Privacy beleid AVG en Wpg gemeente Oldambt 2024

Binnen de gemeente Oldambt wordt zorgvuldig omgegaan met persoonsgegevens van burgers, medewerkers en (keten)partners. Persoonsgegevens worden hoofdzakelijk verzameld bij burgers, maar kunnen ook via (keten)partners worden verkregen voor het uitvoeren van gemeentelijke taken op basis van wettelijke verplichtingen. De gemeente hecht veel waarde aan de bescherming van de privacy van haar inwoners en medewerkers, en zorgt ervoor dat de verwerking van persoonsgegevens altijd voldoet aan de geldende wet- en regelgeving.

In het kader van privacybescherming moet de gemeente Oldambt rekening houden met verschillende wet- en regelgeving, waarbij de Algemene Verordening Gegevensbescherming (AVG) en de Wet politiegegevens (Wpg) de belangrijkste kaders zijn. De AVG regelt de verwerking van persoonsgegevens van burgers, medewerkers en (keten)partners, terwijl de Wpg specifiek van toepassing is op de verwerking van gegevens door opsporingsambtenaren, zoals buitengewoon opsporingsambtenaren (boa's), in het kader van politietaken. Beide wetgevingen kunnen elkaar overlappen, maar het is belangrijk om te begrijpen dat de verwerkingen die onder de Wpg vallen, buiten de scope van de AVG kunnen liggen en vice versa.

De gemeente Oldambt erkent de noodzaak van privacybescherming in al haar processen en biedt duidelijkheid over hoe persoonsgegevens worden verwerkt, met welke wetgeving rekening wordt gehouden, en hoe de privacy van betrokkenen wordt gewaarborgd. Dit beleid is van toepassing op alle gemeentelijke processen, gegevensverzamelingen, en de verwerking van persoonsgegevens, ongeacht het medium of platform dat wordt gebruikt.

1.1 Beleidsdoelstellingen

De gemeente stelt zich tot doel om persoonsgegevens op een veilige, transparante en rechtmatige manier te verwerken. Dit betekent dat de gemeente:

• •

  Transparantie biedt over de wijze waarop persoonsgegevens worden verzameld, verwerkt en opgeslagen.

• •

  Verantwoordelijkheid neemt voor de bescherming van persoonsgegevens door passende maatregelen te treffen op het gebied van informatiebeveiliging, zoals technische beveiligingsmaatregelen, en organisatorische maatregelen, zoals toegangsbeperkingen en verantwoordingsplicht.

• •

  Dataminimalisatie hanteert, door enkel die gegevens te verzamelen die noodzakelijk zijn voor de uitvoering van gemeentelijke taken.

• •

  Gebruikerscontrole biedt, zodat inwoners en medewerkers de regie kunnen houden over hun eigen persoonsgegevens en inzicht krijgen in hoe hun gegevens worden verwerkt.

1.2 Verhouding tot Informatiebeveiliging

Privacy en informatiebeveiliging zijn nauw met elkaar verbonden, zoals weergegeven in de onderstaande figuur. Hoewel het twee afzonderlijke concepten betreft, overlappen de doelen en maatregelen vaak. Privacy draait om het vertrouwelijk omgaan met persoonsgegevens, terwijl informatiebeveiliging zich richt op het waarborgen van de beschikbaarheid, integriteit en vertrouwelijkheid van alle informatie binnen de gemeente. Beide aspecten kunnen niet los van elkaar worden gezien, wat betekent dat het privacybeleid van de gemeente Oldambt niet alleen gericht is op de bescherming van persoonsgegevens, maar ook nauw samenhangt met het bredere informatiebeveiligingsbeleid.

Figuur 1: Samenhang privacy en informatiebeveiliging

1.3 Beleidsimplementatie en -ondersteuning

Dit privacybeleid vormt het overkoepelende raamwerk voor de bescherming van persoonsgegevens binnen de gemeente Oldambt. Het beleid is opgesteld in lijn met het algemene beleid van de gemeente en is gebaseerd op relevante lokale, regionale, nationale en Europese wet- en regelgeving. Daarnaast wordt het privacybeleid ondersteund door gedetailleerde procedures en documentatie die de implementatie en uitvoering van de privacyprincipes binnen de organisatie beschrijven. Deze procedures zorgen ervoor dat alle medewerkers van de gemeente zich bewust zijn van de privacyvereisten en zich houden aan de gestelde richtlijnen.

2.1 Visie

Inwoners van de gemeente Oldambt kunnen erop vertrouwen dat de gemeente hun privacy respecteert en zorgvuldig omgaat met hun persoonsgegevens. Privacybescherming is een integraal onderdeel van het werk van bestuurders en medewerkers van de gemeente. We streven ernaar om de persoonlijke levenssfeer van onze inwoners te waarborgen door transparant te zijn over hoe wij persoonsgegevens verzamelen, gebruiken en beveiligen. Dit geldt voor alle verwerkingen, zowel door de gemeente zelf als door derden die namens de gemeente persoonsgegevens verwerken.

2.2 Reikwijdte

Dit beleid is van toepassing op alle processen, afdelingen, onderdelen, objecten en gegevensverzamelingen binnen de gemeente Oldambt, inclusief haar bestuursorganen, waar persoonsgegevens worden verwerkt. Het beleid is eveneens van toepassing op de verwerking van persoonsgegevens door externen die in opdracht van de gemeente persoonsgegevens verwerken. In dit beleid wordt specifiek aandacht besteed aan de verwerking van persoonsgegevens onder de AVG en de Wpg. Wpg-verwerkingen zijn uitsluitend van toepassing op de uitvoering van de politietaak door buitengewoon opsporingsambtenaren (boa’s).

