Een functionaris gegevensbescherming verplicht aanstellen hoeft niet altijd. De AVG noemt drie situaties waarin het moet, en daarbuiten is het een keuze.
Kort samengevat
- Drie gevallen staan in de wet. Overheid, grootschalige observatie en grootschalige bijzondere gegevens.
- Omvang is niet het criterium. Het gaat om wat u doet, niet om hoe groot u bent.
- Het draait om kernactiviteiten. Ondersteunende processen zoals de personeelsadministratie tellen niet mee.
- Vrijwillig mag, maar dan wel volledig. Dezelfde eisen aan onafhankelijkheid en taken.
- Twijfel legt u vast. De onderbouwing waarom het niet hoeft, heeft u nodig als er vragen komen.
Deze vraag komt vrijwel altijd op tafel op het verkeerde moment: nadat er een datalek is geweest of nadat de toezichthouder heeft gebeld. Dan is het antwoord alsnog nodig, maar de rust om het goed te beoordelen is er dan niet meer.
Wanneer is een functionaris gegevensbescherming verplicht volgens de AVG?
Artikel 37 van de AVG noemt drie situaties. Valt u onder een daarvan, dan moet u een FG aanstellen.
- U bent een overheidsinstantie of overheidsorgaan. Dit geldt ongeacht wat u verwerkt en hoeveel. Rechterlijke instanties zijn uitgezonderd voor zover zij hun rechtsprekende taak uitoefenen.
- Uw kernactiviteiten bestaan uit regelmatige en stelselmatige observatie van betrokkenen op grote schaal. Denk aan trackingdiensten, locatiegebaseerde dienstverlening en grootschalig cameratoezicht.
- Uw kernactiviteiten bestaan uit grootschalige verwerking van bijzondere categorieën persoonsgegevens of van strafrechtelijke gegevens. Gezondheidsgegevens in de zorg zijn hiervan het duidelijkste voorbeeld.
Daarnaast kan aanvullende wetgeving een FG voorschrijven. Verwerkt u politiegegevens, dan volgt de verplichting uit de Wet politie gegevens, ook als u niet onder een van de drie gevallen hierboven valt.
Wat telt als overheidsinstantie?
Ruimer dan veel organisaties denken. Naast ministeries, provincies, gemeenten en waterschappen vallen ook zelfstandige bestuursorganen eronder, en organisaties die met een publieke taak zijn belast.
Dat laatste is de categorie waar de discussie ontstaat. Een private organisatie die een wettelijke taak uitvoert of publieke bevoegdheden heeft, kan daaronder vallen. Denk aan bepaalde instellingen in het onderwijs en aan uitvoeringsorganisaties. Bij twijfel is de vraag: oefent u openbaar gezag uit of voert u een taak van algemeen belang uit die bij of krachtens de wet is opgedragen.
Voor gemeenten en andere overheden ligt de verplichting sowieso vast, en het speelveld daar is anders dan in het bedrijfsleven. Daarover schreven wij eerder in de FG van de gemeente, en op de pagina over AVG in de (semi)overheidssector staat wat er in die sector verder bij komt kijken.
Wanneer is iets een kernactiviteit?
Dit is de toets waar organisaties het vaakst de verkeerde afslag nemen, in beide richtingen.
Kernactiviteiten zijn de activiteiten die nodig zijn om uw hoofddoel te bereiken. Bij een ziekenhuis is het verwerken van patiëntgegevens onlosmakelijk verbonden met het verlenen van zorg. Bij een beveiligingsbedrijf is het monitoren van personen de dienst zelf.
Ondersteunende activiteiten tellen niet mee, hoe omvangrijk ze ook zijn. Elke organisatie voert een salarisadministratie en heeft een personeelsdossier, en het personeelsdossier valt gewoon onder de AVG, maar het maakt van u geen organisatie met een FG-plicht.
De verkeerde afslag de andere kant op is ook gangbaar: aannemen dat iets ondersteunend is omdat het niet in de missie staat. Een webshop die het klikgedrag van bezoekers uitgebreid volgt om aanbevelingen te doen, doet dat niet ter ondersteuning maar als onderdeel van de dienst.
Wat betekent grootschalig?
De AVG geeft geen getal, en dat is bewust. In de praktijk weegt u vier factoren: het aantal betrokkenen, de hoeveelheid en verscheidenheid van de gegevens per persoon, de duur van de verwerking en de geografische reikwijdte.
Eén uitzondering staat wel expliciet in de verordening: de verwerking door een individuele arts, andere zorgverlener of advocaat geldt niet als grootschalig. Een huisartsenpraktijk hoeft dus geen FG aan te stellen. Een zorggroep die voor tientallen praktijken centraal de dossiers beheert, komt er wel snel aan toe.
Twijfelt u, ga dan uit van grootschalig en laat de beoordeling het tegendeel aantonen. Dat is niet alleen voorzichtig, het is ook praktisch: de onderbouwing die u daarvoor maakt is precies het document dat u nodig heeft als de vraag later toch wordt gesteld.
En als het niet verplicht is?
Dan heeft u een keuze, en die keuze is geen formaliteit. Stelt u vrijwillig een FG aan, dan gelden alle eisen die de AVG aan die rol stelt: de onafhankelijke positie, de wettelijke taken, de bescherming tegen ontslag wegens de uitoefening van die taken, en de aanmelding bij de Autoriteit Persoonsgegevens.
Wilt u wel iemand die het privacybeleid uitvoert maar niet die hele constructie, kies dan bewust voor een andere rol. Een privacy officer inhuren voert uit en coördineert, zonder de wettelijke status van de FG. Het verschil tussen die twee rollen is groter dan de functietitels suggereren.
Kiest u wel voor een FG maar heeft u de functie niet intern te vullen, dan is een externe functionaris gegevensbescherming een gangbare oplossing. In ons artikel over wat een functionaris gegevensbescherming kost leest u wat dat in de praktijk betekent. Weet u niet zeker of u onder de plicht valt, dan geeft een AVG audit en nulmeting daar een onderbouwd antwoord op.
