Raadsvoorstel Benoeming Functionaris voor de Gegevensbescherming gemeente Zoetermeer

Raadsvoorstel Onderwerp Zaakid

Benoeming Functionaris voor de Gegevensbescherming gemeente Zoetermeer 2024-126175

Auteur

Carlijn Dohmen +31793468273 C.B.Dohmen@zoetermeer.nl

Gemeentesecretaris

Huykman, B.J.D.

Afdelingshoofd

Quentin A. (Angelique)

Portefeuillehouder

Wethouder Van der Meer

Medeverantwoordelijke(n)

Uiterste behandeldatum (+ reden) Programma(s) Eerdere besluitvorming

Samenvatting

Programma 6 Dienstverlening en samenspraak Collegevoorstel Benoeming Functionaris Gegevensbescherming d.d. 5 december 2017 Raadsvoorstel Programmabegroting 2024-2027 d.d. 6 november 2023 Raadsmemo 213a onderzoek AVG d.d. 14 december 2022 Op grond van de Algemene Verordening Gegevensbescherming is een bestuursorgaan verplicht om een Functionaris voor de Gegevensbescherming (FG) aan de te wijzen. De FG houdt intern toezicht op de naleving van de regels rondom de bescherming van persoonsgegevens. Ook uit de Wet politiegegevens (Wpg) volgt de verplichting om een FG aan te wijzen. Binnen de gemeente Zoetermeer is deze rol sinds 2017 belegd bij een van de managers. Vanaf 1 september 2024 is er een fulltime FG beschikbaar voor de gemeente Zoetermeer. Met dit besluit wordt in de gemeente Zoetermeer FG benoemd voor de raad. De FG is zowel toezichthouder op grond van de AVG als op grond van de Wpg.

Bijlagen

Raadsbesluit Raadsvoorstel Benoeming Functionaris voor de Gegevensbescherming gemeente Zoetermeer 2024-126175 De raad van de gemeente Zoetermeer; Gelezen het voorstel van burgemeester en wethouders van 5 november 2024 Besluit: 1. mw. mr. C.B.B. Dohmen-Spruit aan te wijzen FG voor de raad conform artikel 37, eerste lid, van de AVG en artikel 36, eerste lid, van de Wpg met terugwerkende kracht vanaf 1 september 2024. 2. Mevrouw S. Ligtenberg te benoemen als plaatsvervangend FG voor de raad. Over dit besluit geen referendum mogelijk te maken, omdat het een individuele kwestie, namelijk een benoeming betreft. Dit besluit treedt in werking twee weken na de bekendmaking daarvan.

Aldus vastgesteld in de openbare vergadering van de raad op 27 januari 2025 de griffier,

de voorzitter,

drs. R. Blokland MCM

drs. M.J. Bezuijen

2

Toelichting Probleemstelling en kader Inleiding Op grond van de Algemene Verordening Gegevensbescherming (AVG) en de Wet politiegegevens (Wpg) is het aanstellen van een Functionaris Gegevensbescherming (FG) verplicht voor overheden respectievelijk voor organisaties die politiegegevens verwerken. De FG is de interne toezichthouder op de naleving van de regels rondom de bescherming van persoonsgegevens. In 2017 is voor de gemeente Zoetermeer een FG benoemd. Deze rol is tot september 2024 binnen een beperkt aantal uren intern vervuld. In 2022 vond een 213a onderzoek plaats naar de implementatie van de AVG binnen de gemeente Zoetermeer. Eén van de aanbevelingen uit dit rapport was het aanstellen van een fulltime FG. Aan deze aanbeveling is opvolging gegeven door in de Programmabegroting 20242027 de formatie voor een FG uit te breiden. Op 1 september 2024 is de FG gestart. Vanwege een krappe bezetting en interne afstemming is het benoemingsbesluit later genomen dan gepland. Daarom wordt gevraagd de FG met terugwerkende kracht tot 1 september 2024 te benoemen. De FG zal zich fulltime bezighouden met het toezicht op de naleving van zowel de AVG als de Wet politiegegevens (Wpg). Iedere verwerkingsverantwoordelijke dient een FG aan te wijzen.

Een verwerkingsverantwoordelijke is de rechtspersoon die het doel en middelen voor de verwerking van persoonsgegevens bepaalt en is eindverantwoordelijk voor deze verwerkingen. Omdat elk bestuursorgaan van de gemeente wordt gezien als een afzonderlijke verwerkingsverantwoordelijke, moet elk bestuursorgaan een FG benoemen. Bij besluit van 5 november 2024 is door het college van burgemeester en wethouders en door de burgemeester de FG benoemd. Met dit besluit wordt de FG ook door de raad benoemd. Op grond van de AVG moet een FG zijn taken en verplichtingen onafhankelijk vervullen. Daarbij mag hij geen instructies ontvangen van de verwerkingsverantwoordelijke (i.c. het bestuursorgaan). Dit betekent dat een FG bij het vervullen van zijn taken geen instructies mag ontvangen over hoe een bepaalde aangelegenheid wordt behandeld. Bijvoorbeeld tot welk resultaat hij moet komen of hoe een klacht wordt onderzocht. Tot de taken van de FG behoren: • het houden van toezicht op de naleving van de AVG en de Wpg door de verwerkingsverantwoordelijke; • het informeren en adviseren over naleving van de AVG en Wpg; • het verstrekken van advies bij Dataprotection Impact Asessments (DPIA’s); • samenwerken met en contactpersoon zijn voor de toezichthoudende autoriteiten. De FG brengt verslag uit aan de verwerkingsverantwoordelijke.

