Externe DPO

De vraag

Moet je een functionaris voor gegevensbescherming (DPO) aanstellen, en zo ja, wie?

Artikel 37 AVG maakt een DPO verplicht voor overheidsinstanties, voor organisaties waarvan de kernactiviteiten bestaan uit regelmatige en systematische observatie van personen op grote schaal, en voor organisaties waarvan de kernactiviteiten bestaan uit grootschalige verwerking van bijzondere categorieën van persoonsgegevens of strafrechtelijke gegevens. Lidstaten mogen gevallen toevoegen, dus check ook het nationale recht. Veel bedrijven vallen daarbuiten en moeten dus niet, maar willen toch iemand die privacy trekt. Anderen moeten wel en merken dat een interne aanstelling moeilijk ligt: de DPO moet onafhankelijk zijn, mag geen instructies krijgen over hoe hij zijn taken uitvoert en mag geen functie hebben waarin hij de doeleinden en middelen van de verwerking bepaalt. Je IT-manager of HR-verantwoordelijke voldoet daar zelden aan.

De AVG staat uitdrukkelijk toe dat de DPO extern is, op basis van een dienstverleningsovereenkomst (artikel 37, lid 6). Dat is het model dat wij aanbieden.

Onze aanpak

We beginnen met een korte beoordeling: moet je een DPO aanstellen, en zo niet, is een vrijwillige aanstelling nuttig? We leggen het antwoord schriftelijk vast. Is een DPO nodig, dan leggen we de opdracht vast in een dienstverleningsovereenkomst en melden we de contactgegevens aan de toezichthouder, zoals artikel 37, lid 7 vraagt (in België bijvoorbeeld de GBA).

Daarna volgt het werk de taken uit artikel 39: jou en je medewerkers adviseren, de naleving opvolgen, adviseren over gegevensbeschermingseffectbeoordelingen en optreden als aanspreekpunt voor de toezichthouder en voor betrokkenen. In de praktijk is dat een doorlopend gesprek en geen jaarverslag.

Een groot deel loopt via ons eigen platform. Je verwerkingsregister en compliance-registers staan in het klantenportaal, waar je team de vermeldingen bewerkt en de DPO ze nakijkt en goedkeurt. Gegevensbeschermingseffectbeoordelingen vullen we samen in als werkdossier. Verzoeken van betrokkenen registreren en volgen we op via onze functie voor verzoeken van betrokkenen, en incidenten lopen via onze workflow voor datalekken, waarbij een jurist over elke melding beslist. In het klantenportaal krijgt de DPO ook een dashboard, een register van leveranciers en verwerkers, een compliancekalender en een overzicht van verwerkersovereenkomsten.

We besteden extra aandacht aan de onderwerpen waar het het vaakst misloopt: het register zelf (wat een verwerkingsregister moet bevatten), hoe je inzageverzoeken beantwoordt, hoe lang je gegevens bewaart (bewaartermijnen) en wat je website achter de banner doet (cookies en toestemming en technologie-audits van websites).

Meestal komen klanten in een van vier situaties bij ons terecht: een toezichthouder of klant heeft gevraagd wie je DPO is, een groeistap (een nieuw product, meer personeel, een stap naar gezondheidsgegevens of monitoring) brengt je boven de drempel van artikel 37, de persoon die privacy opvolgde is vertrokken, of een leveranciersvragenlijst laat zien dat niemand een actueel register kan tonen.

Wat je mag verwachten

• Een schriftelijke beoordeling of een DPO verplicht is, en een gedocumenteerde aanstelling die aan de toezichthouder is gemeld.
• Een vaste externe DPO en een afgebakende opdracht, met advies binnen handbereik tussen de formele reviews.
• Je verwerkingsregister, register van leveranciers en verwerkers en compliancekalender, actueel gehouden en goedgekeurd door de DPO.
• Een DPIA als de AVG of de lijst van de toezichthouder erom vraagt, en op verzoek bij gevoelige projecten.
• Een beproefde procedure voor verzoeken van betrokkenen en voor datalekken.
• Een korte periodieke rapportering aan het management, zodat het bestuur ziet wat er gebeurd is en wat openstaat.

De DPO adviseert en controleert. De beslissingen over doeleinden en middelen blijven bij jou, en de verantwoordelijkheid voor de naleving blijft bij de verwerkingsverantwoordelijke. Dat zetten we in de overeenkomst: het beschermt de onafhankelijkheid van de functie, voor beide partijen.

Een logistiek bedrijf met 120 medewerkers heeft een camerasysteem in zijn magazijnen en een app die chauffeurs volgt. Een HR-manager fungeerde als privacycontact. Na onze beoordeling besloot het bedrijf dat monitoring op die schaal een DPO vereist en dat de HR-functie een belangenconflict opleverde. Wij werden aangesteld als externe DPO en gemeld aan de toezichthouder, en we startten met het register en een DPIA over de trackingapp. Die DPIA leidde tot een kortere bewaring van locatiegegevens en een duidelijkere kennisgeving aan de chauffeurs. Zes maanden later werd een inzageverzoek van een chauffeur binnen de maand beantwoord, vanuit een dossier dat al klaarlag.

Volgende stap

Vertel ons wat je verwerkt, voor wie en met welke leveranciers. Dan krijg je een helder standpunt of een DPO verplicht is en wat een externe aanstelling inhoudt.

Plan een gesprek of neem contact op.