Factsheet VNG aanwijzen FG - Bijlage 1

1. Informatie over de aanwijzing van een functionaris gegevensbescherming Verplichte aanwijzing per bestuursorgaan binnen een gemeente Op grond van artikel 37, eerste lid, van de AVG, is de aanwijzing van een Functionaris gegevensbescherming (FG) verplicht wanneer het gaat om verwerking van persoonsgegevens door een overheidsinstantie of overheidsorgaan. Gemeenten hebben daar dus geen keuzevrijheid in. Onder de term ‘overheidsinstanties’ vallen ook de bij wet aangewezen publiekrechtelijke instellingen en organisaties die overheidstaken uitvoeren en waarbij mensen weinig of geen keuze hebben of en hoe hun gegevens worden verwerkt, waardoor ze de aanvullende bescherming nodig hebben die met de aanwijzing van een FG kan worden bereikt. Wie is waarvoor verantwoordelijk? Binnen gemeenten kennen we meerdere overheidsorganen die als verantwoordelijke kunnen worden beschouwd voor verwerkingen van persoonsgegevens. De burgemeester is verantwoordelijk voor alle gegevensverwerkingen die te maken hebben met diens veiligheidstaken en de raad is verantwoordelijk voor de verwerkingen door de griffie, de raadscommissies en alle HRMverwerkingen. Het college van burgemeester en wethouders is verantwoordelijk voor alle overige gegevensverwerkingen.

Dit betekent dat de gemeentelijke FG voor elk van bovengenoemde overheidsorganen moet worden aangewezen en als zodanig worden aangemeld bij de Autoriteit persoonsgegevens. Hetzelfde geldt voor de gemeenschappelijke regelingen die zelfstandig bestuursorgaan zijn. Aanwijzing van een enkele FG voor meerdere gemeenten Er zijn diverse redenen waarom gemeenten ervoor kiezen om een FG te willen delen. Vooral gemeenten met vergelijkbare omvang en aandachtsgebieden kiezen voor het gezamenlijk aanstellen van één FG. Artikel 37, derde lid, van de AVG, bevat hier de grondslag voor. Voorwaarde is wel dat deze persoon vanuit elke gemeente makkelijk te bereiken is. Die bereikbaarheid verwijst naar de taken van de FG als contactpersoon voor de betrokkenen (zie artikel 38, vierde lid, van de AVG), de Autoriteit persoonsgegevens (zie artikel 39, eerste lid, van de AVG), maar ook binnen de gemeente. Die bereikbaarheid is tevens noodzakelijk voor de uitoefening van de taak van de FG om de verwerkingsverantwoordelijke of de verwerker en de werknemers die verwerken, te informeren en adviseren over het naleven van de AVG. Combinatie van de functie van FG met andere taken: belangenconflicten

Krachtens artikel 38, zesde lid, van de AVG, kan een FG “andere taken en plichten vervullen”. Daarbij moet het college er echter voor zorgen dat “deze taken of plichten niet tot een belangenconflict leiden”. Het uitblijven van een belangenconflict hangt nauw samen met de vereiste om autonoom te handelen. Hoewel een FG andere functies kan bekleden, kan hem alleen andere taken en plichten worden toevertrouwd als deze geen aanleiding geven tot enig belangenconflict. Dit houdt met name in dat de FG binnen de organisatie geen functie kan bekleden waarbij hij de doelstellingen van en de middelen voor de verwerking van persoonsgegevens moet bepalen. Als vuistregel kunnen de volgende functies met een belangenconflict worden beschouwd: functies in het hogere management (bv. hoofd HR of IT-afdeling), maar ook lagere functies als deze personen de doelstellingen van en middelen voor de verwerking van gegevens moeten bepalen (met daarbij de eindverantwoordelijkheid voor het college). Ook kan een belangenconflict zich voordoen wanneer aan een FG wordt gevraagd om het college te vertegenwoordigen in de rechtbank bij rechtszaken over problemen met de gegevensbescherming. Afhankelijk van de activiteiten, de omvang en de structuur van de gemeente kan het voor het college een goede praktijk zijn om: * *

de posities te identificeren die onverenigbaar kunnen zijn met de functie van FG interne regels op te stellen om belangenconflicten te vermijden

