De drie gevallen (artikel 37 lid 1)
- De verwerking wordt verricht door een overheidsinstantie of overheidsorgaan, behalve gerechten bij hun rechterlijke taken. Gemeenten, gemeenschappelijke regelingen, GGD's en omgevingsdiensten vallen hieronder: verplicht, ongeacht de omvang.
- De hoofdactiviteit bestaat uit regelmatige en stelselmatige observatie op grote schaal van betrokkenen.
- De hoofdactiviteit bestaat uit grootschalige verwerking van bijzondere persoonsgegevens of van gegevens over strafrechtelijke veroordelingen en strafbare feiten.
Een woningcorporatie is geen overheidsinstantie, maar valt vaak alsnog onder het tweede of derde geval, of kiest vrijwillig voor een functionaris. Let op: wie er vrijwillig een aanwijst, moet zich aan dezelfde regels houden over positie en taken. Ook een verwerker kan zelf verplicht zijn er een aan te wijzen.
Wat de functionaris doet (artikel 39)
- informeren en adviseren over de verplichtingen uit de AVG;
- toezien op de naleving, inclusief de toewijzing van verantwoordelijkheden en de bewustwording en opleiding van medewerkers;
- desgevraagd adviseren over de DPIA en toezien op de uitvoering ervan;
- samenwerken met de Autoriteit Persoonsgegevens en optreden als aanspreekpunt.
Er staat bewust niet bij: beleid schrijven, verwerkersovereenkomsten opstellen of DPIA's invullen. Dat is het werk van de organisatie zelf. Zie een DPIA uitvoeren.
De bescherming van de positie (artikel 38)
- De functionaris wordt tijdig betrokken bij alles wat met persoonsgegevens te maken heeft, dus niet pas bij het tekenen van het contract.
- De organisatie stelt middelen en toegang beschikbaar, en houdt de deskundigheid op peil.
- De functionaris ontvangt geen instructies over de uitvoering van zijn taken en mag daarvoor niet worden ontslagen of gestraft.
- Hij rapporteert rechtstreeks aan de hoogste leidinggevende.
- Andere taken mogen, mits geen belangenconflict.
Welke combinaties wringen?
De vuistregel uit de richtsnoeren van de Europese toezichthouders: de functionaris mag geen functie hebben waarin hij het doel en de middelen van verwerkingen bepaalt. Dat sluit in de praktijk uit: hoofd ICT, hoofd HR, directeur bedrijfsvoering, en de rol van privacy officer die zelf het beleid en de documenten maakt. De AP schrijft in het Sectorbeeld Overheid 2024 dat een functionaris van een gemeente niet tegelijk privacy officer van die gemeente kan zijn.
Combinaties die meestal wel kunnen: functionaris voor meerdere organisaties samen (bijvoorbeeld een aantal kleine gemeenten of corporaties), of een externe functionaris. De AVG staat dat uitdrukkelijk toe. Belangrijk is dan wel dat het aantal uren past bij de omvang van de organisatie.
Hoeveel tijd is genoeg?
De AVG noemt geen uren; zij vraagt dat de middelen passen bij de taak. Uit onderzoek blijkt dat het daar knelt: in de enquête van het CIP uit 2022 onder 231 respondenten uit de publieke sector noemde 44% de beschikbare tijd ontoereikend, tegen 33% in 2018. Een praktische maatstaf: tel het aantal verwerkersovereenkomsten, DPIA's en meldingen per jaar, vermenigvuldig met de tijd die er echt in gaat, en leg dat naast de aanstelling. Komt u structureel tekort, dan is dat een feit voor het bestuur, niet een kwestie van harder werken.
Aanmelden bij de AP
De contactgegevens van de functionaris moeten worden gepubliceerd en aan de Autoriteit Persoonsgegevens worden doorgegeven (artikel 37 lid 7). Zet ze ook in uw privacyverklaring en in uw verwerkingsregister; artikel 30 vraagt daarom.
Wat Datavoogd hiermee doet
Datavoogd is gebouwd rond de scheiding die de AVG maakt. Het systeem stelt geen eindoordeel vast en neemt geen beslissing over: het signaleert per toetsregel wat ontbreekt of niet concreet is, met bron en citaat. De functionaris gegevensbescherming bevestigt of wijst af, en die beslissing wordt vastgelegd met tijdstip, toelichting en de versie van de toetsregels. Zo blijft het advies navolgbaar, ook als het bestuur ervan afwijkt.
Bronnen
- Verordening (EU) 2016/679 (AVG), artikel 37, 38 en 39.
- WP29/EDPB, Richtsnoeren WP243 rev.01 inzake functionarissen voor gegevensbescherming.
- Autoriteit Persoonsgegevens, Sectorbeeld Overheid 2024.
- Centrum Informatiebeveiliging en Privacybescherming, FG-enquête 2022 (231 respondenten publieke sector).
Dit artikel is informatie, geen juridisch advies. De beoordeling van een concrete situatie is aan de functionaris gegevensbescherming of jurist van uw organisatie.