FG as a Service

Wat doet een functionaris gegevensbescherming?

De functionaris gegevensbescherming (FG) houdt binnen uw organisatie toezicht op de naleving van de AVG. De FG adviseert het bestuur, het IBP team en medewerkers, denkt mee bij nieuwe systemen en DPIA’s en is het aanspreekpunt voor de Autoriteit Persoonsgegevens. Ouders, leerlingen, medewerkers en andere betrokkenen met vragen over hun gegevens kunnen ook bij de FG terecht. Waar informatiebeveiliging raakt aan de bescherming van persoonsgegevens, valt dat eveneens onder het toezicht.

De wet geeft de FG een onafhankelijke positie. De FG krijgt geen instructies over de uitvoering van de taken en rapporteert rechtstreeks aan het hoogste bestuursniveau.

Wanneer heeft u een FG nodig?

Voor schoolbesturen, kinderopvangorganisaties, samenwerkingsverbanden en zorgaanbieders is een FG verplicht. Zij verwerken op grote schaal bijzondere persoonsgegevens, zoals gegevens over gezondheid en ondersteuning. Scholen en kinderopvang volgen kinderen daarnaast stelselmatig via leerling- en kindvolgsystemen en digitale leeromgevingen. De omvang van de organisatie maakt daarbij niet uit.

EdTech-leveranciers zijn veelal niet FG-plichtig. Een FG kan ook daar waardevol zijn, zeker voor leveranciers die dagelijks met gegevens van kinderen werken.

Is een FG niet verplicht, dan mag u er altijd een aanstellen. Een FG helpt uw organisatie bij privacyvraagstukken voordat ze problemen worden. Het laat ouders, klanten en opdrachtgevers bovendien zien dat u zorgvuldig met hun gegevens omgaat. Voor een vrijwillig aangestelde FG gelden wel dezelfde regels als voor een verplichte.

Waarom een externe FG?

Een FG mag geen rol hebben waarin hij of zij zelf over gegevensverwerkingen beslist of er dagelijks mee werkt. Een externe FG staat buiten die lijn en buiten de interne verhoudingen. Dat maakt het makkelijker om kritische vragen te stellen en risico’s te benoemen die intern soms blijven liggen.

Daarnaast is voor een externe FG deze rol geen bijtaak, maar het vak zelf. Wetgeving, uitspraken van toezichthouders en ontwikkelingen rond privacy, informatiebeveiliging en AI ontwikkelen voortdurend. Een externe FG houdt die kennis actueel en ziet bij vergelijkbare organisaties wat er speelt en wat werkt. Die ervaring komt direct ten goede aan uw organisatie.

Ook hoeft u geen eigen medewerker te werven en op te leiden en hoeft u niemand te vervangen bij vertrek of afwezigheid.

Hoe Shinrai het aanpakt

Shinrai vult de FG-rol proactief in. De FG zit aan tafel, denkt mee en signaleert zelf, in plaats van een postbus te zijn waar vragen in verdwijnen. Het abonnement omvat:

• Onafhankelijk toezicht op de naleving van de AVG
• Advies bij beleid, nieuwe verwerkingen en incidenten
• Advies bij en toezicht op DPIA’s
• Een jaarlijkse privacy-audit, desgewenst aangevuld met informatiebeveiliging, met rapportage aan bestuur of directie
• Contactpunt voor betrokkenen en de Autoriteit Persoonsgegevens
• Aanmelding van de FG bij de Autoriteit Persoonsgegevens
• Twee keer per jaar overleg met bestuur of MT, op locatie
• Vier keer per jaar overleg met de werkgroep IBP: twee keer op locatie, twee keer online
• De FG van Shinrai staat ingeschreven in het NRFG, het onafhankelijke kwaliteitsregister voor functionarissen gegevensbescherming

FG as a Service is een doorlopend abonnement, u wordt geholpen voor een vaste prijs per maand.

Bij onvoorziene afwezigheid blijft uw organisatie gedekt. Shinrai werkt met een vaste back-up die de werkwijze en de sector kent en die de FG-functie zonder onderbreking kan overnemen.

Wat het oplevert

U voldoet aan de wettelijke verplichting om een FG aan te stellen en daar blijft het niet bij. Het bestuur weet waar de organisatie staat en welke risico’s aandacht vragen. Er is een vaste FG die uw organisatie leert kennen en aanspreekbaar is bij vragen en incidenten. En de naleving is aantoonbaar richting toezichthouders, ouders en andere betrokkenen.

Samenhang met andere diensten

De FG houdt toezicht en adviseert, maar voert het privacywerk zelf niet uit. Heeft uw organisatie daar ook hulp bij nodig, bijvoorbeeld bij het opstellen van beleid of het bijhouden van het verwerkingsregister, dan kan dat aanvullend via PO as a Service. Ook DPIA’s, Ondersteuning bij het Normenkader IBP FO, AI compliance en bewustwording zijn naast het FG-abonnement af te nemen.