Privacy officer
Bijgewerkt op · Door Maarten van den Bos
Een privacy officer is een medewerker die een organisatie helpt om persoonsgegevens volgens de AVG te verwerken. De privacy officer adviseert over privacyrisico's, houdt het verwerkingsregister bij, begeleidt DPIA's en traint collega's. Anders dan een functionaris gegevensbescherming (FG) heeft een privacy officer geen wettelijke positie en hoeft de functie niet bij de Autoriteit Persoonsgegevens te worden gemeld.
Wat doet een privacy officer?
Een privacy officer zorgt ervoor dat een organisatie zorgvuldig en volgens de wet met persoonsgegevens omgaat. De wet waar het om draait, is de Algemene verordening gegevensbescherming (AVG). De privacy officer vertaalt die regels naar de praktijk: welke gegevens mag de organisatie verzamelen, hoe lang mag ze die bewaren en wie mag erbij. Meer over de samenhang tussen privacy en beveiliging staat bij AVG en informatiebeveiliging.
De titel “privacy officer” staat niet in de wet. Elke organisatie vult de functie zelf in. In de praktijk bestaat het werk uit 6 taken:
- Bijhouden van het verwerkingsregister, het overzicht van alle verwerkingen van persoonsgegevens.
- Begeleiden van een DPIA (data protection impact assessment) bij verwerkingen met een hoog privacyrisico.
- Afhandelen van verzoeken van mensen die hun gegevens willen inzien of laten verwijderen.
- Coördineren van de aanpak bij een datalek, samen met IT en informatiebeveiliging.
- Opstellen van privacybeleid, privacyverklaringen en verwerkersovereenkomsten.
- Trainen van medewerkers, vaak als onderdeel van een programma voor security awareness.
Een junior privacy officer voert vooral uitvoerende taken uit, zoals het bijwerken van het register en het beantwoorden van inzageverzoeken. Een senior privacy officer adviseert het management en leidt DPIA’s.
Wat is het verschil tussen een privacy officer en een FG?
Een functionaris gegevensbescherming (FG), in het Engels data protection officer (DPO), is een functie uit de wet. De AVG regelt de positie en taken van de FG in artikel 37 tot 39. Een privacy officer heeft geen wettelijke positie. De Autoriteit Persoonsgegevens (AP) raadt organisaties aan om een medewerker die niet aan de eisen voor een FG hoeft te voldoen, “privacy officer” te noemen in plaats van FG (bron: Autoriteit Persoonsgegevens, De FG in uw organisatie).
| Privacy officer | Functionaris gegevensbescherming (FG) | |
|---|---|---|
| Wettelijke basis | Geen, de functietitel is vrij | Artikel 37 tot 39 AVG |
| Verplicht | Nooit | Voor overheidsinstanties en voor organisaties die op grote schaal mensen volgen of gevoelige gegevens verwerken |
| Melden bij de AP | Nee | Ja, de FG moet worden aangemeld bij de AP |
| Kern van de rol | Uitvoeren en adviseren | Onafhankelijk toezicht houden en adviseren |
| Onafhankelijkheid | Niet wettelijk geregeld | Geen instructies over de FG-taken, geen ontslag of sanctie vanwege die taken |
| Mag beslissen over verwerkingen | Ja, als de organisatie dat zo regelt | Nee, geen functie waarin de FG doel en middelen van een verwerking bepaalt |
Dat laatste verschil is in de praktijk het belangrijkste. Een FG mag volgens de AP geen functie hebben waarin die het doel en de middelen van een gegevensverwerking bepaalt. De AP noemt het verwerkingsregister ook uitdrukkelijk geen taak van de FG: de organisatie is daar zelf verantwoordelijk voor (bron: Autoriteit Persoonsgegevens, Taken en verantwoordelijkheden van de FG). Een privacy officer kan dat werk wel doen. Grote organisaties hebben daarom vaak allebei: een FG die toezicht houdt en een of meer privacy officers die het werk uitvoeren.
De functie van FG staat uitgebreid beschreven bij data protection officer. Volgens de AP zijn er in Nederland ongeveer 10.000 FG’s (bron: Autoriteit Persoonsgegevens, FG-informatie).
Welke opleiding heb je nodig?
