Provinciaal blad van Limburg
| Datum publicatie | Organisatie | Jaargang en nummer | Rubriek |
|---|---|---|---|
| Limburg | Provinciaal blad 2024, 19732 | beleidsregel |
Authentieke versie (PDF)
Informatie
Printen
Delen
Privacybeleid Provincie Limburg 2025
Binnen de Provincie Limburg worden verschillende persoonsgegevens verwerkt (bijvoorbeeld van burgers en medewerkers). Persoonsgegevens worden voornamelijk verzameld van burgers voor het goed kunnen uitvoeren van wettelijke en/of autonome taken of vanwege een andere legitieme noodzaak die verband houdt met de kwaliteit en continuïteit van de provinciale bedrijfsvoering. Tegelijkertijd gaat ook de Provincie Limburg mee met nieuwe ontwikkelingen zoals nieuwe en innovatieve technologieën, globalisering. Tevens stelt een steeds verdere digitalisering van de overheid andere eisen aan de bescherming van gegevens en privacy. De Provincie Limburg is zich hier bewust van en streeft ernaar dat de privacy gewaarborgd blijft, onder andere door het treffen van maatregelen op het gebied van informatiebeveiliging, dataminimalisatie en transparantie. Een burger moet erop kunnen vertrouwen dat de Provincie Limburg zorgvuldig en veilig met persoonsgegevens omgaat.
Tevens worden er binnen de Provincie Limburg politiegegevens verwerkt door de buitengewoon opsporingsambtenaren (boa’s) in het kader van de strafrechtelijke handhaving. Op de verwerking van politiegegevens is de Wet politiegegevens (hierna: Wpg) van toepassing en niet de Algemene verordening gegevensbescherming (hierna: AVG). Daarnaast zijn er ook een aantal andere regelingen van toepassing op de verwerking van politiegegevens, zoals het Besluit politiegegevens (hierna: Bpg), het Besluit politiegegevens buitengewoon opsporingsambtenaren (hierna: Bpg boa) en de Regeling periodieke audit politiegegevens. Het college van Gedeputeerde Staten van Limburg is als werkgever verwerkingsverantwoordelijke in het kader van de Wpg.
Dit privacybeleid is een uitwerking van artikel 24, tweede lid van de AVG en heeft tot doel te laten zien welke maatregelen de Provincie Limburg heeft genomen om aan te tonen dat de persoonsgegevens in overeenstemming met de toepasselijke wet- en regelgeving worden verwerkt. Dit beleid is van toepassing op de hele organisatie, alle processen, onderdelen, objecten en gegevensverzamelingen van de Provincie Limburg. Daarnaast beschrijft dit beleid hoe de Provincie Limburg binnen de wettelijke kaders van de Wpg en onderliggende regelgeving met politiegegevens omgaat. De boa’s van de Provincie Limburg zijn zich ervan bewust dat zij zorgvuldig moeten omgaan met politiegegevens. Zij worden daarin getraind en volgen interne werkinstructies. Het geautomatiseerde systeem waarmee zij politiegegevens verwerken, zorgt ervoor dat de verwerking op rechtmatige wijze plaatsvindt.
Iedereen heeft recht op bescherming van zijn persoonlijke levenssfeer. Dit recht is geborgd in de Grondwet en is een groot goed. Het juridische kader voor de omgang met persoonsgegevens in Nederland staat in de AVG, de Uitvoeringswet AVG, de Wpg en diverse andere wetten (bijvoorbeeld de Kieswet en de Archiefwet). Bij de omgang met persoonsgegevens hanteert en toetst de Provincie Limburg met name de regels uit de AVG en Wpg. Sectorspecifieke privacywetgeving die van toepassing is op de verwerking van persoonsgegevens door de Provincie Limburg wordt in een separaat register opgenomen.
