Econorrìlŝâh hart van de Kempen. beantwoording schríftelijke vragen raadsfractie Bladel Transparant

Transcriptie

1 Gemeente Bfiefnr.: Econorrìlŝâh hart van de Kempen 17ik Ingek. d.d.: 2 4 MEI 2017 Beh. afc Ontv.bev. Afged. S ļíĵ Jr ^ uw brief: uw kenmerk: ons kenmerk: 17u zaaknummer: behandeld door: T. van der Putten I B. de Bruin telefoonnummer: bijlage(n): onderwerp: verzonden: Raad van de gemeente Postbus AA beantwoording schríftelijke vragen raadsfractie Transparant 2 4 MEI 2017 Geachte heer, mevrouw, Namens de fractie Transparant zijn op 31 maart 2017 enkele vragen ingediend omtrent de Wet bescherming persoonsgegevens (Wbp) aan het college van B&W. Graag voorzien wij u bij deze van een reactie. Wij hebben hieronder de tekst en de vragen overgenomen uit het ingediende document met daarbij onze reactie. Geacht College, De fractie Transparant wenst schríftelijke vragen te stellen met betrekking tot een recente uitspraak van de Afdeling bestuursrechtspraak van de Raad van State (de Afdeling). In de uitspraak van 21 december 2016 met nummer ECLI:NL:RVS:2016:3364 heeft de Afdeling) uitspraak gedaan over een verzoek tot verwijdering van persoonsgegevens op grond van de Wet bescherming persoonsgegevens (Wbp). De afdeling geeft onder andere aan dat bij een te nemen beslissing (in dit geval over een WOB-verzoek) het college moet beoordelen of de naam (en woonplaats) voor het doel van de verwerking - te weten openbaarmaking op grond van artikel 60 lid 3 Gemeentewet - niet ter zake dienend zijn alsmede of deze persoonsgegevens in strijd met een wettelijk voorschrift worden verwerkt. Voor zover het gaat over de verwerking in strijd met een wettelijk voorschrift overweegt de Afdeling dat op grond van artikel 60 lid 3 Gemeentewet openbaarmaking achterwege blijft indien dit in strijd is met het openbaar belang. Onder openbaar belang kan volgens de Afdeling onder omstandigheden ook de eerbiediging van de persoonlijke levenssfeer worden begrepen. Dit betekent dat onder omstandigheden de verwerking van persoonsgegevens - waaronder namen - in strijd kan zijn met artikel 60 lid 3 Gemeentewet. Dat is een reden voor verwijdering van deze gegevens op grond van artikel 36 Wbp. De fractie Transparant vraagt zich af: 1a. Of het college kennis heeft genomen van deze uitspraak van de Afdeling. Ja, het college is bekend met deze uitspraak. Markt BC Tel.: Fax: info@bladel.nl BTW nr: NLOO IBAN: NL02 BNGH BIC: BNGHNL2G KVK: b. Zo nee, Waarom niet? Niet van toepassing. c. Zo ja, Wat is de opvatting van het College over deze uitspraak? Terechte uitspraak, wij hebben geen opmerkingen over de juistheid van het oordeel.

