Een functionaris gegevensbescherming nodig, of de FG is net weg.
De AVG verplicht organisaties die op grote schaal mensen volgen of bijzondere persoonsgegevens verwerken om een functionaris gegevensbescherming aan te wijzen, en die functionaris mag ook extern zijn. Of de FG nu vertrekt, de Autoriteit Persoonsgegevens vragen stelt, of een klant naar jullie privacy officer vraagt: binnen twee dagen heb je een ervaren FG of privacy officer op gesprek. Zoek je iemand voor vast, dan werven we die net zo goed, al gaat dat niet in twee dagen.
Het moment
Soms is het een brief van de Autoriteit Persoonsgegevens die vraagt wie jullie FG is. Vaker is het een klant die in zijn verwerkersovereenkomst om een contactpersoon voor privacy vraagt, een datalek waarbij blijkt dat niemand precies weet wie beslist over melden, of simpelweg de FG die een andere baan heeft gevonden terwijl het register van verwerkingen en de DPIA's gewoon doorlopen. In al die gevallen is de vraag dezelfde: er moet snel iemand zijn die de rol kan dragen, en liefst iemand die het al eerder deed.
Ben je verplicht een FG aan te wijzen?
Artikel 37 van de AVG noemt drie gevallen: overheidsinstanties, organisaties waarvan de kernactiviteit bestaat uit grootschalige, regelmatige en stelselmatige observatie van mensen, en organisaties waarvan de kernactiviteit bestaat uit grootschalige verwerking van bijzondere persoonsgegevens of strafrechtelijke gegevens. Denk aan verzekeraars, arbodiensten, platforms die gedrag volgen en organisaties die werken met gezondheids- of biometrische gegevens. De functionaris mag een eigen medewerker zijn of iemand van buiten, moet onafhankelijk kunnen werken en wordt aangemeld bij de Autoriteit Persoonsgegevens. Of jullie eronder vallen is een juridische vraag; daar zijn wij geen juristen voor, en de tekst van artikel 37 en de uitleg van de Autoriteit Persoonsgegevens zijn daarvoor de bron. Ook wie niet verplicht is, kiest vaak voor een privacy officer omdat klanten en toezichthouder erom vragen.
Wat er nu moet gebeuren
- De rol belegd krijgen. Een FG aanwijzen, aanmelden bij de AP en intern bekendmaken, zodat er een aanspreekpunt is vóór het volgende datalek. De eerste week.
- Het register en de DPIA's. Het register van verwerkingen actueel, de risicovolle verwerkingen beoordeeld, de verwerkersovereenkomsten op orde. Werk voor de FG of een privacy officer, met de proceseigenaren.
- Datalekken en verzoeken van betrokkenen. Een werkend proces voor melden binnen 72 uur en voor inzage- en verwijderverzoeken. Privacy officer, samen met security en de servicedesk.
- Advies aan bestuur en lijn. Een FG adviseert en houdt toezicht; de organisatie blijft zelf verantwoordelijk. Dat vraagt iemand die het verschil tussen die twee rollen begrijpt en durft te benoemen.
- Overdracht als het tijdelijk is. Een externe FG die later plaatsmaakt voor een eigen medewerker laat een werkend systeem achter, geen map vol losse documenten.
Wie dit trekt
Organisaties zoeken hier een functionaris gegevensbescherming die de wettelijke rol draagt, een privacy officer voor de uitvoering, of een privacy jurist als het vooral om contracten en doorgifte gaat. Een externe FG op interimbasis is gebruikelijk, zeker bij organisaties die de rol niet fulltime kunnen vullen. Welke van die rollen het bij jou wordt hangt af van wat er al ligt; daar beginnen we mee in de intake. Zoek je iemand voor vast, dan is dat gewoon werving & selectie; tijdelijk is het interim. Allebei doen we al jaren.
Interim: binnen twee dagen, en wat het kost
Snel betekent bij ons niet slordig. We beginnen met een echte intake: waarom nu, wat ligt er al, hoe groot is het werk, wie moet deze persoon meekrijgen. Daarna zoeken we in een netwerk van interimmers die we meestal al jaren kennen, en zo heb je bij een interim-opdracht binnen twee dagen je eerste kandidaat op gesprek. Zoek je iemand voor vast, dan werkt het anders en duurt het langer. De beste vaste kandidaten zijn zelden actief op zoek: ze zitten ergens goed en komen alleen in beweging voor de juiste argumenten, van iemand die hen kent en weet wat hen drijft. Dat is precies ons werk, en het levert de beste match op, maar niet in twee dagen. Interimmers zijn ondernemers: commerciëler, flexibeler naar beide kanten, en daardoor sneller voor te stellen vanuit het netwerk dat we actief onderhouden. Hebben we niemand die écht past, dan zeggen we dat. Het tarief van de professional en onze marge zie je altijd apart, en die marge is nooit meer dan € 15 per uur bij een fulltime opdracht. Bij een parttime FG, en dat is het vaak, kan onze marge per uur hoger liggen; ook dat zie je vooraf. Contracteren kan rechtstreeks met de zzp'er of via je eigen broker, waarbij wij alleen onze marge factureren, of volledig via Gruzzy met één factuur. Wie er nu beschikbaar is, en in welke tariefband, staat anoniem bij de beschikbare interimmers.
