Werken als Data Protection Officer (DPO)

Wat doet een Data Protection Officer?

Een Data Protection Officer (DPO) is de Engelse naam voor de functionaris voor gegevensbescherming (FG). Zoek je op een van de twee namen, dan vind je dezelfde functie. De DPO houdt binnen de organisatie toezicht op de verwerking van persoonsgegevens, adviseert de organisatie en de medewerkers die die gegevens verwerken, en is het aanspreekpunt voor de Autoriteit Persoonsgegevens (AP). De rol hoort bij het vakgebied compliance en privacy.

Een voorbeeld laat zien hoe het werk in de praktijk loopt. Een afdeling wil een nieuw systeem invoeren, en de organisatie vraagt de DPO om advies bij de gegevensbeschermingseffectbeoordeling (DPIA). De DPO leest de beschrijving, stelt vragen over welke gegevens worden verwerkt, hoe lang ze worden bewaard en welke leveranciers meekijken, en geeft advies. Dezelfde week belt een medewerker met de vraag of een klant mag worden gebeld met gegevens uit een ander systeem. De DPO legt uit welke regels gelden en laat het besluit bij de afdeling, want die voert de verwerking uit.

Een betrokkene schrijft de DPO rechtstreeks met een vraag over de gegevens die de organisatie van die persoon heeft. Later bespreekt de DPO met de directie waar de organisatie risico loopt. Soms neemt de DPO contact op met de AP over een vraag of een melding. Naleving is de verantwoordelijkheid van de organisatie zelf, niet van de DPO. Volgens de AP is de functionaris niet persoonlijk aansprakelijk voor een overtreding in de organisatie.

Wanneer moet een organisatie een DPO aanwijzen?

Artikel 37 lid 1 van de AVG noemt drie situaties. De eerste is een verwerking door een overheidsinstantie of overheidsorgaan, met als uitzondering gerechten bij hun rechterlijke taken. De tweede is een organisatie die hoofdzakelijk bezig is met verwerkingen die regelmatige en stelselmatige observatie van betrokkenen op grote schaal vereisen. De derde is een organisatie die hoofdzakelijk bezig is met grootschalige verwerking van bijzondere categorieën persoonsgegevens, of van gegevens over strafrechtelijke veroordelingen en strafbare feiten.

De AP geeft voorbeelden. Overheden en publieke organisaties vallen eronder, zoals de rijksoverheid, gemeenten en provincies, maar ook zorg- en onderwijsinstellingen. Rechtbanken niet. Bij het volgen van personen noemt de AP profilering voor risico-inschattingen, cameratoezicht, personeelsvolgsystemen en monitoring van gezondheid via wearables. Bij bijzondere persoonsgegevens gaat het om organisaties waarvoor die verwerking een kernactiviteit is. Is het onduidelijk of een organisatie verplicht is een FG aan te stellen, dan moet ze goed kunnen onderbouwen waarom ze daarvoor of daartegen heeft gekozen. Voor de actuele stand lees je de AP-pagina over de FG in uw organisatie.

Een concern kan één DPO benoemen, mits die vanuit elke vestiging makkelijk bereikbaar is. De DPO kan een personeelslid zijn of werken op basis van een dienstverleningsovereenkomst. Een gezamenlijke DPO voor meerdere organisaties kan ook, als die goed bereikbaar is en de taken in de praktijk kan uitvoeren. Een organisatie die niet verplicht is, mag er ook een aanstellen. Dan gelden dezelfde regels zodra de medewerker functionaris gegevensbescherming wordt genoemd, en moet de organisatie de FG aanmelden bij de AP.

Welke taken heeft een DPO volgens de AVG?

Artikel 39 lid 1 van de AVG noemt ten minste vijf taken:

1. Informeren en adviseren. De DPO informeert en adviseert de organisatie en de medewerkers die gegevens verwerken over hun verplichtingen.
2. Toezien op naleving. De DPO ziet toe op naleving van de AVG, andere regels voor gegevensbescherming en het beleid van de organisatie. Dat omvat ook bewustwording, opleiding en audits.
3. Advies bij een DPIA. Op verzoek geeft de DPO advies over de gegevensbeschermingseffectbeoordeling, en de DPO ziet toe op de uitvoering ervan.
4. Samenwerken met de toezichthouder. De DPO werkt samen met de AP.
5. Contactpunt. De DPO treedt op als contactpunt voor de AP.

