De aanmelding bij de AP wordt het vaakst vergeten
De Autoriteit Persoonsgegevens verlangt dat de FG wordt aangemeld via het webformulier op haar website, met de naam van de organisatie, de naam en de contactgegevens van de FG en de begindatum. Het ontbreken van die aanmelding is een zelfstandige overtreding, los van de vraag of de FG daadwerkelijk is aangewezen. Wijzigingen — een andere persoon, een ander e-mailadres — moeten worden doorgegeven, en juist daar gaat het in de praktijk mis.
Wat artikel 39 AVG van de FG vraagt
- Informeren en adviseren van de verwerkingsverantwoordelijke, de verwerker en de medewerkers
- Toezien op de naleving van de AVG, de UAVG en het interne beleid
- Adviseren over de effectbeoordeling en toezien op de uitvoering daarvan
- Samenwerken met de Autoriteit Persoonsgegevens en optreden als contactpunt
Het zijn doorlopende taken, geen eenmalige formaliteiten. Toezicht houden en adviseren over de effectbeoordeling levert documenten op die jaren later nog vindbaar moeten zijn, gekoppeld aan de juiste klant en met een controleerbare datum. Daarom telt het archief per klant zwaarder dan welke afzonderlijke functie ook.
Spreadsheet of eigen software
Gescheiden per klant, samengebracht voor u
DPO Workspace is gebouwd voor wie meer dan één organisatie begeleidt: een eigen register per klant, een gezamenlijk overzicht van de termijnen en een archief met versiegeschiedenis. 30 dagen gratis, geen creditcard nodig.
Gratis proberenVeelgestelde vragen
Wat is het verschil tussen een interne en een externe FG?
De interne FG is in dienst van de organisatie; de externe werkt op basis van een opdracht en begeleidt vaak meerdere klanten tegelijk. Voor beiden gelden dezelfde verplichtingen uit de artikelen 38 en 39 AVG: tijdig en volledig betrokken worden bij alle aangelegenheden die de bescherming van persoonsgegevens raken, voldoende middelen, geen instructies over de uitvoering van de taken en geen belangenconflict.
Hoe meld ik de FG aan bij de Autoriteit Persoonsgegevens?
Via het webformulier op de website van de AP. Verplichte gegevens zijn de naam van de organisatie, de naam van de FG, de contactgegevens (e-mailadres en telefoonnummer) en de begindatum. Wijzigingen moeten worden doorgegeven; het ontbreken van de aanmelding is een zelfstandige overtreding.
Mag de FG andere taken combineren?
Alleen als daaruit geen belangenconflict ontstaat (artikel 38, lid 6 AVG). In de praktijk botst de rol met functies die zelf beslissen over doel en middelen van de verwerking: hoofd IT, hoofd P&O, directie. Wie die combinatie toch maakt, moet kunnen uitleggen waarom er geen conflict is — schriftelijk, en niet pas op het moment dat de vraag wordt gesteld.
Welke taken legt artikel 39 AVG bij de FG?
Onder meer: informeren en adviseren van de verwerkingsverantwoordelijke, de verwerker en de medewerkers; toezien op de naleving van de AVG en van het interne beleid; advies geven over de gegevensbeschermingseffectbeoordeling en toezien op de uitvoering daarvan; samenwerken met de toezichthouder en optreden als contactpunt.
Hoe houdt een externe FG meerdere klanten beheersbaar?
De moeilijkheid zit niet in de losse taak maar in de scheiding: elke klant heeft een eigen register nodig, eigen termijnen en een eigen archief, terwijl u tegelijk moet kunnen overzien wat er bij alle klanten samen openstaat. Losse spreadsheets per klant lossen dat niet op, ze vermenigvuldigen alleen het onderhoud.
Zijn algemene projecthulpmiddelen niet voldoende?
Algemene hulpmiddelen beheren taken, geen rechtsgronden, bewaartermijnen of het verband tussen register, effectbeoordeling en datalek. Voor het aantonen van naleving tegenover de toezichthouder telt de inhoudelijke structuur van de artikelen 30 en 35 AVG, niet een afgevinkte lijst.
Een hulpmiddel voor meerdere klanten
Register, effectbeoordelingen, datalekken en termijnen — per klant, niet op één hoop.
Gratis starten