Raadsvoorstel 7.2 Vaststellen reglement functionaris gegevensbescherming alsmede aanwijzen van deze functionaris voor de Gemeenteraad

Zaaknummer: Agendanummer: Datum raadsvergadering: Aan: Betreft Portefeuillehouder Verzenddatum:

Vul uw zaaknummer in 7.2 Maandag 3 oktober 2022 De Gemeenteraad Vaststellen reglement functionaris gegevensbescherming alsmede aanwijzen van deze functionaris voor de Gemeenteraad 29 augustus 2022

Voorgesteld besluit 1. Vaststellen het Reglement Functionaris voor de gegevensbescherming Drechtsteden 2022. 2. Aan te wijzen als Functionaris Gegevensbescherming: mevrouw mr. I. Huizer, werkzaam bij de gemeente Dordrecht Beknopte samenvatting Per 25 mei 2018 is de Algemene Verordening Gegevensbescherming in werking getreden. Uit deze verordening volgt de verplichting voor o.a. bestuursorganen die deel uitmaken van de decentrale overheid, zoals de gemeenteraad, om een Functionaris voor de Gegevensbescherming (FG) als interne toezichthouder aan te wijzen. Deze FG moet onafhankelijk zijn/haar werkzaamheden kunnen uitoefenen. Hierbij is verzuimd om dit ook te regelen voor de gemeenteraad. Toelichting Inleiding Per 25 mei 2018 is de Algemene Verordening Gegevensbescherming in werking getreden. Uit deze verordening volgt de verplichting voor o.a. bestuursorganen die deel uitmaken van de decentrale overheid, zoals de gemeenteraad, om een Functionaris voor de Gegevensbescherming (FG) als interne toezichthouder aan te wijzen. Deze FG moet onafhankelijk zijn/haar werkzaamheden kunnen uitoefenen. De externe toezichthouder Autoriteit Persoonsgegevens benadrukt daarbij het belang van sterk intern toezicht op naleving van de AVG door de FG. Daardoor worden eisen gesteld aan de manier waarop een FG gepositioneerd en gefaciliteerd wordt.

Het is noodzakelijk om te borgen dat een FG zijn taken en bevoegdheden onafhankelijk en zonder enige belemmering kan uitoefenen. Met het oog daarop is het wenselijk om de verplichtingen en bevoegdheden van de FG voor de bestuursorganen in de Drechtsteden vast te leggen in een reglement. Wat is het doel? De verplichtingen en bevoegdheden van de FG voor de bestuursorganen in de Drechtsteden helder vastleggen, ook voor de gemeenteraad. Historie In de raad van 15 mei 2018 is het privacy beleid Drechtsteden vastgesteld. Hierbij zijn de volgende documenten vastgesteld i.c. de volgende besluiten genomen: • Vaststellen privacy beleid;

1

• Ontwerp besluit college; • Overzicht bouwstenen Project Privacy Compliance; • Privacy beleid Drechtsteden; • Functieprofiel functionaris gegevensbescherming; • Functieprofiel Adviseur Gegevensbescherming; • Functieprofiel Privacy coördinator; • Mandaatbesluit aanwijzing Functionaris Gegevensbescherming Hendrik-Ido-Ambacht. Tijdens de raadsvergadering van 12 april 2021 in het nieuwe privacy beleid 2020 vastgesteld alsmede de Uitgangspuntennotitie Service gemeente Dordrecht. Hierbij is een en ander geregeld voor het college, de organisatie en de burgemeester. Niet voor de gemeenteraad. Wat zijn per beslispunt de argumenten en wat is hierop de toelichting? Per 25 mei 2018 is de Algemene Verordening Gegevensbescherming in werking getreden. Uit deze verordening volgt de verplichting voor o.a. bestuursorganen die deel uitmaken van de decentrale overheid, zoals de gemeenteraad, om een Functionaris voor de Gegevensbescherming (FG) als interne toezichthouder aan te wijzen. Deze FG moet onafhankelijk zijn/haar werkzaamheden kunnen uitoefenen. De externe toezichthouder Autoriteit Persoonsgegevens benadrukt daarbij het belang van sterk intern toezicht op naleving van de AVG door de FG. Daardoor worden eisen gesteld aan de manier waarop een FG gepositioneerd en gefaciliteerd wordt.

