Googles chief privacy officer vertrekt en wordt niet vervangen

Googles chief privacy officer, Keith Enright, vertrekt in september bij het bedrijf. Hij was 13 jaar betrokken bij Google en daarbij verantwoordelijk voor het privacybeleid van Google. Het bedrijf wil niet langer dat één afdeling verantwoordelijk is voor al het privacybeleid.

Het bedrijf bevestigt onder meer aan Forbes dat Enright bij het bedrijf gaat vertrekken en niet wordt vervangen. Google zegt dat deze verandering een gevolg is van aangepast beleid, waarbij privacybeleid niet langer de verantwoordelijkheid is van één centrale afdeling, maar dat individuele product- en ontwikkelingsteams hier verantwoordelijk voor moeten worden. Dit moet er volgens Google voor zorgen dat meer mensen binnen het bedrijf werken aan het voldoen aan wetgeving, in samenwerking met teams die specifiek gericht zijn op wetgeving en privacy.

Enright was sinds 2018 chief privacy officer en vertegenwoordigde het bedrijf bij onderzoeken van bijvoorbeeld het Amerikaans Congres, de Federal Trade Commission en verschillende datatoezichthouders wereldwijd. Naast Enright vertrekt Matthew Bye, verantwoordelijk voor het voldoen aan mededingingsrecht binnen Google. Bye werkte vijftien jaar bij Google. Forbes meldt verder dat Google eind vorige maand 'meerdere' werknemers heeft ontslagen binnen het juridisch-onderzoeksteam. Dit team verzorgt dataverzoeken van onder meer politiediensten en gebruikers, bijvoorbeeld rondom gevallen van kindermisbruik en ontvoeringen.

Reacties (56)

[Batiatus]

Normaal gesproken verwacht je dat een Chief Privacy Officer de privacy strategie uitzet, beleid schrijft, requirements opstelt en met zijn team de compliance tot de voortgang monitort. Nu de CPO weg is ben ik benieuwd hoe zij dat voor zich zien. Eventueel kan je per ontwikkel en beheerteam privacy requirements opstellen en deze rapporteren. Ik ben gezien Google haar verleden rondom privacy issues, sceptisch.

[Reactie gewijzigd door Batiatus op 23 juli 2024 05:18]

[Xiz]

Het is Google, dus nu wordt ook op dit vlak de strategie volkomen versnipperd en onduidelijk.

[YopY]

Niet beslist, de verschillende privacy officers zullen natuurlijk met elkaar blijven praten en er zal een "chain of command" bestaan, ook vanuit de bredere "legal" hoek die bij Google ook niet mis zal zijn

[the_stickie]

Het is niet omdat een functie/titel verdwijnt dat de rol(len) daarmee verdwijnen.
In dit geval lijkt het me heel duidelijk dat met of zonder CPO Google nog steeds moet voldoen aan alle wetgeving.

In grote bedrijven (en overheden) is het vrij gebruikelijk om topmanagement aan te werven om beleid te maken rond bepaalde speerpunten. Soms blijft zo'n rol bestaan omdat en constante bijsturing nodig blijft (bijv minister van landbouw). Soms rond zo'n manager z'n taak ook af door bijvoorbeeld processen, verantwoordelijkheden en sturing te definiëren. Hierdoor kan de rol in topmanagement simpelweg niet meer nodig zijn.

[Batiatus]

Dat hoeft inderdaad niet zo te zijn. Die rol en verschillende verantwoordelijkheden kan je als organisatie elders beleggen. Maar bij een organisatie als Google die in verschillende rechtzaken is beland / boetes heeft opgelegd gekregen omtrent privacy verwacht ik dat je iemand aanstelt en aangesteld blijft houden op strategisch niveau. Alleen al om aan te tonen aan toezichthouders dat zij in ieder geval de schijn op willen houden dat ze iets om privacy van gebruikers geven. Deze functie laten verdwijnen geeft mij in ieder geval geen beter gevoel over Google en de bescherming van de privacy van gebruikers. Of ze de rollen van deze functie nu elders beleggen of niet. IMO hebben ze de schijn tegen in ieder geval.

[Mellow Jack]

Ik weet t niet. Ik werk ook ergens met een CPO en toch voelt het raar dat onze CISO niet gewoon privacy & security doet. Misschien is het maar wat je gewend bent?

