Door de nieuwe privacywetgeving, de Algemene Verordening Gegevensbescherming (AVG), worden tal van organisaties verplicht om een zogenaamde Functionaris voor Gegevensbescherming (FG) aan te stellen. Een onafhankelijke toezichthouder, die binnen een organisatie toeziet op de toepassing en naleving van de AVG.
De rol van de FG is voor veel organisaties een nieuwe rol en de concrete invulling van die rol wordt nogal verschillend geïnterpreteerd. Als FG moet je snappen wat de rol inhoudt, het leuk vinden om als interne toezichthouder op te treden en je mag de rol niet zomaar combineren met andere rollen. Voor veel (kleinere) organisaties is de takenlijst beperkt en hoeft de FG-rol geen fulltime rol te zijn.
Twee jaar geleden werden de alarmbellen al geluid: de angst was dat er in Nederland alleen al 10.000 FG’s nodig zouden waren. Dit terwijl het aanbod maar heel beperkt was (en nog steeds is). Weinig mensen hebben de afgelopen jaren voldoende ervaring opgedaan op het gebied van privacy(wetgeving). Sinds die tijd is er een FG markt ontstaan, waarbij vraag en aanbod om verschillende redenen onvolwassen zijn.
In de eerste plaats is de rol van de FG nieuw. Intussen is er wat meer guidance over de wettelijke taken van de toezichthouder, maar de vraag daarbij is wel steeds: hoe vul je deze taak in de dagelijkse praktijk in? Kortom, de taakopvatting is nog niet volledig tot bloei gekomen.
In de tweede plaats; de FG is bedoeld als een volwaardige gesprekspartner van de directie. De andere kant van de medaille is dat de directie een volwassen ‘opdrachtgever’ moet zijn en de FG als interne toezichthouder serieus moet willen nemen. Maar niet iedere directie zit daar op te wachten of vraagt zich af wat de FG voor snoeshaan is. Dit komt doordat de rol van interne toezichthouder, zoals de FG die moet invullen, verder niet gebruikelijk is.
In de derde plaats is er nog geen beroepskwalificatie van FG-ers. Iedereen mag zichzelf FG noemen. Hierdoor is er een wildgroei aan het ontstaan van allerlei opleidingen voor FG-er. Met enige overdrijving variëren deze opleidingen van een schriftelijke cursus op afstand tot een meerdaagse opleiding. En tegelijkertijd hebben deze opleidingen gemeen dat niet of nauwelijks de praktijkervaring van de cursisten wordt gestimuleerd.
Maar waarom kies ik dan de vergelijking met een katvanger? Dat doe ik omdat ik in de markt voorbeelden zie van het inrichten van de FG-rol voor hoogstens één of twee uur per maand. Of als de FG wordt ingehuurd via een abonnementsconstructie voor een paar honderd euro per maand. Maar hoe kan je in deze tijdsspanne een serieuze invulling van een FG-rol mogelijk maken? Je hebt juist iemand nodig die zijn/haar eigen rol kan laten groeien naar volwassenheid en die de organisatie mee kan krijgen om volwassen te worden op het gebied van privacy.
Nu geldt voor de FG-er een registratieplicht bij de Autoriteit Persoonsgegevens. Maar als je als FG geen tijd hebt om achter het stuur te zitten, maar je hebt wel het voertuig op je naam staan. Hoe wordt dat dan ook alweer genoemd?
Dus beste opdrachtgevers, beste aspirant FG-ers … maak van de FG alsjeblieft geen katvanger.