Formele aanwijzing FG

Een onderschatte bestuurlijke verantwoordelijkheid

Wanneer een gemeente persoonsgegevens verwerkt, geldt in beginsel de verplichting om een Functionaris voor Gegevensbescherming (FG) aan te wijzen. Artikel 37, eerste lid, onder a, van de Algemene verordening gegevensbescherming (AVG) verplicht overheidsinstanties en overheidsorganen namelijk om een FG aan te wijzen.

Binnen een gemeente verdient deze verplichting bijzondere aandacht. De gemeenteraad, de burgemeester en het college van burgemeester en wethouders hebben ieder hun eigen taken en bevoegdheden. Daarom moet worden beoordeeld welke organen als verwerkingsverantwoordelijke optreden en hoe de verplichting tot aanwijzing van een FG voor hen is ingevuld.

De formele aanwijzing van een FG is daarmee meer dan een administratieve handeling. Het is een bestuurlijke aangelegenheid die raakt aan de naleving van de AVG, de controleerbaarheid van overheidshandelen en de bescherming van persoonsgegevens.

Ebenezer Advies wil bijdragen aan de bewustwording van deze verantwoordelijkheid.

Publicatie is niet verplicht, maar wel wenselijk

De AVG schrijft niet uitdrukkelijk voor dat het formele aanwijzingsbesluit van een FG openbaar moet worden gepubliceerd. Wel verplicht artikel 37, zevende lid, AVG de organisatie om de contactgegevens van de FG bekend te maken en deze mee te delen aan de toezichthoudende autoriteit.

Dat neemt niet weg dat publicatie van het aanwijzingsbesluit wenselijk is. Daarmee kan een gemeente inzichtelijk maken dat de aanwijzing formeel heeft plaatsgevonden en welke bestuursorganen onder de aanwijzing vallen.

Een geschikte mogelijkheid is publicatie via Overheid.nl – Lokale wet- en regelgeving. Ook bekendmaking via het Gemeenteblad kan de toegankelijkheid en vindbaarheid van het besluit bevorderen.

Daarnaast kan het aanwijzingsbesluit worden opgenomen in het openbare raadsinformatiesysteem, bijvoorbeeld iBabs, NotuBiz of Parlaeus. Dat maakt het besluit eveneens raadpleegbaar, al is de vindbaarheid afhankelijk van de inrichting van het betreffende systeem.

Transparantie over de formele aanwijzing verdient de voorkeur boven een situatie waarin uitsluitend de naam of contactgegevens van de FG online te vinden zijn.

Passieve openbaarmaking: wat als het besluit niet is gepubliceerd?

Wanneer een aanwijzingsbesluit niet openbaar is gepubliceerd, kan een belangstellende op grond van de Wet open overheid (Woo) om openbaarmaking van het document verzoeken.

De gemeente moet dan beoordelen of het gevraagde document bij haar berust en of het openbaar kan worden gemaakt. Daarbij moeten de toepasselijke bepalingen van de Woo en eventuele uitzonderingsgronden worden betrokken.

Het ontbreken van een openbare publicatie betekent niet automatisch dat er geen aanwijzingsbesluit bestaat. Omgekeerd bewijst het feit dat de gemeente een FG heeft aangemeld bij de Autoriteit Persoonsgegevens niet zonder meer dat de formele aanwijzing op de juiste wijze heeft plaatsgevonden.

Juist daarom is het van belang dat de formele aanwijzing controleerbaar is.

Het college van burgemeester en wethouders

Het college houdt zich bezig met uiteenlopende gemeentelijke taken waarbij persoonsgegevens worden verwerkt. Denk aan de uitvoering van de Participatiewet, vergunningverlening, maatschappelijke ondersteuning en gemeentelijke dienstverlening.

Het ligt daarom voor de hand dat voor de gegevensverwerkingen waarvoor het college als verwerkingsverantwoordelijke optreedt, een FG moet zijn aangewezen. De verplichting volgt uit artikel 37 AVG.

De gemeenteraad

Ook de gemeenteraad kan bij de uitoefening van zijn taken persoonsgegevens verwerken en daarbij als verwerkingsverantwoordelijke optreden.

