Om privacy te kunnen borgen in de dagelijks praktijk zijn er verschillende richtlijnen geformuleerd. Deze richtlijnen borgen dat persoonsgegevens rechtmatig en gestructureerd verwerkt worden. De richtlijnen die voortvloeien uit de AVG worden in paragraaf 3.1. t/m 3.10 toegelicht.
**3.1..** Wet- en regelgeving naast de AVG
Naast de AVG bestaan er nog meer wetten die in acht genomen moeten worden bij het verwerken van persoonsgegevens. Dit zijn onder meer de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG), de Wet politiegegevens (Wpg) en de Wet basisregistratie personen (BRP). Daarnaast zijn er, afhankelijk van het proces, nog andere wetten van toepassing op een gegevensverwerking. Om te beoordelen of een verwerking rechtmatig is wordt er altijd gekeken of er naast de AVG nog andere wet- en regelgeving van toepassing is op de gegevensverwerking.
Verwerkingen op basis van de wet BRP (Basisregistratie Personen) kennen een eigen regime dat minimaal gelijk is aan of strenger is dan de AVG-regels. Dit heeft tot gevolg dat sommige rechten worden beperkt of uitgesloten. Daar waar de Wet BRP niets regelt gelden de bepalingen van de AVG en de UAVG.
**3.2..** Verwerking van bijzondere persoonsgegevens
In artikel 9 van de AVG worden de regels uiteengezet voor het verwerken van bijzondere persoonsgegevens. In beginsel is het verwerken van deze categorieën van persoonsgegevens verboden, maar het is toegestaan als de verwerking noodzakelijk is om te kunnen voldoen aan een wettelijke verplichting of in het geval van een zwaarwegend algemeen belang.
De gemeente Heumen verwerkt in principe alleen bijzondere persoonsgegevens als dit noodzakelijk is om aan wet- en regelgeving te kunnen voldoen.
**3.3..** Cameratoezicht
De gemeente Heumen heeft een gerechtvaardigd belang voor het inzetten van cameratoezicht. In en rondom het gemeentehuis zijn camera’s bevestigd. Dit beleid is van toepassing op de camera in het gemeentehuis zelf en de vier camera’s in de parkeergarage. De camerabeelden worden gebruikt voor het beveiligen van het gebouw, de bezittingen van de gemeente en de werknemers of bezoekers. Ook kan cameratoezicht worden ingezet voor het handhaven van openbare orde en veiligheid. In voorkomende situaties kunnen de beelden worden gedeeld met de politie.
**3.4..** Basisregistratie Personen
Iedere gemeente beheert persoonsgegevens die in de Basisregistratie Personen (BRP) staan. De BRP is een database waarin de basis gegevens van inwoners zijn opgenomen. Iedere gemeente verstrekt een kopie van deze gegevens aan de Rijksdienst voor Identiteitsgegevens (RvIG van het MINBZK). Het RvIG beheert deze landelijke database van persoonsgegevens en verstrekt hieruit gegevens aan (semi-) overheidsinstanties voor het uitvoeren van wettelijke taken. De gemeente verstrekt geen persoonsgegevens aan commerciële instellingen.
**3.5..** Rechten van betrokkenen
Betrokkenen hebben in het kader van transparantie het recht om helder geïnformeerd te worden over de rechten die zij hebben en de wijze waarop hun persoonsgegevens verwerkt en beheerd worden door de gemeente. Indien betrokkenen hun rechten willen uitoefenen, neemt de gemeente Heumen deze verzoeken in behandeling. Er is een procedure opgesteld en een werkproces ingericht om verzoeken gestructureerd te kunnen behandelen. Op de website van de gemeente wordt toegelicht welke rechten inwoners hebben als het gaat om privacy en op welke wijze zij deze rechten kunnen uitoefenen.
Hieronder wordt kort toegelicht wat de rechten van betrokkenen inhouden. Ten opzichte van deze rechten gelden een aantal algemene uitgangspunten die hieronder toegelicht worden.
Rechten van betrokkenen zoals in artikel 15 t/m 21 AVG:
Inzage
Een betrokkene heeft het recht om van de verwerkingsverantwoordelijke antwoord te krijgen op de vraag of er hem betreffende persoonsgegevens verwerkt worden en zo ja, inzicht te krijgen in welke gegevens dit zijn.