2 Tegelijkertijd begrijpen wij het standpunt dat het college van Cranendonck bij de beslissing op bezwaar ingenomen heeft. Het is in die zin een verhelderende uitspraak. Een reactie op een verzoek om persoonsgegevens te verwijderen uit een openbare publicatie is te kwalificeren als besluit waartegen bezwaar en beroep open staat. De vorm van de reactie is daarbij niet van belang. 2. Wat het huidige beleid is met betrekking tot het publiceren van persoonsgegevens in besluiten? Wij doen onze uiterste best om ons daarbij te houden aan de Wbp. Kort gezegd komt dat erop neer dat wij alleen persoonsgegevens publiceren indien dit noodzakelijk is of daar een wettelijke grondslag voor bestaat. b. Wat zijn de effecten van voornoemd besluit op overige besluiten en beleidstereinen anders dan WOB-verzoeken? Wij begrijpen uw vraag zodanig dat u met voornoemd besluit' de uitspraak van de Afdeling heeft bedoeld waar ook uw vorige vragen betrekking op hebben. Wij merken op dat de verheldering die de Afdeling gegeven heeft in deze uitspraak met name ziet op de kwalificatie en afhandeling van verzoeken op grond van de Wbp. In dit geval was het verzoek om persoonsgegevens te verwijderen van een openbare besluitenlijst van het college van gemeente Cranendonck ten onrechte niet als verzoek op grond van artikel 36 van de Wbp aangemerkt. Het gevolg hiervan is dat de Afdeling het college opdraagt een nieuwe beslissing op bezwaar te nemen met inachtneming van dit gegeven. De Afdeling zegt daarmee niet dat het verzoek gehonoreerd moet worden. Een inhoudelijk oordeel wordt op dit onderdeel dan ook niet gegeven. Wat nog wel opvalt is de opmerking van de Afdeling (in r.o. 5.6) dat het college niet te zwaar vast moet houden aan de wetsgeschiedenis van de Wbp. Volgens de Afdeling dient een handreiking van het College Bescherming persoonsgegevens (Richtsnoeren inzake actieve openbaarmaking van persoonsgegevens) in acht genomen te worden bij de inhoudelijke beoordeling van het verzoek. Hoewel geen definitief oordeel gegeven wordt geeft de Afdeling hiermee toch een aanwijzing dat men terughoudend moet zijn met openbaarmaking van persoonsgegevens. Ten opzichte van de in de wetsgeschiedenis geformuleerde uitgangspunten heeft een ontwikkeling plaatsgevonden waardoor inmiddels eerder tegemoet gekomen moet worden aan een verzoek om verwijdering van persoonsgegevens. c. Welke processen en protocollen zijn van toepassing op de door het College te maken afwegingen m.b.t. De privacyrechten van inwoners? Wij conformeren ons zoveel mogelijk aan landelijke wet- en regelgeving en hebben intern verschillende mensen die actief met dit onderwerp bezig zijn. Concreet worden op korte termijn een visie met uitgangspunten en een beleidsstuk ten aanzien van privacy in het sociale domein vastgesteld. Tenslotte wordt beleid over privacyrechten onderdeel van het Informatiebeveiligingsbeleid dat Kempenbreed (inclusief GRSK) wordt opgesteld. d. Worden inwoners door het College geïnformeerd over de afwegingen die het College in het kader van de privacyrechten gemaakt heeft en de zorgvuldigheid die daarin op grond van toepassing zijnde regelgeving in acht genomen is? In de regel worden ingezetenen van onze gemeente niet actief op individueel niveau geïnformeerd over dergelijke afwegingen. e. Worden inwoners in dit kader ook en/of in gemeentelijke(inwonerspecifieke) communicatie/ besluiten en beschikkingen geïnformeerd over hun privacyrechten en de mogelijkheid tot uitoefening daarvan? behoort bij brief kenmerk 17u