2.3 Wettelijke kaders voor de omgang met gegevens

Voor de omgang met persoonsgegevens gelden de volgende wettelijke kaders die de rechten en plichten van de gemeente reguleren bij de verwerking van persoonsgegevens:

• •

  AVG (Algemene Verordening Gegevensbescherming): regelt de bescherming van persoonsgegevens binnen de Europese Unie en legt de basisprincipes van gegevensverwerking vast.

• •

  UAVG (Uitvoeringswet Algemene Verordening Gegevensbescherming): regelt de uitvoering van de AVG in Nederland.

• Wpg (Wet politiegegevens): regelt de verwerking van persoonsgegevens in het kader van de uitvoering van politietaken, zoals vastgelegd in de wet en bijbehorende besluiten. Archiefwet: regelt de verplichtingen van overheidsinstanties met betrekking tot archivering en het bewaren van gegevens.

2.4 Privacyverklaring AVG en Wpg

In het kader van transparantie heeft de gemeente een privacyverklaring voor zowel de AVG als de Wpg op haar website gepubliceerd. In deze privacyverklaring wordt beschreven hoe de gemeente persoonsgegevens verwerkt, welke categorieën persoonsgegevens worden verwerkt en voor welk doel. De privacyverklaring wordt ten minste jaarlijks herzien en bij wijzigingen in de verwerking van persoonsgegevens aangepast. Betrokkenen worden geïnformeerd over wijzigingen via de gemeentelijke website of andere relevante communicatiekanalen.

3.1 Grondslagen

De gemeente verwerkt alleen persoonsgegevens als er een grondslag uit de AVG is aan te wijzen en op een behoorlijke en zorgvuldige wijze. De verwerking moet in verhouding staan tot het doel en als het doel met een vergelijkbare inspanning bereikt kan worden met een minder zwaar middel, wordt er voor dat minder zware middel gekozen.

In artikel 6 van de AVG zijn de volgende zes grondslagen opgenomen:

• 1.

  Toestemming: de betrokkene, degene van wie de persoonsgegevens worden verwerkt, heeft toestemming gegeven voor de verwerking van diens persoonsgegevens voor een of meer specifieke doeleinden. Hierbij mag geen sprake zijn van een afhankelijkheidspositie of wanverhouding waardoor niet volledig aan de eis kan worden voldaan dat de toestemming ‘vrijelijk’ moet zijn gegeven. Vanwege de verhoudingen tussen betrokkene en de gemeente, kan de gemeente in de meeste situaties niet om toestemming vragen. In uitzonderlijke situaties kan wel om toestemming worden gevraagd, bijvoorbeeld voor het verzenden van een nieuwsbrief. Wanneer toestemming wordt gevraagd, wordt de betrokkene duidelijk geïnformeerd over het recht om deze toestemming op elk moment in te trekken zonder dat dit de rechtmatigheid van de verwerking voorafgaand aan de intrekking beïnvloedt.

• 2.

  Uitvoering overeenkomst: wanneer de gemeente een contract aangaat met een ander partij of de betrokkene, verwerkt de gemeente persoonsgegevens voor zover dit nodig is om eventuele (pre-)contractuele verplichtingen met betrekking tot dit specifieke contract na te komen. Hierbij zal de gemeente rekening houden met eventuele beperkingen die voortvloeien uit relevante wet- en regelgeving met betrekking tot het type gegevens dat in de (pre-)contractuele fase mag worden verwerkt. Deze grondslag wordt bijvoorbeeld toegepast indien sprake is van een arbeidsovereenkomst.

• 3.

  Wettelijke verplichting: de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de gemeente rust. De gemeente is verplicht zich te houden aan verschillende wet- en regelgeving die het verzamelen, gebruiken, opslaan en verspreiden van persoonlijke informatie vereist. Bijvoorbeeld belastingheffing of het bijhouden van de basisregistratie personen.

• 4.

  Vitale belangen: in uitzonderlijke gevallen kan de gemeente een beroep doen op deze verwerkingsgrondslag, om de vitale belangen van de betrokkene te beschermen als dringende medische zorg nodig is.

• 5.

  Algemeen belang/openbaar gezag: de verwerking is noodzakelijk om een publieke taak van algemeen belang uit te voeren of openbaar gezag uit te oefenen. Deze taken zijn in de wet vastgelegd en relevant voor de gemeente. De gemeente zal voor de vervulling van de publieke taken veelal deze grondslag toepassen. Een voorbeeld hiervan is het plaatsen van camera’s op openbare locaties om de openbare orde te handhaven.

• 6.

  Gerechtvaardigd belang: het kan voorkomen dat het belang van de gemeentelijke organisatie om bepaalde persoonsgegevens te verwerken groter is dan het privacybelang van de betrokkene. Hierbij vindt een belangenafweging plaats tussen enerzijds de belangen van de gemeente en anderzijds de belangen van betrokkenen. Deze afweging moet goed worden onderbouwd. Bijvoorbeeld in gevallen van fraudepreventie of klantenservice.

• Deze grondslag geldt niet voor de gemeente als zij persoonsgegevens verwerken in het kader van de uitoefening van publieke taken. Voor de uitoefening van bedrijfsmatige handelingen, zoals het opnemen van telefoongesprekken voor kwaliteitsdoeleinden kan deze grondslag wel worden toegepast.

3.2 Overige uitgangspunten

• a.

  Doelbinding: dit beginsel borgt dat persoonsgegevens alleen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doelen worden verzameld om willekeurig gebruik van de gegevens te voorkomen. De gemeente zorgt er daarom voor dat persoonsgegevens uitsluitend worden verwerkt op basis van vooraf vastgestelde doeleinden. Het is mogelijk dat persoonsgegevens voor meer dan één doel worden verzameld. In een dergelijk geval zal de gemeente een beoordeling van de verenigbaarheid uitvoeren om er zeker van te zijn dat er voldoende aansluiting is op het oorspronkelijke doel en zal hierover duidelijke en transparante communicatie aan betrokkene verstrekken voordat de verdere verwerking wordt uitgevoerd.

