NIEUWSARTIKEL

“Ik vind het belangrijk altijd om tijdig en transparant actuele onderwerpen bespreekbaar te maken en niet te wachten tot je misschien een geagendeerd moment hebt.”

“Het moet niet een document worden waar iedereen denkt: ja, en hoe dan? Nee, het moet ook vooral praktisch kloppen.”

“We willen immers allemaal dat de organisatie waar we voor werken veilig en goed beschermd is.”

Inleiding

Wanneer Henriette Thuijs vertelt over haar werk als Functionaris Gegevensbescherming, klinkt er rust en overtuiging door in haar stem. Ze is niet iemand die de publiciteit zoekt, maar haar manier van werken, maakt diepe indruk op collega Marlon Domingus, tijdens hun FG mentorgesprekken, georganiseerd vanuit het NGFG. Marlon zag een kans om Henriette's relatie met haar bestuurder uit te lichten, om zo collega FG’s te inspireren.
In haar rol weet Henriette de verbinding te bewaren tussen gezag en geweten, tussen regels en vertrouwen. Binnen haar organisatie is ze een herkenbaar aanspreekpunt - niet door luid te spreken - maar door consequent en zorgvuldig te handelen.

In dit gesprek gaat Henriette in dialoog met Marlon. Samen verkennen zij hoe een FG de band met het hoogste gezag kan vormgeven: niet als formele verplichting, maar als volwaardige en inspirerende relatie. Hun gesprek biedt herkenning voor FG’s die dagelijks balanceren tussen onafhankelijkheid en samenwerking, en die willen ervaren hoe gezag kan groeien uit inhoud, verbinding en karakter.

De persoon achter de rol

Hoe is jouw persoonlijke motivatie om FG te worden ontstaan, en hoe heeft die motivatie zich ontwikkeld door jouw contact met het bestuur?

Bij de invoering van de AVG in 2018, ben ik door de toenmalige bestuurder gevraagd of ik de rol van Functionaris Gegevensbescherming op me wilde nemen, naast dat ik mijn ondersteunende werkzaamheden voor het college van bestuur en de raad van toezicht zou blijven vervullen.
Hoewel ik me vereerd voelde, moest ik wel even nadenken over het antwoord. Ik heb geen juridische achtergrond, maar wel interesse in juridische aspecten. Vond altijd al dat je voorzichtig met gegevens van mensen om moet gaan. Ik heb uiteindelijk besloten het aanbod aan te nemen. Heb me ook vrijwel meteen aangesloten bij de NGFG.
Op 31 augustus 2023 heb ik me aangemeld voor het Mentor & Intervisieprogramma van de NGFG en werd ik in contact gebracht met Marlon Domingus.
Sindsdien hebben wij ca. 4 keer per jaar overleg met elkaar of vaker, indien zich een bepaalde kwestie voordoet, waarover ik graag wil sparren.

Dus je bent gevraagd! Veel FG’s kunnen dat niet zeggen; die hebben bijvoorbeeld gesolliciteerd. Je gaf al aan dat je je vereerd voelde.

Ja, ik werkte al als ondersteuner voor het College van Bestuur en de Raad van Toezicht. Feitelijk werd ik geïntroduceerd tijdens een vergadering met alle schooldirecteuren: “We vinden eigenlijk dat jij dat moet worden. Wil je dat?”. Niemand was verbaasd dat ik gevraagd werd.

De juiste persoon op de juiste plek dus! Hoe groot is Stichting Veldvest, de organisatie waarvoor je FG bent?

In 2024 hadden wij ruim 500 mensen in dienst op 16 scholen op 18 locaties in twee gemeenten. We hebben circa 3600 leerlingen.

Hoe geef jij invulling aan je onafhankelijke positie zonder afstandelijk te worden ten opzichte van het bestuur?

Ik stel mij zo neutraal mogelijk op in mijn rol als FG-er. Feitelijk is er binnen stichting Veldvest geen sprake van een zekere afstandelijkheid ten opzichte van de bestuurder.
Tijdens mijn wekelijkse overleg met de bestuurder, bespreek ik alle zaken die op dat moment relevant zijn. Ik breng niet per se een onderscheid aan in onderwerpen die de AVG betreffen of andere domeinen.

