DPO’s moeten toegang hebben tot de hoogste leidinggevende van een organisatie en onafhankelijk kunnen functioneren bij de uitoefening van hun taken die de GDPR hen opdraagt.

In deze blogpost zal kort worden ingegaan wat dit eigenlijk betekent.

Belangrijk om te onthouden

• De onafhankelijkheid van de DPO is niet altijd evident, vooral niet die van de interne DPO.
• Het bepalen van de hoogste leidinggevende van een organisatie is niet altijd eenvoudig, gezien de mogelijke aanwezigheid van soms niet gedocumenteerde en complexe structuren.
• Een DPO die geen verslag kan uitbrengen aan de hoogste leidinggevende is een schending van de GDPR.
• Het is niet eenvoudig om de exacte positie van de DPO in het organigram en de structuur van een organisatie te bepalen.

DPO en onafhankelijkheid

De GDPR schrijft voor dat de DPO bij de uitoefening van de voorgeschreven taken geen instructies ontvangt.

Wat betekent dit eigenlijk?

Dit betekent dat de DPO niet mag worden gezegd of opgedragen door om het even wie binnen de organisatie die hem of haar heeft aangesteld wat hij of zij moet doen, waar zijn of haar aandacht naartoe moet gaan, wat de prioriteiten zijn, hoe hij of zij bepaalde zaken moet beoordelen en hoe hij of zij zijn of haar adviezen moet schrijven.

M.a.w. de jobhouder dient in alle vrijheid en senerniteit te kunnen handelen.

Kan hij of zij dat niet, dan handelt de DPO niet onafhankelijk.

Valt dit te rijmen met de positie van bepaalde DPO’s, zoals een interne DPO?

Interne DPO en onafhankelijkheid

Aangezien de DPO geen instructies mag ontvangen van om het even wie binnen de organisatie ontstaat reeds voor vele organisaties het probleem inzake o.a. het beoordelen van deze interne medewerker, maar ook inzake de bepalingen van de wet op de arbeidsovereenkomsten.

Vele (grote) organisaties, die meestal ook complexere bedrijfsprocessen en structuren hebben, hanteren immers een jaarlijkse evaluatie van hun personeel. De positieve of negatieve uitslag van deze evaluatie heeft doorgaans een invloed op de promotiekansen en het inkomen van dat personeel.

Maar hoe ga je een interne DPO evalueren, als de functiehouder geen instructies ontvangt?

Arbeidsovereenkomstenwet

Een ander probleem met een interne DPO zijn de bepalingen van de wet op de arbeidsovereenkomsten, namelijk werknemers worden geacht te handelen volgens de bevelen en de instructies die hen worden gegeven door de werkgever, zijn lasthebbers of zijn aangestelden.

Wat gaat er in het geval van een interne DPO primeren, de bepalingen van de arbeidsovereenkomstenwet of die van de GDPR?

Indien de GDPR primeert, hetgeen in principe logisch zou lijken, is dit dan omdat de GDPR een supra-nationale rechtsnorm is of primeren de regels van de GDPR omdat dit in lijn ligt met de situatie van artsen-werknemers die in ziekenhuisverband opereren?

Aangezien dit schrijven geen rechtsleer is, zullen we hierover in deze blogpost niet uitwijden, maar het zijn wel aspecten waar men grondig dient over na te denken alvorens men een interne DPO aanstelt.

Verslag aan de hoogste leidinggevende

Het zelfde artikel van de GDPR waarin wordt gemeld dat de DPO geen instructies ontvangt voor de uitoefening van zijn taken als DPO vermeldt dat hij of zij verslag uitbrengt aan de hoogste leidinggevende van de organisatie.

Dit betekent:

• dat de DPO moet weten wat de werkelijke hiërarchische structuur is van de organisatie voor dewelke hij of zij DPO is;
• dat de DPO bij deze hoogste leidinggevende zijn mening en adviezen moet kunnen ventileren;
• de DPO zelf buiten de hiërarchische structuur van de organisatie moet staan.

Hiërarchische structuur van de organisatie

In eenvoudige organisaties kan men over het algemeen de hoogste leidinggevende gemakkelijk identificeren.

Echter bij complexe organisaties, zoals bijvoorbeeld grote beursgenoteerde multinationals of overheidsinstanties, is deze identificatie niet evident.

Deze complexe structuren bestaan doorgaans uit een veelheid van gespecialiseerde entiteiten, SPV’s, waardoor het voor een DPO die niet vertrouwd is met een dergelijke structuur, en indien men hem dit ook niet expliciet communiceert, moeilijk tot zelfs onmogelijk zal zijn om zijn boodschap op het correcte niveau voor te leggen.

Er dient ook op gewezen te worden dat het hoogste leidinggevende orgaan niet noodzakelijk een individue is maar het kan ook een college of een comité zijn van personen die hoofdelijk aansprakelijk zijn voor de genomen beslissingen.

In sommige gevallen is het organigram van een organsatie ook niet helemaal correct, of vermeldt het enkel tactisch operationele functies.

Ventileren van meningen en adviezen

De DPO moet de mogelijkheid krijgen om zijn mening en adviezen voor te kunnen leggen en bespreekbaar te maken bij de hoogste leidinggevende.

Dit zal vooral belangrijk zijn wanneer de verwerkingsverantwoordelijke binnen de organisatie, hetgeen een individue of een dienst kan zijn binnen de organsiatie, de meningen of adviezen van de DPO niet naleeft of gewoon wegwuift als onbelangrijk.

Indien de DPO geen toegang heeft tot de hoogste leidinggevende van de organisatie dan is dit een inbreuk op de GDPR.

DPO en hiërarchische structuur

De DPO moet in staat zijn zijn mening en adviezen voor te leggen aan de hoogste leidinggevende.

Maar is dit eigenlijk binnen een organisatie mogelijk wanneer de DPO een ondergeschikte is in deze hiërarchische structuur?

Het buikgevoel doet neigen om deze vraag negatief te beantwoorden.

Indien de DPO een ondergeschikte is binnen het organigram en dus als ondergeschikte staat aangegeven van de hoogste leidinggevende in de hiërarchische structuur, deze laatste nog steeds een vraag voor onderhoud of een vraag om een punt inzake GDPR en het beschermen van persoonsgegevens op de agenda te plaatsen kan wegwuiven als onbelangrijk.

Dit moet eigenlijk worden geïnterpreteerd als een DPO die in feite geen toegang heeft tot de hoogste leidinggevende van de verwerkingsverantwoordelijke organisatie, en geeft dus aanleiding tot een niet GDPR conforme situatie.

Waar zou een DPO dan wel best in de hiërarchische structuur staan?

Deze vraag kan alleen correct worden beantwoord rekening houdende met de volledige juridische en operationele structuur van de organisatie, hetgeen niet de bedoeling is van deze korte blogpost.

Bloep, 12 juli 2026.

Opgelet

Deze blog is geen juridisch advies . Iedere organisatie heeft unieke kenmerken en heeft daarom ook haar eigen problemen.

Indien u vragen heeft inzake een specifiek probleem bij de verwerking van persoonsgegevens, neem dan gerust contact op.