Wat te doen bij afwezigheid van de functionaris voor gegevensbescherming? Moet hij vervangen worden? Moet er altijd een vervanger voor de functionaris voor gegevensbescherming worden aangewezen?

Er moet worden geanticipeerd op de afwezigheid van een DPO door in een procedure te voorzien bij diens afwezigheid, die in de praktijk van korte of lange duur, evenals gepland of volledig onverwacht kan zijn. Het is de verantwoordelijkheid van de verwerkingsverantwoordelijke of verwerker in kwestie om de continuïteit van hun verplichtingen overeenkomstig de AVG te waarborgen en hiervan, met inachtneming van het verantwoordingsbeginsel, aan de Gegevensbeschermingsautoriteit (GBA) het bewijs te kunnen leveren.

Zonder in te gaan op de vele mogelijke situaties, moeten de onderstaande principes als leidraad dienen:

• In ieder geval doet de afwezigheid van de DPO niets af aan de verplichtingen van de betrokken verwerkingsverantwoordelijke of verwerker. Ondanks de afwezigheid van de DPO moeten de verwerkingsverantwoordelijke en de verwerker hun verplichtingen onder de AVG naleven: de betrokkenen moeten immers een antwoord krijgen op hun vragen en op hun verzoeken om hun rechten uit te oefenen binnen de in de AVG vastgestelde termijnen. Ook moeten de contacten met de GBA worden gewaarborgd. Het primaire doel is dat de DPO-functie steeds gewaarborgd wordt. Bij afwezigheid van de DPO moet de functie derhalve worden uitgeoefend door een persoon die over de kwalificaties en het statuut beschikt zoals bepaald in de AVG of die deze het dichtst benadert, om de effectieve continuïteit van de functie te waarborgen.
• Bij het beheer van de afwezigheid van de DPO zal concreet rekening gehouden worden met factoren zoals: de duur van de afwezigheid, het soort handelingen die door de DPO worden verricht en de toepasselijke of verwachte termijnen, de mate van risico van de door de betrokken verwerkingsverantwoordelijke of verwerker uitgevoerde verwerkingen, de omvang van de structuur van de verwerkingsverantwoordelijke of verwerker, het bestaan binnen de structuur van andere DPO’s en elke andere relevante contextuele parameter. Dit kan leiden tot een eenvoudig beheer van de afwezigheid om ervoor te zorgen dat de functie door anderen wordt uitgevoerd (intern of door tijdelijk gebruik te maken van de diensten van een externe DPO bijvoorbeeld) of tot een noodzakelijke vervanging van de DPO, met name in het geval van langdurige afwezigheid.
• Tijdens de afwezigheid van de DPO gelden de regels inzake vertrouwelijkheid en gegevensbescherming op de werkplek. In dit verband is het bestaan van een functioneel (niet op naam) contactadres een pluspunt.
• Merk op dat de contactgegevens van de DPO meegedeeld moeten worden aan de toezichthoudende autoriteit. Aan de betrokkenen kan een niet op naam gesteld functioneel adres worden meegedeeld. Aan de toezichthoudende autoriteit moeten - zoals te lezen staat in het meldformulier voor de functionaris voor gegevensbescherming dat beschikbaar is op de website van de GBA - de voor- en achternamen van de DPO meegedeeld worden, evenals een contactadres.

De concrete modaliteiten voor het beheer van de afwezigheid zullen bepalen of er al dan niet formaliteiten moeten worden vervuld bij de GBA. Indien de afwezigheid van de DPO wordt beheerd zonder dat een nieuwe DPO is aangewezen en via het aan de GBA meegedeelde contactadres nog steeds contact kan worden opgenomen met de persoon die instaat voor de opvolging bij afwezigheid van de DPO, moet deze afwezigheid niet worden gemeld.

Indien dit echter niet het geval is, of indien de DPO door een nieuwe DPO moet worden vervangen (bijvoorbeeld wegens een langdurige afwezigheid), moet deze vervanging aan de GBA worden gemeld. Het vakje "Gelieve dit vakje te selecteren indien deze mededeling een wijziging van een eerdere melding betreft" moet dan aangevinkt worden.