Privacybeleid BsGW

Vastgesteld per 14-11-2024

Inhoudsopgave

1. Inleiding 3

2. Visie 4

3. Begrippen 5

4. Doel 7

5. Reikwijdte 8

6. Governance 10

6.1. Relatie verwerkingsverantwoordelijke met het Algemeen Bestuur 10

6.2. Vastlegging van verantwoordelijkheden 10

7. Wettelijke kaders voor de omgang met gegevens 12

8. Uitgangspunten nader toegelicht 13

8.1. Wijze van verwerking 13

8.2. Transparantie en communicatie 13

8.3. Beheer en verwijdering van persoonsgegevens 14

8.4. Rechten van betrokkenen (Artikel 13 t/m 20, AVG) 14

8.5. Geautomatiseerde verwerkingen waaronder profilering (artikel 22 AVG) 15

8.6. Big data en tracking 15

8.7. Cameratoezicht 15

9. Plichten van BsGW 16

9.1. Register van gegevensverwerkingen (Artikel 30, AVG) 16

9.2. Gegevensbeschermingseffectbeoordeling (Artikel 35, AVG) 16

9.3. Aanstellen FG (Artikelen 37 t/m 39, AVG) 16

9.4. Datalekken (Artikel 33,34, AVG) 16

Inwerkingtreding 17

1.Inleiding

Bescherming van persoonsgegevens is een grondrecht. Gegevensverwerking vindt binnen BsGW dan ook plaats op een transparante, veilige en betrouwbare manier waarbij de privacy is gewaarborgd. Het is aan BsGW om ervoor te zorgen dat zowel intern als extern op een begrijpelijke manier wordt uitgelegd op welke wijze BsGW de bescherming van persoonsgegevens realiseert om onrechtmatig gebruik van persoonsgegevens te voorkomen. Een zorgvuldige omgang met de persoonsgegevens vormt een essentiële bouwsteen voor het vertrouwen van burgers, medewerkers en (keten)partners. Deze zijn dan ook de betrokkenen van BsGW. Dit vertrouwen is cruciaal, vooral nu gegevensverwerking op grote schaal een fundamentele rol speelt in de werking van onze digitale samenleving. Zonder dit vertrouwen zouden systemen die afhankelijk zijn van de massale verwerking van persoonsgegevens, niet duurzaam inzetbaar blijven.

In dit privacybeleid gaat het niet enkel om de naleving van de wettelijke eisen. Privacybeleid draagt tevens bij aan de kwaliteit van de taken die binnen BsGW worden uitgevoerd en de kwaliteit van de service die BsGW aan de burgers verleent. Daarnaast dient het privacybeleid als een basis voor een goed gedocumenteerd stelsel van interne afspraken om persoonlijke en organisatorische belangen te waarborgen. Dit beleidsdocument stelt de algemene kaders vast waarbinnen BsGW de privacy van de betrokkenen regelt. Het geeft richting en kaders voor eventueel nader vast te stellen beleid of werkinstructies.

Het niet zorgvuldig verwerken van persoonsgegevens is strijdig met de wettelijke eisen en heeft een grote impact op de persoonlijke levenssfeer van de betrokkenen. Datalekken, identiteitsfraude en cybercriminaliteit zijn in deze digitale maatschappij dan ook een terugkerend thema in de media. Juiste toepassing van de wettelijke regels is daarom van groot belang. Dit beleid vormt een nadere uitwerking van de wettelijke regelgeving en is daarnaast een praktische handleiding haar medewerkers. Hoewel BsGW over een goed stelsel van processen, werkafspraken en contracten beschikt om gegevensbescherming te kunnen waarborgen, blijft de uitvoering van deze processen en protocollen mensenwerk. Middels dit privacybeleid wil BsGW de bewustwording vergroten, een kritische cultuur bevorderen en kennis overdragen.

2.Visie

BsGW is een transparante, vooruitstrevende en innovatieve organisatie. Binnen de organisatie wordt veel gewerkt met vertrouwelijke informatie zoals persoonsgegevens van burgers en medewerkers en gevoelige belastingzaken en financiële gegevens. Dat stelt hoge eisen aan medewerkers als het gaat om betrouwbaarheid en integriteit en daarmee dus de zorgvuldige omgang met bedrijfs- en persoonsgegevens.

De bedrijfsvoering van BsGW is zodanig ingericht om de werkzaamheden zo efficiënt mogelijk uit te voeren en zodoende tegen zo laag mogelijke kosten een zo hoog mogelijke kwaliteit te leveren. Het beschermen van de persoonsgegevens van burgers en medewerkers maakt onderdeel uit van de kwaliteit die BsGW levert. BsGW is toekomstgericht en investeert voortdurend in nieuwe technologieën om daarmee nu en in de toekomst de bedrijfsvoering te optimaliseren en te borgen. BsGW stelt zich zakelijk maar dienstverlenend op naar haar opdrachtgevers en burgers. Bescherming van persoonsgegevens en bedrijfsinformatie is essentieel voor de goede dienstverlening.

De vooruitstrevendheid van BsGW heeft ervoor gezorgd dat binnen BsGW gegevensbescherming al in een vroeg stadium een belangrijke rol heeft gekregen. Per 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) van toepassing in alle lidstaten van de Europese Unie. BsGW heeft inmiddels invulling gegeven aan de vereisten die uit deze wetgeving voortvloeien. BsGW streeft ernaar om, de plan-do-act cyclus aan te houden voor het optimaliseren van de informatiebeveiliging en privacy.

Hiermee tracht BsGW tevens het beleid actueel te houden.

