PO Go! 2026 - 'Ondersteun!' door Sah Farooq (CPO bij de gemeente Den Haag)

Op donderdag 12 maart organiseerde CIP, samen met het Privacy team van CIO Rijk, hét privacyevenement voor privacy officers (PO’s) in de publieke sector: PO Go! 2026.

Als privacy officer ondersteun je dagelijks je bestuurder en collega's in de uitvoering bij het bereiken van doelen met inachtneming van privacy. Jos Boerties (Hoofd Systeemtoezicht Overheid & Publieke Sector bij de AP) ging in zijn keynote dieper in op de dimensie Onderbouw! Sah Farooq (CPO bij de gemeente Den Haag) nam ons in haar keynote mee in het aspect Ondersteun!

Transcript

00:00:02
Sah Farooq: Je kunt zelden een perfecte keuze maken. Er zijn altijd menselijke factoren. Het is ons innerlijk, ons gut feeling. Ook onze angsten spelen mee in het hele verhaal. Die liften mee, dus laten we ze vooral benoemen. We benoemen ook bij ons management dat we ergens last van hebben of iets spannend vinden.
00:00:18
Voice over: Sah Farooq is Chief Privacy Officer bij de gemeente Den Haag. In deze podcast legt ze uit hoe je mensen in de organisatie op een verantwoorde manier ondersteunt bij het toepassen van privacywetgeving.
00:00:28
Sah Farooq: Ik ben in de gelukkige positie om leiding te geven aan om en nabij twintig interne privacy officers. De afgelopen 4,5 jaar hebben we ervoor geknokt om geld bij elkaar te sparen en het overal vandaan te halen. Door goede argumentatie is de noodzaak gezien, gehoord en gefinancierd. In die zin is het vandaag een thuiswedstrijd voor mij. Ik mag het over mezelf hebben. Over de ervaringen die ik in de afgelopen jaren in mijn vak en op mijn ontwikkelpad heb meegemaakt. Ik wil jullie graag meenemen in mijn verhaal. Ik hoop dat ik jullie het een en ander mee kan geven. Ik moest achter trucjes komen die ik niet uit boeken kon halen. Die heb ik letterlijk door vallen en opstaan geleerd. Ik hoop dat ik aan het eind van deze sessie iets aan jullie kan meegeven waar jullie daadwerkelijk iets aan hebben.
00:01:27
Sah Farooq: Voel je vrij om vragen te stellen als die er zijn. We gaan het hebben over het bestuur, de business en vooral de buikpijn. Is de buikpijn herkenbaar? Heeft iemand wel eens buikpijn gehad van werk? Slapeloze nachten, zweet dat je uitbrak, een pokerface dat je niet kon vasthouden en een gezicht wat boekdelen spreekt. Ik heb het met botox geprobeerd. Zo leek ik ontspannen over te komen. Dat schijnt tijdelijk te helpen, maar na drie maanden was het uitgewerkt en was ik terug bij het begin. Laten we beginnen. Ik was benieuwd naar juristen in de zaal. Juristen zijn juristen. Wat is ons eigen? Lekker in een kamertje zitten en onderzoek doen. In ons eentje allerlei stukken doorspitten, een oplossing vinden, het spannend vinden en er energie uit halen.
00:02:28
Sah Farooq: Hier en daar met collega's en vakgenoten sparren - mensen die onze taal spreken - en dan een heel mooi advies opstellen. We weten alles van de hoed en de rand. Alles staat in een mooie notitie van 20 pagina's. Dat was mijn eerste ervaring. Ik moest een zerotolerancebeleid vanuit de privacyhoek beargumenteren. Ik ging daar inmiddels acht jaar geleden voor zitten. Toen moest ik het indienen bij een MT aan de Universiteit Leiden. Wat gebeurde er? Ik werd niet eens naar binnen gelaten, want ik had niet afgestemd. Ik had het allemaal verzonnen, maar ik had geen draagvlak. Dat was les nummer een. Je hebt mensen om je heen nodig. Dat weten jullie. Die had ik, maar het waren alleen juristen en niet mijn omgeving.
