AVG certificaat voor medewerkers: wat bewijst het en hoe toont u kennis aantoonbaar aan?

Een AVG certificaat voor medewerkers is geen wettelijk erkend document: de AVG kent geen officiële certificering van personen. Zo’n certificaat bewijst dat een medewerker een training heeft gevolgd en een toets heeft gehaald, en het is één van de manieren waarop uw organisatie bewustwording aantoonbaar maakt.

Veel bestuurders en privacy officers vragen ons of medewerkers “AVG-gecertificeerd” moeten zijn. Het eerlijke antwoord: de wet vraagt dat niet. De wet vraagt wel dat u kunt laten zien dat uw mensen weten hoe zij met persoonsgegevens omgaan. Een avg certificaat kan daarbij helpen, mits u begrijpt wat het wel en niet bewijst. In dit artikel leg ik uit hoe dat zit en hoe u kennis van medewerkers wél aantoonbaar maakt.

Eerst de kern

• De AVG kent geen officieel certificaat voor personen. Certificering onder artikel 42 AVG geldt voor verwerkingen van organisaties, niet voor medewerkers.
• Een AVG certificaat van een opleider is een privaat bewijs van deelname en toetsing. De waarde hangt af van de inhoud, de toets en de actualiteit.
• De verantwoordingsplicht (artikel 5 lid 2 AVG) verplicht u om naleving te kunnen aantonen. Bewustmaking en opleiding van personeel horen daarbij en zijn een wettelijke taak van de functionaris gegevensbescherming.
• Aantoonbare kennis bouwt u op met training per rol, een toets, een registratie van deelname en resultaten, en periodieke herhaling.

Bestaat er een officieel AVG certificaat voor medewerkers?

Nee. De AVG regelt certificering in artikel 42 en artikel 43, en die regeling richt zich op verwerkingen van persoonsgegevens door verwerkingsverantwoordelijken en verwerkers. Een organisatie kan daarmee aantonen dat een specifieke verwerking of dienst aan de AVG voldoet. Zo’n certificaat wordt afgegeven door een certificatie-instelling die door de Raad voor Accreditatie is geaccrediteerd, op basis van criteria die de Autoriteit Persoonsgegevens heeft goedgekeurd. Personen vallen buiten dit systeem.

Alles wat op de markt wordt aangeboden als “AVG certificaat” voor medewerkers is dus een privaat document van een opleider of e-learningaanbieder. Dat maakt het certificaat niet waardeloos. Het heeft echter geen wettelijke status en de Autoriteit Persoonsgegevens erkent of registreert deze certificaten niet. Hoe het zit met certificering op organisatieniveau leest u in ons artikel over AVG certificering en wat uw organisatie eraan heeft.

Wat bewijst een AVG certificaat van een medewerker wel en wat niet?

Een certificaat is een momentopname. Het zegt iets over wat iemand op een bepaalde datum heeft geleerd en getoetst, niet over wat die persoon dagelijks doet.

Wat het certificaat wel bewijst:

• De medewerker heeft een training met een bepaalde inhoud gevolgd.
• De medewerker heeft op het moment van toetsing een minimaal kennisniveau laten zien.
• Uw organisatie heeft op dat moment aantoonbaar geïnvesteerd in bewustwording.
• U beschikt over een registreerbaar bewijsstuk voor uw verantwoordingsdossier.

Wat het certificaat niet bewijst:

• Dat de medewerker in de praktijk juist handelt, bijvoorbeeld bij een verdachte e-mail of een inzageverzoek.
• Dat de kennis actueel is: wetgeving, rechtspraak en interne procedures veranderen.
• Dat uw organisatie als geheel aan de AVG voldoet.

Beoordeel een certificaat daarom op drie punten: welke onderwerpen zijn behandeld, hoe is getoetst en hoe oud is het. Een certificaat zonder toets zegt alleen dat iemand heeft deelgenomen.

Waarom moet u de kennis van medewerkers aantoonbaar maken?

De verplichting volgt uit meerdere bepalingen die samen één lijn vormen. Artikel 5 lid 2 AVG legt de verantwoordingsplicht vast: u moet kunnen aantonen dat u de beginselen van de AVG naleeft. Artikel 32 lid 4 AVG bepaalt dat iedereen die onder uw gezag toegang heeft tot persoonsgegevens, die alleen in uw opdracht verwerkt. Dat kunt u alleen waarmaken als medewerkers weten wat de instructies zijn. Artikel 39 lid 1 onder b AVG noemt bewustmaking en opleiding van het bij de verwerking betrokken personeel uitdrukkelijk als onderdeel van het toezicht door de functionaris gegevensbescherming. Voor verwerkers komt daar artikel 28 lid 3 onder b bij: personen die gegevens verwerken moeten tot vertrouwelijkheid verplicht zijn.

Sinds 2 februari 2025 geldt daarnaast artikel 4 van de AI Act. Organisaties die AI-systemen gebruiken, moeten zorgen voor een toereikend niveau van AI-geletterdheid bij hun medewerkers. Ook die kennis moet u kunnen aantonen. Wat dat concreet inhoudt, beschrijven wij in ons artikel over AI-geletterdheid onder de AI Act.