Daarom moet ook voor de raad worden beoordeeld hoe aan de verplichting tot aanwijzing van een FG wordt voldaan. Het enkele feit dat de gemeente als geheel een FG heeft aangemeld, maakt niet zonder meer inzichtelijk of de aanwijzing ook de verantwoordelijkheid van de gemeenteraad omvat.

De burgemeester

Voor de burgemeester geldt eveneens dat moet worden beoordeeld welke persoonsgegevensverwerkingen onder diens verantwoordelijkheid plaatsvinden.

De burgemeester heeft eigen wettelijke taken en bevoegdheden. Wanneer de burgemeester als overheidsorgaan onder artikel 37 AVG valt, geldt de verplichting om een FG aan te wijzen. In de gemeentelijke praktijk verdient het daarom aanbeveling om ook de positie van de burgemeester uitdrukkelijk in de formele regeling van de aanwijzing te betrekken.

Gezamenlijk aanwijzen is mogelijk

Het is niet noodzakelijk dat voor ieder betrokken bestuursorgaan een afzonderlijke FG wordt aangewezen. Onder de voorwaarden van artikel 37 AVG kan één FG voor meerdere overheidsinstanties of overheidsorganen werkzaam zijn.

Ook kan de formele aanwijzing in één gezamenlijk besluit worden vastgelegd. Daarbij verdient het aanbeveling duidelijk te omschrijven op welke bestuursorganen de aanwijzing betrekking heeft en voor welke verantwoordelijkheden de FG zijn taken vervult.

Een formulering als 'ieder voor zover het de eigen bevoegdheden betreft' kan daarbij behulpzaam zijn, mits deze aansluit bij de daadwerkelijke verantwoordelijkheidsverdeling.

Een gezamenlijke aanwijzing moet bovendien waarborgen dat de FG zijn wettelijke taken daadwerkelijk en onafhankelijk kan uitvoeren. De organisatorische inrichting mag niet ten koste gaan van de positie en toegankelijkheid van de FG.

Aanmelden bij de AP is iets anders dan formeel aanwijzen

De aanmelding van een FG bij de Autoriteit Persoonsgegevens (AP) moet worden onderscheiden van de formele aanwijzing.

Artikel 37 AVG regelt de aanwijzing van de FG. Het zevende lid verplicht daarnaast tot het bekendmaken van diens contactgegevens en het meedelen daarvan aan de toezichthoudende autoriteit.

Een registratie bij de AP is dus niet zonder meer voldoende om aan te tonen dat de aanwijzing formeel en rechtsgeldig heeft plaatsgevonden. Het is van belang dat de organisatie kan vaststellen wie de FG heeft aangewezen, op welke datum dat is gebeurd en op welke bestuursorganen de aanwijzing betrekking heeft.

Andersom geldt dat het ontbreken van een online vindbaar aanwijzingsbesluit niet bewijst dat een formele aanwijzing achterwege is gebleven. Daarvoor moet de feitelijke en bestuurlijke documentatie worden onderzocht.

Welk risico is er?

Wanneer een organisatie niet voldoet aan de verplichting om een FG aan te wijzen, kan sprake zijn van een overtreding van de AVG. De Autoriteit Persoonsgegevens beschikt over handhavingsbevoegdheden en kan, afhankelijk van de omstandigheden en de toepasselijke wettelijke voorwaarden, een bestuurlijke boete opleggen.

Het is daarom niet verstandig om de formele aanwijzing als een formaliteit te beschouwen of ervan uit te gaan dat de AP hierop niet zal handhaven.

Belangrijker nog is dat een gemeente haar wettelijke verantwoordelijkheden zorgvuldig invult. De aanwijzing van een FG is bedoeld om de naleving van de privacywetgeving te ondersteunen en de bescherming van persoonsgegevens te bevorderen.

Dat vraagt niet alleen om een FG die bij de AP geregistreerd staat, maar ook om een organisatorische inrichting waarin diens aanwijzing, onafhankelijkheid, taken en bereikbaarheid voldoende zijn gewaarborgd.

De formele aanwijzing van een FG verdient daarom een herkenbare plaats binnen de bestuurlijke verantwoording van iedere gemeente.