Wat is een functionaris gegevensbescherming (FG)?
Organisaties verwerken dagelijks persoonsgegevens van klanten, medewerkers en andere betrokkenen. De Algemene Verordening Gegevensbescherming (AVG) stelt eisen aan hoe organisaties met deze gegevens omgaan. Maar wie houdt toezicht op de naleving van deze privacyregels binnen een organisatie?
Daar speelt de functionaris gegevensbescherming (FG) een belangrijke rol. Een FG houdt onafhankelijk toezicht op de naleving van privacywetgeving, adviseert over gegevensbescherming en helpt organisaties om privacyrisico's tijdig te signaleren.
Maar wat doet een functionaris gegevensbescherming precies? Wanneer is het aanstellen van een FG verplicht? En wat is het verschil tussen een interne en externe FG? In dit artikel leggen we uit welke rol de FG vervult en waar organisaties rekening mee moeten houden.
Wat doet een functionaris gegevensbescherming?
Een functionaris gegevensbescherming (FG) is een onafhankelijke toezichthouder binnen of voor een organisatie die toeziet op de naleving van de AVG en andere relevante regels voor gegevensbescherming. De functie wordt in het Engels aangeduid als Data Protection Officer (DPO).
De FG adviseert de organisatie over privacywetgeving, controleert of persoonsgegevens op de juiste manier worden verwerkt en fungeert als aanspreekpunt voor de Autoriteit Persoonsgegevens (AP).
De rol van een FG is vastgelegd in de artikelen 37, 38 en 39 van de AVG. Hierin staan onder andere de voorwaarden voor het aanwijzen van een FG, diens onafhankelijke positie en de wettelijke taken.
Een belangrijk onderscheid is dat de FG toezicht houdt en adviseert, maar niet zelf eindverantwoordelijk is voor de naleving van de AVG. Die verantwoordelijkheid blijft bij de organisatie zelf.
Wat zijn de taken van een functionaris gegevensbescherming?
Een functionaris gegevensbescherming heeft verschillende wettelijke taken. Deze richten zich op toezicht, advisering en het bevorderen van bewustwording rondom privacy en gegevensbescherming.
1. Toezicht houden op de naleving van de AVG
De FG controleert of de organisatie voldoet aan de AVG en het interne privacybeleid. Daarbij kijkt de functionaris niet alleen naar de aanwezigheid van beleid en procedures, maar ook naar de toepassing ervan in de praktijk.
Dit kan bijvoorbeeld betekenen dat de FG onderzoekt of privacyverantwoordelijkheden duidelijk zijn belegd, of medewerkers zorgvuldig omgaan met persoonsgegevens en of bestaande beheersmaatregelen voldoende functioneren.
2. Adviseren over privacywetgeving
Een functionaris gegevensbescherming informeert en adviseert het management en medewerkers over hun verplichtingen op het gebied van gegevensbescherming.
Bijvoorbeeld wanneer een organisatie nieuwe technologie introduceert, persoonsgegevens met externe partijen wil delen of bestaande processen aanpast.
De FG helpt om privacyrisico's inzichtelijk te maken en geeft onafhankelijk advies over passende maatregelen.
3. Adviseren over DPIA's
Bij verwerkingen die waarschijnlijk een hoog privacyrisico opleveren, moet een organisatie vooraf een Data Protection Impact Assessment (DPIA) uitvoeren.
De FG adviseert, wanneer daarom wordt gevraagd, over de uitvoering van deze beoordeling en houdt toezicht op de uitvoering ervan. Daarbij kan de FG adviseren over de gekozen methodiek, de geïdentificeerde risico's en de voorgestelde maatregelen.
De verantwoordelijkheid voor het uitvoeren van de DPIA en het nemen van besluiten blijft bij de organisatie.
4. Contact onderhouden met de Autoriteit Persoonsgegevens
De functionaris gegevensbescherming fungeert als contactpunt voor de Autoriteit Persoonsgegevens. Dit geldt onder andere voor vragen over gegevensverwerkingen en overleg met de toezichthouder.
