AP vraagt reacties op lijst DPIA-uitzonderingen
De Autoriteit Persoonsgegevens (AP) heeft een lijst opgesteld van soorten verwerkingen waarvoor geen ‘data protection impact assessment' (DPIA) vereist is. Om deze lijst goed aan te laten sluiten bij de praktijk, vraagt de AP via een consultatie reacties aan het mkb, zelfstandige ondernemers, experts en (andere) belanghebbenden.
Is een organisatie van plan persoonsgegevens te verwerken, maar levert dat waarschijnlijk een hoog privacyrisico op? Dan is de organisatie verplicht eerst een DPIA uit te voeren. Vooral als het gaat om een verwerking waarbij nieuwe technologieën worden gebruikt.
Een DPIA is een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen. Zodat de organisatie maatregelen kan nemen om deze risico’s te verkleinen. Een DPIA wordt ook wel een ‘gegevensbeschermingseffectbeoordeling’ (GEB) genoemd.
Uitzonderingen op de DPIA-plicht
De AP heeft de mogelijkheid om een lijst op te stellen en te publiceren van soorten verwerkingen waarvoor geen DPIA vereist is. Het gaat om verwerkingen door onder meer het mkb en zelfstandige ondernemers in Nederland. De lijst vermindert zo de regeldruk voor deze bedrijven en ondernemers.
Uw input is welkom
Wilt u reageren op de voorlopige lijst DPIA-uitzonderingen? Stuur dan uiterlijk 10 augustus 2026 een e-mail naar [email protected]. Hier kunt u ook terecht met vragen over het document of het consultatieproces.
Hoe gaat het verder?
De input gebruikte de AP om de lijst aan te scherpen. Zij publiceert een samenvatting van de ontvangen reacties, zonder namen van personen en organisaties en zonder contactgegevens.
De aangepaste lijst legt de AP voor aan de European Data Protection Board (EDPB). Na advies van de EDPB stelt de AP de definitieve lijst vast.
De AP publiceert de lijst vervolgens in de Staatscourant en op haar website. Vanaf dat moment is de lijst officieel geldig.
Bron: AP vraagt reacties op lijst DPIA-uitzonderingen | Autoriteit Persoonsgegevens