Bijlage 5.16.2 Procedure rechten van betrokkenen

Download deze bijlage als PDF:
233028_SWV R&G_bijlage 5.16.2 v2.pdf

Vastgesteld document
Directeur-bestuurder V aststelling als onderdeel van IBP d.d. 15-11-2018

November 2018

Procedure rechten van betrokkenen

Inhoudsopgave

1. Inleiding
2. Definities
3. Werkwijze
4. Recht op informatie
5. Recht op inzage
6. Recht op rectificatie
7. Recht op gegevenswissing
8. Recht op beperking van de verwerking
9. Recht op dataportabiliteit
10. Recht op bezwaar
11. Beantwoording en registratie

1. Inleiding

Het Samenwerkingsverband Rijn & Gelderse Vallei vindt het belangrijk dat betrokkenen hun rechten kunnen uitoefenen. Daarom heeft het Samenwerkingsverband Rijn & Gelderse Vallei deze procedure opgesteld, waarin de rechten van de betrokkenen zijn uitgewerkt.

De betrokkene heeft de navolgende rechten:

Het recht op inzage;
Het recht op rectificatie;
Het recht op het wissen van gegevens;
Het recht op beperking van de verwerking;
Het recht op overdraagbaarheid;
Het recht op bezwaar en
Het recht om niet te worden onderworpen aan geautomatiseerde individuele besluitvorming (hiervan is geen sprake in het onderwijs en binnen de gegevensverwerking van het Samenwerkingsverband Rijn & Gelderse Vallei – voor de volledigheid wordt dit recht desalniettemin benoemd). Deze procedure beschrijft hoe te handelen indien een betrokkene een beroep doet op een van bovengenoemde rechten, waarvoor het Samenwerkingsverband Rijn & Gelderse Vallei als verwerkingsverantwoordelijke de eindverantwoordelijkheid draagt.

2. Definities

Betrokkene
Een natuurlijk persoon op wie een persoonsgegeven betrekking heeft, de ouder of verzorger van een minderjarige betrokkene jonger dan 16 jaar.
Bij het Samenwerkingsverband Rijn & Gelderse Vallei zijn de betrokkenen de medewerkers, gedetacheerden en ouders of verzorgers van de leerlingen.

Persoonsgegevens
Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”).

Verwerking
Een verwerking of een geheel van verwerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.

Verwerkingsverantwoordelijke
Een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.
Het samenwerkingsverband Rijn & Gelderse Vallei is de verwerkersverantwoordelijke.

Verwerker
Een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt.

Verzoek
Een verzoek van de verzoeker aan de verwerkingsverantwoordelijke tot inzage, rectificatie, wissen gegevens, overdraagbaarheid van persoonsgegevens, bezwaar, beperking van de verwerking.

Verzoeker
Degene die een verzoek doet bij het Samenwerkingsverband Rijn & Gelderse Vallei.

3. Werkwijze

Indienen van een verzoek

De verzoeker kan zich richten tot het Samenwerkingsverband Rijn & Gelderse Vallei om een verzoek in te dienen. Het verzoek kan worden gedaan:

Direct bij de Functionaris voor Gegevensbescherming (FG) via info@privacyhelder.nl;
Mondeling bij de directeur-bestuurder van het samenwerkingsverband;
Aan de directeur-bestuurder van het samenwerkingsverband per e-mail (directie@swvrgv.nl).

Een verzoek dient tenminste het volgende te bevatten:

De volledige naam en voorletters en het adres van de verzoeker;
De volledige naam en voorletters en het adres van de betrokkene;
De geboortedatum van betrokkene.

Behandeling van het verzoek
De FG is voor het afhandelen van alle verzoeken verantwoordelijk, maar kan de taak delegeren. Het antwoorden op een verzoek en het verstrekken van informatie moet altijd schriftelijk, in heldere taal en in toegankelijke vorm gedaan worden.
Indien er kosten verbonden zijn aan het verzoek, mogen deze in rekening worden gebracht.

Vaststellen identiteit van de verzoeker
Zodra het verzoek door het Samenwerkingsverband Rijn & Gelderse Vallei is ontvangen, dan zal de contactpersoon alle redelijke maatregelen nemen om de identiteit te controleren van de betrokkene. Indien er wordt getwijfeld aan de identiteit van de verzoeker, kan de verzoeker om aanvullende informatie gevraagd worden die nodig is ter bevestiging van zijn of haar identiteit. De contactpersoon kan verzoeken om een bewijsstuk dat het de ouder/verzorger van een minderjarige betrokkene jonger dan 16 jaar betreft.

