Kies je voor een privacy officer of voor een functionaris gegevensbescherming (FG)

In onze kennisbank echter blijven we de FG redelijk consequent Privacy Officer noemen. Dat doen wij heel bewust. Als organisatie heb je immers niet zoveel aan een functionaris (gegevensbescherming) die zich netjes aan zijn taakomschrijving uit de AVG houdt. Je wilt meer. Daarom gebruiken wij de term Privacy Officer. Tenslotte heb je ook niet een jurist, een marketeer of een kwaliteitsfunctionaris in dienst, omdat het wettelijk bepaald is. Nee, je hebt ze omdat ze toegevoegde waarde leveren. En om dezelfde reden benoem je een Privacy Officer of FG. Aan een FG die zich onafhankelijk opstelt en zich vooral met de AVG bezig houdt, heb je weinig. Het gaat erom, dat zo’n functionaris toegevoegde waarde levert voor de organisatie (het bedrijfsbelang). Te veel FG’s zijn daar te weinig mee bezig. Vandaar de ‘geuzennaam’ die wij gebruiken voor de FG: ‘Privacy Officer’. Overigens wil ik daarmee niet zeggen, dat een goede FG niet ook tevens ‘Privacy Officer’ kan zijn.

Verschillen tussen een Privacy Officer en een FG

De verschillen tussen een Privacy Officer en een FG betreffen vooral de volgende punten:

• De AVG gaat ervan uit, dat de organisatie AVG compliant is en dat de FG zorgt voor het in stand houden hiervan. De werkelijkheid is echter, dat de meeste organisaties niet AVG-compliant zijn. Sinds mei 2018 moeten nog veel organisaties hierin een belangrijke stap zetten. Als de FG dat niet op zich neemt, zal de organisatie nooit AVG-compliant worden.
• De FG is in hoge mate onafhankelijk en voldoet aan zijn taakomschrijving, als hij toeziet op de naleving van de AVG. Voor een Privacy Officer staat het bedrijfsbelang centraal. De Privacy Officer denkt mee met de directie en is er voor om de organisatie te helpen haar doelen te bereiken door gebruik te maken van de ruimte die de AVG biedt.
• Naast het zorgen voor AVG compliance moet de Privacy Officer ook sterk gericht zijn op het risico van reputatieschade voor het bedrijf zelf en voor klanten en ketenpartners en zo nodig preventieve acties voorstellen. 
• In de taakomschrijving van de FG staat, dat hij vooral moet signaleren en rapporteren. De Privacy Officer is echter vooral ook oplossingsgericht, adviseert over mogelijkheden, over de aanpak en neemt zo nodig het voortouw als verbeteringen gerealiseerd moeten worden.
• Bij nieuwe ontwikkelingen draagt de Privacy Officer juist ook oplossingen aan, die risico’s uit de privacy effect beoordeling kunnen verminderen door de toepassing van privacy by design
• Bij een afwijking denkt de Privacy Officer mee over het beperken van reputatieschade en het leren van fouten.

Voordelen van een Privacy Officer boven een FG

Als je ervoor kiest de rol van Privacy Officer  in te vullen als hierboven beschreven, dan kan vooral de administratieve last beperkt worden. Veel van de registraties door de FG worden binnen de organisatie al gedaan. Het heeft weinig zin dat de FG dit nog eens over doet. De Privacy Officer maakt gebruik van bestaande registraties en beoordeelt deze vanuit privacy perspectief. Vooral als je primair bewerker bent, dan liggen de taken van Security Officer en Privacy Officer operationeel zo dicht tegen elkaar aan, dat het vaak handiger is om deze taken te combineren. Maar ook als je verantwoordelijke bent, is de rol van Privacy Officer zelden een volledige baan. De rol is te combineren met een andere functie. Je kunt ook overwegen om een parttime Security Officer van buiten te halen. Dat is vaak goedkoper dan zelf de benodigde kennis en competenties up-to-date te houden. Want de Security Officer heeft maar een beperkt aantal reguliere taken en wordt vooral ook ingeschakeld als de organisatie behoefte heeft aan specialistische kennis. 
Maar het grootste voordeel is natuurlijk nog steeds, dat een Privacy Officer de organisatie helpt om haar doelstellingen te realiseren en zo weinig mogelijk hinder te ondervinden van de AVG. Niet voor niets staat in artikel 1 van de AVG, dat de AVG het vrije verkeer van persoonsgegevens niet mag beperken of verbieden. 

Keuze van de Privacy Officer of FG

Laat je dus bij de benoeming van een FG of Privacy Officer niet leiden door de minimale eisen die de AVG voorschrijft. Kijk vooral naar de toegevoegde waarde die de functionaris voor de organisatie kan hebben. Selecteer iemand die voor de invulling van die taak berekend is. Deze functionaris moet op directieniveau kunnen acteren en moet de weg weten in het moeras van de AVG, zodat bedrijfsdoelen bereikt worden en bedrijfsrisico’s beperkt blijven. Hij/ zij moet oplossingsgericht en pragmatisch denken. Zo’n Privacy Officer is in staat toegevoegde waarde te leveren. En dan maakt het niet uit of je wel of niet wettelijk verplicht bent om een FG te hebben. Dan wil je als organisatie gewoon zo iemand hebben.
Als je in de organisatie iemand aan boord hebt, die voldoet aan het bovenstaande profiel, dan kan hij of zij bijgespijkerd worden over de AVG in onze tweedaagse ‘Cursus Privacy Officer in de praktijk’.
Heb je niet zo iemand in huis, met ook tijd om als privacy officer op te treden, dan kunnen wij als ZBC uiteraard zo’n parttime Privacy Officer, die ook op afroep beschikbaar is, leveren. Zeker ook als je nu nog niet AVG compliant bent. Dan heb je immers iemand nodig om dit op korte termijn te realiseren. (Zie ook ‘Je privacy in twee maanden AVG compliant’.) Er moet dan wel even doorgepakt worden.
Maar ook hier geldt weer, privacy is geen kwestie van moeten, maar van willen. En met de keuzes die je maakt, laat je ook aan je klanten en ketenpartners zien, hoeveel respect je hebt voor hun privacy.