Privacybeleid 2024 Gemeente Almelo (Almelo)

Privacybeleid 2024 Gemeente Almelo1Inleiding 1.1Achtergrond Gemeente Almelo hecht grote waarde aan een beheerste en integere omgang met persoonsgegevens, waarbij het belang van haar inwoners en medewerkers centraal staat. Binnen de gemeente worden veel verschillende en soms complexe diensten verleend of uitgevoerd waarbij dagelijks op grote schaal persoonsgegevens worden verwerkt. Gegevens worden bijvoorbeeld ingezien, verzonden naar anderen, aangepast, opgeslagen of verwijderd. Om de privacy van alle hierbij betrokken personen te kunnen beschermen is het noodzakelijk dat de verwerking van persoonsgegevens zorgvuldig en in overeenstemming met de relevante wet- en regelgeving gebeurt. Ten dienste daarvan is privacybeleid (hierna: Beleid) opgesteld, dat bijdraagt aan een adequate bescherming en verantwoorde omgang met persoonsgegevens en het verantwoorden daarvan. 1.2Reikwijdte Dit Beleid is van toepassing op: - Alle gestructureerde persoonsgegevens die gemeente Almelo verwerkt of laat verwerken, zowel fysiek als digitaal, zowel intern als extern; - Alle taken en processen waarin persoonsgegevens worden verwerkt waar gemeente Almelo verantwoordelijk voor is; - Alle personen en/of organisaties (zowel intern als extern) die persoonsgegevens gemeente Almelo verwerken; - Alle organisatorische, procedurele en technische maatregelen ter bescherming van persoonsgegevens. 1.3Werking van dit document • De uitgangspunten rondom de verwerking van persoonsgegevens zijn gebaseerd op de Algemene Verordening Gegevensbescherming (hierna: AVG) en de Wet politiegegevens (hierna: Wpg). Wanneer er wordt gesproken over gegevens, betreffen dit zowel politiegegevens als overige persoonsgegevens, tenzij anders aangegeven. Vanzelfsprekend voldoet gemeente Almelo aan eventuele aanvullende eisen die worden opgelegd vanuit wetgeving of die gemeente Almelo contractueel heeft afgesproken met derden. • Gemeente Almelo hanteert met betrekking tot deze uitgangspunten het principe “pas toe of leg uit”. Afwijkingen van de uitgangspunten dienen voorgelegd te worden aan het college. • De uitgangspunten in dit Beleid zijn richtinggevend (parapluregels) en geen vervanging voor het inrichten en implementeren van meer gedetailleerde en specifiek beheersmaatregelen op basis van gerichte risico-overwegingen per proces, systeem of applicatie. • De kosten van beheersmaatregelen moeten passen bij de risico’s die de gemeente Almelo loopt. Hierbij geniet een technische oplossing altijd de voorkeur boven gedragsvoorschriften. • Het college van Burgemeester en Wethouders (hierna: het college) en de directie bevorderen de communicatie en bewustwording rondom privacy zodat zowel interne als externe gebruikers hun verantwoordelijkheden rondom gegevensbescherming begrijpen en nakomen. 1.4Gerelateerde documenten Dit Beleid hangt samen met de laatst vastgestelde versies van volgende documenten: • Strategisch (INT-77330) en tactisch (INT-87858) informatiebeveiligingsbeleid • Beleid Wet politiegegevens (INT-90612) 2Beleidsuitgangspunten 2.1Algemeen • Gegevens worden alleen verwerkt met een wettelijke grondslag. • Alle verwerkingen van gegevens zijn opgenomen in een verwerkingsregister. • Alle medewerkers, zowel intern als extern, hebben een schriftelijk vastgelegde geheimhoudingsplicht. • Gegevens zijn beschermd tegen onbevoegden. • Gegevens worden enkel verwerkt indien dit noodzakelijk en rechtmatig is en zolang de verwerking plaatsvindt in lijn met het doel. • Gegevens worden niet langer bewaard dan wettelijk vastgelegd of noodzakelijk. • Gegevens worden gedeeld met medewerkers of derden die dit nodig hebben. 2.2Governance • Voor het waarborgen van gegevensbescherming is een managementcyclus opgesteld. • Kwetsbaarheden, bedreigingen en incidenten worden gemeld en gerapporteerd. • Vereiste verwerkersovereenkomsten worden afgesloten en beheerd. • Op dienstverleners die namens gemeente Almelo gegevens verwerken wordt toegezien. • Ontwikkelingen in privacywet- en regelgeving zijn inzichtelijk. • Op verwerkingen van persoonsgegevens wordt toegezien op het gebied van relevante wettelijke uitgangspunten. 2.3Organisatie • Een Functionaris Gegevensbescherming is aangesteld. • Taken en verantwoordelijkheden rondom gegevensbescherming zijn belegd. • Toegang tot informatie wordt beperkt tot noodzakelijke informatie. 