Skip to main content

Voldoe je als gemeente aan de AVG?


We zijn inmiddels bijna vier jaar verder nadat de Algemene Verordening Gegevensbescherming (AVG) van kracht is gegaan. Veel gemeenten hebben zich de afgelopen jaren met de AVG beziggehouden om ervoor te zorgen dat zij AVG-proof zijn. Met de AVG ben je alleen nooit ‘klaar’. Privacy is namelijk een continu proces. Maar hoe weet je of je als gemeente voldoet aan de AVG?

Het voldoen aan de AVG is geen eenmalig project maar een continu proces dat altijd onderdeel is van de bedrijfsvoering. Als gemeente verzamel en gebruik je grote hoeveelheden (gevoelige) persoonsgegevens. Deze gegevens heb je nodig om je taken uit te voeren. Met name binnen het Sociaal Domein worden veel gegevens, waaronder bijzondere gegevens zoals medische en strafrechtelijke gegevens, verwerkt. Denk o.a. aan de taken op het gebied van de Jeugdwet, de Wet maatschappelijke ondersteuning (Wmo 2015) of de Participatiewet. Dit brengt privacyrisico’s met zich mee. Daarbij komt dat burgers verplicht zijn om hun persoonsgegevens aan de gemeente af te staan. Daarom moet iedereen erop kunnen vertrouwen dat zijn of haar gemeente zorgvuldig met gegevens omgaat. Zo mag je als gemeente nooit meer gegevens gebruiken dan noodzakelijk. En mag je de verzamelde persoonsgegevens niet zomaar voor een ander doel gebruiken. Ook moet je de verzamelde persoonsgegevens goed beveiligen. Dit was overigens ook al zo voor de komst van de AVG. Wel hebben organisaties, waaronder gemeenten, met de AVG een aantal nieuwe verplichtingen erbij gekregen die ik in deze blog weer eens op een rij zet, zodat je kunt checken of jouw gemeente voldoet aan de AVG:

Verplichtingen AVG
Sinds de AVG zijn er de volgende nieuwe verplichtingen:

  1. Functionaris Gegevensbescherming (FG)
    De AVG verplicht gemeenten om een Functionaris Gegevensbescherming (FG) aan te stellen als zij verwerker of verwerkingsverantwoordelijke zijn. De FG is de interne toezichthouder en heeft een aantal kerntaken. Welke taken dit zijn lees je in mijn eerdere blog ‘Functionaris Gegevensbescherming versus Privacy Officer – wie doet wat?’.
  2. Data Protection Impact Assessment (DPIA)
    Wil je gegevens gaan verwerken, maar levert dit een hoog privacyrisico op? Dan moet je eerst een Data Protection Impact Assessment (DPIA) doen. Door het uitvoeren van een DPIA wordt de bescherming van persoonsgegevens gewaarborgd bij de belangenafweging en besluitvorming van (nieuw) beleid, regelgeving en/of (ICT-)projecten. Dit verhoogt de kwaliteit van de besluitvorming.
  3. Verantwoordingsplicht
    Als verwerker van persoonsgegevens heb je een verantwoordingsplicht. Dit houdt in dat je moet kunnen aantonen dat verwerkingen aan de AVG voldoen. In de AVG staat een aantal verplichte maatregelen die je moet nemen om te voldoen aan je verantwoordingsplicht, te weten:
    • Het opstellen van een verwerkingsregister
      Sinds de komst van de AVG moeten gemeenten alle processen waarin persoonsgegevens worden verwerkt vastleggen én bijhouden in een zogenoemd verwerkingsregister. Hoe je een verwerkingsregister opstelt kun je lezen in mijn eerdere blog ‘Een verwerkingsregister invullen, hoe pak je dat aan?’. Vervolgens is het ook belangrijk dat je ervoor zorgt dat het bijhouden van het verwerkingsregister op een juiste en consistente wijze gebeurt.
    • Het opstellen van een privacybeleid
      Het privacybeleid geeft de kaders weer waarbinnen de gemeente zich kan bewegen als het gaat om privacy. In dit beleid wordt o.a. formeel de privacyorganisatie beschreven qua taken en verantwoordelijkheden en wat de gemeente beoogt met de implementatie van de AVG. Dit beleid vormt de basis voor verdere procedures en afspraken binnen de gemeenten. De Vereniging van Nederlandse Gemeenten (VNG) heeft een standaard template voor een algemeen privacybeleid opgesteld die je als gemeente kunt gebruiken. Echter, is het aan te raden het beleid toe te schrijven naar je eigen organisatie, zodat het ook daadwerkelijk een eigen beleid van de gemeente is. Ook hier is het weer van belang dat het management achter dit beleid staat en zichzelf en de gemeente hierin herkent.
  4. Rechtmatige gegevensverwerking
    Wanneer je als organisatie persoonsgegevens verwerkt, eist de AVG dat je eerst moet nagaan of de verwerking rechtmatig is. Is dit niet het geval? Dan mogen er geen persoonsgegevens worden verwerkt. Maar de vraag of een gegevensverwerking rechtmatig is, is niet altijd in één zin te beantwoorden. Dat hangt namelijk af van een aantal factoren. Welke factoren dit zijn, lichten we aan de hand van een aantal vragen toe in de blog ‘Is jouw gegevensverwerking rechtmatig?’
  5. Rechten van betrokkenen toepassen
    Verder moet je als gemeenten burgers goed informeren over wat je als gemeente met hun gegevens doet. En burgers de mogelijkheid geven hun privacyrechten uit te oefenen. Sinds de komst van de AVG hebben burgers namelijk meer middelen in handen gekregen om daar zelf controle over uit te voeren.