Wat kenmerkt volgens jou een integere en betrouwbare FG in het gesprek met het hoogste gezag?

Lastige vraag om te beantwoorden, omdat ik zelf een zeer toegankelijk contact met de bestuurder heb. En daarnaast ook met de leden van de raad van toezicht. De leden van de raad worden tijdens vergaderingen door mij bijgepraat op AVG-zaken, indien van toepassing. Na de 0-meting die met hulp van een gewaardeerde kracht van Privacy op School is uitgevoerd, heb ik zowel de Raad van Toezicht als de Gemeenschappelijke Medezeggenschapsraad, door middel van een presentatie op de hoogte gebracht van de resultaten.
Het blijft belangrijk om tijdig en transparant actuele onderwerpen bespreekbaar te maken.

Je neemt dus iedereen voortdurend mee in wat er gebeurt en moet gebeuren. Vindt het CvB het spannend als jij iets presenteert aan de RvT?

Nee, want de bestuurder weet precies wat ik ga zeggen, want dat heb ik dan al eerder met hem besproken. Er komt dus geen verrassing, ik doe altijd alles eerst via de bestuurder.

De brug tussen inzicht en besluitvorming

Welke strategie of routine gebruik jij om ervoor te zorgen dat jouw bestuur echt begrijpt wat op het spel staat bij gegevensbescherming?

Ik heb hier niet per se een strategie voor. Het is de manier waarop we met elkaar omgaan en de vele gesprekken die we sowieso al voeren.

Jij ziet je bestuurder elke week. Ik spreek ook FG’s die hun bestuurder eens per kwartaal of eens per jaar een half uurtje mogen spreken - en die worden ook niet herkend op de gang. Daarom vind ik jouw relatie met je bestuurder ook zo inspirerend!

Ja, ik gun het echt heel veel FG’s om op deze manier contact te hebben met hun bestuurder. Wekelijks is misschien wel heel intens maar minimaal één keer per maand zou je toch wel een echt even een afspraak met elkaar moeten hebben. En vanwege ons werk in het kader van het Normenkader is er elke maand echt wel een onderwerp.

Kun je een voorbeeld geven van een moment waarop jouw analyse of advies een keerpunt betekende in het bestuurlijk bewustzijn rond privacy?

‘Dit gebeurt structureel’, krijg ik terug van de organisatie. Een belangrijk keerpunt is geweest de introductie van YourSafetynet. De indruk van het bestuur van Veldvest is dat wij als stichting het normenkader mogelijk groter oppakken dan dat dit door vergelijkbare stichtingen in het land wordt gedaan.

Ik hoor je zeggen dat het keerpunt kwam op het moment dat je de dingen inzichtelijk en meetbaar bent gaan maken.

Ja, en YourSafetynet is echt heel gebruiksvriendelijk. Inmiddels hebben alle directeuren ook toegang, dus zij kunnen gewoon zelf kijken, als ze willen weten of er een verwerkingsovereenkomst is. Ze klikken op die knop en ze vinden de overeenkomst wel of niet. En als die er niet is dan weten ze waar ze moeten zijn om hem wel te krijgen, zo werkt het.
Ik heb een hele betrokken Privacy Officer, en wij werken heel goed samen.

Hoe maak jij de vertaalslag van juridisch-complexe AVG-normen naar waarden en keuzes die bestuurlijk gedragen kunnen worden?

Dergelijke processen lopen bij ons in gezamenlijkheid. Afhankelijk van het onderwerp, wordt bijvoorbeeld de stafdirecteur Mens & Organisatie of Onderwijs & Kwaliteit erbij betrokken en uiteraard de bestuurder. Voorafgaand daaraan spar ik met collega’s die onderdeel uitmaken van de Kennisgroep Onderwijs van de NGFG.
Het doel is om in deze situaties zo transparant en ethisch mogelijk naar een antwoord te kunnen werken, dat haalbaar is in de praktijk.

Wow!

Het moet niet een document worden waar iedereen denkt: ja, en hoe dan? Nee, het moet ook vooral praktisch kloppen. We proberen zo min mogelijk weerstand te creëren.

Ja mooi!

