Raadsvoorstel Verwerkingsregister gemeenteraad Heiloo 2026 en aanwijzen FG (functionaris voor gegevensbescherming)

Raadsvergadering Voorstelnummer Datum raadsvoorstel Portefeuillehouder(s) Commissie Datum commissie Soort agendering Agendapunt Team Opsteller Datum B&W besluit Bijlagen: Onderwerp

:

RAADSVOORSTEL 16 februari 2026 D932706 24 december 2025 M. ten Bruggencate Nvt Nvt Besluitvorming 21 Griffie Heiloo Anita Mooij Nvt 1 Verwerkingsregister gemeenteraad Heiloo 2026 en aanwijzen FG (functionaris voor gegevensbescherming)

Voorgesteld besluit 1. De heer E. Groot-van Ederen aan te wijzen als functionaris voor gegevensbescherming als bedoeld in de Algemene Verordening Gegevensbescherming (AVG); 2. Voornoemde aanwijzing te melden bij de Autoriteit Persoonsgegevens; 3. Het verwerkingsregister gemeenteraad Heiloo 2026 ter kennisgeving aan te nemen.

Geheimhouding  Ja X Nee

Pagina 1 van 7

RAADSVOORSTEL INLEIDING In mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) in werking getreden. Deze Europese verordening geldt in alle lidstaten van de Europese Unie en bevat regels ter bescherming van natuurlijke personen bij de verwerking van persoonsgegevens. De AVG verplicht overheidsorganen onder meer tot het bijhouden van een verwerkingsregister en het aanwijzen van een functionaris voor gegevensbescherming. Voor de gemeente Heiloo is dit reeds ingericht. Aangezien de gemeenteraad echter een zelfstandig bestuursorgaan is en zelf ook persoonsgegevens verwerkt, is het passend dat de raad beschikt over een eigen verwerkingsregister en zelf een functionaris voor gegevensbescherming aanwijst. Met dit voorstel wordt de raad gevraagd het verwerkingsregister gemeenteraad Heiloo 2026 vast te stellen en om de heer E. Groot-van Ederen aan te wijzen als functionaris voor gegevensbescherming. INVLOED KADERS OP KEUZERUIMTE Het kader voor het verwerkingsregister en de functionaris voor gegevensbescherming volgt uit de Algemene Verordening Gegevensbescherming (hierna AVG) en uit de Uitvoeringswet algemene verordening gegevensbescherming (hierna Uavg). De meest relevante bepalingen worden hieronder verder uitgewerkt. Artikel 4 AVG – definities In artikel 4 AVG worden verschillende begrippen gedefinieerd die in de verordening worden gebruikt.

De belangrijkste zijn: persoonsgegevens, verwerking, verwerkingsverantwoordelijke en verwerker. •

Persoonsgegevens zijn alle gegevens die iets vertellen over een persoon of waarmee je iemand direct of indirect kunt herkennen. Dit kan bijvoorbeeld gaan om een naam, adres, telefoonnummer of e-mailadres en locatie maar ook om gegevens zoals foto’s of ander beeldmateriaal, politieke voorkeur, financiële situatie of online identificatoren zoals een IP-adres.

•

Het verwerken van persoonsgegevens omvat binnen de AVG alles wat men met persoonsgegevens doet: van het verzamelen en opslaan, tot het gebruiken, doorgeven, aanpassen of verwijderen ervan. Zowel handmatig (op papier) als digitaal.

•

De verwerkingsverantwoordelijke is de natuurlijk persoon, rechtspersoon of overheidsinstantie die bepaalt waarom en hoe persoonsgegevens worden verwerkt. Met andere worden: het orgaan dat beslist over het doel en de middelen van de verwerking.

•

De verwerker is de natuurlijk persoon, rechtspersoon of overheidsinstantie die de persoonsgegevens verwerkt namens de verwerkingsverantwoordelijke.

De definities van wat persoonsgegevens zijn en wat valt onder de verwerking daarvan zijn zeer ruim. Vrijwel alles wat de gemeenteraad doet valt onder de verwerking van persoonsgegevens. Voor de toepassing binnen de gemeenteraad geldt dat de verwerkingsverantwoordelijke de gemeenteraad zelf is, terwijl de griffie optreedt als verwerker. Pagina 2 van 7

