Wij zijn een klein bedrijf. Moeten wij een FG aanwijzen?

Dat hangt niet af van uw omvang maar van de gevallen in lid 1. Bent u geen overheid en bestaat uw kernactiviteit niet uit grootschalige observatie van mensen of grootschalige verwerking van bijzondere en strafrechtelijke gegevens, dan is een FG niet verplicht, tenzij Unierecht of nationaal recht dat alsnog eist (lid 4). Overweging 97 zegt dat het om uw hoofdactiviteit gaat, niet om verwerking als bijzaak. U mag altijd vrijwillig een FG aanwijzen (lid 4).

Mag onze FG een externe adviseur zijn, of moet het een werknemer zijn?

Beide mogen. Lid 6 zegt dat de FG een personeelslid kan zijn of de taken op grond van een dienstverleningsovereenkomst kan verrichten. In beide gevallen geldt lid 5: de keuze moet berusten op professionele kwaliteiten en deskundigheid in gegevensbeschermingsrecht en praktijk. Overweging 97 voegt toe dat de FG zijn taken onafhankelijk moet kunnen uitvoeren, in dienst of niet.

Wij hebben meerdere vestigingen en dochterbedrijven. Hebben we dan meerdere FG's nodig?

Niet per se. Lid 2 staat toe dat een concern één FG benoemt, zolang die vanuit elke vestiging makkelijk te bereiken is. Voor overheidsinstanties kan volgens lid 3 één FG worden aangewezen voor meerdere instanties, rekening houdend met hun structuur en omvang. Ook dan maakt u de contactgegevens bekend en meldt u die aan de toezichthouder (lid 7).

Artikel 37: Aanwijzing van de functionaris voor gegevensbescherming

Praxikon houdt artikel 37 (Aanwijzing van de functionaris voor gegevensbescherming) uit de AVG, naast de EU AI Act bij, met per uitspraak de vindplaats erbij.

Hoofdstuk IVVan kracht sinds 25-05-2018

Artikel 37 bepaalt wanneer een organisatie verplicht een functionaris voor gegevensbescherming (FG) moet aanwijzen. Volgens lid 1 is dat verplicht voor overheidsinstanties en overheidsorganen (behalve gerechten in hun rechterlijke taak), voor organisaties die als kernactiviteit mensen regelmatig en stelselmatig op grote schaal observeren, en voor organisaties die als kernactiviteit grootschalig bijzondere gegevens (artikel 9) en strafrechtelijke gegevens (artikel 10) verwerken. De plicht geldt zowel voor de verwerkingsverantwoordelijke als voor de verwerker. De FG wordt gekozen op deskundigheid in gegevensbeschermingsrecht en praktijk (lid 5), mag een werknemer of een externe zijn (lid 6), en zijn contactgegevens worden openbaar gemaakt en aan de toezichthouder gemeld (lid 7). Het artikel bestaat omdat organisaties met risicovolle verwerkingen iemand met kennis nodig hebben die intern en onafhankelijk toezicht houdt op de naleving van de AVG (overweging 97).

Kernbegrip: Kernactiviteit: de hoofdactiviteit van een organisatie, niet de verwerking van persoonsgegevens als bijzaak; alleen kernactiviteiten tellen mee voor de FG-plicht uit lid 1 onder b en c (overweging 97)

Raakt direct:verwerkingsverantwoordelijkeverwerkerfunctionaris voor gegevensbeschermingtoezichthouderlidstaat

Duiding door Praxikon op basis van de tekst en de overwegingen; de officiële tekst hieronder gaat voor.

Officiële tekst

De verwerkingsverantwoordelijke en de verwerker wijzen een functionaris voor gegevensbescherming aan in elk geval waarin: a) de verwerking wordt verricht door een overheidsinstantie of overheidsorgaan, behalve in het geval van gerechten bij de uitoefening van hun rechterlijke taken; b) een verwerkingsverantwoordelijke of de verwerker hoofdzakelijk is belast met verwerkingen die vanwege hun aard, hun omvang en/of hun doeleinden regelmatige en stelselmatige observatie op grote schaal van betrokkenen vereisen; of c) de verwerkingsverantwoordelijke of de verwerker hoofdzakelijk is belast met grootschalige verwerking van bijzondere categorieën van gegevens uit hoofde van artikel 9 en van persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10.

Een concern kan één functionaris voor gegevensbescherming benoemen, mits de functionaris voor gegevensbescherming vanuit elke vestiging makkelijk te contacteren is.

Wanneer de verwerkingsverantwoordelijke of de verwerker een overheidsinstantie of overheidsorgaan is, kan één functionaris voor gegevensbescherming worden aangewezen voor verschillende dergelijke instanties of organen, met inachtneming van hun organisatiestructuur en omvang.

