Het combineren van de FG-rol met de CISO wordt afgeraden. Zo heeft de Autoriteit Persoonsgegevens (AP) expliciet aangegeven dat deze combinatie niet wenselijk is.Volgens artikel 38, zesde lid, van de AVG, kan een FG “andere taken en plichten vervullen” maar moet er wel voor gezorgd worden dat deze “niet tot een belangenconflict leiden”. Functies die in de regel belangenconflicten opleveren zijn functies die (mede) de doelstellingen en de middelen voor de verwerking van de gegevens bepalen en dat kan dus ook voor de CISO gelden. Dus….liever de functies niet combineren.