Onderwijsorganisaties verwerken dagelijks grote hoeveelheden persoonsgegevens van leerlingen, studenten, ouders en medewerkers. Deze gegevens worden gebruikt voor uiteenlopende onderwijs- en administratieve processen. Door de toenemende digitalisering en de inzet van AI in het onderwijs is extra aandacht voor privacy en gegevensbescherming noodzakelijk.
De Functionaris Gegevensbescherming (FG) heeft binnen het onderwijs een bijzondere positie. De FG adviseert de onderwijsorganisatie en houdt onafhankelijk toezicht op de naleving van de privacywetgeving. Om die rol goed te kunnen vervullen, is er een duidelijke positionering binnen de organisatie noodzakelijk.
Wie is verantwoordelijk voor het privacybeleid? Wanneer moet de FG worden betrokken? Hoe verhoudt de FG zich tot de Privacy Officer of IBP-functionaris? Heeft de FG voldoende toegang tot het bestuur, informatie en middelen?
De Autoriteit Persoonsgegevens (AP) benadrukt dat duidelijkheid over rollen, verantwoordelijkheden en processen belangrijk is om de FG goed te laten functioneren.
Een belangrijk uitgangspunt is dat de FG niet verantwoordelijk is voor de naleving van de AVG binnen een onderwijsorganisatie. Die verantwoordelijkheid ligt bij de organisatie zelf en daarmee uiteindelijk bij het bestuur.
De FG heeft op grond van de AVG onder meer als taak om de organisatie te informeren en te adviseren, toezicht te houden op de naleving van de AVG en samen te werken met de Autoriteit Persoonsgegevens. De FG moet deze werkzaamheden onafhankelijk kunnen uitvoeren. Dat betekent onder andere dat de FG geen instructies mag krijgen over de uitvoering van de FG-taken.
Dit onderscheid is in het onderwijs belangrijk. Een FG kan adviseren over een privacyvraagstuk, risico’s signaleren en controleren of processen goed zijn ingericht. Het is niet de bedoeling dat de FG vervolgens zelf verantwoordelijk wordt voor het uitvoeren van de maatregelen waarop later toezicht moet worden gehouden.
De FG heeft naast een toezichthoudende ook een adviserende rol. Dat betekent dat een schoolbestuur de FG bijvoorbeeld kan betrekken bij een DPIA, de invoering van een nieuw digitaal systeem of een verwerking waarbij privacyrisico’s spelen.
De FG kan risico’s beoordelen en adviseren over mogelijke maatregelen. De onderwijsorganisatie bepaalt vervolgens welke maatregelen daadwerkelijk worden genomen en blijft daarvoor verantwoordelijk.
De AP benoemt hierbij het principe ‘comply or explain’. De FG en het bestuur leggen vast wat er met een advies van de FG gebeurt en waarom een advies eventueel niet wordt overgenomen.
Hierdoor blijft de rolverdeling helder: de FG adviseert en houdt toezicht, terwijl het bestuur en de verantwoordelijke functionarissen besluiten nemen en zorgen voor de uitvoering.
In de praktijk wordt een FG soms pas gevraagd om mee te kijken wanneer een project al vergevorderd is. Dan zijn belangrijke keuzes vaak al gemaakt.
Een goede positionering betekent dat de FG tijdig wordt betrokken bij ontwikkelingen die gevolgen hebben voor de bescherming van persoonsgegevens. De AP noemt daarbij expliciet de ontwikkeling en doorontwikkeling van producten en diensten.
Binnen het onderwijs kan dat bijvoorbeeld spelen bij de aanschaf van een nieuw leerlingadministratiesysteem, de inzet van digitale leermiddelen, nieuwe vormen van gegevensuitwisseling of andere projecten waarbij persoonsgegevens worden verwerkt.
Door de FG vroeg te betrekken, kunnen privacyrisico’s worden besproken op een moment dat er nog ruimte is om keuzes aan te passen.
Door de toenemende digitalisering van het onderwijs wordt het steeds belangrijker om de Functionaris Gegevensbescherming (FG) vroegtijdig te betrekken bij nieuwe ontwikkelingen. Scholen en onderwijsinstellingen maken gebruik van een groot aantal digitale toepassingen en ook AI krijgt een steeds grotere plaats binnen onderwijs en bedrijfsvoering.
Wanneer daarbij persoonsgegevens worden verwerkt, kunnen nieuwe privacyrisico’s ontstaan. Het is daarom belangrijk dat binnen de organisatie duidelijk is wanneer een ontwikkeling aan de FG moet worden voorgelegd.
