Data Protection Officers lopen risico van belangenverstrengeling

Het onderzoek naar de positie van Data Protection Officers (DPO's) is gehouden onder 17.000 mensen met die belangrijke taak voor gegevensbescherming bij organisaties. Een taak die officieel een onafhankelijke hoort te zijn. De uitkomsten van het onderzoek zijn gepubliceerd in aanloop naar Data Protection Day, die zondag 28 januari plaatsvindt.

Kan beter

De voornaamste bevinding is dat de positie van DPO's (in het Nederlands: functionarissen gegevenbescherming, FG's) voor verbetering vatbaar is. Een DPO houdt onafhankelijk toezicht op de toepassing en naleving van de privacywetgeving binnen bepaalde bedrijven en overheidsorganisaties. Een deel van de organisaties is verplicht om een DPO aan te stellen.

Als het voor een organisatie onduidelijk is of die verplicht is een DPO aan te stellen dan moet die goed kunnen onderbouwen waarom ervoor gekozen is om dat wel of niet te doen, waarschuwt de Autoriteit Persoonsgegevens (AP). In Nederland zijn er nu ongeveer 12.000 organisaties met een DPO, meldt privacytoezichthouder AP.

Het Europese onderzoek naar de positie van DPO's is uitgevoerd in samenwerking met 25 Europese privacytoezichthouders, waaronder ook de AP. Zij hebben de vragenlijsten voorgelegd aan organisaties binnen hun eigen land.

Taken, informatie, budget

De meerderheid van de respondenten zegt de vaardigheden en kennis te hebben die nodig zijn om hun taak te vervullen. Zij stellen dat hun taken duidelijk zijn omschreven en dat ze bekend binnen de organisatie. Hun adviezen worden redelijk goed gevolgd, en anders wordt uitgelegd waarom niet.

Bovendien krijgen ze meestal voldoende informatie en budget krijgen om hun taken uit te kunnen voeren. Opvallend is wel dat nog niet de helft (47%) van de respondenten het toegewezen budget zelfstandig beheert.

Extra taken, belangenverstrengeling

Uit het rapport blijkt echter ook dat veel DPO's allerlei aanvullende taken krijgen toegewezen. Deze hebben niet altijd te maken met hun rol als DPO. Verder wordt ongeveer een derde van de DPO's gedeeld door meerdere organisaties, wat formeel is toegestaan maar wat de effectiviteit kan verminderen.

Veel Europese privacytoezichthouders zien in de onderzoeksresultaten situaties die mogelijk kunnen leiden tot belangenverstrengeling. Dit leek in Nederland bijvoorbeeld aan de orde bij gemeenten die een DPO ook de rol van privacy officer gaven. In het geval van Almere bleek dat uiteindelijk geen probleem te zijn. De European Data Protection Board geeft in het rapport ook aanbevelingen hoe de positie van DPO's valt te verbeteren.