Een DPO is de functie die binnen een Belgische scale-up privacyrisico’s, rechten van betrokkenen en verantwoordingsplichten bewaakt wanneer een nieuw klantenplatform wordt voorbereid. Terwijl marketing gedragsdata wil analyseren, IT een cloudleverancier inschakelt en de juridische afdeling vragen krijgt over bewaartermijnen, helpt de DPO dus vroeg bepalen wat moet worden meegenomen, in plaats van pas aan het einde te controleren of de privacyverklaring klopt.
Een functionaris voor gegevensbescherming, meestal DPO genoemd, is de onafhankelijke privacyrol die organisaties adviseert, toezicht houdt op naleving van de AVG, meewerkt aan bewustmaking en fungeert als contactpunt voor betrokkenen en de Belgische Gegevensbeschermingsautoriteit, ook bekend als GBA/APD. In België staat de rol in de praktijk op het kruispunt van Europees recht, Belgische uitvoeringsregels, informatiebeveiliging, governance en dagelijkse bedrijfsbeslissingen.
Wat doet een DPO in België?
De kern van de DPO-rol ligt in de artikelen 37 tot en met 39 van de AVG. Artikel 37 beschrijft wanneer een DPO verplicht is, artikel 38 beschermt de positie en onafhankelijkheid van de DPO, en artikel 39 beschrijft de taken: informeren en adviseren, toezien op naleving, adviseren over gegevensbeschermingseffectbeoordelingen, samenwerken met de toezichthouder en optreden als aanspreekpunt.
Die juridische omschrijving wordt in België aangevuld door de Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens. De GBA/APD geeft daarnaast richtsnoeren, beslissingen en praktische duiding die organisaties helpen bij de interpretatie van begrippen zoals belangenconflict, onafhankelijkheid, grootschalige verwerking en verantwoordelijkheid van de verwerkingsverantwoordelijke.
In de dagelijkse praktijk is de DPO geen privacy-administrateur die documenten bijwerkt wanneer iemand daarom vraagt. De rol is eerder die van kritische adviseur die vroeg in projecten betrokken moet worden, risico’s zichtbaar maakt, bestuurders informeert en controleert of privacyafspraken daadwerkelijk werken. Een goede DPO begrijpt waarom een datastroom bestaat, welke rechtsgrond wordt gebruikt, welke systemen betrokken zijn, welke leveranciers toegang hebben en wat er gebeurt wanneer een betrokkene zijn rechten uitoefent.
Dat maakt de functie breder dan puur juridisch werk. Privacyverklaringen, verwerkersovereenkomsten en bewaartermijnen blijven belangrijk, maar moderne DPO’s moeten ook kunnen meepraten over cloudarchitectuur, toegangsbeheer, logging, dataclassificatie, incidentrespons en vendor risk. Wie zich wil verdiepen in de basis van de rol kan starten met een overzicht van de essentiële verantwoordelijkheden van een DPO, maar de Belgische invulling vraagt vooral om toepassing in concrete organisatieprocessen.
Wanneer is een DPO wettelijk verplicht?
De AVG verplicht niet elke onderneming om een DPO aan te stellen. Artikel 37 noemt drie hoofdscenario’s. Een DPO is vereist wanneer de verwerking wordt uitgevoerd door een overheidsinstantie of overheidsorgaan, wanneer de kernactiviteiten bestaan uit regelmatige en systematische monitoring van betrokkenen op grote schaal, of wanneer de kernactiviteiten bestaan uit grootschalige verwerking van bijzondere categorieën persoonsgegevens of strafrechtelijke gegevens.
- Overheidsinstanties en publieke organen hebben in de regel een DPO nodig.
- Organisaties die op grote schaal mensen volgen, profileren of monitoren moeten de verplichting zorgvuldig beoordelen.
- Organisaties die op grote schaal gevoelige gegevens verwerken, zoals gezondheidsgegevens of strafrechtelijke gegevens, vallen sneller onder de verplichting.
Het lastige begrip is meestal “grote schaal”. Belgische organisaties kijken daarbij niet alleen naar het aantal betrokkenen, maar ook naar de aard van de gegevens, de duur van de verwerking, de geografische reikwijdte, de frequentie van monitoring en de rol van verwerking in de kernactiviteit. Een ziekenhuis, ziekenfonds, sociaal secretariaat, telecomspeler of platformbedrijf komt daardoor sneller in beeld dan een kleine onderneming die enkel basisgegevens van klanten en medewerkers verwerkt.
