PO as a Service

Wat doet een privacy officer?

De privacy officer (PO) zorgt ervoor dat privacy in de dagelijkse praktijk van uw organisatie ook echt geregeld is. De PO stelt bijvoorbeeld beleid en procedures op, houdt het verwerkingsregister bij, beoordeelt verwerkersovereenkomsten, leidt DPIA’s en is binnen de organisatie het aanspreekpunt voor privacyvragen.

Meestal richt een PO zich alleen op privacy. Bij Shinrai omvat de rol ook inzicht in informatiebeveiliging en het verantwoord gebruik van AI. Zo worden zaken die met elkaar samenhangen ook samen geregeld.

Anders dan de FG werkt de PO niet onafhankelijk, maar in opdracht van uw organisatie. Daardoor is de rol flexibel in te richten: omvang, taken en rapportagelijn worden samen afgesproken.

Wanneer heeft u een privacy officer nodig?

De AVG stelt concrete eisen aan uw organisatie, zoals een actueel verwerkingsregister, passende beveiliging, verwerkersovereenkomsten met leveranciers, een werkende procedure bij datalekken en DPIA’s bij risicovolle verwerkingen. De FG houdt daar toezicht op, maar mag dat werk vanwege de onafhankelijke positie niet zelf uitvoeren.

Blijft dat werk liggen, dan merkt u dat bijvoorbeeld aan een verouderd verwerkingsregister, ontbrekende verwerkersovereenkomsten of adviezen van de FG waar niemand aan toekomt. Ook als er nog geen FG is aangesteld, gelden deze verplichtingen. Een PO kan dan de basis leggen.

Waarom een externe privacy officer?

In veel organisaties is privacy een bijtaak van iemand met een andere hoofdfunctie. Het schuift dan al snel naar achteren, terwijl de verplichtingen blijven. Een externe PO brengt vakkennis en ervaring bij vergelijkbare organisaties mee en is daardoor direct inzetbaar zonder inwerktijd.

Shinrai heeft als doel een externe PO een tijdelijke oplossing te laten zijn, en werkt met u samen aan een vaste invulling binnen uw eigen organisatie. De externe PO maakt een plan, voert een deel van het werk zelf uit en leidt een interne PO op, die al in dienst is of nog wordt aangesteld. Zo komt de kennis in uw organisatie terecht en blijft die daar ook.

Hoe Shinrai het aanpakt

Shinrai begint met een inventarisatie van wat er al is en wat ontbreekt. Op basis daarvan worden samen met uw organisatie een plan en de doelen voor de komende periode bepaald. De werkzaamheden kunnen bestaan uit:

• Opstellen en actualiseren van privacyverklaring en privacyreglement
• Opstellen en onderhouden van IBP-beleid en andere beleidsdocumenten
• Procedures voor datalekken en de rechten van betrokkenen
• Opbouwen en bijhouden van het verwerkingsregister
• Beoordelen van verwerkersovereenkomsten
• Advies bij de aanschaf van nieuwe systemen, ook als daar AI in zit
• Projectleiding en inhoudelijke uitvoering van DPIA’s, in afstemming met de FG
• Opleiden en begeleiden van de interne privacy officer
• Periodiek overleg met de werkgroep IBP of het MT

PO as a Service wordt afgenomen voor een vast aantal uren per week of maand, voor een afgesproken periode. Naarmate de interne PO meer overneemt, wordt in overleg de externe inzet afgebouwd.

De PO van Shinrai werkt vanuit de wet- en regelgeving en de normen die voor uw sector gelden. Voor privacy zijn dat de AVG en de UAVG, in de zorg aangevuld met de Wabvpz. Voor informatiebeveiliging gaat het om het Normenkader IBP FO in het onderwijs, ISO 27001 en 27002, en in de zorg NEN 7510, 7512 en 7513. Daarnaast is er kennis van NIS2 en de Nederlandse uitwerking daarvan in de Cyberbeveiligingswet en van de AI-verordening (AI Act).

De PO van Shinrai kent de FG-rol ook vanuit eigen ervaring als geregistreerd FG. Dat maakt de afstemming met uw FG makkelijker.

Bij onvoorziene afwezigheid blijft uw organisatie gedekt. Shinrai werkt met een vaste back-up die de werkwijze en de sector kent, en die de werkzaamheden zonder onderbreking kan overnemen.

Wat het oplevert

Wat er concreet wordt opgeleverd, hangt af van de doelen die na de inventarisatie worden afgesproken. Het resultaat is in elk geval een organisatie waar privacy en informatiebeveiliging niet alleen op papier staan. Beleid en procedures sluiten aan op de praktijk, het verwerkingsregister is actueel en de afspraken met leveranciers zijn op orde. Daarnaast is er een interne privacy officer die de rol zelfstandig kan invullen.

Samenhang met andere diensten

De PO voert uit, de FG houdt toezicht. Die twee rollen vullen elkaar aan en hebben elk hun eigen plek. Bent u alleen op zoek naar hulp bij het bijhouden van het verwerkingsregister en de controle van verwerkersovereenkomsten, dan is RVV as a Service een lichtere oplossing. Een DPIA, de invoering van het Normenkader IBP FO of een structurele aanpak van AI is ook als afzonderlijk traject af te nemen.

Shinrai kan bij dezelfde organisatie eerst de rol van PO invullen en zodra die intern is belegd, de FG-rol overnemen. Zijn beide rollen tegelijk nodig, dan worden ze door verschillende personen ingevuld.