Het is belangrijk dat de organisatie in control is en dat betrokkenen grip hebben op hun persoonsgegevens.
Bijlage 1 – Rollen en verantwoordelijkheden IB&P
Elke medewerker
Binnen de eigen taken en verantwoordelijkheden draagt elke medewerkers bij aan IB&P. Dit betekent dat elke medewerker:
•zich bewust is van de IB&P-risico’s.
•de beginselen in paragraaf 3.3 toepast.
•bekend is met en zich houdt aan dit IB&P-beleid en aanvullende procedures en richtlijnen.
Bestuursorganen (college, burgemeester en gemeenteraad)
Betrokkenheid van bestuurders is cruciaal. Het laat zien dat de organisatie IB&P serieus neemt en het een ambitie is om gegevens te beschermen. Elk bestuursorgaan:
•is eindverantwoordelijk voor IB&P
31Elk bestuursorgaan is eindverantwoordelijke voor IB&P binnen de eigen taken. Voor persoonsgegevens heet dit in de wet ‘verwerkingsverantwoordelijke’: artikel 4.7 AVG en 1.f Wpg.
.
•geeft richting en sturing aan IB&P en volgt hierin dit IB&P-beleid.
•stelt strategische IB&P-kaders vast, zoals dit beleid.
•legt rekenschap af over naleving van de IB&P-kaders aan de CISO en functionaris gegevensbescherming.
Het college en de burgemeester leggen verantwoording af over IB&P in de cyclusdocumenten aan de gemeenteraad vanuit de bestuursrechtelijke toezichtstaak.
Gemeentesecretaris
De gemeentesecretaris is tevens de algemeen directeur van de gemeentelijke organisatie. De gemeentesecretaris is verantwoordelijk voor IB&P in de ambtelijke organisatie. De gemeentesecretaris:
•stelt tactische IB&P-kaders vast.
•geeft richting en sturing aan IB&P en volgt hierin dit IB&P-beleid.
•zorgt dat het eigenaarschap, waaronder de IB&P-verantwoordelijkheid, van alle processen en systemen, is belegd bij een teamleider.
•zorgt dat teamleiders zich verantwoorden over IB&P.
•rapporteert over de naleving van IB&P-kaders aan (de verantwoordelijke portefeuillehouders binnen) het college van B&W.
•zorgt dat de privacy officer, security officer, CISO en functionaris gegevensbescherming naar behoren en tijdig worden betrokken bij risicovolle zaken op het gebied van IB&P.
Teamleiders
De teamleider is verantwoordelijk voor IB&P binnen het eigen team en de door de directie toegewezen processen en systemen. De teamleider:
•geeft richting en sturing aan IB&P en volgt hierin het IB&P-beleid.
•benoemt de IB&P-doelstellingen in het teamplan.
•zorgt voor het planmatig en risico gebaseerd implementeren en borgen van de maatregelen in dit beleid.
•rapporteert over de naleving van IB&P-kaders aan de directie.
•zorgt dat de privacy officer, security officer, CISO en functionaris gegevensbescherming naar behoren en tijdig worden betrokken bij risicovolle zaken op het gebied van IB&P.
Security officer
De security officer:
•stelt beleidsdocumenten op.
•adviseert over complexe informatiebeveiligingsvraagstukken.
•en de privacy officer werken samen en
–zorgen voor een vastgesteld IB&P-jaarplan (zie paragraaf 4.1.).
–coördineren en monitoren de uitvoering van het IB&P-jaarplan en implementeren acties waar nodig zelf.
–rapporteren over de uitvoering van het IB&P-jaarplan aan de directie, Chief Information Security Officer en functionaris gegevensbescherming.
•adviseert, ondersteunt bij en monitort de IB(&P)-maatregelen in dit beleid.
•draagt actief bij aan IB&P kennis en bewustzijn (zie hoofdstuk 5)
•betrekt de privacy officer, CISO en functionaris gegevensbescherming naar behoren en tijdig bij risicovolle zaken op het gebied van IB&P.
