Strategisch beleid informatiebeveiliging en privacy 2025 – 2028

Ondertekening

Bijlage A: Privacyreglement Gemeente Lelystad

In dit reglement laat gemeente Lelystad zien op welke manier zij dagelijks omgaat met

persoonsgegevens en privacy. Privacy speelt een belangrijke rol in de relatie tussen de burger en de overheid en staat daarmee hoog op de bestuurlijke agenda. Gemeenten hebben de verantwoordelijkheid over persoonsgegevens en gegevensuitwisseling op alle terreinen waar ze actief zijn. Gemeenten zijn verplicht om zorgvuldig en veilig, proportioneel en vertrouwelijk om te gaan met het verzamelen, bewaren en beheren van persoonsgegevens van burgers. Dat geldt voor taken op het gebied van basisadministraties, openbare orde en veiligheid, en het sociaal domein. Goed en zorgvuldig omgaan met persoonsgegevens is een dagelijkse bezigheid van gemeenten. Het beschermen van de privacy is complex, en wordt steeds complexer door technologische ontwikkelingen, de decentralisaties, grote uitdagingen op het terrein van veiligheid en nieuwe Europese wetgeving. Daarom vinden wij het belangrijk om transparant te zijn over de manier waarop wij met persoonsgegevens omgaan.

Artikel 1. Wetgeving en definities

Sinds 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG), in Werking getreden, samen met de uitvoeringswet. De AVG zorgt onder andere voor versterking en uitbreiding van de privacyrechten met meer verantwoordelijkheden voor organisaties.

De volgende begrippen worden in de AVG gebruikt (Artikel 4, AVG):

Betrokkene: De persoon op wie de persoonsgegevens betrekking hebben. De betrokkene is degene van wie de gegevens worden verwerkt.

Verwerker: De persoon of organisatie die de persoonsgegevens verwerkt in opdracht van een andere persoon of organisatie.

Persoonsgegevens: Alle gegevens die gaan over mensen en waaraan je een mens als individu kunt herkennen. Het gaat hierbij niet alleen om vertrouwelijke gegevens, zoals over iemands gezondheid, maar om ieder gegeven dat te herleiden is tot een bepaald persoon (bijvoorbeeld; naam, adres, geboortedatum). Naast gewone persoonsgegevens kent de wet ook bijzondere persoonsgegevens. Dit zijn gegevens die gaan over gevoelige onderwerpen, zoals etnische achtergrond, politieke voorkeuren of het Burgerservicenummer (BSN).

Gegevensbeschermingseffectbeoordeling: Met een gegevensbeschermingseffectbeoordeling worden de effecten en risico’s van de nieuwe of bestaande verwerkingen beoordeeld op de bescherming van de privacy. Dit heet ook wel een Privacy Impact Assessment (PIA).

Verwerkingsverantwoordelijke: Een persoon of instantie die alleen, of samen met een ander, het doel en de middelen voor de verwerking van persoonsgegevens vaststelt.

Verwerking: Een verwerking is alles wat je met een persoonsgegeven doet, zoals: vastleggen, bewaren, verzamelen, bij elkaar voegen, verstrekken aan een ander, en vernietigen.

Artikel 2. Reikwijdte

Het reglement is van toepassing op alle verwerkingen van persoonsgegevens door alle bestuursorganen van de gemeente. Oftewel: voor alle verwerkingen die binnen de gemeente plaatsvinden.

Artikel 3. Verantwoordelijke

De bestuursorganen van de gemeente zijn allemaal verantwoordelijken voor de verwerkingen die door of namens de gemeente worden uitgevoerd. De bestuursorganen van de gemeente zijn onder andere de burgemeester, het college van Burgemeesters en Wethouders (college van B&W) en de Raad.

Artikel 4. Verwerkingen (Artikel 4, AVG)

De verwerking van persoonsgegevens is elke handeling of elk geheel van handelingen met persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde processen. In de AVG valt onder een verwerking:

• •

  Verzamelen, vastleggen en ordenen

• •

  Bewaren, bijwerken en wijzigen

• •

  Opvragen, raadplegen, gebruiken

• •

  Verstrekken door middel van doorzending

• •

  Verspreiding of enige andere vorm van ter beschikkingstellen

• •

  Samenbrengen, met elkaar in verband brengen

• •

  Afschermen, uitwissen of vernietigen van gegevens

Uit deze opsomming blijkt dat alles wat je met een persoonsgegeven doet een verwerking is.

