Eerst vaststellen of een FG moet worden aangewezen
De AVG noemt situaties waarin aanwijzing verplicht is, waaronder bepaalde overheidsverwerkingen en kernactiviteiten met grootschalige stelselmatige observatie of grootschalige verwerking van bijzondere of strafrechtelijke gegevens. De beoordeling hangt dus niet uitsluitend af van het aantal medewerkers. Onderzoek de feitelijke activiteiten, omvang, duur en soorten gegevens. Ook aanvullende wettelijke verplichtingen kunnen relevant zijn. Leg de onderbouwing vast wanneer een organisatie concludeert dat geen verplichte FG nodig is. Een vrijwillige benoeming verdient eveneens zorgvuldigheid, omdat de functie niet zonder meer als vrijblijvende adviesrol kan worden gepresenteerd terwijl de wettelijke titel wordt gebruikt.
De opdracht moet de wettelijke taken kunnen dragen
Beschrijf welke organisaties en verwerkingen onder de dienstverlening vallen. Een externe FG heeft informatie nodig over systemen, leveranciers, incidenten en nieuwe projecten. Leg vast hoe advies, toezicht, contact met betrokkenen en samenwerking met de toezichthouder worden georganiseerd. Ook advies over een DPIA kan onderdeel van de wettelijke taak zijn. Het aantal beschikbare uren moet passen bij de risico's en werkelijke belasting. Een zeer beperkte vaste inzet kan ontoereikend zijn bij ingrijpende wijzigingen of incidenten. De opdracht moet daarom een route bevatten voor aanvullende inzet, prioritering en escalatie wanneer het afgesproken kader niet meer voldoende is.
Onafhankelijkheid vraagt meer dan externe inhuur
De FG mag geen instructies ontvangen over de uitvoering van zijn wettelijke taken en moet rechtstreeks aan de hoogste leiding kunnen rapporteren. De organisatie moet voldoende middelen en toegang bieden. Een externe positie voorkomt niet automatisch belangenconflicten. Onderzoek of dezelfde dienstverlener ook beslissingen neemt over doeleinden of middelen van verwerking, of zijn eigen uitvoeringswerk moet beoordelen. Andere taken kunnen mogelijk zijn, maar mogen de onafhankelijkheid niet ondermijnen. Leg daarom bevoegdheden en rolgrenzen vast. De FG adviseert en houdt toezicht; het bestuur of management blijft verantwoordelijk voor de beslissingen en voor het uitvoeren van noodzakelijke verbeteringen.
Een privacyadviseur beoordeelt zijn eigen systeemkeuze
Een fictieve onderneming laat haar externe IT-partner een nieuw klantplatform kiezen en de verwerking inrichten. Dezelfde persoon wordt vervolgens als FG aangewezen om die keuzes onafhankelijk te controleren. Dat kan een belangenconflict opleveren, afhankelijk van zijn feitelijke beslissingsmacht en taken. Bij de inrichting wordt daarom onderzocht wie doeleinden en middelen bepaalt en wie toezicht houdt. Alleen twee verschillende functietitels gebruiken lost de spanning niet op. Het voorbeeld laat zien waarom de organisatie de volledige opdracht van een externe partij moet bekijken en niet uitsluitend het document waarin de FG-benoeming is opgenomen.
Bereikbaarheid en betrokkenheid praktisch regelen
Medewerkers moeten weten wanneer zij de FG raadplegen en via welk kanaal. Nieuwe verwerkingen horen tijdig in beeld te komen, zodat advies nog invloed kan hebben op het ontwerp. Betrokkenen moeten de contactgegevens kunnen vinden en de organisatie deelt die gegevens met de toezichthoudende autoriteit volgens de AVG. Bij een concern kan één FG mogelijk meerdere onderdelen bedienen, mits hij vanuit iedere vestiging gemakkelijk te contacteren is. Leg ook vervanging bij afwezigheid en toegang tot relevante dossiers vast. Een functie die alleen via een algemeen contactformulier bereikbaar is en wekenlang geen reactie kan geven, past mogelijk niet bij de werkelijke behoefte.
Rapportage verbinden met opvolging door de organisatie
Een toezichtplan kan prioriteiten bepalen op basis van risico, bijvoorbeeld leveranciersbeheer, bewaartermijnen of personeelsgegevens. De FG rapporteert bevindingen en adviezen aan de juiste leiding. Het management legt vervolgens vast welke maatregelen worden uitgevoerd en waarom eventueel van een advies wordt afgeweken. Daarmee blijft de verantwoordelijkheidsverdeling zichtbaar. Een jaarlijkse rapportage is geen bewijs dat iedere verwerking voldoet en vervangt geen actuele betrokkenheid bij belangrijke veranderingen. De organisatie moet kunnen aantonen dat signalen worden opgepakt. Ook vertrouwelijkheid en toegang tot gevoelige informatie binnen de FG-functie worden passend ingericht.
Benoeming en dienstverlening zorgvuldig afronden of overdragen
De oplevering bevat een rolbeschrijving, bereikbaarheidsafspraken, rapportagelijn en eerste prioriteiten. Bij beëindiging van de opdracht worden dossiers en lopende adviezen gecontroleerd overgedragen, met behoud van vertrouwelijkheid. Contactgegevens en meldingen worden waar nodig aangepast. Voor de bredere inventarisatie van processen sluit dit aan op een AVG-audit. Een goed georganiseerde externe FG-functie biedt een herkenbaar onafhankelijk aanspreekpunt, terwijl de organisatie zelf beslissingen blijft nemen en maatregelen uitvoert. Zo ontstaat toezicht dat daadwerkelijk in de bedrijfsvoering is ingebed en niet alleen administratief op papier bestaat.
Bronnen bij dit onderwerp
- EUR-Lex — Algemene verordening gegevensbeschermingGeraadpleegd op 2026-09-13