Wanneer is uw onderneming verplicht om een Functionaris Gegevensbescherming (FG) aan te stellen?
In Nederland moet een onderneming of organisatie een Functionaris voor Gegevensbescherming aanstellen als aan bepaalde criteria is voldaan, zoals vastgelegd in de Algemene Verordening Gegevensbescherming (AVG). De FG is verantwoordelijk voor het toezicht houden op de naleving van de gegevensbeschermingsregels binnen de organisatie.
De specifieke criteria voor de verplichte aanstelling van een FG zijn als volgt:
Overheidsinstanties en -organisaties:
Overheidsinstanties en -organisaties, zowel op nationaal als lokaal niveau, zijn altijd verplicht om een FG aan te stellen, ongeacht de aard van de gegevensverwerking die ze uitvoeren.
Organisaties die op grote schaal persoonsgegevens verwerken:
Als een organisatie persoonsgegevens op grote schaal verwerkt, moet deze een FG aanstellen. Het begrip “grote schaal” is niet precies gedefinieerd in de AVG, maar het kan betrekking hebben op organisaties met aanzienlijke gegevensverwerkingactiviteiten, afhankelijk van de aard en omvang van de verwerking.
Organisaties die bijzondere categorieën van persoonsgegevens verwerken:
Als een organisatie bijzondere categorieën van persoonsgegevens (ook wel gevoelige gegevens genoemd) op grote schaal verwerkt, moet deze eveneens een FG aanstellen. Dit omvat onder andere gegevens over ras, etnische afkomst, religieuze overtuigingen, gezondheid, seksuele geaardheid, strafrechtelijke veroordelingen, enzovoort.
Organisaties die op grote schaal en systematisch individuen volgen in het kader van online gedragsmonitoring:
Als een organisatie op grote schaal en systematisch individuen volgt, bijvoorbeeld voor marketingdoeleinden, moet ze ook een FG aanstellen.
Het is belangrijk op te merken dat de AVG geen specifieke definitie geeft van wat “grote schaal” betekent, waardoor het aan de organisatie zelf wordt overgelaten om te beoordelen of deze aan de criteria voldoet. Het is aan te raden om advies in te winnen bij de Autoriteit Persoonsgegevens (AP), de Nederlandse gegevensbeschermingsautoriteit, als er onzekerheid bestaat over de aanstelling van een FG.
De FG heeft de verantwoordelijkheid om toezicht te houden op de naleving van de AVG binnen de organisatie, om advies te geven over gegevensbeschermingsaangelegenheden en om te fungeren als contactpunt tussen de organisatie, de betrokkenen en de AP.