De functionaris voor gegevensbescherming (FG) helpt een organisatie haar privacyrisico’s te zien en de AVG na te leven. In het Engels heet dezelfde rol data protection officer of DPO. De FG adviseert, houdt toezicht op naleving, helpt bij gegevensbeschermingseffectbeoordelingen en is een contactpunt voor toezichthouder en betrokkenen. Het bestuur of de verantwoordelijke organisatie blijft beslissen en blijft aanspreekbaar voor de verwerking. De FG is dus geen vervanging voor een eigenaar van het verwerkingsregister, een beveiligingsteam of een lijnmanager.
Deze gids beschrijft hoe de FG zijn wettelijke taken kan vervullen zonder onafhankelijkheid te verliezen. De aparte gids wanneer een FG verplicht is helpt bij de aanwijzingsbeslissing onder artikel 37 AVG. De taakverdeling staat vooral in artikel 39 AVG; artikel 38 beschermt de positie. De Autoriteit Persoonsgegevens wijst erop dat een FG deskundigheid en een werkelijk onafhankelijke plaats in de organisatie nodig heeft.
Informeren en adviseren over de AVG
De FG informeert de verwerkingsverantwoordelijke of verwerker en de medewerkers die gegevens behandelen over hun verplichtingen. In de praktijk gaat het niet alleen om een jaarlijkse presentatie. Een productteam wil weten of een nieuwe databron nodig is, HR vraagt hoe sollicitantgegevens worden beperkt, en een inkoper wil weten welke instructies een cloudleverancier krijgt. De FG vertaalt regels naar een advies dat de feiten, het risico en open vragen zichtbaar maakt. De verantwoordelijke eigenaar beslist wat met het advies gebeurt en zorgt voor de uitvoering.
Een bruikbaar advies vermeldt het doel van de verwerking, betrokken groepen, gegevenscategorieën, mogelijke rechtsgrond, ontvangers en bewaartermijn. Het hoeft niet elk juridisch vraagstuk volledig op te lossen voordat een team de risico’s begrijpt. Soms is de juiste conclusie juist dat de feiten nog niet duidelijk zijn: bijvoorbeeld of een leverancier gegevens voor eigen doeleinden hergebruikt. De verantwoordelijke-versus-verwerker-analyse en een passende verwerkersovereenkomst kunnen dat gesprek ondersteunen. De FG moet kunnen aangeven welke onzekerheid nog een besluit blokkeert.
Een terugkerend patroon verdient een algemene richtlijn. Als teams steeds om een kopie van een identiteitsbewijs vragen voor gewone rechtenverzoeken, kan de FG een proportionele verificatieprocedure adviseren. Als telkens nieuwe marketingtags verschijnen, kan hij adviseren wanneer een controle op cookies en informatie nodig is. Zo wordt het werk schaalbaar zonder dat de FG zelf alle formulieren hoeft af te handelen.
Toezien op naleving zonder uitvoeringsverantwoordelijkheid over te nemen
Artikel 39 noemt toezicht op de AVG, andere regels voor gegevensbescherming en intern beleid. Daaronder vallen de verdeling van verantwoordelijkheden, bewustwording, opleiding en controles. Toezicht betekent dat de FG onderzoekt of afspraken bestaan én werken. Hij kan steekproeven nemen, documentatie bekijken, vragen stellen aan proceseigenaren en bevindingen aan de leiding melden. De FG kan aanbevelen dat een register verouderde doeleinden corrigeert of dat toegang tot medische gegevens wordt beperkt.
Daaruit volgt geen absoluut verbod om ooit praktisch mee te helpen. De EDPB-uitleg over de FG merkt op dat een FG in de praktijk soms ook het register van verwerkingen bijhoudt. De doorslaggevende grens is het belangenconflict: kan hij nog onafhankelijk beoordelen hoe dat werk is ingericht en of de organisatie de wet naleeft? Als de FG zelf doeleinden en middelen bepaalt of zijn eigen beslissingen als enige moet toetsen, wordt die grens overschreden. Wijs daarom een proceseigenaar aan voor de uitvoering en beschrijf expliciet welke ondersteuning de FG levert.
Maak onderscheid tussen een bevinding en een besluit. De FG kan signaleren dat de bewaartermijn in een systeem langer is dan in het beleid, uitleggen welk risico dat oplevert en een wijziging adviseren. De systeemeigenaar besluit en voert uit; het bestuur accepteert eventueel een overblijvend risico. De FG volgt op of de reactie en uitvoering aantoonbaar zijn. Als een advies niet wordt gevolgd, is een gemotiveerde vastlegging nuttig. De AVG schrijft geen universele vorm voor zo’n afwijkingsregister voor, maar zonder spoor van het besluit kan later niemand begrijpen waarom een risico bleef bestaan.
