Beoordeel bevoegdheden, niet alleen de functienaam
De naam ‘adviseur’ voorkomt geen belangenconflict wanneer iemand feitelijk beslist. Andersom zegt een brede functietitel niet zonder onderzoek welke taken daadwerkelijk bij de FG liggen.
Lees de aanpak en aandachtspunten
Vraag wie het doel van een verwerking kiest, de essentiële inrichting bepaalt en toestemming geeft om te starten. Denk aan het verzamelen van extra personeelsgegevens, toegang tot cliëntdossiers of inzet van een monitoringsysteem. Zoek besluiten, mandaten en goedkeuringen erbij. Een organogram alleen vertelt niet altijd hoe keuzes in het dagelijks werk ontstaan.
De EDPB noemt leidinggevende functies zoals hoofd HR of IT als voorbeelden van mogelijke conflicten, juist vanwege hun beslissende invloed. Ook functies lager in de organisatie kunnen een probleem opleveren. Het onderzoek gaat dus over de inhoud: kan de FG onafhankelijk oordelen over keuzes waarvoor hij zelf verantwoordelijk is?
Maak onderscheid tussen adviseren, organiseren en besluiten
De FG informeert, adviseert en houdt toezicht. De organisatie blijft verantwoordelijk voor naleving. Een advies kan uitgebreid en praktisch zijn zonder dat de FG daarmee automatisch de bestuurlijke beslissing overneemt.
Lees de aanpak en aandachtspunten
Een PO kan informatie verzamelen, werkafspraken uitwerken en maatregelen helpen invoeren. Proceseigenaren en bevoegde managers beslissen over hun processen en inzet van middelen. Bij een DPIA kan de FG adviseren over methode, risico’s en maatregelen, terwijl de organisatie de uitvoering en besluiten organiseert. Die verantwoordelijkheden horen ook in verslaglegging herkenbaar te zijn.
Niet iedere ondersteunende handeling is per definitie onverenigbaar met FG-werk. De EDPB beschrijft bijvoorbeeld dat administratieve taken rond een register kunnen worden toevertrouwd. Dat is geen vrijbrief om de FG de doeleinden en inrichting te laten bepalen. Beoordeel het totale pakket, de feitelijke beslismacht en het risico van toezicht op eigen keuzes.
Gebruik een besluitenmatrix voor herkenbare situaties
Een matrix helpt tegen abstracte discussies over onafhankelijkheid. Kies werkelijke besluiten uit het afgelopen jaar en bespreek per besluit wie voorbereidde, adviseerde, vaststelde en later controleerde.
Bekijk de uitwerking en de praktische tabel
Vraag ook wie bij een meningsverschil het laatste woord heeft. Een FG die formeel adviseert, maar door een breed mandaat de doorslag geeft over een systeem, heeft mogelijk meer verantwoordelijkheid dan de functieomschrijving suggereert. Kijk naar budgetbevoegdheid, personele aansturing en de verwachtingen die bestuur en medewerkers hebben.
De onderstaande voorbeelden zijn beoordelingsvragen, geen automatische lijst toegestane functietitels. Een CISO-rol kan per organisatie sterk verschillen. Een afzonderlijke handtekening onder een besluit lost niets op wanneer de inhoudelijke beslissingen onveranderd bij de FG blijven liggen.
De tabel is opzij te schuiven.
| Situatie | Vraag aan de organisatie | Mogelijke aanpassing |
|---|---|---|
| FG adviseert over DPIA | Wie beslist over maatregelen en ingebruikname? | Besluit bij bevoegde proceseigenaar vastleggen |
| FG is ook hoofd HR | Bepaalt dezelfde persoon personeelsverwerkingen? | Beslissende HR-rol en FG-rol scheiden |
| FG onderhoudt een register | Worden feiten verwerkt of doelen en middelen bepaald? | Administratieve taak en inhoudelijk eigenaarschap afbakenen |
| FG is ook CISO | Wie kiest maatregelen en aanvaardt beveiligingsrisico’s? | Werkelijke mandaten beoordelen en herverdelen |
| Externe partij levert PO en FG | Wie toetst werk waarvoor dezelfde partij verantwoordelijk is? | Personen, opdrachten, rapportage en conflicten expliciet regelen |
Regel onafhankelijkheid ook buiten de taakverdeling
Een goede taakverdeling is noodzakelijk, maar niet voldoende. De FG moet tijdig informatie krijgen, toegang hebben tot het hoogste leidinggevende niveau en voldoende middelen hebben om zijn taken te vervullen.
