie | Jaargang en nummer | Rubriek |
---|---|---|---|
Fryslân | Provinciaal blad 2017, 2270 | Overige besluiten van algemene strekking |
Besluit van Gedeputeede Staten van 28 maart 2017 , kenmerk 01405447 houdende een Privacyreglement personeelsgegevens Provincie Fryslân
Gedeputeerde Staten van stellen de volgende regeling vast:
Besluit nr. 01405447 d.d. 28 maart 2017 van Gedeputeerde Staten van Fryslân
Gedeputeerde Staten van Fryslân besluiten vast te stellen de volgende regeling:
Overkoepelend privacyreglement bij registratie van personeelsgegevens door of na-mens de provincie Fryslân.
Door de voortschrijdende techniek en automatisering neemt het aantal registraties (bestan-den) waarin tevens persoonsgegevens van werknemers worden opgenomen toe. Een niet uitputtende lijst van registraties door de werkgever, of waar de werkgever navraag naar kan doen is:
Voor de medewerkers waarvan gegevens worden geregistreerd is het van belang te weten dat gegevens worden geregistreerd, voor welk doel en hoelang ze worden bewaard. Ook van belang is voor alle partijen gedragsregels te kennen wat mag wel en wat mag niet met die personeelsgegevens, maar ook bewust zijn dat gedrag via verschillende media’s risico’s heeft. Dit laatste, het gedrag, valt buiten het kader van dit privacyreglement. Aanbevolen wordt om dit separaat van dit protocol in te vullen. Dit geldt ook voor verplichtingen die gelden voor medewerkers bij gebruik van verschillende middelen, denk daarbij aan dossiervorming en het vastleggen van een stuk dat vertrouwelijk/geheim is.
De werkgever heeft de wettelijke plicht de Ondernemingsraad te betrekken bij regelingen voor het verwerken, registreren/opslaan, bewaren en verwijderen van personeelsgegevens. Daarbij heeft de Ondernemingsraad instemmingsrecht. Met het vaststellen van een overkoe-pelend privacyreglement wordt beoogd als werkgever haar visie neer te leggen over de wijze waarop met gegevens van personeel wordt omgegaan, evenals inhoud te geven aan de rol van de OR voor de huidige en toekomstige registratie van personeelsgegevens. Het regle-ment voorkomt dat in de toekomst bij elke nieuwe of gewijzigde registratie, dan wel wens tot gebruik van gegevens, instemming aan de OR behoeft te worden gevraagd. Het geeft duide-lijkheid over wederzijdse verplichtingen t.a.v. registratie, maar ook over de daarover te geven informatie. Het invullen van de gezamenlijke visie op gebruik van persoonsgegevens leidt tevens tot een eenduidige informatieverstrekking naar de werknemers over waar gegevens worden geregistreerd en onder welke spelregels.
Als basis voor het reglement geldt uiteraard de Wet Bescherming Persoonsgegevens. In 2016 wordt stringentere Europese regelgeving op het gebied van privacy doorgevoerd, waaronder het moeten hebben van passende veiligheidsmaatregelen, maar ook eisen ten aanzien van welke persoonsgegevens mogen worden verwerkt. Dit reglement zal, door de verplichting in beeld te brengen, welke registraties er zijn, het eenvoudiger maken om aan die nieuwe ver-plichtingen te voldoen.
De uitgangspunten voor de invulling van dit reglement zijn:
Dit reglement is van toepassing op alle geautomatiseerde en niet geautomatiseerde bestanden van de Provincie Fryslân waarin persoonsgegevens van medewerkers worden opgeslagen.
3. Inventarisatie persoonsbestanden
een actueel overzicht van de bestanden op intranet plaatsen.
Het hoofd van de afdeling Informatievoorziening is verantwoordelijk voor een actieve uitvoering van deze registratieverplichtingen. Daartoe zal eens in de twee jaren een uitvraag worden gedaan naar alle afdelingen om te voldoen aan de in dit reglement genoemde verplichtingen.
4. Aanvulling of verwijdering van de lijst
De organisatie is bevoegd om, zonder instemmingsaanvraag bij de Ondernemings-raad (OR), de lijst aan te vullen of in te perken mits bij aanvulling van de lijst voor een nieuw bestand wordt voldaan aan de eisen zoals gesteld in dit reglement. Voorlegging aan de OR is wel noodzakelijk als wordt afgeweken van dit reglement en/of er ten op-zichte van dit reglement aanvullende bevoegdheden aan de organisatie worden toe-bedeeld. Dan is voorleggen aan de OR ter instemming verplicht.
De OR wordt over wijzigingen in de lijst geïnformeerd. De OR toetst binnen een maand na ontvangst van de informatie of zij alsnog een instemmingsverzoek wenst te ontvangen. Een verzoek daartoe richt de OR aan de algemeen directeur.
