privacy Bestuurlijke nota 2015
2
Inhoudsopgave 1. Inleiding 3 1.1 Belang 3 1.2 Wettelijk kader is omvangrijk en aan verandering onderhevig 3 2. Wettelijk kader en hoe de gemeente veenendaal dat uitvoert 5 2.1 Wbp en enkele begrippen 5 2.2 Eisen die de wbp stelt 5 3. Gemeentelijk privacybeleid 7 3.1 Delen van gegevens 7 3.2 Gebruik persoonsgegevens voor beleidsontwikkeling 8 3.3 Privacybeleid in relatie tot openbaarheid van bestuur 9 3.4 Uitgangspunten samengevat 9 4. Rechten van de burger 10 4.1 Transparantie en informatieplicht 10 4.2 Inzage en correctie 10 5. Verantwoordelijkheid en organisatie 11 5.1 Verantwoordelijkheid 11 5.2 Organisatie 11 5.3 Privacyfunctionaris 11 3
4
1. Inleiding 1.1 Belang De gemeente Veenendaal verwerkt op grote schaal persoonsgegevens van burgers in tal van haar bedrijfsprocessen. Dat gebeurt zowel binnen het sociaal domein als op het gebied van openbare orde en veiligheid, opsporing van fraude en van illegale activiteiten als voor het uitnodigen van burgers om een zienswijze te geven op een ontwerp bestemmingsplan. Door haar rol als eerste overheid en de daarmee gepaard gaande verbreding van het takenpakket, heeft de gemeente inmiddels steeds meer en privacygevoeliger gegevens te verwerken gekregen. Voor de uitvoering van dat takenpakket werkt de gemeente in toenemende mate samen met andere overheidsorganisaties, maatschappelijke en zorgpartners, waarbij het delen van gegevens van burgers inherent is aan de samenwerking. Gemeente Veenendaal vindt het van groot belang dat privacy van burgers wordt gerespecteerd, maar hecht eveneens aan een adequate wijze van dienstverlening en samenwerking met een daarop ingerichte efficiënte verwerking van persoonsgegevens. De burger moet er immers op kunnen vertrouwen dat de gemeente en haar partners de privacywetgeving in acht nemen en op een zodanig zorgvuldige wijze met diens gegevens omgaan, dat de bescherming van de privacy geborgd is. In deze beleidsnota geeft het gemeentebestuur van Veenendaal de kaders aan voor de verwerking van persoonsgegevens die binnen haar verantwoordelijkheid valt. 1.2 Wettelijk kader is omvangrijk en aan verandering onderhevig De Nederlandse privacywetgeving is een uitwerking van de Europese privacyrichtlijn. De Wet bescherming persoonsgegevens (Wbp) vormt het algemeen kader voor de verwerking van persoonsgegevens. Privacyvoorschriften zijn verder te vinden in onder meer de Wet algemene bepalingen burgerservicenummer, Wet basisregistratie personen, Wet politiegegevens en in de wetgeving die van toepassing is op de taken die de gemeente uitvoert. Voorbeelden van die laatste categorie wetgeving zijn WMO 2015, Jeugdwet, Participatiewet, Leerplichtwet, Paspoortwet, et cetera. Naar verwachting zal in 2018 een Europese verordening voor de verwerking van persoonsgegevens (EPV) met rechtstreekse werking voor de lidstaten de huidige privacyrichtlijn en ook de Wbp vervangen. Belangrijke elementen in het voorstel zijn: De Europese burger moet meer controle over en keuze in de verwerking van persoonsgegevens krijgen. De Europese Commissie vindt de huidige wetgeving onvoldoende aansluiten op de nieuwe technologieën waarmee deze gegevens worden verzameld. De verordening introduceert een zogenaamd recht op het wissen van gegevens. Een organisatie moet gegevens wissen als iemand hierom vraagt. Dit sluit overigens aan op de bepalingen in de vigerende regelgeving die betrekking hebben op de bewaartermijnen. Gegevens mogen niet langer worden bewaard, dan noodzakelijk is voor het doel waarvoor ze zijn verzameld. Voor diverse gegevensverwerkingen zijn thans concrete termijnen