Zzp, en de Wet DBA
Een externe FG is een rol die de AVG zelf als dienstverlening kent, en een FG werkt per definitie onafhankelijk en zonder instructies over de inhoud van zijn werk. Dat past goed bij een zzp-constructie met een modelovereenkomst, zeker als de rol parttime en voor een afgebakende periode is. Is de vraag in werkelijkheid een fulltime privacy officer die in de lijn meedraait en blijft, dan zeggen we dat. Meestal is dat een vaste rol via werving; wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern. We adviseren hier graag over, vóór je tekent.
Vandaag bellen?.
Bel, of plan zelf een moment. Dan weet je binnen een kwartier of we kunnen helpen en wie daarvoor de juiste persoon is.
Bellen: 020 399 1●●●
Nu beschikbaar voor interim.
Een greep uit de interimmers die op dit moment kunnen starten. Anoniem tot je contact opneemt; tarief en beschikbaarheid staan erbij.
NIS2 / Cyberbeveiligingswet · DORA · SOX (ITGC)
- interim · €95k–100k bruto per jaar
ISO 27001 · ISO 27002 · NIS2 / Cyberbeveiligingswet
- Interim / ZZP · €120–130 per uur
ISO 27001 · NIS2 / Cyberbeveiligingswet · AVG/GDPR
- Arnhem-Nijmegen
- interim / zzp · €120–130 per uur
Veelgestelde vragen.
Mag een functionaris gegevensbescherming extern zijn?
Ja. De AVG staat uitdrukkelijk toe dat de FG een eigen medewerker is of iemand van buiten op basis van een dienstverleningsovereenkomst. De FG moet onafhankelijk kunnen werken, rechtstreeks aan het hoogste management kunnen rapporteren en wordt aangemeld bij de Autoriteit Persoonsgegevens. Een externe FG op interimbasis is daarom gebruikelijk, zeker als de rol geen fulltime werk is.
Hoe snel kunnen jullie iemand leveren?
Voor interim geldt: binnen twee dagen heb je je eerste kandidaat op gesprek; voor een vaste rol duurt het langer, omdat de beste kandidaten zelden actief zoeken en met de juiste argumenten in beweging moeten komen; wat realistisch is, bespreken we bij de intake. We beginnen met een intake over waarom de FG nodig is en wat er al ligt, en zoeken daarna in een netwerk van interimmers die we meestal al jaren kennen. Hebben we niemand die echt past, dan zeggen we dat ook.
Zijn wij verplicht een FG aan te wijzen?
Dat is een juridische vraag en daar zijn wij geen juristen voor. Artikel 37 AVG noemt drie gevallen: overheidsinstanties, grootschalige regelmatige en stelselmatige observatie van mensen als kernactiviteit, en grootschalige verwerking van bijzondere of strafrechtelijke gegevens als kernactiviteit. De uitleg van de Autoriteit Persoonsgegevens is de bron. Wie twijfelt of niet verplicht is, kiest vaak toch voor een privacy officer omdat klanten erom vragen.
Zzp'er, detachering of vast: wat past bij een FG?
Een FG werkt per definitie onafhankelijk en zonder instructies over de inhoud van het werk, en de rol is vaak parttime en voor een afgebakende periode. Dat past goed bij een zzp'er met een modelovereenkomst. Is de vraag eigenlijk een fulltime privacy officer die in de lijn meedraait en blijft, dan zeggen we dat en werven we die voor vast. Wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern.
Wat kost een interim FG of privacy officer?
Dat hangt af van de persoon en de omvang, en je ziet het tarief van de professional altijd los van onze marge. Die marge is nooit meer dan € 15 per uur bij een fulltime opdracht; bij een parttime rol, en dat is een FG vaak, kan de marge per uur hoger liggen. Dat zie je vooraf, net als het tarief.
Onze FG is vertrokken. Hoe snel moet de rol opnieuw belegd zijn?
De verplichting om een FG te hebben loopt gewoon door, en bij een datalek moet er binnen 72 uur beslist worden over melden. Praktisch gezien wil je dus binnen dagen een aanspreekpunt hebben, al is het tijdelijk. Een externe FG die de rol overneemt tot de opvolger er is, is precies waar interim voor bedoeld is.
Kan de FG ook de security officer zijn?
Liever niet. Een FG houdt toezicht op de organisatie, en wie zelf de beveiliging inricht, houdt dan toezicht op zijn eigen werk; de AVG eist dat de FG geen belangenconflict heeft. Veel organisaties combineren daarom een externe FG met een eigen security officer. Zoek je allebei, dan kunnen we dat in één beweging oppakken.
Werken jullie ook voor organisaties die niet in security zitten?
Ja, privacy en informatiebeveiliging zijn ons vak, de sector van de klant niet. Verzekeraars, arbodiensten, platforms, verwerkers en productiebedrijven hebben allemaal FG's en privacy officers nodig. Alleen publieke en semipublieke organisaties, onderwijs en zorginstellingen benaderen we niet actief; komen zij zelf bij ons, dan bespreken we of we iets kunnen betekenen.
Vandaag bellen, deze week een FG aan tafel?
Vertel waarom de FG nodig is en per wanneer. Zoek je een interimmer, dan zit je eerste kandidaat binnen twee dagen op gesprek — en hebben we niemand die past, dan zeggen we dat ook.