De gegevensbeschermingsbeambte (DSB) is verplicht voor bedrijven met 20 of meer medewerkers die in typische kantooractiviteiten zijn werkzaam. Over deze dwang heeft onlangs de Bondsdag gedebatteerd. Waarom is de beambte een beambte? De antwoord op deze vraag is tegelijkertijd de oplossing voor het willekeurige dwingende benoemen van de DSB.
Inleiding
Elke Firma van een zekere omvang heeft een gegevensbeschermingsbeambte nodig. In ieder geval geldt dit, mits minstens 20 medewerkers regelmatig met de digitale (automatiseerde) gegevensverwerking bezig zijn.
Deze grens van 20 medewerkers is vastgelegd in artikel 38 van de Bundesdatenschutzgesetz (BDSG). Vroeger lag de grens bij 10 medewerkers.
De wetgever kan geen verwijt worden gemaakt dat hij een grens heeft vastgesteld die hij voor redelijk houdt. Een wettelijk vastgestelde grens is altijd op zichzelf willekeurig. Dat geldt bijvoorbeeld ook voor de belastingtarief en de grenzen voor belastingtarieven, evenals het hele belastingstelsel in z'n geheel.
Een grens te vinden, is aanleiding tot nadenken. Vooral dan, wanneer de grens
eerst op Europees niveau helemaal niet aanwezig what (DSGVO)
b) toen werd het vastgesteld op 10 medewerkers in Duitsland
d) toen vervolgens in Duitsland vastgesteld op 20 medewerkers
d) dan afgeschaft moeten worden, maar dat niet gebeurde.
Hoe zou het zijn om geen grenzen te hebben?
De gegevensbeschermingsfunctionaris als optie in plaats van verplichting
De DSB is voor veel bedrijven verplicht. Dat is goed voor de DSB en meestal ook goed voor de gegevensbescherming. In elk geval schaadt het meestal niet dat de DSB bestaat. Dit zij evenwel iets genuanceerder vastgesteld, omdat gevallen bekend zijn waarin de verkeerde mening van een DSB tot slechte resultaten leidt.
Of deze hoopvolle zeldzame misverstand van de DSB ervoor verantwoordelijk is dat op de meeste Duitse websites ernstige inbreuken op de gegevensbescherming te betreuren zijn of of het is de weerstand tegen advies van de cliënten, mag onbelangrijk zijn. Gewoonlijk heeft de adviseur gelijk, ook als hij geen adviseur maar gemachtigde heet.
Zou de gegevensbeschermingsautoriteit niet verplicht zijn, zouden bedrijven hem dan nog steeds aanstellen?
Vaak wordt opgemerkt dat ook kleine ondernemingen een DSB aanstellen, hoewel ze dit niet hoeven te doen. Men kan er eveneens van uitgaan dat grotere bedrijven zelfs zonder dat ze het moeten doen, een DSB bestellen. Hoe zou het zijn als een autoriteit (die feitelijk geen boetes oplegt) in een conglomeraat komt kijken en ziet dat niemand zich bekommerd om de bescherming van persoonsgegevens?
Wat doet de NS eigenlijk?
Een goede vraag, waarop hier slechts een antwoord gegeven wordt.
De DSB is voornamelijk een adviseur. Veel DSB's leveren hun opdrachtgevers aan het begin van de activiteit een informatiemateriaal met opleidingsaanbod, dat vaak per video, presentatie of handleiding wordt aangeboden. Eveneens vindt aanvankelijk altijd een eerste gesprek plaats. In dit gesprek worden de bijzonderheden van de gegevensverwerking bij de opdrachtgever als verantwoordelijke geregeld.
Indien er een datalek is voorgevallen, wordt de DSB ingeschakeld. Eveneens wanneer betrokkenen gebruik maken van hun recht op inzage (Artikel 15 DSGVO). Ook in andere gevallen is de DSB een goede aanspreekpunt voor specifieke vragen en geeft hij zijn cliënt advies, als dit nodig is.
De gegevensbeschermingsbeambte lijkt in elk geval geen opdrachtgever te zijn (zie Artikel 37 DSGVO).
