FG-Reglement Omgevingsdienst Midden-Holland

Het dagelijks bestuur van de Omgevingsdienst Midden-Holland,

Overwegende dat:

• de Algemene Verordening Gegevensbescherming (AVG) van toepassing is op de verwerking van persoonsgegevens door de Omgevingsdienst Midden-Holland (ODMH),

• het Besluit politiegegevens buitengewoon opsporingsambtenaren (Bpg boa) van 6 februari 2019 bepaalt dat onderdelen van de Wet politiegegevens (Wpg) van overeenkomstige toepassing worden verklaard op de verwerking van persoonsgegevens door buitengewone opsporingsambtenaren,

• artikel 37 lid 1 sub a van de AVG en artikel 36 lid 1 van de Wpg de verplichting opleggen om een functionaris voor de gegevensbescherming (FG) te benoemen,

• dat de ODMH zich heeft verbonden aan een samenwerking met de vier andere Zuid-Hollandse omgevingsdiensten op het gebied van informatiebeveiliging en privacy en in het kader van die samenwerking door DCMR Milieudienst Rijnmond één FG geworven is voor de vijf diensten,

• de directeur van de ODMH overeenkomstig deze verplichtingen een FG heeft aangewezen,

• een FG goed toegerust moet worden om zijn of haar taken te kunnen vervullen en diens onafhankelijke positie daarbij van bijzonder belang is,

• het onafhankelijke functioneren kwetsbaar kan zijn en daar daarom hierover in de organisatie geen misverstanden mogen kunnen ontstaan,

• het om die reden belangrijk is om de positie, taken, verantwoordelijkheden en bevoegdheden transparant vast te leggen, hetgeen met dit reglement gebeurt,

• van belang is daarbij op te merken de verplichting zoals opgenomen in artikel 38 lid 1 AVG en artikel 36 lid 1 Wpg om de FG tijdig en naar behoren te betrekken bij alle aangelegenheden die persoonsgegevens raken en/of de bescherming van politiegegevens betreffen, hetgeen inhoudt dat de FG:

  • voorafgaand aan besluitvorming moet worden betrokken bij onderwerpen die raken aan het verwerken van persoonsgegevens;

  • betrokken moet worden bij structurele en incidentele (strategische) overleggen binnen de organisatie voor zover die raken aan het verwerken van persoonsgegevens;

  • specifiek moet worden betrokken bij onderwerpen gerelateerd aan datalekken en DPIA’s,

• ook andere processen binnen de organisatie, naast de processen waarin persoonsgegevens en/of politiegegevens worden verwerkt, relevant kunnen vanuit het oogpunt van gegevensbescherming - denk bijvoorbeeld aan inkoop- en aanbestedingsprocessen, en aan projecten en programma’s – en dat het van belang is dat de FG ook daarbij tijdig en naar behoren betrokken wordt.

Besluit:

Vast te stellen het FG-Reglement Omgevingsdienst Midden-Holland.

Artikel 1 Positie functionaris voor gegevensbescherming (FG)

• 1. De FG heeft een onafhankelijke positie.

• 2. De FG ontvangt voor wat betreft de uitoefening van zijn of haar functie geen aanwijzingen van de ODMH-organisatie, de directeur en het bestuur.

• 3. De directeur en het bestuur van de Omgevingsdienst Midden-Holland waarborgen dat de FG geen nadeel ondervindt als gevolg van de uitoefening van zijn of haar taken.

• 4. De directeur en het bestuur van de Omgevingsdienst Midden-Holland waarborgen tevens dat er geen sprake zal zijn van belangenverstrengeling tussen de FG-taken en eventuele andere taken of functies van de FG.

• 5. De FG heeft zonder tussenkomst van anderen in de organisatie toegang tot de directie en het bestuur om adviezen te kunnen geven.

• 6. De directeur en het bestuur van de Omgevingsdienst Midden-Holland waarborgen dat mensen makkelijk en zonder tussenkomst van anderen contact kunnen opnemen met de FG.

