De deskundigheid van de functionaris gegevensbescherming: welke eisen gelden?

De deskundigheid van de functionaris gegevensbescherming is in de AVG geregeld zonder dat er één opleiding of certificaat wordt genoemd. Dat maakt de eis niet vrijblijvend, maar wel een kwestie van onderbouwen.

Kort samengevat

• Geen diploma-eis. De wet noemt professionele kwaliteiten, geen papieren.
• Twee onderdelen. Kennis van de wetgeving en kennis van de praktijk.
• Het niveau schaalt mee. Met de gevoeligheid en complexiteit van uw verwerkingen.
• Kennis van uw sector telt zwaar. Privacyrecht zonder context levert onbruikbare adviezen op.
• Onderbouw uw keuze. Anders kunt u bij toezicht niet uitleggen waarom deze persoon geschikt is.

In de praktijk gaat het bij deze eis zelden mis doordat iemand te weinig wist van de wet. Het gaat mis doordat iemand de organisatie niet kende, of geen positie had om iets met zijn kennis te doen.

Welke deskundigheid van de functionaris gegevensbescherming verwacht de AVG?

De verordening formuleert het als volgt: de FG wordt aangewezen op grond van zijn professionele kwaliteiten en, in het bijzonder, zijn deskundigheid op het gebied van de wetgeving en de praktijk inzake gegevensbescherming, en op grond van zijn vermogen de wettelijke taken te vervullen.

Daar zitten drie eisen in. Kennis van de wetgeving, dus van de AVG en van de sectorspecifieke regels die op u van toepassing zijn. Kennis van de praktijk, dus van hoe gegevensbescherming feitelijk werkt in organisaties. En het vermogen de taken uit te voeren, wat gaat over vaardigheden en over positie.

Die derde eis wordt het vaakst overgeslagen. Iemand kan de verordening uit zijn hoofd kennen en toch ongeschikt zijn, omdat hij niet in staat is om een directie tegen te spreken of een afdelingshoofd mee te krijgen.

Hoe bepaalt u welk niveau u nodig heeft?

Het uitgangspunt is proportionaliteit: het vereiste niveau staat in verhouding tot de gevoeligheid, de complexiteit en de hoeveelheid gegevens die u verwerkt. Vier vragen brengen dat in beeld.

1. Verwerkt u bijzondere of strafrechtelijke gegevens? Dan gaat het niveau omhoog.
2. Hoe complex is uw landschap? Veel systemen, veel leveranciers en veel koppelingen vragen meer.
3. Werkt u internationaal? Dan komen doorgifte en meerdere toezichthouders erbij.
4. Hoe volwassen bent u al? Een organisatie die vanaf nul begint, heeft in de eerste jaren een zwaardere FG nodig dan een organisatie waar de basis staat.

Die laatste vraag wordt zelden gesteld en is praktisch de nuttigste. In een organisatie die de waarom u een register van verwerkingen bijhoudt nog niet op orde heeft, gaat de FG vooral bouwen. Dat is ander werk dan toezicht houden op een staande inrichting, en het vraagt andere mensen.

Welke kennis heeft een FG concreet nodig?

Vijf gebieden, en het gaat om de combinatie.

• De AVG zelf en de nationale invulling daarvan, waaronder de Uitvoeringswet. Over de wijziging daarvan schreven wij in de wijziging van de Uitvoeringswet AVG.
• Sectorregels. In de zorg de behandelovereenkomst, bij politiegegevens de Wet politie gegevens, in het onderwijs de eigen kaders.
• Informatiebeveiliging. Genoeg om te kunnen beoordelen of maatregelen passend zijn, niet genoeg om ze zelf in te richten.
• Uw bedrijfsprocessen. Zonder die kennis worden adviezen theoretisch en daarmee genegeerd.
• Communicatie. Uitleggen aan mensen die geen jurist zijn, en tegenspraak leveren zonder de relatie te verliezen.

Een certificering kan bewijs zijn voor het eerste en tweede punt. Voor de laatste twee zegt hij niets, en juist die bepalen of iemand in uw organisatie effectief is.

Hoe toetst u dat bij de selectie?

Vraag niet naar kennis maar naar cases. Drie vragen werken goed.

Leg een verwerking uit die u overweegt en vraag welke vragen de kandidaat zou stellen. Uit de vragen blijkt meer dan uit de antwoorden. Vraag daarna naar een situatie waarin zijn advies niet werd opgevolgd, en wat hij toen deed. Dat zegt alles over positie en volharding. En vraag ten slotte hoe hij zou omgaan met een directie die onder tijdsdruk een systeem wil uitrollen waarover hij twijfels heeft.

Toets ook de beschikbaarheid, want de beste kandidaat met te weinig uren levert minder op dan een goede kandidaat die er is. En vraag hoe hij zijn kennis bijhoudt, want dit vakgebied verandert doorlopend. Alleen al de fasering van de AI Act is in twee jaar tijd een keer verschoven.

Wat legt u vast?

Een korte onderbouwing van uw keuze. Welke eisen u heeft gesteld, welke kennis en ervaring de gekozen persoon heeft, en waarom dat past bij uw risicoprofiel. Een half A4 volstaat.

Dat document heeft twee functies. Bij toezicht laat u ermee zien dat de aanwijzing een afweging was en geen toevalstreffer. En intern werkt het als functieomschrijving, zodat duidelijk is wat u van de rol verwacht.

Zoekt u iemand die aan deze eisen voldoet zonder dat u zelf hoeft te selecteren en op te leiden, dan is dat waar FG-as-a-Service voor bestaat. Wilt u eerst weten hoe zwaar uw verwerkingslandschap is, dan geeft een AVG audit en nulmeting daar een onderbouwd beeld van.