Regeling Functionaris Gegevensbescherming Gemeente Hoeksche Waard.docx

Regeling Functionaris Gegevensbescherming Gemeente Hoeksche Waard

1

Inleiding In de Algemene Verordening Gegevensbescherming (AVG) en de Wet politiegegevens (Wpg) is voor gemeenten de verplichting opgenomen om een Functionaris Gegevensbescherming (FG) aan te stellen. Gemeente Hoeksche Waard heeft overeenkomstig deze verplichting een FG aangesteld, die zowel als FG voor de AVG als Wpg optreedt. Aanwijzing, positie en taken van de FG zijn wettelijk vastgelegd. Bijzondere aandacht daarbij verdient de onafhankelijke rol en autonomie van de FG. Deze positie verlangt dat hierover in de organisatie geen misverstanden kunnen ontstaan. Met het oog hierop is het wenselijk om in deze Regeling Functionaris Gegevensbescherming Gemeente Hoeksche Waard de taken en verantwoordelijkheden, bevoegdheden, waarborgen, positionering en rapportagelijnen van de FG binnen gemeente Hoeksche Waard vast te leggen. Deze regeling biedt daarmee een nadere invulling van de functie van de FG binnen gemeente Hoeksche Waard. Three lines Gemeente Hoeksche Waard is ingericht volgens het Three Lines model. De FG is gepositioneerd in de derde lijn (onafhankelijke controle). Het is de taak van deze derde lijn om te controleren of de eerste en tweede lijn goed functioneren en erop toe te zien dat de advisering en uitvoering door deze eerste en tweede lijn adequaat gebeurt.

De derde lijn kenmerkt zich door haar onafhankelijkheid en opereert gescheiden van de overige organisatieonderdelen. De FG heeft volgens dit Three Lines model een onafhankelijke, toezichthoudende rol. De FG wordt geraadpleegd en houdt toezicht, maar neemt niet de uiteindelijke beslissing over het al dan niet verwerken van persoonsgegevens.

2

Artikel 1. Toepasselijkheid 1. Deze regeling is van toepassing op de uitvoering van de functie van Functionaris voor de Gegevensbescherming (FG) voor de volgende bestuursorganen: a) het college van burgemeester en wethouders van gemeente Hoeksche Waard; b) de burgemeester van gemeente Hoeksche Waard; en c) de gemeenteraad van gemeente Hoeksche Waard. 2. Voornoemde bestuursorganen worden hierna ieder voor zich aangeduid als ‘bestuursorgaan’. Artikel 2. Aanwijzingsbesluit FG 1. Het bestuursorgaan wijst bij besluit een FG aan. 2. Het bestuursorgaan draagt zorg voor inschrijving van de FG bij de Autoriteit Persoonsgegevens. Artikel 3. Positie FG 1. Het bestuursorgaan zal de FG conform artikel 38 AVG en artikel 36 Wpg tijdig en naar behoren betrekken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens en/of politiegegevens. Dit betekent in ieder geval dat de FG: • Voorafgaand aan de besluitvorming wordt betrokken bij onderwerpen die raken aan het verwerken van persoonsgegevens en/of politiegegevens; • Betrokken wordt bij structurele en incidentele (strategische) overleggen binnen de gemeente ten aanzien van het verwerken van persoonsgegevens en/of politiegegevens; • Specifiek wordt betrokken bij onderwerpen gerelateerd aan datalekken en DPIA’s. 2. De situaties zoals genoemd in lid 1 zijn niet limitatief.

Ook buiten de in het voorgaande lid genoemde situaties beoordeelt het bestuursorgaan of de FG moet worden betrokken. 3. Naar behoren en tijdig betrekken als genoemd in lid 1 van dit artikel kan ook inhouden dat de FG in een vroegtijdig stadium informeel wordt betrokken en inzichten kan delen. Deze wijze van betrekken kan positief bijdragen aan het procesverloop, omdat vroegtijdig door de FG genoemde aandachtspunten kunnen worden meegenomen. Omdat vroegtijdig wellicht niet alle relevante feiten en omstandigheden bekend zijn, dient een nadien gegeven formeel advies altijd schriftelijk te worden gegeven. Artikel 4. Taken en verantwoordelijkheden FG 1. De taken en verantwoordelijkheden van de FG zijn vastgelegd in de AVG, Wpg en het privacybeleid van gemeente Hoeksche Waard. Het gaat daarbij om: a. Informeren en adviseren van het bestuursorgaan over de AVG en andere EU weten regelgeving, nationale bepalingen en het door het bestuursorgaan gevoerde beleid inzake gegevensbescherming;

3

2.

