Werk jij privacy proof? In gesprek met jurist en functionaris gegevensbescherming Nadia Dillissen

“Een functionaris gegevensbescherming of jurist kan jou ondersteunen op privacy gebied, waardoor je zelf de focus kunt houden op je core business.”

Nadia Dillissen is interim jurist vanuit haar eigen onderneming Dillissen Legal Counselling. Daarnaast fungeert ze voor één van haar opdrachtgevers als functionaris gegevensbescherming. Dillissen: “In een notendop houd je als functionaris gegevensbescherming toezicht op de toepassing en naleving van de AVG [Algemene Verordening Gegevensbescherming].”

“Ik kijk of alles privacy proof is. Daarnaast ondersteun ik organisaties bij het opstellen en onderhouden van belangrijke documenten. Denk bijvoorbeeld aan de privacyverklaring of het privacybeleid.”

Wanneer heb je een functionaris gegevensbescherming nodig?

Volgens de AVG moeten alle publieke organisaties een functionaris gegevensbescherming hebben. Daarnaast is het aanstellen van een functionaris gegevensbescherming verplicht indien er op grote schaal bijzondere persoonsgegevens verwerkt worden en dit een kernactiviteit is. Dillissen: “Zorginstellingen zoals ziekenhuizen zijn dus verplicht om iemand aan te stellen.”

Voor huisartsenpraktijken is dit niet altijd het geval. “Pas wanneer een huisartsenpraktijk de medische gegevens van meer dan 10.000 patiënten verwerkt, en deze gegevens in één informatiesysteem staan, moeten ze verplicht iemand aanstellen.”

Je mag natuurlijk altijd iemand aanstellen zonder dat dit verplicht is. Dillissen: “In plaats van een functionaris gegevensbescherming kun je ook een privacy officer aanwijzen; iemand die met je meedenkt maar niet aan alle strenge eisen van een functionaris hoeft te voldoen.”

“Een organisatie is zelf verantwoordelijk”

Er zijn veel maatregelen die een organisatie kan nemen, maar je blijft afhankelijk van de medewerkers. Dillissen: “In 2019 werd een bekende realityster opgenomen in het ziekenhuis. Vervolgens hebben veel onbevoegde medewerkers uit nieuwsgierigheid haar dossier bekeken. Door bewustzijn te creëren kun je zulke vervelende omstandigheden voorkomen.”

“Als functionaris gegevensbescherming kun je niet persoonlijk aansprakelijk worden gesteld door de Autoriteit Persoonsgegevens [toezichthouder op de naleving van de AVG] voor de tekortkomingen van een organisatie. Uiteindelijk is een organisatie zelf verantwoordelijk.”

Bewustzijn creëren is dus net zo belangrijk als het opstellen van een goed privacybeleid.

Een goed beleid draagt bij aan privacy proof werken

De AVG is erg omvangrijk. Dillissen: “Als zorgverlener heb je natuurlijk een heel andere expertise. Niet alles is van toepassing op jou.” Ze raadt het daarom aan om iemand mee te laten kijken wanneer je een privacybeleid opstelt.

Dillissen: “Een goed privacybeleid is concreet en maakt een vertaalslag van de AVG-normen naar jouw dienstverlening. Je brengt op deze manier meteen in kaart welke persoonsgegevens je verwerkt en welke maatregelen nodig zijn om deze te beschermen.”

“Overigens is een privacybeleid niet altijd verplicht, maar het vrijwillig opstellen ervan kan ook nuttig zijn. Zo kun je aan zowel betrokkenen als de Autoriteit Persoonsgegevens laten zien dat je aan de AVG voldoet (verantwoordingsplicht). Dit draagt bij aan het privacy proof werken.”