x.03 Bijlage 1 Positie_FG.pdf
Tekst van het document
Gemeente Amsterdam 06/02/2023 Vertrouwelijk
Notitie toezicht gegevensbescherming en positie Functionaris gegevensbescherming (FG) Auteur: prof. mr. dr. Bart W. Schermer, partner
1 Inleiding Deze notitie is opgesteld op verzoek van de Functionaris Gegevensbescherming (FG) van de Gemeente Amsterdam met als doel duidelijkheid te verschaffen over de rol en positie van de FG. In deze notitie zetten wij het wettelijk kader voor de rol van de FG uiteen en bespreken wij de mogelijke organisatorische inbedding van de FG functie. Hierbij is in het bijzonder aandacht voor de onafhankelijke positie van de FG en de toezichtsrol. Hieronder volgen allereerst de belangrijkste conclusies een aanbevelingen (hoofdstuk 2), gevolgd door een onderbouwing (hoofdstuk 3).
2 Conclusies en aanbevelingen Op grond van het bovenstaande kunnen we het volgende concluderen over de rol van de FG en het toezicht op gegevensbescherming: •
De FG moet onafhankelijk zijn of haar functie kunnen uitoefenen.
•
De FG moet rechtstreekse toegang hebben tot de hoogste leidinggevende (het College B en W) en deze toegang moet worden gefaciliteerd door de verwerkingsverantwoordelijke.
•
In de praktijk wordt rechtstreekse toegang geïnterpreteerd als effectieve toegang wanneer noodzakelijk, de beoordeling wanneer toegang noodzakelijk is ligt in eerste instantie bij de FG.
•
De rol van FG is niét verenigbaar met rollen waarbij beslissingen worden gemaakt over de doelen en middelen voor de gegevensverwerking.
•
Toezicht op de gegevensverwerking naast of in aanvulling op de FG (als de AVG dat al toestaat) kan beter niet worden uitgevoerd door rollen die ook betrokken zijn bij het bepalen van de doelen en middelen voor de gegevensverwerking (CEO, COO, CIO et cetera).
•
Wanneer de FG functioneel wordt ondergebracht binnen een groter organisatieonderdeel, dan kan de FG niet in een rapportagelijn zitten met een rol die óók een verantwoordelijkheid heeft voor het toezicht op de gegevensverwerking (in casu de CIO). Een en ander verhoudt zich namelijk moeilijk tot niet met het vereiste van onafhankelijkheid uit artikel 38 AVG.
Deze conclusies leiden tot het volgende advies over de organisatorische inbedding van de FG:
•
Beleg formeel het toezicht op de gegevensbescherming bij de FG en voorkom een versnipperd toezicht op de gegevensbescherming.
•
Draag zorg voor rechtstreekse toegang tot het College B en W. Indien de FG niet rechtstreeks rapporteert aan het College van B en W (al dan niet via de Gemeentesecretaris), dan dienen nadere afspraken te worden gemaakt over de effectieve toegang tot het College en de rapportage aan het College.
•
Om de onafhankelijkheid van de FG te waarborgen en de schijn van afhankelijkheid te voorkomen, is het het overwegen waard om de rol van de FG onder te brengen bij die organisatieonderdelen die al een adviserende en/of toezichthoudende rol hebben (anders dan gegevensbescherming). Hierbij kan gedacht worden aan een inbedding binnen Bestuur en Organisatie (Directie Middelen en Control of de Directie Juridische Zaken).
3 Onderbouwing 3.1
Wettelijk kader
3.1.1 Wat is een FG? De Functionaris gegevensbescherming (FG), in het Engels Data protection Officer (DPO), is een voor overheden wettelijk verplichte rol binnen de organisatie. De FG is een onafhankelijke adviseur en toezichthouder. 3.1.2 Wat zijn de taken van de FG? De primaire taken van de FG zijn het informeren en adviseren van de organisatie over gegevensverwerking en de AVG en het toezicht houden op de naleving van de AVG. 3.1.3 Wat is de positie van de FG De FG moet zijn of haar taken effectief en onafhankelijk kunnen uitvoeren. Dit betekent een aantal dingen: 1
-
1
De FG moet tijdelijk en naar behoren worden betrokken bij alle aangelegenheden inzake de verwerking van persoonsgegevens. De verwerkingsverantwoordelijke (de organisatie) ondersteunt de FG in zijn of haar taken door voldoende middelen ter beschikking te stellen aan de FG en door de FG toegang te verlenen tot de verwerkingsactiviteiten.
Artikel 38 lid 3 AVG
2
-
De FG mag géén instructies ontvangen met betrekking tot de uitoefening van zijn of haar functie. De FG mag niet ontslagen worden vanwege de uitoefening van zijn of haar taken.
