Drie wettelijke situaties
Publieke organisaties zijn in beginsel verplicht een FG aan te wijzen, behalve gerechten bij de uitoefening van hun rechterlijke taken. Voor private organisaties zijn vooral grootschalige monitoring en grootschalige verwerking van bijzondere of strafrechtelijke gegevens relevant.
Voorbeelden kunnen liggen in zorg, profilering, cameratoezicht, online gedragsanalyse, fraudedetectie en grootschalige personeels- of cliëntsystemen. Een voorbeeld vervangt nooit de beoordeling van de concrete context.
Wat betekent grootschalig?
De AVG noemt geen vaste numerieke grens. Factoren zijn het aantal betrokkenen, de hoeveelheid en verscheidenheid aan gegevens, hoe lang de verwerking duurt en hoe groot het geografische bereik is.
Ook moet worden beoordeeld of de verwerking tot de kernactiviteiten behoort. Ondersteunende salarisadministratie is anders dan een dienst waarvan gezondheidsanalyse of structurele monitoring het eigenlijke aanbod vormt.
Leg ook een niet-verplichte keuze vast
Komt de organisatie tot de conclusie dat een FG niet verplicht is, dan is een korte en onderbouwde notitie verstandig. Bij groei, nieuwe technologie of gewijzigde dienstverlening moet de beoordeling opnieuw worden gedaan.
Een organisatie kan vrijwillig een FG aanwijzen. Dan gelden dezelfde eisen aan positie, onafhankelijkheid en taken. Gebruik de titel daarom niet informeel voor een gewone privacyadviseur.
Van uitleg naar uw praktijk
Wat moet in ieder geval zijn geregeld?
- Publieke taak of overheidsorgaan
- Kernactiviteit van de organisatie
- Regelmatige en stelselmatige observatie
- Omvang, duur en bereik van verwerking
- Bijzondere of strafrechtelijke gegevens op grote schaal
Veelgestelde vragen
Verder met uw vraag.
Is een FG verplicht vanaf een bepaald aantal medewerkers?
Nee. De AVG gebruikt geen algemene personeelsgrens; aard, kernactiviteit en schaal van verwerkingen zijn bepalend.
Moet een zorgorganisatie altijd een FG hebben?
Veel zorgorganisaties vallen onder de criteria door grootschalige verwerking van gezondheidsgegevens, maar de specifieke situatie moet worden beoordeeld.
Kan één FG voor meerdere organisaties werken?
Ja, mits de FG voor iedere organisatie goed bereikbaar is en voldoende tijd, expertise en onafhankelijkheid heeft.
Deze uitleg is algemeen en vervangt geen beoordeling van uw specifieke organisatie, wettelijke positie, verwerking of incident.