Let op: ook raadsfracties en individuele raadsleden zijn verwerkingsverantwoordelijk en dienen zich te houden aan de bepalingen van de AVG. Artikel 5 AVG – Beginselen inzake verwerking van persoonsgegevens Artikel 5 AVG bepaalt dat persoonsgegevens moeten worden verwerkt op een wijze die rechtmatig, behoorlijk en transparant is. De verwerking moet plaatsvinden op basis van vooraf vastgestelde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Daarnaast geldt dat de verwerking toereikend en ter zake dienend moet zijn, en beperkt blijft tot wat noodzakelijk is voor de doeleinden waarvoor de gegevens worden verwerkt. Artikel 6 AVG – Rechtmatigheid van de verwerking Artikel 6 AVG bepaalt dat er altijd een wettelijke grondslag moet zijn voor de verwerking van persoonsgegevens. De verordening noemt de volgende grondslagen: • Toestemming van de betrokkene; • Noodzakelijk voor de uitvoering van een overeenkomst; • Noodzakelijk om te voldoen aan een wettelijke verplichting; • Noodzakelijk ter bescherming van vitale belangen van de betrokkene of van een ander natuurlijk persoon; • Noodzakelijk voor de vervulling van een taak van algemeen belang of in het kader van de uitoefening van openbaar gezag; • Noodzakelijk voor de behartiging van gerechtvaardigde belangen van de verwerkingsverantwoordelijke of een derde.

• Voor overheidsinstanties geldt dat de grondslag van gerechtvaardigde belangen niet kan worden gebruikt voor verwerkingen die plaatsvinden in het kader van de uitoefening van hun wettelijke taken. De grondslag toestemming wordt vaak beschouwd als een restcategorie: wanneer geen van de andere grondslagen van toepassing is, moet uitdrukkelijke toestemming van de betrokkene worden verkregen. Hierbij geldt als belangrijke kanttekening dat toestemming op ieder moment weer kan worden ingetrokken. Artikel 9 AVG – Verwerking van bijzondere categorieën van persoonsgegevens Het verwerken van persoonsgegevens waaruit ras, etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen of waaruit het lidmaatschap van een vakbond blijkt, is verboden. Artikel 26 van de Uavg geeft hierop een duidelijke uitzondering als om gaat om de verwerking van politieke opvattingen die noodzakelijk zijn voor de vervulling van openbare functies, waaronder ook functies in bestuursorganen zoals de gemeenteraad vallen. Artikel 30 AVG – Register van verwerkingsactiviteiten Elke verwerkingsverantwoordelijke dient een register bij te houden van de verwerkingsactiviteiten die onder zijn verantwoordelijkheid plaatsvinden.

Dat register bevat ten minste de volgende gegevens: • de naam en contactgegevens van de verwerkingsverantwoordelijke en van de functionaris voor de gegevensbescherming; • de doeleinden van de verwerking; • een beschrijving van de categorieën van betrokkenen en van de categorieën persoonsgegevens; • de categorieën ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt; • indien van toepassing, doorgiften van persoonsgegevens aan een derde land of een internationale organisatie;

Pagina 3 van 7

• •

indien mogelijk, de beoogde termijnen voor het wissen van de verschillende categorieën van gegevens; indien mogelijk, een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen zoals bedoeld in artikel 32, eerste lid AVG.

Artikel 37 AVG – Aanwijzing van de functionaris voor gegevensbescherming Artikel 37 AVG bepaalt in welke situaties een verwerkingsverantwoordelijke een functionaris voor gegevensbescherming (FG) moet aanwijzen. Dit is in ieder geval verplicht wanneer de verwerking van persoonsgegevens wordt verricht door een overheidsinstantie of -orgaan. De taken van de functionaris voor gegevensbescherming staan opgesomd in artikel 39 AVG en zijn als volgt: • •

• • •

de verwerkingsverantwoordelijke, de verwerker en de medewerkers die persoonsgegevens verwerken informeren en adviseren over hun verplichtingen op grond van de AVG en andere toepasselijke wetgeving; toezien op de naleving van de AVG, de overige wetgeving en het beleid van de verwerkingsverantwoordelijke inzake gegevensbescherming, inclusief de verdeling van verantwoordelijkheden, bewustwording en opleiding van betrokken personeel en bijbehorende audits; desgevraagd advies geven over gegevensbeschermingseffect-beoordelingen en toezien op de uitvoering daarvan overeenkomstig artikel 35 AVG; samenwerken met de toezichthoudende autoriteit (Autoriteit Persoonsgegevens); fungeren als contactpunt voor de toezichthoudende autoriteit over alle aangelegenheden die verband houden met de verwerking van persoonsgegevens.

