Besluit  ORD - Raad voor maatschappelijk welzijn

Het gemeente- en OCMW-bestuur dienen te beschikken over een informatieveiligheidsbeleid. De functionaris voor gegevensbescherming adviseert om het nieuwe ontwerp van informatieveiligheidsbeleid goed te keuren.

• Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (Algemene Verordening Gegevensbescherming);
• De wet van 26 april 2024 tot vaststelling van een kader voor de cyberbeveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid (NIS2-wet).
• Besluit van de Vlaamse Regering van 23 november 2018 betreffende de functionarissen voor gegevensbescherming, vermeld in artikel 9 van het decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer
• Vanuit de Gegevensbeschermingsautoriteit (GBA): Richtsnoeren met betrekking tot de informatiebeveiliging van persoonsgegevens in steden en gemeenten;
• Vanuit de Kruispuntbank van de sociale zekerheid (KSZ): Minimale normen informatieveiligheid en privacy.
• De gemeenteraadsbeslissing van 16 september 2021 betreffende de goedkeuring van het informatieveiligheidsbeleid;
• De beslissing van het college van burgemeester en schepenen van 28 mei 2021 waarbij het gemeentebestuur beslist om een samenwerkingsovereenkomst aan te gaan met de dienst eGov in het kader van de informatieveiligheid.

Het Besluit van de Vlaamse Regering van 23 november 2018 stelt in artikel 7, eerste lid: “In het kader van zijn taken bevordert en ziet de functionaris voor de gegevensbescherming overeenkomstig artikel 39, lid 1, b), van de algemene verordening gegevensbescherming toe op de naleving van de voorschriften voor de gegevensbescherming, opgelegd door de algemene verordening gegevensbescherming, de regelgeving over de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens en het beleid van de verwerkingsverantwoordelijke over de bescherming van persoonsgegevens.”
De richtsnoeren met betrekking tot de informatiebeveiliging van persoonsgegevens in steden en gemeenten van de Gegevensbeschermingsautoriteit en de minimale normen van informatieveiligheid en privacy van de Kruispuntbank van de sociale zekerheid stellen: “Elke organisatie moet over een formeel, geactualiseerd en door het hoogste beslissingsorgaan van uw organisatie goedgekeurd informatiebeveiligingsbeleid beschikken dat op regelmatige basis naar alle relevante partijen gecommuniceerd wordt.”
Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (Algemene Verordening Gegevensbescherming) bepaalt in artikel 24, eerste en tweede lid dat “(…) de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen [treft] om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. (…) Wanneer zulks in verhouding staat tot de verwerkingsactiviteiten, omvatten de in lid 1 bedoelde maatregelen een passend gegevensbeschermingsbeleid dat door de verwerkingsverantwoordelijke wordt uitgevoerd.”
In artikel 39, eerste lid, b) van voorgaande verordening wordt gesteld dat de functionaris voor gegevensbescherming onder andere toeziet “op naleving van deze verordening, van andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens (…)”
Ten gevolge van de bovenstaande regelgeving dient het bestuur te beschikken over een beleid inzake informatieveiligheid en gegevensbescherming.
De functionaris voor gegevensbescherming adviseert om het bijgesloten informatieveiligheidsbeleid goed te keuren. Dit werd besproken en gunstig geadviseerd in de informatieveiligheidscel van 27 november 2025.