Aan de hand daarvan kan uw school nagaan of ze op de goede weg is met de AVG. Vandaag de eerste aflevering: de functionaris gegevensbescherming (verder: FG).
Is het aanstellen van een FG verplicht voor élke school?
Ja, elke school moet kunnen aangeven wie de FG is (artikel 37 AVG). Ook de Autoriteit Persoonsgegevens (de ‘privacy-inspectie’) benadrukt dat steeds in berichtgeving en het blijkt daarnaast uit een brief van minister Slob aan de Kamer eind vorig jaar. Deze verplichting rust op het schoolbestuur. Wel zijn er verschillende mogelijkheden om dit te doen en hoeft de persoon niet per se in loondienst te zijn.
Wat kan er gebeuren als ik geen FG heb?
Zodra er een incident of conflict is rond persoonsgegevens, bijvoorbeeld als een ouder een klacht indient, zal een FG als aanspreekpunt moeten fungeren. Als er dan naar de FG wordt gevraagd en die blijkt er niet te zijn, kan dit tot vervelende situaties leiden. Bovendien is het niet voldoen aan de verplichting om een FG aan te stellen direct zichtbaar voor de Autoriteit Persoonsgegevens vanwege de verplichte registratie van de FG bij de AP. Daarnaast heeft de AP aangegeven strenger te gaan controleren vanaf 2019. In de toekomst zal dat ook mogelijk consequenties kunnen hebben voor het goedkeuren van de jaarrekening en andere certificeringen als daarin gevraagd wordt te verklaren dat de school voldoet aan de AVG. Mocht er nog geen FG zijn aangesteld op school, dan is dus wel van belang om alsnog aan deze wettelijke verplichting uit de AVG te voldoen.
Waarvoor dient een FG’er?
De taken van een FG staan in de wet beschreven (artikel 39 AVG). De belangrijkste zijn:
- Toezicht houden binnen de school of de privacyregels correct worden toegepast.
- Namens de school contacten onderhouden met de Autoriteit Persoonsgegevens.
- Informeren en adviseren van bestuur, directie en personeel over de AVG en andere privacyregels.
- Vraagbaak zijn, klachten over privacy en datalekken afhandelen of zorgen dat dit gebeurt.
Hoe kom ik als school aan een FG?
Er zijn drie routes denkbaar:
1. U benoemt binnen de eigen school iemand als FG.
Aandachtspunt daarbij is dat deze persoon op voldoende afstand moet staan van het bestuur en de directie, omdat de FG een toezichthoudende rol heeft. Het kan wel, maar is vaak lastig in de praktijk te brengen, omdat zo’n persoon in een afhankelijkheidsrelatie zit als werknemer tot zijn werkgever wat het toezichthouden ook moeilijker kan maken.
2. U benoemt samen met andere schoolbesturen een interne FG, die de rol voor de verschillende scholen uitoefent.
Deze optie heeft als voordeel op optie 1, dat er meer afstand is tot bestuur en directie en de werkvloer waar toezicht wordt gehouden op het nakomen van de AVG. Van belang is om de werknemer die aangesteld of vrijgesteld wordt voor FG-taken daarvoor voldoende faciliteiten en ruimte te bieden.
3. U huurt een externe FG in, eventueel in gezamenlijkheid met andere schoolbesturen.
Net als scholen bijvoorbeeld aangesloten zijn bij een Arbodienst voor Arbo-zaken is het goed voor te stellen om aansluiting te zoeken bij een kantoor dat FG-diensten aanbiedt. Zo is gegarandeerd dat de wettelijke verplichtingen uit de AVG goed geborgd kunnen worden en hoeft er bovendien geen werknemer ‘vrijgespeeld’ te worden voor de privacy-taken.
In een eerder stadium hebben de VGS en VBSO de scholen geadviseerd over een concreet aanbod voor FG-dienstverlening via een externe partij. Via het FG-plein kan een school een externe FG inschakelen. Op www.fgplein.com wordt uitgelegd welke stappen u daarvoor moet nemen.