Het is noodzakelijk om te borgen dat een FG zijn taken en bevoegdheden onafhankelijk en zonder enige belemmering kan uitoefenen. Met het oog daarop is het wenselijk om de verplichtingen en bevoegdheden van de FG voor de bestuursorganen in de Drechtsteden vast te leggen in een reglement. Welk (participatie)proces is doorlopen om tot dit voorstel te komen? Het voorstel is tot stand gekomen in overleg met de griffiers in de regio en de gemeentesecretaris van Dordrecht. Wat is het vervolg op het raadsbesluit? Door aanwijzing van een FG wordt voldaan aan de Algemene Verordening Gegevensbescherming (AVG) Het aanstellen van een Functionaris voor de Gegevensbescherming (FG) is op grond van de AVG is verplicht voor alle bestuursorganen, dus óók voor de raad. Deze FG mag een externe zijn of een FG die ook door en voor het college of een gemeenschappelijke regeling is benoemd. Mevrouw Huizer is al werkzaam bij de gemeente Dordrecht. Vanuit die arbeidsovereenkomst is zij aangewezen als FG van de 7 colleges, de 7 burgemeesters en het bestuur van de OZHZ. De 7 gemeenteraden worden daar nu aan toegevoegd. Daarvoor wordt ook een budget ter beschikking gesteld zodat zij ook feitelijk kan optreden als Bureau FG Drechtsteden. De FG voert voor de raad de volgende taken uit die zijn omschreven in artikel 39 van de AVG: 1.

Toezien op naleving van de AVG en andere EU wet- en regelgeving, nationale bepalingen en het door de bestuursorganen gevoerde beleid inzake gegevensbescherming; 2. Op verzoek adviseren met betrekking tot de voorgenomen DPIA-besluitvorming (als bedoeld in artikel 35 AVG) en toezien op de uitvoering daarvan; 3. Samenwerken met de Autoriteit Persoonsgegevens; 4. Optreden als contactpunt voor de Autoriteit Persoonsgegevens. Welk (participatie)proces is doorlopen om tot dit voorstel te komen? Ook dit voorstel is tot stand gekomen in overleg met de griffiers in de regio en de gemeentesecretaris van Dordrecht. Hoe wordt dit betaald? De inzet van de FG wordt betaald uit het budget van Hendrik-Ido-Ambacht voor de gezamenlijke diensten voor de Drechtsteden. De griffier,

De burgemeester,

2

De raad van de gemeente Hendrik-Ido-Ambacht; Vul uw B&W zaaknummer in Overwegende dat: -

Per 25 mei 2018 de Algemene Verordening Gegevensbescherming (Verordening EU 2016/679) in werking is getreden; Deze verordening (AVG) algemeen verbindende voorschriften bevat ten aanzien van het verwerken van persoonsgegevens met het oog op bescherming van het grondrecht op de persoonlijke levenssfeer van natuurlijke personen; Uit deze verordening de verplichting volgt voor overheidsinstanties, waaronder de bestuursorganen die deel uitmaken van de decentrale overheid, om een Functionaris voor de Gegevensbescherming (FG) als interne toezichthouder aan te wijzen; Deze functionaris op grond van de AVG onafhankelijk diens werkzaamheden moet kunnen uitoefenen; De bepalingen over de FG en diens positionering verder zijn uitgelegd/ uitgewerkt door de WP 29 (nu EDPB), de Autoriteit Persoonsgegevens en de VNG/IBD; De externe toezichthouder Autoriteit Persoonsgegevens het belang van sterk intern toezicht op naleving van de AVG door de FG benadrukt; Onderkend wordt dat daarmee eisen worden gesteld aan de manier waarop een FG gepositioneerd en gefaciliteerd wordt; Het noodzakelijk is om te borgen dat een FG zijn taken en bevoegdheden onafhankelijk en zonder enige belemmering kan uitoefenen; Het met het oog daarop wenselijk is om de verplichtingen en bevoegdheden van de FG voor de bestuursorganen in de Drechtsteden vast te leggen in een reglement, besluit:

