Nederlands Register voor Functionarissen voor Gegevensbescherming is actief

Het Nederlands Register voor Functionarissen voor Gegevensbescherming is actief. In dat register kunnen zulke fg's worden opgenomen, die nu vaak verplicht zijn in organisaties en overheden. De database is bedoeld voor transparantie en 'versterking van de kwaliteit van de fg'.

Wat is een fg?

Een functionaris gegevensbescherming is een persoon die binnen een organisatie of overheidsinstelling verantwoordelijk is voor toezicht op alle gegevensverwerking. Deze persoon moet een onafhankelijke functie hebben en is in de praktijk ook een schakel met de Autoriteit Persoonsgegevens. Onder de AVG is het voor organisaties van een bepaalde grootte en voor iedere overheidsafdeling verplicht een fg aan te stellen en die aan te melden bij de AP. De AP heeft in het verleden meermaals opgetreden tegen het slechte functioneren van fg's bij gemeenten, zoals in Almere en in Amsterdam.

Het Nederlands Register voor Functionarissen voor Gegevensbescherming is sinds donderdagmiddag actief, al is er op dit moment nog geen doorzoekbare database. Wel kunnen functionarissen gegevensbescherming, ofwel fg's, zich nu al aanmelden bij het register. In de toekomst moet het register wel volledig doorzoekbaar worden.

Het register is onder andere bedoeld om doorzoekbaar te zijn, zodat iedere burger of klant kan zien welke fg waar werkt. Ook is dat handig voor toezicht; nu houdt met name de Autoriteit Persoonsgegevens dat toezicht, maar door het register zouden ook andere partijen of media bijvoorbeeld onderzoek kunnen doen naar de staat van de functie. Daar staat tegenover dat het niet verplicht is voor fg's om zich in het nieuwe register in te schrijven, waardoor dat dat mogelijk niet compleet is. Een fg moet zich daarentegen wel verplicht aanmelden bij de Autoriteit Persoonsgegevens. Verder is het doel van het register om 'de kwaliteit en onafhankelijkheid van de fg te versterken' en om 'duidelijkheid te bieden over functie-eisen zoals de AVG voorschrijft'.

Het register wordt beheerd door een stichting, de Stichting het Nederlands Register voor Functionarissen voor Gegevensbescherming. Die moet nog worden samengesteld. Momenteel is er een interimbestuur van vijf personen actief, maar dat zoekt naar onder andere een voorzitter, secretaris en penningmeester. Het register is een initiatief van het vorige kabinet, waarin de minister voor Rechtsbescherming in 2024 opdracht gaf het register op te zetten. "Dit register helpt bij de professionalisering van de fg en biedt duidelijkheid waar de AVG dat soms niet doet", schrijft de organisatie.

Update, 14.59 uur - in het uitlegkader stond aanvankelijk dat een fg verantwoordelijk is voor de gegevensverwerking in een organisatie. Dat is onjuist; deze functie is juist een interne toezichthouder.

Reacties (34)

[FrankSpin]

Typisch nederlandse gang van zaken. Stichting opgericht door bestuurder van MOS B.V. "MOS bv ondersteunt als fullservicebureau netwerkorganisaties (veelal beroepsverenigingen) en hun bestuurders met diensten op het gebied van management,"

Zie ook: https://www.mos-net.nl/nl...e-opdracht?originNode=105

Register draait dan op de software van https://www.procurios.com/nl/, waar mos ook weer partner van is.

Inschrijven in register kost 150 per jaar ex btw: https://www.nrfg.nl/nl/in...t-register.-hoe-werkt-het, in register wat niet verplicht is, dus nooit goed beeld geeft. Bovendien heeft de acm al verplicht register?

Is i.i.g. wel goed verdienen blijkbaar, bestuurder woont op erf van bijna 20.000m2 met waarde van rond de 1.5 miljoen. Google maar op pleun beheer, mos beheer etc.

