DPO bij een overheid: van algemene AVG-kennis naar het publieke stelsel

Je kent de AVG. En toch loop je in een bestuur regelmatig vast op vragen waar die kennis je geen antwoord op geeft: volstaat een gemeentereglement als grondslag, is het college of de gemeente verwerkingsverantwoordelijke, en kom je bij de GBA of bij de VTC terecht? Dat ligt niet aan jou. De publieke sector werkt niet met een variant op de AVG, maar met een eigen stelsel dat er bovenop ligt.

Dat stelsel is bovendien in beweging. De Gegevensbeschermingswet, het Bestuursdecreet, het eGov-decreet, de adviezen van de Vlaamse Toezichtcommissie en de praktijk rond protocollen zijn de afgelopen jaren blijven schuiven. Wie zijn kennis van gegevensbescherming drie of vier jaar geleden heeft opgebouwd, heeft geen foute kennis. Wel onvolledige.

De AVG geldt overal. De manier waarop ze in een bestuur ingevuld wordt, verschilt fundamenteel.

Managementsamenvatting

• De publieke sector volgt een eigen stelsel bovenop de AVG, niet een variant erop
• De kwalificatie “overheid” of “instantie” bepaalt je verplichtingen, je toezichthouder en je uitzonderingen
• Grondslagen vertrekken van een wettelijke of decretale basis, n die op meerdere manieren kan worden ingevuld
• Rechten van betrokkenen gelden beperkter, met belangrijke nuances rond bezwaar en artikel 23
• Administratieve geldboetes gelden niet voor overheden; verwerkingsverbod en strafsancties wel
• De regels rond terbeschikkingstelling en protocollen bewegen het snelst en raken de dagelijkse praktijk het hardst

Wat maakt gegevensbescherming bij een overheid anders?

Het begint bij de structuur van het land. De AVG is een verordening met rechtstreekse werking, maar ze laat de lidstaten ruimte om zelf in te vullen — en in België is die ruimte verdeeld over het federale niveau, de gemeenschappen en de gewesten. Wat voor een federale overheidsdienst geldt, geldt daarom niet automatisch voor een Vlaamse instantie of een lokaal bestuur.

De Gegevensbeschermingswet (GBW) vult die ruimte federaal in. Daarnaast bepaalt artikel I.3 van het Bestuursdecreet wie in Vlaanderen als “instantie” geldt. Die twee begrippen — overheid en instantie — vallen niet altijd samen, en precies daar ontstaat verwarring. Is elke instantie ook een overheid? En omgekeerd?

Het antwoord bepaalt heel concreet welke verplichtingen op jouw organisatie rusten, welke toezichthouder bevoegd is en welke uitzonderingen je kunt inroepen. Dit is geen academische discussie. Het is de eerste vraag die je beantwoordt voordat je aan een dossier begint.

Wie is verwerkingsverantwoordelijke in een bestuur?

De kwalificatie van partijen is basiswerk voor elke privacyprofessional. In de overheidscontext is ze soms verrassend lastig.

Bij Vlaamse overheidsinstellingen is de verhouding tussen minister en administratie zelden zo helder als een organogram doet vermoeden. Bij lokale besturen speelt de vraag welke rol het college van burgemeester en schepenen precies opneemt: bestuursorgaan, verwerkingsverantwoordelijke, of allebei, afhankelijk van de verwerking.

Dat is zelden een juridisch probleem. Het is een organisatorisch probleem: niemand heeft de knoop doorgehakt over wie in dit bestuur beslist. Als DPO ben jij vaak de eerste die de vraag hardop stelt — en dat is precies de waarde die je toevoegt.

Volstaat een gemeentereglement als grondslag voor verwerking?

In een bedrijf begint de grondslagvraag bij toestemming of gerechtvaardigd belang. In een bestuur begint ze bij de wettelijke of decretale basis.

Artikel 6, lid 3 van de AVG vraagt dat verwerkingen voor een taak van algemeen belang of een wettelijke verplichting een basis hebben in het recht van de lidstaat. Dat roept meteen twee praktijkvragen op. Wat is het verschil tussen een regelgevend kader en een echte wettelijke of decretale basis? En kan een gemeentereglement die basis leveren?