De volgende begrippen worden in de AVG (artikel 4, van de AVG) en Wpg (artikel 1, van de Wpg) gebruikt en zijn van belang voor een goed begrip van deze Europese verordening, Nederlandse wetgeving en onderhavig beleid:
- -
- -
- -
Gegevensbeschermingseffectbeoordeling/data protection impact assessment (DPIA): een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen om vervolgens maatregelen te kunnen nemen om de risico’s te verkleinen. Een DPIA is een beoordeling over het effect van de (nieuwe of aangepaste) verwerking op de bescherming van de persoonsgegevens of politiegegevens en is verplicht als een gegevensverwerking waarschijnlijk een hoog privacyrisico oplevert voor de betrokkenen. De beoordeling bevat ten minste een inschatting van de risico’s van de verwerking en de vereiste beheersmaatregelen om tekortkomingen op te lossen;
- -
Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Het gaat hierbij om ieder gegeven dat direct te herleiden is tot een bepaalde persoon (bijvoorbeeld: naam, adres, geboortedatum). Naast “gewone” persoonsgegevens kent de wet ook bijzondere persoonsgegevens. Dit zijn gegevens die gaan over gevoelige onderwerpen, zoals etnische achtergrond, politieke voorkeuren of gezondheid;
- -
Politiegegeven: elk persoonsgegeven dat wordt verwerkt in het kader van de uitvoering van de politietaak, bedoeld in de artikelen 3 en 4 van de Politiewet 2022, met uitzondering van (1) de uitvoering van wettelijke voorschriften anders dan de Wet administratiefrechtelijke handhaving verkeersvoorschriften of (2) de bij of krachtens de Vreemdelingenwet 2000 opgedragen taken, bedoeld in artikel 1, eerste lid, onderdeel i, onder 1° en artikel 4, eerste lid, onderdeel f, van de Politiewet 2012;
- -
- -
- -
3. Organisatie: taken en verantwoordelijkheden
3.1. Centrale verantwoordelijkheid
Het college van Gedeputeerde Staten van de Provincie Limburg (hierna: het college van Gedeputeerde Staten) is verantwoordelijk voor het naleven van de uitgangspunten uit de privacy wet- en regelgeving en de kaders voor het verantwoord omgaan met persoonsgegevens of politiegegevens.
Het college van Gedeputeerde Staten legt over de uitvoering van het privacybeleid verantwoording af aan Provinciale Staten van de Provincie Limburg (hierna: Provinciale Staten) en betracht beleidstransparantie met behulp van publieksvoorlichting. Als verantwoordelijk gezag stelt het college van Gedeputeerde Staten privacybeleid op, draagt het dit uit en wijst het taken, verantwoordelijkheden en bevoegdheden toe.
3.2. Rollen (functies) rondom privacy en informatiebeveiliging
3.2.1. De secretaris/algemeen directeur
De secretaris/algemeen directeur is verantwoordelijk voor de kaderstelling en sturing op de uitvoering van het privacybeleid. Minimaal één keer per jaar evalueert hij/zij, samen met de functionaris voor gegevensbescherming (hierna: FG) de naleving van privacyregelgeving en onderhavig beleid. Daarnaast zorgt hij/zij ervoor dat de FG naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens of politiegegevens.
De clustermanagers zijn op uitvoeringsniveau verantwoordelijk voor een privacybestendige bedrijfsvoering en gegevensuitwisseling met derden. Uiteraard voor zover passend binnen hun mandaat en de door het college van Gedeputeerde Staten vastgestelde beleidskaders. De clustermanagers leggen hierover via de directie verantwoording af aan het college van Gedeputeerde Staten. Daarnaast kan het voorkomen dat ook een directeur of programma-/projectmanager op uitvoeringsniveau verantwoordelijk is voor een proces waarin persoonsgegevens worden verwerkt. De clustermanagers winnen advies in bij de Privacy-officer of privacyrechtjurist(en) voordat wordt aangevangen met een nieuwe of verdere verwerking van persoonsgegevens.
