Banken en verzekeraars voldoen aan FG-verplichtingen na controle AP

Alle gecontroleerde Nederlandse banken en verzekeraars waarvoor de verplichtingen gelden, hebben een functionaris voor de gegevensbescherming (FG) aangesteld en aangemeld bij de Autoriteit Persoonsgegevens (AP). Zij hebben ook de contactgegevens van hun FG op een juiste manier gepubliceerd op hun website. Dit is het resultaat van een onderzoek onder 45 banken en 93 verzekeraars. Het onderzoek maakte deel uit van een serie onderzoeken door de AP bij verschillende soorten organisaties naar de naleving van vereisten uit de privacywetgeving.

Sinds 25 mei 2018 geldt de nieuwe Europese privacywetgeving, de AVG. Onderdeel hiervan is dat sommige organisaties, zoals banken en verzekeraars, die op grote schaal de persoonsgegevens van hun klanten observeren en/of op grote schaal bijzondere persoonsgegevens verwerken, een FG moeten aanstellen en hun contactgegevens moeten publiceren.

Uit een eerste controle bleek dat 6 banken en 9 verzekeraars nog geen FG hadden aangemeld bij de AP. 2 banken en 2 verzekeraars bleken na ontvangst van nadere informatie van de organisaties niet verplicht om een FG aan te stellen, omdat zij niet grootschalig persoonsgegevens verwerken. In alle overige gevallen hadden de banken en verzekeraars wel een FG aangesteld, maar deze niet bij de AP aangemeld. Zij hebben dit alsnog gedaan.

Banken en verzekeraars verwerken veel persoonsgegevens van hun klanten, zoals identificatiegegevens, financiële gegevens, transactiegegevens en medische gegevens. De FG’s vervullen daarom bij deze organisaties een belangrijke functie om die gegevens te beschermen en om de privacywetgeving na te leven. De FG kan vanuit een onafhankelijke positie adviseren over hoe de privacywetgeving moet worden toegepast in zijn organisatie.

Alle gecontroleerde banken en verzekeraars vermelden inmiddels op een goede manier de contactgegevens van hun FG’s. Na een eerste controle was dit nog bij 7 banken en 14 verzekeraars ontoereikend. Klanten en medewerkers moeten privacy-issues snel en in vertrouwen kunnen melden bij de FG. Het moet daarom voor iedereen die dat wil makkelijk zijn om contact op te nemen met de FG zonder dat daar iemand tussen zit. Het is verplicht een direct telefoonnummer, e-mailadres, postadres en/of direct contactformulier te vermelden waarmee de FG te bereiken is. De naam van de FG is niet noodzakelijk.