vastgesteld. De verordening brengt grote administratieve lasten met zich mee. Organisaties moeten, als de nieuwe regels in werking treden, investeren in het aanpassen van alle systemen. Daarnaast moeten zij uitgebreide documentatie bijhouden over alle verwerkingen van persoonsgegevens die zij doen en alle verwerkingen die zij uitbesteden aan bewerkers. Organisaties die gegevens van meer dan 5.000 personen verwerken of meer dan 250 personen in dienst hebben moeten verplichte privacy impact assesments gaan uitvoeren bij de invoering van ICT-systemen en een data protectionofficer (vergelijkbaar met de functionaris voor de gegevensbescherming) aanstellen. Zogenaamde datalekken dienen te worden gemeld bij het College bescherming persoonsgegevens (Cbp) en bij degene wiens gegevens gelekt zijn. Vooruitlopend op de EPV introduceert de Wbp met ingang van 5
1 januari 2016 al de verplichting om datalekken te melden. Op grond van de Wet meldplicht datalekken zullen doorbrekingen van de beveiliging met ernstige gevolgen voor de privacy moeten worden gemeld bij de toezichthouder, het Cbp, en afhankelijk van de ernst van de gevolgen ook bij de betrokkenen. Het Cbp zal met ingang van 2016 verder gaan onder de naam Autoriteit Persoonsgegevens (AP) en krijgt bij gelegenheid van de Wet meldplicht datalekken tevens de bevoegdheid om (hoge) boetes op te leggen als de verplichtingen uit de Wbp niet worden nageleefd. 6
2. Wettelijk kader en hoe de gemeente Veenendaal dat uitvoert 2.1 Wbp en enkele begrippen De Wbp biedt het algemeen kader en wordt aangevuld met privacyvoorschriften die te vinden zijn in de specifieke wetten die de gemeente uitvoert. De algemene eisen die de Wbp stelt zijn hieronder opgenomen. Omdat de begrippen persoonsgegevens en verwerken van persoonsgegevens in deze nota veelvuldig voorkomen volgt nu eerst een korte omschrijving. Persoonsgegevens en gevoelige persoonsgegevens Dit zijn alle gegevens die ter herleiden zijn tot een natuurlijk persoon, zoals naam en geboortedatum zijn persoonsgegevens. Een adres en e-mailadres zijn dat doorgaans ook omdat aan de hand van die gegevens meestal makkelijk te zien is over wie het gaat. Persoonsgegevens over onder andere gezondheid, strafrecht of etniciteit, zijn privacygevoeliger. Deze zogenaamde bijzondere gegevens mag de gemeente daarom alleen verwerken in de gevallen dat dit wettelijk is toegestaan. Verwerken van persoonsgegevens Het verzamelen, opslaan en verstrekken van gegevens zijn onderdelen van wat onder verwerken van persoonsgegevens wordt verstaan. Verzamelen vindt vaak plaats aan het loket bij een aanvraag of soms ook doordat de gemeente navraag doet. De verzamelde gegevens worden opgeslagen in de gemeentelijke systemen en indien nodig voor de taakuitvoering ook verstrekt. Als de gegevens niet meer nodig zijn voor het doel waarvoor ze zijn verzameld, moet de gemeente deze vernietigen. 2.2 Eisen die de Wbp stelt 1. Rechtmatige verwerking (artikel 6 Wbp) Persoonsgegevens worden in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze verwerkt. 2. Doelbinding (artikel 7 Wbp) Gemeente Veenendaal verzamelt persoonsgegevens alleen voor een welbepaald, uitdrukkelijk omschreven en gerechtvaardigd doel en verstrekt deze gegevens alleen voor zover dat binnen het doel is toegestaan. Afwijkend gebruik is slechts mogelijk na afweging van de wettelijke criteria. 