Bij de verwerking van persoonsgegevens staat respect voor de persoonlijke levenssfeer van de betrokkenen voorop. Onnodige of te verregaande inbreuken moeten worden voorkomen. De AVG regelt het algemene kader voor de omgang met persoonsgegevens binnen de landen van de Europese unie.
De AVG is de hoogste wetgeving voor privacybescherming en fungeert als een parapluwet die van toepassing is voor alle verwerkingen van persoonsgegevens door organisaties, zowel bedrijven als overheden. De uitgangspunten van de AVG zijn:
Verwerking van persoonsgegevens vindt plaats op rechtmatige, behoorlijke en transparante wijze (artikel 5a AVG).
Verwerking van persoonsgegevens mag alleen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden (artikel 5b AVG).
Verwerking van persoonsgegevens mag alleen op een van de in de AVG opgenomen grondslagen (artikel 6 AVG).
Alleen de persoonsgegevens die voor het beoogde doel noodzakelijk zijn mogen worden verwerkt.
De persoonsgegevens moeten juist zijn en blijven.
De persoonsgegevens mogen niet langer bewaard worden dan nodig voor het beoogde doel.
De persoonsgegevens moeten beschermd worden tegen toegang door onbevoegden, verlies of vernietiging.
De verantwoordelijke moet kunnen aantonen aan deze regels te voldoen.
Persoonsgegevens mogen alleen worden verwerkt voor een duidelijk omschreven doel, de doelbinding. Hieruit kan de grondslag voor verwerking vastgesteld worden. De grondslagen zijn limitatief opgesomd in artikel 6 AVG:
de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden.
de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen.
de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust.
de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een ander natuurlijk persoon te beschermen.
verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen.
de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen.
Vervolgens moet worden vastgesteld dat de verwerkte persoonsgegevens proportioneel zijn: er worden niet meer gegevens verwerkt dan noodzakelijk voor het uitoefenen van de taak. Ook moet aan het subsidiariteitsbeginsel worden voldaan: de taak kan niet op een voor de betrokkene minder belastende manier worden uitgevoerd.
Er zijn ook enkele bijzondere categorieën van persoonsgegevens. Dit zijn persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken. Ook kan het gaan om genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, gegevens over gezondheid of gegevens over iemands seksueel gedrag of seksuele gerichtheid (artikel 9 AVG). Financiële gegevens en het burgerservicenummer (BSN) zijn gevoelige persoonsgegevens. Het verwerken van bijzondere en gevoelige persoonsgegevens (artikel 9 AVG) en het verder verwerken van reeds verzamelde gegevens (artikel 6.4 AVG), is aan zeer strikte voorwaarden gebonden.
Een betrokkene kan altijd inzage of wijziging van de verwerkte persoonsgegevens vragen.
De Drechtsteden hebben de wettelijke verplichting om gegevensbescherming te borgen. Dit moeten zij doen door passende technische en organisatorische maatregelen te treffen. Informatieveiligheid is hier een groot onderdeel van. Samen met onder andere informatiebeheer, het juridisch kader en privacy-bewustzijn zorgt informatieveiligheid voor de borging van bescherming en beveiliging van persoonsgegevens. De Drechtsteden werken binnen de kaders van het Informatiebeveiligingsbeleid op basis van de Baseline Informatiebeveiliging Overheid (BIO).
Dit privacybeleid gaat uit van het voldoen aan de eisen van de AVG en de Uitvoeringswet AVG. Daarnaast zijn er diverse specifieke wetten, zoals de BRP, WMO, Jeugdwet, Politiewet, die aanvullende eisen stellen aan privacybescherming. Deze wetten worden in dit beleidsstuk niet ingevuld. Zij worden bij de uitvoering van die concrete wettelijke taken meegenomen.
Hoofdstuk 2.
Artikel 2.3
Juridisch kader – basiseisen uit de AVG
Onderdeel van Privacybeleid Drechtsteden 2020