ENSIA-coördinator
De ENSIA
32Zie paragraaf 8.1 en 8.2
-coordinator:
•coördineert de ENSIA-audit en alle bijbehorende werkzaamheden
•monitort de voortgang en zorgt voor tijdige aanlevering van informatie aan de auditor.
•begeleidt de externe audit.
•bewaakt deadlines.
•zorgt voor aanleveren van de verantwoordingsdocumenten bij de verschillende toezichthouders en ministeries via de ENSIA-tool.
•eerste aanspreekpunt binnen de organisatie en voor de (externe) auditor.
•zet vervolgacties uit op basis van de ENSIA-resultaten.
•zorgt voor de verklaring van het college.
Privacy officer
De privacy officer:
•stelt beleidsdocumenten op.
•adviseert over complexe privacyvraagstukken.
•en de security officer werken samen en
–zorgen voor een vastgesteld IB&P-jaarplan volgens paragraaf 4.1.
–coördineren en monitoren de uitvoering van het IB&P-jaarplan en implementeert acties waar nodig zelf.
–rapporteren over de uitvoering van het IB&P-jaarplan aan de directie, CISO en functionaris gegevensbescherming.
•adviseert, ondersteunt bij en monitort de (IB&)P-maatregelen die volgen uit het IB&P-jaarplan.
•draagt actief bij aan IB&P kennis en bewustzijn (zie hoofdstuk 5)
•betrekt de security officer, CISO en functionaris gegevensbescherming naar behoren en tijdig bij risicovolle zaken op het gebied van IB&P.
IB&P auditor
De IB&P auditor:
•zorgt voor een vastgesteld auditplan volgens paragraaf 8.3.
•coördineert en monitort de uitvoering van audits en controles volgens het auditplan en voert waar nodig zelf audits en controles uit.
•zorgt dat audits en controles aantoonbaar worden vastgelegd in een rapportage van bevindingen en aan de verantwoordelijke manager worden voorgelegd.
•rapporteert over de uitvoering van het auditplan aan de directie, de Chief Information Security Officer en functionaris gegevensbescherming.
•ondersteunt en coördineert bij de externe audits in paragraaf 8.3.
•betrekt de CISO en functionaris gegevensbescherming naar behoren en tijdig bij risicovolle zaken op het gebied van IB&P.
Deze rol wordt binnen de gemeente Scherpenzeel ingevuld door onderverdeling van audittaken onder CISO, PO en systeem-/applicatiebeheer.
Chief Information Security Officer (CISO)
De CISO:
•houdt toezicht op de naleving van de IB(&P)-kaders.
•adviseert over en ontwikkelt IB-beleidsdocumenten.
•brengt verslag uit aan de bestuursorganen over de naleving van de IB(&P)-kaders.
•geeft advies bij beveiligingsincidenten.
•geeft advies op de IB(&P)-jaarplannen/ meerjarenplan.
•onderhoudt contact met (overheids)instanties en toezichthouders ten aanzien van informatiebeveiligingsaangelegenheden.
•draagt actief bij aan IB&P kennis en bewustzijn.
De functionaris gegevensbescherming:
De functionaris gegevensbescherming
33Artikel 37, 38, 39 AVG en 36 Wpg
:
•houdt toezicht op de naleving van de (IB&)P-kaders.
•informeert en adviseert over de verplichtingen in de (IB&)P-kaders.
•brengt verslag uit aan de verwerkingsverantwoordelijke over de naleving van de (IB&)P-kaders.
•geeft advies op privacyvraagstukken, uitgevoerde DPIA’s en houdt toezicht op het opvolgen van dit advies.
•geeft advies bij (ernstige) datalekken.
•is direct benaderbaar voor betrokkenen over de verwerking van hun persoonsgegevens.
•werkt samen met en is contactpunt voor de Autoriteit Persoonsgegevens.
•draagt actief bij aan IB&P kennis en bewustzijn.