Reglement Functionaris voor gegevensbescherming Helmond 2026

Artikel 1. Definities

In deze reglement wordt verstaan onder:

• a.

  AI: artificial intelligence, zoals bedoeld in artikel 3 de EU AI-act;

• b.

  AVG: Algemene verordening gegevensbescherming;

• c.

  Ciso: Chief information security officer, verantwoordelijke voor de coördinatie van informatiebeveiliging, zoals bedoeld in de Baseline Informatiebeveiliging Overheid (BIO);

• d.

  DPIA: Data protection impact assessment, een beoordeling uit van het effect van de beoogde verwerkingsactiviteiten op de bescherming van persoonsgegevens, zoals bedoeld in artikel 35 van de AVG;

• e.

  Datalek: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens, zoals bedoeld in artikel 4 lid 12 van de AVG;

• f.

  FG: Functionaris voor gegevensbescherming, toezichthouder op de verwerking van persoonsgegevens zoals bedoeld in afdeling 4 van de AVG en artikel 36 van de Wpg;

• g.

  NRFG: Nederlands Register voor Functionarissen voor gegevensbescherming, het Nederlandse kwaliteitsregister voor FG’s;

• h.

  SPO: Security en Privacy officer, hij/zij ondersteunt de organisatie bij het borgen van informatiebeveiliging en bescherming van persoons-en politiegegevens;

• i.

  Persoonsgegevens, alle gegevens die gaan over mensen en waaraan je een mens als individu kunt herkennen. Het gaat hierbij niet alleen om vertrouwelijke gegevens, zoals over iemands gezondheid, maar om ieder gegeven dat te herleiden is tot een bepaald persoon (bijv. naam, adres, geboortedatum). Naast gewone persoonsgegevens zijn er ook bijzondere persoonsgegevens. Die gaan over gevoelige onderwerpen, bijvoorbeeld etnische achtergrond, politieke voorkeuren en de gezondheid, zoals bedoeld in artikel 4 lid 1 van de AVG;

• j.

  Politiegegevens: een persoonsgegeven dat verwerkt wordt in het kader van de opsporingstaak. Zoals bedoeld in artikel 1 onder 1 van de Wet politiegegevens. Een politiegegeven is een specifieke versie van een persoonsgegeven;

• k.

  Portefeuillehouder: het collegelid met privacy in de portefeuille;

• l.

  Verwerkingsverantwoordelijke: de in artikel 3 lid 1 genoemde bestuursorganen;

• m.

  Wpg: Wet politiegegevens.

Artikel 2. Doel van het reglement

Voor het goed kunnen functioneren als FG zijn een aantal zaken (aanwijzing, positie en taken) in de wet vastgelegd. Bijzondere aandacht daarbij verdient de onafhankelijke rol en dus de autonomie van de FG. Dit reglement bevat de noodzakelijke kaders om de autonomie en de onafhankelijkheid van de FG te waarborgen, zodat hierover in de organisatie geen misverstanden kunnen ontstaan.

Artikel 5. Middelen

De verwerkingsverantwoordelijke verstrekt voldoende middelen aan de FG om zijn/haar taken uit te kunnen voeren. Het volgende wordt hierbij in aanmerking genomen:

• 1.

  De FG actief wordt ondersteund door de in artikel 3 lid 1 genoemde bestuursorganen en het management. Ze heeft daarom rechtstreeks toegang tot de gemeentelijke bestuursorganen, de gemeentesecretaris en de directie. Ook heeft de FG toegang tot alle college- en directievoorstellen.

• 2.

  De organisatie beschikt over een centraal team van SPO’s. Ook binnen de afdelingen is voldoende capaciteit aanwezig om de kwaliteit van de gegevensbescherming te borgen.

• 3.

  De FG krijgt voldoende tijd om de werkzaamheden uit te voeren. Hierbij wordt rekening gehouden de volwassenheid van de organisatie en het feit dat er binnen de gemeente veel gevoelige en complexe gegevensverwerkingsactiviteiten plaatsvinden.

• 4.

  De FG krijgt voldoende gelegenheid krijgt om zich te ontwikkelen en om op de hoogte te blijven van nieuwe ontwikkelingen op het gebied van gegevensbescherming.

• 5.

  De FG ontvangt adequate ondersteuning op het vlak van financiële middelen en infrastructuur (faciliteiten en apparatuur).

Artikel 7 Taken van de FG

De FG heeft bij wet bepaalde werkzaamheden. Deze werkzaamheden zijn in deze regeling nader uitgewerkt en omvatten in ieder geval, maar niet uitsluitend:

• 1.

  Adviseren

  De FG ziet toe op naleving van de privacywet- en regelgeving en brengt advies uit over de risico's van bestaande verwerkingen en voorgenomen nieuwe producten en diensten. Het advies is een vorm van preventief toezicht. De FG prioriteert zijn/haar activiteiten en inspanningen en richt zich daarbij op zaken die een hoger risico voor de gegevensbescherming inhouden en daarmee een grote impact hebben op de samenleving en/of de organisatie.

  • a.

    De FG adviseert en informeert gevraagd en ongevraagd de verwerkingsverantwoordelijke en haar werknemers over hun verplichtingen bij de verwerking van persoons- en politiegegevens.

  • b.

    De FG adviseert zowel op bestuurlijk- en concernniveau als op managementniveau over hoe aan deze verplichtingen kan worden voldaan.

  • c.

    De FG adviseert zowel op bestuurlijk- en concernniveau als op managementniveau over de daartoe benodigde organisatorische inrichting.

  • d.

