WAT IS EEN DPO?
Een Data Protection Officer (DPO) is een persoon die toeziet op de naleving van de privacywetgeving in een onderneming. In het Nederlands spreekt men ook wel van een Functionaris Gegevensbescherming (FG).
De GDPR (General Data Protection Regulation of Algemene Verordening Gegevensbescherming) heeft de DPO functie vorm gegeven. Deze Europese privacywetgeving geeft een aantal rechten aan Europese burgers zodat hun privacy beter beschermd wordt, maar legt ook een aantal plichten op aan ondernemingen. Een DPO kan ervoor zorgen dat jouw bedrijf GDPR-proof is en de wettelijke verplichtingen correct nakomt.
IS EEN DPO AANSTELLEN VERPLICHT?
Hoewel het nuttig kan zijn om een DPO aan te stellen wanneer je organisatie veel gegevens verwerkt, is het in de meeste gevallen geen verplichtingIng om een DPO aan te stellen. In sommige gevallen zijn ondernemingen echter wel verplicht tot het aanstellen van een DPO. In artikel 37, lid 1, van de GDPR worden drie situaties onderscheiden waarbij een DPO dient te worden aangesteld.
Wil je meer lezen over ondernemingen en het aanstellen van een DPO? Neem dan eens een kijkje op deze pagina.
Gegevensverwerking door de overheid
Deze situatie is het eenvoudigste: wanneer de verwerking van gegevens door een overheidsinstantie of een overheidsorgaan gebeurt, dient verplicht een DPO aangesteld te worden. Een uitzondering hierop is de uitoefening van rechterlijke taken door de gerechten.
Regelmatige en stelselmatige observatie op grote schaal
Wanneer een verwerkingsverantwoordelijke of verwerker hoofdzakelijk belast is met verwerkingen van persoonsgegevens die regelmatige en stelselmatige observatie op grote schaal van de betrokkenen vereisen, zal er ook een DPO moeten worden aangesteld. Dit volgt uit de aard, omvang en/of doeleinden van deze verwerkingen.
Het moet hier betrekking hebben op de kerntaak van een verwerkingsverantwoordelijke. Dit houdt in dat het ofwel gaat om de hoofdactiviteit van een onderneming, ofwel om een nevenactiviteit die onlosmakelijk verbonden is met deze hoofdactiviteit.
Bij een bewakingsfirma die beveiligingscamera’s observeert in een winkel is de hoofdactiviteit de verwerking van persoonsgegevens waarbij deze verwerking regelmatige en stelselmatige observaties vereist van betrokkenen, namelijk de personen die in de winkel komen.
Een ziekenhuis daarentegen heeft niet als hoofdactiviteit gegevens van patiënten te verwerken. Het gaat hier echter wel om een nevenactiviteit die nauw verbonden is met de hoofdactiviteit van het ziekenhuis, namelijk het verstrekken van gezondheidszorg. Zonder het verwerken van gegevens zou het ziekenhuis niet kunnen draaien.
Grootschalige verwerking
De laatste situatie waarbij er verplicht een DPO moet worden aangesteld is wanneer de verwerkingsverantwoordelijke of verwerker de grootschalige verwerking van bepaalde types gegevens als kerntaak heeft. Het gaat hier om twee soorten gegevens: bijzondere categorieën van gegevens zoals gezondheidsgegevens en persoonsgegevens die betrekking hebben op strafrechtelijke veroordelingen en strafbare feiten.
Bijzondere categorieën van gegevens
Artikel 9 van de GDPR gaat dieper in op deze bijzondere categorieën van persoonsgegevens.
Het gaat hier onder andere over persoonsgegevens waaruit ras of etnische afkomst kan worden afgeleid, of gegevens die betrekking hebben op iemands seksueel gedrag of seksuele voorkeur, politieke opvattingen of levensbeschouwelijke overtuigingen. Ook genetische gegevens en biometrische gegevens vallen hieronder.
Deze bijzondere gegevens verwerken is trouwens in principe verboden, al zijn er wel uitzonderingen op. Zo mag er bijvoorbeeld wel een verwerking plaatsvinden als de betrokken persoon zijn of haar toestemming vrijwillig en schriftelijk heeft gegeven.
Strafrechtelijke veroordelingen en strafbare feiten.
Wanneer er strafrechtelijke persoonsgegevens worden verwerkt moet er ook verplicht een DPO worden aangesteld. Het gaat hier om persoonsgegevens die te maken hebben met strafrechtelijke veroordelingen en strafbare feiten. Voor ondernemingen is deze categorie van persoonsgegevens vaak niet relevant.