Lees de aanpak en aandachtspunten
Leg vast hoe nieuwe projecten de FG bereiken, hoe de FG onderzoek kan doen en hoe adviezen aan het bestuur worden voorgelegd. De organisatie mag geen instructies geven over de uitkomst van toezicht of een verplichte interpretatie opleggen. Ook mag de FG niet worden bestraft vanwege de uitvoering van de FG-taken.
Maak zichtbaar hoe het bestuur reageert wanneer het een advies niet volgt. Dat vraagt een eigen onderbouwing, geen herschreven FG-advies. Geef de FG ruimte om het oorspronkelijke oordeel en resterende aandachtspunten te rapporteren. Zo blijft het verschil tussen onafhankelijk advies en een bestuurlijk besluit ook achteraf controleerbaar.
Illustratieve casus: dezelfde persoon koopt en beoordeelt
Een fictieve stichting heeft een IT-manager die daarnaast FG is. De manager selecteert een personeelssysteem, bepaalt toegang en tekent de implementatie af. Vervolgens wordt gevraagd om als FG te bevestigen dat de privacykeuzes goed zijn.
Lees de aanpak en aandachtspunten
De analyse beperkt zich niet tot de vraag of deze persoon integer is. De combinatie brengt hem in de positie zijn eigen besluiten te beoordelen. Het bestuur brengt daarom de beslissende taken in kaart en onderzoekt een andere verdeling. Alleen de vermelding dat hij bij de FG-werkzaamheden onafhankelijk handelt, verandert de feitelijke positie niet.
Een mogelijke oplossing is uitvoering en IT-besluiten bij de operationele organisatie te laten en een afzonderlijke externe FG aan te stellen. Ook dan zijn informatievoorziening, toegang en rapportage nodig. Dit is een fictief voorbeeld; de passende inrichting hangt af van de echte mandaten en organisatiecontext.
Herbeoordeel bij wijzigingen en leg herstel vast
Een rolverdeling kan passend beginnen en later verschuiven. Extra projecten, waarneming van een managementfunctie of uitbreiding van een contract kunnen nieuwe beslissende taken bij de FG leggen.
Lees de aanpak en aandachtspunten
Maak een vast moment voor beoordeling bij zulke veranderingen. Noteer de betrokken taak, het mogelijke conflict, de gekozen oplossing en de verantwoordelijke voor invoering. Controleer vervolgens of mandaten, autorisaties en verwachtingen daadwerkelijk zijn aangepast. Een terugtrekking uit één vergadering is geen structurele oplossing voor een blijvende combinatie van onverenigbare verantwoordelijkheden.
Leg rollen, informatievoorziening en rapportagelijnen vast. Daarbij blijven PO-uitvoering en onafhankelijk FG-toezicht herkenbaar gescheiden. Het resultaat is een onderbouwde inrichting met concrete afspraken; geen algemene verklaring dat iedere combinatie van functies daarmee zonder meer is toegestaan.
Wat moet in ieder geval zijn geregeld?
Verzamel functieomschrijvingen én werkelijke besluitvoorbeelden.
Noteer wie doelen, essentiële middelen en ingebruikname bepaalt.
Onderzoek toezicht op eigen keuzes of eigen implementatiewerk.
Borg toegang tot bestuur, informatie en voldoende capaciteit.
Leg afwijking van FG-advies als organisatiebesluit vast.
Herbeoordeel bij waarneming, reorganisatie en uitbreiding van opdrachten.
Deze uitleg is algemeen en vervangt geen beoordeling van uw specifieke organisatie, wettelijke positie, verwerking of incident.