Informeren verzoeker indien hij niet bevoegd is tot het doen van het verzoek
Indien blijkt dat de verzoeker niet de betrokkene is, dient het verzoek te worden afgewezen. De verzoeker zal in dat geval binnen één maand na ontvangst van het verzoek door de contactpersoon worden geïnformeerd dat de verzoeker niet bevoegd is tot het doen van het verzoek, en dat het verzoek niet in behandeling zal worden genomen. Tevens wordt verzoeker geïnformeerd dat hij de mogelijkheid heeft een klacht in te dienen bij de Autoriteit Persoonsgegevens, en dat hij de mogelijkheid heeft beroep in te stellen bij de rechter.

Afwijzen van het verzoek
Het verzoek zal worden afgewezen indien het verzoek kennelijk ongegrond of buitensporig is, of dat het verzoek een repetitief karakter heeft. Daarnaast behandelt het Samenwerkingsverband Rijn & Gelderse Vallei slechts die verzoeken waarvoor het is aan te merken als verwerkingsverantwoordelijke. Indien een verzoek uitsluitend betrekking heeft op persoonsgegevens die bij een andere organisatie dan het Samenwerkingsverband Rijn & Gelderse Vallei berusten, zal het verzoek worden afgewezen.
De verzoeker zal binnen één maand na ontvangst van het verzoek door de contactpersoon geïnformeerd worden dat het verzoek is afgewezen. Tevens wordt de verzoeker geïnformeerd dat hij de mogelijkheid heeft een klacht in te dienen bij de Autoriteit Persoonsgegevens en dat hij de mogelijkheid heeft beroep in te stellen bij de rechter.

Uitvoering van het verzoek
Als het verzoek voldoet aan de eerdergenoemde voorwaarden, en er is geen sprake van een omstandigheid zoals hierboven beschreven, kan het verzoek in behandeling worden genomen. Het verzoek zal binnen één maand na ontvangst worden afgehandeld. Bij complexe en meerdere verzoeken mag deze termijn, na motivatie, maximaal met twee maanden worden verlengd. Verzoeker kan een verzoek doen op een van de hiernavolgende rechten.

4. Recht op informatie

Betrokkenen hebben het recht om in heldere taal informatie te ontvangen over het hoe en waarom van de gegevensverwerking. Dit geldt zowel voor het geval dat de gegevens bij betrokkene zelf worden verzameld, als wanneer dit via anderen gebeurt.
Het Samenwerkingsverband Rijn & Gelderse Vallei mag zelf bepalen hoe zij dit recht op informatie inkleden, zolang het maar passend is bij de doelgroep en (het risico van) de verwerking. Het samenwerkingsverband heeft hiervoor een privacy statement opgesteld, dat op de website van het samenwerkingsverband is te vinden.

Het privacy statement van het Samenwerkingsverband Rijn & Gelderse Vallei bevat in ieder geval de volgende elementen:

De contactgegevens van het Samenwerkingsverband Rijn & Gelderse Vallei;
De contactgegevens van de FG;
Doel en rechtsgrond van de persoonsgegevensverwerking;
De eventuele ontvangers of categorieën ontvangers van de gegevens;
De bewaartermijn, of als dat niet mogelijk is de criteria voor het bepalen ervan;
De rechten van de betrokkene (zoals beschreven in dit document);
In het geval van toestemming, dat de betrokkene die toestemming altijd weer kan intrekken;
Of het verwerken van persoonsgegevens een wettelijke verplichting is of noodzakelijk is voor de uitvoering of het aangaan van een overeenkomst, of de betrokkene verplicht is die gegevens te verstrekken en wat de gevolgen zijn van het niet verstrekken van die gegevens voor de betrokkene;
Wanneer de gegevens buiten de betrokkene om verzameld worden;
Wanneer de gegevens buiten de betrokkene om verzameld worden, dan moet in beginsel dezelfde informatie verstrekt worden als wanneer de gegevens van de betrokkene zelf verkregen worden. Het enige dat moet worden toegevoegd is de bron waaruit persoonsgegevens zijn verkregen en welke soort gegevens het betreft. Als de bron van de informatie niet kan worden vastgesteld, bijvoorbeeld omdat de informatie uit verschillende bronnen is samengesteld, dient algemene informatie over de herkomst verstrekt te worden;
Verder moet alle andere informatie worden verstrekt die noodzakelijk is om tegenover de betrokkene een behoorlijke en transparante verwerking te waarborgen;
Als de persoonsgegevens voor andere doelen verder verwerkt gaan worden moet de betrokkene opnieuw geïnformeerd worden, behalve voor zover de betrokkene al van die informatie op de hoogte is.

