Privacy protocol SVHW en <Deelnemer>

Transcriptie

1 A.B. 17/57 Privacy protocol SVHW en <Deelnemer> SVHW Rijksstraatweg 3b Postbus ZH Klaaswaal (0186) Datum: 5 juli 2017 Pagina 1 van 11

2 Versie historie Versie Datum Status Auteur Controle Paraaf e concept Bram Verwijs Robin Heij Concept AC Bram Verwijs Robin Heij Verwerkt commentaar AC en review Bram Verwijs Robin Heij Bureau Berenschot Verwerkte redactionele wijzigingen Bram Verwijs Robin Heij naar aanleiding van DB behandeling Definitief Bram Verwijs Robin Heij Datum: 5 juli 2017 Pagina 2 van 11

3 Inhoudsopgave Inhoudsopgave... 3 Inleiding... 4 Hoofdstuk 1: Algemene bepalingen... 5 Artikel 1: Begrippen... 5 Artikel 2: Verantwoordelijke en toezicht... 6 Artikel 3: Doel van de verwerking(en)... 6 Artikel 4: Beveiliging en meldingen... 6 Hoofdstuk 2: Afspraken over het delen van gegevens... 6 Artikel 5: Voorwaarden voor het verstrekken van Persoonsgegevens... 6 Artikel 6: Procedure... 7 Artikel 7: Verplichtingen Deelnemer... 7 Artikel 8: Wederkerigheid... 8 Artikel 9: Het uitwisselen van de Persoonsgegevens... 8 Hoofdstuk 3: Inwerkingtreding, duur en wijziging... 8 Artikel 10: Inwerkingtreding en duur... 8 Artikel 11: Wijzing... 9 Bijlage A: Format gegevensuitwisseling SVHW en Deelnemer Bijlage B Format gegevensuitwisseling Deelnemer en SVHW Datum: 5 juli 2017 Pagina 3 van 11

4 Inleiding De ondergetekenden: 1) <De/Het> <naam Deelnemer>, te dezen vertegenwoordigd door de <naam, functie> handelend ter uitvoering van het besluit van <het College van Burgemeester en Wethouders d.d. dd-mm-jjjj> <het College van Dijkgraaf en Heemraden> <het Dagelijks Bestuur> hierna te noemen: de Deelnemer. en 2) Het Samenwerkingsverband Vastgoedinformatie Heffing en Waardebepaling (SVHW), te dezen vertegenwoordigd door de directeur, R.S. Heij MBA, handelend ter uitvoering van het besluit van het Algemeen bestuur d.d. <DATUM> hierna te noemen: SVHW. De ondergetekenden sub 1 en 2 gezamenlijk ook te noemen: Partijen ; in overweging nemende dat: Partijen veel waarde hechten aan een goede bescherming van Persoonsgegevens; In het kader van de uitvoering van de (belasting)taken door SVHW en de publiekrechtelijke taken van de Deelnemer het noodzakelijk kan zijn om informatie, die Persoonsgegevens bevat, uit te wisselen; Het wenselijk is dat deze uitwisseling op een efficiënte wijze verloopt en de uitvoering van voornoemde taken niet belemmert; Het wenselijk is om te beschrijven hoe, in overeenstemming met de geldende wet- en regelgeving, waaronder de Wet bescherming persoonsgegevens (Wbp) en de Europese Algemene Verordening Gegevensbescherming (AVG), Persoonsgegevens worden verwerkt en uitgewisseld komen het volgende overeen: Datum: 5 juli 2017 Pagina 4 van 11

