Een functionaris gegevensbescherming (FG) houdt toezicht op de privacy in je organisatie, een privacy officer doet het werk. Mijn advies aan overheidsorganisaties: leg die twee rollen niet bij één persoon, ook niet als je tijdelijk iemand inhuurt.
Dat klinkt als een detail voor de privacyhoek. Voor een CISO of security manager die een uitvraag mee opstelt, scheelt het later veel gedoe met de toezichthouder en met je eigen bestuur.
Wat is het verschil tussen een FG en een privacy officer?
De FG is een rol uit de AVG, de Europese privacywet. Een overheidsinstantie die persoonsgegevens verwerkt, moet er een aanstellen. Dat staat ook in de uitleg van de Europese samenwerking van privacytoezichthouders (EDPB). De FG houdt toezicht op de naleving, adviseert over gegevensbeschermingseffectbeoordelingen (DPIA's), is het aanspreekpunt voor de toezichthouder en het aanspreekpunt voor burgers met vragen over hun gegevens.
Een privacy officer is geen wettelijke rol. Organisaties vullen die functie zelf in, meestal voor de uitvoering. Denk aan het verwerkingsregister bijhouden, DPIA's opstellen samen met de business, verwerkersovereenkomsten nalopen, datalekken afhandelen en privacy inbrengen in projecten. Hoe de functie heet en wat erin zit, verschilt per organisatie.
De privacy officer zorgt dus dat het goed gaat. De FG beoordeelt of het goed gaat.
Wat zegt de AVG over de positie van de FG?
De positie van de FG is beschermd. Je mag de FG geen instructies geven over hoe hij zijn taken uitvoert. Je mag hem niet ontslaan of benadelen omdat hij die taken uitvoert. En hij rapporteert rechtstreeks aan het hoogste managementniveau, bij een gemeente dus aan de top van de ambtelijke organisatie of het bestuur.
Andere taken mogen, zolang dat geen belangenconflict oplevert. In de checklist van de EDPB voor de FG staat dat conflicterende functies vooral managementfuncties zijn en dat de FG niet zelf het doel en de middelen van een verwerking mag bepalen. Een organisatie moet de FG verder genoeg tijd, opleiding, uitrusting en budget geven, en hem zo vroeg mogelijk betrekken bij alle kwesties over gegevensbescherming.
Je mag een FG ook extern aanstellen, met een contract voor diensten met een persoon of een organisatie. Een interim FG is dus een normale, toegestane vorm.
Waarom ik FG en privacy officer zou splitsen
Neem een interim FG die ook de DPIA voor een nieuw zaaksysteem schrijft. Daarna moet dezelfde persoon als FG advies geven over die DPIA. Dan beoordeelt hij zijn eigen werk. De wet zegt dat niet letterlijk zo, maar ik lees de regel over belangenconflicten breed: als iemand zijn eigen werk controleert, is er geen toezicht.
De verleiding is groot, en ik snap waarom. Er is budget voor één inhuur, en "FG en privacy officer" in één uitvraag lijkt efficiënt. Dan krijg je iemand die op maandag het verwerkingsregister bijwerkt en op dinsdag aan de directie meldt dat het register op orde is.
Europese toezichthouders kijken hier ook naar. In 2023 onderzochten 25 privacytoezichthouders in de EER samen de positie van de FG. In het rapport dat de EDPB in januari 2024 vaststelde komen onder meer te weinig middelen voor FG's terug, te weinig kennis en opleiding, risico's op belangenconflicten en FG's die niet rapporteren aan het hoogste management. Bij een combinatierol loop je vaak tegen twee daarvan tegelijk aan: het uitvoerende werk vreet de tijd voor toezicht op, en de taken bijten elkaar.
Hoe verdeel je het werk?
De FG hoeft geen fulltime rol te zijn. Wat wel moet: genoeg tijd en een lijn naar de top. Zo zou ik het werk verdelen:
- De FG houdt toezicht op naleving, adviseert over DPIA's, is aanspreekpunt voor de Autoriteit Persoonsgegevens en voor burgers, en rapporteert aan de top.
- De privacy officer of privacyconsultant houdt het verwerkingsregister bij, stelt DPIA's op, regelt verwerkersovereenkomsten en handelt datalekken af.
- De CISO of security officer zorgt voor de beveiligingsmaatregelen waar de privacy officer op leunt.
Bij een incident dat zowel een datalek als een beveiligingsincident is, trekken de privacy officer en de CISO samen op. De FG kijkt daarna of het goed is afgehandeld. Zit de FG zelf midden in die afhandeling, dan kijkt niemand meer mee.
Wat betekent dit voor je uitvraag?
Bij een overheidsopdracht levert een kandidaat vaak meer aan dan een cv. Meestal is dat een cv van maximaal drie pagina's, een kort plan van aanpak, een toelichting op de eisen en een motivatie. Dat plan van aanpak is lastig voor buitenstaanders. Een consultant die al bij je zit, weet precies wat je verwacht en heeft daar een voorsprong.
Bij een FG-uitvraag wordt dat verschil groter als de rol vaag omschreven is. Zet daarom in de uitvraag wat de FG wel en niet doet, aan wie hij rapporteert en of er een privacy officer naast hem staat. Dan kan ook een sterke kandidaat van buiten een plan van aanpak schrijven dat ergens over gaat.
Mijn tip: vraag in dat plan van aanpak hoe de kandidaat zijn onafhankelijkheid wil regelen. Het antwoord laat zien hoe iemand de rol ziet. Wie daar vooral uitvoerend werk beschrijft, solliciteert eigenlijk op de privacy officer.
Interim of vast?
Voor de FG werkt interim goed als je een gat moet overbruggen of de rol opnieuw wilt inrichten. Een externe FG hoort bij geen enkele afdeling en heeft geen interne loopbaan te verliezen. Dat maakt kritisch rapporteren aan de top makkelijker.
Voor de privacy officer ligt het anders. Dat werk loopt door en vraagt kennis van je eigen processen en systemen. Een interim privacy officer kan een achterstand in het register of in DPIA's wegwerken. Zorg wel dat iemand het daarna overneemt, intern of via detachering.
Zoek je een interim FG of een privacy officer? De profielen staan op onze pagina over privacy en DPO, en wat er bij overheidsorganisaties speelt lees je op de sectorpagina. Freelance specialisten zoeken we via MVPeople, en iemand voor langere tijd in je team kan via detachering met MVProfessionals. Hoe een overheidsaanvraag verder loopt, lees je in dit stuk over inhuur bij de overheid. Twijfel je hoe je de rollen verdeelt? Bel of mail me.
