De positie van de functionaris gegevensbescherming (FG) – de interne privacytoezichthouder – binnen organisaties is nog lang niet altijd op orde. Dat blijkt uit onderzoek van de European Data Protection Board (EDPB) in aanloop naar de Dag van de Privacy op 28 januari 2024. De uitkomsten van het onderzoek bevestigen het beeld dat de Autoriteit Persoonsgegevens (AP) in de dagelijkse praktijk ziet.
Een groot deel van de FG’s kan zich niet onafhankelijk opstellen. En heeft onvoldoende de mogelijkheid om signalen van mogelijke privacyovertredingen direct bij het hoogste management kenbaar te maken.
Hoewel deze uitkomsten zorgelijk zijn, geeft het merendeel van de FG’s aan dat zij hun werk desondanks goed kunnen uitvoeren. Bijvoorbeeld omdat zij over voldoende kennis, vaardigheden en middelen beschikken. En dat zij hun taken naar behoren kunnen uitvoeren, zonder dat daar van hogerhand bemoeienis mee is.
Een FG houdt binnen een organisatie toezicht op de toepassing en naleving van de privacywetgeving. FG’s hebben een onafhankelijke functie. Voor sommige organisaties is het verplicht een FG aan te stellen. In Nederland zijn er nu ongeveer 12.000 organisaties met een FG.
De EDPB heeft met hulp van 25 Europese privacytoezichthouders in 2023 onderzoek gedaan naar het functioneren van FG’s bij zowel overheidsorganisaties als bedrijven. Zo’n 17.000 respondenten hebben aan dit onderzoek 'Designation and Position of Data Protection Officers' meegedaan. Dat leverde waardevolle inzichten op in het werk en de positie van FG’s.
De meerderheid van de ondervraagden verklaart de benodigde vaardigheden en kennis ter hebben en regelmatig trainingen te krijgen. Zij hebben duidelijk omschreven taken, die in lijn zijn met de AVG.
Daarnaast geven zij aan dat zij in de meeste gevallen voldoende informatie krijgen om hun taken uit te kunnen voeren en dat hun adviezen redelijk goed worden gevolgd. Bovendien zijn de meesten van mening dat zij over de middelen beschikken om hun werk te doen.
Er zijn echter nog steeds te veel FG’s die zich niet in zo’n positie bevinden. Bijvoorbeeld omdat zij niet onafhankelijk hun werk kunnen uitvoeren.
Het onderzoeksrapport geeft aanbevelingen om de onafhankelijkheid van FG’s te versterken en te garanderen dat zij over de benodigde middelen beschikken om hun taken uit te voeren.
Organisaties doen er goed aan ervoor te zorgen dat FG’s voldoende kansen, tijd en middelen hebben om hun kennis op te frissen en op de hoogte te blijven van de nieuwste ontwikkelingen.
De privacytoezichthouders kunnen meer doen aan bewustwording binnen organisaties. Maar ook handhaven bij overtredingen is en blijft belangrijk.
