Privacybeleid Provincie Limburg 2025

3.2.1. De secretaris/algemeen directeur

De secretaris/algemeen directeur is verantwoordelijk voor de kaderstelling en sturing op de uitvoering van het privacybeleid. Minimaal één keer per jaar evalueert hij/zij, samen met de functionaris voor gegevensbescherming (hierna: FG) de naleving van privacyregelgeving en onderhavig beleid. Daarnaast zorgt hij/zij ervoor dat de FG naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens of politiegegevens.

3.2.2. Het management

De clustermanagers zijn op uitvoeringsniveau verantwoordelijk voor een privacybestendige bedrijfsvoering en gegevensuitwisseling met derden. Uiteraard voor zover passend binnen hun mandaat en de door het college van Gedeputeerde Staten vastgestelde beleidskaders. De clustermanagers leggen hierover via de directie verantwoording af aan het college van Gedeputeerde Staten. Daarnaast kan het voorkomen dat ook een directeur of programma-/projectmanager op uitvoeringsniveau verantwoordelijk is voor een proces waarin persoonsgegevens worden verwerkt. De clustermanagers winnen advies in bij de Privacy-officer of privacyrechtjurist(en) voordat wordt aangevangen met een nieuwe of verdere verwerking van persoonsgegevens.

3.2.3. Het privacy- en informatiebeveiligingsteam (PIT)

Privacybescherming vergt kennis op het gebied van gegevensmanagement en IT, juridische kennis van wet- en regelgeving, auditexpertise voor de DPIA’s, kennis van informatiebeveiliging en van werkprocessen en systemen. Binnen de Provincie Limburg is een team actief waarin deze expertise voorhanden is. Dit team heet ‘privacy- en informatiebeveiligingsteam’, kortweg: PIT. Het PIT ondersteunt de clustercoördinators privacy, de clustermanagers, de directie en het college van Gedeputeerde Staten bij de uitvoering van het privacybeleid. Dit team bestaat ten minste uit de Privacy-officer (jurist van het cluster Algehele Juridische Zaken (AJZ)), privacyrechtjurist(en), de Information Security Officer (senior Adviseur Organisatie en Informatie van het cluster Organisatie en Informatie) en de FG (als adviseur). Dit team adviseert de directie eveneens bij datalekken.

Concreet heeft het PIT de volgende taken:

• •

  advisering over uitvoering en actualisatie provinciaal privacybeleid;

• •

  signaleren van privacyrisico’s;

• •

  ondersteuning management en bestuur bij privacyvraagstukken;

• •

  implementeren (nieuwe) privacywetgeving;

• •

  doen van aanbevelingen op het gebied van privacy en informatiebeveiliging;

• •

  vertaling adviezen en bevindingen van de FG in concrete actiepunten en uitvoering hiervan binnen de (met de directie) afgesproken termijnen.

3.2.4. De clustercoördinators privacy

Elke clustermanager wijst een medewerker aan die binnen zijn cluster fungeert als privacy-coördinator. Deze coördinator is het eerste aanspreekpunt voor het PIT bij de implementatie van (nieuwe) maatregelen op het terrein van privacy en heeft verder de volgende taken en verantwoordelijkheden:

• •

  draagt mede zorg voor het bewustwordingsproces rondom privacy en informatiebeveiliging binnen zijn/haar cluster;

• •

  heeft een proactieve rol in het signaleren of er sprake is van een nieuwe verwerking en of het noodzakelijk is dat daarvoor een verwerkersovereenkomst moet worden afgesloten;

• •

  het actueel houden van verwerkingen binnen het cluster;

• •

  het doorgeven van nieuwe verwerkingen en wijzigingen in verwerkingen van persoonsgegevens aan de Privacy-officer en of privacyrechtjurist(en) voor opname in respectievelijk wijziging van het register van verwerkingen;

• •

  het deelnemen aan activiteiten die door het PIT worden georganiseerd over actualiteiten op het gebied van privacy.

