Hoe wordt mijn organisatie AVG-proof? (Deel 2)

In ons vorige artikel hebben wij u al geïnformeerd over een belangrijke wijziging die de AVG met zich meebrengt, de zogeheten documentatieplicht. Zoals wij in ons vorige artikel hebben aangegeven, zorgt de AVG voor nog een aantal wijzigingen. Zo wordt vanaf 25 mei 2018 de functie van de Functionaris Gegevensbescherming (FG) wettelijk in het leven geroepen. De AVG geeft de nodige kaders waaraan de FG moet voldoen. In dit artikel staan wij kort stil bij de FG. Zo zullen wij ingaan op de voorwaarden die gesteld worden aan de FG en natuurlijk ook bij de vraag of uw organisatie een FG moet aanstellen.

De Functionaris Gegevensbescherming

De FG is een medewerker die binnen de organisatie toeziet op de naleving van de AVG. De FG kan zowel een interne medewerker zijn als een externe. Het is voor organisaties ook mogelijk om een gezamenlijke FG aan te stellen. Het is immers denkbaar dat het voor kleine organisaties niet mogelijk is hier één functie voor te creëren. 

Om de functie van FG goed te kunnen uitoefenen, zullen organisaties de FG de ruimte, kennis en bevoegdheden geven danwel bieden om dit toezicht te kunnen uitvoeren. Het ligt dan ook in de rede dat de FG in de gelegenheid wordt gesteld zich te scholen in de privacywetgeving. 
De FG zal verder uiteraard toegang moeten kunnen krijgen tot de persoonsgegevens. Voorts zal hij de middelen tot zijn beschikking moeten krijgen om zijn taak uit te oefenen.

Onafhankelijkheid
In de AVG wordt aangegeven dat het uitgangspunt is dat de FG onafhankelijk moet zijn. Om deze onafhankelijkheid te waarborgen, mogen organisaties geen instructies geven aan de FG voor wat betreft de uitoefening van zijn taak. Verder mag de FG alleen verantwoording afleggen aan het bestuur van de organisatie. Ook krijgt de FG ontslagbescherming. De FG kan pas worden ontslagen na toestemming van de kantonrechter. 

Taken op grond van artikel 39 AVG

De taken van de FG zijn als volgt uiteen te zetten:

• toezicht houden;
• inventarisaties van gegevensverwerkingen maken; 
• creëren van bewustwording onder het personeel; 
• meldingen van gegevensverwerkingen bijhouden; 
• vragen en klachten van mensen binnen en buiten de organisatie afhandelen; 
• interne regelingen ontwikkelen; 
• adviseren over technologie en beveiliging;  
• input leveren bij het opstellen of aanpassen van een gedragscode.

Wanneer verplicht

Niet elke organisatie is verplicht tot het aanstellen van een FG. De AVG legt de verplichting tot het aanstellen van een FG op aan drie typen organisaties:

1. De overheid;
2. Organisaties die hoofdzakelijk belast zijn met het doen van verwerkingen die vanwege hun aard, hun omvang en/of doeleinden regelmatige en stelselmatige observatie op grote schaal van betrokkenen vereisen; 
3. Organisaties die hoofdzakelijk belast zijn met het op grote schaal verwerken van bijzondere gegevens.

Uiteraard staat het organisaties vrij om vrijwillig een FG aan te stellen. Houdt u er wel rekening mee dat op het moment dat u vrijwillig een FG aanstelt, ook voldaan moet worden aan de wettelijke kaders.
Mocht u nog vragen hebben over de FG, de taken of de plaats binnen de organisatie, neem dan gerust contact met ons op.