` Privacybeleid Gemeente Venray Binnen de gemeente Venray wordt veel gewerkt met persoonsgegevens van burgers, medewerkers en (keten)partners. Persoonsgegevens worden voornamelijk verzameld van de burgers voor het goed uitvoeren van de gemeentelijke wettelijke taken. De burger moet erop kunnen vertrouwen dat de gemeentelijke bestuursorganen zorgvuldig en veilig met de persoonsgegevens omgaan. In deze tijd gaat ook de gemeente mee met nieuwe ontwikkelingen. Nieuwe technologische ontwikkelingen, innovatieve voorzieningen, globalisering en een steeds meer digitale overheid stellen andere eisen aan de bescherming van gegevens en privacy. De gemeente is zich hier van bewust en zorgt dat de privacy gewaarborgd blijft, onder andere door maatregelen op het gebied van informatiebeveiliging, dataminimalisatie, transparantie en gebruikerscontrole. Het bestuur en management spelen een cruciale rol bij het waarborgen van privacy. De gemeente Venray geeft middels dit beleid een duidelijke richting aan privacy en laat zien dat zij de privacy waarborgt, beschermt en handhaaft. Dit beleid is van toepassing op de gehele organisatie, alle processen, onderdelen, objecten en gegevensverzamelingen van de gemeente. Dit privacybeleid van gemeente Venray is in lijn met het algemene beleid van de gemeente en de relevante lokale, regionale, nationale en Europese wet- en regelgeving. Wettelijke kaders voor de omgang met gegevens De gemeentelijke bestuursorganen zijn verantwoordelijk voor het opstellen, uitvoeren en handhaven van het beleid. Hiervoor gelden onder andere de volgende wettelijke kaders: Wet Bescherming Persoonsgegevens (Wbp) 1, vanaf 25 mei 2018 vervangen door de Europese Verordening; de Algemene Verordening Gegevensbescherming (AVG) Uitvoeringswet Algemene Verordening Gegevensbescherming 2 Uitgangspunten De gemeentelijke bestuursorganen gaan op een veilige manier met persoonsgegevens om en respecteren de privacy van betrokkenen. De gemeentelijke bestuursorganen houden zich hierbij aan de volgende uitgangspunten: Rechtmatigheid, behoorlijkheid, transparantie Persoonsgegevens worden in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze verwerkt. Grondslag en doelbinding De gemeentelijke bestuursorganen zorgen ervoor dat persoonsgegevens alleen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doelen worden verzameld en verwerkt. Persoonsgegevens worden alleen met een rechtvaardige grondslag verwerkt. Dataminimalisatie 1 http://wetten.overheid.nl/bwbr0011468/2017-03-10 2 https://www.internetconsultatie.nl/uitvoeringswetavg
De gemeentelijke bestuursorganen verwerken niet méér persoonsgegevens dan noodzakelijk is voor het vooraf bepaalde doel. De gemeentelijke bestuursorganen streven naar minimale gegevensverwerking. Bewaartermijn Persoonsgegevens worden niet langer bewaard dan nodig is. Het bewaren van persoonsgegevens kan nodig zijn om de gemeentelijke taken goed uit te kunnen oefenen of om wettelijke verplichtingen te kunnen naleven. Integriteit en vertrouwelijkheid De gemeentelijke bestuursorganen gaan zorgvuldig om met persoonsgegevens en behandelen deze vertrouwelijk. Zo worden persoonsgegevens alleen verwerkt door personen met een geheimhoudingsplicht en voor het doel waarvoor deze gegevens zijn verzameld. Daarbij zorgen de gemeentelijke bestuursorganen voor passende beveiliging van persoonsgegevens. Deze beveiliging is vastgelegd in het informatiebeveiligingsbeleid 3. Delen met derden In het geval van samenwerking met externe partijen, waarbij sprake is van gegevensverwerking van persoonsgegevens, worden afspraken gemaakt over de eisen waar gegevensuitwisseling aan moet voldoen. Deze afspraken voldoen aan de wet. De gemeentelijke bestuursorganen controleren deze afspraken jaarlijks. Subsidiariteit De inbreuk op de persoonlijke levenssfeer van de betrokken burger bij het verwerken van persoonsgegevens voor het daarmee beoogde doel, wordt zoveel mogelijk beperkt. Proportionaliteit De inbreuk op de belangen van de betrokkene mag niet onevenredig zijn in verhouding tot het met de verwerking te dienen doel. Rechten van betrokkenen De gemeentelijke bestuursorganen honoreren alle rechten van betrokkenen: Recht op informatie: Betrokkenen hebben het recht om te vragen of zijn/haar persoonsgegevens worden verwerkt. Inzagerecht: Betrokkenen hebben de mogelijkheid om te controleren of, en op welke manier, zijn/haar gegevens worden verwerkt. Correctierecht: Als duidelijk wordt dat de gegevens niet kloppen, kan de betrokkene een verzoek indienen om dit te corrigeren. Recht van verzet: Betrokkenen hebben het recht om te vragen om hun persoonsgegevens niet meer te gebruiken. Recht om vergeten te worden: In gevallen waar de betrokkene toestemming heeft gegeven om gegevens te verwerken, heeft de betrokkene het recht om de persoonsgegevens te laten verwijderen. Recht op bezwaar: Betrokkenen hebben het recht om bezwaar te maken tegen de verwerking van zijn/haar persoonsgegevens. De gemeentelijke bestuursorganen zullen hieraan voldoen, tenzij er gerechtvaardigde gronden zijn voor de verwerking. 3 https://www.venray.nl/informatiebeveiligingsbeleid-gemeente-venray-2015