Adviseren over een DPIA en de uitvoering volgen
Wanneer een voorgenomen verwerking waarschijnlijk een hoog risico oplevert, moet de verantwoordelijke een gegevensbeschermingseffectbeoordeling of DPIA doen. Artikel 35 lid 2 zegt dat de verantwoordelijke, waar een FG is aangewezen, diens advies inwint. Artikel 39 lid 1 onder c geeft de FG de taak op verzoek over de DPIA te adviseren en de uitvoering ervan te volgen. Dat is iets anders dan de wettelijke verantwoordelijkheid om de DPIA uit te voeren of het besluit te nemen of de verwerking start.
Een advies kan beginnen vóór de analyse: welke processen vallen binnen de DPIA, wie zijn betrokken, welke risico’s voor mensen moeten worden beschreven? Daarna kan de FG de aannames toetsen. Is de gekozen techniek noodzakelijk of bestaat een minder ingrijpend alternatief? Werkt de voorgestelde toegangsscheiding in de echte applicatie? Zijn risico’s voor kinderen of kwetsbare mensen voldoende uitgewerkt? De stappen voor een DPIA en een DPIA-voorbeeld helpen het team een beoordeling te structureren, maar de risicoafweging moet uit de concrete verwerking komen.
Laat ook na invoering zien wat er met het advies gebeurde. Een DPIA die een loggingmaatregel noemt, maar geen eigenaar of controlemoment heeft, is moeilijk te volgen. De FG kan vragen om bewijs van een test of om herbeoordeling na een grote wijziging. Als na de maatregelen een hoog risico resteert dat niet kan worden verminderd, moet de verantwoordelijke de AP volgens artikel 36 vooraf raadplegen voordat de verwerking begint. De FG kan adviseren; de verantwoordelijke blijft verantwoordelijk voor de aanvraag.
Samenwerken met de AP en bereikbaar zijn voor betrokkenen
De FG werkt volgens artikel 39 samen met de toezichthoudende autoriteit en fungeert als contactpunt over verwerkingen en voorafgaande raadpleging. Voor Nederland is dat de AP. Dat vraagt een werkende contactroute, toegang tot de relevante dossiers en ruimte om vragen onbelemmerd te beantwoorden. De organisatie mag de FG niet voorschrijven welk inhoudelijk oordeel hij in zijn wettelijke taak moet geven. Tegelijk is de FG niet de procespartij die namens het bestuur alle juridische verantwoordelijkheid overneemt.
Betrokkenen mogen de FG benaderen over de verwerking van hun persoonsgegevens en de uitoefening van hun rechten. Publiceer daarom contactgegevens die blijven werken als iemand van functie verandert. Een functioneel e-mailadres kan geschikt zijn, mits berichten werkelijk worden gelezen en vertrouwelijk behandeld. Een verzoek om inzage, correctie of verwijdering moet vervolgens naar de juiste uitvoerende eigenaar. De FG kan de behandeling volgen en adviseren over lastige gevallen. De organisatie blijft verantwoordelijk voor een tijdige en volledige reactie. Een model voor de privacyverklaring van de website laat zien waar een contactroute past; het adres mag geen ongecontroleerde postbus zijn.
Bij een datalek is dezelfde scheiding belangrijk. De FG kan meewegen of risico voor betrokkenen bestaat, of de AP moet worden geïnformeerd en welke informatie nog ontbreekt. Het incidentteam onderzoekt en stopt de schade; de verantwoordelijke beslist en meldt waar nodig. Het proces voor datalekmelding aan de AP en een datalekregister kunnen dit spoor vastleggen. Zet de FG niet als enige nachtdienst voor detectie en melding neer: dat zou de praktische beschikbaarheid en onafhankelijke toetsing beide onder druk zetten.
Artikel 38: betrokkenheid, middelen en rechtstreekse rapportage
De FG moet tijdig en behoorlijk worden betrokken bij alle aangelegenheden die met de bescherming van persoonsgegevens verband houden. Stuur hem daarom niet pas een afgerond leverancierscontract of gelanceerde app. Neem een moment voor FG-advies op in de projectinrichting, naast beveiliging en juridisch advies. Bij kleine wijzigingen volstaat soms een korte beoordeling; bij nieuwe grootschalige profilering kan een diepgaand gesprek nodig zijn. De FG moet de feiten kunnen zien voordat zijn advies waarde heeft.
De organisatie moet middelen beschikbaar stellen: tijd, toegang tot persoonsgegevens en verwerkingsactiviteiten, ondersteuning voor kennisontwikkeling en zo nodig medewerkers of budget. Dit is afhankelijk van omvang en risico van de activiteiten. Er bestaat geen universele wettelijke norm van één voltijds-FG per bepaald aantal werknemers. Spreek wel af hoeveel capaciteit in de praktijk beschikbaar is en hoe urgente vragen worden opgeschaald. Het AP-document over de positionering van de FG behandelt juist informatiepositie, middelen en toegang tot het bestuur.
