Met de inrichting van de organisatie rondom privacy wordt vastgelegd bij wie c.q. waar de verantwoordelijkheden liggen en wie welke taak heeft. Hiermee borgen en beheren we het uit te voeren beleid en implementeren we privacy in de reguliere bedrijfsvoering.

Het Privacybeleid staat niet op zichzelf en maakt onderdeel uit van een reeks aan maatregelen om de bescherming van c.q. de verwerking van persoonsgegevens binnen en door de gemeentelijke organisatie te optimaliseren. De bescherming van privacy is een inherent onderdeel van ieders functie / van ieders dagelijks handelen. Tegelijkertijd is de bescherming van persoonsgegevens niet de kerntaak van de meeste medewerkers. Er zijn daarom rollen en functies met adviserende of en toezichthoudende taken op het gebied van privacy en er zijn structuren die deze rollen richten en ondersteunen.

Bij de privacy governance gelden de volgende uitgangspunten:

  • - De gemeente Amersfoort voldoet aan de wettelijke / landelijke eisen die aan privacy worden gesteld, dat betekent onder meer dat de gemeente een Functionaris Gegevensbescherming heeft en dat (wettelijk) verplichte audits worden uitgevoerd.
  • - De principes van horizontaal toezicht, waarbij de gemeenteraad de eerste controleur is van het college van burgemeester en wethouders; dat betekent dat de gemeenteraad in positie gebracht moet worden om deze rol in te vullen door de verantwoording die het college aflegt via de reguliere planning & control cyclus.
  • - Het college en (voor de wettelijke veiligheidstaken) de Burgemeester zijn bestuurlijk verantwoordelijk, zij verantwoorden zich ten opzichte van de gemeenteraad en stellen de kaders vast.
  • - De directie is verantwoordelijk, binnen door het college gestelde kaders, voor de uitvoering van het Privacybeleid.
  • - De bescherming van persoonsgegevens is een integraal onderdeel van het werken binnen de gemeente Amersfoort. Iedere medewerker die met persoonsgegevens werkt heeft daarbij een rol. Bij de verantwoordelijkhedenstructuur sluiten we zoveel als mogelijk aan bij de bestaande (management-)structuur, zoals vastgelegd in het organisatiebesluit, in het bevoegdhedenbesluit en in het organisatie- en ontwikkelplan “Werken voor Bestuur en Stad.” De manager hanteert hierbij de in het Privacybeleid vastgestelde kaders; bij afwijking of interpretatieverschil met bijvoorbeeld de Stelselhouder of de FG vindt gezamenlijke escalatie plaats naar de directie, portefeuillehouder of het college.
  • - De eerstelijns verantwoordelijkheid voor privacy ligt bij de afdelingsmanagers en hun Sleutelpersonen; JDA is – als stelselhouder Privacy – verantwoordelijk voor de centrale sturing en regie, door onder meer kaderstelling via beleidsvoorstellen, monitoring van de compliance (tweede lijn). De FG houdt tenslotte toezicht, adviseert over kaders en voert audits uit (derde lijn).10Voor informatiebeveiliging geldt dezelfde structuur, waarbij ITDA – als stelselhouder –de tweede lijn vertegenwoordigt en de CISO de derde lijn.
  • - Privacy en informatiebeveiliging zijn verschillende onderwerpen die ook verschillende deskundigheden vragen. Ze hebben echter wel een grote samenhang en invloed op elkaar. De governance van privacy moet aansluiten op de IB-structuur en vice-versa. Dit betekent dat de onderwerpen in beleid, toezicht en rapportage wel als onderscheiden onderdelen worden benaderd, maar dat de aansturing en overleggen gecombineerd worden. De FG en de CISO houden afzonderlijke verantwoordelijkheden, maar werken nauw samen.11Hierbij zijn ook de Stelselhouder Privacy, Controller en gemeentearchivaris betrokken.
  • - Het laten werken van deze governance structuur vereist een samenspel tussen alle betrokkenen, waaronder afdelingsmanagers, sleutelpersonen, privacy-adviseurs, de Gemeentearchivaris, CISO, CIO en de FG. Zij zullen ten opzichte van elkaar dichtbij, nieuwsgierig en aanspreekbaar moeten blijven.
  • - Afdelingsmanagers zijn verantwoordelijk voor het maken van afspraken met Externe partijen, waaronder de partijen waarbij taken in mandaat zijn neergelegd,12Zoals de Stichting Wijkteams Amersfoort, Indebuurt033, Scholen in de Kunst. inclusief het vastleggen van deze afspraken. Vorm en inhoud van deze afspraken worden bepaald door een risicobeoordeling, conform de nota Externe partijen.