Toch is de juridische verplichting niet het enige criterium. Sommige organisaties stellen vrijwillig een DPO aan omdat klanten, moederbedrijven, publieke aanbestedingen of sectorale verwachtingen daarom vragen. In dat geval gelden de AVG-regels voor de positie van de DPO eveneens: de functie moet onafhankelijk kunnen werken, voldoende middelen krijgen en rechtstreeks kunnen rapporteren aan het hoogste managementniveau.
Onafhankelijkheid is vaak het moeilijkste deel van de functie
Een veelgemaakte fout is dat een organisatie de DPO-rol combineert met een functie die zelf beslist over het doel of de middelen van verwerkingen. Een CISO, CIO, hoofd compliance, HR-directeur of marketingverantwoordelijke kan waardevolle privacykennis hebben, maar kan ook in een belangenconflict terechtkomen wanneer dezelfde persoon zowel de verwerking ontwerpt als onafhankelijk toezicht moet houden.
Artikel 38 van de AVG vraagt dat de DPO geen instructies krijgt over de uitvoering van zijn taken, niet wordt benadeeld wegens het uitvoeren van die taken en rechtstreeks rapporteert aan het hoogste management. Dat betekent niet dat de DPO buiten de organisatie staat. Het betekent wel dat de rol voldoende vrijheid moet hebben om oncomfortabele adviezen te geven, DPIA’s kritisch te beoordelen en escalaties te maken wanneer risico’s niet worden aangepakt.
Voor kmo’s is dit een praktische uitdaging. Een voltijdse interne DPO is niet altijd haalbaar, terwijl de verplichtingen wel reëel kunnen zijn. Daarom kiezen Belgische kmo’s vaak voor een parttime DPO, een gedeelde groepsfunctie of een externe DPO-dienst. Die aanpak kan werken, zolang de externe of deeltijdse DPO voldoende toegang heeft tot projecten, documentatie, beslissers en incidentinformatie.
Hoe ziet het werk van een DPO eruit?
De werkweek van een DPO bestaat zelden uit één type taak. Op maandag kan de focus liggen op een DPIA voor een nieuw HR-systeem, op dinsdag op een vraag van een betrokkene, op woensdag op een datalekbeoordeling, en later in de week op een bestuursrapportage of leveranciersreview. De waarde van de rol ligt in het verbinden van die losse dossiers tot één beheersbaar privacyprogramma.
Een belangrijk instrument is het register van verwerkingsactiviteiten, vaak ROPA genoemd. Veel organisaties maken dit register eenmalig aan voor auditdoeleinden, maar laten het daarna verouderen. In de praktijk verliest het register dan snel waarde. Een bruikbaar ROPA sluit aan op procurement, project intake, applicatiebeheer en dataretentie, zodat nieuwe systemen, leveranciers en verwerkingen tijdig worden toegevoegd.
DPIA-triage wordt eveneens onderschat. Niet elk project vraagt een volledige DPIA, maar elk risicovol project moet wel tijdig worden beoordeeld. De DPO helpt bepalen of de verwerking waarschijnlijk een hoog risico inhoudt, welke mitigaties nodig zijn en welke besluiten worden vastgelegd. Wie een praktisch kader zoekt voor deze beoordeling kan verder lezen in deze uitleg over DPO-training en privacyrisico’s.
Leveranciersbeheer is een ander terrein waar de DPO-rol zwaarder is geworden. Cloudplatformen, payrollproviders, marketingtools, AI-diensten en supportpartijen verwerken vaak persoonsgegevens namens de organisatie. De DPO moet niet elke contractclausule zelf onderhandelen, maar moet wel kunnen beoordelen of verwerkersafspraken, doorgiften, subverwerkers, beveiligingsmaatregelen en exit-afspraken passend zijn.
Steeds meer DPO’s werken met een praktische toolstack. Die kan bestaan uit ROPA- en DPIA-templates, een privacy-ticketingsysteem, een integrated risk management-platform, awarenessmodules, leveranciersvragenlijsten en eenvoudige dashboards voor het bestuur. Nuttige metrics zijn bijvoorbeeld doorlooptijd van verzoeken van betrokkenen, openstaande DPIA-acties, datalekmeldingen per status, trainingsgraad en verwerkingen zonder actuele eigenaar. De cijfers zijn geen doel op zich, maar helpen bestuurders zien waar privacyrisico’s operationeel blijven hangen.