Daarnaast kan de FG binnen de organisatie als aanspreekpunt fungeren voor betrokkenen die vragen hebben over de verwerking van hun persoonsgegevens of de uitoefening van hun privacyrechten.
5. Privacybewustzijn en naleving bevorderen
Naast de wettelijke toezicht- en adviestaken draagt de FG bij aan bewustwording over gegevensbescherming.
Denk aan het signaleren van opleidingsbehoeften, adviseren over interne privacytrainingen en het onder de aandacht brengen van terugkerende privacyrisico's.
Een effectieve FG kijkt daarmee verder dan uitsluitend juridische verplichtingen. De functie helpt organisaties om privacy structureel onderdeel te maken van hun werkwijze.
Wanneer is een functionaris gegevensbescherming verplicht?
Niet iedere organisatie is verplicht een functionaris gegevensbescherming aan te stellen. Artikel 37 van de AVG beschrijft drie situaties waarin dit wel verplicht is.
Een FG is in ieder geval verplicht wanneer:
- De verwerking plaatsvindt door een overheidsinstantie of overheidsorgaan. Dit geldt met uitzondering van gerechten bij de uitoefening van hun rechterlijke taken.
- De kernactiviteiten bestaan uit grootschalige, regelmatige en stelselmatige observatie van personen. Bijvoorbeeld wanneer het structureel monitoren van personen een essentieel onderdeel vormt van de dienstverlening.
- De kernactiviteiten bestaan uit grootschalige verwerking van bijzondere categorieën persoonsgegevens of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten. Denk bijvoorbeeld aan organisaties waarbij de grootschalige verwerking van gezondheidsgegevens centraal staat.
Ook specifieke wetgeving kan aanvullende verplichtingen bevatten.
Wanneer is sprake van grootschalige verwerking?
De AVG noemt geen vaste aantallen persoonsgegevens of betrokkenen waarmee een verwerking automatisch als grootschalig wordt beschouwd.
Bij de beoordeling spelen onder andere het aantal betrokkenen, de hoeveelheid en soorten gegevens, de duur van de verwerking en de geografische omvang een rol.
Daarom is het belangrijk om niet uitsluitend naar de grootte van de organisatie te kijken. Ook de aard van de activiteiten en de manier waarop persoonsgegevens worden verwerkt, bepalen of een FG verplicht is.
Kan een FG ook vrijwillig worden aangesteld?
Ja. Ook wanneer een organisatie wettelijk niet verplicht is een FG aan te stellen, kan zij ervoor kiezen dit vrijwillig te doen.
Dat kan waardevol zijn wanneer privacyvraagstukken complexer worden, meerdere afdelingen persoonsgegevens verwerken of behoefte bestaat aan onafhankelijk toezicht.
Let op: wanneer een organisatie vrijwillig iemand formeel als FG aanwijst, gelden in beginsel dezelfde AVG-eisen voor de positie en werkzaamheden van de FG als bij een verplichte aanwijzing.
Wat is het verschil tussen een functionaris gegevensbescherming en een Privacy Officer?
De termen functionaris gegevensbescherming en Privacy Officer worden regelmatig door elkaar gebruikt. Toch verschillen de functies in verantwoordelijkheden en positionering.
Een functionaris gegevensbescherming heeft een wettelijk vastgelegde, onafhankelijke toezicht- en adviesrol. De FG beoordeelt de naleving van privacywetgeving en rapporteert rechtstreeks aan het hoogste managementniveau.
Een Privacy Officer (PO) richt zich doorgaans op de praktische uitvoering en coördinatie van privacywerkzaamheden. Denk aan het onderhouden van het verwerkingsregister, het ondersteunen bij DPIA's, het opstellen van procedures en het begeleiden van privacyvraagstukken.
De exacte invulling van de Privacy Officer-rol kan per organisatie verschillen.
Beide functies kunnen elkaar goed aanvullen. Waar de Privacy Officer helpt bij de dagelijkse uitvoering van privacymaatregelen, houdt de FG onafhankelijk toezicht en adviseert deze over de naleving.