Vast te stellen het Reglement Functionaris voor de gegevensbescherming Drechtsteden 2022. Aldus besloten door de raad der gemeente Hendrik-Ido-Ambacht in zijn openbare vergadering van 3 oktober 2022. De griffier,

De voorzitter,

Drs .ing. G.H. Logt Kies een item.

J. Heijkoop

3

De raad van de gemeente Hendrik-Ido-Ambacht;

overwegende dat: -

de gemeenteraad als bestuursorgaan op grond van artikel 37 van de Algemene Verordening Gegevensbescherming wettelijk verplicht is een Functionaris Gegevensbescherming aan te wijzen;

gelet op : -

artikel 37 van de VERORDENING (EU) 2016/679 VAN HET EUROPEES PARLEMENT EN DE RAAD van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming). besluit:

Aan te wijzen als Functionaris Gegevensbescherming: mevrouw mr. I. Huizer, werkzaam bij de gemeente Dordrecht Aldus besloten door de raad der gemeente Hendrik-Ido-Ambacht in zijn openbare vergadering van 3 oktober 2022. De griffier,

De voorzitter,

Drs .ing. G.H. Logt

J. Heijkoop

4

Reglement Functionaris voor de Gegevensbescherming Drechtsteden 2022 De raad van de gemeente Hendrik-Ido-Ambacht, in zijn vergadering van 3oktober 2022, Gezien het voorstel van 29 september 2022, Overwegende dat: -

Per 25 mei 2018 de Algemene Verordening Gegevensbescherming (Verordening EU 2016/679) in werking is getreden; Deze verordening (AVG) algemeen verbindende voorschriften bevat ten aanzien van het verwerken van persoonsgegevens met het oog op bescherming van het grondrecht op de persoonlijke levenssfeer van natuurlijke personen; Uit deze verordening de verplichting volgt voor overheidsinstanties, waaronder de bestuursorganen die deel uitmaken van de decentrale overheid, om een Functionaris voor de Gegevensbescherming (FG) als interne toezichthouder aan te wijzen; Deze functionaris op grond van de AVG onafhankelijk diens werkzaamheden moet kunnen uitoefenen; De bepalingen over de FG en diens positionering verder zijn uitgelegd/ uitgewerkt door de WP 29 (nu EDPB), de Autoriteit Persoonsgegevens en de VNG/IBD 1; De externe toezichthouder Autoriteit Persoonsgegevens het belang van sterk intern toezicht op naleving van de AVG door de FG benadrukt; Onderkend wordt dat daarmee eisen worden gesteld aan de manier waarop een FG gepositioneerd en gefaciliteerd wordt; Het noodzakelijk is om te borgen dat een FG zijn taken en bevoegdheden onafhankelijk en zonder enige belemmering kan uitoefenen; Het met het oog daarop wenselijk is om de verplichtingen en bevoegdheden van de FG voor de bestuursorganen in de Drechtsteden vast te leggen in een reglement;

BESLUIT: Vast te stellen het Reglement Functionaris voor de gegevensbescherming Drechtsteden 2022.

