De wetgever heeft de Functionaris voor Gegevensbescherming (FG) aangewezen om intern toezicht te houden op de verwerkingsverantwoordelijke bij het effectief beschermen van de rechten en vrijheden van personen.[1] Recent is daar de geactualiseerde Corporate Governance Code (CGC) bijgekomen, die ook voor de FG in zijn uitoefening van interne toezichthouder de nodige consequenties heeft. In onze vorige blog zijn wij daar uitgebreid op ingegaan. In deze blog gaan wij na wat de betekenis is van de nieuwe verzwaarde toezichtsrol voor zijn of haar operationele werkzaamheden en wat het betekent voor de invulling van de rolverdeling tussen de FG en de Privacy Officer (PO).
De FG is een wettelijke interne toezichthouder. De Autoriteit Persoonsgegevens (AP) heeft de kennis en vaardigheden die nodig zijn om zijn of haar taken uit te kunnen voeren, nader ingekleurd.
Al vanaf 2016 zien wij dat de operationele werkzaamheden die nodig zijn om persoonsgegevens daadwerkelijk effectief te beschermen, vaak worden uitgevoerd door één of meer Privacy Officers (PO). De bedrijfsleiding kiest voor een dergelijke constructie omdat de toezichthoudende rol van de FG moeizaam is te verenigen met operationele taken. Bovendien is het splitsen van toezichthoudende en operationele taken praktisch is en kostenefficiënt. Daar komt bij dat de genoemde wettelijke kaders van de AI Act en NIS2-richtlijn en straks de Cyberbeveiligingswet, inclusief de uitleg daarvan door toezichthouders, het aanbrengen van het onderscheid tussen de taken van FG en PO zeer aan te bevelen maken. Voor het organiseren van privacybescherming voor bepaalde bedrijfsactiviteiten is het aanbrengen van de functiescheiding tussen bestuurlijke en operationele taken zelfs noodzakelijk.
Hierna verkennen wij de (wettelijke) rollen van de FG en PO en formuleren argumenten voor het aanbrengen van functiescheiding. Wij sluiten af met een aantal overwegingen.
De taak van FG
De FG heeft tot taak intern toezicht te houden op het effectief beschermen van de rechten en vrijheden van betrokkenen door de verwerkingsverantwoordelijke. De AP schrijft over de kennis en vaardigheden van de FG en zijn taken het volgende (zie hier):
1. ‘De FG heeft bovenmatige vakkennis en vaardigheden op het gebied van privacywetgeving en de praktijk van gegevensbescherming.’
Kennis heeft betrekking op relevante wetgeving, de gegevensverwerkingen van het bedrijf, ondersteunende IT en informatiebeveiliging, de bedrijfsvoering en de sector waarin de organisatie actief is. Vaardigheden zien op het bij de leiding en medewerkers vergroten van de bewustwording en het ontwikkelen binnen de organisatie en haar partners van een cultuur van het bewust en goed omgaan met persoonsgegevens.
Dat laatste valt op, maar is zeer begrijpelijk. De AP spreekt hier de verwachting uit dat de FG een veranderingsproces in gang zet om een cultuur van gegevensbescherming te creëren en de resultaten bij de leiding en de medewerkers uitbouwt. Lukt het niet de cultuur voor het adequaat omgaan met persoonsgegevens te creëren of te veranderen dan trekt dat een zware wissel op het organiseren van het effectief beschermen van persoonsgegevens.
2. De FG houdt intern toezicht op het naleven van privacywetgeving.
Om deze taak adequaat uit te voeren zijn de volgende randvoorwaarden nodig:
- Informatie verzamelen over gegevensverwerkingen die onder verantwoordelijkheid vallen van de verwerkingsverantwoordelijke (het register van verwerkingen van persoonsgegevens).
- Risicogericht analyseren van de verwerkingen en beoordelen of deze voldoen aan de wetgeving.
- De verwerkingsverantwoordelijke adviseren over het verbeteren van maatregelen waarmee de rechten en vrijheden van betrokkenen effectiever worden beschermd.
De AP merkt op dat de FG niet verantwoordelijk is voor het inventariseren van de verwerkingen, het overzicht daarvan te houden en passende en effectieve maatregelen te treffen. Deze verantwoordelijkheid ligt bij de bedrijfsleiding, de verwerkingsverantwoordelijke.
3. De verwerkingsverantwoordelijke voert privacy onderzoeken uit (bijvoorbeeld data protection impact assessment, DPIA, DTIA en DLIA).
De FG adviseert over:
- de afweging om wel of niet een DPIA uit te voeren;
- de onderzoeksmethode die geschikt is voor de DPIA;
- de vraag of u de DPIA zelf uitvoert of hiervoor een gespecialiseerd bureau inschakelt;
- de maatregelen die nodig zijn om de risico’s voor betrokkenen te beperken;
- de vraag of de uitkomsten van de DPIA in overeenstemming zijn met de wet.