00:03:25
Sah Farooq: Wij halen er veel energie uit als wij dat speurwerk mogen doen, in de stukken duiken, de memorie van toelichting en daar argumenten uithalen. Wat een lekker gevoel. De realiteit was anders. De meeste privacyzaken hebben niet zoveel te maken met de inhoud, maar meer met de omgeving. De meeste privacyvraagstukken gaan al snel over politiek, druk en de beste bedoelingen. Ik ben ervan overtuigd dat in elke organisatie mensen altijd met de beste bedoelingen iets willen bereiken. Zeker in de publieke sector staat onze business voor de uitoefening van bepaalde wettelijke taken. Vaak heeft het met de maatschappij en een sociaal doel te maken. Iedereen wil het goed doen.
00:04:22
Sah Farooq: Daarop liften wij mee. Dan moeten we alleen wel het een en ander vertalen. Het gebeurt vaak dat we hier en daar 'nee' moeten zeggen. Dan is het vaak zo dat het misschien op een andere manier kan. We tweaken een beetje aan het proces om het binnen de wettelijke kaders te krijgen. Wat je dan ziet, is dat je de regisseur van de spanning wordt. Dat was nieuw voor mij. Ik dacht dat als ik die wet van kaft tot kaft uit mijn hoofd leerde, ik wist waar de wet over ging. Dan wist ik hem ook goed toe te passen. Dat doe je alleen altijd binnen een context. Als Junior Privacy Officer moet je die context nog ontdekken. Je eerste grotemensenbaan. Je moet leren van de organisatie. Dat is iets dat je niet in de schoolbanken leert. Je komt stap voor stap verder.
00:05:18
Sah Farooq: Niet de nee-zegger zijn, maar de bewaker, de verbinder, degene die het kan uitleggen. Mijn ervaring is dat die uitlegbaarheid heel belangrijk is. Soms moet je een verhalenverteller zijn. Soms lijkt het alsof juridische taal een taal op zich is. Je moet het kunnen vertalen naar gewone mensentaal, zodat het wordt begrepen. Je bent de regisseur van de spanning. Die voel je op het moment dat je je alleen maar richt op de vakinhoud. Wat komt daarbij om de hoek kijken? Die soft skills die je niet worden geleerd. Ik heb de Alfonscursus gevolgd en heel veel theorie daarover gelezen. Op een gegeven moment keek ik YouTube-filmpjes, omdat ik dacht dat het dan misschien beklijfde. Uiteindelijk heb ik gemerkt dat de grootste, leukste en soms pijnlijkste ervaring uit de praktijk komt.
00:06:17
Sah Farooq: Die maak je met elkaar mee. Daar leer je het meeste van. Dat sla je op als herinnering. Weet je nog dat dit en dat toen is gebeurd? Dat gaat me geen tweede keer gebeuren. Politieke sensitiviteit. Wie kent het woord niet? Het is overal waar wij komen en werken een buzzwoord. Het begint al met onze vacaturetekst. Je moet politiek sensibel zijn. Wat betekent dat? Wanneer ben ik het wel en wanneer niet? Vallen en opstaan. Het begint met relatie. Het liefst niet de relatie met onszelf, met onze vakgenoten of onze afdeling. Het is de relatie met de omgeving en daaraan bouwen en werken. De frustratietolerantie vind ik mooi. Dat haalde het bloed onder mijn nagels vandaan. Je hebt met diegene gezeten en het tot het fijnste uitgelegd.
