Drie kernkwaliteiten om als privacy professional het verschil te maken

Een breed perspectief op de belangen en doelen van de organisatie is essentieel om privacy compliance verder te brengen. Dat zegt Vonne Laan, advocaat en partner bij The Data Lawyers, en een van de docenten van de CDPO-opleiding van Outvie. Welke skills hebben privacy professionals daarvoor nodig? 

Voor het werk van Data Protection Officers (DPO’s) en Functionarissen Gegevensbescherming (FG’s) is juridische expertise onmisbaar. Maar wat is er naast vakinhoudelijke kennis nodig om te zorgen voor voldoende waarborgen en compliance? 

“De belangrijkste kwaliteit is dat je actief meedenkt over de belangen en doelen van de organisatie, en niet uitsluitend kijkt vanuit de Algemene verordening gegevensbescherming (AVG)”, zegt Vonne, advocaat privacyrecht en partner van The Data Lawyers, een advocatenkantoor met een specialisatie in privacy- en IT-recht. Vonne is een van de docenten van de opleiding Certified Data Protection Officer (CDPO) van Outvie, en auteur van “Privacyrecht begrepen”, een praktijkgericht boek dat de AVG-vereisten op een toegankelijke manier uiteenzet en verduidelijkt.

Van draagvlak naar impact  

“Je vermogen om draagvlak te creëren voor privacy bepaalt in belangrijke mate in hoeverre de business je betrekt. Als je goed meedenkt met de organisatie, dan word je eerder en beter aangehaakt op initiatieven – en heb je uiteindelijk meer impact op de compliance”, licht Vonne toe. “De business denkt nog wel eens: laten we met onze plannen maar niet langs het privacyteam gaan, want dan mag er misschien van alles niet. Ga daarom open in gesprek met de business en laat zien dat je nadenkt over juridische regels én over praktische oplossingen.”  

Vonne geeft het voorbeeld van een organisatie die met een nieuw ICT-systeem grote hoeveelheden persoonsgegevens wil verwerken. “Een memo over dataminimalisatie en wat er allemaal verboden is onder de AVG, is dan niet het meest effectief. Je kunt ook zeggen: als het systeem minder data gebruikt, dan werkt het mogelijk sneller. Of: als we scherp kijken naar de gegevens die we echt nodig hebben, dan er zijn misschien minder gegevens en daarmee minder (cloud) opslag nodig – wat het systeem goedkoper maakt.”

Belangstelling, flexibiliteit en standvastigheid 

DPO’s en FG’s die in staat zijn om te communiceren met oog voor de belangen en doelen van de business, zijn doorgaans oprecht geïnteresseerd in de organisatie, ziet Vonne. “Als je een sterke affiniteit hebt met de sector waarin de organisatie opereert, of met de maatschappelijke missie van de organisatie, dan kan je de beste vragen stellen. Hoe werkt het hier precies? Waarom gebeurt er wat er gebeurt? Vanuit een welgemeende belangstelling voor je collega’s ga je snappen wat de organisatie nodig heeft om compliant te zijn.”

Een grote uitdaging daarbij is volgens Vonne om de balans te vinden tussen flexibiliteit en standvastigheid. “Het is essentieel om feeling te hebben met de vragen en behoeften van de organisatie, en meegaan in de afwegingen die er worden gemaakt. Stel dat de business zegt dat het echt noodzakelijk is om een groot aantal mensen toegang te geven tot een database. Kan je dan zorgen voor andere waarborgen, zoals logging en monitoring? Aan de andere kant moet je ook nee durven zeggen als iets AVG-technisch gewoonweg niet kan. Je moet van geval tot geval inschatten en vaststellen wat er nodig is: meebewegen, of juist grenzen stellen.”

Leren in en van de praktijk 

Hoe versterk je vaardigheden in de dagelijkse werkpraktijk? Vonne adviseert om als Privacy Office bewust stil te staan bij de skillset die je als team nodig hebt om effectief te opereren. “Bespreek met elkaar welke kwaliteiten je in het team geborgd wilt hebben. Wie pakt welke soort vragen op? Hoe zorgen we ervoor dat we steeds de juiste vragen stellen? Hoe luisteren we goed naar de business? Hoe kunnen we bijdragen aan oplossingen – zelfs als een vraag strikt genomen niet zozeer gaat over de AVG of compliance?”

Daarnaast zijn evaluaties een kans om te leren, voegt Vonne toe. “Je kunt bijvoorbeeld standaard na een DPIA de leerpunten doornemen. Wat vonden de betrokken medewerkers goed gaan? Wat zijn eventuele verbeterpunten? Een andere optie is om enkele keren per jaar feedback te vragen aan een collega van je team en een collega met wie je hebt samengewerkt. Wat vindt je vakgenoot van je juridische analyse? Hoe ervaart de business je advies en werkstijl? Door beide perspectieven samen te brengen, krijg je inzichten om verder te groeien – als privacy-expert én als professional.”

Verschillende perspectieven  

De multidisciplinaire opleiding Certified Data Protection Officer (CDPO) is speciaal ontwikkeld voor gevorderde privacy professionals, die zich verder willen verdiepen in wet- en regelgeving en organisatievraagstukken. In tien opleidingsdagen vergroot je je vakkennis én de essentiële vaardigheden om succesvol te werken. In haar bijdrage aan de CDPO deelt Vonne actuele inzichten over privacy op de werkvloer.

“De bescherming van persoonsgegevens van werknemers is zeker een thema waarvoor een Privacy Office naast een gedegen juridische expertise ook sterke communicatieve vaardigheden nodig heeft”, zegt Vonne. “Er spelen issues die veel verder gaan dan AVG-compliance. Als een HR-team voor een juridische procedure data over een werknemer wil verzamelen, dan gelden er vanuit de AVG strikte regels. Maar onrechtmatig verkregen bewijs kan vaak wel worden meegenomen in een ontslagprocedure. Het is dan ook essentieel om de vraagstukken van de organisatie in een breder perspectief te plaatsen, en om oog te hebben voor de verschillende belangen.”