Daar komt bij dat een bestuur ook taken uitvoert die géén publiekrechtelijke taak zijn — denk aan een gemeentelijke horecazaak of een verhuuractiviteit. Voor dat deel van de werking gelden andere grondslagen. Het onderscheid tussen publiekrechtelijke en andere taken is daarom een van de nuttigste sorteermechanismen die je in je register kunt inbouwen.

Waarom betrokkenen bij een overheid minder rechten kunnen uitoefenen

Grondslagen en rechten van betrokkenen hangen samen. Omdat overheden hoofdzakelijk werken op basis van een wettelijke verplichting of een taak van algemeen belang, valt een aantal AVG-rechten in de praktijk grotendeels weg. Overdraagbaarheid komt zelden voor. Bezwaar tegen direct marketing evenmin.

Het recht van bezwaar zelf is genuanceerder: bij een taak van algemeen belang kan het wél spelen, bij een wettelijke verplichting doorgaans niet. En artikel 23 van de AVG laat afwijkingen toe voor onder meer controle- en inspectietaken, wat voor inspectiediensten het verschil maakt tussen een werkbaar en een onwerkbaar proces.

Tegelijk komt er bij met name e-government een verplichting bij die in de private sector nauwelijks speelt: als gegevens verbeterd of gewist worden, moeten de ontvangers daarvan op de hoogte gebracht worden. In een keten van gekoppelde databanken is dat een procesvraag, geen louter juridische.

GBA of VTC? Het toezicht is niet vanzelfsprekend

Er is bij overheden geen one-stop-shop en het toezicht kent territoriale beperkingen. Voor een concreet dossier moet je dus bepalen of de Gegevensbeschermingsautoriteit (GBA) dan wel de Vlaamse Toezichtcommissie (VTC) bevoegd is — en er zijn criteria die die keuze sturen.

Dat werkt door in je hele werking: bij welke instantie wordt een DPO aangemeld , wiens adviezen volg je, en waar leg je een voorafgaande vraag neer? De VTC heeft bijvoorbeeld met advies 2020/05 een standpunt ingenomen over doorgiften en cloudproviders buiten de EU, in lijn met wat andere autoriteiten in binnen- en buitenland hebben gepubliceerd. Dat soort adviezen is voor Vlaamse instanties in de praktijk richtinggevender dan algemene Europese guidance.

Sancties in de publieke sector: geen boetes, wel gevolgen

België en Vlaanderen hebben voor de publieke sector een eigen sanctieregime uitgewerkt, waarin administratieve geldboetes niet worden toegepast op overheden. Dat is een feit, geen geruststelling.

Wat blijft, is namelijk wel degelijk zwaar: een verwerkingsverbod legt een dienst effectief stil, en strafrechtelijke sancties blijven mogelijk. Het maakt de rol van de DPO ook anders van aard. Waar in de private sector een boeterisico het gesprek met de directie opent, moet jij het gesprek voeren op basis van continuïteit, dienstverlening en vertrouwen van de burger. Dat vraagt andere argumenten en andere voorbereiding.

Terbeschikkingstelling en protocollen: het deel dat het snelst beweegt

Overheden wisselen voortdurend gegevens uit. Precies daar is het kader het meest in beweging.

Het onderscheid tussen het ter beschikking stellen van persoonsgegevens en het meedelen ervan bepaalt welke regels gelden. Zowel federaal als Vlaams bestaan daarover regels, met een reeks afwijkingen. En dan zijn er op Vlaams niveau de protocollen uit artikel 8 van het eGov-decreet, met eigen vereisten over inhoud, advies en publicatie.

Praktisch scheelt het bovendien enorm of jouw bestuur de bron dan wel de ontvanger van de gegevens is. De verplichtingen lopen in beide richtingen anders. Dit is het onderdeel waar deelnemers achteraf het vaakst op terugkomen, omdat het rechtstreeks raakt aan dossiers die op dat moment op hun bureau liggen.

Waar begin je?

1. Bepaal je kwalificatie. Is jouw organisatie een overheid, een instantie, of allebei? Leg het antwoord schriftelijk vast.
2. Sorteer je register op taaktype. Publiekrechtelijke taken en andere taken volgen verschillende grondslagen.
3. Documenteer de grondslag per verwerking, met de concrete wettelijke of decretale bepaling. Niet “algemeen belang” als categorie, maar een toelichting bij het algemeen belang in dat concrete geval.
4. Kies je toezichthouder en motiveer die keuze. GBA of VTC, en waarom.
5. Breng je gegevensstromen naar buiten in kaart en markeer per stroom of je bron of ontvanger bent.
6. Neem de verwerkersanalyse mee in je overheidsopdrachten, niet pas in de verwerkersovereenkomst achteraf.