00:07:12
Sah Farooq: Toch zeggen ze bij een interview of meeting net het verkeerde, wat jou met nog meer werk opzadelt. Aan de ene kant ga je de frustratie bij jezelf managen. Aan de andere kant manage je de frustratie van de omgeving. Daarin probeer je zo duidelijk mogelijk te zijn, zodat begrepen wordt wat je bedoelt. Je bedoelt het goed. Als jurist weet je als geen ander dat je een onafhankelijke positie hebt. Ook dat begint weer bij de vacaturetekst. Je moet gevraagd, ongevraagd en objectief op basis van doctrine, wetgeving en jurisprudentie beargumenteerd iets kunnen beschrijven. Je moet onafhankelijk en constructief blijven, met de soft skills erbij. Vanuit die vakinhoud probeer je een vertaalslag te maken. Dat is mij in de loop der jaren geleerd.
00:08:07
Sah Farooq: Je ontkomt dan niet aan het feit dat je je soms in de positie van een ander moet verplaatsen. Je bent objectief, maar je moet het verhaal daarbij hebben. Je doet dat het beste door je te verplaatsen in het bestuur. Wat houdt hen bezig en waar lopen zij tegenaan? Waar liggen zij 's nachts wakker van? Waar krijgen zij buikpijn van? De voorbeelden staan hier. Als het in de krant komt, is het vaak een buikpijnsituatie. Daar wil je aan werken. Ik kan me voorstellen dat de vraag ontstaat hoe je achter die bestuurlijke buikpijn komt. Mijn ervaring is dat ik heel veel uit mijn omgeving kan halen. Ik kan heel veel uit collega's halen. Je kunt vragen naar hun ervaring, maar heb ook het lef om het aan je bestuur te vragen. Waar lig je wakker van?
00:09:08
Sah Farooq: Waar maak je je zorgen over en hoe kan ik daarbij iets voor je betekenen? Onze rol is om naar die situatie en die dilemma's te kijken. Om een verhalenverteller te zijn, in scenario's te werken en voorbeelden te noemen. Dat zei Jos ook. Leer te praten zoals je gehoord wordt. Ik heb de neiging vaak te praten zoals ik mijn verhaal kwijt wil. Op een gegeven moment leer je te praten zoals naar je geluisterd wordt. Wie zit hier tegenover mij? Daar hoort een beetje psychologie bij. Een bekend verhaal. Het is soms een ondankbare baan om privacy officer zijn. Herkent iemand dat? Een nee-zegger of een politieagent? Ik heb op een gegeven moment gevraagd of ik een wapenstok of taser mocht hebben, als ik toch de politieagent ben. Of een halsband met een clicker.
00:10:08
Sah Farooq: Dan maken we het gelijk punitief. Ik kom uit het strafrecht. Ik heb jaren geleden de overstap gemaakt. Als ik terug mag naar mijn oude materie, geef me dan ook een stok om mee te slaan. Het viel niet goed. Dat horen we elke dag. Wie hoort het niet? Privacy vertraagt, omdat we niet vroeg aansluiten. Omdat we niet bij het ontwerp aan tafel zitten en niet al in de voorfase kunnen waarschuwen voor de valkuilen. Letterlijk het Kelderluik-arrest. Daar wil je voor waarschuwen. Je hebt bondgenoten nodig. Ik hoorde Jos zeggen om vooral je FG, CISO of CPO te betrekken. JJZ stond er niet bij. Dat doen we al. Nu zeg ik iets misschien iets dat verkeerd valt. Dat wil ik niet. Dat zijn nog meer vakidioten, zoals wij. Wij hebben hen nodig voor de onderbouwing van ons verhaal.
00:11:18
Sah Farooq: Daar haal je je argumentatie vandaan. Die vakinhoud is nodig, maar daar moet je juist uit. Jij moet bondgenoten vinden in de business. Waarom daar? De business heeft een taakstelling. Als jij de business ertoe kan bewegen dat zij bij het MT, waar hun propositie met jouw onderbouwing op tafel komt, hun hand opsteken en zeggen dat ze erachter staan, dan heb je een heel ander verhaal dan de CISO en de FG. Ondersteunende argumenten zijn goed, maar uiteindelijk werken we voor de business. Dat zijn onze echte bondgenoten. Daar zouden we veel vaker koffie mee moeten drinken. Daar zouden we ervoor moeten zorgen dat wij hun argumenten zijn. Dat betekent een stukje investering. Dat betekent niet dat we nog een template moeten maken waarop met koeienletters staat om ons erbij te betrekken als ze ons nodig hebben.
