Functionaris gegevensbescherming (FG): wanneer verplicht?

Rond de AVG hoor je vaak de term functionaris gegevensbescherming, kortweg FG. Het is een interne toezichthouder op privacy, en sommige organisaties zijn verplicht er een aan te stellen. Veel MKB-ondernemers vragen zich af of dat voor hen geldt, en of ze in overtreding zijn als ze er geen hebben.

Het goede nieuws: voor de meeste MKB-bedrijven is een FG niet verplicht. Maar de grens hangt af van wat je doet met persoonsgegevens, niet van je omvang. Dit artikel legt uit wanneer een FG verplicht is, wat de rol inhoudt en welke alternatieven er zijn. Het sluit aan op AVG voor het MKB.

Wat een FG is

Een functionaris gegevensbescherming is een interne deskundige die toeziet op de naleving van de privacyregels. Het is geen uitvoerder die alles regelt, maar een toezichthouder en adviseur die zelfstandig en onpartijdig binnen de organisatie opereert.

De FG is dus een soort interne privacywaakhond. Belangrijk is dat de rol zelfstandig is: de FG moet zijn werk kunnen doen zonder dat de leiding hem onder druk zet. Dat onderscheidt de FG van iemand die gewoon privacytaken uitvoert.

Wanneer is een FG verplicht?

De AVG noemt 3 situaties waarin een FG verplicht is. De drempel ligt niet bij een aantal medewerkers, maar bij de aard van de verwerking. Voor de meeste MKB-bedrijven geldt geen van de 3.

De 2 begrippen die ertoe doen zijn grootschalig en bijzondere persoonsgegevens. Een gewone webshop of dienstverlener verwerkt zelden grootschalig of stelselmatig in de bedoelde zin. Een organisatie die op grote schaal gezondheidsgegevens verwerkt, zoals een zorginstelling, valt er wel onder. Twijfel je, dan is de aard van je verwerking de toets, niet je personeelsaantal.

Wat telt als grootschalig?

Het begrip grootschalig is niet in een vast getal gevangen, maar hangt af van een aantal factoren samen. Dat maakt de inschatting soms lastig, dus het helpt om de factoren te kennen.

Een huisartsenpraktijk verwerkt gezondheidsgegevens, maar wordt doorgaans niet als grootschalig gezien. Een groot ziekenhuis of een landelijk platform wel. Voor het MKB betekent dit dat de verplichting zelden geldt, tenzij je kernactiviteit draait om het op grote schaal verwerken van gevoelige gegevens.

Vrijwillig of een alternatief

Ook als een FG niet verplicht is, kun je er vrijwillig een aanstellen, of kiezen voor een lichtere oplossing. Voor het MKB is dat laatste vaak passender: je belegt de privacytaken zonder een formele FG.

Veel MKB-bedrijven kiezen voor een privacycoordinator: iemand die de privacytaken oppakt zonder de formele, zelfstandige status van een FG. Let op: noem je iemand officieel FG, dan gelden de wettelijke eisen rond zelfstandigheid, ook als het vrijwillig was. Een privacycoordinator zonder die titel geeft meer flexibiliteit.

FG in de praktijk

De cijfers laten zien dat de FG-verplichting voor het MKB meestal niet geldt, maar dat je de afweging wel moet maken en vastleggen. De privacytaken zelf, ook zonder formele FG, kosten een MKB-bedrijf doorgaans enkele uren per maand. Een FG aanstellen terwijl het niet hoeft, kost onnodig geld; een FG missen terwijl het wel moet, kan een boete tot 10 miljoen euro of 2 procent van de omzet opleveren. Herzie de afweging elke 12 maanden, want je activiteiten veranderen.

Hoe je de afweging maakt

De vraag of je een FG nodig hebt, beantwoord je in een paar stappen. Het draait om de aard van je verwerkingen, niet om je grootte.

1. Ben je een overheidsinstantie? Zo ja, dan is een FG verplicht.
2. Volg je grootschalig en stelselmatig mensen? Denk aan continue monitoring op grote schaal.
3. Verwerk je grootschalig bijzondere gegevens? Zoals gezondheids- of biometrische gegevens.
4. Geen van deze? Dan is een FG meestal niet verplicht; kies een privacycoordinator of externe adviseur.
5. Leg de afweging vast. Noteer waarom je wel of geen FG hebt, voor het geval het wordt gevraagd.

Voor de meeste MKB-bedrijven eindigt deze afweging bij stap 4. De belangrijkste actie is dan niet het aanstellen van een FG, maar het beleggen van de privacytaken bij iemand en het vastleggen van de afweging.

