Raadsvoorstel Verwerkingsregister en beleid omgang persoonsgegevens gemeenteraad Alkmaar 2026 en aanwijzen FG (functionaris voor gegevensbescherming)
Tekst van het document
RAADSVOORSTEL
Raadsvergadering:
19 februari 2026
Agendapunt: Commissie:
Bestuur en middelen
Portefeuillehouder:
n.v.t.
Onderwerp: Verwerkingsregister en beleid omgang persoonsgegevens gemeenteraad Alkmaar 2026 en aanwijzen FG (functionaris voor gegevensbescherming)
Voorgesteld besluit 1.
Mevrouw I. Borgart aan te wijzen als functionaris voor gegevensbescherming als bedoeld in de Algemene Verordening Gegevensbescherming (AVG);
2.
Voornoemde aanwijzing te melden bij de Autoriteit Persoonsgegevens;
3.
Het verwerkingsregister gemeenteraad Alkmaar 2026 en beleid omgang persoonsgegevens gemeenteraad Alkmaar 2026 ter kennisgeving aan te nemen.
Samenvatting In mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) in werking getreden. Deze Europese verordening geldt in alle lidstaten van de Europese Unie en bevat regels ter bescherming van natuurlijke personen bij de verwerking van persoonsgegevens. De AVG verplicht overheidsorganen onder meer tot het bijhouden van een verwerkingsregister en het aanwijzen van een functionaris voor gegevensbescherming. Voor de gemeente Alkmaar is dit reeds ingericht. Aangezien de gemeenteraad echter een zelfstandig bestuursorgaan is en zelf ook persoonsgegevens verwerkt, is het passend dat de raad beschikt over een eigen verwerkingsregister. Met dit voorstel wordt de raad gevraagd het verwerkingsregister gemeenteraad Alkmaar 2026 en beleid omgang persoonsgegevens gemeenteraad Alkmaar 2026 vast te stellen. Het kader voor het verwerkingsregister en het beleid volgt uit de AVG en uit de Uitvoeringswet algemene verordening gegevensbescherming (hierna Uavg). De meest relevante bepalingen worden hieronder verder uitgewerkt. Artikel 4 AVG – Definities In artikel 4 AVG worden verschillende begrippen gedefinieerd die in de verordening worden gebruikt. De belangrijkste zijn: persoonsgegevens, verwerking, verwerkingsverantwoordelijke en verwerker. •
Persoonsgegevens zijn alle gegevens die iets vertellen over een persoon of waarmee je iemand direct of indirect kunt herkennen. Dit kan bijvoorbeeld gaan om een naam, adres, telefoonnummer of e-mailadres en locatie maar ook om gegevens zoals foto’s of ander
Verwerkingsregister en beleid omgang persoonsgegevens gemeenteraad Alkmaar 2026 en aanwijzen FG (functionaris voor gegevensbescherming)
1
beeldmateriaal, politieke voorkeur, financiële situatie of online identificatoren zoals een IPadres. •
Het verwerken van persoonsgegevens omvat binnen de AVG alles wat men met persoonsgegevens doet: van het verzamelen en opslaan, tot het gebruiken, doorgeven, aanpassen of verwijderen ervan. Zowel handmatig (op papier) als digitaal.
•
De verwerkingsverantwoordelijke is de natuurlijk persoon, rechtspersoon of overheidsinstantie die bepaalt waarom en hoe persoonsgegevens worden verwerkt. Met andere woorden: het orgaan dat beslist over het doel en de middelen van de verwerking.
•
De verwerker is de natuurlijk persoon, rechtspersoon of overheidsinstantie die de persoonsgegevens verwerkt namens de verwerkingsverantwoordelijke.
