Consultatie lijst DPIA-uitzonderingen - verwerking persoonsgevens werknemers

In dit artikel:

De Autoriteit Persoonsgegevens (AP) wil het midden- en kleinbedrijf en zelfstandigen minder administratieve last geven door een voorlopige lijst te publiceren van gegevensverwerkingen waarvoor geen DPIA nodig is. Een DPIA, of gegevensbeschermingseffectbeoordeling, is normaal verplicht als een organisatie persoonsgegevens verwerkt op een manier die waarschijnlijk een hoog privacyrisico oplevert, bijvoorbeeld bij het gebruik van nieuwe technologieën.

Volgens de AP geldt de uitzondering onder meer voor werkgevers tot 250 werknemers en andere beroepsbeoefenaren in het Europese deel van Nederland, zolang het gaat om relatief standaardverwerkingen. Daaronder vallen bijvoorbeeld het verwerken van personeelsgegevens om te voldoen aan regels voor boekhouding, HR, salarisadministratie, sociale zekerheid, zorgverzekeringen en belastingen. Ook het omgaan met bestaande klantgegevens voor zakelijke activiteiten, zoals facturen, diensten, acties, wedstrijden of nieuwsbrieven, kan buiten de DPIA-plicht vallen.

Er zijn wel belangrijke grenzen: zodra profilering, systematische monitoring, bijzondere persoonsgegevens zoals biometrische gegevens of bepaalde regels voor platformwerkers in beeld komen, kan een DPIA alsnog verplicht zijn. De AP vraagt ondernemers, experts en andere belanghebbenden om vóór 10 augustus 2026 te reageren op de consultatie, zodat de lijst beter aansluit op de praktijk en de regeldruk verder kan worden verlaagd.