De FG hoeft daarbij niet zelf eigenaar te worden van de implementatie. Vanuit de onafhankelijke positie kan de FG adviseren, risico’s signaleren en vervolgens toezicht houden op de wijze waarop de onderwijsorganisatie haar verantwoordelijkheid invult.
Een onafhankelijke FG moet ook daadwerkelijk in staat zijn om onafhankelijk toezicht te houden. Daarvoor is de organisatorische positionering van belang.
Het bestuur moet volgens de AP de onafhankelijke positie van de FG waarborgen door de FG op de juiste manier organisatorisch in te bedden en voldoende middelen en toegang tot het bestuur en de organisatie te geven.
Binnen een onderwijsorganisatie betekent dit bijvoorbeeld dat een FG belangrijke bevindingen rechtstreeks bij het bestuur moet kunnen neerleggen. De FG moet niet afhankelijk zijn van verschillende managementlagen voordat een belangrijk privacyrisico bestuurlijk kan worden besproken.
Die rechtstreekse toegang is vooral van belang wanneer de FG constateert dat risico’s onvoldoende worden beheerst of eerdere adviezen niet worden opgevolgd.
Het aanwijzen van een FG op papier is niet voldoende. De functie moet ook praktisch uitvoerbaar zijn.
Een onderwijsorganisatie moet daarom kijken naar de omvang en complexiteit van de organisatie en naar de hoeveelheid en aard van de persoonsgegevens die worden verwerkt. Een schoolbestuur met meerdere scholen, veel medewerkers en duizenden leerlingen heeft een andere toezichtsomvang dan een kleine organisatie.
De AP benadrukt dat het bestuur een werkomgeving moet creëren waarin de FG de functie goed kan uitvoeren. De organisatie moet de FG bovendien in staat stellen om deskundigheid en vaardigheden op peil te houden.
Denk daarom niet alleen aan het aantal beschikbare FG-uren, maar ook aan toegang tot relevante documenten, medewerkers, overleggen en specialistische ondersteuning wanneer dat nodig is.
Een belangrijk onderdeel van de positionering is de informatiepositie van de FG. Binnen een onderwijsorganisatie vinden op verschillende plekken ontwikkelingen plaats die relevant kunnen zijn voor privacy. ICT implementeert een applicatie, een school schaft een digitaal leermiddel aan, HR wijzigt een proces en een projectgroep onderzoekt een nieuwe digitale toepassing.
Wanneer de FG pas achteraf van deze ontwikkelingen hoort, wordt effectief toezicht lastig.
De AP benadrukt daarom dat de organisatie de FG tijdig en naar behoren moet informeren over zaken die betrekking hebben op de bescherming van persoonsgegevens. Ook bij contacten tussen de organisatie en de AP heeft de FG een centrale positie.
Het helpt om hierover vaste interne afspraken te maken. Zo wordt de betrokkenheid van de FG onderdeel van processen en is deze minder afhankelijk van individuele medewerkers die toevallig aan de FG denken.
Binnen steeds meer onderwijsorganisaties wordt de FG ondersteund door een Privacy Officer of een andere medewerker met privacy- of IBP-taken. Deze functies kunnen elkaar goed aanvullen, mits de verantwoordelijkheden duidelijk zijn.
Een Privacy Officer kan bijvoorbeeld ondersteunen bij DPIA’s, verwerkersovereenkomsten, datalekken, het verwerkingsregister, privacyvragen vanuit scholen en de ontwikkeling en uitvoering van het privacybeleid.
De FG kijkt vanuit een andere positie naar de organisatie. De FG houdt onafhankelijk toezicht en beoordeelt of de onderwijsorganisatie haar verantwoordelijkheden op het gebied van gegevensbescherming voldoende invult.
Een duidelijke taakverdeling voorkomt dat de FG te veel in de uitvoering terechtkomt en vervolgens toezicht moet houden op werkzaamheden die de FG zelf heeft uitgevoerd.
Het combineren van de FG-functie met andere werkzaamheden vraagt om een zorgvuldige afweging van taken en verantwoordelijkheden.
Een FG mag andere taken hebben, zolang deze geen belangenconflict veroorzaken en de onafhankelijke positie niet aantasten. De AP benadrukt dat een FG geen functie kan vervullen waarin deze operationele verantwoordelijkheid draagt voor gegevensverwerkingen.
Binnen het onderwijs is het daarom verstandig om niet alleen naar functietitels te kijken. De feitelijke werkzaamheden zijn minstens zo belangrijk. Wie stelt beleid vast? Wie besluit over systemen of maatregelen? En wie is verantwoordelijk voor de uitvoering?
Wanneer dezelfde persoon daarover beslissingen neemt én vanuit de FG-rol toezicht moet houden op die beslissingen, kan de onafhankelijkheid onder druk komen te staan.
