Functionaris Gegevensbescherming (FG)

Wat we doen

Binnen een organisatie zal een persoon moeten toezien zien op de omgang van persoonsgegevens. Deze persoon wordt de Functionaris Gegevensbescherming (FG) of Data Protection Officer (DPO) genoemd. Eén van onze privacyspecialisten van de praktijkgroep privacy en gegevensbescherming kan binnen een organisatie de functie van FG bekleden. Daarnaast kan juridisch advies gegeven worden, zodat de FG binnen een organisatie weet wat er van hem of haar kan worden verwacht.

Vragen omtrent de functie van FG? Neem dan contact met ons op.

Wanneer is een Functionaris Gegevensbescherming verplicht?

Of uw organisatie een FG moet aanstellen, volgt uit artikel 37 van de Algemene verordening gegevensbescherming (AVG). Een FG is in drie situaties verplicht: (1) u bent een overheidsinstantie of overheidsorgaan; (2) uw kernactiviteiten bestaan uit grootschalige, regelmatige en stelselmatige observatie van personen; of (3) uw kernactiviteiten bestaan uit grootschalige verwerking van bijzondere categorieën persoonsgegevens (zoals gezondheids-, biometrische of strafrechtelijke gegevens). Of er sprake is van “grootschalig” en “kernactiviteit” is vaak een juridische beoordeling op maat. Onze advocaten en bedrijfsjuristen toetsen dat voor elke organisatie afzonderlijk – van een internationaal concern tot de zorgpraktijk of de webwinkel om de hoek. Ook als aanstelling niet verplicht is, kan een vrijwillige FG verstandig zijn; let op dat een vrijwillig aangestelde FG aan dezelfde eisen van de AVG voldoet.

Taken van de FG (artikel 39 AVG)

De minimumtaken van een Functionaris Gegevensbescherming staan in artikel 39 van de AVG. De FG:

• informeert en adviseert de organisatie en haar medewerkers over hun verplichtingen onder de AVG en andere privacyregelgeving;
• ziet toe op de naleving van de AVG, inclusief de toewijzing van verantwoordelijkheden, bewustwording en opleiding van personeel en de uitvoering van audits;
• adviseert desgevraagd over een gegevensbeschermingseffectbeoordeling (DPIA) en ziet toe op de uitvoering daarvan;
• werkt samen met de Autoriteit Persoonsgegevens (AP) en treedt op als contactpunt, onder meer bij datalekken.

De FG is toezichthouder en adviseur, geen uitvoerder: hij of zij is niet zelf verantwoordelijk voor de naleving – die verantwoordelijkheid blijft bij de verwerkingsverantwoordelijke.

Positie, faciliteiten en onafhankelijkheid (artikel 38 AVG)

Artikel 38 AVG waarborgt de positie van de FG. De organisatie moet de FG tijdig en goed betrekken bij alle aangelegenheden over de bescherming van persoonsgegevens, hem of haar voldoende middelen en toegang tot gegevens geven, en de FG niet ontslaan of straffen voor het uitoefenen van zijn of haar taken. De FG rapporteert rechtstreeks aan de hoogste leiding. Een belangrijk kenmerk is de wettelijk verankerde onafhankelijkheid: de FG ontvangt geen instructies over de wijze waarop hij of zij de taken uitvoert. De FG mag andere taken vervullen, mits dit niet leidt tot een belangenconflict – zo kan iemand die zelf over verwerkingsdoeleinden beslist, niet tegelijk onafhankelijk FG zijn. Tot slot is de FG gebonden aan geheimhouding over de uitoefening van zijn of haar taken.

Interne FG, externe FG of Privacy Officer?

Een FG kan een eigen medewerker zijn of extern worden ingehuurd; de AVG staat beide toe en organisaties mogen ook een gezamenlijke FG delen. Voor veel mkb-ondernemingen, zorginstellingen en onderwijsorganisaties is een externe FG aantrekkelijk: u krijgt onafhankelijke expertise zonder een vaste functie te hoeven inrichten. Onze (bedrijfs)juristen en advocaten van de praktijkgroep privacy en gegevensbescherming kunnen als externe FG optreden of een interne FG juridisch ondersteunen. Let op het onderscheid met een Privacy Officer: die voert het privacybeleid in de praktijk uit (registers bijhouden, verzoeken afhandelen), terwijl de FG juist onafhankelijk toezicht houdt. Beide rollen in één persoon combineren leidt al snel tot een belangenconflict.

Aanmelden bij de AP en risico’s bij niet-naleving

Heeft uw organisatie een FG aangesteld, dan meldt u deze aan bij de Autoriteit Persoonsgegevens en maakt u de contactgegevens openbaar (artikel 37 lid 7 AVG). De AP controleert actief of verplichte organisaties een FG hebben. Het ten onrechte niet aanstellen of niet aanmelden van een FG is een overtreding van de AVG waarvoor de AP een boete kan opleggen. Een goed gepositioneerde, onafhankelijke FG is dan ook niet alleen een wettelijke plicht, maar beperkt ook uw aansprakelijkheidsrisico. Wij combineren deze beoordeling graag met een privacy-audit om uw hele privacyhuishouding op orde te brengen.

Onze aanpak: van concern tot de bakker op de hoek

MKB Juristen werkt met gemengde teams van advocaten én bedrijfsjuristen. Daardoor schakelen we soepel tussen strategisch privacyadvies voor een internationaal concern en praktische, betaalbare ondersteuning voor de kleine ondernemer. Wij beoordelen of u een FG nodig hebt, vervullen die rol desgewenst als externe FG, ondersteunen uw interne FG, en helpen bij de inrichting van uw bredere privacycompliance. Deze pagina hoort bij onze expertise Privacy en gegevensbescherming, waar u ook terecht kunt voor verwante onderwerpen zoals datalekken, DPIA’s en privacy-audits.