De FG als onafhankelijke toezichthouder
De FG monitort naleving, adviseert over risico en DPIA’s en rapporteert aan het hoogste management. De FG mag geen instructies ontvangen over de inhoud van dit werk en moet belangenconflicten vermijden.
De FG is niet de projectleider van alle AVG-acties. Als de toezichthouder structureel zelf alle uitvoering doet, ontstaat onduidelijkheid over eigenaarschap en kan onafhankelijkheid onder druk komen.
De Privacy Officer als uitvoerende regisseur
De PO houdt de werkvoorraad bij, actualiseert registers, begeleidt DPIA’s, behandelt verzoeken, beoordeelt leveranciers en helpt afdelingen bij dagelijkse privacyvragen.
De PO werkt namens de organisatie en kan samen met proceseigenaren maatregelen ontwerpen en implementeren. Dat is precies waarom de PO geen onafhankelijke controleur van het eigen werk is.
Zo werken de rollen samen
Een volwassen model heeft een duidelijke lijn: proceseigenaren beslissen en voeren uit, de PO ondersteunt en coördineert, en de FG toetst en adviseert onafhankelijk. Bevindingen krijgen een eigenaar, deadline en bestuurlijke opvolging.
Datajuristen kan beide rollen leveren met organisatorische scheiding, aparte mandaten en transparante rapportage. De benodigde inzet wordt afgestemd op omvang en risico.
Van uitleg naar uw praktijk
Wat moet in ieder geval zijn geregeld?
- Aparte taakomschrijvingen
- Onafhankelijke FG-rapportagelijn
- Eigenaarschap bij bestuur en proceseigenaren
- PO voor uitvoering en voortgang
- Gedocumenteerde omgang met belangenconflicten
Veelgestelde vragen
Verder met uw vraag.
Kan dezelfde persoon FG en PO zijn?
Dat is risicovol wanneer de PO-uitvoering leidt tot controle van eigen werk. Taken en mogelijke belangenconflicten moeten zorgvuldig worden beoordeeld.
Wie doet een DPIA?
De organisatie is verantwoordelijk. De PO kan het proces begeleiden; de FG geeft onafhankelijk advies over de DPIA.
Wie meldt een datalek?
De verwerkingsverantwoordelijke beslist en meldt. PO en FG kunnen vanuit hun verschillende rollen ondersteunen en adviseren.
Deze uitleg is algemeen en vervangt geen beoordeling van uw specifieke organisatie, wettelijke positie, verwerking of incident.