Te weinig tijd en middelen
In 2023 onderzochten de Europese toezichthouders samen de positie van de functionaris gegevensbescherming. In Nederland vulden 946 functionarissen de vragenlijst van de AP in, 370 uit de publieke sector en 576 uit de private sector. Van hen zei 28,95% onvoldoende middelen te hebben om de taken uit artikel 38 lid 2 AVG uit te voeren; 61,94% vond de middelen voldoende.
Bij de overheid is het beeld scherper. In de enquête van het CIP uit 2022 onder 231 respondenten uit de publieke sector zei 44% dat de beschikbare tijd voor de functie ontoereikend is. In 2018 was dat 33%. Het CIP ziet ook meer respondenten die belangenconflicten ervaren of daarvoor vrezen: 33%, tegen 12% in 2018. Bijna de helft combineert de rol met een of meer andere functies (47%).
De AP schrijft in het Sectorbeeld Overheid 2024 dat het vooral bij kleinere overheidsorganisaties behelpen blijft voor de functionaris gegevensbescherming om de rol goed uit te voeren met de beschikbare capaciteit en middelen.
Opstellen en toetsen gescheiden
Volgens artikel 35 AVG voert de verwerkingsverantwoordelijke de DPIA uit en vraagt daarbij advies aan de functionaris gegevensbescherming. Toch zei in het Europese onderzoek een mediaan van 32,88% van de respondenten dat de functionaris de DPIA opstelt en uitvoert, naast de andere taken. De Europese toezichthouders herinneren eraan dat het uitvoeren van een DPIA de taak van de verwerkingsverantwoordelijke is, niet van de functionaris.
De AP is in het Sectorbeeld Overheid 2024 even duidelijk over rollen: de functionaris gegevensbescherming van een gemeente kan niet tegelijk privacy officer van die gemeente zijn. Dan zou de functionaris als onafhankelijk toezichthouder beleid controleren dat die als privacy officer zelf mee heeft vormgegeven. Volgens de AP is de onafhankelijke positie vooral bij kleinere gemeenten niet altijd sterk.
Advies zonder motivering
In het Nederlandse deel van het Europese onderzoek zei 28,85% van de functionarissen dat hun advies slecht of zeer slecht wordt opgevolgd. Bij 12,89% worden de redenen om af te wijken zelden of nooit vastgelegd. De AP schrijft daarbij dat een organisatie die de redenen niet vastlegt, niet kan aantonen dat zij de AVG naleeft (artikel 5 lid 2).
Ook in het Sectorbeeld Overheid 2024 ziet de AP dat adviezen regelmatig niet worden opgevolgd, zonder motivering. Het advies van een functionaris is niet bindend, maar wel zwaarwegend. Wie afwijkt, moet dat gedegen motiveren. Blijkt bij navraag dat dat niet is gebeurd, dan kan de AP handhavend optreden.
Een tip van de AP die nog steeds werkt
In 2019 onderzocht de AP de verwerkersovereenkomsten van 31 private organisaties. Soms bevatten die alleen artikelen die letterlijk uit de AVG waren overgenomen. De eerste aanbeveling: maak een overzicht van de eisen in artikel 28 lid 3 AVG, leg dat naast alle bestaande verwerkersovereenkomsten en neem op in welke clausule welke eis staat.
Vragen voor uw eigen organisatie
- Hoeveel tijd heeft de functionaris gegevensbescherming? En past dat bij het aantal verwerkersovereenkomsten en DPIA's dat getoetst moet worden?
- Wie stelt op, wie toetst? Stelt de privacy officer, contractmanager of proceseigenaar de DPIA en de verwerkersovereenkomst op, en adviseert de functionaris daarover?
- Krijgt elk advies een reactie? Staat bij een afwijking wie besloot, wanneer en waarom, en is dat over twee jaar nog terug te vinden?
Wat Datavoogd hiermee doet
Datavoogd houdt opstellen en toetsen gescheiden. De privacy officer of contractmanager stelt het concept op van een verwerkersovereenkomst of DPIA. Datavoogd toetst dat concept regel voor regel en signaleert, met een bron bij elke signalering. De functionaris gegevensbescherming beoordeelt de signaleringen en beslist; Datavoogd legt vast wie wat besliste, wanneer en met welke versie van de toetsregels. De motivering van de organisatie bij een afwijking van dat advies hoort daarnaast te staan.
Bronnen
- 2023 Coordinated Enforcement Action: Designation and Position of Data Protection Officers, nationale rapporten, EDPB, januari 2024; deel Nederland (Autoriteit Persoonsgegevens), 946 respondenten.
- 2023 Coordinated Enforcement Action: Designation and Position of Data Protection Officers, EDPB, januari 2024.
- FG-Enquête 2018 en 2022, Centrum Informatiebeveiliging en Privacybescherming, rapport september 2022, blz. 17.
- Sectorbeeld Overheid 2024, Autoriteit Persoonsgegevens, oktober 2024.
- Werkende verwerkersovereenkomsten, Autoriteit Persoonsgegevens, 2019, aanbeveling 1.
- Artikelen 5, 28, 35 en 38 AVG.
Dit artikel is informatie, geen juridisch advies. De beoordeling van een concrete situatie is aan de functionaris gegevensbescherming of jurist van uw organisatie.