Doeleinden (Artikel 5, AVG)

Volgens de wet mogen persoonsgegevens alleen verzameld worden als daarvoor een doel is vastgesteld. Het doel moet uitdrukkelijk omschreven en gerechtvaardigd zijn. De gegevens mogen niet voor andere doelen verwerkt worden. Voor de uitvoering van sommige wetten, zoals bijvoorbeeld de Jeugdwet, zijn de doelen voor het verwerken in de wet al vastgelegd, net als de persoonsgegevens die gevraagd en verwerkt mogen worden.

Rechtmatige grondslag (Artikel 6, AVG)

De wet zegt dat er voor elke verwerking van persoonsgegevens een rechtmatige grondslag uit de wet van toepassing moet zijn. Dat betekent dat de verwerking alleen mag plaatsvinden:

• •

  Om een verplichting na te komen die in de wet staat

• •

  Voor de uitvoering van een overeenkomst waar de betrokkene onderdeel was

• •

  Om een ernstige bedreiging voor de gezondheid van de betrokkene te bestrijden

• •

  Voor de goede vervulling van de gemeentelijke taak

• •

  Wanneer de betrokkene toestemming heeft gegeven voor de specifieke verwerking

Wijze van verwerking

De hoofdregel van de verwerking van persoonsgegevens is dat het alleen toegestaan is in overeenstemming met de wet, en op een zorgvuldige wijze. Persoonsgegevens worden zoveel mogelijk verzameld bij de betrokkene zelf. De wet gaat uit van subsidiariteit. Dit betekent dat verwerking alleen is toegestaan wanneer het doel niet op een andere manier kan worden bereikt.

In de wet wordt ook gesproken over proportionaliteit. Dit betekent dat persoonsgegevens alleen mogen worden verwerkt als dit in verhouding staat tot het doel. Wanneer met geen, of minder (belastende), persoonsgegevens hetzelfde doel bereikt kan worden moet daar altijd voor gekozen worden.

De gemeente zorgt ervoor dat de persoonsgegevens kloppen en volledig zijn voordat ze verwerkt worden. Deze gegevens worden alleen verwerkt door personen met een geheimhoudingsplicht. Daarnaast beveiligt de gemeente alle persoonsgegevens. Dit moet voorkomen dat de persoonsgegevens kunnen worden ingezien of gewijzigd door iemand die daar geen recht toe heeft.

Hoe de gemeente dit doet staat in dit informatiebeveiligingsbeleid van de gemeente en in een eventueel aanvullend beveiligingsplan specifiek opgesteld voor een proces of registratie.

Doorgifte (Artikel 44 t/m 50, AVG)

De gemeente geeft in beginsel geen persoonsgegevens door met een land buiten de Europese Economische Ruimte (EER) of een internationale organisatie.

Artikel 5. Transparantie en communicatie

Wet open overheid (Woo)

Via de Wet Open Overheid kun je een verzoek om informatie indienen bij de gemeente. Bij het verzoek bekijkt de gemeente altijd of het antwoord geen inbreuk maakt op de persoonlijke levenssfeer van betrokkenen. In principe worden geen persoonsgegevens verstrekt.

Wet hergebruik van overheidsinformatie

De Wet hergebruik van overheidsinformatie regelt het op verzoek verstrekken van overheidsinformatie voor hergebruik. Bij het verzoek bekijkt de gemeente altijd of het antwoord geen inbreuk maakt op de persoonlijke levenssfeer van betrokkenen. In principe worden geen persoonsgegevens verstrekt.

Informatieplicht (Artikel 13,14, AVG)

De gemeente informeert betrokkenen over het verwerken van persoonsgegevens. Wanneer betrokkenen gegevens aan de gemeente geven, worden zij op de hoogte gesteld van de manier waarop de gemeente met persoonsgegevens om zal gaan. Dit kan bijvoorbeeld via een formulier gebeuren. De betrokkene wordt niet nogmaals geïnformeerd als hij/zij al weet dat de gemeente persoonsgegevens van hem/haar verzamelt en verwerkt, en weet waarom en voor welk doel dat gebeurt. Wanneer de gegevens via een andere weg verkregen worden, dus buiten de betrokkene om, wordt de betrokkene geïnformeerd op het moment dat deze voor de eerste keer worden verwerkt.

