Hoe u naleving van AVG kunt aantonen Artikel 37

Data Protection Officers zijn een fundamenteel onderdeel van de bredere cyberbeveiligingsoperatie van elke organisatie.

GDPR Artikel 37 benadrukt het belang van de rol en biedt richtlijnen over hoe een DPO moet worden benoemd, wat de kernactiviteiten van de rol zijn en hoe dergelijke benoemingen worden gecommuniceerd.

AVG Artikel 37 Wettelijke tekst

EU AVG-versie

Aanwijzing van de functionaris voor gegevensbescherming

1. De verwerkingsverantwoordelijke en de verwerker wijzen in ieder geval een functionaris voor gegevensbescherming aan:
• a) de verwerking wordt uitgevoerd door een overheidsinstantie of -orgaan, met uitzondering van rechtbanken die in hun rechterlijke hoedanigheid optreden;
• (b) de kernactiviteiten van de verwerkingsverantwoordelijke of de verwerker bestaan ​​uit verwerkingen die vanwege hun aard, omvang en/of doeleinden een regelmatige en systematische monitoring van de betrokkenen op grote schaal vereisen; of
• c) de kernactiviteiten van de verwerkingsverantwoordelijke of de verwerker bestaan ​​uit de verwerking op grote schaal van bijzondere categorieën gegevens overeenkomstig artikel 9 en persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten bedoeld in artikel 10.
2. Een combinatie van ondernemingen kan één functionaris voor gegevensbescherming aanstellen, op voorwaarde dat een functionaris voor gegevensbescherming vanuit elke vestiging gemakkelijk bereikbaar is.
3. Wanneer de verwerkingsverantwoordelijke of de verwerker een overheidsinstantie of -orgaan is, kan voor meerdere van dergelijke autoriteiten of instanties één functionaris voor gegevensbescherming worden aangewezen, rekening houdend met hun organisatiestructuur en omvang.
4. In andere gevallen dan die bedoeld in lid 1 kunnen de voor de verwerking verantwoordelijke of de verwerker of verenigingen en andere instanties die categorieën van voor de verwerking verantwoordelijken of verwerkers vertegenwoordigen, een functionaris voor gegevensbescherming aanwijzen of, indien vereist door de wetgeving van de Unie of de lidstaten, een functionaris voor gegevensbescherming aanwijzen. De functionaris voor gegevensbescherming kan optreden voor dergelijke verenigingen en andere instanties die verwerkingsverantwoordelijken of verwerkers vertegenwoordigen.
5. De functionaris voor gegevensbescherming wordt aangewezen op basis van professionele kwaliteiten en, in het bijzonder, deskundige kennis van de wetgeving en praktijken op het gebied van gegevensbescherming en het vermogen om de in artikel 39 bedoelde taken te vervullen.
6. De functionaris voor gegevensbescherming kan een medewerker van de verwerkingsverantwoordelijke of verwerker zijn, of de taken vervullen op basis van een dienstverleningsovereenkomst.
7. De verwerkingsverantwoordelijke of de verwerker publiceert de contactgegevens van de functionaris voor gegevensbescherming en deelt deze mee aan de toezichthoudende autoriteit.

Britse AVG-versie

Aanwijzing van de functionaris voor gegevensbescherming

1. De verwerkingsverantwoordelijke en de verwerker wijzen in ieder geval een functionaris voor gegevensbescherming aan:
• a) de verwerking wordt uitgevoerd door een overheidsinstantie of -orgaan, met uitzondering van rechtbanken die in hun rechterlijke hoedanigheid optreden;
• (b) de kernactiviteiten van de verwerkingsverantwoordelijke of de verwerker bestaan ​​uit verwerkingen die vanwege hun aard, omvang en/of doeleinden een regelmatige en systematische monitoring van de betrokkenen op grote schaal vereisen; of
• c) de kernactiviteiten van de verwerkingsverantwoordelijke of de verwerker bestaan ​​uit de verwerking op grote schaal van bijzondere categorieën gegevens overeenkomstig artikel 9 en persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten bedoeld in artikel 10.

2. Een combinatie van ondernemingen kan één functionaris voor gegevensbescherming aanstellen, op voorwaarde dat een functionaris voor gegevensbescherming vanuit elke vestiging gemakkelijk bereikbaar is.
3. Wanneer de verwerkingsverantwoordelijke of de verwerker een overheidsinstantie of -orgaan is, kan voor meerdere van dergelijke autoriteiten of instanties één functionaris voor gegevensbescherming worden aangewezen, rekening houdend met hun organisatiestructuur en omvang.
4. In andere gevallen dan die bedoeld in lid 1 kunnen de voor de verwerking verantwoordelijke of de verwerker of verenigingen en andere instanties die categorieën van voor de verwerking verantwoordelijken of verwerkers vertegenwoordigen, een functionaris voor gegevensbescherming aanwijzen. De functionaris voor gegevensbescherming kan optreden voor dergelijke verenigingen en andere instanties die verwerkingsverantwoordelijken of verwerkers vertegenwoordigen.
5. De functionaris voor gegevensbescherming wordt aangewezen op basis van professionele kwaliteiten en, in het bijzonder, deskundige kennis van de wetgeving en praktijken op het gebied van gegevensbescherming en het vermogen om de in artikel 39 bedoelde taken te vervullen.
6. De functionaris voor gegevensbescherming kan een medewerker van de verwerkingsverantwoordelijke of verwerker zijn, of de taken vervullen op basis van een dienstverleningsovereenkomst.
7. De verwerkingsverantwoordelijke of de verwerker publiceert de contactgegevens van de functionaris voor gegevensbescherming en deelt deze mee aan de commissaris.