3.2.3. Het privacy- en informatiebeveiligingsteam (PIT)
Privacybescherming vergt kennis op het gebied van gegevensmanagement en IT, juridische kennis van wet- en regelgeving, auditexpertise voor de DPIA’s, kennis van informatiebeveiliging en van werkprocessen en systemen. Binnen de Provincie Limburg is een team actief waarin deze expertise voorhanden is. Dit team heet ‘privacy- en informatiebeveiligingsteam’, kortweg: PIT. Het PIT ondersteunt de clustercoördinators privacy, de clustermanagers, de directie en het college van Gedeputeerde Staten bij de uitvoering van het privacybeleid. Dit team bestaat ten minste uit de Privacy-officer (jurist van het cluster Algehele Juridische Zaken (AJZ)), privacyrechtjurist(en), de Information Security Officer (senior Adviseur Organisatie en Informatie van het cluster Organisatie en Informatie) en de FG (als adviseur). Dit team adviseert de directie eveneens bij datalekken.
Concreet heeft het PIT de volgende taken:
- •
- •
- •
- •
- •
- •
3.2.4. De clustercoördinators privacy
Elke clustermanager wijst een medewerker aan die binnen zijn cluster fungeert als privacy-coördinator. Deze coördinator is het eerste aanspreekpunt voor het PIT bij de implementatie van (nieuwe) maatregelen op het terrein van privacy en heeft verder de volgende taken en verantwoordelijkheden:
- •
- •
- •
- •
- •
De Provincie Limburg heeft een FG aangesteld. De FG is een onafhankelijke en deskundige interne toezichthouder en adviseur met wettelijke taken en bevoegdheden. De FG houdt binnen de organisatie toezicht op de toepassing en naleving van alle privacy wet- en regelgeving waaronder de AVG en Wpg. Deze functionaris is betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens en politiegegevens. De FG is verantwoordelijk voor het structureel toetsen van de implementatie en de uitvoering van de wettelijke eisen en het provinciale beleid op het gebied van privacy. Concreet heeft de FG de volgende taken:
- •
- •
- •
- •
- •
- •
- •
- •
De FG krijgt de nodige ruimte voor professionele uitvoering van zijn taken. Conform artikel 38, van de AVG en artikel 36, van de Wpg:
- •
- •
- •
- •
Elk kwartaal brengt de FG verslag uit van zijn/haar werkzaamheden aan de secretaris/algemeen directeur en de CIO.
3.2.6. De bevoegd functionaris
Voor verwerkingen conform artikel 9 van de Wpg is het noodzakelijk om een bevoegd functionaris aan te wijzen. De bevoegd functionaris is de ‘hoeder’ van de gegevens die onder artikel 9 van de Wpg worden verwerkt. Deze functionaris is beschreven in artikel 2:10, eerste lid, van het Bpg. De bevoegd functionaris wordt door de werkgever aangewezen via een separaat aanwijzingsbesluit. De Provincie Limburg heeft twee bevoegd functionarissen aangewezen.
De bevoegd functionaris heeft onder andere de volgende taken:
- •
- •
- •
- •
- •
Schematische weergave taken en verantwoordelijkheden op terrein van privacy
4. Uitgangspunten en maatregelen
In dit hoofdstuk staan de uitgangspunten en maatregelen centraal die de Provincie Limburg hanteert bij de verwerking van persoonsgegevens en politiegegevens. Zoals eerder aangegeven, wordt bij het bepalen van een passende maatregel o.a. rekening gehouden met de soort verwerking (de aard, omvang, context, het doel) en de risico’s voor betrokkenen (hoe groot is de kans dat zich ook daadwerkelijk een schending van de privacy van betrokkene(n) voordoet en als dat onverhoopt mocht gebeuren, hoeveel hinder en schade heeft dit dan voor hem/haar).