3.

4.

5.

6.

b. Toezien op naleving van de AVG en andere EU wet- en regelgeving, nationale bepalingen en het door het bestuursorgaan gevoerde beleid inzake gegevensbescherming; c. Op verzoek adviseren ten aanzien van opgestelde concept DPIA’s en toezien op uitvoering daarvan; d. Samenwerken met de Autoriteit Persoonsgegevens; e. Optreden als contactpunt voor de Autoriteit Persoonsgegevens. De FG rapporteert jaarlijks aan het hoogste leidinggevende niveau diens bevindingen over naleving van de AVG, Wpg en het privacybeleid van en door gemeente Hoeksche Waard en voor het overige als de FG dit noodzakelijk acht. Daarbij kan de FG advies geven over te nemen maatregelen om een juiste verwerking van persoonsgegevens en/of politiegegevens te waarborgen. De FG kan een onderzoek instellen naar de wijze waarop in verband met de verwerking van persoonsgegevens en/of politiegegevens, in een bepaald geval dan wel in het algemeen belang, de persoonlijke levenssfeer wordt beschermd. Bij constatering van gebreken of calamiteiten of andere zaken die naar zijn oordeel moeten leiden tot aanpassingen in de gegevensverwerking is de FG bevoegd rechtstreeks te rapporteren aan het betreffende bestuursorgaan. De FG houdt bij de uitvoering van zijn taken naar behoren rekening met het aan verwerkingen verbonden risico, en met de aard, de omvang en de verwerkingsdoeleinden.

Voorafgaand aan ieder kalenderjaar stelt de FG een jaarplan op waarin, op hoofdlijnen, het toezicht in het komende jaar uiteengezet wordt. Dit werkplan laat onverlet dat het bestuursorgaan te allen tijde zelf verantwoordelijk is en blijft voor de manier waarop de AVG en Wpg (en aanverwante wet- en regelgeving op het gebied van de bescherming van persoonsgegevens) wordt nageleefd.

Artikel 5. Onderzoeksbevoegdheden FG 1. Het bestuursorgaan waarborgt dat de FG, vanuit onafhankelijkheid, zijn taken kan uitoefenen, en respecteert diens toezichtsbevoegdheden. 2. Hetgeen in lid 1 is genoemd omvat in ieder geval de plicht om ervoor te zorgen dat: a) De FG toegang heeft tot de registers inzake gegevensverwerking en inbreuken die onder verantwoordelijkheid van het bestuursorgaan worden bijgehouden; b) Onder verantwoordelijkheid van het bestuursorgaan werkzame personen, inclusief (mogelijke) verwerkers die bij een verwerking van persoonsgegevens (en/of politiegegevens) betrokken zijn of lijken desgevraagd de FG alle inlichtingen verstrekken en overige medewerking verlenen die hij voor de uitoefening van zijn taak behoeft; c) De FG toegang heeft tot alle ruimten waar (mogelijk) een verwerking van persoonsgegevens (en/of politiegegevens) plaatsvindt. De FG heeft deze bevoegdheid slechts voor zover dit noodzakelijk is voor zijn toezichthoudende rol. 3. De FG is bevoegd apparatuur, programmatuur, gegevensbestanden, boeken en bescheiden te onderzoeken en zich de werking van apparatuur en programmatuur te doen tonen. 4

Artikel 6. Afwijken van een FG advies 1. Een advies van de FG is niet dwingend maar zwaarwegend. Als het bestuursorgaan afwijkt van een advies van een FG is zij hierover transparant naar de FG en wordt de afwijking schriftelijk gemotiveerd. Artikel 7. Ambtelijke overleggen 1. Om te kunnen borgen dat de FG tijdig en naar behoren wordt betrokken bij privacy gerelateerde onderwerpen, sluit hij structureel periodiek aan bij de volgende ambtelijke overleggen: a. Gemeentesecretaris Het concernplan geeft op hoofdlijnen aan welke programma’s of projecten worden gestart en vormen een goede basis voor de FG en gemeentesecretaris om in overleg te komen over onderwerpen of projecten/programma’s waar de FG betrokken moet worden en de wijze waarop dit plaatsvindt. De frequentie van dit overleg is bepaald in bijlage 1. b. Directieteam Van belang is dat de directies actief inzicht geven in onderwerpen, plannen of projecten/programma’s waar de FG betrokken wordt en de wijze waarop dit plaatsvindt. De FG wordt periodiek uitgenodigd bij het directie overleg. De frequentie hiervan is vastgelegd in bijlage 1. Tijdens dit periodiek overleg wordt de verantwoording over de naleving van privacywetgeving besproken en de FG kan vroegtijdig worden betrokken bij nieuwe initiatieven en plannen waarbij sprake is van verwerking van persoonsgegevens. c.

