Welke competenties moet een DPO hebben?
Wanneer je op zoek gaat naar een Data Protection Officer (DPO), of je eigen rol als DPO onder de loep neemt, kom je al snel bij de vraag: wat maakt iemand eigenlijk een goede DPO? Is het voldoende om de GDPR goed te kennen? Of komt er veel meer bij kijken?
Deze blog is geen checklist om jezelf op af te rekenen, maar een houvast: waar moet je op letten als je een DPO aanwerft, en waar liggen voor jezelf misschien nog groeikansen? In deze blog zetten we de belangrijkste competenties van een DPO op een rijtje.
Key takeaways
- Een DPO heeft brede kennis nodig: niet alleen GDPR, maar ook sectorspecifieke en aanverwante wetgeving.
- De vaardigheden van een DPO volgen de drie kerntaken: informeren, adviseren, toezicht houden.
- Attitude is minstens zo belangrijk: diplomatie, standvastigheid en onafhankelijkheid maken het verschil.
- De perfecte DPO bestaat niet en daarom is structurele ondersteuning vanuit de organisatie onmisbaar.
Moet meer kennis hebben dan enkel GDPR
Een DPO, of ook wel functionaris voor gegevensbescherming genoemd, heeft uiteraard sterke juridische kennis van de GDPR nodig. Maar daar stopt het niet. Een DPO die uitblinkt, heeft ook:
- Goede kennis van data governance: hij of zij weet wat data governance is en begrijpt het belang ervan. Op die manier weet de DPO hoe data binnen de organisatie georganiseerd, bewaard en verwerkt wordt.
- Voldoende inzicht in IT-security: een DPO die een basiskennis heeft rond de technische verwerking van gegevens, zal beter begrijpen hoe deze beveiligd moeten worden.
- Kennis van sectorspecifieke wetgeving afhankelijk van het werkveld: hij of zij kent bijvoorbeeld de patiëntenrechten en medische wetgeving in de zorgsector, of de specifieke regelgeving binnen een politiecontext.
- Kennis hebben van arbeidsrechtelijke wetgeving: hij of zij weet hoe om te gaan met de vele persoonsgegevens die in een HR-context verwerkt worden.
Daarnaast krijgt een DPO ook steeds vaker te maken met andere digitale regelgeving die raakvlakken heeft met de GDPR, zoals de AI Act of NIS2. Door de toenemende digitalisering wordt dit een domein dat moeilijk te negeren valt.
Kortom: een DPO moet in heel wat markten thuis zijn en er met een nieuwsgierige blik naar kijken. Niet enkel naar gegevensbescherming, maar ook gelieerde wetgevingen en technische kennis komen van pas bij de job. Uiteraard kan een DPO ook niet alles weten. Dat is onmogelijk. Maar een goede basis is een goed begin.
Moet kunnen wat ie doet (en goed)
De belangrijkste vaardigheden van een DPO hangen nauw samen met de drie kerntaken van de functie.
Informeren: een DPO moet complexe materie, de GDPR en aanverwante wetgeving, op een begrijpelijke manier kunnen uitleggen aan collega’s en management. Een goede DPO zorgt ervoor dat iedereen rond de tafel mee is, ongeacht het beroepsniveau, de achterliggende kennis of ervaring. Het moet een goede vertaler zijn, die de moeilijke materie, begrijpbaar maakt voor iedereen.
Daarnaast hoort ook het creëren van bewustzijn (awareness) binnen de organisatie bij deze taak: een DPO moet met de nodige lesgeef-skills medewerkers kunnen opleiden en sensibiliseren rond gegevensbescherming, zodat het geen ver-van-mijn-bed-show blijft, maar een gedeelde verantwoordelijkheid wordt.
Adviseren: je moet het als DPO niet alleen goed kunnen uitleggen maar ook goed kunnen uitschrijven. Een goed advies:
- Is helder uitgeschreven en onderbouwd, zodat het als bewijsstuk kan dienen in je GDPR-documentatie.
- Is begrijpelijk voor management, ook al gaat het over complexe materie.
- Kan zonder schaamte – of zoals Bart in de video zegt “met droge ogen” – aan het management voorgelegd worden.
Toezicht houden: informeren en adviseren is één ding, opvolgen is minstens zo belangrijk. Een DPO moet nagaan of gegeven advies ook effectief wordt toegepast en hierover kunnen rapporteren.
Een DPO is dus een communicator pur sang, die weet hoe je overtuigt, inspireert en mensen meekrijgt in het verhaal van gegevensbescherming, ook wanneer de boodschap ongemakkelijk of onpopulair is.
Moet diplomatisch op z’n strepen kunnen staan
Naast kennis en vaardigheden telt ook hoe een DPO zich opstelt in het werkveld.
- Diplomatie: een DPO brengt soms een boodschap die niet graag gehoord wordt, bijvoorbeeld dat een bepaalde verwerking niet mag. De kunst is om dit zo te brengen dat het geaccepteerd wordt, en pragmatisch mee te denken met de organisatie. Een DPO die enkel met het vingertje wijst, zal het moeilijk hebben om gehoord (en gevolgd) te worden.
- Standvastigheid: een DPO moet voet bij stuk kunnen houden. Wanneer er weerstand komt, is het niet de bedoeling om meteen toe te geven. Een advies onderbouwen en verdedigen, ook als dat ongemakkelijk is, hoort bij de rol.
- Onafhankelijkheid: een DPO mag zich niet laten leiden door de belangen van de business. De focus ligt op de bescherming van de privacy en de persoonsgegevens van de betrokkene, de burger, klant of medewerker wiens gegevens verwerkt worden, ook wanneer dat botst met andere prioriteiten binnen de organisatie.
De ideale DPO bestaat niet… en dat is oké
Als je al deze competenties naast elkaar legt, dan denk je al snel: wie kan dit allemaal? Het eerlijke antwoord is: niemand. Een DPO die alle bovenstaande kennis, vaardigheden en attitude perfect combineert, moet nog geboren worden.
Een DPO zal dus voor een groot deel zelf invulling geven aan deze competenties, maar blijft voor de rest afhankelijk van ondersteuning binnen de organisatie. Denk aan collega’s van IT, HR, legal of andere afdelingen die mee de schouders zetten onder gegevensbescherming.