De Provincie Limburg hanteert voor het op de juiste manier waarborgen van privacy het ‘Borgingsproduct Gegevensbescherming’ van de VNG/ Informatiebeveiligingsdienst (IBD). Het borgingsproduct is een hulpmiddel om de AVG te vertalen naar een kwaliteitscyclus voor gegevensbescherming voor gemeentelijke processen. Gezien de opzet van dit borgingsproduct is het ook geschikt voor de provinciale processen.
Volgens de AVG en Wpg mogen persoonsgegevens of politiegegevens alleen verwerkt worden als daarvoor een doel is vastgesteld. Het doel moet per individuele verwerking uitdrukkelijk omschreven en gerechtvaardigd zijn. De gegevens mogen niet voor andere doeleinden verwerkt worden, tenzij er sprake is van een verenigbaar doel. Voor de uitvoering van diverse provinciale taken zijn de doeleinden voor het verwerken in een wet vastgelegd, net als de persoonsgegevens of politiegegevens die gevraagd en verwerkt mogen worden. Op het moment dat een verwerking wordt opgenomen in het register zoals genoemd onder punt 4.14, wordt het doel van de verwerking hierin vermeld.
Persoonsgegevens en politiegegevens mogen niet alleen worden verwerkt als daarvoor een doel is vastgesteld, er moet daarnaast ook een beroep kunnen worden gedaan op een grondslag voor de verwerking.
In artikel 6 van de AVG zijn zes grondslagen vastgelegd voor de verwerking van persoonsgegevens. Voor de verwerking van persoonsgegevens moet op ten minste één van de zes grondslagen een beroep worden gedaan. Het betreft de volgende grondslagen:
- •
- •
- •
- •
- •
- •
De Wpg onderscheidt verschillende grondslagen waarvoor politiegegevens mogen worden verwerkt. Deze staan in de artikelen 8, 9, 10, 12 en 13, van de Wpg beschreven. Het Bpg boa beschrijft in artikel 2 dat voor de boa alleen artikel 8, 9 en 13 Wpg-verwerkingen van toepassing zijn. Afhankelijk van de grondslag gelden er andere voorwaarden, bijvoorbeeld voor de verwerkingstermijn en toegankelijkheid voor andere opsporingsambtenaren. Het betreft de volgende grondslagen:
- •
- •
- •
De grondslag dient te worden vastgelegd in het register van verwerkingsactiviteiten.
Bij de verwerking van persoonsgegevens of politiegegevens blijft de hoeveelheid en het soort gegevens beperkt (artikel 5 onder c van de AVG of artikel 4, van de Wpg): er worden zo min mogelijk persoonsgegevens verwerkt, dat wil zeggen alleen de gegevens die noodzakelijk zijn voor het doel van de verwerking. Het doel kan niet met minder, alternatieve of andere gegevens worden bereikt.
Persoonsgegevens mogen niet langer bewaard worden dan strikt noodzakelijk voor het doel waarvoor ze zijn verzameld, de dienstverlening of wettelijke verplichting.
Er is op grond van de AVG geen concrete bewaartermijn voor persoonsgegevens. Persoonsgegevens mogen echter alleen bewaard worden als identificeerbare gegevens, voor zolang het nodig is voor de doeleinden waarvoor ze verzameld zijn. Bij de bepaling van de bewaartermijn is het dus zaak om na te gaan hoe lang de gegevens nodig zijn voor het doel waarvoor deze zijn verzameld of worden gebruikt. Wel zijn er concrete bewaartermijnen in andere wetten waar organisaties zich aan moeten houden, bijvoorbeeld in de Archiefwet en de belastingwetgeving.
In de Wpg staan termijnen voor het bewaren van politiegegevens. Politiegegevens die op grond van artikel 8 en 9, van de Wpg zijn verwijderd, worden gedurende vijf jaar bewaard voor het afhandelen van klachten en het verantwoorden van verrichtingen (audits). Verder kunnen deze gegevens in bijzondere gevallen en voor zover dat noodzakelijk is voor een artikel 9-verwerking ter beschikking worden gesteld voor hernieuwde verwerking. Dit kan alleen in opdracht van de Officier van Justitie. Deze gegevens mogen ook worden verwerkt ten behoeve van wetenschappelijk onderzoek en statistiek.
