Het programma
Rol, positie en taken van een FG
We starten deze opleiding met het meest essentiële dat een FG moet weten. Namelijk, wat is mijn rol? Welke positie heb ik binnen de organisatie en welke taken dien ik uit te voeren? De FG vervult namelijk een bijzondere rol binnen de organisatie. Daarnaast heeft hij bij wet bepaalde taken en verantwoordelijkheden. In sommige gevallen zijn organisaties verplicht om een FG aan te stellen. Wanneer geldt deze verplichting en wanneer niet? Een FG dient daarnaast ook over bepaalde vaardigheden te beschikken (waar wij tijdens een praktijkmiddag aandacht aan besteden). Wat is het verschil tussen een privacy officer, privacy jurist en de FG? En hoe verhoudt de FG zich tot een security officer? In deze training wordt onder meer antwoord gegeven op bovenstaande vragen. Aan de hand van interactieve e-learning wordt de opgedane theorie in de praktijk gebracht. Daarnaast is een interview beschikbaar met een ervaren FG uit de praktijk. Deze FG vertelt over zijn/haar ervaringen en werkzaamheden in de praktijk.
Basis AVG voor de FG
Omgang met persoonsgegevens en meer algemeen privacy blijft hét speerpunt van de komende jaren voor het bedrijfsleven, de zorg en de overheid. De FG moet dan ook een grondige kennis bezitten van dit onderwerp. In onze webinars wordt de AVG op hoofdlijnen uitgewerkt om zo voor jou als FG het kader voor een zorgvuldige omgang met persoonsgegevens te kunnen (laten) realiseren. Aan de hand van interactieve e-learning wordt de opgedane theorie in de praktijk gebracht. Daarnaast wordt de focus gelegd op een aantal onderwerpen die voor een FG van belang zijn. Denk hierbij aan toezien op bewaartermijnen en eventueel adviseren hierover.
Inventariseren en registreren
Op het moment dat jij als FG wordt aangesteld in een organisatie is het van groot belang om te weten hoe ‘volwassen’ de organisatie is op het gebied van privacy. Wat is een juist startpunt voor de FG? Hoe zorg jij dat je jouw taken als FG zo goed mogelijk kan inrichten en uitvoeren? Het verwerkingsregister van een organisatie kan een goed beeld geven van de datastromen en ‘volwassenheid’ van een organisatie op privacygebied. De European Data Protection Board noemt dit ook als taak om als FG bij betrokken te zijn (geweest).
Een belangrijke taak voor een FG is daarnaast het vaststellen in hoeverre een bedrijfsproces of -activiteit voldoet aan de AVG. Dit gebeurt aan de hand van een privacy-inventarisatie. In onze webinars wordt op basis van best practices besproken wat de belangrijkste onderdelen zijn van een dergelijke inventarisatie en een plan van aanpak. Hierbij gaan we ook in op hoe de FG controle behoudt over de privacy-processen binnen de organisatie door middel van een Plan-Do-Check-Act cyclus. Tijdens de eerste praktijkmiddag ga je aan de slag met een fictieve organisatie en breng je de tot nu opgedane theorie in de praktijk.
Rolverdeling en gegevensuitwisselingen
Iedere organisatie die persoonsgegevens verwerkt kan verwerkingsverantwoordelijke, verwerker of zelfs allebei zijn. Het onderscheid tussen deze rollen is niet altijd even helder. De juiste inschatting kunnen maken is echter wel van groot belang, omdat beide rollen verschillende verplichtingen onder de AVG met zich meebrengen.
In deze training wordt besproken wanneer iemand een verwerker en verantwoordelijke is en welke verplichtingen uit de rollen voortvloeien. Na uiteenzetting van de theorie via het webinar gaan de deelnemers aan de hand van een casus de opgedane kennis via e-learning in de praktijk brengen. Hierdoor kun je als FG de juiste vragen stellen op het moment dat je gegevensuitwisselingen gaat beoordelen.
DPIA en de FG
Wanneer een voorgenomen verwerking van persoonsgegevens een verhoogd risico met zich meebrengt, is het uitvoeren van een Data Protection Impact Assessment (DPIA) verplicht. Hierbij worden risico’s in kaart gebracht, aandachtspunten aangewezen en beheersmaatregelen ontwikkeld. Als FG vervul je daar een belangrijke rol in. De uitvoerder van de DPIA is namelijk verplicht om advies bij jou als FG in te winnen. Hoe geef je dit advies? Waar moet je op letten? En hoe zorg je dat je op de juiste manier bij de uitvoering van een DPIA wordt betrokken én over de juiste informatie beschikt?
Na uiteenzetting van de theorie door middel van webinars ga je aan de slag met een e-learning waarbij je advies gaat geven over een opgestelde DPIA.
Adviseren toezicht houden en bewustzijn creëren
Binnen de organisatie is de FG de onafhankelijke interne toezichthouder. In de handreiking van de Autoriteit Persoonsgegevens wordt ook benadrukt dat het belangrijk is om deze rol op een goede manier in te richten zodat je als FG ook daadwerkelijk jouw rol goed kan uitoefenen. Hoe zorg je dat jouw rol als adviseur en toezichthouder het beste wordt ingericht? Hoe zorg je dat mensen je niet gaan ontwijken of passeren? Aan wie en hoe vaak rapporteer jij, hoe creëer je het beste bewustzijn binnen een organisatie? En wat als de organisatie het niet eens is met jouw advies? Daarnaast is het ook belangrijk om te weten hoe jouw rol als FG zich verhoudt tot andere rollen binnen de organisatie, denk hierbij aan de directie, de security officer of andere betrokkenen.