Een goed gepositioneerde FG is niet alleen zichtbaar voor het bestuur. Ook medewerkers, leerlingen, studenten, ouders en andere betrokkenen moeten de FG kunnen bereiken wanneer dat nodig is.
Volgens de AP moet de FG rechtstreeks benaderbaar en aanspreekbaar zijn. Voor externe betrokkenen gebruik je daarvoor een functioneel e-mailadres van de FG.
Intern is het belangrijk dat medewerkers weten wat de rol van de FG is. Niet iedere privacyvraag hoeft rechtstreeks bij de FG terecht te komen. Een duidelijke verdeling van taken en verantwoordelijkheden tussen bijvoorbeeld de Privacy Officer, IBP-functionaris en FG draagt bij aan een goede samenwerking en heldere rolverdeling.
De onafhankelijke positie van de FG wordt vooral zichtbaar wanneer de FG kritisch moet zijn.
Wanneer de FG problemen met de naleving van de AVG constateert, moet deze de verantwoordelijke binnen de organisatie daarop kunnen aanspreken. Indien nodig moet de FG het hoogste bestuurlijke niveau kunnen benaderen. De verantwoordelijkheid om vervolgens maatregelen te nemen blijft bij het bestuur.
Het is daarom verstandig om binnen de onderwijsorganisatie vooraf afspraken te maken over rapportage en escalatie. Bijvoorbeeld over periodieke rapportages aan het bestuur en de werkwijze bij belangrijke bevindingen die niet of onvoldoende worden opgevolgd.
Een goede FG kent de AVG en begrijpt de belangrijkste regels rond gegevensbescherming. In de dagelijkse praktijk is juridische kennis alleen niet voldoende.
De FG moet ook kunnen beoordelen waar de belangrijkste risico’s liggen, onafhankelijk advies kunnen geven, bevindingen helder kunnen rapporteren en effectief kunnen communiceren met uiteenlopende functies binnen de onderwijsorganisatie.
Dat betekent samenwerken met bestuurders, schoolleiders, Privacy Officers, IBP-professionals, ICT, HR, inkoop, juridische professionals en medewerkers binnen de scholen. Tegelijkertijd moet de FG voldoende afstand bewaren om onafhankelijk toezicht te kunnen blijven houden. Deze combinatie maakt de functie zo uitdagend.
Wie als FG binnen het onderwijs gaat werken of de bestaande FG-rol verder wil professionaliseren, heeft daarom behoefte aan zowel kennis als praktische vaardigheden.
De praktische klassikale Opleiding Functionaris Gegevensbescherming (FG) van AVG-trainingen richt zich op de daadwerkelijke uitvoering van de functie. Deelnemers verdiepen zich in privacywetgeving en leren hoe zij als FG in de praktijk onafhankelijk adviseren, toezicht houden en hun positie binnen de organisatie vormgeven.
Hoe bewaak je de grens tussen adviseren en uitvoeren? Hoe ga je om met privacyrisico’s? Wat doe je wanneer een advies niet wordt opgevolgd? Hoe werk je goed samen met een Privacy Officer? En hoe communiceer je met management en bestuur zonder je onafhankelijke positie uit het oog te verliezen?
De klassikale en praktijkgerichte aanpak biedt ruimte om met herkenbare situaties en casussen te werken. Zo leren deelnemers hoe zij hun kennis van de AVG in de praktijk toepassen bij het uitvoeren van hun taken als Functionaris Gegevensbescherming.
Een FG benoemen is één stap. De FG daadwerkelijk in staat stellen om de functie onafhankelijk en professioneel uit te oefenen, vraagt meer.
Een goede positionering vraagt om duidelijke verantwoordelijkheden, onafhankelijkheid, voldoende tijd en middelen, een sterke informatiepositie, vroegtijdige betrokkenheid en directe toegang tot het bestuur.
Daarnaast helpt een heldere taakverdeling tussen de FG, Privacy Officer en andere IBP-professionals om uitvoering, advisering en toezicht goed van elkaar te onderscheiden.
Zo krijgt de FG de ruimte om te doen waarvoor de functie bedoeld is: onafhankelijk toezicht houden, privacyrisico’s signaleren, adviseren en bijdragen aan een zorgvuldige omgang met persoonsgegevens van leerlingen, studenten, ouders en medewerkers binnen het onderwijs.
Ja. De FG moet het hoogste bestuurlijke niveau rechtstreeks kunnen aanspreken wanneer dat voor het toezicht nodig is. Binnen een onderwijsorganisatie betekent dit dat de FG privacyrisico's en bevindingen op bestuurlijk niveau moet kunnen bespreken. Het bestuur blijft verantwoordelijk voor de keuzes die vervolgens worden gemaakt.