Uiteindelijk wil BsGW een hoog privacy- en informatiebeveiligingsniveau in de organisatie bereiken. Als meetladder maakt BsGW gebruik van het Privacy Maturity Model van AICPA/CICA. Momenteel staat BsGW op het niveau 1 en 2 (herhaalbaar). Dit wil zeggen dat hoewel de procedures of de processen aanwezig zijn, ze niet volledig gedocumenteerd zijn en niet alle relevante aspecten dekken.

Ambities voor de toekomst (zie ook bijlage 1):

NU Mid 2025

Niveau 1 & 2

Repeatable (herhaalbaar) Niveau 3

Defined (bepaald)

Om deze ambities te realiseren zal BsGW allereerst moeten voldoen aan de formele vereisten van wet- en regelgeving. Daarvoor zal BsGW voortdurend moeten investeren in het bewustzijn en kennisvergaring van eigen medewerkers en de verhoging van het beschermingsniveau van de systemen waarmee BsGW werkt en waarin persoonsgegevens of andere gevoelige informatie voorkomen. Tot slot zal BsGW voortdurend moeten bewaken dat het vereiste niveau behouden blijft of verder wordt geoptimaliseerd.

3.Begrippen

De volgende begrippen worden in de AVG gebruikt (artikelen 4, 5 en 6 AVG):

Betrokkene:

De persoon op wie de persoonsgegevens betrekking hebben. De betrokkene is degene van wie de gegevens worden verwerkt. In dit beleid zijn de betrokkenen de klanten, belastingplichtigen, belastingschuldigen, belanghebbenden, de medewerkers van BsGW en andere personen buiten de organisatie van BsGW over wie BsGW persoonsgegevens verwerkt. Omdat de AVG alleen natuurlijke personen wil beschermen, vallen rechtspersonen buiten het beschermingsgebied van de AVG.

Derde:

Een persoon, instantie of dienst, niet zijnde de betrokkene, de verantwoordelijke, de bewerker, of enig persoon die onder rechtstreeks gezag van de verantwoordelijke of de bewerker gemachtigd is om persoonsgegevens te verwerken.

Gegevensbeschermingseffectbeoordeling:

Met een gegevensbeschermingseffectbeoordeling (of Data Protection Impact Assessment (DPIA)) worden de effecten en risico’s van de nieuwe of bestaande verwerkingen van persoonsgegevens beoordeeld op de bescherming die vanuit de AVG is vereist. BsGW voert een DPIA uit om uiteindelijk slechts die persoonsgegevens te verwerken die noodzakelijk zijn voor de taakuitoefening van BsGW en om daarbij de persoonsgegevens, zo goed mogelijk te beschermen. BsGW voert een DPIA vooral uit wanneer er een geautomatiseerde verwerking, een grootschalige verwerking of verwerking van bijzondere persoonsgegevens plaatsvindt.

Persoonsgegevens:

Alle informatie die iets zegt over een natuurlijk persoon en waaraan je een mens als individu kunt herkennen. Het gaat hierbij niet alleen om vertrouwelijke gegevens, zoals over iemands gezondheid, maar om ieder gegeven dat te herleiden is tot een bepaald persoon (bijvoorbeeld; naam, adres, geboortedatum, economische of sociale welzijn). Naast gewone persoonsgegevens kent de wet ook bijzondere persoonsgegevens. Dit zijn gegevens die gaan over gevoelige onderwerpen, zoals: etnische achtergrond, politieke voorkeuren, gezondheidssituatie, religieuze of levensbeschouwelijke overtuigingen, seksueel gedrag, genetische gegevens of biometrische gegevens.

Verwerkingsverantwoordelijke:

Een persoon of instantie die alleen, of samen met een ander, het doel en de middelen voor de verwerking van persoonsgegevens vaststelt. Het Dagelijks Bestuur van BsGW is verantwoordelijk voor de verwerkingen die door of namens BsGW worden uitgevoerd.

Verwerker:

De persoon of organisatie die de persoonsgegevens verwerkt in opdracht van een andere persoon of organisatie. In het geval van BsGW zijn de verwerkers onder andere de leveranciers van software die BsGW gebruikt voor het vaststellen van de belastingaanslagen of de salarisuitbetalingen van de medewerkers.

Verwerking:

Een verwerking betreft alle handelingen die een persoonsgegeven betreffen. De verwerking van persoonsgegevens is elke handeling of elk geheel van handelingen met persoonsgegevens. Daarbij gaat het om de onderstaande handelingen:

• Verzamelen, vastleggen en ordenen;

• Bewaren, bijwerken en wijzigen;

• Opvragen, raadplegen, gebruiken;

• Verstrekken door middel van doorzending ;

• Verspreiding of enige andere vorm van ter beschikkingstellen;

• Samenbrengen, met elkaar in verband brengen;

• Afschermen, uitwissen of vernietigen van gegevens.

In de praktijk betekent dat er al snel sprake is van verwerkingen, zodra er persoonsgegevens aan de orde zijn. In het gros van de werkprocessen heeft BsGW te maken met verwerkingen van persoonsgegevens. Dat wil zeggen dat de inhoud van dit privacybeleid in acht moet worden genomen.

4.Doel

Met dit privacybeleid geeft BsGW een kader voor het verantwoord omgaan met persoonsgegevens en het waarborgen van de persoonlijke levenssfeer van de personen waarvan BsGW persoonsgegevens verwerkt (of laat verwerken). Het Privacybeleid beoogt:

• Het bieden van een kader om (toekomstige) verwerkingen van persoonsgegevens te toetsen aan een vastgestelde norm en om de taken, bevoegdheden en verantwoordelijkheden in de organisatie eenduidig te beleggen.

