163720-Bijlage raadsvoorstel aanwijzingsbesluit Statuut FG

Gemeente Echt-Susteren, Gemeente Maasgouw, Gemeente Roerdalen en Servicecentrum MER Statuut voor de Functionaris voor gegevensbescherming Versie 1.1 DEFINITIEF 3 juni 2023

Gemeente Echt-Susteren, Gemeente Maasgouw, Gemeente Roerdalen en Servicecentrum MER Statuut voor de Functionaris voor gegevensbescherming Versie 1.1 DEFINITIEF 3 juni 2023

Inhoudsopgave Inhoudsopgave ...............................................................................................................................................2 Aanleiding voor dit statuut..............................................................................................................................3 Doel van dit statuut ........................................................................................................................................3 Leeswijzer .......................................................................................................................................................3 De relatie van dit statuut t.o.v. andere relevante documenten t.a.v. de bescherming van persoonsgegevens .4 De plaats van de FG bij toepassing van het 3LoD risicomanagementmodel voor de bescherming van persoonsgegevens...........................................................................................................................................5 Taken, verantwoordelijkheden en bevoegdheden van de FG...........................................................................6

Gemeente Echt-Susteren, Gemeente Maasgouw, Gemeente Roerdalen en Servicecentrum MER Statuut voor de Functionaris voor gegevensbescherming Versie 1.1 DEFINITIEF 3 juni 2023

Aanleiding voor dit statuut

De functionaris voor gegevensbescherming (FG) is de toezichthouder op de bescherming van persoonsgegevens. De FG informeert de organisatie over zijn wettelijke verplichtingen, ziet erop toe dat de organisatie privacy wet- en regelgeving naar behoren naleeft, en adviseert over verbeteringen die de organisatie daarbij kan doorvoeren. Een organisatie is onder bepaalde omstandigheden verplicht om een FG aan te stellen. De bestuursorganen van Gemeente Echt-Susteren, Gemeente Maasgouw, Gemeente Roerdalen en Servicecentrum MER zijn als overheidsorganen in het kader van zowel de Algemene verordening gegevensbescherming (AVG) als de Wet politiegegevens (Wpg) verplicht om een Functionaris voor Gegevensbescherming (FG) aan te wijzen. In het kader van de Wpg alleen voor zover zij bijzondere opsporingsambtenaren (BOA’s) in dienst hebben. In artikel 37 tot en met 39 van de AVG en artikel 36 van de Wpg zijn de taken, bevoegdheden en positionering van de FG vastgelegd. In dit statuut vindt de praktische uitwerking plaats van deze artikelen.

Doel van dit statuut

Om te zorgen dat de FG zijn taken naar behoren kan uitvoeren is het van belang dat voor de organisaties helder is wat zijn taken, verantwoordelijkheden en bevoegdheden zijn. Omdat de FG de organisaties voor een goede taakuitoefening nodig heeft wordt in dit statuut uitgewerkt wie welke (ondersteunende) rol daarin heeft.

Leeswijzer

In dit document worden volgordelijk: • De relatie van dit statuut geduid t.o.v. andere relevante documenten t.a.v. de bescherming van persoonsgegevens bij Gemeente Echt-Susteren, Gemeente Maasgouw, Gemeente Roerdalen en Servicecentrum MER. • De positie van de FG verduidelijkt aan de hand van het 3LoD risicomanagementmodel. • De taken, verantwoordelijkheden en bevoegdheden van de Functionaris voor Gegevensbescherming beschreven. • De taken en verantwoordelijkheden van verschillende functies binnen de organisatie beschreven die nodig zijn om de FG zijn taken naar behoren te kunnen laten uitvoeren.

Gemeente Echt-Susteren, Gemeente Maasgouw, Gemeente Roerdalen en Servicecentrum MER Statuut voor de Functionaris voor gegevensbescherming Versie 1.1 DEFINITIEF 3 juni 2023

De relatie van dit statuut t.o.v. andere relevante documenten t.a.v. de bescherming van persoonsgegevens Informatie Beveiligings beleid

Beschrijft de rollen, taken en verantwoordelijkheden van de overige stakeholders bij het nemen van passende technische en organisatorische beveiligingsmaatregelen t.b.v. de bescherming van persoonsgegevens binnen het servicecentrum

Statuut FG

Beschrijft de taken, verantwoordelijkheden en bevoegdheden van de FG binnen het servicecentrum & Beschrijft de taken en verantwoordelijkheden van de overige spelers binnen het servicecentrum die nodig zijn om de FG in staat te stellen zijn taken naar behoren uit te voeren

Privacybeleid

Beschrijft de rollen, taken en verantwoordelijkheden van de overige spelers bij de bescherming van persoonsgegevens binnen het servicecentrum

Missie en Visie

Beschrijft de missie en visie van de FG.