Dit privacybeleid treedt in werking na vaststelling door het college van burgemeesters en wethouders. Het beleid wordt over een jaar geëvalueerd en indien nodig herzien. Aanpassingen van dit beleid worden aangekondigd via www.officielebekendmakingen.nl. De meest actuele versie van het beleid is te vinden op www.overheid.nl. Aldus vastgesteld door burgemeester en wethouders van gemeente Venray op 7 mei 2018,, burgemeester, secretaris
Onderwerp AVG: verplichte maatregelen vóór 25-5-2018 Zaaknummer Teammanager Erik Voesten B & W datum 7 mei 2018 Afdeling/Team Bedrijfsvoering/Informatie en Automatisering Naam steller Anita van Nieuwenborg Portefeuillehouder Ike Busser Openbaarheid Bevoegd orgaan Deze adviesnota is openbaar B & W Per direct. Ter kennisneming Aanbieden via de Griffie aan de Commissie ADVIES 1. Het privacybeleid gemeente Venray, zoals geformuleerd in de bijlage, vaststellen. 2. Het privacybeleid op de gebruikelijke wijze bekendmaken en in werking laten treden de dag na bekendmaking. 3. De huidige privacy officer, Mevr A. van Nieuwenborg, aanwijzen als tijdelijke Funtionaris voor de Gegevensbescherming aanmelden bij de Autoriteit Persoonsgegevens.
Samenvatting Op 25 mei 2018 treedt de nieuwe Europese Privacywet, de AVG in werking. Om aan deze wet te kunnen voldoen moet de gemeente een aantal maatregelen geïmplementeerd hebben. Twee van deze maatregelen vallen onder de bevoegdheid van het college, namelijk het gemeentelijk privacybeleid vaststellen en het aanwijzen van de Funtionaris voor de Gegevensbescherming. Beoogd resultaat Tijdig voldoen aan de vereisten uit de AVG. De Autoriteit Persoonsgegevens heeft aangegeven expliciet te handhaven op het tijdig aanmelden van de Functionaris voor de Gegevensbescherming. Argumenten Op 25 mei 2018 treedt de nieuwe Europese Privacywet, de AVG in werking. Om aan deze wet te kunnen voldoen moet de gemeente een aantal maatregelen geïmplementeerd hebben. In een eerder besluit zijn hiervoor de prioriteiten vastgesteld, is samen met de gemeente Horst aan de Maas een kwartiermaker aangesteld. De belangrijkste onderwerpen die minimaal geregeld moeten zijn vóór 25-5-2018 worden hierbij als eerste opgepakt: 1. Het (pragmatisch) beleggen van de functie Functionaris voor de Gegevensbescherming (FG); 2. Het opstellen van een gemeentebreed privacy beleid; 3. Het opzetten en bijhouden van een register van verwerkingen (van persoonsgegevens); 4. Het ontwerpen en inrichten van processen voor de uitoefening van privacyrechten door betrokkenen: recht op inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar 5. Het gemeentebreed communiceren van risico s op het gebied van privacy t.b.v. het creëren van voldoende bewustwording, en hierbij aanhaken bij de initiatieven vanuit informatiebeveiliging; Twee van deze maatregelen vallen onder de bevoegdheid van het college. In deze nota wordt gevraagd: 1. Het privacybeleid (in de bijlage) vast te stellen. 2. Het privacybeleid op de gebruikelijke wijze bekendmaken en in werking laten treden de dag na bekendmaking 3. De huidige privacy officer, Anita van Nieuwenborg, als tijdelijke Funtionaris voor de Gegevensbescherming aan te wijzen, en aan te laten melden bij de Autoriteit Persoonsgegevens. Ad1-2 Het privacybeleid laat zien dat de gemeente de privacy waarborgt Het privacybeleid is opgesteld aan de hand van de best practise van de VNG. Voor de gemeente Horst aan de Maas ligt hetzelfde tekstvoorstel ter besluitvorming voor. Een verdere uitwerking van het privacybeleid zal de komende periode plaatsvinden in de vorm van een privacyreglement, n ter besluitvorming worden voorgelegd aan het CMT. Ad3 Wijs de huidige PO aan als tijdelijke Functionaris voor de Gegevensbescherming (FG) Conform de AVG moet de FG toezicht houden op de naleving van de AVG en moet, indien nodig, daarop kunnen handhaven. Daarnaast moet hij de organisatie ook adviseren en informeren over maatregelen met betrekking tot privacy. Op korte termijn heeft de gemeente met name behoefte aan een meer inhoudelijke adviserende rol, maar de focus zal verschuiven naar een meer toezichthoudende rol. In overleg met de directieteams van zowel Venray als Horst aan de Maas wordt onderstaande voorgesteld: 1. Kies voor de korte termijn voor een FG die zich met name focust op de adviserende en bewustwordings aspecten. In het begin zullen beide gemeenten meer profijt hebben bij deze adviserende en informerende rol. Toezicht houden op maatregelen en beleid dat nog niet is ingevoerd is niet constructief.
