23 NOVEMBER 2018. - Besluit van de Vlaamse Regering betreffende de functionarissen voor gegevensbescherming, vermeld in artikel 9 van het decreet van 18 juli 2008Relevante gevonden documenten type decreet prom. 18/07/2008 pub. 29/10/2008 numac 2008036273 bron vlaamse overheid Decreet betreffende het elektronische bestuurlijke gegevensverkeer sluiten betreffende het elektronische gegevensverkeer

DE VLAAMSE REGERING, Gelet op het decreet van 18 juli 2008Relevante gevonden documenten type decreet prom. 18/07/2008 pub. 29/10/2008 numac 2008036273 bron vlaamse overheid Decreet betreffende het elektronische bestuurlijke gegevensverkeer sluiten betreffende het elektronische bestuurlijke gegevensverkeer, artikel 9, vervangen bij het decreet van 8 juni 2018;

Gelet op het besluit van de Vlaamse Regering van 15 mei 2009Relevante gevonden documenten type besluit van de vlaamse regering prom. 15/05/2009 pub. 13/07/2009 numac 2009203137 bron vlaamse overheid Besluit van de Vlaamse Regering betreffende de veiligheidsconsulenten, vermeld in artikel 9 van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer sluiten betreffende de veiligheidsconsulenten, vermeld in artikel 9 van het decreet van 18 juli 2008Relevante gevonden documenten type decreet prom. 18/07/2008 pub. 29/10/2008 numac 2008036273 bron vlaamse overheid Decreet betreffende het elektronische bestuurlijke gegevensverkeer sluiten betreffende het elektronische bestuurlijke gegevensverkeer;

Gelet op het akkoord van de Vlaamse minister, bevoegd voor de begroting, gegeven op 2 juli 2018;

Gelet op het advies van de Gegevensbeschermingsautoriteit, gegeven op 26 september 2018;

Gelet op advies 64.461/3, gegeven op 14 november 2018, met toepassing van artikel 84, § 1, eerste lid, 2°, van de wetten op de Raad van State, gecoördineerd op 12 januari 1973;

Op voorstel van de Vlaamse minister van Binnenlands Bestuur, Inburgering, Wonen, Gelijke Kansen en Armoedebestrijding;

Na beraadslaging, Besluit :

Artikel 1.De instantie wijst overeenkomstig artikel 37, lid 5, van de algemene verordening gegevensbescherming een functionaris voor gegevensbescherming aan op grond van zijn professionele kwaliteiten en, in het bijzonder, zijn deskundigheid op het gebied van de regelgeving en de praktijk inzake de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens en zijn vermogen de taken, vermeld in artikel 3, te vervullen. De functionaris voor gegevensbescherming bezit ook een gedegen kennis van de informatieveiligheid en de informaticaomgeving van de instantie.

Art. 2.De verantwoordelijke voor het dagelijks bestuur binnen de instantie deelt de contactgegevens van de functionaris voor gegevensbescherming mee aan de Vlaamse toezichtcommissie voor de verwerking van persoonsgegevens, vermeld in artikel 10/1 van het decreet van 18 juli 2008Relevante gevonden documenten type decreet prom. 18/07/2008 pub. 29/10/2008 numac 2008036273 bron vlaamse overheid Decreet betreffende het elektronische bestuurlijke gegevensverkeer sluiten betreffende het elektronische bestuurlijke gegevensverkeer.

De verantwoordelijke voor het dagelijks bestuur binnen de instantie maakt overeenkomstig artikel 37, lid 7, van de algemene verordening gegevensbescherming de contactgegevens van de functionaris voor gegevensbescherming bekend. De bekendgemaakte contactgegevens hoeven de naam van de functionaris voor gegevensbescherming niet te bevatten.

De verantwoordelijke voor het dagelijks bestuur binnen de instantie maakt de naam en de contactgegevens van de functionaris voor gegevensbescherming aan de personeelsleden van de instantie bekend.

Art. 3.De functionaris voor gegevensbescherming vervult de taken, vermeld in de algemene verordening gegevensbescherming.