3 In de regel niet op individueel niveau. Wel hebben wij op de website een pagina die uitleg geeft over dit onderwerp en een aantal van de uit de Wbp voortvloeiende rechten: 291/product/wetbescherming-persoonsqeqevens-wbp 857.html 3a. Of bovengenoemde uitspraak van de afdeling aanleiding geeft tot het wijzigen van het huidige beleid? Wij zien niet direct aanleiding om concrete aanpassingen te doen in ons beleid. Het betreft een onderwerp dat doorlopend onze aandacht heeft. b. Zo nee, waarom niet? Omdat de genoemde uitspraak daar in onze ogen niet toe aanzet. Wij waren er al van op de hoogte dat persoonsgegevens niet zonder meer opgenomen mogen worden in openbare publicaties, maar dat daarbij altijd een afweging gemaakt moet worden. Wel valt uit de uitspraak af te leiden dat er sprake is van een voortschrijdende ontwikkeling die wij ook elders al opgemerkt hadden. Namelijk dat er meer aandacht gevraagd wordt van organisaties (zoals gemeenten) voor de bescherming van privacy van betrokkenen. c. Wat is het huidige beleid dan? Ons beleid is dat wij ons zoveel mogelijk conformeren aan wet- en regelgeving, op dit vlak betreft dat met name de Wbp. Daarnaast bereiden wij ons momenteel voor op de Algemene verordening gegevensbescherming (AVG). 4a. indien er inderdaad aanleiding is om het huidige beleid te wijzigen, op welke termijn dit gaat gebeuren.? Wij zitten in een fase van beleidsontwikkeling op dit vlak onder invloed van veranderingen in (Europese) regelgeving en ontwikkelingen in de rechtspraak. Deze uitspraak op zichzelf geeft weliswaar geen aanleiding tot concrete aanpassingen, maar bijvoorbeeld de AVG doet dat wel. Wij dienen per 25 mei 2018 te voldoen aan de AVG. b. Wanneer kunnen wij het resultaat van deze mogelijke wijziging tegemoet zien? Onderdeel van de AVG is de aanstelling van een Functionaris Gegevensbescherming. Pas als deze FG aangetreden is kunnen wij een concreet tijdspad schetsen. Dat zal begin 2018 plaats gaan vinden. Voor een globaal overzicht verwijzen wij u graag naar ons antwoord op vraag 7B. 5a. Op welke wijze maakt de gemeente concreet kenbaar en zichtbaar op welke wijze de inwoner in zijn algemeenheid zijn/haar privacyrechten kan uitoefenen en wat deze rechten mogelijkheden zijn? Via onze website, te weten: 291/product/wetbescherminq-persoonsqeqevens-wbp 857.html b. Draagt het college er,ook richting haar samenwerkingspartners, (inclusief Kempengemeenten) zorg voor dat zowel de communicatie naar de inwoner over diens privacyrechten alsmede het daadwerkelijk kunnen uitoefenen van privacyrechten als het concreet kunnen toepassen daarvan zowel in de communicatie naar de inwoner toe als in bestaande beleids- en uitvoeringsprocessen op korte termijn zal worden verbeterd? Als gezegd is doorlopend aandacht voor dit onderwerp binnen de organisatie. Op dit moment zien wij geen aanleiding om concrete zaken aan te passen. c. Hoe krijgt dit concreet vorm en ínhoud? Wanneer en Hoe kunnen wij hier terugkoppeling van ontvangen om dit proces te kunnen monitoren? behoort bij brief kenmerk 17u

4 Wij verwijzen u graag naar ons antwoord op vraag 5B. Van de aanpassingen in het kader van de AVG wordt u op de hoogte gehouden per raadsinformatiebrief, zie ook ons antwoord op vraag 7F. 6. Wie is er in onze gemeente aangewezen als functionaris gegevensbescherming of is anderszins verantwoordelijk voor gemeentelijke processen m.b t het verwerken van gegevens conform de daarvoor geldende regelgeving? Het hoofd van de afdeling Dienstverlening à Bedrijfsvoering is aangewezen als Chief Information Security Officer (CISO). Binnen het domein van de informatiebeveiliging valt ook de privacybescherming, waardoor de privacybescherming onder deze functie valt. Tevens is er een zogenaamde vertrouwde contactpersoon InformatieBeveiligingsDienst (IBD))" aanwezig. Dit is gecombineerd