Bij die taken houdt de DPO rekening met het risico van de verwerkingen, en met hun aard, omvang, context en doeleinden (lid 2). De AP beschrijft het toezicht als informatie verzamelen over gegevensverwerkingen, analyseren of ze aan de regels voldoen, en de organisatie informeren en adviseren. Het overzicht van de verwerkingen en het verwerkingsregister zijn de verantwoordelijkheid van de organisatie. De DPO houdt daar wel toezicht op.

Bij een DPIA moet de organisatie de DPO om advies vragen, en het DPIA-rapport moet vermelden wat het advies was en wat de organisatie ermee heeft gedaan. De DPO kan adviseren over de vraag of een DPIA nodig is, welke onderzoeksmethode past, of de organisatie het zelf doet of een bureau inschakelt, welke maatregelen de risico's beperken en of de uitkomst met de wet klopt. Voor de regels rond een datalek lees je de pagina over de meldplicht datalekken.

Welke positie heeft een DPO in de organisatie?

Artikel 38 van de AVG legt de positie vast. De DPO wordt tijdig en naar behoren betrokken bij alle zaken over de bescherming van persoonsgegevens. De organisatie geeft toegang tot de gegevens en verwerkingen, de middelen die nodig zijn en ruimte om de deskundigheid op peil te houden. De DPO krijgt geen instructies over de uitvoering van de taken en wordt niet ontslagen of gestraft voor het uitvoeren ervan. De DPO rapporteert rechtstreeks aan de hoogste leidinggevende, is gebonden aan geheimhouding. Betrokkenen kunnen contact opnemen over alle aangelegenheden rond de verwerking van hun gegevens en hun rechten.

De AP noemt wat een DPO onder meer nodig heeft: actieve steun van het management, voldoende tijd, budget, faciliteiten en personeel, en heldere communicatie aan het personeel over de benoeming en over scholing. De DPO heeft zonder tussenkomst van anderen toegang tot de hoogste bestuurders. Voor mensen moet het makkelijk zijn de DPO rechtstreeks te bereiken, een telefoonnummer of e-mailadres is genoeg.

De DPO mag andere taken hebben, zolang die niet tot een belangenconflict leiden. De AP noemt functies waarin iemand het doel en de middelen van een verwerking bepaalt, zoals hoofd financiën, strategie, marketing, IT, HRM of CISO. Wie zelf bepaalt hoe een verwerking wordt ingericht, kan daar niet onafhankelijk toezicht op houden. Dat maakt de rol anders dan die van een gewone adviseur. Lees meer over de rol van de CISO en over het verschil tussen een Information Security Officer en een CISO.

Data Protection Officer of Privacy Officer?

De titel privacy officer staat niet in de AVG, de functionaris voor gegevensbescherming wel. De twee functies liggen dicht bij elkaar, maar de wettelijke positie verschilt.

Een Privacy Officer kan het uitvoerende werk doen: het register bijhouden, een DPIA voorbereiden en verzoeken afhandelen. De DPO kijkt dan mee en adviseert. Bij sommige organisaties is er alleen een Privacy Officer, omdat er geen DPO verplicht is. Wie zich DPO noemt, valt onder de DPO-regels, ook als de organisatie niet verplicht was er een aan te stellen. De AP zegt zelf dat een medewerker zonder FG-eisen beter privacy officer kan heten. Dit is een duiding, geen verplichte taakverdeling.

Een Compliance Officer is weer een andere rol. Die bewaakt meestal de naleving van meerdere soorten regels, terwijl de DPO zich richt op gegevensbescherming. Lees de rolgidsen voor de Privacy Officer en de Compliance Officer, of bekijk de vacatures voor Privacy Officers en de vacatures voor Compliance Officers.

Welke skills heb je nodig?

De AP noemt de vakkennis en vaardigheden die een FG bovengemiddeld moet hebben. In gewone taal gaat het om kennis van de Europese en nationale regels voor gegevensbescherming, en om weten welke verwerkingen de organisatie zelf doet. Daarbij hoort begrip van IT en informatiebeveiliging, en kennis van de organisatie en de sector. De DPO moet bewustwording vergroten, bijvoorbeeld met trainingen en voorlichting, en een cultuur van gegevensbescherming opbouwen. Welk niveau nodig is, hangt af van de verwerkingen van de organisatie.