In andere dan de in lid 1 bedoelde gevallen kunnen of, indien dat Unierechtelijk of lidstaatrechtelijk is verplicht, moeten de verwerkingsverantwoordelijke of de verwerker of verenigingen en andere organen die categorieën van verwerkingsverantwoordelijken of verwerkers vertegenwoordigen, een functionaris voor gegevensbescherming aanwijzen. De functionaris voor gegevensbescherming kan optreden voor dergelijke verenigingen en andere organen die categorieën van verwerkingsverantwoordelijken of verwerkers vertegenwoordigen.

De functionaris voor gegevensbescherming wordt aangewezen op grond van zijn professionele kwaliteiten en, in het bijzonder, zijn deskundigheid op het gebied van de wetgeving en de praktijk inzake gegevensbescherming en zijn vermogen de in artikel 39 bedoelde taken te vervullen.

De functionaris voor gegevensbescherming kan een personeelslid van de verwerkingsverantwoordelijke of de verwerker zijn, of kan de taken op grond van een dienstverleningsovereenkomst verrichten.

De verwerkingsverantwoordelijke of de verwerker maakt de contactgegevens van de functionaris voor gegevensbescherming bekend en deelt die mee aan de toezichthoudende autoriteit.

Bron: EUR-Lex, Verordening (EU) 2016/679. Officiële tekst, ongewijzigd overgenomen.

Wat betekent dit voor u?

Verwerkingsverantwoordelijke

U gaat na of u onder een van de drie gevallen uit lid 1 valt: overheid, grootschalige regelmatige en stelselmatige observatie als kernactiviteit, of grootschalige verwerking van bijzondere en strafrechtelijke gegevens als kernactiviteit. Zo ja, dan wijst u een FG aan met aantoonbare deskundigheid (lid 5), intern of extern (lid 6), en publiceert u de contactgegevens en meldt u die aan de toezichthouder (lid 7). Valt u er niet onder, dan mag u vrijwillig een FG aanwijzen, tenzij Unierecht of nationaal recht het alsnog verplicht (lid 4).

Verwerker

De plicht uit lid 1 geldt ook voor u als verwerker: verwerkt u als kernactiviteit op grote schaal bijzondere en strafrechtelijke gegevens, of observeert u op grote schaal mensen voor uw klanten, dan wijst u zelf een FG aan. Ook voor u gelden de eisen aan deskundigheid (lid 5) en de bekendmaking van contactgegevens (lid 7).

Functionaris gegevensbescherming

U wordt aangewezen op basis van uw professionele kwaliteiten, uw kennis van gegevensbeschermingsrecht en praktijk en uw vermogen om de taken uit artikel 39 te vervullen (lid 5). U kunt in dienst zijn of op basis van een dienstverleningsovereenkomst werken (lid 6), en binnen een concern kunt u voor meerdere vestigingen optreden zolang u vanuit elke vestiging makkelijk te bereiken bent (lid 2). Overweging 97 verwacht dat u uw taken onafhankelijk kunt uitvoeren.

Betrokkene

De contactgegevens van de FG worden bekendgemaakt (lid 7), zodat u kunt zien of een organisatie een FG heeft en hoe die te bereiken is.

Compliance checklist

Er is vastgelegd of de organisatie onder een van de drie verplichte gevallen uit lid 1 valt, met de reden waarom wel of niet.Bij de beoordeling van lid 1 onder b en c is alleen naar de kernactiviteiten gekeken, niet naar verwerking als bijzaak (overweging 97).De aangewezen FG heeft aantoonbare deskundigheid in gegevensbeschermingsrecht en praktijk en kan de taken uit artikel 39 vervullen (lid 5).Bij één FG voor een concern is de FG vanuit elke vestiging makkelijk te bereiken (lid 2).Bij een externe FG is de dienstverleningsovereenkomst vastgelegd (lid 6).De contactgegevens van de FG zijn gepubliceerd (lid 7).De contactgegevens van de FG zijn aan de toezichthouder gemeld (lid 7).Er is nagegaan of Unierecht of nationaal recht een FG verplicht buiten de gevallen van lid 1 (lid 4).

Gerelateerde overwegingen

(97)

Indien de verwerking door een overheidsinstantie wordt uitgevoerd, met uitzondering van gerechten of onafhankelijke rechterlijke autoriteiten die handelen in het kader van hun gerechtelijke taken, of ...

Kruisverwijzingen

Art. 9: Verwerking van bijzondere categorieën van persoonsgegevens Art. 10: Verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten Art. 39: Taken van de functionaris voor gegevensbescherming

Veelgestelde vragen

← Art. 36: Voorafgaande raadpleging Art. 38: Positie van de functionaris voor gegevensbescherming →

Samenhang