De definities van wat persoonsgegevens zijn en wat valt onder de verwerking daarvan zijn zeer ruim. Vrijwel alles wat de gemeenteraad doet valt onder de verwerking van persoonsgegevens. Voor de toepassing binnen de gemeenteraad geldt dat de verwerkingsverantwoordelijke de gemeenteraad zelf is, terwijl de griffie optreedt als verwerker. Let op: ook raadsfracties en individuele raadsleden zijn verwerkingsverantwoordelijk en dienen zich te houden aan de bepalingen van de AVG. Artikel 5 AVG – Beginselen inzake verwerking van persoonsgegevens Artikel 5 AVG bepaalt dat persoonsgegevens moeten worden verwerkt op een wijze die rechtmatig, behoorlijk en transparant is. De verwerking moet plaatsvinden op basis van vooraf vastgestelde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Daarnaast geldt dat de verwerking toereikend en ter zake dienend moet zijn, en beperkt blijft tot wat noodzakelijk is voor de doeleinden waarvoor de gegevens worden verwerkt. Artikel 6 AVG – Rechtmatigheid van de verwerking Artikel 6 AVG bepaalt dat er altijd een wettelijke grondslag moet zijn voor de verwerking van persoonsgegevens. De verordening noemt de volgende grondslagen: •
Toestemming van de betrokkene;
•
Noodzakelijk voor de uitvoering van een overeenkomst;
•
Noodzakelijk om te voldoen aan een wettelijke verplichting;
•
Noodzakelijk ter bescherming van vitale belangen van de betrokkene of van een ander natuurlijk persoon;
•
Noodzakelijk voor de vervulling van een taak van algemeen belang of in het kader van de uitoefening van openbaar gezag;
•
Noodzakelijk voor de behartiging van gerechtvaardigde belangen van de verwerkingsverantwoordelijke of een derde.
Voor overheidsinstanties geldt dat de grondslag van gerechtvaardigde belangen niet kan worden gebruikt voor verwerkingen die plaatsvinden in het kader van de uitoefening van hun wettelijke taken. De grondslag toestemming wordt vaak beschouwd als een restcategorie: wanneer geen van de andere grondslagen van toepassing is, moet uitdrukkelijke toestemming van de betrokkene worden verkregen. Hierbij geldt als belangrijke kanttekening dat toestemming op ieder moment weer kan worden ingetrokken.
Verwerkingsregister en beleid omgang persoonsgegevens gemeenteraad Alkmaar 2026 en aanwijzen FG (functionaris voor gegevensbescherming)
2
Artikel 9 AVG – Verwerking van bijzondere categorieën van persoonsgegevens Het verwerken van persoonsgegevens waaruit ras, etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen of waaruit het lidmaatschap van een vakbond blijkt, is verboden. Artikel 26 van de Uavg geeft hierop een duidelijke uitzondering als het gaat om de verwerking van politieke opvattingen die noodzakelijk zijn voor de vervulling van openbare functies, waaronder ook functies in bestuursorganen zoals de gemeenteraad vallen. Artikel 30 AVG – Register van verwerkingsactiviteiten Elke verwerkingsverantwoordelijke dient een register bij te houden van de verwerkingsactiviteiten die onder zijn verantwoordelijkheid plaatsvinden. Dat register bevat ten minste de volgende gegevens: •
de naam en contactgegevens van de verwerkingsverantwoordelijke en van de functionaris voor de gegevensbescherming;
•
de doeleinden van de verwerking;
•
een beschrijving van de categorieën van betrokkenen en van de categorieën persoonsgegevens;
•
de categorieën ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt;
•
indien van toepassing, doorgiften van persoonsgegevens aan een derde land of een internationale organisatie;
•
indien mogelijk, de beoogde termijnen voor het wissen van de verschillende categorieën van gegevens;
•
indien mogelijk, een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen zoals bedoeld in artikel 32, eerste lid AVG.
Artikel 37 AVG – Aanwijzing van de functionaris voor gegevensbescherming Artikel 37 AVG bepaalt in welke situaties een verwerkingsverantwoordelijke een functionaris voor gegevensbescherming (FG) moet aanwijzen. Dit is in ieder geval verplicht wanneer de verwerking van persoonsgegevens wordt verricht door een overheidsinstantie of -orgaan. De taken van de functionaris voor gegevensbescherming staan opgesomd in artikel 39 AVG en zijn als volgt: •
de verwerkingsverantwoordelijke, de verwerker en de medewerkers die persoonsgegevens verwerken informeren en adviseren over hun verplichtingen op grond van de AVG en andere toepasselijke wetgeving;
•
toezien op de naleving van de AVG, de overige wetgeving en het beleid van de verwerkingsverantwoordelijke inzake gegevensbescherming, inclusief de verdeling van verantwoordelijkheden, bewustwording en opleiding van betrokken personeel en bijbehorende audits;
•
desgevraagd advies geven over gegevensbeschermingseffect-beoordelingen en toezien op de uitvoering daarvan overeenkomstig artikel 35 AVG;
•
samenwerken met de toezichthoudende autoriteit (Autoriteit Persoonsgegevens);
•
fungeren als contactpunt voor de toezichthoudende autoriteit over alle aangelegenheden die verband houden met de verwerking van persoonsgegevens.