Rectificatie
Een betrokkene heeft het recht om zijn of haar persoonsgegevens te laten rectificeren. Dit houdt in dat fouten hersteld moeten worden.
Wissen van persoonsgegevens
Een betrokkene heeft het recht een verzoek te doen tot wissen van de persoonsgegevens die worden verwerkt door de gemeente.
Beperking
Een betrokkene heeft het recht om een verzoek te doen tot beperking van de verwerking. Dit houdt in dat de gemeente de gegevens nog wel mag bewaren, maar dat de gegevens niet meer verwerkt mogen worden.
Bezwaar
Een betrokkene heeft te allen tijde het recht om bezwaar te maken tegen de verwerking van hem of haar betreffende persoonsgegevens. Als dit bezwaar gegrond wordt verklaard, dan moet de gemeente de gegevensverwerking waar bezwaar tegen is gemaakt staken.
Recht op overdraagbaarheid van persoonsgegevens
Betrokkenen hebben het recht om persoonsgegevens over te laten dragen. Dit houdt in dat de betrokkene het recht heeft om de persoonsgegevens te ontvangen die de gemeente heeft. Zo kunnen gegevens bijvoorbeeld makkelijk rechtstreeks overgedragen worden aan een andere organisatie.
**3.6...** Meldplicht datalekken
De gemeente gaat zorgvuldig om met persoonsgegevens. Toch kan het voorkomen dat onbevoegde personen toegang krijgen tot persoonsgegevens of dat persoonsgegevens kwijtraken. In dat geval spreken we van een datalek. Datalekken die een mogelijk risico opleveren voor de rechten en vrijheden van betrokkenen moeten altijd binnen 72 uur bij de Autoriteit Persoonsgegevens worden gemeld. Bij een groot risico voor de betrokkenen moeten ook zij geïnformeerd worden.
De medewerker die een (mogelijk) datalek constateert, meldt dit zo snel mogelijk bij de FG. De FG schakelt met de CISO over de te nemen maatregelen en maakt de melding bij de Autoriteit Persoonsgegevens. Indien er een beveiligingsrisico geconstateerd wordt, dan wordt er melding gemaakt bij het team informatiebeveiliging en privacy zodat deze conform de geldende procedure voor het melden van beveiligingsincidenten en datalekken kan worden afgehandeld.
**3.7..** Data Protection Impact Assessment (DPIA)
Wanneer er sprake is van een verhoogd risico bij het gebruik van persoonsgegevens, worden de privacy risico’s in kaart gebracht door een DPIA (ook wel Data Protection Impact Assessment (DPIA) genoemd) uit te voeren. Door middel van een DPIA wordt het proces omtrent de verwerking van persoonsgegevens omschreven, wordt aangetoond in hoeverre de privacy van betrokkenen gewaarborgd is en worden de al dan niet te nemen maatregelen gemotiveerd. Voor het uitvoeren van een DPIA is eveneens een procedure opgesteld.
Een DPIA wordt bij voorkeur in een zo vroeg mogelijk stadium van het ontwerpproces uitgevoerd, zodat uitkomsten van de DPIA meegenomen kunnen worden in het ontwerp en invulling gegeven kan worden aan ‘privacy by design’. Een DPIA kan ook in een later stadium uitgevoerd worden, omdat processen zich verder ontwikkelen en privacyrisico’s in een later stadium beperkt kunnen worden.
Bij het uitvoeren van de DPIA wordt de FG advies gevraagd, Dat advies en wat met dat advies wordt gedaan, dient in de DPIA te worden gedocumenteerd. Met de uitkomsten van een DPIA wordt bepaald of de verwerking van persoonsgegevens zal aanvangen of dat er eventueel aanpassingen in het proces of systeem vereist zijn. Dit betekent dat gemotiveerd wordt welke keuzes worden gemaakt ten aanzien van de verwerking van persoonsgegevens.
Het is niet noodzakelijk om voor alle processen waarbij persoonsgegevens worden verwerkt een DPIA uit te voeren. Er zullen enkel DPIA’s worden uitgevoerd in geval van nieuwe verwerkingen van persoonsgegevens en verwerkingen waarbij sprake is van een grote verzameling van persoonsgegevens of een verzameling met bijzondere categorieën van persoonsgegevens. De checklist die de AP heeft opgesteld geldt hierbij als richtsnoer.