De rechten van betrokkenen, van informatieplicht tot verzoeken van betrokkenen
De FG speelt een belangrijke rol als het gaat om de rechten die betrokkenen hebben op basis van de AVG. Iedereen heeft het recht te weten wat er met zijn/haar persoonsgegevens gebeurt en waarom. De AVG schetst dan ook een duidelijke informatieplicht richting de betrokkenen. Het verwerken van persoonsgegevens vereist in alle gevallen een duidelijke toelichting: de privacyverklaring. Deze opstellen is geen sinecure. De doeleinden van verwerkingen moeten worden benoemd, er moet bepaalde standaardinformatie verschaft worden en de verklaring moet ook nog eens toegespitst zijn op de doelgroep. Bovendien moet een organisatie in deze verklaring uitleggen wat zij doet en ook doen wat zij uitlegt. Als FG is het onder andere jouw taak om de organisatie voortdurend te toetsen aan de hand van deze verklaring.
In de e-learning wordt ingegaan op de theoretische aspecten van de rechten die betrokkenen hebben (waaronder de informatieplicht). Een van de doelstellingen van de AVG is om de rechten van betrokkenen te versterken. Vanzelfsprekend volgen uit deze rechten bepaalde verplichtingen voor degenen die persoonsgegevens verwerken en dien je hier als FG toezicht op te houden. Als FG zie jij erop toe dat de betrokkenen hun rechten goed kunnen uitoefenen. Daarnaast kan het ook voorkomen dat betrokkenen direct contact met jou willen als FG.
Datalekken en security
Datalekken en misbruik van persoonsgegevens is blijvend actueel en de risico’s nemen met doorlopende technische ontwikkelingen, toe. Als FG is het van belang om hierop in te kunnen spelen en over te kunnen adviseren, zowel in omgang met ontstane lekken als over het voorkomen van toekomstige lekken. Het calamiteitenplan is de leidraad van de FG bij het beoordelen van beveiligingsincidenten en datalekken. Blijkt er sprake te zijn van een datalek? In het datalekregister registreert de FG en/of de privacy officers de datalekken die binnen de organisatie hebben plaatsgevonden. Na uiteenzetting van de theorie in de webinars wordt er geoefend via e-learning en een spectaculaire online dataleksimulatie.
Rapporteren
Als FG rapporteer je aan de directie over de stand van zaken op privacygebied. Een grondig overzicht op een begrijpelijke manier uiteenzetten kan een uitdaging zijn. Zeker als privacy bij de toehoorders niet altijd de aandacht krijgt die het verdient. Of als het kennisniveau niet toereikend is.
Aan jou als FG de taak om toch een helder beeld te schetsen. Hoe staat de organisatie ervoor op privacygebied? Wat zijn de aandachtspunten en risico’s? Maar ook, waar gaat het juist ontzettend goed en welke lessen kunnen daarvan geleerd worden. Tijdens de webinars leer je op een heldere manier te rapporteren, rekening houdend met de doelgroep en de over te brengen boodschap en oefen je met template rapportages via e-learning.
Soft skills dag
Soft skills zijn voor een FG niet onbelangrijk. Deze uitdagende rol brengt mee dat je als FG over behoorlijke soft skills dient te beschikken, zoals presenteren en het omgaan met weerstand.
Technische dag
Als FG dien je een hoop te weten en te kunnen. Van een FG wordt verwacht dat deze kennis heeft van privacywetgeving en nationale wetgeving, maar ook van informatiebeveiliging en IT. Daarom gaan we tijdens deze (optionele) praktijkdag focussen op technische aspecten die bij het werk van een FG een rol zou kunnen spelen. Zo zullen we bekijken privacy by design er in de praktijk (achter de schermen) eigenlijk uitziet. Daarnaast gaan we ook de interactie met elkaar opzoeken als we het hebben over de technische belangen en de privacy belangen (die kunnen ook wel met elkaar botsen). Verder gaan we kijken wat een technische afdeling doet bij het ontwikkelen van een nieuw systeem of een dienst en oefenen we met een uitdagende casus. Ook gaan we kijken wat voor privacy uitdagingen AI kan hebben en leren we meer over de technieken achter het internet, cookies en hoe je het beste kunt adviseren over direct marketing of profilering.
Handhaving toezicht + rol FG daarin
Onder de AVG wordt sterk de nadruk gelegd op bestuursrechtelijke handhaving. De Autoriteit Persoonsgegevens (AP) kan op grond van de AVG zeer hoge boetes opleggen en doet dat ook regelmatig. Dat blijkt wel uit de tonnenhoge boetes die de AP de afgelopen jaren heeft opgelegd. Maar boetes zijn niet het enige middel dat de AP heeft om op te treden tegen overtredingen van de AVG.
In deze training wordt onder meer besproken welke onderzoeksbevoegdheden de AP heeft en welke sancties zij kan opleggen in geval van overtreding van de AVG. Daarnaast komen de rechten en plichten van de diverse actoren (waaronder werknemers in een organisatie) aan bod. Er wordt ingegaan op wat de rol van de FG is in het geval van een handhavingsactie en welke stappen de FG en zijn/haar organisatie kunnen (en moeten) nemen als de AP aan de deur klopt. De theorie wordt praktisch toegelicht aan de hand van een casus.
