Bij de dienstverlening en bedrijfsvoering van gemeente kunnen persoonsgegevens worden verwerkt. De dienstverlening van gemeente is een integraal onderdeel van procesketens, zoals bijvoorbeeld op het gebied van de jeugdzorg, maatschappelijke ondersteuning, werk en inkomen, de registratie van personen, gebouwen en adressen en de uitgifte van persoonsdocumenten. De gemeente werkt als meest nabije overheids-laag bij de uitvoering van haar taken ook veelvuldig samen met andere overheidsorganisaties, semioverheidsorganisaties en bedrijven. Wanneer er persoonsgegevens worden verwerkt en uitgewisseld, dient er rekening te worden gehouden met de Algemene Verordening Gegevensbescherming (AVG).
Wanneer bij de verwerking van persoonsgegevens meerdere partijen betrokken zijn, is het maken van afspraken over de gegevensverwerkingen in de meeste gevallen verplicht. Deze afspraken kunnen bijvoorbeeld worden vastgelegd in zogenaamde verwerkersovereenkomsten of gegevensuitwisselingsovereenkomsten. Afhankelijk van de rollen van de partijen dient er gekeken te worden naar welk type overeenkomst er gesloten dient te worden.
Wanneer er sprake is van een verwerkingsverantwoordelijke/verwerkersrelatie dienen de afspraken vastgelegd te worden in een verwerkersovereenkomst. Hiervan is sprake in het geval een externe partij (verwerker) voor de andere partij (verwerkingsverantwoordelijke) persoonsgegevens gaat verwerken. Daar waar, gelet op de in de overeenkomst omschreven opdracht, een verwerkersovereenkomst noodzakelijk is, wordt gebruik gemaakt van de standaard verwerkersovereenkomst van de VNG. Beide partijen vullen de gevraagde gegevens in op deze overeenkomst en zorgen voor ondertekening. Indien de AVG, als bedoeld in het achtste lid, van toepassing is op de in de Overeenkomst omschreven opdracht, rust op zowel gemeente als Opdrachtnemer de verplichting hun organisatie zo in te richten dat voldaan is aan de eisen uit de AVG en de daarin benoemde medewerker(s) aanwezig zijn. Eventueel ingeschakelde derde(n) zijn evenzo onderhavig aan al hetgeen gesteld is in de AVG. Bij de aanschaf van nieuwe systemen wordt de mogelijkheid voor betrokkenen om hun rechten op grond van de AVG uit te oefenen als eis meegenomen. Een verwerkersovereenkomst dient te worden opgesteld, nageleefd, gemonitord en gewijzigd indien relevante veranderingen optreden.
Indien is vastgesteld dat een verwerkersovereenkomst noodzakelijk is m.b.t. de beoogde opdracht/overeenkomst, dan vormt deze een verplichte bijlage bij de af te sluiten overeenkomst. Het is verplicht om de meest recente versie van de IBD standaard verwerkersovereenkomst te gebruiken.
Naast de verwerkingsverantwoordelijke/verwerkersrelatie kan er ook sprake zijn van gezamenlijke verwerkingsverantwoordelijkheid of van twee zelfstandige verwerkingsverantwoordelijken.
Wanneer er sprake is van gezamenlijke verwerkingsverantwoordelijkheid hebben beide partijen een soortgelijke rol, waarbij de partijen samen het doel en de middelen voor de verwerking bepalen. In dat geval dienen de partijen een samenwerkingsconvenant te sluiten. Ook hier is het verplicht de meest recente versie van de IBD modelovereenkomst gezamenlijke verwerkingsverantwoordelijken te gebruiken.
Wanneer er sprake is van twee zelfstandig verwerkingsverantwoordelijken verwerkt een partij persoonsgegevens voor eigen doeleinden en deelt deze gegevens met de andere partij die vervolgens ook de persoonsgegevens voor eigen doeleinden verwerkt. In dat geval kunnen de afspraken vastgelegd worden in een gegevensuitwisselingsovereenkomst. Aanbeveling is de meest recente versie van de IBD standaard gegevensuitwisselingsovereenkomst te gebruiken.
Het is noodzakelijk om de privacy officer (PO) al in de voorbereidende fase van de inkoop/aanbesteding om advies te vragen over de benodigde overeenkomsten en het vervolg i.v.m. de borging van privacy in het implementatietraject.
Hoofdstuk 4.
Artikel 4.8
Privacywetgeving
Onderdeel van Inkoop-en aanbestedingsbeleid gemeente Doesburg