Reglement Functionaris voor de Gegevensbescherming

Het college van Burgemeester en Wethouders,

In zijn vergadering van 7 mei 2019,

Gezien het voorstel met reg.nr. 8906254,

overwegende dat het Reglement Functionaris voor de Gegevensbescherming de kaders geeft voor de wijze waarop de Functionaris voor de Gegevensbescherming van de gemeente ’s-Hertogenbosch de taken en bevoegdheden onafhankelijk en zonder enige belemmering kan uitoefenen,

B E S L U I T:

het Algemeen Privacyreglement vast te stellen.

Reglement Functionaris voor de Gegevensbescherming

In dit reglement geeft de gemeente ’s-Hertogenbosch de kaders weer voor de wijze waarop de Functionaris voor de gegevensbescherming van de gemeente ’s-Hertogenbosch de taken en bevoegdheden onafhankelijk en zonder enige belemmering kan uitoefenen.

1. Introductie

De Algemene Verordening Gegevensbescherming (AVG) geeft regels en verplichtingen ten aanzien van het verwerken van persoonsgegevens. Een van deze verplichtingen is dat overheidsinstanties, waaronder de decentrale overheid, verplicht zijn om een Functionaris voor de Gegevensbescherming (FG) aan te stellen. De belangrijkste taak van de FG is dat deze onafhankelijk toezicht en controle houdt op de naleving van de wijze waarop door de organisatie met persoonsgegevens wordt omgegaan. Door het aanstellen van een FG wordt tevens een belangrijke stap gezet in de manier waarop de gemeente aan haar burgers wil uitdragen dat zij serieus omgaat met de verwerking van persoonsgegevens. Zodoende heeft de gemeente ’s-Hertogenbosch medio 2017 middels het College een FG aangesteld om tijdig te voldoen aan deze verplichtingen.

De bepalingen, verplichtingen en bevoegdheden zijn gebaseerd op de in de AVG gestelde eisen en op grond van de in artikel 37 tot en met artikel 39 AVG en de in artikel 39 UAVG opgenomen verplichting voor overheidsinstanties om een FG aan te stellen.

2. Verantwoordelijke

De verantwoordelijke voor de verwerking van persoonsgegevens, het College van B&W respectievelijk burgemeester, en/of de gemeentelijke organisatie dient ervoor te zorgen dat de onafhankelijke positie van de FG is gewaarborgd. Zodoende stelt de verantwoordelijke de FG in de gelegenheid de taken zelfstandig, onafhankelijk en naar behoren uit te kunnen oefenen.

3. Positie FG

De FG kan voor wat betreft de uitoefening van de functie geen aanwijzingen ontvangen van de verantwoordelijke of van de gemeentelijke organisatie. Ook ondervindt de FG geen nadeel van de uitoefening van de taken. Desgewenst kan de FG de kantonrechter verzoeken te bepalen dat de verantwoordelijke ervoor moet zorgen dat de FG geen nadeel ondervindt in de uitoefening van de taken.

4. Taken en verantwoordelijkheden

Het is van groot belang dat de FG de taken en bevoegdheden onafhankelijk en zonder enige belemmering kan uitoefenen. De verantwoordelijke dient er op toe te zien dat de FG geen instructies ontvangt met betrekking tot de uitvoering van de taken. De FG heeft een belangrijke coördinerende rol en adviseert over oplossingen over privacy. Vanuit een onafhankelijke positie houdt de FG intern toezicht op de manier waarop door de gemeente wordt omgegaan met persoonsgegevens. Belangrijk is ook dat de FG aan de voorkant een rol speelt bij de inrichting van processen. En als laatste is de FG het formele aanspreekpunt voor burgers als zij hun rechten als betrokkene willen uitoefenen.

De taken van de FG zijn:

• a. toezicht houden op de verwerking van persoonsgegevens en naleving hiervan door de gemeente ’s-Hertogenbosch, en toezicht houden op het gemeentelijk privacy- en beveiligingsbeleid en de naleving hiervan door middel van advisering en controles.

• b. gevraagd en ongevraagd signaleren, adviseren en informeren van de gemeente, medewerkers en de verwerkers die namens de gemeente persoonsgegevens verwerken over hun verplichtingen vanuit de AVG, andere EU wet- en regeling en nationale bepalingen over gegevensbescherming en overige onderwerpen die de privacy betreffen.

• c. is verantwoordelijk voor de coördinatie van de werkprocessen in geval van datalekken en het beheren van het logboek en register inzake datalekken.

• d. is het aanspreekpunt en de contactpersoon aangaande privacy, voor zowel de Autoriteit Persoonsgegevens, de interne organisatie als externe organisaties.