[Vexxon]

Een duidelijk signaal hoe belangrijk Google privacy nou eigenlijk vindt

[brammetje1994]

Eens, ik vind dit geen goede zaak. Het is niet voor niets dat er vaak wordt aanbevolen om verantwoordelijkheid op het hoogste niveau te beleggen binnen een organisatie, omdat anders vaak het mandaat mist om beslissingen, welke consequenties hebben, uit te voeren/af te dwingen.

[Mellow Jack]

Waarom zou dit niet bij de chief legal Officer passen?

[brammetje1994]

Dat ligt eraan hoe je de CLO zou invullen. Vaak gaat legal tot de wet in de breedste zin, privacy wordt vaak naast wettelijke normen ook als ethiek gezien.

Ik refereerde meer dat een 'verantwoordelijke op top niveau voor privacy specfiek", omdat Google voldoende gegevens verwerkt dat dit voor hun als 'kerntaak' gezien kan worden.

[Mellow Jack]

Klopt maar in de praktijk heb je dus:
- chief legal officer
- chief people officer
- chief privacy officer

Een onderwerp zoals privacy moet dus door die 3 personen worden opgepakt. Nu nog maar door 2 personen.

[Reactie gewijzigd door Mellow Jack op 23 juli 2024 05:18]

[jmsaow]

Deze functie is overgenomen door de EU Brussel policy makers.

[CH4OS]

Is het bedrijf vanuit de GDPR/AVG niet verplicht tot het hebben van privacy officers? Ik ben benieuwd hoe men dit gaat invullen.

[The Zep Man]

Is het bedrijf vanuit de GDPR/AVG niet verplicht tot het hebben van privacy officers? Ik ben benieuwd hoe men dit gaat invullen.

Dat is de functionaris gegevensbescherming (data protection officer). Die rol werd en wordt bij Google ("Google LLC and its subsidiaries") vervuld door Kristie Chon Flynn.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 05:18]

[lenwar]

Die zullen per afdeling aangewezen worden? Kort door de bocht: Ieder bedrijf dat persoonsgegevens verwerkt moet die hebben. Waarschijnlijk zelfs de kaasboer om de hoek die een mailinglijst bijhoudt en ook postorder-bestelingen aanneemt (geen idee of je kaas per post mag versturen overigens maar even ter illustratie). Edit: Blijkbaar een verkeerd voorbeeld . Het gaat om 'op grote schaal'.
Het is onder aan de streep natuurlijk puur een titel voor een persoon die verantwoordelijk is voor bepaade zaken. Het hoeft niet de functie op je salarisstrook te zijn.

[Reactie gewijzigd door lenwar op 23 juli 2024 05:18]

[:murb:]

Niet ieder bedrijf hoeft die te hebben. Kleine bedrijven die niet op grote schaal persoonsgegevens verwerken, dus waarschijnlijk zelfs die kleine kaasboer die een kleine online winkel heeft, hoeven die dus niet te hebben, zie: https://www.autoriteitper...e/de-fg-in-uw-organisatie

[Quintiemero]

Gelukkig is dat niet het geval. Vooralsnog overheidsinstanties, organisaties die op grote schaal persoonsgegevens verwerken of grootschalige verweking van bijzondere en/of strafrechtelijke persoonsgegevens.
Dus nee de kaasboer absoluut niet.

[J_van_Ekris]

Nu ken ik de exacte juridische positionering van Google/Alphabet niet t.a.v de AVG, maar zijn ze niet gewoon wettelijk verplicht een DPO te hebben?

[RvdDungen]

Ja, maar dat is dan weer wat anders dan een Chief Privacy Officer.

[brammetje1994]

Precies, sterker nog, een DPO (Data Protection Officer of Functionaris Gegevensbescherming) moet een afstand hebben tot de uitvoerende taken welke mogelijke belangenverstrengeling tot gevolg kan hebben. Je kan werkzaam zijn voor Google, maar dat doe je dan in connectie met de lokale autoriteit (in ons geval Autoriteit Persoonsgegevens). Een DPO/FG mag volgens het AP "...niet ook een functie mag hebben waarin deze het doel en de middelen van een gegevensverwerking bepaalt".

