Een aantal bepalingen in de AVG gaat over de functionaris voor gegevensbescherming, kortweg “FG” genoemd. Sommige bedrijven zullen iemand moeten aanstellen die als functionaris voor gegevensbescherming zal gaan optreden. Zo’n FG moet het bedrijf en diens werknemers adviseren en informeren over de verplichtingen van de AVG en toezien op de naleving daarvan. Een FG is in de volgende gevallen verplicht:

1. U bent een overheidsinstantie of overheidsorgaan (rechterlijke macht uitgezonderd);
2. U houdt zich voornamelijk bezig met het op grote schaal regelmatig en stelselmatig observeren van personen;
3. U houdt zich voornamelijk bezig met grootschalige verwerking van bijzondere persoonsgegevens en persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten. 

Over het algemeen zal het voor u wel helder zijn of u onder nummer 1 valt. Er zullen naar alle waarschijnlijkheid geen Metaalunieleden zijn die tot de overheid behoren. Om te beoordelen of u valt onder nummer 2 of 3 hierboven, moet u uw kernactiviteiten als uitgangspunt nemen. Dat zijn alle processen die essentieel zijn om de bedrijfsdoelstellingen te (kunnen) realiseren, of de processen die tot de hoofdtaken van uw bedrijf horen. U zult zich dan dus moeten afvragen of het op grote schaal regelmatig en stelselmatig observeren van personen of het grootschalig verwerken van bijzondere en strafrechtelijke persoonsgegevens tot uw kernactiviteiten behoort. De meeste Metaalunieleden zullen deze vraag met een “nee” kunnen beantwoorden, wat betekent dat zij niet verplicht zijn een FG aan te stellen.

Nederland heeft de vrijheid om in aanvullende wetgeving te bepalen dat in meer gevallen dan hierboven genoemd een FG moet worden aangesteld. Het is op dit moment nog onbekend of Nederland gebruik gaat maken van die mogelijkheid.