In control op privacy en beveiliging? Instituut voor business research 22 maart 2016

Transcriptie

1 In control op privacy en beveiliging? Instituut voor business research 22 maart 2016

2 Agenda Persoonsinformatie en wettelijke kaders Actuele ontwikkelingen in wetgeving en praktijk De risico s: juridisch en beveiligingstechnisch

3 Persoonsinformatie en privacy in: Basisregistratie personen Primaire processen Bedrijfsvoering

4 Wettelijke kaders bescherming persoonsgegevens primaire processen Sectorale regelgeving WBP Wet BRP Reisdocumenten: Paspoortwet Rijbewijzen: Rijbewijswet Uittreksels: Diverse wetten, w.o. onderwijswetgeving. Werk & inkomen: Participatiewet / SUWI / Schuldhulp Leerplicht: Leerplichtwet / RMC wetgeving Aanslagen, heffing en invordering OZB-waarde: Gemeentewet, AWRB, Belastingverordening Vergunningen & handhaving: WRO / Woningwet / WABO Zorgvoorzieningen: WMO 2015 Jeugdhulp: Jeugdwet Diverse wetgeving, bijv lokale verordening armoe Evenementenvergunning: APV BuZa SoZa Ond FIN VVH Zorg Overig BZ-Systeem Geboorte Vestiging Mutaties LOV-BRP Gemeente Autorisatiebesluit Gemeente Uitwisseling Modules Gemeente Overheidsorganen (1.1 t Wbrp) LAV-BRP (1.2 Wbrp) ((niet-)ingezetenen)) BRPnetwerk Autorisatiebesluit BZK ( Wbrp) Inkijk / Mutatieberichten & terugmelden Gegevensmagazijn Gemeente LOV-BRP Andere gemeenten

5 Persoonsinformatie in bedrijfsvoering valt ook onder de WBP Personeels- en salarisadministratie Debiteuren- en crediteurenadministratie ICT-administratie (overzicht systemen, applicaties en (geautor.) gebruikers, sim-kaarten, internetgebruik) Relatiebeheer Et cetera

6 Sociaal domein gemeente Fictief Wet Verantwoordelijke Uitvoerders / uitvoering Privacy To Do s Participatiewet B&W Fictief UWV: Werk: intake + onderzoek + begeleiding WZI Fictief: Inkomen: Intake + beoordeling + betaling/controle 2. Reguliere privacypraktijk Schuldhulp B&W Fictief WZI Fictief: Intake + onderzoek + beschikking WZI Fictief: Intake + beoordeling + advisering / beheer 2. Reguliere privacypraktijk WMO 2015 B&W Fictief Medew. Fictief + partners intake + onderzoek + advies Back-office Fictief: Beschikking + opdracht + facturen 2. Privacyconvenant/-reglement gegevensdeling 3. Triage in werkproces plus toestemmingen 4. Communicatie/bewustwording WGBO Geneeskundige Huisarts, medisch specialist, jeugdarts: Verwijzen naar Jeugdhulp Machtiging patiënt Afspraken over delen gegevens Jeugdwet B&W Fictief Regisseurs Jeugdhulp in dienst Fictief: Intake + 1 e + 2e lijn Jeugdhulp + toegangsadvies Jeugdhulpverlening Back-office Fictief: - Beschikking + opdracht + facturen 2. Bewerkersovereenkomsten 3. Privacyconvenant/-reglement uitvoering 4. Protocol gegevensdeling met partners 5. Triage in werkproces plus toestemmingen 6. Communicatie/bewustwording Gemeentewet 172 Burgem. Fictief Veiligheid: Casusbehandeling 2. Priv.convenant uitwisseling met partners (DAT-informatie) 3. Toestemmingen: casusbespreking en delen gegevens 4. Communicatie/bewustwording Combinatie van wetten B&W Fictief Gemeente en Partners : intake, casusbespreking, plan van aanpak, taakverdeling, monitoring, regie meervoudig complexe problemen Back-office Fictief: Beschikkingen + opdrachten + facturen 2. Priv.convenant uitwisseling met partners (DAT-informatie) 3.Toestemmingen: casusbespreking en delen gegevens 4. Communicatie/bewustwording

7 Meldplicht datalekken sinds Beveiliging geregeld is uitgangspunt (BIG) Datalek: doorbreken beveiliging met ernstige privacygevolgen Datalek: melden bij autoriteit persoonsgegevens Datalek: melden bij betrokkene Procedure datalekken nodig met TVB voor verschillende rollen Bewerkersovereenkomsten aanpassen

8 Algemene Verordening Gegevensbescherming vanaf juli 2016 met overgangstermijn 2018 Eén wet voor heel Europa DPO verplicht voor overheidsinstanties Nadruk op aantoonbare compliance (accountability, privacy by design) Bewerkers krijgen zelfstandige verplichtingen en bevoegdheden Forse boetes (tot 20 miljoen of 4% wereldwijde jaaromzet) Nieuwe rechten betrokkenen (vergeetrecht)

9 Praktijkontwikkelingen met risico s Big data voor beleidsontwikkeling: hoe resultaten te gebruiken / presenteren Criminaliteitsbestrijding met bestuurlijke informatie door bestuur: nog niet goed geregeld. Verdergaande samenwerking tussen gemeenten. Wie is verantwoordelijke? Regiesystemen sociaal domein voor de samenwerking met de ketenpartners. Wie kan wat zien? Zaakgericht werken. Iedere medewerker bij alle dossier? Gegevensuitwisseling ivm radicalisering. Geen rechtmatige grondslag. Veel uitbestedingen aan bewerkers..

10 Hoe krijgen we dat in control? Governance en beleid Besturing en beleid inrichten Privacyfunctionaris/-adviseur aanwijzen Beheer Zicht op wat gemeente in huis heeft (inventarisatie) Processen toetsen aan privacywetgeving Meldingen doen bij autoriteit persoonsgegevens Bewerkersovereenkomsten opstellen / actualiseren en uitvoering (doen) controleren Operationeel Communicatie / instructie medewerkers