5. Primaire doel en controledoelen van een bestand
Een bestand moet een gerechtvaardigd doel hebben.
Per bestand wordt behalve het primaire doel aangegeven waarvoor de gegevens verder mogen worden gebruikt.
Gebruik van gegevens uit een bestand voor controle is alleen mogelijk op basis van wat daarover is bepaald in dit artikel.
Gebruik van gegevens voor controle van een medewerker is toegestaan nadat de algemeen directeur daartoe, op basis van een gerechtvaardigd vermoeden van een strafbaar feit of niet integer handelen, opdracht heeft gegeven. Deze controle mag slechts worden uitgevoerd door medewerkers, die functies be-kleden die voorkomen op de lijst van gekwalificeerde functies, volgens het vi-gerende integriteitsbeleid. De medewerker naar wie een onderzoek is ingesteld zal hierover worden geïnformeerd. In het belang van het onderzoek zal dat vaak na het onderzoek zijn. Dit zal achteraf naar de betrokkene toe worden gemotiveerd. De Ondernemingsraad wordt vertrouwelijk geïnformeerd over het instellen van een onderzoek.
5.2.2 Steekproefsgewijze controle
De inhoud en de omvang van de steekproef wordt overeengekomen met een re-delijke en representatieve vertegenwoordiging van de doelgroep. De voorgenomen steekproef wordt gemeld bij de Ondernemingsraad onder vermelding van de wijze waarop de redelijke en representatieve vertegenwoordiging van de doelgroep is samengesteld. De Ondernemingsraad wordt geacht te hebben ingestemd tenzij de Ondernemingsraad binnen drie weken gemotiveerd aangeeft niet te kunnen in-stemmen. De uitkomsten van de controle worden, geanonimiseerd, met de doelgroep ge-deeld.
5.2.3 Gebruik van toevallig geconstateerde strafbare feiten of niet integer ge-drag
Indien onverwacht op strafbare feiten of niet integer gedrag wordt gestuit, “toevallig zien wij dat”, en daarover nog geen beleidslijn is vastgesteld dan zal deze informatie niet worden gebruikt, tenzij het aangetroffen feit een strafbaar feit betreft waarvoor een wettelijk meldplicht geldt.
6. Welke afdeling beheert het bestand?
In de onder 3 onder b genoemde bijlage wordt vastgelegd welke afdeling het bestand beheert. Het afdelingshoofd is verantwoordelijk voor de nakoming van de verplichtin-gen in dit reglement.
8. Bron gegevens en bewaartermijn
In de onder 3 onder b genoemde bijlage wordt vastgelegd:
De bewaartermijn van de verschillende gegevens die wordt bepaald door de waarde van de gegevens binnen een (werk)proces of zaak. Als deze gegevens een rol of functie binnen een (werk)proces of zaak hebben, wordt de bewaar-termijn vastgesteld op grond van de provinciale selectielijst. Spelen de perso-neelsgegevens geen rol in een proces of zaak, geldt de Wet bescherming per-soonsgegevens. In dat geval kan alleen van de bewaartermijn worden afgewe-ken gemotiveerd en met instemming van de OR.
Voor elk bestand met persoonsgegevens is er een inzage- en correctierecht. Hieron-der wordt mede begrepen het recht om aan te vullen of gegevens te laten verwijderen.
Per bestand wordt in de bijlage als genoemd onder 3b vermeld:
Bij verschil van mening of er correctie van persoonsgegevens aangewezen is beslist de verantwoordelijke voor het bestand. De verantwoordelijke maakt zijn besluit schrif-telijk bekend aan de betrokken medewerker. Een dergelijk besluit geldt als een besluit in de zin van de Algemene wet bestuursrecht, waartegen de mogelijkheid van het ma-ken van bezwaar openstaat.
10. Toegang, verwerking, beperking en geheimhouding gegevens
In de onder 3 onder b genoemde bijlage wordt vastgelegd welke functionarissen (func-tiebenaming) toegang hebben tot de persoonsinformatie en gegevens mogen verwer-ken, registreren, opslaan en verwijderen.
Functionarissen met deze taak hebben een geheimhoudingsplicht betreffende de per-soonsgegevens naar anderen dan degenen die functioneel deze gegevens nodig heb-ben. Voorafgaande aan benoeming in deze taken moet een verklaring omtrent het ge-drag worden overlegd. Dit wordt in het personeelsdossier vastgelegd.