Punt zes is de meest onderschatte. Een verwerkersovereenkomst teken je na de gunning. De beoordeling van het passend karakter uit artikel 28 AVG hoort in het bestek — als voorwaarde tot deelname of als gunningscriterium. Wie dat omdraait, heeft achteraf geen onderhandelingsruimte meer.

Veelgestelde vragen

Vervangt de DPO Certificatie – Overheid de vijfdaagse DPO-opleiding?

Nee. Het is een tweedaags vervolgtraject op de Data Protection Officer Certificatie Training, specifiek voor wie in de publieke sector werkt.

Geldt de Gegevensbeschermingswet ook voor lokale besturen?

De GBW vult de AVG federaal in. Voor Vlaamse instanties en lokale besturen speelt daarnaast het Bestuursdecreet, en die twee kaders overlappen niet volledig. De opleiding behandelt precies hoe je bepaalt welk kader op jouw organisatie van toepassing is.

Val ik onder de GBA of onder de VTC?

Dat hangt af van de aard van je organisatie en de verwerking. Er zijn criteria die de keuze sturen; er is geen automatisme en er is geen one-stop-shop.

Kunnen overheden een administratieve geldboete krijgen onder de AVG?

In België worden administratieve geldboetes niet toegepast op overheden. Andere maatregelen blijven wel mogelijk, waaronder een verbod op verwerking en strafrechtelijke vervolging.

Is een protocol hetzelfde als een verwerkersovereenkomst?

Nee. Een protocol regelt de mededeling van persoonsgegevens tussen instanties en heeft een eigen grondslag in artikel 8 van het eGov-decreet. Een verwerkersovereenkomst regelt de relatie met een verwerker onder artikel 28 AVG.

Moet elk bestuur een DPO aanstellen?

Voor overheidsinstanties geldt de aanstellingsplicht uit de AVG, en voor Vlaamse overheidsinstellingen komen daar specifieke vereisten bij. Ook verwerkers die voor overheden werken, hebben in bepaalde gevallen een eigen aanstellingsplicht — relevant bij overheidsopdrachten.

Komt deze opleiding in aanmerking voor de KMO-portefeuille?

Ja, onder het thema cybersecurity, met een tussenkomst van 45% voor kleine en 35% voor middelgrote ondernemingen. Voor overheidsinstellingen geldt het verlaagde tarief van €1.095.

Zet je kennis om naar de praktijk van je bestuur

De opleiding DPO Certificatie – Overheid neemt in twee dagen het volledige publieke stelsel door, met Dirk De Bot, die het terrein van binnenuit kent. Praktijkgericht, met casestudies en oefeningen op dossiers die je herkent.

Aan bod komen onder meer:

• de Gegevensbeschermingswet en artikel I.3 van het Bestuursdecreet
• kwalificatie van partijen in Vlaamse instellingen en lokale besturen
• grondslagen voor verwerking bij publiekrechtelijke en andere taken
• de afwijking van bepaalde rechten zoals toegelaten door artikel 23 GBW
• verwerkers en de link met overheidsopdrachten
• toezicht door GBA of VTC, en het sanctiebeleid
• terbeschikkingstelling van persoonsgegevens en protocollen

18–19 november 2026 — Park Inn by Radisson Leuven, in het Nederlands. Je sluit af met het certificaat “Data Protection Officer Publieke Sector”. Prijs voor overheidsinstellingen €1.095 excl. btw, inclusief lunch en cursusmateriaal. KMO-portefeuille mogelijk onder het thema cybersecurity.

Wil je nadien op de hoogte blijven van wat er in het publieke stelsel verandert? Kijk dan ook naar Stay Tuned as DPO – Overheid.

Bronnen en verder lezen

• Dirk De Bot over de AVG in de publieke sector (DPI)
• Verordening (EU) 2016/679 (AVG) — EUR-Lex
• Gegevensbeschermingsautoriteit — federale toezichthouder