Welke achtergronden passen bij een DPO-carrière?
Er bestaat geen enkel verplicht beroepsprofiel voor DPO’s. Juristen brengen sterke interpretatievaardigheden mee, zeker bij rechtsgronden, contracten, rechten van betrokkenen en toezichthoudercommunicatie. Hun ontwikkelpunt ligt vaak in technische systemen, securitycontrols en projectgovernance. IT- en securityprofessionals begrijpen datastromen, toegangsbeheer en incidentrespons sneller, maar moeten investeren in juridische redenering, documentatieplicht en proportionaliteit.
Auditors en complianceprofessionals hebben dan weer ervaring met controles, bewijsvoering, rapportage en managementcommunicatie. Hun uitdaging is om privacy niet te beperken tot jaarlijkse controles, maar mee te bewegen met productontwikkeling, HR-processen, marketingcampagnes en leverancierswijzigingen. In grotere organisaties is de DPO bovendien zelden alleen: privacy champions, legal counsel, CISO, risk management, procurement en business owners dragen allemaal een deel van het programma.
In België speelt taal ook een praktische rol. Nederlands en Frans zijn belangrijk voor interne communicatie, betrokkenenrechten, beleidsdocumenten en interactie met Belgische stakeholders. Engels is vaak nodig in internationale groepen, bij cloudcontracten, bij Europese guidance en bij rapportering aan hoofdkantoren. Meertaligheid vergroot daarom niet alleen de inzetbaarheid, maar ook de effectiviteit van de DPO in organisaties met vestigingen of klanten in meerdere regio’s.
Welke kennis en opleidingen zijn nuttig?
Een DPO moet de AVG kunnen toepassen, maar ook weten hoe privacyprocessen worden ingericht. Dat vraagt kennis van rechtsgronden, transparantie, bewaartermijnen, dataminimalisatie, verwerkersrelaties, internationale doorgiften, DPIA’s, datalekken en rechten van betrokkenen. Daarnaast helpt basiskennis van informatiebeveiliging, omdat privacyrisico’s vaak ontstaan door zwakke toegang, gebrekkige logging, slechte dataclassificatie of onduidelijke eigenaarschap.
Certificeringen kunnen structuur geven aan die ontwikkeling, zolang ze niet worden gezien als vervanging voor praktijkervaring. Juridisch georiënteerde kandidaten kijken vaak naar privacycertificeringen zoals CIPP/E. Wie privacyprogramma’s wil beheren, kan baat hebben bij CIPM-achtige kennis. Professionals die privacy willen koppelen aan een managementsysteem en controls verdiepen zich vaak in ISO/IEC 27701 en de relatie met ISO/IEC 27001.
Een praktijkgerichte opleiding zoals de GDPR Masterclass van Readynez kan helpen om AVG-kennis te vertalen naar dossiers zoals DPIA’s, datalekken en verwerkersbeheer. Voor wie een formele stap richting de rol wil zetten, kan een DPO-certificering vooral waardevol zijn wanneer de opleiding cases, documentatie en besluitvorming behandelt in plaats van alleen definities.
Salaris: hoe beoordeel je een DPO-rol realistisch?
Salarisverwachtingen voor DPO’s in België hangen sterk af van sector, senioriteit, taalvereisten, internationale reikwijdte, rapportagelijn, teamgrootte en de mate waarin de functie strategisch of uitvoerend is. Een DPO die rechtstreeks aan directie of raad van bestuur rapporteert en complexe verwerkingen over meerdere landen opvolgt, wordt anders gewaardeerd dan een privacy officer die vooral registers en verzoeken beheert onder toezicht van legal of compliance.
Bij salarisvergelijking is methodologie belangrijker dan één los bedrag. Een betrouwbaar beeld combineert Belgische salarisrapporten, vacaturedata, sectorinformatie, functieniveau, regio, extralegale voordelen en de vraag of de rol intern, extern, voltijds of deeltijds is. Statbel kan context geven over Belgische arbeidsmarkt- en loonontwikkelingen, terwijl gespecialiseerde salarisrapporten nuttig zijn om compliance-, legal-, risk- en securityfuncties naast elkaar te leggen. Omdat dergelijke bronnen per jaar en methodologie verschillen, is het verstandiger om een salarisband altijd te dateren en te vergelijken met vergelijkbare verantwoordelijkheden.