3.2.5. De FG

De Provincie Limburg heeft een FG aangesteld. De FG is een onafhankelijke en deskundige interne toezichthouder en adviseur met wettelijke taken en bevoegdheden. De FG houdt binnen de organisatie toezicht op de toepassing en naleving van alle privacy wet- en regelgeving waaronder de AVG en Wpg. Deze functionaris is betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens en politiegegevens. De FG is verantwoordelijk voor het structureel toetsen van de implementatie en de uitvoering van de wettelijke eisen en het provinciale beleid op het gebied van privacy. Concreet heeft de FG de volgende taken:

• •

  informeren en adviseren van de verwerkingsverantwoordelijke en hun medewerkers over hun verplichtingen uit de AVG, Wpg en andere relevante privacywetgeving;

• •

  toezien op de naleving van de AVG, Wpg, andere relevante privacywetgeving en het provinciale privacybeleid, waaronder bewustmaking en voorlichting van betrokken medewerkers;

• •

  adviseren over DPIA’s en toezien op de uitvoering daarvan;

• •

  samenwerken met toezichthoudende autoriteiten (zoals de Autoriteit Persoonsgegevens) en optreden als provinciaal contactpunt voor toezichthoudende autoriteiten;

• •

  helpen privacyklachten tot een goed einde te brengen (ombudsfunctie);

• •

  bij privacy-incidenten adviseren over ernst en omvang;

• •

  toezien op het register van verwerkingsactiviteiten;

• •

  advieslid van het PIT.

De FG krijgt de nodige ruimte voor professionele uitvoering van zijn taken. Conform artikel 38, van de AVG en artikel 36, van de Wpg:

• •

  zorgen het college van Gedeputeerde Staten en de clustermanagers en project-/programmamanagers ervoor dat de FG naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens of politiegegevens;

• •

  wordt de FG bij de vervulling van zijn taken ondersteund door hem toegang te verschaffen tot persoonsgegevens of politiegegevens en verwerkingsactiviteiten en door hem de benodigde middelen ter beschikking te stellen voor het vervullen van deze taken;

• •

  wordt de FG niet geïnstrueerd over de invulling van taken of gestraft of ontslagen voor de uitvoering van zijn taken;

• •

  is de zienswijze van de FG zwaarwegend bij de naleving van privacywetgeving door de Provincie Limburg.

Elk kwartaal brengt de FG verslag uit van zijn/haar werkzaamheden aan de secretaris/algemeen directeur en de CIO.

3.2.6. De bevoegd functionaris

Voor verwerkingen conform artikel 9 van de Wpg is het noodzakelijk om een bevoegd functionaris aan te wijzen. De bevoegd functionaris is de ‘hoeder’ van de gegevens die onder artikel 9 van de Wpg worden verwerkt. Deze functionaris is beschreven in artikel 2:10, eerste lid, van het Bpg. De bevoegd functionaris wordt door de werkgever aangewezen via een separaat aanwijzingsbesluit. De Provincie Limburg heeft twee bevoegd functionarissen aangewezen.

De bevoegd functionaris heeft onder andere de volgende taken:

• •

  het doel van de artikel 9 Wpg-verwerking omschrijven en vastleggen;

• •

  het autoriseren van personen voor de betreffende verwerking;

• •

  bepalen of gegevens voor andere doeleinden mogen worden gebruikt;

• •

  zorgen dat voor alle gegevens de herkomst en wijze van verkrijgen wordt vastgelegd;

• •

  bewaken dat gegevens rechtmatig worden verkregen en verwerkt. Hierbij moet vooral worden gelet op de termijnen.

Schematische weergave taken en verantwoordelijkheden op terrein van privacy

4.1.1. AVG

De Provincie Limburg hanteert voor het op de juiste manier waarborgen van privacy het ‘Borgingsproduct Gegevensbescherming’ van de VNG/ Informatiebeveiligingsdienst (IBD). Het borgingsproduct is een hulpmiddel om de AVG te vertalen naar een kwaliteitscyclus voor gegevensbescherming voor gemeentelijke processen. Gezien de opzet van dit borgingsproduct is het ook geschikt voor de provinciale processen.

