Functionaris gegevensbescherming (FG)

Voor bij de AP aangemelde FG's heeft de Autoriteit Persoonsgegevens een speciaal e-mailadres. Ook kunt u als FG vragen stellen via onze FG-telefoonlijn.

Hiermee ondersteunen wij u als FG bij uw belangrijke taak om toe te zien op de opzet en naleving van het privacybeleid van de organisatie. 

Zie ook: Met wat voor vragen kan ik als FG wel en niet bij de AP terecht?

E-mailadres voor aangemelde FG’s

E-mail: FG@autoriteitpersoonsgegevens.nl

FG-telefoonlijn

FG-telefoonlijn: 070-8888660*. U kunt ons bellen tussen 9.00-12.00 uur. U betaalt uw gebruikelijke telefoonkosten.

Let op: de FG-telefoonlijn is in de maanden augustus en september minder goed bereikbaar. Het kan voorkomen dat u terechtkomt bij de algemene telefoonlijn.

Wilt u dan duidelijk aangeven dat u FG bent? De telefonist zal u vragen om uw naam en telefoonnummer. Wij bellen u dan binnen enkele dagen terug. Onze excuses voor het ongemak.

U kunt ook een mail sturen naar FG@autoriteitpersoonsgegevens.nl. Wij bekijken de mail dagelijks. Maar ook hierbij kan in augustus het langer duren dan normaal voordat u een reactie van ons krijgt.

* Voor meer informatie over datalekken of het melden van een datalek neemt u contact op via ons meldloket voor datalekken.

Reactietermijn

Wij beantwoorden uw vraag meestal binnen 2 weken. Dat geldt zowel voor vragen die u per e-mail als telefonisch stelt.

Die tijd hebben wij nodig om bijvoorbeeld onderzoek te doen naar relevante (Europese) jurisprudentie voor uw casus.

Lukt het ons niet om uw vraag binnen deze termijn te beantwoorden? Dan laten wij u dat op tijd weten.

Geen FG maar wel een vraag over privacy?

Ook dan helpen wij u graag. Als burger of organisatie kunt u met privacyvragen terecht bij het Informatie- en Meldpunt Privacy van de AP.

De AP beantwoordt vragen van functionarissen gegevensbescherming (FG’s) door uitleg te geven over bepaalde privacynormen en de algemene toepassing daarvan.

Heeft u ook een vraag voor de AP? Dan is het goed om dit te weten:

• We beantwoorden alleen vragen van aangemelde FG’s. Het is de taak van de verwerkingsverantwoordelijke om u als FG aan te melden bij de AP.
• We geven zelden een oordeel over een specifieke situatie. Dat vraagt namelijk om een beoordeling van alle feiten, omstandigheden en belangen. Als FG heeft u bij uitstek het benodigde inzicht in de relevante gegevensverwerkingen, de informatiesystemen en de proportionaliteit van de verschillende beschermingsmaatregelen. Als FG ziet u erop toe dat de verwerkingsverantwoordelijke de verschillende persoonsgegevens op een passende manier beveiligt en dit kan verantwoorden richting klanten, burgers en natuurlijk aan de AP als toezichthouder.
• We verwachten dat u als FG het nodige voorwerk heeft gedaan voordat u ons een vraag stelt. Verwijs bij uw vraag zo veel mogelijk naar specifieke wetsartikelen, guidelines of jurisprudentie waarnaar u heeft gekeken. Dan kunnen wij uw vraag sneller beantwoorden.
• U kunt ook contact zoeken met de AP om te sparren over dilemma’s waar u als FG in uw organisatie tegenaan loopt.

U kunt uw vraag per e-mail of telefonisch stellen.

Op grond van artikel 37 van de Algemene verordening gegevensbescherming (AVG) is een FG in onderstaande situaties verplicht.

Overheden en publieke organisaties

Ten eerste zijn overheidsinstanties en publieke organisaties altijd verplicht om een FG aan te stellen, ongeacht het type gegevens dat ze verwerken. Het kan gaan om de rijksoverheid, gemeenten en provincies, maar ook om bijvoorbeeld zorg- en onderwijsinstellingen. Voor rechtbanken geldt de verplichte aanstelling van een FG niet.

