Wanneer heeft uw organisatie een functionaris gegevensbescherming nodig?

Sinds de Algemene verordening gegevensbescherming (AVG) van toepassing is, krijgen wij geregeld dezelfde vraag: moeten wij een functionaris gegevensbescherming aanwijzen? Het antwoord is lang niet altijd ja. De AVG noemt drie situaties waarin een FG verplicht is. Daarbuiten mag het, en soms is het verstandig. In dit artikel leggen we uit waar de grens ligt.

Wat doet een FG?

De functionaris gegevensbescherming (FG, in het Engels Data Protection Officer) is een interne toezichthouder op de verwerking van persoonsgegevens. De taken staan in artikel 39 AVG. De FG informeert en adviseert de organisatie en de medewerkers over hun verplichtingen, ziet toe op de naleving van de AVG en het eigen privacybeleid, adviseert over gegevensbeschermingseffectbeoordelingen (DPIA's) en is het aanspreekpunt voor de Autoriteit Persoonsgegevens.

Belangrijk is de onafhankelijke positie. De FG krijgt geen instructies over de uitvoering van zijn taken, mag niet worden ontslagen of gestraft voor het uitvoeren daarvan en rapporteert rechtstreeks aan het hoogste leidinggevende niveau (artikel 38 AVG). Een FG mag ook andere taken hebben, zolang die niet tot een belangenconflict leiden. Wie zelf beslist over doel en middelen van verwerkingen, zoals een directeur of hoofd IT, is daarom meestal geen geschikte FG.

De drie situaties uit artikel 37 AVG

Een organisatie moet een FG aanwijzen als een van de volgende situaties zich voordoet.

1. U bent een overheidsinstantie of overheidsorgaan. Gemeenten, provincies, waterschappen en ministeries hebben dus altijd een FG. Alleen gerechten zijn uitgezonderd voor zover zij rechtspreken.
2. Uw kernactiviteit bestaat uit grootschalige, regelmatige en stelselmatige observatie van mensen. Denk aan het volgen van gedrag op internet voor profilering, cameratoezicht als dienst, of het monitoren van locatiegegevens.
3. Uw kernactiviteit bestaat uit grootschalige verwerking van bijzondere persoonsgegevens (zoals gezondheidsgegevens) of strafrechtelijke gegevens. Een ziekenhuis, een grote zorginstelling of een zorgverzekeraar valt hier doorgaans onder.

Twee begrippen doen er hier veel toe. Kernactiviteit betekent: de verwerking hoort bij de hoofdactiviteit van de organisatie, niet bij ondersteunende processen. Elke werkgever verwerkt salarisgegevens, maar dat is geen kernactiviteit. Grootschalig is niet in een vast getal uitgedrukt. Toezichthouders kijken naar het aantal betrokkenen, de hoeveelheid en soorten gegevens, de duur en de geografische reikwijdte van de verwerking. Een individuele huisarts of kleine praktijk verwerkt in de regel niet op grote schaal; een ziekenhuis wel. Bij twijfel is het verstandig de afweging vast te leggen.

Geen plicht, wel verstandig?

Valt uw organisatie niet onder een van de drie situaties, dan mag u vrijwillig een FG aanwijzen. Let op: wie een functionaris officieel als FG aanmeldt, moet zich ook aan alle regels voor de FG houden, inclusief de onafhankelijke positie en de ontslagbescherming. Veel organisaties kiezen daarom voor een privacy officer of privacycoördinator. Die ondersteunt bij de naleving, houdt het verwerkingsregister bij en coördineert datalekken, zonder de formele positie van de FG.

Ook zonder FG blijft u verantwoordelijk voor de naleving van de AVG. U moet onder meer een verwerkingsregister bijhouden (in veel gevallen), verwerkersovereenkomsten sluiten, datalekken registreren en waar nodig melden, en een DPIA uitvoeren bij verwerkingen met een hoog risico. Wie die taken niet structureel belegt, loopt in de praktijk achter de feiten aan.

Intern of extern?

De AVG staat toe dat de FG een eigen medewerker is of een externe deskundige op basis van een dienstverleningsovereenkomst. Een externe FG brengt kennis en onafhankelijkheid mee en is vaak efficiënter voor organisaties die geen voltijdse functie kunnen vullen. Een groep van ondernemingen mag één FG aanwijzen, mits die vanuit elke vestiging gemakkelijk bereikbaar is. Voor overheidsorganen geldt iets vergelijkbaars, rekening houdend met hun omvang en structuur.

Aanmelden en bekendmaken

Een aangewezen FG meldt u aan bij de Autoriteit Persoonsgegevens. Daarnaast publiceert u de contactgegevens van de FG, bijvoorbeeld in uw privacyverklaring, zodat betrokkenen weten waar zij terechtkunnen. Leg ook intern vast welke positie, middelen en tijd de FG krijgt.

Checklist

• Breng uw kernactiviteiten en de soorten persoonsgegevens in kaart.
• Beoordeel per situatie uit artikel 37 AVG of die op u van toepassing is, en leg de afweging vast.
• Kies bij een plicht tussen een interne en een externe FG, en borg de onafhankelijkheid.
• Geen plicht? Overweeg een privacy officer om de naleving structureel te beleggen.
• Meld een FG aan bij de Autoriteit Persoonsgegevens en publiceer de contactgegevens.

Twijfelt u of uw organisatie een FG nodig heeft, of zoekt u een externe FG of privacy officer? Wij denken graag mee. Dit artikel is algemene informatie en geen juridisch advies voor uw situatie.