Sommige, vooral grotere, organisaties, hanteren een 3-lijns model voor hun organisatie.

Gezien de relatief hybride aard van de DPO-functie, rijst de vraag waar precies in dit model deze functie dient ondergebracht te worden.

Er zal in deze blog kort ingegaan worden wat het 3-lijns model is, en wat de problemen kunnen zijn van de DPO-functie in dit model.

Te onthouden

• In het 3-lijns model is de DPO-functie noch vis noch vlees;
• De DPO-functie is het meest gerelateerd met de 2de lijn, maar bevat ook elementen van de 3de lijn;
• De 3de lijn zal in bepaalde gevallen een aparte functie nodig hebben voor het auditen van de bescherming van persoonsgegevens, een gespecialiseerde audit functie die al dan niet extern zal moeten worden ingehuurd.

Het 3-lijns model

Het 3-lijns model is kort door de bocht een organisatie waarbij er 3 lijnen van activiteiten bestaan.

Te weten:

• 1st lijn: uitvoering ofwel operaties,
• 2de lijn: toezicht ofwel monitoring en adviesverlening,
• 3de lijn: controle ofwel (interne) audit.

Dit organisatiemodel moet ervoor zorgen dat de manier waarop de organisatie haar activiteiten uitvoert in overeenstemming is met de beleidsbeginselen die de organisatie voor zichzelf heeft uitgezet, evenals dat zij handelt binnen het juridische kader dat eigen is aan haar activiteiten.

De vraag die men nu kan stellen is waar de rol van de DPO of het DPO-Office zich situeert binnen dit model?

Artikel 38.3 GDPR bepaalt dat de DPO noch van de verwerkingsverantwoordelijke noch van de verwerker instructies ontvangt met betrekking tot de uitvoering van de taken die opgesomd zijn in art. 39 GDPR, en bovendien rechtstreeks verslag uitbrengt aan de hoogste leidinggevende van de verwerkingsverantwoordelijke of van de verwerker.

De 2de lijn en de DPO

Rekening houdende met het feit dat de taak van de 2de lijn het toezicht houden betreft op de activiteiten van de 1ste lijn, zoals bijvoorbeeld het geven van advies en aanbevelingen, het toezicht houden op de naleving van de GDPR, zou men kunnen zeggen dat de DPO-functie behoort tot de 2de lijn.

Het lijkt dan ook logisch dat men de DPO-functie in de 2de lijn zal plaatsen.

Echter heeft de DPO-functie ook een onafhankelijkheidsaspect, namelijk dat deze functie geen instructies mag ontvangen van de vewerkingsverantwoordelijke of van de verwerker.

Deze verwerkingsverantwoordelijken zullen zich bevinden in de 1st lijn, d.i. de lijn waar de activiteiten van de waardeketen zich bevinden.

Men zou dan kunnen stellen dat de DPO-functie ook voor een deel te vinden is in de 3rd lijn, te meer daar de DPO rechtstreeks verslag moet kunnen uitbrengen aan de hoogste leidinggevende binnen de organisatie.

De 3de lijn en de DPO

De 3rd lijn staat volledig los van de 1st en de 2de lijn, en controleert of de activiteiten van de voorgaande lijnen conform het juridisch en compliancy kader worden uitgevoerd.

Deze lijn brengt doorgaans direct verslag uit aan de raad van bestuur of aan het audit comité dat naast de raad van bestuur opereert.

Zij is voor haar taken en activiteiten geen verantwoording verschuldigd aan de operationele, 1st, lijn.

De operationele lijn (1st lijn) mag dus helemaal geen invloed uitoefenen op deze derde lijn.

Aangezien er in hoofde van de DPO-functie geen belangenconflicten mogen bestaan (art. 38.6 GDPR), de laatste volzin van art. 38.3 GDPR bepaalt dat de DPO rechtstreeks verslag uitbrengt aan de hoogste leidinggevende van de verwerkingsverantwoordelijke of van de verwerker en art. 39.1b bepaalt dat de DPO moet toezien op de naleving van de GDPR, zou men hier kunnen stellen dat de DPO-functie (gedeeltelijk) moet ondergebracht worden in de 3de lijn.

Gezien de DPO bij de uitoefening van zijn taken naar behoren rekening moet houden met de aan de verwerkingen verbonden risico’s, en met de aard, de omvang, de context en de verwerkingsdoeleinden, lijkt het misschien geen goed idee te zijn om de DPO-functie in de 3de lijn te plaatsen.

Plaatst men de DPO-functie toch in de 3de lijn dan zal bij een interne audit de DPO zijn eigen adviezen en aanbevelingen moeten controleren, hetgeen in strijd is met het doel van de 3de lijn.

Positie DPO

De ideale positie van de DPO zou de 2de lijn zijn, voor zover aan de vereiste wordt voldaan dat hij/zij geen belangenconflict heeft, onafhankelijk kan functioneren en rechtstreeks onbelemmerd toegang heeft tot de hoogste leidinggevende van de verwerkingsverantwoordelijke of van de verwerker.

Rest nog de vraag wie in een organisatie de interne audit gaat uitvoeren inzake compliancy met de privacy wetgeving?

Wordt deze taak dan best uitbesteed aan een externe privacy auditor of wordt deze taak intern ingevuld door een interne auditor die gespecialiseerd is in de bescherming van persoonsgegevens?

Dit zal voor kleinere organisatie een moeilijke denkoefening zijn, aangezien de materie inzake het beschermen van persoonsgegevens een erg gespecialiseerd domein is, net zoals het auditen van ICT-risico’s.

Het tijdelijk inhuren van externe gespecialiseerde auditors kan hiervoor een oplossing bieden, wanneer men zelf niet beschikt over de nodige expertise of budgetten voor gespecialiseerd inhouse audits.

Bloep, 18 oktober 2026.