Voor overheidsorganen is het aanstellen van een Functionaris Gegevensbescherming (FG) verplicht op grond van de AVG.
De FG is een professional en bovengemiddeld deskundig op het gebied van gegevensbescherming. De FG heeft:
kennis van nationale en Europese privacywet- en regelgeving voor gegevensbescherming;
begrip van de gegevensverwerkingen die gemeentelijke overheid uitvoert;
begrip van IT en informatiebeveiliging;
kennis van de gemeentelijke organisatie;
vaardigheden om binnen de organisatie het privacy bewustzijn op een goed niveau te brengen en te houden.
De FG functioneert onafhankelijk en kan voor de uitvoering van zijn taken niet ontslagen of gestraft worden. Deze status is vergelijkbaar met een lid van de Ondernemingsraad.
Vanaf de start van de AVG wordt de rol van FG ingevuld door een externe deskundige. Dat is zeer succesvol gebleken en wordt om die reden ook voortgezet. De inzet van een externe deskundige benadrukt de onafhankelijkheid van de FG, en de inzet van de FG is op die manier ook enigszins flexibel. Uitgangspunt is een urenbesteding van 120 uur per jaar.
De gemeente Veere hecht veel waarde aan de bekendheid van de FG met en in de organisatie en we zetten in op een duurzame relatie met de FG.
In de AVG zijn de volgende taken van de FG benoemd:
a. Informeren en adviseren over privacywet en –regelgeving
Vanuit zijn deskundigheid en kennis van de gemeentelijke organisatie geeft de FG gevraagd en ongevraagd informatie en advies over taken en onderwerpen waarbij persoonsgegevens worden verwerkt. De informatie en het advies is zwaarwegend en gericht op een juiste toepassing van de privacywet en-regelgeving. Adviezen van FG kunnen door het bestuursorgaan alleen onderbouwd worden afgewezen.
b. Toezien op de naleving van de privacywet en –regelgeving, inclusief het gemeentelijk
privacybeleid
De taak toezicht heeft een nauwe relatie met de taak informatie en advies. De FG houdt toezicht op de gehele organisatie of de verwerking van persoonsgegevens gebeurt overeenkomstig de privacywet en –regelgeving en het gemeentelijk Privacybeleid. Over zaken die niet in orde zijn informeert en adviseert de FG de verwerkingsverantwoordelijke.
c. Adviseren over en toezien op de uitvoering van DPIA’s
De AVG schrijft voor dat in bepaalde situaties een DPIA (in goed Nederlands een gegevensbeschermingseffectbeoordeling genoemd) wordt uitgevoerd. De FG ziet er op toe dat de DPIA’s worden uitgevoerd en beoordeelt de uitkomst en geeft advies over de uitvoering van de DPIA.
d. Ombudsfunctie
Betrokkenen kunnen contact opnemen met de FG voor vragen, verzoeken, klachten en andere zaken die verband houden met het verwerken van hun persoonsgegevens.
e. Aanspreekpunt voor en samenwerken met de Autoriteit Persoonsgegevens (AP)
De FG is geen verlengstuk van de AP maar vervult een zelfstandige functie. De FG en de AP hebben hetzelfde belang, voldoen aan de privacywet en –regelgeving, maar kunnen daarin wel hun eigen inzicht hebben. Door haar deskundigheid is de FG in staat om in het contact met de AP te motiveren en te overtuigen. Daarnaast is de FG ook een partner voor de AP om ervoor te zorgen dat het toezicht en het advies bijdragen een juiste toepassing van de privacywet en –regelgeving.
Zo nodig zal de FG ook onrechtmatigheden melden bij de AP als deze na haar advies niet of niet voldoende worden opgelost.
Voor haar informatie-, advies en toezichttaak heeft de FG periodiek overleg (minimaal 1x per half jaar) met de portefeuillehouder Privacy. Op basis van dit overleg doet de FG daarna verslag aan de verwerkingsverantwoordelijken, respectievelijk het college van B&W en de gemeenteraad.
De FG is bij de Autoriteit Persoonsgegevens aangemeld als FG van de gemeente Veere. Formeel moet ieder bestuursorgaan als verwerkingsverantwoordelijke een FG aanstellen. Het college van burgemeester en wethouders en de gemeenteraad hebben dat expliciet gedaan. Voor de overige bestuursorganen geldt deze aanstelling impliciet door de brede aanmelding bij de AP.
Naast de AVG valt ook de Wet Politiegegevens (WPG) binnen de scope van de FG.
De FG wordt praktisch ondersteund door de Privacy Officer (PO). In veel gevallen is de PO ook het eerste aanspreekpunt en fungeert als oog en oor in de organisatie. De PO informeert de FG direct over alle zaken die horen tot de taken en verantwoordelijkheden van de FG. Daarnaast laat de FG zich ook persoonlijk informeren door periodiek te overleggen met het MT en het bezoeken van afdelingsoverleggen.
De FG en de PO zorgen samen voor een permanent programma om het privacybewustzijn op een goed niveau te brengen en te houden.
Hoofdstuk 3.
Artikel 3.3
Functionaris Gegevensbescherming
Onderdeel van Privacybeleid gemeente Veere