DPO in de kijker: Bart Grieten

In deze rubriek zetten we graag even een Data Protection Officer in de kijker op basis van een 10-tal vragen die DPI hen stelt. Bart Grieten, DPO bij Agentschap Innoveren & Ondernemen, alumnus en huidige Stay Tuner bij DPI, beantwoordt ze graag.

1. Hoe ben je in de rol van DPO verzeild geraakt?

Mijn carrière bij de Vlaamse overheid ben ik begonnen als systeembeheerder. Bij het toenmalige IWT was er rond 2015 de nood aan een ‘data preventie adviseur’, iets wat te combineren was met de rol van systeembeheerder. Met het van kracht worden van de huidige regelgeving ben ik evenwel niet gelijk DPO geworden, er waren toen nog teveel zaken als admin af te handelen. Uiteindelijk is dit wel, na de nodige interne vragen en afspraken, omgekanteld op het einde van dat jaar. Dit maakt dat ik een DPO met een technische achtergrond ben.

2. Welk deel van het takenpakket van een DPO geniet jouw voorkeur?

Dat is absoluut het sensibiliseren en adviseren. Het proces waarin je met de verantwoordelijken naar een positief verhaal toe werkt geeft me voldoening. Het idee leeft nog steeds dat de AVG te beperkend is. Terwijl dat je vaak merkt dat de bedoelingen goed en de beslissingen gerechtvaardigd zijn, dat men echt dicht op een correcte verwerking zit. Het zit dan in de punten en komma’s om bepaalde kleine zaken net iets anders aan te pakken om conform de AVG te zijn. Het is die interactie met zowel de collega’s als externe partijen waarin je aantoont dat de AVG vaak niet veel meer is dan eens met gezond verstand overdenken wat nodig is om binnen het geschapen kader te werken. Het bijschaven van de ideeën van de collega’s geeft hun een beter inzicht. Een overdachte verwerking is echt niet zo moeilijk binnen het kader dat we hebben.

3. Welke gebeurtenis in het privacy landschap heeft jou tot op heden het meest getroffen/geraakt?

Eigenlijk was ik best geschrokken door alle vragen die er ineens gesteld werden over rapporten die VLAIO publiceerde naar aanleiding van de corona hinderpremies. Ineens is iedereen een privacy expert en wordt er met scherp geschoten. Wat minder gekend is de verantwoordingsplicht van de overheid naar de burger toe. De burger heeft het recht om te weten wat er met het belastinggeld gedaan wordt. Daarom ook de verplichting om cijfers te publiceren. Dit materiaal bevatte echter enkel gegevens van vennootschappen met een rechtspersoonlijkheid.

Uiteindelijk heeft die hele hetze zelfs geleid tot een parlementaire vraag. Zo zie je toch de impact die een digitale wereld genereert.

4. Hoe zou je de rol van DPO in jouw bedrijf beschrijven?

Een relatief klassieke rol, een aanspreekpunt voor de informatieveiligheid. Uiteraard zijn er de traditionele taken zoals verplichte adviezen bij gegevensuitwisselingen, heb je de externe contacten en word ik gecontacteerd bij een datalek. De zichtbaarheid binnen de organisatie heeft wel enige tijd nodig gehad. Intussen kent iedereen mij en belanden de vragen veel sneller bij me. Dat zorgt voor een snellere afhandeling van de cases maar net zo goed voor doorverwijzingen naar de juiste partijen binnens- of buitenshuis. Het is toch net meer dan een simpele vraagbaak zijn.

5. Wat is volgens jou de grootste uitdaging voor een DPO?

Intern zijn dat de druk en verwachtingen die opgelegd worden. De algemene werklast binnen de organisatie stijgt en er wordt dan wel eens ‘iets’ van de DPO verwacht wat je simpelweg niet mag uitvoeren.

