In een vorige blog werd reeds gewezen op het fenomeen dat interne DPO’s soms het risico lopen om onder interne druk, voor de betrokkenen, minder gunstige adviezen en aanbevelingen te geven.

In deze blog post zal dieper ingegaan worden op de situatie van interne DPO’s bij kleinere organisaties zoals KMO’s.

Aanstelling interne DPO

Overweging 97 van de GDPR bepaalt dat :

… dient een persoon met deskundige kennis van gegevensbescherminswetgeving en -praktijken de verwerkingsverantwoordelijke of de verwerker bij te staan bij het toezicht op de interne naleving van deze verordening.

… Het vereiste niveau van deskundigheid dient met name te worden bepaald op grond van de uitgevoerde gegevensverwerkingsactiviteiten en de bescherming die voor de door de verwerkingsverantwoordelijke of de verwerker verwerkte gegevens vereist is. Dergelijke functionarissen voor gegevensbescherming dienen in staat te zijn hun taken en verplichtingen onafhankelijk te vervullen, ongeacht of zij in dienst zijn van de verwerkingsverantwoordelijke.

Art. 38, 3 bepaalt dat:

De verwerkingsverantwoordelijke en de verwerker zorgen ervoor dat de functionaris voor gegevensbescherming geen instructies ontvangt met betrekking tot de uitvoering van die taken. Hij wordt door de verwerkingsverantwoordelijke of de verwerker niet ontslagen of gestraft voor de uitvoering van zijn taken. De functionaris voor gegevensbescherming brengt rechtstreeks verslag uit aan de hoogste leidinggevende van de verwerkingsverantwoordelijke of de verwerker.

en punt 6 van hetzelfde artikel:

De functionaris voor gegevensbescherming kan andere taken en plichten vervullen. De verwerkingsverantwoordelijke of de verwerker zorgt ervoor dat deze taken of plichten niet tot een belangenconflict leiden.

Uit deze teksten kan men het volgende afleiden:

• de aangestelde DPO moet beschikken over de nodige deskundigheid m.b.t. de wetgeving en de praktijken inzake gegegevensbescherming;
• het vereiste niveau van deskundigheid is afhankelijk van de complexiteit van de uitgevoerde activiteiten inzake gegevensverwerking;
• de aangestelde DPO moet in staat zijn om zijn taken en verplichten in alle onafhankelijkheid uit te voeren;
• de aangestelde DPO kan noch worden gestraft noch ontslagen voor de uitoefening van zijn taken;
• de aangestelde DPO brengt verslag uit aan hoogste leidinggevende van de verwerkingsverantwoordelijke of de verwerker;
• de aangestelde DPO kan andere taken en plichten hebben voor zover er geen belangenconflict is.

Vereisten voor een DPO

Zoals men ziet worden er een heleboel eisen gesteld, zowel op het vlak van competenties, onafhankelijkheid, verslaggeving, sanctionering als belangenconflicten.

Deskundigheid

Het is vrij logisch dat de aangestelde DPO over de nodige deskundigheid moet beschikken om de opgedragen taken naar behoren uit te kunnen voeren.

De aangestelde DPO mag zich evenwel laten bijstaan door specialisten in de vereiste domeinen, maar moet toch op zijn minst over een deskundigheid en competetentie beschikken die voldoende diepgang heeft om de specialisten te begrijpen en, indien van toepassing, de nodige bijkomende vragen te kunnen stellen.

Bij KMO’s die opereren in een sterk juridisch en technologische omgeving lijkt dit quasi onmogelijk te zijn. Temeer omdat dergelijke organisaties doorgaans het technologische deel, maar ook het juridische deel, en soms beide, outsourcen aan derden.

Het is vrijwel onmogelijk dat de vereiste diepgang inzake alle domeinen waarmee men te maken heeft aanwezig is bij een persoon; vooral omdat binnen KMO’s men zelfs niet altijd beschikt over de nodige basis kennis en competenties voor alle processen en systemen die daar in gebruik kunnen zijn.

Onafhankelijkeheid

De aangestelde interne DPO moet onafhankelijk kunnen functioneren en dus geen instructies ontvangen hoe hij/zij de functie als DPO invult.

Deze GDPR vereiste biedt weinig ruimte voor interne DPO’s die naast hun verplichtingen en taken als DPO ook nog eens bijkomende taken en verplichtingen hebben, hetgeen doorgaans het geval is bij KMO’s.

Sancties

DPO’s mogen niet gesanctioneerd worden voor de uitoefening van hun functie als DPO.

Echter in een KMO omgeving zal dit moeilijk te verwezenlijken zijn. Vooral wanneer de interne DPO tevens nog andere verplichtingen heeft, waarbij hij/zij hierarchisch dient te rapporteren.