2. DT s van beide gemeenten kiezen in de beeldvormende overleggen expliciet voor een FG in samenwerking, dus wijs in beide gemeenten dezelfde FG aan. 3. Wijs hiervoor de huidige privacyofficer, Mevr A. van Nieuwenborg, aan als tijdelijke FG. 4. Meld de FG zsm, doch uiterlijk begin mei aan bij de Autoriteit Persoonsgegevens. 5. Start voor de zomer met de werving van een FG in vaste dienst. De maatregelen worden parallel op dezelfde wijze uitgevoerd in de gemeente Horst aan de Maas. Risico s De FG moet vóór 25-5-2018 zijn aangemeld bij de Autoriteit Persoonsgegevens. De autoriteit persoonsgegevens heeft recent aangegeven dat dit een maatregel is waar ze expliciet op gaan handhaven. Daarmee is er een risico dat de gemeente een boete krijgt opgelegd. Het vaststellen van het beleid is niet verplicht. Wel is het wenselijk het beleid tijdig gepubliceerd te hebben omdat dit negatieve mediaandacht op dit punt voorkomt. Kanttekeningen Ad 1-2 Een verdere inhoudelijke uitwerking van het privacybeleid zal de komende periode plaatsvinden Deze uitwerking krijgt de vorm van een privacyreglement. Dat wordt later dit jaar ter besluitvorming voorgelegd aan het CMT. Ad 3 De OR heeft Instemmingsrecht De besluiten zijn 17-4-2018 voorbesproken met de OR, en op 18 april is een instemmingsverzoek ingediend. Ad 3 De voorgestelde FG is tijdelijk door beide gemeenten ingehuurd Beide gemeenten willen de functie van FG invullen met een vaste medewerker. Hiervoor wordt voor de zomer een wervingstraject gestart. Communicatie Het beleid zal wordt gepubliceerd op de website van de gemeente, en op overheid.nl De FG zal worden aangemeld bij de Autoriteit Persoonsgegevens. Eigen medewerkers worden geinformeerd via VENNET en teamoverleggen geïnformeerd. Financiële gevolgen Geen. In de formatie is de functie van FG en PO al 0,5 fte voorzien, zowel in Venray als in Horst aan de Maas. Personele/organisatorische gevolgen Functie van FG wordt nu tijdelijk ingevuld met een externe medewerker. Voor de zomer wordt gestart met de werving van een vaste medewerker. De voorkeur gaat hierbij uit naar een kandidaat die de potentie heeft mee te groeien en bewegen met de ontwikkelingen die de komende jaren volgen. Dit zowel met de ontwikkelingen van het FG-vakgebied als met de gewenste invulling van de rol binnen beide gemeenten. Juridische gevolgen Privacybeleid is afgestemd met juridische afdeling, en geaccordeerd door het CMT. Rechtmatigheid Voorstellen zijn conform wetgeving. Fatale termijnen De FG moet vóór 25-5-2018 zijn aangemeld bij de Autoriteit Persoonsgegevens.
Vervolgtraject besluitvorming Na aanwijzen zal de FG worden aangemeld bij de Autoriteit Persoonsgegevens. Voor de zomer wordt gestart met de werving van een vaste medewerker Een verdere uitwerking van het privacybeleid zal de komende periode plaatsvinden in de vorm van een privacyreglement. Evaluatie Evaluatie van beide besluiten zal worden meegenomen in het vervolgtracject zoals beschreven onder het kopje kanttekeningen. Bijlagen 1. Privacybeleid gemeente Venray Naslagwerk