Dit is het privacybeleid van Welzijn Rijswijk. Dit privacybeleid heeft betrekking op het verwerken van persoonsgegevens in het kader van zowel de maatschappelijke dienstverlening van Welzijn Rijswijk als de (interne) bedrijfsvoering van Welzijn Rijswijk. Welzijn Rijswijk is verwerkingsverantwoordelijke. Welzijn Rijswijk bepaalt het doel en de middelen voor de verwerking van persoonsgegevens. Dit document beschrijft de wijze waarop Welzijn Rijswijk als verwerkingsverantwoordelijke met persoonsgegevens omgaat, zodat aan de vereisten van de Algemene Verordening Gegevensbescherming (‘AVG’) wordt voldaan.

Aan bod komen de volgende onderwerpen:
a. Actualisatie en controle naleving privacybeleid;
b. Categorieën betrokkenen en persoonsgegevens, doeleinden, grondslagen en
bewaartermijnen;
c. Organisatorische en technische maatregelen / beveiliging;
d. Informatieplicht;
e. Verwerkingsregister;
f. Verwerkers en ontvangers;
g. Bewaartermijnen;
h. Gegevensbeschermingseffectbeoordeling (DPIA);
i. Doorgifte buiten de EU;
j. Geen functionaris voor de gegevensbescherming;
k. Beveiligingsincidenten;
l. Handleiding rechten van betrokkenen onder de privacywetgeving

A. Actualisatie en controle naleving privacybeleid
De verwerking van persoonsgegevens binnen Welzijn Rijswijk dient in overeenstemming te blijven met de AVG, de Uitvoeringswet AVG en met elke verordening en wet- en regelgeving die de AVG aanvult, wijzigt of vervangt. Om die reden zal het privacybeleid periodiek worden geëvalueerd en zo nodig worden aangepast. Eveneens zal periodiek worden gecontroleerd of het privacybeleid door medewerkers, vrijwilligers en verwerkers van Welzijn Rijswijk daadwerkelijk wordt nageleefd.

B. Categorieën betrokkenen en persoonsgegevens, doeleneinden, grondslagen en bewaartermijnen
In het verwerkingsregister staat per dienst/activiteit/verwerking van Welzijn Rijswijk opgenomen wie de categorieën betrokkenen zijn, welke persoonsgegevens worden verwerkt, wat de doeleinden daarvan zijn, van wie de persoonsgegevens worden verkregen, op welke grondslag de persoonsgegevens worden verwerkt, aan wie de persoonsgegevens worden verstrekt en hoe lang de persoonsgegevens worden bewaard. Het verwerkingsregister staat op de I-schijf
van Welzijn Rijswijk.

C. Organisatorische en technische maatregelen / beveiliging
Uitgangspunt voor Welzijn Rijswijk is dat niet meer persoonsgegevens worden verwerkt dan noodzakelijk is om het doel te bereiken waarvoor ze zijn verzameld, zowel intern als bij inschakeling van derde partijen. Voor beide gevallen heeft Welzijn Rijswijk passende technische en organisatorische maatregelen getroffen om persoonsgegevens te beschermen tegen verlies of onrechtmatige verwerking.

Technische maatregelen
Welzijn Rijswijk heeft de navolgende technische maatregelen genomen:

• het gebouw wordt beveiligd door een alarmsysteem;
• het versturen van beveiligde mails via attachingIT;
• logging;
• firewalls;
• virusscanners;
• software tegen malware-aanvallen;
• het periodiek maken van back-ups;
• medewerkers/vrijwilligers gebruiken passende, veilige wachtwoorden voor aanmelding in
  systemen of databeses met persoonsgegevens. Wachtwoorden worden regelmatig
  gewijzigd.
• In sommige gevallen twee factor authenticatie via attachingIT;

Organisatorische maatregelen
Welzijn Rijswijk heeft de navolgende organisatorische maatregelen genomen:

• medewerkers hebben op grond van een autorisatiesystematiek geen toegang tot meer data dan strikt noodzakelijk is voor hun functie;
• beleid inzake tijdig intrekken toegangsrechten bij langdurige ziekte en einde overeenkomst met medewerkers/vrijwilligers;
• sleutelregistratie is gerealiseerd in geschrift;
• sluitronde wordt uitgevoerd door een verantwoordelijk persoon, inclusief inschakeling alarm;
• medewerkers/vrijwilligers zijn op de hoogte van hun verantwoordelijkheden met betrekking’tot de verwerking van persoonsgegevens, waaronder – maar niet beperkt tot – de verplichting om een (mogelijk) datalek zo snel mogelijk aan de directie (of een daartoe aangewezen verantwoordelijke) te melden;
• draagbare apparatuur, waarop persoonsgegevens zijn opgeslagen, worden niet onbeheerd achtergelaten;
• logging en controle (monitoring) van toegang tot de informatiesystemen;
• procedures opstellen voor opslag, onderhoud en vernietiging van data;
• back-up beleid opzetten en uitvoeren adequate back-ups;
• het bewaren van persoonsgegevens op servers in een afgesloten ruimte;
• het creëren van informatieveiligheidsbewustzijn onder medewerkers. Dit bewustzijn is onder meer gecreëerd door de Workshop AVG door een privacy advocaat in 2018.
• evaluatie: bijvoorbeeld een jaarlijkse evaluatie van technische en organisatorische maatregelen.

Welzijn Rijswijk ziet op naleving van de hiervoor genoemde maatregelen. Steekproefsgewijs kunnen (proportionele) controles worden uitgevoerd. Als wordt vermoed dat maatregelen door een bepaalde medewerker niet in acht worden genomen, kan worden overgegaan tot gerichte controles tegen de medewerker in kwestie. Na deze controle kan Welzijn Rijswijk op basis van haar bevindingen besluiten tot het treffen van arbeidsrechtelijke maatregelen.

Overige organisatorische maatregelen die Welzijn Rijswijk treft:

• het houden van adequaat toezicht op de naleving van protocollen en wet- en regelgeving;
• het bewaren van papieren dossiers in afsluitbare kasten;
• medewerkers/vrijwilligers zijn op de hoogte van hun verantwoordelijkheden met betrekking tot de verwerking van persoonsgegevens, waaronder – maar niet beperkt tot – de verplichting om een (mogelijk) datalek zo snel mogelijk aan de directie (of een daartoe aangewezen verantwoordelijke) te melden;
• Welzijn Rijswijk beschikt over een actief informatiebeveiligingsbeleid;
• Welzijn Rijswijk heeft een proces ingericht voor communicatie over informatiebeveiligingsincidenten (Datalekken);
• wachtwoordbeleid en rechten- en autorisatiestructuur inrichten.

Verwerkers
Met verwerkers heeft Welzijn Rijswijk afspraken gemaakt over de te nemen technische en organisatorische maatregelen. Op grond van de vastgestelde risico’s die de persoonsgegevens en de aard van de verwerking met zich meebrengen, is het gewenste beveiligingsniveau bepaald.

Voor Welzijn Rijswijk ingeschakelde verwerkers zijn verplicht Welzijn Rijswijk alle informatie te verstrekken die nodig is om de nakoming van de verplichtingen als verwerker aan te tonen en audits, waaronder inspecties, door Welzijn Rijswijk of een door Welzijn Rijswijk gemachtigde controleur mogelijk te maken en er aan bij te dragen.

D. Informatieplicht
Welzijn Rijswijk informeert betrokkenen over hoe binnen kantoor met persoonsgegevens wordt omgegaan. Er zijn diverse privacyverklaringen opgesteld. Deze privacyverklaringen zijn op te vragen bij de AVG functionaris via avg@welzijn-rijswijk.nl. De navolgende privacyverklaringen zijn vastgesteld:

• Privacyverklaring voor cliënten.
• Privacyverklaring voor personeel.
• Privacyverklaring voor vrijwilligers.
• Privacyverklaring voor het Vrijwilligerscentrum.

E. Verwerkingsregister
Welzijn Rijswijk houdt een verwerkingsregister bij. Dit register bevat een beschrijving van onder meer de verwerkingsdoeleinden, categorieën betrokkenen en ontvangers, bewaartermijnen en beveiligingsmaatregelen.