• Het nemen van verantwoordelijkheid door het management van BsGW door de uitgangspunten en de organisatie van het verwerken van persoonsgegevens vast te leggen voor de hele organisatie.

• Een daadkrachtige implementatie van het Privacybeleid door duidelijke keuzes in maatregelen te maken en actieve controle toe te passen op de uitvoering van de beleidsmaatregelen.

• Het compliant zijn met de Nederlandse en Europese wetgeving.

Naast bovenstaande concrete doelstellingen is een meer algemeen doel het creëren van bewustwording van het belang en de noodzaak van het beschermen van Persoonsgegevens, mede ter vermijding van risico’s als gevolg van het niet compliant zijn met de relevante wet- en regelgeving.

Verantwoordelijkheid van iedere werknemer 

Iedereen werkzaam binnen BsGW is verantwoordelijk voor het verantwoord omgaan met persoonsgegevens. BsGW eist van al haar medewerkers en alle personen die werkzaam zijn voor BsGW dat de voorschriften van dit privacybeleid worden opgevolgd en actief worden uitgedragen.

5.Reikwijdte

Dit privacybeleid is bedoeld ter bescherming van de betrokkenen en dient te worden uitgevoerd door de medewerkers van BsGW. Het beoogt de medewerkers de ambities en aanpak van privacy- en informatiebeveiliging in de organisatie toe te lichten en tevens handvatten te bieden bij hun taakuitoefening om verantwoord met persoonsgegevens om te kunnen gaan. Ook legt het uit hoe de rollen en verantwoordelijkheden ten aanzien van bescherming van persoonsgegevens binnen de organisatie zijn belegd. Dit met het doel om binnen de organisatie privacyvraagstukken bij een centraal punt voor te leggen en vanuit daar naar de rest van de organisatie te coördineren. Hieronder wordt kort samengevat hoe BsGW omgaat met persoonsgegevens. In het privacybeleid dat hierna volgt worden de wettelijke kaders toegelicht en daar waar mogelijk gespecificeerd.

Dit privacybeleid is van toepassing op alle taken en processen waar BsGW voor verantwoordelijk is, als ook geheel of gedeeltelijk geautomatiseerde verwerkingen van persoonsgegevens van zowel burgers als medewerkers. Dit beleid is bedoeld om kaders te schetsen waarbinnen de gegevensverwerkingen plaats zullen vinden. De uitvoering van het privacybeleid is gebaseerd op de volgende uitgangspunten:

Rechtmatige grondslag

BsGW zorgt ervoor dat persoonsgegevens alleen voor bepaalde, uitdrukkelijk omschreven en gerechtvaardigde doelen worden verzameld en verwerkt. De verwerking van persoonsgegevens zal worden gebaseerd op een rechtmatige grondslag.

Doelbinding

Persoonsgegevens worden verwerkt voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doelen en worden slechts verwerkt met het doel waarvoor ze zijn verzameld. De persoonsgegevens kunnen voor andere doelen worden gebruikt of gedeeld voor zover de wet dat toestaat.

Minimale gegevensverwerking/Data minimalisatie

BsGW verwerkt alleen de persoonsgegevens die minimaal noodzakelijk zijn voor het vooraf bepaalde doel. BsGW streeft naar minimale gegevensverwerking. Alleen die persoonsgegevens worden verwerkt die minimaal noodzakelijk zijn voor het vooraf bepaalde doel van de verwerking, namelijk voor de adequate uitvoering van de belastingwetgeving en de bedrijfsvoering. Waar mogelijk worden minder of geen persoonsgegevens verwerkt.

Proportionaliteit

De inbreuk die met de verwerking van de persoonsgegevens wordt gemaakt op de belangen van de betrokkene mag niet onevenredig zijn in verhouding tot het met de verwerking te dienen doel.

Subsidiariteit

Dit betekent dat het doel waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op een andere, voor de bij de verwerking van persoonsgegevens betrokkene minder nadelige wijze, kunnen worden verwerkelijkt. Een minder ingrijpende verwerking geniet altijd de voorkeur. Voor het bereiken van het doel waarvoor de persoonsgegevens worden verwerkt bij BsGW, wordt de inbreuk op de persoonlijke levenssfeer van de betrokkenen zoveel mogelijk beperkt. Als hetzelfde doel met minder ingrijpende middelen kan worden bereikt dan zal BsGW daarvoor moeten kiezen. Ook als dit betekent dat het doel tevens zonder de verwerking van persoonsgegevens kan geschieden.

Behoorlijkheid en Transparantie

Persoonsgegevens worden in overeenstemming met de wettelijke vereisten en op behoorlijke en zorgvuldige wijze verwerkt. BsGW is transparant over deze verwerkingen en communiceert over de omgang met persoonsgegevens en de wijze waarop deze zal worden gewaarborgd. Hierbij houdt BsGW zich aan de informatieplicht om betrokkenen vooraf te informeren over de verwerkingen van hun persoons- of bedrijfsgegevens.

Juistheid

Gegevens zijn steeds voldoende actueel en zijn een nauwkeurige weergave van de feitelijke situatie. Hiervoor wordt onder andere gebruik gemaakt van de basisregistraties.