11. Levering van persoonsgegevens uit persoonsregistraties aan derden
Gegevens worden niet aan derden verstrekt tenzij:
De verstrekking van gegevens van meerdere medewerkers nodig is voor de uitvoering van door de werkgever gewenste taken. Voorafgaand aan de gege-vensverstrekking wordt de medewerker de mogelijkheid geboden daartegen zijn bezwaar kenbaar te maken. Dat bezwaar wordt gerespecteerd. Deze gegevensverstrekking wordt vooraf gemeld bij de Ondernemingsraad.
Indien de gegevensverstrekking beperkt blijft tot het leveren van het zakelijk emailadres voor door de werkgever gewenste taken is dat zonder procedure als bedoeld onder b mogelijk, mits is vastgelegd dat dit gegeven alleen mag worden gebruikt voor de door de provincie gewenste en met de derde over-eengekomen taak.
In de onder 3 onder b genoemde bijlage wordt vastgelegd hoe en door welke functio-naris de persoonsgegevens worden beveiligd opdat onbevoegden geen toegang heb-ben tot de personeelsgegevens.
13. Meldplicht bij College Bescherming Persoonsgegevens
In de onder 3 onder b genoemde bijlage wordt vastgelegd of er een meldplicht voor het bestand bij het College Bescherming Persoonsgegevens en zo ja, of en op welke datum aan die meldplicht is voldaan.
Concern control is belast met het toezien op de naleving van dit reglement. Hiertoe worden in een de door de directie te bepalen frequentie audits uitgevoerd.
Regelmatig zijn er in het overleg tussen de Algemeen directeur met de ondernemingsraad agendapunten waarin privacyaspecten van medewerkers een rol spelen. Beide partijen willen met dit reglement een duidelijk statement maken naar de organisatie over de wijze waarop beide partijen willen omgaan met privacy gevoelige vraagstukken. Het reglement geeft kaders waardoor ruimte ontstaat om daarbinnen zonder overleg te handelen.
Bovendien maakt het reglement voor medewerkers inzichtelijk welke informatie over hen is opgeslagen en waar dat ligt en voor welk doel. Op deze wijze wordt het eenvoudiger inhoud te geven aan het wettelijke inzage en correctierecht.
Voor dit reglement wordt uit praktische overwegingen maximaal aangesloten bij de definities uit de Wet Bescherming Persoonsgegevens (WBP).
Enkele essentiële definities uit de wet zijn:
verwerking van persoonsgegevens: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;
Artikel 2 Uitgangspunt en reikwijdte
In dit artikel wordt aangegeven dat er bij de werkgever gewerkt wordt met een positief kritische grondhouding betreffende privacygegevens. Uitgangspunt daarbij zijn, conform het gestelde in de inleiding, de bepalingen uit de WBP.
Artikel 3 Inventarisatie Persoonsregistraties
Voor de werkgever en voor de werknemer is het goed inzage te krijgen welke bestanden er zijn en op welke afdeling. Volgens deze regeling moet de werkgever daartoe een lijst aanleggen met bestanden en die lijst op één plaats in de organisatie te beleggen. Aan die lijst worden vervolgens per bestand eisen gesteld betreffende:
Artikel 4 Aanvulling of verwijdering van de lijst
Binnen het in het reglement aangegeven kaders geeft de ondernemingsraad instemming met deze regeling om persoonsgegevens te gebruiken. Teneinde te kunnen vaststellen of de werkgever werkt conform het reglement is de verplichting opgenomen om de Ondernemingsraad te informeren over aanvullingen en/of wijzigingen op de lijst persoonsgegevens van medewerkers.
Artikel 5 Primaire doel en controledoelen van registratie
Volgens de WBP mogen gegevens alleen worden gebruikt voor het doel waarvoor ze zijn geregistreerd. Daarom moet het doel bij aanvang van registratie helder zijn en helder worden gecommuniceerd. Met name de vraag of gegevens gebruikt mogen worden voor controledoeleinden is in het overleg met de ondernemingsraad regelmatig onderwerp van gesprek geweest.
Bij de vraag of de werkgever wil controleren is er een afweging van meerdere factoren noodzakelijk. Een rol daarbij spelen o a: vertrouwen, het risico, beperking verleidingen, realisme (fraude komt voor), publicitair risico, vrijwaren van verdenkingen, bescherming collega’s etc.
Artikel 5.2.1 Gerichte controle
Soms is het noodzakelijk gericht te controleren of er strafbare feiten of niet integer gedrag heeft plaatsgevonden. In het Reglement email en internet Provincie Fryslân zijn in het verleden afspraken vastgelegd die waarborgen bieden tegen willekeur bij controle. Gerichte controle is met strikte waarborgen omkleed. De lijn uit het genoemde Reglement email en internet Provincie Fryslân zijn in dit reglement overgenomen en krijgen daarmee een bredere werkingssfeer.