Verslaggeving

De GDPR bepaalt dat de (intern) aangestelde DPO rechtstreeks verslag uitbrengt aan de hoogste leidinggevende van de verwerkingsverantwoordelijke, dit is meestal de gedelegeerd bestuurder of de algemeen directeur van de organisatie.

Bij intern aangestelde DPO’s die naast hun opdracht als DPO ook nog andere taken vervullen, meestal binnen een welbepaalde dienst zoals bijvoorbeeld de dienst informatica of de juridische dienst, hebben naast deze verslaggeving als DPO ook nog eens de direct hiearchische overste aan wie ze rapporteren.

Hierbij kan men zich de vraag stellen hoe een organisatie de onafhankelijkheid van deze intern aangestelde DPO kan garanderen, en of onafhankelijkheid überhaupt wel mogelijk is?

Bijkomende taken

In KMO’s is het vrij zelden dat een interne DPO enkel de DPO functie uitoefent. Meestal zal deze persoon naast de taken en verplichtingen als DPO ook andere taken en verplichtingen hebben.

Dit doet niet enkel de vraag rijzen of deze DPO’s volledig onafhankelijk kunnen functioneren, maar ook of er al dan niet een belangenconflict aanwezig is.

Bijvoorbeeld een intern aangestelde DPO die medewerker is in het juridisch departement, of medewerker is in het IT departement (doorgaans de afdeling IT security).

Bovendien is er ook de vraag hoe een dergelijke medewerker door zijn hiearchische overste zal worden beoordeeld?

Jaarlijkse doelstellingen en evaluaties

Vele organisaties, ook KMO’s, geven jaarlijks doelstellingen aan hun personeel.

Jaarlijks, meestal aan het einde van het jaar, worden de personeelsleden door hun hiearchische overste geëvalueerd.

In de volgende hoofstukken zal kort worden stilgestaan bij eventuele problemen en remedies bij het bepalen van doelstellingen en evaluaties van interne DPO’s.

Niet enkel bij interne DPO’s kunnen organisaties hiermee worden geconfronteerd, maar ook bij functies zoals de interne preventie-adviseur, de persoon die intern klachten van het personeel behandelt, …

Bepalen jaarlijkse doelstellingen

Uit het bovenstaande is het niet moeilijk te begrijpen dat het bepalen van de jaarlijkse doelstellingen van personen die intern de functie van DPO uitoefenen geen sinecure is.

Er moet niet enkel rekening gehouden worden met de haalbaarheid van deze doelstellingen, maar ook met de mogelijkheid van conflicterende doelstellingen.

Conflicterende doelstellingen zullen zich voornamelijk, maar niet uitsluitend, voordoen wanneer de intern aangestelde DPO ook nog andere taken moet verrichten als ondergeschikte.

Het maakt daarbij niet uit of deze hierarchische overste al dan niet dezelfde persoon is waaraan veslag moet worden uitgebracht inzake de uitoefening van de functie van DPO.

Jaarlijkse evaluatie

In de veronderstelling dat de jaarlijkse doelstellingen geen conflicterende elementen hebben, moet de functiehouder ook nog jaarlijks geëvalueerd worden.

Deze evaluatie moet ook objectief en onpartijdig gebeuren.

De vraag hierbij rijst of een interne DPO door de hierarchische overste wel objectief en onpartijdig kan worden geëvalueerd, vooral wanneer deze interne DPO ooit een advies of een aanbeveling heeft uitgebracht tegen de belangen van deze hierarchische overste?

Documentatie

Uit het voorgaande is het niet moeilijk om te begrijpen dat het nauwkeurig documenteren van de aanstelling van een interne DPO enorm belangrijk is.

Tevens dient men erop te letten dat de aangestelde interne DPO geen belangenconflict kan hebben of niet in een positie kan komen waarbij er conflicten kunnen ontstaan.

Dit kan bijvoorbeeld best door te vermijden dat de interne DPO, weliswaar andere taken kan uitoefenen, maar niet onder de hierarchie van een operationele verantwoordelijke, zoals bijvoorbeeld een IT manager, een manager juridische dienst, een manager audit, ….

Door te vermijden dat de interne DPO hierarchisch onder een operationele manager komt, kan men tevens vermijden dat er conflicterende jaarlijkse doelstellingen worden opgelegd en dat de jaarlijkse evaluatie niet onpartijdig en objectief is.

Welke functies, taken en verplichtingen kan een interne DPO in een KMO context dan nog uitoefenen?

Gezien de doorgaans beperkte mogelijkheden op het vlak van functies, taken en verplichtingen binnen de doorsnee KMO kan men gemakkelijk begrijpen dat er voor dergelijke personen weinig mogelijkheden zijn om naast hun taken en verplichtingen als interne DPO nog andere taken op te nemen.

Vandaar ook de vraag of voor een KMO een interne DPO een optie is?

Ons inziens is dit voor de meeste KMO’s niet het geval.

Bloep, 26 september 2025.