Wanneer is een functionaris voor gegevensbescherming verplicht?

Wanneer is een functionaris voor gegevensbescherming verplicht? Omzet en personeelsomvang geven daarop geen zelfstandig antwoord. Voor één juridische entiteit worden vier routes onderzocht aan de hand van haar werkelijke verwerkingen: een positieve route schept een beschermde functie die volledig moet worden ingericht, terwijl vier onderbouwde nee-antwoorden een gedateerd en herzienbaar beoordelingsdossier opleveren.

Snel antwoord Een functionaris voor gegevensbescherming is verplicht zodra één van vier routes geldt: status als overheidsinstantie of overheidsorgaan, grootschalige stelselmatige monitoring als kernactiviteit, grootschalige gevoelige kernverwerking of aanvullend toepasselijk recht. Bij ja richt u de beschermde rol volledig in. Bij nee bewaart u een gedateerde beoordeling met bewijs, eigenaar en wijzigingstriggers.

Laatst bijgewerkt: 5 september 2026

Begin met vier routes, niet met personeelsomvang

De juiste eenheid is één juridische entiteit, niet het concern als geheel. Inventariseer haar activiteiten als verwerkingsverantwoordelijke én als verwerker, het doel van iedere verwerking en de rol die zij feitelijk vervult, want groepsmaatschappijen kunnen hetzelfde platform en dezelfde privacyafdeling delen en toch door hun eigen taken en gegevensstromen een andere uitkomst krijgen.

Artikel 37 kent drie rechtstreeks benoemde situaties en daarnaast een vierde route via ander toepasselijk recht ¹. Stel de vragen in die volgorde, maar behandel ze als vier zelfstandige poorten: één overtuigend ja beëindigt de vraag óf aanwijzing nodig is, waarna pas de implementatievraag begint wie de rol krijgt, welke capaciteit nodig is en hoe onafhankelijkheid wordt bewaakt.

Gebruik de tabel niet als vinklijst zonder dossier. Noteer per rij de concrete feiten, de bron daarvan, de beoordelaar en de datum. Bij een onopgeloste kwalificatie is de uitkomst niet “nee”, maar “open”: wijs een eigenaar aan om het ontbrekende bewijs of de toepasselijke nationale bron vast te stellen.

De route in het diagram vat dezelfde logica samen: een ja bij publieke status, monitoring, gevoelige kernverwerking of toepasselijk nationaal recht komt samen bij aanwijzing en inrichting van de beschermde rol. Alleen vier onderbouwde nee-antwoorden leiden tot een beoordelingsdossier, terwijl beide eindpaden terugkeren zodra de feiten of het recht veranderen.

Een kleine onderneming kan dus een functionaris nodig hebben door de aard en schaal van haar kernverwerking, terwijl een grotere onderneming zonder een positieve route niet automatisch tot aanwijzing verplicht is. Personeelsomvang kan context geven, maar is geen vervanging voor de vier vragen.

Toets de drie gevallen van artikel 37 precies

De eerste wettelijke route ziet op verwerking door een overheidsinstantie of overheidsorgaan, met uitzondering van gerechten wanneer zij in hun rechterlijke hoedanigheid handelen ¹. De hoeveelheid gegevens en het personeelsbestand zijn hier niet beslissend, omdat eerst de juridische hoedanigheid van de entiteit volgens het toepasselijke nationale recht moet worden vastgesteld.

De tweede route vereist drie elementen tegelijk: de kernactiviteiten bestaan uit verwerkingen die vanwege aard, omvang of doeleinden regelmatige en stelselmatige observatie van betrokkenen op grote schaal vereisen ¹. Monitoring als handige nevenfunctie verschilt dus van monitoring zonder welke de organisatie haar wezenlijke doel niet kan bereiken, terwijl een terugkerende analyse evenmin automatisch grootschalig is.

De derde route gaat eveneens over kernactiviteiten en schaal en ziet op grootschalige verwerking van bijzondere categorieën persoonsgegevens uit artikel 9 of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten uit artikel 10 ¹. Een incidenteel bijzonder gegeven in een ondersteunend proces voldoet niet vanzelf; een bedrijf waarvan de dienst juist draait op omvangrijke gezondheidsanalyse kan dat wel doen.

Voor geen van deze routes geeft artikel 37 een universeel getal. Een intern beleid mag een conservatief escalatiepunt gebruiken om vroeg te laten beoordelen, maar zo'n werkafspraak mag niet worden gepresenteerd als wettelijke drempel. Het besluit moet teruggaan naar de tekst: hoedanigheid, kernactiviteit, regelmaat, stelselmatigheid, gegevenssoort en schaal.

