Reglement Functionaris voor de gegevensbescherming

Artikel 1 Introductie

De Algemene Verordening Gegevensbescherming (AVG) die per 25 mei 2018 de Wet bescherming persoonsgegevens (Wbp) vervangt, geeft regels en verplichtingen ten aanzien van het verwerken van persoonsgegevens. Een van deze verplichtingen is dat overheidsinstanties, waaronder de decentrale overheid, verplicht zijn om een Functionaris voor de gegevensbescherming (FG) aan te stellen. De belangrijkste taak van de FG is dat deze onafhankelijk toezicht en controle houdt op de naleving van de wijze waarop door de organisatie met persoonsgegevens wordt omgegaan. Door het aanstellen van een FG wordt tevens een belangrijke stap gezet in de manier waarop de gemeente aan haar burgers wil uitdragen dat zij serieus omgaat met de verwerking van persoonsgegevens. Zodoende heeft de gemeente ’s-Hertogenbosch medio 2017 middels het College een FG aangesteld om reeds tijdig te voldoen aan deze verplichtingen.

De bepalingen, verplichtingen en bevoegdheden zijn gebaseerd op de in de Algemene Verordening Gegevensbescherming gestelde eisen en op grond van de in artikel 37 AVG opgenomen verplichting voor overheidsinstanties om per 25 mei 2018 (inwerkingtreding AVG) een FG aan te stellen.

Artikel 2 Verantwoordelijke

De verantwoordelijke voor de verwerking van persoonsgegevens, het College respectievelijk burgemeester, en/of de gemeentelijke organisatie dient ervoor te zorgen dat de onafhankelijke positie van de FG is gewaarborgd. Zodoende stelt de verantwoordelijke de FG in de gelegenheid zijn taak zelfstandig, onafhankelijk en naar behoren uit te kunnen oefenen.

Artikel 3 Positie FG

De FG kan voor wat betreft de uitoefening van zijn functie geen aanwijzingen ontvangen van de verantwoordelijke of van de gemeentelijke organisatie. Ook ondervindt de FG geen nadeel van de uitoefening van zijn taak. Desgewenst kan hij de kantonrechter verzoeken te bepalen dat de verantwoordelijke ervoor moet zorgen dat de FG geen nadeel ondervindt in de uitoefening van zijn taak

Artikel 4 Taken en verantwoordelijkheden

Het is van groot belang dat de FG zijn taken en bevoegdheden onafhankelijk en zonder enige belemmering kan uitoefenen. Deze verplichting valt onder de verantwoordelijke, het College, de burgemeester of gemeentelijke organisatie. Zij dient er ook op toe te zien dat de FG geen instructies ontvangt met betrekking tot de uitvoering van de taken. De FG heeft een belangrijke coördinerende rol en adviseert over oplossingen over privacy. Vanuit een onafhankelijke positie houdt de FG intern toezicht op de manier waarop door de gemeente wordt omgegaan met persoonsgegevens. Belangrijk is ook dat hij aan de voorkant een rol speelt bij de inrichting van processen. En als laatste is de FG het formele aanspreekpunt voor burgers als zij hun rechten als betrokkene willen uitoefenen.

De taken van de FG zijn:

• a.

  toezicht houden op de verwerking van persoonsgegevens en naleving hiervan door de gemeente ’s-Hertogenbosch, en houdt toezicht op het gemeentelijk privacy- en beveiligingsbeleid en de naleving hiervan door middel van advisering en controles.  

• b.

  gevraagd en ongevraagd signaleren, adviseren en informeren van de gemeente en de verwerkers die namens de gemeente persoonsgegevens verwerken over hun verplichtingen aangaande de Wet bescherming persoonsgegevens en diens opvolger per 25 mei 2018 de Algemene Verordening Gegevensbescherming, andere EU wet- en regeling en nationale bepalingen omtrent gegevensbescherming en overige onderwerpen die de privacy betreffen. 

• c.

  zorgdragen voor de inventarisatie van de verwerkingsprocessen en het beheren van meldingen van verwerkingen in het register van de Autoriteit Persoonsgegevens. 

• d.

  is verantwoordelijk voor de coördinatie van de werkprocessen in geval van datalekken en het beheren van het logboek en register inzake datalekken.  

• e.

  is het aanspreekpunt en de contactpersoon aangaande privacy, voor zowel de Autoriteit Persoonsgegevens, de interne organisatie als externe organisaties. 