De verwerkingsverantwoordelijke is op grond van de AVG gehouden om de FG toegang tot alle persoonsgegevens en verwerkingsactiviteiten te geven en moet de nodige middelen ter beschikking stellen voor het vervullen van deze taken en voor het instandhouden van zijn deskundigheid. Beoogd effect Met de benoeming van een FG voor de drie bestuursorganen van de gemeente Zoetermeer wordt voldaan aan artikel 37, eerste lid, aanhef en onder a, van de AVG en aan artikel 36, eerste lid, van de Wpg.

3

Voorstel/keuzemogelijkheden/risico’s 1. mw. mr. C.B.B. Dohmen-Spruit aan te wijzen FG voor de raad conform artikel 37, eerste lid, van de AVG en artikel 36, eerste lid, van de Wpg met terugwerkende kracht vanaf 1 september 2024. 2. Mevrouw S. Ligtenberg te benoemen als plaatsvervangend FG voor de raad. Argumenten 1.1 Door de benoeming wordt voldaan aan de wettelijke vereisten uit de AVG en Wpg In artikel 37, eerste lid, van de AVG is opgenomen dat een overheidsinstantie een FG dient te benoemen. Elk bestuursorgaan van de gemeente is een verwerkingsverantwoordelijke in de zin van artikel 4, zevende lid, van de AVG. Een verwerkingsverantwoordelijke is de rechtspersoon die het doel en middelen voor de verwerking van persoonsgegevens bepaalt en is eindverantwoordelijk voor deze verwerkingen. Elke verwerkingsverantwoordelijke dient een FG te benoemen. Naast benoeming door de raad heeft daarom ook benoeming door het college van burgemeester en wethouders en door de burgemeester plaatsgevonden. Door geen FG te benoemen, loopt de gemeente het risico op boetes of andere bestuursrechtelijke sancties als gevolg van het niet voldoen aan de AVG en Wpg. Bovendien betekent de afwezigheid van een FG dat er geen toezicht is op de verwerking van persoonsgegevens, waardoor de kans op onrechtmatigheden toeneemt. 1.2

Door benoeming van een fulltime FG kan beter invulling worden gegeven aan de toezichthoudende taken van de FG Tot september 2024 werd de functie van FG als extra taak uitgeoefend door een manager. Hierdoor was er een beperkt aantal uren om de rol van FG in te vullen beschikbaar. Direct na de implementatie van de AVG is de keuze gemaakt voor deze beperkte invulling omdat binnen de gemeente vooral is ingezet op advies op het gebied van privacy. In die eerste fase van de implementatie van de AVG is binnen Zoetermeer ingezet op het op orde krijgen van de organisatie door middel van de aanstelling van privacyadviseurs. Dit advieswerk is gedaan door de senior privacyjuristen die sinds de implementatie van de AVG de organisatie verder hebben gebracht met het begrijpen en naleven van de verplichtingen uit de AVG. De toezichthoudende rol kon in die fase beperkt worden ingevuld. Nu de benodigde procedures om aan de AVG te voldoen zijn ingericht en het kennisniveau van de organisatie is verhoogd, is het moment daar om meer invulling te geven aan de toezichthoudende rol. Ook is in het 213a onderzoek d.d. 13 oktober 2022 de aanbeveling gedaan om deze toezichtsrol verder in te vullen door het aanstellen van een FG die hiervoor voldoende tijd beschikbaar heeft.

Hiermee is er meer tijd voor het structureel toezicht houden en loopt de organisatie minder risico op onrechtmatigheden rondom de bescherming van persoonsgegevens. 2.1 Een plaatsvervangend FG draagt bij aan continuïteit van de FG-taken Door een plaatsvervangend FG te benoemen zijn de verwerkingsverantwoordelijken ervan verzekerd dat de werkzaamheden van de FG door kunnen gaan, ook als deze afwezig is. Dit is met name van belang bij spoedgevallen. Bijvoorbeeld wanneer zich een ernstig datalek voordoet of wanneer een toezichthouder onderzoek komt doen en de ‘vaste’ FG langdurig afwezig is. Kanttekeningen Geen.

4

Financiën Voor het aanstellen van een FG voor zowel de raad, als het college van burgemeester en wethouders en de burgemeester, is in de programmabegroting 2024-2027 een bedrag van € 113.000,- beschikbaar gesteld. Controleprotocol Niet van toepassing. Participatie en Communicatie Het raadsbesluit wordt elektronisch bekend gemaakt. Er is geen sprake van participatie omdat het een benoeming betreft. Duurzaamheid Niet van toepassing. Toegankelijkheid en bruikbaarheid voor gehandicapten Niet van toepassing. Rapportage en evaluatie Niet van toepassing. Planning Niet van toepassing.

5