5 Hoofdstuk 1: Artikel 1: Algemene bepalingen Begrippen a. De Regeling: de Gemeenschappelijke Regeling Samenwerkingsverband Vastgoedinformatie Heffing en Waardebepaling 2015 ; b. Deelnemer: een aan de Regeling deelnemende gemeente, waterschap, afvalstoffendienst als bedoeld in artikel 1 van de Regeling. In het meervoud aan te duiden als Deelnemers; c. Persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon als bedoeld onder a in artikel 1 Wbp resp. onder 1 in artikel 4 AVG; d. Verwerken van Persoonsgegevens: het verzamelen, vastleggen, delen, wijzigen, raadplegen, vernietigen etc. van elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon als bedoeld onder b in artikel 1 Wbp resp. onder 2 in artikel 4 AVG; e. Verantwoordelijke: natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van Persoonsgegevens vaststelt als bedoeld onder d in artikel 1 Wbp resp. onder 7 in artikel 4 AVG; f. Functionaris voor de gegevensbescherming (FG): Functionaris als bedoeld in artikel 62 Wbp resp. artikel 37 AVG dan wel bij gebreke daarvan de privacy beheerder en/of CISO; g. CISO SVHW: degene die conform paragraaf 4 van het Informatiebeveiligingsbeleid SVHW is aangewezen als Beleidsadviseur Informatiebeveiliging binnen SVHW en kenbaar is gemaakt bij de Informatie Beveiligingsdienst gemeenten (IBD) als de Vertrouwde Contactfunctionaris Informatie Beveiliging namens SVHW; h. Datalek: Een inbreuk op de beveiliging van Persoonsgegevens (als bedoeld in artikel 13 van de Wbp resp. artikel 33 en 34 AVG); i. Gemeentelijke Belastingen: de belastingen genoemd in hoofdstuk XV van de Gemeentewet en in artikel 15:33 Wet milieubeheer; j. Waterschapsbelastingen: zowel de belastingen genoemd in hoofdstuk XVI van de Waterschapswet, als de verontreinigingsheffing oppervlaktewateren ingevolge artikel 7.2, tweede lid, van de Waterwet; k. Dienstverleningsovereenkomst: De door Partijen ondertekende overeenkomst, die voor de goede invulling van de aan SVHW opgedragen taken de verplichtingen tussen Partijen en de daartoe te maken afspraken nader formuleert met betrekking tot: de uitvoering van de taken de planning & control cyclus, het uitwisselen van informatie en het tussen partijen verantwoorden en verrekenen van kosten en opbrengsten. Datum: 5 juli 2017 Pagina 5 van 11

6 Artikel 2: Verantwoordelijke en toezicht a. Het Dagelijks Bestuur van SVHW is de Verantwoordelijke voor het verwerken van Persoonsgegevens binnen dit samenwerkingsverband; b. De FG is binnen SVHW belast met het toezicht op de toepassing en naleving van de Wbp en AVG. Artikel 3: Doel van de verwerking(en) SVHW verwerkt Persoonsgegevens ten behoeve van; het heffen en innen van Gemeentelijke Belastingen, het waarderen van onroerende zaken op grond van de Wet waardering onroerende zaken, het heffen en innen van Waterschapsbelastingen en het behandelen van geschillen betreffende de hiervoor genoemde werkzaamheden. Artikel 4: Beveiliging en meldingen a. De Verantwoordelijke neemt conform artikel 13 Wbp en artikel 32 AVG alle passende technische en organisatorische maatregelen om de Persoonsgegevens te beveiligen en beveiligd te houden tegen verlies of tegen enige vorm van onrechtmatige verwerking en onzorgvuldig, ondeskundig of ongeoorloofd gebruik; b. Indien er sprake is van een Datalek aan de zijde van SVHW, dan verzorgt de directeur of CISO de melding bij de Autoriteit Persoonsgegevens en informeert onmiddellijk de leden van het Algemeen Bestuur en de regiefunctionaris en de CISO van de Deelnemers. Wanneer de inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen, deelt SVHW bovendien de betrokkene(n) de inbreuk in verband met persoonsgegevens onverwijld mee; c. Indien er sprake is van een Datalek aan de zijde van de Deelnemer met betrekking tot de in het kader van dit Protocol door SVHW aan de Deelnemer verstrekte Persoonsgegevens, dan verzorgt de Deelnemer de melding bij de Autoriteit Persoonsgegevens en informeert onmiddellijk de directeur en/of CISO SVHW. Wanneer de inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen, deelt de Deelnemer bovendien de betrokkene(n) de inbreuk in verband met persoonsgegevens onverwijld mee. Hoofdstuk 2: Artikel 5: Afspraken over het delen van gegevens Voorwaarden voor het verstrekken van Persoonsgegevens SVHW zal aan de Deelnemer de door hem gevraagde Persoonsgegevens verstrekken mits het verzoek tot het delen van Persoonsgegevens voldoet aan de volgende voorwaarden: - Het verwerken (verstrekken) van de Persoonsgegevens past binnen de doelen opgenomen in artikel 3 van dit protocol; of Datum: 5 juli 2017 Pagina 6 van 11