1

Juni 2021: vastgesteld door de AP "Positionering van de FG Uitgangspunten: rollen, processen en verantwoordelijkheden", 2020: VNG (IBD) Handreiking Positionering en taken van de FG, 2016: Guidelines on Data Protection Officers ('DPOs') van de EDPB

5

Artikel 1. Samenwerking Drechtsteden en doel 1. Dit reglement is van toepassing op de uitvoering van de FG-functie voor de volgende bestuursorganen: a. Het college van Burgemeester en Wethouders, de Burgemeester en de gemeenteraad van Alblasserdam; b. Het college van Burgemeester en Wethouders, de Burgemeester en de gemeenteraad van Dordrecht; c. Het college van Burgemeester en Wethouders, de Burgemeester en de gemeenteraad van Hardinxveld-Giessendam; d. Het college van Burgemeester en Wethouders, de Burgemeester en de gemeenteraad van Hendrik-ldo-Ambacht; e. Het college van Burgemeester en Wethouders, de Burgemeester en de gemeenteraad van Papendrecht; f. Het college van Burgemeester en Wethouders, de Burgemeester en de gemeenteraad van Sliedrecht; g. Het college van Burgemeester en Wethouders, de Burgemeester en de gemeenteraad van Zwijndrecht; h. Het Algemeen en Dagelijks bestuur van de GR Sociaal; i. Algemeen en Dagelijks bestuur van de Omgevingsdienst Zuid-Holland-Zuid.

Artikel 2. Aanwijzingsbesluit FG 1. Bij besluit wijst het bestuursorgaan een FG aan. 2. Het bestuursorgaan draagt zorg voor inschrijving van de FG bij de Autoriteit Persoonsgegevens. Artikel 3. Positie FG 1. Er zijn twee FG's. Samen zijn zij aangewezen als FG voor alle bij dit reglement betrokken bestuursorganen. Een FG is gepositioneerd bij de gemeente Dordrecht en de andere bij GR Sociaal. De personele taken worden door deze organisaties uitgevoerd. 2. De organisatorische aansturing van de FG's voor de regio geschiedt door de secretaris van Dordrecht. 3. De bestuursorganen waarborgen, conform artikel 38 lid 3 van de AVG, dat de FG bij de uitoefening van zijn functie geen aanwijzingen of instructies ontvangt van of namens de betrokken bestuursorganen. 4. De secretaris van Dordrecht en de algemeen directeur van GR Sociaal waarborgen dat de FG te allen tijde rechtstreeks en zonder tussenkomst kan rapporteren aan het hoogste leidinggevende niveau. 5. De secretaris van Dordrecht en de algemeen directeur van GR Sociaal leggen verantwoording af aan de betrokken bestuursorganen over de manier waarop de onafhankelijkheid van de FG is geborgd, in ieder geval indien er iets wijzigt aan de positionering van de FG. 6. Wanneer de FG dit noodzakelijk acht staat het hem vrij om de Autoriteit Persoonsgegevens in zaken te betrekken. 7.

De FG mag —zoals artikel 38 lid 3 AVG aangeeft, niet ontslagen of gestraft worden voor het uitvoeren van zijn taken. 8. Het bestuursorgaan waarborgt dat de FG ook anderszins geen nadeel ondervindt van de uitoefening van zijn taak.

Artikel 4. Taken FG 1. De FG voert de volgende taken uit die zijn omschreven in artikel 39 van de AVG: a. Toezien op naleving van de AVG en andere EU wet- en regelgeving, nationale bepalingen en het door de bestuursorganen gevoerde beleid inzake gegevensbescherming;

6

2. 3. 4. 5. 6. 7. 8.

