Besluit van het dagelijks bestuur van het openbaar lichaam BAR-organisatie houdende regels omtrent de uitvoering van de wettelijke taken door de Functionaris Gegevensbescherming voor de BAR-oganisatie en de gemeenten Barendrecht, Albrandswaard en Ridderkerk

Artikel 1.  

• 1.1.

  De functionaris gegevensbescherming heeft een onafhankelijke positie.

• 1.2.

  De BAR-organisatie en Colleges van Burgemeester en Wethouders mogen geen instructies geven in de uitvoering van zijn taken.

• 1.3.

  De BAR-organisatie en de Colleges van Burgemeester en Wethouders moeten ervoor zorgdragen dat de functionaris gegevensbescherming over alle informatie beschikt nodig voor de uitvoering van zijn wettelijke taken ter bescherming van de persoonsgegevens. Ook wordt toegang verleend tot alle persoonsgegevens en alle verwerkingsactiviteiten van de BAR-organisatie. De gemeentesecretarissen c.q. algemeen directeuren van de BAR-organisatie zorgen voor de medewerking van hun Colleges van Burgemeester en Wethouders.

• 1.4.

  De functionaris gegevensbescherming maakt deel uit van de organisatorische eenheid concern control van de BAR-organisatie. De reden die hieraan ten grondslag ligt is de functionele relatie met concerncontrol. Zowel in de procesbenadering als de verbijzonderde interne controle is er aandacht voor de vastlegging van persoonsgegevens en de verwerking in het register van verwerkingsactiviteiten. Dat geldt zowel voor de interne organisatie als de relatie met externe partners.

Artikel 2.  

• 2.1.

  De directieraad zorgt ervoor dat er altijd een functionaris gegevensbescherming beschikbaar is. De directieraad dient voorstellen in bij de Colleges en het Dagelijks Bestuur voor aanwijzing en vervanging van de Functionaris Gegevensbescherming.

Artikel 3.  

• 3.1.

  De directieraad zorgt voor

  • -

    uitvoering van een algehele Protection Impact Assessments (PIA) en meerdere Data Protection Impact Assessments (DPIA’s),

  • -

    het in stand houden en actualiseren van een register van verwerkingsactiviteiten

  • -

    procedures voor de rechten van de betrokkenen en datalekken

  • -

    tijdige beschikbaarheid van resources en middelen aan de zijde van de BAR-organisatie, zoals toegang tot het Dagelijks Bestuur, directie en management, alsmede tot medewerkers, documentatie en systemen

  • -

    het maken van duidelijke afspraken over de rapportagelijnen betreffende de uitvoering van de taken en bevoegdheden van de functionaris gegevensbescherming, met de toegang die daarbij hoort.

• 3.2

  De directieraad stemt procedures af met het management van de BAR-organisatie, om de druk op de organisatie zoveel mogelijk te verlichten en de effectiviteit van de Functionaris Gegevensbescherming optimaal te kunnen maken/houden.

• 3.3.

  De naleving van de regels op het gebied van gegevensbescherming is en blijft een bedrijfsverantwoordelijkheid van de verwerkingsverantwoordelijke en niet van de functionaris gegevensbescherming. De Directieraad ziet toe op de naleving en laat zich adviseren door de functionaris gegevensbescherming.

• 3.4.

  De BAR-organisatie is verantwoordelijk voor een succesvolle invoering en de naleving van de voorschriften uit AVG voor de BAR-gemeenten en de BAR-organisatie. De directieraad ziet hierop toe. De directieraad zorgt voor het daadwerkelijk op diverse plaatsen in de organisatie beleggen van de juiste taken, bevoegdheden en verantwoordelijkheden, ter uitvoering van de privacywetgeving. Zo stelt de directieraad een privacy officer, CISO en automatiseringsadviseur aan waarmee de functionaris gegevensbescherming kan samenwerken. De directieraad laat zich hierbij adviseren door de functionaris gegevensbescherming.

Artikel 4.  

De functionaris gegevensbescherming heeft een adviserende en een toezichthoudende rol en ziet toe op de naleving van de bepalingen van de AVG. Daarbij richt hij zich op het verantwoord gebruik van persoonsgegevens door toe te zien op het gebruik, de verwerking in het verwerkingsregister en de toepassing daarvan.

Artikel 5.  

• 5.1.

  Het uitgangspunt is dat de functionaris gegevensbescherming volledig onafhankelijk kan functioneren, waarbij het de organisatie niet is toegestaan instructies te geven betreffende diens werkzaamheden.

• 5.2.

  Onderstaande, niet limitatieve, opsomming van werkzaamheden vloeit voort uit artikel 39 van de AVG. Deze opsomming is bedoeld om de organisatie een beeld te geven van het domein van de Functionaris Gegevensbescherming. Het staat de functionaris gegevensbescherming te allen tijde vrij om bij de uitvoering van diens rol, van onderstaande werkzaamheden af te wijken

• 5.3

  Informeren en adviseren over de verplichtingen die voortvloeien uit de AVG en andere privacyregelgeving, waaronder de genomen en te nemen technische en organisatorische beveiligingsmaatregelen met betrekking tot de verwerking van persoonsgegevens.

• 5.4.

  Het structureel toezien op de naleving van de AVG, andere toepasselijke privacyregelgeving en de naleving van het privacybeleid.

• 5.5.

  Monitoren en handhaven van rechtmatige gegevensverwerking conform de AVG.

• 5.6.

  Toezicht op de toewijzing van verantwoordelijkheden, bewustmaking en opleiding.

• 5.7.

  Steekproefsgewijs controleren van het register van gegevensverwerkingen.

• 5.8.

  Het beheren van de stand van zaken en hierover rapporteren aan zowel de ambtelijke organisatie als de verschillende bestuursorganen.

• 5.9.

  Het fungeren als aanspreekpunt en adviseur voor de privacy officer waar het gaat om door hem opgestelde documenten.

• 5.10.

  Advies verstrekken over DPIA en toezien op uitvoering en de opvolging van DPIA’s.

• 5.11.

  Optreden als contactpunt voor en samenwerken met de Autoriteit Persoonsgegevens ten aanzien van de verwerking van persoonsgegevens maar ook voorafgaande raadpleging en overleg over de DPIA.

• 5.12.

  Toezien op de afhandeling van vragen en klachten van betrokkenen.

Artikel 6.  

In dit artikel gaat het om extra werkzaamheden, die niet binnen het reguliere werk kunnen worden uitgevoerd. Hiervoor is toestemming nodig van de Directieraad

Het doel van deze bepalingen is het schetsen van kaders waarbinnen de functionaris gegevensbescherming aanvullende ondersteuning aan de organisatie kan bieden.

• 6.1.

  Beoordelen van mogelijke datalekken.

• 6.2.

  Het uitbrengen van advies aan de organisatie omtrent de afhandeling daarvan.

• 6.3.

  Het adviseren over de wijze waarop de verwerking van persoonsgegevens in overeenstemming met de AVG plaatsvindt of ingericht kan worden.

• 6.4.

  Steekproefsgewijze toetsing op relevante onderdelen van de organisatie en/of techniek ten behoeve van de uitvoering van de AVG in de organisatie

Artikel 7.  

Aanstelling en Ontslag van de functionaris gegevensbescherming.

• 7.1.

  De directieraad is bevoegd om met de functionaris gegevensbescherming een arbeidsovereenkomst aan te gaan c.q. te ontbinden maar maakt van deze bevoegdheid pas gebruik na instemming door het Dagelijks Bestuur.

Artikel 8.  

Dit reglement treedt in werking op 1 april 2021.