7 - De Deelnemer toont aan dat op de verdere verwerking van de gegevens één of meerdere grondslagen, genoemd in artikel 8 Wbp, van toepassing zijn; en - De Deelnemer toont aan, gelet op het gestelde in artikel 11 Wbp, dat de verdere verwerking van de gegevens ter zake dienend en niet bovenmatig is. Artikel 6: Procedure a. Een verzoek van de Deelnemer aan SVHW tot het uitwisselen van Persoonsgegevens wordt ingediend door middel van het formulier opgenomen in de bijlage behorende bij dit protocol. Dit geldt ook voor het vrijgeven van Persoonsgegevens in het SVHW managementinformatie portaal voor de deelnemer; b. Met het indienen van het verzoek stemt de Deelnemer in met het gestelde in dit protocol en in het bijzonder met de verplichtingen zoals opgenomen in artikel 7; c. Een verzoek tot het uitwisselen van Persoonsgegevens wordt, conform het gestelde in de Dienstverleningsovereenkomst, door de regiefunctionaris van de Deelnemer ingediend bij de contactfunctionaris SVHW; d. Voordat het verzoek wordt ingediend zal de FG van de Deelnemer toetsen of het verzoek voldoet aan artikel 5 van dit protocol en de van toepassing zijnde wet- en regelgeving; e. Een verzoek tot het uitwisselen van gegevens dat door de FG van de Deelnemer is geaccordeerd wordt in principe toegewezen; f. Indien de FG van SVHW van mening is dat de gevraagde gegevens niet kunnen worden verstrekt, ondanks het feit dat het verzoek is goedgekeurd door de FG van de Deelnemer, dient hij gemotiveerd aan te tonen waarom de Wbp en/of de voorwaarden genoemd in artikel 7 zich zouden verzetten tegen het delen van de gevraagde Persoonsgegevens; g. Indien de FG van de Deelnemer en de FG van SVHW geen overeenstemming kunnen bereiken over het delen van Persoonsgegevens zal de Deelnemer aan zijn <college van burgemeester en wethouders> <college van dijkgraaf en heemraden> < dagelijks bestuur> vragen een besluit te nemen over het betreffende verzoek. Indien wordt besloten de aanvraag voort te zetten, wordt het verzoek en het besluit ter finale beslissing voorgelegd aan het Dagelijks Bestuur van SVHW. Artikel 7: Verplichtingen Deelnemer a. De Deelnemer, die Persoonsgegevens heeft ontvangen van SVHW, zal ongeacht het recht dat van toepassing is op de verwerking van Persoonsgegevens (tevens) handelen in overeenstemming met de Wet bescherming Persoonsgegevens en de Europese Algemene Verordening Gegevensbescherming (AVG); b. De Deelnemer, die Persoonsgegevens heeft ontvangen van SVHW, neemt passende maatregelen ter beveiliging tegen risico s van verlies, vernietiging, vervalsing, niettoegelaten verspreiding of toegang, dan wel enige andere vorm van onwettige verwerking van de geleverde gegevens; Datum: 5 juli 2017 Pagina 7 van 11

8 c. De Deelnemer die Persoonsgegevens heeft ontvangen van SVHW zal deze gegevens niet voor andere doeleinden of op een andere wijze gebruiken dan voor het doel en de wijze waarop de gegevens aan hem zijn verstrekt; d. De Deelnemer die Persoonsgegevens heeft ontvangen van SVHW zal deze gegevens niet ter beschikking stellen aan derden, tenzij SVHW daarvoor nadrukkelijk zijn toestemming heeft gegeven dan wel er een wettelijke verplichting bestaat om de Persoonsgegevens aan een derde te verstrekken; e. De Deelnemer die Persoonsgegevens heeft ontvangen van SVHW zal deze gegevens direct na beëindiging van het gebruik vernietigen, tenzij een wettelijk voorschrift de Deelnemer verplicht deze gegevens gedurende een wettelijk vastgestelde periode te bewaren. Artikel 8: Wederkerigheid De in artikel 5 tot en met 7 van dit protocol opgenomen voorwaarden, procedure en verplichtingen zijn ook van toepassing voor SVHW, indien SVHW aan een Deelnemer het verzoek doet voor het uitwisselen van Persoonsgegevens. Hierbij moet bij onder g Artikel 6 gelezen worden dat het <college van burgemeester en wethouders> <college van dijkgraaf en heemraden> < dagelijks bestuur> van de Deelnemer de finale beslissing neemt. Artikel 9: Het uitwisselen van de Persoonsgegevens a. Partijen zorgen er voor dat het uitwisselen van de gevraagde Persoonsgegevens op een veilige manier overeenkomstig het bepaalde in artikel 13 Wbp resp. in artikel 32 AVG gebeurt; b. Persoonsgegevens worden in ieder geval nooit via een onbeveiligde mailverbinding uitgewisseld. c. Tenzij Partijen anders overeenkomen, verwerkt de ontvangende partij de Persoonsgegevens uitsluitend binnen de Europese economische ruimte. Hoofdstuk 3: Artikel 10: Inwerkingtreding, duur en wijziging Inwerkingtreding en duur a. Dit protocol treedt in werking op de datum van de ondertekening; b. Het protocol is van kracht zolang de Deelnemer deelneemt aan de Regeling. De verplichtingen zoals opgenomen in Artikel 7 van dit protocol blijven na beëindiging van de deelname onverkort van kracht voor verstrekte Persoonsgegevens, zolang die conform artikel 7 lid d van dit Protocol nog niet vernietigd zijn. Datum: 5 juli 2017 Pagina 8 van 11

