Werken als Privacy Officer

Wat doet een Privacy Officer?

Een Privacy Officer beoordeelt wat een organisatie met persoonsgegevens doet, legt de regels uit en zorgt dat de afspraken ook worden nagekomen. De titel verschilt per organisatie. Wat er precies bij de functie hoort, staat in de vacature, want er is geen vaste taaklijst voor deze titel. Het werk ligt tussen de wet, IT en de afdelingen die gegevens gebruiken, binnen het vakgebied compliance en privacy.

Een werkweek laat zien hoe dat in de praktijk gaat. Een afdeling wil een nieuwe tool voor klantcontact gebruiken. De Privacy Officer vraagt welke persoonsgegevens erin komen, waarom ze worden verwerkt, hoelang ze bewaard blijven en of de leverancier ze namens de organisatie verwerkt. Zo nodig volgt een gegevensbeschermingseffectbeoordeling (DPIA). Een andere dag vraagt een klant welke gegevens de organisatie van hem heeft. De Privacy Officer zorgt dat het verzoek op tijd bij de juiste afdelingen komt en dat het antwoord klopt.

Weer een andere dag meldt een medewerker dat een mail met klantgegevens naar het verkeerde adres is gegaan. De Privacy Officer stemt met security en de leidinggevende af of het een datalek is, schrijft de afweging op en zorgt dat de melding op tijd gebeurt als die nodig is. Tussen die momenten door werkt de Privacy Officer aan het register, controleert een verwerkersovereenkomst met een leverancier en geeft collega's een training over omgaan met persoonsgegevens.

Privacy Officer of Data Protection Officer?

De AVG regelt de functionaris voor gegevensbescherming in de artikelen 37, 38 en 39, zoals de Nederlandse tekst op EUR-Lex laat zien. De term privacy officer staat er niet in. De Autoriteit Persoonsgegevens (AP) schrijft dat wie een medewerker aanduidt als functionaris gegevensbescherming, voor die medewerker dezelfde regels laat gelden als voor de verplichte FG. Wie een medewerker aanstelt zonder die eisen te willen stellen, kan die persoon volgens de AP beter privacy officer noemen. Heeft iemand een andere functienaam, positie en takenpakket dan een FG, dan gelden de wettelijke regels voor de FG niet. De organisatie moet dan binnen en buiten duidelijk maken dat die persoon geen FG is in de zin van de wet.

Wie zich DPO noemt, valt onder de regels van de DPO, ook als de organisatie niet verplicht was er een aan te stellen. Lees de rolgids Data Protection Officer voor de taken en de eisen aan de positie.

In gewone taal: de DPO is een wettelijk omschreven functie met een eigen positie. De DPO adviseert, houdt toezicht op de naleving en is het aanspreekpunt voor de toezichthouder. De DPO krijgt geen instructies over de uitvoering van die taken en brengt rechtstreeks verslag uit aan de hoogste leidinggevende. De Privacy Officer is een functietitel die de organisatie zelf invult. In veel organisaties doet de Privacy Officer het uitvoerende privacywerk: het register bijhouden, DPIA's voorbereiden, verzoeken afhandelen en leveranciers beoordelen.

Bij sommige organisaties is de Privacy Officer de adviseur van de afdelingen en is er daarnaast een DPO die toezicht houdt. Bij andere organisaties is er alleen een Privacy Officer, omdat de organisatie geen DPO hoeft aan te stellen. De verdeling verschilt dus per organisatie.

Sommige organisaties hebben beide rollen om een reden: wie zelf bepaalt hoe een verwerking wordt ingericht, kan niet tegelijk onafhankelijk toezicht houden op diezelfde verwerking. De AP noemt belangenverstrengeling tussen FG-taken en andere functies als aandachtspunt. Het toezicht ligt dan bij de DPO en het uitvoerende werk bij de Privacy Officer. Die verdeling is een keuze van sommige organisaties, geen vaste regel.

Welke taken horen bij de functie?

Er is geen wettelijke taaklijst voor de Privacy Officer. Als houvast kan het profiel Cyber Legal, Policy and Compliance Officer dienen uit het European Cybersecurity Skills Framework van ENISA, dat twaalf rolprofielen beschrijft. Dat profiel gaat over het beheren van compliance met cybersecurity- en gegevensgerelateerde wettelijke kaders. Volgens het ENISA-document noemt het als alternatieve titels onder andere Data Protection Officer en Privacy Protection Officer. De hoofdtaken zijn advies geven over wetten en regels voor gegevensbescherming, compliancegaten vaststellen en vastleggen, privacy impact assessments uitvoeren, en privacybeleid en procedures ontwikkelen, communiceren en trainen. Daarbij hoort ook optreden als aanspreekpunt voor vragen en klachten over gegevensverwerking.

Een paar taken komen rechtstreeks uit de AVG terug. Artikel 30 verplicht elke verwerkingsverantwoordelijke een register van verwerkingsactiviteiten bij te houden. De AP schrijft dat die verantwoordelijkheid bij de organisatie ligt en niet bij de FG, die er wel toezicht op houdt. In de praktijk ligt het bijhouden van het register vaak bij de Privacy Officer.

Artikel 35 AVG vraagt om een DPIA vóór een verwerking die waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van personen. Artikel 33 gaat over de melding van een inbreuk in verband met persoonsgegevens, zoals het meldplicht-artikel beschrijft. Hoofdstuk III van de AVG heet "Rechten van de betrokkene", en daaronder valt het verzoek van de klant uit het voorbeeld hierboven. Voor de uitwerking van de AVG in het werk, zie AVG voor privacy-professionals.