Ontwikkelplan

Beschrijft de visie van de FG op de doorontwikkeling van zijn eigen expertise, de uitwerking daarvan voor de komende periode en de financiële middelen die de FG daarvoor noodzakelijk acht.

Jaarplan

Werkt de missie, visie en strategie van de FG uit voor de komende periode inclusief de middelen die de FG daarvoor noodzakelijk acht.

Gemeente Echt-Susteren, Gemeente Maasgouw, Gemeente Roerdalen en Servicecentrum MER Statuut voor de Functionaris voor gegevensbescherming Versie 1.1 DEFINITIEF 3 juni 2023

Onderzoekswerkwijze

Beschrijft de kwaliteitskaders die de FG hanteert bij het uitvoeren van een onderzoek.

De plaats van de FG bij toepassing van het 3LoD risicomanagementmodel voor de bescherming van persoonsgegevens Toepassen van het 3LoD risicomanagementmodel draagt bij aan een versterking van de risicocultuur, het nemen van verantwoordelijkheid voor het managen van risico’s en interne beheersing. Uitgangspunt van het 3LoD model is dat het lijnmanagement (de eerste lijn) verantwoordelijk is voor haar eigen processen. Bij Gemeente Echt-Susteren, Gemeente Maasgouw, Gemeente Roerdalen en Servicecentrum MER zijn dit met name de griffies, directies en de teammanagers, teamleiders en clusterleiders. Daarnaast moet er een functie zijn die de eerste lijn ondersteunt, adviseert, coördineert en bewaakt of het management zijn verantwoordelijkheden ook daadwerkelijk neemt. Dit is de tweede lijn. Ook bepaalde beleidsvoorbereidende taken en het organiseren van integrale risk assessments zijn taken van de tweede lijn. Bij Gemeente Echt-Susteren, Gemeente Maasgouw, Gemeente Roerdalen en Servicecentrum MER is dit voor de bescherming van persoonsgegevens de privacycoördinator. Ten slotte is het wenselijk dat er binnen de organisatie een functie bestaat die controleert of het samenspel tussen de eerste en tweede lijn soepel functioneert en daarover een objectief, oordeel geeft met mogelijkheden tot verbetering.

Deze functie is de derde lijn, die volledig los van andere organisatieonderdelen opereert. De derde lijn voorziet de hoogste leiding van bevindingen over de kwaliteit van sturing en beheersing en de mate waarin de organisatie risico's beheerst. Bij Gemeente Echt-Susteren, Gemeente Maasgouw, Gemeente Roerdalen en Servicecentrum MER is dit voor de bescherming van persoonsgegevens de FG.

Gemeente Echt-Susteren, Gemeente Maasgouw, Gemeente Roerdalen en Servicecentrum MER Statuut voor de Functionaris voor gegevensbescherming Versie 1.1 DEFINITIEF 3 juni 2023

Taken, verantwoordelijkheden en bevoegdheden van de FG Taken van de FG •

• • •

• • • • • •

•

De verwerkingsverantwoordelijken (de bestuursorganen), griffiers, directie, teammanagers, teamleiders, clusterleiders en werknemers die persoonsgegevens verwerken, informeren en gevraagd en ongevraagd adviseren over hun verplichtingen die voortvloeien uit de Algemene verordening gegevensbescherming, de Wet politiegegevens en andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen; Gevraagd en ongevraagd advies verstrekken met betrekking tot de gegevensbeschermingseffect-beoordelingen (DPIA); Gevraagd en ongevraagd advies verstrekken over de ernst en omvang van inbreuken op de bescherming van persoonsgegevens; Toezien op naleving van de Algemene verordening gegevensbescherming, de Wet politiegegevens en andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens Toezien op de toewijzing van verantwoordelijkheden, bewustmaking en opleiding van het bij de verwerking betrokken personeel; Toezien op het beheer van het verwerkingsregister; Toezien op het register van inbreuken op de bescherming van persoonsgegevens; Toezien op de uitvoering van (verplichte) audits en de uitvoering van gegevensbeschermingseffectbeoordelingen (DPIA); Met de toezichthoudende autoriteit samenwerken; Optreden als contactpunt voor de