De FG moet tijdig worden betrokken bij zaken die gevolgen hebben voor de bescherming van persoonsgegevens. In het onderwijs kun je bijvoorbeeld denken aan de invoering van een nieuw leerlingvolgsysteem, digitale leermiddelen, cameratoezicht, gegevensuitwisseling, een DPIA of nieuwe toepassingen van AI. De AP benadrukt dat de FG vroegtijdig betrokken hoort te worden bij de ontwikkeling en doorontwikkeling van producten en diensten.
De FG houdt onafhankelijk toezicht en adviseert de onderwijsorganisatie. Een Privacy Officer kan juist een belangrijke rol spelen bij de dagelijkse uitvoering van privacywerkzaamheden. Denk aan het begeleiden van DPIA's, ondersteunen bij datalekken, het bijhouden van het verwerkingsregister, beoordelen van verwerkersovereenkomsten en ondersteunen van scholen en medewerkers bij privacyvragen. Een heldere taakverdeling voorkomt dat uitvoering en onafhankelijk toezicht door elkaar gaan lopen.
Een combinatie van werkzaamheden vraagt om zorgvuldigheid. Andere taken mogen de onafhankelijke positie van de FG niet aantasten en mogen niet tot een belangenconflict leiden. De FG moet voorkomen dat deze operationeel verantwoordelijk wordt voor verwerkingen waarop later vanuit de FG-rol toezicht moet worden gehouden.
Nee. Het schoolbestuur of de onderwijsorganisatie blijft verantwoordelijk voor de naleving van de AVG. De FG houdt toezicht, signaleert risico's en adviseert. De FG neemt de verantwoordelijkheid voor privacybeleid en de uitvoering daarvan niet over.
De AP beschrijft hierbij het principe 'comply or explain'. De FG en het bestuur leggen vast wat er met een advies is gedaan en waarom een advies eventueel niet is overgenomen. De uiteindelijke verantwoordelijkheid voor het besluit blijft bij de onderwijsorganisatie.
Een FG kan alleen goed toezicht houden wanneer relevante ontwikkelingen bekend zijn. Het is daarom belangrijk dat bijvoorbeeld nieuwe systemen, DPIA's, datalekken, privacyklachten en belangrijke veranderingen in gegevensverwerkingen tijdig onder de aandacht van de FG worden gebracht. De AP benadrukt dat de organisatie de FG tijdig en naar behoren moet informeren.
Wanneer digitale leermiddelen of AI-toepassingen persoonsgegevens verwerken, kan de FG vanuit de onafhankelijke positie adviseren en toezicht houden op de wijze waarop de onderwijsorganisatie met de privacyrisico's omgaat. De uitvoering, besluitvorming en beheersing van de verwerking blijven verantwoordelijkheden van de onderwijsorganisatie.
Privacyvraagstukken in het onderwijs raken vaak verschillende disciplines. ICT houdt zich bijvoorbeeld bezig met systemen en technische maatregelen, terwijl een Privacy Officer privacyprocessen kan ondersteunen. De FG houdt vanuit een onafhankelijke positie toezicht. Heldere afspraken over taken, verantwoordelijkheden, informatievoorziening en escalatie helpen om deze samenwerking goed te organiseren.
De praktische klassikale Opleiding Functionaris Gegevensbescherming (FG) van AVG-trainingen is geschikt voor professionals die als FG aan de slag gaan of hun bestaande kennis en vaardigheden verder willen ontwikkelen. De opleiding richt zich niet alleen op wet- en regelgeving, maar juist ook op de praktische uitvoering van de FG-functie.
Deelnemers leren hoe zij onafhankelijk toezicht kunnen houden, privacyrisico's beoordelen, adviseren en hun positie binnen een organisatie duidelijk kunnen innemen. Deze praktische benadering sluit aan bij vraagstukken waarmee FG's binnen onderwijsorganisaties in hun dagelijkse werkzaamheden te maken kunnen krijgen.
Voor een goede samenwerking op het gebied van privacy en informatiebeveiliging werken verschillende afdelingen en professionals nauw met elkaar samen. Gemeenten, ministeries, provincies, waterschappen en
Vanaf 1 september 2026 geldt de Verzamelwet gegevensbescherming. De wet bundelt een reeks aanpassingen van de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) en van enkele andere
Een klant mailt: ‘Welke gegevens hebben jullie eigenlijk van mij?’ Een oud-medewerker wil weten wat er na zijn vertrek nog over hem wordt bewaard. Een