Verwijdering

De gemeente bewaart de persoonsgegevens niet langer dan nodig is voor de uitvoering van gemeentelijke taken, of zoals vastgelegd in de Archiefwet. Wanneer er nog persoonsgegevens opgeslagen zijn die niet langer nodig zijn voor het bereiken van het doel worden deze zo snel mogelijk verwijderd. Dit houdt in dat deze gegevens vernietigd worden, of zo worden aangepast dat de informatie niet meer gebruikt kan worden om iemand te identificeren. Teams stellen zich op de hoogte van de eventuele bewaartermijn en bewaken de bewaartermijn.

Rechten van betrokkenen (Artikel 13 t/m 20, AVG)

De wet bepaalt niet alleen de plichten van degenen die de persoonsgegevens verwerken, maar bepaalt ook de rechten van de personen van wie de gegevens worden verwerkt. Deze rechten worden ook wel de rechten van betrokkenen genoemd, en bestaan uit de volgende rechten:

• •

  Recht op informatie: Betrokkenen hebben het recht om aan de gemeente te vragen of

• •

  zijn/haar persoonsgegevens worden verwerkt.

• •

  Inzagerecht: Betrokkenen hebben de mogelijkheid om te controleren of, en op welke

• •

  manier, zijn/haar gegevens worden verwerkt.

• •

  Correctierecht: Als duidelijk wordt dat de gegevens niet kloppen, kan de betrokkene een

• •

  verzoek indienen bij de gemeente om dit te corrigeren.

• •

  Recht van verzet: Betrokkenen hebben het recht aan de gemeente te vragen om hun

• •

  persoonsgegevens niet meer te gebruiken.

• •

  Recht om vergeten te worden: In gevallen waar de betrokkene toestemming heeft gegeven

• •

  om gegevens te verwerken, heeft de betrokkene het recht om de persoonsgegevens te

• •

  laten verwijderen.

• •

  Recht op bezwaar: Betrokkenen hebben het recht om bezwaar aan te maken tegen de

• •

  verwerking van zijn/haar persoonsgegevens. De gemeente zal hieraan voldoen, tenzij er

• •

  gerechtvaardigde gronden zijn voor de verwerking.

Indienen van verzoek

Om gebruik te maken van zijn/haar rechten kan de betrokkene een verzoek indienen. Dit verzoek kan zowel schriftelijk als via de e-mail ingediend worden (fg@lelystad.nl). De gemeente heeft vier weken de tijd, vanaf de ontvangst van het verzoek, om te beoordelen of het verzoek

gerechtvaardigd is. Deze termijn kan eenmalig met 2 maanden worden verlengd. Binnen vier weken zal de gemeente laten weten wat er met het verzoek gaat gebeuren. Als het verzoek niet wordt opgevolgd is er de mogelijkheid om bezwaar te maken bij de gemeente, of een klacht in te dienen bij de Autoriteit Persoonsgegevens (AP). Aan de hand van een verzoek kan de gemeente aanvullende informatie opvragen om zeker te zijn van de identiteit van de betrokkene.

Artikel 6. Geautomatiseerde verwerkingen

Datateam

Het datateam verzamelt, verwerkt en analyseert gegevens om organisaties te helpen bij het nemen van data-gedreven beslissingen.

Het datateam is lid van de Vereniging voor Statistiek en Onderzoek. Daarmee hebben ze zich gecommitteerd aan werken volgens de standaarden in de gedragscode voor statistisch onderzoek. Deze gedragscode waarin de AVG ruimschoots aan bod komt, is hier te vinden: Gedragscode voor Statistisch Onderzoek | De Vereniging voor Beleidsonderzoek

Bij een datavraag vanuit de organisatie wordt de privacy flowchart gebruikt. En zonodig het project startdocument dat onder meer antwoord geeft op de vraag welke grondslag wordt gebruikt voor het verwerken van gegevens.