Aan welke eisen moet een functionaris gegevensbescherming voldoen?
Een FG moet beschikken over voldoende deskundigheid op het gebied van privacywetgeving en de toepassing daarvan in de praktijk.
De AVG schrijft geen specifieke opleiding of certificering voor. Wel moet een functionaris worden aangewezen op basis van professionele kwaliteiten, deskundige kennis van het gegevensbeschermingsrecht en de praktijk, en het vermogen om de wettelijke taken uit te voeren.
Daarnaast gelden belangrijke voorwaarden voor de positie van de FG.
Onafhankelijkheid en belangenconflicten
De FG moet zijn of haar taken onafhankelijk kunnen uitvoeren. De organisatie mag geen instructies geven over de inhoudelijke uitvoering van de wettelijke FG-taken.
Ook mag de FG niet worden benadeeld of ontslagen vanwege het uitvoeren van deze taken.
Een FG mag andere werkzaamheden verrichten, zolang die niet leiden tot een belangenconflict. Zo is het doorgaans problematisch wanneer iemand tegelijkertijd bepaalt voor welke doeleinden en met welke middelen persoonsgegevens worden verwerkt én onafhankelijk toezicht moet houden op die beslissingen.
Toegang tot informatie en management
De FG moet tijdig worden betrokken bij aangelegenheden die verband houden met de bescherming van persoonsgegevens.
Daarvoor moet de organisatie voldoende middelen, toegang tot relevante informatie en ondersteuning beschikbaar stellen.
Bovendien rapporteert de FG rechtstreeks aan het hoogste managementniveau. Zo kunnen privacyrisico's en aanbevelingen op het juiste niveau worden besproken.
Kan een functionaris gegevensbescherming intern of extern worden aangesteld?
Een organisatie kan ervoor kiezen om een functionaris gegevensbescherming intern aan te stellen of de functie door een externe specialist te laten vervullen. Beide mogelijkheden zijn toegestaan onder artikel 37 van de AVG.
Welke invulling het meest geschikt is, hangt onder andere af van de beschikbare expertise, de complexiteit van de gegevensverwerkingen en de benodigde capaciteit. In beide gevallen moet de FG onafhankelijk kunnen functioneren en beschikken over voldoende deskundigheid.
Wil je meer weten over het uitbesteden van deze functie? Bekijk dan onze FG-as-a-Service dienstverlening.
Wanneer is een externe FG een passende keuze?
Een externe FG kan met name waarde toevoegen wanneer:
- De organisatie niet over voldoende interne FG-expertise beschikt.
- Er behoefte is aan onafhankelijk en structureel toezicht.
- De privacyvraagstukken complexer worden en specialistische kennis vereisen.
- Continuïteit en duidelijke afspraken over de invulling van de FG-rol belangrijk zijn.
De keuze voor een interne of externe FG hangt uiteindelijk af van de organisatie, de gegevensverwerkingen en de beschikbare middelen.
Functionaris gegevensbescherming uitbesteden aan DPO Consultancy
Een functionaris gegevensbescherming vervult een belangrijke rol bij het onafhankelijk beoordelen en verbeteren van de naleving van privacywetgeving. Maar niet iedere organisatie beschikt intern over de capaciteit of expertise om deze functie goed in te vullen.
DPO Consultancy ondersteunt organisaties met FG-as-a-Service: de externe invulling van de functionaris gegevensbescherming, afgestemd op de organisatie en haar privacyvraagstukken.
Onze privacyprofessionals combineren deskundigheid op het gebied van de AVG met een praktische benadering. We maken privacyvraagstukken begrijpelijk, signaleren risico's en geven onafhankelijk advies waarmee organisaties gericht kunnen verbeteren.
Zo krijgt jouw organisatie toegang tot specialistische FG-expertise, zonder dat hiervoor een volledige interne functie hoeft te worden ingericht.
Meer weten over de invulling van de FG-rol?
Ontdek hoe DPO Consultancy jouw organisatie kan ondersteunen met een externe fg.
