Een externe FG inhuren of iemand uit eigen huis aanwijzen: beide mag, en beide gaat regelmatig mis. De keuze draait om vier dingen, en geld is daarvan niet de belangrijkste.
Kort samengevat
- De AVG laat beide toe. Een medewerker of iemand op basis van een dienstverleningsovereenkomst.
- Onafhankelijkheid is het zwaarste criterium. En daar heeft de interne variant het lastigst.
- Kennis van de organisatie is het tegenargument. Daar wint de interne variant.
- Continuïteit wordt onderschat. Eén interne FG die vertrekt, laat een gat achter.
- De rol is niet delegeerbaar. Maar het uitvoerende werk eromheen wel.
In de praktijk is de keuze zelden principieel. Organisaties beginnen intern omdat het voor de hand ligt, lopen ergens tegenaan, en kiezen dan alsnog voor een constructie met iemand van buiten. Het loont om die afweging vooraf te maken.
Wanneer kiest u voor een externe FG?
Vier situaties wijzen daar duidelijk op.
De eerste is de situatie waarin er intern niemand is zonder belangenconflict. Bij kleinere organisaties zijn de kandidaten meestal het hoofd ICT, de bedrijfsjurist of de manager bedrijfsvoering, en dat zijn precies de mensen die over de verwerkingen beslissen. Dan is er geen interne oplossing zonder concessie.
De tweede is een tekort aan specialistische kennis. De rol vraagt actuele kennis van het privacyrecht en van de praktijk van gegevensbescherming. Dat is een vak, en iemand die het erbij doet houdt het lastig bij.
De derde is de behoefte aan gezag. Een advies dat ongelegen komt, landt makkelijker als het van buiten komt. Dat is geen sterk juridisch argument maar wel een reëel organisatorisch argument.
De vierde is continuïteit. Een externe partij regelt vervanging bij ziekte en vertrek. Bij een interne FG die vertrekt, ligt de rol soms maanden stil.
Wanneer is intern de betere keuze?
Ook daar zijn goede redenen voor, en die worden in dit soort overzichten vaak weggeschreven.
Kennis van de organisatie is de belangrijkste. Een interne FG weet welke afdelingen elkaar niet informeren, welk systeem al jaren zou worden vervangen en welke werkinstructies in de praktijk worden genegeerd. Dat soort kennis bouwt iemand van buiten pas na verloop van tijd op.
Beschikbaarheid is de tweede. Een interne FG loopt langs, wordt aangesproken in de gang en hoort dingen die nooit in een rapportage komen. Bij grote organisaties met veel dagelijkse vragen weegt dat zwaar.
De derde is schaal. Bij een organisatie met honderden verwerkingen en een eigen privacyteam is een vaste FG in dienst gewoon de logische inrichting.
Waar gaat het bij de interne variant mis?
Bijna altijd op een van twee punten, en ze zijn allebei te voorkomen.
Het eerste is de rolcombinatie. De FG mag andere taken hebben, maar niet als die tot een belangenconflict leiden. In de praktijk betekent dat: geen leidinggevende positie over de verwerkingen waar hij toezicht op houdt. Het hoofd ICT, het hoofd HR, de manager marketing en de directeur bedrijfsvoering vallen daarmee af. De bedrijfsjurist ligt genuanceerder, maar botst zodra hij ook de contracten opstelt waarover hij moet oordelen.
Het tweede is tijd. De rol wordt toegewezen zonder dat er iets van het bestaande takenpakket af gaat. Wat er dan gebeurt is voorspelbaar: het werk dat een deadline heeft gaat voor, en het toezicht schuift door tot er een incident is.
Een derde, subtieler punt: de interne FG die zijn oordeel gaat aanpassen aan wat haalbaar is binnen de organisatie. Dat gebeurt geleidelijk en niemand merkt het, tot er iets misgaat en blijkt dat de kritische vragen al een tijd niet meer werden gesteld.
Wat spreekt u af bij een externe FG?
Leg vijf dingen vast voordat u begint.
- Beschikbaarheid. Hoeveel tijd, met welke reactietermijn bij incidenten, en wie neemt waar.
- Toegang. Tot systemen, tot documentatie en tot de directie, want zonder toegang kan hij zijn taak niet uitvoeren.
- Rapportagelijn. Rechtstreeks aan het hoogste leidinggevende niveau, niet via een manager.
- Afbakening. Wat doet de FG en wat doet de organisatie zelf. Dit voorkomt dat de FG uitvoerend werk gaat doen waar hij later toezicht op moet houden.
- Escalatie. Wat gebeurt er als de FG een advies geeft dat de directie niet overneemt.
Dat laatste punt wordt bijna nooit geregeld en is precies het punt waar het spannend wordt. De directie mag een advies naast zich neerleggen, dat is haar recht. Maar leg dan wel vast dat het is gebeurd en waarom, want die vastlegging beschermt beide kanten.
Hoe kiest u concreet?
Loop drie vragen langs. Is er intern iemand zonder belangenconflict, met de vereiste deskundigheid en met daadwerkelijk vrijgemaakte tijd? Drie keer ja betekent dat intern kan. Eén keer nee betekent dat u naar buiten kijkt of de interne inrichting eerst moet aanpassen.
Twijfelt u over de kosten, dan geeft ons artikel over wat een functionaris gegevensbescherming kost daar inzicht in. Wilt u eerst weten hoe uw organisatie ervoor staat voordat u de rol invult, dan is een AVG audit en nulmeting het logische begin. En zoekt u iemand die de rol direct kan oppakken, dan is dat waar FG-as-a-Service voor bedoeld is.
