Privacy First vreest te uitgebreide uitzonderingen op verplichte DPIA

In dit artikel:

Privacy First waarschuwt de Autoriteit Persoonsgegevens (AP) dat haar voorlopige lijst met uitzonderingen op verplichte privacybeoordelingen, zogenoemde DPIA’s, te ruim kan uitpakken. Een DPIA brengt vooraf de risico’s van gegevensverwerking in kaart en is volgens artikel 35 van de AVG verplicht bij mogelijk risicovolle verwerkingen.

De AP wil met de uitzonderingen vooral de regeldruk voor mkb-bedrijven en zelfstandigen verminderen. Het gaat bijvoorbeeld om klantgegevens voor zakelijke activiteiten en gegevens over websitebezoeken. Privacy First vindt echter dat vrijstellingen uitsluitend mogen gelden voor aantoonbaar laagrisicoverwerkingen. Bij onder meer monitoring, profilering, gegevensdeling, doorgifte buiten de EU of EER en het gebruik van biometrische, gezondheids- of andere gevoelige gegevens moet een DPIA volgens de stichting verplicht blijven.

De organisatie benadrukt dat ook kleine bedrijven mensen tegen risicovolle verwerking moeten beschermen. Zo mag een vrijstelling voor zakelijke klantgegevens er volgens Privacy First niet toe leiden dat bedrijven die wettelijk onderzoek naar witwassen uitvoeren geen DPIA hoeven te maken. De AP zegt de ontvangen kritiek te gebruiken om de lijst aan te scherpen. De definitieve lijst wordt gepubliceerd in de Staatscourant en op de website van de toezichthouder en is daarna officieel van kracht.