Privacyprofessionals in het onderwijs: de FG en PO

Wat doet de Functionaris Gegevensbescherming (FG)?

Taken en verantwoordelijkheden

De FG heeft als voornaamste taak: toezicht houden op de naleving van de AVG. Iemand met deze functie bewaakt de naleving van de privacywetten en -regels en de manier waarop gegevens binnen het schoolbestuur worden verwerkt. Daarnaast geeft de FG advies aan het hoogste bestuur, bijvoorbeeld bij het uitvoeren van een DPIA. Vindt er een datalek plaats? Dan is de FG het eerste aanspreekpunt voor de Autoriteit Persoonsgegevens. Maar let op: de FG is niet eindverantwoordelijk of aansprakelijk. Dat blijft het bestuur. 

Geeft het schoolbestuur onder andere advies en beoordelingen over:

• DPIA's of audits
• Beveiligingsmaatregelen bij gegevensverwerking

Is het hebben van een FG verplicht in het onderwijs?

Voor schoolbesturen is het verplicht om een FG aan te wijzen, die direct onder het hoogste bestuursorgaan valt. Deze FG houdt dan toezicht over alle scholen onder dit bestuur. Losse scholen hoeven daarom niet zelf een eigen FG aan te stellen. 

Goed om te weten is dat de FG een onafhankelijk persoon is, en vooral ook moet blijven. Dit houdt in dat diegene bepaalde zaken zoals datalekken onafhankelijk moet behandelen. Heeft de FG nog een andere functie binnen het schoolbestuur? Dat kan in strijd zijn met de AVG en de betrouwbaarheid schaden. Je kunt zelfs een boete krijgen wanneer er belangenverstrengeling plaatsvindt! We raden het daarom af om de FG-functie te combineren.

Wat doet een Privacy Officer (PO)?

Taken en verantwoordelijkheden

De PO zorgt voor het uitvoeren, waarborgen en bewaken van het privacybeleid. Daarnaast geeft de PO advies aan andere ICT-collega’s. Iemand met deze functie is het dagelijkse aanspreekpunt bij privacyvraagstukken en is verantwoordelijk voor het bijhouden van verwerkersovereenkomsten en het verwerkingsregister. Daarnaast draagt de PO actief bij aan de bewustwording van collega’s. Denk aan het delen van tips over het veilig mailen en delen van persoonsgegevens. Vindt er een datalek plaats? Dan zal de PO dit coördineren.

Geeft ICT-collega’s onder andere advies over

• Naleving van de AVG
• Privacyvraagstukken van collega's
• Opstellen van procedures
• Bijhouden van verwerkersovereenkomsten

Is het hebben van een PO verplicht in het onderwijs?

Nee, dit is niet verplicht. Maar wanneer jullie een grote stichting zijn, is het wel handig om iemand hiervoor aan te stellen. De PO is onderdeel van de onderwijsorganisatie zelf, dit is dus geen onafhankelijke functie. 

Kun je de functies combineren in een school(bestuur)?

Nee, dit wordt sterk afgeraden. Dit is namelijk niet handig, omdat je als FG onafhankelijk moet zijn. Stel je maar eens voor: jij bent PO op je eigen school en er vindt een datalek plaats. Maar jij bent ook de FG. Hoe ga jij deze datalek dan onafhankelijk beoordelen over je eigen school?

En kan ik als BIC'er ook Privacy Officer zijn?

Heb je veel verstand van privacyzaken? Dan zou je op een kleine school ook de Privacy Officer rol op je kunnen nemen. Maar bij grotere schoolbesturen is het wel echt een aparte functie.