Op 25 mei 2018 ging de Algemene verordening gegevensbescherming in. In de weken daarvoor stroomden de inboxen vol met mails van bedrijven die toestemming vroegen om je te blijven mailen. Achter die mails zat een verandering die verder reikte: organisaties moesten ineens kunnen aantonen hoe ze met persoonsgegevens omgaan. Daarmee ontstond een nieuw werkveld.
Waarom de vraag groeit
Elke organisatie verwerkt persoonsgegevens. Van klanten, medewerkers, sollicitanten, leveranciers, patiënten. De AVG stelt eisen aan hoe dat gebeurt: met een doel, niet meer dan nodig, goed beveiligd en niet langer bewaard dan noodzakelijk. Bij een datalek moet er binnen 72 uur een melding naar de Autoriteit Persoonsgegevens. Wie dat niet op orde heeft, riskeert boetes en reputatieschade.
Daarvoor is kennis nodig die veel organisaties niet in huis hebben. Een Privacy officer zorgt ervoor dat de organisatie de regels kent en naleeft. Hij brengt in kaart welke gegevens er worden verwerkt, stelt beleid op, beoordeelt nieuwe systemen en is het aanspreekpunt bij vragen en incidenten.
Verschillende rollen
In het werkveld bestaan meerdere functies naast elkaar. De functionaris gegevensbescherming, of FG, is een wettelijke rol die verplicht is voor overheidsinstellingen en voor organisaties die op grote schaal gevoelige gegevens verwerken. Een FG houdt intern toezicht en heeft een onafhankelijke positie. De privacy officer is meer uitvoerend en adviserend. Hij helpt afdelingen om privacy in hun dagelijkse werk in te bouwen.
Er zijn ook privacyjuristen, informatiebeveiligers en consultants die organisaties van buitenaf helpen. In kleinere organisaties combineert één persoon vaak meerdere van die taken.
Hoe je erin terechtkomt
Er is niet één route. Veel privacy officers hebben een juridische achtergrond. Anderen komen uit de IT, de informatiebeveiliging of de compliance. Ook mensen uit HR, de zorg of het onderwijs stappen over, omdat ze in hun eigen werk al veel met persoonsgegevens te maken hadden.
Er zijn gespecialiseerde opleidingen, zoals de certificeringen van de International Association of Privacy Professionals, en post-hbo- of postacademische opleidingen tot privacy officer of FG. Een cursus biedt een goede basis, maar praktijkervaring weegt in dit vak zwaar. Wie in zijn huidige baan de privacyvragen naar zich toe trekt, bouwt die ervaring al op.
Wat het werk vraagt
Een privacy officer moet de wet kennen en die kunnen uitleggen aan mensen die geen jurist zijn. Een marketingafdeling wil een nieuwe tool gebruiken, een HR-afdeling wil sollicitanten screenen, een IT-afdeling wil gegevens in de cloud zetten. Het werk is zoeken naar een manier waarop dat kan binnen de regels, en soms duidelijk zeggen dat iets niet kan.
Technisch inzicht helpt. Je hoeft niet te programmeren, maar je moet begrijpen hoe systemen gegevens opslaan en uitwisselen.
Het vraagt ook stevigheid. Een privacy officer is niet altijd de populairste collega, zeker niet als een project vertraging oploopt door een privacytoets. Wie overtuigend kan uitleggen waarom iets nodig is, en meedenkt over een oplossing in plaats van alleen nee te zeggen, krijgt het meeste voor elkaar.
Een vak met toekomst
Nieuwe Europese regels over kunstmatige intelligentie, data-uitwisseling en cyberveiligheid maken het werkveld breder. Privacy is een van de beroepen van de toekomst die voortkomen uit digitalisering en regelgeving. Organisaties die met data werken, en dat zijn ze allemaal, blijven mensen nodig hebben die weten wat er mag.
Wie overweegt de overstap te maken, kan beginnen met een korte basiscursus AVG. Daarna wordt snel duidelijk of het vak past.