• b.

  Dataminimalisatie: de gemeente voert regelmatig een evaluatie uit van de verwerkte gegevens om te beoordelen of minder gegevens verzameld kunnen worden, of gegevens verwijderd kunnen worden.

• c.

  Bewaartermijn: persoonsgegevens worden niet langer bewaard dan de wettelijke voorgeschreven termijnen, zoals de Archiefwet. Wanneer de termijnen niet zijn vastgelegd in de wet, dan is het uitgangspunt dat persoonsgegevens niet langer worden bewaard dan nodig is voor het bepaalde doel. De door de gemeente vastgestelde bewaartermijn zijn opgenomen in het verwerkingsregister. De gemeente bewaart de persoonsgegevens in ieder geval in overeenstemming met de Selectielijst archiefbestanden gemeenten en intergemeentelijke organen 2020.

• d.

  Juistheid: de gemeente heeft de nodige maatregelen getroffen om te waarborgen dat de persoonsgegevens die de gemeente van betrokkenen verwerkt juist en actueel zijn, bijvoorbeeld door periodiek de juistheid, nauwkeurigheid en actualiteit te controleren. Als blijkt dat gegevens niet langer juist en compleet zijn, dan zullen ze worden gewijzigd of verwijderd. Daarnaast is het voor betrokkenen mogelijk om bij de gemeente een verzoek in te dienen op rectificatie of wissing van persoonsgegevens.

• e.

  Integriteit en vertrouwelijkheid: de gemeente gaat zorgvuldig om met persoonsgegevens en behandelt deze vertrouwelijk. Zo worden persoonsgegevens alleen verwerkt door personen met een geheimhoudingsplicht en voor het doel waarvoor deze gegevens zijn verzameld. Daarbij zorgt de gemeente voor passende beveiliging van persoonsgegevens. Deze beveiliging is afgestemd op classificatie van de gegevens in relatie tot de Baseline Beveiliging Overheden (BIO).

• f.

  Subsidiariteit: door het bereiken van het doel waarvoor de persoonsgegevens worden verwerkt, wordt inbreuk op de persoonlijke levenssfeer van de betrokken burger zoveel mogelijk beperkt. De gemeente verzekert zich voor de het verwerken van de persoonsgegevens of verwerking op een andere manier kan plaatsvinden, waardoor minder dan wel geen persoonsgegevens verwerkt hoeven te worden.

• g.

  Proportionaliteit: de inbreuk op de belangen van de betrokkene mag niet onevenredig zijn in verhouding tot het te dienen doel.

Persoonsgegevens die worden verwerkt in het kader van de uitvoering van de politietaak worden in overeenstemming met de Wet politiegegevens (Wpg) verwerkt. De uitgangspunten van de Wpg zijn grotendeels gelijk aan die van de Algemene Verordening Gegevensbescherming (AVG), met name wat betreft de principes die in paragraaf 3.2 worden genoemd. In dit hoofdstuk worden de belangrijkste uitgangspunten van de Wpg beschreven, en worden specifieke aspecten met betrekking tot de verwerking van persoonsgegevens door buitengewoon opsporingsambtenaren (boa’s) binnen de gemeente Oldambt toegelicht.

Binnen de gemeente Oldambt zijn boa’s voor de volgende domeinen aanwezig:

• •

  Openbare ruimte (domein I)

• •

  Onderwijs (domein III)

• •

  Werk, inkomen en zorg (domein V)

4.1 Grondslagen en bewaartermijnen

Om persoonsgegevens onder de Wpg binnen de hierboven genoemde domeinen te mogen verwerken, moet een wettelijke grondslag aanwezig zijn. Deze grondslagen zijn van toepassing op alle domeinen. Hieronder worden de twee voornaamste grondslagen beschreven:

• •

  Dagelijkse politietaak (Wpg artikel 8): Onder de grondslag "dagelijkse politietaak" mogen persoonsgegevens door boa’s worden verwerkt. Deze gegevens kunnen betrekking hebben op verdachten, slachtoffers of andere betrokkenen. De gegevens mogen tot vijf jaar na de eerste verwerkingsdatum met een gerichte zoekvraag worden geraadpleegd en verwerkt. Na deze termijn worden de gegevens nog vijf jaar bewaard als "bewaartermijn". Gedurende de bewaartermijn kunnen de gegevens gebruikt worden voor het afhandelen van klachten, het uitvoeren van audits, een controle door de toezichthouder of de Autoriteit Persoonsgegevens.

• Na de bewaartermijn van vijf jaar moeten de gegevens worden vernietigd. Het is belangrijk op te merken dat de gegevens gedurende de bewaartermijn ook ter beschikking kunnen worden gesteld voor hernieuwde verwerking in een actueel opsporingsonderzoek. Bovendien mogen gegevens in de bewaartermijn ook worden gebruikt voor wetenschappelijk onderzoek en statistieken, mits dit in lijn is met de wet- en regelgeving.

• •

  Gerichte verwerkingen (Wpg artikel 9): De grondslag voor het verwerken van gegevens die gericht zijn op specifieke personen of gebeurtenissen valt onder de zogenaamde "gerichte verwerkingen". Deze verwerkingen, zoals het plaatsen van gps-bakens of langdurige observaties, hebben een grotere impact op de persoonlijke levenssfeer van betrokkenen. Gegevens mogen in dit geval langer worden verwerkt, bijvoorbeeld totdat een onherroepelijk vonnis is bereikt of de verjaringstermijn is verstreken. Na afloop van deze termijn mogen de gegevens nog zes maanden voor hergebruik worden bewaard. Na deze periode begint de reguliere bewaartermijn van vijf jaar. Aanvullende eisen: vanwege de grotere inbreuk op de privacy die deze verwerkingen met zich meebrengen, vereist de Wpg dat de organisatie een bevoegd functionaris aanstelt om toezicht te houden op deze verwerkingen.