Toets bovendien de rol van de entiteit in elke activiteit. Zowel een verwerkingsverantwoordelijke als een verwerker kan onder de aanwijzingsplicht vallen ¹. Een leverancier mag daarom niet aannemen dat alleen zijn klant de route hoeft te lopen, en een klant mag de analyse niet volledig uitbesteden aan een dienstverlener die slechts een deel van de keten ziet.

Behandel publieke status als nationale rechtsvraag

Welke organisaties een overheidsinstantie of overheidsorgaan zijn, definieert de AVG niet zelf; die grens volgt uit toepasselijk nationaal recht. Omschrijvingen als “maatschappelijk”, “gesubsidieerd” of “publieke dienst” beslissen haar niet, want een privaatrechtelijke vorm sluit een publieke kwalificatie niet zonder meer uit en een publiek belang schept die kwalificatie evenmin vanzelf.

Maak daarom een korte kwalificatienotitie. Beschrijf de juridische entiteit, de taak of bevoegdheid die mogelijk publiek van aard is, de officiële nationale bron die de categorie bepaalt en waarom de entiteit er wel of niet onder valt. Noteer titel, versie of raadpleegdatum en de relevante passage. Zonder die bron blijft de eerste route open.

De uitzondering voor gerechten is nauw: zij geldt wanneer zij handelen in hun rechterlijke hoedanigheid ¹. Maak van die formulering geen brede uitzondering voor iedere organisatie die met rechtspraak, geschillen of juridische dienstverlening te maken heeft. De feitelijke hoedanigheid waarin het gerecht handelt is bepalend.

Vermijd ook het importeren van een bekende nationale definitie uit een ander land. Een categorie uit Britse, Nederlandse of andere nationale wetgeving is geen EU-brede maatstaf. Deze pagina geeft daarom bewust geen lijst van organisaties die altijd publiek zouden zijn; zij geeft de methode waarmee de toepasselijke bron controleerbaar in het eigen besluit komt.

Geef kernactiviteit, schaal en monitoring inhoud

Een kernactiviteit is een wezenlijke handeling waarmee de organisatie haar doelen bereikt, niet alleen administratieve ondersteuning; de richtsnoeren gebruiken het verschil tussen activiteiten die onlosmakelijk met de aangeboden dienst samenhangen en gewone ondersteunende functies als praktische afbakening ⁴. Salarisadministratie kan nodig zijn om een organisatie draaiend te houden zonder haar kerndienst te vormen, terwijl patiëntobservatie voor een zorgaanbieder juist rechtstreeks tot de kerntaak kan behoren.

Grootschaligheid vraagt een samenhangende beoordeling. Kijk naar het aantal betrokken personen en hun aandeel in de relevante groep, het volume en de verscheidenheid van de gegevens, de duur of permanentie van de verwerking en het geografische bereik ⁴. Geen factor beslist alleen. Een langdurige verwerking van veel gegevens over een beperkte maar kwetsbare groep kan anders wegen dan een korte, oppervlakkige verwerking met groot bereik.

“Regelmatig” kan duiden op voortdurende, terugkerende of op vaste momenten herhaalde observatie. “Stelselmatig” wijst op een georganiseerd, vooraf ingericht of methodisch patroon dat onderdeel is van een plan of strategie ⁴. Voorbeelden zijn niet de regel zelf: volgfrequentie, kanaal, doel, koppeling en beslisgebruik moeten voor de concrete activiteit worden beschreven.

Monitoring omvat meer dan cameratoezicht: gedragsobservatie, profilering, locatievolging, loyaliteitsprogramma's, draagbare apparaten en gekoppelde gebruiksgegevens kunnen relevant zijn wanneer de organisatie mensen volgens een ingericht patroon volgt. Niet de naam van de techniek, maar de gegevensstroom, herhaling en beoogde toepassing dragen de kwalificatie.

Leg bij een schaalbesluit zowel de teller als de noemer uit. “Tienduizend personen” zegt weinig zonder context over de doelgroep, duur en gegevensdiepte. Schrijf welke populatie als referentie is gebruikt, over welke periode is gemeten en welke gegevenscategorieën samenkomen. Zo kan een latere reviewer zien waarom dezelfde aantallen in een andere activiteit tot een andere conclusie leiden.

Maak ten slotte onderscheid tussen kernactiviteit en schaal. Een verwerking kan de kern raken zonder groot te zijn, of groot zijn terwijl zij ondersteunend blijft. Artikel 37 vereist bij de tweede en derde route beide elementen in de voorgeschreven combinatie ¹. Een nette beoordeling laat dus niet één sterk kenmerk de ontbrekende voorwaarde verhullen.

