In sommige organisaties wordt de functie van DPO gecombineerd met die van informatieveiligheidsadviseur of CISO.

Hoewel de GDPR toelaat dat een DPO bijkomende taken heeft, en sommige wetgeving vermelden wat die bijkomende taken kunnen zijn, dient men er toch op te letten dat die bijkomende taken de onafhankelijkheid van de DPO niet in het gedrang brengt.

Het Europees Hof van Justitie evenals de rechtspraak hebben er reeds meermaals op gewezen dat het beoordelen van een gebrek aan onafhankelijkheid en de aanwezigheid van een belangenconflict geval per geval moet worden bekeken, rekening houdende met de relevante omstandigheden zoals de structuur van de organisatie en de wijze waarop de activiteiten en de functies zijn geregeld bij de verwerkingsverantwoordelijke of de verwerker.

Het is dus m.a.w. niet altijd mogelijk om vooraf te weten wanneer er sprake is van een belangenconflict of wanneer de DPO niet onafhankelijk is in zijn/haar handelen.

Key takeaways

• Sommige wetgeving kennen aan de DPO de bijkomende taak deskundig adviserend op te treden inzake informatieveiligheid en de veiligheid van het netwerk;
• De focus van de informatieveiligheidsadviseur en die van de DPO is fundamenteel verschillend;
• Om te vermijden dat de DPO zijn eigen adviezen moet controleren kan het verstandig zijn om functionele of organisatorische Chinese Walls te voorzien.

Probleemstelling

Binnen overheidsinstanties ziet men vaak dat de functie van Informatieveiligheidsadviseur of soms in het Engels Chief Information Security Officer (CISO) gecombineerd wordt met de functie van Data Protection Officer (DPO) of in het Nederlands Functionaris voor Gegevensbescherming.

Artikel 38 van de GDPR bepaalt dat de DPO weliswaar bijkomende taken mag uitoefenen, op voorwaarde dat er geen belangenconflict ontstaat.

Voor wat betreft de functie van informatieveiligheidsadviseur of gelijkwaardig bestaat er geen overkoepelende of gecoördineerde wetgeving, die definieert welke de precieze bevoegdheden van deze functiehouder zijn.

De vraag rijst dan in welke mate beide functies met elkaar kunnen worden gecombineerd, en of deze beide functies überhaupt wel combineerbaar zijn?

De primaire focus van de informatieveiligheidsadviseur

Uit sommige wetgeving, zoals bijvoorbeeld art.22 van de federale dienstenintegratorwet, kan men afleiden dat de primaire focus van de informatieveiligheidsadviseur de beveiliging van de infrastructuur is; meer bepaald de beveiliging van de gegevens en van het netwerk.

M.a.w. de informatieveiligheidsadviseur brengt deskundige adviezen uit hoe de gegevens en het netwerk dienen te worden beveiligd zodat, bijvoorbeeld, onbevoegden geen toegang kunnen krijgen tot de gegevens die circuleren binnen het netwerk.

Bovendien kan de informatieveiligheidsadviseur, die onder het rechtstreekse gezag van de leidinggevende ambtenaar van de betreffende overheidsdienst of van de federale dienstenintegrator staat, ook gevraagd worden om opdrachten uit te voeren die hem worden toevertrouwd inzake informatiebeveiliging (zie art. 22.3).

M.a.w. hier kan uit worden afgeleid dat de informatieveiligheidsadviseur instructies kan ontvangen inzake informatieveiligheid.

De primaire focus van de DPO

In tegenstelling tot de primaire focus van de Informatieveiligheidsadviseur is de primaire focus van de DPO het beschermen van de rechten en vrijheden van de burger wiens persoonsgegevens door de verwerkingsverantwoordelijke worden verwerkt.

GDPR art. 1.2 bepaalt dat “Deze verordening beschermt de grondrechten en de fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van persoonsgegevens.”

