{"id":21480,"date":"2025-03-24T11:46:40","date_gmt":"2025-03-24T11:46:40","guid":{"rendered":"https:\/\/www.dpocentre.nl\/?p=21480"},"modified":"2025-03-24T11:46:41","modified_gmt":"2025-03-24T11:46:41","slug":"avg-dpo-functionaris-gegevensbescherming-vereisten-verwerken-op-grote-schaal","status":"publish","type":"post","link":"https:\/\/www.dpocentre.nl\/en\/avg-dpo-functionaris-gegevensbescherming-vereisten-verwerken-op-grote-schaal\/","title":{"rendered":"AVG-vereisten voor een Functionaris gegevensbescherming: wat telt als op grote schaal verwerken?"},"content":{"rendered":"
Onder de AVG moeten bepaalde organisaties een Functionaris gegevensbescherming (of Data Protection Officer, DPO) aanwijzen die het overzicht behoudt over de compliance-inspanningen en het beschermen van de persoonsgegevens. Een belangrijke factor bij deze beslissing is of de organisatie \u2018op grote schaal\u2019 gegevens verwerkt. Omdat de term \u2018op grote schaal\u2019 niet expliciet in de regelgeving gedefinieerd wordt, kan dit verwarring opleveren. <\/p>\n\n\n\n
In deze blogpost verduidelijken we wat het \u2018op grote schaal\u2019 verwerken van gegevens betekent en geven we praktische richtlijnen voor het bepalen of u een DPO nodig hebt. Maar ook als uw organisatie niet wettelijk verplicht is om een Functionaris gegevensbescherming aan te wijzen, kan het aanstellen van een DPO wel de interne processen stroomlijnen en zorgen voor vertrouwen bij klanten en stakeholders door te laten zien dat uw organisatie zich actief inzet voor het beschermen van gegevens. <\/p>\n\n\n\n
In deze blogpost bedoelen we met de term \u2018AVG\u2019 zowel de Europese AVG (Engels: GDPR) als de GDPR van het Verenigd Koninkrijk. Hoewel deze wetten in essentie hetzelfde beogen, zijn er toch enkele belangrijke verschillen, bijvoorbeeld wat betreft gegevensoverdracht <\/strong>. We raden aan om een professional op het gebied van gegevensbescherming te raadplegen om correcte naleving te garanderen. <\/p>\n\n\n\n
Wanneer is een Functionaris gegevensbescherming wettelijk vereist?<\/strong>\u00a0<\/h2>\n\n\n\n
Volgens Artikel 37<\/strong> van de AVG zijn organisaties verplicht om een Functionaris gegevensbescherming of DPO aan te wijzen als: <\/p>\n\n\n\n
\n
Ze een publiek orgaan of publieke autoriteit zijn (met uitzondering van rechtbanken die in hun juridische hoedanigheid optreden)\u00a0<\/li>\n\n\n\n
De belangrijkste verwerkingsactiviteiten bestaan uit een regelmatige en systematische monitoring op grote schaal van betrokken personen\u00a0<\/li>\n\n\n\n
Ze op grote schaal specifieke soorten gegevens verwerken\u00a0<\/li>\n<\/ul>\n\n\n\n
Een organisatie kan een medewerker aanwijzen als DPO of ervoor kiezen deze taak uit te besteden aan een externe partij. Lees Hiring a Data Protection Officer \u2013 internal vs outsourced<\/strong> voor meer informatie. <\/p>\n\n\n\n
Een enkele DPO kan een groep bedrijven, verschillende publieke autoriteiten en verenigingen vertegenwoordigen. <\/p>\n\n\n\n
Deze criteria zorgen ervoor dat de organisaties die te maken hebben met een complexe gegevensverwerking of het verwerken van gegevens met een hoog risico, beschikken over een onafhankelijke professional die verantwoordelijk is voor de naleving van de gegevensbeschermingswetgeving. <\/p>\n\n\n\n
Wat telt als \u2018op grote schaal\u2019 verwerken?<\/strong>\u00a0<\/h2>\n\n\n\n
Hoewel in de AVG niet expliciet vermeld wordt wat beschouwd wordt als verwerking \u2018op grote schaal\u2019, bieden individuele wetgevers wel specifieke richtlijnen. <\/p>\n\n\n\n
De wetgevende instantie in het VK,, het Information Commissioner\u2019s Office (ICO), stelt voor dat organisaties rekening houden met de volgende factoren: <\/p>\n\n\n\n