Artikel 2 Taken en verantwoordelijkheden

• 1. De FG informeert en adviseert het bestuur, de directie en de medewerkers van de Omgevingsdienst Midden-Holland gevraagd en ongevraagd over de verplichtingen die de privacywetgeving oplegt en ziet toe op de naleving van de privacywetgeving en het privacybeleid van de ODMH, waaronder, maar niet beperkt tot, de volgende onderwerpen:

  - de wijze waarop AVG-en Wpg-verzoeken worden afgehandeld,

  - de toewijzing van verantwoordelijkheden, bewustmaking en opleiding van bij de verwerking van persoonsgegevens betrokken medewerkers,

  - de uitvoering van DPIA's en audits.

• 2. De FG kan onderzoeken instellen naar de wijze waarop in verband met de verwerking van persoonsgegevens, in een bepaald geval dan wel in het algemeen, de persoonlijke levenssfeer wordt beschermd. De FG rapporteert zelfstandig en onafhankelijk over zijn of haar bevindingen aan de directie en het bestuur.

• 3. De FG is het aanspreekpunt en de contactpersoon aangaande privacy, voor zowel de Autoriteit Persoonsgegevens, externe organisaties, burgers als de interne organisatie. In geval van een klacht van een betrokkene over de verwerking van persoonsgegevens of de naleving van de AVG of Wpg kan de FG een onafhankelijke, bemiddelende rol vervullen in de oplossing van de klacht.

Artikel 3 Bevoegdheden, medewerking en facilitering

• 1. De FG beschikt over alle bevoegdheden die hem in staat stellen om zijn of haar taken naar behoren uit te oefenen.

• 2. Voor het toezicht heeft de FG toegang tot alle ruimten waar een verwerking van persoonsgegevens plaatsvindt en is de FG bevoegd apparatuur, programmatuur, gegevensbestanden, boeken en bescheiden te onderzoeken en zich de werking van apparatuur en programmatuur te doen tonen.

• 3. Alle personen die kennis hebben van een verwerking van persoonsgegevens en/of die bij een verwerking van persoonsgegevens zijn betrokken, verstrekken de FG desgevraagd alle inlichtingen en verlenen alle overige medewerking die deze voor de uitoefening van zijn of haar taken behoeft.

• 4. Aan de FG worden de benodigde middelen ter beschikking gesteld voor het vervullen van zijn of haar taken en het in stand houden van zijn of haar deskundigheid.

• 5. Indien de FG dit redelijkerwijs nodig acht, kan deze, na afstemming met de directeur, bij te verrichten onderzoek gebruik maken van externe expertise, bijvoorbeeld voor het inwinnen van juridisch of ICT advies.

• 6. De FG kan voor de uitoefening van zijn of haar taken aanspraak maken op secretariële ondersteuning voor het plannen en beheren van afspraken.

Artikel 4 De informatiepositie van de FG

• 1. Het dagelijks bestuur en de directie van de Omgevingsdienst Midden-Holland zorgen ervoor dat de FG tijdig en naar behoren op de hoogte gesteld wordt van alle zaken die de taken en verantwoordelijkheden van de FG raken.

• 2. De FG zal worden uitgenodigd voor relevante vergaderingen en overleggen en zal toegang hebben tot de agenda van vergaderingen en overleggen zodat deze zich zo nodig naar aanleiding van een agendapunt kan laten uitnodigen.

• 3. Met het betrekken van de FG hoeft niet gewacht te worden tot alle relevante feiten en omstandigheden bekend zijn. Waar mogelijk worden ontwikkelingen en voornemens al met de FG gedeeld, zelfs terwijl ze zich nog in de oriëntatiefase bevinden. Zo kan deze daarop al informeel reageren en kunnen eventuele aandachtspunten vroeg worden benoemd en worden meegenomen in de verdere uitwerking.

• 4. Het bestuur en de directeur van de Omgevingsdienst Midden-Holland dragen er zorg voor de FG ook tijdig en naar behoren te betrekken voor advies in andere processen, dan in de bedrijfsprocessen waarin persoonsgegevens of politiegegevens verwerkt worden, of bij andere aangelegenheden die persoonsgegevens raken en/of de bescherming van politiegegevens betreffen, waaronder inbegrepen, maar niet beperkt tot, inkoopprocessen en aanbestedingen, informatie-architectuur, en projecten en programma’s.