Het advies van de FG en de impact op de onderzoek(svraag) neemt de verwerkingsverantwoordelijke in het rapport.
De AP formuleert een bescheiden takenpakket voor de FG. Echter, de vaardigheid die nodig is voor het teweegbrengen van een cultuurverandering is nogal wat. Onze ervaring is dat dat voor vele FG’s een bijna onmogelijke opgave is.
De rol van de FG professionaliseert
De CGC, en met name de VOR, stimuleren de RvC meer gebruik te maken van de toezichthoudende taken van de FG. Zie ook onze vorige blog. De onderzoeksvraag van de RvC aan de FG is veelomvattend. De FG wordt aangespoord alle relevante interne en externe verwerkingen voor een bepaald verslaggevingsjaar in scope van het onderzoek te brengen, risicogericht onderzoek te (laten) doen op effectief beschermen van de rechten en vrijheden van personen en het verantwoord gebruik van AI. De FG analyseert de resultaten en rapporteert niet alleen aan het bestuur maar ook aan de RvC.
Wij kunnen zeggen dat de rol van de FG professionaliseert. Het werkgebied voor de FG verruimt naar interne en externe verwerkingen van de verwerkingsverantwoordelijke. Er dienen zich nieuwe toezichtsgebieden aan zoals verantwoord AI-gebruik, en er is een verschuiving van inspannings- naar resultaatgericht toezicht. De FG neemt haar positie in Corporate Governance in.
Waarom een PO aanstellen?
Het gevolg is dat bij de PO andere en meer operationele en compliance werkzaamheden zullen worden ondergebracht om de taken van de FG waar te kunnen maken. Dat is bijna onoverkomelijk. Een overzicht van de werkzaamheden waar je dan aan moet denken, kunnen wij afleiden van het Privacy Control Framework van het NOREA.
Het aanstellen van een PO of de operationele en compliance taken onderbrengen bij andere rollen in de organisatie is nodig voor het creëren van de noodzakelijke functiescheiding tussen FG en PO en het is kostenefficiënt. Een FG kan immers moeilijk toezicht houden op zijn eigen operationele werkzaamheden. Het profiel van een FG en die van een PO zijn bovendien verschillend. De FG beschikt over een theoretische en praktische basis en maakt gebruik van opgedane ervaringen. De FG moet zich gemakkelijk kunnen bewegen in een corporate governance setting. Hij of zij moet aan de bestuurstafel, waar ook een raad van commissarissen of raad van toezicht zit, gezag weten op te bouwen en te behouden. De PO is operationeel ingesteld. Het zorgt dat plannen worden uitgevoerd en administraties worden opgebouwd om aantoonbaar de FG haar rol te laten vervullen. Hier zijn andere kennis en vaardigheden nodig.
Integraal organiseren van intern toezicht heeft de voorkeur
De Europese en nationale wetgevers zijn in de afgelopen jaren actief geweest met het opstellen en opleggen van wettelijke verplichtingen. Bij elke wettelijke verplichting wordt een toezichthouder aangewezen. Hiermee wordt de bedrijfsleiding met een grote verzameling van wetten en toezichthouders geconfronteerd.
Het beschermen van persoonsgegevens maakt gebruik van de maatregelen gericht op cyberweerbaarzijn. Het verantwoord AI-gebruik maakt gebruik van de maatregelen van cyberweerbaarzijn en het beschermen van persoonsgegevens. Het integraal organiseren van de interne toezichthoudende rol en de operationele rollen heeft de voorkeur omdat het effectiever en kostenefficiënter is. Keerzijde is wel dat het een wissel trekt op de kennis en vaardigheden van de rollen die gecombineerd bij een functionaris wordt neergelegd. Iets om over na te denken. Wij komen hier een andere keer op terug.
Meer weten of direct aan de slag?
Op zoek naar ervaren professionals die de rol van FG of privacy officer binnen uw organisatie kunnen vervullen? Bekijk dan onze diensten voor de privacy officer, lees meer over onze ondersteuning als FG, of neem direct contact met ons op voor een passende oplossing.
Wilt u zich verder ontwikkelen op het gebied van gegevensbescherming en privacy?
Volg dan onze Opleiding FG en ontdek via deze link wat deze opleiding voor u kan betekenen.
[1] Zie artikel 37 – 39 AVG, richtsnoeren van de Europese Data Protection Board (EDPB, https://www.edpb.europa.eu/edpb_nl) en uitingen van de toezichthouder (in Nederland de Autoriteit Persoonsgegevens, https://www.autoriteitpersoonsgegevens.nl/fg-informatie.