4.2 Politiegegevens verstrekken en ter beschikking stellen

De verstrekking van politiegegevens gebeurt alleen wanneer dit noodzakelijk is voor de uitvoering van een specifieke taak en altijd in overeenstemming met de beginselen van proportionaliteit en doelbinding. Dit betekent dat de verstrekte gegevens uitsluitend mogen worden gebruikt voor het doel waarvoor ze zijn gedeeld. Alle verstrekking van gegevens wordt gedocumenteerd volgens de vereisten van de Wpg, zodat er een duidelijke audit trail is van wie wanneer welke gegevens heeft verstrekt en waarom.

4.3 Overige uitgangspunten

De Wpg stelt ook organisatorische eisen aan de verwerking van politiegegevens. Deze eisen beogen de bescherming van de persoonsgegevens en de privacy van betrokkenen. Hieronder worden de belangrijkste organisatorische vereisten besproken:

• •

  Omgang met Politiegegevens

Gegevens die gebaseerd zijn op feiten moeten gescheiden worden van gegevens die gebaseerd zijn op persoonlijke oordelen. Daarnaast moet er een onderscheid worden gemaakt tussen verschillende betrokkenen (bijvoorbeeld verdachten, slachtoffers, derden en veroordeelden), om verwarring of onterecht gebruik van gegevens te voorkomen. Deze scheiding helpt om de gegevens op een transparante en verantwoorde manier te verwerken, en om de rechten van betrokkenen te beschermen.

• •

  Audits

De Wpg verplicht werkgevers van boa’s om jaarlijks een interne Wpg-audit uit te voeren. Daarnaast moet elke vier jaar een externe audit worden uitgevoerd door een gecertificeerde IT-auditor. De resultaten van de externe audit moeten worden gedeeld met de toezichthouder, de Autoriteit Persoonsgegevens. Indien er tekortkomingen worden geconstateerd tijdens de audit, moet een verbeterrapport worden opgesteld en binnen drie maanden worden gepresenteerd. Vervolgens moet er binnen een jaar een her-controle plaatsvinden om te verifiëren of de tekortkomingen zijn verholpen. De resultaten van de her-controle moeten ook worden gedocumenteerd en verstrekt aan de toezichthouder.

• •

  Geautomatiseerde Systemen

In geautomatiseerde systemen moet logging plaatsvinden van alle handelingen met politiegegevens, zoals het invoeren, wijzigen, raadplegen, verstrekken, combineren of vernietigen van gegevens. Dit is van cruciaal belang voor de transparantie van de gegevensverwerking en het kunnen traceren van handelingen in geval van misbruik of fouten. Logging moet periodiek gecontroleerd worden om ervoor te zorgen dat er geen onregelmatigheden plaatsvinden.

Ook moet er voor elk systeem een autorisatiematrix worden vastgesteld, waarin de toegang en autorisaties van medewerkers worden geregeld. Deze matrix en de bijbehorende autorisaties moeten periodiek worden gecontroleerd en bijgewerkt om ervoor te zorgen dat alleen bevoegde medewerkers toegang hebben tot de gegevens die zij nodig hebben om hun taken uit te voeren.

Binnen de gemeente zijn verschillende rollen en verantwoordelijkheden belegd om uitvoering te geven aan dit privacybeleid. Deze rollen zijn essentieel om ervoor te zorgen dat de verwerking van persoonsgegevens in overeenstemming is met de wet- en regelgeving, zoals de AVG en de Wpg, en om een cultuur van privacybewustzijn binnen de organisatie te bevorderen.

5.1 Controlerend: Gemeenteraad

De gemeenteraad ziet er op toe (controleert) dat het college overkoepelend beleid ten aanzien van bescherming van persoonsgegevens voor de organisatie vaststelt en uitvoert. Dit is onder meer het jaarlijkse verslag van de Functionaris Gegevensbescherming (FG), dat door het college wordt verstrekt.

5.2 Eindverantwoordelijk: College van Burgemeester en Wethouders (B&W)

Het college is eindverantwoordelijk voor zorgvuldigheid van verwerking van persoonsgegevens, en stelt het privacybeleid vast. Het college:

• •

  is verantwoordelijk voor een duidelijk privacybeleid;

• •

  doet aan de gemeenteraad voorstellen over in te zetten middelen;

• •

  stelt specifieke regelingen en procedures vast;

• •

  controleert het management van de organisatieonderdelen op de maatregelen die verband houden met de bescherming van persoonsgegevens.

Het college heeft een portefeuillehouder aangewezen die namens het college de beleidsvoering waarborgt. Daarnaast legt deze (politieke) verantwoording af over de privacy beleidsvoering aan de gemeenteraad.

5.3 Aansturing: Gemeentesecretaris/directie

De uitvoeringsverantwoordelijkheid voor gegevensbescherming ligt bij de gemeentesecretaris. De gemeentesecretaris is de Algemeen directeur, de hoogste ambtenaar binnen de ambtelijke organisatie en de eerste adviseur aan het college. Hij of zij vormt dus de schakel tussen het bestuur en ambtelijke organisatie en is in dit kader ambtelijk verantwoordelijk.

De Concerndirecteur is samen met de directie verantwoordelijk voor de uitvoering van het privacybeleid en stuurt op (concern) risico’s. Daarnaast zorgt hij voor een passend niveau van informatieveiligheid en gegevensbescherming binnen de organisatie.

5.4 Uitvoering: Teammanagers

De zorgvuldige omgang van verwerkingen valt onder de Teammanagers (proceseigenaar). Dat betekent dat zij zelf moeten zorgdragen over het nakomen van de naleving van het privacybeleid binnen hun teams en dit dienen te waarborgen in de werkprocessen. In dat kader zijn zij verantwoordelijk voor voldoende bewustwording van privacy en kennis van het privacybeleid.