2.4Processen • Een proces is ingericht voor de juiste afhandeling van datalekken. • Een proces is ingericht voor de juiste afhandeling van rechtenverzoeken. • Systemen en processen zijn zodanig ingericht dat ze niet meer gegevens verwerken dan noodzakelijk voor het doel. • Mogelijk hoge risico’s m.b.t. de bescherming van gegevens worden geïdentificeerd, beoordeeld en aantoonbaar gemitigeerd. • Binnen een week wordt het doel van de verwerking van de politiegegevens vastgelegd ten behoeve van het onderzoek. 2.5Communicatie & bewustzijn • Websites en andere kanalen voor externe bezoekers hebben een privacyverklaring. • Communicatie over privacy is begrijpelijk, transparant en relevant. • Medewerkers worden getraind op de omgang met gegevens. 2.1Algemeen Omschrijving Gegevens worden alleen verwerkt met een wettelijke grondslag Reden Alle verwerkingen van gegevens zonder grondslag zijn onrechtmatig Toelichting Indien wij gegevens verwerken in de rol van Verwerker, dient de Verwerkingsverantwoordelijke een wettelijke grondslag te hebben Omschrijving Alle verwerkingen van gegevens zijn opgenomen in een verwerkingsregister Reden Wettelijk vereiste Toelichting Dit uitgangspunt betekent dat er een verwerkingsregister is opgesteld en up-to-date wordt gehouden. Omschrijving Alle medewerkers, zowel intern als extern, hebben een schriftelijk vastgelegde geheimhoudingsplicht Reden De aard van de gegevens en het belang van privacy voor de inwoners veronderstelt een hoge mate van integriteit Toelichting Omschrijving Gegevens zijn beschermd tegen onbevoegden Reden Om de privacy van de betrokkenen te waarborgen en de risico’s voor de gemeente Almelo in geval van verlies, diefstal en ongewenste wijzigingen te mitigeren, is bescherming noodzakelijk Toelichting De eisen rondom de beveiliging van gegevens zijn nader uitgewerkt in het informatiebeveiligingsbeleid en onderliggende of aanverwante stukken Omschrijving Gegevens worden enkel verwerkt indien dit noodzakelijk en rechtmatig is en zolang de verwerking plaatsvindt in lijn met het doel Reden Wettelijk vereiste Toelichting - Omschrijving Gegevens worden niet langer bewaard dan wettelijk vastgelegd of noodzakelijk Reden Wettelijk vereiste Toelichting Politiegegevens hebben specifieke, bij wet vastgelegde bewaartermijnen. Overige persoonsgegevens mogen bij wet niet langer dan noodzakelijk worden bewaard Omschrijving Gegevens worden gedeeld met medewerkers of derden die dit nodig hebben Reden Noodzakelijk voor een juiste uitvoering van werkzaamheden Toelichting Gegevens worden gedeeld met medewerkers die deze gegevens nodig hebben voor hun werkzaamheden (need to know principe). Ook mogen politiegegevens worden gedeeld met instanties die binnen de Wpg vallen (free flow principe). 2.2Governance Omschrijving Voor het waarborgen van gegevensbescherming is een managementcyclus ingericht Reden Gegevensbescherming is een on-going proces dat geborgd dient te zijn in een PDCA-cyclus Toelichting Voor dit uitgangspunt moeten de volgende zaken zijn ingericht: PDCA-cyclus van dit Beleid en overige privacygerelateerde documenten (zoals privacyverklaring, procedures) over een periode van 4 jaar Periodiek rapportage over alle hoge risico’s op het gebied van gegevensbescherming aan de directie Omschrijving Kwetsbaarheden, bedreigingen en incidenten worden gemeld en gerapporteerd Reden Kwetsbaarheden, bedreigingen en incidenten moeten zo snel mogelijk opgelost op gemitigeerd worden, en naar de toekomst worden voorkomen Toelichting Voor dit uitgangspunt moeten de volgende zaken zijn ingericht: Registratieproces en-systeem voor datalekken en overige bijzonderheden Periodieke rapportage aan de directie over kwetsbaarheden, incidenten en bedreigingen Gedetailleerde terugkoppeling aan leiding over ontstaan en opvolging van belangrijke incidenten Omschrijving Vereiste verwerkersovereenkomsten worden afgesloten Reden Afspraken over de verwerking van gegevens moeten vastgelegd worden waarbij de zeggenschap over de gegevens bij de Verwerkingsverantwoordelijke blijft liggen Toelichting - Omschrijving Op dienstverleners die namens gemeente Almelo gegevens verwerken wordt toegezien Reden Goed opdrachtgeverschap Risicobeheerder binnen uitbestede en ingehuurde diensten Toelichting Voor dit uitgangspunt moet zijn ingericht: Proces audit/beoordeling dienstverleners Omschrijving Ontwikkelingen in privacywet- en regelgeving zijn inzichtelijk Reden Voorkomen non-compliance Voorbereiden op opkomende risico’s Toelichting Zowel de AVG als de Wpg zijn relatief nieuwe wetten met een aantal open normen. Jurisprudentie en bijvoorbeeld standpunten van toezichthouders moeten uit gaan wijzen hoe eventuele onduidelijkheden in de wet nader