4 jaar AVG, heeft u al een voorafgaande raadpleging gedaan?

25/05/2022 - Het is precies vier jaar geleden dat de Algemene Verordening Gegevensbescherming (AVG) de Wet Bescherming Persoonsgegevens (WBP) heeft vervangen. Onder meer het voorafgaand onderzoek onder de WBP werd vervangen door de Data Protection Impact Assessment (DPIA). Organisaties zijn nu verplicht om voor risicovolle verwerkingen zelf een DPIA uit te voeren.  

De afgelopen jaren zijn organisaties volop bezig geweest met DPIA’s. Veel organisaties hebben actief beleid ontwikkeld op het uitvoeren van DPIA’s en diverse sectoren zijn aan de slag gegaan met model-DPIA’s voor de sector. Een voorbeeld daarvan is het ‘model DPIA rijksdienst’ dat door de overheid wordt toegepast. De DPIA is een effectief instrument waarmee ondernemingen zelf risico’s kunnen identificeren en mitigeren.  

Voorafgaande raadpleging 

Maar wat als niet alle risico’s weg te nemen zijn door de onderneming? Daar biedt de AVG een oplossing voor. Als er na de DPIA grote restrisico’s over blijven, moet de organisatie deze voorleggen aan de Autoriteit Persoonsgegevens (AP) door middel van een zogenoemde voorafgaande raadpleging. Bij een voorafgaande raadpleging geeft de AP advies hoe de risico's van de voorgenomen verwerking beperkt kunnen worden. Kijk voor meer informatie over wanneer een voorafgaande raadpleging nodig is op de website van de AP.  

Een middel waar vast veel ondernemingen gebruik van willen maken, toch? De kranten hebben de afgelopen jaren immers vol gestaan met ondernemingen die beboet zijn wegens handelswijzen die niet in lijn lagen met de AVG. Neem bijvoorbeeld innovatieve toepassingen op het gebied van biometrie. We zien het overal om ons heen, terwijl de AP blijft benadrukken dat het gebruik daarvan grote privacyrisico’s met zich meebrengt. 

In totaal heeft de AP volgens haar jaarverslag in 2020 toch slechts 8 voorafgaande raadplegingsverzoeken ontvangen. En in 2021 slechts 10. Van die 10 verzoeken heeft de AP er 8 niet in behandeling genomen, 1 werd ingetrokken en slechts over één verzoek is inhoudelijk geadviseerd. Het ging om het gebruik van Google-producten in het onderwijs. Van de afgewezen verzoeken noemt het jaarverslag van de AP dat ze de verzoeken “niet in behandeling kunnen nemen omdat de verzoeken niet voldeden aan de vereisten.” Mogelijk dat de verzoeken bijvoorbeeld gingen over de toepassing van verwerkingsgrondslagen, die verzoeken neemt de AP niet in behandeling.   

Waarom dienen organisaties geen voorafgaande raadplegingen in? 

De AVG verplicht ondernemingen om voorafgaand aan een verwerking met een potentieel hoog risico een DPIA uit te voeren. Ook de voorafgaande raadpleging is, zoals de term al doet vermoeden, bedoeld om in te zetten voorafgaand aan de verwerking. Je loopt op dat moment als bedrijf dus niet het risico dat de AP op basis van het verzoek handhavend zal optreden. Voor een voorafgaande raadpleging die ziet op een proces dat al enige tijd loopt is die angst natuurlijk realistischer. Al moet wel opgemerkt worden dat de voorafgaande raadpleging over het gebruik van Google-producten in het onderwijs zag op een verwerking die al langere tijd plaatsvond. 

Dan speelt er natuurlijk nog het beeld dat de AP enorm onderbezet is op het moment. Toch geeft de AP in haar jaarverslag aan dat er eind 2021 geen verzoeken voor voorafgaande raadplegingen meer in behandeling waren. En het enige verzoek dat wél in behandeling genomen is door de AP, is voortvarend opgepakt. De AP heeft op basis van artikel 36 lid 2 van de AVG 8 weken de tijd om inhoudelijk te reageren op een verzoek. Die termijn kan bij complexe verzoeken worden verlengd met 6 weken.  

Een organisatie loopt met het indienen van een voorafgaande raadpleging wel het risico dat de AP adviseert om de verwerking niet te starten of om zeer vergaande maatregelen te nemen. Handelt de organisatie niet naar het advies van de AP? Dan kan de AP handhavend optreden.  

En wat als je als organisatie geen voorafgaande raadpleging indient terwijl de restrisico’s niet te mitigeren lijken te zijn? Dan heb je twee keuzes: tegen beter weten in starten met de verwerking of stoppen met de verwerking.   

Conclusie 

Genoeg redenen dus om een voorafgaande raadpleging in te dienen als uit de DPIA blijkt dat er een groot restrisico is. Misschien moeten we in het vijfde levensjaar van de AVG meer voorafgaande raadplegingen indienen bij de AP.