Ook voor de Data Protection Officer verandert de wereld na 25 mei 2018

Matthijs Onder de Linden, DPO bij Redmore Group voorspelt 4 fasen waarin het beroep van vorm en inhoud verandert nu de GDPR een feit is.

Fase 1: Projectmanager

Voor 25 mei was dit de taak van de DPO: 

• Data en processen in kaart brengen van de
• technologie
• beveiliging
• maken van stappenplannen
• inzicht geven wat het allemaal kost

Daarna had de DPO de schone taak iedereen in het bedrijf duidelijk maken wat de verplichtingen zijn de GDPR.

Fase 2: Overdracht van verantwoordelijkheid

De tweede fase gaat in wanneer de processen zijn ingericht en de medewerkers zich verantwoordelijk voelen voor compliance. Op dit moment moet iedereen in zijn dagelijkse werkzaamheden nadenken over privacy en databeveiliging.

Matthijs: 'De medewerkers moeten zelf de risico’s herkennen en proberen te voorkomen, niet alleen op technisch gebied, maar ook door processen op de juiste manier in te richten en uit te voeren. Iets dat de DPO als het goed is duidelijk heeft gemaakt.'  

Fase 3: Onderhoudende rol

Dit is de fase waar de baan van de DPO daadwerkelijk verandert volgens Matthijs. De werkzaamheden krijgen nu meer de een onderhoudende rol. Matthijs weer:

'De functie, een beherende rol, wordt meer een combinatie van een junior beheersende rol gericht op de daadwerkelijke processen, bijhouden van het juiste bewustzijn en een nauwe samenwerking met IT.' 

'Daarnaast zullen er momenten blijven waarbij de rol senioriteit en gezag nodig heeft. Zoals het maken van een verplichte melding als er een datalek heeft plaatsgevonden. Dit is een zeer onwelkome gebeurtenis die volgens de regels moet worden afgehandeld en waarbij de DPO de (interne) druk moet kunnen weerstaan om de melding niet of anders te laten verlopen'.

Fase 4: Compleet andere rol

Je wil de DPO in zijn huidige rol idealiter niet behouden, dus is het belangrijk om te beslissen wat de beste optie is: De DPO vervangen of deze nieuwe projecten toe te wijzen. 'Maak je geen keuze over zijn nieuwe rol dan loop je risico dat hij met zijn kwaliteiten - denk aan fase 1 - de neiging zal hebben voortdurend nieuwe meeslepende projecten te definiëren rondom privacy, terwijl de organisatie juist gebaat is bij het inbedden ervan. Bedenk dat de wet stelt dat de DPO alle tijd en middelen dient te hebben om naar eigen inzicht databescherming en privacy te borgen', aldus Matthijs.

Overigens is het belangrijk te onthouden dat je de huidige DPO niet zomaar kunt ontslaan, omdat je hem of haar hebt aangedragen bij de Autoriteit Persoonsgegevens en het een beschermde rol is.

Dat is maar goed ook, vanwege de klokkenluidersrol van een DPO. Wees bewust van de kwaliteiten van de DPO bij het maken van de beslissing over wat zijn of haar rol gaat zijn na het officiële moment. Dan blijft het een goede match.