Functionaris voor gegevensbescherming inhuren: wanneer het moet, en wanneer het mag
7 min lezen · Bijgewerkt 2026-11-12
Een functionaris voor gegevensbescherming (FG, in het Engels DPO) is een vastomlijnde rol onder de artikelen 37 tot en met 39 AVG. Veel startups hebben geen wettelijke plicht om er een te benoemen. Sommige doen het toch. Deze gids legt het verschil uit, en wat 'FG als dienst' in de praktijk zou moeten betekenen.
Wanneer benoeming verplicht is
U moet een FG benoemen als u een overheidsinstantie of overheidsorgaan bent (met beperkte uitzonderingen), als uw kernactiviteiten bestaan uit regelmatige en stelselmatige observatie van betrokkenen op grote schaal, of als uw kernactiviteiten bestaan uit grootschalige verwerking van bijzondere categorieën of van strafrechtelijke gegevens (artikel 37). 'Kernactiviteiten' zijn wat essentieel is voor uw onderneming, niet het eenmalig gebruik van een salaristool.
Een typische jonge SaaS-onderneming die klantaccounts en factuurgegevens bewaart, zonder grootschalige profilering of bijzondere categorieën in het hart van het product, valt vaak buiten de verplichte gevallen. U moet de feiten wél toetsen. Als het product is gebouwd rond gezondheidsgegevens, grootschalig gebruik van gegevens van kinderen, of stelselmatige observatie van gedrag, kan de plicht wél gelden.
Wat de rol vereist
De FG moet deskundig zijn op het gebied van het gegevensbeschermingsrecht en de praktijk, en de taken van artikel 39 kunnen uitvoeren: informeren en adviseren, toezien op naleving, adviseren over gegevensbeschermingseffectbeoordelingen, en optreden als contactpunt voor de toezichthouder. De FG kan in dienst zijn of de taken vervullen op grond van een dienstverleningsovereenkomst (artikel 37, lid 6).
Onafhankelijkheid telt. Artikel 38, lid 3, bepaalt dat de FG geen instructies krijgt over de uitoefening van die taken, en niet mag worden ontslagen of bestraft omdat hij zijn werk doet. Een aanbod van 'FG als dienst' dat alleen automatische rapporten levert, of dat onder commerciële sturing staat, voldoet daar niet aan. Een benoemde persoon, een duidelijk dienstrooster en een pad naar de AP zijn het minimum dat u mag verwachten.
Vrijwillige benoeming
U mag een FG benoemen ook als de wet dat niet verplicht. Doet u dat, dan gelden dezelfde artikelen: onafhankelijkheid, middelen, en de taken van artikel 39. De AP verwacht dat u het meent. Geef iemand de titel niet als die persoon de rol niet kan vervullen.
Bij DPOne wijst de FG-dienst Mahdi Barkabian Zanjani aan als benoemde externe functionaris, onder een vastgesteld rooster, met onafhankelijke toetsing van kritieke bevindingen. Dat is een contractuele dienst, geen certificering dat uw onderneming compliant is.
Veelgestelde vragen
Kan één persoon FG zijn voor meerdere ondernemingen?
Ja. Een FG mag optreden voor een concern, of voor meerdere organisaties op grond van een dienstverleningsovereenkomst, mits hij goed bereikbaar blijft en de taken voor elke verwerkingsverantwoordelijke onafhankelijk kan uitvoeren.
Is een privacyjurist automatisch FG?
Nee. Een jurist kan u adviseren zonder als FG te zijn benoemd. De titel FG is specifiek. Gebruik die alleen als de persoon is benoemd en aan de artikelen 37 tot en met 39 kan voldoen.