[swhnld]

Ik vind het ook een slecht initiatief. We hebben bij de KvK al gezien hoeveel ellende openbare registers met zich meebrengen. Er is al een register bij de AP, daar zou ik het zeker bij houden als FG als ik privacy van mijzelf serieus neem.

[Amandess]

Precies mijn gedachte.

Nu ik dit lees ben ik minder geneigd om FG te willen worden als ik weet dat mijn organisatie mijn naam dan mogelijk zou willen inschrijven in zo'n openbaar register met alle ellende van dien.

[Ghostier]

Ze zouden je mogelijk willen inschrijven maar moeten jouw dan nog wel om toestemming vragen als FG, aangezien je als FG net zo goed recht hebt op privacy vanuit de AVG. Dus als je als FG je gegevens niet wil delen, dan mogen die niet in zo'n register. Eerlijk gezegd denk ik dat zo'n register beter is voor de generieke e-mail adressen van de bewakende FG's. (Dus niet de persoonlijke, als FG bewaak je namelijk precies dat, het gebruik van persoonlijke gegevens, dan ga je die van jezelf niet vergeten mee te nemen in die bewaking)

[Floort]

Ik hoop dat deelnemende FGs bekend zijn met wat artikel 7(4) van de AVG te zeggen heeft over het leveren van een dienst afhankelijk maken van toestemming.

Het doel van het register is niet om contactgegevens van FGs bekend te maken. Die moeten al lang bekend zijn. Het doel van het register is dat het een soort kwaliteitskeurmerk is.

[Cyberpuppy]

Er is al een lijst. Dus hoe deze opzet dan ook maar iets bijdraagt aan kwaliteit is mij vooralsnog een gigantisch raadsel.

[Floort]

Als ik de plannen van het NRFG mag geloven komen er allerlei opleidings-eisen en kwaliteitscontrolemechanismen. Een raadsel zie ik niet zo snel. Ik ben wel skeptisch over de haalbaarheid als men zich genoodzaakt voelde om het register te lanceren voordat daar helderheid over gegeven kan worden.

[Cyberpuppy]

Dat zal best, maar een dubbele lijst maken voegt daar nog steeds niks aan toe.

Behalve natuurlijk dat inschrijving in die lijst centjes kost en straks natuurlijk ook nog een accreditatie en audit. De consultantsclubjes zijn zich al warm aan het lopen langs het veld.

[Floort]

Je mag best sceptisch zijn over de effectiviteit, maar het NRFG reduceren tot slechts een lijst is niet juist. Het is ook een gedragscode met kwaliteits-eisen en aangekondigd toezicht daarop. En zowel de registraties bij de AP als bij het NRFG zijn niet zomaar inzichtelijk. Die van de AP is niet publiek beschikbaar. En bij het NRFG zou je alleen moeten kunnen verifieren of een FG erin staat als je diens naam en woonplaats weet. Omdat beide over het algemeen niet bekend worden gemaakt is ook het NRFG praktisch niet in te zien.

[Eek8]

Dat inderdaad plus wanneer je al even in die wereld werkt dan heb je al andere certificeringen zoals CIPP/E. Die ook als doel hadden een uniforme kwaliteitsaanduiding. Voelt een beetje als de zoveelste en dan ook nog met een bepaalde impliciete druk erachter.

Er staat ook nog voor zover mij bekend niet bij welke andere opleidingen zij accepteren

[Reactie gewijzigd door Eek8 op 16 mei 2025 21:57]

[kodak]

Het Centrum voor Informatiebeveiliging en Privacybescherming heeft in 2023 een onderzoek gedaan waaruit kennelijk bijvoorbeeld valt te concluderen dat een register kan bijdragen aan een 'kwaliteitsimpuls'. En dat lijkt een reden voor het oprichten. Maar wat ik nergens lees is onder welke voorwaarden dat dan een redelijke aanname is, wat de minimale grenzen aan de kwaliteit zijn en of deze keuzes daar dan aan voldoen.