De Teammanagers sturen onder meer aan op:

• •

  risico-gestuurd werken. Hiervoor wordt gebruik gemaakt van de vastgestelde modellen van de Data Protection Impact Assessments (DPIA’s);

• •

  naleving van principes van privacy by design en privacy by default;

• •

  het hanteren van daartoe vastgestelde procesplannen en formats, zoals de DPIA en de (door de VNG vastgestelde) verwerkersovereenkomst;

• •

  het melden van datalekken volgens de daartoe beschikbare procedure;

• •

  het opnemen van nieuwe verwerkingen en gewijzigde verwerkingen in het register van verwerkingsactiviteiten;

• •

  het meewerken en/of faciliteren van meewerken aan het afhandelen van de rechten van betrokkene;

• •

  het maken van schriftelijke afspraken bij risicovolle verwerkingen en verwerkingen bij ketensamenwerking (verwerkingen in een samenwerkingsverband);

• •

  het bijstaan van de uitvoering door professionals op het gebied van privacy en informatieveiligheid waar nodig;

• •

  het bekend maken van dit beleid bij de medewerkers.

5.5 Uitvoering: Medewerkers (inclusief inhuur/externen)

Alle medewerkers van de gemeente, inclusief inhuur/externen, zijn ervoor verantwoordelijk dat zorgvuldig wordt omgegaan met persoonsgegevens. Dat betekent dat iedereen, binnen de kaders van zijn taak, zorgt voor een rechtmatige, behoorlijke en transparante verwerking van persoonsgegevens. Indien er twijfel bestaat of aan deze beginselen uitvoering wordt gegeven kan er met een aantal personen worden geschakeld: de Teammanager, een van de privacy contactpersonen, de Privacy Officer, de FG en de CISO.

5.6 Uitvoering: Buitengewoon Opsporingsambtenaren (boa’s)

De gemeente heeft buitengewoon opsporingsambtenaren (boa’s) in dienst. Afhankelijk van hun specifieke taken valt de verwerking van persoonsgegevens onder de AVG of de Wpg. Bij bestuursrechtelijke toezichts- en handhavingstaken is de verwerking van persoonsgegevens onder de AVG geregeld. Wanneer boa’s opsporingstaken uitvoeren, valt de verwerking van persoonsgegevens onder de Wpg. Het is van belang dat boa’s zich bewust zijn van de scheiding tussen deze twee regelgevingen en de vereisten die voor beide gelden.

5.7 Ondersteuning en advies 5.7.1 Privacy Officer (PO)

Operationeel: de PO is als specialist op het gebied van de AVG en WPG eerste aanspreekpunt van de gemeente rondom privacygerelateerde vraagstukken en adviseert en ondersteunt vanuit de tweede-lijn bij vraagstukken omtrent de bescherming van persoonsgegevens. Gevraagd en ongevraagd adviseert de PO over activiteiten ter bescherming van persoonsgegevens, onder andere bij DPIA’s, datalekken, het register van verwerkingen, verwerkersovereenkomsten en bij vragen vanuit de vakafdelingen. De PO coördineert, in samenspraak met FG, de verzoeken van inwoners om inzage in de persoonsgegevens die worden verwerkt, rectificatie, verwijdering, beperking of overdraagbaarheid van de persoonsgegevens. Verder is de PO betrokken bij het creëren van bewustzijn met betrekking tot privacy onder de medewerkers.

Tactisch / strategisch: de PO is op tactisch en strategisch niveau betrokken bij privacygerelateerde zaken, zoals procedures/werkinstructies, het privacybeleid, datalekbeleid, de privacyverklaring en procesbeschrijving DPIA en andere beleidsnotities.

Verder is de PO de verbindende schakel tussen de organisatie en de FG.

5.7.2 Chief Information Security Officer (CISO)

De CISO heeft een ondersteunende en adviserende rol met betrekking tot privacy in de organisatie. Op het gebied van informatiebeveiliging heeft hij een controlerende en toezichthoudende taak. Informatiebeveiliging maakt een wezenlijk onderdeel uit van de bescherming van persoonsgegevens. Hij adviseert voornamelijk bij nieuwe applicaties en het beheersen van risico’s.

De CISO rapporteert over de voortgang van beveiligingsmaatregelen aan het bestuur, de directie en teamleiders.

5.7.3 Privacy contactpersoon

Onder meer om de zelfredzaamheid en het bewustzijn binnen de teams op het gebied van privacy en informatiebeveiliging te verhogen worden er, per teams, privacy contactpersonen aangesteld. De privacy contactpersoon functioneert als eerste aanspreekpunt binnen het team waar de contactpersoon werkzaam is en heeft een monitorende en ondersteunende functie rondom het naleven en uitvoeren van het privacybeleid. Ook kan de privacy contactpersoon verwijzen naar de juiste medewerker (zoals de PO, de FG of de CISO) voor verder advies.

Om het privacybeleid binnen de gemeentelijke organisatie te borgen, is het van belang dat hier toezicht en controle op plaatsvindt. Bij niet naleving kunnen er gevolgen (zoals sancties) volgen. Daarnaast moet het privacybeleid periodiek geëvalueerd worden. Hoe toezicht, controle en evaluatie plaatsvindt, is in dit deel van het privacybeleid beschreven.

6.1 Functionaris Gegevensbescherming (FG)

De gemeente is een overheidsinstantie die structureel en op grote schaal persoonsgegevens verwerkt, waaronder bijzondere persoonsgegevens. De gemeente is daarom verplicht een FG aan te stellen. De FG is de onafhankelijke intern toezichthouder en heeft een adviserende, informerende en toezichthoudende taak. Dit betekent dat de FG toeziet op alle verwerkingen van persoonsgegevens.