Inzet van camera’s

Binnen de gemeente wordt onder bepaalde omstandigheden gebruik gemaakt van cameratoezicht, zoals vastgelegd in de Gemeentewet. Cameratoezicht wordt onder andere gebruikt voor het vergroten van de veiligheid op straat. Camera’s kunnen een grote inbreuk maken op de privacy van diegene die gefilmd worden. Om de privacy zo goed mogelijk te waarborgen worden camera’s alleen ingezet wanneer er geen andere manieren zijn om het doel te bereiken, en worden er eisen gesteld aan de inzet van camera’s.

Gemeente Lelystad maakt gebruik van cameratoezicht en houdt zich daarbij aan het vastgestelde camera-reglement.

Artikel 7. Plichten van de gemeente

Register van verwerkingen (Artikel 30, AVG)

De gemeente is verantwoordelijk voor het aanleggen van een register van alle verwerkingen waarvan de gemeente de verwerkingsverantwoordelijke is. Elk register bevat een beschrijving van wat er tijdens een verwerking plaatsvindt, en welke gegevens daarvoor worden gebruikt, namelijk:

• •

  De naam en contactgegevens van de verwerkingsverantwoordelijke en, mogelijk, de

• •

  gezamenlijke verwerkingsverantwoordelijke;

• •

  De inhoud en doelen van de verwerking;

• •

  Een beschrijving van het soort persoonsgegevens en de daarbij horende betrokkenen;

• •

  Een beschrijving van de ontvangers van de persoonsgegevens;

• •

  De termijnen waarin de verschillende persoonsgegevens moeten worden gewist;

Gegevensbeschermingseffectbeoordeling (Artikel 35, AVG)

Met een gegevensbeschermingseffectbeoordeling worden de effecten en risico’s van nieuwe of bestaande verwerkingen beoordeeld op de bescherming van de privacy. De gemeente voert deze uit wanneer er een geautomatiseerde verwerking, een grootschalige verwerking, of wanneer er een grootschalige monitoring van openbare ruimten plaatsvindt. Dit geldt in het bijzonder bij verwerkingen waarbij nieuwe technologieën worden gebruikt.

Artikel 8. Verwerker

Indien de verantwoordelijke persoonsgegevens laat verwerken door een bewerker vindt verwerking uitsluitend plaats indien voorafgaand aan die verwerking een daartoe strekkende overeenkomst tussen de verantwoordelijke en de bewerker is gesloten. Er wordt bij voorkeur gebruik gemaakt van de standaard verwerkersovereenkomst van de gemeente Lelystad. De FG (functionaris gegevensbescherming) houdt een register bij van verwerkersovereenkomsten. De verantwoordelijke meldt een nieuwe verwerkersovereenkomst bij de FG

Artikel 9 Datalekken (Artikel 33,34, AVG)

We spreken van een datalek wanneer persoonsgegevens in handen vallen van derden die geen toegang tot die gegevens mogen hebben. Datalekken worden meten aan de FG gemeld. Wanneer er een ernstig datalek heeft plaatsgevonden meldt de FG dit zonder onredelijke vertraging, uiterlijk 72 uur nadat er kennis van de inbreuk is vernomen, aan de Autoriteit Persoonsgegevens. Als dit later dan 72 uur is wordt er een motivering voor de vertraging bij de melding gevoegd. Het kan zijn dat de inbreuk een hoog risico met zich meebrengt voor de rechten en vrijheden van de betrokkenen. In dit geval meldt de gemeente (te weten het betreffende team waar het datalek heeft plaatsgevonden) dit aan de betrokkenen in eenvoudige en duidelijke taal. Om toekomstige datalekken te voorkomen worden bestaande datalekken geëvalueerd. De FG coördineert de afhandeling van datalekken.

Aanstellen van een Functionaris voor gegevensbescherming (FG) (Artikel 37 t/m 39, AVG)

De gemeente heeft een FG aangesteld. De FG is betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. De taken van de functionaris zijn informeren, adviseren, toezicht houden, bewustwording creëren, en optreden als contactpersoon van het AP.