In het geval van Google zou de CPO niet een DPO/FG moeten zijn. De CPO maakt namelijk een strategie/visie of policies. De FG moet hierop toezien, adviseren en controleren.

[RvdDungen]

Dat klopt inderdaad helemaal. Bedankt voor de aanvulling.

[Littlemarc]

Ze zijn verplicht de functie te hebben maar dit hoeft geen enkele fte te zijn.

De functie kan worden belegd bij de compliance afdeling en kan over meerdere personen worden gedragen. Allemaal moet je wel gaan registeren als contactpersoon zodat de gegevensbeschermings authoriteit deze kan vinden.

[Coder71]

Als dat zo doorgaat is privacy en aansprakelijk daar binnenkort ver te zoeken...

[NSG]

Alsof je nu wel enig vorm van privacy hebt bij de diensten van Google?

[YopY]

Zeker wel, alleen omdat Google zo groot is en zoveel producten etc heeft voelt het alsof dat niet zo is. Maar ze zijn gewoon onderhevig aan internationale, Europese en Nederlandse wetten op het gebied van privacy, en dat wordt regelmatig gecontroleerd.

[kimborntobewild]

Nevertheless vind ik dat 't illegaal zou moeten zijn dat er wordt gedaan aan datavergaring zoals url's, zoekopdrachten, telemetry zoals waar de muis is en hoe lang die daar staat, en andere muisbewegingen, etc. etc. Jaren geleden was al bekend dat bijv. Facebook meer dan 700 verschillende variabelen van je gedrag opslaat. Verbieden al dat soort dingen.

[Mellow Jack]

Dat mag jij misschien wel zo vinden maar volgens Amerikaanse wetgeving zijn persoonsgegevens niet perse zo beschermd. Een Google doet wereldwijd zaken. Wij Hollanders/Europeanen zijn een soort uitzondering t o.v. 90% vd wereldbevolking

[kimborntobewild]

In Europa wordt de privacy al niet goed beschermd. (Alleen al het simpele feit dat tracking is toegestaan. En het feit dat een website mag checken of jij bepaalde software draait (zoals ad-blockers). Dat hoort een website helemaal niet te mogen doen.)

Als het in de USA slechter is, dan is dat afkeurenswaardig.

[mrmrmr]

Je hebt een grote roze bril nodig om dit te kunnen zeggen. Vast staat dat Google niet voldoet aan de GDPR en daarvoor hebben ze vele boetes ontvangen. Het probleem is dat ze liever een juridisch team overbetalen dan inkomsten verliezen.

In 2012 al besteden Apple en Google meer aan juridische kosten dan aan research & development. In 2022 zijn de juridische kosten nog veel hoger geworden.

Google's Recaptcha bijvoorbeeld voldoet niet aan de GDPR. Je hebt vooraf toestemming van de gebruiker nodig om het te kunnen gebruiken, maar dat ontbreekt in letterlijk alle implementaties die ik in de praktijk heb gezien. Dan kun je wel zeggen dat dat een implementatiefout is, maar alles wijst erop dat Google het wel goed vind. Ze gebruiken niet voor niets google.com zelf, en lezen dus de google.com cookie uit.

[Cergorach]

Lezen we überhaupt verder dan de clickbait titel?

Google zegt dat deze verandering een gevolg is van aangepast beleid, waarbij privacybeleid niet langer de verantwoordelijkheid is van één centrale afdeling, maar dat individuele product- en ontwikkelingsteams hier verantwoordelijk voor moeten worden.

Die ene hoge positie wordt dus niet langer ingevuld, maar vervangen door heel veel lagere posities. Dat is imho een goede ontwikkeling omdat men dan bezig kan zijn met privacy voor elk specifieke product ipv. een hoge flyover.

[IngamerX]

Dat heeft iedereen wel gelezen kan ik je vezekeren

Gekkigheid; die mensen weten niet wat wet en regelgeving zijn rondom privacy. Welke richtlijnen er bestaan en welke maatregelen daarvoor proportioneel zijn. Dit is een verkapte bezuiniging en plat stampen van een hobbel op de weg.
Wat je dik gedrukt hebt is een politieke wegwuif statement.

[The Zep Man]

Wat je dik gedrukt hebt is een politieke wegwuif statement.

Corporate jargon, ook wel PR/marketing speak genoemd.

