U raakt er inmiddels waarschijnlijk aan gewend dat we belangrijke afkortingen uit de branche uitwerken. Geen zorgen, we hebben vandaag nog meer voor je in petto. We gaan je vertellen over de DPO en de PO – en hun verschillen – binnen organisaties. Dus laten we ons eens gaan verdiepen in de (D)PO.
Sinds de GDPR in 2018 van kracht werd, moesten organisaties veel maatregelen en veranderingen doorvoeren op technisch, operationeel en managementgebied. Publieke organisaties en grootschalige bedrijven moesten een functionaris voor gegevensbescherming (Data Protection Officer, DPO) aanwijzen. Andere bedrijven, die – omdat ze geen publieke organisaties zijn en/of het verzoek niet relevant was voor hun reikwijdte en omvang – hun inspanningen op het gebied van gegevensprivacy ondersteunden met behulp van een Privacy Officer (PO). Hoewel de DPO en de PO overlappende verantwoordelijkheden hebben, zijn het verschillende rollen met een verschillende focus. We zullen het uitleggen.
Het GDPR-verzoek
Zoals hierboven vermeld, is het aanstellen van een DPO verplicht voor de volgende organisaties:
- Organisaties die een overheidsinstantie of openbaar lichaam zijn;
- Organisaties met kernactiviteiten waarbij op grote schaal bijzondere categorieën persoonsgegevens en gegevens met betrekking tot strafrechtelijke veroordelingen worden verwerkt;
- Organisaties met kernactiviteiten waarbij op grote schaal sprake is van regelmatige en systematische monitoring van betrokkenen.
Voor de functionaris voor gegevensbescherming van deze drie soorten organisaties ziet het GDPR-verzoek er als volgt uit:
- De voor de verwerking verantwoordelijke of de verwerker en de werknemers informeren en adviseren. Zij zijn verantwoordelijk voor het uitvoeren van de verwerking van hun verplichtingen op grond van de verordening en andere gegevensbeschermingsbepalingen van de Unie of de lidstaten;
- Toezien op de naleving van de GDPR en andere gegevensbeschermingswetten en het gegevensbeschermingsbeleid van de organisatie. Dit omvat het toewijzen van verantwoordelijkheden, bewustmaking en training van het personeel dat betrokken is bij verwerkingsactiviteiten en de bijbehorende audits;
- Op verzoek advies geven over de gegevensbeschermingseffectbeoordeling en de uitvoering ervan bewaken.
- Samenwerken met de toezichthoudende autoriteit en voor hen optreden als contactpunt voor verwerkingskwesties.
Het aanstellen van een PO is nooit wettelijk verplicht. Eerste verschil: check.
Intern of extern?
De GDPR biedt organisaties de keuze om een interne of externe functionaris voor gegevensbescherming aan te stellen. De Privacy Officer kan intern worden aangesteld, in vaste dienst, of extern op basis van een dienstverleningscontract.
De belangrijkste verantwoordelijkheden van de DPO van PO
De DPO is verantwoordelijk voor het toezicht op de gegevensbeschermingsstrategie en -implementatie van een organisatie. De functionaris bouwt een strategisch en uitgebreid privacyprogramma. De DPO is de belangrijkste verbinding met regelgevers en toezichthouders, terwijl de PO samen met het management van een organisatie de governance voor het privacyprogramma vaststelt.
Andere verantwoordelijkheden van een DPO zijn het trainen van medewerkers op het gebied van GDPR-compliancevereisten, het uitvoeren van regelmatige beoordelingsaudits om GDPR-compliance te waarborgen en het optreden als belangenbehartiger voor consumenten, klanten, medewerkers en andere betrokkenen. De PO houdt zich bezig met het uitvoeren van compliance monotoring activiteiten als onderdeel van het compliance team en het ontwerpen en geven van initiële en doorlopende privacytrainingen voor de hele organisatie.
Tot slot is het voor elke organisatie sterk aan te raden om een privacycontactpersoon aan te wijzen, om te garanderen dat de bescherming van persoonsgegevens en de privacy van alle belanghebbenden goed geborgd zijn. Dit kan een DPO zijn, maar ook een PO, een combinatie van beide of een andere aanwijzing.
Zorg voor uw veiligheid en privacy, mensen.
Je kunt ons later bedanken.