Het deelnemen is niet verplicht, het kost geld, het kost extra moeite en legt kennelijk 'vrijwillig' de keuze op om regels te erkennen die niet duidelijk overeenkomen met de wettelijke grenzen. Wil of kan een FH aan één van die kenmerken niet voldoen dan voldoet een FG bijvoorbeeld prima aan realistische kwaliteit, maar is dat niet via dit register geregeld. Het is op deze manier een wc-eend register. Het zegt hooguit iets over wie wel mee wil doen. Maar dar heeft kennelijk nauwelijks tot geen aantoonbare waarde buiten die groep, terwijl wat er buiten die groep bestaat waarschijnlijk vele malen groter is. Natuurlijk kan die groep van de stichting dan voor eigen kwaliteit gaan zorgen, maar dat is dan niet zomaar representatief, laat staan voor heel Nederland. En als register is het op deze manier weinig anders dan een 'leden'administratie van een selectie van alle functionarissen. De rest is gewoon niet aangesloten of zelfs aangesloten bij een eigen gevormde groep die hun eigen kwaliteit na streven. Wat net zo goed of zelfs beter kan bijdragen aan een 'kwaliteitsimpuls'.

[Reactie gewijzigd door kodak op 16 mei 2025 15:39]

[Floort]

Ongemakkelijk wel dat het register nog geen mechanismen heeft om naleving van kwaliteits-eisen en de gedragscode te controleren of te handhaven. Ook bevat de gedragscode wat ongemakkelijke elementen. Zo wordt de FG verantwoordelijk gehouden voor het niet ontvangen van inhoudelijke instructies (2.a en e van de gedragscode) terwijl de FG daar niet verantwoordelijk voor is. De gedragscode bevat geen mechanismen om de verwerkingsverantwoordelijke aan te spreken op dergelijk onrechtmatig gedrag en de gedragscode bevat ook geen voorschrift over hoe de FG om moet gaan met het ontvangen van dergelijke onrechtmatige instructies.

[eheijnen]

Wanneer ben je dan FG c.q. wie bepaalt dat?

[ThaStealth]

Elk bedrijf wat met persoonsgegevens werkt moet iemand aanwijzen. Bij kleine bedrijfjes is dat vaak de eigenaar, bij grotere bedrijven is het een aparte rol.

[Quintiemero]

Gelukkig niet! De FG is slechts in bepaalde situaties verplicht (overheidsinstanties), bij bepaalde hoeveelheid verwerkingen & veel gezondheidsgegevens .e.d. verwerken.

[Floort]

Wat @Quintiemero zegt, maar ook: de eigenaar aanwijzen als FG is hardstikke onrechtmatig. Een goede FG zou een dergelijke belangenverstrengeling niet accepteren.

[Quintiemero]

Als je bent aangemeld bij de AP. Ook als je een FG 'vrijwillig' aanstelt, moet je je nog steeds aan de wettelijke verplichting houden. De AP raad het aan als best practice, maar het kan je ook een flinke boete opleveren als je dan niet aan alle verplichtingen voldoet.

[Quintiemero]

De toelichting 'Wat is een FG' klopt niet. De FG is bij uitstek niet verantwoordelijk voor gegevensverwerking. Dat is en blijft het bestuur. En operationeel gezien de manager/proceseigenaren. Ook weet ik niet of het slechte functioneren van FG de juiste terminologie is. Het gaat daar meer over de wijze van inbedding in de organisatie dan dat de FG zelf slecht functioneert. Maar idd meer dat de FG de rol niet goed kan uitvoeren. Zo zie je in het bedrijfsleven nog te vaak een FG met een dubbele pet.

[Reactie gewijzigd door Quintiemero op 16 mei 2025 10:40]

[Botmeister]

Er is verantwoordelijkheid (responsibility) en eindverantwoordelijkheid (accountability). De omschrijving in het artikel is inderdaad een beetje onduidelijk, maar niet perse foutief. Zie het RACI-model.