00:12:28
Sah Farooq: Of om te bellen, met een link naar ons profiel. Dat helpt niet. We moeten de deur uit. Sommige mensen zijn introvert. Ik ben een introvert. Ik heb me aangeleerd om extrovert te zijn en voor publiek te staan. Eng. Ook introverte mensen kunnen naar buiten en leren koffiedrinken met mensen. Soms met mensen waar je niet zoveel zin hebt om koffie mee te drinken. Dat moet soms. Dat heb ik ook. Ik heb er volgende week eentje staan. Daar heb ik al een tijdje buikpijn over. Hoe ga ik die over de streep trekken? Het helpt wel. Op het moment dat je je toch blootstelt daaraan, mag je je kwetsbaarheid benoemen. Laat zien dat je het spannend vindt. Dat is niet erg. We zijn allemaal mensen. Een senior algemeen directeur moest ook ergens beginnen. Het is zo vanzelfsprekend.
00:13:24
Sah Farooq: Dat is niets nieuws. Probeer het te doen. Het heeft mij veel gebracht. Dan komen we bij de buikpijn. Beweeg ik mee of trap ik op de rem? Dat is een herkenbare situatie voor veel mensen. Te laat betrokken, politieke urgentie en het had eergisteren af moeten zijn. Was het niet vrijdagmiddag? Dit is één situatie van bestuurlijke buikpijn. Onafhankelijk versus meebewegen. Wanneer zeg je echt nee? Wat doet dat met je positie? Dat is een tweede. Een voorbeeld daarvan is dakkapellen. Daar had ik mee te maken. Wat gebeurde er? Mijn organisatie wilde graag drones inzetten om dakkapellen te inspecteren. Mooi idee, maar het was technisch een uitdaging om uit te zoeken hoe dat werkte. Wat heb je daarvoor nodig? Juridisch kon het, want wat bleek?
00:14:42
Sah Farooq: Bij de RDW hebben ze een register voor bepaalde soorten drones. Is er iemand van de RDW hier die het beter kan uitleggen dan ik? Nee? Dan doe ik dat. Vanaf een bepaalde maat, een technische indeling, moet je een registratie hebben. Die is gekoppeld aan de eigenaar. Dat is vaak voor bedrijfsmatige doeleinden. Voor echt grote industriële zaken en niet zozeer voor de kleine drones die je hobbymatig bij Intertoys kunt kopen. In dit geval voor gemeenten, die apparatuur inzetten die het mogelijk moet maken om met een cameragestuurde drone naar boven te gaan. Een paar foto's van die dakkapel maken en klaar is Kees. Er hoeft geen ambtenaar in een boom te klimmen, hij valt hij er niet uit en we hebben niet nog grotere zorgen om onze mensen.
00:15:31
Sah Farooq: Niemand die door het huis loopt. Er kan in feite niets gebeuren. Jullie kunnen het googlen. Een paar inwoners van Den Haag waren heel erg bezorgd. Voor hen was het schrikbarend om ineens drones door hun wijk te zien vliegen. Het deed herinneren aan aanvallen van Russische drones in Oekraïne. Moordwapens en militaire apparatuur. Ze schrokken daarvan. Dat hebben we serieus genomen. Daar zijn we mee in gesprek gegaan en uiteindelijk was er juridisch niets aan de hand. Drones zijn niet herleidbaar tot personen. Je loopt niet door een huis, dus je hebt geen verwerking van persoonsgegevens. Je hebt juist een veiligere manier gevonden om zonder verwerking van persoonsgegevens een inspectie op het dak te doen. Het viel mee, maar het bleef hangen.