Dit houdt onder meer in dat de FG:

• •

  de organisatie informeert en adviseert over de werking van de AVG, overige wetgeving en het beleid;

• •

  toezicht houdt op de naleving van het privacybeleid en achterliggende wettelijke verplichtingen;

• •

  privacy-klachten tot een goed einde helpt te brengen (ombudsfunctie);

• •

  bij privacy-incidenten adviseert over ernst en omvang;

• •

  toeziet op het beheer van het register van verwerkingen conform artikel 30 AVG;

• •

  de naleving van afspraken door de gemeente en ketenpartners controleert, eventueel ook in samenwerking met auditors;

• •

  helpen het privacy beleid uit te dragen en bewustzijn te creëren bij interne en externe doelgroepen;

• •

  adviseert de organisatie (gevraagd en ongevraagd). Bijvoorbeeld voorafgaand aan een DPIA (Data Protection Impact Assessment), bij technische beveiligingsmaatregelen omtrent gegevensverwerkingen, naar aanleiding van audits en bij het al dan niet melden van (voorlopige) meldingen van datalekken bij de Autoriteit Persoonsgegevens (AP);

• •

  helpt het privacybeleid uit te dragen en bewustzijn te creëren bij interne en externe doelgroepen;

• •

  de contactpersoon is voor landelijke toezichthouders – zoals de Autoriteit Persoonsgegevens (AP).

De FG krijgt de ruimte voor professionele uitvoering van taken. Dat betekent dat de FG:

• •

  naar behoren en tijdig wordt betrokken bij aangelegenheden die betrekking hebben op de verwerking van persoonsgegevens;

• •

  volledig wordt geïnformeerd over aspecten van de bedrijfsvoering waarbij persoonsgegevens worden verwerkt of wanneer daartoe voornemens bestaan.

Het college, directie en proceseigenaren ondersteunen de FG door hem op zijn verzoek toegang te geven tot de verwerking van persoonsgegevens en hem de middelen te bieden voor professioneel onderzoek.

Minimaal één keer per jaar brengt de FG verslag uit over zijn werkzaamheden, bevindingen en aanbevelingen aan de directie en het college.

6.2 Planning en Control

Het privacybeleid en de naleving daarvan volgt het patroon van de gebruikelijke P&C-cyclus binnen de gemeente. Dit betekent het volgende: het start met het opstellen en vaststellen van privacybeleid, de belangrijke voornemens worden eventueel in de begroting meegenomen en uiteindelijk is het dan onderdeel van het jaarverslag en jaarrekening in het kader van de verantwoordingsfunctie (maatschappelijke verantwoording). In de loop van het jaar en na afloop van het jaar vindt een periodieke evaluatie van het beleid plaats. De uitkomsten van die evaluatie leiden zo nodig tot aanpassing van het beleid.

6.3 Controller

De Controller toetst het goed en betrouwbaar functioneren van de gehele interne organisatie, zo ook op het gebied van privacy. De controller rapporteert -in het geval van bijzonderheden- aan de directie over de naleving van wet- en regelgeving en het privacybeleid, richtlijnen en processen. Daarnaast heeft de controller een belangrijke signaalfunctie om te kijken wat er speelt op het gebied van gegevensbescherming op de werkvloer, en schakelt indien nodig met de CISO, de FG en de PO. Dit om de uitvoeringsverantwoordelijkheid binnen de gemeentelijke organisatie op diverse plekken te waarborgen.

6.4 Naleving en sancties

Het niet-naleven van hetgeen opgenomen is in dit privacybeleid of in de onderliggende documentatie, kan negatieve gevolgen hebben voor betrokkenen (o.a. inwoners en medewerkers van de gemeente) en voor de gemeente Oldambt als organisatie. Iedere medewerker heeft daarom waar het gaat om gegevensbescherming een belangrijke verantwoordelijkheid, afgestemd op de eigen functie. Bij ernstige tekortkoming op dit gebied kan, binnen de wettelijke kaders en de kaders van de CAO, een sanctie worden opgelegd.

6.5 Verhouding tot en verantwoording aan de gemeenteraad

Jaarlijks legt het college van B&W verantwoording af aan de gemeenteraad over de realisatie en de toepassing van het privacybeleid in relatie tot informatiebeveiligingsbeleid, via de paragraaf bedrijfsvoering in de jaarstukken. De gemeenteraad controleert vervolgens het college van B&W door middel van de verantwoordingsrapportages.

In de verantwoording in de jaarstukken komen in elk geval de volgende onderwerpen aan de orde:

• •

  realisatie en uitvoering privacybeleid en integratie wettelijke eisen AVG in de werkprocessen;

• •

  inventarisatie en implementatie per afdeling van de risico-inventarisatie (afgenomen DPIA’s);

• •

  stand van zaken met betrekking tot het verwerkingsregister, conform artikel 30 AVG;

• •

  activiteiten die hebben plaatsgevonden op bewustwording en training;

• •

  aard, omvang en afhandeling van eventuele klachten van de betrokkene;

• •

  aard, omvang en afhandeling van (vermoedelijke) datalekken.

6.6 Autoriteit Persoonsgegevens (AP)

De AP is de toezichthoudende instantie op het gebied van de privacywetgeving. De AP houdt toezicht op de naleving van de AVG en andere privacywetgeving binnen organisaties, waaronder gemeenten. Bij vragen of klachten van betrokkenen over de verwerking van hun persoonsgegevens, kan de AP als onafhankelijk toezichthouder ingrijpen. De gemeente heeft de verantwoordelijkheid om mee te werken met de AP en eventuele aanwijzingen of maatregelen van de AP op te volgen.

6.7 Evaluatie privacybeleid

Dit beleid wordt ten minste eens per vier jaar geëvalueerd en indien nodig herzien. Wijzigingen in wet- en regelgeving, interne procesveranderingen of risicobeoordelingen kunnen aanleiding geven voor een tussentijdse herziening.

