Wij zijn een klein bedrijf. Moeten wij een FG aanwijzen?

Dat hangt niet af van uw omvang maar van de gevallen in lid 1. Bent u geen overheid en bestaat uw kernactiviteit niet uit grootschalige observatie van mensen of grootschalige verwerking van bijzondere en strafrechtelijke gegevens, dan is een FG niet verplicht, tenzij Unierecht of nationaal recht dat alsnog eist (lid 4). Overweging 97 zegt dat het om uw hoofdactiviteit gaat, niet om verwerking als bijzaak. U mag altijd vrijwillig een FG aanwijzen (lid 4).

Mag onze FG een externe adviseur zijn, of moet het een werknemer zijn?

Beide mogen. Lid 6 zegt dat de FG een personeelslid kan zijn of de taken op grond van een dienstverleningsovereenkomst kan verrichten. In beide gevallen geldt lid 5: de keuze moet berusten op professionele kwaliteiten en deskundigheid in gegevensbeschermingsrecht en praktijk. Overweging 97 voegt toe dat de FG zijn taken onafhankelijk moet kunnen uitvoeren, in dienst of niet.

Wij hebben meerdere vestigingen en dochterbedrijven. Hebben we dan meerdere FG's nodig?

Niet per se. Lid 2 staat toe dat een concern één FG benoemt, zolang die vanuit elke vestiging makkelijk te bereiken is. Voor overheidsinstanties kan volgens lid 3 één FG worden aangewezen voor meerdere instanties, rekening houdend met hun structuur en omvang. Ook dan maakt u de contactgegevens bekend en meldt u die aan de toezichthouder (lid 7).

Artikel 37: Aanwijzing van de functionaris voor gegevensbescherming

Praxikon houdt artikel 37 (Aanwijzing van de functionaris voor gegevensbescherming) uit de AVG, naast de EU AI Act bij, met per uitspraak de vindplaats erbij.

Hoofdstuk IVVan kracht sinds 25-05-2018

Artikel 37 bepaalt wanneer een organisatie verplicht een functionaris voor gegevensbescherming (FG) moet aanwijzen. Volgens lid 1 is dat verplicht voor overheidsinstanties en overheidsorganen (behalve gerechten in hun rechterlijke taak), voor organisaties die als kernactiviteit mensen regelmatig en stelselmatig op grote schaal observeren, en voor organisaties die als kernactiviteit grootschalig bijzondere gegevens (artikel 9) en strafrechtelijke gegevens (artikel 10) verwerken. De plicht geldt zowel voor de verwerkingsverantwoordelijke als voor de verwerker. De FG wordt gekozen op deskundigheid in gegevensbeschermingsrecht en praktijk (lid 5), mag een werknemer of een externe zijn (lid 6), en zijn contactgegevens worden openbaar gemaakt en aan de toezichthouder gemeld (lid 7). Het artikel bestaat omdat organisaties met risicovolle verwerkingen iemand met kennis nodig hebben die intern en onafhankelijk toezicht houdt op de naleving van de AVG (overweging 97).

Kernbegrip: Kernactiviteit: de hoofdactiviteit van een organisatie, niet de verwerking van persoonsgegevens als bijzaak; alleen kernactiviteiten tellen mee voor de FG-plicht uit lid 1 onder b en c (overweging 97)

Raakt direct:verwerkingsverantwoordelijkeverwerkerfunctionaris voor gegevensbeschermingtoezichthouderlidstaat

Duiding door Praxikon op basis van de tekst en de overwegingen; de officiële tekst hieronder gaat voor.

Officiële tekst

De verwerkingsverantwoordelijke en de verwerker wijzen een functionaris voor gegevensbescherming aan in elk geval waarin: a) de verwerking wordt verricht door een overheidsinstantie of overheidsorgaan, behalve in het geval van gerechten bij de uitoefening van hun rechterlijke taken; b) een verwerkingsverantwoordelijke of de verwerker hoofdzakelijk is belast met verwerkingen die vanwege hun aard, hun omvang en/of hun doeleinden regelmatige en stelselmatige observatie op grote schaal van betrokkenen vereisen; of c) de verwerkingsverantwoordelijke of de verwerker hoofdzakelijk is belast met grootschalige verwerking van bijzondere categorieën van gegevens uit hoofde van artikel 9 en van persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10.

Een concern kan één functionaris voor gegevensbescherming benoemen, mits de functionaris voor gegevensbescherming vanuit elke vestiging makkelijk te contacteren is.

Wanneer de verwerkingsverantwoordelijke of de verwerker een overheidsinstantie of overheidsorgaan is, kan één functionaris voor gegevensbescherming worden aangewezen voor verschillende dergelijke instanties of organen, met inachtneming van hun organisatiestructuur en omvang.