Integriteit en vertrouwelijkheid

BsGW gaat zorgvuldig om met persoonsgegevens en behandelt deze vertrouwelijk. Persoonsgegevens worden alleen verwerkt voor het doel waarvoor deze zijn verzameld. De personen die de persoonsgegevens verwerken dienen deze geheim te houden. Om de betrouwbaarheid, integriteit en veiligheid van de persoonsgegevens te waarborgen, heeft BsGW passende maatregelen genomen. Deze beveiliging is vastgelegd in het informatiebeveiligingsbeleid BsGW.

Bewaartermijnen

Persoonsgegevens worden niet langer gebruikt dan noodzakelijk voor het te bereiken doel. Het (langer) gebruiken of bewaren van persoonsgegevens kan nodig zijn om de uitvoering van de belastingtaken goed uit te kunnen oefenen of om de wettelijke verplichtingen te kunnen naleven. De wettelijke bewaartermijnen heeft BsGW in kaart gebracht en verwerkt in het register voor gegevensverwerkingen in overeenstemming met de Archiefwet.

Privacy by design & Privacy by default

Bij het ontwerp van nieuwe werkprocessen of bij de aanpassing ervan wordt aandacht geschonken aan privacy- en informatiebeveiligingsaspecten. Dit geldt ook voor het toepassen van nieuwe systemen of applicaties. BsGW houdt zich bij verwerking van persoonsgegevens aan de werkwijzen en de processen die intern zijn vastgesteld. Deze voeren de medewerkers dan ook op een professionele wijze uit conform functionele en praktische protocollen of procesbeschrijvingen. Ten behoeve van de bij de uitvoering veel voorkomende processen worden specifieke procedures beschreven. Daarin wordt aangegeven hoe wordt omgegaan met privacygevoelige informatie. Die specifieke procedures dienen te voldoen aan de uitgangspunten van dit privacybeleid (en natuurlijk het wettelijk kader zoals beschreven). Dergelijke specifieke procedures (werkprocessen) worden door het team Informatiebeveiliging en Privacy (IB&P) ter vaststelling voorgelegd aan de directeur.

Rechten van betrokkenen

Afhandeling van klachten en verzoeken van burgers en bedrijven over privacyaspecten vindt plaats op een toegankelijke, laagdrempelige wijze. BsGW honoreert alle rechten van betrokkenen. BsGW heeft hiervoor procedures ontwikkeld en binnen de organisatie bekendgemaakt. Daarnaast stelt BsGW een privacyverklaring beschikbaar voor onder andere de (externe) betrokkenen, de burgers, belastingplichtigen, waarin de rechten van de betrokkenen en de wijze waarop deze kunnen worden uitgeoefend, zijn vastgelegd.

Delen met derden

In geval van samenwerking met externe partners, waarbij sprake is van verwerking van persoonsgegevens, worden afspraken gemaakt over de eisen waar gegevensuitwisselingssystemen aan moeten voldoen en de verdere omgang met persoonsgegevens. Denk hierbij aan systemen voor het declareren van reiskosten of het bijhouden van het personeelsdossier. Deze afspraken voldoen aan de wettelijke vereisten. De afspraken ten aanzien van het verstrekken van belastinggegevens door BsGW aan haar deelnemers, heeft BsGW in het Besluit Gegevensverstrekking 2.0 vastgesteld. Daarnaast heeft BsGW afspraken omtrent de verwerking van en omgang met persoonsgegevens in verwerkingsovereenkomsten vastgelegd. BsGW controleert deze afspraken periodiek binnen de kaders van de gesloten (verwerkers)overeenkomst.

Eindverantwoordelijkheid

BsGW is altijd (eind)verantwoordelijk voor de gegevensverwerking en de bescherming daarvan. Dit geldt ook als gegevens ter beschikking worden gesteld aan derden of worden gedeeld met andere samenwerkingsverbanden.

6.Governance

De wijze van verankering van het privacybeleid binnen BsGW vormt als het ware het fundament van de borging van dit belangrijk thema. Op grond van de AVG is het hoogst leidinggevende niveau in de organisatie eindverantwoordelijk voor de rechtmatige en verantwoorde verwerking van persoonsgegevens. Dat is in het geval van BsGW het Dagelijks Bestuur. Daarnaast draagt elke medewerker in de organisatie, die te maken heeft met verwerkingen van persoonsgegevens, zorg voor de verantwoorde en zorgvuldige omgang met deze gegevens. Ook de proceseigenaren hebben een taak hierin. Om aan de vereisten van de AVG te kunnen voldoen is het aanstellen van enkele functionarissen niet alleen verplicht maar ook noodzakelijk. In dit onderdeel van het privacybeleid wordt de wijze waarop de taken, verantwoordelijkheden en de borging van het privacybeleid binnen BsGW worden georganiseerd, beschreven.

6.1.Relatie verwerkingsverantwoordelijke met het Algemeen Bestuur

Het Dagelijks Bestuur van BsGW is eindverantwoordelijk voor de adequate uitvoering van gegevensverwerkingen en de bescherming ervan in de organisatie. Op grond van de AVG zal BsGW in ieder geval aan de formele vereisten moeten voldoen die als basis set gelden voor de verantwoorde omgang met persoonsgegevens. Het Dagelijks Bestuur informeert het Algemeen Bestuur jaarlijks over de privacy- en informatiebeveiligingsrisico’s en de getroffen beheersmaatregelen. De documenten worden in openbaarheid behandeld, niet alleen vanwege het vereiste van transparantie maar ook ten behoeve van de bevordering van het vertrouwen van de deelnemers en de medewerkers van BsGW.

