Privacy is niet de verantwoordelijkheid van de FG
Waarom privacy governance begint bij bestuur en management
In veel gemeentelijke organisaties is privacy bijna vanzelfsprekend het werkterrein van de Functionaris Gegevensbescherming (FG) of de privacy officer. Zodra er vragen ontstaan over de AVG, een nieuwe verwerking van persoonsgegevens of een mogelijk privacyrisico, wordt al snel naar deze professionals gekeken.
Dat is begrijpelijk. Zij beschikken immers over de kennis en expertise.
Maar daarin schuilt ook een risico. Want wie privacy vooral beschouwt als het werkterrein van de FG of privacy officer, kan gemakkelijk uit het oog verliezen waar de verantwoordelijkheid werkelijk ligt.
Privacy is geen verantwoordelijkheid die je aan een functionaris kunt overdragen. Het is een verantwoordelijkheid van de organisatie zelf.
De FG is geen eigenaar van privacy
De Algemene verordening gegevensbescherming (AVG) legt de verantwoordelijkheid voor de naleving van de privacyregels bij de verwerkingsverantwoordelijke. Binnen de gemeentelijke organisatie betekent dit dat het bevoegde bestuursorgaan verantwoordelijk is voor de verwerkingen waarvoor het als verwerkingsverantwoordelijke optreedt.
De FG heeft daarin een bijzondere positie.
De FG informeert, adviseert, houdt toezicht op de naleving en rapporteert onafhankelijk over zijn bevindingen. Maar de FG neemt niet de verantwoordelijkheid van het bestuur of management over.
Dat onderscheid is essentieel.
Een FG kan adviseren dat een verwerking onvoldoende rechtmatig is onderbouwd. Hij kan wijzen op risico’s voor betrokkenen en aanbevelingen doen voor verbeteringen.
Maar uiteindelijk moeten de verantwoordelijke bestuurders en de organisatie zelf besluiten nemen, maatregelen treffen en kunnen uitleggen waarom bepaalde keuzes zijn gemaakt.
Wie toezicht houdt op de naleving, moet niet tegelijkertijd verantwoordelijk worden gemaakt voor die naleving.
De privacy officer is evenmin de oplossing voor alles
Ook de privacy officer speelt een belangrijke rol. Deze ondersteunt de organisatie bij het vertalen van wettelijke verplichtingen naar de dagelijkse praktijk, het beoordelen van verwerkingen en het organiseren van passende maatregelen.
Maar ook hier geldt: ondersteuning is iets anders dan verantwoordelijkheid.
Een manager die een nieuwe werkwijze invoert waarbij persoonsgegevens worden verwerkt, kan de privacy officer om advies vragen. Maar het is niet de bedoeling dat de manager daarmee ook de verantwoordelijkheid voor de gemaakte keuzes overdraagt.
Privacy moet onderdeel zijn van de reguliere bedrijfsvoering, net zoals financiën, personeelsbeleid en informatiebeveiliging.
Niet iets dat achteraf door een specialist wordt gerepareerd.
Van privacy management naar privacy governance
Hier raakt de discussie aan een belangrijk onderscheid: het verschil tussen privacy management en privacy governance.
Privacy management richt zich op de uitvoering. Denk aan het bijhouden van verwerkingsregisters, uitvoeren van DPIA’s, afhandelen van datalekken en treffen van maatregelen.
Privacy governance gaat een niveau hoger.
Het gaat over de vraag hoe verantwoordelijkheden zijn belegd, hoe besluiten tot stand komen, hoe bestuur en management zicht houden op risico’s en hoe de organisatie verantwoording aflegt.
Een gemeente kan beschikken over een uitstekend verwerkingsregister en toch onvoldoende grip hebben op privacy.
Bijvoorbeeld wanneer niemand zich werkelijk verantwoordelijk voelt voor het opvolgen van risico’s, adviezen blijven liggen of het bestuur nauwelijks zicht heeft op de mate waarin persoonsgegevens worden beschermd.
Een goed ingericht privacy managementproces is belangrijk. Maar zonder governance ontbreekt de bestuurlijke verankering.
Wat vraagt dit van de gemeentelijke organisatie?
Privacy governance begint niet met het aanwijzen van een FG of het aanschaffen van een registratiesysteem.
Het begint met een aantal fundamentele vragen.
- Weten bestuurders en managers waarvoor zij verantwoordelijk zijn?
- Is duidelijk wie besluiten neemt over privacyrisico’s en wie deze besluiten moet uitvoeren?
- Worden adviezen van de FG zichtbaar gewogen en opgevolgd?
- Ontvangt het bestuur voldoende informatie om zijn verantwoordelijkheid daadwerkelijk te kunnen nemen?
- Kan de organisatie uitleggen waarom bepaalde keuzes zijn gemaakt en welke maatregelen zijn getroffen?
Dit zijn geen vragen die uitsluitend aan de privacyprofessional gesteld moeten worden.
Het zijn vragen over de inrichting en het functioneren van de organisatie.
En daarmee zijn het governancevragen.
Privacy als onderdeel van goed bestuur
Gemeenten verwerken persoonsgegevens omdat zij publieke taken uitvoeren. Burgers kunnen zich daar lang niet altijd aan onttrekken.
Dat brengt een bijzondere verantwoordelijkheid met zich mee.
Zorgvuldig omgaan met persoonsgegevens is daarom meer dan voldoen aan de AVG. Het raakt aan behoorlijk bestuur, de bescherming van grondrechten en het vertrouwen dat inwoners in hun overheid mogen stellen.
Daarom verdient privacy een structurele plaats in bestuurlijke besluitvorming, managementverantwoordelijkheid en de reguliere planning- en controlcyclus.
Niet omdat de FG daarom vraagt, maar omdat goed bestuur daarom vraagt.
Tot slot
De FG en privacy officer zijn onmisbaar voor een goede bescherming van persoonsgegevens. Hun deskundigheid, advisering en kritische blik helpen de organisatie om betere keuzes te maken.
Maar zij kunnen de verantwoordelijkheid van bestuur en management niet vervangen.
Misschien is de belangrijkste vraag voor een gemeentelijke organisatie daarom niet:
Hebben wij onze privacyzaken goed geregeld?
Maar:
Kunnen wij als bestuur en management uitleggen hoe wij onze verantwoordelijkheid voor de bescherming van persoonsgegevens daadwerkelijk waarmaken?
Daar begint privacy governance.
Dit artikel maakt deel uit van de GRPG-reeks over privacy governance binnen gemeentelijke organisaties. In het Praktijkboek Privacy Governance wordt uitgewerkt hoe bestuur, management en professionals gezamenlijk invulling kunnen geven aan deze verantwoordelijkheid.
Meer informatie: www.grpg.nl