Verwerkingsregister en beleid omgang persoonsgegevens gemeenteraad Alkmaar 2026 en aanwijzen FG (functionaris voor gegevensbescherming)
3
Toelichting op het voorstel Het voorstel is tweeledig: het vaststellen van het verwerkingsregister gemeenteraad Alkmaar 2026 en het aanwijzen van de functionaris voor gegevensbescherming. Verwerkingsregister gemeenteraad Alkmaar 2026 Op grond van de AVG is het bijhouden van een verwerkingsregister verplicht voor iedere verwerkingsverantwoordelijke, dus ook voor de gemeenteraad. Het verwerkingsregister legt de werkwijze van de griffie vast en borgt daarmee een zorgvuldige omgang met persoonsgegevens. Het register wordt tevens op de website/raadsinformatiesysteem van de gemeenteraad gepubliceerd, zodat voor inwoners en andere belanghebbenden transparant en inzichtelijk is welke gegevens door de griffie worden verwerkt bij de ondersteuning van de raad. Bij het opstellen van het register is gebruikgemaakt van het model van de VNG. Dit model kent verplichte (oranje) kolommen en optionele (rode) kolommen. Een aantal optionele kolommen is bewust niet overgenomen, omdat deze weinig relevant zijn of afbreuk doen aan de overzichtelijkheid. Het register is daarmee zo helder en praktisch mogelijk ingericht. Het verwerkingsregister onderscheidt verschillende onderdelen: •
Persoonsgegevens die door de griffie worden verwerkt van de raads- en commissieleden, wethouders en de burgemeester (zoals contactgegevens, overzicht van nevenfuncties en gebruik van foto’s);
•
Persoonsgegevens die door de griffie worden verwerkt in het kader van de vergaderingen van de raad en de besluitvorming (zoals het publiceren van agenda’s, besluitenlijsten en stukken, het registreren van stemmingsuitslagen en het (laten) opnemen van openbare vergaderingen);
•
Persoonsgegevens die door de griffie worden verwerkt bij contact met inwoners (zoals voor communicatie met de raad, deelname aan bijeenkomsten en vormen van participatie);
•
Persoonsgegevens die door de griffie worden verwerkt voor de raadscommunicatie en publiciteit (zoals gebruik van foto’s voor sociale media en het versturen van persberichten);
•
Persoonsgegevens die door de griffie worden verwerkt voor de overige ondersteuning en organisatie (zoals de personeelsadministratie van de griffie zelf, de jaarlijkse controle van fractievergoedingen en het contact met leden van de rekenkamer Alkmaar en de referendumcommissie).
Waar mogelijk is per verwerking ook de bewaartermijn opgenomen. Hiervoor is aangesloten bij de Selectielijst gemeenten en intergemeentelijke organen VNG 2020. Voor gegevens rondom vergaderingen, besluitvorming en de samenstelling van de raad geldt dat deze blijvend moeten worden bewaard. Voor gegevens van inwoners die bijvoorbeeld inspreken in een commissievergadering geldt dat contactgegevens maximaal één jaar mogen worden bewaard en daarna verwijderd moeten worden. Het beeldmateriaal van de inspreekreactie en een eventuele schriftelijke reactie die bij de vergaderstukken is gevoegd, maken deel uit van de vergadering en de achterliggende stukken en worden daarom blijvend bewaard. Aandachtspunt hierbij is dat insprekers de toestemming voor het bewaren, online beschikbaar stellen en archiveren van de beelden van de inspreekreactie op ieder moment kunnen intrekken. Voor sommige gegevens, zoals het overzicht van nevenfuncties van raads- en commissieleden, is geen bewaartermijn genoemd. Op grond van artikel 12 Gemeentewet (dat via het Reglement van Orde ook geldt voor commissieleden) zijn raadsleden verplicht hun nevenfuncties openbaar te maken zolang zij dit ambt bekleden. Omdat nevenfuncties en openbare betrekkingen tijdens beraadslagingen en Verwerkingsregister en beleid omgang persoonsgegevens gemeenteraad Alkmaar 2026 en aanwijzen FG (functionaris voor gegevensbescherming)
4