De AVG en Wpg eisen dat maatregelen worden getroffen om te waarborgen dat de te verwerken persoonsgegevens juist en actueel zijn. Indien nodig worden persoonsgegevens geactualiseerd. De AVG en Wpg geven in dit kader aan dat alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren.
Verantwoord omgaan met persoonsgegevens of politiegegevens valt of staat met een adequate beveiliging van de gegevens. Slechte beveiliging kan bijvoorbeeld leiden tot een datalek, verandering van, en ontoegankelijkheid van persoonsgegevens. Op grond van de AVG en Wpg moeten bedrijven en overheden dan ook passende technische en organisatorische maatregelen nemen. Er moet dus niet alleen naar de techniek worden gekeken, maar ook naar hoe de Provincie Limburg als organisatie met persoonsgegevens of politiegegevens omgaat. Zo moet bijvoorbeeld worden bekeken wie er toegang heeft tot welke gegevens.
In de AVG is expliciet opgenomen dat persoonsgegevens verwerkt moeten worden op een manier die transparant is voor de betrokkene. Voor een natuurlijke persoon moet transparant zijn of en in hoeverre zijn persoonsgegevens (zullen) worden verzameld, gebruikt, geraadpleegd of anderszins verwerkt: het transparantiebeginsel (artikel 5, eerste lid onder a van de AVG). Dit betekent dat een betrokkene onder andere op de hoogte moet worden gesteld van de verwerking van zijn/haar persoonsgegevens en de doeleinden hiervan. Deze actieve informatieplicht is vastgelegd in artikel 13, eerste lid en artikel 14, eerste lid van de AVG. Communicatie met betrokkene dient bovendien plaats te vinden in begrijpelijke, beknopte en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal (artikel 12, eerste lid van de AVG).
De Provincie Limburg informeert betrokkene actief over het verwerken van zijn/haar persoonsgegevens. Wanneer betrokkenen gegevens aan de Provincie Limburg verstrekken, worden zij op dat moment (bijvoorbeeld via het aanvraagformulier) op de hoogte gesteld van de manier waarop de Provincie Limburg met hun persoonsgegevens om zal gaan. De betrokkene wordt niet nogmaals geïnformeerd als hij/zij al weet dat de Provincie Limburg persoonsgegevens van hem/haar verzamelt en verwerkt, en weet waarom en voor welk doel dat gebeurt.
Wanneer de gegevens via een andere weg verkregen worden, dus buiten de betrokkene om, wordt de betrokkene binnen een redelijke termijn geïnformeerd: altijd direct de eerste keer dat met hem/haar wordt gecommuniceerd en uiterlijk binnen een maand. Deze plicht is niet van toepassing als betrokkene die informatie al heeft, het onmogelijk of ondoenlijk is om de informatie te verstrekken, de verwerking wettelijk verplicht is of daarmee de doeleinden van de verwerking ernstig in het gedrang komen.
De verwerkingsverantwoordelijke heeft op grond van de Wpg ook een informatieplicht. De verwerkingsverantwoordelijke verstrekt aan de betrokkene informatie over de verwerking van politiegegevens in een beknopte en toegankelijke vorm en in duidelijke en eenvoudige taal. De informatie wordt met passende middelen, waaronder elektronische middelen, verstrekt en in beginsel in dezelfde vorm als de vorm van het verzoek. De volgende informatie dient aan de betrokkene te worden verstrekt:
- •
- •
- •
- •
In specifieke gevallen verstrekt de verwerkingsverantwoordelijke de volgende informatie aan de betrokkene:
- •
- •
- •
- •
- •
In het geval er sprake is van een kennelijk ongegrond of buitensporig verzoek, kan de verwerkingsverantwoordelijke weigeren gevolg te geven aan het verzoek
De AVG bepaalt niet alleen de plichten van degenen die de persoonsgegevens verwerken, maar bepaalt ook de rechten van de personen van wie de gegevens worden verwerkt. Deze rechten worden ook wel ‘de rechten van betrokkenen’ genoemd, en bestaan uit:
- -
- -
- -
- -
- -
- -
De rechten op grond van de Wpg zijn grotendeels hetzelfde als de rechten op grond van de AVG. Toch wijken zij op een aantal punten ook af van de AVG. Betrokkenen hebben het recht om de politiegegevens die de Provincie Limburg onder de Wpg verwerkt, in te zien.
