Het uitgangspunt is dat persoonsgegevens zoveel mogelijk bij de betrokkene zelf worden verzameld. De wet gaat uit van subsidiariteit. Dit betekent dat verwerking alleen is toegestaan wanneer het doel niet op een andere manier kan worden bereikt. In de wet wordt ook gesproken over proportionaliteit. Dit betekent dat persoonsgegevens alleen worden verwerkt als dit in verhouding staat tot het doel. Wanneer met geen, of minder (belastende), persoonsgegevens hetzelfde doel bereikt kan worden moet daar altijd voor gekozen worden.
Persoonsgegevens moeten juist, ter zake dienend, up-to-date en niet bovenmatig veel zijn in het licht van het doel. Dit betekent dat alleen die persoonsgegevens mogen worden gebruikt die strikt noodzakelijk zijn voor het doel van de verwerking. Wanneer het bijvoorbeeld voldoende is om iemands contactgegevens te gebruiken is het niet nodig om ook een pasfoto en BSN te vragen. Voor het gebruik van het BSN gelden strenge regels. Wanneer ook met anonieme gegevens volstaan kan worden, mogen geen herleidbare persoonsgegevens gebruikt worden.
10.1 Organisatorische maatregelen
De gemeente zorgt ervoor dat de persoonsgegevens kloppen en volledig zijn voordat ze verwerkt worden. Deze gegevens worden alleen verwerkt door medewerkers met een geheimhoudingsplicht. Ook is het van belang dat de medewerkers weten wat hun verantwoordelijkheid is. En hoe ze zorgvuldig om moeten gaan met persoonsgegevens. Het is dus belangrijk dat de medewerkers van de gemeente zich bewust zijn van de regels en gedragsnormen rondom privacy. Deze organisatorische maatregelen dragen ook bij aan de bewustwording binnen de gemeente. Denk hierbij aan het ontwikkelen van specifieke privacy protocollen en afwegingskaders. Maar ook in de vorm van het ondersteunen van de medewerkers door privacy trainingen en kennissessies. Medewerkers moeten persoonsgegevens verwerken zoals is bepaald in het algemeen privacybeleid, dit algemeen privacyreglement en de bijbehorende privacyregelingen.
10.2 Beveiligingsmaatregelen
Door het beveiligen van persoonsgegeven moet de gemeente voorkomen dat de persoonsgegevens kunnen worden ingezien of gewijzigd door iemand die daar geen recht toe heeft. Als uitgangspunt geldt dat naarmate de risico’s van de verwerking hoger liggen er betere beveiligingsmaatregelen moeten worden getroffen. De gemeente heeft hiervoor een specifiek beleid opgesteld in de vorm van het Informatiebeveiligingsbeleid. Het is aan de gemeente om te bepalen hoe de persoonsgegevens organisatorisch en technisch worden beveiligd. Hoe de gemeente dit doet staat in het informatiebeveiligingsbeleid en in een eventueel aanvullend beveiligingsplan specifiek opgesteld voor een proces of registratie.
In ieder geval wordt de toegang en het gebruik van de systemen ten behoeve van de BRP en Suwinet gelogd. Middels steekproeven wordt gecontroleerd of het gebruik van de systemen en de verwerking van persoonsgegevens in lijn is met de wet- en regelgeving, het privacybeleid en dit algemeen privacyreglement. Ook voor overige systemen wordt gebruik gemaakt van logging. Als daar aanleiding toe is zal ook hier worden gecontroleerd of de systemen correct worden gebruikt.
10.3 Toegang tot persoonsgegevens
Uitsluitend de beheerder en de op grond van het autorisatieprotocol aangewezen gebruikers hebben rechtstreekse toegang tot persoonsgegevens. Wel voor zover dat voor de vervulling van hun functie of taak noodzakelijk is. Zij handelen in opdracht van de verwerkingsverantwoordelijke. Bij toekenning van autorisaties aan gebruikers wordt het geldende autorisatieprotocol gevolgd. Hierin is voor iedere applicatie, functie en rol vastgelegd welke autorisaties daaraan verbonden zijn.
10.4 Geheimhoudingsplicht
Voor ambtelijk medewerkers geldt dat zij in hun functie gehouden zijn tot geheimhouding van persoonsgegevens. Zij ondertekenen bij indienstneming een integriteitsverklaring. De personen voor wie niet al vanuit het ambt, het beroep of wettelijk voorschrift een geheimhoudingsplicht geldt zijn verplicht tot geheimhouding van de persoonsgegevens. Tenzij dit volgens een wettelijk voorschrift verplicht is om mededeling te doen aan derden. Zij ondertekenen een geheimhoudingsverklaring en committeren zich aan de gedragscode ‘kleur bekennen’. Er wordt alleen autorisatie toegekend aan personen voor wie een verklaring omtrent gedrag is verkregen. Doorbreking van deze geheimhoudingsplicht is enkel mogelijk wanneer de betrokkene hiervoor uitdrukkelijke en schriftelijk vastgelegde toestemming heeft verleend of via een wettelijk voorschrift.
10.5 Voorafgaande raadpleging
De Autoriteit Persoonsgegevens (AP) wordt geraadpleegd als uit een Data Protection Impact Assessment (DPIA) blijkt dat na het nemen van maatregelen de verwerking van persoonsgegevens een hoog risico zal opleveren. De gegevensverwerking mag nog niet starten totdat het onderzoek door de AP is afgerond of bericht is ontvangen dat er geen verder onderzoek wordt ingesteld. Een voorafgaande raadpleging is in ieder geval verplicht, als:
Een BSN wordt verwerkt voor een ander doel dan waarvoor het BSN specifiek is bedoeld of;
Een onderzoek plaatsvindt naar bijvoorbeeld een inwoner zonder dat deze inwoner wordt ingelicht (denk aan internetonderzoek of verborgen camera’s); of
Kennis over onrechtmatig of strafrechtelijk gedrag van een inwoner wordt gedeeld
We gebruiken noodzakelijke cookies voor je account en beveiliging. Voor anonieme gebruiksstatistieken (Google Analytics) vragen we je toestemming. Meer over cookies