Binnen Welzijn Rijswijk kunnen alle medewerkers het register raadplegen. De contactpersoon privacy kan in het register ook wijzigingen aanbrengen. Zij houdt het register continue en actief bij en zal wijzigingen direct dan wel naar aanleiding van een periodieke evaluatie doorvoeren.

Het verwerkingsregister is opgenomen op Intranet.

F. Verwerkers en ontvangers

Verwerkers
Welzijn Rijswijk maakt bij het verwerken van persoonsgegevens gebruik van externe dienstverleners. Deze dienstverleners verwerken uitsluitend  Persoonsgegevens op instructie van Welzijn Rijswijk. Met deze partijen heeft Welzijn Rijswijk verwerkersovereenkomsten gesloten. In deze overeenkomsten zijn afspraken vastgelegd over onder meer de aard en doeleinden van de verwerking, het soort persoonsgegevens dat wordt verwerkt, geheimhoudingsplicht, instructies over de verwerking, beveiligingsmaatregelen, het al dan niet inschakelen van subverwerkers, privacyrechten van betrokkenen, audits en controle alsook het retourneren en/of verwijderen van persoonsgegevens door de verwerker.

Welzijn Rijswijk maakt gebruik van de volgende verwerkers:

• Tentoo;
• Asimo;
• Rene Knijnenburg Producties V.O.F voor de gepersonaliseerde vrijwilligerspassen;
• Zorg van de zaak ICT B.V. voor arbodienstverlening;
• Apetito B.V. voor maaltijdgebruikers van Welzijn Rijswijk.
• MailChamp voor het versturen van nieuwsbrieven;
• My-Link Design V.O.F. voor webapplicaties Vrijwilligerscentrum;

Ontvangers
Welzijn Rijswijk verstrekt persoonsgegevens van betrokkenen aan derden wanneer dat noodzakelijk is bijvoorbeeld in het kader van bijvoorbeeld de uitvoering van de juridische dienstverlening (vluchtelingen), de uitvoering van een (arbeids)overeenkomst of in geval van een wettelijke verplichting. In het Verwerkingsregister staat duidelijk per dienst aangegeven wie de ontvangers van persoonsgegevens zijn. Het verwerkingsregister is te raadplegen via V-Office.

G. Bewaartermijnen
Welzijn Rijswijk vernietigt persoonsgegevens die niet langer noodzakelijk zijn voor het doel waarvoor ze zijn verzameld en tevens niet op grond van andere wetgeving bewaard moeten worden. De persoonsgegevens worden in dat geval uit het kantoorsysteem, eventuele backups, archieven en andere systemen verwijderd. Welzijn Rijswijk hanteert in beginsel de volgende bewaartermijnen:

a. Per dienst staat in het verwerkingsregister de bewaartermijn opgenomen. Het verwerkingsregister is te raadplegen via V-Office;
b. (financieel-)administratieve gegevens: 7 jaar na vastlegging van de gegevens;
c. Gegevens van medewerkers en ZZP’ers, anders dan (financieel-)administratieve gegevens: 5 jaar na uitdiensttreding respectievelijk na het einde van de overeenkomst van opdracht;
d. Gegevens van sollicitanten: 4 weken na afronding van de sollicitatieprocedure, tenzij de sollicitant toestemming heeft gegeven om zijn/haar gegevens langer te bewaren, in welk geval een termijn van 1 jaar na afronding van de sollicitatieprocedure geldt;
e. bezoekers van de website van Welzijn Rijswijk en het vrijwilligerscentrum: 2 jaar na het laatste bezoek aan de website, tenzij eerder bezwaar wordt gemaakt in welk geval tot vernietiging zal worden overgegaan.