Als politiegegevens onder de Wpg onjuist of onvolledig zijn, dan kunnen betrokkenen de Provincie Limburg verzoeken de politiegegevens aan te passen. Daarnaast kunnen betrokkenen verzoeken de politiegegevens te laten verwijderen of vragen om een beperking van de verwerking van de politiegegevens.
De Provincie heeft het recht om een verzoek af te wijzen als:
- •
- •
- •
- •
- •
- •
- •
Om gebruik te maken van zijn/haar rechten kan de betrokkene een verzoek indienen bij de Provincie Limburg. Dit verzoek kan zowel schriftelijk als digitaal ingediend worden. De Provincie Limburg moet binnen één maand na ontvangst van het verzoek, de betrokkene informeren over de uitvoering van het verzoek. Binnen één maand dient de Provincie Limburg aan te geven of zij wel of geen gehoor geeft aan het verzoek. Als er geen gehoor wordt gegeven aan het verzoek, kan betrokkene bezwaar (ex artikel 7:1 Algemene wet bestuursrecht) maken bij de Provincie Limburg, of een klacht in te dienen bij de Autoriteit Persoonsgegevens .
4.9. Geautomatiseerde verwerkingen
Wanneer er een geautomatiseerde verwerking van persoonsgegevens plaatsvindt waarbij aan de hand van persoonsgegevens naar bepaalde persoonlijke aspecten van een persoon wordt gekeken om deze persoon te categoriseren en te analyseren, of om zaken te kunnen voorspellen, spreken we van profilering. Voorbeelden van persoonlijke aspecten kunnen zijn: financiële situatie, interesses, gedrag of locatie.
Ter vergroting van de veiligheid (bescherming medewerkers en bezoekers, tegengaan van diefstal en beschadiging van provinciale eigendommen) wordt in en rondom het Provinciehuis gebruik gemaakt van cameratoezicht. De camerabeelden worden alleen voor dat doeleinde gebruikt. Camera’s kunnen een grote inbreuk maken op de privacy van diegene die wordt gefilmd. Om de privacy zo goed mogelijk te waarborgen zal de Provincie Limburg op duidelijke wijze (o.a. in een protocol cameratoezicht en via bebording) kenbaar maken dat er sprake is van cameratoezicht.
De Provincie Limburg is verantwoordelijk voor het aanleggen van een register van alle verwerkingen waarvan de Provincie Limburg de verwerkingsverantwoordelijke of verwerker is, het zogenaamde verwerkingenregister. Dit register bevat:
- •
- •
- •
- •
- •
- •
- •
- •
De Wpg verplicht ook tot het bijhouden van een verwerkingenregister. Aanvullend op het verwerkingenregister op grond van de AVG moet in het verwerkingenregister op grond van de Wpg nog de volgende informatie worden opgenomen:
- •
- •
De Privacy-officer binnen het cluster AJZ en de privacyrechtjuristen beheren het register. De clusters, programma’s en projecten dienen nieuwe verwerkingen - voor opname in het register - en wijzigingen in bestaande verwerkingen tijdig aan te leveren bij voornoemde medewerkers van AJZ. Hierbij kunnen ze gebruik maken van het inventarisatieformulier ‘nieuwe verwerking persoonsgegevens’. Eén keer per jaar richt het cluster AJZ zich actief tot de clustercoördinatoren van alle clusters met het verzoek om de verwerkingen binnen hun cluster te (laten) controleren op actualiteit en indien nodig aan te passen en/of aan te vullen met eventuele nieuwe verwerkingen.