Artikel 5 Het FG-advies

• 1. Het advies van de FG kan formeel of informeel van aard zijn.

• 2. Een formeel FG-advies zal altijd schriftelijk worden gegeven. Informeel advies is vormvrij.

• 3. Een formeel FG-advies is zwaarwegend, maar is niet dwingend. Afwijken van het formele advies van de FG is mogelijk, maar dient altijd schriftelijk en gemotiveerd te gebeuren en vastgelegd te worden.

• 4. In het geval dat bij besluitvorming wordt afgeweken van het formele FG-advies worden voorafgaand aan de besluitvorming de volgende stappen doorlopen:

  • Door of namens degene die verantwoordelijk is voor de besluitvorming zal afstemming worden gezocht met de FG teneinde een gedeeld beeld te hebben over de feiten, interpretatieverschillen over het advies te voorkomen, en te identificeren waar specifiek de verschillen van inzicht in zitten;

  • Indien dan het voornemen bestaat af te wijken van het formele FG-advies, zal dit voornemen tijdig en voorzien van een schriftelijke motivering aan de FG kenbaar worden gemaakt;

  • Alvorens het besluit genomen wordt, wordt aan de FG de mogelijkheid geboden voor een afsluitende reactie.

• 5. Alle bij de onder lid 4. beschreven stappen betrokken stukken worden opgeslagen en bewaard ten behoeve van verantwoordingsdoeleinden.

Artikel 6 Betrekken van de FG bij de afhandeling van datalekken

• 1. De FG wordt onmiddellijk geïnformeerd na vaststelling van een datalek dat mogelijk bij de Autoriteit Persoonsgegevens gemeld moet worden.

• 2. Bij niet-meldingsplichtige datalekken kan volstaan worden met het informeren van de FG na afhandeling.

Artikel 7 Betrekken van de FG bij data protection impact assessments (DPIA's)

• 1. De FG voert geen DPIA’s uit, maar kan daarover adviseren en ziet erop toe dat DPIA’s worden uitgevoerd overeenkomstig wet- en regelgeving. Tevens toetst de FG de uitkomsten van de DPIA en ziet hij erop toe dat de aanbevelingen uit DPIA’s worden opgevolgd.

• 2. Wanneer de uitvoering van een DPIA overwogen wordt, wordt de FG om advies gevraagd over:

  • de afweging om wel of niet een DPIA uit te voeren;

  • de onderzoeksmethode die geschikt is voor de DPIA;

  • de vraag of de organisatie de DPIA zelf uitvoert of dat hiervoor een extern deskundig wordt ingeschakeld

• 3. Iedere uitgevoerde DPIA zal aan de FG worden voorgelegd voor een toets van de uitkomsten aan de wet en, voor zover van toepassing, op de maatregelen die reeds genomen zijn of die nog aanbevolen worden om de risico’s voor betrokkenen te beperken. De FG legt zijn oordeel vast in een formeel advies. Dat advies en wat ermee gedaan is, wordt in het DPIA-rapport opgenomen.

• 4. Op het FG-advies over een DPIA is artikel 5 van deze regeling onverkort van toepassing.

• 5. Indien uit de DPIA is gebleken dat de gegevensverwerking een hoog risico voor betrokkenen oplevert en het niet mogelijk is dit risico te beperken, dan zal de FG om advies gevraagd worden over de aanvraag van een voorafgaande raadpleging conform artikel 36 AVG of artikel 33b Wpg bij de Autoriteit Persoonsgegevens.

Artikel 8 Inwerkingtreding en citeertitel

• 1. Dit besluit wordt bekendgemaakt in het Blad gemeenschappelijke regelingen en treedt in werking op de dag na publicatie.

• 2. Dit besluit wordt aangehaald als “FG-reglement Omgevingsdienst Midden-Holland”.

Vastgesteld in de vergadering van het dagelijks bestuur van de Omgevingsdienst Midden-Holland d.d. 2 oktober 2025

De voorzitter,

T. van Vugt

De secretaris,

A. Mutter