[Quintiemero]

De FG is zowel geen 'R' als 'A'. Zou gek zijn, want daar zie ik al een dubbele pet. De FG is ook niet 'responsible'. De FG zit dan in 'C' van Consulted

[Floort]

De AVG is duidelijk over zowel verantwoordelijkheid en accountability. De verwerkingsverantwoordelijke is accountable voor de rechtmatigheid van de verwerking onder artikel 5 van de AVG, niet de FG. Het kader met uitleg over de FG klopt op dit punt echt niet. De FG houdt toezicht op de verwerking maar is er niet verantwoordelijk voor. Je kan niet verantwoordelijk zijn als je niet bepaald hoe en met welk doel de verwerking plaatsvind. Je kan ook niet accountable zijn voor zaken waarvan je niet kan bepalen hoe ze worden uitgevoerd. De FG kan niet accountable zijn voor een goede naleving van de AVG omdat de verwerkingsverantwoordelijke botweg tegen het advies van de FG in dingen kan doen die niet mogen.

[Floort]

De omschrijving in het artikel is gecorrigeerd omdat het onjuist was.

[Sachertorte]

Dit heeft toch iets tegenstrijdigs

[bzzzt]

Dat lijkt paradoxaal, maar als je er over nadenkt is het best logisch: je wil transparantie over de manier waarop bedrijven met verantwoordelijkheid voor privacy omgaan.

[swhnld]

Daar heb je dan als bedrijf een privacy policy of privacy statement voor die je op je website publiceert. Afhankelijk hoe groot je bedrijf is zitten daar een of meerdere personen of afdelingen achter die opvolging kunnen geven op meldingen.

En we hebben al gezien hoe hufterig mensen zich kunnen gedragen als ze mensen bij naam kennen en achterhalen waar die wonen. Van woningen die beklad worden, ramen ingegooid, tot bezoek van mensen met fakkels of explosieven voor de deur, heb je de afgelopen jaren in het nieuws kunnen lezen.

Aangezien er gewoon een verplicht besloten register is, zou ik het daarbij houden, en adviseren niet mee te doen aan deze scam, het is gewoon zoiets als vroeger dat je bij de KvK ingeschreven stond en dan gebeld werd dat je ook in een ander register kwam en tegen betaling een prominentere plek zou krijgen. Waarom zou je 150 Euro per jaar betalen om je privacy te grabbel te gooien?

[bzzzt]

Daar heb je dan als bedrijf een privacy policy of privacy statement voor die je op je website publiceert. Afhankelijk hoe groot je bedrijf is zitten daar een of meerdere personen of afdelingen achter die opvolging kunnen geven op meldingen.

Ok, maar hoe ga je verifiëren of bedrijven daadwerkelijk zo'n afdeling hebben? Er zijn genoeg bedrijven die zich verstoppen achter een rookgordijn 'een medewerker neemt binnenkort contact met u op' en helemaal geen intentie hebben zich aan de regels te houden.
Je kan dit ook zien als een mogelijkheid om betrouwbaarder over te komen.

En we hebben al gezien hoe hufterig mensen zich kunnen gedragen als ze mensen bij naam kennen en achterhalen waar die wonen. Van woningen die beklad worden, ramen ingegooid, tot bezoek van mensen met fakkels of explosieven voor de deur, heb je de afgelopen jaren in het nieuws kunnen lezen.

Er zijn incidenten geweest, maar ik vind het enigszins kort door de bocht door dit als verwachting neer te zetten.
Iemand met voldoende 'motivatie' kan ook werknemers vanaf de parkeerplaats naar huis volgen. Of op andere manieren te weten komen wie een bepaalde functie binnen een bedrijf heeft. (wedden dat je - als je een gemiddeld bedrijf belt en vraagt naar de privacy officer - heel snel een naam te pakken hebt?)

[Cyberpuppy]

Controleren en handhaven is een taak van de overheid. Die wordt tegenwoordig al te vaak bij burgers of bedrijven gelegd. Oftewel dit uitzoekwerk zou ik als burger niet moeten hoeven doen. Kijk op website of er een functionaris is, als je daar behoefte aan is. Indien functionaris niet te vinden is maak je melden bij de AP.

