De vereiste middelen van de Functionaris Gegevensbescherming
De AVG verplicht organisaties niet alleen om een Functionaris Gegevensbescherming aan te stellen, maar ook om alle omstandigheden te creëren zodat deze zijn taken echt kan uitvoeren. Deel 1 over de positie van de FG: betrekken, middelen en vindbaarheid.
De papieren FG is nutteloos en een risico
De Autoriteit Persoonsgegevens kan onmogelijk alle gegevensverwerkingen in Nederland volgen. Daarvoor heeft de AVG een oplossing geïntroduceerd: waar nauwkeurige naleving extra belangrijk is, moet een Functionaris Gegevensbescherming (FG) worden aangesteld. Dit is een soort interne toezichthouder én adviseur. Hij is niet de verlengde arm van de AP, maar wel (meestal) de tussenpersoon.
Wat de precieze taken van de FG zijn, staat in artikel 39. Maar taken zonder de middelen om ze uit te voeren, hebben geen zin, dus bepaalt artikel 38 de vereiste middelen. Daar gaat dit blog (een tweeluik) over. De korte samenvatting: een FG die je op een zolderkamer zet, buiten de vergaderingen houdt en zonder tijd of budget laat aanmodderen, is geen bescherming maar een risico.
Betrek de FG telkens en op tijd
Artikel 38 lid 1 zegt dat de FG "naar behoren en tijdig wordt betrokken bij alle aangelegenheden" rond gegevensbescherming. Let op dat werkwoord: wordt betrokken. Het initiatief ligt dus óók bij de organisatie. Ja, de FG is onafhankelijk en hoort zelf aan de bel te trekken, maar dat ontslaat het bestuur niet van de plicht hem uit zichzelf aan tafel te vragen.
"Bij alle aangelegenheden" betekent dat hij een gesprekspartner is die aanschuift bij de werkgroepen en het overleg waar met persoonsgegevens wordt gewerkt. En "tijdig" betekent: zo vroeg mogelijk. Met een advies dat binnenkomt als de knopen al zijn doorgehakt, wordt over het algemeen niets gedaan. Wie de FG direct bij de start van een DPIA (artikel 35) belt, maakt privacy by design mogelijk; wie hem daarna belt, vraagt om een goedkeurend stempeltje en dat is dus niet de bedoeling. Ook bij een mogelijk datalek geldt: meteen bellen.
Geef de FG middelen en een directe lijn naar de top
Artikel 38 lid 2 vraagt de organisatie de FG te ondersteunen met toegang tot alle verwerkingen én met de nodige middelen. Toegang tot alles betekent: niet alleen tot het management, maar ook tot HR, juridische zaken, ICT en beveiliging. Alleen zo leert hij de organisatie echt kennen en kan hij over alles goed adviseren.
Bij die middelen hoort een rijtje concrete zaken: voldoende tijd (leg bij voorkeur een percentage vast) en genoeg budget. Eén eis springt eruit: een directe lijn naar het hoger management. Indirecte toegang is onvoldoende, oordeelde de Luxemburgse toezichthouder en dat is logisch: als de FG alleen via de directeur onder wie hij valt bij de top komt, dan kan hij op juist díe directeur geen toezicht houden. Ook Polen en Noorwegen beboetten dat gebrek.
En denk niet dat een externe FG met minder toe kan: ook aan hem moeten voldoende middelen worden toegekend. Hij mag zich blijven scholen, en hoeft niet alles zelf te weten — bij specialistische kwesties mag hij advies inwinnen. Loopt het spaak met middelen of positie, dan bespreekt hij dat met het bestuur, en in het uiterste geval vraagt hij rugdekking bij de AP.
Maak hem vindbaar
Een FG die niemand kan vinden, is nutteloos. Nodig zijn dus actieve steun bij en officiële bekendmaking van de aanstelling. Binnen concernverband moet hij vanuit elke vestiging makkelijk bereikbaar zijn. Een algemeen mailadres (fg@organisatie.nl) volstaat volgens de AP — de naam hoeft niet naar buiten.
Maar let op: aanspreekpunt zijn, is iets anders dan wóórdvoerder zijn. De FG spreekt niet namens de organisatie en is geen advocaat van de zaak (al kan een advocaat wel FG zijn). De AP wil de FG juist níet als frontman zodra het ernstig wordt — bij onderzoek, sancties en bezwaar — zodat de FG niet wordt aangekeken op het optreden van de toezichthouder.
Kortom
Betrek de FG vroeg, geef hem toegang, tijd, geld en een directe lijn naar de top, en zorg dat iedereen hem kan vinden. Doe je dat niet, dan heb je slechts een papieren FG en daarmee een boeterisico. Bovendien is 'privacy by design' kosten-efficiënter dan achteraf het gehele design weer aanpassen.
In het tweede deel gaat het over de andere helft van artikel 38: de onafhankelijkheid van de FG. Mag hij ontslagen worden, heeft hij een geheimhoudingsplicht, en kan de FG tegelijk de baas van de IT-afdeling zijn? Klik hier voor middelen van de FG deel 2.