Een functionaris voor gegevensbescherming (FG) is verplicht wanneer een van de drie situaties van artikel 37 lid 1 AVG op uw organisatie van toepassing is. Het gaat om een overheidsinstantie of openbaar lichaam, een kernactiviteit die bestaat uit grootschalige regelmatige en stelselmatige observatie van mensen, of een kernactiviteit met grootschalige verwerking van bijzondere of strafrechtelijke persoonsgegevens. De verplichting kan zowel een verwerkingsverantwoordelijke als een verwerker treffen. Het aantal werknemers of klanten is op zichzelf geen wettelijke drempel.
Deze pagina is een beslisroute voor de vraag moeten wij een FG aanwijzen? De taken en onafhankelijke positie van de FG zijn een ander vraagstuk: die worden relevant zodra een FG verplicht of vrijwillig is aangesteld. De tekst van artikelen 37 tot en met 39 AVG is het juridische vertrekpunt. De Autoriteit Persoonsgegevens (AP) vraagt organisaties die twijfelen goed te onderbouwen waarom zij wel of geen FG hebben aangewezen.
Stap 1: valt uw organisatie onder de overheidsroute?
Artikel 37 lid 1 onder a ziet op verwerkingen door een overheidsinstantie of openbaar lichaam. Gerechten zijn uitgezonderd voor zover zij in hun rechterlijke taak handelen. Voor een gemeente, ministerie of andere publieke organisatie is dit doorgaans de eerste te onderzoeken route. Onderzoek echter de juridische vorm en de publieke taak van de concrete organisatie. Een instelling die subsidie krijgt of een publieke dienst levert, is niet zonder meer voor elke verwerking een overheidsinstantie in de zin van deze bepaling.
Voor scholen en zorgorganisaties werkt een sectoretiket daarom niet als antwoord. Een openbare school kan op de publieke route vallen, terwijl een privaatrechtelijke onderwijsinstelling haar positie en overige criteria afzonderlijk moet beoordelen. Een ziekenhuis verwerkt vaak gezondheidsgegevens op grote schaal en kan daarom via de derde route een FG nodig hebben, onafhankelijk van de vraag of het publiek is. De AVG voor scholen en universiteiten en privacy in ziekenhuizen helpen bij die specifieke verwerkingen; zij vervangen geen beoordeling van de rechtspersoon.
Voor gemeenten verdient ook de verdeling van werkzaamheden aandacht. Een gemeentelijke organisatie kan meerdere afdelingen, samenwerkingsverbanden en verwerkers inzetten, terwijl inwoners dezelfde publieke dienst als één geheel ervaren. De AVG-verplichtingen voor gemeenten geven voorbeelden van die context. Maak in de FG-beslissing duidelijk welke bestuursorganen of juridische entiteiten onder de aanwijzing vallen en of de gekozen functionaris voor inwoners en medewerkers van elk onderdeel werkelijk bereikbaar is. Een gedeeld e-mailadres alleen bewijst dat nog niet.
Beschrijf in uw besluit welke entiteit welke gegevens verwerkt en welke wettelijke of feitelijke kenmerken de publieke kwalificatie ondersteunen. Bij een groep met meerdere juridische entiteiten kan één FG voor verschillende onderdelen werken, zolang bereikbaarheid en middelen voldoende zijn. Het delen van een functionaris maakt de aanwijzingsvraag per entiteit niet overbodig.
Stap 2: is regelmatige, stelselmatige observatie een kernactiviteit?
De tweede route bestaat uit drie onderdelen die samen moeten worden beoordeeld: het gaat om een kernactiviteit, die mensen regelmatig en stelselmatig observeert, en dat gebeurt op grote schaal. Een enkel camerabeeld of incidenteel websitebezoek voldoet niet automatisch. Aan de andere kant kan een organisatie mensen langdurig volgen zonder een traditionele camera: denk aan locatiepatronen, gedragsscores of advertentieprofielen. De EDPB-uitleg over de FG noemt ook online tracking en profilering als vormen van observatie; monitoring is niet beperkt tot internet.