Op grote schaal

Ten tweede geldt de verplichting om een FG aan te stellen voor organisaties die vanuit hun kernactiviteiten op grote schaal individuen volgen of diens activiteiten in kaart brengen. Het kan hierbij gaan om bijvoorbeeld profilering van mensen voor het maken van risico-inschattingen, cameratoezicht, personeelsvolgsystemen en monitoring van iemands gezondheid via wearables.

Relevant hierbij zijn onder meer het aantal mensen dat een organisatie volgt, de hoeveelheid gegevens die deze organisatie verwerkt en hoe lang de organisatie mensen volgt.

Bijzondere persoonsgegevens

Ten derde zijn organisaties verplicht een FG te benoemen als ze op grote schaal bijzondere persoonsgegevens verwerken en dit een kernactiviteit is. Bijzondere persoonsgegevens zijn bijvoorbeeld gegevens over iemands gezondheid, ras, politieke opvatting of geloofsovertuiging.

Andere situaties

De verplichting geldt ook wanneer een organisatie strafrechtelijke persoonsgegevens verwerkt. Daarnaast kunnen EU-lidstaten andere situaties benoemen waarin een FG verplicht is. Het is nog niet bekend of dit in Nederland gaat gebeuren.

Wanneer onduidelijk is of u verplicht bent om een FG aan te stellen, moet u goed kunnen onderbouwen waarom u ervoor gekozen heeft om dat wel of niet te doen.

Ja, dat kan. Het kan zelfs heel nuttig zijn om iemand aan te nemen of in te huren die gespecialiseerd is in de bescherming van persoonsgegevens.

Vrijwillig een FG aanstellen is vooral aan te raden als u een bedrijf bent dat overheidstaken uitvoert. Bijvoorbeeld een openbaarvervoerbedrijf, energiebedrijf of woningcorporatie.

Regels FG

Voor een FG die u aanstelt zonder dat u daartoe verplicht bent, gelden dezelfde regels als voor de verplichte FG zodra u deze medewerker aanduidt als een ‘functionaris gegevensbescherming’. Onder meer als het gaat om de professionaliteit en het takenpakket van de FG (zie hiervoor artikelen 37, 38 en 39 van de AVG). U moet een vrijwillig aangestelde FG ook aanmelden bij de AP.

Let op: Er kan verwarring ontstaat wanneer een vrijwillig aangestelde medewerker zich FG noemt, terwijl de organisatie niet van plan is aan deze medewerker dezelfde eisen te stellen. Het is in dit geval de bedoeling om deze persoon aan te duiden als een ‘privacy officer’ of dergelijke benaming.

Alternatief voor FG

Is uw organisatie niet verplicht om een FG aan te wijzen? Dan kunt u  in plaats van een FG ook een werknemer in dienst nemen of een adviseur inhuren die zich met de bescherming van persoonsgegevens bezighoudt.

Heeft deze persoon een andere functienaam, positie en takenpakket dan een FG? Dan gelden de wettelijke regels voor de FG niet.

Het is dan wel belangrijk om duidelijk te maken – zowel binnen als buiten uw organisatie - dat deze persoon geen FG in de zin van de wet is.

Het moet voor mensen makkelijk zijn om contact op te nemen met de FG zonder dat daar iemand tussen zit. Een website is daar een makkelijk middel voor, maar het mag ook op een andere manier.

Verder is het niet verplicht om de naam van de functionaris voor de gegevensbescherming (FG) van uw organisatie te vermelden. Een telefoonnummer of  e-mailadres waarmee de FG te bereiken is, volstaat.

Dat kan wel maar het is de taak van uw verwerkingsverantwoordelijke om u als FG aan te melden bij de Autoriteit Persoonsgegevens (AP). En ervoor te zorgen dat deze informatie actueel blijft.

Als FG adviseert u over het privacybeleid maar u bent niet verantwoordelijk voor de uitvoering ervan. Daarom vragen wij in het aanmeld- en wijzigingsformulier FG om de contactgegevens van zowel de verwerkingsverantwoordelijke als de FG te vermelden.

Heeft uw organisatie een FG aangesteld? Dan bent u verplicht om deze aan te melden bij de Autoriteit Persoonsgegevens (AP).

U moet er ook voor zorgen dat de (contact)informatie van de verwerkingsverantwoordelijke en FG bij de AP actueel blijft. Op die manier kunnen wij u en uw FG (snel) bereiken wanneer dit nodig is. Bijvoorbeeld in het geval van een datalek of privacyklacht.

