Privacy First slaat alarm over te ruime uitzonderingen op privacytoets

Een DPIA is onder de AVG verplicht bij gegevensverwerkingen die een hoog risico inhouden voor de rechten van burgers. Het gaat hierbij onder meer om het monitoren van financiële gegevens, grootschalige verwerking van gezondheidsdata, cameratoezicht, locatie-evaluaties en profilering.

Zorgen om kleine organisaties versus effectieve bescherming

Privacy First geeft aan begrip te hebben voor het feit dat de AP kleine organisaties meer duidelijkheid wil bieden over wanneer een DPIA precies noodzakelijk is. Dat mag er volgens de stichting echter niet toe leiden dat de bescherming van burgers wordt uitgehold.

De organisatie pleit ervoor dat een vrijstelling uitsluitend geldt voor situaties met een aantoonbaar laag risico. Zodra er sprake is van monitoring, profilering, de uitwisseling van gezondheids- of biometrische gegevens, of doorgifte buiten de Europese Economische Ruimte (EER), moet een DPIA volgens de waakhond altijd verplicht blijven.

Onduidelijke definities en maas in de wet

Een belangrijk kritiekpunt heeft betrekking op vage formuleringen in het conceptbesluit, zoals de begrippen "beroepsbeoefenaar" of "natuurlijke persoon zonder dienstverband". Volgens Privacy First creëert dit het risico dat ook grote ondernemingen zich ten onrechte kunnen beroepen op uitzonderingen die voor kleine partijen zijn bedoeld.

Daarnaast wijst de stichting op specifieke sectoren en toepassingen waar de mazen in de wet gevaarlijk kunnen uitpakken:

• Financiële sector en witwasbestrijding: De uitzondering voor het verwerken van 'klantgegevens' mag ondernemingen die verplicht onderzoek doen in het kader van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) niet vrijstellen van een DPIA.
• Zorg en onderwijs: Voor solistisch werkende zorgverleners moet een strengere regeling gelden. Elektronische patiëntendossiers met derden-toegang of biometrische data mogen nooit worden vrijgesteld. In het onderwijs moeten gevoelige leerlinggegevens strikt gescheiden blijven van de reguliere administratie.
• Cameratoezicht en websites: Privacy First pleit voor een strikt verbod op audio-opnames en elke vorm van automatische identificatie bij cameratoezicht. Ook waarschuwt de organisatie voor het makkelijk delen van data via alledaagse functies op websites, zoals het embedden van YouTube-video's of de inzet van analysetools.

Tot slot beveelt Privacy First de toezichthouder aan om als algemene eis voor elke DPIA-vrijstelling te hanteren dat gegevens niet met derden worden gedeeld en de Europese Unie niet verlaten.