6.2.Vastlegging van verantwoordelijkheden

a.Vaststellen van het privacybeleid

Het vaststellen van het privacybeleid geschiedt door het Dagelijks Bestuur van BsGW. Daarbij wordt rekening gehouden met de aanbevelingen van de Functionaris Gegevensbescherming (FG), de Privacy Officer (PO) en het team IB&P. Het Dagelijks Bestuur is verantwoordelijk en draagt zorg voor voldoende middelen om privacybescherming passend te (waar)borgen.

b.Uitvoering van het privacybeleid

Binnen BsGW is elke medewerker verantwoordelijk voor de verantwoorde en conform dit privacybeleid uitgevoerde gegevensverwerking. Daar waar het gaat om de organisatie brede uitvoering van verplichtingen die uit de privacywet- en regelgeving voortvloeien, zal de Privacy Officer hiervoor zorgdragen. Binnen het IB&P-team zullen privacyvraagstukken worden besproken en verder worden gecoördineerd om deze overeenkomstig de uitgangspunten van dit beleid op te lossen. De taken van de PO gaat o.a. over het beheren van het register en het privacybeleid, adviseren over privacyvraagstukken, behandelen van verzoeken met betrekking tot de rechten van betrokkenen en coördineren op de adequate uitvoering van de adviezen.

c.Toezicht

Op grond van de AVG is BsGW verplicht om een FG aan te wijzen. Deze FG heeft een onafhankelijke positie binnen de organisatie en geniet ontslagbescherming met betrekking tot de uitoefening van eigen taken. De FG is naast de adviesfunctie belast met het toezicht op de naleving van (privacy)wet- en regelgeving en de juiste toepassing van dit privacybeleid. Toezicht met betrekking tot de passende technische en organisatorische beveiligingsmaatregelen zal geschieden door de Chief Information Security Officer (CISO) binnen BsGW.

d.Beheer privacybeleid en register

Zie hiervoor onderdeel b.

e.Risicogedreven aanpak

Het naleven van privacyregels moet niet leiden tot een extra taakbelasting voor de medewerkers, maar juist duidelijkheid verschaffen over het speelveld waarbinnen persoonsgegevens mogen worden verwerkt. Bij het implementeren van de AVG en het toezien op de naleving ervan, zal BsGW een risico gedreven aanpak hanteren. De processen met de meeste risico’s zullen de meeste aandacht vereisen. Als risicovolle processen kunnen worden aangemerkt die processen waarbinnen bijzondere persoonsgegevens (waaronder gegevens over de gezondheid, etniciteit, ras, politieke voorkeur) worden verwerkt. Ook processen waarbinnen grootschalige persoonsgegevens worden verwerkt, kunnen als risicovol worden aangemerkt.

Op grond van de AVG is BsGW verplicht de passende technische en organisatorische maatregelen te nemen om de risico’s te beheersen.

f.Interne verantwoording

De FG is op grond van de AVG verplicht om te rapporteren aan het hoogste leidinggevende niveau binnen de organisatie van BsGW. In dit geval betreft dat het Dagelijks Bestuur, voor zover het gaat om verwerkingen die de burgers aangaan Ten aanzien van de verwerking van persoonsgegevens van de medewerkers is de hoogst leidinggevende de directeur. De FG zal in zijn rapportages berichten over zijn werkzaamheden en bevindingen en daarin ook adviezen geven.

7.Wettelijke kaders voor de omgang met gegevens

Om het recht van privacy op een eenduidige wijze tot uitvoering te kunnen brengen, heeft de Europese Unie een Privacyrichtlijn ontwikkeld. Deze is in elke lidstaat omgezet naar nationale wet. In Nederland hebben wij daarom jarenlang de Wet bescherming persoonsgegevens (Wbp) als vigerende privacywet gekend. Per 25 mei 2018 geldt op het niveau van de Europese Unie een nieuwe strikte privacywetgeving, namelijk de Algemene Verordening Gegevensbescherming (AVG). De AVG is rechtstreeks van toepassing in alle lidstaten en laat weinig ruimte voor andere interpretatie van die regels. Met de inwerkingtreding van de AVG is de Privacyrichtlijn ingetrokken en geldt daarmee de Wbp ook niet meer. De AVG bouwt echter voort op de Europese richtlijn en dus ook op de Wbp en zorgt onder andere voor versterking en uitbreiding van de privacy rechten van individuen en brengt meer verantwoordelijkheden met zich mee voor organisaties die met persoonsgegevens werken. Aangezien de AVG rechtstreekse werking heeft en tegelijkertijd wel een kleine ruimte overlaat aan de lidstaten om eigen regels vast te stellen, geldt in Nederland de Uitvoeringswet op de AVG. Hierin zijn dus aanvullende regels op de AVG opgenomen.

Vanuit de AVG rusten op BsGW verplichtingen. Deze zijn vertaald in dit beleidsdocument. BsGW dient dit beleid ten uitvoer te brengen en vervolgens te handhaven. Per 25 mei 2018 geldt voor BsGW het volgende wettelijke kader voor wat betreft de verwerking van persoonsgegevens:

• Algemene Verordening Gegevensbescherming (AVG);

• Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG);

• Archiefwet;

• Telecommunicatiewet (o.a. voor telemarketing en cookies);

• Auteurswet;

Uiteraard blijven de specifieke wetten en de daaruit voortvloeiende specifieke privacyregels en bewaartermijnen gelden. Denk bijvoorbeeld aan de fiscale geheimhoudingsplicht in de Waterschapswet, Algemene wet inzake rijksbelastingen of Belastingwet waar BsGW bij veel van haar taken mee te maken heeft. BsGW zal zich daarom ook aan die specifieke wetten moeten blijven houden.