4.1.2. Wpg

Aanvullend op de normen uit de AVG gelden op grond van de Wpg de volgende eisen:

• •

  gegevens die op feiten zijn gebaseerd zijn gescheiden van gegevens die op een persoonlijk oordeel zijn gebaseerd;

• •

  er wordt onderscheid gemaakt tussen verschillende categorieën betrokkenen, zoals verdachten, slachtoffers, derden en veroordeelden;

• •

  via geautomatiseerde systemen wordt de invoer van gegevens gelogd;

• •

  er gelden specifieke termijnen voor het bewaren, verwijderen en vernietigen van politiegegevens.

Deze eisen zijn geborgd binnen het Boa Registratie Systeem (hierna: BRS) waarin boa’s de politiegegevens verwerken.

4.3.1. AVG

In artikel 6 van de AVG zijn zes grondslagen vastgelegd voor de verwerking van persoonsgegevens. Voor de verwerking van persoonsgegevens moet op ten minste één van de zes grondslagen een beroep worden gedaan. Het betreft de volgende grondslagen:

• •

  de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;

• •

  de verwerking is noodzakelijk ter bescherming van de vitale belangen (de verwerking is noodzakelijk voor de betrokkene zijn leven of gezondheid);

• •

  de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;

• •

  de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waar de betrokkene onderdeel van is;

• •

  de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;

• •

  de gegevensverwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen (geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun publieke taken).

4.3.2. Wpg

De Wpg onderscheidt verschillende grondslagen waarvoor politiegegevens mogen worden verwerkt. Deze staan in de artikelen 8, 9, 10, 12 en 13, van de Wpg beschreven. Het Bpg boa beschrijft in artikel 2 dat voor de boa alleen artikel 8, 9 en 13 Wpg-verwerkingen van toepassing zijn. Afhankelijk van de grondslag gelden er andere voorwaarden, bijvoorbeeld voor de verwerkingstermijn en toegankelijkheid voor andere opsporingsambtenaren. Het betreft de volgende grondslagen:

• •

  Artikel 8 van de Wpg: politiegegevens kunnen worden verwerkt met het oog op de uitvoering van de dagelijkse politietaak.

• •

  Artikel 9 van de Wpg: politiegegevens kunnen worden verwerkt die specifiek gericht zijn op bepaalde personen of concrete gebeurtenissen.

• •

  Artikel 13 van de Wpg: ten behoeve van ondersteuning van de taak mogen politiegegevens die oorspronkelijk zijn verwerkt op basis van artikel 8 of 9 Wpg verder worden verwerkt voor zover zij relevant zijn.

De grondslag dient te worden vastgelegd in het register van verwerkingsactiviteiten.

4.5.1. AVG

Persoonsgegevens mogen niet langer bewaard worden dan strikt noodzakelijk voor het doel waarvoor ze zijn verzameld, de dienstverlening of wettelijke verplichting.

Er is op grond van de AVG geen concrete bewaartermijn voor persoonsgegevens. Persoonsgegevens mogen echter alleen bewaard worden als identificeerbare gegevens, voor zolang het nodig is voor de doeleinden waarvoor ze verzameld zijn. Bij de bepaling van de bewaartermijn is het dus zaak om na te gaan hoe lang de gegevens nodig zijn voor het doel waarvoor deze zijn verzameld of worden gebruikt. Wel zijn er concrete bewaartermijnen in andere wetten waar organisaties zich aan moeten houden, bijvoorbeeld in de Archiefwet en de belastingwetgeving.

4.5.2. Wpg

In de Wpg staan termijnen voor het bewaren van politiegegevens. Politiegegevens die op grond van artikel 8 en 9, van de Wpg zijn verwijderd, worden gedurende vijf jaar bewaard voor het afhandelen van klachten en het verantwoorden van verrichtingen (audits). Verder kunnen deze gegevens in bijzondere gevallen en voor zover dat noodzakelijk is voor een artikel 9-verwerking ter beschikking worden gesteld voor hernieuwde verwerking. Dit kan alleen in opdracht van de Officier van Justitie. Deze gegevens mogen ook worden verwerkt ten behoeve van wetenschappelijk onderzoek en statistiek.