Specifiek met het oog op de veiligheid van de persoonsgegevens die de instantie verwerkt, waarbij hij de functie van functionaris voor gegevensbescherming vervult, en met het oog op de bescherming van de rechten van de personen op wie die gegevens betrekking hebben, is hij ervoor verantwoordelijk: 1° adviezen en aanbevelingen te verstrekken aan de verantwoordelijke voor het dagelijks bestuur binnen de instantie, over alle aspecten op het vlak van de informatieveiligheid;2° voor de verantwoordelijke voor het dagelijks bestuur binnen de instantie een veiligheidsplan voor een termijn van drie jaar op te stellen, met vermelding van de middelen op jaarbasis die volgens hem vereist zijn om het plan uit te voeren.Dat plan wordt minstens één keer per jaar met de verantwoordelijke voor het dagelijks bestuur binnen de instantie besproken en zo nodig aangepast. De verantwoordelijke voor het dagelijks bestuur binnen de instantie beslist over de in te zetten middelen. Het veiligheidsplan wordt beschouwd als een advies als vermeld in artikel 39, lid 1, a), van de algemene verordening gegevensbescherming; 3° jaarlijks een verslag op te stellen voor de verantwoordelijke voor het dagelijks bestuur binnen de instantie.Dat jaarverslag omvat minstens: a) een algemeen overzicht van de veiligheidstoestand, de ontwikkeling in het afgelopen jaar en de nog te realiseren doelstellingen;b) een samenvatting van de schriftelijke adviezen en aanbevelingen die de functionaris voor gegevensbescherming aan de verantwoordelijke voor het dagelijks bestuur binnen de instantie heeft bezorgd, en het gevolg dat eraan is gegeven;c) een overzicht van de taken, vermeld in artikel 39 van de algemene verordening gegevensbescherming, die de functionaris voor gegevensbescherming vervuld heeft;d) een overzicht van de resultaten van de controles die de functionaris voor gegevensbescherming uitgevoerd heeft, met vermelding van de vastgestelde voorvallen die de informatieveiligheid van de instantie in het gedrang hadden kunnen brengen;e) een overzicht van de campagnes die de functionaris voor gegevensbescherming gevoerd heeft ter bevordering van de gegevensbescherming bij het personeel;f) een overzicht van alle opleidingen die de functionaris voor gegevensbescherming gevolgd heeft en die hij nog gaat volgen;4° opdrachten uit te voeren die de verantwoordelijke voor het dagelijks bestuur binnen de instantie hem binnen de instantie heeft toevertrouwd, als dat zijn onafhankelijkheid niet in het gedrang brengt en als de inhoud en de hoeveelheid van zijn andere opdrachten hem in staat stellen om zijn taken als functionaris voor gegevensbescherming conform de algemene verordening gegevensbescherming te vervullen.

Art. 4.De opdrachten van de functionaris voor gegevensbescherming hebben ook betrekking op de bewaring, de verwerking of de uitwisseling van persoonsgegevens die voor rekening van de instantie door derden worden uitgevoerd.

Art. 5.De functionaris voor gegevensbescherming neemt altijd, ongeacht of hij bij een of meer instanties de rol van functionaris voor gegevensbescherming vervult, de nodige objectiviteit, onpartijdigheid en onafhankelijkheid in acht bij de formulering van adviezen en aanbevelingen. Hij formuleert de adviezen en aanbevelingen met de vereiste deskundigheid ter zake.

De functionaris voor gegevensbescherming brengt zijn adviezen en aanbevelingen schriftelijk en gemotiveerd uit tenzij de risico's niet voldoende ernstig zijn. Binnen de periode, die de omstandigheden vereisen en die maximaal drie maanden beslaat, beslist de verantwoordelijke voor het dagelijks bestuur binnen de instantie het advies of de aanbeveling al dan niet te volgen en deelt hij de functionaris voor gegevensbescherming mee welke beslissing hij heeft genomen. Als de beslissing afwijkt van een schriftelijk advies of aanbeveling van de functionaris voor gegevensbescherming, deelt hij zijn beslissing schriftelijk en op gemotiveerde wijze mee aan de functionaris voor gegevensbescherming.

Art. 6.De functionaris voor gegevensbescherming houdt alle informatie die aan hem wordt toevertrouwd of die hij kan inzien, horen of lezen in het kader van zijn taken of beroepsactiviteiten, strikt vertrouwelijk. Dat betreft zowel de informatie die op zijn opdracht betrekking heeft, als de informatie over of van zijn vakgenoten.