8.Uitgangspunten nader toegelicht

In dit privacybeleid laat BsGW zien op welke manier zij dagelijks omgaat met persoonsgegevens en privacy, en wat er wettelijk wel en niet verantwoord is. Dit beleid is bedoeld om de wettelijke kaders en de toepassing van de wettelijke kaders binnen BsGW toe te lichten. Medewerkers zullen dit als handvat moeten gebruiken bij het verwerken van (persoons)gegevens tijdens de uitvoering van hun werkzaamheden.

Privacy speelt een belangrijke rol in de relatie tussen de burger en de overheid en medewerker en werkgever en het staat daarmee hoog op de bestuurlijke agenda. BsGW als overheidsinstantie heeft de verantwoordelijkheid over persoonsgegevens en gegevensuitwisseling op alle terreinen waar persoonsgegevens voorkomen. BsGW is verplicht om zorgvuldig en veilig, proportioneel en vertrouwelijk om te gaan met het verzamelen, bewaren en beheren van persoonsgegevens van burgers. Goed en zorgvuldig omgaan met persoonsgegevens is een dagelijkse bezigheid van BsGW. Het beschermen van de privacy is complex en wordt steeds complexer door technologische ontwikkelingen, de decentralisaties, grote uitdagingen op het terrein van veiligheid en nieuwe Europese wetgeving. Daarom vindt BsGW het belangrijk om transparant te zijn over de manier waarop zij met persoonsgegevens omgaat.

8.1. Wijze van verwerking

BsGW gaat op een zorgvuldige en veilige manier met de persoonsgegevens om en respecteert de privacy van betrokkenen, medewerkers en eventuele derde natuurlijke personen waarvan BsGW persoonsgegevens verwerkt. De hoofdregel van de verwerking van persoonsgegevens is alleen toegestaan in overeenstemming met de wet, waarbij de verwerking op een zorgvuldige wijze gebeurt. BsGW verzamelt de persoonsgegevens zoveel mogelijk bij de betrokkene zelf of neemt deze af uit een basisregistratie en verwerkt de gegevens slechts met het doel waarvoor zij deze heeft verzameld. Voor de uitvoering van de taken die BsGW namens de deelnemers (gemeentes) uitvoert, zijn de doelen in specifieke wetten vastgesteld, zoals de Waterschapswet, de Gemeentewet, Wet inzake rijksbelastingen en Invorderingswet.

Bij de verwerking houdt BsGW rekening met de subsidiariteit van de verwerking. Dat wil zeggen dat de verwerking van persoonsgegevens is toegestaan wanneer het doel niet op een andere wijze kan worden bereikt. In de wet wordt naast de subsidiariteit gesproken over proportionaliteit. Dit betekent dat BsGW persoonsgegevens slechts mag verwerken als dit in verhouding staat tot het te bereiken doel. Wanneer BsGW hetzelfde doel met geen, of minder (belastende), persoonsgegevens kan bereiken, zal BsGW altijd daarvoor kiezen.

BsGW zorgt ervoor dat de persoonsgegevens correct en volledig zijn voordat deze worden verwerkt. Deze gegevens worden alleen verwerkt door personen met een geheimhoudingsplicht. Daarnaast beveiligt BsGW alle persoonsgegevens overeenkomstig de vereisten van de Baseline Informatiebeveiliging Overheid (BIO).

BsGW verstrekt geen persoonsgegevens aan een land buiten de Europese Economische Ruimte (EER) of aan een internationale organisatie.

8.2.Transparantie en communicatie

Wet open overheid

Voor een burger bestaan verschillende mogelijkheden om verzoeken tot informatie in te dienen. Middels de Wet open overheid (Woo) is het mogelijk om een verzoek om informatie dat is vastgelegd in een document in te dienen bij BsGW. Bij het beoordelen van het verzoek bekijkt BsGW altijd of het antwoord geen inbreuk maakt op de persoonlijke levenssfeer van betrokkenen. In principe worden geen persoonsgegevens verstrekt.

Wet hergebruik van overheidsinformatie

De Wet hergebruik van overheidsinformatie regelt het op verzoek verstrekken van overheidsinformatie voor hergebruik. Bij het verzoek bekijkt BsGW altijd of het antwoord geen inbreuk maakt op de persoonlijke levenssfeer van betrokkenen. In principe worden geen persoonsgegevens verstrekt.

Informatieplicht (Artikel 13 en 14, AVG)

Op grond van de AVG rust op BsGW de plicht om betrokkenen te informeren over het verwerken van persoonsgegevens. Wanneer betrokkenen gegevens aan BsGW verstrekken, worden zij op de hoogte gebracht van de manier waarop BsGW met persoonsgegevens om zal gaan. Dit kan bijvoorbeeld via een formulier gebeuren.

Vaak staat op de aanvraagformulieren vermeld welke gegevens niet zonder toestemming openbaar gemaakt zullen worden. De betrokkene wordt niet nog een keer geïnformeerd als hij/zij al weet dat BsGW persoonsgegevens van hem/haar verzamelt en verwerkt, en weet waarom en voor welk doel dat gebeurt.

Wanneer de gegevens via een andere weg verkregen worden, dus buiten de betrokkene om, wordt de betrokkene geïnformeerd op het moment dat deze voor de eerste keer worden verwerkt.

