De Europese Commissie wil met een nieuw voorstel de Algemene Verordening Gegevensbescherming (AVG) aanpassen, met als doel de administratieve lasten voor kleinere bedrijven te verlichten. De Europese Toezichthouder voor gegevensbescherming (EDPS) en de Europese Raad voor gegevensbescherming (EDPB) staan in grote lijnen achter deze richting, maar waarschuwen ook voor mogelijke onduidelijkheden en risico’s.
Het voorstel maakt deel uit van een bredere hervormingsronde — de zogeheten vierde Omnibus-ronde — die EU-wetgeving wil vereenvoudigen. Centraal in de voorgestelde wijziging staat het uitbreiden van een bestaande vrijstelling van de plicht om verwerkingsactiviteiten te documenteren, zoals vastgelegd in artikel 30, lid 5 van de AVG.
Die verplichting houdt in dat organisaties intern moeten bijhouden welke persoonsgegevens ze verwerken, voor welk doel, hoe lang ze deze bewaren en met wie ze worden gedeeld. Zo’n register helpt om aan te tonen dat men de AVG naleeft en maakt toezicht mogelijk. Op dit moment geldt die verplichting alleen voor organisaties met 250 medewerkers of meer. De Commissie wil die grens optrekken naar 750 medewerkers, tenzij de verwerking een hoog risico inhoudt voor de rechten van betrokkenen.
Deze maatregel is bedoeld om niet alleen kleine en middelgrote ondernemingen (kmo’s of SME's), maar ook zogeheten kleine midcap-ondernemingen (SMCs) meer ademruimte te geven. Daarbij introduceert de Commissie voor het eerst een definitie van zowel SME als SMC in artikel 4 van de AVG, en past zij ook artikelen 40 en 42 aan, zodat gedragscodes en certificeringsmechanismen voortaan ook op deze SMC’s van toepassing kunnen zijn.
Volgens Wojciech Wiewiórowski, de Europese Toezichthouder voor gegevensbescherming, is het begrijpelijk dat de Commissie kleinere bedrijven wil ondersteunen, zeker als dat helpt bij het naleven van regels. Tegelijkertijd onderstreept hij dat zulke versoepelingen niet ten koste mogen gaan van de bescherming van fundamentele rechten, zoals privacy. Hij vindt het daarom positief dat de voorgestelde aanpassing zich beperkt tot een specifieke administratieve verplichting en de kernprincipes van de AVG ongemoeid laat.
Ook Anu Talus, voorzitter van de EDPB, ziet het voorstel als een welkome stap. Ze benadrukt dat de huidige uitzondering vaak niet effectief genoeg was. Tegelijk blijft het bijhouden van verwerkingsactiviteiten volgens haar een waardevol hulpmiddel om aan transparantie-eisen te voldoen en de rechten van betrokkenen te waarborgen. Daarom ziet zij de voorgestelde versoepeling als een manier om bedrijven meer vrijheid te geven om passende manieren van naleving te kiezen, zonder daarbij essentiële verplichtingen overboord te gooien.
Toch hebben de toezichthouders nog een aantal kritische kanttekeningen. Zo vragen ze zich af waarom gekozen is voor een drempel van 750 werknemers, terwijl eerder 500 werd overwogen. Ook vinden ze het vreemd dat de vrijstelling spreekt over ‘ondernemingen met minder dan 750 werknemers’, maar geen verwijzing bevat naar de nieuwe definities van SME en SMC — die naast personeelsomvang ook financiële criteria hanteren. Om te voorkomen dat de vrijstelling breder wordt toegepast dan bedoeld, pleiten de EDPS en EDPB ervoor om expliciet aan te sluiten bij deze definities.
Tot slot willen de toezichthouders duidelijkheid over de vraag of de vrijstelling ook geldt voor overheidsorganisaties. In hun gezamenlijke advies stellen ze dat de Commissie expliciet moet maken dat publieke autoriteiten en instellingen buiten de vrijstelling vallen.
De komende maanden zullen de medewetgevers — het Europees Parlement en de Raad — zich buigen over het voorstel. Het is duidelijk dat het streven naar vereenvoudiging en lastenverlichting niet mag leiden tot verwatering van de bescherming van persoonsgegevens. Zoals de EDPS en EDPB het verwoorden: eenvoud is welkom, maar niet ten koste van fundamentele rechten.
