Statuut Functionaris voor de gegevensbescherming van de gemeente Groningen

HET COLLEGE VAN BURGEMEESTER EN WETHOUDERS VAN GRONINGEN,

 

Gelet op het gestelde in:

 

  • -

    artikel 37 van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 e.v. betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens;

  • -

    artikel 36 van de Wet politiegegevens (Wpg) van 21 juli 2007 inzake de verwerking van politiegegevens;

  • -

    de Richtlijnen voor functionarissen voor gegevensbescherming van de werkgroep 29 opgericht op grond van artikel 29 van Richtlijn 95/46/EG, een onafhankelijk Europees adviesorgaan inzake gegevensbescherming en de persoonlijke levenssfeer;

  • -

    het Organisatiebesluit van de gemeente Groningen 2024, vastgesteld door het college van burgemeester en wethouders van de gemeente Groningen;

  • -

    in het Privacybeleid van de gemeente Groningen, vastgesteld door het college van burgemeester en wethouders van de gemeente Groningen;

  • -

    de artikelen 37 en volgende van de AVG, 36 en volgende van de Wpg, de Richtlijnen voor functionarissen voor gegevensbescherming (werkgroep 29) en titel 5.2 van de Algemene wet bestuursrecht.

Besluit:

 

vast te stellen het volgende statuut:

 

Statuut Functionaris voor de gegevensbescherming van de gemeente Groningen

ARTIKEL 1 – DUIDING VAN DE REGELING

Het doel van dit statuut is om, aanvullend op de eerder genoemde bepalingen, de taken, bevoegdheden, positie en waarborgen voor de onafhankelijkheid van de Functionaris Gegevensbescherming (FG) binnen de gemeente Groningen vast te leggen, conform de vereisten uit de AVG, de Uitvoeringswet AVG en de Wpg.

 

Deze regeling dient als een hulpmiddel en biedt geen volledige weergave van de praktijk. Het blijft daarom van belang dat de organisatie ook in situaties die niet expliciet in deze regeling zijn opgenomen, beoordeelt of de FG betrokken moet worden.

ARTIKEL 2 – SCOPE

Tot de scope van het toezicht door de FG behoren alle domeinen die onderdeel zijn van de gemeente Groningen evenals de gemeenschappelijke regelingen die zelfstandig bestuursorgaan zijn.

ARTIKEL 3 – AANWIJZING EN POSITIE

  • 1.

    De FG wordt formeel aangewezen door het college van burgemeester en wethouders van de gemeente Groningen.

  • 2.

    De FG is onafhankelijk in de uitvoering van zijn of haar taken en wordt niet inhoudelijk aangestuurd en ontvangt geen instructies met betrekking tot de uitoefening van deze taken zodat deze onafhankelijk kunnen worden vervuld.

  • 3.

    De FG kan voor zaken inzake bescherming van persoonsgegevens rechtstreeks het college adviseren.

  • 4.

    De FG is organisatorisch gepositioneerd bij concerncontrol waardoor effectieve uitoefening van de functie gewaarborgd is.

  • 5.

    De FG wordt vroegtijdig betrokken bij aangelegenheden die verband houden met de bescherming van persoonsgegevens. Hierbij is het belangrijk dat de organisatie er voor zorgt dat:

    • a.

      de FG regelmatig wordt uitgenodigd om vergaderingen van het hogere management en het middenkader bij te wonen en tenminste wanneer beslissingen worden genomen die gevolgen hebben voor de gegevensbescherming;

    • b.

      de FG vooraf alle relevantie informatie ontvangt over voorgenomen aanpassingen in de gegevensbescherming, zodat de FG in een vroeg stadium een passend advies kan geven;

    • c.

      het advies van de FG naar behoren in overweging wordt genomen. Indien (gedeeltelijk) van het advies wordt afgeweken, wordt het niet volgen van het advies gemotiveerd en gedocumenteerd. De FG wordt hiervan tijdig op de hoogte gebracht;

    • d.

      de FG meteen wordt geconsulteerd zodra zich een gegevensinbreuk of ander incidenten waarbij gegevensbescherming dreigt in het geding te komen.

  • 6.

    De FG is zichtbaar in de organisatie en is direct, zonder tussenkomst van anderen, benaderbaar en aanspreekbaar.

  • 7.

    De FG grijpt in wanneer (mogelijke) fouten of risico’s worden gesignaleerd bij (voorgenomen) verwerkingen van persoonsgegevens. De FG spreekt de ambtelijke organisatie hierop aan en, indien de situatie escaleert, moet de FG de mogelijkheid hebben om haar zorgen op het hoogste bestuurlijke niveau kenbaar te maken. De organisatie faciliteert deze escalatie en waarborgt dat de FG zonder belemmering toegang heeft tot dit niveau.

