De rol van een Data Privacy Officer (DPO)
De AVG vereist geen specifiek academisch diploma voor een DPO. Wel benadrukt zij dat de aanwijzing moet zijn gebaseerd op deskundigheid, technische kennis en professionele ervaring, met name kennis van het gegevensbeschermingsrecht en praktische ervaring op dit gebied. Daarnaast moet de DPO in staat zijn de taken uit te voeren die zijn vastgelegd in artikel 39 van de AVG, welke in een toekomstig artikel nader zullen worden geanalyseerd.
Hoewel juridische kennis essentieel is, moet de DPO ook beschikken over vaardigheden die verder gaan dan het strikt juridische domein, zoals kennis van technologieën voor gegevensverwerking en inzicht in de operationele context van de organisatie.
De European Data Protection Board (EDPB) benadrukt dat het vereiste kennisniveau moet aansluiten bij de gevoeligheid, complexiteit en omvang van de persoonsgegevens die door de organisatie worden verwerkt. Zo vereist het beheer van systematische doorgiften van persoonsgegevens buiten de Europese Unie een hoger deskundigheidsniveau dan incidentele doorgiften.
Hoewel er geen verplicht certificeringssysteem bestaat, kan professionele certificering dienen als hulpmiddel om te beoordelen of kandidaten aan de vereiste kwalificaties voldoen. Certificering is echter geen vereiste; verwerkingsverantwoordelijken en verwerkers kunnen ook andere bewijzen of kwalificaties aanvoeren om de deskundigheid van de DPO aan te tonen.
Moet de DPO een arbeidsrelatie hebben met de verwerkingsverantwoordelijke of verwerker?
Niet noodzakelijk. De AVG staat toe dat de DPO deel uitmaakt van het personeel van de organisatie of optreedt op basis van een dienstverleningsovereenkomst. Dit betekent dat de rol ook door een externe persoon of entiteit kan worden vervuld.
Wanneer een externe organisatie DPO-diensten levert, is het belangrijk dat de taken binnen het externe team duidelijk worden toegewezen en dat één verantwoordelijk aanspreekpunt wordt aangewezen voor de communicatie met de verwerkingsverantwoordelijke of verwerker.
Volgens de AVG (overweging 97) moet de DPO, zowel intern als extern, zijn taken onafhankelijk kunnen uitvoeren. Verwerkingsverantwoordelijken en verwerkers moeten ervoor zorgen dat de DPO geen instructies ontvangt met betrekking tot de uitvoering van zijn taken (artikel 38, lid 3, AVG).