De Autoriteit Persoonsgegevens (AP) is een consultatie gestart over een conceptlijst met verwerkingen waarvoor geen data protection impact assessment (DPIA) hoeft te worden uitgevoerd. Met de consultatie wil de toezichthouder toetsen of de voorgestelde uitzonderingen goed aansluiten bij de praktijk. Reacties zijn welkom van onder meer mkb-ondernemers, zelfstandigen, experts en andere belanghebbenden.
Op grond van de AVG zijn organisaties verplicht een DPIA uit te voeren wanneer een voorgenomen verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen. Dat geldt met name bij het gebruik van nieuwe technologieën. Een DPIA, ook wel gegevensbeschermingseffectbeoordeling (GEB) genoemd, brengt privacyrisico’s vooraf in kaart zodat passende maatregelen kunnen worden getroffen.
De AVG biedt nationale toezichthouders de mogelijkheid om een lijst vast te stellen van verwerkingen waarvoor een DPIA niet verplicht is. De AP heeft hiervan gebruikgemaakt door een conceptlijst op te stellen met verwerkingen die volgens de toezichthouder geen hoog privacyrisico opleveren. De lijst is onder meer bedoeld om de regeldruk voor mkb-ondernemers en zelfstandigen te verminderen.
Belanghebbenden kunnen tot en met 10 augustus 2026 reageren op de conceptlijst. Volgens de AP worden de ontvangen reacties gebruikt om de lijst waar nodig aan te scherpen. De toezichthouder publiceert vervolgens een geanonimiseerde samenvatting van de ingediende reacties.
Na verwerking van de consultatiereacties legt de AP de aangepaste lijst voor aan de European Data Protection Board (EDPB). Na het advies van de EDPB stelt de AP de definitieve lijst vast. Deze wordt vervolgens gepubliceerd in de Staatscourant en op de website van de toezichthouder, waarna de lijst officieel van kracht wordt.
