Een DPO aanstellen – meer dan gewoon een formaliteit?

We zien in de praktijk dat sommige ondernemingen een DPO aanduiden zonder hiertoe verplicht te zijn en andere ondernemingen niet op de hoogte zijn van hun verplichting om wél een DPO aan te duiden.

Wat is (en doet) een DPO?

Een DPO is een onafhankelijke deskundige die advies geeft over en toeziet op de naleving van gegevensbescherming, ofwel ‘privacy’, binnen een onderneming.

De DPO houdt wettelijk verplichte documenten up-to-date, begeleidt de onderneming bij een gegevenslek, en beantwoordt vragen van individuen over de verwerking van hun persoonsgegevens.

Daarnaast wordt de DPO betrokken bij nieuwe projecten of activiteiten binnen de onderneming om te verzekeren dat er geen inbreuken ontstaan op het gebied van gegevensbescherming.

Tot slot is de DPO zowel intern als extern (naar medewerkers, klanten, leveranciers en de Gegevensbeschermingsautoriteit) het aanspreekpunt voor alle vragen rond privacy.

Welke ondernemingen en organisaties moeten een DPO aanstellen?

Hierover is in de praktijk dikwijls nog veel onduidelijkheid. Het is een misvatting dat enkel de omvang of de activiteit van de onderneming een rol zal spelen bij de beoordeling of zij al dan niet verplicht is om een DPO aan te stellen.

Een DPO is verplicht in drie gevallen:

• Overheidsinstantie of overheidsorgaan. Dan is de aanstelling van een DPO verplicht, ongeacht het type gegevens dat wordt verwerkt. Dienstverleners van de overheid, alsook organisaties die samenwerken met de overheid en persoonsgegevens verwerken, vallen ook onder deze verplichting.
• Ondernemingen die systematisch en op grote schaal persoonsgegevens verwerken zoals van klanten of werknemers. Voorbeelden van dit soort van organisaties zijn marketingbureaus, HR- dienstverleners, sommige IT bedrijven. Er zal een analyse moeten gebeuren van de omvang en frequentie van de verwerking om te bepalen of in het concrete geval een aanstelling nodig is.
• Ondernemingen die “bijzondere” categorieën van persoonsgegevens zoals gezondheidsgegevens of strafrechtelijke gegevens verwerken. Klassieke voorbeelden hiervan zijn ziekenhuizen of advocatenkantoren.

Vrijwillige aanstelling DPO is mogelijk

Zelfs als je onderneming wettelijk niet verplicht is om een DPO aan te stellen, kan dit ook vrijwillig gebeuren.

De aanstelling van een DPO biedt een aantal voordelen:

• Versterking van het klantenvertrouwen. Bedrijven die bescherming van privacy belangrijk vinden, zorgen voor een positiever imago bij klanten en leveranciers.
• Een efficiëntere gegevensverwerking en processen. Eén centraal aanspreekpunt binnen de onderneming zorgt er dikwijls voor dat privacy op efficiëntere wijze, en dus ook op kostenbesparende wijze, wordt aangepakt.

Een interne of externe DPO?

De DPO kan ofwel een personeelslid zijn, ofwel een derde (bijvoorbeeld een advocaat) die zijn/haar functie uitoefent op basis van een dienstverleningsovereenkomst.

Voor veel ondernemingen zal het aanstellen van een externe DPO een financieel aantrekkelijkere optie zijn – men hoeft geen extra personeelslid aan te nemen.

Veelal kan een deeltijdse opdracht ook voldoende zijn om aan de verplichtingen onder de GDPR te voldoen.

Ben je op vandaag niet zeker of je al dan niet een DPO moet aanstellen?

We bekijken graag met jou of de aanstelling van een DPO verplicht is en/of nuttig kan zijn.

Ons kantoor beschikt over verschillende experten die als externe en onafhankelijke DPO kunnen optreden binnen jouw onderneming. Voor verdere vragen rond gegevensbescherming, kan je contact opnemen met ons PKF BOFIDI Legal team. Wij helpen je hier graag mee verder.

Dit artikel werd geschreven door Lauranne Piotrowski.