.webp)
DPO-AANSTELLEN
Mr. Franklin heeft een ruime expertise op vlak van DPO bij meer dan 70 organisaties. De begeleiding wordt aangeboden op maat van de organisatie en kan bestaan uit een wekelijkse fysieke aanwezigheid of begeleiding op afroep met vaste periodieke opvolging per kwartaal of per jaar.
Vraag vrijblijvend een offerte aan en zie hoe onze experten u kunnen helpen. We hebben ruime ervaring in materies zoals IT, medische en farmaceutische sector, marketing, juridische organisaties, verzekeringen...
EXPERTEN MET ERVARING
Mr. Franklin is DPO bij meer dan 70 organisaties. We hebben meer dan 500 ondernemingen begeleid op vlak van GDPR in volgende sectoren:
- IT sector en dienstverleners
- start-ups, SaaS ondernemingen en AI
- medische sector
- juridische sector en accountants
- marketing en online reclame
- HR
- entertainment sector
- verzekeringen en bankensector
- overheden en havenbedrijven
- sportfederaties en clubs
- industrie
- automotive sector
- energie sector
Een Data Protection Officer kan zowel intern als extern worden aangesteld. Een interne DPO zal dan een werknemer van de onderneming zelf zijn. Hierbij moet er rekening mee gehouden worden dat er geen belangenvermenging is tussen de DPO en de organisatie. Zo kan de DPO geen leidinggevende functie hebben en wordt afgeraden iemand aan te stellen die deel uitmaakt van de IT afdeling of juridische dienst.
Een externe DPO daarentegen staat los van de onderneming en treedt onafhankelijk op. Net zoals een interne DPO moet een externe DPO voldoende kennis kunnen aantonen inzake GDPR.
De experten van Mr. Franklin zijn naast advocaten ook telkens gecertificeerde DPO's met ruime kennis en expertise zowel op juridisch vlak, technische materies en op vlak van het geven van opleidingen.
WIE KAN OPTREDEN ALS DPO?
VOORDELEN VAN EEN DPO?
Ook al is het niet altijd verplicht een DPO aan te stellen, toch heeft dit vaak voordelen. Zelfs toezichthoudende autoriteiten hechten hier een zeker belang aan.
Voor ondernemingen die veel of gevoelige persoonsgegevens verwerken is het altijd een goed idee om een DPO aan te stellen. Op die manier heb je als onderneming meer zekerheid dat je voldoet aan de eisen van de GDPR en dat de privacy van betrokkenen niet in het gedrang komt. Door GDPR-proof te opereren creëer je als bedrijf dan weer vertrouwen, wat altijd positief is.
Het aanstellen van een DPO kan ook als voordeel hebben dat dit als een verzachtende factor wordt gezien wanneer de bevoegde toezichthoudende autoriteit beslist over het al dan niet opleggen van een geldboete. In België is dit de Gegevensbeschermingsautoriteit.
Een externe DPO aanstellen heeft alleen maar voordelen. Externe DPO’s zijn getraind en hebben een grote expertise op het vlak van privacy-wetgeving in allerhande sectoren. Ook hun onafhankelijkheid ten aanzien van de onderneming is een grote troef. Meer informatie over het inhuren van een externe DPO en de voordelen die hieraan verbonden zijn vind je in dit artikel over externe DPO's.
DPO as a service houdt in dat een externe Mr. Franklin DPO jouw bedrijf helpt bij de implementatie van de GDPR-vereisten.
Er werken met 5 gecertificeerde DPO’s bij Mr. Franklin, die al veel ervaring hebben opgedaan bij allerlei organisaties en overheden. Zij weten dus perfect hoe de gegevensverwerking binnen jouw bedrijf op de meeste efficiënte en grondige manier kan worden aangepakt.
Mr. Franklin hecht veel belang aan een pragmatische en transparante aanpak. Bij ons kan je terecht voor service op maat. Er zal gekeken worden naar de specifieke noden en eisen van jouw bedrijf, zodat het GDPR-proof kan opereren.
Duidelijkheid over de kosten is bij ons ook erg belangrijk. Wij werken daarom met all-in formules, tegen een vaste prijs voor een DPO-abonnement op maat van jouw organisatie.
WAT KAN MR. FRANKLIN VOOR JE BETEKENEN?
VOLGENDE ORGANISATIES VERTROUWEN OP MR. FRANKLIN
