GDPR-training voor personeel: wat de Britse wetgeving en de ICO verwachten

Gegevensbeschermingstraining is degene waarvan de meeste bedrijven aannemen dat het een "GDPR-vereiste" is. De wet is minder direct dan dat, maar de verwachtingen van de ICO zijn specifiek. Dit is wat de Britse AVG en de ICO zeggen, geciteerd uit legislation.gov.uk en ico.org.uk op 19 oktober 2026. De ICO merkt op dat deze pagina's worden beoordeeld na de Data (Use and Access) Act. Het is een samenvatting, geen juridisch advies.

Belangrijkste inzichten

• Geen op zichzelf staand artikel over "al het personeel trainen", maar de beveiligingstaken van de Britse GDPR maken het de verwachte route.
• Inductie vóór toegang: de ICO verwacht training voordat het personeel persoonlijke informatie verwerkt.
• Opfrisser op passende intervallen; geen vast aantal.
• Een kennischeck met een minimale slagmark, zegt de ICO.
• Iedereen, inclusief senior managers, tijdelijke en contractmedewerkers.

Wat de Britse GDPR zegt

Artikel 32(4) stelt dat de verwerkingsverantwoordelijke en verwerker "stappen moeten ondernemen om ervoor te zorgen dat elke natuurlijke persoon die handelt onder de bevoegdheid van de verwerkingsleider of de verwerker die toegang heeft tot persoonsgegevens, deze niet verwerkt behalve op instructie van de beheerder". Waar u een gegevensbeschermingsfunctionaris heeft, vermeldt artikel 39 onder hun taken het monitoren van naleving, "inclusief de toewijzing van verantwoordelijkheden, bewustwording en training van personeel dat betrokken is bij verwerkingsoperaties". De gids van de ICO voor gegevensbeveiliging zegt: "U dient passende initiële en opfriscursussen te geven."

Wat de ICO verwacht bij inductie

De audittoolkit van de ICO over inleidingstraining waarschuwt dat "het toestaan van personeel om met persoonlijke informatie te beginnen voordat ze de inductietraining volgen, het risico op een datalek aanzienlijk verhoogt. Dit kan in strijd zijn met de Britse GDPR artikelen 5(1)(f) en 32." De verwachtingen omvatten:

• "Zorg ervoor dat het personeel de inductietraining heeft afgerond voordat het persoonlijke informatie mag verwerken."
• "Eis dat alle rangen, inclusief senior managers, de inductietraining volgen."
• "Geef inductietraining aan al het personeel, inclusief vrijwillige, tijdelijke en contractmedewerkers."
• Behandel "afhandeling van verzoeken, gegevensdeling, informatiebeveiliging, datalekken en dossierbeheer".

Opfristraining en bewijs

Over opfristraining zegt de toolkit: "Vereis dat medewerkers op passende tijdspunten de opfristraining volgen" en "Documenteren wanneer personeel voor het laatst opfristraining heeft ontvangen door volledige en actuele administratie bij te houden." Beide pagina's zeggen ook: "Beoordeel het begrip van het personeel van de training met een kennischeck met een minimale slagingsscore."

Dus het bewijs waar een auditor naar zoekt is eenvoudig: wie welke module heeft afgerond, wanneer en of ze geslaagd zijn.

Maak van je gegevensbeschermingsslides een cursus

Reigniter verandert je bestaande databeschermingsdeck in een korte interactieve module: een voice-over, je slides en een vraag bij elke stap, zoals "een klant mailt om zijn gegevens: wat doe je?", met vertakkingen voor foute antwoorden. Je eerste module is gratis en gedeeld via een link. Bij betaalde prijsplannen loggen leerlingen in, stel je een voldoende in, en zie je het resultaat en certificaat van elke persoon, dat is het record dat de ICO beschrijft; zie training zonder LMS.

Voor brandveiligheid, displayschermen, handmatige bediening, COSHH en inductie, kijk welke training de Britse wetgeving vereist.