PRIVACY GOVERNANCE EN UW ROL
Privacy Governance is een gezamenlijke verantwoordelijkheid
Privacy Governance is niet de verantwoordelijkheid van één functionaris of afdeling. Bestuur, management, privacyprofessionals en medewerkers dragen ieder vanuit hun eigen rol bij aan de zorgvuldige bescherming van persoonsgegevens.
Het GRPG maakt zichtbaar hoe deze verantwoordelijkheden zich tot elkaar verhouden en waar iedere rol vanuit zijn eigen positie aan bijdraagt.
Iedere rol heeft een eigen verantwoordelijkheid. Samen maken zij Privacy Governance werkend.
Wat betekent Privacy Governance voor uw rol?
Iedere rol kijkt vanuit een ander perspectief naar Privacy Governance. Kies uw rol en ontdek welke verantwoordelijkheid daarbij hoort.
Bestuurder
Sturen en verantwoordelijkheid nemen
Gemeentesecretaris
Governance organiseren
Manager
Verantwoordelijkheid nemen in de uitvoering
Functionaris Gegevensbescherming
Onafhankelijk toezicht houden
Privacy Officer
Privacy Governance werkend maken
Projectleider
Privacy vanaf de start meenemen
Bestuurder
Richting geven en verantwoordelijkheid nemen
Het bestuur is verantwoordelijk voor de bestuurlijke richting van Privacy Governance. Dat betekent niet dat bestuurders zelf privacyprocessen, registers of maatregelen uitvoeren. Hun verantwoordelijkheid ligt in het stellen van uitgangspunten, het beleggen van verantwoordelijkheden en het bewaken dat de organisatie aantoonbaar zorgvuldig met persoonsgegevens omgaat.
Wat vraagt Privacy Governance van u?
Als bestuurder zorgt u ervoor dat bescherming van persoonsgegevens onderdeel is van de bredere bestuurlijke verantwoordelijkheid. U vraagt niet alleen óf de gemeente aan regels voldoet, maar ook of verantwoordelijkheden duidelijk zijn belegd, risico’s worden beheerst en de organisatie kan aantonen dat Privacy Governance daadwerkelijk functioneert.
Bestuurlijke kernvragen:
1. Welke richting geven wij?
Zijn onze uitgangspunten voor de bescherming van persoonsgegevens duidelijk?
2. Weten wij of het werkt?
Krijgen wij voldoende informatie over risico’s, resultaten en tekortkomingen?
3. Kunnen wij verantwoordelijkheid afleggen?
Kunnen wij uitleggen hoe de bescherming van persoonsgegevens binnen onze gemeente is georganiseerd en waarom wij bepaalde keuzes maken?
De bestuurder hoeft Privacy Governance niet uit te voeren. Hij moet erop kunnen sturen en er verantwoordelijkheid voor kunnen dragen.
Gemeentesecretaris
Governance organiseren en verantwoordelijkheid verbinden
De gemeentesecretaris vervult een centrale rol in de inrichting van Privacy Governance. Waar het bestuur richting geeft, zorgt de gemeentesecretaris ervoor dat verantwoordelijkheden, rollen en informatievoorziening binnen de organisatie zodanig zijn ingericht dat op die richting kan worden gestuurd.
Wat vraagt Privacy Governance van u?
Als gemeentesecretaris bewaakt u dat Privacy Governance niet uitsluitend bij privacyprofessionals wordt belegd, maar onderdeel is van de reguliere sturing en verantwoordelijkheid van de organisatie. U zorgt voor samenhang tussen bestuur, management, uitvoering, advisering en onafhankelijk toezicht.
Kernvragen voor de gemeentesecretaris:
1. Zijn verantwoordelijkheden duidelijk belegd?
Is duidelijk wie binnen de organisatie waarvoor verantwoordelijk is en beschikken deze rollen over voldoende bevoegdheden en middelen?
2. Is Privacy Governance onderdeel van onze reguliere sturing?
Worden risico’s, resultaten en tekortkomingen op het juiste niveau besproken en waar nodig geëscaleerd?
3. Werken de verschillende rollen goed samen?
Functioneren bestuur, management, Privacy Officer en Functionaris Gegevensbescherming vanuit hun eigen verantwoordelijkheid én in samenhang?
De gemeentesecretaris hoeft Privacy Governance niet zelf uit te voeren. Hij zorgt dat de organisatie in staat is haar verantwoordelijkheid te nemen.
Manager
Verantwoordelijkheid nemen in de uitvoering
De manager vormt de verbinding tussen bestuurlijke uitgangspunten en de dagelijkse praktijk. Binnen het eigen organisatieonderdeel is de manager verantwoordelijk voor de wijze waarop persoonsgegevens worden verwerkt en voor het beheersen van de risico’s die daarbij horen.
Wat vraagt Privacy Governance van u?
Als manager zorgt u ervoor dat privacy niet uitsluitend een onderwerp is voor de Privacy Officer of Functionaris Gegevensbescherming. U vertaalt gemeentelijke kaders naar de eigen processen, zorgt dat verantwoordelijkheden duidelijk zijn en stuurt bij wanneer risico’s, incidenten of tekortkomingen daarom vragen.
Kernvragen voor de manager:
1. Weet ik waarvoor ik verantwoordelijk ben?
Is duidelijk welke verwerkingen en privacyrisico’s binnen mijn organisatieonderdeel onder mijn verantwoordelijkheid vallen?
2. Weet ik of het in de praktijk goed gaat?
Beschik ik over voldoende informatie om te beoordelen of processen, maatregelen en afspraken daadwerkelijk werken?
