Organisaties hoeven met ingang van 6 november geen melding meer te doen van verwerking van persoonsgegevens, deelt de Autoriteit Persoonsgegevens (AP) mee. Op 25 mei 2018 wordt de Algemene verordening gegevensbescherming (AVG) van toepassing. Met de AVG vervalt de meldplicht.
Geen handhaving
Tot 25 mei kunnen organisaties nog steeds een melding doen van een verwerking van persoonsgegevens, maar de Autoriteit Persoonsgegevens (AP) zal per 6 november 2017 niet handhaven op naleving van deze meldplicht. Alleen als er sprake is van een gegevensverwerking met een bepaald risico, blijft een melding verplicht. De administratieve lasten voor verantwoordelijken worden hiermee aanzienlijk verlicht.
Risicovolle verwerking
Organisaties moeten een verwerking van persoonsgegevens met een bepaald risico (artikel 31, Wet bescherming persoonsgegevens) nog steeds melden bij de AP. Vervolgens doet de AP een voorafgaand onderzoek naar die gegevensverwerking. Dit houdt in dat de AP eerst onderzoekt of de verwerking aan de eisen van de Wbp voldoet. Pas na goedkeuring door de AP mag een verantwoordelijke beginnen met de verwerking.
Data protection impact assessment
Na 25 mei 2018 zijn organisaties verplicht een data protection impact assessment (DPIA) uit te voeren als een verwerking mogelijk een hoog risico inhoudt voor rechten en vrijheden van de betrokkenen. Als uit de DPIA blijkt dat de verwerking inderdaad een hoog risico oplevert en een organisatie geen maatregelen neemt of kan nemen om dit risico te beperken, dan moet de verwerking voor toepassing eerst worden voorgelegd aan de AP (de zogeheten voorafgaande raadpleging).
Wijzigingen
Vooruitlopend op de AVG komen er wijzigingen op de huidige regelingen. De AP zal binnenkort bekendmaken wat dat voor welke regeling betekent. In de periode tot aan 25 mei 2018 raadt de AP organisaties aan om bij nieuwe gegevensverwerkingen met een hoog risico te bekijken of een DPIA moet worden uitgevoerd.
Geef een reactie