M.a.w. de manier waarop de verordening dient te worden gelezen is dus niet het beschermen van de belangen van de verwerkingsverantwoordelijke, maar wel de belangen van de burger wiens persoonsgegevens door de verwerkingsverantwoordelijke worden verwerkt.

Dus de bepalingen inzake het nemen van gepaste technische en organisatorische maatregelen waarin de GDPR voorziet rusten niet op de verantwoordelijkheid van de DPO, maar wel op de verwerkingsverantwoordelijke. De DPO zal enkel oordelen of de door de verwerkingsverantwoordelijke genomen of voorgenomen maatregelen voldoende zijn ter bescherming van de rechten en vrijheden van de burger.

Een ander fundamenteel verschil met bijvoorbeeld de Informatieveiligheidsadviseur van de federale dienstenintegratorwet is dat de DPO geen instructies ontvangt bij de uitoefening van zijn/haar taken als DPO.

De DPO oordeelt en adviseert in eer en geweten of de (voorgenomen) verwerkingen van persoonsgegevens al dan niet wettelijk zijn en of dat er voldoende aandacht wordt geschonken aan de bescherming van deze persoonsgegevensverwerkingen.

Belangenconflicten

Uit het voorgaande kan men situaties afleiden waar er een belangenconflict kan ontstaan wanneer een natuurlijk persoon zowel de DPO-pet als de pet van Informatieveiligheidsadviseur draagt.

Hoewel zowel de GDPR als sommige regelgevingen expliciet de mogelijkheid bieden dat de DPO bijkomende taken kan uitoefenen voor zover die niet leiden tot een belangenconflict en zijn onafhankelijkheid niet in het gedrang brengt, bestaat er toch een risico dat de DPO (die voorheen in sommige wetgevingen gewoon Informatieveiligheidsadviseur of Informatieveiligheidsconsulent werd genoemd) taken toebedeelt krijgt die verder gaan dan het louter verstrekken van advies.

Dit kan bijvoorbeeld het geval zijn wanneer het advies van de DPO / Informatieveiligheidsadviseur zodanig is geformuleerd dat men eruit kan afleiden dat het niet meer louter gaat om een advies maar eerder om een beslissing, of wanneer de DPO gevraagd wordt zich uit te spreken inzake de hoeveelheid informatie die men het best logt.

Als Informatieveiligheidsadviseur wilt men uiteraard zoveel mogelijk gegevens loggen, zodat men achteraf meer gegevens heeft om bepaalde niet-geauthoriseerde toegangen kan analyseren; maar als DPO dient men rekening te houden met de basisprincipes van minimale gegevensverzameling.

Oordeelt de DPO in de richting van meer gegevens terwijl het met minder kan, dan zal de DPO later worden geconfronteerd met een belangenconflict.

Hij/zij zal dan immers zijn eigen adviezen moeten beoordelen.

Mogelijke remedies

De eerste mogelijkheid is dat de hoogste leidinggevende van de organisatie of overheidsinstantie beide functies scheidt, waarbij de Informatieveiligheidsadviseur zich louter toelegt op de beveiliging van de gegevens en de ICT-systemen, terwijl de DPO functie zich enkel bezig houdt met het beschermen van de rechten en vrijheden van de burger.

Een tweede mogelijkheid is dat wanneer beide functies in hoofde van dezelfde persoon worden uitgeoefend formeel wordt vastgelegd dat wanneer een DPO een advies wordt gevraagd inzake een materie dat louter betrekking heeft op infrastructuur en gegevensbescherming dat advies moet gevalideerd worden door een bijkomend gespecialiseerd informatieveiligheidsorgaan. M.a.w. dat de DPO hier zelf geen doel en middelen bepaalt en dus geen invloed heeft bij de uiteindelijke beslissing.

Bloep, 8 november 2026.

OPGELET: deze blog is geen juridisch advies. De verwerking van persoonsgegevens is vaak een case-by-case verhaal, en dient daarom ook op die basis te worden beoordeeld. Aarzel daarom niet om contact op te nemen om uw specifieke situatie te bespreken via ons Contact Formulier.