4.11. De verwerkersovereenkomst
De Provincie Limburg besteedt de verwerking van persoonsgegevens of politiegegevens ook uit aan derden. Als verwerkingsverantwoordelijke mag de Provincie Limburg niet zomaar met een verwerker in zee gaan. Zij moet vaststellen of de verwerker voldoet aan de AVG of Wpg. Meer concreet: de verwerker moet passende technische en organisatorische maatregelen treffen zodat deze voldoet aan de AVG of Wpg en de rechten van betrokkenen voldoende gewaarborgd zijn.
Alle maatregelen die de verwerker hiervoor dient te nemen, komen vast te liggen in een zogenaamde verwerkersovereenkomst tussen de Provincie Limburg en de verwerker. Binnen de Provincie Limburg wordt gewerkt met een standaard verwerkersovereenkomst. De vraag of een verwerkersovereenkomst noodzakelijk is, maakt bovendien onderdeel uit van de interne inkoop-/aanbestedingsprocedure. De manager van het cluster die de opdracht aan een derde verstrekt voor de verwerking van persoonsgegevens of politiegegevens is tevens verantwoordelijk voor het afsluiten van de verwerkersovereenkomst.
De Provincie Limburg houdt een register bij van verwerkersovereenkomsten.
4.12. Het ter beschikking stellen en verstrekken van politiegegevens
De Wpg maakt een onderscheid tussen het ter beschikking stellen van politiegegevens en heverstrekken ervan. Het ter beschikking stellen van politiegegevens vindt plaats binnen het Wpg-domein. Dit houdt in dat politiegegevens kunnen worden gedeeld met andere opsporingsambtenaren (boa’s, medewerkers van de politie of de Koninklijke Marechaussee) die deze gegevens nodig hebben voor hun taken. Hierbij vindt een afweging plaats op basis van noodzakelijkheid, proportionaliteit (het middel moet in verhouding staan tot het doel) en subsidiariteit (het minst ingrijpende middel moet worden gehanteerd om het doel te bereiken).
Bij het verstrekken van politiegegevens gaat het om het delen van gegevens buiten het Wpg-domein.
In dat geval mogen politiegegevens alleen worden verstrekt aan personen of instanties buiten het Wpg-domein, voor zover dit noodzakelijk is voor de doeleinden zoals vermeld in de Wpg en het Bpg. Het gaat bijvoorbeeld om verstrekkingen aan een toezichthouder, een advocaat of de belastingdienst. Voor het verstrekken van gegevens geldt een documentatieplicht. Bij dergelijke verstrekkingen wordt altijd vooraf getoetst of de verstrekking voldoet aan de wetgeving. De Provincie Limburg verstrekt geen politiegegevens aan ontvangers in andere landen of internationale organisaties. De Provincie Limburg neemt ook niet deel aan samenwerkingsverbanden waarin politiegegevens worden gedeeld. Op het moment dat zij wel daartoe overgaat, handelt zij conform de geldende regels.
Verstrekkingen worden via het BRS geregistreerd en gedocumenteerd. Daarnaast maakt de Provincie Limburg gebruik van de landelijke verstrekkingenwijzer voor boa's. De verstrekkingenwijzer is specifiek opgesteld voor boa organisaties en geeft aan welke gegevens aan welke instanties mogen worden verstrekt en onder welke voorwaarden.
4.13. Gegevensbeschermingseffectbeoordeling/ data protection impact assessment (DPIA)
Een gegevensbeschermingseffectbeoordeling - ook wel data protection impact assessment (DPIA) genoemd - is een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen en vervolgens maatregelen te kunnen nemen om de risico’s te verkleinen.