\n
Aantal betrokkenen<\/strong>: Het verwerken van de gegevens van een significant aantal individuen\u00a0<\/li>\n\n\n\n
Gegevensvolume<\/strong>: Het verwerken van omvangrijke hoeveelheden persoonsgegevens\u00a0<\/li>\n\n\n\n
Reikwijdte van de gegevens<\/strong>: Het verwerken van verschillende soorten gegevens\u00a0\u00a0<\/li>\n\n\n\n
Duur en frequentie<\/strong>: Betrokken zijn bij voortdurende of frequente gegevensverwerkingsactiviteiten\u00a0<\/li>\n\n\n\n
Geografische reikwijdte<\/strong>: Actief zijn in meerdere regio\u2019s of landen\u00a0<\/li>\n<\/ul>\n\n\n\n
Het is belangrijk om te weten dat u niet aan alle bovengenoemde factoren hoeft te voldoen om gezien te worden als verwerker op grote schaal; een combinatie van een paar van deze factoren kan voldoende zijn. De specifieke omstandigheden van het verwerken van de gegevens bepaalt of het wordt gezien als \u2018op grote schaal\u2019, en het raadplegen van een professional op het gebied van de gegevensbescherming is aan te raden om ervoor te zorgen dat u de regels juist naleeft. <\/p>\n\n\n\n<\/figure>\n\n\n\n
Voorbeelden van verwerken op \u2018grote schaal\u2019<\/strong><\/h2>\n\n\n\n
Hieronder staan een paar sectorspecifieke voorbeelden van verwerking op grote schaal. <\/p>\n\n\n\n
\n
Healthcare<\/strong>: Een ziekenhuis verwerkt verschillende soorten gegevens van duizenden pati\u00ebnten, zoals de medische gegevens van pati\u00ebnten, verzekeringsinformatie en afspraakgeschiedenis.\u00a0<\/li>\n\n\n\n
Financi\u00eble sector<\/strong>: Een bank verwerkt de financi\u00eble transacties en rekeninginformatie van miljoenen klanten.\u00a0<\/li>\n\n\n\n
Technologiesector<\/strong>: Een aanbieder van cloudopslag verwerkt en bewaart grote hoeveelheden bestanden, foto\u2019s en gebruikersinformatie van personen uit meerdere landen.\u00a0<\/li>\n\n\n\n
Retail<\/strong>: Een keten kledingwinkels verwerkt de aankoopgeschiedenis, de betaalgegevens en de verzendgegevens van miljoenen klanten.\u00a0<\/li>\n\n\n\n
Education<\/strong>: Een universiteit verwerkt veel verschillende gegevens, waaronder de aanmeldingen van studenten en de academische gegevens, financi\u00eble gegevens en gezondheidsinformatie van duizenden studenten.\u00a0<\/li>\n\n\n\n
Liefdadigheidsinstelling<\/strong>: Verzamelt en verwerkt uitgebreide gegevens, zoals de bedragen die geschonken worden, contactgegevens van donateurs en gegevens van de begunstigde organisaties.\u00a0<\/li>\n<\/ul>\n\n\n\n
Samenvatting<\/strong><\/h2>\n\n\n\n
Goed begrijpen of uw organisatie doet aan verwerking op grote schaal is van cruciaal belang voor het bepalen of een Functionaris gegevensbescherming (Data Protection Officer of DPO) nodig is. Onder de AVG zijn publieke autoriteiten, organisaties die systematisch en op grote schaal individuen monitoren, of organisaties die grote hoeveelheden gevoelige gegevens verwerken verplicht om een DPO aan te stellen. Door te denken aan factoren als het aantal betrokkenen, gegevensvolume, de frequentie van het verwerken en de geografische reikwijdte, kunt u goed beoordelen wat uw verplichtingen zijn en zorgen voor een juiste naleving. <\/p>\n\n\n\n
Ook als uw organisatie niet wettelijk verplicht is om een DPO aan te stellen, kan het uw kader voor het beveiligen van uw zakelijke gegevens wel versterken. Ook geeft het blijk van een proactieve houding ten opzichte van de vereiste compliance. <\/p>\n\n\n\n
![\"\"](\"https:\/\/www.dpocentre.nl\/wp-content\/uploads\/2025\/03\/NL_What-does-large-scale-mean-for-the-GDPR-DPO-requirement_-graphic-1024x291.png\")
<\/figure>\n\n\n\n