  • 8.

    De FG ondervindt geen nadeel van de uitoefening van deze rol.

ARTIKEL 4 – BEVOEGDHEDEN EN TAKEN

  • 1.

    De FG informeert en adviseert de gemeente en de medewerkers die namens de gemeente persoonsgegevens verwerken ten behoeve van hun verplichtingen uit hoofde van de AVG/Wpg en andere (Europese) wet- en regelgeving en nationale bepalingen omtrent gegevensbescherming.

  • 2.

    De FG houdt toezicht op de naleving van wet- en regelgeving inzake de verwerking- en bescherming van persoonsgegevens en beoordeelt in samenwerking met de CISO of de beveiligingsmaatregelen die daarop betrekking hebben passend en toereikend zijn overeenkomstig artikel 32 AVG.

  • 3.

    De FG geeft gevraagd en ongevraagd advies aan de organisatie en de verwerkers die namens de organisatie persoonsgegevens verwerkt over onder andere:

    • •

      hun verplichtingen aangaan de Algemene Verordening Gegevensbescherming;

    • •

      hun verplichtingen aangaande de Wet politiegegevens

    • •

      andere Europese wet- en regeling en nationale bepalingen omtrent gegevensbescherming;

    • •

      overige onderwerpen die de gegevensbescherming betreffen.

  • 4.

    De FG wordt betrokken bij de beoordeling en afhandeling van datalekken en vervult daarbij een adviserende en toezichthoudende rol. De verantwoordelijkheid voor de uitvoering van het datalekkenproces berust bij de organisatie. De FG ziet vanuit de onafhankelijke positie toe op de naleving van de AVG en rapporteert bevindingen en aanbevelingen aan het verantwoordelijke management.

  • 5.

    De FG werkt samen met de toezichthoudende autoriteit en treedt op als contactpunt inzake met verwerking van persoonsgegevens verband houdende aangelegenheden, met inbegrip van het in artikel 36 bedoelde voorafgaande raadpleging, en, waar passend, overleg plegen over enig andere aangelegenheid (art 39, lid 1, d en e). De FG fungeert als contactpunt voor zowel de Autoriteit Persoonsgegevens, de interne organisatie als externe organisaties.

  • 6.

    De FG heeft een ombudsfunctie, waarbij betrokkenen rechtstreeks contact op kunnen nemen over alle aangelegenheden die verband houden met de verwerking van hun persoonsgegevens en met de uitoefening van hun rechten.

  • 7.

    De FG ziet toe dat privacy-en gegevensbeschermingsverantwoordelijkheden zijn toegewezen en dat de organisatie voldoet aan de verantwoordingsplicht inzake bewustmaking en opleiding van bij de verwerking betrokken medewerkers en het uitvoeren van audits.

  • 8.

    De organisatie betrekt de FG tijdig bij ontwikkelingen op het gebied van techniek, organisatie en wetgeving voor zover deze gevolgen kunnen hebben voor de verwerking en/of bescherming van persoonsgegevens. De FG ontvangt daarbij alle relevante informatie om de betrokken gemeentelijke diensten gevraagd en ongevraagd te kunnen adviseren over de rechtmatige verwerking van persoonsgegevens en, in samenwerking met de CISO, de toereikendheid van beveiligingsmaatregelen die daarop betrekking hebben.

  • 9.

    De FG heeft, in het kader van haar wettelijke taken en verantwoordelijkheden zoals vastgelegd in de AVG op verzoek (tijdelijk) onbelemmerde toegang tot alle fysieke en digitale locaties waar persoonsgegevens worden verwerkt. Deze toegang is noodzakelijk om toezicht te houden op de naleving van de AVG/Wpg, interne beleidsregels en om toezicht, controles en onderzoeken uit te voeren. De FG maakt van deze bevoegdheid uitsluitend gebruik voor het vervullen van haar toezichthoudende taak en met inachtneming van vertrouwelijkheid en proportionaliteit.

  • 10.

    Het advies van de FG is zwaarwegend en kan niet zomaar terzijde worden gelegd. Als de gemeente afwijkt van het advies van de FG, is zij hierover transparant naar de FG en wordt de afwijking schriftelijk gemotiveerd.

  • 11.

    De FG krijgt ruimte voor professionele uitvoering van bovengenoemde taken en wordt de benodigde middelen ter beschikking gesteld voor het vervullen van de genoemde taken, onderzoek en het in stand houden van haar deskundigheid. Deze middelen moeten in verhouding staan met de complexiteit van gegevensverwerkingen binnen de gemeente.