Proceseigenaren doen periodiek verslag binnen de gemeentelijke vastgestelde P&C-cyclus over de naleving van dit beleid, waaronder oplossingen en incidenten die zich hebben voorgedaan.

Het college van B&W (college) legt over de privacy beleidsvoering (politieke) verantwoording af aan de gemeenteraad en is transparant over de verwerkingen van persoonsgegevens naar betrokkenen.

De gemeente draagt zorg voor de documentatie van beleid en maatregelen, zodat het op ieder moment voor een ieder inzichtelijk en transparant is, en het maatschappelijk en juridisch uitleg kan geven over de deugdelijkheid van de aanpak (aantoonbaarheid).

De FG doet jaarlijks rechtstreeks verslag aan het college en geeft aanbevelingen die strekken tot verdere optimalisering van de privacy beleidsvoering. Het college besluit over bijsturen van dit beleid met inachtneming van de aanbevelingen van de FG.

De AVG en de Wpg geven betrokkenen verschillende rechten met betrekking tot hun persoonsgegevens. In dit hoofdstuk worden deze rechten toegelicht en wordt beschreven hoe de gemeente deze rechten waarborgt.

• •

  Recht op Informatie: betrokkenen moeten door de gemeente worden geïnformeerd op het moment dat hun persoonsgegevens worden verwerkt. Dit houdt in dat de gemeente de betrokkenen duidelijk moet informeren over het doel van de gegevensverwerking, de rechtsgrondslag, de bewaartermijn van de gegevens en de rechten die zij kunnen uitoefenen. De informatie moet op een begrijpelijke en transparante manier worden verstrekt.

• •

  Recht op Inzage: betrokkenen hebben het recht om in te zien of hun persoonsgegevens worden verwerkt, en zo ja, op welke manier deze gegevens worden verwerkt. Dit recht stelt betrokkenen in staat om te controleren of hun gegevens juist en volledig zijn en of de verwerking in overeenstemming is met de wetgeving.

• •

  Recht op Rectificatie: als betrokkenen merken dat bepaalde gegevens onjuist of onvolledig zijn, kunnen zij een verzoek indienen bij de gemeente om deze gegevens te corrigeren. De gemeente moet rectificaties binnen een redelijke termijn uitvoeren, tenzij er sprake is van een wettelijke verplichting om de gegevens te bewaren.

• •

  Recht op Vergetelheid: betrokkenen hebben het recht om hun persoonsgegevens te laten verwijderen (recht op vergetelheid), bijvoorbeeld wanneer zij hun toestemming voor de verwerking intrekken of wanneer de gegevens niet langer nodig zijn voor het doel waarvoor ze zijn verzameld. De gemeente moet in dat geval ook eventuele partners of derden die de gegevens hebben ontvangen informeren dat de betrokkene vergeten moet worden. Dit geldt ook voor partners die de gegevens bewaren voor andere doeleinden.

• •

  Recht op Beperking van de Gegevensverwerking: betrokkenen hebben het recht om een verzoek in te dienen tot beperking van de gegevensverwerking, bijvoorbeeld wanneer zij de juistheid van de gegevens betwisten of wanneer de verwerking onrechtmatig is, maar de betrokkene bezwaar maakt tegen de vernietiging van de gegevens.

• •

  Recht op Dataportabiliteit: betrokkenen hebben het recht om hun persoonsgegevens in een gestructureerd, gangbaar en machineleesbaar formaat te ontvangen, zodat zij deze kunnen overdragen aan een andere organisatie. Dit recht is van toepassing wanneer de verwerking is gebaseerd op toestemming of een contract en wordt uitgevoerd met geautomatiseerde middelen.

• •

  Recht op Bezwaar: betrokkenen hebben het recht om bezwaar te maken tegen de verwerking van hun persoonsgegevens. Dit recht kan bijvoorbeeld worden uitgeoefend wanneer de verwerking gebaseerd is op een gerechtvaardigd belang van de gemeente of wanneer de verwerking direct marketing betreft.

• •

  Recht op Verzet: betrokkenen kunnen de gemeente verzoeken om hun persoonsgegevens niet meer te gebruiken, bijvoorbeeld wanneer zij bezwaar maken tegen de verwerking of wanneer zij vinden dat de gegevens onterecht worden gebruikt. Dit recht kan ook worden ingeroepen in gevallen van profilering.

Om te voldoen aan de vereisten met betrekking tot de rechten van betrokkenen, stelt de gemeente een procedure op voor de afhandeling van verzoeken van betrokkenen met betrekking tot hun rechten. Deze procedure beschrijft hoe verzoeken worden ontvangen, wie verantwoordelijk is voor de afhandeling en welke uitzonderingen van toepassing kunnen zijn. De procedure waarborgt dat verzoeken tijdig en correct worden afgehandeld en dat de privacyrechten van betrokkenen effectief worden gerespecteerd.

Daarnaast heeft de betrokkene recht op contact met de Functionaris Gegevensbescherming (FG) (artikel 37 AVG) en recht om een klacht in te dienen bij de nationale toezichthouder, de Autoriteit Persoonsgegevens (AP) (artikel 77 AVG).

8.1 Register van verwerkingsactiviteiten

De gemeente houdt een register van hun verwerkingsactiviteiten bij voor zowel de AVG als de Wpg. Hierin wordt een overzicht gegeven van de verschillende processen die bij de gemeente worden uitgevoerd en welke soorten persoonsgegevens worden verwerkt. Dit register wordt periodiek gecontroleerd door de FG. Het register wordt ook gebruikt door de gemeente om te voldoen aan verschillende andere AVG vereisten met betrekking tot verantwoording, door onder meer de juridische gronden te documenteren.

8.2 Datalekken

De gemeente houdt een register bij van alle beveiligingsincidenten en datalekken. Het register bevat details over het incident, de ernst en het effect van het datalek en de getroffen maatregelen. Bij ernstige datalekken zal de gemeente, indien van toepassing, ook betrokkenen informeren, inclusief een beschrijving van de aard van het datalek, de getroffen maatregelen en de aanbevolen acties.