8.3.Beheer en verwijdering van persoonsgegevens

BsGW gebruikt en bewaart de persoonsgegevens niet langer dan nodig is voor de uitvoering van de belastingtaken tenzij er wettelijke bewaartermijnen voor gelden. Wanneer er nog persoonsgegevens opgeslagen zijn die niet langer nodig zijn voor het bereiken van het doel waarvoor zij zijn verkregen dan worden deze verwijderd. Dit houdt in dat deze gegevens vernietigd worden, of zodanig worden aangepast dat de informatie niet meer gebruikt kan worden om iemand te identificeren. Dit geldt ook voor het opslaan van persoonsgegevens in persoonlijk emailboxen op persoonlijke schijven.

8.4.Rechten van betrokkenen (Artikel 13 t/m 20, AVG)

De wet bepaalt niet alleen de plichten van degenen die de persoonsgegevens verwerken, maar bepaalt ook de rechten van de personen van wie de gegevens worden verwerkt. Deze rechten worden ook wel de rechten van betrokkenen genoemd, en bestaan uit de volgende rechten:

• Recht op informatie: Betrokkenen hebben het recht om aan BsGW te vragen of zijn/haar persoonsgegevens worden verwerkt.

• Inzagerecht: Betrokkenen hebben de mogelijkheid om te controleren of, en op welke manier, zijn/haar gegevens worden verwerkt.

• Correctierecht: Als duidelijk wordt dat de gegevens niet kloppen, kan de betrokkene een verzoek indienen bij BsGW om dit te corrigeren. BsGW is verplicht gebruik te maken van basisregistraties.

• Recht van verzet: Betrokkenen hebben het recht aan BsGW te vragen om hun persoonsgegevens niet meer te gebruiken.

• Recht om vergeten te worden: In gevallen waar de betrokkene toestemming heeft gegeven om gegevens te verwerken, heeft de betrokkene het recht om de persoonsgegevens te laten verwijderen.

• Recht op bezwaar: Betrokkenen hebben het recht om bezwaar te maken tegen de verwerking van zijn/haar persoonsgegevens. BsGW zal hieraan voldoen, tenzij er gerechtvaardigde gronden zijn voor de verwerking.

Behandeling ingediend verzoek

BsGW beschikt over een procedure omtrent de uitoefening van de rechten van de betrokkenen. Wanneer BsGW een verzoek ontvangt omtrent de uitoefening van de rechten van de betrokkenen, is het van belang deze procedure te volgen. Willekeur en/of een onjuiste toepassing van de wetgeving moeten worden voorkomen. Om gebruik te maken van zijn/haar rechten kan de betrokkene een verzoek indienen. Dit verzoek kan zowel schriftelijk als via de digitale weg worden ingediend. BsGW heeft vier weken de tijd, vanaf de ontvangst van het verzoek, om te beoordelen of het verzoek gerechtvaardigd is. Binnen vier weken zal BsGW laten weten wat er met het verzoek gaat gebeuren. Als het verzoek niet wordt opgevolgd, bestaat de mogelijkheid om bezwaar te maken bij BsGW, of een klacht in te dienen bij de Autoriteit Persoonsgegevens (AP). Aan de hand van een verzoek kan BsGW aanvullende informatie opvragen om zeker te zijn van de identiteit van de betrokkene. De verzoeken op grond van de AVG kunnen middels mail en post toegestuurd worden aan BsGW. Deze worden vervolgens in de belastingapplicatie van GouwIT geplaatst. De PO neemt de verzoeken in behandeling.

8.5. Geautomatiseerde verwerkingen waaronder profilering (Artikel 22, AVG)

Profilering vindt plaats wanneer er een geautomatiseerde verwerking van persoonsgegevens plaatsvindt waarbij aan de hand van persoonsgegevens naar bepaalde persoonlijke aspecten van een persoon wordt gekeken om deze persoon te categoriseren en te analyseren, of om zaken te kunnen voorspellen. Voorbeelden van persoonlijke aspecten kunnen zijn; financiële situatie, interesses, gedrag of locatie. Volgens de AVG is het niet toegestaan om te profileren. Dit is enkel toegestaan indien er sprake is van de uitzonderingen, zoals genoemd in artikel 22, tweede lid, AVG.

8.6.Big data en tracking

Door middel van Big dataonderzoek en tracking mogen alleen gegevens verwerkt worden wanneer deze niet herleidbaar zijn tot een natuurlijk persoon. Daarnaast worden ze alleen verzameld voor onderzoek dat door, of namens, BsGW wordt uitgevoerd. De verzamelde gegevens door Big data onderzoek en tracking zijn alleen de gegevens die door geautoriseerde personen zijn verzameld. Wanneer de gegevens worden omgezet in een dataset zal dataminimalisatie worden toegepast. Dit betekent dat alleen de data die echt nodig is voor het behalen van het doel gebruikt zullen worden. Daarnaast kunnen persoonsgegevens gepseudonimiseerd worden zodat zij niet herleidbaar zijn tot een persoon. BsGW maakt geen gebruik van Big data en tracking.

8.7.Cameratoezicht

BsGW kan gebruik maken van camera's om toezicht te houden, zowel binnen als buiten het gebouw. Uitgangspunten bij het toepassen van cameratoezicht zijn:

• De werknemer heeft ook in de werksituatie recht op bescherming van de persoonlijke levenssfeer;

• De werkgever moet een gerechtvaardigd belang hebben voor cameratoezicht;

• Het cameratoezicht moet noodzakelijk zijn, de werkgever moet eerst nagaan of er andere maatregelen getroffen kunnen worden die minder ingrijpend voor de privacy zijn;

• De werkgever moet een privacy toets uitvoeren. De werkgever dient een afweging te maken tussen de belangen en rechten van werknemers en bezoekers enerzijds en zijn eigen belang anderzijds;

• De plannen dient de werkgever te bespreken met de OR; de OR heeft instemmingsrecht;

• De werkgever heeft een actieve informatieplicht ten opzichte van werknemers en bezoekers;

• De werkgever mag camerabeelden niet langer bewaren dan 4 weken.  