Bij een datalek of een onderzoek van de toezichthouder is de vraag “hoe wist deze medewerker wat hij moest doen?” een van de eerste die gesteld wordt. Een goed gevuld dossier beantwoordt die vraag zonder dat u hoeft te zoeken.

Hoe toont u de kennis van medewerkers aantoonbaar aan?

Een enkel certificaat is een onderdeel van het bewijs. Het volledige bewijs bestaat uit een programma dat u kunt laten zien. In onze praktijk hanteren wij de volgende stappen.

1. Bepaal per rol wat iemand moet weten. Een HR-adviseur verwerkt andere gegevens dan een receptionist of een IT-beheerder. Koppel leerdoelen aan functies en aan de verwerkingen in uw register.
2. Kies een training met een toets. Alleen een toets maakt het kennisniveau meetbaar. Leg vast welke norm iemand moet halen.
3. Registreer wie wanneer welke training heeft afgerond en met welk resultaat. Dit register is het hart van uw bewijsvoering.
4. Neem training op in het onboardingproces. Nieuwe medewerkers volgen de training voordat zij toegang krijgen tot persoonsgegevens.
5. Herhaal periodiek. Jaarlijks is in de meeste organisaties een realistische frequentie, aangevuld met een korte opfrissing na een incident of bij een gewijzigde procedure.
6. Meet het gedrag, niet alleen de kennis. Denk aan het aantal gemelde beveiligingsincidenten, de reactietijd op inzageverzoeken of de uitkomst van een oefening met phishing. Het Nationaal Cyber Security Centrum publiceert praktische handvatten voor dit soort oefeningen.
7. Rapporteer aan de directie. De functionaris gegevensbescherming of privacy officer neemt de resultaten op in de periodieke rapportage. Zo wordt bewustwording een bestuurlijk onderwerp.

Welke gegevens horen in het trainingsregister?

• Naam en functie van de medewerker en de datum van afronding.
• Titel en versie van de training, inclusief de behandelde onderwerpen.
• Het toetsresultaat en de geldende norm.
• De datum waarop herhaling gepland staat.

Houd dit register bij in een systeem dat uw FG en privacy officer kunnen inzien. Onze e-learning privacy en security awareness is zo ingericht dat deze registratie automatisch ontstaat, zodat uw organisatie het overzicht houdt zonder extra administratie.

Is het certificaat van een medewerker hetzelfde als de deskundigheid van de FG?

Nee, en dit onderscheid is belangrijk. Voor gewone medewerkers vraagt de AVG bewustwording die past bij hun rol. Voor de functionaris gegevensbescherming stelt artikel 37 lid 5 AVG een zwaardere eis: professionele kwaliteiten en deskundigheid op het gebied van de wetgeving en de praktijk van gegevensbescherming. Ook voor de FG bestaat geen wettelijk verplicht diploma, maar het vereiste niveau ligt aanzienlijk hoger en moet aansluiten bij de complexiteit van uw verwerkingen. Welke eisen precies gelden, leest u in ons artikel over de deskundigheid van de functionaris gegevensbescherming. Wie het verschil tussen beide rollen wil scherpstellen, vindt dat in ons artikel over privacy officer of functionaris gegevensbescherming.

Een e-learningcertificaat van een medewerker is dus geen bewijs van FG-deskundigheid. Wanneer wij als externe FG optreden, borgen wij dat niveau met ervaren privacyjuristen, zodat u die zorg niet zelf hoeft te organiseren.

Veelgestelde vragen over het AVG certificaat

Is een AVG certificaat voor medewerkers verplicht?

Nee. De AVG verplicht geen certificaat voor personen. Wel moet u op grond van de verantwoordingsplicht kunnen aantonen dat medewerkers zijn opgeleid en weten hoe zij met persoonsgegevens omgaan. Een certificaat is daarvoor een hulpmiddel, geen vereiste.

Hoe lang is een AVG certificaat geldig?

De wet stelt geen geldigheidsduur, omdat het om een privaat document gaat. In de praktijk is jaarlijkse herhaling een gangbare en verdedigbare keuze, zeker omdat wetgeving zoals de AI Act en interne procedures regelmatig veranderen.

Kan de Autoriteit Persoonsgegevens vragen naar trainingsbewijzen?

Ja. De Autoriteit Persoonsgegevens kan bij een onderzoek of na een datalek vragen hoe u de naleving heeft georganiseerd, inclusief de bewustwording van medewerkers. Een trainingsregister met deelname, toetsresultaten en herhaalmomenten beantwoordt die vraag direct.

Welke medewerkers moeten een AVG training volgen?

Iedereen die onder uw gezag toegang heeft tot persoonsgegevens, dus ook tijdelijke krachten en stagiairs. De diepgang verschilt per rol: wie veel of bijzondere persoonsgegevens verwerkt, heeft meer nodig dan wie dat incidenteel doet.