2.5.6 Privacy

Sinds 1 april 2020 is de functie Functionaris Gegevensbescherming (FG) ingevuld in samenwerking met de gemeenten Rucphen, Zundert, Steenbergen en Woensdrecht. Om voor 5 gemeenten voldoende capaciteit te hebben en tevens te voorzien in vervanging bij afwezigheid is de functie ingevuld voor 1 ½ Fte. Dit levert synergievoordelen op en bovendien kunnen opgedane kennis, ervaringen en methoden onderling uitgewisseld en gebruikt worden.

De FG heeft op basis van een Privacy Selfassessment (model van het Centrum voor Informatie­beveiliging en Privacy) een beeld geschetst van de mate waarin voldaan wordt aan de AVG. Volgens dit model scoort de gemeente Halderberge op een volwassenheidsniveau van 1,8. Hierbij betekent niveau 3 dat er in de basis voldaan wordt aan de AVG. Over het algemeen kan gesteld worden dat de gemeente op de goede weg is om aantoonbaar te voldoen aan de AVG. Het proces dat de gemeente en haar medewerkers hierbij doorlopen, en de voortgang, wijken niet noemenswaardig af van dat van andere vergelijkbare gemeenten.

Als gevolg van terugkerend overleg met de teammanagers is privacy een onderwerp in de teamplannen geworden. Vanuit de verschillende teams worden steeds meer privacy vragen gesteld. Hieruit blijkt dat privacy steeds meer in de organisatie is gaan leven.

Een belangrijk onderdeel van de doorlopende werkzaamheden is het actueel houden van het verwerkingenregister en het afsluiten van verwerkersovereenkomsten met externe partijen. Daarnaast is er in het bijzonder extra ingezet op het privacyproof implementeren van de Wet verplichte Geestelijke Gezondheidszorg en de Pilot Vroegsignalering Schuldhulpverlening.

Rechten van betrokkenen

De AVG heeft aan betrokkenen rechten toegekend die zij kunnen uitoefenen met als doel meer grip op hun persoonsgegevens te verkrijgen. Deze rechten zijn: Recht op informatie, recht op inzage, recht op rectificatie, recht op vergetelheid, Recht op dataportabiliteit en Recht van Bezwaar.

In 2020 is 11 keer een beroep gedaan op de rechten van betrokkenen.

• Er zijn 9 verzoeken om inzage ingediend. Hiervan zijn er 3 ingetrokken door de aanvrager, 3 toegekend en 3 geweigerd. De geweigerde verzoeken om inzage waren in 2 gevallen buitensporig en in 1 geval stond de identiteit van de aanvrager niet vast.
• Er is 1 verzoek om vergetelheid (wissen persoonsgegevens) ingediend. Hieraan is geen medewerking verleend, omdat de identiteit van de aanvrager niet vast stond.
• In 1 geval is een verzoek ingediend om persoonsgegevens openbaar te maken in het kader van de Wet Openbaarheid van bestuur. Hieraan is geen medewerking verleend, omdat niet gespecificeerd was op welke bestuurlijke aangelegenheid het verzoek betrekking had. Het besluit is in de bezwarenprocedure in stand gebleven.

Datalekken

In 2020 was er sprake van 17 meldingen van vermoedens van een datalek. In 12 gevallen was daadwerkelijk sprake van een datalek. We zijn pas verplicht te melden bij de Autoriteit Persoonsgegevens (AP) als er een risico voor de rechten en de vrijheden van betrokkenen is. Er zijn 3 datalekken gemeld bij de AP. De datalekken hadden betrekking op een onjuiste adressering van een email of het uploaden of verzenden van een verkeerde bijlage. Eén keer is er sprake geweest van het delen van persoonsgegevens, terwijl er geen sprake was van een doelbinding.

Pas als de impact op de privacy voor de betrokkene blijkens een risicoafweging hoog zou kunnen zijn, moet je betrokkene over het datalek informeren. In 3 gevallen was er sprake van een hoog risico en zijn betrokkenen geïnformeerd. Eén betrokkene is ondanks dat er geen sprake was van een hoog risico toch geïnformeerd. Het informeren was noodzakelijk om te kunnen achterhalen hoe het datalek is ontstaan.