Voor kandidaten is vooral de functiebeschrijving bepalend. Een vacature met de titel DPO kan in werkelijkheid een privacy administrator, legal counsel, security governance manager of brede compliancefunctie zijn. Wie onderhandelt, doet er goed aan te vragen naar rapportagelijn, beslissingsruimte, budget, ondersteuning, aantal betrokken landen, type verwerkingen, incidenthistoriek en verwachte beschikbaarheid buiten kantooruren bij datalekken.
Een realistische route naar de DPO-rol
De instap naar DPO verloopt vaak via privacy officer, compliance officer, legal counsel, IT risk specialist, security governance consultant of auditor. De snelste route is meestal niet om direct de titel te zoeken, maar om aantoonbaar privacyverantwoordelijkheid op te bouwen in projecten. Dat kan door DPIA’s te begeleiden, verwerkersovereenkomsten te beoordelen, datalekprocedures te verbeteren, awareness te ontwikkelen of ROPA-eigenaarschap te organiseren.
- Bouw een stevige basis in AVG, Belgische privacycontext en taken van de DPO.
- Kies een instroomhoek: juridisch, security, audit, compliance of governance.
- Werk aan praktijkdossiers zoals DPIA’s, ROPA, datalekken en leveranciersreviews.
- Ontwikkel bestuurscommunicatie, zodat privacyrisico’s begrijpelijk worden voor beslissers.
- Toets vacatures kritisch op onafhankelijkheid, middelen, rapportagelijn en belangenconflicten.
Een nuttige tussenstap is het opbouwen van een portfolio van concrete deliverables. Denk aan een DPIA-template, een bijgewerkte datalekprocedure, een leveranciersbeoordelingsmodel, een privacy-by-design intakeformulier of een dashboard voor managementrapportage. Zulke voorbeelden tonen beter dan een algemeen cv dat de kandidaat privacy kan operationaliseren.
Hiring managers doen er goed aan de DPO-functie niet te smal te definiëren. Een goede vacature benoemt niet alleen kennis van de AVG, maar ook onafhankelijkheid, toegang tot management, verwachte samenwerking met legal, security en procurement, taalvereisten en beschikbare ondersteuning. Als de organisatie een externe of parttime DPO zoekt, moet duidelijk zijn wie intern verantwoordelijk blijft voor opvolging van acties.
Waar deze carrière naartoe kan groeien
Een DPO-carrière kan verschillende richtingen uitgaan. Sommige professionals blijven dicht bij de toezichtsrol en groeien naar senior DPO, group DPO of privacy governance lead. Anderen combineren privacy met bredere functies in risk, compliance, information governance of security governance. In internationale organisaties kan de rol evolueren naar coördinatie van lokale privacyteams, beleidsontwikkeling en rapportage over meerdere rechtsgebieden.
De meest duurzame groei komt voort uit een combinatie van juridische scherpte, technisch begrip en organisatorisch gezag. DPO’s die alleen regels citeren, verliezen invloed bij productteams en bestuurders. DPO’s die alleen pragmatisch meebewegen, lopen het risico hun onafhankelijke positie uit te hollen. De sterke kandidaat kan uitleggen wat wettelijk nodig is, waarom dat risico relevant is en welke haalbare maatregel de organisatie vooruithelpt.
Wie de volgende stap wil zetten, kan eerst de eigen hiaten in kaart brengen: ontbreekt vooral AVG-diepgang, technische securitykennis, auditvaardigheid of ervaring met bestuursrapportage? Een gerichte opleiding of certificering is dan nuttiger dan willekeurig meer theorie verzamelen. Readynez biedt daarbij onder meer DPO- en GDPR-trainingen, maar de belangrijkste vooruitgang ontstaat wanneer de opgedane kennis direct wordt toegepast op echte registers, DPIA’s, incidenten en leveranciersbeslissingen. Een aanvullend overzicht van loopbaanpaden staat in deze gids over hoe iemand DPO kan worden.