00:16:23
Sah Farooq: Dan vraag je je af of je daarin wel goed genoeg hebt geadviseerd. Heb ik de juiste argumenten gebruikt? Heb ik kunnen overtuigen dat het juridisch geen probleem is? Er is maatschappelijke commotie ontstaan en hoe ga je met die pijn om? Het bestuur trekt nu terug, terwijl het een goede oplossing is. Goed voor de medewerker, maar ook voor de burger. Dat was de onafhankelijkheid versus meebewegen. Wanneer kun je je erbij neerleggen dat een keuze niet wordt gemaakt? Maatschappelijke ophef zet er een rem op, terwijl het juridisch zou kunnen. Zijn wij als privacy officers in de positie om 'nee' te zeggen? We geven onafhankelijk advies en we duiden alle scenario's. Als het juridisch mag, zeg je vaak geen 'nee'.
00:17:13
Sah Farooq: In dit geval was het ook geen 'nee' met die drones en het probleem met de dakkapellen. Soms heb je een 'nee' en kijk je naar het proces. Dan kun je kijken of je met maatregelen misschien verder kunt komen om er een 'ja' van te maken. Je mag niet zomaar bijzondere persoonsgegevens verwerken. In de wet staan daar harde eisen over. Hoe zou het wel kunnen? Gaat het er dan in die maatschappelijke afweging om of de privacy ook mee gewogen moet worden? Ik denk van wel. Je probeert je namelijk in die bestuurder te verplaatsen. Die gaat daarmee te maken krijgen. Jij bent zijn directe strategische adviseur. Als je dat niet op voorhand meeweegt, heb je straks geen tijd als hij of zij de vraag aan jou stelt. Dan moet je à la minute iets verzinnen.
00:17:58
Sah Farooq: Het geeft veel meer rust voor je eigen advisering en standpunten als je dat wel meeweegt. Daarmee kun je aantoonbaar laten zien dat je ook aan hun dilemma's hebt gedacht. Jij hebt buikpijn op andere onderdelen, maar je herkent hun buikpijn. Dat is goed voor de relatie. Soms moeten we paaien. Dat kan door je te verplaatsen in een ander. De dagelijkse realiteit. Buikpijn nummer drie. Wie kent hem niet? Iedereen kent hem. Heb ik wel stevig genoeg in mijn schoenen gestaan? Heb ik duidelijk gemaakt waar onze grens ligt en waar die van een ander is? Heb ik het duidelijk genoeg over kunnen brengen? Als ik zo naar de zaal kijk, is dat herkenbaar. Dan komen we bij een dilemma. Ook herkenbaar. Heel veel data.
00:18:50
Sah Farooq: We hebben hier en daar van de sprekers in de verschillende breakout sessies over data mogen horen. Ik wil het toetsen. A, B of C? Wie is voor A, dus meebewegen en waarborgen? Dat zijn er niet zo veel. Nog eentje erbij. Formeel negatief adviseren. 'Formeel' moeten we tussen haakjes zien. Doe maar niet, dat lijkt me niet verstandig. Wie is voor B? Toch nog een enkeling. Escaleren naar de bovenlaag? Lekker makkelijk. Bij de baas van de collega neerleggen. Dat doen ze andersom ook. Hoeveel escalaties hebben we elke week niet op de mail? Je privacy officer heeft dit gedaan. Wat heb jij dan gedaan? Je gaat niet elke dag bij je baas zitten. Tranquilo. Adem in, adem uit. Houd het professioneel. We kunnen het nooit goed doen. Het maakt niet uit wat we kiezen. Waar gaat het over?
00:20:08
Sah Farooq: We zijn ook maar mensen. We kunnen objectief doen of een pokerface opzetten. We kunnen ons van 9 tot 5 professioneel gedragen en dan momenten hebben in het verkeer, thuis of bij de voetbal. Ergens moet het eruit. De een gaat kickboksen, de ander hardlopen. We hebben een uitlaatklep nodig. We zijn mensen van vlees en bloed, dus we moeten daar iets mee. Ik heb daar over nagedacht. Waar krijg ik die buikpijn van? Is dat omdat ik onzeker ben over mijn kennis of omgeving? Ben ik ergens bang voor? Wat is het? Dan kom je terecht bij een reeks vragen die je buikpijn geven, omdat je niet weet of je stevig genoeg in je schoenen staat. Stel dat dat zo is en je ramt je door de organisatie. Heb je dan die rugdekking? Staat je management daar achter?