Neem aanvullend toepasselijk recht als echte vierde route

Artikel 37, lid 4, laat toe dat Unie- of lidstatelijk recht de aanwijzing ook buiten de drie gevallen verplicht stelt ¹. Deze route hoort zichtbaar in ieder besluit, want wie haar weglaat, kan drie correcte nee-antwoorden hebben en toch een toepasselijke verplichting missen.

Een nationale drempel kan nooit zonder onderzoek over de hele EU worden gelegd. Bepaal eerst welke lidstaatwetgeving voor de juridische entiteit en verwerking geldt. Neem daarna uit de actuele officiële bron de titel, versie of raadpleegdatum, relevante passage, reikwijdte en conclusie in het dossier op. Een vakpublicatie kan naar de juiste tekst wijzen, maar is geen vervanging voor die tekst.

Als meerdere rechtsstelsels mogelijk relevant zijn, noteer dan waarom elk wel of niet wordt onderzocht. Een groepsmaatschappij, vestiging of grensoverschrijdende dienst kan de afbakening ingewikkelder maken, maar dat rechtvaardigt geen algemene uitspraak. Wijs een besliseigenaar en zo nodig juridische beoordeling toe.

Een onopgeloste nationale rechtsvraag kan geen definitief nee dragen. Zet de status op open, noteer welk bewijs ontbreekt en voorkom dat de organisatie intussen de beschermde titel informeel gebruikt. Pas na een gedateerde broncontrole kan de vierde route worden afgesloten.

Een vrijwillige aanwijzing blijft een volledige aanwijzing

Een organisatie mag ook vrijwillig een functionaris aanwijzen, maar zodra zij die beschermde titel gebruikt, gelden de artikelen 37 tot en met 39 in volle omvang ¹. Alleen de aanleiding was dan vrijwillig; onafhankelijkheid, middelen, positie en taken kunnen niet naar keuze worden ingeperkt.

Wil de organisatie privacywerk centraal beleggen zonder vrijwillig de beschermde functie te creëren, dan hoort daar een ondubbelzinnig andere titel bij, zoals privacycoördinator. De functieomschrijving benoemt taken, mandaat, escalatie, rapportage en mogelijke belangenconflicten, zonder te suggereren dat de persoon de wettelijke functionaris is. Uiteraard kan zo'n titel een feitelijke aanwijzingsplicht niet opzijzetten.

Een functionaris kan intern of extern werken. Een groep ondernemingen mag één functionaris delen wanneer die vanuit iedere vestiging gemakkelijk bereikbaar is ¹. Bereikbaarheid gaat verder dan een e-mailadres: taal, tijdzones, aanwezigheid, kennis van de activiteiten en een werkbare escalatieroute bepalen of de rol werkelijk beschikbaar is.

Capaciteit moet passen bij het risico en de omvang van de taken. Een externe overeenkomst met enkele uren per jaar kan ontoereikend zijn wanneer de functionaris veel verwerkingen, locaties of complexe vragen moet volgen. Noteer daarom het werkpakket, de beschikbare tijd, vervanging, toegang tot deskundigheid en de wijze waarop achterstanden zichtbaar worden.

Maak de beschermde rol bij een ja werkelijk

Een aanwijzingsbesluit is pas het begin, want de organisatie moet de functionaris tijdig betrekken bij alle aangelegenheden die de bescherming van persoonsgegevens raken, toegang geven tot persoonsgegevens en verwerkingen en voldoende middelen beschikbaar stellen ². “Tijdig” betekent dat belangrijke ontwerp- of risicokeuzes nog niet feitelijk vaststaan.

De aanwijzing zelf rust op professionele kwaliteiten, deskundige kennis van gegevensbeschermingsrecht en -praktijk en het vermogen de wettelijke taken te vervullen ¹. Het vereiste niveau hangt samen met de activiteiten en risico's van de organisatie. Een functietitel, opleidingsbewijs of extern contract zonder onderbouwde aansluiting op het werkpakket is daarom onvoldoende.

De wettelijke taken omvatten informeren en adviseren, toezicht op naleving en intern beleid, toedeling van verantwoordelijkheden, bewustmaking en opleiding en de bijbehorende controles ³. Maak voor elk taakgebied zichtbaar welke signalen binnenkomen, welk advies wordt uitgebracht en hoe management reageert. Een adviesregister bewaart ook afwijkingen; het verandert de functionaris niet in degene die het bedrijfsbesluit neemt.

