Functionaris voor gegevensbescherming – AVG

De Algemene Verordening Gegevensbescherming (AVG) heeft het concept van een Functionaris voor Gegevensbescherming (FG) in Europa geïntroduceerd. In tegenstelling tot wat vaak wordt gedacht, is de juridische verplichting om een Functionaris voor Gegevensbescherming aan te stellen niet afhankelijk van de grootte van het bedrijf, maar van de kernverwerkingsactiviteiten die worden gedefinieerd als die activiteiten die essentieel zijn voor het behalen van de doelstellingen van het bedrijf. Als deze kernactiviteiten bestaan uit het grootschalig verwerken van gevoelige persoonsgegevens of een vorm van gegevensverwerking die bijzonder groot is ten aanzien van de rechten van de betrokkenen, moet het bedrijf een FG aanstellen. Publieke instanties moeten daarentegen altijd een FG aanstellen, met uitzondering van rechtbanken die in hun rechterlijke hoedanigheid optreden. Daarnaast bevat de wettelijke norm om een Functionaris voor Gegevensbescherming aan te stellen een flexibiliteitsclausule voor lidstaten. Deze zijn vrij om te beslissen of een bedrijf een Functionaris voor Gegevensbescherming moet aanstellen onder strengere eisen (bijvoorbeeld artikel 38 Duitse Federale Gegevensbeschermingswet). Als een dergelijke verplichting bestaat onder de Algemene Verordening Gegevensbescherming of een specifiekere nationale wet, kan een groep ondernemingen ook een enkele Functionaris voor Gegevensbescherming aanstellen. Als de groep hiervoor kiest, moet hij gemakkelijk toegankelijk zijn voor de toezichthoudende autoriteiten, werknemers en externe betrokkenen. Als er geen wettelijke verplichting bestaat, kunnen bedrijven op vrijwillige basis een FG aanstellen om te helpen met de naleving van gegevensbescherming (wat bijvoorbeeld wordt aanbevolen door de Franse gegevensbeschermingsautoriteit CNIL).

Groepen en bedrijven hebben twee mogelijkheden om te voldoen aan hun verplichting om een Functionaris voor Gegevensbescherming aan te stellen. Ofwel benoemen ze een werknemer als interne Functionaris voor Gegevensbescherming, of ze benoemen een externe Functionaris voor Gegevensbescherming. Bij de selectie van een dergelijke persoon moeten ze ervoor zorgen dat een interne Functionaris voor Gegevensbescherming niet onderhevig is aan een belangenconflict door zijn werk binnen de IT-afdeling, HR-afdeling of het hoger management, waar hij toezicht op zichzelf zou moeten houden. Ongeacht welke optie wordt gekozen, moet een Functionaris voor Gegevensbescherming beschikken over deskundige professionele kennis op het gebied van gegevensbeschermingsrecht en IT-beveiliging, de omvang afhankelijk van de complexiteit van de gegevensverwerking en de grootte van het bedrijf.

De taken van een Functionaris Gegevensbescherming omvatten: Werken aan de naleving van alle relevante gegevensbeschermingswetten, het monitoren van specifieke processen, zoals gegevensbeschermingseffectbeoordelingen of het bewustmaken en trainen van medewerkers voor gegevensbescherming, evenals het samenwerken met de toezichthoudende autoriteiten. Daarom mag de medewerker die als Functionaris Gegevensbescherming optreedt, niet worden ontslagen of gestraft vanwege de vervulling van zijn taken. Ondanks zijn toezichthoudende functie, blijft het bedrijf zelf verantwoordelijk voor de naleving van gegevensbeschermingswetten. Daarom moet het de Functionaris Gegevensbescherming betrekken bij alle kwesties die betrekking hebben op de bescherming van persoonlijke gegevens “op een juiste en tijdige manier”. Wanneer een Functionaris Gegevensbescherming wordt benoemd, moet zijn leidinggevende zijn contactgegevens publiceren, en zijn benoeming en contactgegevens communiceren aan de toezichthoudende autoriteiten voor gegevensbescherming. Als een bedrijf vrijwillig een FG benoemt, moeten zij ook voldoen aan de hierboven uiteengezette criteria en bepalingen. Merk ook op dat het opzettelijk of nalatig niet benoemen van een Functionaris Gegevensbescherming ondanks een wettelijke verplichting een inbreuk is die onderhevig is aan boetes.

.