*

een meer algemene uitleg over belangenconflicten op te nemen

*

te verklaren dat haar FG geen belangenconflict heeft in zijn functie als FG, als een manier om anderen van dit vereiste bewust te maken

*

in het gemeentelijke beleid waarborgen op te nemen en ervoor te zorgen dat de vacature voor de positie van FG of de dienstverleningsovereenkomst voldoende gepreciseerd en gedetailleerd is om belangenconflicten te vermijden.

FG op basis van een dienstverleningsovereenkomst De functie van FG kan ook worden bekleed op basis van een dienstverleningsovereenkomst die wordt afgesloten met een persoon of een organisatie die niet tot de gemeente behoort. Het is daarbij van essentieel belang dat alle leden van de organisatie die de functie van FG bekleden aan de eisen van de artikelen 37, 38 en 39 voldoen, en mogen zij bijvoorbeeld geen belangenconflicten hebben. Verder is ook belangrijk dat al deze leden beschermd zijn uit hoofde van de bepalingen van de AVG (bijv. geen oneerlijke beëindiging van de dienstverleningsovereenkomst vanwege activiteiten als FG, maar ook geen oneerlijk ontslag van een medewerker in de organisatie die de taken van de FG uitvoert). Tegelijkertijd kunnen de individuele vaardigheden en troeven zo worden gecombineerd dat meerdere personen die als een team werken, hun gemeente nog efficiënter van dienst zijn. Met het oog op de juridische transparantie en goede organisatie en om belangenconflicten bij de leden van het team te vermijden, wordt aangeraden om de taken binnen het team van de FG duidelijk vast te leggen, alsook voor iedere gemeente één enkele persoon als hoofdcontactpersoon en “verantwoordelijke” aan te stellen. Geadviseerd wordt om deze punten in de dienstverleningsovereenkomst vast te leggen. Publicatie en communicatie van de contactgegevens van de FG

Om te verzekeren dat de FG, zowel intern als extern bereikbaar is, moeten zijn contactgegevens in overeenstemming met de eisen van de AVG beschikbaar zijn. Op grond van artikel 37, zevende lid, van de AVG, moet de verwerkingsverantwoordelijke, zijnde het college van B&W, de raad en de burgemeester:: • de contactgegevens van de FG bekendmaken, en •

de contactgegevens van de FG aan de Autoriteit persoonsgegevens melden.

Deze vereisten hebben tot doel te verzekeren dat zowel betrokkenen (zowel binnen de organisatie als daarbuiten) als de Autoriteit persoonsgegevens gemakkelijk en direct met de FG contact kunnen opnemen, zonder daarbij een ander deel van de organisatie te hoeven benaderen. Vertrouwelijkheid is even belangrijk: zo kunnen werknemers afkering zijn om bij de FG een klacht in te dienen als de vertrouwelijkheid van hun mededelingen niet gegarandeerd is. De FG is met betrekking tot de uitvoering van zijn/haar taken tot geheimhouding of vertrouwelijkheid verplicht (Artikel 38, vijfde lid, van de AVG). Om de FG op een makkelijke manier te bereiken kunnen een postadres, een rechtstreeks telefoonnummer en/of een specifiek e-mailadres worden gebruikt. Met het oog op de communicatie met het grote publiek kunnen ook andere vormen van communicatie worden ingezet, bijvoorbeeld een specifieke hotline of een speciaal contactformulier op de website van de gemeente dat rechtstreeks naar de FG wordt gestuurd. De naam van de FG In artikel 37, zevende lid, van de AVG, wordt niet verplicht dat de bekendgemaakte contactgegevens ook de naam van de FG moeten vermelden. Hoewel het misschien een goede praktijk kan zijn om dat te doen, is het aan de verwerkingsverantwoordelijke, alsook de FG om te beslissen of dat in de specifieke omstandigheden al dan niet noodzakelijk of nuttig is.