De functionaris gegevensbescherming (FG) heeft de rol van coördinator bij de afhandeling van datalekken en zorgt ervoor dat alle wettelijke vereisten, zoals de melding aan de Autoriteit Persoonsgegevens binnen de 72 uur, worden nageleefd

De gemeente heeft een Datalekbeleid vastgesteld. In dit beleid is beschreven op welke wijze datalekken worden afgehandeld, wie daarbij welke verantwoordelijkheid heeft en hoe datalekken worden geregistreerd.

8.3 Gegevensbeschermingseffectbeoordeling/data protection impact assessment

Een gegevensbeschermingseffectbeoordeling (DPIA) moet worden uitgevoerd wanneer een nieuwe verwerking van persoonsgegevens waarschijnlijk een hoog privacyrisico met zich meebrengt, bijvoorbeeld bij het gebruik van nieuwe technologieën, grootschalige gegevensverwerking of verwerking van bijzondere persoonsgegevens. De DPIA wordt uitgevoerd in samenwerking met de betrokken teams en medewerkers en bevat een gedetailleerde risicobeoordeling en voorstellen voor maatregelen om die risico’s te mitigeren.

De gemeente stelt een DPIA procedure op waarin het proces voor het uitvoeren van een DPIA is opgenomen. In deze procedure wordt onder meer besproken welke partijen betrokken moeten worden en aan welke verplichtingen een DPIA moet voldoen.

8.4 Privacy by Design en Privacy by Default

De gemeente past de principes van Privacy by Design en Privacy by Default toe bij alle verwerkingen van persoonsgegevens.

Privacy by Design houdt in dat privacybescherming vanaf het begin wordt ingebouwd in nieuwe processen, systemen en diensten. Dit betekent onder andere:

• •

  Dataminimalisatie: Alleen de noodzakelijke persoonsgegevens worden verzameld.

• •

  Beveiliging: Technische en organisatorische maatregelen, zoals encryptie, worden al bij de ontwikkeling van systemen geïmplementeerd.

• •

  Toegangscontrole: Alleen bevoegde medewerkers hebben toegang tot persoonsgegevens.

Privacy by Default zorgt ervoor dat de standaardinstellingen van systemen en processen de privacy van betrokkenen beschermen, bijvoorbeeld door:

• •

  Minimale gegevensverwerking: alleen de noodzakelijke gegevens worden verzameld.

• •

  Veilige standaardinstellingen: systemen zijn standaard geconfigureerd om privacy te waarborgen, met opties voor opt-in in plaats van opt-out.

De gemeente evalueert en past processen en systemen regelmatig aan om te voldoen aan deze principes, met betrokkenheid van de CISO, de FG en de PO voor advies en toezicht.

8.5 Toegangscontrole en logging

Binnen de gemeente worden toegangsrechten tot systemen die persoonsgegevens verwerken strikt beheerd volgens een autorisatiematrix. Alleen geautoriseerde medewerkers kunnen toegang krijgen tot specifieke persoonsgegevens. De toegang wordt gelogd en regelmatig gecontroleerd op onregelmatigheden. Het is de verantwoordelijkheid van de Chief Information Security Officer (CISO) om ervoor te zorgen dat de logging voldoet aan de eisen van de AVG en de Wpg en dat ongeautoriseerde toegang snel wordt opgespoord en gecorrigeerd.

8.6 Doorgifte van persoonsgegevens

Bij samenwerking met externe partijen, waarbij persoonsgegevens worden verwerkt, maakt de gemeente afspraken over de eisen waaraan de gegevensuitwisseling moet voldoen. Deze afspraken worden vastgelegd in overeenkomsten en zijn in lijn met de geldende wet- en regelgeving.

De gemeente kan de verwerking van persoonsgegevens uitbesteden aan verwerkers. Dit gebeurt uitsluitend met verwerkers die voldoen aan de vereisten van de AVG en Wpg, en hiervoor wordt gebruik gemaakt van het model verwerkersovereenkomst van de VNG. In gevallen waar de gemeente samen met een andere partij als gezamenlijke verwerkingsverantwoordelijke optreedt (bijvoorbeeld in een samenwerking met een andere gemeente), worden de verplichtingen en verantwoordelijkheden van beide partijen vastgelegd in een overeenkomst.

In het verwerkingsregister van de gemeente wordt per verwerking aangegeven of persoonsgegevens met derden zijn gedeeld, hoe deze derden worden gekwalificeerd (bijvoorbeeld als verwerker of gezamenlijke verwerkingsverantwoordelijke), en of hiervoor een overeenkomst is afgesloten. De kwaliteitsmedewerker is verantwoordelijk voor het jaarlijks controleren van de naleving van deze overeenkomsten en afspraken.

Indien persoonsgegevens buiten de Europese Economische Ruimte (EER) worden doorgegeven, gebeurt dit uitsluitend op basis van een wettelijk toegestane grondslag, zoals een adequaatheidsbesluit van de Europese Commissie, standaardcontractbepalingen, of andere passende waarborgen. Waar nodig worden aanvullende maatregelen, zoals versleuteling, getroffen om de privacy van de betrokkenen te waarborgen.

Dit beleid is vastgesteld op 10 december 2024 door het college van Burgermeesters en Wethouders dat eindverantwoordelijk is voor de gemeentelijke gegevensverwerking. Dit beleid wordt ten minste eens per drie jaar geëvalueerd en indien nodig herzien. Wijzigingen in wet- en regelgeving, interne procesveranderingen of risicobeoordelingen kunnen aanleiding geven voor een tussentijdse herziening. Na elke herziening wordt de gemeenteraad geïnformeerd en het beleid geactualiseerd in de relevante documenten.