H. Gegevensbeschermingseffectbeoordeling (DPIA)
De verplichting om een DPIA te doen geldt in principe alleen voor nieuwe verwerkingen. Dus voor verwerkingen die ná 25 mei 2018 starten. Treedt er na 25 mei 2018 een verandering op in een bestaande verwerking of in de risico’s van die verwerking? Dan kan een DPIA alsnog verplicht zijn. Een bestaande gegevensverwerking kan bijvoorbeeld veranderen als Welzijn Rijswijk de persoonsgegevens voor een ander doel gaat gebruiken. In die situaties moet Welzijn
Rijswijk, net als bij een nieuwe gegevensverwerking, vaststellen of de gewijzigde verwerking waarschijnlijk een hoog privacyrisico oplevert. Zo ja, dan is Welzijn Rijswijk alsnog verplicht een DPIA uit te voeren.

Welzijn Rijswijk voert voor elke nieuwe verwerking van persoonsgegevens een DPIA uit, tenzij op voorhand duidelijk is dat de verwerking geen hoog risico voor de rechten en vrijheden van natuurlijke personen inhoudt, gelet op de aard, de omvang, de context en de doeleinden daarvan.

De DPIA omvat het volgende:
1. een systematische beschrijving van de beoogde verwerkingen en de verwerkingsdoeleinden, waaronder, in voorkomend geval, de gerechtvaardigde belangen
die door de verwerkingsverantwoordelijke worden behartigd;
2. een beoordeling van de noodzaak en de evenredigheid van de verwerkingen metbetrekking tot de doeleinden;
3. een beoordeling van risico’s voor de rechten en vrijheden van betrokkenen;
4. de beoogde maatregelen om de risico’s aan te pakken, waaronder waarborgen, veiligheidsmaatregelen en mechanismen om de bescherming van persoonsgegevens te garanderen en om aan te tonen dat aan deze verordening is voldaan, met inachtneming van de rechten en gerechtvaardigde belangen van de betrokkenen en andere personen in kwestie. De bevindingen naar aanleiding van een DPIA legt Welzijn Rijswijk vast in een verslag.

I. Doorgifte buiten EER
Welzijn Rijswijk geeft in beginsel geen persoonsgegevens door aan landen buiten de Europese Economische Ruimte (EER). Indien dit toch noodzakelijk mocht zijn, draagt Welzijn Rijswijk er voor zorg dat de doorgifte alleen plaatsvindt als de Europese Commissie heeft aangegeven dat het betreffende land een passend beschermingsniveau biedt of als sprake is van passende waarborgen in de zin van de AVG.

J. Geen functionaris voor de gegevensbescherming (FG)
Een verwerkingsverantwoordelijke dient een functionaris voor de gegevensbescherming aan te wijzen, onder meer in het geval dat zij hoofdzakelijk is belast met grootschalige verwerking van bijzondere persoonsgegevens (zoals medische gegevens). ‘Hoofdzakelijk belast’ heeft betrekking op de kernactiviteiten van de verwerkingsverantwoordelijke. De Artikel 29-werkgroep definieert kernactiviteiten als processen die essentieel zijn om de doelen van de organisatie te
bereiken, of die tot de hoofdtaken van de organisatie horen. Goed kan worden verdedigd dat het verwerken van gezondheidsgegevens geen kernactiviteit is
van Welzijn Rijswijk. De kernactiviteit van Welzijn Rijswijk is immers het verlenen van welzijnsondersteuning aan inwoners van Rijswijk. In het kader van die ondersteuning worden wel gezondheidsgegevens verwerkt. Er is echter geen sprake van een grootschalige verwerking van deze gegevens. De AVG laat in het midden wanneer hiervan sprake is, maar wel is duidelijk dat bij een individuele huisarts of advocaat geen sprake is van een grootschalige verwerking. Welzijn Rijswijk verwerkt aanzienlijk minder medische gegevens dan een individuele huisarts (NB: een gemiddelde huisarts verwerkt in 2018 continue de gegevens van
gemiddeld 2095 patiënten. De Autoriteit Persoonsgegevens heeft bovendien aangegeven dat binnen de zorg pas sprake is van een grootschalige verwerking indien méér dan 10.000 de geografische reikwijdte van de verwerking. patiënten zijn ingeschreven of als die gemiddeld meer dan 10.000 patiënten per jaar behandelt en de gegevens van deze patiënten in één informatiesysteem staan. 1 De verwerking van patiëntgegevens door ziekenhuizen, zorggroepen, huisartsenposten en apotheken (behalve als er sprake is van een solistisch werkende zorgverlener) is altijd grootschalig. Ook heeft de AP aangegeven dat er nog veel andere zorgaanbieders. Voor deze zorgaanbieders geldt het criterium van 10.000 patiënten niet. Deze organisaties moeten aan de hand van vier factoren zelf beoordelen of zij grootschalig gegevens verwerken en beargumenteren of zij verplicht zijn een FG aan te stellen en (onder omstandigheden) een DPIA
te doen. Deze factoren zijn:

• Het aantal betrokkenen (het aantal patiënten over wie gegevens worden verwerkt).
• De hoeveelheid persoonsgegevens die worden verwerkt.
• De duur van de gegevensverwerking (in de zorg doorgaans vijftien jaar)

Zoals reeds aangegeven verwerkt Welzijn Rijswijk voor minder dan 10.000 inwoners gezondheidsgegevens. Eveneens is de hoeveelheid persoonsgegevens per inwoner die een dienst afneemt bij Welzijn Rijswijk veel kleiner. De hoeveelheid gezondheidsgegeven per cliënt is veel lager dan bij een huisarts of ziekenhuis. De hoeveelheid gegevens is namelijk beperkt tot wat noodzakelijk is voor bijvoorbeeld seniorenadvies en mantelzorgondersteuning. De verwerking heeft ook een beperkte duur. Welzijn Rijswijk hanteert veel kortere bewaartermijnen dan de reguliere vijftien jaar in de zorg. Tot slot is de geografische omvang eveneens zeer
beperkt. De verwerkingen zien alleen op inwoners van de Gemeente Rijswijk. Hierdoor kan met kracht worden betoogd dat bij Welzijn Rijswijk geen sprake is van grootschalige verwerking van bijzondere categorieën van persoonsgegevens. Gelet op het voorgaande heeft Welzijn Rijswijk geen FG aangesteld.

K. Beveiligingsincidenten
Welzijn Rijswijk heeft passende technische en organisatorische maatregelen genomen die tot doel hebben de kans op verlies of onrechtmatige verwerking van persoonsgegevens zo veel mogelijk te beperken. Ondanks deze maatregelen bestaat de kans dat zich toch een incident met betrekking tot persoonsgegevens voordoet. Om ervoor te zorgen dat er zo snel mogelijk opgetreden kan worden om het incident te beëindigen en de schade zo veel mogelijk te beperken, dient als volgt te worden gehandeld. Elk incident met betrekking tot persoonsgegevens dient te worden gemeld aan de contactfunctionaris AVG, avg@welzijn-rijswijk.nl. Zij zal beoordelen:

• of sprake is van een incident dat betrekking heeft op persoonsgegevens;
• welke maatregelen genomen moeten worden om het incident te beëindigen en de gevolgen te beperken;
• of inschakeling van een externe partij is benodigd om bij de oplossing van het incident te assisteren;
• of het incident aan de Autoriteit Persoonsgegevens dient te worden gemeld;
• of degenen op wie de persoonsgegevens betrekking hebben, over het incident dienen te worden ingelicht;
• welke maatregelen er genomen moeten worden om herhaling van het incident te voorkomen.

Welzijn Rijswijk documenteert alle inbreuken in verband met persoonsgegevens, in het datalekkenregister. Het datalekkenregister is opgenomen in een Excel-bestand bij de Officemanager.

1 https://autoriteitpersoonsgegevens.nl/nl/nieuws/ap-geeft-uitleg-over-grootschalige-gegevensverwerking-de-zorg

Voor het geval dat een (potentieel) incident waarvan een door Welzijn Rijswijk ingeschakelde verwerker eerder op de hoogte is geraakt, is in de verwerkersovereenkomst bepaald dat de verwerker Welzijn Rijswijk zo snel mogelijk bericht. Ook zijn er afspraken gemaakt over het
oplossen van het incident en het verstrekken van nadere gegevens.