Binnen organisaties kunnen er soms ongeoorloofde situaties en conflicten ontstaan doordat bepaalde functiehouders toegangen opeisen zonder dat zij daarvoor een mandaat hebben.
Uit de praktijk blijkt ook dat dergelijke organisaties geen optimale organisatiestructuur hebben, of dat het werk niet correct is georganiseerd.
Te onthouden
- Zorg er als verwerkingsverantwoordelijke voor dat de nodige technische en organisatorische maatregelen aanwezig zijn, zodat de persoonsgegevens die men verwerkt beschermd zijn.
- Vermijd werknemers die een functionele toegang hebben bij werknemers die louter een technische toegang hebben te plaatsen.
- Escaleer wanneer er toegang tot persoonsgegevens wordt geëist op basis van hiërarchisch gezag zonder dat de hiërarchische overste daarvoor een mandaat heeft.
Beginselen inzake de verwerking van persoonsgegevens
Laat ons even herinneren dat zo weinig mogelijk persoonsgegevens worden verwerkt met een bepaald doel, en dat verwerkingsverantwoordelijken de vertrouwelijkheid van de verwerkte persoonsgegevens moeten kunnen garanderen en aantonen.
Bovendien worden verwerkingsverantwoordelijken ook geacht passende technische en organisatorische maatregelen te nemen ter bescherming van de persoonsgegevens die ze verwerken.
Er kunnen zich echter binnen organisaties situaties voordoen waarbij de structuur van de organisatie of de organisatie van het werk niet toelaten om de persoonsgegevens die worden verwerkt beschermd en confidentieel te houden.
De organisatiestructuur
Hierbij wordt in de eerste plaats gedacht aan een organisatie waar de organisatie van het werk mogelijke conflicten met zich kan meebrengen.
Bijvoorbeeld de situatie waarbij een hiërarchische overste geen mandaat heeft om persoonsgegevens te consulteren, terwijl zijn onderschikten wel een dergelijke mandaat hebben.
Functionele versus technische toegang tot persoonsgegevens
ICT-personeel, en in sommige organisaties de ICT-manager, hebben, zeker in kleinere organisaties, toegang tot zowat alle ICT-systemen die de organisatie gebruikt voor haar activiteiten. Dus ook die IT-systemen, zoals bijvoorbeeld de software waar de gegevens van het personeel in wordt geregistreerd, waarin persoonsgegevens mee worden verwerkt.
Welk soort toegang mag het ICT-personeel dan werkelijk hebben?
Men dient een onderscheid te maken tussen functionele en technische toegangen.
Functionele toegang
Met functionele toegang wordt bedoeld dat de titularis van deze toegang de voor mensen leesbare inhoud van de gegevens kan consulteren.
Dit gebeurt doorgaans via een grafische interface (GUI), waar de betreffende persoon een digitaal formulier met gegevens op zijn computerscherm kan consulteren.
Functionele toegang tot ICT-systemen is doorgaans slechts weggelegd voor het personeel dat deel uitmaakt van de business zelf, en dat, indien het gaat om systemen waarmee persoonsgegevens worden verwerkt, een mandaat heeft om persoonsgegevens te verwerken.
Technische toegang
Bij een technische toegang daarentegen, heeft de betreffende persoon toegang tot het systeem, maar kan hij of zij geen digitaal computerscherm te zien krijgen met voor mensen betekenisvolle gegevens.
In het beste geval, of het slechtste geval afhankelijk van hoe je het bekijkt, kan deze persoon toegang hebben tot de tabellen van de database.
Maar in de meeste gevallen zal de betreffende persoon, bijvoorbeeld ICT-personeel, zonder diepgaande kennis van de structuur van de database er geen noemenswaardige informatie uit kunnen halen; m.a.w. een interpreteerbaar beeld met betrekking tot een bepaalde fysieke persoon.
M.a.w. het gaat doorgaans bijvoorbeeld om toegangen waar het ICT-personeel de mensen van de business de toegang tot de systemen activeert of deactiveert; in sommige organisaties worden de functionele toegangen verleend door de hiërarchische overste van betreffende business zelf in plaats van het ICT-personeel.
Maar wat indien een hiërarchische overste die enkel een technische toegang heeft tot ICT-systemen, plots van zijn ondergeschikten een functionele toegang opeist zodat hij of zij persoonesgegevens kan inkijken, hoewel hij of zij hiervoor geen mandaat heeft?
Escalatie
Hierboven werd er reeds heel kort het geval aangehaald waarbij een hiërarchische overste, al dan niet onder dwang of bedreiging, bij zijn ondergeschikten een functionele toegang opeist tot persoonsgegevens; hoewel hij of zij daarvoor helemaal geen mandaat voor heeft.
Ongeoorloofde toegang hiërarchische overste
Indien bijvoorbeeld een ondergeschikte geconfronteerd wordt met een ongeoorloofde vraag van een (hiërarchische) overste, dan is doorgaans de enige mogelijkheid het voorval te escaleren bij de hoogste leidinggevende van de organisatie en/of bij de DPO.
