AP treedt op tegen dubbelrol

De Autoriteit Persoonsgegevens tikt Almere op de vingers omdat de functionaris gegevensbescherming bij de gemeente tevens de privacy officer is. Eerder moest Amsterdam om dezelfde reden op het matje komen bij de toezichthouder. De AP benadrukt dergelijke situaties zeer serieus te nemen, omdat de rol van de functionaris gegevensbescherming (FG) regelmatig onder druk staat.

Dubbelrol?

Kan een privacy officer (PO) de rol van functionaris gegevensbescherming (FG) op zich nemen binnen een overheidsorganisatie? Op het eerste gezicht niet: een PO is betrokken bij het vormgeven en uitvoeren van het privacybeleid, een FG houdt intern toezicht op naleving van de algemene verordening gegevensbescherming (AVG), de privacywet. Dat lijkt verdacht veel op een slager die zijn eigen vlees keurt.

Combinatie al snel onhoudbaar

Dat is althans de interpretatie van de Autoriteit Persoonsgegevens (AP). Er staat weliswaar niet letterlijk in de wet dat de functies niet te combineren zijn, maar de AVG schrijft wel voor dat een FG binnen een organisatie geen werkzaamheden mag verrichten die tot belangenverstrengeling leiden. ‘Een dergelijke combinatie van rollen is in de praktijk dus al snel onhoudbaar en onrechtmatig,’ zegt een woordvoerder van de AP.

Almere moet uitleg geven

De gemeente Almere moet uitleg geven over de mogelijke belangenverstrengelling aan de AP en de ombudsman. Dat schrijft 1Almere. De AP wil in gesprek met de gemeente. Aan de hand daarvan bekijkt de toezichthouder of er verdere stappen nodig zijn. De gemeente bevestigt dat ze vragen heeft gekregen van de ombudsman, maar wil pas na de zomervakantie een reactie sturen. Ook vanuit de gemeenteraad zijn er vragen gesteld, door DENK. Persvragen worden pas na de zomer beantwoord, laat de gemeente aan 1Almere weten.

Tijdelijke interne toezichthouder in Amsterdam

Eerder dit jaar bevond Amsterdam zich in hetzelfde schuitje. Nadat de functionaris gegevensbescherming in februari 2023 haar vertrek aankondigde, startte de gemeente de wervingsprocedure voor een nieuwe FG. Die nam echter zo veel tijd in beslag, dat besloten werd om een tijdelijke FG aan te stellen. Eén van de gemeentelijke privacy officers zou deze taak op zich nemen. In een brief aan de gemeente stelde de Amsterdamse ombudsman dat de gemeente de wet overtrad door de PO tijdelijk een dubbelrol als FG te laten vervullen.

Maatregelen getroffen

De wethouder ICT en Digitale Stad, Alexander Scholtes, is het niet met die lezing eens, zo blijkt uit een brief die hij de gemeenteraad stuurde naar aanleiding van vragen van Volt en GroenLinks. ‘Er zijn direct na het vertrek van de voormalige FG maatregelen getroffen om belangenverstrengeling te voorkomen en de FG de ruimte te geven om onafhankelijk zijn werk te doen,’ schrijft Scholtes.

De belangrijkste maatregel was dat de tijdelijke FG geen controle deed op werkzaamheden waar hij eerder als privacy officer bij betrokken was geweest. Nadat de AP aankondigde met Amsterdam in gesprek te willen, werd in mei daarnaast besloten dat de tijdelijke FG al zijn overige taken als privacy officer moest overdragen aan andere privacy officers, om iedere schijn van belangenverstrengeling te voorkomen.

'Goed gesprek'

De AP doet geen uitspraken over de inhoud van het gesprek met Amsterdam, dat plaatsvond op 13 juli, anders dan dat het om 'een goed gesprek' ging. Naast de vicevoorzitter van de AP, Monique Verdier, schoven de wethouders Scholtes en Van Buren (Personeel en Organisatie) aan. Een vervolgafspraak is gepland voor november. Voor het gesprek met Almere is nog geen datum bekend.

FG onder druk

Gaat de AP voortaan iedere gemeente namen en shamen die beide functies door één persoon laat uitvoeren? Dat zou best eens kunnen. ‘We krijgen de laatste tijd vaker signalen van functionarissen gegevensbescherming die worstelen met hun positie,’ zegt de woordvoerder. ‘Dat vinden we erg zorgelijk. De FG is ervoor om erop toe te zien dat de AVG goed wordt nageleefd binnen een organisatie. Als deze functionaris die rol niet onafhankelijk kan uitvoeren, kan het een impact hebben op de kwaliteit van het hele privacybeleid van een organisatie. We vinden het belangrijk om ook voor de buitenwereld te onderstrepen dat we dergelijke situaties erg serieus nemen.’