Als u zich afvraagt wat de betekenis van DPO in detail is, dan gaat u hierheen. Hier is wat het inhoudt in een grotere lengte voor u. Laten we het vanaf het begin nemen. De Algemene Verordening Gegevensbescherming (GDPR) heeft organisaties de plicht opgelegd om een functionaris voor gegevensbescherming (DPO) te benoemen die verantwoordelijk is voor de naleving bij een organisatie. Dit is een noodzakelijke vereiste voor kantoren die een overheidsinstantie of -orgaan zijn. Het is ook van essentieel belang als uw organisatie regelmatig bepaalde soorten verwerkingsactiviteiten uitvoert voor gegevens die als persoonlijk of gevoelig kunnen worden beschouwd. Als er een functionaris voor gegevensbescherming is, kan hij uw organisatie als individu helpen en bijstaan in een speciale hoedanigheid om toezicht te houden op de interne naleving en om u te informeren en te adviseren over uw praktijken inzake gegevensbescherming. Hij of zij kan het beleid ter plaatse corrigeren, hij of zij helpt bij het nakomen van wettelijke verplichtingen en geeft advies over Data Protection Impact Assessments (DPIA’s) wanneer nieuwe projecten van start gaan. De DPO kan ook het enige contactpunt voor betrokkenen en de enige toezichthoudende autoriteit zijn. De DPO verwijst naar een persoon die bij een organisatie verantwoordelijk is voor gegevensbescherming. Hij moet dus onafhankelijk zijn, een deskundige op het gebied van gegevensbescherming zijn, over voldoende middelen beschikken, en verslag uitbrengen aan het hoogste managementniveau. Als er een grote hiërarchie is, kan dat de zaken voor de organisatie bemoeilijken. Wat een DPO helpt om een geschikte DPO te zijn, is dat hij de organisatiestructuur goed moet kennen om de problemen die zich op alle niveaus voordoen, direct te kunnen corrigeren. Het is dus ook raadzaam dat zij uit de bestaande werknemers worden benoemd. Een extern benoemde DPO kan deze functie ook vervullen. Het is ook goed voor een organisatie om een gedeelde DPO te benoemen. Dit betekent dat een groep of organisaties of uiteenlopende, niet aan elkaar gerelateerde, meerdere organisaties ook onderling een enkele DPO kunnen aanwijzen. De DPO’s kunnen organisaties helpen bij het aantonen van de naleving van de regelgeving en bij het vergroten van de aandacht voor de verantwoordingsplicht.
Positie van de DPO
U moet er wellicht voor zorgen dat de positie van de DPO autonoom is. De DPO rapporteert rechtstreeks aan het hoogste managementniveau. Organisaties moeten de DPO de nodige onafhankelijkheid geven om zijn taken in alle comfort en vrijheid te kunnen uitvoeren. Het is ook van essentieel belang dat de DPO tijdig door de leden van de organisatie kan worden gecontacteerd. Er moet een systeem zijn waarin de mensen vrij contact kunnen opnemen met de DPO. De betekenis van DPO houdt dus ook in dat de DPO bereikbaar is en gemakkelijk kan worden gecontacteerd in alle kwesties die verband houden met de bescherming van persoonsgegevens door het hele bedrijf. Alle organisaties moeten begrijpen dat hun DPO over voldoende middelen moet beschikken om zijn taken te kunnen vervullen. Dit betekent dat zij geen enkele vorm van straf of negatieve houding mogen hebben om de DPO te beperken in het uitvoeren van zijn taken. Een organisatie moet begrijpen dat een DPO er is om hen te faciliteren en hen te helpen eventuele juridische ongelukken te voorkomen. Alle bedrijven die DPO’s hebben en hen extra verantwoordelijkheden geven buiten hun rol als DPO, moeten ook erkennen dat alle andere taken of verplichtingen die zij aan hun DPO toewijzen, niet resulteren in een belangenconflict met hun rol als DPO.