3. Rechtmatige grondslag (artikel 8 Wbp) De verwerking van persoonsgegevens dient gebaseerd te zijn op een van de grondslagen als bedoeld in artikel 8 Wbp. 4. Proportionaliteit (Artikel 11) De gemeente Veenendaal verwerkt alleen die gegevens die strikt noodzakelijk om het doel waarvoor ze nodig zijn te bereiken. De gegevensverwerking moet toereikend, ter zake dienend en niet bovenmatig zijn. Veenendaal hanteert daarbij de regel need to know in plaats van nice to know. 5. Bewaartermijnen (Artikel 10) De gemeente Veenendaal bewaart gegevens volgens de wettelijk geldende termijnen of anders altijd zo kort mogelijk en vernietigt deze daarna. De bewaartermijnen van de gegevens lopen uiteen. In diverse wetten zijn minimale en maximale bewaartermijnen opgenomen. Daar waar er geen wettelijke regeling is die voorziet in een verplichte bewaartermijn, kan het college een besluit over de bewaartermijn nemen. Deze zal zo kort mogelijk zijn. Voor persoonsgegevens in de archieven van de gemeente geldt een bewaartermijn die is vastgesteld in de selectielijst gemeentelijke organen, welke is gebaseerd op Archiefwet. 6. De verwerking van bijzondere gegevens binnen de organisatie Bijzondere gegevens zijn onder andere gegevens betreffende de gezondheid, ras, etniciteit, seksuele leven en strafrecht. De gemeente Veenendaal verwerkt bijzondere gegevens alleen in de gevallen waarin die verwerking in een wet is voorzien of met ondubbelzinnige toestemming van degene wiens gegevens het betreft (betrokkene). Medewerkers gaan terughoudend om 7
met deze in privacytechnisch opzicht gevoeliger van burgers en worden daarover geïnstrueerd. 7. Verstrekken van persoonsgegevens De gemeente Veenendaal gaat terughoudend om met het verstrekken van persoonsgegevens binnen haar eigen organisatie en daarbuiten (aan samenwerkende instanties of derden). Persoonsgegevens worden zowel intern als extern alleen verstrekt (gedeeld) voor zover dat strikt noodzakelijk is voor het doel waarvoor de gegevens zijn verkregen. 8. Meldingen van gegevensverwerkingen Verwerkingen van persoonsgegevens meldt de gemeente Veenendaal bij het College bescherming persoonsgegevens, tenzij de verwerking is vrijgesteld van de melding op grond van het Vrijstellingsbesluit. Bij twijfel over de toepassing van het vrijstellingsbesluit wordt gemeld. 9. Meldingen van datalekken Doorbreking van de beveiligingmaatregelen die de gemeente Veenendaal heeft getroffen worden geregistreerd. Indien die doorbreking ernstige nadelige gevolgen (kunnen) hebben voor de privacy van de betrokkenen, is sprake van een datalek die gemeld wordt bij de AP en zonodig ook bij de betrokkene. De privacyfunctionaris beoordeelt de ernst van de privacygevolgen en adviseert over het doen van meldingen. 10. Transparantie De Wbp heeft als mede als doel om het verwerken van persoonsgegevens transparant te maken voor betrokkenen. De gemeente Veenendaal geeft de transparantie vorm door een openbaar register van alle verwerkingen van persoonsgegevens bij te houden dat voor een ieder raadpleegbaar is. Burgers kunnen aan de hand van dit register vaststellen welke gegevens de gemeente in welke processen over hen verwerkt en daarop een verzoek om inzage, correctie of verzet baseren (zie hierover hoofdstuk 4, Rechten van de burger). 8
3. Gemeentelijk privacybeleid 3.1 Delen van gegevens Het beleid van de gemeente Veenendaal is steeds meer gericht op het samen met andere overheidsorganisaties en sociale partners aanpakken van sociale, maatschappelijke en veiligheidsvraagstukken. In de in- en externe samenwerkingsverbanden die daardoor ontstaan komen ook de vraagstukken van individuele burgers aan de orde en zullen indien noodzakelijk diens persoonsgegevens worden gedeeld. Schuldhulp Participatie Geneeskundige behandeling Samenwerking: Integrale aanpak Gemeentewet Openbare Orde & Veiligheid Jeugdhulp Wmo 2015 