AP steunt Europees streven om regeldruk te verminderen

Dat staat in een gezamenlijke opinie van de Europese privacytoezichthouders, waaronder de AP. Zij reageren hiermee op een voorstel van de Europese Commissie om de AVG te wijzigen en zo de regeldruk te verminderen voor bedrijven met maximaal 750 werknemers.

Geen verplicht verwerkingsregister

De regels die gaan over het verwerkingsregister worden verduidelijkt, waardoor bedrijven eenvoudiger kunnen vaststellen of zij een verwerkingsregister moeten bijhouden. De Commissie stelt voor dat die bedrijven voortaan geen verwerkingsregister meer hoeven bij te houden, zolang er geen sprake is van een verwerking met een hoog risico (‘hoogrisicoverwerking’). Een verwerkingsregister is een overzicht van alle verwerkingen van persoonsgegevens binnen een organisatie.

Daarnaast is er een nieuwe groep bedrijven die onder de uitzondering gaan vallen. Nu geldt deze uitzondering alleen voor organisaties met minder dan 250 medewerkers (tenzij er sprake is van een aantal situaties die een risico vormen voor burgers). De Commissie wil die grens dus verhogen naar 750 en die uitzondering geldt alleen niet als er sprake is van een hoog risico. Zoals bij zwarte lijsten, kredietscores of systematische profilering van mensen.

Verbetervoorstellen

Een goed streven, vinden de Europese privacytoezichthouders. Wel hebben ze verbeterpunten, met als belangrijkste:

• Maak duidelijk dat de uitzondering niet geldt voor overheidsorganisaties. Overheidsorganisaties hebben een extra grote verantwoordelijkheid richting burgers en een voorbeeldfunctie. Het is nu niet duidelijk uit de tekst of de nieuwe uitzondering ook voor overheidsorganisaties geldt.
• Maak duidelijk dat kleinere bedrijven alléén zogeheten hoogrisicoverwerkingen zouden moeten registreren in hun verwerkingsregister. Een klein bedrijf met één hoogrisicoverwerking hoeft dan niet alle andere, minder risicovolle verwerkingen te registreren. Zo blijft de regeldruk ook voor die bedrijven beperkt.

Het Europees Parlement en de Europese Raad zullen zich nu over het voorstel buigen. Dit voorstel van versimpeling van de AVG is onderdeel van een reeks maatregelen die de Europese Commissie wil nemen om de regeldruk voor kleine bedrijven te verminderen. Er volgen mogelijk meer voorstellen om de AVG te wijzigen. De privacytoezichthouders zullen ook die voorstellen bekijken en waar nodig advies uitbrengen.

De opinie is geschreven door de European Data Protection Supervisor (EDPS) en de European Data Protection Board (EDPB). De EDPS is de onafhankelijke privacytoezichthouder van de EU. De EDPB is het samenwerkingsverband van de Europese nationale privacytoezichthouders. De AP is onderdeel van de EDPB.