Bij de contacten tussen de FG en de Autoriteit persoonsgegevens ligt dat anders. Daarvoor is de bekendheid van de naam van de FG noodzakelijk om als contactpersoon tussen de gemeente en de Autoriteit persoonsgegevens te kunnen optreden. Geadviseerd wordt om de naam en contactgegevens van de FG ook aan de medewerkers van de gemeente bekend te maken. Dit kan intern op het intranet van de gemeente.

2. TIPS voor bestuurders om hun FG in staat te stellen zijn/haar functie goed te vervullen a. Governancestructuur Essentieel om de FG-taak goed te kunnen uitoefenen is een goede governancestructuur. De richtlijnen van de EU Werkgroep artikel 29 eisen dat de FG rechtstreeks verslag uitbrengt aan de hoogste leidinggevende bij de verantwoordelijke voor de gegevensverwerking. Met een dergelijke directe rapportagelijn wordt verzekerd dat het bestuur op de hoogte is van de adviezen en aanbevelingen van de FG. Ook is van belang dat in de governancestructuur is opgenomen dat wanneer er beslissingen genomen worden die gevolgen hebben voor de gegevensbescherming, de

mening van de FG naar behoren in overweging wordt genomen en de FG wordt betrokken bij datalekken. b. Een FG-jaarplan Een FG-jaarplan is een praktisch hulpmiddel om grip te krijgen op de functie van een FG. Dit speelt nog sterker wanneer de FG-functie in deeltijd wordt uitgeoefend naast andere taken. In het jaarplan wordt opgenomen welke tijd nodig is om taken uit te voeren en welke prioriteiten deze taken hebben. Het wordt aangeraden om het jaarplan samen met de organisatie op te stellen zodat er geen misverstanden ontstaan over wederzijdse verwachtingen. Het gaat dan om vragen zoals: Wat doen we wel, en wat doen we niet? Hoe wordt een ‘privacy office’ ingericht die de organisatie adviseert bij privacyvraagstukken? Het FG-jaarplan is meteen ook een handvat voor het maken van jaarverslag. c. Nulmeting op de privacy cultuur Om aan het einde van het jaar te kunnen aantonen wat de investeringen in het AVG-proof maken van de organisatie hebben opgeleverd, is het noodzakelijk om te weten hoe de situatie bij aanvang was. Plan daarom zo snel mogelijk een nulmeting op de privacy cultuur in de organisatie. Dit kan bijv. d.m.v. een (anonieme) enquête of korte interviews met diverse managers in de organisatie. Dit is meteen een goede invulling van een van de FG-taken en het levert bovendien waardevolle managementinformatie op. d.

Zorg voor zichtbaarheid en beschikbaarheid om vragen te beantwoorden Zichtbaar en bereikbaar zijn, zijn twee belangrijke taken van een FG. Naarmate privacy meer gaat leven in een organisatie en de FG zichtbaar en beschikbaar is, zullen mensen ook meer vragen stellen. Vaak ingewikkelde, inhoudelijke vragen. Het makkelijkst is om daarvoor een apart email-adres beschikbaar te stellen met daarnaast nog de mogelijkheid van persoonlijk contact. In het jaarplan kan worden opgenomen welk percentage van de beschikbare tijd de FG moet reserveren voor vragen uit de organisatie en of daar extra ondersteuning voor nodig is. e. Houdt de AVG- en privacy ontwikkelingen bij De AVG is nieuw en nog volop in ontwikkeling. De FG moet voldoende ruimte en middelen krijgen om zijn kennis ‘up to date’ te brengen en te houden. Niet alleen voor zijn adviserende en toezichtstaken, maar ook voor de informatieverstrekking binnen zijn organisatie. Maar, privacy is nooit ‘af’. De noodzaak om kennis ‘up to date’ te houden geldt ook voor de jaren na de inwerkingtreding van de AVG.