De hoogste leidinggevende, bijvoorbeeld de gedelegeerd bestuurder, is immers de persoon die operationele eindverantwoordelijkheid draagt en ook aansprakelijk kan worden gesteld voor hetgeen binnen zijn organisatie gebeurt.
In sommige organisaties bestaat er ook zoiets als een audit- of controlecomité, dat doorgaans onafhankelijk van de raad van bestuur van de organisatie opereert; en bevoegd is om toezicht te houden of alles binnen de organisatie volgens de wet verloopt.
De betrokkene zou eventueel ook nog een beroep kunnen doen op de interne contactpersoon voor materies die betrekking hebben op de klokkenluiderswet, of op de externe ombudsdienst die vragen kan ontvangen met betrekking tot diezelfde wet.
Maar om een dergelijke situatie te vermijden, kan de verwerkingsverantwoordelijke er in de eerste plaats best aan doen om te zorgen dat zijn of haar organisatie alle nodige technische en organisatorische maatregelen heeft genomen, zodat een dergelijke situatie zich niet kan voordoen.
Technische en organisatorische maatregelen
De GDPR stelt immers dat verwerkingsverantwoordelijken passende technische en organisatorische maatregelen moeten nemen, waarbij rekening wordt gehouden met de aard van de verwerkingen die ze doen.
Zo zou een verwerkingsverantwoordelijke bijvoorbeeld de volgende maatregelen kunnen nemen om te voldoen aan de vereisten van de GDPR.
Meervoudige handtekeningen
Om te vermijden dat een hiërarchische overste, al dan niet onder druk of dwang, van een ondergeschikte functionele toegang eist tot ICT-systemen waarmee persoonsgegevens worden verwerkt, kan een dergelijke toegang pas worden gegeven mits meerdere personen binnen de organisatie de vraag om functionele toegang ondertekenen.
Ontbreekt een dergelijk ondertekend document, en consulteert de hiërarchische overste toch persoonsgegevens zonder daarvoor een mandaat te hebben, dan heb je mogelijk een inbreuk op persoonsgegevens.
Interne communicatie met betrekking tot de mandaten voor het verwerken van persoonsgegevens
Organisaties zouden intern hun personeel en aangestelden moeten mededelen welke precieze bevoegdheden hiërarchische oversten werkelijk hebben met betrekking tot het verwerken van persoonsgegevens.
Het nalaten dergelijke meldingen te doen, kan aanleiding geven tot inbreuken op de GDPR.
Immers het personeel dat ondergeschikt is zal immers te goeder trouw handelen wanneer hij of zij functionele toegangen verleent aan een overste die eigenlijk helemaal geen mandaat heeft om persoonsgegevens in te kijken, wanneer hij of zij helemaal niet weet of die overste werkelijk een mandaat daarvoor heeft; met alle gevolgen vandien.
Reorganisatie van functies
Het plaatsen van functies met functionele toegang tot persoonsgegevens bij een hiërarchische overste die deze bevoegdheid niet heeft moet best worden vermeden.
Een hiërarchische overste die zelf geen mandaat heeft om persoonsgegevens in te zien kan daarom best geen ondergeschikten hebben die zelf persoonsgegevens verwerken.
Helaas is dit, vooral in kleinere organisaties, soms een moeilijke denkoefening.
Groepsaccounts
In sommige organisaties worden er groepsaccounts gebruikt, ook voor het consulteren en verwerken van persoonsgegevens.
Hoewel groepsaccounts voordelen hebben voor wat betreft de operationele efficiëntie, zijn zij niet aangewezen wanneer het gaat om het verwerken van persoonsgegevens.
Groepsaccounts laten echter niet toe om achteraf te controleren wie precies een bepaalde verwerking heeft uitgevoerd, en moeten daarom worden vermeden.
Multi-factor authenticatie
Het invoeren van multi-factor authenticatie (MFA) reduceert reeds voor een deel het risico met betrekking tot het gebruik van groepsaccounts, in die zin dat daarmee het gebruik van groepsaccounts bemoeilijkt wordt.
Logging van toegangen
Alle toegangen en verwerkingen zouden moeten gelogd worden.
Echter, in het geval van een groepsaccount weet men nog steeds niet wie van de groep er precies een verwerking heeft uitgevoerd.
Audit en controle bestanden
Alle databases en tabellen in een database hebben controle en/of audit bestanden, die iedere beweging registreren.
Deze bestanden zouden ontoegankelijk moeten zijn, ook voor het ICT-personeel.
Helaas ontbreken dergelijke bestanden soms bij sommige organisaties.
Bloep, 23 augustus 2026.
OPGELET: deze blog is geen juridisch advies. De verwerking van persoonsgegevens is vaak een case-by-case verhaal, en dient daarom ook op die basis te worden beoordeeld. Aarzel daarom niet om contact op te nemen om uw specifieke situatie te bespreken via ons Contact Formulier.