TOELICHTING OP HET VOORSTEL Het voorstel is tweeledig: het vaststellen van het verwerkingsregister gemeenteraad Heiloo 2026 en het aanwijzen van de functionaris voor gegevensbescherming. Verwerkingsregister gemeenteraad Heiloo 2026 Op grond van de AVG is het bijhouden van een verwerkingsregister verplicht voor iedere verwerkingsverantwoordelijke, dus ook voor de gemeenteraad. Het verwerkingsregister legt de werkwijze van de griffie vast en borgt daarmee een zorgvuldige omgang met persoonsgegevens. Het register wordt tevens op de website van de gemeenteraad gepubliceerd, zodat voor inwoners en andere belanghebbenden transparant en inzichtelijk is welke gegevens door de griffie worden verwerkt bij de ondersteuning van de raad. Bij het opstellen van het register is gebruikgemaakt van het model van de VNG. Dit model kent verplichte (blauwe) kolommen en optionele (oranje) kolommen. Een aantal optionele kolommen is bewust niet overgenomen, omdat deze weinig relevant zijn of afbreuk doen aan de overzichtelijkheid. Het register is daarmee zo helder en praktisch mogelijk ingericht.

Het verwerkingsregister onderscheidt verschillende onderdelen: • Persoonsgegevens die door de griffie worden verwerkt van de raads- en commissieleden, wethouders en de burgemeester (zoals contactgegevens, overzicht van nevenfuncties en gebruik van foto’s); • Persoonsgegevens die door de griffie worden verwerkt in het kader van de vergaderingen van de raad en de besluitvorming (zoals het publiceren van agenda’s, • besluitenlijsten en stukken, het registreren van stemmingsuitslagen en het (laten) opnemen van openbare vergaderingen); • Persoonsgegevens die door de griffie worden verwerkt bij contact met inwoners (zoals voor communicatie met de raad, deelname aan bijeenkomsten en vormen van participatie); Pagina 4 van 7

• •

Persoonsgegevens die door de griffie worden verwerkt voor de raadscommunicatie en publiciteit (zoals gebruik van foto’s voor sociale media en het versturen van persberichten); Persoonsgegevens die door de griffie worden verwerkt voor de overige ondersteuning en organisatie (zoals de personeelsadministratie van de griffie zelf, de jaarlijkse controle van fractievergoedingen en het contact met leden van de rekenkamer BUCH en de referendumcommissie).

Waar mogelijk is per verwerking ook de bewaartermijn opgenomen. Hiervoor is aangesloten bij de Selectielijst gemeenten en intergemeentelijke organen VNG 2020. Voor gegevens rondom vergaderingen, besluitvorming en de samenstelling van de raad geldt dat deze blijvend moeten worden bewaard. Voor gegevens van inwoners die bijvoorbeeld inspreken in een commissievergadering geldt dat contactgegevens maximaal één jaar mogen worden bewaard en daarna verwijderd moeten worden. Het beeldmateriaal van de inspreekreactie en een eventuele schriftelijke reactie die bij de vergaderstukken is gevoegd, maken deel uit van de vergadering en de achterliggende stukken en worden daarom blijvend bewaard. Aandachtspunt hierbij is dat insprekers de toestemming voor het bewaren, online beschikbaar stellen en archiveren van de beelden van de inspreekreactie op ieder moment kunnen intrekken. Voor sommige gegevens, zoals het overzicht van nevenfuncties van raads- en commissieleden, is geen bewaartermijn genoemd. Op grond van artikel 12 Gemeentewet (dat via het Reglement van Orde ook geldt voor commissieleden) zijn raadsleden verplicht hun nevenfuncties openbaar te maken zolang zij dit ambt bekleden. Omdat nevenfuncties tijdens beraadslagingen en besluitvorming inzicht kunnen geven in mogelijke belangenverstrengeling, is het logisch om deze overzichten blijvend te bewaren.

Na afloop van het raadslidmaatschap worden de nevenfuncties echter niet langer actief gepubliceerd op de gemeentelijke website en het raadsinformatiesysteem. De volledige lijst blijft wel opvraagbaar bij de griffie. Het verwerkingsregister biedt de griffie een duidelijk kader voor het verwerken en bewaren van persoonsgegevens. De bedoeling is om het register, net als verordeningen en richtlijnen van de raad, ten minste eens per raadsperiode (elke vier jaar) te herzien en te actualiseren. Uiteraard kan actualisatie ook eerder plaatsvinden indien de praktijk daar aanleiding toe geeft. Aanwijzen functionaris voor gegevensbescherming Voorgesteld wordt de heer E. Groot-van Ederen aan te wijzen als functionaris voor gegevensbescherming (FG) voor de gemeenteraad Heiloo. De heer Groot-van Ederen is reeds FG voor de gemeente Heiloo en voldoet aan de wettelijke eisen voor deze functie. Hij kent de lokale situatie en is door zijn aanwezigheid in de organisatie goed toegankelijk voor overleg en vragen van de griffie. Door het opstellen van het verwerkingsregister, het expliciet aanwijzen van FG en het voorleggen van dit besluit aan de raad, wordt het voor de FG mogelijk gemaakt om op een zorgvuldige en effectieve wijze toezicht uit te oefenen op de verwerking van persoonsgegevens door de gemeenteraad.

