Veiligheidsregio IJsselland (hierna: VR) en GGD IJsselland (hierna: GGD) zijn verantwoordelijk voor de verwerking van jouw persoonsgegevens en hechten veel waarde aan de bescherming hiervan. In deze privacyverklaring leggen wij uit welke persoonsgegevens wij verwerken wanneer jij gebruik maakt van de digitale werkomgeving. Ook legt deze verklaring uit hoe logging en monitoring worden toegepast om de beveiliging van de werkomgeving te waarborgen.  

Welke persoonsgegevens worden verwerkt?

Bij het gebruik van de digitale werkomgeving kunnen de volgende gegevens worden verwerkt: 

• NAW-gegevens
• Contactgegevens
• Inloggegevens (gebruikersnamen, tijdstempels en IP-adres)
• Apparaat-ID’s
• Emailverkeer (niet de inhoud, tenzij nodig voor beveiligingsonderzoek)
• Locatiegegevens
• Netwerkactiviteit
• Internet- en applicatiegebruik 

Waarom worden persoonsgegevens verwerkt?

De verwerking van je persoonsgegevens vindt plaats voor de volgende doeleinden: 

• Het registreren en beheren van de aan jou uitgeleende apparatuur, systemen en applicaties;
• het beveiligen en beschermen van de digitale werkomgeving ter voorkoming van misbruik, fraude, ongeautoriseerde toegang of beveiligingsincidenten;
• logging en monitoring kan ons helpen bij het onderzoek naar de oorzaak van een (grootschalig) informatiebeveiligingsincident en het nemen van passende maatregelen;
• om bescherming te bieden tegen cyberdreigingen;
• om te waarborgen dat jij alleen toegang hebt tot systemen en gegevens die voor je functie noodzakelijk zijn. 

Gebruik van monitoringssoftware

Binnen VR en GGD wordt gebruik gemaakt van monitoringssoftware om de digitale werkomgeving veilig, beheersbaar en gebruikersvriendelijk te laten functioneren. De monitorgegevens worden verwerkt voor de omschreven doeleinden onder punt 2 en zijn alleen toegankelijk voor bevoegde medewerkers binnen het team ICT.

De AVG verplicht tot het treffen van passende technische en organisatorische beveiligingsmaatregelen. In de Baseline Informatiebeveiliging Overheden en de NEN7510 worden de maatregelen beschreven die moeten worden genomen. Eén van de technische maatregelen die wordt voorgeschreven is dat wordt gemonitord om afwijkend gedrag op het netwerk, systemen en toepassingen te detecteren en dat er passende maatregelen moeten worden genomen om potentiële informatiebeveiligingsincidenten te evalueren.

Alleen in uitzonderlijke situaties, zoals bij een ernstig beveiligingsincident of een gerechtvaardigd vermoeden van misbruik, kan nader onderzoek worden ingesteld. In deze uitzonderlijke situaties en onder strikte voorwaarden kan er op persoonsniveau gemonitord worden. Hier word je indien mogelijk vooraf, maar in ieder geval achteraf over geïnformeerd. Achteraf informeren doen we alleen als het echt niet anders kan. In alle gevallen worden je privacy rechten te allen tijde gerespecteerd. Er wordt een vast proces gevolgd en er vindt besluitvorming plaats via het 4-ogen principe.

Wat is de grondslag voor deze gegevensverwerking?

De verwerking van persoonsgegevens is gebaseerd op: 

• De uitvoering van de arbeidsovereenkomst (artikel 6 lid 1 sub b AVG);
• het gerechtvaardigd belang van VR en GGD om de digitale werkomgeving te beschermen (artikel 6 lid 1 sub f AVG).

Hoe lang worden de persoonsgegevens bewaard?

De verzamelde persoonsgegevens worden niet langer dan noodzakelijk bewaard. De bewaartermijn bedraagt maximaal 30 dagen na het beëindigen van het dienstverband en het inleveren van de aan jou uitgeleende zakelijke apparatuur. Persoonsgegevens die worden verwerkt in het kader van logging en monitoring bewaren wij maximaal 1 jaar. In beide gevallen geldt een langere bewaartermijn als deze wettelijk verplicht is of noodzakelijk is in het geval van schadeclaims of juridische geschillen. 

Worden de persoonsgegevens gedeeld met derden?  

Indien daartoe aanleiding bestaat, kunnen door de VR en GGD gegevens worden gedeeld in verband met een lopend onderzoek bij de politie.  

Wordt geautomatiseerde besluitvorming toegepast?  

Nee, er vindt geen geautomatiseerde besluitvorming plaats. Geautomatiseerde besluitvorming zijn beslissingen die zonder een menselijke tussenkomst de betrokkene aanzienlijk kunnen treffen of juridische gevolgen hebben. De automatische besluitvorming bij GGD en VR betreft enkel het beheren en beveiligen van onze digitale werkomgeving.  

Beveiliging van je persoonsgegevens  

Wij nemen passende technische en organisatorische maatregelen om je persoonsgegevens te beschermen tegen misbruik, verlies en ongeoorloofde toegang, zoals versleuteling, toegangscontroles en het volgen van de juiste procedures voor logging en monitoring door bevoegde medewerkers van VR en GGD.   

Welke rechten hebben betrokkenen?  

Je hebt het recht om te verzoeken om inzage, correctie of verwijdering van onjuiste of onnodige persoonsgegevens. Ook heb je het recht bezwaar te maken tegen de gegevens die wij van jou verwerken.   

Vragen of klachten?  

Heb je vragen of klachten, of wil je gebruik te maken van je rechten dan kun je je richten tot de Functionaris Gegevensbescherming (FG) van VR of GDD.  

Contactgegevens van de FG VR: fg@vrijsselland.nl

Contactgegevens van de FG GGD: fg@ggdijsselland.nl   

Je hebt altijd het recht een klacht over de verwerking van jouw persoonsgegevens in te dienen bij de Autoriteit Persoonsgegevens of bij de rechter. Meer informatie daarover vind je op de website van de Autoriteit Persoonsgegevens.