Het is niet de bedoeling dat de functionaris de taken op het gebied van bescherming van de privacy van de afdelingen overneemt. De afdelingen hebben hun eigen verantwoordelijkheid in het goed omgaan met privacygevoelige gegevens. Een verwerking van persoonsgegevens wordt eerst aan de FG gemeld voordat de verwerking begint. De FG is verantwoordelijk voor het structureel toetsen van de implementatie en de uitvoering van de wettelijke eisen en de gemeentelijke richtlijnen op het gebied van privacy. De FG op het gebied van de AVG is dat tevens voor de Wpg.

Voor vragen over privacy of over deze toelichting kunt u contact opnemen met de functionaris voor gegevensbescherming van gemeente Lelystad via: fg@lelystad.nl

Taken en bevoegdheden functionaris gegevensbescherming (Artikel 37 t/m 39, AVG)

Artikel 10. Taken FG

• 1.

  Binnen de gemeente Lelystad is een FG aangesteld als bedoeld in artikel 37-39 van de AVG

• 2.

  De FG heeft naast het houden van toezicht als bedoeld in artikel 37-39 van de AVG in ieder geval tot taak:

  • a.

    Het toezicht houden op wijzigingen in bestaande verwerkingen en het aanleggen van nieuwe verwerkingen met persoonsgegevens; een ieder binnen de organisatie, die persoonsgegevens verzamelt en verwerkt deelt, voordat met de verzameling en verwerking wordt begonnen, dit mee aan de FG voor zover het nog niet in het register is opgenomen.

  • b.

    Het geven van advies over de toepassing van de AVG bij de gemeente Lelystad, met medewerking van de privacy officer;

  • c.

    Het inrichten en onderhouden van het register als bedoeld in artikel 7 van dit besluit;

  • d.

    Uitvoeren van audits op basis van een risico-analyse.

  • e.

    Het jaarlijks opstellen van een verslag van zijn werkzaamheden. Dit verslag wordt gezonden aan de verantwoordelijke;

Artikel 11 Beveiliging, beheer en auditing

• 1.

  De FG toetst op basis van een jaarlijkse risico-analyse de technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies, diefstal en onrechtmatige verwerking en raadpleging. Het team is verantwoordelijk voor het doorvoeren van beheersmaatregelen. De FG toetst vanuit de auditrol de effectiviteit van deze beheersmaatregelen.

• 2.

  Indien de FG onrechtmatigheden aantreft bij de verwerking van persoonsgegevens brengt hij hierover verslag uit aan het hoofd van het betreffende team. Hij doet dit verslag vergezeld gaan van een aanbeveling, die strekt tot een verbetering van de bescherming van persoonsgegevens, die door of namens de verantwoordelijke worden verwerkt.

• 3.

  Indien de aanbeveling niet of niet voldoende wordt opgevolgd, rapporteert de FG zijn bevindingen aan de verantwoordelijke.

Artikel 12 Toegang verlenen

• 1.

  De FG is bevoegd elke plaats in de gebouwen op de terreinen die bij de gemeente in gebruik zijn en waar persoonsgegevens worden verwerkt te betreden;

• De FG is bevoegd inlichtingen te vorderen van een ieder die onder gezag van het college van burgemeester en wethouders of de burgemeester werkzaam is.

Artikel 13 Bevoegdheid tot inzage

• 1.

  De FG is bevoegd inzage te vorderen van zakelijke gegevens en bescheiden waarin persoonsgegevens zijn verwerkt.

• 2.

  Hij is bevoegd van de gegevens en bescheiden kopieën te maken.

• 3.

  Indien het maken van kopieën niet ter plekke kan gebeuren, is hij bevoegd de gegevens en bescheiden voor maximaal één dag mee te nemen.

Artikel 14 Weigering

• 1.

  Indien de medewerking voor het verstrekken van inlichtingen als bedoeld in artikel 12 en het verzoek tot inzage als bedoeld in artikel 13 wordt geweigerd, kan het college van burgemeester en wethouders, op een met redenen omkleed verzoek van de FG, toestemming verlenen zelfstandig de nodige inlichtingen te verzamelen dan wel de persoonsgegevens in te zien;

• 2.

  Het college van burgemeester en wethouders wordt zo spoedig mogelijk in kennis gesteld van de uitkomsten van dit onderzoek, waarbij ook het directieteam wordt ingelicht.

