Een functionaris voor gegevensbescherming (FG) ziet toe op de omgang met persoonsgegevens binnen een organisatie. Hij of zij controleert of de organisatie aan de wet voldoet. Een FG is voor de meeste verenigingen en stichtingen niet verplicht. Je moet in ieder geval een FG aanstellen als je op grote schaal uit hoofde van je kerntaak bijzondere persoonsgegevens verzamelt, zoals bijvoorbeeld persoonsgegevens over iemands levensovertuiging, politieke voorkeur of gezondheid.
Organisaties kunnen er ook vrijwillig voor kiezen een FG aan te stellen. Dit is met name in grotere organisaties verstandig om de naleving van de AVG te borgen en tijdig problemen en vraagstukken te signaleren. Er is geen vooropleiding verplicht om FG te worden. Je hoeft dus geen jurist te zijn. De AVG vereist wel dat de FG deskundig (‘expert knowledge) is op het gebied van de privacywetgeving. Wie deze taak  wil uitoefenen zal dus waarschijnlijk een opleiding moeten volgen. Let er goed op waar je dit doet, want de inhoud en kwaliteit kunnen sterk uiteen lopen.
Een belangrijke vraag is wat voor type personen of medewerkers de voorkeur hebben als FG. Veelal komen medewerkers met een juridische achtergrond in deze rol terecht. Maar het is ook aan te bevelen om een IT’er deze rol op zich te laten nemen als de organisatie die in dienst heeft. De reden daarvoor is dat verreweg de meeste, zo niet alle persoonsgegevens in organisaties via digitale systemen worden verzameld. IT’ers hebben de technische kennis om die gegevensverzameling en eventuele verwerking inzichtelijk te maken en te toetsen aan de AVG.
Hoe dan ook is het verstandig dat de FG al een tijdje meeloopt in de organisatie en de interne processen goed kent. Het is ook toegestaan om de functie van FG te combineren met een andere functie. Een voorwaarde hiervoor is wel dat geen sprake is van een belangenconflict. De FG mag niet zijn eigen vlees keuren. Zo mag de FG niet ook manager IT zijn.