ARTIKEL 5 – AUTORITEIT PERSOONSGEGEVENS

  • 1.

    De FG neemt een centrale positie in bij contacten tussen de Autoriteit Persoonsgegevens (AP) en de organisatie. In die positie moet de FG op de hoogte zijn van de communicatie van de AP met de organisatie.

  • 2.

    Wanneer de AP contact heeft met de organisatie wordt de FG (direct of zo snel mogelijk erna) hiervan op de hoogte gesteld. Het is de verantwoordelijkheid van de organisatie om de FG tijdig en naar behoren te informeren.

  • 3.

    De FG fungeert als primair aanspreekpunt voor betrokkenen (zoals inwoners, klanten en medewerkers) die een klacht of vraag hebben over de verwerking van hun persoonsgegevens door de organisatie. Hoewel betrokkenen altijd het recht behouden om zich rechtstreeks tot de AP te wenden, wijst de AP actief op de voorkeur om eerst contact op te nemen met de FG. De FG zorgt voor een laagdrempelige en zorgvuldige behandeling van dergelijke verzoeken.

  • 4.

    Indien de AP besluit een formeel onderzoek te starten, heeft de FG vanaf dat moment geen inhoudelijke betrokkenheid bij het onderzoek. De AP communiceert niet met de FG over de inhoud van het onderzoek. Deze scheiding waarborgt de onafhankelijkheid van het onderzoek en beschermt de positie van de FG.

  • 5.

    De AP kan bij haar beeld- en oordeelsvorming adviezen van de FG aan de organisatie opvragen en betrekken. Indien de FG dit aangewezen acht, wordt de organisatie hierover geïnformeerd, zodat transparantie en zorgvuldigheid in de communicatie worden gewaarborgd. Dit doet geen afbreuk aan de onafhankelijke taakuitoefening van de FG.

  • 6.

    Het is voor de FG niet gepast om in een juridische procedure namens de organisatie te spreken, omdat dit zijn of haar onafhankelijke positie aantast. De organisatie kan wel voor het reguliere contact met de AP verzoeken om de FG als primair aanspreekpunt (informatieknooppunt) te laten fungeren. Afhankelijk van de fase en aard van het contact kan de AP dit toestaan.

ARTIKEL 6 – BENOEMING FG EN VERVANGING

  • 1.

    Conform het organisatiebesluit van de gemeente wijst het college de FG aan voor het toezien op naleving van Algemene verordening gegevensbescherming, de Wet politiegegevens en andere EU wet- en regelgeving en nationale bepalingen omtrent gegevensbescherming.

  • 2.

    Het college wijst tevens een vervanger aan die de taken waarneemt bij diens afwezigheid.

ARTIKEL 7 – ALGEMENE WET BESTUURSRECHT

De organisatie draagt er zorg voor dat de FG ter vervulling van haar taak over bevoegdheden beschikt die gelijkwaardig zijn aan de bevoegdheden zoals geregeld in titel 5.2 van de Algemene wet bestuursrecht.

ARTIKEL 8 - RAPPORTAGE EN BESTUURLIJKE OVERLEGGEN

  • 1.

    Met inachtneming van de onafhankelijke positie adviseert de FG het college van burgemeester en wethouders rechtstreeks over aangelegenheden inzake de bescherming van persoonsgegevens. Indien de FG van deze bevoegdheid gebruikmaakt, wordt de gemeentesecretaris hiervan in kennis gesteld.

  • 2.

    De FG brengt ten minste eenmaal per jaar een verslag uit aan het college van burgemeester en wethouders over de naleving van de AVG en de Wpg en de belangrijkste ontwikkelingen op het gebied van gegevensbescherming.

  • 3.

    Het jaarverslag van de FG zal door het college van burgemeester en wethouders aangeboden worden aan de gemeenteraad.

  • 4.

    De FG overlegt met een vaste frequentie met de burgemeester als vakinhoudelijk verantwoordelijke.

  • 5.

    De FG overlegt met een vaste frequentie met de gemeentesecretaris als ambtelijk verantwoordelijke.

ARTIKEL 9 – GEHEIMHOUDING

De FG is verplicht tot geheimhouding van alle vertrouwelijke informatie die hij/zij bij de uitoefening van de functie verkrijgt, tenzij wettelijke verplichtingen anders voorschrijven.

ARTIKEL 10 – INWERKINGTREDING

Dit statuut treedt in werking op de dag na bekendmaking.

Aldus vastgesteld door het college van burgemeester en wethouders van de gemeente Groningen op 8 september 2026.

Namens het college,

Burgemeester,

Roelien Kamminga

Secretaris,

Sander Gerritsen

Naar boven