Voorstel voor motivatie bij bestelling van de DSB
Hoe zou het zijn als er eindelijk sancties zouden worden opgelegd voor overtredingen van verplichte regels met betrekking tot de bescherming van persoonsgegevens? Dergelijke regels zijn te vinden in de AVG als wet en in het TDDDG (vroeger TTDSG) en BDSG als wetten. Maar niemand is echt geïnteresseerd in wat er allemaal misloopt op internet. In ieder geval niet in Duitsland.
Gegevensbeschermingsautoriteiten sanctioneren gewoon niet. De extreem weinige gevallen waarin in Duitsland een boete is uitgedeeld, zijn helemaal niet de moeite waard om over te praten.
In Duitsland is de meest voorkomende overtreding van de gegevensbescherming nog nooit bestraft.
Geen enkel geval = nul of epsilon-omgeving.
De meest voorkomende inbreuk op de privacy, die bovendien het gemakkelijkst te bewijzen is, werd precies geen enkele keer bestraft. Het gaat om onwettig web-tracking inclusief onwettige cookies. Alleen voor het geval dat iemand een geval vindt: Of nul of vijf, is bij miljoenen inbreuken op de privacy die per dag in Duitsland online plaatsvinden, hetzelfde als nul. De Fast-mathematicus zou zeggen: Het aantal bestraffingen ligt binnen de Epsilon-omgeving van nul.
Als er de Verbruikerscentrale en individuen zoals Max Schrems niet zouden bestaan, zou in Duitsland niets gebeuren. Behalve dat overheidsinstanties nieuwe aanbevelingen uitgeven en aankondigen om onderzoeken te doen, deze uitvoeren en vaststellen dat er wat mis is gegaan. Daarna gaan de ambtenaren dan weer andere, aangename activiteiten doen. Men wil zich immers niet onpopulair maken. Of zoals een leidinggevende bij het Hessische Datenschutzbeauftragte ook eens aan de pensioengerechtigde denkt, die slechts een wimper van 8 jaar verwijderd is (dit zijn informatie uit eerste hand en meerdere keren gecommuniceerd). Daarom verwondert het dan ook niet dat Google Analytics door deze instantie als onschuldig wordt gezien en seksuele voorkeuren, uitgedrukt door de aankoop van sexspelletjes, als niet beschermwaardige gegevens worden gezien.
Quizvraag: Wat is het verschil tussen een belastingadviseur en een gegevensbeschermingsfunctionaris?
Enkele antwoordmogelijkheden voor deze quizvraag, waarbij de beroepsgerichte oriëntatie van beide beroepen buiten beschouwing wordt gelaten:
- De belastingadviseur wordt adviseur genoemd, de gegevensbeschermingsfunctionaris wordt functionaris genoemd.
- De belastingadviseur is niet noodzakelijk voorgeschreven, maar de gegevensbeschermingsfunctionaris wel vaak.
- De belastingadviseur wordt zeer vaak ingeschakeld, hoewel dit niet verplicht is, de gegevensbeschermingsfunctionaris daarentegen maar zelden.
- Met de belastingadviseur wordt zelden "zelfverzekerd" gediscussieerd, met de gegevensbeschermingsbeambte maar al te gauw („Kunnen we niet gewoon Google Analytics op onze website inzetten? Het gebeurt toch sowieso niets!“)
Rekenaaradviseurs versus gegevensbeschermingsfunctionaris
Een belastingadviseur heeft kwalitatief heel veel met een gegevensbeschermingsbeambte gemeen. Beide zijn adviseurs, alleen heet de ene beambte. Beide moeten alle mogelijke rompslomp afhandelen, wat in de vorm van alle mogelijke toegestuurde documenten wordt gecommuniceerd. Beide zijn geen opdrachtgevers (bij de tax consultant zijn er bepaalde activiteiten die anders worden beoordeeld). Beide hebben een aansprakelijkheid als ze hun werk niet goed doen en vooral als ze hun cliënten niet goed adviseren. Beide kosten geld. Beide dragen niets bij aan de productiviteit van een bedrijf, maar helpen "alleen" bij het naleven van juridische regels.