Conclusie

Een functionaris gegevensbescherming is een interne privacytoezichthouder, en verplicht in 3 situaties: bij overheidsinstanties, bij grootschalig stelselmatig volgen van mensen, en bij grootschalige verwerking van bijzondere persoonsgegevens. Voor de meeste MKB-bedrijven geldt geen van die 3, omdat de drempel bij de aard van de verwerking ligt, niet bij de omvang. Maak de afweging bewust, leg die vast, en kies waar nodig voor een lichtere oplossing zoals een privacycoordinator. Lees verder in AVG voor het MKB en zorg dat je verwerkingsgrondslagen en register op orde zijn.

De afweging concreet gemaakt

Voor het MKB komt de FG-vraag bijna altijd neer op 1 ding: verwerk je grootschalig bijzondere gegevens of volg je mensen stelselmatig op grote schaal? Zo niet, dan is een FG niet verplicht, en kun je de privacytaken lichter beleggen. Het is belangrijk om die afweging bewust te maken en vast te leggen, zodat je hem kunt tonen als ernaar wordt gevraagd.

Voor een gewoon MKB-bedrijf met 20 medewerkers kosten de privacytaken doorgaans enkele uren per maand, ook zonder formele FG. Iemand houdt het register bij, behandelt verzoeken van betrokkenen binnen 1 maand en let op datalekken die binnen 72 uur gemeld moeten worden. Die taken bestaan ongeacht of je een FG hebt; het verschil is vooral of er een formele, zelfstandige rol aan hangt.

De kosten van een verkeerde inschatting lopen uiteen. Een FG aanstellen terwijl het niet hoeft, kost onnodig geld aan een functie die je niet nodig hebt. Een FG missen terwijl het wel verplicht is, kan een boete tot 10 miljoen euro of 2 procent van de omzet opleveren. Daarom is de bewuste, vastgelegde afweging de kern, en die herzie je elke 12 maanden, want je activiteiten kunnen verschuiven naar grootschaliger of gevoeliger verwerken.

De kosten en taken op een rij

Voor een MKB-bedrijf met 20 medewerkers blijven de privacytaken meestal beperkt tot enkele uren per maand: het register bijhouden, verzoeken binnen 1 maand afhandelen en datalekken binnen 72 uur kunnen melden. Die taken bestaan ongeacht of je een formele FG hebt. Door ze bij 1 persoon te beleggen, een privacycoordinator, houd je het overzichtelijk zonder de zwaardere status van een verplichte FG. Herzie de afweging elke 12 maanden en leg vast waarom je wel of geen FG hebt, want bij een controle is dat het eerste wat de toezichthouder wil zien.

Praktisch betekent dit voor de meeste MKB-bedrijven: reken op circa 4 uur per maand aan privacytaken, plan een herziening na 12 maanden, houd de meldtermijn van 72 uur paraat en handel verzoeken binnen 1 maand af, met een mogelijke verlenging van 2 maanden bij complexe verzoeken. Met die vier vaste punten heb je je privacybeheer op orde, ook zonder formele FG.

Veelgestelde vragen

Wat is een functionaris gegevensbescherming?

Een interne deskundige die toeziet op de naleving van de privacyregels en adviseert over privacyvraagstukken. De FG is zelfstandig en is het aanspreekpunt voor betrokkenen en de toezichthouder.

Wanneer is een FG verplicht?

In 3 situaties: bij overheidsinstanties, bij grootschalig stelselmatig volgen van mensen, en bij grootschalige verwerking van bijzondere persoonsgegevens zoals gezondheidsgegevens. Anders meestal niet.

Moet mijn MKB-bedrijf een FG hebben?

Meestal niet. De drempel ligt bij de aard van je verwerking, niet bij je omvang. Een gewone webshop of dienstverlener valt zelden onder de verplichting. De zorg is een veelvoorkomende uitzondering.

Wat is een privacycoordinator?

Een lichtere variant: iemand die de privacytaken oppakt zonder de formele, zelfstandige status van een FG. Voor veel MKB-bedrijven is dat een passende keuze, met meer flexibiliteit.

Wat als ik geen FG heb terwijl het wel moet?

Dan loop je risico op een boete tot 10 miljoen euro of 2 procent van de omzet. Maak daarom bewust de afweging en leg die vast, zodat je kunt aantonen waarom je wel of geen FG hebt.

Dit artikel is informatief en geen juridisch advies op maat. Voor je eigen situatie raadpleeg je een gespecialiseerde adviseur of de Autoriteit Persoonsgegevens.