Taken van de DPO
De DPO heeft een groot aantal vooraf vastgelegde taken. Deze hebben allemaal te maken met het toezicht op de naleving van de GDPR en andere gegevensbeschermingswetten. De DPO moet op de hoogte blijven van de updates in de sector. De belangrijkste taken van een DPO zijn het kennen, begrijpen en handhaven van het gegevensbeschermingsbeleid, bewustwording, opleiding en audits. De taak van een DPO is ook ervoor te zorgen dat het bedrijf rekening houdt met het advies van hun DPO en de informatie die deze verstrekt over de verplichtingen inzake gegevensbescherming. Elk bedrijf dat een DPIA uitvoert, moet advies krijgen van zijn DPO, die ook toezicht kan houden op het nalevingsproces in het nieuwe project. Al deze taken hebben betrekking op artikel 36 van de GDPR. De DPO moet in contact blijven met de privacywaakhond. De DPO moet de organisatie ook waarschuwen voor eventuele risico’s van verwerkingen, en rekening houden met de aard, de reikwijdte, de context en het doel van de verwerking van gegevens in alle mogelijke gevallen tot een minimum te beperken. Een DPO moet als aanspreekpunt zo gemakkelijk mogelijk toegankelijk zijn voor onze medewerkers, personen en de respectieve privacywaakhond. Dit geldt zowel voor de organisatie zelf als voor de DPO. Zij moeten samenwerken om bruikbare en actieve contactgegevens van de DPO te publiceren en deze aan de respectieve waakhond voor gegevensprivacy mee te delen.
Waarom is het belangrijk een functionaris voor gegevensbescherming aan te stellen?
Op grond van de Algemene verordening gegevensbescherming (GDPR) bent u verplicht een DPO aan te stellen als:
u een overheidsinstantie of -orgaan bent
uw kernactiviteiten grootschalige, regelmatige en systematische controle van personen vereisen
uw kernactiviteiten bestaan uit grootschalige verwerking van speciale gegevenscategorieën of gegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten.
Dit geldt zowel voor de voor de verwerking verantwoordelijken als voor de verwerkers. Sommige organisaties kunnen ook vrijwillig een DPO aanstellen; u moet zich ervan bewust zijn dat dezelfde eisen inzake de functie en de taken gelden als de aanstelling verplicht was geweest. Het is een algemeen aanvaarde praktijk om ervoor te zorgen dat, of de GDPR u nu verplicht om een DPO aan te stellen of niet, de organisaties ervoor moeten zorgen dat ze voldoende personeel en middelen hebben om zich te kwijten van uw verplichtingen op grond van de GDPR. In een notendop kan een DPO elke organisatie helpen, hun prestaties beoordelen en binnen de wet opereren door advies te geven. Dit kan gespecialiseerd advies zijn in een hoedanigheid waarmee andere werknemers misschien niet kunnen helpen. Vooral wanneer er gevoelige processen plaatsvinden die in direct conflict zijn met de rol van een DPO en de eigen aanstellingen van de werknemers. DPO’s helpen niet alleen bij het toezicht op de naleving. Ze kunnen ook een sleutelrol spelen in de governance-structuur voor gegevensbescherming van uw organisatie en helpen de verantwoordingsplicht te verbeteren. Het is echter absoluut prima als de hierboven genoemde criteria niet bij uw organisatie passen en dat uw organisatie besluit geen functionaris voor gegevensbescherming te hoeven aanstellen. In een vrijwillig geval of omdat een organisatie niet aan bovenstaande criteria voldoet, is het een goed idee om deze beslissing vast te leggen om te helpen aantonen dat aan het verantwoordingsbeginsel is voldaan. En in een rechtbank te kunnen uitleggen waarom en wie een controle heeft uitgevoerd om ervoor te zorgen dat de aanstelling van de DPO niet nodig is, als en wanneer het zover komt.
Seers kan u helpen met uw DPO-eisen, dus neem contact met ons op: [email protected]