9 Artikel 11: Wijziging a. Indien één van de Partijen dit protocol en de bijbehorende bijlage wenst te wijzigen worden deze wijzigingen ingebracht en besproken tussen alle Deelnemers en SVHW. SVHW zal hierbij de voorgestelde wijziging voorzien van een advies; b. Vanwege de uniformering van dit protocol en bijbehorende werkwijze kan een wijziging alleen worden doorgevoerd indien in eerste instantie het Algemeen Bestuur SVHW bij meerderheid en in tweede instantie alle individuele Deelnemers hiermee instemmen; c. Nadat het Algemeen Bestuur SVHW met de wijziging heef ingestemd wordt het gewijzigde protocol en de bijbehorende bijlage per Deelnemer vastgesteld door ondertekening door <college van burgemeester en wethouders> <college van dijkgraaf en heemraden> < dagelijks bestuur> van de Deelnemer en de directeur van het SVHW. Het protocol is pas gewijzigd als voor alle Deelnemers het gewijzigde protocol is vastgesteld. Aldus overeengekomen: d.d R.S. Heij MBA De directeur SVHW Handtekening d.d <naam> <functie> <deelnemer> Handtekening Datum: 5 juli 2017 Pagina 9 van 11

10 Bijlage A: Format gegevensuitwisseling SVHW en Deelnemer [Naam Deelnemer invullen] vraagt aan SVHW om de volgende gegevens te verstrekken: [benodigde gegevens opsommen] Met als doel: [doel voor gegevensuitwisseling invullen] Op grond van: [grondslag noemen uit art. 8 Wbp en eventuele andere wettelijke grondslag die tot uitvragen verplicht] INVULLEN INDIEN GEGEVENS DOORGELEVERD WORDEN AAN EEN BEWERKER VAN DE DEELNEMER: In opdracht van de Deelnemer worden de door SVHW verstrekte gegevens verwerkt door: [naam/ namen van opdrachtnemers invullen] werkzaam bij [naam organisatie invullen]. [naam Deelnemer invullen] verklaart hierbij met deze bewerker passende afspraken te hebben gemaakt over het gebruik van de gegevens, de technische en organisatorische beveiligingsmaatregelen en het vernietigen van de gegevens als de werkzaamheden zijn afgerond. INVULLEN IN HET GEVAL VAN AANVULLEND ADVIES: Aanvullend advies van de functionaris voor de gegevensbescherming van de Deelnemer: [advies opnemen] Met de ondertekening van deze aanvraag verklaart de Deelnemer akkoord te gaan met de bepalingen uit het Privacyprotocol. Namens de Deelnemer: Regiefunctionaris: Functionaris voor de gegevensbescherming: Datum: Handtekening:..... Datum.... Handtekening:..... Met de ondertekening van deze aanvraag gaat SVHW akkoord met de verstrekking van de gevraagde gegevens en geeft toestemming voor een eventuele verwerking door bovengenoemde derde(n): Namens SVHW: Contactfunctionaris: Functionaris voor de gegevensbescherming: Datum: Naam... Datum... Naam... Datum: 5 juli 2017 Pagina 10 van 11

11 Bijlage B Format gegevensuitwisseling Deelnemer en SVHW SVHW vraagt aan [Naam Deelnemer invullen] om de volgende gegevens te verstrekken: [benodigde gegevens opsommen] Met als doel: [doel voor gegevensuitwisseling invullen] Op grond van: [grondslag noemen uit art. 8 Wbp en eventueel andere wettelijke grondslag die tot uitvragen verplicht] INVULLEN INDIEN GEGEVENS DOORGELEVERD WORDEN AAN EEN BEWERKER VAN SVHW: In opdracht van SVHW worden de door Deelnemer verstrekte gegevens verwerkt door: [naam/ namen van opdrachtnemers invullen] werkzaam bij [naam organisatie invullen] SVHW verklaart hierbij met deze bewerker passende afspraken te hebben gemaakt over het gebruik van de gegevens, de technische en organisatorische beveiligingsmaatregelen en het vernietigen van de gegevens als de werkzaamheden zijn afgerond. INVULLEN IN HET GEVAL VAN AANVULLEND ADVIES: Aanvullend advies van de functionaris voor de gegevensbescherming van SVHW: [advies opnemen] Met de ondertekening van deze aanvraag verklaart SVHW akkoord te gaan met de bepalingen uit het Privacyprotocol. Namens SVHW: Contactfunctionaris: Functionaris voor de gegevensbescherming: Datum: Datum.... Met de ondertekening van deze aanvraag gaat de Deelnemer akkoord met de verstrekking van de gevraagde gegevens en geeft hierbij toestemming voor een eventuele verwerking door bovengenoemde derde(n): Namens de Deelnemer: Regiefunctionaris: Functionaris voor de gegevensbescherming: Datum: Datum.... Datum: 5 juli 2017 Pagina 11 van 11