3. Stuur ik bij wanneer dat nodig is?
Worden risico’s, incidenten en tekortkomingen tijdig besproken en leiden deze waar nodig tot concrete verbeteringen?
De manager hoeft niet alle privacykennis zelf te hebben. Hij moet wel verantwoordelijkheid nemen voor privacy binnen zijn eigen uitvoering.
Functionaris Gegevensbescherming
Onafhankelijk toezicht houden
De Functionaris Gegevensbescherming heeft binnen Privacy Governance een onafhankelijke toezichthoudende en adviserende positie. De FG bewaakt niet de uitvoering namens de organisatie en neemt geen verantwoordelijkheid over van bestuur of management. Hij beoordeelt onafhankelijk of de bescherming van persoonsgegevens binnen de organisatie voldoende is geborgd en of de organisatie haar verantwoordelijkheid aantoonbaar neemt.
Wat vraagt Privacy Governance van u?
Als FG richt u zich niet alleen op afzonderlijke AVG-vraagstukken, maar ook op de werking van Privacy Governance als geheel. U kijkt naar de wijze waarop verantwoordelijkheden zijn belegd, risico’s worden beheerst, beleid wordt uitgevoerd, tekortkomingen worden opgevolgd en bestuur en management in staat worden gesteld om verantwoordelijkheid af te leggen.
Kernvragen voor de Functionaris Gegevensbescherming:
1. Kan ik onafhankelijk beoordelen of Privacy Governance werkt?
Beschik ik over voldoende positie, informatie en toegang om mij zelfstandig een oordeel te kunnen vormen?
2. Is zichtbaar waar de belangrijkste tekortkomingen en risico’s liggen?
Kan ik beoordelen of de organisatie deze herkent, beheerst en waar nodig verbetert?
3. Bereikt mijn toezicht de verantwoordelijke niveaus?
Worden mijn bevindingen en adviezen op het juiste niveau besproken en is zichtbaar wat de organisatie daarmee doet?
De FG neemt de verantwoordelijkheid voor Privacy Governance niet over. Hij houdt onafhankelijk toezicht op de wijze waarop de organisatie die verantwoordelijkheid neemt.
Privacy Officer
Privacy Governance werkend maken
De Privacy Officer ondersteunt de organisatie bij het vertalen van Privacy Governance naar de dagelijkse praktijk. De PO helpt bestuur, management en medewerkers om kaders toe te passen, risico’s te herkennen en privacy zorgvuldig in processen, systemen en projecten te organiseren.
Wat vraagt Privacy Governance van u?
Als Privacy Officer bent u niet degene die de verantwoordelijkheid voor privacy van de organisatie overneemt. U adviseert, ondersteunt, coördineert en maakt zichtbaar waar actie nodig is. Daarmee helpt u verantwoordelijke managers en proceseigenaren om hun eigen verantwoordelijkheid daadwerkelijk te kunnen nemen.
Kernvragen voor de Privacy Officer:
1. Help ik de organisatie om zelf verantwoordelijkheid te nemen?
Zijn managers en medewerkers voldoende in staat om privacy binnen hun eigen processen en werkzaamheden mee te nemen?
2. Maak ik zichtbaar waar actie nodig is?
Worden risico’s, verplichtingen, tekortkomingen en verbeterpunten tijdig herkend en bij de verantwoordelijke personen belegd?
3. Verbind ik beleid en praktijk voldoende met elkaar?
Worden gemeentelijke uitgangspunten vertaald naar werkbare maatregelen, processen en ondersteuning in de dagelijkse uitvoering?
De Privacy Officer neemt de verantwoordelijkheid niet over. Hij helpt de organisatie om Privacy Governance in de praktijk werkend te maken.
Projectleider
Privacy vanaf de start meenemen
Projecten leiden vaak tot nieuwe processen, systemen, gegevensstromen of werkwijzen. De projectleider heeft daarom een belangrijke positie binnen Privacy Governance: juist tijdens een project worden keuzes gemaakt die bepalen hoe persoonsgegevens later in de praktijk worden verwerkt en beschermd.
Wat vraagt Privacy Governance van u?
Als projectleider zorgt u ervoor dat privacy vanaf het begin onderdeel is van de projectaanpak en besluitvorming. U hoeft niet zelf alle privacyvraagstukken op te lossen, maar zorgt dat relevante risico’s en vereisten tijdig worden herkend, de juiste deskundigheid wordt betrokken en noodzakelijke keuzes en maatregelen onderdeel worden van het projectresultaat.
Kernvragen voor de projectleider:
1. Hebben we privacy vanaf de start meegenomen?
Is bij het ontwerp van het project duidelijk welke persoonsgegevens worden verwerkt, waarom dat nodig is en welke risico’s daarbij kunnen ontstaan?
2. Betrekken we op tijd de juiste mensen?
Worden Privacy Officer, informatiebeveiliging, proceseigenaren en andere relevante deskundigen betrokken voordat belangrijke keuzes zijn gemaakt?
3. Leveren we iets op dat verantwoord kan worden gebruikt?
Zijn noodzakelijke maatregelen, verantwoordelijkheden en afspraken geregeld voordat het projectresultaat wordt overgedragen aan de reguliere organisatie?
Privacy is geen controle aan het einde van een project. De projectleider zorgt dat zorgvuldige omgang met persoonsgegevens vanaf de start onderdeel is van het resultaat.
Privacy Governance werkt wanneer verantwoordelijkheden samenkomen
Het GRPG verbindt deze rollen binnen één samenhangend bestuurlijk model. De negen bouwstenen laten zien hoe sturing, organisatie, uitvoering, toezicht en verbetering elkaar versterken.