Uw FG is er niet om kennisgebrek te compenseren

U heeft er ongetwijfeld al eens mee te maken gehad; de Functionaris Gegevensbescherming (FG) van uw organisatie. Zo niet, dan is dít het moment om een kennismakingsgesprek met hem of haar te plannen. De FG is er namelijk voor ú.

De FG wordt vaak de ‘de AVG-politie’ genoemd. Wie de rol van FG in een organisatie vervult verschilt nogal. Soms wordt bijvoorbeeld de docent informatica aangewezen en elders wordt een jurist van een groot advocatenkantoor ingehuurd. Het is een uiteenlopende groep. Dat is één van de redenen dat er nogal wat misverstanden zijn over wat een FG doet. Een andere reden is dat het vak relatief nieuw is. Onbekend maakt – naast onbegrepen – ook onbemind. Daar hoop ik (bescheiden) verandering in te brengen. Per 1 september ben ik FG van de grootste werkgever van Nederland, de politie. Komend jaar wil ik u meenemen in de wondere wereld van FG’s, om van binnenuit te delen hoe het is om – samen met alle collega FG’s – deze bijzondere rol te vervullen.

Eerst de AVG. Los van enkele ondubbelzinnige ge- en verboden, bestaat deze wet voor een groot gedeelte uit open normen. Dat houdt in dat organisaties zelf moeten onderzoeken en afwegen of een verwerking mag plaatsvinden. De organisatie is verantwoordelijk voor het opstellen en naleven van het privacybeleid. 

De FG houdt hier toezicht op en brengt hierover verslag uit bij de hoogst leidinggevende. ‘Leuk’ is dat zelden, maar nuttig is het wel, omdat u en uw organisatie op die manier weten hoe het met de naleving van de AVG is gesteld en waar de grootste risico’s liggen. Vervolgens kunt u hier passende maatregelen op inzetten. ‘Zelf eerst nadenken en dan pas doen’ is een belangrijk uitgangspunt van de AVG.

‘Open normen’ betekent dat u in de AVG niet zult vinden welke maatregel passend is bij welke verwerking. Dat hangt af van de omstandigheden. ‘s Nachts een elektrische fiets in een steeg bij Hollands Spoor neerzetten met alleen een ringslot is niet slim. Als u daar toch een dure fiets neerzet, zorgt u voor een beter slot en/of een bewaakte stalling. Zo ook met gegevens. Bij elke verwerking horen passende waarborgen.

Wat de waarde en gevoeligheid van gegevensstromen zijn, en hoe dit moet worden gewogen, weten de experts binnen uw organisatie het beste. FG’s mogen zich best wat bescheidener opstellen: niet zij maar de juridisch specialisten en technologen moeten input leveren voor deze weging. 

Bestuurders en leidinggevenden mogen ook kritisch naar zichzelf kijken: u kunt niet uw FG op pad sturen om een grondslag voor een verwerking te vinden, of om maatregelen te bedenken die maken dat een verwerking wél rechtmatig is. De FG geeft richting en advies, maar hakt geen knopen door. De FG is er niet om een gebrek aan juridische en technische kennis in uw organisatie te compenseren. 

Vorige week kwam ik op straat mijn sportfysio tegen. Ze vroeg waarom ik steeds afwezig was bij de training. Ik bood mompelend mijn excuses aan. Haar antwoord: ‘Hé, mij heb je er niet mee he, ik zeg het in jouw belang. Als jij weer wilt kunnen sporten, moet je nu deze oefeningen doen. Ik ben er toch, dan kan je net zo goed komen. Zie ik je woensdag?’

Ongemakkelijk, maar best fijn, zo’n stok achter de deur.

Als ze een carrièreswitch ambieert is het vak van FG misschien iets voor haar, dacht ik later. Want in plaats van een politieagent voel ik me meer een fysiotherapeut die zegt: ‘Kom op nou, je doet het niet voor mij hè, je doet het voor jezelf.’