Een kernactiviteit is wezenlijk voor het doel van de organisatie of onlosmakelijk met haar dienst verbonden. Salarisadministratie is voor veel werkgevers noodzakelijk, maar gewoonlijk een ondersteunende activiteit. Voor een dienst die juist op doorlopende gedragsanalyse is gebouwd, kan die analyse wel een kernactiviteit zijn. Onderzoek de feitelijke dienst en inkomstenbron, niet alleen de tekst van de statuten of de naam van een afdeling. Een bedrijf met veel medewerkers kan slechts ondersteunend HR-gegevens verwerken; een klein platform kan juist vrijwel geheel van monitoring leven.
Vraag vervolgens hoe de observatie werkt. Worden betrokkenen over een periode gevolgd? Is de methode vooraf ingericht en herhaalbaar? Worden gegevens uit meerdere contacten samengebracht tot een profiel? Worden individuen over locaties of diensten heen herkend? Het antwoord hoeft niet bij elk systeem hetzelfde te zijn. Maak een kaart van het geheel van observatieactiviteiten; een beoordeling per cookie of sensor kan de omvang van de feitelijke dienst onderschatten.
Stap 3: zijn bijzondere of strafrechtelijke gegevens een grootschalige kernactiviteit?
De derde route ziet op kernactiviteiten die bestaan uit grootschalige verwerking van de bijzondere categorieën van artikel 9 AVG, of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten van artikel 10. Gezondheidsgegevens, biometrische identificatie, politieke opvattingen en vakbondslidmaatschap zijn voorbeelden van artikel 9. Strafrechtelijke gegevens staan niet in die lijst, maar worden door artikel 37 lid 1 onder c wel uitdrukkelijk meegenomen in de FG-toets.
Een ziekenhuis behandelt doorlopend patiëntgegevens als onderdeel van zijn kerndienst. De EDPB noemt dat als voorbeeld van verwerking op grote schaal. De individuele arts of kleine praktijk is niet automatisch grootschalig; samenwerking in een netwerk, gedeelde systemen of een andere dienstverlening kunnen de feitelijke situatie veranderen. Het aantal dossiers alleen bepaalt niet of een activiteit kernactiviteit en grootschalig is. Een HR-dienstverlener die voor veel werkgevers medische of strafrechtelijke gegevens verwerkt, moet de eigen verwerkersrol en de concrete dienst toetsen. Een gewoon recruitmentbureau verwerkt mogelijk slechts incidenteel bijzondere gegevens; plak niet op elke vacaturedatabase dezelfde conclusie.
Bij verzekeraars en banken is een zorgvuldige differentiatie nodig. De EDPB noemt grote dagelijkse klantenbestanden als voorbeelden van grootschalige gegevensverwerking, maar voor de derde route moet het specifiek om bijzondere of strafrechtelijke gegevens gaan. Voor de tweede route moet er grootschalige, regelmatige en stelselmatige observatie als kernactiviteit zijn. Een polisadministratie of kredietbeoordeling verdient analyse; de naam van de sector is niet zelfstandig de rechtsgrond voor een FG-plicht.
Hoe beoordeelt u ‘op grote schaal’?
De AVG geeft geen getal zoals 5.000 of 10.000 dossiers. De EDPB wijst op vier omstandigheden: het aantal betrokkenen, absoluut of als deel van de relevante populatie; de hoeveelheid en variatie van gegevens; de duur of het permanente karakter; en de geografische reikwijdte. Leg deze factoren naast de dienst. Een regionale organisatie kan relatief veel inwoners raken; een nationale database kan veel gegevenscategorieën en langdurige profielen omvatten. Een eigen minimumaantal verzinnen schept schijnzekerheid en kan in beide richtingen misleiden.
Gebruik een korte beschrijving in plaats van een mechanische score. Bijvoorbeeld: een aanbieder volgt de reisbewegingen van honderdduizenden gebruikers gedurende jaren en verkoopt daarop gebaseerde analyses. Dat wijst sterker op grootschalige, structurele observatie dan een webwinkel die alleen bezorgadressen voor losse aankopen bewaart. Een ander voorbeeld: een onderzoeksinstelling verwerkt eenmalig een zeer grote dataset met gezondheidsgegevens. Het grote volume is relevant, maar onderzoek ook duur, herkomst, doel en of de verwerking wezenlijk is voor de instelling.
