Privacy officer of functionaris gegevensbescherming: wat is het verschil?

Een privacy officer en een functionaris gegevensbescherming zijn twee verschillende rollen, en het verschil is geen kwestie van naamgeving. De functionaris gegevensbescherming is een wettelijke rol met een beschermde, onafhankelijke positie. Een privacy officer is dat niet, en mag daarom dingen doen die een FG juist niet mag.

Dat onderscheid bepaalt wie u nodig heeft. Organisaties die de rollen door elkaar halen, benoemen soms een FG die vervolgens uitvoerend werk doet waar hij later zelf toezicht op moet houden. In dit artikel leest u waar de grens ligt en welke rol bij uw situatie past.

De essentie

• De functionaris gegevensbescherming is een wettelijke rol met een beschermde positie; een privacy officer is een functie die u zelf inricht, zonder wettelijk kader.
• Een FG houdt toezicht en adviseert; hij voert niet uit waar hij toezicht op houdt.
• Een privacy officer mag juist wel uitvoeren: registers bijhouden, DPIA’s doen, contracten opstellen.
• Is een FG voor u verplicht, dan kunt u die verplichting niet met een privacy officer afdekken.
• Veel organisaties hebben beide nodig: een FG voor het toezicht, een privacy officer voor het werk.

Wat doet een privacy officer?

Een privacy officer is de uitvoerende kracht op privacygebied. Deze functie komt in de AVG niet voor, wat betekent dat u de inhoud volledig zelf bepaalt. In de praktijk gaat het om het werk dat dagelijks moet gebeuren.

• Het register van verwerkingen opzetten en bijhouden. Waarom dat register de basis is, leest u bij waarom u een register van verwerkingen bijhoudt.
• Verwerkersovereenkomsten opstellen en beoordelen.
• DPIA’s voorbereiden en uitvoeren.
• Datalekken registreren en de afhandeling coordineren.
• Inzageverzoeken en andere verzoeken van betrokkenen behandelen.
• Collega’s wegwijs maken in wat wel en niet mag.

Omdat de rol niet wettelijk is vastgelegd, kunt u hem ook combineren met andere taken. Een kwaliteitsmedewerker of jurist die dit erbij doet, is een privacy officer, ook zonder die titel.

Wat doet een functionaris gegevensbescherming, en wat mag hij niet?

De functionaris gegevensbescherming heeft een positie die in de AVG is vastgelegd. Hij adviseert, houdt intern toezicht, is aanspreekpunt voor de Autoriteit Persoonsgegevens en voor betrokkenen, en werkt samen met de toezichthouder. Wat een FG in de praktijk doet, werken wij uit in ons artikel over wat een functionaris gegevensbescherming doet.

Belangrijker is wat hij niet mag. Een FG mag geen taken uitvoeren waarop hij vervolgens toezicht moet houden. Dat is geen formaliteit maar de kern van de rol: wie zijn eigen werk beoordeelt, houdt geen toezicht. Concreet betekent het dat een FG doorgaans niet zelf de DPIA uitvoert, niet zelf de verwerkersovereenkomsten opstelt en niet eindverantwoordelijk is voor het register.

Daarnaast is zijn positie beschermd. Hij mag geen instructies krijgen over hoe hij zijn taken uitvoert, en hij mag niet worden ontslagen of benadeeld omdat hij zijn werk doet. Hij rapporteert aan het hoogste managementniveau.

Die combinatie maakt de FG ongeschikt voor uitvoerend werk, en precies daarom is een privacy officer geen alternatief maar een aanvulling.

Welke rol heeft u nodig?

Begin bij de vraag of een FG voor u verplicht is. Die verplichting geldt onder meer voor overheidsinstanties en voor organisaties die op grote schaal bijzondere persoonsgegevens verwerken of systematisch mensen monitoren. Wanneer dat precies zo is, leest u bij wanneer een FG verplicht is.

Is een FG verplicht, dan kunt u die verplichting niet vervangen door een privacy officer aan te stellen. De AVG vraagt de rol met de bijbehorende onafhankelijke positie, niet iemand die het werk doet.

Is een FG niet verplicht, dan is een privacy officer vaak de verstandigere keuze. U krijgt iemand die daadwerkelijk zaken oppakt in plaats van iemand die vooral moet toezien.

En in veel organisaties is het antwoord beide: een externe functionaris gegevensbescherming voor het toezicht en de onafhankelijke advisering, en een privacy officer inhuren of intern beleggen voor het uitvoerende werk. De onafhankelijkheid blijft dan intact, terwijl het werk toch gebeurt.

Kan een externe partij beide rollen invullen?

Ja, mits het niet dezelfde persoon is. Een kantoor kan zowel de FG als de privacy officer leveren, zolang de FG niet degene is die het uitvoerende werk verricht waarop hij toezicht houdt. Wij scheiden die rollen daarom altijd tussen personen.

Wat het kost hangt af van de omvang van uw organisatie. Voor de FG-rol hanteren wij een uurtarief van 139 euro exclusief btw, wat bij de gebruikelijke tijdsbesteding uitkomt op ongeveer 275 euro per maand tot 35 FTE, ongeveer 550 euro per maand tot 120 FTE, en ongeveer 1.099 euro per maand daarboven. De volledige onderbouwing staat bij wat een functionaris gegevensbescherming kost.

Twijfelt u nog waar u staat, dan geeft een AVG audit en nulmeting eerst antwoord op de vraag hoeveel werk er ligt, en daarmee op de vraag welke rol u nodig heeft.

Veelgestelde vragen over de privacy officer

Is een privacy officer hetzelfde als een functionaris gegevensbescherming?

Nee. De functionaris gegevensbescherming is een rol uit de AVG met een wettelijk beschermde en onafhankelijke positie. Een privacy officer is een functie die u zelf inricht en die juist wel uitvoerend werk doet.

Mag een privacy officer een verplichte FG vervangen?

Nee. Als de AVG u verplicht een functionaris gegevensbescherming aan te stellen, voldoet u daar niet aan door een privacy officer te benoemen. De verplichting betreft de rol met de bijbehorende onafhankelijkheid.

Mag een FG zelf de DPIA uitvoeren?

Doorgaans niet. De FG adviseert over de DPIA en toetst het resultaat, maar voert hem niet zelf uit. Zou hij dat doen, dan beoordeelt hij later zijn eigen werk en verliest het toezicht zijn waarde.

Kunnen wij beide rollen bij dezelfde partij afnemen?

Dat kan, zolang het niet dezelfde persoon is. De scheiding hoort tussen personen te liggen, niet tussen organisaties.

Wat kost een externe FG per maand?

Op basis van ons uurtarief van 139 euro exclusief btw en de gebruikelijke tijdsbesteding komt dat uit op ongeveer 275 euro per maand tot 35 FTE, ongeveer 550 euro per maand tot 120 FTE, en ongeveer 1.099 euro per maand bij meer dan 120 FTE.