Met de oprichting van de BAR-organisatie in 2014 is vrijwel al het gemeentelijk personeel in dienst getreden van de BAR-organisatie. Formeel is dat een derde ten opzichte van de gemeenten. Feitelijk is er echter nauwelijks onderscheid te maken tussen de gemeenten en de BAR-organisatie. Niettemin moeten wij uitgaan van de formele werkelijkheid: de BAR-organisatie als afzonderlijke organisatie.

Omdat er formeel sprake is van een andere organisatie, is het van belang om heldere afspraken te maken over de verdeling van verantwoordelijkheden. Dat voorkomt onduidelijkheid voor zowel de inwoners van de gemeenten, als voor de organisatie zélf. De noodzaak tot een dergelijke goede omschrijving wordt nog eens extra ingegeven door de vele eisen die voortvloeien uit de wet- en regelgeving in het kader van informatieveiligheid en privacy. Uit dat laatste vloeit voort, dat de gemeenten en de BAR-organisatie tezamen verantwoordelijke zijn voor de verwerking van persoonsgegevens. Dat komt omdat de colleges nog altijd dragers zijn van alle wettelijke bevoegdheden, maar deze bevoegdheden in zeer veel gevallen feitelijk – in mandaat – worden vervuld door de medewerkers van de BAR-organisatie. Daarbij wordt tevens gebruik gemaakt van het netwerk en de systemen van die BAR-organisatie.

Dit convenant is bedoeld om duidelijkheid te scheppen in de onderlinge verantwoordelijkheden. Duidelijkheid voor de interne organisatie. Die duidelijkheid moet ook worden gegeven op grond van artikel 26 van de AVG. Dit convenant volgt de structuur van dit artikel en geeft afspraken in hoofdlijnen weer. Bovendien zijn deze afspraken strikt beperkt tot de werking van de AVG en tot het daarmee samenhangende terrein van informatieveiligheid.

Dit convenant gaat niet over de verdeling van bevoegdheden in de zin van de Awb. Dat is binnen de verhouding geregeld via mandaten en daaraan kan dit stuk geen afbreuk doen. Dit convenant gaat uit de feitelijke situatie zoals deze is gegroeid sinds de oprichting van de BAR-organisatie. Met het vaststellen van dit convenant wordt de BAR-organisatie niet plotseling bevoegd om – net als de gemeenten – wettelijke taken zelfstandig uit te voeren. Dat blijft allemaal bij de gemeenten.

De wettelijke grondslag voor dit convenant is gelegen in het hiervoor aangehaalde artikel 26 AVG, de uitspraken van de jurisprudentie van het Europees Hof van Justitie van 5 juni 2018 en 10 juli 2018,8HvJ EU 5 juni 2018, C-210/16, ECLI:EU:C:2018:388 (Wirtschaftsakademie Schleswig-Holstein GmbH) en HvJ EU 10 juli 2018, C-25/17, ECLI:EU:C:2018:551 (Jehovan todistajat). in samenhang met het bepaalde in artikel 4, lid 1 en artikel 5 van de Gemeenschappelijke Regeling BAR-organisatie.

De gemeenten en de BAR-organisatie zijn verantwoordelijk voor alle verwerkingen die plaatsvinden ten behoeve van de uitoefening van wettelijke taken, als bedoeld in artikel 4, lid 3 van de Gemeenschappelijke Regeling BAR-organisatie. De taken als bedoeld worden in veruit de meeste gevallen uitgevoerd door middel van elektronische dan wel geautomatiseerde systemen, die worden beheerd door het bestuur van de BAR-organisatie.

Het dagelijks bestuur van de BAR-organisatie heeft de taak de gehele ICT infrastructuur van de gemeenten en de BAR-organisatie te beheren en te beveiligen. Die infrastructuur omvat zowel hardware als software. Onder dat beheer wordt verstaan dat het bestuur er voor zorgdraagt dat afspraken over de beschikbaarheid, vertrouwelijkheid en integriteit van de infrastructuur en de daarop verwerkte data worden behaald. Het bestuur draagt zorg voor een efficiënte inkoop en beveiliging op het gebied van ICT en zorgt – daar waar noodzakelijk – voor afstemming met de betrokken organen van de gemeenten. Het bestuur van de gemeenten is aansprakelijk voor de op de ICT infrastructuur verwerkte en opgeslagen gegevens.

Het dagelijks bestuur van de BAR-organisatie is ervoor verantwoordelijk om het bestuur van de gemeenten – indien er sprake is van beveiligingsincidenten – in algemene zin, dan wel in afzonderlijke gevallen van die incidenten op de hoogte te stellen. Het dagelijks bestuur heeft voor de uitoefening van deze taak een functionaris aangewezen. Die functionaris staat bekend als Chief Information Security Officer (CISO).

Het bestuur van de gemeenten blijft voor haar inwoners de eerst aansprakelijke voor de verwerking van persoonsgegevens, ook wanneer deze verwerkingen plaatsvinden via de systemen die worden beheerd door het bestuur van de BAR-organisatie.

