Melding verwerking persoonsgegevens niet meer verplicht

Gemeenten hoeven sinds deze week geen melding meer te doen bij de Autoriteit Persoonsgegevens (AP) wanneer zij persoonsgegevens verwerken. Dat maakt de AP bekend op haar website. Vanwege de nieuwe Algemene verordening gegevensbescherming (AVG) komt de meldplicht te vervallen.

Uitzondering bij risicovolle verwerking

De AVG wordt in mei 2018 van toepassing, maar de meldplicht is nu al opgeheven. Tot de AVG geldt kunnen organisaties nog een melding maken wanneer zij persoonsgegevens verwerken, maar de AP zal niet meer handhaven. Organisaties hoeven nu niet meer alle verwerkingen van gegevens te melden, maar dat houdt niet in dat er nu niets meer gemeld moet worden. Wanneer er gegevensverwerking plaatsvindt met een bepaald risico is een melding wel verplicht. Door de aanpassing van de regelgeving worden de administratieve lasten van de AP aanzienlijk verlicht.

Voorafgaand onderzoek
De AP doet bij een melding van risicovolle gegevensverwerking voorafgaand onderzoek naar de verwerking van de gegevens. Er wordt dan onderzocht of de verwerking aan de eisen van de Wbp voldoet. Pas bij goedkeuring van de AP mag de organisatie die de melding maakt aan de slag met het verwerken van gegevens.

Meer verantwoordelijkheid bij organisaties zelf
Met de ingang van de AVG in 2018 zijn gemeenten verplicht om bij risicovolle gegevensverwerking vooraf een ‘data protection impact assessment’ uit te voeren. Wanneer er inderdaad een hoog risico is en een organisatie neemt geen maatregelen, dan moet de verwerking eerst worden voorgelegd aan de AP voor raadpleging, die kan de gegevensverwerking verbieden. De AP zegt voortaan meer verantwoordelijkheid bij organisaties zelf neer te leggen bij het aantonen van voldoen aan de geldende privacyregels.