ben ik verplicht om een fg aan te stellen voor mijn bedrijf

Voor de meeste MKB-bedrijven en zzp'ers geldt geen verplichting

Een functionaris gegevensbescherming, afgekort FG, is voor het gewone MKB en de meeste zzp'ers meestal geen verplichting. De AVG noemt een aantal specifieke situaties waarin een FG wel verplicht is, en daarbuiten staat het een organisatie vrij om er zelf één aan te stellen, zonder dat de wet dat afdwingt. De praktijk is dat een verplichte FG vooral speelt bij overheidsorganisaties, en bij bedrijven waarvan de kernactiviteit bestaat uit grootschalige, structurele monitoring van mensen of uit het op grote schaal verwerken van bijzondere persoonsgegevens, zoals gezondheidsgegevens.

Een webshop, een adviesbureau, een aannemer of een zzp'er met een boekhoudpakket en een paar SaaS-tools valt in de meeste gevallen buiten die categorieën. Dat betekent niet dat er niets te doen is: ook zonder FG geldt de verplichting om te kunnen laten zien welke persoonsgegevens verwerkt worden en met welk doel, bijvoorbeeld in het verwerkingsregister, en die verplichting geldt net zo goed voor een eenmanszaak. Wie twijfelt of de eigen activiteiten wél in de categorie "grootschalig" of "structureel" vallen, vindt daar meer houvast bij de vraag wanneer een DPIA nodig is, omdat diezelfde risico-inschatting vaak samen opkomt met de FG-vraag.

Waar dit op gebaseerd is: artikel 2 en 30 AVG

De AVG bepaalt in artikel 2 het materiële toepassingsgebied van de verordening, en artikel 30 regelt het verwerkingsregister met de uitzonderingen die daarvoor gelden — de FG-verplichting zelf staat elders in de verordening, maar de omvang en aard van de verwerking die daarbij een rol spelen, sluiten aan bij dezelfde criteria als bij het register en de DPIA-plicht. Een deel van deze inschatting is feitelijk: hoeveel mensen worden gevolgd, hoe systematisch, en om wat voor gegevens gaat het. De Autoriteit Persoonsgegevens publiceert hierover nadere duiding voor de Nederlandse praktijk, terwijl de vraag of een FG verplicht is overal in de EU op dezelfde verordening berust — wel kan de nationale toezichthouder, in Nederland de Autoriteit Persoonsgegevens en in andere lidstaten de toezichthouder van dat land, eigen voorlichting of aanvullende registratie-eisen hanteren rond de aanstelling van een FG.