Interne of externe DPO? Kosten, onafhankelijkheid en belangenconflict vergeleken

Als je organisatie een DPO nodig heeft, volgt onmiddellijk de tweede vraag: iemand aanwerven, iemand intern aanduiden, of het extern inkopen?

Het antwoord wordt meestal op kostprijs gebaseerd, en dat is begrijpelijk: het verschil is groot. Maar er is een tweede factor die minstens even bepalend is en die vaak pas achteraf opduikt: het verbod op belangenconflicten. Dat sluit precies die profielen uit waar de meeste organisaties spontaan aan denken.

Dit artikel zet beide opties naast elkaar: wat ze kosten, wat de wet vereist, en wanneer welke keuze werkt.

Eerst: heb je er wel een nodig?

Een functionaris voor gegevensbescherming is wettelijk verplicht in drie gevallen.

• Je verwerkt gevoelige gegevens op grote schaal. Ziekenhuizen en thuiszorg met gezondheidsdata, advocatenkantoren met strafrechtelijke informatie, politieke partijen die de overtuiging van leden registreren, organisaties die met biometrie werken.
• Je monitort mensen systematisch op grote schaal. Camerabewaking met meer dan tien camera’s, gps-tracking van medewerkers of voertuigen, grootschalige gedragsanalyse op websites of apps, monitoringsoftware voor personeel, of uitgebreide klantprofilering voor marketing.
• Je bent een overheidsinstantie. Gemeenten, OCMW’s, provincies, politiezones en andere publieke instellingen — zonder uitzonderingen.

Val je hier niet onder, dan heb je geen DPO nodig. Dat is voor de meeste kmo’s het geval. Twijfel je of je organisatie klein genoeg is om er helemaal buiten te vallen, lees dan is de GDPR ook verplicht voor mijn kleine onderneming.

Wel handig om te weten: je mág er ook vrijwillig een aanstellen. Doe je dat, dan gelden dezelfde regels rond onafhankelijkheid en positie. Vrijwillig betekent dus niet vrijblijvend.

Het belangenconflict dat de keuze vaak al maakt

Lees ook: Camerabewaking: wanneer een DPO-verplichting in beeld komt

Dit is het punt waar interne oplossingen het vaakst op stranden, en het wordt zelden vooraf uitgezocht.

Een DPO houdt onafhankelijk toezicht op hoe je organisatie met persoonsgegevens omgaat. Dat kan niet als diezelfde persoon ook beslist over de doeleinden en middelen van die verwerkingen. Je zou dan je eigen werk controleren.

Mag níét gecombineerd worden	Mag wél gecombineerd worden
CEO, directeur, bestuurslid	Websiteontwikkeling
Marketingmanager	Hostingdiensten
IT-manager	Technische implementatie
HR-manager	Marketinguitvoering (geen strategie)
Compliance officer

Kijk eens naar de linkerkolom en vraag je af aan wie je spontaan dacht toen je “wij duiden intern iemand aan” overwoog. In negen van de tien gevallen is dat de IT-manager of de HR-verantwoordelijke. Precies die twee mogen het niet zijn.

Wat overblijft in een kleinere organisatie is meestal iemand zonder beslissingsbevoegdheid over data — en die persoon heeft doorgaans ook niet het gezag om er iets aan te veranderen. Dat is het structurele probleem met een interne DPO in een kmo: wie geschikt is qua onafhankelijkheid, mist vaak de positie om te wegen.

Wat het kost

Optie	Kostprijs	Wat je krijgt
Interne DPO (voltijds)	€50.000 – €70.000 per jaar plus sociale lasten	Volledige beschikbaarheid, diepe kennis van je organisatie
Interne DPO (deeltijds, gecombineerde functie)	Deel van een bestaand loon	Goedkoop, maar loopt vaak vast op het belangenconflict
Advocatenkantoor	€150 – €300 per uur	Sterke juridische kennis, weinig implementatie
Externe DPO op pakketbasis	Vanaf enkele honderden euro per maand	Vast aantal uren, voorspelbare kost

De rekensom die het vaakst de doorslag geeft: een gemiddelde organisatie heeft twee tot vier uur DPO-werk per maand nodig. Voor dat volume een voltijdse kracht aanwerven is economisch niet te verdedigen — je betaalt een jaarsalaris voor ongeveer een tiende van een baan.

Bij een advocatenkantoor loopt de teller anders. Uurtarieven van €150 tot €300 zijn gebruikelijk, en bij dat model betaal je ook voor de vraag “mogen we deze tool gebruiken?”. Dat leidt er in de praktijk toe dat mensen die vraag niet meer stellen — en dat is precies wat je niet wil.

Een volledige kostenanalyse met alle scenario’s staat in de complete gids over een externe DPO inhuren.

Hoeveel uren heb je werkelijk nodig?

Lees ook: NIS2: valt jouw bedrijf eronder en wie is er aansprakelijk?