Herzie de beoordeling wanneer dienstverlening, aantallen of technische werkwijze veranderen. Een start-up die eerst beperkte analyses uitvoert kan na uitbreiding van klanten of nieuwe profilering onder de verplichting komen. Leg vast wanneer opnieuw wordt gekeken, wie die beoordeling maakt en welke signalen aanleiding geven: nieuw product, fusie, uitbreiding naar andere landen, grootschalige verwerking van medische gegevens of wijziging van de rol van verwerker naar verantwoordelijke.
Een beslissing onderbouwen zonder sectorlijst als wet te behandelen
Noteer per juridische entiteit de diensten en persoonsgegevens die voor die diensten essentieel zijn. Bepaal vervolgens of de publieke route geldt. Zo niet, onderzoek afzonderlijk observatie en bijzondere of strafrechtelijke gegevens. Voor iedere relevante verwerking beschrijft u de vier schaalfactoren en uw conclusie. Vermeld twijfel en de feiten die nog moeten worden bevestigd. Een onderbouwde conclusie ‘nu niet verplicht’ is sterker dan een algemene zin ‘wij zijn mkb’. De AVG-gids voor kleinere bedrijven kan helpen de overige verplichtingen te ordenen; een klein bedrijf is niet vrijgesteld van de FG-regels als de criteria wel zijn vervuld.
Laat de besluitvorming aansluiten op een actueel verwerkingsregister volgens artikel 30. Het register laat zien wat wordt verwerkt, maar een aparte beoordeling is nodig voor kernactiviteit, monitoring en schaal. Als een verwerker namens veel klanten persoonsgegevens behandelt, kan de omvang van al die opdrachten samen relevant zijn. De verwerker kan een eigen FG-plicht hebben, ook als een afzonderlijke klant niet onder artikel 37 valt. De rollen van verantwoordelijke en verwerker moeten daarom vooraf goed zijn onderscheiden.
Een model voor een verwerkersovereenkomst kan helpen vastleggen wie instructies geeft en welke gegevens een dienstverlener verwerkt. Het contract beslist echter niet op zichzelf of de dienstverlener een eigen FG moet aanwijzen. Beoordeel diens kernactiviteiten en schaal op organisatieniveau. Vraag bij grote verwerkers ook welke contactpersoon de FG kan bereiken als er een nieuw risico of een datalek bij een gedeelde dienst ontstaat.
Wat als u vrijwillig een FG wilt benoemen?
Artikel 37 lid 4 laat vrijwillige aanwijzing toe. Dat kan nuttig zijn als processen complex zijn of onafhankelijk advies gewenst is. Maar wie iemand formeel FG noemt, moet de positie, taken, middelen, bereikbaarheid en contactpublicatie uit artikelen 37 tot en met 39 respecteren. Een vrijwillige FG is geen onbeschermde titel voor een medewerker die daarnaast alle privacybesluiten neemt. Bespreek dus vooraf of de organisatie een formele FG wil, of een privacy officer die dagelijkse uitvoering coördineert zonder de wettelijke FG-rol te dragen.
Ook zonder FG blijft de organisatie verantwoordelijk voor rechtmatige verwerking, een DPIA waar nodig, afhandeling van rechten en melding van relevante datalekken. Het ontbreken van een FG-plicht is geen vrijstelling van deze taken. Wijs eigenaars aan, bepaal wanneer extern advies wordt gevraagd en zorg dat het bestuur risicovolle beslissingen kan beoordelen. Als u later alsnog een FG aanwijst, kan deze met een bestaand register en duidelijke werkafspraken beginnen.
Aanwijzen, publiceren en aan de AP melden
Wanneer een FG verplicht is of vrijwillig formeel is aangewezen, moet de organisatie diens contactgegevens publiceren en meedelen aan de AP op grond van artikel 37 lid 7. De AP geeft aan dat de organisatie de FG moet aanmelden. Een functioneel contactadres kan ervoor zorgen dat betrokkenen de FG bereiken, ook wanneer de persoon wisselt. Houd het adres daadwerkelijk bemand en werk de AP-gegevens bij als de FG of contactroute verandert. Alleen een vermelding in een intern organogram is onvoldoende voor mensen buiten de organisatie.