met de functie van coördinator IPB. Deze functie onderhoudt ook de contacten met de Autoriteit Persoonsgegevens ingeval van datalekken die persoonsgegevens bevatten. Tenslotte is voorgesteld om in de begroting van de GRSK een bedrag op te nemen voor de aanstelling van een Coördinator Informatiebeveiliging (CIB) en Functionaris Gegevensbeheer voor de gezamenlijke Kempengemeenten met ingang van 1 januari De invulling van deze functie leidt ertoe dat voldaan wordt aan de betreffende eis zoals die in de Europese Algemene Verordening Gegevensbescherming wordt gesteld. 7a.In hoeverre voldoet de gemeente nu al aan de Algemene verordening gegevensbescherming die per 25 mei 2018 van kracht is? Wij voldoen zoveel mogelijk aan de op dit moment geldende wet- en regelgeving. Wat betreft de AVG hebben wij een voorbereidingstraject opgestart. In regionaal verband is er een werkgroep actief en binnen onze gemeente is sinds enkele maanden een interne werkgroep opgestart. De verwachting is dat er regionaal een Functionaris Gegevensbescherming aangesteld zal worden. Tot die tijd bereiden wij ons met de gemeentelijke werkgroep voor op de AVG. De werkgroep heeft onlangs een eerste verkenningsronde gedaan en is nu bezig met het formuleren van actiepunten. b. Kan het College inzichtelijk maken welke stappen er in dit verband gezet volgens welk tijdspad gezet zijn? De uit te voeren stappen om ten aanzien van de privacybescherming te voldoen aan Algemene Verordening Gegevensbescherming (AVG) zijn, kort en zakelijk weergegeven: 1. In kaart brengen van de benodigde aanvullende organisatorische maatregelen die getroffen moeten worden om te voldoen aan de bepalingen in de AVG. 2. In kaart brengen van de hoofdclusters waarvoor persoonsgegevens worden verwerkt. 3. Per cluster op gestructureerde wijze inzichtelijk maken: a. Welke taken worden uitgevoerd en onder wiens verantwoordelijkheid. b. Welke categorieën van persoonsgegevens er verwerkt worden. c. Wat het doel van de verwerking is. d. Hoe in de werkprocessen geborgd wordt dat uitsluitend noodzakelijke gegevens verwerkt worden. e. Welke verwerkingsgrondslag er is. f. Hoe lang de persoonsgegevens bewaard worden. g. Met wie de gegevens worden gedeeld. h. Wie de verantwoordelijke is voor (het beschermen van) de gegevens. i. Welke bewerkersovereenkomsten gesloten zijn met andere betrokken partijen. 4. Het treffen van organisatorische en budgettaire maatregelen. 5. Opstellen en invoeren van privacybeleid. 6. Uitvoeren van een Privacy Impact Analyse (PIA). behoort bij brief kenmerk 17u

5 Biadel Een groot aantal van deze acties (punten 1, 2, 3, 4, 5) zijn reeds opgestart of werden eerder al in het kader van de Wet bescherming persoonsgegevens gerealiseerd. Gestreefd wordt naar volledige realisatie van deze stappen voor de inwerkingtreding van de AVG op 25 mei c. Wat zijn de consequenties en effecten van deze nieuwe verordening in de praktijk voor gemeenten? In dit kader verwijzen we graag naar het antwoord dat bij vraag 7B is gegeven. d. Wat merkt de inwoner daarvan? Wij weten nog niet precies hoe de praktijk onder de AVG eruit zal zien. Wij kunnen daarom nog geen concreet antwoord op deze vraag geven. e. Welke concrete stappen gaat de gemeente zetten om ruim voor 25 mei 2018 aan deze nieuwe regelgeving te voldoen? Wat is het bijbehorende tijdspad? In dit kader verwijzen we graag naar het antwoord dat bij vraag 7B is gegeven. f. Op welke wijze worden wij daarover geïnformeerd? De gemeenteraad zal hierover actief worden geïnformeerd in de vorm van een raadsinformatiebrief. Hoogachtend, Burgemeester en wethouders van de secretaris, ' ^ de J ' burga! ster C..' behoort bij brief kenmerk 17u