De FG rapporteert rechtstreeks aan het hoogste leidinggevende niveau. Een leidinggevende mag praktische prioriteiten en budget bespreken, maar niet dicteren welk juridisch oordeel de FG in zijn taak moet uitbrengen. Een jaarlijkse rapportage kan patronen tonen; bij een ernstig risico moet tussentijds contact mogelijk zijn. Leg in de governance vast wie het verslag ontvangt, hoe de organisatie reageert en welke vertrouwelijke details beperkt gedeeld worden. Daardoor verdwijnt een onwelkom advies niet tussen afdelingen.
Bij een publieke organisatie, zoals een gemeente, kan de rapportagelijn organisatorisch ingewikkeld zijn omdat verschillende afdelingen en bestuursorganen gegevens verwerken. De AVG bij gemeenten laat die context zien. Spreek daarom af hoe de FG zowel gewone proceseigenaren als de hoogste leiding bereikt en hoe bevindingen over gedeelde systemen worden opgevolgd. Het bestuursorgaan blijft verantwoordelijk voor de eigen besluiten.
Onafhankelijkheid en belangenconflict toetsen
Artikel 38 lid 3 verbiedt instructies over de uitoefening van FG-taken en bescherming tegen ontslag of benadeling vanwege die taken. Dat is geen algemene onaantastbaarheid bij elk arbeidsrechtelijk geschil; de reden van een maatregel doet ertoe. Artikel 38 lid 6 staat andere taken toe zolang zij niet tot een belangenconflict leiden. De EDPB noemt managementposities die doeleinden en middelen bepalen als typische risico’s, waaronder directie, hoofd HR en hoofd IT. Maar ook een andere functie kan conflicteren als de persoon feitelijk over een belangrijke verwerking beslist.
Beoordeel niet alleen de functietitel. Vraag welke besluiten iemand daadwerkelijk neemt over gegevensverzameling, toegang, bewaartermijnen en leveranciers. Een securityverantwoordelijke kan technische beveiliging ontwerpen zonder alle doeleinden te bepalen, terwijl een afdelingsmanager juist zelfstandig klantprofilering inricht. Teken de beslisrechten uit en beschrijf welke taken de FG zelf doet. Kijk ook bij een externe FG naar contractuele instructies, andere opdrachtgevers en voldoende beschikbaarheid. De EDPB-rapportage over FG-posities benadrukt dat een externe overeenkomst de onafhankelijkheid niet mag uithollen.
Een FG en privacy officer kunnen goed samenwerken. De privacy officer organiseert bijvoorbeeld de dagelijkse actualisatie van het register en laat teams verwerkersovereenkomsten controleren. De FG adviseert en houdt onafhankelijk toezicht op de opzet en werking daarvan. Kleine organisaties hebben niet altijd twee voltijdsfuncties nodig; zij moeten wel voorkomen dat één persoon zonder tegenwicht zijn eigen doeleinden en controles vaststelt. De grens wordt bepaald door feitelijke beslissingen en de mogelijkheid tot onafhankelijk oordeel, niet door een verbod op alle praktische hulp.
Een werkbare jaarcyclus voor de FG
Een FG kan een risicogebaseerde agenda maken. Begin met de belangrijkste verwerkingen: gevoelige gegevens, grootschalige observatie, veel klachten of eerdere incidenten. Bespreek met proceseigenaren welke controles al bestaan en welke veranderingen gepland zijn. Kies daarna enkele controles die de grootste onzekerheid verminderen. Een dossiercontrole kan bijvoorbeeld laten zien of betrokkenen duidelijke informatie kregen; een systeemcontrole kan aantonen of verwijderde accounts werkelijk minder toegankelijk zijn.
Plan daarnaast vaste momenten voor projecten en DPIA’s, opleiding en overleg met het hoogste management. Rapporteer bevindingen met feiten, risico’s, voorgestelde maatregelen, eigenaar en opvolgdatum. Een FG hoeft niet iedere verwerking zelf opnieuw te beoordelen; hij moet kunnen uitleggen waarom bepaalde onderwerpen prioriteit kregen. Bij een onverwacht incident mag de agenda worden aangepast. De wet schrijft geen universele kwartaal- of jaarfrequentie voor, maar regelmaat en opvolging maken de toezichtstaak controleerbaar.
