Op basis van de uitkomsten van onderzoeken spreekt de leiding zich jaarlijks uit – in een zelfverklaring – over het volwassenheidsniveau van het bedrijf en hiermee over het voldoen aan de TTP Gedragscode AVG. Met deze uitspraak maakt de leiding zich accountable voor het naleven van de gedragscode. Voor de leiding kan er aanleiding zijn om een aanvullend onderzoek door de interne controle afdeling (IC) te laten uitvoeren.

De FG bevestigt de zelfverklaring

De functionaris voor gegevensbescherming (FG) adviseert de leiding over het formuleren van beleid, adviseert de operationele organisatie bij het treffen van passende technische en organisatorische beheersingsmaatregelen en ziet toe op de effectieve werking van getroffen beheersingsmaatregelen. De FG heeft een wettelijke taak om toe te zien op de naleving van de AVG. Door de zelfverklaring te bevestigen (of niet), geeft de FG aantoonbaar uitvoering aan deze taak.

De FG voert een eigen risicoanalyse uit en maakt op basis hiervan een werkplan. In dit werkplan bepaalt de FG de frequentie waarin uitgevoerde controles door hem of haar worden gecontroleerd. De FG kan de uitkomsten hiervan gedurende de verantwoordingsperiode gebruiken voor zijn of haar verslag. Aan het eind van de verantwoordingsperiode kan hij deze gebruiken om de zelfverklaring te bevestigen. Met de bevestiging geeft de FG aan dat het volwassenheidsniveau zoals genoemd in de zelfverklaring wordt onderschreven.

In het verantwoordingsproces wordt veel waarde gehecht aan de bevestiging door de FG. Vandaar dat de FG aan diverse eisen moet voldoen om een bevestiging te mogen geven bij de zelfverklaring. De FG moet passend zijn bij het bedrijf, moet een adequate FG-opleiding hebben gevolgd, waartoe een module over zijn taak in het verantwoordingsproces behoort en het tentamen over zijn toezichthoudende taak met goed gevolg hebben afgelegd.

MYOBI voert een plausibiliteitstoets uit op de zelfverklaring

MYOBI faciliteert bedrijven met het organiseren van de wettelijke verantwoordingsplicht voor gegevensbescherming. Hierbij is de TTP Gedragscode AVG leidend. MYOBI beheert de toetsingskaders, geeft trainingen, verzorgt (informatie) webinars, voert plausibiliteitstoetsen uit op zelfverklaringen van de bedrijfsleiding.

Van zelfverklaring naar Accountability Seal

Na ontvangst van de zelfverklaring zet MYOBI het aangegeven volwassenheidsniveau om in een Accountability Seal en neemt deze op in het Accountability Seal Register. Het register wordt gepubliceerd op de website van MYOBI en is raadpleegbaar door andere gebruikers en overige belangstellenden. Voor elk bedrijf worden drie Seals in het Accountability Seal Register getoond:

• Het volwassenheidsniveau dat de leiding in de zelfverklaring heeft aangegeven;
• Het volwassenheidsniveau dat de FG heeft bevestigd; en
• Het volwassenheidsniveau waarop MYOBI op basis van een plausibiliteitstoets uitkomt.

Als een bedrijf niet tijdig een zelfverklaring aanlevert, of als de zelfverklaring niet voldoet aan de formele vereisten (de bevestiging van een bevoegde FG ontbreekt bijvoorbeeld) dan zet MYOBI het volwassenheidsniveau van het bedrijf op ‘0’.