De Autoriteit Persoonsgegevens (AP) zal zijn capaciteit op het gebied van toezicht op privacywet AVG in eerste instantie vooral inzetten voor controle op aanwezigheid van een Functionaris Gegevensbescherming FG). Dat laat een woordvoerder van de AP weten aan Binnenlands bestuur. Een FG is iemand die binnen de organisatie toezicht houdt op de toepassing en naleving van de AVG.
De AP liet eerder al weten dat het de komende tijd vooral bezig zal zijn met voorlichting aan en ondersteuning voor organisaties. Handhaving zal vooral plaatsvinden wanneer er sprake is van opzettelijke of ernstige misstanden, zo stelde AP-voorzitter Aleid Wolfsen eerder. Ook dan zal er in de meeste gevallen eerst een last onder dwangsom worden opgelegd. Mocht een fout tijdig en afdoende hersteld worden, dan zal er in de meeste gevallen geen echte boete volgen.
Voorlichting belangrijke nieuwe taak AP
Voorlichting is een belangrijke nieuwe taak voor de AP, aldus eerdergenoemde woordvoerder. "Denk onder meer aan voorlichtingsbijeenkomsten, guidelines, informatie op de website en een regelhulp." Nieuw onder de AVG is dat iedereen vanaf 25 mei een privacyklacht bij de AP kan indienen. "We zijn verplicht iedere klacht in behandeling te nemen. Dat kunnen ook klachten over gemeenten zijn. Als we daarbij een overtreding constateren, zullen we ook handhaven."
Toch blijft er soms sprake van een tegengestelde boodschap. De woordvoerder geeft namelijk ook aan dat gemeenten die op 25 mei nog geen Functionaris Gegevensbescherming hebben, op weinig begrip van de AP kunnen rekenen. Hetzelfde geldt voor gemeenten die hun dienstverlening nog niet hebben aangepast aan de rapporten en adviezen van de AP. "Het is al twee jaar bekend dat de AVG op 25 mei geldt, er is dus ruim voldoende tijd geweest om voor te bereiden. Daarvoor is er al jaren onderhandeld over de wet."
FG in drie gevallen verplicht
De AP laat op zijn website weten in welke gevallen een FG verplicht is:
- Overheidsinstanties en publieke organisaties zijn altijd verplicht om een FG aan te stellen, ongeacht het type gegevens dat ze verwerken. Het kan gaan om de rijksoverheid, gemeenten en provincies, maar ook om zorg- en onderwijsinstellingen.
- Voor organisaties die vanuit hun kernactiviteiten op grote schaal individuen volgen. Het kan gaan om profilering van mensen voor het maken van risico-inschattingen, cameratoezicht en monitoring van iemands gezondheid via wearables. Relevant zijn onder meer het aantal mensen dat een organisatie volgt, de hoeveelheid gegevens die deze organisatie verwerkt en hoe lang de organisatie mensen volgt.
- Wanneer organisaties op grote schaal bijzondere persoonsgegevens verwerken (zoals operators en ISP's) en dit een kernactiviteit is. Bijzondere persoonsgegevens zijn bijvoorbeeld gegevens over iemands gezondheid, ras, politieke opvatting, geloofsovertuiging of strafrechtelijke verleden.