In andere dan de in lid 1 bedoelde gevallen kunnen of, indien dat Unierechtelijk of lidstaatrechtelijk is verplicht, moeten de verwerkingsverantwoordelijke of de verwerker of verenigingen en andere organen die categorieën van verwerkingsverantwoordelijken of verwerkers vertegenwoordigen, een functionaris voor gegevensbescherming aanwijzen. De functionaris voor gegevensbescherming kan optreden voor dergelijke verenigingen en andere organen die categorieën van verwerkingsverantwoordelijken of verwerkers vertegenwoordigen.

De functionaris voor gegevensbescherming wordt aangewezen op grond van zijn professionele kwaliteiten en, in het bijzonder, zijn deskundigheid op het gebied van de wetgeving en de praktijk inzake gegevensbescherming en zijn vermogen de in artikel 39 bedoelde taken te vervullen.

De functionaris voor gegevensbescherming kan een personeelslid van de verwerkingsverantwoordelijke of de verwerker zijn, of kan de taken op grond van een dienstverleningsovereenkomst verrichten.

De verwerkingsverantwoordelijke of de verwerker maakt de contactgegevens van de functionaris voor gegevensbescherming bekend en deelt die mee aan de toezichthoudende autoriteit.

Bron: EUR-Lex, Verordening (EU) 2016/679. Officiële tekst, ongewijzigd overgenomen.

Beslisboom

Moet u een FG aanwijzen?

De plicht geldt voor verwerkingsverantwoordelijken en voor verwerkers. Beoordeel haar per organisatie en leg de uitkomst vast, ook als u geen FG hoeft aan te wijzen.

Vraag 1 · art. 37 lid 1 onder a

Wordt de verwerking verricht door een overheidsinstantie of overheidsorgaan, zoals een gemeente, ministerie of zelfstandig bestuursorgaan?

Volledig schema

1
Wordt de verwerking verricht door een overheidsinstantie of overheidsorgaan, zoals een gemeente, ministerie of zelfstandig bestuursorgaan?
art. 37 lid 1 onder a
- Ja → Vraag 2
- Nee → Vraag 3
2
Gaat het om een gerecht dat handelt bij de uitoefening van zijn rechterlijke taken?
art. 37 lid 1 onder a
- Ja → Uitkomst B
- Nee → Uitkomst A
3
Horen de verwerkingen bij uw kernactiviteiten: de hoofdactiviteiten waarmee u uw doelen bereikt, en niet alleen ondersteunende taken zoals salarisadministratie of IT-beheer?
art. 37 lid 1 onder b en c · overweging 97
- Ja → Vraag 4
- Nee → Vraag 6
4
Vereisen die kernactiviteiten, vanwege hun aard, omvang of doeleinden, regelmatige en stelselmatige observatie van betrokkenen op grote schaal?
art. 37 lid 1 onder b
- Ja → Uitkomst C
- Nee → Vraag 5
5
Bestaan de kernactiviteiten uit grootschalige verwerking van bijzondere persoonsgegevens of van strafrechtelijke gegevens?
art. 37 lid 1 onder c · richtsnoeren WP243
- Ja → Uitkomst C
- Nee → Vraag 6
6
Verplicht Unierecht of nationaal recht u op een andere grond om een FG aan te wijzen?
art. 37 lid 4
- Ja → Uitkomst C
- Nee → Vraag 7
7
Wilt u vrijwillig een FG aanwijzen?
art. 37 lid 4
- Ja → Uitkomst D
- Nee → Uitkomst E

Uitkomst A · Geldt

U moet een FG aanwijzen als overheidsorgaan

Wijs de FG aan op basis van deskundigheid op het gebied van gegevensbescherming. De FG mag in dienst zijn of extern worden ingehuurd. Publiceer de contactgegevens en meld ze aan de Autoriteit Persoonsgegevens. Betrek de FG tijdig, geef middelen en geef geen instructies over de taakuitoefening. Meerdere overheidsinstanties of -organen mogen één FG delen, rekening houdend met hun organisatiestructuur en omvang.

art. 37 lid 1 onder a · art. 37 lid 3 · art. 37 lid 5 tot en met 7 · art. 38

Uitkomst B · Geldt niet

Geen FG-plicht voor rechterlijke taken

Voor verwerkingen door gerechten bij de uitoefening van hun rechterlijke taken geldt de plicht niet. Voor andere verwerkingen, zoals de bedrijfsvoering, kan de plicht als overheidsorgaan wel gelden.

art. 37 lid 1 onder a

Uitkomst C · Geldt

U moet een FG aanwijzen

Wijs de FG aan op basis van deskundigheid op het gebied van gegevensbescherming. De FG mag in dienst zijn of extern worden ingehuurd. Publiceer de contactgegevens en meld ze aan de Autoriteit Persoonsgegevens. Betrek de FG tijdig, geef middelen en geef geen instructies over de taakuitoefening. Een concern mag één FG aanwijzen, mits die vanuit elke vestiging makkelijk bereikbaar is.