Extern merk je dan weer de verschillen die er zijn tussen de publieke en private instellingen. Als overheid ben je veel meer gebonden aan de verschillende wetgevingen. Bedrijven, o.a. dienstverleners, botsen hier wel eens mee. Ook op opleidingen en events is dit een terugkerend gegeven.

6. Welke technologische evolutie heeft volgens jou de meeste impact op gegevensbescherming (positief/negatief)?

Zonder twijfel op nummer 1 de clouddiensten. Binnen de Vlaamse overheid zie je dat er gradueel meer gebruik gemaakt wordt van clouddiensten. De toezichthouder heeft hier in het verleden al terecht wat opmerkingen bij geplaatst. Gelukkig is dit een erg dynamisch landschap en zie je daar voor quasi elk probleem ook relatief snel een oplossing komen. Gevoelige gegevens kunnen al enige tijd dankzij goede encryptie met een gerust geweten buiten de E.E.R. geplaatst worden. Daar stopte de evolutie echter niet, zo kunnen de verwerkingen buitenshuis in veilige enclaves gebeuren. De aanbieders weten zich snel aan de wijzigende regelgeving aan te passen. De innovatie gaat hier met zevenmijlslaarzen. Voor dit aspect ben ik blij met mijn technische achtergrond.

7. Wat zijn jouw ervaringen in het contact tussen DPO en betrokkene/toezichthouder?

Je mag geen schrik hebben om met de betrokkene of toezichthouder in contact te treden. Hoe je met een persoon praat moet je afstemmen. De AVG vraagt immers van ons om alles helder en begrijpelijk te verwoorden. Dit geeft je gelijk ook wat krediet waarmee je de lont uit het kruitvat kan halen. De toezichthouder contacteer je niet enkel bij een datalek. Voor delicate zaken kun je de case ook (officieus) voorleggen en bespreken. Eigenlijk net hetzelfde wat je doet wanneer je met een andere partij tot een goede overeenkomst wil komen.

8. Wat is jouw gouden tip om gegevensbescherming en informatieveiligheid hoger op de agenda van het management te krijgen?

Mensen binnen de organisatie die je zaak goed genegen zijn. De AVG is geen one-man-show en ook met een team kom je niet tot in alle hoeken van de organisatie. Goede contacten in alle afdelingen en teams geeft de nodige voeling en feedback. Dit is het begin van de interactie die je als DPO wil hebben. Het zorgt ervoor dat je tijdig betrokken wordt bij de projecten, uitwisselingen,… Dit versterkt je signaal naar het management.

9. Wat is jouw Zwitsers zakmes als DPO?

Als DPO bij VLAIO, en dus binnen de Vlaamse overheid, is dit toch wel het netwerk dat je rond je bouwt. Het contact met de DPO’s van de andere Vlaamse entiteiten is van een niet te onderschatten belang. Zij werken in een gelijkaardige context. Met hen wissel je van gedachten over zaken die in het landschap van de Vlaamse overheid bewegen. Hier komt de kennisdeling naar boven, het afstemmen rond gelijkende of gemeenschappelijke projecten.

10. Hoe blijf je op de hoogte van nieuwe trends in AVG-technologie en wetgeving?

De digitale media blijven de snelste bron. Het volgen van de VTC, GBA en Europa (Europese Commissies en EDPB) met hun respectievelijke adviezen en uitspraken is primair. Via gespecialiseerde websites krijg je snel een zicht op wat leeft op vlak van technologie en wetgeving. Een leuke aanvulling zijn de podcasts van mijn naamgenoot bij een vzw, heel toegankelijk zelfs voor iemand die minder met de AVG bezig is. Ik beluister ze dan ook vaak onderweg in de trein of zonder passagiers in de auto.

Uiteraard schaaf je je kennis ook bij met opleidingen en events waar je naast het officiële gedeelte nog een keer kan doorbomen met andere DPO’s.

Nu kan je ook je kennis als DPO bij de overheid bijschaven in een nieuwe bijkomende opleiding: de tweedaagse DPO Overheid (NL). Schrijf snel in!