9.Plichten van BsGW

Overeenkomstig de AVG zal de verwerking van persoonsgegevens verantwoord moeten geschieden. Dit betekent dat BsGW bij het verwerken van persoonsgegevens rekening zal moeten houden met de beginselen, zoals toegelicht in hoofdstuk 5. Uit die beginselen vloeit de documentatieplicht voort. BsGW moet aantoonbaar verantwoord met persoonsgegevens omgaan. Naast de beginselen legt de AVG in enkele bepalingen de verplichtingen van de verwerkingsverantwoordelijken expliciet toe. Hieronder worden deze kort toegelicht.

9.1.Register van gegevensverwerkingen (Artikel 30, AVG)

Op BsGW als verwerkingsverantwoordelijke rust de plicht om de gegevensverwerkingen binnen de eigen organisatie in kaart te hebben gebracht. Het aanleggen van een register betreft niet alleen een formaliteit. Het draagt ook bij aan de transparantieplicht van BsGW naar de betrokkenen toe wanneer deze aan de betrokkenen beschikbaar wordt gesteld. In het register heeft BsGW alle verwerkingen van persoonsgegevens binnen de organisatie in kaart gebracht. BsGW beschikt tevens over een privacyverklaring, die qua taalgebruikelijk toegankelijk en leesbaar is voor de burger. Het register gegevensverwerkingen en de privacyverklaring zijn op de website van BsGW gepubliceerd om zoveel mogelijk transparantie naar de burger toe te waarborgen. Het register gegevensverwerkingen bevat de volgende onderdelen:

• De naam en contactgegevens van de verwerkingsverantwoordelijke en, mogelijk, de gezamenlijke verwerkingsverantwoordelijke;

• De doelen van de verwerking;

• Een beschrijving van het soort (categorie) persoonsgegevens en de daarbij horende betrokkenen;

• Een beschrijving van de ontvangers van de persoonsgegevens;

• Een beschrijving van het delen van persoonsgegevens aan een derde land of internationale organisatie;

• De bewaartermijnen waarin de verschillende persoonsgegevens moeten worden gewist;

• Een algemene beschrijving van de beveiligingsmaatregelen.

9.2.Gegevensbeschermingseffectbeoordeling (Artikel 35, AVG)

Met een gegevensbeschermingseffectbeoordeling worden de effecten en risico’s van nieuwe of bestaande verwerkingen beoordeeld op de bescherming van de privacy. BsGW voert deze uit wanneer er een geautomatiseerde verwerking, een grootschalige verwerking, of wanneer er een grootschalige monitoring van openbare ruimten plaatsvindt. Dit geldt in het bijzonder bij verwerkingen waarbij nieuwe technologieën worden gebruikt.

9.3.Aanstellen FG (Artikelen 37 t/m 39, AVG)

BsGW heeft een Functionaris Gegevensbescherming (FG) aangesteld. De FG is betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. De taken van de functionaris zijn informeren, adviseren, toezicht houden, bewustwording creëren, en optreden als contactpersoon van het AP. Het is niet de bedoeling dat de functionaris de taken op het gebied van bescherming van de privacy van de afdelingen overneemt. De afdelingen hebben hun eigen verantwoordelijkheid in het goed omgaan met privacygevoelige gegevens. Een verwerking van persoonsgegevens wordt eerst aan de FG gemeld voordat de verwerking begint. De FG is verantwoordelijk voor het structureel toetsen van de implementatie en de uitvoering van de wettelijke eisen en de gemeentelijke richtlijnen op het gebied van privacy.

9.4.Datalekken (Artikel 33 en 34, AVG)

Er is sprake van een datalek wanneer persoonsgegevens in handen vallen van derden die geen toegang tot die gegevens mogen hebben. Wanneer een datalek heeft plaatsgevonden meldt BsGW dit zonder onredelijke vertraging aan de AP, uiterlijk 72 uur nadat er kennis van de inbreuk is vernomen. Als de melding later dan 72 uur plaatsvindt, wordt een motivering voor de vertraging bij de melding gevoegd. BsGW hoeft niet elk datalek te melden. Het gaat enkel om datalekken die een risico vormen voor de bescherming van de rechten en vrijheden van de betrokkene en daarmee dus voor de privacy van de betrokkenen. Het kan zijn dat de inbreuk een hoog risico met zich meebrengt voor de rechten en vrijheden van de betrokkenen. In dit geval meldt BsGW dit aan de betrokkenen in eenvoudige en duidelijke taal. Om toekomstige datalekken te voorkomen worden bestaande datalekken geëvalueerd en geregistreerd. Indien een datalek plaatsvindt meldt de betreffende medewerker dit direct bij de FG. BsGW beschikt over een procedure in geval van een datalek.

Inwerkingtreding

Dit privacy beleid treedt in werking na vaststelling door het Dagelijks Bestuur van BsGW. Het beleid wordt iedere 3 jaar geëvalueerd en zo nodig herzien. Aanpassingen van dit beleid worden bestuurlijk vastgesteld door het Dagelijks Bestuur. De meest actuele versie van het beleid is te vinden op intranet BsGW.

Aldus vastgesteld in de vergadering van het Dagelijks Bestuur van 14 november 2024.

N.M.J.G. Lebens, directeur G.H.C. Frische, voorzitter