Artikel 5.2.2 Steekproefsgewijze controle
Over de noodzaak van steekproefsgewijze controle wordt verschillen gedacht. Daarom is juist bij dit aspect een helder kader en open communicatie van groot belang. Vanuit meerdere invalshoeken kan steekproefsgewijze controle nodig zijn. Dit is niet alleen een werkgeversbelang. Steekproefsgewijze controle kan voorkomen dat medewerkers voor het dilemma komen te staan te moeten kiezen voor collegialiteit of het organisatiebelang.
Vanwege de acceptatie en de benodigde communicatie is vastgelegd dat over steekproefsgewijze controle met de te controleren groep moet zijn gesproken over de invulling van de controle.
Steekproefsgewijze controle impliceert dat een deel van een groep wordt gecontroleerd, dus niet alle leden van een groep. Steekproefsgewijze controle kan eenmalig zijn, maar ook periodiek. De keuze voor eenmalig of periodiek moet een relatie hebben met de reden voor de controle.
Artikel 5.2.3 Toevallig geconstateerde onregelmatigheden
Soms kan het gebeuren dat een medewerker toevallig constateert dat een andere medewerker een strafbaar feit heeft gepleegd, of niet integer is geweest. Denk hierbij bijvoorbeeld aan een situatie dat een medewerker van Informatievoorziening iemand helpt met problemen in het gebruik van een laptop en toevallig informatie ziet langskomen waaruit een strafbaar feit blijkt of niet integer gedrag (bijvoorbeeld porno-afbeeldingen).
De afdeling is eigenaar, inhoudelijk verantwoordelijk voor het bestand en het voor het nakomen van verplichtingen op basis van dit reglement. De afdeling IV bepaalt hoelang het wordt bewaard, wanneer het mag worden vernietigd, hoe het gemigreerd moet worden, etc.
Artikel 7 Welke gegevens worden geregistreerd
Registratie moet een duidelijk omschreven doel hebben. Ongebreideld bewaren van persoonsgegevens zonder doel is niet toegestaan. Ook moet worden onderkend dat registratie van gegevens soms niet is toegestaan. Een werkgever mag bijvoorbeeld geen registratie bijhouden over de medische redenen voor ziekteverzuim. Dit is voorbehouden aan een bedrijfsarts en/of Arbodienst. Ook mogen relaties op het werk niet worden geregistreerd behoudens eventuele werkafspraken, die na een melding vanwege een relatie, zijn gemaakt (gedragscode (familie-)relaties op het werk).
Artikel 8 Bron van gegevens en bewaartermijn
De Archiefwet 1995 verplicht de overheden om een selectielijst te ontwerpen en te onderhouden. Selectielijsten zijn overzichten waarin aan archiefbescheiden waarderingen zijn toegekend op basis waarvan deze geselecteerd kunnen worden in blijvend te bewaren of op termijn te vernietigen. Voorts dient de lijst de bewaartermijnen aan te geven, waarna de te vernietigen archiefbescheiden dienen te worden vernietigd.
Voor de provinciale organen en de Commissaris van de Koning als rijksorgaan is op 19 december 2013 de Selectielijst archiefbescheiden Provinciale Organen en Selectielijst archiefbescheiden Commissaris van de Koning als rijksorgaan 2013 (Provisa) namens de minister van OCW vastgesteld door de directeur van het Nationaal Archief. Provisa (Provinciale Selectielijst Archieven) is in de Staatscourant van 17 januari 2014 gepubliceerd en is in werking getreden twee dagen na publicatie op 19 januari 2014
Artikel 11 Levering van persoonsgegevens aan derden
De medewerker moet weten wat er met zijn informatie gebeurt. Zeker als informatie aan derden wordt geleverd moet dit een gerechtvaardigd doel betreffen en is primair de werknemer zelf mede beslissend, tenzij er een wettelijke verplichting geldt of het alleen gaat om het zakelijke emailadres (onder waarborgen).
Het verstrekken van alleen het zakelijke email adres is bedoeld voor bijvoorbeeld het door een extern bureau laten doen van een vragenonderzoek bij medewerkers, het zal geen commercieel belang dienen.
Kopieer de link naar uw clipboard
https://zoek.officielebekendmakingen.nl/prb-2017-2270.html
De hier aangeboden pdf-bestanden van het Staatsblad, Staatscourant, Tractatenblad, provinciaal blad, gemeenteblad, waterschapsblad en blad gemeenschappelijke regeling vormen de formele bekendmakingen in de zin van de Bekendmakingswet en de Rijkswet goedkeuring en bekendmaking verdragen voor zover ze na 1 juli 2009 zijn uitgegeven. Voor pdf-publicaties van vóór deze datum geldt dat alleen de in papieren vorm uitgegeven bladen formele status hebben; de hier aangeboden elektronische versies daarvan worden bij wijze van service aangeboden.