Onderscheid advies, uitvoering en onafhankelijk toezicht
De FG informeert, adviseert en houdt onafhankelijk toezicht op gegevensbescherming. De organisatie blijft verantwoordelijk voor naleving. Een Privacy Officer kan juist helpen bij de dagelijkse uitvoering: processen uitwerken, acties coördineren en documenten onderhouden.
Een ISO-implementatie bevat verschillende soorten werk. Het verzamelen van informatie of toelichten van risico's is iets anders dan bindend bepalen hoe een verwerking wordt ingericht. Leg daarom per activiteit vast wat de adviseur doet en wie daadwerkelijk beslist.
Onderzoek wie de doeleinden en middelen bepaalt
Volgens de EDPB mag een FG geen positie bekleden waarin hij de doeleinden en middelen van persoonsgegevensverwerking bepaalt. De beoordeling is niet beperkt tot formele managementfuncties. Ook andere werkzaamheden kunnen feitelijk tot zulke beslissingen leiden.
Kijk bijvoorbeeld naar keuzes over gegevensgebruik, toegang, bewaartermijnen en de inrichting van systemen. Wie heeft inhoudelijk het laatste woord? Wie kan een voorstel afwijzen? Een handtekening van de directie is geen afdoende scheiding wanneer zij een keuze alleen administratief bevestigt.
Een voorbeeld binnen een implementatietraject
Illustratief: een FG adviseert dat toegang tot patiëntgegevens op rollen moet worden gebaseerd, beoordeelt privacyrisico's en signaleert tekortkomingen. De bevoegde zorg- en IT-verantwoordelijken maken onderbouwde keuzes, organiseren de inrichting en dragen daarvoor verantwoordelijkheid. Dat is een andere situatie dan een FG die zelf de toegangsinrichting bepaalt en beheert.
De tweede situatie kan de onafhankelijkheid aantasten, omdat dezelfde persoon vervolgens zijn eigen beslissingen moet beoordelen. Onderzoek dan of werkzaamheden moeten worden begrensd, overgedragen of door een andere rol uitgevoerd.
Een andere collega is niet automatisch voldoende
Als één dienstverlener verschillende rollen levert, moet de inrichting werkelijk bescherming bieden tegen tegenstrijdige belangen. Kijk naar opdrachten, hiërarchie, rapportagelijnen, toegang tot informatie en de vrijheid om kritische bevindingen te melden. Een tweede naam op het organogram bewijst dat niet.
Ook een externe FG heeft een onafhankelijke positie nodig. Leg vast dat hij rechtstreeks kan rapporteren aan het hoogste management en geen instructies krijgt over de uitkomst van zijn toezicht. Betrek de beoordeling van andere opdrachten bij aanvang en bij veranderingen.
Maak de taakverdeling vóór de opdracht controleerbaar
Gebruik een eenvoudig overzicht met vier kolommen: activiteit, adviseur, beslisser en uitvoerder. Voeg toe wie onafhankelijk toezicht houdt. Bespreek twijfelgevallen expliciet en leg vast waarom de combinatie wel of niet verdedigbaar is. Herzie het overzicht als de opdracht of organisatie verandert.
Bij Datajuristen onderscheiden we implementatiebegeleiding, uitvoerende PO-ondersteuning en FG-toezicht. De passende combinatie wordt per organisatie beoordeeld. Dat een onafhankelijke partij later het ISO-certificaat afgeeft, lost een mogelijk belangenconflict in de FG-rol niet vanzelf op.
Nog een vraag?
Veelgestelde vragen
Mag een FG helemaal geen beleidstekst helpen schrijven?
Zo absoluut is de regel niet. De concrete werkzaamheden en invloed op beslissingen zijn bepalend. Advies en ondersteuning moeten verenigbaar blijven met onafhankelijk toezicht en mogen niet leiden tot een conflicterende beslissingsrol.
Is PO-werk hetzelfde als de FG-functie?
Nee. PO-werk is doorgaans gericht op ondersteuning en uitvoering. De FG heeft een wettelijk omschreven onafhankelijke positie. Een PO vervangt daarom niet automatisch een FG wanneer een FG verplicht is.
Bronnen en actualiteit
Deze uitleg gebruikt onderstaande bronnen, geraadpleegd op 12 oktober 2026. De precieze eisen en aanpak hangen af van uw scope, activiteiten en de actuele afspraken met de onafhankelijke toetsende partij.
Van uitleg naar uw praktijk
Wat betekent dit voor uw organisatie?
Vertel waar u staat en welke vraag u wilt oplossen. We bespreken een concrete eerste stap.