4.8.1. Informatieplicht

4.8.1.1 AVG

In de AVG is expliciet opgenomen dat persoonsgegevens verwerkt moeten worden op een manier die transparant is voor de betrokkene. Voor een natuurlijke persoon moet transparant zijn of en in hoeverre zijn persoonsgegevens (zullen) worden verzameld, gebruikt, geraadpleegd of anderszins verwerkt: het transparantiebeginsel (artikel 5, eerste lid onder a van de AVG). Dit betekent dat een betrokkene onder andere op de hoogte moet worden gesteld van de verwerking van zijn/haar persoonsgegevens en de doeleinden hiervan. Deze actieve informatieplicht is vastgelegd in artikel 13, eerste lid en artikel 14, eerste lid van de AVG. Communicatie met betrokkene dient bovendien plaats te vinden in begrijpelijke, beknopte en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal (artikel 12, eerste lid van de AVG).

De Provincie Limburg informeert betrokkene actief over het verwerken van zijn/haar persoonsgegevens. Wanneer betrokkenen gegevens aan de Provincie Limburg verstrekken, worden zij op dat moment (bijvoorbeeld via het aanvraagformulier) op de hoogte gesteld van de manier waarop de Provincie Limburg met hun persoonsgegevens om zal gaan. De betrokkene wordt niet nogmaals geïnformeerd als hij/zij al weet dat de Provincie Limburg persoonsgegevens van hem/haar verzamelt en verwerkt, en weet waarom en voor welk doel dat gebeurt.

Wanneer de gegevens via een andere weg verkregen worden, dus buiten de betrokkene om, wordt de betrokkene binnen een redelijke termijn geïnformeerd: altijd direct de eerste keer dat met hem/haar wordt gecommuniceerd en uiterlijk binnen een maand. Deze plicht is niet van toepassing als betrokkene die informatie al heeft, het onmogelijk of ondoenlijk is om de informatie te verstrekken, de verwerking wettelijk verplicht is of daarmee de doeleinden van de verwerking ernstig in het gedrang komen.

4.8.1.2 Wpg

De verwerkingsverantwoordelijke heeft op grond van de Wpg ook een informatieplicht. De verwerkingsverantwoordelijke verstrekt aan de betrokkene informatie over de verwerking van politiegegevens in een beknopte en toegankelijke vorm en in duidelijke en eenvoudige taal. De informatie wordt met passende middelen, waaronder elektronische middelen, verstrekt en in beginsel in dezelfde vorm als de vorm van het verzoek. De volgende informatie dient aan de betrokkene te worden verstrekt:

• •

  de identiteit en contactgegevens van de verwerkingsverantwoordelijke en de FG;

• •

  de verwerkingsdoelen van de politiegegevens;

• •

  de rechten van betrokkene;

• •

  het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.

In specifieke gevallen verstrekt de verwerkingsverantwoordelijke de volgende informatie aan de betrokkene:

• •

  de rechtsgrondslag van de verwerking;

• •

  de bewaartermijn van de politiegegevens;

• •

  indien noodzakelijk, extra informatie, in het bijzonder wanneer de politiegegevens zonder

• •

  medeweten van de betrokkene worden verzameld;

• •

  het bestaan van geautomatiseerde besluitvorming en nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.

In het geval er sprake is van een kennelijk ongegrond of buitensporig verzoek, kan de verwerkingsverantwoordelijke weigeren gevolg te geven aan het verzoek

4.8.2. Rechten van betrokkenen

4.8.2.1 AVG

De AVG bepaalt niet alleen de plichten van degenen die de persoonsgegevens verwerken, maar bepaalt ook de rechten van de personen van wie de gegevens worden verwerkt. Deze rechten worden ook wel ‘de rechten van betrokkenen’ genoemd, en bestaan uit:

• -

  Recht op informatie: betrokkenen hebben het recht om aan de Provincie Limburg te vragen of zijn/haar persoonsgegevens worden verwerkt.