Artikel 15 Geheimhouding

De FG is verplicht tot geheimhouding van hetgeen hem op grond van een klacht of een verzoek van betrokkene is bekend geworden, tenzij betrokkene in bekendmaking toestemt.

Artikel 16 Ingangsdatum regeling

Deze regeling treedt in werking met ingang van 25 maart 2025.

Afsluiting

Als de gemeente een wettelijke verplichting niet nakomt kan de betrokkene een klacht indienen.

Deze zal via de klachtenregeling van de gemeente worden behandeld. In gevallen waar het reglement niets over zegt, beslist het verantwoordelijke bestuursorgaan van de gemeente.

Dit privacyreglement gebaseerd op de AVG vervangt het privacyreglement van 25 mei 2018.

Op de website https://www.gemeentelelystad.nl/privacy is het Privacy Statement opgenomen.

Disclaimer:

Dit product is een eenvoudige en begrijpbare vertaling van de huidige privacywetgeving en gebaseerd op de AVG. Vanzelfsprekend is de toepasbare wet- en regelgeving altijd leidend en kunnen er geen rechten ontleend worden aan dit document. Op de websitehttps://www.gemeentelelystad.nl/privacy is een Privacy Statement opgenomen

Bijlage B: Organisatie, taken & verantwoordelijkheden

Deze bijlage geeft op hoofdlijnen inzicht in de ambtelijke rollen en is ter informatie bijgevoegd aan dit strategisch beleid.

Gemeentesecretaris

Ambtelijk is de gemeentesecretaris eindverantwoordelijk voor de integrale beveiliging en voor de inrichting en werking van de IB&P-organisatie en Bedrijfscontinuïteitsmanagement (BCM). In die hoedanigheid is hij eindverantwoordelijk voor de implementatie van alle beveiligings- en privacykaders in zijn organisatie. En laat zich daarbij adviseren door functionarissen, zoals een Chief Information Security Officer (CISO), Chief Information Officer (CIO) en Functionaris Gegevensbescherming (FG).

Directieteam

Het directieteam:

• •

  Zorgt dat alle (persoons)gegevens, processen en systemen en de daarbij behorende middelen altijd onder de verantwoordelijkheid vallen van een teamleider.

• •

  Zorgt dat de teamleiders zich verantwoorden over de beveiliging en de privacy van de (persoons)gegevens of andere informatie die onder hen berust.

• •

  Zorgt dat de teamleiders toezien op de beschikbaarheid, integriteit en vertrouwelijkheid van informatie in hun proces; en dat zij voorbereid zijn op een calamiteit (Bedrijfscontinuïteit).

• •

  Zorgt dat het college gevraagd en ongevraagd geïnformeerd wordt over de mate waarin informatiebeveiliging een onderdeel is van het handelen van de bedrijfsvoering. Op die manier kan het college zich ook verantwoorden naar de raad.

• •

  Stelt het gewenste niveau van continuïteit en vertrouwelijkheid vast.

• •

  Draagt zorg voor het uitwerken van tactische informatiebeveiligings- en privacybeleidsonderwerpen en laat zich hierin bijstaan door de CISO en FG van de gemeente.

• •

  Autoriseert de benodigde procedures en uitvoeringsmaatregelen.

• •

  Ziet het onderwerp informatiebeveiliging en privacybescherming binnen de gemeente Lelystad als een integraal onderdeel van risicomanagement.

Teamleiders

De uitvoering van informatiebeveiliging en privacybescherming valt onder de verantwoordelijkheden van alle teamleiders7. Teamleiders zijn verantwoordelijk voor het behoud van de vertrouwelijkheid, integriteit (juistheid & volledigheid) en beschikbaarheid van informatie in de hele keten van hun proces; dus inclusief ketenpartners, leveranciers, (cloud)systemen, Internet of Things (IoT), Operationele Technologie (OT). Om deze verantwoordelijkheid waar te maken dienen zij goed ondersteund te worden vanuit de tweede lijn (PO, ISO, applicatie- en systeembeheerder). Deze verantwoordelijkheid kunnen zij niet delegeren, uitvoerende werkzaamheden wel.