b. Op verzoek adviseren met betrekking tot de voorgenomen DPIA-besluitvorming (als bedoeld in artikel 35 AVG) en toezien op de uitvoering daarvan; c. Samenwerken met de Autoriteit Persoonsgegevens; d. Optreden als contactpunt voor de Autoriteit Persoonsgegevens. Naast de taken zoals genoemd in lid 1, fungeert de FG, conform artikel 39, lid 2 van de AVG als formeel aanspreekpunt voor interne en externe betrokkenen wanneer zij de toezichthouder willen benaderen. De FG is verplicht deze informatie als vertrouwelijk te behandelen. De FG brengt halfjaarlijks verslag uit over zijn werkzaamheden en de taken zoals benoemd in dit artikel aan de secretaris van Dordrecht. De FG rapporteert jaarlijks aan het hoogste leidinggevende niveau, diens bevindingen over AVGnaleving en voor het overige indien de FG dit noodzakelijk acht. Daarbij kan de FG advies geven over te nemen maatregelen om juiste verwerking van persoonsgegevens te waarborgen. De FG kan een onderzoek instellen naar de wijze waarop in verband met de verwerking van persoonsgegevens, in een bepaald geval dan wel in het algemeen belang, de persoonlijke levenssfeer wordt beschermd. Bij constatering van gebreken of calamiteiten of andere zaken die naar zijn oordeel moeten leiden tot aanpassingen in de gegevensverwerking is de FG bevoegd rechtstreeks te rapporteren aan het betreffende bestuursorgaan.

De FG houdt bij de uitvoering van zijn taken naar behoren rekening met het aan verwerkingen verbonden risico, en met de aard, de omvang en de verwerkingsdoeleinden, dit conform het bepaalde in artikel 39 lid 2 van de AVG. Voorafgaand aan ieder kalenderjaar stelt de FG een werkplan op waarin, op hoofdlijnen, het toezicht in het komende jaar uiteengezet wordt. Dit werkplan laat onverlet dat het bestuursorgaan altijd zelf verantwoordelijk is en blijft voor de manier waarop de AVG wordt nageleefd.

Artikel 5. Onderzoeksbevoegdheden FG 1. Het bestuursorgaan, waarborgt dat de FG, vanuit onafhankelijkheid, zijn taken kan uitoefenen, en respecteert diens toezichtsbevoegdheden. 2. Dit omvat in ieder geval de plicht om ervoor te zorgen dat: a. De FG toegang heeft tot de registers inzake gegevensverwerking en inbreuken die onder verantwoordelijkheid van het bestuursorgaan worden bijgehouden. b. Onder verantwoordelijkheid van het bestuursorgaan werkzame personen, inclusief (mogelijke) verwerkers die bij een verwerking van persoonsgegevens betrokken zijn of lijken desgevraagd de FG alle inlichtingen verstrekken en overige medewerking verlenen die hij voor de uitoefening van zijn taak behoeft. c. De FG toegang heeft tot alle ruimten waar (mogelijk) een verwerking van persoonsgegevens plaatsvindt. De FG heeft deze bevoegdheid slechts voor zover dit noodzakelijk is voor zijn toezichthoudende rol. 3. De FG is bevoegd apparatuur, programmatuur, gegevensbestanden, boeken en bescheiden te onderzoeken en zich de werking van apparatuur en programmatuur te doen tonen. Artikel 6. Geheimhouding Het bestuursorgaan respecteert de geheimhoudingsplicht van de FG zoals deze is opgenomen in artikel 38 van de AVG. Artikel 7.

Capaciteit en middelen Via de secretaris van Dordrecht en de algemeen directeur GR Sociaal stellen de bestuursorganen aan de FG de benodigde middelen ter beschikking voor het vervullen van zijn taken en het in stand houden van zijn deskundigheid, dit conform artikel 38 van de AVG. Artikel 8. lnwerkingtreding 1. Dit reglement kan worden aangehaald als Reglement Functionaris voor de gegevensbescherming Drechtsteden 2022. 2. Dit reglement treedt in werking een dag na vaststelling en bekendmaking van dit reglement.

7

Aldus besloten door de raad der gemeente Hendrik-Ido-Ambacht in zijn openbare vergadering van 3 oktober 2022. De griffier,

De voorzitter,

Drs. ing. G.H. Logt

J. Heijkoop

8