Functionaris gegevensbescherming: rol, taken en verplichtingen
Organisaties verwerken dagelijks persoonsgegevens van klanten, medewerkers, patiënten en andere betrokkenen. De Algemene verordening gegevensbescherming (AVG) stelt regels voor die verwerking. Een belangrijke rol daarbij kan zijn weggelegd voor de functionaris voor gegevensbescherming (FG), ook wel data protection officer (DPO) genoemd.
Wat is een functionaris gegevensbescherming?
Een FG houdt binnen een organisatie toezicht op de naleving van de privacyregels en adviseert over de bescherming van persoonsgegevens. De FG vormt ook een aanspreekpunt voor betrokkenen en de Autoriteit Persoonsgegevens (AP). De functie is bedoeld om organisaties te helpen zorgvuldig met persoonsgegevens om te gaan en privacyrisico’s tijdig te herkennen.
Een FG neemt de verantwoordelijkheid voor de verwerking niet over. Die blijft bij de organisatie, zoals de verwerkingsverantwoordelijke of verwerker. De FG adviseert en houdt onafhankelijk toezicht.
Wanneer is een FG verplicht?
Een organisatie moet volgens de AVG een FG aanstellen in drie situaties:
- De organisatie is een overheidsinstantie of publiek orgaan, met uitzondering van rechtbanken wanneer zij optreden in hun rechterlijke hoedanigheid.
- De kernactiviteiten bestaan uit verwerkingen die regelmatige en stelselmatige observatie van personen op grote schaal vereisen.
- De kernactiviteiten bestaan uit het op grote schaal verwerken van bijzondere persoonsgegevens, zoals gegevens over gezondheid, ras of religie, of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten.
Ook als een FG niet verplicht is, kan een organisatie ervoor kiezen er één aan te stellen. Dat kan helpen om privacybeleid goed in te richten en risico’s beter te beheersen.
Wat doet een FG?
De AVG beschrijft verschillende taken voor de FG. De belangrijkste zijn:
- De organisatie en medewerkers informeren over hun verplichtingen op grond van de AVG en andere privacyregels.
- Adviseren over privacyvraagstukken, waaronder gegevensbeschermingseffectbeoordelingen (DPIA’s).
- Toezicht houden op de naleving van privacyregels en intern beleid, bijvoorbeeld door audits of bewustwordingsactiviteiten.
- Meewerken aan DPIA’s en toezien op de uitvoering ervan.
- Samenwerken met de Autoriteit Persoonsgegevens en optreden als contactpunt voor de toezichthouder.
- Vragen of klachten van betrokkenen over de verwerking van hun persoonsgegevens behandelen of begeleiden.
De precieze invulling hangt af van de organisatie, de aard van de verwerkingen en de privacyrisico’s. Een FG kan bijvoorbeeld adviseren over bewaartermijnen, toegangsbeveiliging, privacyverklaringen en het melden van datalekken.
Onafhankelijkheid en positie binnen de organisatie
Om de FG goed te laten functioneren, moet de organisatie voldoende middelen en toegang tot relevante informatie bieden. De FG mag geen instructies krijgen over de uitvoering van diens wettelijke taken en mag daarvoor niet worden benadeeld of ontslagen. De FG rapporteert rechtstreeks aan het hoogste leidinggevende niveau van de organisatie.
De FG kan een werknemer zijn of op basis van een dienstverleningsovereenkomst worden ingehuurd. Ook kunnen organisaties onder voorwaarden één FG delen, bijvoorbeeld binnen een concern of brancheorganisatie. De FG moet in alle gevallen bereikbaar zijn voor betrokkenen en toezichthouders.
De functie vraagt om deskundigheid op het gebied van privacywetgeving en de verwerkingen binnen de organisatie. Daarnaast is het belangrijk dat de FG voldoende onafhankelijk kan werken. Een mogelijke belangenverstrengeling moet worden voorkomen. Zo kan een functie waarbij iemand zelf bepaalt welke persoonsgegevens worden verwerkt, onverenigbaar zijn met de onafhankelijke toezichthoudende rol van de FG.