Digitale innovaties

De wereldwijde digitalisering gaat razendsnel. We zoeken steeds vaker naar datagedreven oplossingen voor o.a. mobiliteit, energie, veiligheid en huisvesting. Bijvoorbeeld wifitracking om de drukte in de stad te meten of het gebruik van gezichtsherkenning voor beveiligings- en wetshandhavingsdoeleinden in de openbare ruimte. De mogelijkheden van deze oplossingen zijn enorm, maar de bijhorende risico’s ook. Zulke oplossingen hebben namelijk grote invloed op de privacy van bewoners. Het is daarom erg belangrijk dat je er als gemeente voor zorgt dat de privacy voldoende wordt gewaarborgd bij dergelijke ontwikkelingen. Bijvoorbeeld door het toepassen van Privacy-by-Design. Tevens is het van belang dat voor al deze nieuwe ontwikkelingen een heldere DPIA wordt uitgevoerd om de risico’s in kaart te brengen en welke maatregelen hierop genomen kunnen worden om dit risico te minimaliseren.

Laat een nulmeting uitvoeren door IB&P!

Wil je graag weten of jouw gemeente voldoet aan de basisinrichting van de AVG? Dan kun je door IB&P een nulmeting laten uitvoeren. Als resultaat van deze nulmeting heb je een stappenplan in handen waar de Privacy Officers en proceseigenaren (teamleiders) weer mee verder kunnen.

Meer informatie?
Heb je na het lezen van deze blog vragen of hulp nodig bij het uitvoeren van een DPIA, opstellen van een privacybeleid of het inrichten van een verwerkingsregister? Laat ons dit dan weten en neem contact met ons op.  

Erna Havinga
Laatste berichten van Erna Havinga (alles zien)

Lees ons boek

Gemeenten. Bewustzijn. Privacy.

Het handboek voor informatiebewustzijn bij de lokale overheid.

Training

Informatiebeveiliging en Privacy voor I-adviseurs en projectleiders

Schrijf je in voor de cursus op 7 en 14 november 2023 op ons kantoor in Zwolle, of neem contact op om een in-house cursus in te plannen!

Meer blogs lezen

BCM-routekaart voor gemeenten

Met een goed geïmplementeerd BCM-systeem ben je als organisatie beter voorbereid, waardoor je sneller en effectiever kunt reageren op verstoringen.

Inzicht in je risico’s: onmisbaar voor elke gemeente

In de digitale wereld is het beschermen van informatie en het beheren van risico’s cruciaal, ook voor gemeenten. Waarom dit belangrijk is en hoe je dit aanpakt, lees je in deze blog.

Rapportage Datalekken AP 2023

Te veel organisaties in Nederland die worden getroffen door een cyberaanval, waarschuwen betrokkenen niet dat hun gegevens in verkeerde handen zijn gevallen’. Dit blijkt uit het jaarlijkse overzicht van datalekmeldingen in Nederland van de Autorit…

Wat is de rol van de Privacy Officer bij BCM?

Het is belangrijk dat de dienstverlening van de gemeente altijd doorgaat, ook in het geval van een incident of calamiteit. Dit noemen we bedrijfscontinuïteit. Nu is de vraag: wat is de rol van de Privacy Officer hierbij? Is dat alleen om de wet na…

De rol van de proceseigenaar bij BCM

Net zoals elke organisatie, kan een gemeente te maken krijgen met incidenten die de continuïteit van de dienstverlening in gevaar kunnen brengen. BCM is daarom een term die je steeds vaker hoort binnen gemeenten. Vooral proceseigenaren spelen hier…

Hoe kunnen functioneel beheerders en Privacy Officers elkaar ondersteunen?

De implementatie van de AVG of Wpg is niet uitsluitend de verantwoordelijkheid van de Privacy Officer. Het is een samenspel van diverse medewerkers uit verschillende vakgebieden, waaronder de functioneel beheerder. Hoe kunnen functioneel beheerder…