Ben ik verplicht om een Functionaris voor de Gegevensbescherming aan te stellen?

Sinds 25-05-2018 is in alle Europese lidstaten een verordening van kracht: De General Data Protection Rules (GDPR) die in alle landen tegelijkertijd de bestaande privacywetgeving vervangt. Voor Nederland betekende dit de in 2016 aangescherpte Wet bescherming persoonsgegevens (Wbp) werd vervangen door de Algemene Verordening Gegevensbescherming (AVG).

De AVG heeft grote consequenties voor vrijwel iedere organisatie, in het bijzonder voor de zorg. Belangrijk vooral om te weten is dat je moet kunnen aantonen dat je aan de AVG voldoet en dat, als dat niet het geval is, je het risico loopt op een hoge boete van de Autoriteit Persoonsgegevens. Zo wordt onder meer geadviseerd om te bepalen of je verplicht bent om een Functionaris voor de Gegevensverwerking (FG) aan te stellen en - als dat zo is - niet te lang te wachten met het werven van een FG. Op de website van de Autoriteit Persoonsgegevens worden onder meer de taken van een FG uiteen gezet wordt aangegeven welke rol deze voor een organisatie, danwel samenwerkende organisaties, kan vervullen. 

In de AVG (Artikel 37) wordt aangegeven dat het bij de beantwoording van de vraag: "zijn wij verplicht om een FG aan te stellen?" van belang is of sprake is van de verwerking van bijzondere persoonsgegevens, of de verwerking van persoonsgegevens dient te worden beschouwd als een kerntaak en sprake is van verwerking van persoonsgegevens op grote schaal.

Ondanks een aanvullende richtlijn is beantwoording van de vraag nog steeds lastig. Wel wordt op de site van de Autoriteit Persoonsgegevens aangegeven wat de competenties (dienen te) zijn van een Functionaris voor de Gegevensbescherming, onder welke condities deze zijn werkzaamheden moet kunnen vervullen en wordt de onafhankelijke rol van een FG benadrukt.