-
3.2
2
Rol en positie van de FG in de praktijk
3.2.1 Onafhankelijkheid toezicht De FG is onafhankelijk en de verwerkingsverantwoordelijke mag de FG géén instructies geven. Hoewel de FG andere taken en plichten kan vervullen, kan deze géén functie bekleden waarbij hij of zij de doelstellingen van en de middelen voor de verwerking van persoonsgegevens moet bepalen. Er is dan sprake van een wezenlijk belangenconflict, dat met name kan ontstaan wanneer dezelfde persoon tegelijk als controleur en als gecontroleerde optreedt. De rol van FG is dus doorgaans niét verenigbaar met executieve functies zoals CEO, COO of CIO. 3
4
5
6
Uit het bovenstaande mogen we afleiden dat in zoverre het al mogelijk is om toezicht op de gegevensbescherming te organiseren naast of in aanvulling op de FG, dit toezicht ook beter niét kan worden uitgevoerd door een functie binnen de organisatie die een rol heeft bij het bepalen van de doelen en de middelen voor de gegevensverwerking. Meer in zijn algemeenheid kunnen we stellen dat het onverstandig is om een rol toezicht te laten uitvoeren op de eigen taken. 7
3.2.2 Rapportage en aansturing De AVG stelt dat de FG rechtstreeks (directly) verslag uitbrengt aan de ‘hoogste leidinggevende’. De AVG geeft echter geen inzicht in wie de ‘hoogste leidinggevende’ is en hoe rapportage- en verantwoordingslijnen tussen de FG en ‘hoogste leidinggevende’ moeten lopen. De Autoriteit Persoonsgegevens spreekt van ‘de hoogste bestuurlijke autoriteit’. Voor de gemeente Amsterdam is dit het College B en W. De Autoriteit Persoonsgegevens stelt verder dat de FG rechtstreeks moet rapporteren aan de hoogste bestuurlijke autoriteit en moet kunnen aanspreken als hij of zij dat nodig vindt. 8
9
10
In de praktijk wordt nog wel eens pragmatische benadering gehanteerd waarbij de rapportages en bevindingen van de FG via een specifieke rapportagelijn bij de hoogste leidinggevende belanden.
2 3
Artikel 38 AVG Artikel 38 lid 3 AVG
4
EDPB, Richtlijnen voor functionarissen voor gegevensbescherming (DPO), 5 april 2017, blz. 19.
5
Gegevensbeschermingsautoriteit België, Geschillenkamer, Beslissing ten gronde 56/2021 van 26 april 2021, overweging 147
6
Zie in dit kader ook de richtlijnen van de VNG: “Als vuistregel kunnen de volgende functies met een belangenconflict worden beschouwd: functies in het hogere management (bv. hoofd HR of IT-afdeling), maar ook lagere functies als deze personen de doelstellingen van en middelen voor de verwerking van gegevens moeten bepalen (met daarbij de eindverantwoordelijkheid voor het college)” via: https://vng.nl/files/vng/20180502-functionaris-gegevensbescherming_.pdf 7
De verwerkingsverantwoordelijke is wel eindverantwoordelijke (accountable) voor de gegevensverwerking en moet dus zorgen dat het toezicht wordt ingericht, maar kan geen uitvoerende rol vervullen in dat toezicht (responsible). 8 9
Artikel 38 lid 3 AVG Autoriteit Persoonsgegevens, De Positionering van de FG; Uitgangspunten: rollen, processen en verantwoordelijkheden. Autoriteit Persoonsgegevens, De Positionering van de FG; Uitgangspunten: rollen, processen en verantwoordelijkheden.
10
3
Datzelfde geldt voor eventuele escalatie. Voor Nederland moet worden aangetekend dat een grote meerderheid van de FGs direct aan de hoogste leidinggevende rapporteert (80%). 11
12
Van belang is met name dat het contact tussen de FG en de hoogste leidinggevende gefaciliteerd wordt. Er moet dus voor de FG een effectieve toegang zijn tot de hoogste leidinggevende. Rechtstreeks verslag impliceert ook dat wanneer niet direct aan de hoogste leidinggevende wordt gerapporteerd maar via een tussenschijf, deze rapportage in ieder geval ‘ongefilterd’ bij de hoogste leidinggevende komt. Met andere woorden, tussenliggende schijven mogen rapportages niet aanpassen, delen van adviezen niet voorleggen et cetera. 13
Het feit dat de FG aan de hoogste leidinggevende rapporteert betekent overigens niet dat de FG ook gemanaged moet worden door de hoogste leidinggevende. De FG kan ‘lager’ in de lijn zitten, zolang deze maar directe toegang heeft tot de hoogste leidinggevende in het kader van zijn of haar taakuitoefening (toezicht op en advies over de verwerking van persoonsgegevens). 14
Considerati merkt hierbij op dat de FG als toezichthouder op de gegevensverwerking momenteel lager in dezelfde lijn zit als de CIO die óók toezicht houdt op de gegevensverwerking. Dit impliceert dat de FG in het toezicht op de gegevensverwerking dus de facto hiërarchisch ondergeschikt is aan de CIO. Dit lijkt onverenigbaar met het vereiste van onafhankelijk toezicht zoals geformuleerd in artikel 38 AVG.
11
Zie: https://iapp.org/news/a/determining-the-reporting-line-of-the-dpo/ Centrum voor Informatiebeveiliging en Privacy (2022), FG-Enquête 2022, Een tweede onderzoek naar de invulling van de functie van Functionaris Gegevensbescherming in de praktijk binnen de publieke sector, September 2022, p. 26 13 Autoriteit Persoonsgegevens, De Positionering van de FG; Uitgangspunten: rollen, processen en verantwoordelijkheden. 14 Zie: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/accountability-andgovernance/data-protection-officers/ 12
4