Wat betekent de FG voor betrokkenen?
Betrokkenen kunnen contact opnemen met de FG als zij vragen hebben over het gebruik van hun persoonsgegevens of hun privacyrechten willen bespreken. Denk aan vragen over inzage, correctie, verwijdering of bezwaar. De FG kan uitleg geven en de vraag binnen de organisatie onder de aandacht brengen. Voor formele uitoefening van rechten kunnen betrokkenen ook rechtstreeks contact opnemen met de organisatie die verantwoordelijk is voor de verwerking.
Een waardevolle rol in privacybescherming
Een goed gepositioneerde FG helpt een organisatie privacybewust te werken en problemen vroegtijdig te signaleren. De FG is geen vervanging voor goed beleid of duidelijke verantwoordelijkheden, maar kan wel bijdragen aan betere besluitvorming, meer vertrouwen en zorgvuldiger gebruik van persoonsgegevens.
Dit artikel biedt algemene informatie en is geen juridisch advies. Of een organisatie verplicht is een FG aan te stellen, hangt af van de specifieke activiteiten en verwerkingen.
Veelgestelde Vragen over de Functionaris Gegevensbescherming
- Wat is het salaris van een functionaris gegevensbescherming?
- Is een functionaris gegevensbescherming verplicht?
- Wat is het verschil tussen een privacy Officer en een Functionaris Gegevensbescherming?
- Wat is de rol van een functionaris gegevensbescherming?
Wat is het salaris van een functionaris gegevensbescherming?
Het salaris van een functionaris gegevensbescherming (FG) verschilt per sector, organisatiegrootte, ervaring en verantwoordelijkheden. In Nederland ligt het bruto maandsalaris bij een fulltime dienstverband vaak indicatief tussen € 4.000 en € 7.000, met uitschieters daarboven voor zeer ervaren FG’s of functies met brede verantwoordelijkheid. Een externe FG werkt doorgaans op basis van een uurtarief of overeenkomst; de kosten hangen dan af van de omvang en complexiteit van de opdracht.
Is een functionaris gegevensbescherming verplicht?
Een functionaris gegevensbescherming (FG) is volgens de AVG verplicht voor overheidsinstanties en publieke organen, behalve rechtbanken wanneer zij rechtspreken. Ook organisaties waarvan de kernactiviteiten bestaan uit het op grote schaal en regelmatig volgen van personen, of uit het op grote schaal verwerken van bijzondere persoonsgegevens of strafrechtelijke gegevens, moeten een FG aanstellen. Valt uw organisatie niet onder deze categorieën, dan is een FG meestal niet verplicht, maar kan de aanstelling wel helpen om privacyregels goed na te leven.
Wat is het verschil tussen een privacy Officer en een Functionaris Gegevensbescherming?
Een privacy officer ondersteunt de organisatie doorgaans bij de dagelijkse uitvoering van het privacybeleid, bijvoorbeeld met procedures, trainingen en het beantwoorden van privacyvragen. De functionaris voor gegevensbescherming (FG) heeft daarentegen een formeel omschreven rol onder de AVG: deze adviseert over privacyverplichtingen, houdt onafhankelijk toezicht op de naleving en is contactpunt voor de Autoriteit Persoonsgegevens en betrokkenen. Een FG is in bepaalde situaties wettelijk verplicht; voor de functie van privacy officer geldt dat niet. Eén persoon kan beide rollen vervullen, zolang diegene voldoende onafhankelijk kan optreden en er geen belangenverstrengeling ontstaat.
Wat is de rol van een functionaris gegevensbescherming?
Een functionaris gegevensbescherming (FG) adviseert een organisatie over de naleving van de AVG en houdt onafhankelijk toezicht op de manier waarop persoonsgegevens worden verwerkt. De FG informeert medewerkers, signaleert privacyrisico’s en is het aanspreekpunt voor betrokkenen en de Autoriteit Persoonsgegevens. De verantwoordelijkheid voor naleving blijft bij de organisatie zelf.