Dit is de vraag waar offertes op stuklopen, want zonder cijfer wordt het giswerk. Richtwaarden op basis van wat ik in de praktijk zie:

Organisatie	Opstartfase (2-3 maanden)	Daarna, per maand
Klein	8 – 12 uur	1 – 2 uur
Middelgroot	16 – 24 uur	2 – 4 uur
Groot	32 – 48 uur	4 – 8 uur

Daarbovenop komen pieken die je niet kunt plannen: een datalek kost al snel vier tot acht uur, een nieuwe tool met effectbeoordeling twee tot vier uur, en een controle van de Gegevensbeschermingsautoriteit acht tot zestien uur voorbereiding en begeleiding.

Let bij het vergelijken van externe aanbiedingen op wat er met die pieken gebeurt. Zit spoedbegeleiding bij een datalek in het pakket, of komt daar een aparte factuur voor? Dat verschil kan groter zijn dan het maandbedrag.

Vier voordelen van extern die niet over geld gaan

De GDPR staat externe DPO’s uitdrukkelijk toe. Naast de kostprijs zijn er vier praktische argumenten die in mijn ervaring zwaarder wegen dan mensen vooraf denken.

• Geen belangenconflict. Iemand van buiten heeft geen carrièrebelang bij het niet aankaarten van een probleem. Dat klinkt cynisch, maar het is het meest onderschatte argument. Een interne medewerker die de directie moet vertellen dat een lopend project niet mag, zit in een lastige positie.
• Geen afhankelijkheid van één persoon. Vakantie, ziekte, ontslag. Bij een intern aangeduide DPO ligt je compliance daarmee stil.
• Bredere ervaring. Iemand die twintig organisaties ziet, herkent patronen die iemand die één organisatie kent nooit tegenkomt.
• Actuele kennis. Regelgeving verandert. De AI Act, NIS2, wijzigende cookierichtlijnen — dat bijhouden is een deeltijdse baan op zich. Bij een externe partij zit dat in de prijs.

En de argumenten vóór intern

Ik ben zelf externe DPO, dus laat me expliciet zijn over wanneer intern beter is. Want die situaties bestaan.

Bij grote organisaties met veel dagelijkse privacyvragen. Vanaf een bepaalde omvang is iemand die er elke dag zit gewoon efficiënter. Als je structureel meer dan acht uur per maand nodig hebt en er lopen constant projecten, kantelt de rekensom.

Bij zeer complexe of unieke verwerkingen. Wie diep in een specifieke sector zit met eigen wetgeving en systemen, heeft baat bij iemand die die materie volledig doorgrondt.

Bij een sterke interne kandidaat zonder belangenconflict. Bestaat die, en heeft die de tijd, het gezag én de rugdekking van de directie? Dan is dat een goede oplossing. In de praktijk komt die combinatie zelden voor bij kmo’s, maar wel bij grotere organisaties met een aparte juridische of kwaliteitsafdeling.

Een hybride model werkt vaak het best: extern voor de expertise, de documentatie en de complexe vragen; intern een aanspreekpunt dat de dagelijkse gang van zaken kent en weet wanneer hij moet bellen.

Waar je op let bij een externe DPO

Zes vragen die je in een intakegesprek stelt. De antwoorden zeggen meer dan een offerte.

1. Hoeveel uren zitten er in mijn pakket, en wat gebeurt er als ik eroverheen ga? Vraag het uurtarief voor extra uren expliciet.
2. Wat is de reactietermijn, en is er een spoedlijn bij datalekken? Een DPO die pas na drie dagen antwoordt terwijl je meldtermijn 72 uur is, helpt je niet.
3. Implementeert u ook, of adviseert u alleen? Een rapport met vijftig aanbevelingen dat je zelf moet uitvoeren, is een halve oplossing. Vraag wat er gebeurt nadat het advies er ligt.
4. Wat is de opzegtermijn? Meerjarige contracten zijn geen goed teken. Als de samenwerking niet werkt, moet je kunnen stoppen.
5. Hebt u ervaring in mijn sector? Zorg, onderwijs, overheid en verenigingen hebben elk hun eigen valkuilen.
6. Wat levert u concreet op? Een verwerkingsregister, een datalekprocedure, verwerkersovereenkomsten, een jaarlijkse audit — laat het benoemen in plaats van “begeleiding”.

En één praktisch punt dat vaak vergeten wordt: je moet de contactgegevens van je DPO publiceren en meedelen aan de Gegevensbeschermingsautoriteit. Vraag dus of de externe partij ook effectief als officieel aanspreekpunt optreedt bij een controle.

Wat een DPO concreet doet

Ter verwachtingsafstemming, want “toezicht houden” is vaag. Het werk valt uiteen in vier blokken.

Compliance bewaken. Het verwerkingsregister opzetten en actueel houden, een jaarlijkse audit, en toezicht op processen van je website tot je HR-systeem.

Datalekken managen. De melding bij de GBA binnen 72 uur, de afweging of betrokkenen geïnformeerd moeten worden, en maatregelen zodat het niet opnieuw gebeurt.