De informatieplicht geldt niet in de volgende gevallen:

De betrokkene is al op de hoogte van de informatie;
De informatieverstrekking is onmogelijk (bijvoorbeeld omdat dit het doel van de verwerking onmogelijk maakt) of vergt onevenredig veel inspanning;
De verkrijging of verstrekking van gegevens is wettelijk verplicht en de betreffende wet bevat voldoende waarborgen voor de belangen van betrokkene;
De persoonsgegevens moeten vertrouwelijk blijven in verband met een beroepsgeheim.

5. Recht op inzage

Wanneer een betrokkene vraagt om inzage betekent dit dat hij recht heeft op een volledig overzicht van de gegevens die wij over deze betrokkenen hebben, ook heeft betrokkene het recht daar een afschrift van te ontvangen.

Welke gegevens moet het Samenwerkingsverband Rijn & Gelderse Vallei verstrekken?
In de eerste plaats krijgt de betrokkene inzage in (en een afschrift van) alle gegevens die het Samenwerkingsverband Rijn & Gelderse Vallei over deze betrokkene vastgelegd heeft.
Het Samenwerkingsverband Rijn & Gelderse Vallei nodigt betrokkene uit om de gegevens digitaal in te zien en schriftelijk te overhandigen. Dit gebeurt in aanwezigheid van de secretaresse leerlingzaken.

Naast alle gegevens over de betrokkene die het Samenwerkingsverband Rijn & Gelderse Vallei in het bezit heeft, heeft de betrokkene recht op de volgende informatie:

De doeleinden waarvoor de gegevens vastgelegd/gebruikt zijn;
De betrokken categorieën van persoonsgegevens (betreft het algemene gegevens, bijzondere gegevens of gevoelige gegevens);
De ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt;
Indien mogelijk, de bewaartermijn voor de gegevens, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
Een verwijzing naar de andere rechten van betrokkene, zoals het recht op verzet of gegevenswissing;
Dat de betrokkene het recht heeft een klacht in te dienen bij de AP;
Wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens.

In welke gegevens mag het Samenwerkingsverband Rijn & Gelderse Vallei geen inzage geven?
Betrokkenen hebben het recht op inzage in alle gegevens die de organisatie van hen heeft vastgelegd.

6. Recht op rectificatie

Betrokkenen hebben naast het recht op inzage ook recht om hun persoonsgegevens te laten corrigeren of aan te vullen. De betrokkene moet hiervoor wel een goede reden hebben. Het corrigeren of aanvullen van informatie kan alleen als de gegevens onjuist zijn – denk bijvoorbeeld aan telefoonnummer of bankgegevens – of als deze onvolledig zijn met inachtneming van het verwerkingsdoeleinde.
De betrokkene zal altijd moeten specificeren welke gegevens hij aangepast wil zien. Let op dat bij verwijdering van gegevens misschien ook verwerkers of andere ketenpartners zoveel mogelijk op de hoogte gesteld dienen te worden, die zullen de verkregen gegevens, voor zover mogelijk, ook moeten aanpassen.

7. Recht op gegevenswissing

Het recht op gegevenswissing (ook wel het recht op verwijdering genoemd) moet onder bepaalde omstandigheden ingewilligd worden. Een verzoek om verwijdering van de eigen gegevens moet worden ingewilligd in de volgende gevallen:

De persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt;
De betrokkene trekt de toestemming waarop de verwerking berust in, en er is geen andere rechtsgrond voor de verwerking;
Het bezwaar van betrokkene tegen de verwerking is ingewilligd (zie hieronder, paragraaf 10);
De persoonsgegevens zijn onrechtmatig verwerkt (bijvoorbeeld omdat zij niet noodzakelijk zijn voor het geformuleerde doel of omdat de rechtsgrond ontbreekt);
De persoonsgegevens moeten worden gewist om te voldoen aan een wettelijke verplichting die op het Samenwerkingsverband Rijn & Gelderse Vallei rust.

Daarnaast zal, in geval de verwerking van de persoonsgegevens is uitbesteed aan derde partijen (verwerkers), het Samenwerkingsverband Rijn & Gelderse Vallei deze derde partijen informeren over het wissen van gegevens, tenzij dit onmogelijk is of onredelijk veel inspanning vereist. Indien betrokkene hierom verzoekt, zal het Samenwerkingsverband Rijn & Gelderse Vallei aan hem informatie verstrekken over deze derde partijen.

Het verzoek dient niet te worden ingewilligd indien de gegevens nodig zijn:

Voor het uitoefenen van het recht op vrijheid van meningsuiting en informatie;
Voor het nakomen van een wettelijke verplichting die op het Samenwerkingsverband Rijn & Gelderse Vallei rust, of voor het vervullen van een taak van algemeen belang of het uitoefenen van het openbaar gezag dat aan het Samenwerkingsverband Rijn & Gelderse Vallei (bij wet) is verleend;
Om redenen van algemeen belang op het gebied van volksgezondheid;
Met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek en het verwijderen de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen;
Voor de instelling, uitoefening of onderbouwing van een rechtsvordering.