De Provincie Limburg moet dus zelf bepalen of er sprake is van een risicovolle verwerking. Bij de volgende categorieën verwerkingen moet de Provincie Limburg in ieder geval op grond van de AVG een DPIA uitvoeren:
- •
- •
- •
- •
Verder zal de Provincie Limburg een DPIA uitvoeren indien er sprake is van hoge risico’s voor de ‘rechten en vrijheden’ van betrokkenen.
Het besluit om een DPIA uit te voeren wordt genomen door de verantwoordelijke manager, na advies van de FG.
Er is sprake van een datalek als er een inbreuk plaatsvindt op de beveiliging van persoonsgegevens of politiegegevens, bijvoorbeeld als persoonsgegevens of politiegegevens in handen vallen van derden die geen toegang tot die gegevens mogen hebben. Wanneer er een ernstig datalek heeft plaatsgevonden meldt de Provincie Limburg dit zonder onredelijke vertraging, doch uiterlijk 72 uur nadat er kennis van de inbreuk is vernomen, aan de AP. Als dit later dan 72 uur is, wordt er een motivering voor de vertraging bij de melding gevoegd. Het kan zijn dat de inbreuk een hoog risico met zich meebrengt voor de rechten en vrijheden van de betrokkenen. In dat geval meldt de Provincie Limburg dit aan de betrokkenen in eenvoudige en duidelijke taal. Op deze mededelingsplicht zijn op grond van de Wpg enkele uitzonderingen van toepassing, onder andere als de mededeling achterwege moet blijven ter vermijding van belemmering van de gerechtelijke onderzoeken of procedures en ter vermijding van nadelige gevolgen voor de voorkoming, opsporing, het onderzoek en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen.
Om toekomstige datalekken te voorkomen worden bestaande datalekken geëvalueerd. Daarnaast wordt elk datalek geregistreerd in het datalekregister.
De Provincie Limburg heeft een Protocol melding datalekken. Bij de beslissing of een incident dat zich heeft voorgedaan moet worden gemeld bij de Autoriteit Persoonsgegevens, en eventueel daarnaast ook aan de betrokkene(n), moeten een aantal afwegingen worden gemaakt. In het protocol wordt toegelicht wat een datalek is, op welke wijze het datalek in de organisatie moet worden gemeld, hoe een datalek wordt afgehandeld en in welke gevallen en wanneer een datalek moet worden gemeld bij de Autoriteit persoonsgegevens en betrokkenen.
4.15. Privacy by design en privacy by default
Privacybescherming bestaat niet alleen uit toetsing en controle achteraf. Ook aan de voorkant, bij het ontwerpen en inrichten van processen en systemen dient privacybescherming een belangrijk uitgangspunt te zijn. De adviseurs binnen het cluster Organisatie en Informatie hebben hierbij een ondersteunende en adviserende rol.
Voor de AVG en Wpg zijn privacy by design en privacy by default belangrijke onderdelen van de verantwoordingsplicht van de Provincie Limburg.
Privacy by design houdt in dat er al bij het ontwerpen van producten en diensten voor wordt gezorgd dat persoonsgegevens of politiegegevens goed worden beschermd. Bij de inrichting van het proces en/of bouw van het systeem wordt bijvoorbeeld gekeken naar de benodigde technische en organisatorische maatregelen om deze gegevens te beschermen. Dataminimalisatie is een ander voorbeeld van één van de uitgangspunten die gehanteerd worden: zo min mogelijk persoonsgegevens of politiegegevens verzamelen, alleen datgene wat strikt noodzakelijk is voor het bereiken van het doel.
Privacy by default betekent dat de standaardinstellingen van diensten of invulformulieren altijd zoveel mogelijk de privacy moeten garanderen. Bijvoorbeeld door een app die de Provincie Limburg aanbiedt niet de locatie van gebruikers te laten registeren als dat niet nodig is of door iemand die zich op een nieuwsbrief wil abonneren alleen te vragen naar zijn/haar emailadres.
Permanente link
Kopieer de link naar uw clipboard
https://zoek.officielebekendmakingen.nl/prb-2024-19732.html