Bij een gegevensbeschermingseffectbeoordeling adviseert de functionaris wanneer daarom wordt gevraagd en houdt die persoon toezicht op de uitvoering ³. Leg vooraf vast op welk moment projecten advies vragen en hoe een afwijking wordt gemotiveerd. Zo komt de functionaris vóór een ontwerpbesluit in beeld en kan achteraf worden nagegaan of afgesproken maatregelen werkelijk zijn uitgevoerd.

Samenwerking met de toezichthoudende autoriteit en optreden als haar contactpunt vragen om continuïteit, bereikbaarheid en een vertrouwelijke informatiestroom ³. Publiceer daarom functionele contactgegevens die niet aan één afwezige medewerker vastzitten. Controleer tevens of betrokkenen hun vragen over verwerking en rechten rechtstreeks en vertrouwelijk bij de functionaris kunnen neerleggen.

De functionaris houdt bij de taakuitoefening rekening met aard, omvang, context en doeleinden van de verwerkingen en de daarmee samenhangende risico's ³. Dat maakt prioritering mogelijk, maar schrapt geen wettelijke taak. Een gedocumenteerd jaarplan kan hoogrisicowerk voorrang geven en tegelijk laten zien hoe minder dringende controles, opleiding en opvolging worden bewaakt.

Onafhankelijkheid betekent niet afzondering. De functionaris heeft feiten, toegang en een werkrelatie met teams nodig, maar ontvangt geen instructie om een bepaald advies of onderzoeksresultaat te bereiken ². Management blijft verantwoordelijk voor de besluiten; de functionaris neemt die verantwoordelijkheid niet over en mag evenmin eigenaar worden van doelen en essentiële middelen die later onafhankelijk moeten worden beoordeeld.

Belangenconflicten verdienen een feitelijke toets. Functietitels zijn aanwijzingen, geen automatische uitkomst. Onderzoek of een nevenfunctie de persoon laat beslissen waarom of hoe persoonsgegevens wezenlijk worden verwerkt. Leg de analyse vast vóór benoeming en herhaal haar wanneer taken, rapportagelijnen of organisatiestructuur veranderen.

Een gedeelde of externe functionaris heeft dezelfde bescherming en taakinhoud. De overeenkomst moet directe toegang, vertrouwelijkheid, continuïteit en escalatie mogelijk maken. Meet vervolgens of medewerkers, management en betrokkenen de functie werkelijk kunnen bereiken, of adviezen op tijd komen en of de beschikbare uren het werkpakket dragen. Een contactadres in een contract bewijst dat niet.

Leg bij een nee een controleerbaar besluit vast

Een nee-uitkomst is een werkproduct, geen afwezigheid van werk: zij toont dat alle vier routes op dezelfde afgebakende entiteit en haar actuele verwerkingen zijn onderzocht. Het dossier stelt een collega in staat de feiten, bronnen en redenering te volgen zonder de oorspronkelijke bespreking opnieuw te voeren.

Bewaar bij iedere route niet alleen de conclusie maar ook de gebruikte gegevens. Dat kunnen een activiteitenregister, architectuuroverzicht, procesbeschrijving, contract, organisatieschema, schaalmeting en officiële rechtsbron zijn. Noteer welke versie is gelezen en wie de beslissing heeft genomen.

Wijs ook zonder functionaris een privacy-eigenaar aan. Die persoon krijgt niet de beschermde titel en hoeft niet onafhankelijk volgens de artikelen 37 tot en met 39 te functioneren, maar bewaakt wel de uitvoering, open punten en wijzigingstriggers. Maak intern duidelijk waar operationele verantwoordelijkheid eindigt en wanneer herbeoordeling of deskundig advies nodig is.

Een passend controlemoment kan als vangnet dienen, maar veranderingen bepalen primair wanneer de beoordeling terugkomt. Denk aan een overname, nieuwe publieke taak, uitbreiding van monitoring, andere betrokken groepen, grotere geografische dekking of grootschalige toevoeging van bijzondere gegevens. Noem de signalen zo concreet dat product-, inkoop- en managementteams ze herkennen.

Voor een bespreking met management kan de presentatie over de Britse beslisroute^EN(artikel in het Engels) als aanvullend format dienen. Het EU-besluit blijft echter rusten op de vier hier beschreven routes en op de werkelijk toepasselijke officiële bronnen.

Werk vijf herkenbare patronen zorgvuldig uit

De vijf patronen hieronder zijn denkmodellen, geen sectorregels: zij maken zichtbaar welke feiten een route openen en welk werkproduct daarbij hoort. Veranderen taak, schaal, gegevensstroom of toepasselijk recht, dan kan een ogenschijnlijk vergelijkbare organisatie terecht een andere uitkomst krijgen.