art. 37 lid 1 onder b en c · art. 37 lid 2 · art. 37 lid 5 tot en met 7 · art. 38

Uitkomst D · Geldt deels

Vrijwillige FG: dezelfde regels gelden

Wijst u vrijwillig een FG aan, dan gelden dezelfde eisen voor positie, onafhankelijkheid en taken als bij een verplichte FG. Wilt u dat niet, kies dan een andere functienaam, zoals privacy officer.

art. 37 lid 4 · art. 38 · art. 39

Uitkomst E · Geldt niet

Geen FG verplicht

U hoeft geen FG aan te wijzen. Leg vast waarom niet, en beoordeel opnieuw als uw kernactiviteiten of de schaal van de verwerking veranderen. De verantwoordingsplicht voor de AVG blijft bij uw organisatie.

art. 37 lid 1 · art. 5 lid 2 · art. 24

Wat betekent dit voor u?

Verwerkingsverantwoordelijke

U gaat na of u onder een van de drie gevallen uit lid 1 valt: overheid, grootschalige regelmatige en stelselmatige observatie als kernactiviteit, of grootschalige verwerking van bijzondere en strafrechtelijke gegevens als kernactiviteit. Zo ja, dan wijst u een FG aan met aantoonbare deskundigheid (lid 5), intern of extern (lid 6), en publiceert u de contactgegevens en meldt u die aan de toezichthouder (lid 7). Valt u er niet onder, dan mag u vrijwillig een FG aanwijzen, tenzij Unierecht of nationaal recht het alsnog verplicht (lid 4).

Verwerker

De plicht uit lid 1 geldt ook voor u als verwerker: verwerkt u als kernactiviteit op grote schaal bijzondere en strafrechtelijke gegevens, of observeert u op grote schaal mensen voor uw klanten, dan wijst u zelf een FG aan. Ook voor u gelden de eisen aan deskundigheid (lid 5) en de bekendmaking van contactgegevens (lid 7).

Functionaris gegevensbescherming

U wordt aangewezen op basis van uw professionele kwaliteiten, uw kennis van gegevensbeschermingsrecht en praktijk en uw vermogen om de taken uit artikel 39 te vervullen (lid 5). U kunt in dienst zijn of op basis van een dienstverleningsovereenkomst werken (lid 6), en binnen een concern kunt u voor meerdere vestigingen optreden zolang u vanuit elke vestiging makkelijk te bereiken bent (lid 2). Overweging 97 verwacht dat u uw taken onafhankelijk kunt uitvoeren.

Betrokkene

De contactgegevens van de FG worden bekendgemaakt (lid 7), zodat u kunt zien of een organisatie een FG heeft en hoe die te bereiken is.

Compliance checklist

Er is vastgelegd of de organisatie onder een van de drie verplichte gevallen uit lid 1 valt, met de reden waarom wel of niet.Bij de beoordeling van lid 1 onder b en c is alleen naar de kernactiviteiten gekeken, niet naar verwerking als bijzaak (overweging 97).De aangewezen FG heeft aantoonbare deskundigheid in gegevensbeschermingsrecht en praktijk en kan de taken uit artikel 39 vervullen (lid 5).Bij één FG voor een concern is de FG vanuit elke vestiging makkelijk te bereiken (lid 2).Bij een externe FG is de dienstverleningsovereenkomst vastgelegd (lid 6).De contactgegevens van de FG zijn gepubliceerd (lid 7).De contactgegevens van de FG zijn aan de toezichthouder gemeld (lid 7).Er is nagegaan of Unierecht of nationaal recht een FG verplicht buiten de gevallen van lid 1 (lid 4).

Gerelateerde overwegingen

(97)

Indien de verwerking door een overheidsinstantie wordt uitgevoerd, met uitzondering van gerechten of onafhankelijke rechterlijke autoriteiten die handelen in het kader van hun gerechtelijke taken, of ...

Kruisverwijzingen

Art. 9: Verwerking van bijzondere categorieën van persoonsgegevens Art. 10: Verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten Art. 39: Taken van de functionaris voor gegevensbescherming

Aanvullend op het overzicht onderaan deze pagina: uitspraken, richtsnoeren en boetes die dit artikel uitleggen of toepassen, nieuwste eerst. Elk item is nagelopen tegen de officiële bron.

Richtsnoeren (1)

5 april 2017 · WP243 rev.01 · Artikel 29-werkgroep
Richtsnoeren over functionarissen voor gegevensbescherming
Beschrijft wanneer een functionaris voor gegevensbescherming verplicht is en welke positie, onafhankelijkheid en taken deze functionaris heeft.

Gecontroleerd op 1 oktober 2026

Veelgestelde vragen

← Art. 36: Voorafgaande raadpleging Art. 38: Positie van de functionaris voor gegevensbescherming →

Samenhang