    De FG adviseert over beleids- en beheerinstrumenten, kaders en programma’s ter optimalisering van de organisatiesturing en bedrijfsvoering op het gebied van een veilige verwerking van persoons- en politiegegevens in overeenstemming met wet- en regelgeving.

  • e.

    De FG adviseert over, en draagt daarmee bij aan, strategisch, tactisch en operationeel beleid op het gebied van de naleving van privacywet- en regelgeving.

  • f.

    De FG adviseert over de impact die een digitale crisis heeft op de eerbiediging van de persoonlijke levenssfeer. Zij/hij neemt daarom als adviseur deel aan een crisisteam in het geval van een dergelijke digitale crisis.

  • g.

    De FG volgt ontwikkelingen die van invloed (kunnen) zijn op de eerbiediging van de persoonlijke levenssfeer, zoals de impact van digitalisering en digitale innovaties op de privacy van betrokkenen. Daarnaast volgt ze de ontwikkelingen van Europese en landelijke wet- en regelgeving op het gebied van privacy en digitalisering. Hij/zij vertaalt deze ontwikkelingen in adviezen over de naleving van privacywet- en regelgeving.

  • h.

    De FG adviseert de organisatie met betrekking tot opleiding en een bewustwordingsprogramma op het gebied van privacy.

  • i.

    De FG adviseert over de risico's van bestaande verwerkingen en voorgenomen nieuwe producten en diensten. Het gaat daarbij om:

    • i.

      de afweging om wel of niet een risicoanalyse, waaronder een DPIA uit te voeren, en

    • ii.

      de onderzoeksmethode die geschikt is voor het uitvoeren van de risicoanalyse, en

    • iii.

      de vraag of de organisatie de risico analyse zelf uitvoert, of hiervoor een gespecialiseerd bureau inschakelt, en

    • iv.

      of de risicoanalyse juist is uitgevoerd, en

    • v.

      de waarborgen die nodig zijn om de privacyrisico’s te beperken, en

    • vi.

      de vraag of de uitkomsten van de risicoanalyse in overeenstemming zijn met de wet- en regelgeving, en

    • vii.

      of de Autoriteit Persoonsgegevens (AP) eerst moet worden geraadpleegd.

• 2.

  Toezicht

  • a.

    De FG ziet toe op de naleving van de AVG en de Wpg.

  • b.

    De FG ziet toe op de naleving van intern vastgesteld beleid op het gebied van de bescherming van persoons- en politiegegevens.

  • c.

    De FG ziet toe op het melden en mededelen van inbreuken op de informatiebeveiliging in verband met persoonsgegevens (datalekken).

  • d.

    De FG rapporteert zijn/haar bevindingen op bestuurlijk-, concernbreed- en/of managementniveau en doet (gevraagd en ongevraagd) relevante aanbevelingen en verbetervoorstellen op operationeel, tactisch en/of strategisch niveau.

  • e.

    De FG stelt jaarlijks een toezichtplan op. Het plan geeft weer waar het toezicht op de verwerking van persoons- en politiegegevens zich in het komende jaar op richt.

  • f.

    De FG heeft, in relatie tot zijn/haar taken, de bevoegdheid om inlichtingen en inzage te vragen en om zaken te onderzoeken. Om dit mogelijk te maken:

    • i.

      heeft de FG (ongevraagd) toegang tot alle ruimten waar een verwerking van persoonsgegevens plaatsvindt, en

    • ii.

      heeft de FG toegang tot registers inzake verwerking van persoons- of politiegegevens en registers inzake inbreuken in de informatiebeveiliging waar al dan niet persoonsgegevens bij zijn betrokken, en

    • iii.

      heeft de FG toegang tot alle collegevoorstellen en directievoorstellen, en

    • iv.

      is de FG bevoegd om apparatuur, programmatuur, gegevensbestanden, boeken en bescheiden in te zien, hier kopieën van te maken en deze te onderzoeken, en

    • v.

      is de FG bevoegd zich de werking van apparatuur en programmatuur te doen tonen, en

    • vi.

      verstrekken de verantwoordelijke en de personen die bij een verwerking van persoonsgegevens of politiegegevens zijn betrokken desgevraagd aan de FG alle inlichtingen die de FG voor de uitoefening van de taak nodig heeft, en

    • vii.

      verlenen de hiervoor genoemde personen alle overige medewerking, en

    • viii.

      kan de FG voor het onderzoek gebruik maken van de diensten van derden, indien de FG dit naar redelijkheid nodig acht.

  • g.

    De FG maakt van zijn/haar bevoegdheden slechts gebruik voor zover dat redelijkerwijs voor de vervulling van zijn/haar taak nodig is.

• 3.

  Rapporteren

  • a.

    De FG rapporteert jaarlijks aan de gemeenteraad en aan het college van burgemeester en wethouders en burgemeester over zijn/haar werkzaamheden en zijn/haar bevindingen over de naleving van de privacy wet- en regelgeving. .

  • b.

    Een publieksvriendelijke versie van de rapportage wordt in- en extern gepubliceerd.

Artikel 8. Vertrouwelijkheid

In het kader van vertrouwelijkheid zal de FG:

• 1.

  alle informatie die in het kader van zijn functie wordt verkregen vertrouwelijk en zorgvuldig behandelen;

• 2.

  informatie delen, indien hiervoor een wettelijke verplichting bestaat, de betrokkene toestemming heeft gegeven of wanneer een rechter daartoe opdracht geeft;

• 3.

  zich ook na beëindiging van dienstverband of opdracht, houden aan de vertrouwelijkheid en geheimhouding die van kracht was.

• 4.

  Lid 1 verhindert de FG echter niet om met de AP of externe deskundigen contact op te nemen en om advies te vragen.