Indien er sprake is van een beveiligingsmaatregel die dient ter voorkoming van het verlies van, de aantasting van of anderszins bescherming van persoonsgegevens of andere data die noodzakelijk blijkt voor de gemeentelijke dienstverlening, legt de voorzitter van het dagelijks bestuur van de BAR-organisatie daarover verklaringen af. Het gaat hierbij om eventuele publieke verklaringen die worden afgelegd ten behoeve van en namens de gemeenten en de BAR-organisatie. De voorzitter zorgt daarbij voor een doelmatige en effectieve communicatie en maakt daarbij gebruik van de op dat moment meest effectieve communicatiemiddelen.

Het bestuur van de gemeenten blijft te allen tijde het aanspreekpunt voor burgers. Het uitoefenen van de rechten die de inwoners toekomen, vindt plaats via het bestuur van de gemeenten. Verzoeken worden dus altijd ingediend bij de betreffende gemeente, maar worden feitelijk afgehandeld door de BAR-organisatie namens die gemeente. Hiervoor heeft de BAR-organisatie de nodige procedures ontwikkeld en in werking gesteld.

Het dagelijks bestuur van de BAR-organisatie is verantwoordelijk voor de uitoefening van de rechten van medewerkers. Verzoeken van medewerkers worden ingediend bij de BAR-organisatie.

Verzoeken van medewerkers van de gemeenten, met name die werkzaam zijn bij de griffies van de gemeenten en leden van organen van de gemeenten die geen deelnemers zijn aan de Gemeenschappelijke Regeling, vallen onder de verantwoordelijkheid van de betreffende gemeente. Dergelijke verzoeken worden dus gericht tot de gemeenten, maar worden feitelijk afgehandeld door de BAR-organisatie namens die gemeente.

Het dagelijks bestuur van de BAR-organisatie is belast met het beheer van de gehele ICT-infrastructuur. Daaronder vallen in ieder geval alle hardware en alle gemeenschappelijke software en cloud-oplossingen. De gemeenten en de BAR-organisatie maken daar gezamenlijk gebruik van. Het dagelijks bestuur is verantwoordelijk voor het treffen en in standhouden van de noodzakelijk beveiligingsmaatregelen, gelet op het bepaalde in artikel 32 AVG, de BIG en de kaders in het informatieveiligheidsbeleid van de BAR-organisatie en de gemeenten. Het dagelijks bestuur draagt zorg voor tijdige maatregelen en voldoende budget voor deze taak.

Het dagelijks bestuur draagt zorg voor de verantwoording aan het bestuur van de gemeenten ten aanzien van taak als bedoeld onder 2.1 en 2.2.1. De BAR-organisatie heeft hiertoe een functionaris: de CISO.

Het dagelijks bestuur van de BAR-organisatie is verantwoordelijk voor de externe verantwoording voor wat betreft de beveiligingsmaatregelen. Daaronder vallen in ieder geval de ENSIA-verantwoording en de implementatie van de BIG, dan wel de rechtsopvolgers van deze verantwoordingssystemen. De coördinerende en ondersteunende taak rondom deze verantwoording belegt het dagelijks bestuur bij de CISO.

Het dagelijks bestuur is verantwoordelijk voor het opstellen en het beheer van het verwerkingsregister als bedoeld in artikel 30 AVG. Dat register bevat alle verwerkingen die plaatsvinden binnen de BAR-organisatie en de gemeenten. Dat register ziet derhalve ook op verwerkingen die plaatsvinden door de organen van de gemeenten en geldt als gemeenschappelijk verwerkingsregister. Het dagelijks bestuur draagt zorg voor de verstrekking van het verwerkingsregister aan de toezichthouder en geeft daarbij aan dat die verstrekking plaatsvindt namens de gemeenten en de BAR-organisatie. Het dagelijks bestuur zorgt namens de gemeenten ook voor een passende en adequate openbaarmaking van dit register.

Het dagelijks bestuur van de BAR-organisatie draagt zorg voor een registratie van verwerkers die – op welke wijze dan ook – gegevens verwerken namens de gemeenten, dan wel de BAR-organisatie en gebonden zijn aan de aanwijzing van hen als bedoeld in artikel 28, lid 3 AVG.

De BAR-organisatie en de gemeenten schakelen geen verwerkers in die niet voldoen aan de eisen als bedoeld in artikel 28, lid 1 AVG. Het bestuur van de BAR-organisatie is verantwoordelijk voor de selectie van dergelijke verwerkers. Het inschakelen van verwerkers die niet aan het bepaalde in artikel 28, lid 1 AVG voldoen vindt alleen plaats na voorafgaande instemming van het betrokken orgaan van de gemeente(n). De inschakeling van verwerkers op een andere wijze dan hier omschreven komt voor rekening en risico van het bestuur van de betrokken organisatie.

Het dagelijks bestuur van de BAR-organisatie is verantwoordelijk voor de uitvoering van gegevensbeschermingseffectbeoordelingen als bedoeld in artikel 35 AVG. Het bestuur van de BAR-organisatie voert een dergelijke beoordeling uit bij de ingebruikneming van nieuwe systemen die een nieuwe vorm of verfijning van gegevensverwerking tot gevolg hebben. Deze verantwoordelijkheid vloeit voort uit het hiervoor bepaalde onder 2.1.