[Cergorach]

Dat heeft iedereen wel gelezen kan ik je vezekeren

Wat je dik gedrukt hebt is een politieke wegwuif statement.

[KoffieAnanas]

Uhm, dat zou sowieso al het geval moeten zijn. De clickbait titel is in dit geval terecht.

[Coder71]

Het punt dat ik probeerde over te brengen is dat ik het onbegrijpelijk vindt dat er niet één afdeling/persoon aansprakelijk is binnen zo'n groot bedrijf. Natuurlijk hoort er bij elk project/team er aandacht voor te zijn, dat zijn ze verplicht, maar je verwacht een eindverantwoordelijke binnen het bedrijf.

[watercoolertje]

maar je verwacht een eindverantwoordelijke binnen het bedrijf.

Die is er toch ook (ten alle tijden), alleen niet meer de CPO in dit specifieke geval.

[Reactie gewijzigd door watercoolertje op 23 juli 2024 05:18]

[latka]

Precies, de ceo er nog even uit en alles beleggen op de plek waar de meeste kennis is: bij de product owner

[Cergorach]

Je maakt een geintje, maar Google heeft in het verleden al het trucje gedaan van hele buts er uit, allemaal aparte entiteiten en *plop*, we gooien Alphabet er boven al holding. Zo iets zou ook prima kunnen gebeuren bij alle verschillende Google producten.

Daarnaast is de CEO de Sineater voor het bedrijf, uiteindelijk verantwoordelijk voor alles, daar kan je eigenlijk niet zonder. De Chief Privacy Officer is altijd puur nog een andere schakel geweest in het verhaal, waar je in theorie zonder zou kunnen, het schilders bedrijf om de hoek heeft ook geen CPO of CTO... Google is natuurlijk een iets ander verhaal, maar ik kan me zo voorstellen dat dit een trede lager geregeld moet worden door de PPO...

[dez11de]

Het is niet alsof het deze heren nou echt gelukt is om van Google een privacy first denkend bedrijf te maken.
Nu mogen anderen het proberen. Lijkt me beter.

[lenwar]

Het is onder aan de streep natuurlijk een keuze, maar het lijkt mij persoonlijk een beter idee als er een afdeling is die monitort of alle afdelingen wel het algemene high-level beleid volgen.

Kijk naar afdelingen die beveiliging monitoren. Iedere afdeling is verantwoordelijk voor de beveiliging van hun product, maar door er centraal op te monitoren, heb je er wel meer grip op.

[The Zep Man]

Het is onder aan de streep natuurlijk een keuze, maar het lijkt mij persoonlijk een beter idee als er een afdeling is die monitort of alle afdelingen wel het algemene high-level beleid volgen.

Ze zullen wel een afdeling compliance hebben, vermoed ik. Zie Phil Venables.

Phil Venables is the Chief Information Security Officer of Google Cloud, where he leads the risk, security, compliance and privacy teams.

Nu is Google Cloud natuurlijk maar een onderdeel van Alphabet, maar niet een geheel onbelangrijk of klein deel.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 05:18]

[Simon Weel]

Als iedereen verantwoordelijk is, dan is niemand verantwoordelijk. Goeie zet.

[lenwar]

Dat staat er niet. Afdelingen worden zelf verantwoordelijk voor hun stukje. Het is niet ongebruikelijk dat er mensen binnen een team een bepaalde verantwoordelijkheid krijgen.

Uiteindelijk is 'iedereen verantwoordelijk voor beveiliging/privacy/compliancy/enz'. Maar er zal altijd één poppetje 'eindverantwoordelijk zijn'. Google heeft er nu voor gekozen om de verantwoordelijkheid voor 'privacy' (wat dat ook moet inhouden bij Google-producten) niet meer bij één poppetje liggen, maar bij meerdere personen, en dat dus blijkbaar per afdeling.

Ik heb hier overigens wel een mening over , en ik zie dit niet als een positief iets

[Simon Weel]

Afdelingen en teams worden verantwoordelijk voor het privacy-beleid. Afdelingen en teams vertaalt zich naar het personeel. Dus iedereen. En dan is niemand meer verantwoordelijk. Kijk maar naar zoiets als Boeing - iedereen is verantwoordelijk voor de kwaliteit, dus niemand doet wat. Of de toeslagen-affaire; bij de hoorzittingen toonde geen van de betrokkenen zich verantwoordelijk voor het drama. En zo kan ik nog wel even doorgaan. Als iedereen verantwoordelijk is, dan is de gedachte blijkbaar dat 'een ander' de zaak wel in de gaten houd....

