Rapport Commissie Brouwer: 'Gewoon doen' - Ngfg

Externe beoordeling en keurmerk
Het laten uitvoeren van privacyaudits of het laten certificeren van verwerkingen zijn mogelijkheden
om een onafhankelijk oordeel te verkrijgen over de naleving van wetgeving. In de Wet
gemeentelijke basisadministraties persoonsgegevens en in de Wet politiegegevens zijn audits al
verplicht gesteld. Instrumenten daarvoor zijn de compliance instrumenten van het College
bescherming persoonsgegevens en de certificering door externe auditors zoals ontwikkeld door
NIVRA en NOREA.
Wat betekent de ‘zorg voor naleving en intern toezicht’:
Zorg voor naleving betekent op basis van risicoanalyse nagaan waar de kwetsbare
risico’s voor de zorgvuldige omgang met persoonsgegevens schuilgaan en de nodige
maatregelen in gang zetten om deze risico’s te voorkomen of te beheersen. Hoe een
bedrijf of instelling de zorg voor de naleving vormgeeft zal afhangen van factoren als de
aard en omvang van de risico’s, de omvang van het bedrijf of de (overheids-)instelling,
de competenties van de ‘professionals’ die met persoonsgegevens werken en vele andere.
Zorgvuldig omgaan met persoonsgegevens is op het veiligheidsterrein geen
vanzelfsprekendheid. Er kunnen zich vele omstandigheden voordoen die er toe leiden dat
‘professionals’ het met de regels niet erg nauw nemen. Daarom is het noodzakelijk binnen
iedere instelling of binnen ieder bedrijf een functionaris aan te wijzen die met voldoende
gezag tot naleving kan aanzetten. Soms voor deze taak vrijgesteld, soms naast andere taken.
De werkvloer van veiligheid en persoonlijke levenssfeer is te veelvormig om precies voor te
schrijven hoe de zorg voor naleving en intern toezicht moet worden ingevuld. Wel zal steeds
een passende voorziening operationeel moet zijn. Er zijn gerede aanwijzingen dat in
organisaties waar een ‘functionaris voor de gegevensbescherming’ is aangewezen – in het
jargon: een FG – het niveau van zorgvuldigheid bij het omgaan met persoonsgegevens
adequater is 19 . De commissie acht dit zeer aannemelijk. De aanwezigheid van zo’n relatief
onafhankelijke functionaris die belast is met intern toezicht op de naleving van
zorgvuldigheidsregels voor omgaan met persoonsgegevens op voldoende hoog niveau in de
organisatie kan een belangrijke prikkel voor zorgvuldigheid genereren. De Commissie acht
het in grotere organisaties zeer de moeite waard een gezaghebbende ‘functionaris voor de
19 Vgl. College bescherming persoonsgegevens, Informatieblad 16, juni 2004, te raadplegen op website Cbp;
aanwijzingen dat een functionaris voor de gegevensbescherming inderdaad bijdraagt aan een adequater
zorgvuldigheidsniveau ontleent de Commissie aan het nog te publiceren rapport van de tweede fase evaluatie
Wet bescherming persoonsgegevens, “Wat niet weet, wat niet deert.”