'DPIA-vrijstellingen voor kleine ondernemers gaan veel te ver'

In dit artikel:

Privacy First is kritisch op een voorstel van de Autoriteit Persoonsgegevens (AP) om kleine ondernemers op meer terreinen vrij te stellen van een Data Protection Impact Assessment (DPIA). Met zo’n privacy-effectbeoordeling brengen organisaties vooraf de risico’s van gegevensverwerking in kaart en bepalen zij hoe die risico’s kunnen worden beperkt. De AP wil kleine organisaties tegemoetkomen, omdat een DPIA voor hen door beperkte tijd, middelen en juridische kennis lastig kan zijn.

Volgens Privacy First zijn de voorgestelde uitzonderingen echter te ruim. Daardoor zouden ook verwerkingen met een hoog privacyrisico buiten de DPIA-plicht kunnen vallen. Het gaat onder meer om het monitoren van financiële gegevens, grootschalige verwerking van gezondheidsinformatie, cameratoezicht en het gebruik van locatie- en communicatiegegevens.

De belangenorganisatie vindt dat vrijstellingen alleen mogen gelden voor aantoonbaar laagrisicowerk. Bij monitoring, profilering, gegevensdeling, doorgifte buiten de EU, biometrische gegevens en andere gevoelige data moet een DPIA volgens haar in principe verplicht blijven. Privacy First maakt zich ook zorgen over een mogelijke vrijstelling voor bedrijven die wettelijk verplicht zijn onderzoek te doen in het kader van witwasbestrijding.

Daarnaast pleit de organisatie voor strengere regels voor zelfstandig werkende zorgverleners en onderwijsinstellingen. Vanwege de gevoeligheid van gezondheidsgegevens zouden zorgverleners niet moeten worden vrijgesteld. Gevoelige leerlinggegevens moeten bovendien gescheiden blijven van gewone leerlingadministraties.

Ook bij cameratoezicht waarschuwt Privacy First voor onveilige cloudoplossingen en commercieel gebruik van beelden. De organisatie wil audio-opnamen en elke vorm van persoonsidentificatie, waaronder gezichts- en stemherkenning, uitsluiten. De kritiek is ingebracht tijdens de consultatie over het AP-voorstel.