Het toezicht op de naleving van de AVG is belegd bij de Autoriteit Persoonsgegevens (AP). Alle verwerkingsverantwoordelijken kunnen met toezichtshandelingen van die AP worden geconfronteerd. Om op vragen effectief en efficiënt te reageren is een verdeling van taken noodzakelijk. Uitgangspunt daarbij is dat de aangesproken organisatie naar de AP reageert. Het bestuur van de BAR-organisatie is echter voor een dergelijke reactie namens de aangesprokene verantwoordelijk. Omdat het niet is uitgesloten dat de reactie van één gemeente gevolgen kan hebben voor de andere gemeenten, is afstemming daarvan in het dagelijks bestuur van de BAR-organisatie voor de hand liggend.

Indien de AP overgaat tot het opleggen van sancties naar aanleiding van de toezichttaak, is het dagelijks bestuur van de BAR-organisatie ervoor verantwoordelijk dat:

  • - Indien daar gronden voor bestaan tegen, een dwangsombesluit tijdig rechtsmiddelen aan te wenden. Het dagelijks bestuur besluit niet tot een dergelijke rechtshandeling zonder daaraan voorafgaande instemming van het betreffende bestuursorgaan. Het dagelijks bestuur is echter wel zonder die instemming bevoegd om pro-forma rechtsmiddelen aan te wenden teneinde fatale termijnen te stuiten;
  • - De met een dwangsombesluit opgelegde maatregelen, ook ingeval er gronden zijn om het besluit aan te vechten, tijdig uit te voeren teneinde het verbeuren van dat besluit te voorkomen;
  • - Overige opgelegde bestuurlijke maatregelen uit te voeren en daarover namens het betrokken bestuursorgaan aan de AP te rapporteren.

Indien de AP overgaat tot het opleggen van een bestraffende sanctie naar aanleiding van de toezichttaak, is het dagelijks bestuur van de BAR-organisatie ervoor verantwoordelijk dat:

  • - Indien daar gronden voor bestaan, tegen een bestraffende sanctie tijdig rechtsmiddelen aan te wenden. Het dagelijks bestuur besluit niet tot een dergelijke rechtshandeling zonder daaraan voorafgaande instemming van het betreffende bestuursorgaan. Het dagelijks bestuur is echter wel zonder die instemming bevoegd om pro-forma rechtsmiddelen aan te wenden teneinde fatale termijnen te stuiten;
  • - De noodzakelijke organisatorische en technische maatregelen te nemen waarop de bestraffende sanctie ziet, teneinde een herhaling of verhoging daarvan te voorkomen;

De organisatie waartoe de bestraffende sanctie is gericht, blijft verantwoordelijk voor het tijdig voldoen daarvan. Het bestuur van de BAR-organisatie voert hiertoe de nodige correspondentie met de AP namens de betrokken organisatie.

De gemeenten en de BAR-organisatie verhalen onderling de kosten die worden gemaakt als gevolg van opgelegde bestuurlijke maatregelen en of sancties in de hiervoor onder 6.2 en 6.3 bedoelde zin, op gelijke wijze als beschreven onder paragraaf 7.3.

Gezamenlijke verantwoordelijkheid betekent – gelet op het bepaalde in artikel 82, lid 4 AVG – gezamenlijke aansprakelijkheid. Het bestuur van de BAR-organisatie zorgt voor een snelle en efficiënte afhandeling van schadeclaims van inwoners, als gevolg van een onrechtmatige handeling in de zin van de AVG. Het bestuur van de BAR-organisatie doet dat zowel op eigen titel als namens één of meer deelnemende gemeenten. Het bestuur van de BAR-organisatie draagt zorg voor een adequate verzekering van het risico dat is gemoeid met het verwerken van persoonsgegevens middels geautomatiseerde systemen.

Schade die het gevolg is van een inbreuk op de AVG veroorzaakt door één van de collectief gebruikte systemen, wordt door het bestuur van de BAR-organisatie vergoed. Dat geldt eveneens voor schade die wordt veroorzaakt door een feitelijke handeling van medewerkers in dienst van of werkzaam onder de verantwoordelijkheid van het dagelijks bestuur van de BAR-organisatie.

Schade die het gevolg is van een inbreuk op de verordening veroorzaakt door een door de BAR-organisatie beheerd systeem dat niet bedoeld is voor collectief gebruik wordt eveneens door het bestuur van de BAR-organisatie vergoed en verhaald bij de betrokken gemeente, tot wie het verzoek tot schadevergoeding was gericht.

Uitgekeerde vergoeding van schade wordt – voor zover dit niet in het hier voorgaande afdoende is geregeld – in de gevallen als bedoeld onder 7.2, eerste volzin, onderling verhaald conform de gebruikelijke verdeelsleutel 1:2:2. Schade veroorzaakt door feitelijke handelingen van medewerkers in dienst van, dan wel werkzaam onder de verantwoordelijkheid van het dagelijks bestuur wordt niet verhaald bij de gemeenten.