Nucleus-Ebook-Hoe-maak-je-jouw-bedrijf-GDPR-compliant

HEEFT JOUW BEDRIJF EEN
DATA PROTECTION OFFICER
NODIG?
In ons stappenplan richting GDPR hebben we het
in stap 11 over de Data Protection Officer (DPO).
Maar in tegenstelling tot wat je vaak leest of hoort,
moet niet elk bedrijf een Data Protection Officer
aanwerven. Hoe zit dat voor jouw bedrijf?
Aan de andere kant worden activiteiten zoals IT-support
van een bedrijf eerder als bijkomstige activiteiten dan
kernactiviteiten beschouwd, terwijl net deze afdelingen
vaak wél op regelmatige en stelselmatige manier
observatie vereisen.
“Op grote schaal” kan op verschillende zaken
betrekking hebben, zoals het aantal datasubjecten dat
betrokken is, het volume van de data, de duur van de
verwerkingsactiviteit, de geografische reikwijdte enz. Een
voorbeeld van een gegevensverwerking op grote schaal is
opnieuw het ziekenhuis dat om gezondheidszorg te kunnen
aanbieden grote hoeveelheden patiëntengegevens moet
verwerken.
WELKE BEDRIJVEN MOETEN VERPLICHT EEN
DATA PROTECTION OFFICER HEBBEN?
Of je al dan niet een DPO moet aannemen heeft niks te
maken met de omvang van je bedrijf. Wél met het feit of
jouw bedrijf één van de onderstaande drie activiteiten
uitoefent.
• Is jouw bedrijf of organisatie een overheidsinstantie of
-orgaan?
• Is jouw bedrijf hoofdzakelijk belast met gegevensverwerking
die regelmatige en stelselmatige observatie
van betrokkenen op grote schaal eist?
• Is jouw bedrijf hoofdzakelijk belast met de verwerking
van bijzondere categorieën van gevoelige gegevens
zoals ras, politieke voorkeur, religieuze overtuiging,
gezondheidsgegevens of gegevens over strafrechtelijke
feiten?
Indien je op alle bovenstaande vragen “nee” antwoordde,
is de kans groot dat jouw bedrijf niet verplicht is om
een Data Protection Officer aan te stellen. Het is
evenwel voor elk bedrijf nuttig om de opvolging van de
gegevensbescherming binnen het bedrijf aan één of
meerdere personen toe te wijzen.
De bovenstaande omschrijvingen vragen nogal wat
interpretatie. Recent heeft een Europese groep van
privacycommissies duiding verschaft rond enkele
begrippen.
“Hoofdzakelijk” betekent dat gegevensverwerking tot de
kernactiviteiten van het bedrijf behoort. Dus wanneer
de kernactiviteiten van een bedrijf onlosmakelijk de
verwerking van persoonsgegevens vereisen, zoals
bijvoorbeeld het geval is voor een ziekenhuis. Een
ziekenhuis kan nu eenmaal geen gezondheidszorg
aanbieden zonder het verwerken van patiëntengegevens.
WAT DOET DE DATA PROTECTION OFFICER?
Simpel gezegd, controleert de DPO of alle
persoonsgegevens correct worden bewaard, gebruikt
en gedeeld. Hij of zij moet toezien dat de Europese en
nationale regels inzake gegevensbescherming en de
privacy en data protection policies van het bedrijf worden
nageleefd. Daarnaast is de DPO het contactpunt voor
de gegevensbeschermingsautoriteiten. Als jouw bedrijf
bijvoorbeeld te maken krijgt met een gegevenslek, is
de DPO de contactpersoon voor de privacycommissie.
De DPO informeert en adviseert je bedrijf ook omtrent
de GDPR-verplichtingen en staat in voor het trainen van
werknemers en het uitvoeren van eventuele audits.
Tenslotte is het de DPO die antwoordt op alle vragen over
de gegevensverwerking en de rechten van de betrokkenen
van wie de gegevens verwerkt worden.
WIE KAN DATA PROTECTION OFFICER WORDEN?
In de GDPR wordt niet beschreven welke specificaties
gelden voor een DPO. Er staat nergens welk diploma
hij of zij moet hebben. De GDPR stelt wel dat de DPO
moet beschikken over onder meer “deskundigheid op
het gebied van de wetgeving en de praktijk inzake
gegevensbescherming”. De Data Protection Officer hoeft
bovendien niet per se een eigen werknemer te zijn. Ook
experts van buiten jouw bedrijf kunnen de rol van DPO
vervullen.
North Trade Building | Noorderlaan 133/8 | B-2030 Antwerpen
T +32 (0) 3 275 01 60 | F +32 (0) 3 275 01 69 | www.nucleus.be
NUCLEUS Uptime-as-a-Service 6