De FG mag werknemer zijn of op grond van een dienstverleningsovereenkomst werken. Ook een groep kan één FG delen als die vanuit iedere vestiging gemakkelijk bereikbaar is. Extern is niet automatisch onafhankelijk: contractuele instructies, te weinig beschikbare tijd of commerciële belangen kunnen de positie aantasten. Intern is niet automatisch ongeschikt: een deskundige medewerker kan goed functioneren als de rapportagelijn, middelen en andere taken kloppen. De AP-uitgangspunten voor positionering en het EDPB-rapport over de positie van FG’s helpen deze praktische toets.
Wat er juridisch op het spel staat
Een overtreding van de aanwijzings- en positioneringsregels kan onder het sanctiekader van artikel 83 lid 4 AVG vallen. Dat artikel noemt een maximum, geen standaardbedrag of automatisch boetetarief voor iedere organisatie zonder FG. De AP moet de concrete omstandigheden beoordelen. Vaste bedragen uit oude boetebeleidsregels of advieswebsites zijn daarom geen betrouwbare begroting voor een actuele zaak. Belangrijker is dat een ontbrekende of slecht gepositioneerde FG een structurele zwakte kan blootleggen: advies komt te laat, risico’s blijven onbesproken en betrokkenen hebben geen duidelijk contactpunt.
De overzichtspagina over AP-boetes in 2025 kan feitelijke beslissingen illustreren, maar een sanctie tegen een andere organisatie voorspelt niets over uw eigen zaak. Noteer liever welke beoordeling u op basis van artikel 37 maakte, wie haar goedkeurde, wanneer zij opnieuw wordt bekeken en welke middelen voor de gekozen rol beschikbaar zijn. Dat zijn stukken waarmee u de redenering kunt uitleggen als een toezichthouder vragen stelt.
Kies niet voor een papieren benoeming alleen om een vakje af te vinken. Als de FG ook de doeleinden en middelen van de belangrijkste verwerkingen bepaalt, wordt onafhankelijk toezicht op eigen besluiten problematisch. Geef de FG toegang tot de relevante informatie, een rechtstreekse lijn naar de hoogste leiding en tijd voor advies en toezicht. Leg vast hoe meningsverschillen worden behandeld, zonder de FG de eindverantwoordelijkheid van het bestuur toe te schrijven.
Die inrichting ondersteunt de AVG-beginselen van artikel 5, in het bijzonder verantwoordingsplicht, maar de benoeming zelf bewijst niet dat elke verwerking rechtmatig is. Controleer na enkele maanden of de FG daadwerkelijk vroeg wordt betrokken bij nieuwe projecten en of aanbevelingen een eigenaar krijgen. Zonder die opvolging verandert een juridisch juiste aanwijzing weinig aan de praktijk.
Veelgestelde vragen
Heeft elke zorginstelling een FG nodig?
Nee, niet door het enkele woord ‘zorg’. Voor een ziekenhuis is grootschalige verwerking van gezondheidsgegevens doorgaans een kernactiviteit. Voor een zelfstandige praktijk kan de schaal anders zijn. Beoordeel ook de juridische vorm, samenwerking en feitelijke gegevensstromen.
Is er een wettelijke grens van een bepaald aantal klanten?
Nee. Aantal betrokkenen is één van vier factoren voor grootschaligheid. Ook gegevensvolume, duur en geografische reikwijdte tellen mee. Een website die een vast getal als wettelijke grens noemt, vereenvoudigt de AVG te ver.
Is een FG automatisch nodig als wij camera’s of cookies gebruiken?
Nee. Onderzoek of regelmatige en stelselmatige observatie op grote schaal onderdeel van de kernactiviteit is. Gewoon ondersteunend cameratoezicht in een kantoor heeft een andere functie dan een dienst die grootschalig personen volgt.
Moet een verwerker ook een FG aanwijzen?
Dat kan. Artikel 37 lid 1 richt zich tot verantwoordelijken én verwerkers. Een dienstverlener die als kernactiviteit op grote schaal bijzondere gegevens verwerkt of mensen monitort, moet de criteria voor de eigen organisatie beoordelen.
Wat als wij geen FG nodig hebben?
Leg de redenen vast en organiseer toch privacyadvies, uitvoering en controle. Herzie de conclusie bij nieuwe diensten of groei. U mag vrijwillig een formele FG aanwijzen; dan gelden ook de wettelijke waarborgen voor diens positie.