Besluit van gedeputeerde staten van Zeeland houdende de vaststelling van het Privacybeleid Provincie Zeeland

Besluit van gedeputeerde staten van Zeeland houdende de wijziging van het Privacybeleid Provincie Zeeland Besluit van gedeputeerde staten van Zeeland van 25 augustus 2026, kenmerk 838139, houdende de wijziging van het Privacybeleid Provincie Zeeland. Gedeputeerde staten van Zeeland, •Overwegende dat actualisering van het in 2021 vastgestelde Privacybeleid wenselijk is in verband met interne organisatiewijzigingen; •Gelet op de Algemene verordening gegevensbescherming; Besluiten vast te stellen de navolgende wijziging in het Privacybeleid Provincie Zeeland: Artikel I Hoofdstuk 5 Organisatie van privacy wordt als volgt gewijzigd: 5. Organisatie van privacy Taken, verantwoordelijkheden en bevoegdheden Privacy is op vier niveaus ingericht en geborgd, waarbij elk niveau een eigen verantwoordelijkheid heeft. Uiteindelijk zijn de bestuursorganen van de provincie allemaal verwerkingsverantwoordelijken voor de persoonsgegevens die door of namens de provincie worden verwerkt: het college van Gedeputeerde Staten, de commissaris van de Koning en Provinciale Staten. Zij zijn eindverantwoordelijk voor het nakomen van de verplichtingen die voortvloeien uit de AVG. Dat principe ontslaat de organisatie echter niet van de gezamenlijke verantwoordelijkheid om op een juiste wijze met privacy en persoonsgegevens om te gaan. Iedereen heeft daarin een rol én verantwoordelijkheid. Hieronder wordt dit nader omschreven. Niveau Verantwoordelijkheid (globaal) Verantwoordelijke rol Besturend Bepalen van de ambitie en het beleid Invullen randvoorwaarden voor invoering van het beleid Gedeputeerde Staten Ambtelijke organisatie: secretaris-algemeen directeur Coördinerend Overzicht houden op voortgang invoering en ontwikkeling van beleid en richtlijnen Chief Information Officer Handhavend Handhaving van beleid en richtlijnen Herkennen en bewaken van de risico’s Functionaris Gegevensbescherming Uitvoerend Uitvoering van beleid en richtlijnen Lijnmanagement Het college van Gedeputeerde Staten (GS) GS is het hoogste besluitvormend gremium voor privacy en is op bestuurlijk niveau eindverantwoordelijk voor privacy van de organisatie. Dit betekent dat zij de ambitie en het beleid bepaalt rondom privacy. De provincie kent een collectieve bestuurlijke verantwoordelijkheid. GS stelt het algemene beleid rondom privacy vast alsmede de nadere uitwerkingen van het algemeen privacybeleid in de vorm van nieuw vast te stellen interne privacyreglementen, interne protocollen- en procedures. GS is verder verantwoordelijk voor het actueel houden van het privacybeleid. Het privacybeleid wordt minimaal één keer per twee jaar geëvalueerd en indien nodig herzien. GS maakt in het kader van de Planning- en Control-cyclus afspraken met de aan hen rapporterende managers over de uitvoering van het algemeen privacybeleid en het toezicht hierop en stelt de noodzakelijke middelen beschikbaar. Secretaris- algemeen directeur De secretaris-algemeen directeur is strategisch eindverantwoordelijk voor privacy van de organisatie. De secretaris-algemeen directeur legt de verbinding met het bestuur bij calamiteiten. Hij is verantwoordelijk voor het actueel houden van de interne privacyreglementen (intern algemeen privacyreglement en intern privacyreglement medewerkers) en stelt deze actualisaties vast. Ook is hij verantwoordelijk voor het actueel houden van interne protocollen, zoals het intern protocol inzake meldplicht datalekken en stelt deze actualisaties ook vast. In het geval het gaat om eventuele actualisaties van de betreffende reglementen of interne protocollen waarbij de ondernemingsraad een instemmingsplicht of adviesplicht heeft, wordt de betreffende actualisatie vastgesteld door GS. Chief Information Officer (CIO) De CIO is verantwoordelijk voor het strategische niveau (visie en beleidsvorming) van de informatievoorziening en de vertaling naar het tactisch beleidsniveau. Ten aanzien van privacy is de CIO verantwoordelijk voor het actueel houden van de interne procedures, zoals de procedurebeschrijving rondom de uitoefening van rechten van betrokkenen en die van de uitvoering van Data Protection Impact Assessment en stelt deze actualisaties ook vast. Daarnaast stelt de CIO werkinstructies of richtlijnen vast op het gebied van privacy en de privacy- en cookieverklaring van de provincie op onze website(s) inclusief eventuele actualisaties daarvan. Ook hierbij geldt dat voor zover het gaat om documenten waarbij de ondernemingsraad een instemmingsplicht of adviesplicht heeft, het betreffende document vastgesteld wordt door GS. Functionaris Gegevensbescherming (FG) De FG houdt binnen de provincie onafhankelijk toezicht op de toepassing en naleving van de AVG. De FG coördineert, bewaakt en adviseert over de uitvoering van het provinciale beleid op het gebied van privacy. Daarnaast is de FG de contactpersoon ten aanzien van vragen en klachten van burgers en organisaties over de wijze waarop de provincie omgaat met het verwerken van persoonsgegevens. Ook ten aanzien van de interne medewerkers is hij het eerste aanspreekpunt ten aanzien van klachten. De FG is tevens verantwoordelijk voor de afhandeling hiervan. Periodiek stelt de FG een rapportage op om de huidige stand van zaken in beeld te brengen en te kunnen beoordelen in hoeverre de provincie voldoet aan de AVG. Deze rapportage richt de FG rechtstreeks aan de secretaris-algemeen directeur. De secretaris-algemeen directeur informeert GS over de bevindingen uit de jaarrapportage van de FG. Verder zorgen GS, de secretaris-algemeen directeur, de CIO en het lijnmanagement ervoor dat de FG naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens. Lijnmanagement Elke manager of directeur is eindverantwoordelijk voor privacy binnen zijn/haar organisatieonderdeel en dient het belang van privacy ten aanzien van de werkzaamheden binnen zijn/haar organisatieonderdeel onder de aandacht van zijn/haar medewerkers te brengen. De belangrijkste taak is om in de dagelijkse praktijk toe te zien op de naleving van het beleid en de gemaakte afspraken rond privacy door de medewerkers. Daarnaast houdt het management in het oog welke risico’s bestaan en ontstaan en hoe daar praktische maatregelen voor te treffen. De overige rollen en verantwoordelijkheden binnen de ambtelijke organisatie zijn vastgelegd in het intern algemeen privacyreglement. Artikel II Dit besluit treedt in werking met ingang van de eerste dag na de datum van uitgifte van het Provinciaal Blad waarin het wordt geplaatst. Aldus vastgesteld in de vergadering van gedeputeerde staten van Zeeland van 25 augustus 2026. H.M. de Jonge, voorzitterDrs. M.C.J. Franken, secretaris