Welke skills heb je nodig?

Het werk vraagt om kennis van de wet, maar ook om vaardigheden waarmee je die kennis in de organisatie kwijt kunt.

• Privacywetgeving kennen en toepassen. Je weet welke regel bij een verwerking hoort en legt die uit in gewone taal.
• Risico's wegen. Je beschrijft wat er misgaat als een gegeven lekt en welke maatregel het risico kleiner maakt.
• Uitleggen aan niet-juristen. Een collega uit marketing hoeft de AVG niet uit het hoofd te kennen, maar moet weten wat hij mag doen en waarom.
• Samenwerken met IT en security. De AP rekent kennis van IT en informatiebeveiliging tot wat een FG nodig heeft, en die kennis helpt ook een Privacy Officer.
• Nauwkeurig documenteren. Een besluit over een verwerking moet terug te vinden zijn, met de reden erbij.
• Nee zeggen, met een alternatief. Een afdeling wil klantgegevens voor een tweede doel gebruiken. Je legt uit waarom dat niet zomaar kan en bedenkt samen met de afdeling wat wel kan.

Het ECSF-profiel noemt als kernvaardigheden onder meer het uitvoeren en beoordelen van privacy impact assessments, het uitleggen van privacyonderwerpen aan belanghebbenden en het samenwerken met collega's.

Welke hulpmiddelen gebruikt een Privacy Officer?

Een register van verwerkingsactiviteiten legt vast welke persoonsgegevens de organisatie voor welk doel verwerkt. Een DPIA-sjabloon helpt de risico's van een verwerking systematisch te beschrijven. Een meldregister legt vast welke datalekken en verzoeken er zijn geweest en wat er mee is gedaan. Verwerkersovereenkomsten leggen de afspraken vast met leveranciers die namens de organisatie gegevens verwerken.

Ook kaders horen bij het werk. Privacy by design betekent dat privacy wordt meegenomen bij het ontwerp van een systeem. ISO 27701 is de naam van een norm die in vacatures voorkomt. Wat er in de norm staat, lees je in de kennisbank over ISO 27701. Welke middelen een organisatie gebruikt, verschilt.

Welke opleiding en certificeringen passen bij een Privacy Officer?

De CIPP/E van de IAPP laat volgens de IAPP zien dat je Europese en nationale wetgeving voor gegevensbescherming begrijpt, met de kernbegrippen en praktische concepten over de bescherming van persoonsgegevens en grensoverschrijdende gegevensstromen. De CIPM van de IAPP laat volgens de IAPP zien dat je kennis hebt om een privacyprogramma op te zetten, te onderhouden en te beheren in alle fasen van de levenscyclus.

Wie als Privacy Officer vooral de wet toepast, kijkt eerder naar de CIPP/E. Wie een privacyprogramma opbouwt, kijkt eerder naar de CIPM. Geen van beide is verplicht. Een certificering vervangt geen ervaring, en werkgevers wegen die verschillend. Voor de details zie het CIPP/E-artikel.

Hoe word je Privacy Officer?

Er is geen vast pad. De routes lopen uiteen: een juridische of compliancefunctie, audit of IT, of een rol waarin je al met persoonsgegevens werkt, zoals HR, klantcontact of productontwikkeling. Wat je laat zien, is dat je de AVG kent, dat je een privacyvraag in gewone taal kunt beantwoorden en dat je een beoordeling helder opschrijft.

Een paar eerste stappen die je zelf kunt zetten:

• Neem een oefencase en maak er een register-item en een DPIA-opzet bij.
• Lees de AVG-artikelen die in het werk terugkomen, zoals artikel 30, 33 en 35, en hoofdstuk III.
• Loop mee met een collega die privacywerk doet.
• Zoek een instapfunctie of een rol als privacy-medewerker.

Waar werk je als Privacy Officer?

Privacy officers werken in organisaties van allerlei omvang en sectoren, zoals gemeenten en provincies, zorg en life sciences, financiële dienstverlening, onderwijs en onderzoek en IT, SaaS en technologie. Grote organisaties hebben soms een team met meerdere Privacy Officers en een DPO. Kleinere organisaties hebben soms één persoon die het privacywerk doet. Hoe de functie er bij een werkgever uitziet, staat op de werkgeverspagina voor Privacy Officers.

Waar groei je naartoe?

Dit is een overzicht van rollen, geen belofte. Welke route openstaat, hangt af van de organisatie en van wat je laat zien.

• Data Protection Officer. Als de organisatie die rol heeft of nodig heeft. Zie de vacatures voor Data Protection Officers en de rolgids. Of een Privacy Officer ook FG kan worden, hangt af van positie en onafhankelijkheid.
• Compliance Officer. Je krijgt een bredere verantwoordelijkheid voor naleving. Zie de vacatures voor Compliance Officers en de rolgids.
• GRC Consultant. Je adviseert organisaties over governance, risico's en compliance. Zie de vacatures voor GRC Consultants en de rolgids.
• Leidinggevende privacyrol. Je stuurt een team aan dat privacy en compliance uitvoert.

Vacatures en werkgevers

Op de vacaturepagina voor Privacy Officers zie je welke vacatures open staan. Op de werkgeverspagina zie je welke werkgevers een Privacy Officer zoeken.