Zo zijn met de komst van de AVG per mei 2018 sommige organisaties verplicht een functionaris voor gegevensbescherming (FG) aan te stellen en een privacy impact assessment (PIA) uit te voeren. Dat is onder meer het geval als er sprake is van een grootschalige verwerking van persoonsgegevens die een kernactiviteit van de organisatie is.
Maar wat wordt er dan precies verstaan onder ‘grootschalig’, is een vraag die de AP regelmatig krijgt. Zelfs wie de tekst van de AVG volledig doorleest, krijgt hier geen helderheid over. In de AVG staat namelijk niet precies uitgelegd wat ‘grootschalig’ inhoudt.
Wel geven de Europese toezichthouders een aantal voorbeelden van verwerkingen die zij als grootschalig zien. Bijvoorbeeld een ziekenhuis dat patiëntgegevens verwerkt of een bank die klantgegevens verwerkt als onderdeel van de gebruikelijke werkzaamheden. Verwerking van bijzondere persoonsgegevens door individuele artsen of advocaten (‘eenpitters’), zien de AP en de andere Europese privacytoezichthouders niet als een grootschalige verwerking.
De privacywet, op Europees niveau General Data Protection Regulation (GDPR) genoemd, gaat per 25 mei 2018 in. De wet geeft onder meer aan dat bij het niet tijdig melden van een datalek een organisatie een boete tot 4 procent van de jaaromzet kan krijgen. Verder zijn organisaties verplicht een privacyadministratie bij te houden en moeten bedrijven die op grote schaal data verwerken een speciale data protection officer aanstellen.
De Autoriteit vroeg begin juni om meer budget van het Rijk om het naleven van de AVG na de inwerkingtreding beter te kunnen controleren. De staatssecretaris van Veiligheid en Justitie meldde daarop aan de Tweede Kamer dat de begroting van de AP wordt meegenomen in het wetsvoorstel voor de implementatie van de AVG.
Uit diverse onderzoeken die het afgelopen jaar uitgevoerd zijn, blijkt steeds weer dat organisaties, vooral in het mkb, onvoldoende op de hoogte zijn van de vergaande gevolgen van overtredingen van de AVG. Zo zou 17 procent van de bedrijven mogelijk de deuren moeten sluiten na een boete na het overtreden van de wet, bijvoorbeeld door het niet tijdig melden van een datalek.