Afbeelding 1: Verschillende partners met verschillende privacyregels regelen de privacy in een convenant Bij de uitvoering dient de gemeente rekening te houden met de privacyvoorschriften die zij tegenkomt in de wetten die zij zelf uitvoert en waarmee haar partners te maken hebben. Dit is schematisch weergegeven in figuur 1. Deze privacyvoorschriften zijn in het leven geroepen binnen het doel van de verschillende wetten en de uitwisseling van gegevens tussen de verschillende taakvelden binnen en buiten de gemeentelijke organisatie is daardoor niet vanzelfsprekend. Hieronder zijn een aantal voorbeelden opgenomen die dit illustreren. Diverse wetten hebben diverse doelen en verantwoordelijkheden, enkele voorbeelden: Gegevensdelen van bijstandscliënten is alleen mogelijk in de door de Participatiewet genoemde situaties en verder geldt een geheimhoudingsplicht die de bijstandsconsulent alleen met toestemming van de cliënt mag doorbreken. De WMO 2015 staat hergebruik van persoonsgegevens waarover de gemeente al beschikt bijvoorbeeld in een dossier over schuldhulpverlening of jeugdhulp en daarmee de uitwisseling van gegevens met andere onderdelen van het sociaal domein pas toe nadat de betrokkene daarvoor zijn ondubbelzinnige toestemming heeft gegeven. Artsen moeten op grond van de Wet geneeskundige behandelingsovereenkomst een patiëntendossier aanleggen, waaruit zij geen gegevens mogen verstrekken tenzij de patiënt daar toestemming voor heeft gegeven. 9
Deze privacyregels kan en wil de gemeente Veenendaal niet negeren, maar stelt haar wel voor dilemma s: 1. als het gaat om de gegevensuitwisseling die nodig is in het kader van integrale dienstverlening die de gemeente nastreeft aan haar (digitale) loketten, in het sociaal domein 2. bij de handhaving van vergunningen, ruimtelijke voorschriften en de openbare orde en veiligheid. 2. mochten de wetten in de uitwisseling van gegevens niet voorzien, dan valt de gemeente Veenendaal terug op de mogelijkheid van artikel 8, sub a van de Wbp, de ondubbelzinnige toestemming van de betrokkene. 3. Als die toestemming niet kan worden verkregen, kan in het geval van vitaal belang en na uitvoering van een noodzakelijkheidstoets zonder toestemming worden gedeeld. Als uitgangspunt van haar handelen in dit soort dilemma s hanteert de gemeente de volgende werkwijze: 1. in de eerste plaats gaat de gemeente er vanuit dat het verwerken van gegevens binnen de kaders van de verschillende wetten kan plaatsvinden. Deze uitgangspunten legt de gemeente Veenendaal vast in zowel privacyconvenanten als het gaat om het delen van gegevens met partners als in privacyreglementen voor het delen van gegevens binnen de eigen organisatie. De afspraken in deze documenten integreert de gemeente in haar werkprocessen. 3.2 Gebruik persoonsgegevens voor beleidsontwikkeling Voor het gemeentebestuur is het van belang om zicht te hebben op ontwikkelingen binnen de verschillende beleidsterreinen waardoor zij beleidseffecten kan monitoren en besluiten kan nemen over al dan niet aanpassing van haar beleid. Bijvoorbeeld in het sociaal domein is van belang om te weten welke voorzieningen nodig zijn. De gegevens die daarvoor nodig zijn moeten worden opgehaald uit de individuele dossiers van de burgers. De gemeente Veenendaal hanteert als uitgangpunt dat bij de selectie van de benodigde gegevens, deze worden ontdaan van de identificerende gegevens van de burgers. Datzelfde geldt voor de andere beleidsterreinen. 