Voorstel van Datavoogd

1 Bestuurlijk belang van rolbepaling De AVG kent eigenlijk maar twee rollen voor gemeenten: een gemeente is verwerker (meestal opdrachtnemer), of (gezamenlijke of zelfstandig) verwerkingsverantwoordelijke (meestal opdrachtgever).3 Rolbepaling is belangrijk, omdat hieruit op grond van de AVG alle rechten, plichten en risico’s voortvloeien. Rolbepaling in twee stappen Het vertrekpunt in de AVG...kennisbank ibd-factsheet-rolbepaling:0001

Hebben de samenwerkende partijen in gezamenlijkheid zeggenschap over het doel van en de middelen voor de gehele verwerking in kwestie? Het bestuursorgaan van de gemeente is zzeellffssttaannddiigg vveerrwweerrkkiinnggssvveerraannttwwoooorrddeelliijjkkee.. De andere betrokken partijen kunnen afzonderlijke zelfstandige verwerkingsverantwoordelijken voor hun eigen doel of verwerkers zijn in...kennisbank ibd-factsheet-rolbepaling:0017

3. De verwerking door een verwerker wordt geregeld in een overeenkomst of andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt, en waarin het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën van betrokkenen, en de rechten en...kennisbank avg-tekst:0086

10. Wanneer verwerking uit hoofde van artikel 6, lid 1, onder c) of e), haar rechtsgrond heeft in het Unierecht of in het recht van de lidstaat dat op de verwerkingsverantwoordelijke van toepassing is, de specifieke verwerking of geheel van verwerkingen in kwestie daarbij wordt geregeld, en er reeds als onderdeel van een algemene effectbeoordeling in het kader van de vaststelling van deze...kennisbank avg-tekst:0159

e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;kennisbank avg-tekst:0015

Het doel van de verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Die rechtsgrond kan specifieke bepalingen bevatten om de toepassing van de regels van deze...kennisbank avg-tekst:0021

Artikel 30 Register van de verwerkingsactiviteiten 1. Elke verwerkingsverantwoordelijke en, in voorkomend geval, de vertegenwoordiger van de verwerkingsverantwoordelijke houdt een register van de verwerkingsactiviteiten die onder hun verantwoordelijkheid plaatsvinden. Dat register bevat alle volgende gegevens:kennisbank avg-tekst:0103

2. De verwerker, en, in voorkomend geval, de vertegenwoordiger van de verwerker houdt een register van alle categorieën van verwerkingsactiviteiten die zij ten behoeve van een verwerkingsverantwoordelijke hebben verricht. Dit register bevat de volgende gegevens:kennisbank avg-tekst:0110

dat voor alle soorten verwerkingen van persoonsgegevens die op de lijst staan, onverkort geldt dat moet worden voldaan aan alle verplichtingen die de Algemene verordening gegevensbescherming stelt; dat de lijst omschrijvingen van soorten verwerkingen bevat waarbij het uitgangspunt is dat de verwerkingsverantwoordelijke verplicht is een gegevensbeschermingseffectbeoordeling (DPIA) uit te voeren...kennisbank ap-dpia-lijst-2019:0002

Nr. 64418 27 november 2019 Besluit inzake lijst van verwerkingen van persoonsgegevens waarvoor een gegevensbeschermingseffectbeoordeling (DPIA) verplicht is, Autoriteit Persoonsgegevens Besluit De Autoriteit Persoonsgegevens, gelet op artikel 35, vierde lid, in samenhang bezien met artikel 57, eerste lid, onder k, van de Algemene verordening gegevensbescherming; gezien de “Richtsnoeren voor...kennisbank ap-dpia-lijst-2019:0001

De volgende voorbeelden illustreren hoe de criteria moeten worden gebruikt om te beoordelen of een bepaalde verwerking een gegevensbeschermingseffectbeoordeling vereist: Voorbeelden van verwerking Mogelijke relevante criteria Gegevensbeschermingseffectbeoordeling waarschijnlijk vereist? Een ziekenhuis verwerkt genetische en gezondheidsgegevens van zijn patiënten (ziekenhuisinformatiesysteem)....kennisbank wp248-dpia-richtsnoeren:0034

14 Voorbeelden van verwerking Mogelijke relevante criteria Gegevensbeschermingseffectbeoordeling waarschijnlijk vereist? - Gevoelige gegevens of gegevens van zeer persoonlijke aard: Een instelling die een nationale kredietrating- of fraudedatabank creëert. - Evaluatie of scoretoekenning. - Geautomatiseerde besluitvorming met rechtsgevolg of vergelijkbaar wezenlijk gevolg. - Voorkomt dat de...kennisbank wp248-dpia-richtsnoeren:0035

1. Wanneer de inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen, deelt de verwerkingsverantwoordelijke de betrokkene de inbreuk in verband met persoonsgegevens onverwijld mee.kennisbank avg-tekst:0137

4. Indien de verwerkingsverantwoordelijke de inbreuk in verband met persoonsgegevens nog niet aan de betrokkene heeft gemeld, kan de toezichthoudende autoriteit, na beraad over de kans dat de inbreuk in verband met persoonsgegevens een hoog risico met zich meebrengt, de verwerkingsverantwoordelijke daartoe verplichten of besluiten dat aan een van de in lid 3 bedoelde voorwaarden is voldaan.kennisbank avg-tekst:0143