De betrokkene zal altijd moeten specificeren welke gegevens hij verwijderd wil zien.

8. Recht op beperking van de verwerking

De betrokkene heeft het recht het Samenwerkingsverband Rijn & Gelderse Vallei te vragen de verwerking van zijn persoonsgegevens (tijdelijk) te beperken (het gebruik van de gegevens te stoppen).
Dit moet door het Samenwerkingsverband Rijn & Gelderse Vallei worden ingewilligd indien een van de volgende punten van toepassing is:

De juistheid van de persoonsgegevens wordt betwist door de betrokkene; de verwerking wordt beperkt gedurende de periode die het Samenwerkingsverband Rijn & Gelderse Vallei nodig heeft om de juistheid van de persoonsgegevens te controleren;
De verwerking is onrechtmatig en de betrokkene verzet zich tegen het wissen van de persoonsgegevens en verzoekt in de plaats daarvan om beperking van het gebruik ervan;
Het Samenwerkingsverband Rijn & Gelderse Vallei heeft de persoonsgegevens niet meer nodig voor de verwerkingsdoeleinden, maar de betrokkene heeft deze nodig voor de instelling, uitoefening of onderbouwing van een rechtsvordering;
De betrokkene heeft bezwaar gemaakt tegen de verwerking (zie paragraaf 10), en is in afwachting van het antwoord op de vraag of de gerechtvaardigde gronden van het Samenwerkingsverband Rijn & Gelderse Vallei zwaarder wegen dan die van de betrokkene.

Indien een betrokkene een beperking van de verwerking heeft verkregen, wordt betrokkene door het Samenwerkingsverband Rijn & Gelderse Vallei op de hoogte gebracht voordat de beperking van de verwerking wordt opgeheven.

Uitzonderingen
Wanneer de verwerking is beperkt, worden persoonsgegevens, met uitzondering van de opslag ervan, slechts verwerkt:

Met toestemming van de betrokkene, of
Voor de instelling, uitoefening of onderbouwing van een rechtsvordering, of
Ter bescherming van de rechten van een andere natuurlijke persoon of rechtspersoon, of
Om gewichtige redenen van algemeen belang voor de EU of een lidstaat.

9. Recht op dataportabiliteit

De betrokkene heeft het recht op dataportabiliteit, ook wel overdraagbaarheid van gegevens genoemd. Dat wil zeggen dat betrokkene het recht heeft de hem betreffende persoonsgegevens, die hij aan het Samenwerkingsverband Rijn & Gelderse Vallei heeft verstrekt, in een gestructureerd en gangbaar digitaal bestand te verkrijgen. Tevens heeft hij het recht die gegevens aan een andere organisatie over te dragen, zonder daarbij te worden gehinderd door het Samenwerkingsverband Rijn & Gelderse Vallei. Hierbij letten we op dat de privacy van anderen niet geschaad mag worden.
Dit recht is alleen van toepassing op gegevens die:

digitaal verwerkt worden, en
in het kader van een overeenkomst of op basis van toestemming worden verwerkt.

10. Recht op bezwaar

Het recht op bezwaar staat ook bekend als het recht op verzet. Als de verwerking van persoonsgegevens plaats vindt op basis van de rechtsgrond ‘belang van de organisatie’ of ‘publiek belang’, dan heeft de betrokkene het recht om vanwege – met zijn specifieke situatie verband houdende redenen – bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens.
Het Samenwerkingsverband Rijn & Gelderse Vallei staakt de verwerking van de persoonsgegevens tenzij er dwingende gerechtvaardigde gronden voor de verwerking zijn die zwaarder wegen dan de privacy-rechten van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.
Verwerkingen voor wetenschappelijk of historisch onderzoek of statistische doeleinden moet worden gestaakt, tenzij er sprake is van noodzakelijkheid voor de uitvoering van een taak van algemeen belang.
Een beroep op het recht op verzet in verband met direct marketing moet altijd ingewilligd worden.

11. Beantwoording en registratie

De betrokkene dient op een begrijpelijke en toegankelijke manier en in duidelijke en eenvoudige taal geïnformeerd te worden of al dan niet aan zijn verzoek wordt voldaan.
Het Samenwerkingsverband Rijn & Gelderse Vallei zal een registratie bijhouden van alle verzoeken die zijn ontvangen. In deze registratie staan in ieder geval de contactgegevens van de betrokkene en of al dan niet aan het verzoek is voldaan, en zo niet, waarom niet.