Domein / directies sociaal, fysiek en bedrijfsvoering De FG wordt periodiek uitgenodigd bij directiespecifieke overleggen (overleg tussen teammanagers binnen een specifiek domein: sociaal, fysiek en bedrijfsvoering). De frequentie hiervan is vastgelegd in bijlage 1. Tijdens dit periodiek overleg wordt de verantwoording over de naleving van privacywetgeving besproken en de FG kan vroegtijdig worden betrokken bij nieuwe initiatieven en plannen waarbij sprake is van verwerking van persoonsgegevens. 4. PIV De FG heeft structureel overleg met de Chief information security officer (CISO) en Privacy officers. De frequentie en de te bespreken onderwerpen zijn vastgelegd in bijlage 1. 2. Incidenteel ambtelijk overleg vindt plaats indien een specifiek onderwerp over het verwerken van persoonsgegevens daartoe aanleiding geeft. Artikel 8. Bestuurlijke overleggen 1. In het structurele portefeuillehoudersoverleg (PHO) bespreken de portefeuillehouder en de FG het jaarplan en het jaarverslag van de FG, evenals de voortgang van de activiteiten binnen de organisatie gericht op het borgen van de naleving van de AVG en Wpg. De frequentie hiervan is vastgelegd in bijlage 1. 5

2. In het kader van de controlerende rol van de gemeenteraad zijn het jaarplan en het jaarverslag van de FG relevant. Deze documenten worden jaarlijks door het college aan de gemeenteraad aangeboden. 3. Tussen de griffier en de FG vindt structureel overleg plaats. In bijlage 1 is opgenomen welke onderwerpen tijdens dit overleg aan de orde komen. 4. Incidenteel bestuurlijk overleg vindt plaats indien een specifiek onderwerp over het verwerken van persoonsgegevens daartoe aanleiding geeft. Artikel 9. Capaciteit en middelen 1. Via de gemeentesecretaris/algemeen directeur van gemeente Hoeksche Waard stelt het bestuursorgaan de benodigde middelen aan de FG ter beschikking voor het vervullen van zijn taken en het in stand houden van zijn deskundigheid, dit conform artikel 38 lid 2 van de AVG en artikel 36 lid 6 Wpg. Artikel 10. Inwerkingtreding 1. Deze regeling wordt aangehaald als “Regeling Functionaris voor de Gegevensbescherming gemeente Hoeksche Waard”. 2. De Regeling Functionaris voor de Gegevensbescherming gemeente Hoeksche Waard. treedt in werking één dag na vaststelling en bekendmaking van deze regeling.

6

Bijlage 1. Frequentie structurele overleggen met FG

•

Ambtelijke overleggen

Overleg met Gemeentesecretaris

Frequentie aanwezigheid FG 1x per 6 weken

Directieteam

1x per kwartaal

Domeinen (sociaal, fysiek en bedrijfsvoering)

1x per kwartaal

PIV

1x per week

•

Onderwerp Voortgang concernplan, jaarplan FG, lopende en toekomstige projecten en incidenten. Voortgang directieplan, kwartaalrapportages, lopende en toekomstige projecten en incidenten. Bespreking teamplannen, lopende en toekomstige projecten en incidenten. Inhoudelijke afstemming van lopende zaken, zoals DPIA’s, datalekken en de beveiliging van persoonsgegevens.

Bestuurlijke overleggen

Overleg met Gemeenteraad

Frequentie aanwezigheid FG 1x per jaar

Griffier

2x per jaar

College van B&W

2x per jaar

Portefeuillehouder

1x per kwartaal

Onderwerp Bespreking FG jaarverslag en jaarplan en daaraan gerelateerde onderwerpen. Bespreking stand van zaken AVG m.b.t. de gemeenteraad en griffie en actieve onderwerpen als daartoe aanleiding is, overleg over relevante ontwikkelingen die mogelijk aanleiding zijn voor betrokkenheid van de FG. Bespreking FG jaarverslag en jaarplan en daaraan gerelateerde onderwerpen. Bespreking FG jaarverslag en jaarplan en daaraan gerelateerde onderwerpen.

7