[lenwar]

Daar is echt niks algemeens over te zeggen.

Als je stelt dat iedere afdeling zelf verantwoordelijk is voor onderwerp ABC binnen het stuk waar zij voor verantwoordelijk zijn, in plaats van dat ABC centraal wordt geregeld, wil dat niet zeggen dat iedereen dan maar (niet) verantwoordelijk is. Binnen de afdelingen moet er dus iemand aangewezen worden die zich daar druk om gaat maken.
Het voordeel van het binnen het team houden, is dat ze inhoud kennen.

Dus in plaats van dat er één grote verantwoordelijke voor privacy is waar de verantwoordelijken van de teams van Google Earth, Google Pay en Google Fit aan rapporteren, dit dus niet meer aan die ene persoon moeten doen. Dus niet iedere codeklopper van Google Maps en Google Chrome zal die verantwoordelijkheid individueel hoeven dragen.

Ik zeg nadrukkelijk niet dat ik het een goed idee vindt hoor, wat Google nu doet, maar je gaat er wel echt heel kort doorheen

[luckylucas]

dat is jammer zeg staat er bij waarom hij vertrekt uit google?

[Deleon78]

Waarom nou weer een clickbait ipv aangeven dat ze decentraliseren?

(“Gebruik de feesback-knop!” Ja dat wilde ik ook, maar hij maakt niet gelijk een topic met relevante naam, dus dan moet ik de link weer gaan ophalen en de titel kopiëren etc. Het wordt niet echt aangemoedigd op die manier om het op de gewenste manier te doen)

[jpfx]

Omdat het de vraag is of decentralisatie wel een wenselijke situatie is, en ook deze titel de volledige lading dekt.

Het is natuurlijk vreemd als er maar één persoon zich met privacy bezig hield. Voor een bedrijf met de omvang van Google kan je je afvragen of dat wel voldoende overzicht geeft. Decentralisatie is dan op zich een prima zet. Wat ik mij dan wel afvraag, is waarom er niet één persoon eindverantwoordelijk is. Wie gaat de losse onderdelen controleren? Het zijn allemaal slagers die hun eigen waar keuren in mijn beleving, en dat is denk ook niet de juiste weg.

[lenwar]

Het is natuurlijk vreemd als er maar één persoon zich met privacy bezig hield.

Dat staat er niet 😊

De CFO is ook niet de enige die zich bezig houdt met financiën bij een bank. Er was één persoon eindverantwoordelijk voor het beleid. Dat is het wat anders.

De CPO is dan precies de persoon die je beschrijft. En die zou ook iets van een afdeling moeten hebben waar die persoon sturing aan geeft.

[Reactie gewijzigd door lenwar op 23 juli 2024 05:18]

[Deleon78]

Whoa nu uit je een mening over wenselijkheid. Wat heeft dat met een nieuwsbericht te maken?

[Lagonas]

Maar ondertussen is een heel verhaal met verklaring er onder typen niet net zo veel werk?

Ik vind de titel persoonlijk ook wat clickbait overkomen, maar je verklaring om niet de feedback knop te gebruiken is onzin

[Deleon78]

Ik denk dat je bedoelde te zeggen dat je het niet met me eens bent over de drempel om feedback te geven.
Dat is helemaal prima.

Mij weerhoudt het e van het geven van feedback. Als dat het doel is, prima. Als het een serieus doel is om feedback op te halen, zou je er wat mee kunnen doen. Bv standaard een topic aanmaken en linken.

[ArawnofAnnwn]

Gezien de meerdere leaks de afgelopen dagen van interne gegevens van Google die, naar verwachting, tot serieuze rechtzaken gaat leiden, is dit niet geheel onverwacht.

Denk dat die man 13 jaar op vakantie was, gezien het gebrek aan privacy en alle schandalen er omheen.

Don't be evil werd Don't be evil

[hahaha]

Kennen we deze nog?

Don't be evil. We believe strongly that in the long term, we will be better served—as shareholders and in all other ways—by a company that does good things for the world even if we forgo some short term gains.