Ja, je moet natuurlijk wel voldoen aan een aantal regels, maar dat snapt dan ook iedereen. Als je dat uitlegt en het blijkt gewoon te werken in de praktijk, en je laat zien dat je daar echt rekening mee hebt gehouden in de oplossing die aangeboden wordt, ja dan dan is het eigenlijk best eenvoudig!

De kracht van betekenis en verbinding

Wanneer voelde jij dat jouw werk als FG werkelijk verschil maakte voor de organisatie of de mensen daarin?

Het Normenkader structureel op de agenda zetten. Niet alleen binnen het bestuur, maar ook naar collega’s toe en naar de GMR.
Regelmatig vragen stellen of opmerkingen maken ten aanzien van het maken van de juiste keuze in de huidige tijd. Denk hierbij aan het gebruik van apps, systemen of applicatiegebruik.

Wat vind jij het meest hoopgevende of waardevolle in de samenwerking met jouw bestuur — iets dat andere FG’s kracht kan geven?

Het gemak waarmee AVG-onderwerpen besproken kunnen worden en mede gedragen worden door het bestuur. Op deze wijze ervaar je support bij het invoeren van een AVG-maatregel. Daarnaast probeer ik de schooldirecteuren in ons maandelijks overleg ook mee te nemen in bepaalde besluiten. Bewustwording is dit schooljaar een belangrijk doel. Zo is er voor de Dag van de Leraar afgelopen oktober een notitieboekje aan alle medewerkers uitgereikt, waarin 1 pagina met de belangrijkste AVG-regels is opgenomen. Recent zijn er 2 posters met de top tien Datalekken uitgereikt aan de scholen en is het belang van het registeren van incidenten op te nemen in het register van YourSafetynet opnieuw onder de aandacht gebracht. Samen met onze Privacy Officer, stem ik wekelijks af wat er gaande is binnen de organisatie.

Mooie praktische voorbeelden.

We komen nog te vaak tegen dat er dingen zomaar in het leven zijn geroepen op een school waar dan geen verwerkersovereenkomst onder ligt. Dat is lastig te vangen, maar we hebben inmiddels ons administratiesysteem zo ingericht dat als een factuur voor een applicatie, of iets wat ICT betreft, voldaan moet worden, die altijd langs de Privacy Officer gaat. Hij doet de check of daar een verwerksovereenkomst onder ligt. Zo niet krijgt de betreffende aanvrager een mailtje: ‘sorry, we kunnen deze factuur nog even niet voldoen, want je hebt een paar stappen overgeslagen’.
Vindt men niet leuk, want ze moeten terug naar de tekentafel, maar het werkt wel.

Je hebt dus in je processen privacy ingebakken. Je neemt mensen voortdurend mee door transparant te zijn, maar je stelt ook je grenzen. Mooi!

Welke weerstand of twijfel heb je zelf ervaren in het contact met het hoogste gezag, en wat hielp jou om trouw te blijven aan je rol en overtuiging?

Eerlijk gezegd geen.

Dat herken ik inderdaad uit onze gesprekken. Ik hoor daar wel eens wat anders over als ik met andere FG’s praat. Dan spreken ze een bestuurder en die zegt het een maar doet het ander en delegeert een onderwerp liever weg dan er zelf bij betrokken te raken.

Maar onze bestuurder is ook oprecht wel bewust van de noodzaak. En het gaat natuurlijk steeds meer leven, hè? Neem nou het ODIDO datalek. Niemand wil toch dat er iets binnen je organisatie, met hele kwetsbare informatie over leerlingen en ouders, op straat belandt? En ja, dan is het heel vervelend dat zo'n datalek zo groot is. Maar dan komt het wel weer dichtbij.
Daar kun je dan weer direct op aanhaken en zeggen: ‘dat is nu de reden waarom we twee factor authenticatie hebben. Dat is de reden waarom je nooit je wachtwoord mag uitlenen aan een ander of het opschrijven. Of dat je je laptop moet locken als je wegloopt. Gewoon die hele simpele dingen.

Als je één boodschap zou mogen doorgeven aan andere FG’s over hoe zij hun relatie met hun bestuur kunnen verdiepen, wat zou dat zijn — en waarom?

Een open, transparante en geïnteresseerde houding is van belang. Niet alleen voor de FG, maar zeker ook voor het bestuur. We willen immers allemaal dat de organisatie waar we voor werken, veilig en goed beschermd is.