Die incidenten moet je tegenwoordig helaas serieus nemen. Ik ken al winkels waar men niet meer de echte naam op de badges heeft staan. Puur om het personeel tegen agressie en seksueel geweld te beschermen.

Zelfde als een slot op de deur. Volgens jou niet nodig, want een inbreker met voldoende motivatie neemt wel een shovel mee.

[bzzzt]

Controleren en handhaven is een taak van de overheid. Die wordt tegenwoordig al te vaak bij burgers of bedrijven gelegd. Oftewel dit uitzoekwerk zou ik als burger niet moeten hoeven doen. Kijk op website of er een functionaris is, als je daar behoefte aan is. Indien functionaris niet te vinden is maak je melden bij de AP.

Maar dan kom je dus op de lijst van de AP en kan het maanden duren voor je nou weet hoe het zit. (al geven bedrijven waarbij dat schimmig is natuurlijk een overduidelijk signaal af). Er zijn voor verschillende beroepsgroepen al registers, ik vind dit niet heel anders of bijzonder risicovol waardoor hier andere regels moeten gelden dan voor bijvoorbeeld zorgverleners.

Die incidenten moet je tegenwoordig helaas serieus nemen. Ik ken al winkels waar men niet meer de echte naam op de badges heeft staan. Puur om het personeel tegen agressie en seksueel geweld te beschermen.

Puur symboolpolitiek. Iemand wordt niet ineens minder agressief omdat er een valse of geen naam op de badge staat.

Zelfde als een slot op de deur. Volgens jou niet nodig, want een inbreker met voldoende motivatie neemt wel een shovel mee.

Dat klopt deels. Een slot werkt niet tegen inbrekers die echt naar binnen willen. Je voorkomt er hooguit wat gelegenheidsdiefstal mee en de verzekering stelt het verplicht als je wil claimen dus is het niet volledig nutteloos.

[CivLord]

Controleren en handhaven is een taak van de overheid. Die wordt tegenwoordig al te vaak bij burgers of bedrijven gelegd.

Het probleem is dat de partijen die fors inzetten op controleren en handhaven dezelfde partijen zijn die fors inzetten op een kleinere overheid (want te veel regeltjes en te duur), waardoor juist dat controleren en handhaven voortdurend beknot wordt door bezuinigingen en reorganisaties.

Daarnaast is er niets mis mee wanneer er in een organisatie iemand meekijkt om te beoordelen of het bedrijf de zaken wel goed aan pakt. Wanneer jij iets gedaan hebt zal je het ook nog een keer controleren, voordat je door gaat naar je volgende klus. Misschien laat je het ook nog even door een collega nakijken.

[T_Spirit]

Een nieuwe database om phishing op uit tevoeren?

[biomechanical]

Vraag mij af wat de straf is als men zich niet aanmeld. Er zijn/waren veel van dit soort registers waar men zich bij moet/moest aanmelden en die bekeken niet volledig (naar waarheid) ingevuld.
Denk aan de hartchirurgen in het amphia bijvoorbeeld. Die moesten hun bedrijf in een register registreren (tegen belangenverstrengeling) en veel stonden er niet in.

[FrostyPeet]

Al die registers zijn ook wel een leuk verdienmodel geworden in de loop der jaren. Ik kom ze (te) vaak tegen. Moet er weer een voorzitter komen, een secretaris, wat mensen voor website content etc. Geeft ook een zweem van legitimiteit en vakmanschap. En de leden maar betalen. Het liefst nog een keurmerk erbij en dan is het helemaal "af".

Het is nog even wachten op het Register Voor Erkende Tweakers Verkopers

[SkiFan]

Goed om te zien dat er hierin een professionaliserings-slag gaande is.

Ik ben sinds kort met de master gegevensbescherming en privacy-recht bezig aan de OU die onder andere hiertoe opleidt.