Privacy bewustwordings-campagne 2022

Hoe is de waarborging van privacy en informatiebeveiliging in de eigen organisatie georganiseerd? Voor veel organisaties is dit best een uitdaging, omdat het meer is dan alleen het vaststellen van een privacybeleid en een datalekprotocol. Een vastgesteld beleid moet door de organisatie gedragen worden, niet alleen door een Privacy Officer (PO), Functionaris Gegevensbescherming (FG) of Chief Information Officer (CISO). Maar hoe krijg je dat voor elkaar?

Waarom een privacy office? 
Een structuur waarbinnen de naleving van de AVG georganiseerd en gemonitord wordt, is het met elkaar opzetten van een privacy office. Dit is een tweedelijns verdedigingsmuur die fungeert als een interne toezichthouder. De tweede lijn (privacy office) controleert of de eerste lijn (degenen die binnen hun werkzaamheden persoonsgegevens verwerken) doet wat afgesproken is. De tweede lijn is deskundig als het gaat om de AVG en adviseert en informeert de eerste lijn hierover. De tweede lijn moet intern georganiseerd worden omdat de AVG complex is en naleving nu eenmaal niet vanzelf gaat. Het privacy office zorgt ervoor dat privacy en informatiebeveiliging blijvend een thema is wat de hele organisatie aangaat en waar de hele organisatie aan meedoet.

Hoe kan je een privacy office opzetten?
Start door het privacy office aan te kaarten bij het bestuur. Nadat zij hier uiteraard het belang van inzien, richt je een structuur op (bijvoorbeeld een commissie, een team) en verzamel je de juiste mensen. In het privacy office zitten personen met deskundigheid over de AVG en informatiebeveiliging (bijvoorbeeld de PO, FG, (C)ISO). Ook is het belangrijk de verschillende disciplines vanuit de werkvloer te betrekken, zodat hun deskundigheid wordt ingebracht over hoe zij in de praktijk met persoonsgegevens omgaan en zodat het beleid door de hele organisatie wordt gedragen. Communicatie- en opleidingsadviseurs zijn ook een waardevolle toevoeging, net zoals een vertegenwoordiging van de medewerkers via de OR. De privacy office heeft een agenda, zet acties uit, komt regelmatig bij elkaar en rapporteert idealiter periodiek rechtstreeks aan het bestuur en Raad van Toezicht.