Pas nadat de DPIA is uitgevoerd en de maatregelen zijn getroffen die nodig zijn om de risico’s te beperken, verwerkt de gemeente de persoonsgegevens. Wanneer uit de DPIA blijkt dat de beoogde verwerking een hoog risico oplevert, maar het niet gelukt is om maatregelen te treffen, dan wordt de AP geraadpleegd. Dit wordt voorafgaande raadpleging genoemd. Bij een voorafgaande raadpleging geeft de AP advies met betrekking tot hoe de risico's van de voorgenomen verwerking beperkt kunnen worden. Als deze maatregelen uitgevoerd worden, mag de verwerking aanvangen. Het kan ook dat de AP adviseert om helemaal van de verwerking af te zien.
**3.8..** Register van verwerkingsactiviteiten
In het register van verwerkingsactiviteiten wordt bijgehouden welke verwerkingen van persoonsgegevens de gemeente uitvoert. De FG beheert het register centraal. De afdelingshoofden zijn verantwoordelijk voor het correct en tijdig bijhouden van het register.
**3.9..** Verwerkersovereenkomst
Wanneer de gemeente een dienst uitbesteedt, dan blijft de gemeente de verwerkingsverantwoordelijke en daarmee verantwoordelijk voor de gegevensverwerking. De partij waar de dienst aan wordt uitbesteed, wordt de verwerker genoemd. De gemeente als verwerkingsverantwoordelijke stelt in die situatie het doel en de middelen vast voor de verwerking van persoonsgegevens. De verwerker heeft geen zeggenschap over de wijze van verwerken, en werkt volgens de instructies en in opdracht van de gemeente. Een verwerker neemt tevens geen beslissingen over het gebruik van de gegevens, de verstrekking aan derden en andere ontvangers, de duur van de opslag van de gegevens etc. Indien er sprake is van bovenstaande situatie, is de gemeente verplicht een verwerkersovereenkomst af te sluiten. Dit is een overeenkomst waarin afspraken ten aanzien van de verwerking worden vastgelegd om daarmee de rechten van de inwoners te beschermen. Het afsluiten van een verwerkersovereenkomst is een verplichting voor zowel de verwerkingsverantwoordelijke als de verwerker.
**3.10..** Gebruik van toestemming
De verwerking van persoonsgegevens dient zoals in paragraaf 1.3. aangegeven, gebaseerd te zijn op een grondslag. Als de verwerking van gegevens niet op een van de grondslagen is gebaseerd, is de verwerking per definitie onrechtmatig. Gemeenten doen voor hun verwerkingen meestal een beroep op de grondslag van ‘algemeen belang’ of de grondslag ‘wettelijke verplichting’. Er zijn echter situaties denkbaar waarbij deze grondslagen niet van toepassing zijn, maar gegevens verwerken wel noodzakelijk is om de inwoner van dienst te kunnen zijn. In die situaties kunnen gegevens verwerkt worden indien de betrokkene hiervoor toestemming heeft gegeven. Er wordt alleen gebruik gemaakt van de grondslag ‘toestemming’ als er geen andere mogelijkheid is. In enkele gevallen zal het verwerken op basis van toestemming onoverkomelijk zijn. Wanneer dit zo is, wordt op een duidelijke en begrijpelijke wijze uitgelegd waar het toestemmingsverzoek over gaat. Ook deze gegevens worden alleen voor dat doel gebruikt waarvoor ze oorspronkelijk bedoeld waren. Indien het toch nodig blijkt dat de gegevens ook voor andere doeleinden gebruikt worden, dient de betrokkene daarover geïnformeerd te worden en dient hiervoor opnieuw toestemming gevraagd te worden. De betrokkene is te allen tijde vrij om de toestemming te geven of te weigeren. Indien de betrokkene toestemming geeft, mag deze op ieder moment weer ingetrokken worden.
We gebruiken noodzakelijke cookies voor je account en beveiliging. Voor anonieme gebruiksstatistieken (Google Analytics) vragen we je toestemming. Meer over cookies