besluitvorming inzicht kunnen geven in mogelijke belangenverstrengeling, is het logisch om deze overzichten blijvend te bewaren. Na afloop van het raadslidmaatschap worden de nevenfuncties en openbare betrekkingen echter niet langer actief gepubliceerd op de gemeentelijke website en het raadsinformatiesysteem. De volledige lijst blijft wel opvraagbaar bij de griffie. Het verwerkingsregister (bijlage 1) biedt de griffie een helder kader voor het verwerken en bewaren van persoonsgegevens. Het register wordt, evenals verordeningen en richtlijnen van de raad, ten minste eenmaal per raadsperiode (vier jaar) herzien en geactualiseerd. Indien de praktijk daartoe aanleiding geeft, kan actualisatie ook eerder plaatsvinden. Het beleid (bijlage 2) bevat een tekstueel en overzichtelijk uitgewerkt kader voor de omgang met persoonsgegevens van raads- en commissieleden door de griffie. Daarnaast omvat dit document een toestemmingsformulier voor het verlengen van de bewaartermijn van persoonsgegevens van de gemeente Alkmaar, alsmede een toestemmingsformulier voor het bewaren van persoonsgegevens na beëindiging van het raadslidmaatschap of commissielidmaatschap. Aanwijzen functionaris voor gegevensbescherming Voorgesteld wordt mw. I. Borgart aan te wijzen als functionaris voor gegevensbescherming (FG) voor de gemeenteraad van Alkmaar.
Mevrouw Borgart is reeds FG voor de gemeente Alkmaar en voldoet aan de wettelijke eisen voor deze functie. Zij kent de lokale situatie en is door haar aanwezigheid in de organisatie goed toegankelijk voor overleg en vragen van de griffie. Door deze constructie worden bovendien geen extra kosten gemaakt voor het inhuren van een externe FG. Naar verwachting heeft de aanwijzing van mw. Borgart beperkte gevolgen voor de omvang van haar werkzaamheden, aangezien zij in haar rol als FG voor de gemeente Alkmaar al toezicht houdt op de verwerking van persoonsgegevens binnen de raad. De taken voor de gemeenteraad kunnen daarom worden toegevoegd aan haar huidige takenpakket, zonder dat dit leidt tot extra kosten. Vervolg en communicatie De griffie zorgt voor bekendmaking van het verwerkingsregister op de website van de gemeenteraad (het raadsinformatiesysteem) en voor de opname van een verwijzing naar het verwerkingsregister in de e-mailondertekening van de medewerkers van de griffie via een kort privacy-statement (bijlage 3). De griffie gaat voorts aan de gang met het herzien van de Gedragscode publicatie persoonsgegevens in het raadsinformatiesysteem van de gemeenteraad van Alkmaar.
Bijlagen 1.
Bijlage 1 - Verwerkingsregister gemeenteraad Alkmaar 2026
2.
Bijlage 2 - Beleid persoonsgegevens gemeenteraad Alkmaar 2026
3.
Bijlage 3 - Privacyverklaring gemeenteraad Alkmaar 2026
4.
Bijlage 4 - Selectielijst gemeenten en intergemeentelijke organen VNG 2020
mw. mr. V.H. Hornstra, griffier Verwerkingsregister en beleid omgang persoonsgegevens gemeenteraad Alkmaar 2026 en aanwijzen FG (functionaris voor gegevensbescherming)
5
RAADSBESLUIT Nr. De raad van de gemeente Alkmaar; Gelet op Het advies van de commissie Ruimte en Bestuur en Middelen van 3 februari 2026 Het bepaalde in de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet algemene verordening gegevensbescherming (Uavg) Besluit 1.
Mevrouw I. Borgart aan te wijzen als functionaris voor gegevensbescherming als bedoeld in de Algemene Verordening Gegevensbescherming (AVG);
2.
Voornoemde aanwijzing te melden bij de Autoriteit Persoonsgegevens;
3.
Het verwerkingsregister gemeenteraad Alkmaar 2026 en beleid persoonsgegevens gemeenteraad Alkmaar 2026 ter kennisgeving aan te nemen.
De raad van Alkmaar, 19 februari 2026 mw. drs. A.M.C.G. Schouten, burgemeester
mw. mr. V.H. Hornstra, griffier
Verwerkingsregister en beleid omgang persoonsgegevens gemeenteraad Alkmaar 2026 en aanwijzen FG (functionaris voor gegevensbescherming)
6