Functionaris voor gegevensbescherming (FG)
De interne toezichthouder op de naleving van de privacyregels, die door de AVG een beschermde en onafhankelijke positie krijgt binnen de organisatie.
Governance Woordenboek · Risico, integriteit en aansprakelijkheid · juridische stand augustus 2026
Een functionaris voor gegevensbescherming is niet altijd een keuze. Artikel 37 lid 1 van de AVG maakt de aanwijzing verplicht voor overheidsinstanties, voor organisaties die mensen grootschalig en stelselmatig volgen, en voor wie op grote schaal bijzondere persoonsgegevens verwerkt. Zorgorganisaties vallen meestal onder die derde categorie. Voor hen is de vraag dus niet of, maar hoe.
De aanwijzing is aan eisen gebonden. De functionaris wordt gekozen op professionele kwaliteiten en deskundigheid, zo bepaalt artikel 37 lid 5. Hij kan een medewerker zijn of zijn taken op grond van een dienstverleningsovereenkomst verrichten. Bovendien moeten de contactgegevens worden gepubliceerd én gemeld bij de toezichthoudende autoriteit. Een concern mag één functionaris aanwijzen voor meerdere vestigingen.
Zijn positie is opvallend stevig beschermd. Artikel 38 lid 3 bepaalt namelijk dat hij geen instructies over zijn taken mag krijgen en dat hij daarvoor niet mag worden ontslagen of gestraft. Hij rapporteert rechtstreeks aan de hoogste leidinggevende. Andere taken mag hij hebben, maar die mogen volgens lid 6 niet tot een belangenconflict leiden.
De taken staan in artikel 39. Hij informeert en adviseert over de verplichtingen uit de verordening, ziet toe op naleving van die regels en van het eigen beleid, en werkt samen met de toezichthouder. Toezien is hier dus letterlijk bedoeld. Daarmee lijkt de rol meer op die van een interne auditor dan op die van een beleidsadviseur.
Ook wel: FG, data protection officer, privacyfunctionaris.
Op wie is dit van toepassing?
Rechtsvormen
- Zorgaanbieders: vrijwel altijd verplicht wegens grootschalige verwerking van gezondheidsgegevens
- Overheidsinstanties: verplicht op grond van artikel 37 lid 1 onder a AVG
- Concern: één functionaris toegestaan, mits vanuit elke vestiging bereikbaar
Sectoren
Zorg, onderwijs, gemeenten, woningcorporaties en elke organisatie met grootschalige gegevensverwerking.
Wat een functionaris voor gegevensbescherming betekent in de praktijk
De valkuil is de dubbelrol. Een manager ICT of een hoofd bedrijfsvoering die er de taak bij krijgt, beoordeelt straks zijn eigen besluiten. Dat is precies het belangenconflict dat artikel 38 lid 6 verbiedt. Beleg de rol daarom bij iemand zonder verantwoordelijkheid voor de verwerkingen zelf, of huur deskundigheid in.
Voor intern toezicht is de rapportagelijn het aangrijpingspunt. De functionaris rapporteert namelijk rechtstreeks aan de bestuurder, en zijn bevindingen zeggen veel over de beheersing. Vraag daarom jaarlijks om zijn verslag en om de opvolging van eerdere signalen. Een functionaris die nooit iets meldt, is zelden een goed teken.
De functionaris is een toezichthouder, geen medebeslisser. De verantwoordelijkheid voor naleving blijft onverkort bij het bestuur liggen.
Verwante begrippen
In het woordenboek
- AVG in de zorg
- Datalek
- Cybersecurity governance en NIS2
- Compliance
- Interne beheersing
- Integriteit en gedragscode
Verder lezen op deze site
Bronnen
- Artikel 37 AVG, over de verplichte aanwijzing en de eisen aan de functionaris.
- Artikel 38 AVG, over zijn positie, het verbod op instructies en het belangenconflict.
- Artikel 39 AVG, over de taken van de functionaris voor gegevensbescherming.
Wetteksten verwijzen naar de geconsolideerde versie op wetten.overheid.nl, geraadpleegd in augustus 2026.
Twijfelt u of dit bij u op orde is?
De governance-scan toetst statuten, reglementen en besluitvorming van uw organisatie aan wet, code en praktijk. U krijgt geen advies in algemene termen maar bevindingen op uw eigen documenten.