3.3 Privacybeleid in relatie tot openbaarheid van bestuur In het kader van de openbaarheid van bestuur publiceert de gemeente Veenendaal informatie langs verschillende kanalen, waaronder haar eigen website. Daarbij geldt als uitgangspunt dat publicatie van persoonsgegevens tot het uiterste wordt beperkt. In de eerste plaats dient te worden afgewogen of aan publicatie van persoonsgegevens (spontaan zowel als op verzoek) niet valt te ontkomen. Als publicatie onontkoombaar is, onder andere omdat de wet daartoe verplicht (zoals publicatie van nevenfuncties van bestuurders en de ambtelijke top) of als publicatie noodzakelijk is voor een goede vervulling van een publiekrechtelijke taak (bijvoorbeeld om iemand op te roepen wiens verblijfplaats onbekend is) dan wordt afgewogen of het publicatiemiddel internet het kanaal is waarlangs gepubliceerd wordt. De gemeente Veenendaal hanteert daarbij als uitgangspunt de Richtsnoeren voor actieve openbaarmaking en de Richtsnoeren inzake de publicatie van persoonsgegevens op internet. Mocht publicatie van persoonsgegevens op internet noodzakelijk zijn, dan zullen die gegevens worden afgeschermd voor zoekmachines. 10
3.4 Uitgangspunten samengevat De gemeente Veenendaal verwerkt (bijzondere) persoonsgegevens in overeenstemming met de Wbp en de privacyvoorschriften in de wet- en regelgeving die zij uitvoert. Veenendaal verwerkt persoonsgegevens alleen voor een vooraf bepaald doel en beperkt zich tot de gegevens die zij in het kader van dat doel nodig heeft. Zij bewaart de gegevens niet langer als noodzakelijk is voor het doel en is transparant over hoe zij met de gegevens omgaat. De rechtmatige grondslag voor de verwerking van persoonsgegevens baseert de gemeente doorgaans op artikel 8, sub e van de Wbp, namelijk de goede uitvoering van een publiekrechtelijke taak. Als de verwerking van persoonsgegevens niet kan worden gebaseerd op een van de andere gronden van artikel 8, vraagt de gemeente om toestemming van de betrokkene. Zonder toestemming van de betrokkene gegevens verwerken is slechts mogelijk als daarvoor een noodzakelijkheidstoets is uitgevoerd waarvan de uitkomst noodzaakt tot verwerking. Het delen van gegevens met partners en binnen de eigen organisatie baseert Veenendaal op privacyconvenanten en reglementen. 11
4. Rechten van de burger 4.1 Transparantie en informatieplicht De verwerking van persoonsgegevens door de gemeente moet transparant zijn voor de burgers. Transparantie staat voorop maar in uitzonderingsgevallen, bijvoorbeeld in het kader van de veiligheid, is vertrouwelijkheid geboden binnen de mogelijkheden die de wet daartoe biedt. Burgers hebben het recht om te weten hoe de gemeente met hun persoonsgegevens omgaat. Voor wat betreft de verwerking van persoonsgegevens is het van belang dat de burger geïnformeerd wordt over het doel van de verwerking van diens gegevens, welke gegevens op welk moment in het proces nodig zijn (ook wel triage genoemd) en met wie welke gegevens noodzakelijkerwijze gedeeld gaan worden. Het moment van informeren is in de meeste gevallen het moment waarop een burger om hulp vraagt. In sommige situaties, bijvoorbeeld in het geval de burger niet zelf om hulp vraagt, kan de burger op een later moment worden geïnformeerd. De informatieplicht jegens de burger is in de procesinrichting van gemeente Veenendaal en haar partners voorzien. Het moment van informeren wordt tevens benut om, indien nodig toestemming te vragen om gegevens te mogen verwerken of uit reeds bestaande dossiers bij de gemeente gegevens te hergebruiken en om eventuele bijzondere gegevens omtrent de gezondheid te mogen opvragen bij een medicus. 