Externe Functionaris voor Gegevensbescherming of Privacy Officer

De functionaris voor gegevensbescherming (FG) houdt toezicht op de effectiviteit van de getroffen beheersmaatregelen gericht op beschermen van persoonsgegevens zoals bedoelt in de wet (Avg, UAvg en sectorale regelgeving). De FG is geregistreerd bij de Autoriteit Persoonsgegevens (AP) en faciliteert het individu, de betrokkene, bij het uitoefenen van zijn of haar rechten. De FG is het eerste aanspreekpunt voor de AP.

De Privacy Officer (PO) verricht feitelijk de werkzaamheden van een FG maar is niet geregistreerd bij de AP. Met deze constructie wordt getracht de aansprakelijkheids- en kostenrisico’s van een FG te vermijden. Ofschoon er nog geen jurisprudentie is ligt het voor de hand dat de feitelijke werkzaamheden bepalend zijn voor het al dan niet functioneren van een FG. Op basis van deze uitleg functioneren veel PO’s als FG’s en zijn ook als zodanig aan te merken.

Rol

De rol van FG / PO wordt veelal eerst door eigen medewerkers opgevangen. Na verloop van tijd doet de organisatie ervaring met de FG / PO op en vervolgens ontstaat de behoefte aan een bij de organisatie passende FG op gepaste afstand.

Voor overheidsinstanties en publieke organisaties waaronder zorg- en onderwijsinstellingen, evenals organisaties die op ‘grote schaal’ persoonsgegevens verwerken, is het aanstellen van een FG verplicht. Het kan verstandig zijn een FG aan te stellen, zonder dat daartoe een wettelijke verplichting bestaat. Met het aanstellen van een FG wordt een krachtig signaal aan de klanten afgeven dat het beschermen van persoonsgegevens door de leiding serieus wordt opgepakt.

De leiding kan een eigen medewerker aanstellen als FG. Het is ook mogelijk een externe FG aan te stellen. In beide situaties moet de FG eerst de functie aanvaarden omdat er voor hem of haar verantwoordelijkheden en aansprakelijkheden kleven aan het adequaat vervullen van deze functie.

Samenwerking

Duthler Professionals voorziet graag in de rol van externe FG en heeft haar organisatie hierop ingericht. Nadat een verzoek van een organisatie voor een externe FG is ontvangen, wordt een acceptatietraject doorlopen. Er wordt expliciet een afstemming gemaakt tussen de wensen van de organisatie en de capaciteiten van de FG. In de eerste contacten met de Autoriteit Persoonsgegevens (AP) kan een dergelijke ‘nulmeting’ gevraagd worden te overleggen. Als partijen afspraken maken over de inzet van de externe FG dan gaat de FG werken aan eventuele lacunes voor de sector en wordt een coach benoemd.

Contact

Benieuwd wat onze professionals voor uw organisatie kunnen betekenen? Neem gerust contact op met Jetse Johan Biesheuvel via +31 (0) 70 392 22 09 en j.j.biesheuvel@duthler.nl.