• e. is verantwoordelijk voor de coördinatie van de werkprocessen in geval van verzoeken van de betrokkenen als bedoeld ‘de rechten van betrokkenen’ op grond van de AVG en klachten ten aanzien van de verwerking van persoonsgegevens. Bij de besluitvorming ten aanzien van de uitoefening van deze rechten wordt de FG betrokken. Desgewenst kan de FG een onafhankelijke bemiddelende rol spelen in de oplossing van een klacht.

• f. het toezien op toewijzing van verantwoordelijkheden, bewustmaking en opleiding van bij de verwerking betrokken medewerkers en de betreffende audits;

• g. het communiceren met de gemeentelijke diensten en medewerkers over alle ontwikkelingen op het gebied van techniek en wetgeving die relevant zijn voor het gemeentelijk privacy- en beveiligingsbeleid;

• h. het geven van een bindend advies met betrekking tot de Privacy Impact Assessment/Data Protection Impact Assessment (PIA/DPIA) en het toezien of de uitvoering daarvan in overeenstemming is met de Algemene Verordening Gegevensbescherming. Dit in verband met de verplichting dat voordat een beslissing wordt genomen over nieuwe of wijzigingen van bestaande verwerkingen door middel van een PIA/DPIA wordt aangetoond dat de privacy voldoende is gewaarborgd en worden de al dan niet te nemen maatregelen gemotiveerd.

5. Toezicht en onderzoek

Vanuit de onafhankelijke toezichthoudende functie dient de FG te beschikken over alle bevoegdheden die de FG in staat stellen om de taken naar behoren uit te kunnen oefenen. De FG heeft bij twijfel of verschil van mening over de wijze waarop verwerkingen van persoonsgegevens dienen plaats te vinden de doorslaggevende stem.

De verantwoordelijke en de personen die bij een verwerking van persoonsgegevens zijn betrokken verstrekken desgevraagd de FG alle inlichtingen en verlenen alle overige medewerking die de FG voor de uitoefening van de taak nodig heeft. Hiervoor heeft de FG toegang tot alle ruimten waar een verwerking van persoonsgegevens plaatsvindt. Ook is de FG bevoegd om apparatuur, programmatuur, gegevensbestanden, boeken en bescheiden te onderzoeken en zich de werking van apparatuur en programmatuur te doen tonen.

De FG dient zelfstandig en onafhankelijk bevindingen aan de verantwoordelijke te rapporteren. Daarbij geeft de FG aanbevelingen over de te nemen maatregelen, die een goede werking van de verwerking van persoonsgegevens moeten helpen waarborgen. Verder kan de FG een onderzoek instellen naar de wijze waarop in verband met de verwerking van persoonsgegevens, in een bepaald geval dan wel in het algemeen belang, de persoonlijke levenssfeer wordt beschermd.

Indien de FG dit naar redelijkheid nodig acht, kan de FG kan voor het onderzoek gebruik maken van de diensten van derden.

6. Meldingsregister

Er gelden verplichtingen ten aanzien van het al dan niet melden van de wijze waarop bepaalde verwerkingen van of incidenten met persoonsgegevens plaatsvinden. Dit kan bestaan uit het melden van de verwerking of de registratie hiervan. Een voorbeeld hiervan is de melding en registratie van een datalek. De FG draagt namens de gemeente zorg voor de juiste en correcte melding en registratie van dergelijke verwerkingen van persoonsgegevens.

Voor de gemeente geldt een belangrijke verplichting om beveiligingsincidenten die kunnen of moeten worden aangemerkt als een datalek te melden bij de Autoriteit Persoonsgegevens. Indien het verlies of misbruik van persoonsgegevens betreft die ernstige nadelige gevolgen voor de burger of betrokkene kunnen hebben, zal dit ook aan deze betrokkenen kenbaar moeten worden gemaakt. Deze incidenten dienen door de gemeente gedocumenteerd te worden. De FG houdt namens de gemeente dit logboek bij van (potentiële) datalekken.

In het logboek worden in ieder geval de volgende gegevens vermeld:

• a. het onderwerp van het datalek.

• b. de datum van het datalek;

• c. de duur van het datalek;

• d. de aard van de inbreuk;

• e. de instanties waar meer informatie over de inbreuk kan worden verkregen;

• f. de aanbevolen maatregelen om de negatieve gevolgen van de inbreuk gevolgen te beperken.

• g. een beschrijving van de gevolgen voor de verwerkte persoonsgegevens;

• h. de maatregelen die de gemeente heeft getroffen of voorstelt te treffen om deze gevolgen te verhelpen;

• i. de kennisgeving aan betrokkene.

De waarnemend secretaris,

mr. drs. J.W. Hansum MBA MCM

De Burgemeester,

drs. J.M.L.N. Mikkers