Sommige organisaties zijn verplicht een functionaris gegevensbescherming (FG) aan te stellen. Dit is iemand die binnen een organisatie in de gaten houdt of de AVG op een goede manier wordt nageleefd. Het aanstellen van een functionaris gegevensbescherming geldt alleen voor: 

• overheden en publieke organisaties; 
  
• organisaties die op grote schaal persoonsgegevens verwerken;
  
• organisaties die bijzondere persoonsgegevens verwerken. 
  

Een onderwijsinstelling valt onder de eerste categorie én verwerkt bovendien vaak bijzondere persoonsgegevens. Daarom is een FG voor onderwijsinstellingen verplicht. Meerdere scholen mogen wel samen één functionaris gegevensbescherming hebben. Deze persoon geeft onafhankelijk advies aan instellingen en er mag geen sprake zijn van belangenverstrengeling.