Voor privacy officer is geen opleiding wettelijk verplicht. Veel privacy officers hebben een hbo- of wo-opleiding in rechten, bestuurskunde, informatiekunde of bedrijfskunde. Mensen die van een juridische functie, een compliancefunctie of een IT-functie overstappen, volgen vaak een aanvullende cursus over de AVG.
Werkgevers vragen in vacatures vaak om kennis van de AVG en de Uitvoeringswet AVG, ervaring met DPIA’s en basiskennis van normen voor informatiebeveiliging, zoals ISO 27001. Ook het uitvoeren van een risicoanalyse hoort bij het vak. Opleidingen en cursussen staan naast elkaar bij opleidingen privacy officer. Wie de hele route wil zien, van eerste cursus tot senior functie, leest de gids privacy officer worden.
Wat verdient een privacy officer?
Voor het salaris van een privacy officer in Nederland heeft esif.nl geen betrouwbare publieke bron gevonden. Salarissites noemen wel bedragen, maar die zijn niet te controleren. Daarom noemt esif.nl hier geen bedrag.
Het salaris hangt af van ervaring, sector en de zwaarte van de functie. Een junior privacy officer verdient minder dan een senior privacy officer die DPIA’s leidt en het management adviseert. Bij gemeenten en andere overheden bepaalt de salarisschaal van de functie in de cao het bedrag. Een overzicht van salarissen in het vakgebied staat in de gids salaris in cybersecurity.
Hoe ziet een werkdag eruit?
Een werkdag van een privacy officer bestaat uit adviseren, documenteren en afstemmen met andere afdelingen. Een typische dag ziet er zo uit:
- Beantwoord een inzageverzoek van een klant of medewerker binnen de wettelijke termijn.
- Beoordeel samen met IT een melding van een mogelijk datalek en bepaal of die gemeld moet worden.
- Bespreek met een projectteam of een nieuwe applicatie een DPIA nodig heeft.
- Controleer een verwerkersovereenkomst met een leverancier.
- Werk het verwerkingsregister bij en bereid een training over privacy voor.
Heeft de organisatie ook een FG, dan legt de privacy officer lastige vragen aan de FG voor. De FG adviseert en houdt toezicht, de privacy officer voert uit. Meer over de wetgeving staat bij AVG en informatiebeveiliging.
Veelgestelde vragen
Wat is het verschil tussen een FG en een privacy officer?
Een FG (functionaris gegevensbescherming) is een wettelijke functie uit artikel 37 tot 39 van de AVG, met een onafhankelijke positie en een aanmeldplicht bij de Autoriteit Persoonsgegevens. Een privacy officer heeft geen wettelijke positie en voert vooral uit: verwerkingsregister, DPIA’s, datalekken en trainingen. Een FG houdt toezicht, ook op het werk van de privacy officer.
Is een privacy officer verplicht?
Nee. Geen enkele wet verplicht een organisatie om een privacy officer aan te stellen. Wel is een FG verplicht voor overheidsinstanties en voor organisaties die op grote schaal mensen volgen of bijzondere of strafrechtelijke persoonsgegevens verwerken. Veel andere organisaties kiezen vrijwillig voor een privacy officer om de AVG goed na te leven.
Wat zijn de taken van een privacy officer?
Een privacy officer houdt het verwerkingsregister bij, begeleidt DPIA’s, handelt inzage- en verwijderverzoeken af, coördineert de aanpak van datalekken en stelt privacybeleid op. Daarnaast traint de privacy officer medewerkers. De precieze taken verschillen per organisatie, omdat de functie niet in de wet staat.
Welke opleiding heb je nodig om privacy officer te worden?
Er is geen verplichte opleiding. Veel privacy officers hebben een hbo- of wo-opleiding in rechten, bestuurskunde of informatiekunde, aangevuld met een cursus over de AVG. Werkgevers vragen vaak om ervaring met DPIA’s en basiskennis van informatiebeveiliging. Een vergelijking van cursussen staat bij opleidingen privacy officer op esif.nl.
Wat verdient een privacy officer?
Er is geen betrouwbare publieke bron voor het salaris van een privacy officer in Nederland. Het salaris hangt af van ervaring, sector en verantwoordelijkheden. Bij gemeenten en andere overheden bepaalt de salarisschaal van de functie het bedrag. Zie de gids over salarissen in cybersecurity voor meer context.