Een lokale winkel met gewone klantadministratie is bijvoorbeeld niet vrijgesteld omdat zij weinig werknemers heeft. De werkelijke reden voor een mogelijke nee-uitkomst is dat haar kernactiviteiten op de onderzochte feiten geen grootschalige stelselmatige monitoring of grootschalige gevoelige verwerking omvatten, publieke status niet geldt en de nationale route is afgesloten.

Ook een digitale dienst met veel gebruikers is niet zonder meer positief. Beperkte gebruiksmeting kan ondersteunend blijven en daarmee de kernactiviteitsvoorwaarde missen. Is gedragsobservatie daarentegen georganiseerd, langdurig, geografisch breed en onmisbaar voor de dienst, dan wijzen de feiten een andere kant op. De schaalnotitie moet precies dat verschil verklaarbaar maken.

Een zorggerelateerde dienst kan bijzondere gegevens verwerken zonder dat elk klein, incidenteel ondersteunend proces onmiddellijk de derde route activeert. Daartegenover kan omvangrijke analyse van gezondheidsgegevens de dienst zelf vormen en veel mensen langdurig raken. Gegevenssoort, kernactiviteit en schaal worden daarom naast elkaar bewezen.

Bij twijfel over nationaal recht is “waarschijnlijk niet” geen besluit. Zet de zaak open, identificeer de officiële bron en laat een bevoegde beslisser de conclusie dateren. Dat is trager dan een aanname, maar veel sneller dan een benoeming achteraf moeten herstellen.

Veelgestelde vragen

Wanneer is een functionaris voor gegevensbescherming volgens de AVG verplicht?

Een functionaris is verplicht wanneer de entiteit onder de publieke route valt, grootschalige regelmatige en stelselmatige monitoring als kernactiviteit uitvoert, of grootschalig bijzondere of strafrechtelijke gegevens als kernactiviteit verwerkt ¹. Controleer bovendien aanvullend Unie- of lidstatelijk recht. Eén positieve route is genoeg om de aanwijzingsvraag te beantwoorden.

Bepaalt het aantal werknemers of een functionaris verplicht is?

Nee. Artikel 37 bevat geen algemene werknemers- of omzetdrempel. Personeelsomvang kan context geven bij schaal en capaciteit, maar staat niet in de plaats van de vier routes. Een kleine onderneming kan door haar kernverwerking een functionaris nodig hebben; een grotere organisatie zonder positieve route niet automatisch. Het dossier bewaart waarom die conclusie geldt.

Wanneer is verwerking grootschalig?

Er bestaat geen universeel getal. Beoordeel het aantal personen en hun aandeel in de relevante groep, de hoeveelheid en verscheidenheid van gegevens, de duur en het geografische bereik ⁴. Noteer de referentieperiode en gegevensbron. De factoren worden samen gewogen; één opvallend aantal is geen wettelijke veilige haven.

Mag een externe of gedeelde functionaris worden aangewezen?

Ja. De functionaris kan werknemer zijn of op basis van een dienstverleningsovereenkomst werken. Een groep kan één functionaris delen wanneer die vanuit iedere vestiging gemakkelijk bereikbaar is ¹. In alle vormen blijven deskundigheid, middelen, tijdige betrokkenheid, onafhankelijkheid, vertrouwelijkheid en de afwezigheid van belangenconflicten vereist. Test bereikbaarheid en capaciteit in de praktijk.

Wat gebeurt er bij een vrijwillige aanwijzing?

De volledige regeling van de artikelen 37 tot en met 39 wordt van toepassing wanneer de organisatie iemand vrijwillig als functionaris aanwijst. De beschermde titel kan niet met een lichter takenpakket worden gecombineerd. Wie alleen operationele privacyverantwoordelijkheid wil beleggen, gebruikt een andere duidelijke functienaam en beschrijft mandaat, escalatie en eigenaarschap zonder de wettelijke rol te suggereren.

Kan nationaal recht de aanwijzingsplicht uitbreiden?

Ja. Artikel 37, lid 4, erkent aanvullende verplichtingen uit Unie- of lidstatelijk recht ¹. Identificeer de toepasselijke officiële bron en noteer titel, versie of raadpleegdatum, passage, reikwijdte en conclusie. Generaliseer geen nationale drempel over de EU. Als de bron of toepasselijkheid nog niet vaststaat, blijft de beslissing open en kan zij niet als nee worden afgesloten.