geïnterpreteerd moeten worden Omschrijving Op verwerkingen van persoonsgegevens wordt toegezien op het gebied van relevante wettelijke uitgangspunten Reden Wettelijke vereiste Toelichting Audit vindt plaats door externe- en interne privacy audits. De audit ziet op wettelijke verplichtingen van de AVG en de Wpg. 2.3Organisatie Omschrijving Een Functionaris Gegevensbescherming is aangesteld Reden Wettelijk vereiste Toelichting De Functionaris Gegevensbescherming (FG) houdt toezicht op en adviseert over de naleving van zowel de AVG als de Wpg binnen gemeente Almelo Omschrijving Taken en verantwoordelijkheden rondom gegevensbescherming zijn belegd Reden Aanbrengen van organisatorische rol- en functiescheiding Aanwezig hebben van noodzakelijke specialismen rondom risicomanagement, gegevensbescherming en informatiebeveiliging Wettelijk vereiste Toelichting De volgende rollen zijn minimaal vereist: FG; Bevoegd functionaris i.h.k.v. de Wpg Privacy Officer (C)ISO; Risicomanager(s) Omschrijving Toegang tot informatie wordt beperkt tot noodzakelijke informatie Reden Voorkomen van ongewenste functievermenging Voorkomen van ongeoorloofde toegang tot systemen en gegevens Toelichting De eisen rondom logische toegang en autorisatie zijn uitgewerkt in aanvullende documentatie. 2.4Processen Omschrijving Een proces is ingericht voor de juiste afhandeling van datalekken Reden Processen geven richting aan een beheerste bedrijfsvoering en zijn noodzakelijk bij de beheersing van de risico’s op het gebied van gegevensbescherming. Schendingen van wetgeving en contractuele verplichtingen worden voorkomen. Toelichting De Verwerkingsverantwoordelijke moet datalekken binnen 72 uur bij de externe toezichthouder melden. Een snelle en juiste afhandeling is daarom noodzakelijk. Omschrijving Een proces is ingericht voor de juiste afhandeling van rechtenverzoeken Reden Processen geven richting aan een beheerste bedrijfsvoering en zijn noodzakelijk bij de beheersing van de risico’s op het gebied van gegevensbescherming. Schending van wetgeving wordt voorkomen. Toelichting Rechten van betrokkenen zijn wettelijk vastgelegd. Een tijdige en juiste afhandeling is daarom van belang. Omschrijving Systemen en processen zijn zodanig ingericht dat ze niet meer gegevens verwerken dan noodzakelijk Reden Wettelijk vereiste Toelichting Al direct bij systeem- en procesontwerp en vormen van redesign moet aantoonbaar rekening worden gehouden met optimale bescherming van persoonsgegevens (privacy by design). Omschrijving Mogelijk hoge risico’s m.b.t. gegevensbescherming worden geïdentificeerd, beoordeeld en aantoonbaar gemitigeerd Reden Wettelijk vereiste Toelichting Risico’s moeten in kaart worden gebracht (bijvoorbeeld middels DPIA’s/GEB’s. Hoge risico’s moeten worden gemitigeerd. Omschrijving Binnen een week wordt het doel van de verwerking van de politiegegevens vastgelegd ten behoeve van het onderzoek Reden Wettelijk vereiste Toelichting 2.5Communicatie en bewustzijn Omschrijving Websites en andere kanalen voor externe bezoekers hebben een privacyverklaring Reden Voldoen aan wettelijke informatieplicht Toelichting Websites zijn vaak het eerste en zichtbaarste communicatiekanaal met externen. Hier moet dan ook direct aan de informatieplicht worden voldaan. Omschrijving Communicatie over privacy is begrijpelijk, transparant en relevant Reden Voldoen aan wettelijke informatieplicht Toelichting Dit uitgangspunt impliceert dat er verschillende inhoud en wordt gebruikt bij verschillende kanalen, afgestemd op de doelgroep (inwoners, leveranciers, medewerkers, sollicitanten, etc.). Omschrijving Medewerkers worden getraind op de omgang met gegevens Reden Verkleinen van het kans op incidenten Toelichting Bij het waarborgen van privacy en het beschermen van gegevens, is de grootste afhankelijkheid het menselijk handelen. Een groot bewustzijn bij medewerkers over hoe om te gaan met persoonsgegevens is daarom van essentieel belang. Binnen bepaalde domeinen moet er specifieke aandacht worden besteed aan de Wpg. Slotbepalingen 1. Deze nota treedt in werking na vaststelling door het college. 2. Het Privacybeleid 2018-2021 komt met de vaststelling van deze nota te vervallen. Versie: Privacybeleid 2024 Gemeente Almelo v1.0 Toezichthouder: Functionaris Gegevensbescherming 1. Inhoud 1 Inleiding 3 1.1 Achtergrond 3 1.2 Reikwijdte 3 1.3 Werking van dit document 3 1.4 Gerelateerde documenten 4 2 Beleidsuitgangspunten 5 2.1 Algemeen 6 2.2 Governance 7 2.3 Organisatie 9 2.4 Processen 10 2.5 Communicatie en bewustzijn 11 Slotbepalingen 11