Een dossier met adviezen, reacties en opvolging helpt de organisatie en de FG. Beperk daarin onnodige persoonsgegevens en bescherm vertrouwelijke meldingen. Betrokkenen moeten erop kunnen vertrouwen dat zij een vraag of klacht kunnen stellen zonder dat die vrij rondgaat. Ook overleg met de AP kan vertrouwelijke informatie bevatten. Maak vooraf duidelijk wie toegang heeft tot FG-correspondentie en hoe verzoeken worden doorgestuurd naar de juiste verantwoordelijke.
Intern, extern of gedeeld werken
Een FG mag werknemer zijn of op basis van een dienstverleningsovereenkomst optreden. Een concern of groep publieke organisaties kan één FG delen, mits deze vanuit iedere vestiging gemakkelijk bereikbaar is. De keuze moet passen bij kennis van de activiteiten, beschikbare tijd en mogelijke conflicten. Een externe FG is niet vanzelf onafhankelijk; een interne FG is niet vanzelf afhankelijk. Toets de feitelijke rapportage, toegang, contractuele vrijheid en vervanging bij afwezigheid.
Bij een externe overeenkomst zijn servicevensters, toegang tot systemen, aanspreekpunten en escalatie belangrijker dan een oncontroleerbare belofte van ‘volledige AVG-conformiteit’. Spreek ook af hoe adviezen worden bewaard en hoe de FG reageert op een urgente vraag van een betrokkene of de AP. Bij een gedeelde FG moeten de deelnemende organisaties afzonderlijk blijven beslissen over hun verwerkingen. De gedeelde functionaris kan patronen signaleren, maar niet één generiek oordeel over verschillende diensten afdwingen.
Contactgegevens en melding aan de AP
Artikel 37 lid 7 verlangt publicatie van FG-contactgegevens en mededeling daarvan aan de toezichthouder. De AP zegt dat de organisatie een aangewezen FG moet aanmelden; dat geldt ook wanneer de aanwijzing vrijwillig is. Zorg dat contactinformatie in privacyverklaringen en interne communicatie overeenkomt met wat aan de AP is doorgegeven. De naam van de persoon hoeft niet per se in elke publieke verklaring te staan als het contactkanaal effectief is; bij de melding aan de AP kunnen aanvullende identificerende gegevens worden gevraagd volgens haar actuele procedure.
Controleer bij wisseling van FG of het e-mailadres, toegang tot dossiers, vervanging en de AP-melding worden bijgewerkt. Een lege contactpagina of een vertrokken medewerker achter een algemeen adres maakt de FG voor betrokkenen onbereikbaar. Koppel deze controle aan het reguliere beheer van de privacyverklaring voor medewerkers en de websiteverklaring. Daarmee wordt een formele verplichting een werkend kanaal.
Wie de rol van de Nederlandse toezichthouder wil begrijpen, kan de uitleg over de Autoriteit Persoonsgegevens raadplegen. De FG is een intern en onafhankelijk aanspreekpunt binnen de organisatie; de AP is de externe toezichthouder. Die twee functies werken samen, maar zijn niet uitwisselbaar en nemen elkaars bevoegdheden niet over.
Veelgestelde vragen
Mag de FG het verwerkingsregister bijhouden?
Dat kan in de praktijk, zoals de EDPB aangeeft. De organisatie blijft verantwoordelijk voor de juistheid en actualiteit. Beoordeel of de FG onafhankelijk kan blijven toezien op opzet en inhoud van het register; bij zelf bepaalde doeleinden of ontbrekend tegenwicht ontstaat een belangenconflict.
Moet de FG zelf de DPIA schrijven?
De verantwoordelijke moet de DPIA uitvoeren en waar nodig het advies van de FG vragen. De FG adviseert en volgt de uitvoering. Hij kan bij de methode helpen, maar de verantwoordelijke moet de risicoafweging en beslissing dragen.
Kan het hoofd IT FG zijn?
Dat kan problematisch zijn wanneer die functie doeleinden en middelen van belangrijke verwerkingen bepaalt. Een functietitel alleen beslist niet alles; onderzoek de daadwerkelijke beslisrechten. Veel leidinggevende IT-rollen leveren een conflict op, zodat een andere persoon dan verstandiger is.
Is de FG persoonlijk verantwoordelijk voor elke AVG-overtreding?
Nee. De verwerkingsverantwoordelijke of verwerker blijft verantwoordelijk voor zijn eigen verplichtingen. De FG moet zijn advies- en toezichtstaken onafhankelijk en deskundig uitvoeren, maar neemt het bestuur niet over.
Kan software de FG vervangen?
Nee. Een hulpmiddel kan documenten en opvolging ordenen; het kan geen onafhankelijk oordeel of bestuurlijke beslissing dragen. Beoordeel productclaims aan de hand van aantoonbare functies en richt eerst de rollen en beslisrechten goed in.