De verwerking van persoonsgegevens is elke handeling of elk geheel van handelingen met persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde processen. In de AVG valt onder een verwerking:
Verzamelen, vastleggen en ordenen
Bewaren, bijwerken en wijzigen
Opvragen, raadplegen, gebruiken
Verstrekken door middel van doorzending
Verspreiding of enige andere vorm van ter beschikkingstellen
Samenbrengen, met elkaar in verband brengen
Afschermen, uitwissen of vernietigen van gegevens
Uit deze opsomming blijkt dat alles wat je met een persoonsgegeven doet een verwerking is.
Doeleinden (Artikel 5, AVG)
Volgens de wet mogen persoonsgegevens alleen verzameld worden als daarvoor een doel is vastgesteld. Het doel moet uitdrukkelijk omschreven en gerechtvaardigd zijn. De gegevens mogen niet voor andere doelen verwerkt worden. Voor de uitvoering van sommige wetten, zoals bijvoorbeeld de Jeugdwet, zijn de doelen voor het verwerken in de wet al vastgelegd, net als de persoonsgegevens die gevraagd en verwerkt mogen worden.
Rechtmatige grondslag (Artikel 6, AVG)
De wet zegt dat er voor elke verwerking van persoonsgegevens een rechtmatige grondslag uit de wet van toepassing moet zijn. Dat betekent dat de verwerking alleen mag plaatsvinden:
Om een verplichting na te komen die in de wet staat;
Voor de uitvoering van een overeenkomst waar de betrokkene onderdeel was;
Om een ernstige bedreiging voor de gezondheid van de betrokkene te bestrijden;
Voor de goede vervulling van de gemeentelijke taak in het kader van het algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de gemeente is opgedragen;
Wanneer de betrokkene toestemming heeft gegeven voor de specifieke verwerking.
Wijze van verwerking
De hoofdregel van de verwerking van persoonsgegevens is dat het alleen toegestaan is in overeenstemming met de wet, en op een zorgvuldige wijze. Persoonsgegevens worden zoveel mogelijk verzameld bij de betrokkene zelf. De wet gaat uit van subsidiariteit. Dit betekent dat verwerking alleen is toegestaan wanneer het doel niet op een andere manier kan worden bereikt. In de wet wordt ook gesproken over proportionaliteit. Dit betekent dat persoonsgegevens alleen mogen worden verwerkt als dit in verhouding staat tot het doel. Wanneer met geen, of minder (belastende), persoonsgegevens hetzelfde doel bereikt kan worden moet daar altijd voor gekozen worden.
De gemeente zorgt ervoor dat de persoonsgegevens kloppen en volledig zijn voordat ze verwerkt worden. Deze gegevens worden alleen verwerkt door personen met een geheimhoudingsplicht.
Daarnaast beveiligt de gemeente alle persoonsgegevens op een passende wijze. Dit moet voorkomen dat de persoonsgegevens kunnen worden ingezien of gewijzigd door iemand die daar geen recht toe heeft. Hoe de gemeente dit doet staat in het informatiebeveiligings- en privacy beleid van de gemeente en in een eventueel aanvullend beveiligingsplan specifiek opgesteld voor een proces of registratie.
Verwerkersovereenkomsten (Artikel 28 AVG)
De gemeente kan gebruik maken van een derde partij (verwerker) die namens de gemeente een deel of de gehele verwerking van persoonsgegevens op zich neemt. Er wordt dan een verwerkersovereenkomst afgesloten, waarin afspraken met de verwerker worden gemaakt over de eisen vanuit de AVG en om bescherming van de persoonsgegevens te garanderen. Hiermee waarborgt de gemeente dat de bescherming ten aanzien van de persoonsgegevens op gelijkelijk niveau is als bij de gemeente zelf.
Doorgifte (Artikel 44 t/m 50, AVG)
De gemeente geeft alleen persoonsgegevens door aan een land buiten de Europese Economische Ruimte (EER) of een internationale organisatie op grond van goedgekeurde afspraken door de Europese Commissie en indien er minimaal een adequaat
beschermingsniveau wordt gewaarborgd.
Artikel 5.