00:21:09
Sah Farooq: Kan je MT je ondersteunen? Mag je daarop rekenen? Soms wel, soms niet. Het hangt ervan af of je draagvlak hebt gecreëerd en bondgenoten hebt. Vaak zit niet de FG of CISO aan zo'n MT-tafel. Daar sta jij met je business. Tussen die vijf, zes mensen die daar zitten, moet eentje zijn hand opsteken. Aangeven dat het zijn verhaal is, hij daarin is meegenomen en er helemaal achter staat . Zo kunnen we het doen, dus laten we het vooral doen. Dat is heel iets anders dan afhankelijk te zijn van die rugdekking. Bondgenoten zijn heel belangrijk, ook voor die buikpijn. Is Jos er nog? Ik weet het niet. Ik maak me soms zorgen om de AP. Wat als zij langskomen? Kan ik die drones en dakkapellen dan uitleggen? Het kan ook het bestuur of de business zijn. Je moet het soms uit kunnen leggen.
00:22:11
Sah Farooq: Kan ik dat dan ook? Soms vind ik het spannend om te kiezen voor een gezonde tegenbeweging en niet voor de frictie. Ik moet de tegenargumenten kunnen benoemen. Dat is mijn baan, daar ben ik voor aangenomen. Hoelang ga ik daar last van hebben? Hoelang gaan mensen dat onthouden? Leer ik ze dan om mij en mijn team te passeren? Een privacy officer is een nee-zegger, een politieagent. Dat zijn mijn overwegingen. Het is een kwetsbare inkijk. Dit is mijn loopbaan geweest. Dit zijn de ervaringen die ik heb gehad. Je kunt zelden een perfecte keuze maken. Er zijn altijd menselijke factoren. Het is ons innerlijk, ons gut feeling. Ook onze angsten spelen mee in het hele verhaal. Die liften mee, dus laten we ze vooral benoemen.
00:23:20
Sah Farooq: We benoemen ook bij ons management dat we ergens last van hebben of iets spannend vinden. Ik vind het eng, of heb geen zin. In het stukje over filosofie kwamen we bij de break out van Sulaika een stukje ethiek tegen. Ik zeg het verkeerd. Vaak is de vraag of het van privacy mag. Zo simpel is het niet. Wat er wel is, willen we dat überhaupt? Jullie kunnen dat zelf lezen. Wat ik hier vooral wil benadrukken, is 'we'. Ik hoef het niet alleen te doen. Ik hoef het niet alleen met de CISO te doen. Nee, ik kan het met de business doen. Dat zijn de mensen waar we in moeten leren investeren, hun taal en dilemma's leren begrijpen. Vanuit die 'we' kunnen we deze vragen beantwoorden. Dan hoef je het niet alleen te dragen. Het is dan niet alleen van jou, het is van jullie. Gedeelde zorg is halve zorg.
00:24:16
Sah Farooq: Minder pijn. Ik zeg altijd tegen mijn team om niet meteen in kaders te denken of wat niet mag. Wat heb je ervoor nodig om het wel op gang te zetten? Om wel de eerste stap te maken? Je hoeft niet voor die hele bulk een 'nee' te verkopen. Begin met iets kleins dat wel kan. Dat geeft het perspectief dat je voor de rest nodig hebt. Dat geeft zoveel rust, ook in de business. In feite zijn het zaken die voor elk soort adviseur van toepassing zijn. Niet alleen wij, maar iedereen die een ander moet adviseren, loopt hier tegenaan. Iedereen zou hier baat bij hebben. Bestuur, business en buikpijn betekent bewust, betrek en bedenk wie je om hulp kunt vragen. Ik hield het bij de B. Dat is misschien makkelijker te onthouden. Dank jullie wel.