toezichthoudende autoriteit inzake met verwerking verband houdende aangelegenheden, met inbegrip van de voorafgaande raadpleging van de Autoriteit Persoonsgegevens en, waar passend, overleg plegen over enige andere aangelegenheid; Optreden als contactpunt voor burgers en medewerkers wiens persoonsgegevens door Servicecentrum MER worden verwerkt over alle aangelegenheden die verband houden met de verwerking van hun gegevens en met de uitoefening van hun rechten uit hoofde van deze verordening voor zover dit contact relevant is voor zijn taakuitvoering als toezichthouder.

Kaders voor taakuitvoering door de FG De FG: • Wordt aangewezen op grond van zijn professionele kwaliteiten en, in het bijzonder, zijn deskundigheid op het gebied van de wetgeving en de praktijk inzake gegevensbescherming en zijn vermogen de in artikel 39 bedoelde taken te vervullen. • Vervult zijn taken in onafhankelijkheid.

Gemeente Echt-Susteren, Gemeente Maasgouw, Gemeente Roerdalen en Servicecentrum MER Statuut voor de Functionaris voor gegevensbescherming Versie 1.1 DEFINITIEF 3 juni 2023

• •

Houdt bij de uitvoering van zijn taken naar behoren rekening met het aan verwerkingen verbonden risico, en met de aard, de omvang, de context en de verwerkingsdoeleinden. Is met betrekking tot de uitvoering van zijn taken overeenkomstig het Unierecht of het lidstatelijk recht tot geheimhouding of vertrouwelijkheid gehouden, behoudens voor zover uit zijn taak de noodzaak tot mededeling voortvloeit of enig wettelijk voorschrift hem tot mededeling verplicht.

Bevoegdheden van de FG De FG: • Is bevoegd om ongevraagd alle ruimtes van Gemeente Echt-Susteren, Gemeente Maasgouw, Gemeente Roerdalen en Servicecentrum MER te betreden indien dit noodzakelijk is voor de uitvoering van zijn taken. • Is bevoegd om inlichtingen en inzage te vragen en om zaken te onderzoeken. • Is bevoegd om van aan hem verstrekte gegevens en bescheiden kopieën te maken indien dit noodzakelijk is voor de uitvoering van zijn taken. Rapportage door de FG • Brengt jaarlijks verslag uit rechtstreeks aan de bestuursorganen en directies over zijn bevindingen in één geïntegreerde rapportage per organisatie.

Ondersteuning van de FG vanuit de organisaties: taken & verantwoordelijkheden Eenieder die werkzaam is bij Gemeente Echt-Susteren, Gemeente Maasgouw, Gemeente Roerdalen en Servicecentrum MER: • Verleent de FG binnen de door hem gestelde redelijke termijn alle medewerking die deze redelijkerwijs kan vorderen bij het uitoefenen van zijn taken. • Geeft de FG op diens verzoek toegang tot informatie, systemen en ruimtes als de FG dat nodig acht voor het uitvoeren van zijn taken. • Informeert de FG over (signalen van) verwerkingen die niet aan de AVG respectievelijk de Wpg voldoen. Bestuursorganen, griffiers en directies: • Ondersteunen de FG bij de vervulling van zijn taken door het belang van het onafhankelijke interne toezicht op de bescherming van persoonsgegevens te onderschrijven en intern uit te dragen. • Stellen de FG op diens verzoek middelen beschikbaar voor zover deze dat nodig acht voor het uitvoeren van zijn taken, bijvoorbeeld voor kennisonderhoud en opleiding of inhuur van expertise bij onderzoek of advisering. • Zorgen ervoor dat de FG:

Gemeente Echt-Susteren, Gemeente Maasgouw, Gemeente Roerdalen en Servicecentrum MER Statuut voor de Functionaris voor gegevensbescherming Versie 1.1 DEFINITIEF 3 juni 2023

o Naar behoren en tijdig wordt betrokken bij alle aangelegenheden de enig verband kunnen houden met de bescherming van persoonsgegevens, zoals nieuwe beleidsinitiatieven, taken, samenwerkingen en (ICT-)systemen. o Geen instructies ontvangt met betrekking tot de uitvoering van zijn taken. Bijvoorbeeld over het te bereiken resultaat, het onderzoeken van een klacht, het consulteren van de toezichthouder, of een in te nemen standpunt, zoals met betrekking tot interpretatie van de wet. o Niet wordt ontslagen of gestraft voor de uitvoering van zijn taken. NB: Deze bescherming heeft met name als doel te waarborgen dat de FG vrij is om tot een onafhankelijke oordeel te komen. o Geen andere taken en plichten vervult die tot een belangenconflict kunnen leiden met zijn taken als FG. Teammanagers, teamleiders en clusterleiders: • Zorgen ervoor dat de FG naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband kunnen houden met de bescherming van persoonsgegevens, zoals nieuwe beleidsinitiatieven, taken, samenwerkingen en systemen.

• Informeren de FG vroegtijdig over (voorgenomen) veranderingen die zich voordoen in de verwerking van persoonsgegevens die onder hun verantwoordelijkheid plaats vinden; • Vragen de FG vroegtijdig om advies: o Bij het beoordelen of er bij veranderingen in de organisatie een gegevensbeschermingseffectbeoordeling (DPIA) moet worden uitgevoerd; o Over de wijze waarop in een specifieke situatie een gegevensbeschermingseffect-beoordeling (DPIA) het best kan worden uitgevoerd; o Ten aanzien van een uitgevoerde gegevensbeschermingseffectbeoordeling (DPIA) en zo nodig het voorafgaand raadplegen van de Autoriteit Persoonsgegevens; o Bij de afhandeling van klachten van betrokkenen die de bescherming van persoonsgegevens aangaan. • Informeren de FG over de wijze waarop ze gevolg geven aan de adviezen en aanbevelingen van de FG en de uitvoering van uit de DPIA naar voren gekomen beschermingsmaatregelen; Privacycoördinatoren: • Informeren de FG proactief over: o Veranderingen die zich voordoen in de (beleids)kaders, standaarden, procedures en werkwijzen die onder hun verantwoordelijkheid worden beheerd; o De invoering, toepassing en effectiviteit van het organisatiebrede privacy management systeem; o De wijze waarop zij gevolg geven aan de adviezen en aanbevelingen van de FG;

Gemeente Echt-Susteren, Gemeente Maasgouw, Gemeente Roerdalen en Servicecentrum MER Statuut voor de Functionaris voor gegevensbescherming Versie 1.1 DEFINITIEF 3 juni 2023

•

o Nieuwe verwerkingen, of veranderingen in bestaande verwerkingen, met een hoog risico voor de rechten en vrijheden van betrokkenen; o Datalekken die de organisatie aan de Autoriteit Persoonsgegevens moet melden; Maken de zakelijke contactgegevens van de FG bekend aan burgers, medewerkers en de Autoriteit Persoonsgegevens via de daarvoor beschikbare passende (digitale) communicatiemiddelen en houden deze actueel;

CISO’s: • Informeren de FG proactief over: o Veranderingen die zich voordoen in de (beleids)kaders, standaarden en procedures die onder hun verantwoordelijkheid worden beheerd; o De invoering, toepassing en effectiviteit van het organisatiebrede informatiebeveiligingsmanagement systeem en de implementatie van de gangbare informatiebeveiligingsstandaarden en normenkaders; o De wijze waarop zij gevolg geven aan de adviezen en aanbevelingen van de FG; Klachtencoördinatoren / klachtencommissies: • Vragen de FG zo nodig om advies bij de afhandeling van klachten van betrokkenen die de bescherming van persoonsgegevens aangaan. Bezwarencommissies: • Vragen de FG zo nodig om advies bij de afhandeling van bezwaren van betrokkenen die besluiten ten aanzien van de bescherming van persoonsgegevens aangaan.

Gemeente Echt-Susteren, Gemeente Maasgouw, Gemeente Roerdalen en Servicecentrum MER Statuut voor de Functionaris voor gegevensbescherming Versie 1.1 DEFINITIEF 3 juni 2023