Academy Europe bevestigt gegevensbescherming toe te passen onder de AVG-verordening:
De Algemene Verordening Gegevensbescherming (AVG) heeft het concept van een Data Protection Officer (DPO) in Europa vastgelegd. In tegenstelling tot wat vaak wordt gedacht, is niet de grootte van het bedrijf bepalend voor de wettelijke verplichting om een functionaris voor gegevensbescherming aan te stellen, maar de kernverwerkingsactiviteiten die worden gedefinieerd als essentieel voor het bereiken van de doelstellingen van het bedrijf. Indien deze kernactiviteiten bestaan uit het op grote schaal verwerken van gevoelige persoonsgegevens of een vorm van gegevensverwerking die bijzonder ingrijpend is voor de rechten van de betrokkenen, dient het bedrijf een DPO aan te stellen. Overheidsinstanties daarentegen moeten altijd een DPO aanstellen, met uitzondering van rechtbanken die in hun rechterlijke hoedanigheid optreden. Bovendien bevat de wettelijke norm voor het aanstellen van een functionaris voor gegevensbescherming een flexibiliteitsclausule voor de lidstaten. Deze zijn vrij om te beslissen of een bedrijf een functionaris voor gegevensbescherming moet aanstellen onder strengere eisen (bijv. 38 Duitse federale wet op de gegevensbescherming). Indien een dergelijke verplichting bestaat op grond van de Algemene Verordening Gegevensbescherming of een meer specifieke nationale wet, kan een groep ondernemingen ook één enkele functionaris voor gegevensbescherming aanstellen. Indien de groep daartoe besluit, moet hij goed bereikbaar zijn voor de toezichthouders, medewerkers en externe betrokkenen. Als er geen wettelijke verplichting bestaat, kunnen bedrijven op vrijwillige basis een DPO aanstellen om te helpen bij de naleving van gegevensbescherming (wat bijvoorbeeld wordt aanbevolen door de Franse gegevensbeschermingsautoriteit CNIL).
Groepen en bedrijven hebben twee mogelijkheden om te voldoen aan hun verplichting tot het aanstellen van een Data Protection Officer. Ofwel benoemen ze een medewerker als interne functionaris voor gegevensbescherming, ofwel stellen ze een externe functionaris voor gegevensbescherming aan. Bij het selecteren van een dergelijke persoon moeten ze ervoor zorgen dat een interne functionaris voor gegevensbescherming niet wordt blootgesteld aan een belangenconflict vanwege zijn werk op de IT-afdeling, de HR-afdeling of het senior management, waar hij zelf toezicht zou moeten houden. Welke optie ook wordt gekozen, een functionaris voor gegevensbescherming moet deskundige professionele kennis bieden op het gebied van gegevensbeschermingswetgeving en IT-beveiliging, waarbij de reikwijdte afhankelijk is van de complexiteit van de gegevensverwerking en de grootte van het bedrijf.
De taken van een functionaris voor gegevensbescherming omvatten: werken aan de naleving van alle relevante gegevensbeschermingswetten, toezicht houden op specifieke processen, zoals gegevensbeschermingseffectbeoordelingen of de bewustmaking en training van werknemers voor gegevensbescherming, evenals samenwerken met de toezichthoudende autoriteiten. Daarom mag de werknemer die optreedt als functionaris voor gegevensbescherming niet worden ontslagen of bestraft vanwege zijn vervulling van zijn taken. Ondanks zijn controlefunctie blijft het bedrijf zelf verantwoordelijk voor de naleving van de wetgeving inzake gegevensbescherming. Daarom moet zij de functionaris voor gegevensbescherming "behoorlijk en tijdig" betrekken bij alle zaken die verband houden met de bescherming van persoonsgegevens. Wanneer een functionaris voor gegevensbescherming wordt aangesteld, moet zijn leidinggevende zijn contactgegevens publiceren en zijn aanstellings- en contactgegevens meedelen aan de toezichthoudende autoriteiten voor gegevensbescherming. Als een bedrijf vrijwillig een DPO heeft aangesteld, moet het zich ook houden aan de hierboven uiteengezette criteria en bepalingen. Houd er ook rekening mee dat het opzettelijk of nalatig niet-aanstellen van een functionaris voor gegevensbescherming ondanks een wettelijke verplichting een overtreding is die beboet kan worden.