Waarom heeft mijn bedrijf een belastingadviseur, hoewel dat niet verplicht is? Waarom heeft geen enkel bedrijf in de buurt (12 ondernemingen) een gegevensbeschermingsbeambte?
De antwoord is: Omdat de belastingadviseur nodig is om geen problemen met de belastingdienst te krijgen. De gegevensbeschermingsbeambte helpt je echter niet om problemen uit de weg te gaan, omdat deze problemen er niet zijn.
Wie heeft angst voor de slechte wolf?
Niemand is een slechte wolf als de gegevensbeschermingsautoriteit.
Iedereen, als de slechte wolf het belastingkantoor is.
DSB tegenover tax consultant.
De hoofdzakelijke verschillen tussen een vrijwillige belastingadviseur en vaak gedwongen gegevensbeschermingsbeambte is dat de omgang met fiscale gegevens plaatsvindt binnen een Drokhuis en het bereik van persoonsgebonden gegevens zonder enige consequentie is, als je niet helemaal dom bent.
Overheden in Duitsland sanctioneren niet. De Hessische Gegevensbeschermingsautoriteit heeft geen zin om te sanctioneren. Hessen is een veilig voorbeeld, omdat rechtstreeks voor de deur en uitspraken van overheidsvertegenwoordigers persoonlijk en ook uit procedures kunnen worden gehoord. Andere overheden zijn betrokken, maar hebben heel weinig personeel. In dit verband kan men opnieuw de Afschaffing van de federatie eisen!
De voorstel in dit artikel luidt dus:
- Een bestelverplichting voor gegevensbeschermingsfunctionarissen zou volledig moeten vervallen.
- In plaats daarvan moeten de autoriteiten eindelijk beginnen met het opleggen van sancties en boetes ook voor overtredingen op het internet.
- Ondergeschikt, maar een leuk detail (DSB -> tax consultant): De privacybeambte zou met de benaming privacyadviseur geleid of in elk geval – analog aan de belastingadviseur – als adviseur aangemerkt moeten worden en niet als beambte.
Met dit opgelost, lossen zich meerdere problemen op:
- Een virtuele medewerker grens voor een bestelverplichting vervalt. De Bondstaf heeft tijd voor andere taken.
- Gegevensbeschermers worden eindelijk overal serieus genomen.
- Gegevensbescherming wordt tot meerwaarde.
- Plattformen als Facebook of Instagram en plugins zoals die van Google of Meta worden eindelijk gestraft, namelijk bij degene die ze wetteloos gebruiken. Waarschijnlijk zullen Google of Meta binnenkort ook aan de beurt zijn.
Conclusie
De markt voor gegevensbescherming zit er slecht aan toe. Dat ligt eraan dat er geen sancties zijn en niets anders. De schuldige partijen bij al die cookies en cookie-pop-ups zijn trouwens niet de DSGVO, maar bedrijven als Google of Meta, die naast Microsoft en andere verdachte partijen ook lid zijn van Bitkom.
De DSGVO geeft aan betrokken personen volgens de verklaring veel rechten. Maar wanneer het erom gaat deze rechten te claimen, dan wordt het problematisch.
Duitsche gegevensbeschermingsautoriteiten hebben het niet of geen personeel om sancties op te leggen.
Daarom moet bij elke kleine zaak in Duitsland gestreden worden over of de AVG echt zo bedoeld what. Dat betekent: is het echt zo gewild dat iemand niet alleen het recht heeft om zijn gegevens niet zomaar te mishandelen, maar ook dat hij dan nog steeds mag eisen en verzoeken dat dit wordt gestopt?
Ook gaat dat echt te ver. Waar komen we dan uit als iedereen rechten heeft? Uiteindelijk zou je zelfs de verplichting om een privacybeambte aan te stellen kunnen schrappen, zonder dat iemand het merkt. Of voor de grap de belastingadviseur ook verplichtend maken en hem omtoveren tot belastingbeambte.
My name is Klaus Meffert. I have a doctorate in computer science and have been working professionally and practically with information technology for over 30 years. I also work as an expert in IT & data protection. I achieve my results by looking at technology and law. This seems absolutely essential to me when it comes to digital data protection. My company, IT Logic GmbH, also offers consulting and development of optimized and secure AI solutions.