4.2 Inzage en correctie Buiten de informatieplicht heeft een burger te allen tijde recht op inzage en kan de gemeente verzoeken foutieve gegevens te corrigeren. Ook is het mogelijk om het verwerken van persoonsgegevens niet toe te staan (recht van verzet). De gemeente mag dan geen gegevens verwerken. Dat kan als gevolg hebben dat de gemeente de burger dan niet of minder goed kan helpen. De burger kan met zijn verzoeken terecht bij de privacyfunctionaris die ervoor zorgt dat de burger op eenvoudige wijze zijn rechten tot gelding kan brengen. Bezwaren tegen beslissingen van de gemeente naar aanleiding van een verzoek om inzage, correctie of verzet kunnen worden ingediend bij het gemeentebestuur en in beroep bij de rechtbank. Ook bestaat de mogelijkheid om het Cbp om bemiddeling te vragen. 12
5. Verantwoordelijkheid en organisatie 5.1 Verantwoordelijkheid De bestuurlijke verantwoordelijkheid voor het verwerken van persoonsgegevens volgt de lijnen van de wetgever bij het toedelen van taken. Het bestuursorgaan dat in de wet een taak krijgt opgedragen is niet alleen verantwoordelijk voor die taak, maar ook voor de verwerking van persoonsgegevens. De meeste taken, waaronder die voor de WMO, de Jeugdwet en Participatiewet zijn toebedeeld aan het college van burgemeester en wethouders. De uitvoering van bijvoorbeeld de Paspoortwet is aan de burgemeester opgedragen, dus is dit orgaan de verantwoordelijke voor het verwerken van de gegevens die nodig zijn om een paspoort te kunnen leveren. Het beleid is van toepassing op het college, de burgemeester en de gemeenteraad en op de ambtelijke organisatie van de gemeente Veenendaal en zal uitgangspunt van handelen zijn in het geval van samenwerking met derden. In het geval de gemeente Veenendaal werkzaamheden voor anderen verricht, geldt het privacybeleid van Veenendaal als uitgangspunt van handelen bij de uitvoering van die werkzaamheden. 5.2 Organisatie De uitvoering van het privacybeleid is onderdeel van de bedrijfsvoering van de ambtelijke organisatie en de verantwoordelijkheid volgt de lijnen van het mandatenbesluit van de gemeente Veenendaal. Privacy wordt opgenomen in de planning en controlcyclus. De ambtelijk verantwoordelijken zorgen ervoor dat de privacyvoorschriften en het beleid in organisatie en processen en waar nodig in reglementen worden doorgevoerd. Bij samenwerking met partners waarbij de regie bij de gemeente Veenendaal ligt, zorgt de verantwoordelijk manager voor de totstandkoming, besluitvorming en ondertekening van privacyconvenanten door het juiste bestuursorgaan en de partners. Deze is ook verantwoordelijk voor de handhaving van de privacyafspraken in het convenant. In het geval de gemeente Veenendaal werkzaamheden uitbesteedt aan een derde waarvan het verwerken van persoonsgegevens deel uitmaakt, zorgt de verantwoordelijk manager er tevens voor dat met die derde wordt overeengekomen dat deze voldoet aan het privacybeleid van de gemeente Veenendaal en dat daarop van toepassing zijnde beveiligingseisen worden vastgelegd in een zogenaamde bewerkersovereenkomst. 5.3 Privacyfunctionaris Een privacyfunctionaris ondersteunt gemeentebestuur en ambtelijke organisatie bij de uitvoering en handhaving van de privacyvoorschriften. Daartoe beoordeelt de privacy-functionaris de verwerking van persoonsgegevens tegen de achtergrond van de kaders van de privacywetgeving en adviseert bestuur en management bij wijzigingen in proces-uitvoering en bedrijfsvoering en de toepassing van een privacy impact assessment. De privacfunctionaris is verder verantwoordelijk voor het onderhoud van het privacybeleid en rapporteert jaarlijks over de uitvoering daarvan. Burgers kunnen bij de privacyfunctionaris terecht met inzage en correctieverzoeken. 13
14