De positie van de Functionaris Gegevensbescherming
De Functionaris Gegevensbescherming mag geen instructies krijgen, niet worden gestraft voor zijn werk, heeft een geheimhoudingsplicht en mag geen tweede pet dragen die met zijn rol botst.
Mijn vorige blog over de FG, draaide om de vraag wat een organisatie de FG aan middelen moet geven: tijd, middelen, toegang, vindbaarheid. Maar het hart van artikel 38 gaat over iets anders — over wat de organisatie de FG niet mag áfnemen: zijn onafhankelijkheid. En daarover bestaan enige misverstanden.
Geen instructies vooraf
Artikel 38 lid 3 bepaalt dat de FG geen instructies krijgt over de uitvoering van zijn taken, dat hij daarvoor niet wordt ontslagen of gestraft, en dat hij rechtstreeks aan de hoogste leiding rapporteert. Overweging 97 voegt toe dat dit net zo goed voor externe FG’s geldt.
Geen instructies vooraf betekent: niemand mag voorschrijven wat de uitkomst van een advies moet zijn, hoe een klacht wordt onderzocht of wanneer de AP wordt benaderd. Dat verbod raakt alleen zijn FG-taken. Heeft de FG daarnaast ander werk, dan mag hij dáárin natuurlijk gewoon worden aangestuurd.
Mag je hem ontslaan?
Allereerst: geen sancties achteraf is ruimer dan "niet ontslaan". Een geweigerde promotie, een geblokkeerde carrière, een onthouden bonus — het telt allemaal mee, en zelfs de enkele dreiging volstaat al, zolang het bedoeld is om de FG voor zijn werk te straffen.
Maar, en dit is de nuance die vaak wordt gemist, let op het functionele verband. De FG mag geen nadeel ondervinden van zijn werk als FG. Hij mag dus wél worden ontslagen wegens diefstal, intimidatie of ander ernstig wangedrag, of wegens zijn andere taken. Bovendien: wie als FG structureel tekortschiet, mág juist wél worden ontslagen. De ratio is simpel: de ontslagbescherming moet leiden tot betere naleving van de AVG, niet tot een onaantastbare FG die zijn werk verwaarloost.
Een detail voor de liefhebber: deze ontslagbescherming is, anders dan bijna alles in de AVG, geen maximum- maar minimumharmonisatie. Lidstaten mogen dus verder gaan, zolang ze het vrije verkeer van persoonsgegevens niet schaden (en van personen ook niet, maar dat volgt niet uit de AVG zelf).
En onafhankelijk zijn betekent tot slot dat de FG niet wordt afgerekend op de vraag of zijn adviezen worden opgevolgd. De organisatie zelf is daarvoor verantwoordelijk. Wordt een advies niet gevolgd, dan geldt comply or explain: leg samen vast wat ermee is gebeurd en waarom.
Een geheimhoudingsplicht — zodat men alles durft te vertellen
Artikel 38 lid 5 geeft de FG een geheimhoudingsplicht. De gedachte erachter is dezelfde als bij andere beroepsgeheimen: een verdachte moet alles aan zijn advocaat kunnen vertellen, een patiënt alles aan zijn arts. Het belang van vrijuit kunnen praten, weegt zwaarder dan het doorvertellen in dat ene geval. Zo ook hier: alleen wie erop vertrouwt dat het tussen hem en de FG blijft, vertelt genoeg om de FG zijn werk te laten doen.
Toch staat die geheimhouding het contact met de AP niet in de weg — net zoals arts en advocaat bepaalde dingen wél met hun eigen toezichthouder mogen delen. In het uiterste geval, bij bewuste niet-naleving, móét de FG bij de AP kunnen aankloppen; niet via het gewone tipformulier, maar via de speciale FG-kanalen. Dit alles staat of valt met vertrouwen in zijn integriteit: wie zijn FG niet vertrouwt, vertelt hem niets, en dan kan hij niets.
Geen dubbele petten
Tot slot lid 6. De FG mag best andere taken hebben, maar die mogen niet botsen met zijn rol. Er is een belangenconflict zodra de FG taken heeft waarin hij zélf de doelen en middelen van gegevensverwerking bepaalt. Je kunt niet tegelijk de bestuurder zijn die beslist én de toezichthouder die controleert. Als vuistregel zijn bepaalde topfuncties dus uitgesloten: CEO, COO, CFO, Chief Medical Officer, hoofd marketing, HR of IT. Maar ook een lagere functie kan wringen zodra daarin over verwerkingen wordt beslist. Zelfs het vertegenwoordigen van de organisatie in de rechtbank kan botsen. Het is ook verstandig om vooraf vast te leggen welke functies onverenigbaar zijn met de FG-rol, en om voor twijfelgevallen een plaatsvervanger aan te wijzen.
Kortom
Onafhankelijkheid is geen luxe maar de kern van de functie: geen instructies vooraf, geen straf achteraf voor het goede werk, een geheimhoudingsplicht die vertrouwen mogelijk maakt, en geen dubbele petten. Maar onaantastbaar is de FG niet — wie zijn werk verwaarloost of steelt, kan gewoon worden ontslagen. Voor de zorg wordt dit alles alleen maar belangrijker: met de EHDS neemt het secundair gebruik van gezondheidsgegevens toe, en daarmee het aantal DPIA’s en beslissingen met privacy-gevolgen. Juist dan wil je een FG die vrijuit kan adviseren — en die, als het moet, ook door de organisatie mag worden aangesproken als hij niet streng genoeg is.
Over hoe je zo’n FG in positie brengt — met tijd, middelen en een directe lijn naar de top — leest u in het eerste FG blog door hier te clicken.