De AVG komt eraan. Uw bedrijf kan verplicht zijn een Functionaris Gegevensbescherming aan te stellen!

Nederlandse wetgever publiceert Uitvoeringswet
Inmiddels heeft de Nederlandse wetgever de definitieve versie van de Uitvoeringswet Algemene Verordening Gegevensbescherming gepubliceerd (UAVG). Uit de UAVG volgt dat de leemtes van de AVG in Nederland beleidsneutraal zullen worden ingevuld. Dit betekent dat de huidige privacyregels (van de Wet bescherming persoonsgegevens) in stand blijven indien deze in lijn zijn met de AVG.

De Functionaris voor Gegevensbescherming
Een onderwerp waar de AVG geen leemtes over laat bestaan is dat van de Functionaris voor Gegevensbescherming (FG). Nieuw ten opzichte van de bestaande privacywetgeving is dat het aanwijzen van een FG onder de AVG verplicht is in een aantal gevallen, namelijk:

• wanneer de verwerking van persoonsgegevens wordt verricht door een overheidsinstantie of overheidsorgaan
• wanneer de verwerkingsverantwoordelijke of de verwerker van persoonsgegevens hoofdzakelijk is belast met verwerkingen die regelmatige en stelselmatige observatie van betrokkenen op grote schaal vergen, of
• wanneer de verwerkingsverantwoordelijke of de verwerker van persoonsgegevens hoofdzakelijk belast is met grootschalige verwerking van bijzondere categorieën van persoonsgegevens of gegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10 van de verordening.

Uit de bovenstaande gevallen, volgt dat in ieder geval alle overheidsinstanties een FG aan moeten stellen. Echter kunnen ook grote en kleine (particuliere) bedrijven verplicht zijn een FG aan te stellen indien zij betrokkenen (lees: klanten) regelmatig en stelselmatig observeren door bijvoorbeeld e-mail targeting of advertenties op basis van internetgedrag.

Wat doet de FG?
De AVG geeft een algemene omschrijving van de uiteindelijke taak van een FG. Onder deze taak vallen volgens de AVG onder andere de taak om de verwerkingsverantwoordelijke (lees: uw bedrijf) en verwerker te adviseren over hun wettelijke verplichtingen, toe te zien op de uitvoering daarvan, toe te zien op de naleving van de AVG en ook op te treden als contactpersoon met de Autoriteit Persoonsgegevens.

Wie moet u als FG aanstellen?
Indien een bedrijf verplicht is een FG aan te stellen, dient zij dit volgens de AVG te doen op grond van zijn professionele kwaliteiten, waarmee met name wordt bedoeld zijn deskundigheid op het gebied van privacywetgeving en praktijk inzake gegevensbescherming. De FG hoeft geen personeelslid te zijn van een bedrijf en kan zijn taak ook op grond van een dienstverleningsovereenkomst verrichten. Wel moet een bedrijf te allen tijde de contactgegevens van de FG mededelen aan de Autoriteit Persoonsgegevens.

Aan welke formaliteiten moet u jegens de FG voldoen?
Nadat een bedrijf een FG heeft aangesteld legt de AVG een algemene zorgplicht op het bedrijf om de FG tijdig en naar behoren te betrekken bij alle aangelegenheden inzake bescherming van persoonsgegevens. De AVG verzekert de FG van een onafhankelijke positie binnen het bedrijf. Zo moet hij zijn taken kunnen vervullen zonder daarbij (uitgebreide) instructies te ontvangen.

Over de FG valt nog meer te zeggen en het aanstellen van de FG is beslist niet de enige nieuwe verplichting die de AVG aan uw bedrijf oplegt. Wij zullen u hierover blijven informeren. Wilt u in de tussentijd meer weten over de verdere implicaties van de AVG voor uw bedrijf of heeft u specifieke vragen, neem dan contact op met het cluster Privacy van BASE Advocaten: Jan-Willem van Geen (sectie Arbeidsrecht), Joris Arts of Edwin de Jong (sectie Corporate & Commercial Litigation).