Bron: GEMEENTEBLAD | Officiële uitgave van de gemeente Losser

Reglement Functionaris Gegevensbescherming

BESLUIT

vast stellen het navolgende

Reglement Functionaris Gegevensbescherming

Introductie

De Algemene Verordening Gegevensbescherming (AVG) die per 25 mei 2018 de Wet bescherming persoonsgegevens (Wbp) vervangt, geeft regels en verplichtingen ten aanzien van het verwerken van persoonsgegevens. Een van deze verplichtingen is dat overheidsinstanties, waaronder gemeenten, verplicht zijn om een Functionaris voor de gegevensbescherming (FG) aan te stellen. De belangrijkste taak van de FG is dat deze onafhankelijk toezicht en controle houdt op de toepassing en naleving van de Algemene verordening gegevensbescherming en de Wet politiegegevens.

De wet verbindt duidelijke eisen aan de positionering van een FG. Zo is het essentieel dat de FG onafhankelijk kan toezien op de naleving van de AVG in de betreffende organisatie. Naast de wettelijke bepalingen heeft de Autoriteit Persoonsgegevens (AP) ook concrete uitgangspunten opgesteld over onder meer de informatiepositie van de FG, de middelen die de FG nodig heeft en de toegang van de FG tot het bestuur van de organisatie.

In dit reglement is de landelijke regelgeving vertaald naar de gemeentelijke organisatie geeft de kaders weer voor de wijze waarop de FG van de gemeente de taken en bevoegdheden onafhankelijk en zonder enige belemmering kan uitoefenen.

De bepalingen, verplichtingen en bevoegdheden die in dit reglement worden benoemd zijn gebaseerd op de in de Algemene Verordening Gegevensbescherming gestelde eisen en op grond van de in artikel 37 AVG opgenomen verplichting voor overheidsinstanties om per 25 mei 2018 (inwerkingtreding AVG) een FG aan te stellen. De gemeente Losser voldoet aan deze eis.

De verantwoordelijke voor de verwerking van persoonsgegevens, het College respectievelijk burgemeester, en/of het betreffende gemeentelijke bestuursorgaan, zorgt ervoor dat de onafhankelijke positie van de FG is gewaarborgd. Zodoende stelt de verantwoordelijke de FG in de gelegenheid zijn/haar taak zelfstandig, onafhankelijk en naar behoren uit te kunnen oefenen.

Positie FG

De FG is een interne onafhankelijke en toezichthoudende privacyfunctionaris. De organisatie is verantwoordelijk voor het opstellen en uitvoeren van het privacy beleid. De FG ziet toe op de naleving hiervan en brengt advies uit over de risico’s van bestaande verwerkingen en voorgenomen nieuwe producten en diensten. Als toezichthouder controleert de FG of de organisatie de AVG goed toepast en ziet erop toe dat betrokkenen hun privacy rechten kunnen uitoefenen. Problemen met compliance bespreekt de FG met de verantwoordelijke binnen de organisatie.

Om de onafhankelijkheid van deze functionaris te borgen zijn er uitgangspunten geformuleerd die hieraan bijdragen, waaronder:

Organisatorisch is de FG ondergebracht bij de Concernstaf. De FG rapporteert rechtstreeks aan de Gemeentesecretaris over zijn/haar bevindingen.

Taken en verantwoordelijkheden

Het is van groot belang dat de FG zijn taken en bevoegdheden onafhankelijk en zonder enige belemmering kan uitoefenen. Deze verplichting valt onder de verantwoordelijke, het College, de burgemeester of gemeentelijke organisatie. Zij dient er ook op toe te zien dat de FG geen instructies ontvangt met betrekking tot de uitvoering van de taken. De FG heeft een belangrijke adviserende rol ten aanzien van de borging van de AVG. Vanuit een onafhankelijke positie houdt de FG intern toezicht op de manier waarop door de organisatie wordt omgegaan met persoonsgegevens.

Belangrijk is ook dat deze aan de voorkant een rol speelt bij de inrichting van processen door (gevraagd en ongevraagd) adviezen te geven ten aanzien van ‘privacy by design’ en ‘privacy by default’.

De FG is het formele aanspreekpunt voor inwoners als zij hun rechten als betrokkene willen uitoefenen.