• -

  Inzagerecht: betrokkenen hebben de mogelijkheid om te controleren of, en op welke manier, zijn/haar persoonsgegevens worden verwerkt.

• -

  Recht op rectificatie: als blijkt dat de persoonsgegevens die worden verwerkt niet correct of incompleet zijn, kan de betrokkene een verzoek bij de Provincie Limburg indienen om deze gegevens te corrigeren of aan te vullen.

• -

  Recht op beperking: betrokkenen kunnen aan de Provincie Limburg verzoeken om de verwerking van hun persoonsgegevens tijdelijk stop te laten zetten.

• -

  Recht op gegevenswissing: in een aantal gevallen kan de betrokkene aan de Provincie verzoeken dat zijn/haar persoonsgegevens worden verwijderd.

• -

  Recht op bezwaar: betrokkenen hebben het recht om bezwaar te maken tegen de verwerking van zijn/haar persoonsgegevens.

4.8.2.2 Wpg

De rechten op grond van de Wpg zijn grotendeels hetzelfde als de rechten op grond van de AVG. Toch wijken zij op een aantal punten ook af van de AVG. Betrokkenen hebben het recht om de politiegegevens die de Provincie Limburg onder de Wpg verwerkt, in te zien.

Als politiegegevens onder de Wpg onjuist of onvolledig zijn, dan kunnen betrokkenen de Provincie Limburg verzoeken de politiegegevens aan te passen. Daarnaast kunnen betrokkenen verzoeken de politiegegevens te laten verwijderen of vragen om een beperking van de verwerking van de politiegegevens.

De Provincie heeft het recht om een verzoek af te wijzen als:

• •

  het verzoek gerechtelijke onderzoeken of procedures zou belemmeren;

• •

  dit nadelige gevolgen heeft voor het voorkomen van het begaan van strafbare feiten, voor opsporing, onderzoek, vervolging of het opleggen van straffen;

• •

  de openbare veiligheid in het geding is;

• •

  de rechten en vrijheden van derden worden geschonden;

• •

  de nationale veiligheid in het geding is;

• •

  de Provincie de wettelijke plicht heeft deze politiegegevens gegevens te bewaren;

• •

  het kennelijk een ongegrond of buitensporig verzoek is.

Om gebruik te maken van zijn/haar rechten kan de betrokkene een verzoek indienen bij de Provincie Limburg. Dit verzoek kan zowel schriftelijk als digitaal ingediend worden. De Provincie Limburg moet binnen één maand na ontvangst van het verzoek, de betrokkene informeren over de uitvoering van het verzoek. Binnen één maand dient de Provincie Limburg aan te geven of zij wel of geen gehoor geeft aan het verzoek. Als er geen gehoor wordt gegeven aan het verzoek, kan betrokkene bezwaar (ex artikel 7:1 Algemene wet bestuursrecht) maken bij de Provincie Limburg, of een klacht in te dienen bij de Autoriteit Persoonsgegevens .

4.9.1. Profilering

Wanneer er een geautomatiseerde verwerking van persoonsgegevens plaatsvindt waarbij aan de hand van persoonsgegevens naar bepaalde persoonlijke aspecten van een persoon wordt gekeken om deze persoon te categoriseren en te analyseren, of om zaken te kunnen voorspellen, spreken we van profilering. Voorbeelden van persoonlijke aspecten kunnen zijn: financiële situatie, interesses, gedrag of locatie.

4.9.2. Inzet van camera’s

Ter vergroting van de veiligheid (bescherming medewerkers en bezoekers, tegengaan van diefstal en beschadiging van provinciale eigendommen) wordt in en rondom het Provinciehuis gebruik gemaakt van cameratoezicht. De camerabeelden worden alleen voor dat doeleinde gebruikt. Camera’s kunnen een grote inbreuk maken op de privacy van diegene die wordt gefilmd. Om de privacy zo goed mogelijk te waarborgen zal de Provincie Limburg op duidelijke wijze (o.a. in een protocol cameratoezicht en via bebording) kenbaar maken dat er sprake is van cameratoezicht.