• f.

  indien een betrokkene zijn rechten op grond van de Wet bescherming persoonsgegevens dan wel de Algemene Verordening Gegevensbescherming wil uitoefenen of een klacht heeft ten aanzien van de verwerking van persoonsgegevens, dan zal de FG altijd worden betrokken in de besluitvorming ten aanzien van de uitoefening van deze rechten, en desgewenst een onafhankelijke bemiddelende rol spelen in de oplossing van de klacht.  

• g.

  het toezien op toewijzing van verantwoordelijkheden, bewustmaking en opleiding van bij de verwerking betrokken medewerkers en de betreffende audits;  

• h.

  het communiceren met de gemeentelijke diensten en medewerkers over alle ontwikkelingen op het gebied van techniek en wetgeving die relevant zijn voor het gemeentelijk privacy- en beveiligingsbeleid; 

• i.

  het geven van een bindend advies met betrekking tot de Privacy Impact Assessment/Data Protection Impact Assessment (PIA/DPIA) en het toezien of de uitvoering daarvan in overeenstemming is met de Algemene Verordening Gegevensbescherming. Dit in verband met de verplichting dat voordat een beslissing wordt genomen over nieuwe of wijzigingen van bestaande verwerkingen door middel van een PIA/DPIA wordt aangetoond dat de privacy voldoende is gewaarborgd en worden de al dan niet te nemen maatregelen gemotiveerd.

Artikel 5 Toezicht en onderzoek

Vanuit zijn onafhankelijke toezichthoudende functie dient de FG te beschikken over alle bevoegdheden die hem in staat stellen om zijn taken naar behoren uit te kunnen oefenen. De FG heeft bij twijfel of verschil van mening over de wijze waarop verwerkingen van persoonsgegevens dienen plaats te vinden de doorslaggevende stem.

De verantwoordelijke en de personen die bij een verwerking van persoonsgegevens zijn betrokken verstrekken desgevraagd de FG alle inlichtingen en verlenen alle overige medewerking die hij voor de uitoefening van zijn taak behoeft. Hiervoor heeft de FG toegang tot alle ruimten, waar een verwerking van persoonsgegevens plaatsvindt. En is de FG bevoegd apparatuur, programmatuur, gegevensbestanden, boeken en bescheiden te onderzoeken en zich de werking van apparatuur en programmatuur te doen tonen.

De FG dient zelfstandig en onafhankelijk over zijn bevindingen aan de verantwoordelijke te rapporteren. Daarbij geeft de FG aanbevelingen over te nemen maatregelen, die een goede werking van de verwerking van persoonsgegevens moeten helpen waarborgen. Verder kan de FG een onderzoek instellen naar de wijze waarop in verband met de verwerking van persoonsgegevens, in een bepaald geval dan wel in het algemeen belang, de persoonlijke levenssfeer wordt beschermd.

Indien de FG dit naar redelijkheid nodig acht, kan de FG kan voor zijn onderzoek gebruik maken van de diensten van derden.

Artikel 6 Meldingsregister

Er gelden verplichtingen ten aanzien van het al dan niet melden van de wijze waarop bepaalde verwerkingen van of incidenten met persoonsgegevens plaatsvinden. Dit kan bestaan uit het melden van de verwerking of de registratie hiervan. Een voorbeeld hiervan is de melding en registratie van een datalek. De FG draagt namens de gemeente zorg voor de juiste en correcte melding en registratie van dergelijke verwerkingen van persoonsgegevens.

Voor de gemeente geldt een belangrijke verplichting om beveiligingsincidenten die kunnen of moeten worden aangemerkt als een datalek te melden bij de Autoriteit Persoonsgegevens.

Indien het verlies of misbruik van persoonsgegevens betreft die ernstige nadelige gevolgen voor de burger of betrokkene kunnen hebben, zal dit ook aan deze betrokkenen kenbaar moeten worden gemaakt. Deze incidenten dienen door de gemeente gedocumenteerd te worden. De FG houdt namens de gemeente dit logboek bij van (potentiële) datalekken.

In het logboek worden in ieder geval de volgende gegevens vermeld:

• a.

  het onderwerp van het datalek.

• b.

  de datum van het datalek;

• c.

  de duur van het datalek;

• d.

  de aard van de inbreuk;

• e.

  de instanties waar meer informatie over de inbreuk kan worden verkregen;

• f.

  de aanbevolen maatregelen om de negatieve gevolgen van de inbreuk gevolgen te beperken.

• g.

  een beschrijving van de gevolgen voor de verwerkte persoonsgegevens;

• h.

  de maatregelen die de gemeente heeft getroffen of voorstelt te treffen om deze gevolgen te verhelpen;

• i.

  de kennisgeving aan betrokkenen.