De taken van de FG

Toezicht en onderzoek

Vanuit zijn/haar onafhankelijke toezichthoudende rol beschikt de FG over alle bevoegdheden die hem/haar in staat stellen om taken naar behoren uit te kunnen oefenen. De FG kan hierbij over bevoegdheden beschikken die gelijkwaardig zijn aan de bevoegdheden zoals geregeld in titel 5.2 van de Algemene wet bestuursrecht (Awb hoofdstuk 5 5.2)

In geval van twijfel of verschil van mening is het advies van de FG zwaarwegend waar alleen gemotiveerd van afgeweken kan worden. Deze motivatie wordt gedocumenteerd.

De verwerkingsverantwoordelijke (en eventuele verwerkers die bij de verwerking van persoonsgegevens zijn betrokken) verstrekken desgevraagd de FG alle inlichtingen en verlenen alle medewerking die hij/zij voor de uitoefening van zijn taak behoeft. Hiervoor heeft de FG toegang tot alle ruimten, waar een verwerking van persoonsgegevens plaatsvindt. Daarnaast is de FG bevoegd apparatuur, programmatuur, gegevensbestanden, boeken en bescheiden te onderzoeken en 'en kan daarbij, indien nodig, rekenen op hulp ten aanzien van de werking van apparatuur en programmatuur'

Indien noodzakelijk krijgt de FG toegang tot de (computer-)systemen waarin persoonsgegevens worden verwerkt. De FG zal desnoods de beschikking dienen te krijgen over de relevante inloggegevens. De FG wordt in staat gesteld om zaken daadwerkelijk te onderzoeken.

De FG dient zelfstandig en onafhankelijk over zijn/haar bevindingen aan de verwerkingsverantwoordelijke te rapporteren. De FG adviseert over te nemen maatregelen (zowel regressief als progressief) om risico’s te beperken of weg te nemen. Verder kan de FG een onderzoek instellen naar de wijze waarop in verband met de verwerking van persoonsgegevens, in een bepaald geval dan wel in het algemeen belang, de persoonlijke levenssfeer wordt beschermd.

Indien de FG dit naar redelijkheid nodig acht, kan de FG voor zijn/haar onderzoek gebruikmaken van de diensten van externe specialisten.

Registers

De verwerkingsverantwoordelijke houdt een register bij van de verwerkingsactiviteiten die onder zijn verantwoordelijkheid plaatsvinden (art 30, lid 1 en 2). De Functionaris Gegevensbescherming ziet er op toe dat een dergelijk register wordt bijgehouden en adviseert de verwerkingsverantwoordelijke en/of de verwerker over de inhoud, actualiteit en compleetheid hiervan.

De organisatie heeft een meldprocedure en een datalekkenregister. In het register worden alle datalekken geregistreerd, zowel de datalekken die worden gemeld bij de Autoriteit Persoonsgegevens als de datalekken die niet extern worden gemeld.

Indien het verlies of misbruik van persoonsgegevens betreft dat ernstig nadelige gevolgen voor de betrokkene kan hebben/heeft, wordt de betrokkene ook ingelicht.

Datalekken worden in het datalekregister genoteerd.

De Functionaris Gegevensbescherming ziet er op toe dat een dergelijk register wordt bijgehouden en adviseert de verwerkingsverantwoordelijke of de verwerker over de inhoud, actualiteit en compleetheid hiervan.

In het datalekregister wordt informatie over onderstaande onderwerpen vastgelegd:

Benodigde middelen

De verwerkingsverantwoordelijke stelt aan de FG het benodigde werkbudget ter beschikking om aan diens taken en verplichtingen te voldoen.

Krachtens artikel 38, lid 2, van de algemene verordening gegevensbescherming moet de organisatie haar Functionaris voor Gegevensbescherming ondersteunen door "hem toegang te verschaffen tot persoonsgegevens en verwerkingsactiviteiten en door hem de benodigde middelen ter beschikking te stellen voor het vervullen van zijn/haar taken en het in stand houden van zijn deskundigheid". Met name de volgende items moeten in aanmerking worden genomen:

Losser, 10 oktober 2023

Secretaris,

Burgemeester,