DPO (JP055303)

Het betreft een kritische functie gelet dat DPO een wettelijk in te vullen functie is binnen een federale overheidsdienst. De DPO van de organisatie is werkzaam binnen een stafdienst van de gedelegeerd bestuurder: IAQP. De DPO rapporteert aan de directeur IAQP en aan de gedelegeerd bestuurder. De DPO oefent zijn functie zelfstandig uit en beschikt niet over een team.

De rol van DPO is wettelijk beschreven in art 38 en 39 van de AVG. De DPO heeft onder meer de taak om toe te zien op de naleving van de AVG. De DPO zal de verwerkingsverantwoordelijke of de verwerker helpen om na te gaan of de AVG intern wordt nageleefd. In het kader van dit toezicht op de naleving van de AVG kunnen DPO’s onder andere:

• informatie verzamelen om de verwerkingsactiviteiten te identificeren;
• de conformiteit van de verwerkingsactiviteiten van de organisatie analyseren en controleren;
• aan de verwerkingsverantwoordelijke of de verwerker informatie en advies verstrekken en aanbevelingen doen.

Verantwoordelijkheidsdomeinen en taken

Governance & Toezicht

• Toezien op de naleving van de GDPR, privacywetgeving en relevante regelgeving;
• Adviseren van het management en de diensten over hun verplichtingen inzake gegevensbescherming;
• Bijdragen aan de uitwerking, documentatie en opvolging van een samenhangend kader van rollen, verantwoordelijkheden, procedures en rapporteringsmechanismen inzake gegevensbescherming binnen de organisatie;
• Rapporteren aan het hoogste managementniveau over de stand van zaken, risico’s en verbeterpunten inzake gegevensbescherming;
• Waarborgen van de onafhankelijkheid van de DPO-functie en het vermijden van belangenconflicten.

Register van verwerkingsactiviteiten

• Toezien op het opstellen, bijhouden en actualiseren van het register van verwerkingsactiviteiten (art. 30 GDPR);
• Ondersteunen van de interne diensten bij het identificeren en documenteren van persoonsgegevensverwerkingen;
• Evalueren van verwerkingsdoeleinden, rechtsgronden, bewaartermijnen en datastromen.
• Adviseren over de noodzaak tot het uitvoeren van DPIA’s;
• Begeleiden en toetsen van DPIA’s voor nieuwe of gewijzigde verwerkingen;
• Monitoren van mitigerende maatregelen en opvolgen van restrisico’s;
• Adviseren over voorafgaande raadpleging van de GBA indien vereist.
• Bijdragen aan de ontwikkeling, evaluatie en actualisering van het gegevensbeschermingsbeleid van de organisatie;
• Adviseren over strategische keuzes, nieuwe initiatieven en digitaliseringsprojecten vanuit een gegevensbeschermingsperspectief;
• Integreren van gegevensbescherming in bredere governance-, compliance- en risicobeheersingskaders;
• Signaleren van structurele knelpunten en formuleren van beleidsmatige aanbevelingen aan het management;
• Beleidsaanbevelingen formuleren op het gebied van de bescherming van persoonsgegevens en de opmaak en de uitvoering van beleidsplannen, richtsnoeren, procedures en controleregelingen coördineren op basis van de wetgeving, de rechtspraak en de rechtsleer.

Datalekken & Incidenten

• Adviseren bij de beoordeling en afhandeling van inbreuken in verband met persoonsgegevens;
• Toezien op de naleving van de wettelijke meldingsverplichtingen, met inbegrip van de melding aan de Gegevensbeschermingsautoriteit (GBA) binnen 72 uur overeenkomstig artikel 33 GDPR;
• Adviseren over en opvolgen van de melding aan betrokkenen indien vereist (art. 34 GDPR);
• Ondersteunen van de organisatie bij het inrichten van een permanentie- en escalatiemechanisme zodat datalekken tijdig kunnen worden beoordeeld en gemeld, ook buiten de normale kantooruren;
• Evalueren van oorzaken van datalekken en formuleren van aanbevelingen voor corrigerende en preventieve maatregelen.

Contracten & Verwerkers

• Adviseren over verwerkersovereenkomsten en gegevensbeschermingsclausules;
• Toezien op naleving van GDPR-vereisten door verwerkers en partners;
• Signaleren van privacyrisico’s in outsourcing- en samenwerkingsverbanden;
• Fungeren als contactpunt voor de Gegevensbeschermingsautoriteit (GBA);
• Samenwerken met andere toezichthoudende instanties indien relevant;
• Lid van het informatieveiligheidscomité (maandelijkse vergadering).
• Ontwikkelen en ondersteunen van sensibiliserings- en opleidingsinitiatieven inzake gegevensbescherming;
• Fungeren als aanspreekpunt voor medewerkers bij vragen over persoonsgegevens (“loketfunctie”);
• Bijdragen aan een privacybewuste organisatiecultuur.

Loketfunctie via o.a. de generieke mailbox

• Fungeren als centraal loket voor alle vragen, meldingen en signalen met betrekking tot persoonsgegevens;
• Eerste aanspreekpunt voor medewerkers, management en diensten bij vragen, nieuwe projecten of wijzigingen in verwerking