Wat doet een functionaris gegevensbescherming eigenlijk?
Eerder schreven wij al een blog over de verschillende functies die een functionaris gegevensbescherming (FG) binnen een organisatie wel en niet gelijktijdig mag hebben. Dit naar aanleiding van een uitspraak van het Europees Hof.
In deze blog gaan wij verder in op wat de functie van een FG precies omvat, de wettelijke vereisten en de kwaliteiten die een FG moet hebben.
Wat doet een FG precies?
Uit de richtlijn van de European Data Protection Board (EDPB) volgt dat de FG een echte ‘keyplayer’ is. De werkzaamheden van de FG zijn in alle gevallen terug te leiden tot het houden van toezicht op de naleving van de AVG binnen jouw organisatie. Ook heeft de FG een adviserende rol. Daarnaast is de FG de contactpersoon voor de Autoriteit Persoonsgegevens.
Belangrijk om op te merken is dat de FG niet persoonlijk verantwoordelijk is voor de naleving van de AVG binnen jouw organisatie. Deze eindverantwoording blijft dus rusten op de organisatie zelf.
Dat de onafhankelijkheid van de FG van belang is, is in onze vorige blog al naar voren gekomen. Om deze onafhankelijkheid te kunnen garanderen is het belangrijk dat de FG binnen jouw organisatie op een afdeling geplaatst wordt waar deze onafhankelijkheid ook daadwerkelijk gewaarborgd is. Welke afdeling dit is, hangt af van de structuur van jouw organisatie. Ons advies is in ieder geval om de FG niet te ‘laag’ in de organisatie te hangen.
Hier komt bij dat de FG, vanwege die onafhankelijkheid, geen instructies mag ontvangen over hoe de functie wordt uitgevoerd. Daarnaast is het van belang dat de FG tijdig en volledig wordt geïnformeerd over zaken die noodzakelijk zijn voor de uitoefening van zijn of haar taken. Denk bijvoorbeeld aan de uitvoering van een DPIA, het opstellen van verwerkersovereenkomsten en de aanpak bij eventuele datalekken. Zorg dus ook dat de FG betrokken wordt bij relevante vergaderingen en besluitvorming.
Over welke kwaliteiten moet een FG beschikken?
Een goede FG moet over verschillende kwaliteiten beschikken om ervoor te zorgen dat jouw organisatie de privacy van werknemers en klanten zo goed mogelijk beschermt.
Allereerst moet een FG leiderschap kunnen tonen. Hij of zij moet hiervoor onafhankelijk kunnen werken en de organisatie moet op het woord van de FG vertrouwen. Meedenkend vermogen en duidelijke communicatie zijn hierbij essentieel.
Daarnaast is het belangrijk dat de FG verschillende belangen kan behartigen. De FG is er namelijk zowel om te waarborgen dat persoonsgegevens op een veilige en betrouwbare manier verwerkt worden, als om het belang van de organisatie te dienen.
Hier staat tegenover dat belangenverstrengeling in de uitvoering van de functie van FG voorkomen moet worden. Zie onze eerdere blog over de verschillende functies die een FG binnen een organisatie kan bekleden.
Deze vaardigheden gelden natuurlijk naast uitgebreide kennis over de AVG en andere relevante wetgeving. Goed om te weten: wanneer een FG niet voldoet aan het wettelijk profiel kan de Autoriteit Persoonsgegevens hier mogelijk een boete voor opleggen.
Moet jouw organisatie een FG hebben?
Overheidsorganisaties en publieke organisaties zijn verplicht een FG te hebben. Alleen voor rechtbanken geldt een uitzondering. Volg je als organisatie op grote schaal mensen of breng je hun activiteiten in kaart? Ook dan moet je een FG aanstellen. Denk bijvoorbeeld aan bedrijven die personeelvolgsystemen leveren als SaaS-oplossing. Verwerkt jouw organisatie op grote schaal bijzondere of strafrechtelijke persoonsgegevens? Ook dan moet je een FG hebben. Denk bijvoorbeeld aan een ziekenhuis.
Maar ook als een FG niet verplicht is, kan het soms verstandig zijn om een FG aan te stellen. Dit kan overigens ook parttime of extern.
Meer weten over de functie van een FG? Neem contact met ons op via info@privacycoaches.nl. Wij hebben namelijk ervaring met de rol van FG en kunnen al jouw vragen beantwoorden! Daarnaast kunnen we als jouw externe FG optreden.