Adviseren en opleiden. De vraag “mogen we deze tool gebruiken?” beantwoorden, medewerkers trainen, en effectbeoordelingen begeleiden bij nieuwe projecten. Ook: verwerkersovereenkomsten nakijken met je leveranciers.

Contact met de toezichthouder. Officieel aanspreekpunt zijn voor de GBA en controles begeleiden.

Wat als je nu een DPO hebt die het niet mag zijn?

Dit kom ik regelmatig tegen: een organisatie duidde in 2018 haar IT-manager of HR-verantwoordelijke aan, meldde die aan bij de Gegevensbeschermingsautoriteit, en er is sindsdien niet meer naar gekeken.

Dat is een reëel probleem, want het raakt de kern van de functie. Een DPO die tegelijk beslist over de systemen waarop hij toezicht houdt, kan die rol formeel niet vervullen. Bij een controle is dat een van de eerste dingen die opvalt.

Drie manieren om het recht te zetten, van licht naar zwaar:

• Herbekijk of de aanduiding wel nodig was. Val je eigenlijk niet onder de verplichting, dan kun je de rol formeel opheffen en de persoon voortaan intern aanspreekpunt noemen in plaats van DPO. Pas dan ook je privacyverklaring en je melding bij de GBA aan.
• Herschik de taken. Blijft de verplichting bestaan en wil je het intern houden, dan moet de conflicterende functie weg bij die persoon. In de praktijk lukt dat zelden in een kleine organisatie.
• Schakel over naar extern en laat de interne persoon het aanspreekpunt blijven voor de dagelijkse gang van zaken. Dat is het hybride model, en het lost het conflict op zonder kennis te verliezen.

Wat je in elk geval doet: leg de wijziging vast met een datum en een motivering, en werk je melding bij de GBA en je privacyverklaring bij. Een correctie die je zelf gedocumenteerd hebt, weegt heel anders dan een fout die een toezichthouder vindt.

Veelgestelde vragen

Mag een externe DPO ook onze website bouwen of hosten?

Ja. Technische uitvoering creëert geen belangenconflict, omdat de externe partij niet de doeleinden en middelen van jouw verwerkingen bepaalt — dat doe jij. In de praktijk versterkt die combinatie de compliance zelfs, omdat privacy dan vanaf het ontwerp wordt ingebouwd in plaats van achteraf gecontroleerd.

Wat is het verschil tussen een DPO en een privacyconsultant?

Een DPO is een wettelijke functie met een formele positie, onafhankelijkheid en specifieke taken. Een consultant adviseert maar heeft die rol en verantwoordelijkheden niet. Wie er wettelijk een moet hebben, heeft aan een consultant niet genoeg. Wie er geen nodig heeft maar wel wil optimaliseren, is met een consultant vaak beter af.

Kunnen we een DPO delen met andere organisaties?

Een groep ondernemingen mag één DPO aanduiden, mits die vlot bereikbaar is vanuit elke vestiging. Bij externe DPO’s is dit model gebruikelijk: die bedient per definitie meerdere organisaties. De voorwaarde blijft dat hij voldoende beschikbaar is voor elk van hen.

Moeten we de GBA informeren over onze DPO?

Ja. Je publiceert de contactgegevens van je DPO en deelt ze mee aan de Gegevensbeschermingsautoriteit. Wijzigt de DPO, dan werk je dat bij.

Wat als we een DPO aanstellen terwijl het niet moet?

Dan gelden dezelfde eisen rond onafhankelijkheid, positie en middelen alsof het verplicht was. Wil je enkel advies zonder die formele lading, kies dan expliciet voor een consultant en noem die persoon geen DPO — ook niet in je privacyverklaring.

Kort samengevat

Een interne DPO kost €50.000 tot €70.000 per jaar voltijds, terwijl de meeste organisaties twee tot vier uur per maand nodig hebben. Een advocatenkantoor rekent €150 tot €300 per uur en levert zelden implementatie. Een externe DPO op pakketbasis zit daar aanzienlijk onder met een voorspelbare kost.

Maar de kostprijs is niet het beslissende argument. Dat is het verbod op belangenconflicten, dat je IT-manager, HR-verantwoordelijke, marketingmanager en directie uitsluit. In veel kmo’s blijft er dan intern niemand geschikt over met voldoende gezag.

Intern werkt wél bij grote organisaties met dagelijkse privacyvragen, bij zeer complexe verwerkingen, of wanneer er een sterke interne kandidaat is zonder conflict. Een hybride model is vaak het beste van twee werelden.

Wil je eerst weten of je er überhaupt een nodig hebt? Lees de complete gids of doe de gratis GDPR-scan. Overweeg je extern, bekijk dan mijn DPO-pakketten met transparante prijzen — of stuur me je situatie door. Ik zeg je eerlijk of je een DPO nodig hebt volgens de wet, ook als het antwoord nee is.