Met dit besluit voldoet de raad aan de wettelijke verplichting om voor ieder gemeentelijk bestuursorgaan een functionaris gegevensbescherming aan te stellen. Bovendien worden door deze constructie geen extra kosten gemaakt voor het inhuren van een externe FG. Naar verwachting heeft de aanwijzing van de heer Groot-van Ederen beperkte gevolgen voor de omvang van zijn werkzaamheden, aangezien hij in zijn rol als FG voor de gemeente Heiloo al toezicht houdt op de verwerking van persoonsgegevens binnen de raad. De taken Pagina 5 van 7

voor de gemeenteraad kunnen daarom worden toegevoegd aan zijn huidige takenpakket, zonder dat dit leidt tot extra kosten. De heer Groot – van Ederen kan zich vinden in het voorliggende verwerkingsregister. Tijdens de voorbereiding van dit voorstel is geconstateerd dat de werkorganisatie BUCH in het kader van haar ondersteuningstaken eveneens persoonsgegevens van raadsleden verwerkt, onder meer ten behoeve van HR- en financiële processen. Deze verwerkingen zijn op dit moment nog niet afzonderlijk opgenomen in het verwerkingsregister van de gemeenteraad. De vraag in hoeverre de werkorganisatie BUCH hierbij optreedt als verwerker, gezamenlijk verwerkingsverantwoordelijke of zelfstandig verwerkingsverantwoordelijke in de zin van de AVG, vraagt om nadere juridische duiding, mede in relatie tot de geldende bevoegdhedenregeling. Dit onderwerp zal in overleg met de functionaris voor gegevensbescherming en de betrokken organisaties nader worden uitgewerkt en, indien nodig, leiden tot een actualisatie van het verwerkingsregister. In het kader van de uitvoering zal tevens worden bezien op welke wijze de verwerking van persoonsgegevens door de werkorganisatie BUCH ten behoeve van de gemeenteraad AVGrechtelijk moet worden gepositioneerd en vastgelegd.

DOOR HET COLLEGE OVERWOGEN ALTERNATIEVEN Niet van toepassing REGIONALE SAMENWERKING EN COULEUR LOCALE Het verwerkingsregister en dit voorstel zijn specifiek voor de gemeenteraad van Heiloo opgesteld. RISICO’S Niet van toepassing FINANCIËN Niet van toepassing. DUURZAAMHEID Niet van toepassing PARTICIPATIE Niet van toepassing UITVOERING, PLANNING EN ORGANISATIE Op basis van artikel 37, zevende lid, van de AVG dient de gemeenteraad de contactgegevens van de functionaris voor gegevensbescherming door te geven aan de toezichthoudende autoriteit, dat is de Autoriteit Persoonsgegevens. Na aanwijzing van de functionaris voor de gegevensbescherming door de raad wordt deze toegezonden aan degene die is aangewezen en bekend gemaakt in het elektronisch gemeenteblad van Heiloo op www.officielebekendmakingen.nl en wordt deze beschikbaar gesteld op www.overheid.nl. Het besluit treedt in werking met ingang van de dag na bekendmaking. Daarnaast zorgt de griffie voor bekendmaking van het verwerkingsregister op de website van de gemeenteraad (het raadsinformatiesysteem) en voor de opname van een verwijzing naar het verwerkingsregister in de e-mailondertekening van de medewerkers van de griffie via een kort privacy-statement. Pagina 6 van 7

De griffie gaat hierna aan de gang met het herzien van de Gedragscode Publicatie 2022 en is voornemens een protocol op te stellen dat omschrijft hoe gehandeld wordt bij verzoeken van betrokkenen om gegevens te verwijderen en bij eventuele datalekken. BIJLAGEN Verwerkingsregister gemeente Heiloo 2026 ACHTERLIGGENDE DOCUMENTEN Handreiking verwerkingsregister gemeenten Informatiebeveiligingsdienst (VNG) Selectielijst gemeenten en intergemeentelijke organen VNG 2020

Hoogachtend, Mevrouw G.A. Beeksma Griffier

Pagina 7 van 7