Rapport Commissie Brouwer: 'Gewoon doen' - Ngfg

Verantwoordelijkheid voor het houden van extern toezicht en de handhaving moet juist los
staan van bemoeienis met zelfregulering door bijvoorbeeld de goedkeuring van gedragscodes,
omdat verstrengeling van deze activiteiten per saldo de externe toezichthouder beperkt in zijn
vrijheid. Daar komt bij dat het vanuit het perspectief van de organisaties waarop extern
toezicht wordt uitgeoefend merkwaardig is, dat zij zich voor voorlichting en advisering
moeten wenden tot dezelfde instantie die hen later een tik op de vingers kan geven met
behulp van ten behoeve van advisering verstrekte informatie. Ook de schijn daarvan moet
worden vermeden. Dat laat weer onverlet dat de toezichthouder gebruik kan maken van wat
in het kader van zelfregulering ontwikkeld wordt aan instrumenten als codes en ‘good’ en
‘best practices’. Robuust extern toezicht zal nimmer vrijblijvend kunnen zijn, wel ‘gidsend’
om de praktijk zekerheid te geven. De Nederlandse Mededingingsautoriteit doet dat
bijvoorbeeld door het publiceren van richtsnoeren.
Wat nodig is, is een gemarkeerde verantwoordelijkheid voor onafhankelijk extern toezicht,
handhaving, die zich concentreert op wat er feitelijk van de naleving van de regels terecht
komt en met passende middelen tot handhaving de praktijk zo nodig bijstuurt.
Robuust toezicht
De Amerikaanse financiële dienstverlener LPL Financial Corporation betaalde in 2008
275.000 dollar aan de Amerikaanse toezichthouder de Securities and Exchange
Commission (SEC) toen deze toezichthouder het bedrijf aansprak vanwege het niet
voldoende beveiligen van klantgegevens en de privacyschending die dat opleverde. De
gegevens konden gestolen worden en daardoor was er het gevaar van identiteitsdiefstal.
Wat betekent dit ‘robuust extern toezicht en handhaving’:
Als de ruimte voor zelfregulering goed wordt benut, als de ‘professionals’ ruimte krijgen om
zorgvuldige afwegingen te maken en hun organisaties hen daarbij faciliteren en hun de
benodigde rugdekking geven ontstaat ruimte de regeldruk te verminderen, mits tezelfdertijd
een adequaat functionerend sluitstuk van extern toezicht en handhaving werkzaam is. Dat
betekent ook dat op basis van een scherpe prioritering de feitelijke omgang met
persoonsgegevens op de werkvloer aan toezicht wordt onderworpen: kijken hoe het
verzamelen en delen van persoonsgegevens in de praktijk feitelijk verloopt en of dat volgens
de regels gaat. Dat wil zeggen: niet volstaan met beoordelen of de papieren werkelijkheid van
codes en reglementen strookt met de wettelijke verplichtingen. En niet alléén op basis van