Met behoud van artikel 39, lid 1, d) en e), van de algemene verordening gegevensbescherming, mag de functionaris voor gegevensbescherming van de algemene regel van vertrouwelijkheid van informatie alleen in de volgende twee gevallen afwijken: 1° in de gevallen die door of krachtens een wets-, decretale of reglementsbepaling zijn vastgelegd;2° nadat hij schriftelijk een akkoord heeft gekregen van de derde die door de onthulling wordt getroffen. De functionaris voor gegevensbescherming waakt erover dat zijn medewerkers en iedere persoon die voor een opdracht onder zijn verantwoordelijkheid optreedt, de vertrouwelijkheidsplicht, vermeld in het eerste en tweede lid, naleven.

Art. 7.In het kader van zijn taken bevordert en ziet de functionaris voor de gegevensbescherming overeenkomstig artikel 39, lid 1, b), van de algemene verordening gegevensbescherming toe op de naleving van de voorschriften voor de gegevensbescherming, opgelegd door de algemene verordening gegevensbescherming, de regelgeving over de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens en het beleid van de verwerkingsverantwoordelijke over de bescherming van persoonsgegevens.

De functionaris voor de gegevensbescherming wordt geïnformeerd over eventuele overtredingen van of problemen met de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens binnen de instantie, zodat hij daarover, als dat nodig is of wenselijk is, een advies of aanbeveling kan formuleren. Alle vastgestelde overtredingen worden schriftelijk en uitsluitend aan de verantwoordelijke voor het dagelijks bestuur binnen de instantie meegedeeld. De nodige adviezen worden erbij gevoegd om dergelijke overtredingen in de toekomst te vermijden.

Art. 8.De functionaris voor de gegevensbescherming kan overeenkomstig artikel 38, lid 3, van de algemene verordening gegevensbescherming niet uit zijn functie worden ontheven wegens meningen die hij uit of daden die hij stelt om zijn functie goed uit te oefenen.

Art. 9.De functionaris voor gegevensbescherming werkt onder het rechtstreekse functionele gezag van de verantwoordelijke voor het dagelijks bestuur binnen de instantie. Hij werkt nauw samen met de andere diensten binnen de instantie die mee instaan voor de gegevensbescherming.

Art. 10.Het besluit van de Vlaamse Regering van 15 mei 2009Relevante gevonden documenten type besluit van de vlaamse regering prom. 15/05/2009 pub. 13/07/2009 numac 2009203137 bron vlaamse overheid Besluit van de Vlaamse Regering betreffende de veiligheidsconsulenten, vermeld in artikel 9 van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer sluiten betreffende de veiligheidsconsulenten, vermeld in artikel 9 van het decreet van 18 juli 2008Relevante gevonden documenten type decreet prom. 18/07/2008 pub. 29/10/2008 numac 2008036273 bron vlaamse overheid Decreet betreffende het elektronische bestuurlijke gegevensverkeer sluiten betreffende het elektronische bestuurlijke gegevensverkeer wordt opgeheven.

Art. 11.Artikel 2, eerste lid, treedt in werking op de datum van de bekendmaking van de samenstelling van de Vlaamse toezichtcommissie voor de verwerking van persoonsgegevens, vermeld in artikel 10/1 van het decreet van 18 juli 2008Relevante gevonden documenten type decreet prom. 18/07/2008 pub. 29/10/2008 numac 2008036273 bron vlaamse overheid Decreet betreffende het elektronische bestuurlijke gegevensverkeer sluiten betreffende het elektronische bestuurlijke gegevensverkeer, in het Belgisch Staatsblad.

Dit besluit heeft uitwerking met ingang van 25 mei 2018.

Art. 12.De Vlaamse minister, bevoegd voor het e-government, is belast met de uitvoering van dit besluit.

Brussel, 23 november 2018.

De minister-president van de Vlaamse Regering, G. BOURGEOIS De Vlaamse minister van Binnenlands Bestuur, Inburgering, Wonen, Gelijke Kansen en Armoedebestrijding, L. HOMANS