Daar komen vaardigheden bij die in de praktijk helpen. De DPO moet uitleggen aan de directie en aan medewerkers, vertrouwelijk werken en standvastig blijven als een advies niet wordt gevolgd. Neem de directie die een nieuwe vorm van personeelsmonitoring wil invoeren. De DPO legt uit wat de regels vragen en welke alternatieven er zijn, en laat de keuze bij de directie. Een goede DPO maakt een advies bruikbaar, ook als het ongewenst is.

Het ENISA-profiel Cyber Legal, Policy & Compliance Officer noemt Data Protection Officer als alternatieve titel. Het profiel beschrijft onder meer advies over regels voor gegevensbescherming, privacy impact assessments en het aanspreekpunt zijn voor vragen en klachten over gegevensverwerking. Het is een referentie om taken mee te vergelijken. Vacatures waarin de AVG terugkomt, staan op de AVG-skillpagina.

Welke opleiding en certificeringen passen bij een DPO?

De AVG vraagt professionele kwaliteiten en deskundigheid op het gebied van wetgeving en praktijk. De AVG en de AP noemen geen specifieke opleiding, diploma of certificering als eis. Een juridische, compliance- of ICT-achtergrond komt voor. Certificeringen kunnen die kennis laten zien, maar ze vervangen geen ervaring.

Twee voorbeelden van de IAPP zijn de CIPP/E en de CIPM. Volgens de IAPP laat de CIPP/E zien dat je Europese en nationale wetgeving voor gegevensbescherming begrijpt, en is het een door ANAB geaccrediteerde aanduiding (IAPP over de CIPP/E). De CIPM laat volgens de IAPP zien dat je een privacyprogramma kunt opzetten, onderhouden en beheren in alle fasen van de levenscyclus (IAPP over de CIPM). Er is een aparte pagina over de CIPP/E-certificering, en vacatures waarin de CIPP/E, de CIPM of de AVG terugkomen, staan op de skillpagina's.

De AP beveelt aan om je in te schrijven in het Nederlands Register voor Functionarissen voor Gegevensbescherming (NRFG) en lid te worden van het Nederlands Genootschap van Functionarissen voor de Gegevensbescherming (NGFG). Het NRFG is een kwaliteitsregister, het NGFG is de onafhankelijke beroepsorganisatie voor en van FG's. Zie de AP-pagina over FG-informatie voor de aanbevelingen.

Hoe word je DPO?

Er is geen vast pad. Je kunt doorgroeien vanuit een rol als privacy officer, jurist, compliance-adviseur of IT-beheerder. Wat telt, is ervaring met DPIA's, met verzoeken van betrokkenen en met overleg met de directie. Laat ook zien dat je onafhankelijk kunt oordelen, bijvoorbeeld door een advies te geven dat niet gewenst was en uit te leggen waarom.

Eerste stappen:

• Neem het advies bij een DPIA op je in een rol als privacy-adviseur.
• Volg een opleiding of certificering, zoals de CIPP/E of de CIPM.
• Loop mee met een DPO, binnen je eigen organisatie of daarbuiten.
• Kijk naar het NRFG en het NGFG, en ga na wat die voor jou betekenen.

Wie nu in een juridische, compliance- of IT-rol werkt, kan die ervaring al richting privacy verschuiven. Het gaat om de stap van uitvoeren naar toezicht houden en adviseren over andermans verwerkingen.

Waar werk je als DPO?

Een DPO kan intern werken, als medewerker van één organisatie, of extern, voor een of meer organisaties. De sectoren die de AP als voorbeeld noemt, zijn overheid, zorg en onderwijs. Bekijk de vacatures bij de rijksoverheid, in de zorg en life sciences of in onderwijs en onderzoek. Ook andere organisaties kunnen vrijwillig een DPO aanstellen. Welke organisaties een DPO zoeken, staat op de werkgeverspagina.

Waar groei je naartoe?

Doorgroei kan langs verschillende lijnen lopen: een DPO voor een grotere of complexere organisatie, een DPO voor meerdere organisaties, een leidinggevende privacyrol, of een stap naar een Compliance Officer of een GRC Consultant. Dat is een overzicht, geen belofte. De onafhankelijke positie van de DPO bepaalt welke combinaties met andere functies kunnen, zoals hierboven beschreven.

Vacatures en werkgevers

Wie de functie in de praktijk wil zien, begint bij de vacatures voor Data Protection Officers. Daarna is de werkgeverspagina voor de DPO de plek om te zien welke organisaties een DPO zoeken.