Wijzigingen

U moet ervoor zorgen dat uw FG-aanmelding bij de AP actueel is. Concreet betekent dit dat u naast het aanmelden van een FG, ook afmeldingen en wijzigingen door moet geven.

Bijvoorbeeld wanneer uw contactgegevens en/of die van de FG wijzigen. Ook wanneer dit bijvoorbeeld gaat om een tijdelijke vervanging van uw FG. In het toelichtingenveld kunt u vermelden wie de tijdelijke FG is en hoe lang u verwacht dat de waarneming duurt.

Aanmeld- en wijzigingsformulier FG

Wilt u nieuwe FG-informatie aan de AP doorgeven? Of bestaande informatie wijzigen? Dan kunt u hetzelfde formulier gebruiken.

Heeft uw organisatie een FG aangesteld? Dan moet u dit aan de Autoriteit Persoonsgegevens (AP) doorgeven. Dit kan eenvoudig via het aanmeld- en wijzigingsformulier FG. U kunt deze informatie niet per e-mail of telefonisch doorgeven. 

Controle en bewijs

Wanneer u het formulier verstuurd, ontvangen de verwerkingsverantwoordelijke en FG binnen enkele dagen een bevestigingsmail met de verstrekte informatie. U kunt dan controleren of de gegevens kloppen. U kunt deze bevestigingsmail ook in uw eigen administratie opnemen als bewijs van uw aanmelding.

Door het formulier te gebruiken behoudt de AP overzicht op aanmeldingen en wijzigingen.

Privacystatement

De AP heeft een privacystatement opgesteld waarin u kunt lezen hoe wij omgaan met de persoonsgegevens van aangemelde FG's.

Ja dat kan. U moet wel duidelijk aangeven welke FG het eerste aanspreekpunt is voor de Autoriteit Persoonsgegevens.

Dit doet u door in de invulvelden van het aanmeld- en wijzigingsformulier de contactgegevens van de FG te vermelden die het eerste aanspreekpunt is.

In de toelichting onderaan het formulier kunt u de contactgegevens van de overige FG’s vermelden. U kunt daar bijvoorbeeld ook omschrijven wat de aandachtsgebieden van de verschillende FG’s zijn.

Aanmelden of wijzigen?

Als u al een FG heeft aangemeld, kunt u hetzelfde FG-nummer gebruiken en bovenaan het formulier kiezen voor ‘wijziging van een eerdere aanmelding’.

Meldt u voor het eerst FG’s aan? Dan kiest u voor de optie ‘nieuwe aanmelding’.

Dat mag maar hoeft niet.

Dezelfde FG

Het kan zijn dat u bepaalde persoonsgegevens verwerkt die onder de Wet politiegegevens (Wpg) of Wet justitiële en strafvorderlijke gegevens (Wjsg) vallen. En dat u volgens die wetten verplicht bent om een FG aan te stellen. De AP gaat er dan vanuit dat de FG die u bij ons heeft aangemeld, ook toeziet op verwerkingen waarvoor de Wpg of Wjsg geldt. 

Extra FG aanmelden

U kunt er ook voor kiezen om een extra FG aan te stellen voor Wpg-of Wjsg-verwerkingen. In dat geval kunt u uw bestaande FG-aanmelding bij de AP aanvullen. U behoudt 1 FG-nummer voor beide FG’s.

U meldt uw extra FG aan door ons aanmeld- en wijzigingsformulier FG te gebruiken en te kiezen voor ‘wijziging van een eerdere aanmelding’. In de toelichting onderaan het formulier vermeldt u wie de FG voor Wpg- of Wjsg-verwerkingen is en wat de contactgegevens zijn.

Ja. Organisaties die hun FG vóór 25 mei 2018 hebben aangemeld, moeten dat opnieuw doen. Dit omdat de AVG andere eisen stelt aan de aanmelding.

Complete informatie

De AVG stelt andere eisen aan het aanstellen en het aanmelden van een FG dan de Wet bescherming persoonsgegevens (Wbp). De AP heeft op grond van de AVG aanvullende informatie nodig over de FG. Bijvoorbeeld of er sprake is van een verplichte of van een vrijwillige FG.

Om die complete informatie te krijgen, moet u gebruik maken van het nieuwe aanmeld- en wijzigingsformulier FG. FG-aanmeldingen die niet via dit formulier zijn gedaan, zijn sinds 25 mei 2018 komen te vervallen.